רבים מבעלי העסקים שואלים "מה אנחנו צריכים לעשות באבטחת מידע?" — אבל זו השאלה השנייה. השאלה הראשונה היא באיזו רמת אבטחה המאגר שלכם נמצא. תקנות אבטחת מידע בנויות כמדרג — ולכן עסק שמשקיע בבקרות לא נכונות עלול לבזבז משאבים ועדיין להיות חשוף. אם אתם בונים תוכנית ציות לחוק הגנת הפרטיות, זהו הצומת שהכל מתנקז אליו.
מהן תקנות אבטחת מידע ועל מי הן חלות?
התקנות הן הנדבך המעשי של חוק הגנת הפרטיות: בעוד החוק קובע עקרונות, התקנות קובעות מה עושים בפועל. הן חלות על כל מי שמחזיק מאגר מידע — לא רק על ארגונים גדולים ולא רק על מאגרים החייבים ברישום.
זו נקודה שמבלבלת הרבה עסקים: העובדה שמאגר אינו טעון רישום אינה משחררת מחובות האבטחה. להרחבה על ההבדל הזה ראו את המדריך רישום מאגר מידע אחרי תיקון 13.
מהן רמות האבטחה ומה מבדיל ביניהן?
התקנות מחלקות את המאגרים לארבע קבוצות, הנדרשות לרמת אבטחה הולכת וגוברת. ההיגיון הוא מידתיות — עסק זעיר לא נדרש לאותן בקרות כמו גוף שמנהל מידע רפואי על מאות אלפי אנשים.
| קבוצה | אופיינים טיפוסיים |
|---|---|
| מאגר המנוהל בידי יחיד | עוסק יחיד שמנהל את המאגר בעצמו, היקף מוגבל מאוד |
| רמה בסיסית | רוב העסקים הקטנים והבינוניים בישראל |
| רמה בינונית | מעל עשרה מורשי גישה; מטרה של מסירת מידע לאחר; בעלות גוף ציבורי; מידע רגיש |
| רמה גבוהה | מאגרים בהיקף וברגישות הגדולים ביותר |
שיםו לב: המעבר לרמה הבינונית נקבע לפי כל אחד מהמאפיינים, לא לפי צירופם. די בכך שיש במאגר מידע רגיש כדי שהדרישות יעלו, גם אם מדובר בעסק קטן.
מה נחשב מידע רגיש?
המונח מוגדר בחוק וכולל סוגי מידע שחשיפתם עלולה לפגוע באדם במידה מוגברת. במקום לנחש, כדאי לעבור על ההגדרה שבחוק מול רשימת שדות מסודרת של מה שאתם באמת שומרים — לרבות שדות שנוצרו לאורך השנים ואיש לא בדק מאז.
איך מבצעים את הסיווג בפועל?
הסיווג מתחיל במיפוי ולא ברכישת כלים. להלן סדר פעולות שעובד גם בארגון קטן:
- רשימת מאגרים — אילו מאגרי מידע קיימים בפועל: CRM, מערכת הנהלת חשבונות, מערכת נוכחות, טפסי אתר, קבצי גיבוי.
- מיפוי שדות — אילו סוגי מידע נשמרים בכל מאגר, ואם קיים ביניהם מידע רגיש.
- ספירת מורשי גישה — כמה אנשים באמת יכולים להגיע למידע, כולל ספקים ועובדים לשעבר שלא נותקו.
- בדיקת המטרה — האם המאגר משמש גם למסירת מידע לגורמים אחרים?
- קביעת רמה ותיעוד — רישום ההנמקה בכתב, כדי שיהיה אפשר להסביר אותה בדיעבד.
השלב האחרון הוא החשוב ביותר והמוזנח ביותר. החלטה סבירה שמתועדת ומנומקת עדיפה על החלטה נכונה שאיש אינו זוכר מדוע התקבלה.
מה נדרש ברמות הגבוהות שלא נדרש בבסיסית?
ההבדל הבולט ביותר נוגע לתיעוד. במערכות של מאגר ברמת אבטחה בינונית או גבוהה נדרש לנהל מנגנון תיעוד אוטומטי המאפשר ביקורת על הגישה למערכות המאגר. במילים פשוטות: צריך לדעת מי ניגש, מתי ולמה.
