עבודה מהבית והתקנים ניידים: איך שומרים על מידע אישי מחוץ למשרד

• ההתקן הנייד הוא חלק מהמאגר: מידע אישי ששמור על לפטופ עובד מובא בחשבון במיפוי וברמת האבטחה.
• הצפנה היא המנוף היחיד באבדן: התקן מוצפן שאבד הוא סיפור אחר מהתקן ללא הצפנה שאבד.
• רשת ציבורית אינה הסיכון המרכזי: אבדן פיזי, גישה משותפת בבית וגיבוי לענן פרטי נפוצים יותר.
• BYOD דורש הסדרה נפרדת: מכשיר פרטי שנוגע במידע הארגון מחייב מדיניות כתובה והסכמת העובד.
• יציאת עובד = החזרת התקנים ושלילת גישה באותו יום, כולל מחיקת עותקים מקומיים.

תוכן העניינים

• מה התקנות אומרות על התקנים ניידים?
• מהי החשיפה האמיתית בעבודה מהבית?
• אילו הגנות נדרשות בפועל?
• מה צריך להיות בנוהל העבודה מרחוק?
• מה עושים כשהעובד משתמש במכשיר פרטי?
• מה עושים כשהתקן נגנב או אובד?
• שאלות ותשובות

אבטחת מידע בעבודה מרחוק היא קבוצת הבקרות שנועדו להבטיח שמידע אישי שנגיש מחוץ למשרד מוגן באותה מידה שהוא מוגן בתוכו. הנקודה המשפטית המרכזית פשוטה: חובות בעל המאגר לא משתנות לפי מקום העבודה של העובד. אם רמת האבטחה של המאגר מחייבת בקרה מסוימת, היא מחייבת אותה גם בסלון בבית של איש המכירות. למי שעוד לא קבע רמת אבטחה למאגר — זו נקודת ההתחלה, והיא מוסברת במדריך תיקון 13 לבעלי אתרים ועסקים.

מה התקנות אומרות על התקנים ניידים?

תקנות הגנת הפרטיות (אבטחת מידע) מקדישות לנושא תקנה נפרדת — תקנה 12, ״התקנים ניידים״ — ובנוסף מחייבות שנוהל האבטחה לפי תקנה 4 יכלול מדיניות לניהול התקנים ניידים. אלה שתי דרישות נפרדות: האחת ענינית — מה עושים בהתקנים, והשנייה תיעודית — שזה כתוב בנוהל.

מסביב לזה עובדות תקנות נוספות שאנשים לא מקשרים לעבודה מרחוק אבל הן בדיוק הרלוונטיות: תקנה 8 על ניהול הרשאות גישה, תקנה 9 על זיהוי ואימות, תקנה 10 על בקרה ותיעוד גישה, ותקנה 14 על אבטחת תקשורת. נוסח התקנות המלא זמין בתקנות הגנת הפרטיות (אבטחת מידע), תשע״ז-2017.

מהי החשיפה האמיתית בעבודה מהבית?

רוב הארגונים משקיעים בהגנה מפני רשתות ציבוריות, אבל המקרים הנפוצים בפועל הם פרוזאיים ביותר. הטבלה מסדרת את נקודות החשיפה ואת הבקרה שעונה על כל אחת:

אילו הגנות נדרשות בפועל?

חמש בקרות מכסות את רוב הסיכון, וכולן זמינות גם לעסק קטן בלי מחלקת IT.

1. הצפנת הכונן בכל התקן שיוצא מהמשרד. זה מופעל בהגדרות מערכת ההפעלה והוא הצעד הזול ביותר עם התשואה הגבוהה ביותר.
2. נעילת מסך אוטומטית אחרי דקות ספורות, עם סיסמה או אמצעי זיהוי ביומטרי.
3. אימות דו-שלבי למערכות מרחוק. סיסמה לבד אינה מספיקה לגישה מרשת לא מוכרת.
4. הרשאה מוגבלת לצורך. איש מכירות שצריך לראות לקוחות שלו לא צריך יצוא של כל המאגר. על הנושא מורחב במאמר על הרשאות גישה למאגר מידע.
5. תיעוד גישות מרחוק. לוג שמראה מי נכנס, ממה ומתי — זה מה שיאפשר לכם לדעת מה נחשף אם חשבון נפרץ.

למי שרוצה להעמיק בנושא הראשון — מתי הצפנה היא חובה ומה מצפינים קודם — הנושא מפורט במאמר על הצפנת מידע אישי בעסק.

מה צריך להיות בנוהל העבודה מרחוק?

