מי אחראי על מה: חלוקת האחריות בין ספק ה-IT, היועץ וההנהלה

מאת עידן צברי · יועץ אבטחת מידע והגנת פרטיות · מומחה תיקון 13

מאת: עידן צברי, יועץ בכיר לאבטחת מידע והגנת פרטיות · עודכן אוגוסט 2026

זהו אינו מאמר נגד ספקי IT. ספק IT טוב הוא נכס אמיתי לארגון, והוא לרוב הראשון שמזהה שמשהו לא תקין. הבעיה אינה איכות הספק — אלא שהארגון מצפה ממנו לתפקיד שמעולם לא הוגדר כתפקידו, לא סוכם בחוזה ולא תומחר.

למה בכלל צריך לחלק אחריות?

בעסק קטן או בינוני התמונה הרווחת נראית כך: יש ספק IT שמטפל בכל מה שקשור למחשבים, ולכן “נושא אבטחת המידע מכוסה”. בפועל, שלושה סוגי משימות שונים לחלוטין מקובצים תחת אותה כותרת:

• תפעול וזמינות — שהמערכות יעבדו, שהגיבוי ירוץ, שהמשתמש החדש יקבל מחשב. זו עבודת ה-IT.
• הגדרה, בקרה וציות — מה צריך להיות מוגן, באיזו רמה, לפי איזו רגולציה, ומי בודק שזה אכן קורה. זו עבודת אבטחת המידע.
• החלטה וקבלת סיכון — כמה משקיעים, מה מקבלים כסיכון עסקי, ומי חותם. זו עבודת ההנהלה, ואי אפשר להעביר אותה לאף ספק.

כשהשלושה מקובצים לאדם אחד, מה שקורה בפועל הוא שהמשימות התפעוליות — הדחופות והנראות לעין — דוחקות את משימות הבקרה, שאף אחד לא מרגיש בהיעדרן עד האירוע.

טבלה: מי אחראי על מה בפועל

הטבלה מתארת חלוקה מקובלת בארגונים קטנים ובינוניים. בארגון עם מחלקת IT פנימית או עם CISO ייעודי החלוקה משתנה — אך העיקרון נשאר: מי שמבצע אינו מי שמבקר.

שלושת הפערים שנופלים בין הכיסאות

1. הגיבוי רץ — אבל אף אחד לא ניסה לשחזר

זהו הפער הנפוץ ביותר, והוא כמעט תמיד תוצאה של חלוקת אחריות ולא של רשלנות. ספק ה-IT אחראי שהגיבוי ירוץ, והוא אכן רץ. בדיקת שחזור מלאה היא משימה אחרת: היא דורשת זמן, סביבה נפרדת והשבתה מתוכננת — ולכן היא נדחית עד שהיא נחוצה. פירוט על יעדי ההתאוששות: RTO ו-RPO וההשפעה העסקית.

2. עובד עזב — והחשבון נשאר פתוח

סגירת הרשאות היא פעולה טכנית פשוטה, אבל היא תלויה במידע שמגיע ממחלקת משאבי אנוש או מההנהלה. כשאין תהליך מוגדר, הידיעה פשוט לא מגיעה. הפתרון אינו טכנולוגי אלא תהליכי: רשימת בקרה לעזיבת עובד, ובדיקה תקופתית של חשבונות פעילים מול רשימת מועסקים.

3. יש רגולציה — ואין מי שאחראי עליה

ספק IT אינו יועץ רגולציה, ואין זה תפקידו למפות מאגרי מידע או לנסח נהלים לפי חוק הגנת הפרטיות. כשאף אחד לא מוגדר כאחראי, הנושא נשאר פתוח עד שמגיעה פנייה מהרשות או שאלה מלקוח עסקי. ראו שאלות ותשובות על תיקון 13.

מה תיקון 13 שינה בחלוקת האחריות?

תיקון 13 חידד עיקרון שהיה קיים גם קודם, אך כעת יש לו שיניים אכיפתיות: האחריות על המידע נשארת אצל בעל המאגר, גם כשהעיבוד או האחסון מבוצעים בידי ספק חיצוני. שלוש השלכות מעשיות:

• הסכם מול ספק שמעבד מידע אישי עבורכם צריך להתייחס לאבטחת מידע ולא רק לזמינות שירות (SLA).
• צריך להיות בארגון גורם מוגדר — פנימי או חיצוני — שאחראי על הציות, ולא רק על התפעול. בגופים מסוימים נדרש ממונה הגנת פרטיות (DPO).
• בעת אירוע, חובת הדיווח לרשות חלה על הארגון. ספק ה-IT אינו הכתובת שאליה פונה הרגולטור.

שבע שאלות שיגלו לכם אם יש פער

ענו בכן או לא. כל “לא” הוא פער שיש לו בעלים לא מוגדר:

1. האם בוצעה בשנה האחרונה בדיקת שחזור מגיבוי — ולא רק בדיקה שהגיבוי רץ?
2. האם קיימת רשימה מעודכנת של כל מי שיש לו גישה למידע רגיש בארגון?
3. האם ידוע לכם אילו מאגרי מידע אישי הארגון מחזיק, והיכן הם נמצאים?
4. האם יש נוהל כתוב שקובע מי מדווח, למי ותוך כמה זמן, בעת אירוע אבטחה?
5. האם ההסכם מול ספק ה-IT מגדיר במפורש מה כלול באבטחת מידע ומה אינו כלול?
6. האם מישהו מציג להנהלה דוח תקופתי על מצב אבטחת המידע?
7. האם ידוע מי בארגון מוסמך לאשר קבלת סיכון — כלומר להחליט שלא לתקן משהו?

שלוש תשובות שליליות ומעלה מצביעות בדרך כלל על כך שהפער אינו בכלים אלא בהגדרת התפקידים. סקר סיכונים הוא הדרך המסודרת למפות זאת.

שאלות נפוצות

האם צריך להחליף את ספק ה-IT?

ברוב המקרים לא. הפער אינו באיכות הספק אלא בהגדרת התפקיד. במקרים רבים די בהרחבת ההסכם ובהוספת שכבת בקרה חיצונית שעובדת מול הספק ולא במקומו.

האם אותו גורם יכול גם לבצע וגם לבקר?

עקרונית זה אפשרי בארגון קטן מאוד, אך זו חולשה מובנית: מי שביצע נוטה שלא לזהות את מה שפספס. הפרדה בין ביצוע לבקרה היא עיקרון בסיסי בכל תקן אבטחת מידע, לרבות ISO 27001.

מה ההבדל בין יועץ אבטחת מידע לבין CISO כשירות?

ייעוץ הוא בדרך כלל פרויקטלי — סקר, תוכנית עבודה, ליווי להסמכה. CISO כשירות הוא תפקיד מתמשך: אחריות שוטפת על תוכנית האבטחה, דיווח להנהלה וניהול הממשק מול הספקים.

כמה זמן לוקח למפות את חלוקת האחריות?

מיפוי ראשוני של מי אחראי על מה, כולל סקירת ההסכם מול ספק ה-IT, נעשה בדרך כלל בתוך שבועיים עד ארבעה שבועות בארגון קטן או בינוני.

האם זה רלוונטי גם לעסק עם עשרה עובדים?

כן, בגרסה מצומצמת. גם בעסק קטן צריך להיות ברור מי בודק שחזור, מי סוגר הרשאות ומי מדווח בעת אירוע. חובות תיקון 13 אינן פוטרות עסקים קטנים המחזיקים מידע אישי.

רוצים לדעת היכן נמצא הפער אצלכם?

שיחת אבחון קצרה מאפשרת למפות את חלוקת האחריות הקיימת ולזהות מה נופל בין הכיסאות — בלי להחליף ספקים ובלי התחייבות. ניתן גם להתחיל מליווי ובקרה שוטפים.

לתיאום שיחת אבחון עם עידן צברי ←