יותר ויותר בעלי עסקים מחפשים בחודשים האחרונים "תקנות אבטחת מידע" ו"חוק הגנת הפרטיות". הסיבה היא תיקון 13 לחוק, שנכנס לתוקף באוגוסט 2025 ונתן לרשות להגנת הפרטיות כלי אכיפה משמעותיים. התקנות עצמן אינן חדשות, הן בתוקף מאז 2018. מה שהשתנה הוא שיש מי שבודק, ויש מחיר להפרה.
מה הן תקנות אבטחת מידע
תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, קובעות מה צריך לעשות מי שמחזיק מאגר מידע אישי כדי להגן עליו. מאגר מידע הוא כל אוסף מסודר של פרטים על אנשים: רשימת לקוחות ב-CRM, תיקי מטופלים, תיקי לקוחות במשרד עורכי דין או רואי חשבון, ונתוני עובדים. כמעט כל עסק מחזיק מאגר כזה, גם אם מעולם לא קרא לו כך.
מה השתנה בתיקון 13
- סמכויות פיקוח וחקירה רחבות יותר לרשות להגנת הפרטיות.
- עיצומים כספיים על הפרות, כולל הפרה של חובות האבטחה שבתקנות.
- חובה למנות ממונה על הגנת הפרטיות בחלק מהגופים, למשל גופים ציבוריים וגופים שעיסוקם המרכזי כולל עיבוד מידע רגיש בהיקף ניכר.
- צמצום חובת רישום המאגרים, כך שהדגש עבר מרישום פורמלי לאבטחה בפועל.
במילים אחרות, השאלה שתישאל אחרי אירוע היא לא אם המאגר רשום, אלא אם העסק יכול להראות שהמידע היה מוגן.
באיזו רמת אבטחה העסק שלכם נמצא
התקנות מגדירות ארבע רמות: מאגר שמנוהל בידי יחיד, רמה בסיסית, רמה בינונית ורמה גבוהה. הסיווג תלוי ברגישות המידע (למשל מידע רפואי, כלכלי או משפטי), במספר האנשים שהמידע הוא עליהם ובמספר בעלי ההרשאה לגשת אליו. משרדי עורכי דין, רואי חשבון, מרפאות וקליניקות מחזיקים בדרך כלל מידע רגיש, ולכן עשויים להיות ברמה בינונית ומעלה. ככל שהרמה גבוהה יותר, הדרישות מחמירות.
מה התקנות דורשות בפועל, בשפה של IT
- מסמך הגדרות מאגר: אילו נתונים נאספים, למה, איפה הם נשמרים ומי ניגש אליהם.
- ניהול הרשאות: כל עובד ניגש רק למה שנחוץ לתפקידו, והגישה נסגרת ביום שעובד עוזב.
- זיהוי ואימות: סיסמאות חזקות ואימות דו-שלבי (MFA) לכל מערכת שיש בה מידע אישי.
- תיעוד גישה: ברמות הבינונית והגבוהה נדרש תיעוד אוטומטי של גישה למערכות המאגר.
- עדכוני אבטחה והגנה על מחשבים ושרתים מפני נוזקות.
- גיבוי שמאפשר לשחזר את המידע, ושמור בנפרד מהסביבה הפעילה.
- הדרכת עובדים בעלי הרשאה על כללי האבטחה.
- טיפול באירועי אבטחה ותיעודם. אירוע אבטחה חמור מחייב דיווח לרשות.
- ביקורת תקופתית ברמות הגבוהות יותר, וברמה הגבוהה גם סקר סיכונים ומבדקי חדירות.
- ספקים חיצוניים, כולל ספק ה-IT, שמקבלים גישה למידע: נדרש הסכם שמגדיר את חובות האבטחה שלהם.
רשימת צעדים להיערכות: מאיפה מתחילים
- ממפים איפה נמצא מידע אישי: CRM, דואר, תיקיות משותפות, הנהלת חשבונות, וקובצי אקסל שמסתובבים במחשבים.
- קובעים את רמת האבטחה של כל מאגר, רצוי בליווי משפטי.
- מסדרים הרשאות ומפעילים MFA על הדואר ועל מערכות הליבה. ראו אבטחת חשבונות ו-MFA.
- מוודאים גיבוי מבודד ובודקים שחזור בפועל. ראו גיבוי שרתים לעסקים.
- מפעילים הגנה וניטור על תחנות ושרתים, כדי לזהות אירוע מוקדם ולתעד אותו. ראו EDR לעסק קטן.
- כותבים נוהל אבטחה ותוכנית תגובה לאירוע, כולל מי מחליט ומי מדווח.
- מגדירים מול ספקים חיצוניים מה מותר להם ומה חובתם, וסוגרים גישה לעובדים שעזבו. ראו מניעת דליפת מידע בעזיבת עובד.
- קובעים מועד קבוע לבדיקה חוזרת, כי הסביבה, העובדים והמערכות משתנים.
איך בוחרים חברת אבטחת מידע לליווי
חלק מהדרישות משפטיות וחלק טכניות. עורך דין עוזר בסיווג המאגר ובמסמכים. חברת אבטחת מידע מיישמת את האמצעים הטכניים ומפיקה תיעוד שאפשר להציג אם הרשות או לקוח שואלים. כדאי לשאול את הספק:
- האם הוא יודע לתרגם את דרישות התקנות לרשימת פעולות טכניות מוגדרות?
- אילו מסמכים תקבלו: מיפוי, הגדרות הרשאות, דוחות גיבוי ושחזור ודוחות ניטור?
- מה התהליך כשמתגלה אירוע אבטחה, ומי אחראי על כל שלב?
- האם הספק עצמו עובד עם MFA והרשאות מוגבלות לסביבה שלכם?
המידע במדריך כללי ואינו מהווה ייעוץ משפטי. כדי לקבוע את רמת האבטחה ואת החובות הספציפיות לעסק, כדאי להיוועץ בעורך דין המתמחה בדיני פרטיות.
רוצים לדעת איפה העסק עומד? בדיקת המוכנות לתיקון 13 לוקחת כמה דקות, מותאמת לעורכי דין, רואי חשבון ומרפאות, ומציגה רשימת פערים לפי התקנות.
SecureOps מתמחה ביישום טכני של תקנות אבטחת מידע ותיקון 13: מיפוי, הקשחה, ניטור, גיבוי מבודד ותיעוד שוטף. פרטים בעמוד היערכות לתיקון 13 והגנת פרטיות, או דברו עם צוות SecureOps לשיחת מיפוי ללא עלות.
