מסמך הגדרות המאגר: מה חייב להיכלל בו ומי חייב להחזיק אותו

נקודות עיקריות

• תקנה 2(א) מונה שבעה רכיבים שחייבים להופיע במסמך הגדרות המאגר, מתיאור פעולות האיסוף ועד שמות האחראים.
• החובה מוטלת על בעל המאגר, לא על הספק שמחזיק את המידע עבורו.
• יש לעדכן את המסמך בכל שינוי משמעותי ולבחון אחת לשנה אם נדרש עדכון (תקנה 2(ב)).
• אחת לשנה צריך גם לבדוק אם המאגר מחזיק מידע רב מהנדרש למטרותיו (תקנה 2(ג)).
• גם ארגון המוסמך ל-ISO 27001 חייב במסמך הגדרות מאגר לפי הנחיית הרשות 3/2018.

תוכן עניינים

• מהו מסמך הגדרות המאגר?
• מי חייב להחזיק מסמך הגדרות מאגר?
• מה חייב להיכלל במסמך הגדרות המאגר?
• מתי חובה לעדכן את המסמך?
• במה הוא שונה מנוהל אבטחת מידע וממסמך מבנה המאגר?
• איך מכינים מסמך הגדרות מאגר צעד אחר צעד?
• אילו טעויות נפוצות כדאי להימנע מהן?
• שאלות ותשובות

מסמך הגדרות המאגר הוא מסמך חובה שבו בעל מאגר מידע מגדיר את מהות המאגר: אילו פעולות איסוף ושימוש מתבצעות בו, לאילו מטרות, אילו סוגי מידע הוא מכיל, לאן המידע מועבר, מהם הסיכונים העיקריים ומי האחראים עליו. זה המסמך הראשון שמבקר, יועץ או מפקח של הרשות להגנת הפרטיות יבקשו לראות, כי כל שאר חובות אבטחת המידע נגזרות ממנו: אי אפשר לקבוע רמת אבטחה, הרשאות או מדיניות שמירה בלי לדעת מה יש במאגר ולמה. מערכת הציות לחוק הגנת הפרטיות של Privorify בנויה בדיוק סביב המיפוי הזה.

מהו מסמך הגדרות המאגר?

מסמך הגדרות המאגר הוא תיעוד כתוב של "תעודת הזהות" של מאגר מידע, שנדרש לפי תקנה 2 לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017. הוא מתאר את המאגר מנקודת מבט עסקית ומשפטית: מה נאסף, ממי, למה, מה עושים בו ועם מי חולקים אותו. המטרה היא שבעל המאגר יכיר את המידע שבאחריותו לפני שהוא מחליט איך להגן עליו.

בפועל, מסמך טוב עונה על שאלה אחת פשוטה: אם מחר יקרה אירוע אבטחה, האם הארגון יודע בדיוק איזה מידע היה בסיכון, של מי, ומי אמור לטפל? ארגון שאין לו מסמך כזה מגלה את התשובות בזמן אמת, בלחץ, ולעיתים באיחור. לכן המסמך הוא גם כלי ניהולי ולא רק דרישה פורמלית.

חשוב להבחין: מסמך הגדרות המאגר אינו מדיניות הפרטיות שמתפרסמת באתר. מדיניות הפרטיות פונה ללקוחות ומסבירה להם מה נעשה במידע שלהם; מסמך הגדרות המאגר הוא מסמך פנימי שמשמש את הארגון ואת הגורמים המפקחים. שני המסמכים צריכים להיות עקביים זה עם זה, ולכן כדאי לעדכן אותם יחד. על המסמך הציבורי ראו מה חייב להופיע במדיניות פרטיות לאתר.

מי חייב להחזיק מסמך הגדרות מאגר?

כל בעל מאגר מידע חייב להחזיק מסמך הגדרות מאגר, בלי קשר לגודל העסק או לרמת האבטחה של המאגר. תקנה 2 אינה מוגבלת לרמת אבטחה בינונית או גבוהה, ולכן היא חלה גם על מאגר ברמה בסיסית — למשל רשימת לקוחות של חנות, מאגר מועמדים לעבודה או רשימת תורמים של עמותה.

