רמות אבטחה לפי תקנות אבטחת מידע

תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, לא מחייבות כל ארגון באותה מידה. הן ממיינות כל מאגר מידע לאחת מארבע קטגוריות, וכל קטגוריה גוררת רשימת חובות אחרת.

עד אוגוסט 2025 הסיווג קבע רק מה צריך לבנות. תיקון 13 שינה את זה. מאז שנכנס לתוקף, הפרה של התקנות היא עילה לעיצום כספי, וגובה העיצום נגזר מרמת האבטחה של המאגר. אותה הפרה עצמה שווה סכום אחד ברמה בסיסית וסכום גבוה בהרבה ברמה גבוהה.

כלומר סיווג המאגר הוא לא תרגיל תיעודי. הוא המכפיל על החשיפה הכספית שלכם.

הטעות שחוזרת כמעט בכל ארגון

רוב האנשים מניחים שרמת האבטחה נגזרת מגודל החברה. היא לא.

היא נגזרת משלושה דברים אחרים: מה מטרת המאגר, אילו סוגי מידע יש בו, וכמה בעלי הרשאה קיימים.

חברה עם שנים־עשר עובדים שמנהלת מאגר לקוחות עם נתונים כלכליים יכולה להיות ברמה בינונית. חברה עם מאתיים עובדים שמנהלת רק מאגר ספקים בסיסי יכולה להיות ברמה בסיסית.

ארבע הקטגוריות

1. מאגר המנוהל בידי יחיד

מסלול מוקל למאגר שמנהל יחיד, או תאגיד בבעלות יחיד, וכאשר רק היחיד ולכל היותר שני בעלי הרשאה נוספים רשאים לעשות בו שימוש. ארבע חובות בלבד.

המסלול נשלל אם מתקיים אחד משלושה תנאים:

התנאי השלישי הוא זה שמפתיע. כמעט כל בעל מקצוע שחלה עליו חובת סודיות נשלל מהמסלול, גם אם הוא לבדו במשרד.

2. רמה בסיסית

ברירת המחדל. כל מאגר שאינו נמנה עם התוספת הראשונה או השנייה ואינו מאגר המנוהל בידי יחיד. בפועל: מאגרים ללא מידע רגיש, שאינם של גוף ציבורי ואינם מאגרי מסירת מידע.

3. רמה בינונית

מאגר נכנס לרמה הבינונית אם הוא נמנה עם אחד משלושה סוגים בתוספת הראשונה.

הראשון: מאגר שמטרתו העיקרית היא איסוף מידע לצורך מסירתו לאחר כדרך עיסוק, לרבות שירותי דיוור ישיר.

השני: מאגר שבעליו הוא גוף ציבורי כמשמעותו בסעיף 23 לחוק, גם אם לא מתקיים בו סוג אחר.

השלישי: מאגר הכולל מידע רגיש. התקנות מונות תשעה סוגים:

4. רמה גבוהה

חלה על מאגר מסירת מידע או מאגר עם מידע רגיש, לרבות מאגר של גוף ציבורי המקיים אחד מהם, שמתקיים בו אחד מאלה:

נקודה שנוטים לפספס: מאגר של גוף ציבורי שאין בו מידע רגיש ואינו מאגר מסירת מידע נשאר ברמה בינונית גם אם הוא עצום. הסף של מאה אלף אינו מעלה אותו בפני עצמו.

החריג שמוריד מאגרים חזרה לרמה הבסיסית

זהו הסעיף המעשי ביותר בתקנות, והוא כמעט לא מוכר.

על מאגר שנכנס לרמה הבינונית רק בגלל מידע רגיש לא תחול הרמה הבינונית אלא הבסיסית, אם מתקיים אחד משני תנאים.

הראשון: המאגר כולל מידע מהסוגים ב, ה, ז לעניין תמונות פנים בלבד, ו־ח, על אודות המועסקים או הספקים של בעל המאגר, ובלבד שהמידע משמש למטרות ניהול העסק בלבד, ואינו כולל את הסוגים א, ג, ד, ז לעניין מידע ביומטרי שאינו תמונות פנים, ו־ט.

השני: מספר בעלי ההרשאה אצל בעל המאגר אינו עולה על עשרה.

מה נדרש בכל רמה

שלוש הדרישות שהכי משפיעות על תקציב הן הביקורת הבלתי תלויה, שנעשית בידי גורם בעל הכשרה מתאימה שאינו ממונה האבטחה של המאגר; תיעוד הגישה האוטומטי, שאינו קיים כברירת מחדל כמעט בשום מערכת; וסקר הסיכונים ומבדקי החדירות ברמה הגבוהה.

אירוע אבטחה, וההבדל בין הרמות

באירוע חמור בעל המאגר מודיע לרשם באופן מיידי ומדווח על הצעדים שנקט. הרשם רשאי, לאחר התייעצות עם ראש מערך הסייבר הלאומי, להורות ליידע גם את נושאי המידע שעלולים להיפגע.

שלושה דברים שתיקון 13 שינה

המונח “בעל מאגר” הוחלף ב”בעל שליטה במאגר מידע”. המונח החדש מתיישר עם מושג ה־Controller ב־GDPR: הגורם שקובע את מטרת עיבוד המידע. התקנות משנת 2017 עדיין נוקטות במונח הישן, ולכן העמוד הזה משתמש בשניהם.

הגדרת “מאגר מידע” הורחבה. מידע המפוזר בכמה מערכות אך מתייחס לאותם נושאי מידע עשוי להיחשב מאגר אחד. זה משפיע ישירות על ספירת נושאי המידע, ולכן על הסף של מאה אלף.

נקבעו תקרות לעסקים קטנים. תיקון 13 קבע תקרות מיוחדות לפי מחזור, ועיצום כספי כולל אינו עולה על אחוז מסוים מהמחזור השנתי. הסכומים והתקרות המדויקים דורשים בדיקה מול הנוסח המעודכן.

איך קובעים בפועל

1. האם עיסוקכם הוא איסוף מידע לצורך מסירתו לאחרים? כן, ואתם בינונית לפחות.
2. האם אתם גוף ציבורי לפי סעיף 23 לחוק? כן, ואתם בינונית לפחות, גם ללא מידע רגיש.
3. האם המאגר כולל אחד מתשעת סוגי המידע הרגיש? כן, ואתם בינונית, אלא אם מתקיים החריג. שימו לב במיוחד למידע כלכלי ולהרגלי צריכה.
4. האם יש מידע על מאה אלף אנשים ומעלה, או יותר ממאה בעלי הרשאה? כן בצירוף שאלה 1 או 3, ואתם ברמה גבוהה.

לא ענית כן על אף אחת, ואתם ברמה בסיסית, או במאגר המנוהל בידי יחיד אם מתקיימים תנאיו.

וזכרו שלארגון יכולים להיות כמה מאגרים ברמות שונות. מאגר השכר ומאגר הלקוחות אינם בהכרח באותה קטגוריה. התקנות מאפשרות לאחד נוהל, רשימת מצאי וביקורת עבור מאגרים באותה רמה, אבל לא בין רמות.

שאלות נפוצות

איך יודעים כמה בעלי הרשאה יש לנו?

בעל הרשאה הוא יחיד שיש לו גישה למידע מהמאגר, למערכות המאגר, או למידע ורכיב הנדרשים להפעלת המאגר או לגישה אליו. זה כולל אנשי IT ומנהלי מערכת, לא רק משתמשים עסקיים. התקנות קובעות שמחזיק שאינו יחיד, או יחיד שקיבל גישה מטעם מחזיק, אינו נחשב בעל הרשאה של בעל המאגר. בפועל ארגונים רבים מגלים שהם חוצים את הסף של עשרה, וזה בדיוק הסף של החריג.

מאגר השכר שלנו, באיזו רמה הוא?

מידע על מצבו הכלכלי של אדם הוא מידע רגיש, ולכן מאגר שכר נכנס לכאורה לרמה הבינונית. אם המידע נוגע רק למועסקים ולספקים, משמש רק לניהול העסק ואינו כולל סוגי מידע מוחרגים, או לחלופין אם יש עד עשרה בעלי הרשאה, חל החריג והרמה יורדת לבסיסית. הסיווג תלוי בפרטים, לא בכלל אצבע.

אנחנו סטארטאפ קטן. זה רלוונטי?

כן. התקנות אינן פוטרות לפי גודל. חברה עם חמישה עובדים שמנהלת מאגר עם מידע בריאותי או ביומטרי נמצאת ברמה הבינונית לפחות. מנגד, חברה גדולה יכולה להימצא ברמה הבסיסית. הפרמטר הוא סוג המידע ומספר בעלי ההרשאה, לא מספר העובדים.

המאגר שלנו בענן אצל ספק. מי אחראי?

החובות חלות על בעל המאגר וגם על מנהל המאגר, ובשינויים המחויבים גם על המחזיק. בעל המאגר אינו יוצא ידי חובה בכך שהעביר את המידע לספק. התקנות מפרטות מה חייב להופיע בהסכם עם הגורם החיצוני: איזה מידע מותר לעבד, לאילו מערכות מותרת גישה, סוג העיבוד, משך ההתקשרות ואופן השבת המידע והשמדתו, אופן יישום חובות האבטחה, החתמת בעלי ההרשאה על סודיות, וחובת דיווח שנתית לבעל המאגר.

מה קורה אם סיווגנו את עצמנו נמוך מדי?

הפער יתגלה בביקורת, בשאלון של לקוח, בחיתום ביטוח, או בתרחיש הגרוע אחרי אירוע. וכיוון שגובה העיצום נגזר מרמת האבטחה, החשיפה תחושב לפי הרמה הנכונה ולא לפי זו שהנחתם. הרשם מוסמך גם להחיל על מאגר מסוים חובות לפי התקנות בהתחשב בגודלו, בסוג המידע, בהיקף הפעילות ובמספר בעלי ההרשאה. סיווג מתועד עם נימוק כתוב הוא ההגנה הטובה ביותר.

יש דרך לקבל פטור?

הרשם רשאי, אם ראה טעמים שמצדיקים זאת, לפטור מאגר מסוים מחובות לפי התקנות. הרשם רשאי גם לקבוע שמי שעומד בתקן מוכר או בהנחיות רשות מוסמכת ייחשב כמקיים את התקנות, כולן או חלקן, אם השתכנע שהעמידה בהן מבטיחה את רמת האבטחה הנדרשת. זה הבסיס לטענה שISO 27001 מכסה חלק מהדרישות, אך היא דורשת בחינה פרטנית ואינה אוטומטית.

מקורות: תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017. נבו, ויקיטקסט. מידע מקצועי כללי, אינו ייעוץ משפטי. הנוסח המחייב הוא זה שפורסם ברשומות.