מה חייבים לעשות לפי תקנות אבטחת המידע? המדריך לעסקים קטנים

אם אתם שומרים מידע על לקוחות, עובדים, או נרשמים בצורה דיגיטלית ומאורגנת, ייתכן שאתם מנהלים "מאגר מידע" לפי חוק הגנת הפרטיות. תקנות אבטחת המידע קובעות אילו חובות חלות עליכם כבעלי השליטה במאגר, ואילו חובות חלות על מי שרק מחזיק בו עבורכם (כמו ספק חיצוני) – כל אחד לפי התפקיד שלו.

הבשורה הטובה: עבור עסקים קטנים רבים, חלק ניכר מהדרישות הוא ניהולי, לצד אמצעי אבטחה טכניים בסיסיים שניתן בדרך כלל ליישם גם ללא צוות IT. במדריך הזה תמצאו מה נחשב מאגר מידע, אילו כלים שאתם כבר משתמשים בהם עשויים להיות חלק ממנו, ומה לעשות בפועל, לפי הקטגוריה שלכם.

ראשית – מה נחשב "מאגר מידע" לפי החוק?

תקנות אבטחת המידע חלות על עסקים וארגונים שמנהלים מאגר מידע אישי, וכן על ספקים שמעבדים או שומרים את המידע עבורם. לא כל שמירה של מידע אישי מחייבת ציות לתקנות. השאלה הראשונה היא האם המידע שאתם מחזיקים נחשב "מאגר מידע" לפי החוק.

מאגר מידע הוא לא בהכרח מערכת טכנולוגית אחת

טעות נפוצה היא לחשוב שכל מערכת שבה נשמר מידע היא מאגר נפרד: Gmail הוא מאגר אחד, מערכת ה-CRM היא מאגר שני והאתר הוא מאגר שלישי. בפועל, המאגר אינו נקבע לפי התוכנה, השרת או המקום שבו המידע נשמר, אלא בעיקר לפי סוג המידע, מטרת האיסוף והשימוש שנעשה בו.

אפשר לחשוב על מאגר מידע כעל קבוצה של מידע שנאסף ומשמש למטרה מסוימת. לדוגמה, מאגר הלקוחות של העסק עשוי לכלול פרטי קשר ב-CRM, תכתובות ב-Gmail, הזמנות באתר ומסמכים ב-Google Drive. למרות שהמידע נמצא בכמה מערכות שונות, הוא עשוי להשתייך לאותו מאגר משום שהוא משמש לאותה מטרה עסקית.

גם המצב ההפוך אפשרי: אותה מערכת יכולה להכיל יותר ממאגר מידע אחד. לדוגמה, אותה מערכת עשויה לכלול גם מידע על לקוחות וגם מידע על עובדים. אם המידע נאסף למטרות שונות, משמש תהליכים שונים ומנוהל בנפרד, ייתכן שנכון להתייחס אליו כשני מאגרים, אף שהוא נשמר באותה מערכת.

כלומר, הגבולות של המאגר אינם בהכרח גבולות פיזיים או טכנולוגיים. כדי לזהות את המאגר צריך לשאול: על מי נאסף המידע, אילו סוגי מידע נשמרים, לאיזו מטרה הוא נאסף וכיצד משתמשים בו.

חשוב לדעת: אין כלל אחד וברור שקובע איפה עובר הגבול בין מאגר למאגר. "אותה מטרה עסקית" היא נקודת התחלה טובה להבנה, אבל בפועל צריך להסתכל גם על סוג המידע, על מי הוא נאסף ואיך הוא מנוהל בפועל. במקרים שלא ברורים מאליהם, כדאי לבדוק את זה עם איש מקצוע ולא להסתמך רק על תחושת בטן.

החריג החשוב: לא כל רשימת אנשי קשר היא מאגר

החוק מחריג אוסף שכולל רק שם, כתובת ודרכי התקשרות (כמו אימייל וטלפון) של עד 100,000 בני אדם, ושאינו מלמד כשלעצמו על מידע אישי נוסף עליהם – בתנאי שאין לכם, במקום אחר, אוסף נוסף עם פרטי מידע נוספים על אותם אנשים.

מה זה אומר בפועל:

• רשימת תפוצה הכוללת שם ואימייל בלבד עשויה שלא להיחשב מאגר מידע, בכפוף לכל תנאי החריג.
• רשימה הכוללת גם היסטוריית רכישות, פניות, העדפות או הערות שירות צפויה בדרך כלל להיחשב מאגר מידע, משום שהיא כוללת יותר מפרטי התקשרות בסיסיים.
• אוסף אנשי קשר המקושר לאוסף אחר שלכם הכולל מידע נוסף על אותם אנשים צפוי להיחשב מאגר מידע.

בפועל, עסקים שמנהלים מערכת לקוחות, היסטוריית פניות, הזמנות, רשומות עובדים או מידע נוסף מעבר לפרטי התקשרות בסיסיים, מנהלים בדרך כלל מאגר מידע.

