נקודות עיקריות
- אין חובה כללית להגיש טופס הצהרה שנתי לרשות להגנת הפרטיות. מי שמחפש את "הטופס" מחפש משהו שלא קיים בצורה הזאת.
- מה שכן מחוייב לפי תקנות הגנת הפרטיות (אבטחת מידע), תשע"ז-2017, הוא מסמך הגדרות מאגר מעודכן ונוהל אבטחת מידע כתוב.
- ארגון שמחזיק כמה מאגרים באותה רמת אבטחה רשאי לרכז אותם בנוהל אבטחה אחד — חסכון משמעותי לעסקים קטנים.
- הדרישה המעשית הנפוצה ביותר מגיעה מלקוחות, לא מהרגולטור — גופים גדולים מבקשים הצהרת אבטחה מכל ספק לפני התקשרות.
- הצהרה שאינה נכונה גרועה מהעדר הצהרה: היא הופכת למסמך שניתן להציג נגדכם בדיעבד.
תוכן העניינים
- מהי הצהרת אבטחת מידע ומה היא אינה?
- מי באמת צריך להפיק הצהרה כזו?
- מה ההבדל בין שלושת המסמכים?
- מה חייב להופיע בהצהרת אבטחת מידע?
- איך מרכיבים אותה צעד אחר צעד?
- כל כמה זמן מעדכנים אותה?
- שאלות נפוצות
הצהרת אבטחת מידע היא מסמך מרוכז שמתאר את מצב האבטחה של ארגון בנקודת זמן נתונה: איזה מידע הוא מחזיק, איך הוא מוגן, מי אחראי עליו, ומה נעשה כאשר משהו משתבש. היא שימושית בשלושה הקשרים: מול הרגולטור, מול ההנהלה, ומול לקוחות שדורשים לדעת על מי הם סומכים. מי שמתחיל מאפס ימצא בסיס נוח במדריך תיקון 13 לבעלי עסקים ואתרים, ויחזור לכאן לשלב המסמך.
מהי הצהרת אבטחת מידע ומה היא אינה?
הצהרת אבטחת מידע היא הצהרה כתובה של ארגון על אמצעי האבטחה המופעלים בפועל על מאגרי המידע שלו — והיא אינה תחליף לבקרות עצמן. הבלבול הנפוץ נובע מכך שהמונח משמש לתאר שלושה מסמכים שונים לגמרי, שלכל אחד מהם קהל יעד אחר ומקור מחייב אחר. הרבה עסקים מגלים את המונח רק כשלקוח גדול מבקש מהם "למלא הצהרת אבטחה" כתנאי להתקשרות, ואז מתברר שאין להם את המידע הבסיסי שנדרש כדי למלא אותה.
שלושה דברים הצהרה כזו אינה: היא אינה תעודה או אישור שמונפק על ידי גורם מוסמך; היא אינה בדיקה טכנית שמחליפה סקר סיכונים; והיא אינה מגנה על הארגון אם התוכן שלה אינו נכון. על ההבדל בינה לבין בדיקות טכניות ניתן לקרוא במאמר על סקר סיכונים ומבדק חדירות — מי חייב לבצע וכל כמה זמן.
מי באמת צריך להפיק הצהרה כזו?
כל ארגון שמנהל מאגר מידע חייב להחזיק מסמך הגדרות מאגר מעודכן ונוהל אבטחת מידע כתוב, לפי תקנות הגנת הפרטיות (אבטחת מידע), תשע"ז-2017 — ואלה הלבה של כל הצהרת אבטחה רצינית. היקף הדרישות משתנה לפי רמת האבטחה של המאגר, שנקבעת לפי קריטריונים כמו מספר בעלי ההרשאה, רגישות המידע, והאם מטרת המאגר היא איסוף מידע לצורך מסירה לצד שלישי.
נקודה מעשית שחוסכת הרבה עבודה לעסקים קטנים: ארגון שבבעלותו כמה מאגרים הנמצאים באותה רמת אבטחה רשאי לקבוע נוהל אבטחה אחד שיחול על כולם, במקום מסמך נפרד לכל מאגר. הדרך לקבוע את הרמה הנכונה מפורטת במאמר על איך קובעים את רמת האבטחה של המאגר.
מה ההבדל בין שלושת המסמכים?
שלושת המסמכים נבדלים במקור החובה, בקהל היעד וברמת הפירוט — ונהוג לבלבל ביניהם משום שכולם שואבים מאותו מאגר עובדות. הטבלה מסדרת את ההבדלים:
| המסמך | מקור החובה | למי מיועד | מה בו |
|---|---|---|---|
| מסמך הגדרות מאגר | תקנות אבטחת מידע | פנימי / רגולטור | מבנה המאגר, סוגי מידע, מטרות, מערכות |
| נוהל אבטחת מידע | תקנות אבטחת מידע | עובדים ומנהלים | כללי ההרשאות, הגישה, הגיבוי והדיווח |
| דיווח פנימי להנהלה | נוהל פנימי / ממשל תאגידי | הנהלה ודירקטוריון | מצב הציות, פערים פתוחים, אירועים שהיו |
| הצהרת ספק | דרישה חוזית של לקוח | הלקוח העסקי | תמצית הבקרות + התחייבויות |
שימו לב שהמסמך הרביעי — הצהרת הספק — הוא היחיד שמקורו חוזה ולא רגולציה, ובדיוק לכן הוא השכיח ביותר בפרקטיקה. מה צריך לדרוש מספק מהצד השני של המתרס מפורט במאמר על מיקור חוץ ומאגרי מידע.
