הרגע שבו מתגלה אירוע אבטחת מידע הוא הרגע הגרוע ביותר לגלות שאין לכם נוהל. בשעות הראשונות איש אינו יודע מה בדיוק קרה, מי מוסמך להחליט, והאם בכלל צריך לדווח למישהו. מאמר זה מסדר את התמונה; מי שרוצה לעבור לתמונה הרחבה של הציות ימצא אותה בפתרון הציות של Privorify.
מה נחשב אירוע אבטחת מידע?
אירוע אבטחת מידע הוא כל אירוע שמעלה חשש לפגיעה בשלמות המידע המוחזק במאגר, לשימוש בו ללא הרשאה או לחשיפתו לגורם שאינו מורשה. זה רחב במכוון — ורחב יותר ממה שרוב העסקים מדמיינים כשהם שומעים "פריצה".
לא כל אירוע הוא מתקפת סייבר מתוחכמת. בפועל, חלק ניכר מהאירועים בארגונים קטנים הם אנושיים לחלוטין: קובץ לקוחות שנשלח במייל לכתובת הלא נכונה, לפטופ שנגנב מהרכב, עובד שעזב והמשיך להחזיק גישה למערכת, או דליפה אצל ספק חיצוני שמחזיק מידע עבורכם.
מתי חייבים לדווח לרשות להגנת הפרטיות?
הדיווח לרשות נדרש כאשר מדובר באירוע אבטחה חמור. לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, בעל המאגר נדרש להודיע על אירוע חמור באופן מידי, וכן לדווח על הצעדים שנקט בעקבות האירוע. הרשות להגנת הפרטיות פרסמה כי מסגרת הזמן לדיווח על אירוע אבטחה חמור היא בתוך 24 שעות ממועד הגילוי, ובכל מקרה לא יאוחר מ-72 שעות מאותו מועד.
המשמעות המעשית חדה: אם המנגנון הפנימי שלכם מבוסס על "נבדוק בשבוע הבא עם איש המחשבים", הוא כבר אינו מספיק. צריך מסלול שניתן להפעיל בתוך שעות, כולל בסופי שבוע ובחגים.
מה מגדיר אירוע כ"חמור"?
הקביעה אם אירוע הוא חמור נעשית לפי חומרת האירוע ומידת רגישות המידע שנפגע — שני משתנים שהתקנות מורות לשקול בנוהל האבטחה של בעל המאגר. בפועל, אירוע שנוגע למידע רגיש — בריאות, מצב כלכלי, פרטי אשראי — או שנוגע למספר גדול של אנשים, ייטה להיות מסווג בחומרה גבוהה יותר.
מה צריך לכלול נוהל תגובה לאירוע?
נוהל טוב הוא נוהל שאפשר להפעיל תחת לחץ ובלי לאלתר. המרכיבים המעשיים שכדאי שיופיעו בו:
- הגדרה מהו אירוע — רשימת דוגמאות קונקרטיות מהעולם שלכם, לא נוסח משפטי מופשט.
- מי מדווח למי — עובד שמזהה חשד צריך לדעת למי לפנות בתוך דקות, לא לחפש במייל ישן.
- מי מקבל החלטה — אדם אחד מוגדר שמוסמך לקבוע אם האירוע חמור ואם נדרש דיווח לרשות, ומחליף קבוע להעדרו.
- צעדי בלימה מידיים — ניתוק גישה, איפוס סיסמאות, הקפאת חשבונות.
- תיעוד — מה קרה, מתי התגלה, איזה מידע נוגע, מה נעשה. התיעוד הוא גם הבסיס לדיווח וגם ההגנה שלכם בדיעבד.
- תקשורת — מי מדבר עם לקוחות, עם ספקים ועם הרשות, ומי לא.
מה האחריות כאשר הדליפה קורה אצל ספק?