מה נחשב מידע אישי?

מידע אישי הוא כל נתון שקשור לאדם מסוים שאפשר לזהות, ישירות או בעקיפין, במאמץ סביר. לדוגמה: שם, כתובת, אימייל, טלפון, מספר תעודת זהות, נתוני רכישות שמקושרים לאדם מסוים, היסטוריית פניות או נתוני מיקום.

הערה לגבי עצמאים: שם העסק של עצמאי עשוי להיות גם שמו האישי, וכתובת העסק עשויה להיות כתובת מגוריו. במקרים כאלה, גם מידע שנראה "עסקי" עשוי להיות מידע אישי.

מה בדרך כלל אינו מידע אישי: מידע המתייחס רק לתאגיד ואינו מזהה אדם מסוים, למשל שם של חברה או כתובת אימייל כללית כגון info@.

לא כל מידע של העסק הוא מידע אישי

לעסק או לארגון יש בדרך כלל סוגים רבים של מידע שאינם מידע אישי: תוכניות עבודה, מחירונים, תחזיות מכירה, נתונים כספיים כלליים, מידע על מלאי, קוד תוכנה, נהלים פנימיים, סודות מסחריים ומסמכים עסקיים אחרים.

אם המידע לא קשור לאדם מסוים שאפשר לזהות, הוא לא "מידע אישי" לעניין מאגרי מידע ואבטחת מידע – הוא לא הופך למידע אישי רק כי הוא חשוב או סודי לעסק. עם זאת, פעולות אחרות (למשל צילום ברשות היחיד, בילוש, או הפרת סודיות) עדיין עשויות להיחשב פגיעה בפרטיות מטעמים אחרים, גם אם אין בהן קשר למאגר מידע.

לדוגמה, תחזית ההכנסות של העסק או רשימת המוצרים במלאי אינן מידע אישי. לעומת זאת, דוח מכירות שמציג אילו לקוחות רכשו כל מוצר, או טבלת שכר שמקשרת בין סכום השכר לעובד מסוים, כוללים מידע אישי.

גם מידע עסקי שאינו מידע אישי עשוי להיות רגיש וחשוב מאוד לעסק. כדאי להגן עליו מפני גניבה, אובדן או חשיפה, אך ההגנה עליו נובעת משיקולים עסקיים, חוזיים או מדיני סודות מסחריים, ולא בהכרח מחוק הגנת הפרטיות.

מידע בעל רגישות מיוחדת

החוק מחמיר לגבי סוגים מסוימים של מידע, ובהם מידע על צנעת חיי המשפחה והאישות, מוצא, בריאות ומצב נפשי, נטייה מינית, עמדות פוליטיות, אמונות דתיות, עבר פלילי, הערכה של אישיות, יכולת שכלית או תפקוד בעבודה, מידע גנטי, מזהה ביומטרי, נתוני שכר ופעילות פיננסית ומידע שחלה עליו חובת סודיות לפי דין. זוהי רשימה חלקית.

באילו מערכות המאגר שלכם נשמר ומעובד?

המידע של העסק יכול להיות מפוזר בין מערכות רבות: תיבת הדוא"ל, האתר, מערכת CRM, שירותי ענן, מערכות דיוור, כלי אוטומציה, מערכות הנהלת חשבונות, שירותי סליקה ועוד. המערכות שמופיעות כאן הן רק דוגמאות. לכל עסק יש שילוב שונה של כלים, ולכן חשוב לעבור על כל מערכת שבה העסק משתמש ולבדוק:

• האם נשמר או מועבר בה מידע אישי?
• איזה מידע אישי עובר בה?
• מי יכול לגשת למידע ומהן ההרשאות שלו?
• האם הגישה נעשית באמצעות חשבונות אישיים או חשבון משותף?
• האם מופעלים אמצעי אבטחה כמו סיסמה חזקה, אימות דו-שלבי והגבלת הרשאות?
• האם המידע נשמר או מעובד גם אצל ספק חיצוני?
• האם המידע עובר דרך שרתים מחוץ לישראל?

אם מערכת חיצונית שומרת או מעבדת עבורכם מידע אישי, חשוב לבדוק גם את אמצעי האבטחה שלה, את תנאי השירות ואת האפשרות לשלוט בגישה למידע.

חשבון אישי או חשבון משותף?

מבחינת אבטחת מידע, עדיף שלכל אדם תהיה גישה באמצעות חשבון אישי משלו. כך אפשר לקבוע הרשאות שונות לכל משתמש, לדעת מי ביצע פעולה ולבטל גישה של אדם מסוים בלי להחליף סיסמה לכולם.

בפועל, עסקים קטנים משתמשים לעיתים בחשבון משותף, במיוחד כאשר המערכת גובה תשלום עבור כל משתמש נוסף. זו אינה האפשרות המומלצת, משום שקשה לדעת מי השתמש בחשבון, הסיסמה עוברת בין כמה אנשים ולעיתים עובדים ממשיכים להכיר אותה גם לאחר שסיימו את תפקידם.