לנושא הלוגים פרסמה הרשות להגנת הפרטיות מדריך פעולה נפרד ליישום תקנה 10(ד) לתקנות, העוסקת בשמירת קבצי תיעוד. מי שמנהל מאגר ברמה בינונית ומעלה ישיג ערך ממשי מקריאתו. ביתר הנושאים — הפרדת סביבות, ניהול הרשאות, בקרות על מדיה ניידת — הדרישות מפורטות בתקנות עצמן לפי הרמה, ועליהן להיבחן מול המצב בפועל.
מה עושים אם הרמה משתנה?
רמת האבטחה אינה קבועה לנצח. עסק שגדל, מגייס עובדים ומוסיף מורשי גישה, או מתחיל לאסוף סוג מידע רגיש חדש, עשוי למצוא עצמו בקבוצה אחרת בלי ששים לב.
- קבעו בדיקה תקופתית — לפחות אחת לשנה.
- בדקו מחדש בכל שינוי מערכת, מיזוג או פעילות חדשה.
- עדכנו את מסמך הגדרות המאגר בהתאם.
- בדקו אם השינוי משפיע גם על חובת מינוי בעלי תפקיד.
להשלמת התמונה כדאי להכיר גם את נוהל הטיפול באירוע אבטחת מידע, שנגזר הוא עצמו מרמת האבטחה שנקבעה.
אילו מסמכים צריך להכין בעקבות הסיווג?
הסיווג אינו מסתיים בהחלטה — הוא מתורגם למסמכים ולנוהלים שאנשים בארגון אמורים לעבוד לפיהם. המסמך המרכזי הוא מסמך הגדרות המאגר, שמתאר מה המאגר מכיל, למה הוא משמש, מי נגיש אליו ואילו סיכונים מזוהים. הוא הבסיס שאליו מפנה כל דיון עתידי בנושא.
לצדו נדרשים נוהלי עבודה מעשיים. אלה אינם מסמכים אקדמיים אלא דפים קצרים שעונים על שאלות יומיומיות:
- נוהל הרשאות — מי מאשר גישה חדשה, ומי אחראי לשלול אותה בסיום העסקה.
- נוהל גיבוי ושחזור — כל כמה זמן מגבים, ומתי נבדק לאחרונה שהשחזור עובד.
- נוהל אירוע — מה עושים בשעות הראשונות ולמי מדווחים.
- נוהל ספקים — מה נבדק לפני שנותנים לגורם חיצוני גישה למידע.
המבחן המעשי לאיכות המסמכים פשוט: האם עובד חדש שקורא אותם ידע מה לעשות בפועל? אם התשובה שלילית, המסמך נכתב עבור מדף ולא עבור הארגון. עוד נקודה שנוטים לפספס: נוהל שנכתב ולא הוטמע אצל העובדים אינו שווה הרבה — הדרכה קצרה פעם בשנה מייצרת יותר ערך ממאה עמודי נהלים שאיש לא פתח.
שאלות ותשובות
האם תקנות אבטחת מידע חלות גם על עסק קטן מאוד?
כן. התקנות חלות על מי שמחזיק מאגר מידע, אך היקף הדרישות מותאם לרמה. עסק קטן יימצא בדרך כלל ברמה הבסיסית או בקבוצת המאגר המנוהל בידי יחיד.
מה הקשר בין רמת אבטחה לחובת רישום?
אלו שני מסלולים נפרדים שנגזרים ממאפייני המאגר. יש מאגרים שאינם טעוני רישום ובכל זאת נדרשים לרמת אבטחה בינונית.
מי נחשב "מורשה גישה"?
כל מי שבפועל יכול להגיע למידע במאגר — עובדים, מנהלים, וגם ספקים חיצוניים שקיבלו גישה לצורך מתן שירות. כדאי לספור בפועל ולא לפי תרשים אירגוני.
האם שימוש בענן משנה את הרמה?
אחסון בענן אינו משנה את הסיווג ואינו מעביר את האחריות לספק. בעל המאגר נשאר אחראי לעמידה בדרישות, וההתקשרות עם הספק מוסדרת בנפרד.
מה הצעד הראשון אם מעולם לא עשינו כלום?
למפות את המאגרים ואת סוגי המידע שבהם. בלי מיפוי אי אפשר לקבוע רמה, ובלי רמה אי אפשר לדעת מה נדרש. זה הצעד הזול ביותר והמשמעותי ביותר.
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
מה עושים אחרי שקבעתם את רמת האבטחה
- סקר סיכונים ומבדק חדירות: מי חייב וכל כמה זמן — החובה הישירה שנגזרת מסיווג המאגר לרמה בינונית או גבוהה.
- העברת מידע אישי לחו״ל: מה מותר ובאילו תנאים — רמת האבטחה שקבעתם מכתיבה גם מה מותר להעביר לספק מחוץ לישראל.
- נוהל שימוש בכלי AI בארגון — כלי בינה מלאכותית הם היום ערוץ הדליפה שהכי פחות מכוסה בנהלי אבטחה קיימים.
- כל המאמרים בבלוג הגנת הפרטיות — מדריכים מעשיים נוספים על תיקון 13 ותקנות אבטחת מידע.
רמת האבטחה נגזרת מרגישות המידע
- מידע בעל רגישות מיוחדת: מה נכנס להגדרה החדשה ומה זה מחייב — סוג המידע שבמאגר הוא הפרמטר הראשון שקובע את רמת האבטחה הנדרשת ממנו.
- אבטחת מידע רפואי במרפאות ובקליניקות: מה נדרש בפועל — מידע רפואי הוא הדוגמה המובהקת למידע שמעלה את המאגר לרמת אבטחה גבוהה.
- הרשאות גישה למאגר מידע: איך מונעים דליפה מבפנים — ככל שרמת האבטחה עולה, כך מחמירות דרישות ניהול ההרשאות והתיעוד.
יישום מעשי של רמת האבטחה
- גיבוי ושחזור מידע: מה תקנות אבטחת המידע דורשות בפועל — חובת הגיבוי והבדיקה התקופתית נגזרת ישירות מרמת האבטחה שנקבעה למאגר.
- מתקפת כופרה בעסק: מה עושים ב-72 השעות הראשונות — המבחן האמיתי של רמת האבטחה שקבעתם הוא מה קורה ביום שבו המערכת מוצפנת.
מקורות רשמיים
- נוסח תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017
- המדריך המקצועי לתיקון 13 — הרשות להגנת הפרטיות
- הרשות להגנת הפרטיות — האתר הרשמי
איפה רמת האבטחה משתלבת בתמונה של תיקון 13?
תקנות אבטחת המידע חלות מאז 2018, אבל תיקון 13 הרחיב משמעותית את סמכויות האכיפה של הרשות להגנת הפרטיות — ולכן סיווג שגוי של רמת האבטחה הוא היום חשיפה ממשית ולא רק פער תיעודי. לתמונה המלאה של כל החובות ראו את המדריך המלא לתיקון 13 לחוק הגנת הפרטיות, ולהערכת החשיפה הכספית את המדריך לקנסות ולעיצומים לפי תיקון 13.
שלושת צעדי ההמשך אחרי סיווג המאגר
קביעת רמת האבטחה היא נקודת הפתיחה. מכאן ממשיכים כך:
- תסקיר השפעה על הפרטיות (DPIA) — כשהסיווג יוצא בינוני או גבוה, זה הכלי שמתעד למה העיבוד מוצדק ואילו סיכונים צומצמו.
- בדיקת ציות לתיקון 13: צ׳קליסט ב-10 צעדים — לוודא שרמת האבטחה שקבעתם מתיישבת עם שאר חובות הציות ולא עומדת לבדה.
- טכנולוגיות משפרות פרטיות (PETs) במערכות AI — האמצעים הטכנולוגיים שמורידים בפועל את הסיכון במאגרים ברמה גבוהה.
להמשך קריאה
- הצפנת מידע אישי בעסק: מתי זו חובה ואיך בוחרים מה להצפין
- מיפוי מאגרי מידע בארגון: הצעד הראשון לעמידה בתיקון 13
להמשך קריאה
- הדרכת עובדים באבטחת מידע: מה התקנות דורשות וכל כמה זמן
- עבודה מהבית והתקנים ניידים: איך שומרים על מידע אישי מחוץ למשרד
אימות גישה לפי התקנות
להמשך קריאה
להמשך קריאה
לארגונים שמחזיקים בהסמכת ISO 27001:
