דיווח על אירוע אבטחת מידע

אירוע אבטחת מידע יכול לקרות לכל ארגון: מייל שנשלח לנמען הלא נכון, מחשב נייד שאבד, חשבון שנפרץ או מערכת שנחשפה לגורם חיצוני. השאלה שמעסיקה בעלי עסקים ומנהלים ברגע האמת היא פשוטה: האם צריך לדווח? למי? ובאיזה שלב? במאמר הזה נסביר את העקרונות הכלליים בדין הישראלי ואיך להתכונן מראש.

יודגש, המידע כללי ואינו מחליף בדיקה של המקרה הספציפי. הדרישות המדויקות תלויות בסוג המאגר, ברמת האבטחה שלו ובנסיבות האירוע, ולכן כדאי לבדוק אותן מול ההנחיות העדכניות של הרשות להגנת הפרטיות.

מהו אירוע אבטחת מידע

אירוע אבטחת מידע הוא מצב שבו מידע אישי שמוחזק בארגון נחשף, נגנב, שונה, אבד או נעשה בו שימוש שלא כדין, או כשיש חשש סביר לכך. הדוגמאות הנפוצות:

• פריצה למערכת או לחשבון דוא"ל של הארגון.
• הצפנה זדונית של מערכות ודרישת כופר.
• אובדן או גניבה של מחשב, טלפון או דיסק נייד שמכילים מידע אישי.
• שליחת מידע אישי לנמען שגוי.
• גישה של עובד למידע שאינו מורשה לראות, או העתקתו.
• חשיפה מקרית של מסמכים באינטרנט עקב הגדרה שגויה.

לא כל אירוע הוא "אירוע חמור". ההבחנה בין אירוע רגיל לחמור משפיעה על חובת הדיווח, ולכן חשוב לתעד ולהעריך כל אירוע באופן מסודר.

אירוע חמור וחובת הדיווח

תקנות הגנת הפרטיות (אבטחת מידע) קובעות שבעל מאגר מידע חייב לנהל רישום של אירועי אבטחה, ובמאגרים ברמת אבטחה בינונית וגבוהה, לדווח לרשות להגנת הפרטיות על אירוע אבטחה חמור, לאחר שנודע לו עליו. התקנות מתייחסות לאירוע חמור כאל אירוע שבו נעשה שימוש במידע מהמאגר או נפגע שלמותו של מידע בהיקף משמעותי או במאגר רגיש. הרשות רשאית להורות על הודעה גם לאנשים שמידע עליהם נפגע.

הנקודות המעשיות:

• הדיווח נעשה במהירות. אין להמתין לסיום חקירה מלאה לפני שמתחילים לפעול.
• הרשות רשאית לבקש פרטים, להנחות את הארגון ולדרוש צעדי תיקון.
• גם אירוע שאינו חמור צריך להירשם בתיעוד פנימי, ולהיות מוערך ומטופל.
• בעקבות תיקון 13 לחוק הגנת הפרטיות הוחמרו חובות הניהול והפיקוח על מאגרי מידע, ולכן כדאי לוודא את הדרישות העדכניות ממקורות רשמיים. להרחבה: תיקון 13: מה השתנה.

מה עושים כשמתגלה אירוע

סדר פעולות מומלץ, בקווים כלליים:

1. לעצור את הנזק. לנתק מהרשת מערכת פרוצה, להחליף סיסמאות, לבטל גישה של חשבון חשוד.
2. לשמר ראיות. לא למחוק לוגים ולא לאפס מערכות לפני שמתעדים מה קרה.
3. לגבש תמונה ראשונית. איזה מידע, כמה אנשים, באילו מערכות, מתי החל האירוע ומתי התגלה.
4. ליידע את הגורמים הפנימיים. הממונה על הגנת הפרטיות, ממונה אבטחת המידע, ההנהלה והיועץ המשפטי.
5. להעריך אם מדובר באירוע חמור ולהחליט על דיווח לרשות, לפי הדין ובליווי משפטי.
6. לשקול הודעה לנפגעים. כשיש סיכון ממשי לאנשים שמידע עליהם נחשף, לשקול לשתף אותם מה קרה ומה כדאי לעשות כדי להתגונן.
7. לתקן ולהפיק לקחים. לסגור את הפרצה, לעדכן נהלים ולהדריך עובדים.