אם אין אפשרות מעשית לפתוח חשבון נפרד לכל משתמש, כדאי לפחות לצמצם את הסיכון:

• הגבילו את השימוש בחשבון המשותף למספר קטן ככל האפשר של אנשים.
• אל תשתפו את הסיסמה בהודעות, בקבוצות או במסמכים פתוחים.
• שמרו אותה במנהל סיסמאות מאובטח שמאפשר שיתוף בלי לחשוף את הסיסמה עצמה.
• הפעילו אימות דו-שלבי והגדירו מי אחראי לאמצעי האימות.
• החליפו את הסיסמה מיד כשאדם מפסיק להזדקק לגישה.
• אל תשתמשו בחשבון משותף למידע רגיש במיוחד או לפעולות שבהן חשוב לדעת מי ביצע כל שינוי.
• בדקו אם המערכת מציעה משתמשים מוגבלים, הרשאות צפייה בלבד, חשבונות אורח או מסלול זול יותר למשתמשים נוספים.

חשבון משותף הוא פשרה ולא פתרון אידיאלי. ככל שהמידע רגיש יותר, מספר המשתמשים גדול יותר או שהפעולות משמעותיות יותר, כך חשוב יותר להשתמש בחשבונות אישיים.

Gmail / Outlook

מתי זה רלוונטי?

כאשר תיבת הדוא"ל כוללת תכתובות עם לקוחות, הצעות מחיר, פרטי הזמנה, תיאורי פניות, מסמכים מצורפים או מידע אחר על אנשים.

מה כדאי לבדוק?

• למי יש גישה לתיבה?
• האם לכל עובד יש חשבון אישי, או שמשתפים תיבה אחת?
• האם מופעל אימות דו-שלבי?
• האם יש משתמשים שכבר אינם זקוקים לגישה?
• האם נשלחים מסמכים רגישים בלי הגנה מתאימה?

Google או Microsoft עשויות לשמור ולעבד עבורכם מידע אישי. לכן חשוב לבדוק את אמצעי האבטחה של החשבון, את אפשרויות ניהול המשתמשים ואת התנאים שחלים על השירות שבו אתם משתמשים.

Dropbox / Google Drive ושירותי אחסון בענן

מתי זה רלוונטי?

כאשר נשמרים בענן קובצי לקוחות, חוזים, טפסים, מסמכי עובדים, קובצי Excel או מסמכים אחרים הכוללים מידע אישי.

מה כדאי לבדוק?

• מי יכול לפתוח כל תיקייה?
• האם יש קישורים שמוגדרים כפתוחים לכל מי שמחזיק בהם?
• האם עובדים לשעבר עדיין מחזיקים בגישה?
• האם אפשר להגביל צפייה, עריכה, הורדה או שיתוף?
• האם מופעל אימות דו-שלבי?
• האם כל המשתמשים ניגשים באמצעות חשבונות אישיים?

לא כל קובץ בענן כולל מידע אישי. למשל, מחירון או מצגת כללית של העסק אינם בהכרח מידע אישי. צריך לבדוק את התוכן שנשמר בפועל.

האתר ושרת האחסון

טפסי יצירת קשר, הרשמות, הזמנות, אזורים אישיים וחשבונות משתמשים עשויים להעביר ולשמור מידע אישי באתר, בשרת האחסון, בתיבת הדוא"ל או במערכות נוספות שמחוברות אליו.

אם האתר שלכם בנוי בוורדפרס, שווה לשים לב לפרט שרוב בעלי האתרים לא בודקים: טפסים מסוימים שומרים את הפניות גם במסד הנתונים של האתר, בעוד אחרים רק שולחים אותן בדוא"ל או מעבירים אותן למערכת חיצונית. לדוגמה, Elementor Pro עשוי לשמור פניות באזור ה-Submissions בהתאם להגדרות, ואילו Contact Form 7 אינו שומר פניות במסד הנתונים כברירת מחדל, אלא אם נוסף תוסף כמו Flamingo או מנגנון שמירה אחר. כלומר, אי אפשר להניח לפי שם התוסף בלבד איפה המידע נשמר – צריך לבדוק בפועל מה מוגדר באתר שלכם, ולזכור שגם אם אתם "רק" מקבלים התראה בג'ימייל, ייתכן שהמידע האישי נשמר במקביל גם בשרת האחסון וגם בלוח הבקרה של וורדפרס.

מה כדאי לבדוק?

• אילו פרטי מידע עוברים דרך האתר?
• היכן המידע נשמר לאחר שליחת טופס?
• מי יכול לצפות בו במערכת הניהול?
• האם חשבונות מנהלי האתר אישיים ומוגנים?
• האם האתר משתמש ב-HTTPS?
• האם האתר, התוספים והמערכות מתעדכנים באופן שוטף?
• האם חברת האחסון שומרת או מעבדת מידע אישי עבורכם?

