תיעוד גישה למאגר מידע: מה תקנה 10 דורשת

בקצרה: תקנה 10 לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, מחייבת מאגרי מידע ברמת אבטחה בינונית וגבוהה במנגנון תיעוד אוטומטי של כל ניסיון גישה: מי ניגש, מתי, לאיזה רכיב, באיזה סוג והיקף גישה, והאם הגישה אושרה. את הנתונים שומרים 24 חודשים לפחות, בודקים אותם באופן שוטף לפי נוהל, ומיידעים את בעלי ההרשאות על קיום המנגנון.

נקודות עיקריות

תקנה 10 חלה על מאגרים ברמת אבטחה בינונית וגבוהה בלבד.
כל רשומת תיעוד כוללת זהות משתמש, תאריך ושעה, רכיב מערכת, סוג והיקף הגישה, והאם הגישה אושרה או נדחתה.
תקופת השמירה המינימלית של נתוני הבקרה היא 24 חודשים.
לא מספיק לאסוף לוגים: נדרש נוהל בדיקה שוטפת ותיעוד הממצאים.
גם ארגון מוסמך ל-ISO 27001 נדרש, לפי הנחיית הרשות 3/2018, לקיים בנפרד את תקנות 10(ד) ו-10(ה).

תיעוד גישה למאגר מידע הוא רישום אוטומטי של כל ניסיון להיכנס למערכות המאגר — מה שמכונה בעולם הטכני לוגים (Logs) או Audit Trail. בלי תיעוד כזה אי אפשר לענות על השאלה הראשונה בכל אירוע אבטחה: מי ראה או הוציא את המידע, ומתי. תקנה 10 הופכת את הפרקטיקה הזו לחובה במאגרים ברמה בינונית וגבוהה. הדרך הפשוטה לדעת באיזו רמה נמצא כל מאגר היא מיפוי מסודר — למשל במערכת הציות לחוק הגנת הפרטיות של Privorify.

מהו תיעוד גישה למאגר מידע ולמה הוא חשוב?

תיעוד גישה הוא מנגנון שרושם באופן אוטומטי מי ניגש למערכות מאגר המידע, מתי ומה עשה, כך שאפשר לשחזר בדיעעבד כל פעולה שנעשתה במידע. הוא משרת שלושה צרכים: הרתעה (משתמש שיודע שפעולותיו מתועדות נזהר יותר), זיהוי מוקדם (חריגות בדפוס הגישה) וחקירה לאחר מעשה.

הרלוונטיות מובהקת בדליפות מבפנים. עובד שמייצא רשימת לקוחות לפני עזיבה, או משתמש שמעיין בתיקים שאינם קשורים לתפקידו, משאיר עקבות רק בלוג. לכן תיעוד הגישה הוא השלב הטבעי שאחרי הגדרת הרשאות: ההרשאות קובעות מה מותר, והלוג מראה מה קרה בפועל. על הצד הראשון ראו הרשאות גישה למאגר מידע: איך מונעים דליפה מבפנים.

על אילו מאגרים חלה תקנה 10?

תקנה 10 חלה על מאגרי מידע ברמת אבטחה בינונית וגבוהה בלבד; מאגר ברמת אבטחה בסיסית אינו כפוף לה. לכן הצעד הראשון הוא לסווג כל מאגר.

רמת אבטחה	דוגמאות למאגרים (לפי התוספת לתקנות)	חובת תיעוד לפי תקנה 10
בסיסית	מאגרים שאינם עונים על התנאים לרמה בינונית או גבוהה	לא חלה (מומלץ כפרקטיקה טובה)
בינונית	מאגרים של גופים ציבוריים, מאגרים שמטרתם העיקרית היא מסירת מידע, ומאגרים עם מידע רגיש כמו מידע רפואי או כלכלי	חלה
גבוהה	מאגרים ברמה בינונית שכוללים מידע על 100,000 אנשים ומעלה, או שלהם יותר מ-100 בעלי הרשאת גישה	חלה

מרפאה, קליניקה, משרד רואה חשבון או עמותה שמטפלת במידע רגיש נמצאים לרוב לפחות ברמה בינונית, גם כשהם קטנים. הסיווג המלא מוסבר במדריך תקנות אבטחת מידע: איך קובעים את רמת האבטחה של המאגר.