תפקיד הממונה על הגנת הפרטיות

ממונה הגנת פרטיות (DPO) הוא הכתובת הטבעית לניהול התהליך: הוא מעריך את חומרת האירוע, מסייע בהחלטה על דיווח, מתאם בין המחלקות ומוודא שהאירוע מתועד והלקחים מיושמים. במקרים רבים הוא גם נקודת הקשר מול הרשות. את התפקיד אפשר למלא בעובד פנימי או בגורם חיצוני. פירוט נוסף בעמוד תפקידי ממונה הגנת פרטיות ובמאמר ממונה הגנת פרטיות חיצוני. מי חייב למנות ממונה מוסבר במאמר מי חייב DPO.

תיעוד: מה כדאי לרשום

תיעוד טוב הוא הגנה לארגון ובסיס ללמידה. לכל אירוע כדאי לרשום:

• מועד האירוע, מועד גילוי קרות האירוע והאדם שגילה אותו.
• תיאור קצר של מה שקרה ושל המערכות שנפגעו.
• סוג המידע שהיה מעורב וכמה אנשים נפגעו, ככל שידוע.
• הצעדים שננקטו ומי ביצע אותם, עם תאריכים.
• ההחלטה אם לדווח לרשות ולנפגעים, ונימוקיה.
• הלקחים והשינויים שהוכנסו לנהלים בעקבות האירוע.

הכנה מראש: נוהל תגובה לאירוע

ארגון שמתכונן מראש מגיב מהר יותר ופוגע פחות. כדאי שיהיה בארגון:

• נוהל כתוב שמגדיר מי מחליט, מי מדווח, ובאיזה סדר פועלים.
• רשימת אנשי קשר מעודכנת: ממונה, ספק IT, יועץ משפטי, חברת ביטוח אם יש פוליסת סייבר.
• מיפוי מידע. קיים קושי להעריך אירוע אם לא מודעים למידע המוחזק ואיפה.
• הדרכת עובדים. רבים מהאירועים מתחילים בטעות אנוש או בהודעת דיוג.
• תרגול. מעבר שולחני על תרחיש אחד לפחות בשנה.
• הסכמים עם ספקים. ספק שמעבד מידע בשמכם צריך להתחייב להודיע לכם מהר על אירוע.

טעויות נפוצות

• להמתין ולבדוק "עוד קצת" לפני שמיידעים את הגורמים הרלוונטיים.
• למחוק ראיות וקבצי לוג בניסיון לנקות את המערכת.
• להניח שאירוע אצל ספק חיצוני אינו באחריות הארגון.
• לא לתעד אירועים קטנים, ובכך לפספס דפוס חוזר.
• היעדר נוהל כתוב, כך שברגע האמת אף אחד לא יודע מי מחליט.

לסיכום

אירוע אבטחת מידע אינו סיבה לפאניקה, אבל הוא דורש תגובה מסודרת, תיעוד והערכה משפטית של חובת הדיווח. ארגון שיש לו נוהל ברור וממונה שמכיר את התהליך נמצא במצב טוב יותר בכל אירוע. אם אתם רוצים להכין נוהל תגובה לאירועים או לבדוק מה חל על הארגון שלכם, אפשר לפנות אלינו. מידע נוסף על התחום בעמוד הגנת הפרטיות וממונה DPO.

המידע במאמר הוא כללי, אינו מהווה ייעוץ משפטי, ואינו מחליף בדיקה של המקרה הספציפי.