גם כאן חשוב לזכור: האתר הוא מערכת טכנולוגית, לא בהכרח מאגר נפרד. מידע שנאסף באתר יכול להשתייך למאגר הלקוחות של העסק יחד עם מידע שנמצא ב-CRM ובדוא"ל.

מערכות CRM כמו Monday.com, HubSpot או Salesforce

מערכת CRM כוללת בדרך כלל פרטי קשר, היסטוריית פניות, משימות, עסקאות, הערות שירות ומידע נוסף על לקוחות.

מה כדאי לבדוק?

• מי יכול לצפות בכל סוג מידע?
• האם לכל עובד ניתנת רק הגישה שהוא צריך?
• האם ניתן להגביל הרשאות לפי תפקיד?
• האם לכל משתמש יש חשבון אישי?
• האם מבטלים הרשאות כשעובד עוזב או מחליף תפקיד?
• האם מופעלים אימות דו-שלבי ותיעוד פעולות?

ספק ה-CRM שומר ומעבד עבורכם את המידע, ולכן חשוב לבדוק גם את רמת האבטחה של המערכת ואת האפשרות לשלוט במשתמשים ובהרשאות.

כלי אוטומציה כמו Zapier או Make

כלי אוטומציה מחברים בין מערכות. לדוגמה, הם יכולים להעביר פנייה מהאתר ל-CRM, להוסיף נרשם לרשימת תפוצה או לשלוח פרטי הזמנה למערכת אחרת. לא כל אוטומציה מעבירה מידע אישי. אוטומציה שמעדכנת מלאי או מעבירה נתוני מוצר כלליים עשויה שלא לכלול מידע אישי. לעומת זאת, אוטומציה שמעבירה שם, אימייל, טלפון, פרטי רכישה או תוכן פנייה מעבדת מידע אישי.

מה כדאי לבדוק בכל אוטומציה?

• אילו שדות בדיוק מועברים?
• לאיזו מערכת המידע נשלח?
• האם המידע נשמר גם בתוך כלי האוטומציה?
• מי יכול לצפות בחיבורים ובהיסטוריית הפעולות?
• האם מופעל אימות דו-שלבי?
• האם ניתן להגביל גישה לפי משתמש או תפקיד?
• האם המידע מועבר דרך שרתים מחוץ לישראל?
• אילו אמצעי הצפנה ואבטחה הספק מציע?

לפני שמעבירים באמצעות אוטומציה מידע בעל רגישות מיוחדת, צריך לבדוק בזהירות את התאמת הכלי, תנאי השירות, אמצעי ההצפנה, מיקום שמירת המידע והאפשרות להגביל את הגישה אליו.

ומה לגבי מערכות אחרות?

אותו עיקרון חל גם על:

• מערכות דיוור.
• מערכות סליקה.
• תוכנות הנהלת חשבונות.
• מערכות שירות לקוחות וצ'אט.
• מערכות לקביעת תורים.
• שירותי חתימה דיגיטלית.
• מערכות גיבוי.
• כלי ניתוח, פרסום ומעקב.
• מערכות משאבי אנוש ושכר.
• מערכות ניהול פרויקטים.

בכל מערכת צריך לבדוק לא את שם הכלי, אלא את מה שקורה למידע בפועל: איזה מידע אישי נכנס אליה, מי יכול לגשת אליו, לאן הוא מועבר ואילו אמצעי אבטחה מגנים עליו.

קטגוריות האבטחה – באיזו אתם?

תקנות אבטחת המידע אינן מטילות בדיוק את אותן דרישות על כל מאגר. הן מבחינות בין כמה קטגוריות, בהתאם לסוג המידע, מספר האנשים שעליהם נשמר מידע, מספר בעלי ההרשאה, מטרת המאגר ומאפיינים נוספים.

החלוקה המעשית היא לארבע קטגוריות:

• מאגר המנוהל בידי יחיד.
• רמת אבטחה בסיסית.
• רמת אבטחה בינונית.
• רמת אבטחה גבוהה.

הסיווג חשוב משום שבכל קטגוריה חלות חובות שונות. ככל שרמת האבטחה גבוהה יותר, מתווספות דרישות נוספות בנוגע לתיעוד, הרשאות, בקרה, אירועי אבטחה, בדיקות תקופתיות ואמצעי הגנה.

הסיווג לא תמיד שחור ולבן. לעיתים נדרשת בחינה של כמה מאפיינים יחד, וייתכנו מקרים שבהם צריך להפעיל שיקול דעת כדי לקבוע את רמת האבטחה המתאימה. לכן חשוב לא רק לבחור קטגוריה, אלא גם לתעד בקצרה כיצד התקבלה ההחלטה: אילו סוגי מידע נשמרים, על כמה אנשים, מי יכול לגשת למידע, מהי מטרת המאגר ואילו נסיבות נוספות נשקלו. אם הרשות תבקש בעתיד להבין מדוע העסק סיווג את המאגר ברמה מסוימת, כדאי שתוכלו להראות שההחלטה התקבלה לאחר בדיקה מסודרת ולא מתוך הנחה בלבד.

