שירותים
אירועי אבטחה
כשמתגלה אירוע אבטחה — פריצה, דליפת מידע, נוזקת כופר או מייל שנשלח לנמען הלא נכון — אנו מלווים אתכם מהשעה הראשונה: מה עושים, למי מדווחים ומה אומרים. לפני שזה קורה, אנו מכינים נוהל אירוע, כדי שתדעו מה לעשות. אירוע אבטחה מתרחש עכשיו? התקשרו, ואל תתארו אותו בכתב.
ארבע שאלות שקובעות מה חובה לעשות
אחרי אירוע, התשובות לשאלות האלה קובעות למי חייבים לדווח, ומתי.
| # | השאלה | למה היא מכריעה |
|---|---|---|
| 1 | באיזו רמת אבטחה המאגר? | אם המאגר ברמת אבטחה בינונית או גבוהה ואירע בו אירוע אבטחה חמור — חובה לדווח לרשות להגנת הפרטיות מיד. בכל רמת אבטחה, כל אירוע שמעלה חשש חייב להירשם. |
| 2 | מתי נודע לכם על האירוע? | לפי הרשות להגנת הפרטיות, חובת הדיווח על אירוע אבטחה חמור קמה כשנודע לכם עליו, ולא בתום חקירה פנימית. הרשות להגנת הפרטיות כבר הטילה עיצום כספי של 256,000 ש״ח בשל דיווח שלא נעשה מיד. |
| 3 | חל עליכם גם ה‑GDPR? | אם כן, רץ שעון נוסף: דיווח לרשות הפיקוח באיחוד בתוך 72 שעות, ככל האפשר. |
| 4 | מה קובעים הפוליסה וההסכמים שלכם? | פוליסת ביטוח והסכמים עם לקוחות קובעים לעיתים מועדי הודעה משלהם, והודעה מיידית למבטח עשויה להיות תנאי לכיסוי. |
כשאירוע קורה
אחרי השיחה הראשונה, העבודה מתנהלת לפי השעון של האירוע.
- השיחה
- אתם מתקשרים, ואנחנו מתחילים מיד: מה קרה, מה כבר נעשה, ומי צריך להיות מעורב.
- השעה הראשונה
- בלימה בלי למחוק ראיות: ניתוק, חסימה והחלפת סיסמאות, ותיעוד מהרגע הראשון — מה קרה, מתי זה התגלה ומי מעורב.
- היממה הראשונה
- הערכת ההיקף: איזה מידע נחשף ועל כמה אנשים. ההחלטה אם קמה חובת דיווח מיידי, הדיווח לרשות להגנת הפרטיות, והודעה למבטח לפי הפוליסה.
- השבוע הראשון
- הודעות ללקוחות, לגופים מפוקחים ולאנשים שנפגעו, היכן שנדרש ובנוסח מתואם. תחקיר, ועדכון הנהלים לפי הלקח.
- 1. השיחה
- 2. השעה הראשונה
- 3. היממה הראשונה
- 4. השבוע הראשון
לפני שזה קורה
מוכנות מראש מקצרת את השעות הראשונות. אלה התוצרים שמכינים אתכם לאירוע לפני שהוא קורה.
| תוצר | מה זה כולל |
|---|---|
| נוהל אירוע | נוהל דיווח, טבלת החלטה מי מדווח למי ותוך כמה זמן, וטיוטת דיווח ראשוני מוכנה מראש. |
| הודעה לציבור וללקוחות | טיוטה מוכנה מראש: מה קרה, מה אתם עושים ולמי לפנות, בנוסח שתואם את מה שמדווחים לרשות להגנת הפרטיות ולמבטח. |
| יומן אירועים | רישום של כל אירוע שמעלה חשש, כפי שתקנות אבטחת מידע מחייבות, ותבנית מוכנה למילוי. |
| תרגיל אירוע | תרגיל עם ההנהלה והצוות, על תרחיש מהעסק שלכם. |
| תדריך להנהלה | ישיבה אחת עם ההנהלה או הדירקטוריון: מה חל, מה הוחלט, ומה מתועד בפרוטוקול. |
שאלות שנשאלות
תוך כמה זמן צריך לדווח על אירוע אבטחה בישראל?
מיידית, באירוע אבטחה חמור במאגר ברמת אבטחה בינונית או גבוהה, לפי תקנות אבטחת מידע. לפי הרשות להגנת הפרטיות, החובה קמה עם היוודע האירוע: מדווחים דיווח ראשוני ומשלימים אותו בהמשך, בלי להמתין להשלמת כל הבדיקות. בדין הישראלי אין תקופת חסד של 72 שעות.
ומה אם חל גם ה־GDPR?
אז רץ שעון שני: ה־GDPR דורש דיווח לרשות הפיקוח בתוך 72 שעות ככל האפשר, ומעבד חייב להודיע לבעל השליטה ללא דיחוי. נוהל אירוע אחד צריך לענות על שניהם — ועל מה שקובעים הסכמי הלקוחות.
האם חובה להודיע לאנשים שהמידע עליהם נחשף?
לא תמיד. תקנות אבטחת מידע אינן מטילות חובה כללית להודיע לאנשים שנפגעו; הרשות להגנת הפרטיות רשאית להורות להודיע למי שעלול להיפגע. חובות מקצועיות, הסכמים ותום לב עשויים לחייב הודעה בנפרד, ולכן ההחלטה תלויה בנסיבות, ונעשית יחד איתכם.