תקנות הגנת הפרטיות | תקנות ישראליות לאבטחת המידע‎

מבנה הפרויקט:

הדרך לעמידה בתקנות הגנת הפרטיות הישראליות – כיצד ממשיכים מכאן?

לאחר בדיקה יש להתייחס לתקנות הגנת הפרטיות החלות על מאגרי המידע על פי רמת האבטחה הרלוונטית.

מסמך הגדרות המאגר

ראשית יש לכתוב מסמך הגדרות המאגר- המסמך יכיל בין היתר התייחסות לסוגיות הבאות:

• תיאור כללי של פעולות הנעשות על המידע במאגר (איסוף ושימוש במידע).
• תיאור המידע האישי ומטרות השימוש במידע האישי.
• האם המידע מועבר לחו"ל או נעשות פעולות עיבוד המידע על ידי צד שלישי?
• לאילו סיכונים עיקריים המידע האישי חשוף? כיצד הארגון יתמודד עם הסיכונים הללו?
• שמו של מנהל/ת מאגר המידע, של מחזיק/ת המאגר ושל הממונה על אבטחת המידע בו.

את המסמך הנ"ל יש לעדכן אחת לשנה במידה ונעשו שינויים טכנולוגיים, ארגוניים ואם אירע אירוע אבטחה.

מינוי ממונה אבטחת המידע בארגון

לפי חוק הגנת הפרטיות, יש למנות ממונה על אבטחת מידע בארגון במידה והארגון מחזיק בחמישה מאגרי מידע, במקרה והגוף הינו גוף ציבורי או בנק, חברת ביטוח, או חברה העוסקת בדירוג או בהערכה של אשראי.

כתיבת נוהל אבטחת מידע

בעל מאגר מידע חייב להחזיק מסמך של מבנה מאגר המידע ומערכות המידע בארגון.

המסמך יכלול:

• תשתיות ומערכות חומרה.
• מערכות התכנה המשמשות להפעלת מאגר המידע, ניהולו, תחזוקתו, תמיכה בפעילותו ולאבטחתו.
• תכנות וממשקים המשמשים לתקשורת אל מערכות המאגר ומהן החוצה.
• תרשים המתאר קשרים בין רכיבי המערכת השונים ומיקומם הפיזי של הרכיבים.
• תאריך העדכון האחרון של המסמך.

פרטי המסמך יימסרו רק לבעלי הרשאה מתאימה ובהיקף הנדרש לצורך ביצוע תפקידם.

מיפוי מערכות המאגר וביצוע סקר סיכונים

במאגר מידע בעל רמת אבטחה גבוהה, יש לערוך סקר לאיתור סיכוני אבטחת מידע (סקר סיכונים) ומבדקי חדירות למערכות המאגר אחת ל-18 חודשים לפחות.

אבטחת מידע פיזית וסביבתית

התקנה מחייבת לשמור פיזית על תשתיות ומערכות החומרה המשמשות את מאגר המידע, מפני כניסה של עובדים ללא הרשאה מתאימה. במידה ומדובר על מאגר מידע אשר חלה עליו רמת אבטחה בינונית או גבוהה, יש לתעד את הכניסות והיציאות של העובדים באמצעות מצלמות אבטחה, מערכות זיהוי ביומטרי וכו'.

תיעוד של אירועי אבטחה

אירוע אבטחה – כל אירוע אשר ישנה פגיעה בשלמות המידע, או שימוש במידע ללא הרשאה מתאימה. במידה וישנו אירוע אבטחה, יש לתעד את האירוע ככל האפשר.

במאגר שחלה עליו רמת אבטחה בינונית על בעל המאגר לקיים דיון אחת לשנה לפחות בנוגע לאירועי האבטחה שהתרחשו, תוך בחינה של הצורך בעדכון הנהלים.

אירוע אבטחה ייחשב לחמור במידה ונעשה שימוש בחלק מהותי מהמאגר ללא אישור מתאים מבעל המאגר.

במאגר שחלה עליו רמת אבטחה גבוהה, ייערך דיון אחת לרבעון לפחות.

אירוע אבטחה ייחשב לחמור במידה ונעשה שימוש במידע ללא הרשאה מתאימה או שנעשתה פגיעה בשלמות המידע במאגר המידע.

התקנים ניידים

התקן נייד – מחשב או התקן אחסון המיועד לשימוש נייד, כגון: USB, מחשב נייד, כונן חיצוני, פלאפון ועוד.