חשוב במיוחד לא להניח שעצמאי או עסק קטן משתייכים אוטומטית לקטגוריה של "מאגר המנוהל בידי יחיד". גודל העסק הוא רק חלק מהבדיקה. גם סוג המידע, מספר האנשים במאגר, מספר בעלי ההרשאה, מטרת הפעילות וחובות סודיות מקצועית עשויים להשפיע על הסיווג.

מאגר יחיד, בסיסית, בינונית או גבוהה – בקצרה

מאגר המנוהל בידי יחיד: מאגר שמנהל עצמאי או תאגיד בבעלות יחיד, כשרק בעל העסק ולכל היותר שני בעלי הרשאה נוספים משתמשים בו – אלא אם המטרה העיקרית שלו היא מסירת מידע לאחר (כמו דיוור ישיר), יש בו מידע על 10,000 איש ומעלה, או שהמידע כפוף לחובת סודיות מקצועית (כמו אצל עורכי דין, רופאים או פסיכולוגים).

אם לא נכנסתם לקטגוריה הזו, בודקים לאיזו רמת אבטחה אתם שייכים: בסיסית (ברירת המחדל – כל מאגר שלא נכנס לאחת הרשימות הבאות), בינונית (בין היתר: מטרתו העיקרית מסירת מידע לאחר, גוף ציבורי, או מידע רגיש מסוגים ספציפיים), או גבוהה (אותם קריטריונים של הרמה הבינונית, בתוספת 100,000 איש ומעלה במאגר או יותר מ-100 בעלי הרשאה).

חשוב במיוחד: אל תניחו שעצמאי או עסק קטן משתייכים אוטומטית ל"מאגר המנוהל בידי יחיד" או לרמה הבסיסית – סוג המידע, מספר האנשים ומספר בעלי ההרשאה משפיעים על הסיווג, לא רק גודל העסק. גם ההפך נכון: מאגר לא עולה אוטומטית לרמה גבוהה רק בגלל שהוא שייך לגוף ציבורי, בלי לבדוק את שאר הקריטריונים.

הבדיקה המלאה – כולל שני התנאים הנפרדים שיכולים להחזיר מאגר עם מידע רגיש לרמה בסיסית, הדיוק של קריטריון הרמה הגבוהה, ודוגמאות מהשטח לכל רמה – מפורטת במסמך הגדרות מאגר ורמת אבטחה: המדריך המעשי לעסק קטן, מאמר נפרד שמוקדש לנושא הזה בלבד.

לא בטוחים מה הסיווג שלכם?

הסיווג אינו תמיד פשוט, וטעות בו עלולה לגרום לכך שהעסק יישם פחות דרישות מאלה שחלו עליו בפועל.

אם אינכם בטוחים באיזו קטגוריה המאגר שלכם נמצא, במיוחד כאשר אתם מחזיקים מידע בעל רגישות מיוחדת, מידע על מספר גדול של אנשים, מידע מקצועי חסוי או כאשר אנשים רבים יכולים לגשת למערכות, כדאי להיעזר באיש מקצוע לבדיקת הסיווג.

רק לאחר שקובעים את הקטגוריה הנכונה אפשר לדעת אילו חובות ואמצעי אבטחה חלים על העסק. זה בדיוק סוג הבדיקה שאני עושה עם לקוחות: מיפוי מעשי של המערכות, הספקים ומספר בעלי ההרשאה, שמסתיים בסיווג מבוסס ולא בניחוש. אפשר לקרוא מה כולל שירות ממונה הגנת פרטיות חיצוני, או פשוט לכתוב לי אם תרצו לבדוק את זה יחד.

מה חייבים לעשות – שתי רשימות

הרשימות הבאות מסכמות את מה שרוב העסקים הקטנים צריכים לדעת. למי שרוצה את הפירוט המלא, סעיף-סעיף, הרשות פרסמה את המדריך המלא של הרשות לתקנות אבטחת המידע (PDF).

א. חובות שחלות גם על מאגר המנוהל בידי יחיד

1. מסמך הגדרות המאגר – חובה לפי דין

מסמך פנימי שמתעד מה קורה עם המידע שלכם: אילו סוגי מידע נאספים ולמה, האם המידע מועבר לגורם חיצוני או לחו"ל, ומה הסיכונים העיקריים. אין פורמט קבוע, הוא לא מוגש לאף גורם כדרך שגרה – אבל צריך להיות זמין להצגה אם הרשות תדרוש זאת – ויש לעדכן אותו בכל שינוי מהותי ולפחות אחת לשנה.

זה בדרך כלל הצעד המעשי הראשון אחרי שסיווגתם את המאגר. לפירוט המלא של שבעת הסעיפים שהמסמך חייב לכלול, עם דוגמאות מהשטח, יש מאמר נפרד שמתמקד רק בזה.

