מדריך מעשי לחובות אבטחת המידע תחת תיקון 13 ותקנות הגנת הפרטיות (אבטחת מידע): רמות האבטחה לפי רגישות המאגר, בקרות טכניות וארגוניות, נהלים כתובים, ניהול הרשאות, טיפול באירוע אבטחה ודיווח, ביקורות והדרכת עובדים.
תיקון 13 לחוק הגנת הפרטיות מחדד ומחזק את חובות אבטחת המידע של ארגונים, וממקם את אבטחת המידע לא כהמלצה טכנית אלא כחובה משפטית שהאכיפה עליה ממשית. עבור כל ארגון שמחזיק מאגר מידע אישי, ההיערכות מתחילה בהבנה מה נדרש בפועל, ובבניית מערך אבטחה ונהלים שעומד בדרישות. מדריך זה מפרט את עיקרי החובות ואת הצעדים המעשיים.
תיקון 13 מתכתב עם תקנות הגנת הפרטיות (אבטחת מידע), ומעצים את משמעותן. אבטחת מידע אינה עוד נושא של מחלקת ה-IT בלבד, אלא אחריות ארגונית שההנהלה נושאת בה. כשל אבטחה אינו רק תקלה טכנית, אלא עלול להוות הפרה של החוק ולחשוף את הארגון לאכיפה מצד הרשות להגנת הפרטיות. לכן ההיערכות מחייבת מבט משפטי וטכני יחד.
הדרישות אינן אחידות לכל מאגר. הן נגזרות מרמת הרגישות של המידע ומהיקפו. מאגר עם מידע רגיש או מאגר גדול נדרש לרמת אבטחה גבוהה יותר, עם בקרות מחמירות יותר, בעוד מאגר קטן ופשוט כפוף לדרישות בסיסיות יותר. הצעד הראשון הוא לסווג את המאגרים של הארגון לרמת האבטחה המתאימה, כי הסיווג קובע את היקף החובות.
אבטחת מידע אפקטיבית משלבת בקרות משני סוגים. בקרות טכניות כוללות ניהול הרשאות גישה, הצפנה, גיבוי, תיעוד פעולות במערכת, והגנה מפני גישה בלתי מורשית. בקרות ארגוניות כוללות נהלים כתובים, הגדרת אחריות, הפרדת תפקידים, ובקרה על ספקים חיצוניים שנחשפים למידע. מערך אמיתי נשען על שני הסוגים יחד, לא על אחד מהם.
נהלים כתובים ומעודכנים הם דרישה מרכזית, לא פורמליות. על הארגון להגדיר מסמך הגדרות למאגר, נוהל אבטחת מידע, נוהל ניהול הרשאות, ונוהל טיפול באירועי אבטחה. הנהלים צריכים לשקף את מה שקורה בפועל, ולהתעדכן כשמשתנים המערכות או התהליכים. נוהל שקיים על הנייר אך אינו מיושם אינו מספק הגנה, לא מעשית ולא משפטית.
עיקרון הבסיס הוא שכל עובד מקבל גישה רק למידע הנדרש לתפקידו, ולא מעבר לכך. יש לתעד מי ניגש לאילו מאגרים, לבטל הרשאות עם סיום תפקיד או עזיבת עובד, ולבצע בקרה תקופתית על ההרשאות הקיימות. ניהול הרשאות רופף הוא אחת הפרצות הנפוצות ביותר, ולכן הוא בלב הדרישות.
תיקון 13 מחזק את החשיבות של היערכות לאירועי אבטחה. הארגון צריך נוהל ברור לזיהוי אירוע, לבלימתו, לתיעודו, ולהפקת לקחים. באירועים חמורים עשויה לקום חובת דיווח לרשות להגנת הפרטיות, ולעיתים גם ליידע את נושאי המידע שנפגעו. היכולת להגיב מהר ובאופן מסודר לאירוע היא חלק בלתי נפרד ממערך האבטחה, ולא נספח לו.
מערך אבטחה אינו סטטי. נדרשת בקרה תקופתית שבודקת אם הבקרות עובדות, אם ההרשאות עדכניות, ואם הנהלים מיושמים. במקרים מסוימים נדרשת ביקורת תקופתית מסודרת. במקביל, הגורם האנושי הוא לרוב החוליה החלשה, ולכן הדרכת עובדים על נהלי האבטחה, על זיהוי ניסיונות פישינג, ועל טיפול נכון במידע, היא השקעה שמפחיתה סיכון באופן ממשי.
אבטחת המידע אינה עומדת לבדה. היא חלק ממערך רחב יותר של ממשל פרטיות, שבמרכזו לעיתים ממונה הגנת פרטיות (DPO), ומדיניות כוללת לניהול המידע בארגון. חיבור בין מערך האבטחה הטכני לבין הממשל המשפטי מבטיח שהבקרות משרתות את דרישות החוק, ושיש בארגון גורם אחראי שמפקח על התמונה כולה.
ההיערכות לאבטחת מידע תחת תיקון 13 מתחילה בסיווג המאגרים, ממשיכה בבניית בקרות טכניות וארגוניות ובנהלים כתובים ומיושמים, וכוללת ניהול הרשאות קפדני, היערכות לאירועי אבטחה, ביקורות והדרכת עובדים. ארגון שבונה את המערך הזה מראש מפחית סיכון משפטי ותפעולי כאחד, ומראה לרשות ולנושאי המידע שהוא מתייחס למידע שהופקד בידיו באחריות.
הערה: אין באמור ייעוץ משפטי או תחליף לו, והוא אינו מהווה חוות דעת מחייבת. כל מקרה מחייב בחינה פרטנית מול עורך דין מוסמך.
נושא: בינה מלאכותית וממשל סיכונים
ייעוץ נדל״ן והתחדשות עירונית · ייעוץ AI · ייעוץ משפטי · גישור ויישוב סכסוכים · מאמרים · שאלות ותשובות · מבדק מוכנות · תיאום פגישה