כשמדברים על דליפת מידע, הדמיון הולך מיד לתוקף חיצוני. בפועל, חלק גדול מהאירועים מתחיל בפנים — דרך משתמש קיים שאף אחד לא בדק מזמן. ניהול נכון של הרשאות גישה למאגר מידע הוא הבקרה הזולה והאפקטיבית ביותר שעסק יכול ליישם, והוא גם דרישה מפורשת בתקנות. מי שעדיין ממפה את חובותיו מוזמן להתחיל מבדיקת הציות לחוק הגנת הפרטיות.
מה התקנות דורשות בנושא הרשאות?
הדרישה המרכזית היא שהגישה תיגזר מהתפקיד, לא מהנוחות. תקנות הגנת הפרטיות (אבטחת מידע) קובעות שעל בעל מאגר לקבוע הרשאות למורשי גישה לפי הגדרות תפקיד, ושההרשאה לכל תפקיד תהיה בהיקף הדרוש לביצועו בלבד.
נוסף על כך, נדרשת רשימה מעודכנת — לעיתים מכונה "רשימת ההרשאות העדכנית" — שבה מרוכזים התפקידים בארגון, ההרשאות שניתנו לכל תפקיד, וזהות המורשים המאיישים אותם בפועל. זה מסמך חי — לא קובץ שנכתב פעם אחת בהקמת המערכת.
דרישה שלישית שרבים מפספסים: הדרכה. לפני שמורשה מקבל גישה למידע — או לפני שינוי בהיקף ההרשאות שלו — יש ליידע אותו בדבר חובותיו לפי החוק והתקנות ובדבר נהלי האבטחה הרלוונטיים.
מה הוא תיעוד גישות ומתי הוא נדרש?
תיעוד גישות הוא לוג אוטומטי שמתעד מי ניגש למאגר, מתי ומה עשה. במערכות הכפופות לרמת אבטחה בינונית או גבוהה, התקנות מחייבות מנגנון כזה כדי לאפשר ביקורת על הגישות.
מה צריך להירשם בלוג טוב:
| שדה | למה זה חשוב |
|---|---|
| זהות המשתמש | בלי משתמש אישי אין משמעות לשאר השדות |
| תאריך ושעה | מאפשר לשחזר רצף אירועים בבירור |
| רכיב המערכת שאליו ניגשו | מבחין בין גישה שגרתית לגישה חריגה |
| סוג הגישה והיקפה | קריאה, כתיבה או שליפה הם סיכונים שונים לגמרי |
| האם הגישה אושרה או נדחתה | רצף ניסיונות שנדחו הוא סימן מוקדם לתקיפה |
הרשות להגנת הפרטיות אף פרסמה מדריך פעולה בנושא שמירת קבצי התיעוד והלוגים, סימן לכך שזהו נושא שנמצא במוקד תשומת לבה. להבנת רמת האבטחה החלה עליכם, ראו את המדריך שלנו על קביעת רמת האבטחה של המאגר.
למה הרשאות מתנפחות לאורך זמן?
כי הארגון נותן גישה בקלות ומסיר אותה בקושי. התוצאה מוכרת לכל מי שבדק מערכת ותיקה: רשימת משתמשים שארוכה במונים ממספר העובדים בפועל. אלה המקרים השכיחים:
- עובדים שעזבו — החשבון נותר פעיל כי איש לא הודיע למחלקת המחשוב.
- העברות תפקיד — עובד עבר משירות לשיווק ושימר את הגישות משני התפקידים.
- חשבונות משותפים — משתמש אחד שכולם מכירים את הסיסמה שלו.
- ספקים ופרילנסרים — גישה שניתנה לפרויקט שהסתיים לפני שנה.
- הרשאות זמניות שנשארו — גישה שניתנה "לשבוע אחד" לפני שנתיים.
כל אחד מהמקרים האלה מגדיל את משטח התקיפה בלי לתרום דבר לעסק.
איך עושים סדר בהרשאות — תוכנית עבודה
מתחילים בצילום מצב וממשיכים לנוהל קבוע. סדר פעולות מעשי שעובד גם בעסק קטן:
- רשימת מערכות — כל מערכת שמחזיקה מידע על אנשים: CRM, הנהלת חשבונות, דיוור, אחסון קבצים, מערכת מצלמות.
- ייצוא רשימת משתמשים מכל מערכת והצלבה מול רשימת העובדים הפעילים.
- ביטול מידי של כל חשבון שלא מזוהה עם עובד פעיל או ספק פעיל.
- הגדרת תפקידים — לא לנהל הרשאות לפי שם פרטי אלא לפי תפקיד (נציג שירות, מנהל צוות, הנהלת חשבונות).
