תיקון 13 לחוק הגנת הפרטיות, ומה הוא משנה בשרת ובגיבוי של העסק

מה תיקון 13 שינה, במשפט אחד?

התיקון לא המציא דרישות אבטחה חדשות לשרתים. הוא נתן לרשות להגנת הפרטיות סמכויות פיקוח ועיצומים כספיים, כך שהדרישות שכבר היו כתובות בתקנות אבטחת המידע מ-2018 הפכו לדבר שבודקים.

עד אוגוסט 2025 רוב העסקים הקטנים התייחסו לתקנות אבטחת המידע כמשהו שנוגע לבנקים ולקופות חולים. החוק היה שם, אבל האכיפה הייתה מוגבלת. התיקון שינה את המשוואה בשלושה מקומות שנוגעים ישירות לתשתית:

מה שלא השתנה: אין בתיקון רשימת מוצרים, אין תקן חומרה ואין חובה לשמור את המידע בישראל. השאלות שהרשות שואלת הן שאלות של ניהול: מי ניגש למידע, איך זה מתועד, ומה קורה ביום שהשרת נופל.

האם המידע בשרת שלכם נחשב מידע בעל רגישות מיוחדת?

אם אתם משרד רואי חשבון, מרפאה, משרד עורכי דין או כל עסק שמחזיק תלושי שכר, התשובה כמעט בוודאות כן. ההגדרה בתיקון כוללת במפורש נתוני שכר ופעילות פיננסית, מידע רפואי ומידע שחלה עליו חובת סודיות.

הרשימה בחוק סגורה. אלה הסעיפים שפוגשים הכי הרבה עסקים בישראל, לפי מה שיושב אצלם על השרת:

לשלושת הענפים שמופיעים בטבלה הכי הרבה יש דפים משלהם, עם מה שבונים לכל אחד: משרדי רואי חשבון, משרדי עורכי דין ומרפאות וקליניקות.

מה ספק האחסון או הגיבוי שלכם צריך להתחייב אליו?

ספק שמאחסן או מגבה את המידע עבורכם הוא, בלשון החוק, מחזיק במאגר. תקנות אבטחת המידע דורשות הסכם כתוב איתו, שמגדיר מה מותר לו לעשות במידע, איך הוא מאבטח אותו, ומה קורה למידע כשההתקשרות נגמרת.

זו הנקודה שהכי הרבה עסקים מפספסים. הם בוחרים ספק לפי מחיר ומפרט, ולא שואלים מה כתוב בהסכם על המידע עצמו. תקנה 15 לתקנות אבטחת המידע מפרטת מה ההסכם צריך לכלול. בשפה פשוטה:

ספק רציני לא יתווכח על אף אחד מהסעיפים האלה. אם הספק הנוכחי שלכם לא יודע לענות איפה פיזית יושב השרת, מי אצלו יכול להיכנס אליו, ומה קורה לעותקי הגיבוי כשאתם עוזבים, זה הממצא הראשון שלכם.

האם חייבים שרת בישראל בגלל תיקון 13?

לא. אין בחוק חובה כללית לשמור מידע אישי בתוך ישראל. העברה של מידע אל מחוץ לישראל מותרת בתנאים שנקבעו בתקנות נפרדות, והיא דורשת בדיקה, לא איסור.

מה ששרת בישראל כן נותן הוא פשטות. כשהשרת והגיבוי יושבים בדאטה סנטר בארץ, אצל ספק ישראלי ובהסכם ישראלי, אין שאלה של העברה לחו״ל לבדוק, ואפשר להתמקד בשאר הדרישות. כשהשרת בחו״ל, צריך לברר באיזו מדינה בדיוק הוא נמצא, אילו הגנות חלות שם, ומה ההסכם אומר על מקום האחסון. ההשוואה המלאה נמצאת במדריך אחסון בישראל מול חו״ל.

מה לבדוק בשרת ובגיבוי עכשיו?

חמש בדיקות מכסות את רוב מה שתיקון 13 הפך לרלוונטי בצד התשתית: מיפוי המידע, הרשאות, תיעוד גישה, גיבוי שנבדק בשחזור, והסכם עם הספק.

1. 1

   ממפים איפה המידע יושב

   השרת במשרד, התיקייה המשותפת, הענן של תוכנת השכר, המחשב הנייד של מנהלת החשבונות. מידע שאתם לא יודעים שקיים הוא מידע שלא מגובה ולא מאובטח.

2. 2

   מצמצמים הרשאות

   מי שעזב את המשרד לפני שנה עדיין עם משתמש פעיל? לכל עובד גישה רק למה שהוא צריך, וחשבון אדמין אחד שלא משמש לעבודה יומיומית.

3. 3

   בודקים שיש תיעוד גישה

   במאגר ברמת אבטחה בינונית ומעלה, התקנות דורשות תיעוד אוטומטי של כל ניסיון גישה, ושמירה של התיעוד 24 חודשים לפחות. ב-Windows Server זה מתחיל במדיניות ביקורת שמופעלת ונשמרת.

4. 4

   משחזרים מהגיבוי, לא רק מסתכלים עליו

   גיבוי שסומן 'הצליח' ומעולם לא שוחזר ממנו הוא הנחה, לא גיבוי. שחזור מלא פעם בשנה לפחות, ושחזור של קובץ ושל בסיס נתונים בתדירות גבוהה יותר.

5. 5

   סוגרים הסכם כתוב עם הספק

   לפי הרשימה שלמעלה. אם אין הסכם כזה, זה הדבר הראשון לתקן, והוא לא עולה כסף.

את הבדיקה הרביעית אפשר לעשות איתנו בלי עלות. בבדיקת שחזור גיבוי חינם אנחנו לוקחים עותק של הגיבוי, משחזרים אותו בסביבה נפרדת ומחזירים דף אחד: האם השרת עלה, כמה זמן זה לקח, ומה היה חסר.

שאלות לשאול את ספק התשתית בעקבות תיקון 13