2. בדיקה שנתית של עודף מידע – חובה לפי דין

אחת לשנה, בדקו האם אתם שומרים יותר מידע ממה שבאמת נדרש למטרות המאגר. אם מצאתם מידע עודף, תעדו את המסקנה ובחנו אם למחוק אותו, לצמצם אותו, או לקבוע לו תקופת שמירה מוצדקת – בכפוף לכל חובת שמירה אחרת שיש לכם (חוקית, חוזית או עסקית).

3. אבטחה פיזית מתאימה – חובה לפי דין

הגנה פיזית שמתאימה לרגישות המידע ולסביבת העבודה. בעסק קטן עם מחשב נעול בחדר מוגן, זה עשוי להספיק במקרים רבים. מידע רגיש יותר, או סביבת עבודה פתוחה לקהל, עשויים לדרוש אמצעים נוספים.

4. זיהוי ואימות גישה – חובה לפי דין

צריך להגן על הגישה למערכות המאגר באמצעי זיהוי ואימות, בהתאם לרגישות המידע ולסיכון. ברוב המערכות נקודת הפתיחה היא חשבון אישי וסיסמה חזקה. בהתאם לרגישות המידע ולסיכון, כדאי להפעיל גם אימות דו-שלבי (2FA) – ובמקרים מסוימים הוא עשוי להיות אמצעי מתאים ונדרש כדי להגן על הגישה כמו שצריך.

5. תיעוד אירועי אבטחה – חובה לפי דין

אם קרה משהו שמעלה חשש לפגיעה במידע – שימוש ללא הרשאה, פריצה לחשבון, שליחת מידע לנמען שגוי, אובדן מכשיר שאינו מוגן – יש לתעד: מה קרה, מתי, ומה עשיתם בעקבות זה. אפשר לנהל את זה בקובץ פשוט.

6. הגבלת שימוש בהתקנים ניידים – חובה לפי דין

יש להגביל או למנוע חיבור של מחשבים ניידים, טלפונים, כוננים ניידים והתקנים אחרים למערכות המאגר, אלא אם ננקטו אמצעי הגנה שמתאימים לרגישות המידע ולסיכון. אמצעים אפשריים: נעילת המכשיר, הצפנת האחסון, הגבלת העתקת מידע, ואפשרות למחוק מרחוק.

7. ניהול והגנה על מערכות המאגר – חובה לפי דין

יש לנהל את מערכות המאגר בצורה מסודרת ולהפעיל הגנה מתאימה מפני חדירה, שימוש בלתי מורשה ותוכנות זדוניות. ככל האפשר, יש להפריד בין המערכות שדרכן ניתן לגשת למידע האישי לבין שאר מערכות המחשוב בעסק. יש להתקין עדכוני אבטחה ולהימנע משימוש בתוכנות או בגרסאות שכבר לא נתמכות, אלא אם ננקטו אמצעים מתאימים לצמצום הסיכון. בפרויקטים שאני מלווה, זו אחת הנקודות הכי נפוצות שנופלות בין הכיסאות – תוסף וורדפרס ישן שאף אחד לא זוכר למה הוא שם, ושמפסיק לקבל עדכוני אבטחה בלי שמישהו שם לב.

8. הגנה על תקשורת – חובה לפי דין

כאשר מערכות המאגר מחוברות לרשת ציבורית, ובפרט כאשר אפשר לגשת אליהן מרחוק – למשל דרך טופס באתר, מערכת הזמנות או כניסה לחשבון – צריך להשתמש באמצעי הגנה מתאימים ובשיטות הצפנה מקובלות, בהתאם לסיכון. באתר אינטרנט, שימוש תקין ב-HTTPS הוא אמצעי בסיסי והכרחי, אבל הוא לא בהכרח האמצעי היחיד שנדרש.

גם במאגר המנוהל בידי יחיד, מומלץ כפרקטיקת אבטחה בסיסית לבטל מיד גישה שכבר לא נדרשת – למשל של מי שסיים לעבוד עם העסק. זו לא חובה פורמלית עבור מאגר יחיד (החובה הפורמלית חלה רק מרמת אבטחה בסיסית ומעלה, ראו פריט 11 להלן), אלא הרגל אבטחה שכדאי לאמץ בכל מקרה.

ב. חובות נוספות מרמת אבטחה בסיסית ומעלה

9. נוהל אבטחת מידע – חובה לפי דין מרמת אבטחה בסיסית ומעלה

מסמך פנימי שמגדיר איך העסק מגן על המידע: אבטחה פיזית, הרשאות גישה, אמצעי הגנה על המערכות, הנחיות לעובדים, איך מטפלים בסיכונים ובאירועי אבטחה, ואיך משתמשים בהתקנים ניידים. יש לבדוק לפחות אחת לשנה אם הנוהל עדיין מתאים ולעדכן אותו כשנדרש, וכן לאחר שינוי משמעותי במערכות או גילוי סיכון חדש. הרשות פרסמה דגמים לדוגמה שאפשר להיעזר בהם.

