נקודות עיקריות
- תקנה 4(א) קובעת שבעל מאגר המידע יקבע במסמך נוהל אבטחת מידע בהתאם למסמך הגדרות המאגר, והנוהל מחייב כל בעל הרשאה.
- בכל מאגר הנוהל כולל אבטחה פיזית, הרשאות גישה, אמצעי הגנה, הוראות למורשי גישה, ניהול סיכונים, טיפול באירועי אבטחה והתקנים ניידים.
- ברמה בינונית או גבוהה מתווספים זיהוי ואימות, בקרה ותיעוד גישה, ביקורות תקופתיות, גיבויים ופעולות פיתוח.
- פרטים מהנוהל נמסרים לכל בעל הרשאה רק בהיקף הנדרש לתפקידו (תקנה 4(ב)).
- ארגון עם כמה מאגרים באותה רמת אבטחה רשאי לכתוב נוהל אחד לכולם (תקנה 4(ו)).
תוכן עניינים
- מהו נוהל אבטחת מידע ומי חייב בו?
- מה חייב להופיע בנוהל בכל מאגר?
- מה מתווסף במאגר ברמת אבטחה בינונית או גבוהה?
- מה ההבדל בין נוהל האבטחה למסמך הגדרות המאגר?
- מתי חייבים לעדכן את הנוהל ומי בודק אותו?
- איך כותבים נוהל אבטחה ב-7 שלבים
- שאלות ותשובות
נוהל אבטחת מידע הוא המסמך שמתרגם את תקנות אבטחת המידע להוראות עבודה קונקרטיות בארגון: מי נכנס לאן, איך מגנים על המערכות, מה עושים באירוע אבטחה ואיך מנהלים מחשבים ניידים. בלי נוהל כתוב, החובות שבתקנות נשארות על הנייר, וקשה להוכיח בביקורת או בפיקוח של הרשות להגנת הפרטיות שהן מיושמות בפועל. את הנוהל, יחד עם שאר מסמכי הציות, אפשר לבנות ולנהל במערכת הציות לחוק הגנת הפרטיות של Privorify.
מהו נוהל אבטחת מידע ומי חייב בו?
לפי תקנה 4(א), בעל מאגר המידע קובע במסמך נוהל אבטחת מידע, בהתאם למסמך הגדרות המאגר ולתקנות, והנוהל מחייב כל בעל הרשאה לפי הפרטים שאליהם הוא חשוף. החובה חלה על מאגרים בכל רמות האבטחה, וההבדל הוא בהיקף הנושאים שהנוהל צריך לכסות.
שתי המילים החשובות בתקנה הן ״מסמך״ ו״יחייב״. נוהל שקיים רק בראש של איש ה-IT אינו עומד בדרישה, וגם לא נוהל כתוב שאף עובד לא קיבל את החלק שרלוונטי לו. תקנה 4(ב) מוסיפה עיקרון של ״צורך לדעת״: פרטים מהנוהל נמסרים לבעלי הרשאה רק בהיקף הנדרש לתפקידם. הסיבה פשוטה — נוהל שמתאר את אמצעי ההגנה והסיכונים הוא גם מפת דרכים לתוקף.
את רמת האבטחה של המאגר קובעים לפי התוספות לתקנות, וזה הצעד שקודם לכתיבת הנוהל. מדריך מפורט לכך נמצא במאמר תקנות אבטחת מידע: איך קובעים את רמת האבטחה של המאגר.
מה חייב להופיע בנוהל בכל מאגר?
תקנה 4(ג) מונה שבעה נושאים שהנוהל כולל ״בין השאר״, כלומר מינימום ולא רשימה סגורה.
| נושא בנוהל | תקנה קשורה | מה כותבים בפועל |
|---|---|---|
| אבטחה פיזית וסביבתית של אתרי המאגר | תקנה 6 | מי נכנס לחדר השרתים או לארון התיקים, ואיך זה נרשם |
| הרשאות גישה | תקנה 8 | אילו תפקידים רואים אילו נתונים, ומי מאשר הרשאה חדשה |
| תיאור אמצעי ההגנה על מערכות המאגר | — | חומת אש, אנטי-וירוס, עדכוני אבטחה ואופן הפעלתם |
| הוראות למורשי הגישה | — | נעילת מסך, איסור שיתוף סיסמאות, דיווח על חשד |
| סיכונים וטיפול בהם, כולל הצפנה | תקנה 5(א) | אילו סיכונים נובעים ממבנה המערכות ואיך מצמצמים אותם |
| טיפול באירועי אבטחת מידע | תקנה 11 | מה עושים לפי חומרת האירוע ורגישות המידע |
| ניהול התקנים ניידים | תקנה 12 | מחשבים ניידים, טלפונים והתקני אחסון שמכילים מידע מהמאגר |
לכל אחד מהנושאים יש באתר מדריך מעמיק: הרשאות גישה למאגר מידע, טיפול באירוע אבטחת מידע ודיווח לרשות ועבודה מהבית והתקנים ניידים.
מה מתווסף במאגר ברמת אבטחה בינונית או גבוהה?
תקנה 4(ד) מוסיפה חמישה נושאים למאגר שחלה עליו רמת אבטחה בינונית או גבוהה: אמצעי זיהוי ואימות, בקרה ותיעוד גישה, ביקורות תקופתיות, גיבוי נתונים, והוראות לפעולות פיתוח במאגר.
- זיהוי ואימות (תקנה 9): איך משתמשים מזדהים בפני מערכות המאגר — סיסמאות, אימות דו-שלבי והגבלת ניסיונות. ראו גם סיסמאות ואימות דו-שלבי במאגר מידע.
- בקרה ותיעוד גישה (תקנה 10): מה נרשם בלוגים, מי בודק אותם וכמה זמן שומרים. פירוט במדריך תיעוד גישה למאגר מידע (לוגים).
- ביקורות תקופתיות (תקנה 16): מי מבצע את הביקורת, באיזו תדירות ומה עושים עם הממצאים.
- גיבוי (תקנה 18): מה מגבים, באיזו תדירות ואיך בודקים שהשחזור עובד. ראו גיבוי ושחזור מידע.
- פיתוח במאגר: איך מבצעים ומתעדים פעולות פיתוח, ואיך ניגשים אנשי הפיתוח לנתונים אמיתיים.
הסעיף האחרון נשכח לעיתים קרובות. בעסקים שמפתחים מערכת פנימית או אתר עם אזור אישי, מפתחים עובדים לעיתים על עותק מלא של מסד הנתונים האמיתי במחשב האישי. הנוהל צריך לקבוע מתי זה מותר, באילו תנאים, ומתי עובדים עם נתונים ממוסכים או סינתטיים.
מה ההבדל בין נוהל האבטחה למסמך הגדרות המאגר?
מסמך הגדרות המאגר (תקנה 2) מתאר מה יש במאגר ולמה הוא קיים. נוהל האבטחה (תקנה 4) מתאר איך מגנים עליו. התקנה קובעת שהנוהל נכתב בהתאם למסמך ההגדרות, ולכן כותבים אותו רק אחריו.
| מסמך הגדרות המאגר | נוהל אבטחת מידע | |
|---|---|---|
| מקור | תקנה 2 | תקנה 4 |
| שאלת המפתח | מה יש במאגר ולמה? | איך מגנים עליו ומי עושה מה? |
| קהל יעד | הנהלה, ממונה, מבקרים | כל בעל הרשאה, לפי החלק שרלוונטי לו |
| אופי | תיאורי | מחייב — הוראות עבודה |
מה נכנס למסמך ההגדרות עצמו סקרנו במדריך מסמך הגדרות המאגר: מה חייב להיכלל בו.
מתי חייבים לעדכן את הנוהל ומי בודק אותו?
לפי תקנה 4(ה), בעל המאגר בוחן פעם בשנה את הצורך בעדכון הנוהל, ובנוסף כשנעשים שינויים מהותיים במערכות או בתהליכי עיבוד המידע, וכשנודע על סיכונים טכנולוגיים חדשים. במאגר ברמה בינונית או גבוהה מתווספת ביקורת פנימית או חיצונית לפחות אחת ל-24 חודשים (תקנה 16).
