אירוע אבטחה חמור במאגר מידע: מדריך פעולה

אירוע אבטחת מידע הוא אחד המבחנים המשמעותיים ביותר ליכולת הניהולית של ארגון. ברגע שבו מתגלה חשש לגישה בלתי מורשית למידע אישי, דליפת מידע, חשיפה של מידע רגיש או פגיעה בשלמותו של מאגר מידע, הארגון אינו מתמודד רק עם תקלה טכנולוגית. מדובר באירוע בעל השלכות רגולטוריות, משפטיות, ניהוליות, עסקיות ותדמיתיות.

הניסיון מלמד כי במקרים רבים הנזק המשמעותי אינו נובע רק מעצם האירוע, אלא מאופן ניהולו לאחר הגילוי: עיכוב בקבלת החלטות, היעדר תיעוד, חוסר בהירות באשר לאחריות, אי־דיווח במועד או הסתמכות על כך שיש להשלים תחילה את כל הבדיקות העובדתיות.

הגישה הנכונה עבור הנהלה ודירקטוריון היא לראות באירוע אבטחה אירוע ממשל ארגוני המחייב ניהול מסודר, קבלת החלטות מתועדת ושילוב בין גורמי הטכנולוגיה, המשפט והניהול.

מהו אירוע אבטחה במאגר מידע?

אירוע אבטחה הוא אירוע שבו מתקיימת פגיעה או חשש לפגיעה באבטחת המידע השמור במאגר מידע, ובכלל זה גישה בלתי מורשית למידע, שימוש בלתי מורשה במידע, חשיפה של מידע לגורם שאינו מורשה, פגיעה בשלמות המידע או פגיעה בזמינותו.

בהתאם לתקנות הגנת הפרטיות (אבטחת מידע), תשע"ז–2017, אירוע אבטחה הוא אירוע שבו נעשה שימוש במידע ללא הרשאה או בחריגה מהרשאה, או אירוע שבו קיימת פגיעה בשלמות המידע, וזאת בהתאם לרמת האבטחה של המאגר ולהיקף הסיכון שנוצר.

במילים פשוטות, אירוע אבטחה אינו מוגבל רק ל"פריצה למחשב" או מתקפת סייבר חיצונית. הוא עשוי להתרחש גם כתוצאה מטעות אנוש, כשל טכנולוגי, הגדרה שגויה של מערכת, הרשאות עודפות, פעולה של עובד או ספק, או חשיפה מקרית של מידע.

מהו אירוע אבטחה חמור במאגר מידע?

אירוע אבטחה חמור הוא אירוע שבו קיימת פגיעה משמעותית באבטחת מידע אישי, ובפרט כאשר קיימת אפשרות לגישה בלתי מורשית למידע, שימוש בלתי מורשה במידע או פגיעה בשלמות המידע במאגר מידע המחויב ברמת אבטחה בינונית או גבוהה. אירוע כזה עשוי להקים חובות מיוחדות על בעל המאגר, לרבות חובת בחינה מיידית של נסיבות האירוע וחובת דיווח לרשות להגנת הפרטיות בהתאם להוראות הדין.

בניגוד לתפיסה הרווחת, אירוע אבטחה חמור אינו מוגבל למתקפת סייבר חיצונית, פריצה של האקרים או גניבת מידע מכוונת. אירוע אבטחה חמור עשוי להתרחש גם בעקבות תקלה טכנולוגית, טעות אנוש, הגדרת הרשאות שגויה, חשיפת מידע בשוגג, כשל של ספק חיצוני או פעולה פנימית של עובד או משתמש אשר הובילה לכך שמידע אישי היה נגיש לגורם שאינו מורשה.

הבחינה האם מדובר ב"אירוע אבטחה חמור" אינה מבוססת על מבחן אחד בלבד, כגון מספר הרשומות שנחשפו או מספר האנשים שנפגעו. על הארגון לבחון את מכלול נסיבות האירוע, ובכלל זה את סוג המידע שנחשף, רגישות המידע, היקף החשיפה, זהות הגורם שנחשף למידע, משך הזמן שבו התקיימה החשיפה, האפשרות לעשות שימוש לרעה במידע ורמת הסיכון שנוצרה לנושאי המידע.

