תקנות אבטחת מידע 2017: רמת אבטחה בסיסית, בינונית או גבוהה ומה כל רמה מחייבת
איך יודעים באיזו רמת אבטחה נמצא מאגר המידע של העסק לפי תקנות הגנת הפרטיות (אבטחת מידע), ומה החובות בכל רמה: נוהל, הרשאות, תיעוד, ביקורת ומבדקים.
תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017 חלות על כל מאגר מידע אישי. הן נכנסו לתוקף ב-8 במאי 2018, שנה אחרי פרסומן ברשומות. התקנות מחלקות את המאגרים לארבע קבוצות: מאגר המנוהל בידי יחיד, רמה בסיסית, רמה בינונית ורמה גבוהה. ככל שהרמה עולה, נוספות חובות. ברמה בינונית נוספים תיעוד גישה אוטומטי, ביקורת אחת ל-24 חודשים ודיווח על אירוע אבטחה חמור. ברמה גבוהה נוספים גם סקר סיכונים ומבדק חדירה אחת ל-18 חודשים. רוב העסקים הקטנים והבינוניים נמצאים ברמה בסיסית או בינונית. מה שקובע הוא סוג המידע, מספר האנשים במאגר ומספר בעלי ההרשאה, ולא גודל העסק.
המדריך הוא חלק מהמדריך המרכזי לעלות הגנת סייבר. על העיצומים לפי רמה ראו המדריך לתיקון 13.
איך קובעים את הרמה: ארבע שאלות
- האם המאגר מנוהל בידי יחיד? כלומר יחיד, או תאגיד בבעלות יחיד, ולכל היותר שני בעלי הרשאה נוספים. זה לא חל אם המאגר נועד לסחר במידע או לדיוור ישיר, אם יש בו מידע על 10,000 אנשים ומעלה, או אם הוא כפוף לסודיות מקצועית (למשל רופא, עורך דין או רואה חשבון). אם כן, חלה רשימת חובות מצומצמת.
- האם יש במאגר מידע רגיש מהסוגים שבתוספת הראשונה? למשל מידע רפואי או נפשי, מידע גנטי, ביומטרי, עבר פלילי, נתוני תקשורת, דעות פוליטיות או אמונות דתיות. גם מידע על נכסים, חובות, מצב כלכלי ויכולת עמידה בהתחייבויות נחשב כזה, וכך גם הרגלי צריכה שמלמדים על אלה. אם כן, הרמה בדרך כלל בינונית. גם מאגר שמטרתו מסירת מידע לאחרים או דיוור ישיר, ומאגר של גוף ציבורי, נמצאים ברמה בינונית.
- האם חל אחד הסייגים שמחזירים לרמה בסיסית? יש שני סייגים. הראשון: המידע הרגיש הוא רק על עובדים או ספקים של העסק, משמש לניהול העסק בלבד, ומהסוגים שהתוספת מתירה. השני: מספר בעלי ההרשאה לא עולה על עשרה.
- האם מאגר ברמה בינונית עובר את סף הרמה הגבוהה? אם יש בו מידע על 100,000 אנשים ומעלה, או יותר מ-100 בעלי הרשאה, הוא ברמה גבוהה.
דוגמאות להמחשה
| עסק | המאגר | רמה סבירה | למה |
|---|---|---|---|
| חנות מקומית עם רשימת לקוחות לדיוור של העסק עצמו | שמות, טלפונים, רכישות | בסיסית | אין מידע רגיש מהתוספת, אלא אם הרגלי הצריכה מלמדים על מידע רגיש |
| קליניקה עם 6 עובדים | תיקים רפואיים | בסיסית או בינונית | מידע רפואי, אבל עד 10 בעלי הרשאה. בדקו גם חובות סודיות מקצועית |
| משרד הנהלת חשבונות עם 25 עובדים | דוחות כספיים של לקוחות | בינונית | מידע על מצב כלכלי ויותר מ-10 בעלי הרשאה |
| חברת גבייה עם 140 עובדים | חובות של 300,000 אנשים | גבוהה | מידע כלכלי, יותר מ-100,000 אנשים ויותר מ-100 בעלי הרשאה |
| מפעל עם 80 עובדים | תיקי עובדים, כולל מידע רפואי לצורכי העסקה | בדרך כלל בסיסית | הסייג לגבי עובדים, בכפוף לסוגי המידע |
הטבלה ממחישה את ההיגיון ואינה קביעה משפטית. אותו עסק יכול להחזיק כמה מאגרים ברמות שונות.
