תיקון 13 · המדריך המלא
אבטחת מידע הפסיקה להיות המלצה.
מאוגוסט 2025 הרשות להגנת הפרטיות יכולה להטיל קנס בלי לעבור דרך בית משפט, ואחרי אירוע אתם אלה שצריכים להראות מה עשיתם כדי למנוע אותו. המדריך הזה מסביר מה בדיוק נדרש מעסק שמחזיק מידע רגיש, ומה לא נדרש ממנו למרות מה שמוכרים לו.
01מה השתנה
ארבעה שינויים שהופכים את זה לעניין שלכם.
אכיפה מנהלית במקום פלילית
הרשות להגנת הפרטיות מטילה קנס ישירות, בלי הליך בבית משפט. מה שהיה תיאורטי במשך שנים הפך לדבר שקורה.
נטל ההוכחה עבר אליכם
קודם הרשות הייתה צריכה להוכיח שהפרתם. היום, אחרי אירוע, אתם צריכים להראות שנקטתם באמצעים סבירים. מה שלא תועד, לא קרה.
ההגדרות התרחבו
מידע גנטי, מידע ביומטרי ומידע על נטייה מינית נכנסו במפורש להגדרת המידע הרגיש. עסקים שהיו בטוחים שהם מחוץ לתמונה מצאו את עצמם בתוכה.
רישום המאגר בוטל, החובה לאבטח נשארה
זו הנקודה שהכי מבלבלת. ביטול חובת הרישום לא ביטל שום דרישת אבטחה, ולמעשה הדרישות רק הוחמרו.
02הקנסות
הסכומים אמיתיים, והם מצטברים.
הפרות קלות, כמו נהלים שלא תועדו, נמצאות בעשרות אלפי שקלים. הפרות בינוניות, כמו גישה שאינה מבוקרת, נמצאות במאות אלפים. על הפרה חמורה או נמשכת, כמו דליפה או אי־דיווח, התקרה היא 3.2 מיליון שקל.
אירוע אחד מייצר כמה הפרות במקביל: אי־אבטחה, אי־דיווח ואי־תיעוד, ולכל אחת מהן קנס נפרד. זו הסיבה שהתיעוד שווה יותר ממה שנדמה: הוא לא מונע את האירוע, הוא מוריד את מה שקורה אחריו.
03ארבע הרמות
רוב המשרדים המקצועיים נמצאים ברמה הבינונית, לא בבסיסית.
התקנות מגדירות ארבע רמות אבטחה לפי סוג המידע והיקפו. הרמה שלכם קובעת מה נדרש מכם, וטעות נפוצה היא להניח שמשרד קטן נמצא אוטומטית ברמה הבסיסית.
04שתי נקודות שמבלבלות
שני דברים שמוכרים לכם כחובה, ואינם.
הם שייכים לרמה הגבוהה. משרד מקצועי טיפוסי לא נדרש אליהם, וספק שמציג אותם כחובה רגולטורית מוכר לכם משהו שהחוק לא דורש. מה שכן נדרש ברמה הבינונית הוא ביקורת אחת לשנתיים על העמידה בתקנות.
חובת מינוי ממונה הגנת פרטיות חלה על גופים ציבוריים ועל ארגונים מסוימים, ורוב המשרדים הפרטיים הקטנים אינם חייבים בה. חובת ממונה אבטחת מידע נגזרת מקטגוריות אחרות של מחזיקי מאגרים. שתי החובות נבחנות בנפרד, ולא אחת דרך השנייה.
05חובת הדיווח
מה נחשב אירוע שחייב דיווח.
הדיווח לרשות להגנת הפרטיות הוא תוך 72 שעות מרגע שנודע לכם. חמש הדוגמאות האלה נחשבות אירוע, וארבע מהן קורות בלי שאף אחד פרץ לכם למערכת.
גישה לא מורשית למידע של לקוחות
כולל ניסיון שנחסם, לא רק ניסיון שהצליח.
מחשב נייד או טלפון שאבד או נגנב
אם היה עליו מידע של לקוחות, זה אירוע.
כופרה שנעלה תיקים
תוכנה שנועלת את הקבצים ודורשת תשלום.
עובד שהוציא מידע החוצה
בטעות או בכוונה, ההגדרה אחת.
ספק חיצוני שחשף מידע שמסרתם לו
האחריות חוזרת אליכם, לא נעצרת אצלו.
מסרתם מידע למזכירות חיצונית, לתוכנה או לרואה חשבון, והדליפה קרתה אצלם? האחריות נשארת אצלכם. החוק מחייב אתכם לוודא שגם מי שמקבל מכם מידע עומד בדרישות, וזו בדיוק הסיבה שנדרש הסכם כתוב.
06מה נדרש בפועל
שמונה דרישות, בשפה של מי שמנהל משרד.
נהלים כתובים
"אנחנו יודעים מה לעשות" לא עומד בביקורת. צריך מסמך הגדרות מאגר ונוהל אבטחת מידע, ואלה שני המסמכים שמבקשים לראות ראשונים.
גישה לפי צורך
עובד רואה את מה שנחוץ לתפקידו ולא יותר, ויש רשימה מעודכנת של מי מורשה למה.