בעל המאגר הוא מי שקובע את מטרות העיבוד. כשעסק משתמש ב-CRM בענן, במערכת דיוור או בתוכנת הנהלת חשבונות, הספק הוא לרוב "מחזיק" שמעבד מידע עבור העסק — אבל החובה להכין את מסמך ההגדרות נשארת אצל העסק. שם המחזיק צריך להופיע במסמך, ולצד זה נדרש הסדר חוזי עם הספק; על כך ראו מה נדרש לפני שנותנים לספק גישה למאגר.

ארגון עם כמה מאגרים צריך לתעד כל מאגר, אם כי מקובל לרכז את התיעוד במסמך אחד עם פרק לכל מאגר. השלב המקדים הוא לדעת אילו מאגרים קיימים בכלל — בדיוק מה שמתואר במדריך מיפוי מאגרי מידע בארגון.

מה חייב להיכלל במסמך הגדרות המאגר?

תקנה 2(א) לתקנות אבטחת המידע מונה שבעה רכיבים שבעל המאגר חייב להגדיר במסמך: תיאור פעולות האיסוף והשימוש, מטרות השימוש, סוגי המידע, העברות לחו״ל, עיבוד באמצעות מחזיק, הסיכונים העיקריים ודרכי ההתמודדות, ושמות האחראים. הטבלה הבאה מפרטת כל רכיב ומה כדאי לכתוב בו בפועל.

למה סוגי המידע הם הרכיב הקריטי?

סוגי המידע קובעים כמעט כל דבר אחר. מאגר שמכיל מידע בעל רגישות מיוחדת — למשל מידע רפואי או פיננסי — מקבל רמת אבטחה גבוהה יותר, ומכאן דרישות מחמירות יותר. לכן כדאי לסווג את סוגי המידע בזהירות ולא להסתפק ב"פרטים אישיים". על הסיווג ראו מה נכנס להגדרה של מידע בעל רגישות מיוחדת, ועל השלב הבא — איך קובעים את רמת האבטחה של המאגר.

איך מתארים סיכונים בלי לכתוב מסמך תיאורטי?

רכיב הסיכונים דורש שני דברים: לזהות את הסיכונים העיקריים ולציין את דרכי ההתמודדות איתם. התיאור צריך להיות קונקרטי למאגר: גישה של עובד שעזב, ספק שמחזיק עותק של המידע, סיסמאות משותפות, הורדת קבצים למחשב אישי. לכל סיכון רושמים אמצעי מענה אחד לפחות. מסמך שמעתיק רשימת סיכונים כללית מהאינטרנט לא ישכנע מבקר, ובעיקר לא יעזור לארגון.

מתי חובה לעדכן את מסמך הגדרות המאגר?

לפי תקנה 2(ב), בעל המאגר חייב לעדכן את מסמך ההגדרות בכל פעם שחל שינוי משמעותי, ובנוסף לבחון אחת לשנה אם נדרש עדכון בעקבות שינויים טכנולוגיים, שינויים ארגוניים או אירועי אבטחה. המשמעות: המסמך אינו נכתב פעם אחת ונשכח במגירה, אלא מתעדכן יחד עם העסק.

דוגמאות לשינוי משמעותי: מעבר ל-CRM חדש, התחלת שימוש בכלי בינה מלאכותית שמקבל מידע על לקוחות, פתיחת קו שירות חדש שאוסף סוג מידע נוסף, העברת שרתים לחו״ל או החלפת ספק מרכזי. בכל אחד מהמקרים האלה משהו מתוך שבעת הרכיבים משתנה.

תקנה 2(ג) מוסיפה חובה נפרדת: אחת לשנה בעל המאגר יבחן אם המידע שבמאגר אינו רב מהנדרש למטרות המאגר. זה עיקרון צמצום המידע בפועל. אם מתברר שנשמרים נתונים ישנים בלי צורך, צריך להחליט מה מוחקים — וכאן נכנסת מדיניות שמירה ומחיקה של מידע אישי.