כך למשל, חשיפה של מידע רפואי, מידע פיננסי, מידע הנוגע לקטינים או מידע אישי בעל רגישות מיוחדת עשויה להיחשב אירוע חמור, גם כאשר היקף החשיפה מצומצם יחסית. מנגד, אירוע טכני נקודתי שאינו מאפשר גישה למידע אישי או שאינו יוצר סיכון ממשי לפרטיות, עשוי שלא להגיע לרמת החומרה המחייבת דיווח.

דוגמאות לאירועי אבטחה חמורים

אירוע אבטחה חמור עשוי לכלול, בין היתר:

• מערכת מידע המאפשרת למשתמש לצפות בפרטים אישיים של אדם אחר ללא הרשאה.
• חשיפת מאגר מידע אישי באינטרנט עקב הגדרה שגויה של מערכת.
• גישה של עובד או ספק למידע מעבר להרשאות שניתנו לו.
• שליחת מסמך הכולל מידע אישי או מידע רגיש לגורם שאינו מורשה לקבלו.
• אובדן או גניבה של מחשב, שרת או התקן אחסון הכולל מידע אישי.
• מתקפת כופרה או אירוע סייבר המשפיע על זמינות, סודיות או שלמות המידע.
• תקלה במערכת דיגיטלית המאפשרת חשיפה של מידע אישי למשתמשים שאינם מורשים לכך.

כיצד הנהלה מזהה שאירוע אבטחה הפך לאירוע אבטחה חמור?

אירוע אבטחה הופך לאירוע אבטחה חמור כאשר קיים חשש ממשי לכך שמידע אישי נחשף, נגיש או ניתן לשימוש על ידי גורם שאינו מורשה, או כאשר קיימת פגיעה משמעותית בשלמות המידע או בזמינותו.

הבחינה אינה מתחילה בשאלה האם נגרם כבר נזק בפועל, אלא בשאלה האם נוצר סיכון ממשי לפרטיותם של נושאי המידע.

אילו סימנים מצביעים על אפשרות לאירוע אבטחה חמור?

הנהלה צריכה לשקול פתיחת הליך בדיקה מיידי כאשר מתקיימים סימנים כגון:

• משתמש דיווח כי נחשף למידע של אדם אחר.
• עובד קיבל הרשאה רחבה יותר מהנדרש לתפקידו.
• מערכת אפשרה צפייה במידע ללא הרשאה מתאימה.
• ספק חיצוני דיווח על חדירה או גישה חריגה.
• התגלתה חשיפה של קובץ או מאגר מידע.
• זוהתה פעילות חריגה במערכות המידע.
• אירעה תקלה המאפשרת גישה בין משתמשים שונים.

חשוב להדגיש: אירוע אבטחה חמור אינו מחייב מתקפת האקרים. גם תקלה פנימית או טעות אנוש עשויות ליצור אירוע המחייב בחינה לפי הדין.

חלוקת אחריות ארגונית ומשפטית בניהול אירוע אבטחת מידע חמור

מתי חייבים לדווח לרשות להגנת הפרטיות?

תקנה 11(ד)(1) לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 קובעת כי בעל מאגר מידע שחלה עליו רמת אבטחה בינונית או גבוהה, כהגדרתן בתקנות, חייב להודיע לרשות להגנת הפרטיות באופן מיידי על אירוע אבטחה חמור. בנוסף, עליו לדווח לרשות על הצעדים שנקט בעקבות האירוע.

ברמת אבטחה בינונית

• שנעשה בו אחד מאלה שימוש (כולל גילוי, העתקה, העברה או מסירה) ללא הרשאה או בחריגה מהרשאה, בחלק מהותי מהמאגר או שנוצר עותק של המידע.
• פגיעה בשלמות המידע לגבי חלק מהותי מן המאגר.

יש לשים לב כי פגיעה בשלמות המידע משמעותה גם הצפנת המידע, מניעת גישה למידע, גם אם העותק נמצא עדיין בתוך מערכות המאגר עצמן. לדוגמה, וירוס כופרה המצפין את הקבצים ומונע את הגישה למידע או מניעת גישה למאגר המידע דרך רשת האינטרנט כדוגמת מתקפת מניעת שירות (DOS). במתקפה מסוג זה 'התוקף' מבקש שוב ושוב מהשרת את אותה הבקשה עד כדי יצירת עומס על השרת אשר גורם להשבתת השירות והפיכתו ללא זמין.