אימות דו־שלבי
על הדוא״ל ועל כל מערכת שמחזיקה מידע של לקוחות. ברמה הבינונית זו דרישה מפורשת.
תיעוד גישה שנשמר 24 חודשים
מי ניגש למה ומתי. בלי זה אי אפשר לדעת מה דלף, ואין מה להראות לרשות.
נוהל לאירוע
מה עושים בשעה הראשונה, מי מדווח, ותוך כמה זמן. הדיווח לרשות הוא תוך 72 שעות.
גיבוי מוצפן ומנותק
גיבוי שמחובר לרשת נסגר יחד איתה בכופרה. וגיבוי נחשב קיים רק אחרי שניסו לשחזר ממנו.
הסכם עיבוד מידע מול כל ספק
כל גורם חיצוני שנוגע במידע שלכם, מתוכנה ועד מזכירות חיצונית.
ביקורת אחת לשנתיים
בדיקה מתועדת של העמידה בתקנות, בידי מי שלא אחראי על תחזוקת המערכות.
07המדידה
הרמה שלכם היא שאלה רגולטורית. מה מוגדר אצלכם היום היא שאלה אחרת.
בדקנו 63 משרדים בישראל, על סמך מידע פומבי בלבד ובלי לגעת באף מערכת. אצל 93% מהם אפשר לשלוח מייל שנראה כאילו יצא מהמשרד, אל הלקוחות שלו. אצל 21% מהם גם רשומת השולחים המורשים חסרה או שגויה.
זו לא פריצה ולא חולשה מתוחכמת. זו הגדרה חסרה בשם המתחם, והיא גלויה לכל אדם מבחוץ, כולל למי שמחפש את מי לתקוף.
08רשימת תיוג
שמונה שאלות. כל "לא בטוח" הוא סיכון.
ההגנה על המחשבים מנוטרת, או רק מותקנת?
אנטי־וירוס שאף אחד לא מסתכל על ההתראות שלו הוא אנטי־וירוס שלא קיים.
יש גיבוי מוצפן שמנותק מהרשת?
ומתי בפעם האחרונה מישהו ניסה לשחזר ממנו בפועל?
סיסמאות ברירת המחדל הוחלפו?
בנתב, בשרת ובמצלמות. זו עדיין אחת הכניסות הנפוצות ביותר.
אתם יודעים מי מורשה למידע הרגיש ביותר?
ומתי בפעם האחרונה מישהו עבר על הרשימה ומחק ממנה שם?
יש נוהל כתוב לאירוע, ומישהו קרא אותו?
מי מתריע, מי מדווח, ותוך כמה שעות.
חתומים הסכמי עיבוד מידע מול כל הספקים?
מזכירות חיצונית, תוכנת ניהול לקוחות, שירות סריקה, אחסון בענן.
אימות דו־שלבי פעיל על המייל ועל המערכות?
ברמה הבינונית זו לא המלצה, זו דרישה.
בוצעה ביקורת מתועדת בשנתיים האחרונות?
עם ממצאים בכתב, ובידי מי שלא מתחזק את המערכות בעצמו.
09לפי ענף
החוק אחד, ההשלכות שונות.
לכל ענף יש את הנקודה שבה הוא נשבר קודם: אצל עורכי הדין זו חובת הדיווח מול החיסיון, אצל רואי החשבון זה ריכוז המידע של עשרות לקוחות, ובקליניקות זו העובדה שמידע רפואי לא חוזר פנימה אחרי שיצא.
10למה איש המחשבים לא מספיק
הוא מתחזק את המערכת. זה לא אותו תפקיד.
רוב הטכנאים טובים מאוד בתחום שלהם: תקלות, ציוד, הגדרות ותפעול יומיומי. תיקון 13 דורש דברים אחרים לגמרי: תיעוד שנשמר שנתיים, נהלים כתובים, בקרה על ספקים, וביקורת בידי מי שלא מתחזק את המערכות בעצמו.
מי שמתחזק את המערכת הוא לא מי שאמור לבדוק אותה, וזו לא ביקורת עליו. זו הסיבה שהתקנות עצמן מפרידות בין שני התפקידים, ובחלק מהמשרדים זו גם דרישה מפורשת. החלוקה המלאה בינינו לבינו מופיעה בדף הבית.
נבדוק מה חשוף אצלכם
בדיקה חיצונית ללא עלות, מהמקום שממנו תוקף היה מסתכל. לא מתחברים לרשת שלכם ואין מה להתקין.
- מה בודקים התחזות לכתובת המייל שלכם, סיסמאות שכבר דלפו, ומתחמים שדומים לשלכם
- נדרש מכם כתובת מייל, ותו לא
- חוזרים אליכם תוך יום עסקים אחד
- אחרי הדוח שיחה של 20 דקות, ואז אתם מחליטים
הבדיקה מכסה את מה שנראה מבחוץ. את מה שדורש מבט מבפנים, כמו גיבויים והרשאות, בודקים בשלב הבא. אפשר גם לעבור על שש הדרכים שבהן מידע הולך לאיבוד לפני שמתחילים. המידע כאן אינו ייעוץ משפטי.