עסקים קטנים ובינוניים עובדים כמעט תמיד עם ספקים חיצוניים, ולכן מיקור חוץ מאגר מידע הוא אחד הנושאים המעשיים ביותר בעולם הציות — וגם אחד המוזנחים ביותר. אנשים משקיעים מאמץ בהגנה על המערכות שלהם, ובאותה נשימה שולחים קובץ אקסל עם רשימת לקוחות מלאה לספק חיצוני בלי שום הסדרה. אם אתם בונים תשתית ציות לחוק הגנת הפרטיות, מפת הספקים היא אחד הצעדים הראשונים.
מתי התקנה בכלל חלה?
התקנה חלה כאשר בעל מאגר מתקשר עם גורם חיצוני לצורך קבלת שירות הכרוך במתן גישה למאגר המידע. המבחן הוא הגישה — לא סוג החוזה ולא גודל הספק.
זה תופס גם במקרים שלא נוהגים לחשוב עליהם כמיקור חוץ:
- פרילנסר שמתחזק את האתר ויש לו גישת מנהל.
- משרד הנהלת חשבונות שמקבל קבצי לקוחות ועובדים.
- סוכנות שיווק שמנהלת את רשימת הדיוור.
- חברת תמיכה טכנית עם גישה מרחוק לעמדות ולשרתים.
- מוקד טלפוני חיצוני שרואה פרטי לקוחות במערכת.
מה בודקים לפני ההתקשרות?
לפני שמתקשרים נדרשת בדיקה מקדמית של הסיכונים הכרוכים בה. זו אינה בדיקה טכנית מסובכת — בעסק קטן היא יכולה להיות דף אחד שעונה על כמה שאלות מרכזיות. הרשות להגנת הפרטיות אף הציעה במדריך הפעולה שלה נוסח של שאלוני בדיקה לספקי מיקור חוץ.
| שאלה | למה זה משנה |
|---|---|
| אילו סוגי מידע הספק יראה? | קובע אם מדובר במידע רגיש ומשפיע על רמת הבקרות הנדרשת |
| מה ההיקף המינימלי שהוא צריך? | עקרון המידתיות — אין סיבה לתת גישה רחבה מהנדרש |
| כמה מאנשי הספק ייגשו? | משפיע על ספירת מורשי הגישה ועל סיווג המאגר |
| האם הספק מעביר הלאה לקבלן משנה? | שרשרת אספקה מאריכה את רשימת הגורמים שנוגעים במידע |
| איפה המידע יאוחסן? | משפיע על הבקרות ועל היכולת לשחזר או למחוק בסיום |
| מה קורה בסיום ההתקשרות? | הנקודה שהכי נשכחת — מידע שנשאר אצל ספק לשעבר |
מה צריך להופיע בהסכם עם הספק?
ההסכם הוא הכלי שהופך את הציפיות למחויבות. מדריך הפעולה של הרשות מפרט מהו תוכן ההסכם המתחייב מכוח התקנה. בלי להיכנס לנוסח משפטי, אלה הנושאים שאסור שייעדרו:
- הגדרת המטרה — לשם מה בדיוק ניתנת הגישה, ואיסור על שימוש אחר.
- היקף המידע — אילו סוגי מידע ואילו שדות, לא "הכול".
- משך ההתקשרות — ומה קורה למידע כשהיא מסתיימת.
- איסור העברה — האם הספק רשאי להעביר את המידע הלאה, ובאילו תנאים.
- חובת דיווח — הספק מדווח מידית על אירוע אבטחה שנוגע למידע שלכם.
- השבה ומחיקה — מה מוחזר, מה נמחק, ואיך מאשרים שזה בוצע.
- זכות ביקורת — האפשרות לבדוק שהספק עומד במה שהתחייב.
שימו לב שסעיף בחוזה המצהיר סתמית "הספק ישמור על סודיות" אינו ממלא את התפקיד. סודיות היא התחייבות כללית; מה שנדרש כאן הוא הסדרה קונקרטית של הטיפול במידע.
מה עושים אחרי שההסכם נחתם?
החתימה אינה סוף התהליך. הבקרה השוטפת היא מה שהופך את ההסדר מנייר למציאות. בפראקטיקה מדובר בכמה פעולות פשוטות שנעשות בקצב קבוע.
בקרה ברמת ההרשאות
עברו אחת לתקופה על רשימת החשבונות הפעילים ובדקו שאין שם אנשים שעזבו את הספק או פרויקטים שהסתיימו. זו הבדיקה שמגלה הכי הרבה בהכי פחות מאמץ.
תיעוד ההתקשרויות
נהלו רשימה פשוטה של כל הספקים שנוגעים במידע אישי: מי, למה, איזה מידע, מתי נבדק לאחרונה. רשימה כזו היא המסמך הראשון שתבוקש להציג בכל בירור — והיא גם הכלי שיעזור לכם להגיב מהר אם ספק סופג אירוע אבטחה. השלימו את התמונה עם נוהל אירוע אבטחת מידע מסודר.
נקודת הסיום
סיום התקשרות הוא רגע קריטי. נדרש לוודא שהגישה נשללה בפועל, שהמידע הושב או נמחק לפי מה שסוכם, ושהדבר תועד. חשבון שנשאר פעיל אצל ספק לשעבר הוא חשיפה שנמשכת בלי שאף אחד מנהל אותה.
אילו טעויות חוזרות אצל עסקים קטנים?