במה מסמך הגדרות המאגר שונה מנוהל אבטחת מידע וממסמך מבנה המאגר?

שלושה מסמכים בתקנות אבטחת המידע משלימים זה את זה: מסמך הגדרות המאגר (תקנה 2) מתאר מה יש במאגר ולמה, מסמך מבנה המאגר ורשימת המצאי (תקנה 5) מתארים את התשתית הטכנית, ונוהל אבטחת המידע (תקנה 4) קובע איך מגנים על המאגר. הבלבול ביניהם נפוץ, והטבלה מסכמת את ההבדלים.

הסדר ההגיוני הוא קודם הגדרות, אחר כך מבנה, ורק בסוף נוהל. לא ניתן לכתוב נוהל הרשאות אם לא ברור אילו סוגי מידע קיימים ומי צריך גישה אליהם. מי שצריך להצהיר על עמידה בתקנות מול לקוח או מכרז יזדקק לשלושתם; ראו גם הצהרת אבטחת מידע: מה חייב להופיע בה.

איך מכינים מסמך הגדרות מאגר צעד אחר צעד?

הכנת מסמך הגדרות מאגר מתחילה במיפוי המאגר ומסתיימת בקביעת מועד לבחינה שנתית; בעסק קטן אפשר להשלים אותה בכמה שעות עבודה ממוקדות. אלה השלבים המעשיים:

1. מפו את המאגר: אילו מערכות מחזיקות את המידע ומאילו מקורות הוא נאסף.
2. תארו את פעולות האיסוף והשימוש ואת מטרות השימוש במידע.
3. סווגו את סוגי המידע לפי התוספת הראשונה לתקנות וסמנו מידע רגיש.
4. פרטו העברות מידע לחו״ל ועיבוד באמצעות מחזיקים (ספקים).
5. זהו את הסיכונים העיקריים ורשמו לכל סיכון דרך התמודדות.
6. רשמו את שמות מנהל המאגר, המחזיק והממונה על אבטחת מידע אם מונה.
7. קבעו מועד לבחינה שנתית של המסמך ושל היקף המידע הנשמר.

טיפ מעשי: בשלב 1 כדאי לעבור על רשימת התשלומים החודשיים של העסק לספקי תוכנה. כמעט כל מנוי SaaS הוא מערכת שמחזיקה מידע אישי כלשהו, וזו הדרך המהירה ביותר לגלות מאגרים ומחזיקים שנשכחו.

אילו טעויות נפוצות כדאי להימנע מהן?

הטעויות הנפוצות במסמכי הגדרות מאגר הן תבנית גנרית שלא הותאמה, השמטת ספקים, אי-עדכון אחרי שינוי מערכות, ותיאור מטרות רחב מדי. כל אחת מהן הופכת את המסמך לחסר ערך דווקא ברגע שצריך אותו.

• תבנית מועתקת: מסמך שמתאר "מאגר לקוחות" באופן כללי בלי שמות מערכות וספקים לא ישקף את המציאות.
• ספקים חסרים: כלי דיוור, מערכת סליקה, מוקד טלפוני או כלי AI שמקבלים מידע על לקוחות הם מחזיקים שצריכים להופיע במסמך.
• מטרות עמומות: "שיפור השירות" אינה מטרה מספקת. מטרות צריכות להיות מוגדרות כך שאפשר לבדוק אם שימוש מסוים חורג מהן.
• מסמך קפוא: מסמך שנכתב לפני שלוש שנים ולא עודכן מאז אינו עומד בתקנה 2(ב).
• אין בעלים: אם לא ברור מי אחראי לעדכן את המסמך, הוא לא יתעדכן.

נקודה נוספת: הנחיית הרשות להגנת הפרטיות מס׳ 3/2018, שעוסקת בארגונים המוסמכים לתקן ISO/IEC 27001, מונה את תקנה 2 כאחת התקנות שארגון מוסמך חייב לקיים במקביל להסמכה. כלומר, גם תקן בינלאומי מלא אינו מחליף את מסמך ההגדרות. לסקירת כלל הדרישות ראו המדריך המלא לתיקון 13 לבעלי אתרים.