דוגמה נוספת היא בעת חשיפת מידע רגיש בעקבות טעות אנוש. לדוגמה, שליחת קובץ המכיל נתונים רגישים ו/או אישיים לכתובת דואר אלקטרוני שגויה או לרשימת תפוצה שגויה, או שיגור מסמכים המכילים מידע רגיש למספר פקס שגוי.

ברמת אבטחה גבוהה

• כאשר זוהתה כניסה למערכות המאגר באופן שניתנה גישה למידע שבמאגר ללא הרשאה או בחריגה מהרשאה, גם אם עדיין לא הוכח שימוש במידע בפועל.
• כאשר זוהתה גישה למערכות המאגר ולמידע המצוי בו, כשלבעל מאגר המידע אין בהכרח דרך לדעת מהי מידת החשיפה של הגורם הבלתי-מורשה למידע, כמו גם משך הזמן שבו הייתה קיימת גישה למערכות המאגר ולמידע עצמו, הפעולות אותן ביצע הגורם הבלתי-מורשה או אילו רוגלות או נוזקות הותקנו במערכת.

יובהר, כי יש לדווח על אירוע אבטחה חמור גם במקרים בהם גורם אחר (משטרה, מערך הסייבר הלאומי, רגולטור מגזרי או גורם משפטי) יצר עמכם קשר ויידע אתכם על האירוע ו/או גם במקרה בו יידעתם גורם אחר על האירוע.

מתי מתעוררת חובת דיווח על אירוע אבטחה חמור?

החובה המרכזית העומדת בפני ארגון לאחר גילוי אירוע אבטחה חמור היא לפעול במהירות, לבצע הערכת מצב ולבחון את חובות הדיווח החלות עליו לפי תקנות הגנת הפרטיות (אבטחת מידע), תשע"ז–2017.

חשוב להדגיש כי אין להמתין בהכרח להשלמת כל הבדיקות הטכנולוגיות או לקבלת תמונה מלאה של היקף האירוע. כאשר לארגון נודע כי אירעה גישה בלתי מורשית למידע אישי או פגיעה אפשרית באבטחתו, עליו לבצע בחינה מיידית של האירוע ושל הצעדים הנדרשים. בכל מקרה של ספק, מומלץ להעביר לרשות להגנת הפרטיות דיווח על האירוע כאירוע אבטחה חמור.

הגישה הרגולטורית כיום היא כי דיווח ראשוני אינו מחייב ידיעה מלאה של כלל העובדות. ניתן למסור לרשות להגנת הפרטיות את המידע הידוע במועד הדיווח, ולהשלים פרטים נוספים לאחר המשך הבירור.

גישה זו קיבלה ביטוי גם בהליכי אכיפה עדכניים של הרשות להגנת הפרטיות, אשר הדגישה כי חובת הדיווח המיידי נועדה להבטיח טיפול מוקדם באירועים בעלי פוטנציאל לפגיעה בפרטיות, ולא להמתין עד לסיום החקירה הפנימית של הגוף שנפגע.

מתי מדווחים?

המונח "דיווח מיידי" אינו משמעותו כי על הארגון לדווח בתוך דקות מרגע גילוי התקלה. משמעותו היא כי על הארגון לפעול ללא דיחוי בלתי מוצדק מרגע שקיימת תשתית עובדתית מספקת לכך שהתרחש אירוע אבטחה חמור.

הגישה הרגולטורית כיום אינה מקבלת מצב שבו ארגון ממתין חודשים עד לסיום בדיקות פנימיות, השלמת חקירה טכנולוגית או קבלת ודאות מוחלטת לגבי היקף הנזק.

הדיווח הראשוני נועד למסור לרשות את המידע הידוע במועד הגילוי, כאשר ניתן להשלים פרטים נוספים בהמשך.

ניתוח מקרה בוחן: העיצום הכספי על קופת חולים "מאוחדת" (יולי 2026)

בחודש יולי 2026, הטילה הרשות להגנת הפרטיות קנס בסך 256 אלף ש"ח, לאחר שקופת החולים מאוחדת דיווחה, באיחור של כחודשיים, על תקלה שאפשרה למבוטחים לצפות במידע רפואי של קרובי משפחתם.

