מה קובע את רמת האבטחה של המאגר?
סוג המידע, מספר בני האדם שהמידע עוסק בהם, ומספר בעלי ההרשאה. מאגר עם מידע רגיש הוא לרוב ברמה בינונית, ומאה אלף אנשים או יותר ממאה בעלי הרשאה מעלים אותו לרמה גבוהה.
מאגר בידי יחיד
- מתי היא חלה
- יחיד או תאגיד בבעלותו, עם עד שני בעלי הרשאה נוספים, עד 10,000 בני אדם ובלי חובת סודיות מקצועית
- דוגמה
- יועץ עצמאי עם רשימת לקוחות
בסיסית
- מתי היא חלה
- כל מאגר שלא נכנס לרמות האחרות
- דוגמה
- רשימת לקוחות של חנות, בלי מידע רגיש
בינונית
- מתי היא חלה
- מאגר עם מידע רגיש (רפואי, כלכלי, עבר פלילי, צנעת חיים ועוד), מאגר של גוף ציבורי, או מאגר שמטרתו מסירת מידע לאחרים
- דוגמה
- מרפאה, משרד רואי חשבון, משרד עורכי דין
גבוהה
- מתי היא חלה
- מאגר מהסוג הבינוני עם מידע על 100,000 בני אדם ומעלה, או עם יותר מ-100 בעלי הרשאה
- דוגמה
- רשת מרפאות, חברת ביטוח, מערכת שכר גדולה
| רמה | מתי היא חלה | דוגמה |
|---|---|---|
| מאגר בידי יחיד | יחיד או תאגיד בבעלותו, עם עד שני בעלי הרשאה נוספים, עד 10,000 בני אדם ובלי חובת סודיות מקצועית | יועץ עצמאי עם רשימת לקוחות |
| בסיסית | כל מאגר שלא נכנס לרמות האחרות | רשימת לקוחות של חנות, בלי מידע רגיש |
| בינונית | מאגר עם מידע רגיש (רפואי, כלכלי, עבר פלילי, צנעת חיים ועוד), מאגר של גוף ציבורי, או מאגר שמטרתו מסירת מידע לאחרים | מרפאה, משרד רואי חשבון, משרד עורכי דין |
| גבוהה | מאגר מהסוג הבינוני עם מידע על 100,000 בני אדם ומעלה, או עם יותר מ-100 בעלי הרשאה | רשת מרפאות, חברת ביטוח, מערכת שכר גדולה |
מה זה תיעוד גישה, ואיך עושים אותו בשרת Windows?
תקנה 10 דורשת, מהרמה הבינונית ומעלה, מנגנון שמתעד אוטומטית כל ניסיון גישה למערכות המאגר: מי, מתי, לאיזה רכיב, איזה סוג גישה, והאם אושר או נדחה. את התיעוד שומרים לפחות 24 חודשים.
ההגדרה מתורגמת לשלוש שכבות בשרת טיפוסי של משרד, ולכל אחת יש כלי מובנה. אף אחד מהם לא דורש רכישה, כולם דורשים שמישהו יפעיל אותם ויוודא שהם נשמרים:
כניסה לשרת
- מה מתעדים
- התחברות, ניסיון כושל, חיבור RDP
- איך
- מדיניות Audit Logon ב-Windows, ויומן Security שלא נדרס אחרי כמה ימים
תיקיות וקבצים
- מה מתעדים
- פתיחה, שינוי ומחיקה בתיקיות עם מידע רגיש
- איך
- Object Access על התיקיות הרלוונטיות בלבד, אחרת היומן מתמלא ברעש
בסיס הנתונים
- מה מתעדים
- כניסות ל-SQL ופעולות על טבלאות רגישות
- איך
- SQL Server Audit, או התיעוד המובנה של התוכנה העסקית
| שכבה | מה מתעדים | איך |
|---|---|---|
| כניסה לשרת | התחברות, ניסיון כושל, חיבור RDP | מדיניות Audit Logon ב-Windows, ויומן Security שלא נדרס אחרי כמה ימים |
| תיקיות וקבצים | פתיחה, שינוי ומחיקה בתיקיות עם מידע רגיש | Object Access על התיקיות הרלוונטיות בלבד, אחרת היומן מתמלא ברעש |
| בסיס הנתונים | כניסות ל-SQL ופעולות על טבלאות רגישות | SQL Server Audit, או התיעוד המובנה של התוכנה העסקית |
מה תקנות אבטחת המידע דורשות מהגיבוי?