מה חייב להופיע ברשומת תיעוד הגישה?

לפי תקנה 10, מנגנון הבקרה האוטומטי מתעד לגבי כל ניסיון גישה שישה פרטים: זהות המשתמש, התאריך והשעה, רכיב המערכת, סוג הגישה, היקפה, והאם הגישה אושרה או נדחתה.

שדה בלוג	מה זה אומר בפועל	טעות נפוצה
זהות המשתמש	משתמש אישי ומזוהה	משתמש משותף ("office", "admin") שמונע זיהוי
תאריך ושעה	חותמת זמן מדויקת	שעוני שרתים לא מסונכרנים
רכיב המערכת	איזו מערכת או מודול נגיש	תיעוד רק במערכת הראשית, לא במערכות הענן של הספקים
סוג והיקף הגישה	צפייה, עריכה, מחיקה, ייצוא — וכמה רשומות	אי-תיעוד של ייצואים המוניים
אושר או נדחה	גם ניסיונות כושלים	תיעוד רק של כניסות מוצלחות

שדה זהות המשתמש תלוי במשתמשים אישיים ומאומתים. לוג של "משתמש כללי של המשרד" אינו מעיד על דבר; לכן תקנה 10 נשענת על דרישות הזיהוי והאימות — ראו סיסמאות ואימות דו-שלבי במאגר מידע. נוסף על כך, רשומות התיעוד צריכות להיות מוגנות מפני מחיקה או שינוי — לוג שכל מנהל מערכת יכול למחוק בשקט אינו מספק הגנה אמיתית.

לכמה זמן שומרים לוגים ומי בודק אותם?

תקנה 10 קובעת שנתוני מנגנון הבקרה יישמרו 24 חודשים לפחות, ומחייבת נוהל בדיקה שוטפת של הנתונים שממצאיו מתועדים. כלומר, שתי חובות נפרדות: לשמור, ולקרוא.

עסקים רבים מפעילים לוגים ולא פותחים אותם לעולם — וזה לא מספיק. נוהל בדיקה סביר יכול לכלול סקירה תקופתית של חריגים: כניסות מחוץ לשעות העבודה, ניסיונות כושלים חוזרים, ייצואים גדולים, ופעילות של משתמשים שעזבו. את הממצאים מתעדים ומטפלים בהם. ממצא שמעיד על פגיעה אפשרית במידע עשוי להיות אירוע אבטחה שדורש טיפול לפי התקנות; ראו אירוע אבטחת מידע: מתי מדווחים לרשות ומה עושים קודם.

בנוסף, תקנה 16 מחייבת במאגרים ברמה בינונית וגבוהה ביקורת פנימית או חיצונית לפחות אחת ל-24 חודשים, ותקינות מנגנון התיעוד היא נושא טבעי לביקורת כזו. על הביקורות ראו סקר סיכונים ומבדק חדירות: מי חייב לבצע וכל כמה זמן. גם ארגון המוסמך לתקן ISO 27001 נדרש לקיים בנפרד את תקנות 10(ד) ו-10(ה), כפי שמפורט בתקן אבטחת מידע ISO 27001 מול תקנות אבטחת המידע.

איך מיישמים תיעוד גישה למאגר מידע בפועל?

יישום תקנה 10 מתחיל במיפוי המערכות שמחזיקות את המידע, ממשיך בהפעלת לוגים מלאים ומוגנים, ומסתיים בנוהל קריאה קבוע ובידוע המשתמשים. אלה השלבים:

קבעו את רמת האבטחה של כל מאגר ובדקו אם הוא ברמה בינונית או גבוהה.
מפו את כל המערכות שמחזיקות את מידע המאגר, כולל מערכות ענן של ספקים.
ודאו שכל מערכת מתעדת משתמש, תאריך ושעה, רכיב, סוג והיקף גישה, והאם הגישה אושרה.
רכזו את הלוגים במקום מוגן שמשתמשי המערכת הרגילים לא יכולים למחוק או לשנות.
הגדירו תקופת שמירה של 24 חודשים לפחות.
קבעו נוהל בדיקה שוטפת של הלוגים ותעדו את הממצאים.
ידעו את בעלי ההרשאות על קיום מנגנון הבקרה.