החובות לפי רמה
| חובה (מספר התקנה) | יחיד | בסיסית | בינונית | גבוהה |
|---|---|---|---|---|
| מסמך הגדרות מאגר (2) | ✓ | ✓ | ✓ | ✓ |
| נוהל אבטחה (4) | – | ✓ | ✓ מורחב | ✓ מורחב |
| מיפוי מערכות ורשימת מצאי (5(א)) | – | ✓ | ✓ | ✓ |
| סקר סיכונים ומבדק חדירה אחת ל-18 חודשים (5(ג)–(ד)) | – | – | – | ✓ |
| אבטחה פיזית (6) | ✓ בסיסי | ✓ בסיסי | ✓ + תיעוד כניסה | ✓ + תיעוד כניסה |
| מיון עובדים והדרכה לפני מתן גישה (7(א)–(ב)) | – | ✓ | ✓ | ✓ |
| הדרכה תקופתית אחת לשנתיים (7(ג)) | – | – | ✓ | ✓ |
| ניהול הרשאות (8) | – | ✓ | ✓ | ✓ |
| זיהוי ואימות (9) | ✓ | ✓ | ✓ אמצעי פיזי ככל האפשר | ✓ אמצעי פיזי ככל האפשר |
| תיעוד גישה אוטומטי, שמירה 24 חודשים (10) | – | – | ✓ | ✓ |
| תיעוד אירועי אבטחה (11(א)–(ב)) | ✓ | ✓ | ✓ + דיון שנתי | ✓ + דיון רבעוני |
| דיווח מיידי על אירוע אבטחה חמור (11(ד)) | – | – | ✓ | ✓ |
| התקנים ניידים, עדכונים, תקשורת מוצפנת (12–14) | ✓ | ✓ | ✓ | ✓ |
| מיקור חוץ (15) | – | ✓ | ✓ | ✓ |
| ביקורת אחת ל-24 חודשים (16) | – | – | ✓ | ✓ |
| גיבוי נתוני האבטחה ונהלי שחזור (17–18) | – | שמירה | ✓ | ✓ |
מה החובות אומרות בפועל
- תקנה 9: ברמה בינונית וגבוהה, הזיהוי צריך להתבסס ״ככל האפשר״ על אמצעי פיזי שנמצא בשליטה הבלעדית של המורשה, למשל אפליקציית אימות בטלפון האישי או מפתח חומרה. אם עובדים עם סיסמאות, הנוהל צריך לקבוע החלפה לפחות כל שישה חודשים.
- תקנה 13: עדכונים שוטפים. אסור להשתמש במערכת שהיצרן כבר לא תומך באבטחה שלה, אלא אם יש לכך מענה אבטחתי מתאים.
- תקנה 14: אין לחבר את מערכות המאגר לאינטרנט בלי אמצעי הגנה. העברת מידע ברשת ציבורית חייבת להיות מוצפנת. בגישה מרחוק נדרש זיהוי, וברמה בינונית וגבוהה גם אמצעי פיזי.
- תקנה 10: מנגנון תיעוד אוטומטי שרושם מי ניגש, מתי, לאיזה רכיב ואם הגישה אושרה, שאי אפשר לבטל בשקט. הנתונים נשמרים 24 חודשים לפחות. כאן שירות SOC או MDR יכול לעזור, אבל צריך לוודא שזמן השמירה מתאים.
הקשר לשירותים מנוהלים
החובות הן שמסבירות למה עסק ברמה בינונית צריך בדרך כלל יותר משירות EDR בסיסי: תיעוד גישה, ביקורת, דיווח על אירוע חמור והדרכה תקופתית. מבדק חדירה הוא חובה רק ברמה הגבוהה, אבל הוא יכול להיות כדאי גם ברמות אחרות. ראו המדריך למבדקי חדירה, CISO במיקור חוץ ושירותים מנוהלים.
שאלות נפוצות
הרשם יכול לשנות לי את הרמה?
כן. תקנה 20 מסמיכה את הרשם (כיום, לאחר תיקון 13, בתוך הרשות להגנת הפרטיות) לפטור מאגר מסוים מחובות או להחיל עליו חובות, לפי גודלו, סוג המידע והיקף הפעילות. הוא יכול גם להכיר בעמידה בתקן מסוים כעמידה בתקנות.
יש לי כמה מאגרים, צריך מסמך לכל אחד?
התקנות מאפשרות לארגון עם כמה מאגרים באותה רמה נוהל אבטחה אחד, רשימת מצאי אחת וביקורת אחת לכולם.
מה זה ״בעל הרשאה״?
יחיד שיש לו גישה, לפי הרשאה, למידע מהמאגר, למערכות המאגר או למה שנדרש כדי לגשת אליו. עובדים של ספק חיצוני אינם נספרים כבעלי הרשאה של העסק לפי ההגדרה, אבל חלה עליהם תקנה 15.
האם צריך למנות ממונה על אבטחת מידע?
סעיף 17ב לחוק מחייב מינוי בגופים מסוימים: מי שמחזיק חמישה מאגרים החייבים ברישום או בהודעה, גוף ציבורי, בנק, מבטח וחברת דירוג אשראי. רוב העסקים הקטנים לא חייבים, אבל רבים ממנים גורם אחראי בכל זאת. ראו CISO במיקור חוץ.
מקורות
- ויקיטקסט: תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז–2017 — נוסח משולב, כולל התוספות
- רשומות, ק״ת 7809 (olaw.org.il) — הפרסום המקורי, 8.5.2017
- הרשות להגנת הפרטיות (gov.il) — הנחיות ושאלות ותשובות על התקנות
