תקן אבטחת מידע ISO 27001 מול התקנות

בקצרה: תקן אבטחת המידע ISO/IEC 27001 הוא תקן בינלאומי וולונטרי, ותקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, הן חובה חוקית לכל בעל מאגר מידע בישראל. הנחיית הרשות להגנת הפרטיות מס׳ 3/2018 מגשרת ביניהם: ארגון מוסמך שמקיים את התקן ייחשב כמקיים את התקנות לגבי המאגרים שבהיקף ההסמכה — בתנאי שהוא ממלא במקביל רשימה של תקנות ישראליות ספציפיות ושלושה תנאים נוספים.

נקודות עיקריות

ISO 27001 אינו חובה חוקית כללית בישראל; תקנות אבטחת המידע 2017 הן החובה.
לפי הנחיית הרשות 3/2018, הסמכה לתקן יכולה לשמש דרך עמידה בתקנות — רק לגבי המאגרים שבהיקף ההסמכה וכל עוד היא בתוקף.
גם ארגון מוסמך חייב לקיים בנפרד תקנות כמו 2 (מסמך הגדרות מאגר), 3 (ממונה אבטחה), 12 ו-19.
ההנחיה מחמירה את התקן בשלושה מקומות: הדרכה לפחות אחת לשנתיים, שמירת נתונים 24 חודשים, וביקורת לפחות אחת ל-24 חודשים.
ההנחיה מציינת את גרסת ISO/IEC 27001:2013, ולא נערכו בה שינויים בעקבות תיקון 13.

תקן אבטחת מידע הוא מסגרת מקצועית מוסכמת לניהול אבטחת מידע בארגון, שארגון יכול לאמץ ולהיבדק עליה על ידי גוף מסמיך; המוכר מביניהם הוא ISO/IEC 27001. עסקים רבים שואלים אם הסמכה כזו היא חובה, ואם מי שכבר מוסמך עומד אוטומטית בדין הישראלי. התשובה לשתי השאלות היא לא, והמאמר מסביר למה — לפי נוסח הנחיית הרשות עצמה. מי שצריך לנהל את הציות הישראלי במקביל לתקן יכול לעשות זאת במערכת הציות לחוק הגנת הפרטיות של Privorify.

מהו תקן אבטחת מידע ISO 27001?

ISO/IEC 27001 הוא תקן בינלאומי למערכת ניהול אבטחת מידע (ISMS), שמגדיר איך ארגון מזהה סיכונים, בוחר בקרות, מיישם אותן ומשפר אותן לאורך זמן. לתקן מצורף נספח (Annex A) עם רשימת בקרות — הרשאות, הצפנה, הדרכות, ניהול ספקים, המשכיות עסקית ועוד. ארגון שעובר ביקורת של גוף מסמיך מקבל תעודת הסמכה להיקף מוגדר.

המילה "היקף" חשובה כאן. הסמכה אינה חלה בהכרח על הארגון כולו; חברת תוכנה יכולה להיות מוסמכת רק לפלטפורמת הענן שלה, בלי מערכות משאבי אנוש או השיווק. לכן השאלה הראשונה שכדאי לשאול על כל הסמכה היא אילו מערכות ומאגרים באמת נכללים בה.

קיימים גם תקנים קרובים באותה משפחה, כמו ISO/IEC 27002 (הנחיות ליישום הבקרות) ו-ISO/IEC 27701 (הרחבה לניהול פרטיות). גם הם וולונטריים, והנחיית הרשות שנסקרת כאן עוסקת ב-27001 בלבד.

מה ההבדל בין תקן אבטחת מידע לתקנות אבטחת המידע?

ההבדל המרכזי הוא מקור החובה: תקנות אבטחת המידע הן דין מחייב שחל על כל בעל מאגר מידע בישראל, והפרתן עלולה להוביל לאכיפה; תקן ISO 27001 הוא התחייבות וולונטרית שארגון לוקח על עצמו. התקנות קובעות דרישות לפי רמת האבטחה של המאגר, והתקן מנהל את האבטחה לפי ניתוח הסיכונים של הארגון.

נושא	תקנות אבטחת מידע 2017	תקן ISO/IEC 27001
מעמד	חובה חוקית	וולונטרי (לעתים דרישה חוזית)
על מי חל	כל בעל מאגר מידע ומחזיק	על הארגון שבחר להתקנות, בהיקף שהוגדר
עקרון מנחה	רמות אבטחה קבועות: בסיסית, בינונית, גבוהה	ניהול סיכונים ושיפור מתמיד
מי בודק	הרשות להגנת הפרטיות (פיקוח ואכיפה)	גוף מסמיך פרטי
מידע אישי	זה כל העניין — התקנות עוסקות במאגרי מידע	כל מידע ארגוני, לא רק אישי
תוצאה של אי-עמידה	חשיפה לאכיפה מינהלית ואזרחית	אי-חידוש או שלילת ההסמכה

בגלל ההבדל הזה, השאלה הנכונה לעסק ישראלי אינה "האם להתקנות או להסמיך", אלא איך לעמוד בתקנות — והאם הסמכה היא הדרך המתאימה לעשות זאת. הצעד הראשון בכל מקרה הוא לדעת איך נקבעת רמת האבטחה של המאגר.

מה קובעת הנחיית הרשות להגנת הפרטיות 3/2018?

הנחיית הרשות מס׳ 3/2018 קובעת שארגון שקיבל הסמכה לתקן ISO/IEC 27001:2013 ומקיים את הוראותיו — כולל כל הבקרות הרלוונטיות בנספח A — ייחשב כמקיים את תקנות אבטחת המידע במלואן לגבי המאגרים שעליהם ניתנה ההסמכה, וכל עוד ההסמכה בתוקף. ההנחיה ניתנה מכוח תקנה 20(ב) לתקנות, והיא מותנית את ההכרה במילוי של רשימת תקנות ותנאים נוספים.

שלושה תנאים מצטברים כאן. הראשון: לא מספיקה תעודה על הקיר — הארגון צריך לקיים בפועל את הוראות התקן. השני: ההכרה חלה רק על המאגרים שבהיקף ההסמכה. השלישי: היא תקפה רק כל עוד ההסמכה עומדת בתוקפה. ארגון שהסמכתו פקעה חוזר לנקודת ההתחלה, כמו כל בעל מאגר אחר.

בהערת שוליים להנחיה נכתב כי לא נערכו בה שינויים בעקבות תיקון 13 לחוק הגנת הפרטיות, מאחר שנמצא שהתיקון אינו משליך על תוכנה. עוד נקבע בה שראש הרשות רשאי לתקן את תנאיה מעת לעת, בין השאר לנוכח עדכונים בנוסח התקן. מכיוון שההנחיה מציינת במפורש את גרסת 2013 של התקן, ארגון המוסמך לגרסה מאוחרת יותר כדאי שיבדוק עם יועץ מוסמך איך ההנחיה חלה עליו.

אילו תקנות חלות גם על ארגון מוסמך ל-ISO 27001?

לפי הנחיית הרשות 3/2018, ארגון מוסמך נדרש למלא במקביל את תקנות 2, 3, 12 ו-19 במלואן, חלקים מתקנות 4, 5, 9, 10, 11, 14 ו-18, ועוד שלושה תנאים שמחמירים פריטים בתקן עצמו. הטבלה מרכזת את הרשימה כפי שהיא מופיעה בהנחיה.

דרישה שחלה בנוסף להסמכה	במה מדובר
תקנה 2	מסמך הגדרות המאגר
תקנה 3	הממונה על אבטחת מידע
תקנה 4(א)-(ב), (ה)	נוהל אבטחת מידע — חלקים מסוימים
תקנה 5(ב)-(ד)	מבנה מאגר ורשימת מצאי — חלקים מסוימים
תקנה 9(ב)(1); תקנה 10(ד), (ה); תקנה 11(ג), (ד)	סעיפים מתוך תקנות הזיהוי והאימות, הבקרה והתיעוד, ותיעוד אירועים
תקנה 12; תקנה 14(ג); תקנה 18(א)(2); תקנה 19	סעיפים נוספים מתוך התקנות, כפי שמפורטים בהנחיה
פריט 7.2.2 לנספח לתקן	הדרכות לעובדים — לפחות אחת לשנתיים
פריט 18.1.3 לנספח לתקן	הנתונים המפורטים בו (ובפרשנותו בתקן 27002) נשמרים 24 חודשים
פריט 18.2 לנספח לתקן	הליכי ביקורת — לפחות אחת ל-24 חודשים

למה הרשות מוסיפה דרישות על תקן בינלאומי?

התקן משאיר לארגון גמישות — הוא בוחר בקרות לפי ניתוח הסיכונים שלו וקובע תדירויות בעצמו. התקנות הישראליות, לעומת זאת, קובעות מועדים ותוצרים מוגדרים. התנאים בהנחיה סוגרים את הפער: סטנדרט מינימלי להדרכות (ראו מה התקנות דורשות בהדרכת עובדים), תקופת שמירה מוגדרת, ותדירות ביקורת קבועה (ראו סקר סיכונים ומבדק חדירות: מי חייב וכל כמה זמן).

האם מסמך הגדרות המאגר נדרש גם מארגון מוסמך?

כן. תקנה 2 פותחת את רשימת הדרישות בהנחיה. תעודת ISO מתארת מערכת ניהול, אבל הדין הישראלי דורש מסמך שמתאר את המאגר עצמו — מטרות, סוגי מידע, מחזיקים ואחראים. פירוט הרכיבים במדריך מסמך הגדרות המאגר: מה חייב להיכלל בו.

האם עסק קטן צריך הסמכה לתקן אבטחת מידע?

ברוב המקרים לא. עסק קטן עומד בחובותיו כשהוא מיישם את תקנות אבטחת המידע לפי רמת האבטחה של מאגריו, והסמכה היא השקעה שכדאית בעיקר כשלקוחות או מכרזים דורשים אותה. הסמכה כרוכה בהקמת מערכת ניהול מלאה, ביקורות תקופתיות ותיעוד שוטף, ולכן היא מתאימה בעיקר לארגונים שמכרים שירותי עיבוד מידע לאחרים.

מי שנתקל בדרישה הזו הוא לרוב ספק: חברת תוכנה, מוקד שירות חיצוני, ספק ענן או משרד שמעבד מידע עבור לקוחות. במצב זה הסמכה מקצרת שאלוני ספקים, אבל היא אינה מחליפה את ההסכם הכתוב שהתקנות דורשות בין בעל מאגר למחזיק (ראו הסכם עיבוד מידע עם ספק). לעומת זאת, מרפאה קטנה או חנות מקוונת ירוויחו יותר מיישום ישיר של התקנות מאשר מפרויקט הסמכה.

מה לבדוק לפני שמסתמכים על הסמכת ISO כדרך לעמוד בתקנות?

לפני שארגון מסתמך על הסמכה כדרך עמידה בתקנות, כדאי לוודא שהיקף ההסמכה מכסה את מאגרי המידע, שהיא בתוקף, ושכל התקנות והתנאים הנוספים בהנחיה מתועדים. צ׳קליסט מעשי:

שלפו את תעודת ההסמכה ובדקו את סעיף ההיקף (Scope) — אילו מערכות ואתרים כלולים.
הצליבו את ההיקף מול רשימת מאגרי המידע של הארגון וסמנו מאגרים שנשארו מחוץ.
בדקו את תוקף ההסמכה ואת גרסת התקן שלפיה ניתנה.
וודאו שקיימים מסמך הגדרות מאגר וממונה אבטחת מידע לפי תקנות 2 ו-3.
עברו על שאר התקנות ברשימה ותעדו את יישומן.
ודאו שהדרכות מתקיימות לפחות אחת לשנתיים, שנתונים לפי פריט 18.1.3 נשמרים 24 חודשים, ושביקורת מתבצעת לפחות אחת ל-24 חודשים.

שימו לב לתחום שהתקן לא מכסה: חובות הפרטיות עצמן. ההנחיה עוסקת בתקנות אבטחת המידע בלבד. חובת יידוע, הסכמה, זכות עיון ומינוי ממונה על הגנת הפרטיות לפי תיקון 13 ממשיכות לחול על ארגון מוסמך כמו על כל ארגון. לתמונה המלאה ראו צ׳קליסט בדיקת ציות לתיקון 13 ב-10 צעדים.

סיכום

תקן אבטחת מידע ISO 27001 הוא וולונטרי; תקנות אבטחת המידע 2017 הן חובה.
הנחיית הרשות 3/2018 מכירה בהסמכה כדרך עמידה — רק למאגרים שבהיקף ההסמכה, וכל עוד היא בתוקף.
תקנות 2, 3, 12 ו-19 וחלקים מתקנות נוספות חלים גם על ארגון מוסמך.
ההנחיה מציינת את גרסת 2013 של התקן, ולכן כדאי לבדוק את החלתה על הסמכה לגרסה מאוחרת.

שאלות ותשובות

האם תקן ISO 27001 הוא חובה בישראל?

לא. ISO/IEC 27001 הוא תקן בינלאומי וולונטרי. מה שמחייב בעלי מאגרי מידע בישראל הן תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017. לעתים לקוחות או מכרזים דורשים הסמכה לתקן כתנאי חוזי, אבל זו אינה חובה חוקית כללית.

האם ארגון מוסמך ל-ISO 27001 פטור מתקנות אבטחת המידע?

לא במלואו. לפי הנחיית הרשות להגנת הפרטיות מס׳ 3/2018, ארגון מוסמך שמקיים את התקן ייחשב כמקיים את התקנות לגבי המאגרים שבהיקף ההסמכה, רק אם הוא ממלא במקביל רשימה של תקנות נוספות, בהן תקנות 2, 3, 12 ו-19.

מה קורה למאגר שאינו בהיקף ההסמכה?

ההנחיה חלה רק על מאגרים שעליהם ניתנה ההסמכה, וכל עוד ההסמכה בתוקף. מאגר שמחוץ להיקף ההסמכה כפוף לתקנות אבטחת המידע במלואן, כמו כל מאגר אחר.

כל כמה זמן צריך להדריך עובדים בארגון מוסמך?

לפי הנחיית הרשות 3/2018, הדרכות לעובדים לפי פריט 7.2.2 לנספח לתקן צריכות להתקיים לפחות אחת לשנתיים.

האם ההנחיה עודכנה אחרי תיקון 13?

לפי הערה בהנחיה עצמה, לא נערכו בה שינויים בעקבות תיקון 13, מפני שנמצא שהתיקון אינו משליך על תוכנה. עם זאת, ההנחיה מתייחסת לגרסת 2013 של התקן, וכדאי לבדוק עם בעל מקצוע איך היא חלה על הסמכה לגרסה העדכנית.

לקריאה נוספת ומקורות

המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.

תקן אבטחת מידע ISO 27001 מול תקנות אבטחת המידע: מה חובה ומה וולונטרי