סיכוני ספקים ומיקור חוץ באבטחת מידע: מה תקנה 15 דורשת ואיך מנהלים ספק עם גישה

כשעסק נותן לספק חיצוני גישה למאגר מידע אישי, תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע) מטילה עליו שלוש חובות. לפני ההתקשרות: לבחון את סיכוני אבטחת המידע שבה. בהסכם: לקבוע במפורש רשימת נושאים, ובהם המידע והמטרות, המערכות, סוג העיבוד, משך ההתקשרות, השבת המידע והשמדתו, חובות האבטחה, סודיות העובדים, ספקי משנה ודיווח שנתי והודעה על אירוע. במהלך ההתקשרות: לפקח על עמידת הספק בהסכם ובתקנות, בהיקף שמתאים לסיכון. התקנה חלה מרמת אבטחה בסיסית ומעלה. היא לא חלה על התקשרות עם יחיד. מאז תיקון 13, הפרה שלה מופיעה בתוספת השלישית עם עיצום בסיסי של 4,000 ₪ ברמה בסיסית, 80,000 ₪ ברמה בינונית ו-320,000 ₪ ברמה גבוהה (ב-2026, לאחר עדכון המדד: 4,090, 81,890 ו-327,560 ₪).

המדריך הוא חלק מהמדריך לכשלי סייבר נפוצים.

מי נחשב ״גורם חיצוני״ אצלכם

רשמו כל מי שיש לו גישה, או יכולת גישה, למידע אישי או למערכות שבהן הוא נמצא:

מה צריך להיות כתוב בהסכם (תקנה 15(א)(2))

1. המידע שהספק רשאי לעבד, ומטרות השימוש המותרות.
2. מערכות המאגר שהוא רשאי לגשת אליהן.
3. סוג העיבוד או הפעולה שהוא רשאי לבצע.
4. משך ההתקשרות, השבת המידע בסיום, השמדתו אצל הספק ודיווח על כך.
5. אופן יישום חובות האבטחה שחלות על הספק כמחזיק, והנחיות נוספות שלכם.
6. התחייבות סודיות שהספק מחתים עליה את העובדים שלו.
7. ספק משנה: אם התרתם, חובת הספק להכניס את כל הנושאים האלה גם להסכם איתו.
8. דיווח לפחות פעם בשנה על עמידתו בחובות, והודעה על אירוע אבטחה.

התקנה דורשת גם לפרט את הנושאים 1–5 בנוהל האבטחה שלכם, ולהפנות בו להסכם ולנוהל האבטחה של הספק.

בחינת סיכונים לפני ההתקשרות: שאלון קצר

• מה ייקרה אם הספק ייפרץ? לאיזה מידע תוקף יגיע דרכו?
• האם הספק מאמת זהות עם MFA בכל גישה אליכם?
• האם הספק מחזיק תקן או דוח ביקורת חיצוני רלוונטי? מה ההיקף שלו?
• איפה מאוחסן המידע? האם הוא עובר לחו״ל?
• מי ספקי המשנה שלו?
• מה קורה בסיום ההתקשרות?

שמרו את השאלון ואת התשובות. תקנה 19(ב) דורשת לתעד באופן סביר גם פעולות שאינן מסמך, כמו בחינת סיכונים.

פיקוח: מה סביר לעסק קטן

התקנה דורשת פיקוח ״בהיקף הנדרש בשים לב לסיכונים״. לעסק קטן זה יכול להיות:

• דיווח שנתי מהספק, לפי ההסכם.
• סקירת הרשאות פעם ברבעון: אילו חשבונות של ספקים קיימים, מתי השתמשו בהם לאחרונה.
• גישה מרחוק לפי צורך: חיבור שנפתח רק לזמן התמיכה ונסגר אחריה.
• בדיקה אחרי אירוע אצל הספק.