בשלב 2 נמצאים בדרך כלל הפערים הגדולים: מערכות SaaS של ספקים — CRM, דיוור, הנהלת חשבונות, תיק מטופל דיגיטלי — מציעות לרוב לוג פעילות, אבל לעתים רק במסלול מתקדם או לתקופה קצרה מ-24 חודשים. כדאי לבדוק זאת מול כל ספק ולעגן את הדרישה בהסכם העיבוד איתו.

איך מאזנים בין תיעוד גישות לפרטיות העובדים?

תיעוד גישות הוא גם מידע אישי על העובדים, ולכן צריך להשתמש בו למטרת אבטחת המידע שלשמה נאסף, להגביל את מי שרשאי לעיין בו, וליידע את בעלי ההרשאות על קיומו. תקנה 10 עצמה מחייבת ליידע את בעלי ההרשאות על מנגנון הבקרה, וזה גם הצעד הראשון לשקיפות מול העובדים.

הסיכון הוא "זליגת מטרה": לוגים שנאספו לצורך אבטחה משמשים פתאום למדידת פריון או למעקב אחר שעות עבודה. שימוש כזה מעלה שאלות נפרדות של פרטיות בעבודה, שכדאי לבחון מראש ולא בדיעעבד. על הגבולות ראו מעקב אחר עובדים: מה מותר למעסיק לנטר ומה אסור. כלל אצבע מעשי: הגדירו בנוהל אבטחת המידע מי רשאי לצפות בלוגים ולאיזו מטרה, ותעדו גם את העיון בהם.

סיכום

תיעוד גישה למאגר מידע הוא חובה לפי תקנה 10 במאגרים ברמת אבטחה בינונית וגבוהה.
הלוג מתעד משתמש, תאריך ושעה, רכיב, סוג והיקף גישה, והאם הגישה אושרה או נדחתה.
שומרים 24 חודשים לפחות, בודקים באופן שוטף ומתעדים ממצאים.
מיידעים את בעלי ההרשאות ומגבילים את השימוש בלוגים למטרת אבטחה.

שאלות ותשובות

על אילו מאגרים חלה חובת התיעוד האוטומטי של גישות?

תקנה 10 לתקנות הגנת הפרטיות (אבטחת מידע) חלה על מאגרי מידע ברמת אבטחה בינונית וגבוהה. מאגר ברמה בסיסית אינו כפוף לתקנה זו, אם כי תיעוד גישות עדיין מומלץ לצורך חקירת אירועים.

כמה זמן צריך לשמור לוגים של גישה למאגר מידע?

לפי תקנה 10, נתוני מנגנון הבקרה נשמרים 24 חודשים לפחות. זהו סף מינימלי, וארגון רשאי לקבוע תקופה ארוכה יותר אם הוא נדרש לכך מסיבה אחרת.

מה חייב להופיע ברשומת לוג של גישה?

לפי תקנה 10, התיעוד כולל את זהות המשתמש, תאריך ושעת ניסיון הגישה, רכיב המערכת שאליו נעשה ניסיון הגישה, סוג הגישה והיקפה, והאם הגישה אושרה או נדחתה.

האם צריך ליידע עובדים שהגישה שלהם מתועדת?

כן. תקנה 10 מחייבת ליידע את בעלי ההרשאות למאגר על קיום מנגנון הבקרה. מעבר לכך, תיעוד גישות הוא גם ניטור של עובדים, ולכן כדאי להגדיר מראש למה משמשים הנתונים ומי רשאי לעיין בהם.

האם ארגון מוסמך ל-ISO 27001 פטור מתקנה 10?

לא לגמרי. הנחיית הרשות להגנת הפרטיות מס׳ 3/2018 מחייבת ארגון מוסמך לקיים במקביל להסמכה את תקנות משנה 10(ד) ו-10(ה).

לקריאה נוספת ומקורות

המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.

תיעוד גישה למאגר מידע (לוגים): מה תקנה 10 מחייבת ולכמה זמן שומרים