הטעויות בתחום הזה אינן טכניות בעיקרן — הן נובעות מהרגלי עבודה שנוחים שהשתרשו לפני שהרגולציה הודקה. הכרת הדפוסים הנפוצים מקצרת את הדרך לתיקון.
שליחת קובץ במקום מתן גישה מוגבלת
קובץ שנשלח בדוא"ל יוצא משליטתכם לחלוטין: אי אפשר לשלול אותו, לבקר מי פתח אותו או לדעת לאן הועתק. גישה מבוקרת למערכת עדיפה כמעט תמיד על העברת עותק.
חשבון משותף לכל אנשי הספק
כשכולם נכנסים עם אותן האשרות, אין דרך לדעת מי עשה מה ומתי. זה מרוקן מתוכן כל מנגנון תיעוד, והופך בירור של אירוע למשימה כמעט בלתי אפשרית.
הרשאות רחבות מהנדרש
ספק שצריך לעדכן עיצוב באתר אינו זקוק לגישה לטבלת הלקוחות, ורואה חשבון אינו זקוק להיסטוריית הגלישה של המשתמשים. מתן הרשאות לפי מה שנוח להגדיר ולא לפי מה שנדרש הוא המקור הנפוץ ביותר לחשיפה מיותרת.
הנחה שהספק "בודאי מאובטח"
גודל הספק או המוניטין שלו אינם תחליף לבדיקה. שאלו את השאלות וקבלו תשובות בכתב — גם אם מדובר בספק שאתם עובדים איתו שנים. תשובה בכתב היא גם הבסיס שלכם להראות שפעלתם בסבירות אם משהו ישתבש בהמשך.
שאלות ותשובות
האם האחריות עוברת לספק?
לא. בעל המאגר נשאר אחראי לעמידה בדרישות גם כשהמידע מוחזק אצל גורם חיצוני. ההסכם מסדיר את היחסים ביניכם, אבל אינו מעביר את האחריות הרגולטורית.
גם שירות SaaS נחשב מיקור חוץ?
אם השירות מעבד או מאחסן מידע אישי עבורכם, השאלות היסודיות זהות. הדגש עובר לבחינת תנאי השירות וההגדרות שאתם שולטים בהן.
מה אם הספק מסרב לחתום על נספח?
זהו נתון משמעותי לשיקולכם. המשמעות המעשית היא שהסיכון נשאר אצלכם בלי אפשרות לבקרה או לחזרה. שווה לבחון חלופות או לצמצם את היקף המידע שנמסר.
כל כמה זמן לבדוק ספקים קיימים?
אין קצב אחיד שמתאים לכל ארגון. בדיקה שנתית היא נקודת התחלה סבירה לרוב העסקים, ובדיקה נוספת בכל שינוי מהותי בהיקף השירות.
מה עושים עם ספקים ותיקים שאין להם הסכם?
ממפים אותם, מסמנים את בעלי הגישה הרחבה ביותר, ומסדירים מהם ואילך. אין צורך לעשות הכל בבת אחת — עדיף סדר עדיפויות לפי רגישות המידע על פני עבודה שלא מסתיימת.
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
מה בדיוק קובעת תקנה 15 לגבי ספקים חיצוניים?
תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 מחייבת בעל מאגר שמתקשר עם גורם חיצוני לשירות הכרוך בגישה למאגר לבחון את סיכוני אבטחת המידע לפני ההתקשרות, ולקבוע במפורש בהסכם, בין היתר: איזה מידע הספק רשאי לעבד ולאילו מטרות, לאילו מערכות הוא רשאי לגשת, איזה סוג עיבוד מותר לו, ומה משך ההתקשרות — כולל השבת המידע והשמדתו בסיומה. אם הספק נותן את השירות באמצעות גורם נוסף, עליו לכלול את אותם נושאים בהסכם שלו עם אותו גורם.
התקנה מחייבת גם את הספק לדווח לבעל המאגר אחת לשנה לפחות על אופן ביצוע חובותיו, ולהודיע לו במקרה של אירוע אבטחה (תקנה 15(א)(2)(ח)). בעל המאגר נדרש לפרט את ההתקשרות בנוהל האבטחה ולנקוט אמצעי בקרה ופיקוח על עמידת הספק בהסכם (תקנה 15(א)(3)–(4)). ארגון עם כמה מאגרים באותה רמת אבטחה רשאי להסתפק בהסכם אחד (תקנה 15(ב)), והתקנה אינה חלה על התקשרות עם יחיד (תקנה 15(ג)).
מקורות רשמיים
- תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 — הנוסח המלא, כולל תקנה 15
- הרשות להגנת הפרטיות — הנחיות ומדריכים רשמיים
להמשך קריאה: ניהול הספק בפועל
- הצהרת אבטחת מידע: מה זה, מי צריך אותה ומה חייב להופיע בה — המסמך שכדאי לדרוש מספק לפני שנותנים לו גישה.
- הרשאות גישה למאגר מידע: איך מונעים דליפה מבפנים — איך מגבילים את הגישה של ספק רק למה שההסכם מתיר.
- סקר סיכונים ומבדק חדירות: מי חייב לבצע וכל כמה זמן — הכלים לבחינת הסיכונים שהתקנה דורשת לפני ההתקשרות.
- תיקון 13 לחוק הגנת הפרטיות — המדריך המלא לבעלי אתרים — התמונה המלאה של חובות הציות.
