בשנים האחרונות ישנה מגמה ברורה שהולכת וצוברת תאוצה בכל הנוגע לשיפור אבטחת המידע בעולם כולו ובישראל בפרט וזאת בשל העובדה שהתגלו ליקויים שונים בשמירת מידע של ארגונים וחברות שונים, אך מעבר לכך, בשל העלייה באיומים מהאקרים שמקבלים ארגונים וגם לנוכח ההתפתחות הטכנולוגית. לא מעט לקוחות אשר חוו חוסר אמון בגין גניבת מידע אישי וחשוב להם שהיה במאגר מידע של ארגון כזה או אחר, החלו לדרוש רמת אבטחת מידע גבוהה יותר בארגונים והדבר גם תרם להתפתחות ושיפור האבטחה של מערכות המידע של ארגונים. מעבר לכך ב8 למאי בשנת 2018, נכנסו בישראל לתוקף תקנות הגנת הפרטיות כאשר מטרתן היא לשפר באופן מהותי את האבטחה של מידע פרטי המצוי במאגרים של אזרחי ישראל. בד בבד, נכנסו לתוקף גם תקנות אירופאיות בשם GDPR שמטרתן היא לשפר את אבטחת המידע הפרטי של אזרחי האיחוד האירופאי המצוי במאגרים של ארגונים או חברות שונים.
מי מחויב בתקנות הגנת הפרטיות?
כל אדם או ארגון שיש להם מאגרי מידע ולא משנה באיזה גודל ומאיזה סוג, חייבים לעמוד בתקנות הגנת הפרטיות. חשוב לדעת כי התקנות חלות ברמות שונות, בהתאם לסוג העסק או הארגון העומדים על הפרק, כך לדוגמא: כאשר מדובר על מאגר מידע שיש לו לכל היותר שני בעלי הרשאה והוא מנוהל על ידי מנהל יחיד או חברה בבעלות יחיד, הם ידרשו רמת אבטחה נמוכה. כאשר מדובר על מאגרים שהם לא בניהול יחיד אך לא חלה עליהם החובה לרמת אבטחה בינונית או גבוהה, הרי שהם יוכלו להסתפק ברמת אבטחה בסיסית, כאשר מדובר על מאגר שיש בו מעל ל10 בעלי הרשאה ובמידע שלו נעשה שימוש שנמסר לגורם אחר לרבות מידע פלילי, רפואי או כל מידע רגיש אחר, הרי שהוא ידרוש רמת אבטחה בינונית. מאגר שיש בו מעל ל100 בעלי הרשאה עם מידע לשימוש מסירה או מאגר אשר כולל מידע רגיש על מעל למאה אלף איש, ידרוש רמת אבטחה גבוהה. חשוב מאוד לבחור באיש מקצוע מומחה בתחום רמת האבטחה הנדרשת בהתאם לחוק הגנת הפרטיות וזאת בכדי שיסייע לכם להתאים לעסק שלכם את רמת האבטחה הנדרשת לו בהתאם לתקנות ובהתאם לכל הנתונים העומדים על הפרק.
כיצד תעמדו בתקנות הגנת הפרטיות?
בכדי לעמוד בתקנות הגנת הפרטיות, ראשית כל יהיה לכם צורך לערוך מסמך שקרוי מסמך הגדרות המאגר. את המסמך המדובר יש לעדכן אחת לשנה או יותר במידה והתרחש שינוי כלשהו או אירוע אבטחה כלשהו. המסמך המדובר יכיל נושאים כגון: תיאור של דרך איסוף מידע וכיצד משתמשים בו, איזה מידע אישי יש במאגר ולאיזה צורך הוא משמש, האם מתבצעות במידע פעולות צד שלישי כלשהו, הפרטים של מנהל המידע ושל הממונה על אבטחת המידע שבמאגר, הסיכונים שאליהם חשוף המידע והאופן שבו מתמודדים עם הסיכונים הללו ועוד.
אם הארגון מנהל 5 מאגרי מידע ויותר, אם הוא גוף ציבורי או אם הוא עוסק בדרוג אשראי, עליו למנות אחראי אבטחת מידע בהתאם לחוק. האחראיות על אבטחת המידע תהיה על בעל המאגר ומנהל המאגר וכל פעולה במאגר תדרוש תיעוד. כמו כן, בעל המאגר יידרש להיות אחראי ליצור הפרדה בין המערכות של המאגר לבין מערכות אחרות
מסמך נוסף שיש צורך לערוך הוא מסמך של מבנה מערכות המידע והמאגרים שיש בארגון, כאשר הפרטים הללו יימסרו רק לבעלי הרשאה מתאימה.
כל אירוע שבגינו תהיה פגיעה בשלמות המידע או שימוש במידע ללא הרשאה ייחשב כאירוע אבטחה שיש לתעד את הפרטים שלו.
ברמת אבטחה בינונית יש צורך לבצע דיון אחת לשנה וברמת אבטחה גבוהה יש לערוך דיון אחת לרבעון כאשר בדיון המדובר יבחנו את הצורך בעדכון נהלים שונים, יצוינו אירועי אבטחה שהתרחשו ואיזה פעולות ננקטו בגינם ועוד.
דבר חשוב נוסף שיש לדעת הוא כי תקנות הגנת הפרטיות מחייבות את הארגונים וכן בעלי מאגרים לאבטח בצורה פיזית את מערכות החומרה שעליה המאגר יושב.
בכדי לעמוד בתקנות המדוברות בצורה הטובה, חשוב מאוד לבחור בחברה אמינה ומקצועית שיכולה לסייע לארגון שלכם לבצע את כל התהליכים הנדרשים בכדי לעמוד בחוק הגנת הפרטיות, כדאי שתבחרו את חברת הרמטיקון, הטובה ביותר בתחום.
