הדרכת עובדים באבטחת מידע: מה התקנות דורשות וכל כמה זמן

• שתי חובות נפרדות: הדרכה לפני מתן גישה (לכל המאגרים), והדרכה תקופתית אחת לשנתיים לפחות ברמות בינונית וגבוהה.
• התוכן קבוע בתקנות: ההדרכה עוסקת בחובות לפי החוק והתקנות ובנהלי האבטחה של הארגון — לא בהרצאה כללית על סייבר.
• מתן גישה דורש בדיקה מקדימה: בעל המאגר צריך לוודא שאין חשש לאי-התאמה של העובד להרשאה, לפני שנותנים לו אותה.
• בלי תיעוד ההדרכה לא נספרת: רשימת נוכחות, תאריך, תכולנות ואישור קריאה הם המסמך שנבדק בהליך פיקוח.
• עובד שעוזב = שלב בתהליך: שלילת הרשאות ביום הסיום היא חלק מאותה מערכת ניהול כוח אדם.

תוכן העניינים

• מה התקנות דורשות מהדרכת עובדים?
• כל כמה זמן חוזרים על ההדרכה?
• מה חייב להיכלל בתוכן ההדרכה?
• איך בונים תוכנית הדרכה שעומדת בדרישות?
• איך מתעדים הדרכה כדי שתעמוד בביקורת?
• מה עושים עם עובדים זמניים וקבלנים?
• שאלות ותשובות

הדרכת עובדים באבטחת מידע היא תהליך שבו בעל מאגר מידע מודיע למי שמקבל גישה למאגר מהן החובות החלות עליו לפי החוק והתקנות, ומה נהלי האבטחה בארגון. זה אחד מהמקומות המעטים בתקנות שבהם נקבעה תדירות מסוימת, ולכן הוא גם אחד מהפערים הנפוצים בבדיקות ציות. לסקירה רוחבית של יתר הדרישות ראו את המדריך המלא לתיקון 13.

מה התקנות דורשות מהדרכת עובדים?

לפי תקנה 7, בעל מאגר לא ייתן לעובד גישה למידע לפני שוודא שאין חשש שהעובד אינו מתאים לקבל גישה כזו, והוא מחוייב לקיים הדרכות לבעלי ההרשאות בנושא החובות לפי החוק והתקנות. נוסח התקנות המלא זמין בתקנות הגנת הפרטיות (אבטחת מידע), תשע״ז-2017.

שתי נקודות שנוטה לפסוח עליהן. ראשית, החובה אינה רק להדריך — היא גם לבדוק התאמה לפני מתן ההרשאה. שנית, החובה חלה על ״בעלי הרשאות״ — מושג רחב מ״עובדים״, והוא כולל גם מנהלים, פרילנסרים ואנשי תמיכה חיצוניים שקיבלו גישה למערכת. על ניהול ההרשאות עצמן מורחב במאמר על הרשאות גישה למאגר מידע.

כל כמה זמן חוזרים על ההדרכה?

במאגר ברמת אבטחה בינונית או גבוהה נדרשת הדרכה תקופתית אחת לשנתיים לפחות, לפי תקנה 7. במאגר ברמה בסיסית החובה המרכזית היא ההדרכה לפני מתן הגישה. הטבלה מסדרת את המועדים מול דרישות תקופתיות נוספות באותן תקנות, שכדאי לסנכרן ביניהן:

הנקודה המעשית: משום שהתדירויות שונות, כדאי לנהל לו״ז שנתי אחד שבו כל החובות התקופתיות מסומנות מראש, ולא להמתין לתזכורת. רמת האבטחה היא המשתנה שקובע את כל השורות בטבלה, והדרך לקבוע אותה מוסברת במאמר על קביעת רמת האבטחה של המאגר.

מה חייב להיכלל בתוכן ההדרכה?

התקנות מציבות את הגרעין: החובות לפי החוק והתקנות, ונהלי האבטחה של מקום העבודה — כלומר לא תוכן כללי אלא הנהלים שלכם. הדרכה שמסתפקת במצגת גנרית על סיסמאות חזקות לא עונה על הדרישה, כי היא לא מלמדת על המאגר שלכם.

מעטפת התוכן המומלצת

• מה זה מידע אישי בארגון הזה — דוגמאות אמיתיות מהמערכות שהעובדים עובדים בהן.
• מה מותר לעשות במידע ומה אסור — עיון, העתקה, שליחה במייל, הוצאה ב-Excel.
• נהלי סיסמאות ואימות זיהוי — כולל איסור על שיתוף חשבונות.
• זיהוי ניסיונות התחזות ופישינג — עם דוגמאות שנראו בארגון.
• מה עושים כשמשהו חושד באירוע — למי מדווחים, תוך כמה זמן, ומה לא לעשות (למשל לא למחוק הוכחות).
• כלי AI ומידע אישי — מה מותר להדביק לצ״אט ומה בהחלט לא.
• עבודה מחוץ למשרד — מחשב נייד, רשתות ציבוריות, ומסמכים מודפסים.

שני הנושאים האחרונים הם התוספות החשובות בשנים האחרונות, והמסגרת המלאה לראשון מופיעה במאמר על נוהל שימוש בכלי AI בארגון, ועל האיום המתחדש במאמר על פישינג מבוסס בינה מלאכותית.

איך בונים תוכנית הדרכה שעומדת בדרישות?

חמישה שלבים, שבארגון קטן לוקחים יום עבודה ובארגון בינוני שבועיים.

1. מיפוי בעלי ההרשאות: רשימה של כל מי שיש לו גישה למידע אישי, כולל גורמים חיצוניים. זו רשימת המוזמנים שלכם.
2. התאמת התוכן לנהלים הקיימים: קחו את נוהל האבטחה הקיים והפכו כל סעיף רלוונטי לשקופית או לפסקה. אם אין נוהל — הוא קודם להדרכה.
3. התאמה לתפקיד: מודול בסיס לכולם, ומודול מורחב למי שנוגע במידע רגיש או בהרשאות ניהול.
4. תרגיל קצר במקום מבחן: שלוש שאלות בסוף, או מייל פישינג מבוים. זה מה שמוכיח שההדרכה הועברה ולא רק נשלחה.
5. תיעוד ותזכורת למועד הבא: שמרו רשימת נוכחות והגדירו תזכורת למועד הבא בלו״ז הארגוני.

איך מתעדים הדרכה כדי שתעמוד בביקורת?

המסמך שנבדק בפועל הוא רישום שמראה מי נוכח, מתי, באיזה נושא ומי הונחה. שמור לכל מועד הדרכה: תאריך, רשימת נוכחות חתומה או דיגיטלית, תכולנות או מצגת, והאישור האישי של כל עובד שהוא קיבל והבין את הנהלים.

שני פרטים שנוטה לשכוח: ראשית, העובד החדש שנכנס בין שני מועדי הדרכה תקופתיים — הוא חייב הדרכה לפני הגישה, לא המתנה למועד הקבוצתי הבא. שנית, שינוי תפקיד בתוך הארגון — עובד שעבר לתפקיד עם הרשאות רחבות יותר הוא למעשה בעל הרשאה חדש. ההתחברות למסמך המרכז את כל ההצהרות האלה מוסברת במאמר על הצהרת אבטחת מידע.

מה עושים עם עובדים זמניים וקבלנים?

המבחן אינו סוג ההעסקה אלא ההרשאה: מי שמקבל גישה למידע אישי הוא בעל הרשאה, גם אם הוא עובד שלושה חודשים או פרילנסר. בפרקטיקה מקובל לנהל את זה בשלושה מצבים:

• עובד קבוע: הדרכה בקליטה לפני מתן גישה, ואז מצטרף למועדים התקופתיים.
• עובד זמני או עובד קיץ: אותה הדרכה בקליטה, בנוסף להרשאה צרה במיוחד ומוגבלת בזמן.
• קבלן או ספק חיצוני: ההתחייבות לקיים את חובות האבטחה ולהדריך את עובדיו נקבעת בהסכם מולו, ולא בנוהל הפנימי שלכם.

עיקרי הדברים

• הדרכה לפני מתן גישה היא חובה בכל מאגר, לפי תקנה 7.
• ברמת אבטחה בינונית וגבוהה נדרשת גם הדרכה תקופתית אחת לשנתיים לפחות.
• התוכן חייב להיות הנהלים של הארגון, לא תוכן סייבר גנרי.
• תיעוד נוכחות, תאריך ואישור עובד הוא מה שמוכיח עמידה בדרישה.
• עובד חדש או עובד ששינה תפקיד דורש הדרכה מיידית, לא המתנה למועד הקבוצתי.

שאלות ותשובות

האם הדרכה מוקלטת או מקוונת נחשבת?

התקנות לא מקבעות פורמט, ולכן הדרכה מקוונת או מוקלטת לגיטימית כל עוד התוכן מתאים למאגר ויש תיעוד של צפייה ואישור הבנה. בארגונים מפוזרים זו הדרך המעשית ביותר.

מה קורה אם עובד מסרב להשתתף בהדרכה?

ההדרכה היא תנאי לקבלת הרשאה לפי התקנות, ולכן המשמעות המעשית היא שהגישה למידע לא תינתן או תושהה עד להשלמתה. מומלץ לעגן את הנקודה הזו בנוהל האבטחה ובנהלי משאבי אנוש.

האם מנהלים ובעלים חייבים בהדרכה?

כן, אם יש להם גישה למידע אישי — ובדרך כלל יש להם הרשאות הרחבות ביותר בארגון. בפועל זו הקבוצה שמדלגים עליה הרבה והיא גם המטרה המועדפת של תוקפי התחזות.

כמה זמן שומרים את תיעוד ההדרכות?

מומלץ לשמור לכל הפחות שני מועדי הדרכה אחורה ולכל אורך העסקתו של העובד, כדי שתוכלו להראות רזופות בדרישה התקופתית ולא רק את המועד האחרון.

האם צריך הדרכה נפרדת לכל מאגר?

לא בהכרח. אפשר הדרכה אחת שמכסה את כל המאגרים, אבל היא צריכה להתייחס בפועל לנהלים ולרמות האבטחה הרלוונטיות למשתתפים, ולא להישאר ברמה הכללית.

המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.