1. מבוא והקשר רגולטורי
במציאות הדיגיטלית והסייבר-מאיימת של ימינו, הגנת הפרטיות ואבטחת המידע אינן עוד רק סוגיות טכנולוגיות של מחלקת ה-IT, אלא נדבך מרכזי בניהול הסיכונים, החוזק העסקי והממשל התאגידי של כל ארגון. תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, הגדירו מחדש את סטנדרט הציות הנדרש מגופים פרטיים וציבוריים בישראל המנהלים או מעבדים מידע אישי.
אחד הנדבכים המרכזיים והמשמעותיים ביותר בתקנות אלו הוא חובת הדיווח והשקיפות, המעוגנת בעיקרה בתקנה 11. תקנה זו קובעת מנגנון משולב, המחבר מצד אחד, דיווח מיידי חיצוני לרשות להגנת הפרטיות בעת התרחשות אירוע אבטחה חמור, ומצד שני דיווח פנימי וממשל תאגידי רציף להנהלת הארגון ולדירקטוריון בדבר מצב אבטחת המידע, אירועים שהתרחשו וממצאי ביקורות.
מאמר זה סוקר בהרחבה את הדרישות המשפטיות והתפעוליות של תקנה 11, מפרט מה נחשב ל"אירוע אבטחה חמור", מציג את לוחות הזמנים והערוצים לדיווח לרשות, ומציע קווי מנחה לניהול דיווחי הנהלה שוטפים ומנגנוני תגובה ארגוניים.
כמובן שהרשות להגנת הפרטיות מפרסמת עידכונים רבים בנושא זה ולכן לפני כל פעילות בנושא זה, יש לבחון את ההנחיות החדשות שהרשות מפרסמת מעת לעת.
2. מפתח לסיווג: רמות האבטחה ומשמעותן לגבי חובת הדיווח
תקנות הגנת הפרטיות מחלקות את מאגרי המידע לארבע רמות אבטחה מרכזיות, הכוללות רמת אבטחה בסיסית, בינונית, גבוהה, ומאגרים המנוהלים בידי יחיד. חובת הדיווח החיצונית לרשות להגנת הפרטיות לפי תקנה 11(ד) חלה על מאגרי מידע שנקבע לגביהם כי חלה עליהם רמת אבטחה בינונית או גבוהה.
רמת אבטחה בינונית חלה לרוב על מאגרים הכוללים מידע רגיש, כגון מידע רפואי, נתונים פיננסיים, עבר פלילי, נתונים ביומטריים, דעות ואמונות, או מאגרים שמטרתם העיקרית היא איסוף מידע לצורך מסירתו לאחר כדרך עיסוק. לעומת זאת, רמת אבטחה גבוהה חלה על מאגרים המקיימים את תנאי רמת האבטחה הבינונית ואשר מתקיים בהם תנאי נוסף של היקף, כגון שמירת מידע על מאה אלף אנשים ומעלה, או בעלות על הרשאות גישה של למעלה ממאה מורשים.
3. תקנה 11: מהו "אירוע אבטחה חמור"?
תקנה 11 לתקנות הגנת הפרטיות מגדירה מהו אירוע אבטחה, ומבחינה בין אירוע אבטחה רגיל לבין אירוע אבטחה חמור המפעיל את חובת הדיווח המיידי לרשות.
במאגר ברמת אבטחה גבוהה, אירוע אבטחה חמור מוגדר ככל אירוע שבו נעשה שימוש במידע מתוך המאגר בלא הרשאה או בחריגה מהרשאה, או אירוע שבו נעשתה פגיעה בשלמות המידע, כדוגמת שינוי, מחיקה או הצפנה לא מורשית של נתונים. במאגר ברמת אבטחה בינונית, אירוע אבטחה חמור מוגדר כאירוע שבו השימוש ללא הרשאה, החריגה מהרשאה, או הפגיעה בשלמות המידע נעשו ביחס לחלק מהותי מתוך מאגר המידע.
בין הדוגמאות המעשיות לאירועי אבטחה חמורים ניתן למנות מתקפת כופרה הגורמת להצפנה של קובצי מאגר המידע או שיבושם ופוגעת בזמינות ובשלמות המידע גם ללא זליגה מוכחת, חדירה לא מורשית או פריצה לרשת שבה זוהה תוקף שהשיג גישה לשרתי מאגר המידע או למערכות הניהול שלו, דליפת מידע או הוצאת נתונים לרשת על ידי עובד או ספק שהעביר קובצי מידע אישי מחוץ לגבולות הארגון ללא היתר, אובדן או גניבה של מדיה פיזית כמו מחשב נייד או דיסק קשיח המכיל נתוני מאגר מידע לא מוצפנים, וכן חשיפת אישורי גישה בכירים כגון הרשאות ניהול של המאגר בפורומים ציבוריים או בסביבות פיתוח פתוחות.
4. חובת הדיווח לרשות להגנת הפרטיות
חובת הדיווח חלה במקביל על בעל השליטה במאגר, מנהל המאגר והמחזיק במאגר, כגון ספק שירותי ענן או מיקור חוץ. מבחינה משפטית, די בכך שאחד מהגורמים הללו מגיש דיווח מלא ומדויק לרשות כדי לפטור את היתר מחובת הדיווח על אותו אירוע, אך האחריות לוודא שהדיווח בוצע בפועל מוטלת על כל אחד מהם.
תקנה 11(ד)(1) קובעת כי יש להודיע לרשות באופן מיידי על אירוע אבטחה חמור. עמדת הרשות להגנת הפרטיות מפרשת את המונח "מיידי" כהודעה בסמוך ככל האפשר למועד הגילוי הראשוני ללא דיחוי בנסיבות העניין. לפיכך, מיושם מודל דיווח מדורג לפיו אין צורך להמתין לסיום החקירה הפורנזית כדי לדווח. במידה שהאירוע זוהה ויש חשש סביר כי מדובר באירוע אבטחה חמור, יש למסור דיווח ראשוני מיד, ולעדכן בדיווח משלים בהמשך עם התבהרות התמונה.
אופן הגשת הדיווח מבוצע בראש ובראשונה באמצעות הטופס הדיגיטלי הייעודי באתר הרשות להגנת הפרטיות. במקרה שלא התקבל אישור קבלה אוטומטי, קיימת הנחיה להעביר את הדיווח בדוא"ל הייעודי של הרשות. מעבר להודעה הראשונית, חלה חובה לדווח לרשות גם על הצעדים והפעולות שביצע הארגון להכלה, לצמצום הנזק ולמניעת הישנות המקרה.
5. דיווחי הנהלה שוטפים וממשל תאגידי
חובת הדיווח לפי תקנה 11 אינה מסתכמת רק במצבי חירום של התקפת סייבר, אלא מחייבת מנגנון דיווח ובקרה שוטף בתוך ממשל התאגיד.
בהתאם לתקנות ולהנחיות הרשות להגנת הפרטיות, ובהן ההנחיה בנושא תפקיד הדירקטוריון, ממונה אבטחת המידע או מנהל המאגר חייבים להגיש להנהלה ולדירקטוריון דיווח תקופתי לפחות פעם בשנה, ובארגונים ברמת אבטחה גבוהה מומלץ לבצע זאת בתדירות גבוהה יותר. הדיווח התקופתי כולל סקירה של אירועי אבטחת המידע שהתרחשו בתקופה החולפת, ניתוח מגמות וחומרתם, סטטוס יישום מסמך הגדרות המאגר ונוהל אבטחת המידע הארגוני, ממצאי מבדקי חדירות וסקרי סיכונים תקופתיים, ממצאי ביקורות פנימיות וציבוריות, וכן תוכנית עבודה ומשאבים נדרשים לתיקון ליקויים ופערים.
הנהלת הארגון והדירקטוריון אינם יכולים להסתפק בקבלת הדיווח הסבילה, ועליהם לדון בממצאים, להקצות משאבים הולמים לטיפול בפערים, ולוודא כי מיושמים הנהלים הנדרשים בחוק. אי-קיום דיוני הנהלה ודירקטוריון בנושאי אבטחת מידע עלול להיחשב כהפרה של חובת הזהירות והאחריות התאגידית של נושאי המשרה.
6. ניהול אירוע אבטחה בתוך הארגון
על מנת לעמוד בדרישות תקנה 11, הארגון נדרש להחזיק בתהליכים פנימיים מוסדרים העוברים מגילוי וזיהוי האירוע, דרך תיעוד ביומן אירועים וסיווג חומרתו, ועד לדיווח מיידי לרשות או טיפול פנימי ותחקיר למידה.
כל ארגון חייב לנהל יומן אירועי אבטחה המכיל רישום מלא ומתועד של כל אירועי אבטחת המידע, גם כאלו שאינם מוגדרים כחמורים. היומן כולל את תאריך האירוע, סוג האירוע, המערכות שנפגעו, הפעולות שננקטו ומסקנות התחקיר. לאחר הכילת האירוע, יש לבצע תחקיר מעמיק המפרט את סיבת השורש, דרכי הפריצה, ונתיב הגישה של התוקף. לגבי דיווח לנושאי המידע, תקנות הגנת הפרטיות אינן קובעות חובת דיווח אוטומטית וגורפת לכלל הנפגעים מכל אירוע, אך הרשות להגנת הפרטיות מוסמכת להורות לבעל המאגר להודיע לנושאי המידע במידה שהיא מוצאת כי קיים חשש לפגיעה בפרטיותם או לנזק ממשי כמו גניבת זהות או הונאה פיננסית.
7. השלכות אי-דיווח וסיכוני הציות
אי-עמידה בחובת הדיווח לפי תקנה 11 טומנת בחובה סיכונים משפטיים, רגולטוריים ועסקיים כבדים. הרשות להגנת הפרטיות פועלת להטלת עיצומים כספיים וסנקציות מנהליות על גופים שלא דיווחו במועד על אירועי אבטחה חמורים. במקביל, תיקוני החקיקה מרחיבים באופן משמעותי את סמכויות האכיפה והחקירה הפלילית. בנוסף, הסתרה או שיהוי בדיווח על דליפת מידע עלולים לשמש עילה מרכזית בתביעות אזרחיות וייצוגיות מצד לקוחות או עובדים שפרטיותם נפגעה, ואף להטיל אחריות אישית על נושאי משרה שלא וידאו קיומם של מנגנוני הדיווח והאבטחה הנדרשים.
8. צעדים מעשיים להיערכות ארגונית מיטבית
כדי להבטיח מוכנות ועמידה מלאה בדרישות תקנה 11, מומלץ לארגונים לגבש נוהל תגובה לאירועי אבטחה המגדיר תפקידים, שרשרת הסלמה פנימית ומטריצת סיווג אירועים. כמו כן, יש להטמיע מערכות ניטור ואיתור בזמן אמת המאפשרות זיהוי מהיר של חדירות ושימוש חריג במידע, ולבצע הסדרה חוזית מול מחזיקים וספקים המעגנת חובת דיווח מיידית תוך שעות ספורות. בנוסף, מומלץ לקיים סימולציות ותרגולי הנהלה תקופתיים בניהול אירועי סייבר, ולמסד דיווחי הנהלה ודירקטוריון קבועים בלוח השנה הארגוני.
סיכום
תקנה 11 לתקנות הגנת הפרטיות קובעת נורמה ברורה של שקיפות, מהירות ואחריות תאגידית. דיווח מיידי על אירועי אבטחה חמורים לרשות להגנת הפרטיות, לצד ניהול דיווחי הנהלה ודירקטוריון שוטפים, אינם רק חובה משפטית אלא מהווים כלי ניהולי ראשון במעלה להגנה על נכסי המידע, לשימור אמון הלקוחות ולמזעור הנזק בעת משבר.