דוגמאות לטריגרים לעדכון מחוץ למחזור השנתי: מעבר לענן, החלפת מערכת CRM, הטמעת כלי בינה מלאכותית, או פרסום של פרצת אבטחה משמעותית במוצר שהארגון משתמש בו. לפי תקנה 16(ב), מבקר שאינו ממונה האבטחה של המאגר בודק את התאמת אמצעי האבטחה לנוהל ולתקנות, מזהה ליקויים ומציע תיקונים, ובעל המאגר דן בדוח ובוחן אם לעדכן את הנוהל. על הקשר לסקר הסיכונים ראו סקר סיכונים ומבדק חדירות.
האם אפשר נוהל אחד לכמה מאגרים?
כן, בתנאי. תקנה 4(ו) מאפשרת לארגון שהוא בעל כמה מאגרים לקבוע נוהל אחד לכל המאגרים שבאותה רמת אבטחה. ארגון עם מאגר לקוחות ברמה בינונית ומאגר ספקים ברמה בסיסית יצטרך, לפי לשון התקנה, להבחין ביניהם.
איך כותבים נוהל אבטחה ב-7 שלבים
הדרך היעילה היא לבנות את הנוהל מלמעלה למטה: קודם רמת האבטחה ומסמך ההגדרות, אחר כך הסעיפים של תקנה 4, ובסוף הפצה לעובדים לפי צורך לדעת.
- קבעו רמת אבטחה לכל מאגר וקבצו מאגרים באותה רמה.
- עדכנו את מסמך הגדרות המאגר — הנוהל נגזר ממנו.
- כתבו סעיף לכל אחד משבעת נושאי תקנה 4(ג), בהוראות קונקרטיות ולא בציטוט התקנה.
- הוסיפו את חמשת נושאי תקנה 4(ד) אם המאגר ברמה בינונית או גבוהה.
- חלקו לפי צורך לדעת: גרסה מלאה לממונה ול-IT, ותמצית הוראות לעובדים.
- הדריכו ותעדו שכל בעל הרשאה קיבל את החלק שלו. ראו הדרכת עובדים באבטחת מידע.
- קבעו ביומן סקירה שנתית ורשימת טריגרים לעדכון מיידי.
סיכום
- נוהל אבטחת מידע הוא חובה בכל רמות האבטחה, והוא מחייב את כל בעלי ההרשאה.
- 7 נושאי חובה בכל מאגר, ועוד 5 ברמה בינונית או גבוהה.
- בחינה פעם בשנה ובכל שינוי מהותי, וביקורת לפחות אחת ל-24 חודשים ברמות הבינונית והגבוהה.
שאלות ותשובות
האם כל עסק עם מאגר מידע צריך נוהל אבטחת מידע?
תקנה 4 חלה על בעלי מאגרי מידע בכל רמות האבטחה. ההבדל בין הרמות הוא בהיקף הנושאים: מאגר ברמה בינונית או גבוהה מחויב בחמישה נושאים נוספים.
כל כמה זמן צריך לעדכן נוהל אבטחת מידע?
לפי תקנה 4(ה), בוחנים את הצורך בעדכון פעם בשנה, וגם כשנעשים שינויים מהותיים במערכות או בתהליכי העיבוד, או כשנודע על סיכונים טכנולוגיים חדשים.
האם כל העובדים צריכים לקבל את נוהל האבטחה המלא?
לא. תקנה 4(ב) קובעת שפרטים מהנוהל נמסרים לבעלי הרשאה רק בהיקף הנדרש לביצוע תפקידם, וכל בעל הרשאה מחויב בחלק שאליו הוא חשוף.
מה ההבדל בין נוהל אבטחת מידע למסמך הגדרות המאגר?
מסמך הגדרות המאגר לפי תקנה 2 מתאר מה יש במאגר ולמה. נוהל האבטחה לפי תקנה 4 קובע איך מגנים עליו, ונכתב בהתאם למסמך ההגדרות.
האם מותר לכתוב נוהל אבטחה אחד לכל המאגרים בארגון?
תקנה 4(ו) מאפשרת נוהל אחד לכמה מאגרים של אותו ארגון, בתנאי שהם באותה רמת אבטחה.
לקריאה נוספת ומקורות
- תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 — תקנה 4 (נוהל אבטחה) ותקנה 16 (ביקורות תקופתיות)
- חוק הגנת הפרטיות, התשמ״א-1981 — סעיף 17 (אחריות לאבטחת מידע)
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
להמשך קריאה
