חברה של עשרים עובדים לא צריכה את אותו תהליך כמו בנק, אבל גם היא מחזיקה מידע אישי של לקוחות ועובדים. כשמגיעה השאלה "מה לעשות בקשר לתיקון 13?", ההצעה הנפוצה היא להתחיל במסמך ארוך. הצעה אחרת: להתחיל בשבעה צעדים קטנים, לפי סדר שבו כל צעד מכין את הבא. זו אינה רשימה משפטית ואינה מבטיחה עמידה בדרישות. היא נקודת פתיחה מעשית, ובכל שאלה משפטית כדאי לבדוק מול עורך דין.
המאמר כללי ואינו ייעוץ משפטי. פרטים משפטיים כדאי לבדוק מול עורך דין.
צעד 1: למפות איזה מידע אישי יש
פתחו טבלה אחת: לכל מערכת (CRM, משאבי אנוש, אתר, אפליקציה, מייל שיווקי, ספק ענן) כתבו איזה מידע אישי היא מחזיקה, של מי, ולמה. אל תחפשו שלמות. עדיף מיפוי גס שקיים על פני מיפוי מושלם שלא נכתב.
צעד 2: לקבוע מי אחראי
מישהו צריך להיות הכתובת לנושא הפרטיות, גם אם אין חובה למנות ממונה (בנושא הזה ראו את המאמר על ממונה הגנת פרטיות). בחברה קטנה זה לרוב איש תפעול, משאבי אנוש או מנהל טכנולוגיה. חשוב שיהיה לו מנדט ושההנהלה תקבל ממנו עדכון קבוע.
צעד 3: לבדוק את מה שגלוי באתר
האתר הוא המקום שבו הציבור פוגש את הארגון, ולכן כדאי לבדוק אותו ראשון: האם יש מדיניות פרטיות עדכנית, האם הטפסים מסבירים לשם מה נאסף המידע, האם יש הסכמה לעוגיות כשצריך, והאם יש הצהרת נגישות.
לצורך זה יש ב-SYBER סורק חינמי שבודק את האלמנטים הגלויים של האתר. הוא כלי אוטומטי ראשוני: הוא אינו בודק את המערכות הפנימיות, אינו מחליף בדיקה משפטית, והתוצאה שלו אינה אישור שהארגון עומד בחוק.
לעוד על הסורק ועל תיקון 13: עמוד בדיקת תיקון 13
צעד 4: לרשום את הספקים שמקבלים מידע
לצד כל ספק רשמו איזה מידע הוא מקבל, איפה הוא מאחסן אותו, ואם יש הסכם כתוב שמגדיר את מה שמותר לו לעשות. ספקים הם בדרך כלל החלק הפחות מתועד, ולעיתים הראשון שנשאל עליו לקוח גדול.
צעד 5: לבנות תהליך לבקשות של אנשים
אדם עשוי לבקש לראות מידע שיש עליו, לתקן אותו או למחוק אותו. מספיק שיהיה כתוב איפה פונים, מי מטפל, איך מוודאים זהות, ובתוך כמה זמן עונים. הזמנים והחובות המדויקים כדאי לבדוק מול עורך דין.
צעד 6: להכין תוכנית לאירוע אבטחה
עמוד אחד מספיק כנקודת התחלה: מי מזהה, מי מחליט, מי מתקשר לייעוץ המשפטי והטכני, איך מתעדים. ההחלטה אם יש חובת דיווח והמועדים תלויים בנסיבות ובדין, ולכן כדאי שהשם של עורך הדין יהיה כבר ברשימה ולא יחפשו אותו באמצע האירוע.
צעד 7: להסביר לעובדים
רוב אירועי המידע מתחילים בטעות אנושית: מייל שנשלח לכתובת הלא נכונה, קובץ שנשמר במקום פתוח, קישור שנלחץ. הסבר קצר לעובדים על מה נחשב מידע אישי ואיך מטפלים בו משפר את המצב יותר ממדיניות שאף אחד לא קרא.
ומה אחרי שבעת הצעדים
בסוף הסבב תהיה לכם תמונה: מה המידע, מי אחראי, מה הפערים הגדולים. מכאן אפשר להחליט מה דורש עורך דין, מה דורש מומחה אבטחה, ומה אפשר לטפל בו פנימית. תיקון 13 הוא תהליך מתמשך, לא אירוע חד-פעמי.
כמה זמן זה לוקח ומה מונע התקדמות
אין תשובה אחת, כי היא תלויה בגודל הארגון, בכמות המערכות ובזמן שיש לצוות. מה שכן אפשר לומר הוא איפה בדרך כלל נתקעים: מיפוי שלא מסתיים כי כל מערכת "אולי" מכילה מידע אישי, אחריות שמוטלת על מישהו בלי זמן, ושאלות משפטיות שנשארות פתוחות עד שמישהו מחליט. הפתרון הוא לקבוע לכל צעד בעלים ותאריך, גם אם גסים.
מתי לערב עורך דין ומתי מומחה אבטחה
- עורך דין: פרשנות החוק, חובות הדיווח והרישום, ניסוח מדיניות והודעות, חוזים עם ספקים, וכל מקרה של פנייה מרשות.
- מומחה אבטחה: הגדרת הרשאות, גיבויים, ניטור, בדיקת חולשות ותגובה לאירוע טכני.