ככלל, העובדה שהמידע הודלף ממערכותיו של ספק חיצוני אינה מנתקת את האחריות מבעל המאגר. זו אחת הנקודות המפתיעות ביותר עבור עסקים שמעבירים נתונים למערכות ענן, למשרדי הנהלת חשבונות או לספקי דיוור. מכאן שהסכם מסודר מול כל ספק שמעבד מידע עבורכם — ובו סעיף שמחייב אותו ליידע אתכם מייד על אירוע — אינו פורמליות אלא תנאי ליכולת שלכם לעמוד בלוח הזמנים שנקבע.
איך זה מתחבר לתיקון 13 ולאכיפה?
תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, העניק לרשות להגנת הפרטיות סמכויות פיקוח, חקירה ואכיפה מנהלית רחבות, ובהן הטלת עיצומים כספיים. אירוע אבטחה הוא בדיוק הרגע שבו הרשות מקבלת חלון הצצה למצב הציות הכולל של הארגון — האם היה נוהל, האם היו בקרות גישה, האם נשמר מידע שכבר אין בו צורך.
לפי פרסומים מיולי 2026, הרשות מנהלת עשרות רבות של תיקי אכיפה. לקריאה נוספת על ההיבט הכספי ראו קנסות הגנת הפרטיות, ולבעלי אתרים — המדריך המלא לתיקון 13.
אילו אירועים נפוצים בעסקים קטנים ובינוניים?
רוב האירועים שעסקים קטנים ובינוניים נתקלים בהם אינם מתוחכמים טכנולוגית, ודווקא משום כך הם נוטים להישאר ללא טיפול. הטבלה מרכזת דפוסים חוזרים ואת השאלה הראשונה שכדאי לשאול בכל מקרה:
| סוג האירוע | השאלה הראשונה לבדיקה |
|---|---|
| קובץ לקוחות נשלח לכתובת שגויה | כמה אנשים בקובץ, והאם הוא כלל מידע רגיש? |
| חשבון עובד שנפרץ (דוא"ל / CRM) | לאילו מערכות ונתונים היתה לו גישה? |
| עובד שעזב והגישה לא בוטלה | מתי בוצעה הגישה האחרונה, ומה הוצא? |
| דליפה אצל ספק חיצוני | איזה מידע שלנו מוחזק אצלו, ומה החוזה מחייב? |
| מחשב נייד או דיסק-ון-קי שאבד | האם האמצעי היה מוצפן? |
הדפוס הזה מסביר מדוע שני מנגנונים פשוטים — ניהול הרשאות מסודר והצפנת אמצעי קצה — מורידים חלק ניכר מהחשיפה המעשית, הרבה לפני שמדברים על מערכות הגנה מתקדמות. במקביל, מדיניות שמירת מידע מוגדרת — כמה זמן שומרים מה ומתי מוחקים — מקטינה את היקף הנזק בכל אירוע עתידי. מידע שכבר נמחק אינו יכול לדלוף.
שאלות ותשובות
תוך כמה זמן צריך לדווח על אירוע אבטחה חמור?
הרשות להגנת הפרטיות פרסמה כי מסגרת הזמן לדיווח על אירוע אבטחה חמור היא בתוך 24 שעות ממועד גילוי האירוע, ובכל מקרה לא יאוחר מ-72 שעות. התקנות עצמן נוקטות בלשון הודעה מידית.
מה נחשב אירוע אבטחת מידע?
כל אירוע המעלה חשש לפגיעה בשלמות המידע במאגר, לשימוש בו ללא הרשאה או לחשיפתו לגורם לא מורשה. זה כולל גם טעויות אנוש כמו שליחת קובץ לכתובת שגויה, ולא רק מתקפות סייבר.
האם צריך ליידע גם את הלקוחות שנפגעו?
בחלק מהמקרים הרשות להגנת הפרטיות רשאית להורות על יידוע נושאי המידע שנפגעו. מעבר לכך, יידוע מוקדם הוא לעיתים המהלך שמצמצם את הנזק בפועל — לקוח שיודע להחליף סיסמא או להיזהר מהונאות חשוף פחות. יש לבחון זאת לפי נסיבות המקרה.