ברמה בינונית וגבוהה, תקנה 18 דורשת נהלים כתובים לגיבוי תקופתי ולשחזור, ששחזור יתבצע באישור מנהל המאגר וייתועד. ברמה גבוהה נדרש עותק גיבוי שמבטיח שאפשר לשחזר את המידע במקרה של אבדן או הרס.
המילה החשובה היא שחזור. התקנות לא שואלות אם יש תוכנת גיבוי, הן שואלות אם אפשר לחזור למצב המקורי. בפועל זה אומר ארבעה דברים:
גיבוי שעומד בדרישה, בפועל
- נוהל כתוב: מה מגבים, באיזו תדירות, כמה גרסאות שומרים, ומי מאשר שחזור
- עותק שיושב מחוץ לשרת המקורי ומחוץ למשרד, ולא נמחק כשמוחקים את השרת
- גיבוי של בסיס הנתונים שנעשה דרך SQL או בכלי שיודע לגבות קבצים פתוחים, ולא העתקה של קבצים פתוחים
- שחזור מבחן מתועד: מתי, מה שוחזר, כמה זמן לקח, ומה התגלה
לפרטים הטכניים של גיבוי בסיס נתונים שמתחת לתוכנות כמו חשבשבת ופריוריטי, ראו גיבוי SQL Server למערכות ERP.
כל כמה זמן צריך ביקורת, סקר סיכונים ומבדק חדירה?
ביקורת פנימית או חיצונית לפחות אחת ל-24 חודשים, ברמה בינונית וגבוהה. סקר סיכונים ומבדקי חדירה לפחות אחת ל-18 חודשים, ברמה הגבוהה בלבד.
מסמך הגדרות מאגר ונוהל אבטחה
- בסיסית
- כן
- בינונית
- כן, מורחב
- גבוהה
- כן, מורחב
תיעוד גישה אוטומטי, 24 חודשים
- בסיסית
- לא
- בינונית
- כן
- גבוהה
- כן
נהלי גיבוי ושחזור (תקנה 18)
- בסיסית
- לא
- בינונית
- כן
- גבוהה
- כן, ועותק גיבוי שמבטיח שחזור
ביקורת, לפחות אחת ל-24 חודשים
- בסיסית
- לא
- בינונית
- כן
- גבוהה
- כן
סקר סיכונים ומבדק חדירה, אחת ל-18 חודשים
- בסיסית
- לא
- בינונית
- לא
- גבוהה
- כן
דיון באירועי אבטחה
- בסיסית
- לא
- בינונית
- לפחות פעם בשנה
- גבוהה
- לפחות פעם ברבעון
| דרישה | בסיסית | בינונית | גבוהה |
|---|---|---|---|
| מסמך הגדרות מאגר ונוהל אבטחה | כן | כן, מורחב | כן, מורחב |
| תיעוד גישה אוטומטי, 24 חודשים | לא | כן | כן |
| נהלי גיבוי ושחזור (תקנה 18) | לא | כן | כן, ועותק גיבוי שמבטיח שחזור |
| ביקורת, לפחות אחת ל-24 חודשים | לא | כן | כן |
| סקר סיכונים ומבדק חדירה, אחת ל-18 חודשים | לא | לא | כן |
| דיון באירועי אבטחה | לא | לפחות פעם בשנה | לפחות פעם ברבעון |
הביקורת נעשית על ידי מי שאינו ממונה האבטחה של המאגר. אם ספק התשתית שלכם הוא גם מי שמנהל את האבטחה, הוא לא יכול להיות גם המבקר.
מה עושים כשיש אירוע אבטחה חמור?
במאגר ברמה בינונית או גבוהה, אירוע אבטחה חמור, כמו שימוש במידע בלי הרשאה או פגיעה בשלמות המידע, מדווחים לרשות להגנת הפרטיות באופן מיידי, יחד עם הצעדים שננקטו.
ברמה בינונית, אירוע נחשב חמור כשהוא נוגע לחלק מהותי מהמאגר. ברמה גבוהה, כל שימוש לא מורשה או פגיעה בשלמות המידע הם אירוע חמור. במקביל לדיווח לרשות, בחשד לתקיפת סייבר מדווחים למערך הסייבר הלאומי במוקד 119. סדר הפעולות בשעות הראשונות מפורט במדריך כופרה בשרת של העסק.
מה התקנות דורשות כשהשרת אצל ספק?