מה חייב להופיע בהצהרת אבטחת מידע?
הצהרה שימושית עונה על שמונה נושאים: אילו מאגרים קיימים, מי אחראי, איך מנוהלות הרשאות, איך מוגן המידע במנוחה ובמעבר, איך מתועדות גישות, איך מבוצע גיבוי ונבדק שחזור, אילו ספקים נוגעים במידע, ומה קורה באירוע אבטחה.
מה לא לכתוב בה
שתי טעויות חוזרות. הראשונה היא ניסוח שאפתני בזמן עתיד — "החברה תפעיל הצפנה" במקום "מופעלת הצפנה". השנייה היא פירוט טכני עודף — שמות שרתים, גרסאות מדויקות או כתובות פנימיות — שהופך את המסמך עצמו לנכס רגיש שעובר בדוא"ל. הצהרה טובה מתארת בקרות ולא ארכיטקטורה.
איך מרכיבים אותה צעד אחר צעד?
הדרך המהירה להרכיב הצהרה נכונה היא לאסוף קודם את העובדות מהמערכות ורק אחר כך לנסח — ולא להפך.
- הוציאו רשימת מערכות. כל מערכת שמחזיקה מידע על אנשים, כולל ענן וגיליונות אלקטרוניים.
- צרפו לכל מערכת אחראי ומטרה. בלי בעלות ברורה אין מי שיתחזק את המסמך.
- שלפו את רשימת ההרשאות בפועל. לא מה שאמור להיות — מה שקיים במערכת היום.
- בדקו את הגיבוי בשחזור אמיתי. גיבוי שלא שוחזר מעולם אינו עובדה שראוי להצהיר עליה.
- רשמו את הספקים. מי נוגע במידע, לאיזו מטרה, ומה ההסכם מולו אומר.
- נסחו בזמן הווה. כל משפט צריך לתאר מצב קיים שניתן להראות.
- החתימו גורם מוסמך. מי שחותם צריך להיות מי שיכול לעמוד מאחורי התוכן.
- קבעו תאריך בדיקה חוזרת. מסמך בלי תאריך רענון מתיישן בתוך חודשים.
כל כמה זמן מעדכנים אותה?
הכלל המעשי הוא רענון אחת לשנה ועדכון מיידי בכל שינוי מהותי — מערכת חדשה, ספק חדש, שינוי בהיקף המידע או אירוע אבטחה. הסיבה פשוטה: הערך הראייתי של המסמך תלוי בכך שהוא משקף מציאות. מסמך בן שלוש שנים שמתאר מערכות שכבר הוחלפו עשוי להזיק יותר מאשר לעזור.
נקודת הבדיקה הכדאית ביותר היא הגיבוי: הרבה הצהרות מצהירות על גיבוי יומי שמעולם לא נוסה בשחזור. מה שהתקנות דורשות בפועל בנושא מפורט במאמר על גיבוי ושחזור מידע לפי תקנות אבטחת המידע.
שאלות נפוצות
האם חייבים להגיש הצהרת אבטחת מידע לרשות להגנת הפרטיות?
אין חובה כללית החלה על כל עסק להגיש טופס הצהרה שנתי לרשות. מה שנדרש הוא להחזיק את המסמכים שהתקנות מחייבות ולהציג אותם כשנדרש. בנוסף, קיימות חובות דיווח נפרדות בנסיבות מסוימות, ובראשן דיווח על אירוע אבטחה חמור.
מה האורך הנכון של המסמך?
אין אורך מחייב. מסמך של שלושה עד שישה עמודים שמכסה את שמונת הנושאים עדיף על מסמך בן עשרים עמודים שאיש לא מתחזק. המבחן הוא אם קורא חיצוני מבין מה קורה בארגון.
מי צריך לחתום על ההצהרה?
בעסק קטן זה יהיה בד"כ הבעלים או מנהל המערכות; בארגון גדול יותר הגורם האחראי על אבטחת מידע בשיתוף עם הממונה על הגנת הפרטיות. החתימה משמעותה לקיחת אחריות על התוכן, ולכן היא לא צריכה להיות טכסית.
האם הצהרה מחליפה מבדק חדירות?
לא. הצהרה מתעדת מה קיים; מבדק חדירות בודק אם מה שקיים עומד בלחץ. שניהם משלימים זה את זה, ובמקרים מסוימים ממצאי המבדק הם בדיוק מה שמעדכן את ההצהרה.
לקוח דורש הצהרה ואין לנו — מאיפה מתחילים?
מתחילים ממיפוי המערכות וההרשאות, כי בלעדיהם אין מה להצהיר. ברוב המקרים עסק קטן מסוגל להשלים את השלבים הבסיסיים תוך שבועות, בתנאי שלא מנסים לכתוב מסמך מושלם בניסיון אחד.
לקריאה נוספת ומקורות
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