במאגר ברמת אבטחה בינונית או גבוהה יש גם לקיים ביקורת תקופתית (פנימית או חיצונית) שבודקת עמידה בתקנות, לפחות אחת ל-24 חודשים, ולערוך הדרכות תקופתיות לבעלי הרשאה בנושא חובות אבטחת המידע, לפחות אחת לשנתיים.

10. מיפוי מערכות המאגר ורשימת מצאי – חובה לפי דין מרמת אבטחה בסיסית ומעלה

יש להכין רשימה מעודכנת של המערכות שמשמשות את המאגר: מחשבים ושרתים, שירותי ענן, תוכנות, רכיבי תקשורת ואבטחה, וממשקים שדרכם המידע עובר בין מערכות. בעסק קטן אין צורך בתרשים טכני מורכב, אבל צריך להיות ברור היכן המידע נשמר, באילו מערכות הוא מעובד, וכיצד המערכות מחוברות זו לזו. יש לעדכן את הרשימה כשמשהו משתנה, ולציין מתי עודכנה לאחרונה.

במאגר ברמת אבטחה גבוהה יש גם לערוך סקר סיכוני אבטחת מידע ומבדקי חדירות למערכות המאגר, אחת ל-18 חודשים לפחות, ולטפל בליקויים שהתגלו.

11. ניהול וביטול הרשאות גישה לפי מה שבאמת נדרש – חובה לפי דין מרמת אבטחה בסיסית ומעלה

יש להגדיר ולתעד מי רשאי לגשת לאיזה מידע, בהתאם לתפקידו ולמה שהוא באמת צריך – לא יותר מזה. חשוב לנהל רשימת הרשאות מעודכנת, ולבטל הרשאה של מי שסיים את תפקידו או שכבר לא צריך את הגישה.

12. בדיקת התאמה לפני מתן גישה – חובה לפי דין מרמת אבטחה בסיסית ומעלה

לפני שנותנים לאדם גישה למידע, יש לנקוט אמצעים סבירים כדי לוודא שהוא מתאים לתפקיד. ככל שהמידע רגיש יותר והגישה רחבה יותר, כך הבדיקה צריכה להיות יסודית יותר. צריך גם להגדיר את היקף הגישה הדרוש ולהדריך אותו לגבי חובות אבטחת המידע. הצהרת סודיות יכולה לעזור, אבל היא לא מחליפה הגדרת הרשאות והדרכה בפועל.

13. הסדרת גורמים חיצוניים – חובה לפי דין מרמת אבטחה בסיסית ומעלה

ספק שמעבד מידע אישי עבורכם עשוי להיחשב "גורם חיצוני". יש לוודא שההתקשרות איתו כוללת התחייבות מתאימה לאבטחת מידע. פירוט בסעיף הבא.

14. שמירת תיעוד – חובה לפי דין מרמת אבטחה בסיסית ומעלה

יש לשמור באופן מאובטח, למשך 24 חודשים, את התיעוד שנוצר במסגרת ניהול ההרשאות, אירועי האבטחה והפיקוח על גורמים חיצוניים – ככל שהחובות הרלוונטיות חלות על המאגר שלכם. חובה זו חלה מרמת אבטחה בסיסית ומעלה בלבד – היא לא חלה על מאגר המנוהל בידי יחיד. עם זאת, גם למאגר יחיד יש חובה נפרדת לתעד אירועי אבטחה (ראו פריט 5 לעיל) – רק בלי דרישת שמירה מפורשת של 24 חודשים.

בנוסף, כאשר יש חובה לבצע פעולה מסוימת שאינה יצירת מסמך, צריך לתעד באופן סביר איך היא בוצעה בפועל. חובה זו חלה מרמת אבטחה בסיסית ומעלה, ולא על מאגר המנוהל בידי יחיד. זה חשוב במיוחד כי תיקון 13 קובע עיצום כספי נפרד על הפרת חובת התיעוד עצמה.

הספקים שלכם – מה החובות כלפיהם?

מי נחשב גורם חיצוני?

גורם חיצוני הוא ספק שמעבד מידע אישי עבורכם – למשל באמצעות אחסון, העברה, ניתוח, או כל פעולה אחרת שהוא עושה במידע מטעמכם. הסיווג תלוי בשירות שהוא נותן בפועל, לא רק בשאלה האם לעובדיו יש גישה ישירה לנתונים.

ספק אחסון שמחזיק את בסיס הנתונים, CRM שמכיל פרטי לקוחות, ספק דיוור שמחזיק את רשימת התפוצה – אלה דוגמאות טיפוסיות. החובות הפורמליות כלפי גורמים חיצוניים חלות רק מרמת אבטחה בסיסית ומעלה, לא על מאגר המנוהל בידי יחיד.

מה צריך לעשות לפני ובמהלך ההתקשרות?

לפני שמתקשרים עם ספק, צריך לבדוק את סיכוני אבטחת המידע הכרוכים בשימוש בו: איזה מידע הוא יעבד, עד כמה הוא רגיש, מה היקף הגישה שלו ואילו אמצעי אבטחה הוא מפעיל. אם הסיכונים מאפשרים את ההתקשרות, יש להסדיר אותה בהסכם כתוב ולפקח לאורך זמן על עמידת הספק בהתחייבויותיו.