האירוע החל בעקבות תקלה טכנולוגית שאפשרה למבוטחים גישה לא מורשית למידע רפואי רגיש של קרובי משפחתם, אך הקופה דיווחה על כך לרשות בעיכוב של כחודשיים. הרשות להגנת הפרטיות הבהירה כי חובת הדיווח חלה מיד עם גילוי האירוע ואינה מותנית בסיום הבדיקות הפנימיות, בעוד קופת חולים מאוחדת טוענת כי הדרישה אינה ריאלית ותבחן הגשת ערעור.

נציין כי זו הפעם הראשונה שמוטל עיצום כספי מסוג זה מאז כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות, המעניק לרשות סמכויות אכיפה כספיות משמעותיות.

ארבעת הלקחים המשפטיים הקריטיים מהחלטת הרשות:

1. חובת הדיווח אינה מותנית בסיום הבדיקה הפנימית: הרשות קבעה מפורשות כי המונח "דיווח מיידי" בתקנה 11(ד) קם ברגע שבו קיימת תשתית ראשונית לאירוע חמור, ולא לאחר שהארגון מסיים לתחקר, לתקן או לגבש גרסה.
2. תקלה טכנית נחשבת לאירוע אבטחה חמור לכל דבר: אין צורך בהאקר או במתקפת כופרה. כשל בהגדרות הרשאה של מערכת פנימית היוצר חשיפה למידע רגיש מהווה עבירה על תקנות אבטחת המידע.
3. עידן תיקון 13 – הסנקציות הפכו לכספיות ואישיות: בעבר, איחור בדיווח הסתיים באזהרה או בדו"ח ביקורת. כיום, הרשות מפעילה סמכויות אכיפה כספיות ישירות.
4. הסיכון אינו רק באירוע האבטחה עצמו, אלא גם באופן שבו הארגון מגיב לאחר שגילה עליו. ארגון שלא מפעיל מנגנוני תגובה מתאימים עלול להיחשף גם כאשר מקור האירוע היה תקלה טכנית ולא פעולה מכוונת.

אירוע אבטחה אצל ספק חיצוני: מי אחראי?

העובדה שאירוע אבטחת מידע התרחש אצל ספק חיצוני אינה מעבירה את האחריות מהארגון לספק ואינה פוטרת את בעל השליטה במידע מחובותיו לפי הדין.

כאשר ארגון מעביר מידע אישי לספק חיצוני, חברת ענן, מוקד שירות, מערכת CRM, ספק שירותי מחשוב, מערכות משאבי אנוש, שכר או נוכחות, ספקי סליקה, חברות אחסון וגיבוי, ספקי שירות טכנולוגיים, או כל גורם אחר המעבד מידע עבורו, האחריות לניהול הסיכון נותרת חלק מהאחריות הארגונית של בעל המאגר.

הספק עשוי להיות אחראי להיבטים תפעוליים וטכנולוגיים של האירוע, אולם הארגון נדרש לוודא כי קיימים מנגנוני בקרה, הסדרה ופיקוח מתאימים לאורך כל שרשרת העיבוד של המידע. ההוראות שבתקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), תשע"ז־2017, מטילות חובות ביחס לניהול התקשרויות עם גורמים חיצוניים המחזיקים מידע עבור בעל המאגר, כחלק מהחובה לנהל את הסיכונים הנובעים מהעברת מידע לגורם אחר.

במילים אחרות: אין "פטור ספק". שימוש בספק חיצוני הוא החלטה עסקית לגיטימית, אך האחריות לניהול סיכוני הפרטיות והאבטחה נשארת אצל הארגון.

כיצד מדווחים?

• ניתן לדווח באמצעות טופס דיגיטלי: יש להיכנס לקישור הייעודי באתר הרשות ולדווח באופן מיידי.
• ניתן לדווח באמצעות דואר אלקטרוני או פקס: יש להיכנס לקישור הייעודי באתר הרשות לטופס דיווח על אירוע אבטחה חמור, ללחוץ על "הדפסה" כדי להדפיס את הטופס ולמלא אותו באופן ידני. לאחר מכן, לשלוח אותו לכתובת הדוא"ל הייעודית – [email protected] או בפקס' מס' 02-6467064.