נוהל עבודה מרחוק אפקטיבי הוא עמוד-עמוד וחצי, לא מסמך של עשרים עמודים שאיש לא קורא. אלה הסעיפים שחייבים להיות בו:

• מה מותר להוציא מהמשרד — אילו סוגי מידע, באיזה פורמט, ומה אסור להוציא בכל מצב.
• אילו התקנים מותרים — התקן ארגוני בלבד, או גם פרטי בתנאים מסוימים.
• דרישות המינימום מההתקן — הצפנה, נעילה, עדכוני אבטחה, אנטי-וירוס.
• איסור שמירה מקומית וגיבוי פרטי — אנחנו עובדים במערכות הארגון, לא מורידים עותקים.
• מה עושים באבדן או בחשד — למי מדווחים, תוך כמה זמן, ומה לא לעשות.
• סביבת העבודה הפיזית — מסך לא חשוף לאחרים, הקפדה בשיחות במקום ציבורי.

מה עושים כשהעובד משתמש במכשיר פרטי?

שימוש במכשיר פרטי לצורכי עבודה (BYOD) אינו אסור כשלעצמו, אבל הוא מחייב הסדרה מפורשת — כי המכשיר לא בשליטת הארגון והמידע כן. שלוש נקודות קריטיות:

ראשית, הפרדה — עדיף מאוד שהמידע לא ישב על המכשיר הפרטי אלא נגיש דרך סביבה מנוהלת או דרך דפדפן בלי שמירה מקומית. שנית, הסכמה בכתב — העובד מאשר שהוא מבין את מדיניות הארגון, ומה קורה בסיום ההעסקה. שלישית, גבולות פרטיות העובד — ניטור או מחיקה מרחוק של מכשיר פרטי נוגעים בפרטיות העובד עצמו, ולכן היקף הניטור מונחה במגבלות נפרדות. על הגבול הזה מורחב במאמר על מעקב אחר עובדים — מה מותר למעסיק לנטר.

מה עושים כשהתקן נגנב או אובד?

אבדן התקן שעליו מידע אישי הוא אירוע אבטחה — לא תקלה לוגיסטית — ולכן הוא נכנס לתיעוד האירועים ולבדיקת החובות. סדר הפעולות המעשי: לשלול את הגישה של החשבון מהמערכות, להחליף סיסמאות, לבדוק בלוגים אם הייתה גישה אחרי האבדן, לתעד את האירוע במלואו, ולבדוק אם קמה חובת דיווח.

שאלת ההצפנה היא מה שקובע את חומרת האירוע: התקן מוצפן שאבד מצמיח סיכון נמוך מאוד לחשיפת מידע, והתקן לא מוצפן מצמיח חשיפה מלאה של כל מה שהיה עליו. על שאלת הדיווח לרשות מורחב במאמר על אירוע אבטחת מידע ומתי מדווחים.

עיקרי הדברים

• תקנה 12 עוסקת בהתקנים ניידים, ותקנה 4 מחייבת שנוהל האבטחה יתייחס אליהם במפורש.
• החובות לא משתנות לפי מקום העבודה של העובד.
• הצפנת הכונן היא הבקרה הזולה והמשמעותית ביותר במקרה של אבדן.
• נקודות החשיפה הנפוצות הן אבדן, שימוש משותף בבית וגיבוי לענן פרטי.
• אבדן התקן עם מידע אישי הוא אירוע אבטחה שדורש תיעוד ובדיקת חובת דיווח.

שאלות ותשובות

האם מותר לעובד לעבוד על מידע אישי מהבית?

כן, בתנאי שהבקרות הנדרשות לרמת האבטחה של המאגר מתקיימות גם מחוץ למשרד, ושהנוהל מתייחס לכך במפורש. מקום העבודה אינו משנה את החובות, אלא רק את הדרך לקיים אותן.

האם חייבים VPN לעבודה מרחוק?

התקנות לא נוקבות בשם טכנולוגיה מסוימת, אלא דורשות אבטחת תקשורת הולמת. בפועל חיבור מוצפן למערכות הארגון הוא הפתרון המקובל לגישה מרשת שאינה בשליטת הארגון.

האם מותר לשלוח פרטי לקוחות בוואטסאפ?

זו שאלה של נוהל ושל רמת הרגישות. בפרקטיקה בעייתי משתי סיבות: המידע נשמר במכשיר פרטי שאינו בשליטת הארגון, ואין תיעוד מסודר של מי נגש למה. ערוץ עבודה מוגדר עונה על שני הקשיים.

מה עושים עם עובד שעובד מחו״ל?

עבודה ממדינה אחרת מעלה שאלה נוספת של העברת מידע מחוץ לגבולות המדינה, שנוספת על דרישות האבטחה הרגילות. זה נושא שצריך לבדוק בנפרד לפני שמאשרים את ההסדר.

מה עושים ביום שבו עובד מסיים?

שוללים את כל ההרשאות באותו יום, מקבלים בחזרה את ההתקנים הארגוניים, ומוודאים שלא נותרו עותקים מקומיים או בגיבוי פרטי. מומלץ לעבוד מול צ״קליסט סיום העסקה כתוב, כדי שלא יישארו הרשאות פתוחות.

המידע במאמר זה הוא כללי ואינו מהווה ייעוצ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.