מאת עידן צברי · יועץ אבטחת מידע והגנת פרטיות · מומחה תיקון 13
מאת: עידן צברי, יועץ בכיר לאבטחת מידע והגנת פרטיות · עדכון שבועי · 29 באוקטובר 2026
1. הטכניון הפר 4 תקנות אבטחת מידע: דיווח, מיפוי מערכות והקשחה
ב-26 באוקטובר 2026 פרסמה הרשות להגנת הפרטיות את החלטתה בעניין הטכניון, בתום הליך פיקוח מנהלי על אירוע אבטחה חמור שהתרחש לפני מספר שנים, ובו זוהתה חדירה בלתי מורשית למערכות הארגון. לפי הרשות, במועד האירוע הטכניון לא דיווח לרשות באופן מיידי, לא החזיק מסמך מיפוי מערכות ורשימת מצאי, לא הקפיד על ניהול ותפעול תקין של מערכות המאגר, ולא וידא עדכון והקשחה אפקטיביים שלהן. נקבעה הפרה של סעיף 17 לחוק הגנת הפרטיות (בנוסחו במועד האירוע, לפני תיקון 13) ושל תקנות 5(א), 11(ד)(1), 13(א) ו-13(ג) לתקנות הגנת הפרטיות (אבטחת מידע), התשע”ז-2017. בהודעת הרשות לא צוין עיצום כספי.
הרשות חוזרת לאירועים גם שנים אחרי שקרו, ובודקת לא רק אם דיווחתם אלא איך נראו המערכות לפני האירוע. שלוש שאלות לבדוק השבוע: האם יש לכם רשימת מצאי עדכנית של השרתים והמערכות שמחזיקים מידע אישי; מי אחראי אצלכם לעדכוני אבטחה, ומתי עודכנו לאחרונה השרתים שחשופים לאינטרנט; ומי מחליט שאירוע הוא חמור ומדווח עליו מיד. כיום, אחרי תיקון 13, לרשות יש סמכות להטיל עיצום כספי על הפרות מהסוג הזה.
2. עד 26,739 שרתים בסיכון בענן של GMO ביפן: החולשה הייתה ידועה מראש
ב-20 באוקטובר 2026 אישרה GMO Internet גישה בלתי מורשית לשירות Onamae.com Desktop Cloud, שירות של שולחנות עבודה וירטואליים שמשמש בעיקר למסחר אוטומטי במט”ח, וכי הותקנו תוכנות זדוניות בחלק משרתי הלקוחות. ב-21 באוקטובר החלה החברה לכבות את שרתי הלקוחות והשביתה את כל תוכניות השירות. לפי הדיווחים, עד 26,739 שרתים עלולים להיות מושפעים. בהמשך הודתה החברה שמידע לקוחות הוצא אל מחוץ לחברה, ולקוחות דיווחו על פעולות לא מורשות בחשבונות המסחר שלהם. גורם שנחשב לתוקף דרש כ-50 מיליון דולר, ו-GMO הודיעה שלא תשלם. מנכ”ל הקבוצה, מסאטושי קומאגאי, אמר שצוות פנימי זיהה את החולשות מוקדם יותר, אך החברה העדיפה את זמינות השירות והטיפול לא היה עמוק ומהיר מספיק.
חולשה אצל הספק היא אירוע אצלכם. לפי תקנות אבטחת מידע, העברת מערכות לספק חיצוני לא מעבירה אליו את האחריות: בעל המאגר נדרש לבחון את הספק ולקבוע בהסכם דרישות אבטחה. שלוש שאלות לספק הענן או ה-IT שלכם: תוך כמה זמן אתם מקבלים הודעה על אירוע אצלו; אילו סיסמאות ומפתחות גישה שלכם שמורים בשרתים שלו, והאם תוכלו להחליף את כולם בתוך שעות; והאם יש סביבה חלופית אם השירות מושבת לימים.
שורה תחתונה לשבוע הזה
בשני המקרים הבעיה לא הייתה טכנולוגיה חסרה, אלא חוסר בניהול: מערכות שלא עודכנו, מיפוי שלא היה קיים, וחולשה שזוהתה ונדחתה. רשימת מצאי עדכנית, אחריות ברורה על עדכונים, והסכמי ספקים עם חובת דיווח הם הצעדים שהכי קל להראות לרשות, והכי קשה לתקן בדיעבד.
שאלות ותשובות
מה קבעה הרשות להגנת הפרטיות בעניין הטכניון?
הרשות קבעה שהטכניון הפר את סעיף 17 לחוק הגנת הפרטיות ואת תקנות 5(א), 11(ד)(1), 13(א) ו-13(ג) לתקנות אבטחת מידע, משום שלא דיווח מיד על אירוע אבטחה חמור, לא החזיק מסמך מיפוי מערכות ורשימת מצאי, ולא וידא עדכון והקשחה של מערכות המאגר.
האם הרשות יכולה לבדוק אירוע אבטחה שקרה לפני כמה שנים?
כן. ההחלטה בעניין הטכניון התקבלה בתום פיקוח מנהלי על אירוע שהתרחש לפני מספר שנים, והבדיקה נעשתה לפי נוסח החוק שחל במועד האירוע.
מה זה רשימת מצאי לפי תקנות אבטחת מידע?
רשימה מעודכנת של מערכות המידע, השרתים והתוכנות שמשמשים את מאגר המידע, כחלק ממסמך מיפוי המערכות. בעניין הטכניון, היעדר מסמך מיפוי מערכות ורשימת מצאי נקבע כהפרה של תקנה 5(א).
האם בעל מאגר אחראי לאבטחה כשהמערכות נמצאות אצל ספק ענן?
כן. העברת מערכות לספק חיצוני לא מעבירה אליו את האחריות לפי תקנות אבטחת מידע, ובעל המאגר נדרש לבחון את הספק ולקבוע בהסכם דרישות אבטחה ודיווח. מומלץ לבחון את ההסכם מול עורך דין המתמחה בדיני פרטיות.
רלוונטי להעמקה: סקר סיכונים לאבטחת מידע · רמות אבטחה לפי התקנות · מנהל אבטחת מידע כשירות
מתי בדקתם לאחרונה את רשימת המצאי ואת הספקים שלכם?
סקר סיכונים ממוקד יראה מה חשוף אצלכם ומה צריך לתקן קודם, לפני שהרשות או תוקף ישאלו.
מקורות: הרשות להגנת הפרטיות, החלטה בעניין הטכניון (26.10.2026) · BleepingComputer, פריצה ל-Onamae.com Desktop Cloud ועד 26,739 שרתים (21.10.2026) · The Register, GMO מודה בחולשה ידועה ודרישת כופר של כ-50 מיליון דולר (27.10.2026)
עידן צברי, יועץ אבטחת מידע והגנת פרטיות
מייסד SEC-IT, עם מעל 15 שנות ניסיון. משלב רקע משפטי (תואר במשפטים) עם ניסיון IT מבצעי ומומחיות סייבר (CISM, CISO), ומתמחה ביישום תיקון 13 והגנת פרטיות לעסקים קטנים ובינוניים. עוד על עידן ←