לפני ההתקשרות בוחנים את הסיכונים, חותמים על הסכם שמפרט את חובות הספק, ומפקחים עליו לאורך הזמן. הספק מדווח לפחות פעם בשנה ומודיע על כל אירוע אבטחה.
- 1
בוחנים את הספק לפני
איפה המידע יושב, מי ניגש אליו, איך הוא מגובה ומה קורה בתקלה. את התשובות מתעדים.
- 2
חותמים על הסכם שמכסה את תקנה 15
המידע והמטרות, המערכות, סוג העיבוד, אמצעי האבטחה, סודיות העובדים, קבלני משנה, והחזרת המידע או השמדתו בסיום.
- 3
מכניסים את הספק לנוהל האבטחה
ההסדר עם הספק הוא חלק מנוהל האבטחה של המאגר, לא מסמך במגירה.
- 4
מפקחים
דיווח שנתי מהספק, ושאלה פשוטה אחת לרבעון: מתי שוחזר הגיבוי בפעם האחרונה.
שאלות נפוצות
מתחילים מסוג המידע. מאגר שיש בו מידע רגיש, כמו מידע רפואי, מידע כלכלי, עבר פלילי או צנעת חיים, הוא ברמה בינונית, ויש הקלה לבסיסית אם יש בו עד עשרה בעלי הרשאה או אם הוא מכיל רק מידע על עובדים או ספקים לניהול העסק. הוא עולה לרמה גבוהה כשיש בו מידע על 100,000 בני אדם ומעלה, או כשיש בו יותר מ-100 בעלי הרשאה. מאגר שאינו באף אחת מהתוספות הוא ברמה בסיסית.
במאגר ברמת אבטחה בינונית או גבוהה, מנגנון התיעוד צריך לרשום אוטומטית מי ניגש, מתי, לאיזה רכיב, איזה סוג גישה, והאם הגישה אושרה או נדחתה. את הנתונים האלה שומרים לפחות 24 חודשים, באופן מאובטח, ומגבים אותם כך שאפשר לשחזר אותם.
ברמה בינונית וגבוהה צריך במסמך נהלים לגיבוי תקופתי ולשחזור, כאשר שחזור מתבצע באישור מנהל המאגר ומתועד. ברמה גבוהה נדרש בנוסף עותק גיבוי ונהלי שחזור שמבטיחים את שלמות המידע ואת האפשרות לשחזר אותו במקרה של אבדן או הרס.
ביקורת פנימית או חיצונית לפחות אחת ל-24 חודשים, ברמה בינונית וגבוהה, על ידי מי שאינו ממונה האבטחה. סקר סיכונים ומבדקי חדירה נדרשים ברמה הגבוהה בלבד, לפחות אחת ל-18 חודשים.
כן. העברת השרת לספק לא מעבירה את האחריות. תקנה 15 דורשת לבחון את הסיכונים לפני ההתקשרות, לחתום על הסכם שמפרט בין היתר את המידע, המטרות, אמצעי האבטחה, הסודיות והחזרת המידע בסיום, ולפקח על הספק לאורך הזמן.
יש מסלול של מאגר שמנוהל בידי יחיד: יחיד, או תאגיד בבעלותו, עם לכל היותר שני בעלי הרשאה נוספים. על מאגר כזה חלות רק חלק מהתקנות. אבל ההגדרה לא כוללת מאגר עם מידע על יותר מ-10,000 בני אדם, ולא מאגר שכפוף לחובת סודיות מקצועית, כך שמשרד של עורך דין, רואה חשבון או רופא בדרך כלל לא נכנס להקלה הזו.
לא. זה תרגום של דרישות התקנות לפעולות בתשתית, לפי הנוסח המפורסם. את סיווג המאגר שלכם ואת היקף החובות כדאי לסגור מול עורך דין או יועץ פרטיות.
מקורות ובדיקה אחרונה
התאריכים והתנאים במדריך הזה נקבעים על ידי היצרן ויכולים להשתנות. אלה המקורות הראשוניים, כדי שתוכלו לאמת מול המקור ולא מולנו.
- ויקיטקסט (נוסח התקנות)תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017(נפתח בחלון חדש)
- הרשות להגנת הפרטיותהמדריך המלא ליישום תקנות אבטחת מידע(נפתח בחלון חדש)
- ספר החוקים 3287, 14.8.2024חוק הגנת הפרטיות (תיקון מס' 13), התשפ"ד-2024(נפתח בחלון חדש)
נבדק לאחרונה: