לרוב העסקים בישראל יש אנטי-וירוס, גיבוי וסיסמאות — ואף אחד לא בדק מעולם אם הם עובדים. כאן נכנס סקר סיכונים ומבדק חדירות: שתי בדיקות שהדין הישראלי מחייב חלק מבעלי המאגרים לבצע באופן קבוע, ושברוב הארגונים פשוט לא מתבצעות. אם אתם מתחילים לסדר את הציות מהיסוד, כדאי להתחיל במיפוי מסודר של המאגרים — בדיוק מה שPrivorify בונה עבור בעלי אתרים ועסקים קטנים-בינוניים.
מה ההבדל בין סקר סיכונים למבדק חדירות?
סקר סיכונים בוחן את מערך האבטחה כמערכת שלמה — נהלים, הרשאות, עובדים, ספקים, תיעוד ובקרות — ומאתר את הפערים שבין מה שאמור לקרות לבין מה שקורה בפועל. מבדק חדירות, לעומת זאת, הוא בדיקה התקפית: בודק מנסה לחדור למערכות באמצעות אותן טכניקות שבהן ישתמש תוקף, ומתעד מה הצליח להשיג.
שניהם נדרשים — והאחד אינו מחליף את השני. מבדק חדירות לא יגלה שאין לכם נוהל גריעת עובד; סקר סיכונים לא יגלה שהשרת שלכם פתוח לעולם בפורט שנשכח סגור.
מה סקר סיכונים טוב בודק?
- מיפוי המערכות והמאגרים שמחזיקים מידע אישי, כולל צלים ומערכות נשכחות.
- ניהול הרשאות: מי ניגש למה, לפי איזה עיקרון, ואיך ההרשאות נשללות.
- תיעוד אבטחה ובקרה — האם קיים, האם נבדק, האם מישהו קורא אותו.
- התקשרויות עם ספקים והרשאות הגישה שלהם.
- מוכנות לאירוע אבטחה: מי מזהה, מי מדווח, תוך כמה זמן.
מי חייב לבצע סקר סיכונים לפי התקנות?
החובה המפורשת חלה על מאגרים שחלה עליהם רמת אבטחה גבוהה לפי תקנות הגנת הפרטיות (אבטחת מידע), תשע״ז-2017. מאגר כזה נדרש לעבור סקר סיכונים מקצועי אחת ל-18 חודשים לצורך איתור כשלים באבטחת המידע, וכן למבדקי חדירות למערכות המידע.
השאלה המעשית הראשונה, אם כן, אינה "האם לעשות סקר" אלא "באיזו רמת אבטחה המאגר שלי מסווג". רמת האבטחה נקבעת לפי סוג המידע, היקף נושאי המידע, מספר בעלי ההרשאות ומאפיינים נוספים — נושא שפירוט מלא שלו מופיע במדריך שלנו על תקנות אבטחת מידע ורמות האבטחה.
חשוב להבין: גם מאגר ברמה בינונית או בסיסית כפוף לחובות אבטחה, בקרה ותיעוד. הוותר על סקר אינו היתר להזניח את המערך.
מה צריך להכיל דו״ח סקר ראוי?
הרשות להגנת הפרטיות פרסמה מדריך מקצועי לביצוע סקר סיכונים ומבדק חדירות למערכות מידע, שנוסחו עודכן בעקבות תיקון 13. דו״ח שעומד ברוח הדרישות יכלול לפחות את הרכיבים הבאים:
| רכיב בדו״ח | למה הוא קריטי |
|---|---|
| תיאור ההיקף שנבדק | מבדק שלא כיסה מערכת מרכזית אינו מעיד עליה |
| תיאור כל חשיפה שאותרה | משמש בסיס לתיקון ולהוכחת טיפול |
| דירוג רמת סיכון | מאפשר לתעדף משאבים לנקודות הכואבות |
| הערכת סבירות הניצול | מבדיל בין סיכון תיאורטי לסיכון ממשי |
| המלצות לתיקון | הופך את הדו״ח לתוכנית עבודה |
| מעקב סגירת פערים | החלק שהרגולטור בודק בפיקוח |
מה עושים אחרי שמקבלים את הממצאים?
מטפלים בהם — ומתעדים שטיפלתם. זה השלב שבו רוב הארגונים נכשלים. סקר שעלה אלפי שקלים ונגמר בקובץ PDF שאיש לא פתח ממחיש את המצב המשפטי במקום לשפר אותו: הוא מוכיח שידעתם על הכשל ולא פעלתם.
- תעדוף מיידי — חשיפות ברמה גבוהה שניתנות לניצול מרחוק קודמות לכל השאר.
- בעלים לכל ממצא — שם של אדם, לא שם של מחלקה.
- לוח זמנים מוגדר — תאריך יעד לכל פער, גם אם הוא רחוק.
- בדיקה חוזרת — וידוא שהתיקון אכן עבד.
- עדכון הנהלים — אם הסקר חשף פער נהלי, תקנו את הנוהל ולא רק את המקרה.
- דיווח להנהלה — סגירת פערים דורשת תקציב והחלטות.
מי מוסמך לבצע את הבדיקות?
הדרישה היא לבדיקה מקצועית, וההיגיון העומד בבסיסה הוא אי-תלות. מבדק שמבצע בדיוק אותו אדם שבנה ומתחזק את המערכת נוטה להחמיץ בדיוק את מה שהוא לא חשב עליו מלכתחילה. בעסק קטן זה לא חייב להיות יקר: גם בדיקה ממוקדת של המערכות הקריטיות עדיפה על אפס.
נקודה נוספת שנשכחת תכופות: הבודק עצמו נחשף למידע רגיש מאוד. ההתקשרות מולו היא בעצמה התקשרות של מיקור חוץ עם גישה למאגר מידע, על כל החובות הנלוות — וביניהן סודיות, הגבלת הרשאות ומחיקת הממצאים בתום העבודה.
איך זה מתחבר לאכיפה?
תיקון 13 הפך את הרשות להגנת הפרטיות מגוף מנחה לרגולטור בעל סמכויות אכיפה מנהליות. בפיקוח, אחד המסמכים הראשונים שנדרשים הוא התיעוד שמעיד על בקרה שוטפת — ודו״ח סקר סיכונים עדכני הוא בדיוק כזה. מי שרוצה להבין מה נבדק בפועל ימצא פירוט במאמר על פיקוח רוחב של הרשות להגנת הפרטיות.
איך מתכוננים לסקר בלי לבזבז את הכסף?
העבודה שעושים לפני שהבודק מגיע קובעת את איכות התוצאה. בודק שמקבל ארגון ללא מיפוי מבלה את מחצית הזמן ששילמתם עליו על שאלות בסיסיות. שלושה דברים שכדאי להכין מראש:
- רשימת מערכות ומאגרים — אילו מערכות מחזיקות מידע אישי, מי הספק של כל אחת, ומה סוג המידע ששמור בה.
- רשימת בעלי הרשאות — עובדים, ספקים וחשבונות שירות, כולל חשבונות של עובדים שעזבו ולא נחסמו.
- הנהלים הקיימים — גם אם הם חלקיים. נוהל חלקי שניתן לשפר עדיף על דף ריק.
נקודה שנייה: הגדירו מראש מה אתם רוצים לקבל. דו״ח שמסתיים ברשימת חשיפות בלי תוכנית עבודה מעשית משאיר אתכם בדיוק באותו מקום שבו הייתם, רק עם מודעות גבוהה יותר לסיכון. בקשו מפורשות שהממצאים יסווגו לפי חומרה, שלכל ממצא תצורף המלצה יישומית, ושתקבלו גם תקציר מנהלים קצר שאפשר להציג להנהלה או לדירקטוריון. בעסקים קטנים התקציר הזה הוא לעיתים המסמך היחיד שבאמת נקרא.
לסיום, הצמידו את מועד הסקר למחזור הניהול הקיים בארגון — למשל לצד בדיקת הביטוחים השנתית או חידוש ההתקשרויות עם ספקים. כך הבדיקה הופכת לשגרה ולא למשימה שנדחית מדי רבעון.
שאלות ותשובות
כל כמה זמן צריך לבצע סקר סיכונים?
לפי תקנות הגנת הפרטיות (אבטחת מידע), תשע״ז-2017, מאגר שחלה עליו רמת אבטחה גבוהה נדרש לסקר סיכונים מקצועי אחת ל-18 חודשים, וכן למבדקי חדירות למערכות המידע.
אם המאגר שלי ברמה בסיסית — אני פטור מהכול?
החובה הקבועה של סקר אחת ל-18 חודשים מכוונת לרמת אבטחה גבוהה, אך חובות האבטחה, הבקרה והתיעוד חלות גם ברמות נמוכות יותר. ברוב המקרים כדאי לבצע בדיקה מוקטנת גם כשאין חובה פורמלית.
מבדק חדירות מחליף סקר סיכונים?
לא. מבדק חדירות בודק את העמידות הטכנית מול תוקף, ואילו סקר סיכונים בוחן גם נהלים, הרשאות, ספקים ותיעוד. התקנות מתייחסות לשניהם בנפרד.
אפשר שאיש המחשוב שלנו יבצע את המבדק?
הדרישה היא לבדיקה מקצועית, ובדיקה עצמית על ידי מי שבנה את המערכת פוגעת באי-התלות ובאמינות הממצאים. מומלץ שהבודק יהיה גורם נפרד ממי שמתחזק את המערכות.
מה עושים אם אין תקציב לסגור את כל הממצאים?
מתעדפים לפי רמת סיכון וסבירות ניצול, מתעדים החלטה מנומקת לגבי מה נדחה, וקובעים לוח זמנים. תיעוד של שיקול דעת מסודר עדיף מבחינה ניהולית על התעלמות מהדו״ח.
הבהרה: המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
מה בדיוק כתוב בתקנות על סקר סיכונים ומבדק חדירות?
תקנה 5 לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 מסדירה את שתי החובות. לפי תקנה 5(ג), במאגר מידע שחלה עליו רמת האבטחה הגבוהה בעל המאגר אחראי לכך שייערך סקר סיכונים, ידון בתוצאותיו ויפעל לתיקון הליקויים — "אחת לשמונה עשר חודשים לפחות". תקנה 5(ד) קובעת את אותה תדירות למבדקי חדירות למערכות המאגר. תקנה 5(ה) מאפשרת לארגון עם כמה מאגרים באותה רמת אבטחה לקיים סקר אחד או מבדק אחד לכולם.
מקורות רשמיים
- תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 — נוסח התקנות, כולל תקנה 5 במלואה.
- המדריך המקצועי לתיקון 13 — הרשות להגנת הפרטיות — פרשנות הרשות לחובות אחרי תיקון 13.
- הרשות להגנת הפרטיות — הנחיות, עמדות רשמיות ועדכוני אכיפה.
איך סקר הסיכונים משתלב בשאר החובות של הארגון — ראו המדריך המלא לתיקון 13 לחוק הגנת הפרטיות.