- עקרון המינימום — לכל תפקיד רק מה שדרוש. נציג שירות לא צריך לייצא את כל בסיס הלקוחות לאקסל.
- נוהל כניסה ועזיבה — מי פותח הרשאות לעובד חדש ומי סוגר אותן ביום הסיום.
- בקרה תקופתית — סקירת הרשאות מתוזמנת, לפחות פעם ברבעון.
האירוע הקריטי ביותר ברשימה הוא סעיף 6 — עזיבת עובד. מומלץ שסגירת ההרשאות תהיה חלק מטופס סיום העסקה מסודר, בדיוק כמו החזרת מחשב נייד או כרטיס כניסה.
מה לגבי ספקים חיצוניים?
ספק שמקבל גישה למאגר הוא לכל דבר מורשה גישה לעניין זה, וההרשאה שלו צריכה להיות מוגבלת בהיקף ובזמן, ומעוגנת בהסכם כתוב. פירוט מלא של הנושא נמצא במדריך שלנו על מיקור חוץ ומאגרי מידע.
איך זה נראה כשמגיע פיקוח?
בהליך פיקוח של הרשות להגנת הפרטיות, רשימת ההרשאות היא מהמסמכים הראשונים שנדרשים. הסיבה פשוטה: היא מגלה מיד אם הארגון מנהל את המאגר באמת או רק מחזיק אותו. ארגון שמציג רשימה מעודכנת, נוהל עזיבה מתועד ולוגים פעילים נמצא בעמדה אחרת לגמרי מארגון שמציג קובץ אקסל מלפני שלוש שנים. ראו גם מה נבדק בפיקוח רוחב.
שאלות ותשובות
האם עסק קטן חייב לנהל רשימת הרשאות?
דרישת ניהול ההרשאות לפי הגדרות תפקיד וניהול רשימה מעודכנת מופיעה בתקנות אבטחת המידע. היקף הבקרות הנוספות משתנה לפי רמת האבטחה של המאגר.
מה הבעיה בחשבון משותף לכל הצוות?
בלי משתמש אישי אי אפשר לדעת מי ניגש למידע ומתי. זה מרוקן מתוכן את התיעוד, מונע בירור אמיתי אחרי אירוע, ומקשה להגביל גישה כשעובד עוזב.
כל כמה זמן צריך לסקור הרשאות?
החוק לא קובע תדירות אחידה לכל סוגי המאגרים, אך הפרקטיקה המקובלת היא סקירה תקופתית קבועה, ובנוסף בדיקה אד-הוק בכל שינוי מבני או עזיבת עובד בכיר.
האם צריך להדריך עובדים לפני מתן גישה?
כן. התקנות קובעות שיש ליידע מורשה גישה בדבר חובותיו לפי החוק והתקנות ובדבר נהלי האבטחה, לפני קבלת הגישה או לפני שינוי בהיקףה.
מה עושים אם מגלים שעובד צפה במידע ללא צורך?
מדובר באירוע שדורש בירור: מתעדים, מצמצמים את ההרשאות, בודקים אם המידע הועתק או הופץ, ומעריכים אם מדובר באירוע אבטחת מידע שיש לטפל בו לפי הנוהל.
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
להמשך קריאה
- תקנות אבטחת מידע: רמת האבטחה של המאגר
- מיקור חוץ ומאגרי מידע
- אירוע אבטחת מידע: מתי מדווחים לרשות
- סקר סיכונים ומבדק חדירות
לקריאה נוספת ומקורות
- תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 — תקנה 8: ניהול הרשאות גישה; תקנה 10: בקרה ותיעוד גישה (ויקיטקסט)
- הרשות להגנת הפרטיות — הנחיות ועמדות רשמיות
- המדריך המלא לתיקון 13 לחוק הגנת הפרטיות
מה עוד קובע את רמת החשיפה של המאגר
ניהול הרשאות הוא שכבה אחת בלבד. שלוש השכבות שמשלימות אותה:
- הסכם עיבוד מידע (DPA) עם ספק — ברגע שספק חיצוני מקבל גישה למאגר, ההסכם מולו הוא שמגדיר מה מותר לו לעשות במידע ומי אחראי אם משהו דולף.
- הצפנת מידע אישי בעסק: מתי זו חובה — הרשאה שנפרצה מסוכנת פחות כשהמידע עצמו מוצפן באחסון ובמעבר.
- אנונימיזציה של מידע אישי — מידע שעבר אנונימיזציה אמיתית יוצא מתחולת החוק, וכך מצטמצם גם היקף ההרשאות שצריך לנהל מלכתחילה.
זיהוי ואימות משתמשים במאגר