דוגמה להמחשה: מיפוי ספקים במשרד קטן

משרד עם 22 עובדים מצא שבעה ספקים עם גישה. לשלושה לא היה הסכם כתוב בכלל, ולשניים היה הסכם בלי הנושאים של תקנה 15. סדר העבודה:

1. נספח אחיד לתקנה 15, שנשלח לכל הספקים. לרוב, ספקים מקצועיים מוכנים לחתום עליו או מציגים נספח משלהם.
2. ביטול שתי גישות מרחוק קבועות, והחלפתן בגישה לפי בקשה.
3. MFA חובה לכל חשבון ספק.
4. רשימת ספקים בנוהל האבטחה, עם הפניה להסכמים.

העבודה דרשה כ-12 שעות של vCISO, ועוד שעתיים-שלוש של עורך דין לנספח, להמחשה. בלי לקנות שום כלי.

ספקים גדולים עם נוסח סטנדרטי

ספקי ענן ותוכנה גדולים בדרך כלל לא חותמים על נספח של לקוח קטן. במקום זה בדקו את ההסכם לעיבוד נתונים (DPA) שלהם ואת מסמכי האבטחה שהם מפרסמים, וודאו שהם מכסים את הנושאים של תקנה 15. תעדו את הבדיקה. אם יש פער, רשמו איך אתם מתמודדים איתו, למשל הצפנה מצדכם או הגבלת סוג המידע שמועלה.

מבנה לדוגמה של נספח אבטחת מידע לספק

נספח קצר שמכסה את תקנה 15 יכול להיות בנוי כך. זה מבנה ולא נוסח משפטי:

1. הגדרות: מי בעל השליטה, מי הספק, מהו ״המידע״ ומהן ״מערכות המאגר״ לצורך ההסכם.
2. היקף: סוגי המידע, מטרות השימוש המותרות, המערכות שהספק רשאי לגשת אליהן וסוג הפעולות.
3. אבטחה: אילו אמצעים הספק מיישם, כמו MFA, הצפנה, הרשאות לפי צורך ותיעוד, ואילו הנחיות שלכם הוא מקבל.
4. עובדים: התחייבות סודיות חתומה של כל מי שמטעם הספק ניגש למידע, והדרכה.
5. ספקי משנה: האם מותרים, באישור מראש או לא, וחובה להחיל עליהם את אותם תנאים.
6. אירועים: הודעה מיידית על אירוע אבטחה, שיתוף פעולה בבירור ובדיווח לרשות.
7. דיווח שנתי: דוח קצר על עמידה בחובות.
8. סיום: השבת המידע בפורמט מוסכם, השמדה אצל הספק, אישור בכתב, וביטול כל ההרשאות.
9. בקרה: זכות לבקש מסמכים ולבצע בדיקה סבירה.

כדאי שעורך דין יתאים את הנוסח, בעיקר את חלוקת האחריות והשיפוי. אבל גם נספח פשוט שמכסה את תשעת הנושאים עדיף על הסכם שלא מזכיר אבטחת מידע בכלל.

שאלות נפוצות

תקנה 15 חלה גם על רואה החשבון החיצוני?

אם הוא ניגש למאגר, כן, אלא אם ההתקשרות היא עם יחיד. התקנה לא חלה על התקשרות של בעל מאגר עם יחיד. אם מדובר במשרד או בחברה, היא חלה.

מה אם הספק מסרב לחתום?

שקלו אם להמשיך איתו, או צמצמו את הגישה שלו. תעדו את ההחלטה ואת הסיבה. עמידה בתקנה היא חובה שלכם, לא של הספק בלבד.

האם הספק אחראי אם הוא נפרץ?

גם הספק, כמחזיק, חייב באבטחת המידע לפי החוק, ויכול להיות חשוף לעיצום בעצמו. אבל זה לא פוטר אתכם מהחובות שלכם. החוזה קובע את חלוקת האחריות הכספית ביניכם.

מקורות

• ויקיטקסט: תקנות הגנת הפרטיות (אבטחת מידע) — תקנות 15 ו-19
• ויקיטקסט: חוק הגנת הפרטיות — סעיף 17 והתוספת השלישית, פרט 24
• הרשות להגנת הפרטיות (gov.il) — הנחיות לגבי מיקור חוץ