סיכום

• מסמך הגדרות המאגר הוא חובה לכל בעל מאגר מידע לפי תקנה 2 לתקנות אבטחת המידע.
• הוא כולל שבעה רכיבים: איסוף ושימוש, מטרות, סוגי מידע, העברות לחו״ל, מחזיקים, סיכונים ודרכי התמודדות, ושמות האחראים.
• מעדכנים אותו בכל שינוי משמעותי ובוחנים אותו אחת לשנה, כולל בדיקה שלא נשמר מידע עודף.
• הוא הבסיס לנוהל אבטחת המידע ולקביעת רמת האבטחה, ולכן כדאי להתחיל ממנו.

שאלות ותשובות

האם עסק קטן חייב במסמך הגדרות מאגר?

כן. תקנה 2 לתקנות הגנת הפרטיות (אבטחת מידע) חלה על כל בעל מאגר מידע, בלי קשר לרמת האבטחה של המאגר. גם מאגר ברמת אבטחה בסיסית, כמו רשימת לקוחות של עסק קטן, צריך מסמך הגדרות. בעסק קטן המסמך יכול להיות קצר, אבל הוא חייב לכסות את כל הרכיבים שהתקנה מונה.

מי אחראי להכין את מסמך הגדרות המאגר?

החובה מוטלת על בעל המאגר, כלומר הגוף שקובע את מטרות העיבוד. אפשר להיעזר ביועץ, בממונה על אבטחת מידע או בספק, אבל האחריות להחזיק מסמך מעודכן נשארת אצל בעל המאגר.

כל כמה זמן צריך לעדכן את מסמך הגדרות המאגר?

לפי תקנה 2(ב) יש לעדכן את המסמך בכל שינוי משמעותי, ובנוסף לבחון אחת לשנה אם נדרש עדכון בעקבות שינויים טכנולוגיים, ארגוניים או אירועי אבטחה. תקנה 2(ג) מוסיפה בחינה שנתית של השאלה אם המאגר מחזיק מידע רב מהנדרש למטרותיו.

מה ההבדל בין מסמך הגדרות המאגר לנוהל אבטחת המידע?

מסמך הגדרות המאגר מתאר מה יש במאגר, למה הוא משמש, לאן המידע זורם, מה הסיכונים ומי אחראי. נוהל אבטחת המידע לפי תקנה 4 קובע איך מגנים על המאגר בפועל: הרשאות, הגנה פיזית, טיפול באירועים ועוד. הנוהל נשען על מסמך ההגדרות.

האם הסמכה ל-ISO 27001 פוטרת ממסמך הגדרות מאגר?

לא. הנחיית הרשות להגנת הפרטיות מס׳ 3/2018 קובעת שארגון המוסמך לתקן ייחשב כמקיים את התקנות רק אם הוא ממלא במקביל כמה תקנות, ותקנה 2 היא הראשונה ברשימה. לכן גם ארגון מוסמך צריך מסמך הגדרות מאגר.

לקריאה נוספת ומקורות

• נוסח תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017
• הרשות להגנת הפרטיות — עמוד תקנות אבטחת מידע
• הנחיית הרשות להגנת הפרטיות מס׳ 3/2018 — ארגונים המוסמכים לתקן ISO/IEC 27001

המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.

להמשך קריאה

• תיקון 13 לחוק הגנת הפרטיות — המדריך המלא לבעלי אתרים — המדריך המלא — איפה מסמך הגדרות המאגר נכנס בתמונה הכוללת.
• תקנות אבטחת מידע: איך קובעים את רמת האבטחה של המאגר — רמת האבטחה קובעת אילו מסמכים נוספים נדרשים מעבר למסמך ההגדרות.
• רישום מאגר מידע אחרי תיקון 13: מי חייב ומי רק מודיע — מי חייב לרשום מאגר ומי רק מודיע — השאלה שקודמת למסמך.
• מיפוי מאגרי מידע בארגון: הצעד הראשון לעמידה בתיקון 13 — הצעד שלפני: לדעת אילו מאגרים קיימים בכלל.