המשך הטיפול בבקשה

כאשר הטופס יתקבל במערכות הרשות להגנת הפרטיות, יתקבל אישור על קבלת הטופס (שאיננו בהכרח אישור שהדיווח הוגש כראוי), ונציגי הרשות יצרו עמך קשר לקבלת פרטים נוספים. במקרה בו לא קיבלת אישור על קבלת הטופס בתוך 4 שעות, או במקרה בו הדיווח אודות אירוע האבטחה לא נעשה באמצעות הטופס הייעודי,יש לשלוח את הדיווח בנוסף גם לדוא"ל הנ"ל.

מה הלאה?

דיווח על אירוע אבטחה חמור אינו גורע מהחובה לנקוט בכל הצעדים הנדרשים לטיפול באירוע האבטחה החמור ולצמצום הנזקים בהתאם להוראות החוק והתקנות. הרשות רשאית לבקשת הבהרות או מידע נוסף בעקבות הדיווח הראשוני המועבר לה.

הגנת "חיסיון עורך דין-לקוח" על דוחות חקירה: כיצד מגינים על ממצאי חקירת הסייבר מפני חשיפה?

מדוע שאלת החיסיון חשובה לאחר אירוע אבטחה?

לאחר אירוע סייבר או אירוע אבטחת מידע חמור, ארגון נדרש להבין במהירות מה אירע, כיצד נוצר הכשל, איזה מידע נפגע ומהן הפעולות הנדרשות לצמצום הסיכון. לצורך כך, ארגונים רבים נעזרים בחברות חקירה פורנזית (Incident Response), מומחי סייבר, יועצים טכנולוגיים וספקי אבטחת מידע.

אולם, לצד הצורך הטכנולוגי להבין את האירוע ולשקם את המערכות, קיימת חשיבות משפטית משמעותית לשאלה כיצד מתועדת החקירה ומהו אופי המסמכים הנוצרים במסגרתה.

דוח חקירה פורנזי עשוי לכלול מידע רגיש ביותר, לרבות חולשות אבטחה שהתגלו במערכות; כשלים בתהליכי עבודה; טעויות אנוש; ליקויים בניהול הרשאות; אחריות אפשרית של עובדים או ספקים; ופערים בין מדיניות הארגון לבין היישום בפועל.

אולם מבחינה משפטית, אותו מידע עצמו עשוי לשמש בהמשך במסגרת לתביעה אזרחית; תביעה ייצוגית; הליך רגולטורי מול הרשויות; מחלוקת חוזית מול לקוח או ספק; והליך משפטי מול עובדים או צדדים שלישיים.

לכן, ניהול נכון של חקירת האירוע מחייב איזון בין הצורך להבין את האירוע לעומקו לבין הצורך לצמצם חשיפה משפטית בלתי נדרשת.

בנסיבות מסוימות, חשיפת מסמכים אלה במסגרת הליך משפטי, תביעה ייצוגית, הליך רגולטורי או ביקורת חיצונית עלולה להגדיל את החשיפה המשפטית של הארגון.

האם כל דוח חקירת סייבר מוגן בחיסיון?

לא כל דוח חקירת סייבר נהנה באופן אוטומטי מחיסיון עורך דין־לקוח. כדי להגדיל את הסיכוי להגנה משפטית על ממצאי החקירה, יש לתכנן את אופן ניהול הבדיקה כבר מרגע גילוי האירוע.

כאשר אירוע אבטחת מידע עלול להוביל להליכים משפטיים, ביקורת רגולטורית, תביעות ייצוגיות או מחלוקות מול לקוחות וספקים, מומלץ שהחקירה המשפטית תנוהל באמצעות היועץ המשפטי של הארגון ובמטרה לקבל ייעוץ משפטי לקראת הליכים משפטיים אפשריים.

חיסיון אינו חל משום שמסמך מוגדר "סודי", אלא בשל מטרתו המשפטית, זהות הגורם שהזמין את העבודה ואופן ניהול התהליך.

כיצד נכון לבנות חקירת סייבר תחת חיסיון עורך דין־לקוח?

כאשר אירוע אבטחת מידע עשוי להוביל להליך משפטי, בדיקה רגולטורית או חשיפה לתביעות, יש לתכנן את החקירה באופן שמאפשר לארגון לקבל ייעוץ משפטי מסודר ולצמצום חשיפה מיותרת.

1. מינוי חברת הפורנזיקה באמצעות היועץ המשפטי / יועץ משפטי חיצוני:

במקרים מתאימים, מומלץ כי חברת החקירה הפורנזית תמונה באמצעות היועץ המשפטי של הארגון, כחלק מתהליך של בחינת ההשלכות המשפטיות של האירוע. מטרת החקירה היא לא רק להבין מה קרה מבחינה טכנולוגית, אלא גם לבחון את החשיפה משפטית ורגולטורית; חובות דיווח לפי הדין; אחריות אפשרית של גורמים שונים; צעדי פעולה מול רגולטורים, לקוחות וספקים. ניהול החקירה רק באמצעות מחלקת IT עלול להקשות בהמשך על הטענה כי מדובר בעבודה שנעשתה לצורך קבלת ייעוץ משפטי.

2. הפרדה בין טיפול טכנולוגי לבין חקירה משפטית:

ניהול נכון של אירוע סייבר מחייב שני מסלולים מקבילים:

3. ניהול מסמכים במסגרת חקירת אירוע אבטחה:

ניהול נכון של מסמכי החקירה הוא חלק מהותי מהיערכות משפטית. מומלץ:

• להפריד בין דו"ח טכנולוגי לבין דו"ח משפטי.
• לסמן מסמכים רלוונטיים כ"סודי".
• לציין כי המסמך הוכן לצורך קבלת ייעוץ משפטי, כאשר הדבר מתאים.
• להגביל תפוצה פנימית.
• למנוע הפצה לא מבוקרת של טיוטות וממצאים.
• לתעד את הגורמים שהיו מעורבים בתהליך.

חשוב להדגיש: עצם סימון מסמך כ"חסוי" אינו יוצר חיסיון באופן אוטומטי. שאלת החיסיון נבחנת לפי מטרת הכנת המסמך, נסיבות הכנתו והדין החל.

לסיכום: מדריך הנהלה ודירקטוריון להתמודדות נכונה באירוע אבטחה חמור במאגר מידע

אירוע אבטחת מידע אינו עוד תקלה טכנולוגית בלבד, אלא אירוע ניהולי, משפטי ורגולטורי בעל השלכות רחבות על הארגון, הנהלתו, הדירקטוריון ובעלי התפקידים האחראים על ניהול הסיכונים.

כאשר מתגלה חשש לגישה בלתי מורשית למידע אישי, חשיפת מידע רגיש, שימוש בלתי מורשה במידע או פגיעה בשלמות מאגר מידע, על הארגון לפעול במהירות, באופן מתועד ומתואם. הניסיון מלמד כי החשיפה המשפטית אינה נובעת רק מעצם האירוע, אלא פעמים רבות מאופן ההתנהלות לאחר גילויו: עיכוב בקבלת החלטות, היעדר מנגנון תגובה, חוסר בהירות באחריות, אי־בחינת חובת דיווח או המתנה לקבלת תמונה מלאה לפני נקיטת פעולה.

אירוע אבטחה הוא כל אירוע שבו קיימת פגיעה או חשש לפגיעה באבטחת מידע, לרבות גישה בלתי מורשית, שימוש חורג בהרשאות, חשיפת מידע, אובדן מידע או פגיעה בזמינותו. אירוע אבטחה חמור הוא אירוע שבו קיימת פגיעה משמעותית או חשש ממשי לפגיעה במידע אישי, במיוחד כאשר מדובר במאגרים ברמת אבטחה בינונית או גבוהה או במידע בעל רגישות מיוחדת.

הבחינה אינה מתמקדת רק בשאלה האם נגרם נזק בפועל, אלא בשאלה האם נוצר סיכון ממשי לפרטיותם של נושאי המידע. גם טעות אנוש, תקלה במערכת, הרשאות עודפות, פעולה של עובד או כשל אצל ספק חיצוני עשויים להיחשב אירוע המחייב בחינה לפי הדין.