מה צריך לכלול בהסדר עם ספק?

יש להגדיר בהסכם, בין היתר:

• איזה מידע הספק רשאי לעבד, ולאיזו מטרה.
• לאילו מערכות הוא רשאי לגשת ואילו פעולות מותר לו לבצע.
• האם הוא רשאי להסתייע בספקי משנה, באילו תנאים, ואילו חובות יחולו עליהם.
• מה קורה למידע בסיום ההתקשרות – החזרה, מחיקה, או השמדה.
• כיצד ידווח ללא דיחוי על אירוע אבטחה.
• התחייבות הספק לדווח לפחות אחת לשנה על אופן עמידתו בחובות האבטחה ובהסכם.
• כיצד תפקחו על עמידתו בהתחייבויותיו.

גישה מעשית לעסקים קטנים

בפועל, לעסק קטן לרוב אין יכולת לנהל משא ומתן פרטני עם ספק ענן גדול. לכן, יש לבחון את התנאים הסטנדרטיים של הספק, את רמת האבטחה שהוא מציע, ואת התאמת השירות למידע שאתם מעבדים.

ספקים גדולים מציעים בדרך כלל תנאי עיבוד מידע סטנדרטיים כחלק מההסכם או באזור הניהול. בדקו אילו תנאים חלים על החשבון שלכם, והאם הם מכסים את הנדרש – מטרת העיבוד, משך שמירת המידע, מחיקה בסיום ההתקשרות, ודיווח על אירועים. תנאי ספק זר אינם ערובה לעמידה בדרישות הדין הישראלי.

עם ספקים קטנים שאין להם תנאי עיבוד מפורסמים, שלבו סעיפים מתאימים בהסכם ההתקשרות.

הערה: ספקים כמו Zapier ו-Make מעבדים מידע בחו"ל. כאשר מידע אישי מועבר לחו"ל, צריך לבדוק מהו הבסיס שמאפשר את ההעברה, לאיזו מדינה המידע מועבר, ומה ההתחייבויות של מי שמקבל אותו – זו חובה נפרדת, שלא תלויה בכך שהמאגר הוא בסיסי, בינוני או גבוה. הבדיקה חשובה במיוחד כשמדובר במידע בעל רגישות מיוחדת או בהיקף משמעותי.

אם קרה משהו – מה עושים?

התקנות מחייבות לתעד כל אירוע שמעלה חשש לפגיעה במידע – שימוש ללא הרשאה, פריצה לחשבון, שליחה לנמען שגוי, אובדן מכשיר שאינו מוגן, או חשיפת מידע על ידי ספק.

שלבים:

1. תעדו פנימית: מה קרה, מתי, ומה עשיתם (חובה בכל הרמות, כולל מאגר יחיד).

2. ברמת אבטחה בינונית או גבוהה: יש חובת דיווח מיידי לרשות להגנת הפרטיות על "אירוע אבטחה חמור". ברמה בסיסית ובמאגר המנוהל בידי יחיד: אין חובת דיווח מיידי כזו לרשות. שימו לב שייתכנו חובות דיווח אחרות שחלות עליכם מכוח דין, חוזה, או רגולציה ענפית אחרת.

3. הרשות, לאחר קבלת הדיווח, רשאית להורות לבעל המאגר להודיע לנושאי המידע שנפגעו. אין בתקנות חובה עצמאית אוטומטית להודיע ישירות ללקוחות בכל אירוע. ההחלטה על כך ראוי שתיעשה בהתייעצות מקצועית.

4. בדקו מה גרם לאירוע וטפלו בחולשה.

סיכום

תקנות אבטחת המידע לא נועדו להכביד על עסקים קטנים. עבור רוב הדרישות ברמה הבסיסית ובמאגר המנוהל בידי יחיד, מדובר בפעולות ניהוליות הגיוניות: תעדו מה אתם מחזיקים ואיפה, הגנו עליו, עדכנו מערכות, בדקו מי יש לו גישה.

לאחר שבדקתם שאתם מנהלים מאגר מידע וסיווגתם אותו, הצעד המעשי הראשון הוא הכנת מסמך הגדרות המאגר. ברגע שכתבתם אותו, הרבה מהדברים האחרים נופלים למקומם.

מדיניות הפרטיות שלכם היא חלק מהתמונה הזו, ואחד החלקים הגלויים ביותר לציבור – היא בדרך כלל הדבר הראשון שמישהו יבדוק אם ירצה לדעת איך אתם מתייחסים למידע שלו. אם אתם סקרנים לדעת מה המדיניות הקיימת שלכם מציגה בפועל, אפשר להריץ עליה בדיקה חינמית ב-PrivacyScore – כלי שפיתחתי, שנותן ציון ורשימת ממצאים תוך כמה דקות, בלי הרשמה. זו נקודת פתיחה טובה, לא תחליף לבדיקה מקצועית של המאגר כולו.