קיים סיכון שהמידע מהמאגר עלול לדלוף בעקבות ההתקנים הניידים, זאת בעקבות אפשרות העברתם ממקום למקום. סיכון נוסף הינו הכנסת וירוסים על ידי ההתקנים הניידים למאגר. חשוב לבקר ולהגביל את האפשרות לחיבור ההתקנים למערכות המאגר. במידה ומבוצעת העתקת המידע להתקן, יש להצפין את המידע על ידי שימוש בשיטות הצפנה מקובלות.

ניהול מאובטח ומעודכן של מערכות המאגר

על בעל המאגר להפריד בין המערכות המשמשות את המאגר משאר המערכות בארגון. אחת הדרכים הנה התקנת מערכות המשמשות את מאגר המידע על שרת נפרד.

יש לעדכן באופן שוטף את מערכות המאגר, חומרה ותוכנה בהתאם להנחיות היצרן בכדי לנטרל פגיעות פוטנציאליות במערכות.

אבטחת תקשורת

במידה ומערכות המאגר מחוברות לרשת האינטרנטית, ישנו סיכון לגישה חיצונית בלתי מורשית, לכן יש לפעול על פי הכללים הבאים:

• התקנת אמצעי הגנה מפני גישה חיצונית בלתי מורשית, כגון: תכנות אנטי וירוס, Firewall ועוד. את האמצעים הנ"ל יש להטמיע בכל מערכת שיש לה גישה למאגר המידע.
• במידה ומועבר מידע ממאגר המידע, יש לוודא כי המידע מוצפן על ידי שיטת הצפנה מקובלת.
• במידה וניתנת גישה מרחוק (לדוגמה, חיבור מהבית) יש להשתמש באמצעי זיהוי מתאים בכדי לגשת למאגר המידע.

במאגרים ברמת אבטחה בינונית וגבוהה יש להשתמש באמצעי פיזי שבשליטתו של בעל ההרשאה של האמצעי, לדוגמה, כרטיס חכם.

מיקור חוץ

מתן גישה לגורם חיצוני עלולה ליצור סיכוני אבטחת מידע בארגון, לכן יש לבחון את הסיכונים מראש ולהיערך בהתאם. מהו המידע שהגורם החיצוני רשאי לעבד ולאילו מטרות? לאלו מערכות הוא רשאי לגשת? כיצד יישם את תקנות אבטחת המידע?

תקנה 15 לתקנות אבטחת מידע קובעת שורה של חובות הנוגעות לעבודה עם ספקים חיצוניים, המתווספות לפרסומים והנחיות קודמות של רשות הגנת הפרטיות בנושא. בין היתר, עיבוד מידע באמצעות גוף חיצוני עלול לחייב חתימה על הסכם עיבוד מידע מתאים (בדומה ל- DPA המקובל ב- GDPR), העונה על דרישות החוק הישראלי.  

ביקורות תקופתיות

במאגר מידע שחלה עליו רמת אבטחה בינונית או רמת אבטחה גבוהה, יש לערוך אחת ל-24 חודשים לפחות ביקורת על ידי גורם בעל הכשרה מתאימה בנושא שאינו ממונה על אבטחת המאגר בכדי לוודא את עמידתו בהוראות תקנות הגנת הפרטיות.

משך שמירת נתוני אבטחה

הנתונים הנצברים, (כגון: נתוני כניסה ויציאה מהמערכת, זיהוי ואימות משתמשים, הכנסה והוצאת התקנים מהמאגר וכו') צריכים להישמר באופן מאובטח למשך 24 חודשים.

במאגר שחלה עליו רמת אבטחה בינונית או גבוהה, יש לגבות את הנתונים הנשמרים באופן שבו בכל זמן נתון ניתן לשחזר את הנתונים למצבם המקורי.

האחריות לאבטחת המידע

על בעל מאגר המידע, המנהל והמחזיק להיות אחראיים על אבטחת המידע במאגר. במידה ומבוצעת פעולה על ידי בעלי האחריות, ישנה דרישה לתעד את ביצועה.

נקסטפ תקינה ישירה מביאה עמה שנים רבות של ניסיון בתחום הרגולציה והתקינה. לאורך השנים, סיפקנו פתרונות מתקדמים לחברות ברחבי הארץ ממגוון תחומים ומכל הגדלים.

יחד, נסייע לך לעמוד בדרישות המחמירות של תקנות הגנת הפרטיות הישראליות.

כדי להתחיל להגן על מאגרי המידע השמורים אצלך בארגון ובסטנדרטים הטובים ביותר, אנו מזמינים אותך לפנות אלינו עוד היום.

להחליט כיצד לבצע פרויקט הגנת הפרטיות זה לא פשוט כלל,

אבל להתקשר אלינו לקבלת מידע זה פשוט וקל!