- שניהם יחד: אירוע שבו נחשף מידע אישי, וגם פרויקט חדש שאוסף מידע רגיש.
חברה קטנה לא חייבת להחזיק את שני התפקידים. אפשר לקבל ליווי חיצוני בהיקף חלקי ולהתחיל בשיחה אחת שממפה מה מהצעדים כבר בוצע.
מה לא כדאי לעשות
- להעתיק מדיניות פרטיות מאתר אחר. היא עלולה לתאר פעילות שאינה שלכם.
- להגיד באתר שהארגון "עומד בכל הדרישות" בלי בדיקה. הצהרה מוגזמת יכולה להזיק יותר מהיעדר הצהרה.
- לאסוף עוד ועוד מידע "ליתר ביטחון". מידע שלא נאסף לא צריך להגן עליו.
- להתעלם מספקים קטנים. דווקא כלי שיווק או סקרים עשויים להחזיק הרבה מידע.
- להניח שבדיקה אוטומטית אחת מכסה את כל הנושא.
איך לחלק את העבודה על פני כמה שבועות
אין חובה לעבוד לפי לוח זמנים קבוע, אבל רבים מוצאים שחלוקה גסה עוזרת. בשבוע הראשון: מיפוי ובחירת אחראי. בשני: בדיקת האתר ותיקון מה שנראה לעין, ורישום הספקים. בשלישי: ניסוח תהליך לבקשות של אנשים ותוכנית לאירוע. ברביעי: הסבר קצר לעובדים וקביעת מועד לסקירה הבאה. אלה הצעות גמישות, ולא מבחן. ארגון עמוס עשוי להזדקק לחודשיים, וארגון קטן ופשוט אולי לשבוע.
הדבר החשוב הוא ללכוד את מה שנעשה, בתיעוד מתוארך שניתן להראות. תיעוד הוא גם הדרך להעיד על פעולות שנעשו, בלי להצהיר על יותר מדי.
שאלות שאנחנו שומעים לעיתים קרובות
- אנחנו חברה קטנה, האם זה בכלל רלוונטי? כל ארגון שמחזיק מידע אישי נוגע בנושא. אילו חובות ספציפיות חלות עליכם, כדאי לבדוק מול עורך דין.
- האם מספיק לאמץ מדיניות פרטיות? מדיניות היא חלק, אבל בלי תהליכים שמיישמים אותה היא נשארת מסמך.
- האם אפשר להתחיל בלי תקציב? כן, מיפוי, מינוי אחראי ובדיקת האתר אינם דורשים רכש.
- מתי לעצור ולערב איש מקצוע? כשהשאלות נוגעות לפרשנות חוק, למידע רגיש או לאירוע.
למי זה פחות מתאים
שבעת הצעדים נועדו לארגון קטן או בינוני בלי צוות פרטיות. ארגון שמעבד מידע רגיש בהיקף גדול, כמו מידע רפואי או ביומטרי, או שפועל בתחום מפוקח, צריך ליווי מקצועי רחב יותר כבר בתחילת הדרך. גם ארגון שכבר קיבל פנייה מרשות או שחווה אירוע אבטחה צריך להתחיל משיחה עם עורך דין. הצעדים כאן הם הכנה, ואינם תחליף לטיפול במצב ספציפי. מה שמשותף לכולם הוא שמיפוי, אחריות ותיעוד הם נקודת פתיחה טובה.
בכל מקרה, כדאי לעדכן את הרשימה מדי כמה חודשים. מערכות חדשות, ספקים חדשים ושינויים בחוק משנים את התמונה.
שאלות נפוצות
האם שבעת הצעדים מבטיחים עמידה בתיקון 13?
לא. הם נקודת פתיחה מעשית. את הדרישות הרלוונטיות לארגון שלכם כדאי לבדוק מול עורך דין.
מה הסורק החינמי בודק?
את האלמנטים הגלויים באתר, כמו מדיניות פרטיות, הסכמה לעוגיות והצהרת נגישות. הוא אינו בודק מערכות פנימיות ואינו מחליף בדיקה משפטית.
האם חברה קטנה צריכה לעשות הכול בבת אחת?
לא. מומלץ להתחיל במיפוי ובאחריות, ולהתקדם לפי סדר עדיפויות שמבוסס על הסיכון.
רוצים לדבר על המצב אצלכם?
שיחת ייעוץ ראשונית ללא עלות. נשמח להבין את הארגון ולהציע צעד הבא, בלי התחייבות.
הדרכה ותרגול לעובדים, ב-PhishingU
אנו עובדים עם PhishingU, חברה קשורה שמספקת סימולציית פישינג להפעלה עצמית והדרכת מודעות לעובדים. אפשר להריץ מבדק פישינג לעובדים בעצמכם, ואפשר להזמין הדרכה להעלאת המודעות של העובדים לאיומי סייבר. גילוי נאות: SYBER ו-PhishingU ישויות קשורות (ראו עמוד אודות).
מאמרים קשורים
סקירה כללית של השינויים.
לפני שמגישים טופס לרשם מאגרי המידע: איך מתארים מאגר, אילו מסמכים להכין, ועשר שאלות שכדאי להביא לעורך דין כדי לדעת אם ואיך לרשום.