אם האירוע קרה אצל ספק — האם אני עדיין אחראי?
ככלל, העברת המידע לספק אינה מעבירה אליו את אחריותו של בעל המאגר כלפי נושאי המידע וכלפי הרגולטור. לכן חשוב להסדיר בחוזה את חובת היידוע המידית מצד הספק ואת אמצעי האבטחה שהוא מתחייב להם.
מה לעשות קודם — לתקן או לדווח?
שניהם במקביל. צעדי בלימה מידיים כמו ניתוק גישה ואיפוס סיסמאות אינם ממתינים לדיווח, והדיווח אינו ממתין לחקירה מלאה. מדווחים על סמך מה שידוע בנקודת הזמן, ומשלימים בהמשך.
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
איך אירועי אבטחה נגרמים בפועל
- פישינג מבוסס בינה מלאכותית: איך מגנים על המאגר — וקטור הכניסה הנפוץ ביותר לאירועים שמחייבים דיווח לרשות.
- קוקיז ופיקסלים באתר: מתי נדרשת הסכמה — דליפה דרך צד שלישי באתר היא אירוע לכל דבר — גם בלי פריצה.
- הגנת הפרטיות בחנות אונליין — מגזר עם נפח מידע גבוה ואירועי אבטחה תכופים במיוחד.
- כל המאמרים בבלוג הגנת הפרטיות — מדריכים מעשיים נוספים על תיקון 13 ותקנות אבטחת מידע.
מה כתוב בתקנות על תיעוד ודיווח של אירועי אבטחה?
תקנה 11 לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 יוצרת שתי שכבות של חובה. הראשונה חלה על כל אירוע: בעל המאגר אחראי לתעד כל מקרה שבו התגלה אירוע המעלה חשש לפגיעה בשלמות המידע, לשימוש בו בלא הרשאה או לחריגה מהרשאה — ככל האפשר על בסיס רישום אוטומטי (תקנה 11(א)). השנייה חלה רק על אירוע אבטחה חמור: לפי תקנה 11(ד), בעל המאגר יודיע עליו לרשם באופן מיידי, וידווח גם על הצעדים שנקט בעקבות האירוע.
ההגדרה של אירוע אבטחה חמור בתקנה 1 תלויה ברמת האבטחה של המאגר. במאגר ברמת אבטחה גבוהה — כל אירוע שבו נעשה שימוש במידע בלא הרשאה או בחריגה מהרשאה, או שנפגעה שלמות המידע. במאגר ברמת אבטחה בינונית — רק כשהאירוע נוגע לחלק מהותי מהמאגר. בנוסף, תקנה 11(ג) מחייבת דיון תקופתי באירועי האבטחה: אחת לשנה לפחות במאגר ברמה בינונית, ואחת לרבעון לפחות במאגר ברמה גבוהה.
מקורות רשמיים
- תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 — הנוסח המלא, כולל תקנות 1 ו-11
- הרשות להגנת הפרטיות — האתר הרשמי
להמשך קריאה
- תקנות אבטחת מידע: איך קובעים את רמת האבטחה של המאגר — רמת האבטחה היא שקובעת אילו אירועים נחשבים חמורים.
- מתקפת כופרה בעסק: מה עושים ב-72 השעות הראשונות — התרחיש הנפוץ שבו חובת הדיווח נבחנת בזמן אמת.
להמשך קריאה
- הצפנת מידע אישי בעסק: מתי זו חובה ואיך בוחרים מה להצפין
- הרשאות גישה למאגר מידע: איך מונעים דליפה מבפנים
- חובת יידוע לפי סעיף 11: מה חייבים לומר ללקוח לפני איסוף מידע
להמשך קריאה
קריאה משלימה: אירועי אבטחה במידע רפואי
חובת דיווח נוספת בדרך: חוק הסייבר המוצע
להמשך קריאה
אם הארגון מוסמך ל-ISO 27001, כדאי לבדוק מה ההסמכה מכסה ומה לא:
