סיווג מאגרי מידע בישראל: המדריך לרמות אבטחה ומודל הרמזור

ארגונים בישראל מחזיקים כמויות הולכות וגדלות של מידע אישי על עובדים, לקוחות, ספקים, מועמדים ומשתמשים – אך לא כל מאגר מידע כפוף לאותה רמת אבטחה. תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, קובעות רמות אבטחה שונות בהתאם למאפייני המאגר, סוגי המידע, היקפו ומספר בעלי ההרשאה. במאמר זה נסביר כיצד מסווגים מאגרי מידע בישראל, מה המשמעות של כל רמת אבטחה, וכיצד ניתן לתרגם את הסיווג הרגולטורי למפת סיכונים ותוכנית עבודה ברורה.

למה בכלל צריך לסווג מאגר מידע?

סיווג המאגר הוא אחת מנקודות המוצא המרכזיות להבנת חובות אבטחת המידע של הארגון.

התקנות מבחינות בין מאגר המנוהל בידי יחיד לבין מאגרים ברמת אבטחה בסיסית, בינונית וגבוהה. לכל אחת מהקטגוריות נגזרות דרישות שונות בתחומים כמו ניהול הרשאות, תיעוד, בקרה, סקרי סיכונים, מבדקי חדירה, ניהול אירועי אבטחה והתקשרויות עם גורמים חיצוניים.

לכן, סיווג מאגר מידע אינו פעולה טכנית בלבד. הוא משפיע על רמת הבקרה שהארגון נדרש ליישם ועל היכולת שלו להראות שהמידע האישי מנוהל ומוגן בהתאם לדרישות הדין.

ארבע הקטגוריות שארגונים בישראל צריכים להכיר

1. מאגר המנוהל בידי יחיד

התקנות כוללות מסלול מותאם למאגרים שמנוהלים בידי יחיד או תאגיד בבעלות יחיד, כאשר מספר בעלי ההרשאה מוגבל ובהתקיים התנאים הקבועים בתקנות.

המשמעות אינה שמאגר כזה פטור מאבטחת מידע. גם מאגרים קטנים מחויבים ביישום דרישות אבטחה מתאימות ובהגנה על המידע האישי שהם מחזיקים.

2. רמת אבטחה בסיסית

ככלל, רמת אבטחה בסיסית חלה על מאגרים שאינם עומדים בתנאים לרמת אבטחה בינונית או גבוהה ואינם מסווגים כמאגר המנוהל בידי יחיד.

גם ברמה זו קיימות חובות ממשיות, ובהן תיעוד מאפייני המאגר, ניהול הרשאות, נהלי אבטחת מידע, אבטחת מערכות, טיפול באירועי אבטחה וניהול גורמים חיצוניים.

לכן המונח "בסיסית" אינו אומר "מעט אבטחה". הוא מתאר רמת דרישות רגולטורית מוגדרת.

3. רמת אבטחה בינונית

רמת האבטחה הבינונית חלה במקרים מסוימים על מאגרים שבהם מאפייני הפעילות או סוגי המידע יוצרים רגישות מוגברת.

בין היתר, ההסדר עשוי להיות רלוונטי למאגרים של גופים ציבוריים, למאגרים שעיקר מטרתם איסוף מידע לצורך מסירתו לאחר כדרך עיסוק, ולמאגרים הכוללים סוגים מסוימים של מידע אישי רגיש, בהתאם להגדרות ולחריגים בתקנות.

בין סוגי המידע שעשויים להיות רלוונטיים נמצאים מידע רפואי, מידע גנטי, מידע ביומטרי, מידע על עבר פלילי, מידע כלכלי, מידע הנוגע לצנעת חייו האישיים של אדם וסוגי מידע נוספים המפורטים בדין.

4. רמת אבטחה גבוהה

רמת האבטחה הגבוהה חלה על מאגרים מסוימים שמאפייניהם כבר מציבים אותם ברמת האבטחה הבינונית, ובנוסף הם מגיעים להיקף משמעותי במיוחד.

לפי מדריך הרשות להגנת הפרטיות, מאגר שעומד בתנאי הרמה הבינונית עשוי לעבור לרמת אבטחה גבוהה כאשר הוא כולל מידע על 100,000 בני אדם ומעלה או כאשר מספר בעלי ההרשאה בו עולה על 100.

במאגרים ברמת אבטחה גבוהה קיימות דרישות מחמירות יותר, ובכלל זה דרישות בתחום סקרי הסיכונים, מבדקי החדירה, בקרה ותיעוד.

המשמעות המעשית פשוטה: מאגר שסווג נכון לפני מספר שנים אינו בהכרח מסווג נכון היום.

רישום מאגר וסיווג רמת האבטחה הם לא אותו הדבר

זו אחת ההבחנות החשובות ביותר בעקבות תיקון 13 לחוק הגנת הפרטיות.

תיקון 13 צמצם באופן משמעותי את חובת רישום מאגרי המידע, במיוחד במגזר הפרטי. עם זאת, ביטול או צמצום חובת הרישום אינו מבטל את יתר החובות לפי חוק הגנת הפרטיות ותקנות אבטחת המידע.

כלומר, ייתכן שמאגר אינו חייב ברישום – ועדיין חלות עליו דרישות אבטחת מידע מהותיות.

בנוסף, קיימת חובת הודעה לרשות להגנת הפרטיות לגבי סוגים מסוימים של מאגרי מידע שאינם חייבים ברישום אך עומדים בתנאים הקבועים בחוק.

לכן מומלץ להפריד בין שלוש שאלות:

האם מדובר במאגר מידע שעליו חלות הוראות החוק?

מהי רמת האבטחה החלה עליו לפי תקנות אבטחת המידע?

האם קיימת חובת רישום או הודעה לרשות?

אלה שלוש שאלות שונות, גם אם הן קשורות זו לזו.

למידע נוסף על ההיערכות הרגולטורית ניתן לקרוא על התאמת ארגונים לחוק הגנת הפרטיות ותיקון 13.

מה-TLP לעולם הפרטיות: אנלוגיית מודל הרמזור לסיווג מידע

בעולם הסייבר קיים מודל מוכר בשם Traffic Light Protocol – TLP.

מערך הסייבר הלאומי מגדיר את TLP כ"שיטת הרמזור" – שיטה מקובלת לטיפול במידע רגיש שאינו מסווג ביטחונית, שמטרתה לאפשר שיתוף מידע תוך הגדרת מגבלות על אופן הפצתו.

גם FIRST, הגוף שמתחזק את TLP 2.0, משתמש בצבעים כמו RED, AMBER, GREEN ו-CLEAR כדי לתת למקבלי המידע דרך פשוטה ואינטואיטיבית להבין כיצד מותר לשתף אותו.

חשוב להדגיש: TLP אינו מנגנון לסיווג מאגרי מידע לפי תקנות הגנת הפרטיות, והצבעים אינם מחליפים את רמות האבטחה החוקיות.

אבל הרעיון שמאחוריו מעניין במיוחד גם בהקשר של פרטיות ומאגרי מידע: לקחת עולם מורכב של מידע רגיש, סיכונים, הרשאות וכללי טיפול – ולהפוך אותו לשפה ניהולית שקל להבין ולקבל באמצעותה החלטות.

מכאן ניתן לבנות שכבה נוספת מעל הסיווג החוקי.

מודל אינפוגארד: רמזור למצב העמידה והסיכון

לאחר שהארגון קובע את רמת האבטחה הרשמית של המאגר – בסיסית, בינונית או גבוהה – ניתן להוסיף שכבת הערכה ניהולית שתמחיש את מצב העמידה בפועל.

במילים אחרות:

רמת האבטחה מספרת לנו אילו דרישות חלות על המאגר.
צבע הרמזור מספר לנו עד כמה הארגון עומד בהן בפועל.

🟢 ירוק – מצב העמידה תקין

המאגר מסווג באופן עדכני, מסמך הגדרות המאגר תואם לפעילות בפועל, ההרשאות מנוהלות, הבקרות הרלוונטיות מיושמות וקיימות אסמכתאות שמאפשרות להראות עמידה בדרישות שנבדקו.

המשמעות אינה שאין סיכון. מידע אישי תמיד דורש הגנה.

המשמעות היא שהארגון מכיר את הסיכון ומנהל אותו באופן מבוקר.

🟡 צהוב – קיימים פערים הדורשים טיפול

רמת האבטחה ידועה, אך קיימים פערים שטרם הושלמו.

לדוגמה:

• מסמך הגדרות מאגר שאינו מעודכן;
• בעלי הרשאה שלא עברו בחינה תקופתית;
• תהליכי ספקים שאינם מתועדים באופן מלא;
• מדיניות או נהלים שאינם תואמים עוד למציאות;
• בקרות שנדרשות לפי רמת האבטחה אך טרם יושמו במלואן.

מאגר "צהוב" אינו בהכרח משבר, אבל הוא דורש תוכנית עבודה עם תעדוף, בעלי אחריות ולוחות זמנים.

🔴 אדום – פער מהותי או חשיפה גבוהה

בקטגוריה זו נמצאים מצבים שבהם קיים פער משמעותי בין דרישות האבטחה לבין מה שמיושם בפועל.

לדוגמה:

• הסיווג אינו תואם עוד את היקף המאגר;
• הארגון אינו יודע בדיוק איזה מידע אישי מוחזק ובאילו מערכות;
• קיימים בעלי הרשאה רבים ללא מנגנוני בקרה מספקים;
• חסרים סקרים, בדיקות או בקרות מהותיות הנדרשות לפי רמת האבטחה;
• לא קיימת תמונה ברורה של ספקים וגורמים חיצוניים שמעבדים את המידע;
• אין בידי הארגון תיעוד שמאפשר להראות כיצד הוא עומד בדרישות.

כאן נדרש טיפול בעדיפות גבוהה.

הנקודה החשובה: מאגר "גבוה" יכול להיות ירוק

זה אולי החלק החשוב ביותר באנלוגיית הרמזור.

רמת האבטחה אינה ציון לסיכון הניהולי של הארגון.

מאגר ברמת אבטחה גבוהה יכול להיות ירוק אם הארגון מיישם את הבקרות הנדרשות, מתחזק תיעוד, מנהל הרשאות ומבצע את הבדיקות הרלוונטיות.

לעומת זאת, מאגר ברמת אבטחה בסיסית יכול להיות אדום אם קיימים בו פערים מהותיים, אין שליטה בהרשאות או שהארגון אינו יודע אילו נתונים הוא מחזיק.

כך נוצרת למעשה מטריצה דו-ממדית:

ציר ראשון – מה דורש הדין?
בסיסית / בינונית / גבוהה.

ציר שני – מה מצבנו בפועל?
ירוק / צהוב / אדום.

המטריצה הזו מאפשרת להנהלה, ל-CISO, ל-DPO ול-IT לקבל תמונת מצב הרבה יותר שימושית מהגדרה רגולטורית בלבד.

כך ניתן לתעדף מאגרי מידע בארגון – שיטת הרמזור לסיווג מידע

נניח שלארגון קיימים 5 מאגרים:

מאגר משאבי אנוש – רמת אבטחה בינונית – צהוב
הסיווג נכון, אך הרשאות עובדים וספק שכר חיצוני דורשים בחינה.

מאגר לקוחות – רמת אבטחה גבוהה – ירוק
המאגר גדול ורגיש, אך בקרות האבטחה, התיעוד וסקרי הסיכונים מנוהלים כנדרש.

מערכת CRM – רמת אבטחה בסיסית – אדום
הארגון אינו מחזיק תמונה מלאה של הרשאות, אינטגרציות ונתונים שנצברו לאורך השנים.

מערכת שיתוף קבצים פיתוח – רמת אבטחה בסיסית – אדום
הארגון אינו מחזיק תמונה מלאה של הרשאות, אינטגרציות ונתונים שנצברו לאורך השנים על מידע פיתוח רגיש.

מאגר מועמדים – רמת אבטחה בינונית – צהוב
קיימים פערים במדיניות שמירה ומחיקה ובהרשאות למערכת הגיוס.

במודל כזה קל יותר להבין איפה נכון להשקיע קודם.

העדיפות אינה בהכרח המאגר בעל הסיווג הרגולטורי הגבוה ביותר – אלא השילוב שבין רגישות, היקף, חשיפה ומצב העמידה בפועל.

מה המצב של מאגרי המידע שלכם?
אינפוגארד תסייע לכם למפות את המאגרים, לבדוק את רמת האבטחה ולזהות אילו פערים דורשים טיפול קודם.

דברו איתנו לבדיקת מצב הארגון ›

איך מבצעים סיווג נכון של מאגרי המידע?

1. מתחילים במיפוי

יש לזהות אילו מערכות ותהליכים בארגון כוללים מידע אישי.

מערכות CRM, HR, שכר, שירות לקוחות, מערכות מועמדים, אתרי אינטרנט, אפליקציות, מערכות SaaS וסביבות Cloud עשויות להיות חלק ממערך עיבוד המידע האישי.

מיפוי טוב לא מסתפק בשם המערכת. הוא בוחן גם זרימות מידע, ממשקים, ספקים, משתמשים ומטרות שימוש.

2. מזהים את סוגי המידע

השלב הבא הוא להבין מה באמת נמצא במאגר.

לדוגמה:

• מידע רפואי;
• מידע ביומטרי;
• מידע פיננסי;
• מידע תעסוקתי;
• מידע על עבר פלילי;
• נתוני תקשורת;
• מידע על התנהגות והרגלי צריכה;
• מידע אישי אחר בעל רגישות מיוחדת.

ככל שרגישות המידע גבוהה יותר, כך החשיבות של מיפוי מדויק וניהול בקרות עולה.

3. בודקים את היקף המאגר

יש להבין כמה נושאי מידע כלולים במאגר.

הנתון הזה עשוי להשתנות משמעותית לאורך זמן.

מאגר לקוחות שהכיל 30,000 רשומות לפני שלוש שנים יכול להגיע ל-120,000; קבוצת חברות יכולה לבצע איחוד מערכות; חברה יכולה לרכוש פעילות ולהגדיל את היקף המידע כמעט בן לילה.

לכן אסור להתייחס לסיווג כנתון קבוע.

4. ממפים בעלי הרשאה

מספר בעלי ההרשאה הוא אחד הפרמטרים החשובים בסיווג ובניהול הסיכון.

יש לקחת בחשבון לא רק עובדים פנימיים אלא גם:

• מנהלי מערכת;
• אנשי IT;
• ספקי תמיכה;
• מפתחים;
• חברות מיקור חוץ;
• ספקי SaaS;
• גורמים חיצוניים בעלי גישה למידע.

5. מעדכנים את מסמך הגדרות המאגר

מסמך הגדרות המאגר הוא אחד הכלים החשובים ליצירת תמונת מצב מסודרת.

הוא צריך לשקף את הפעילות האמיתית של המאגר ולא את המציאות שהייתה בארגון לפני מספר שנים.

כאשר מערכות, מטרות שימוש, ספקים או סוגי מידע משתנים – גם התיעוד צריך להשתנות.

יודעים מהי רמת הסיווג והאבטחה הנדרשת, אבל לא בטוחים שאתם עומדים בכל הדרישות?
סקר פערים להגנת הפרטיות מאפשר להפוך רגולציה לתוכנית עבודה ברורה ומתועדפת.

לפרטים על Privacy Gap Assessment ›

הטעות הנפוצה: "עשינו סיווג פעם"

מאגרי מידע הם מערכות חיות.

הם משתנים בכל פעם שהארגון:

• מוסיף מערכת חדשה;
• מחליף מערכת CRM;
• עובר לענן;
• מוסיף ספק;
• מבצע אינטגרציה;
• מרחיב פעילות;
• אוסף סוג מידע חדש;
• מוסיף עובדים ובעלי הרשאה.

לכן סיווג מאגר מידע צריך להיבדק מחדש כאשר קיימים שינויים מהותיים במאגר או בתהליכי עיבוד המידע.

במקום לשאול:

"האם יש לנו מסמך סיווג?"

עדיף לשאול:

"האם הסיווג שיש לנו עדיין מתאר את המציאות?"

המאגר גדל? המערכות השתנו? נוספו ספקים והרשאות?
יכול להיות שגם הסיווג והסיכון השתנו.

לתיאום בדיקה מחדש של מאגרי המידע ›

תיקון 13: פחות רישום, לא פחות אחריות

תיקון 13 לחוק הגנת הפרטיות צמצם משמעותית את חובת רישום מאגרי המידע בישראל.

אבל הרשות להגנת הפרטיות מדגישה כי מאגר שאינו חייב ברישום אינו פטור מחובות אחרות לפי חוק הגנת הפרטיות ותקנותיו.

למעשה, האחריות הארגונית לניהול המידע האישי נותרה מרכזית, ובמקביל הורחבו כלי הפיקוח והאכיפה של הרשות.

לכן כדאי לראות בתיקון 13 הזדמנות לעבור ממודל של "רישום מאגרים" למודל של ניהול מידע, סיכונים וציות בפועל.

לקריאה נוספת ניתן לעבור לשירות סקר פערים להגנת הפרטיות – Privacy Gap Assessment.

CISO או DPO? אל תסתפקו בסיווג על הנייר.
בדקו את הפער בין רמת האבטחה הנדרשת לבין מצב היישום בפועל.

לתיאום שיחת ייעוץ עם מומחי Infoguard ›

אז מה כדאי לארגון לבדוק עכשיו?

בבדיקה תקופתית של מאגרי המידע מומלץ לבחון לפחות:

• האם קיימת רשימה מלאה ועדכנית של המאגרים ותהליכי עיבוד המידע?
• האם כל מאגר מסווג לרמת האבטחה המתאימה?
• האם מסמכי הגדרות המאגר מעודכנים?
• האם ידוע אילו סוגי מידע נמצאים בכל מערכת?
• האם ידוע מספר נושאי המידע?
• האם קיימת תמונה מלאה של בעלי ההרשאה?
• האם נבדקו ספקים וגורמים חיצוניים?
• האם רמת האבטחה השתנתה בעקבות גידול במאגר?
• האם כל הבקרות החלות על הרמה מיושמות?
• האם נבדקו חובת רישום או חובת הודעה לפי תיקון 13?
• האם סקרי הסיכונים ומבדקי החדירה הנדרשים מבוצעים?
• ומהו צבע מצב העמידה של כל מאגר – ירוק, צהוב או אדום?

למידע נוסף על בחינת פערים ארגוניים ניתן לקרוא על Security GAP Analysis באבטחת מידע וסייבר.

מסיווג רגולטורי לניהול סיכונים

בסופו של דבר, הערך האמיתי של סיווג מאגרי מידע אינו נמצא בשורה באקסל.

סיווג טוב צריך לספק לארגון יכולת לקבל החלטות.

איזה מאגר דורש טיפול קודם?

איפה החשיפה גבוהה?

באילו מערכות קיימות הרשאות יתר?

אילו תהליכים אינם מתועדים?

איפה נדרש סקר סיכונים?

ואיפה קיים פער בין דרישות הרגולציה לבין המצב בפועל?

לשם כך ניתן לשלב את תהליך סיווג המאגרים עם סקר סיכוני אבטחת מידע, שמטרתו למפות נכסים, זרימות מידע, נקודות גישה, בקרות ופערים ולתרגם אותם לתוכנית טיפול מתועדפת.

כיצד אינפוגארד יכולה לסייע?

אינפוגארד משלבת מומחיות בפרטיות, רגולציה, אבטחת מידע וניהול סיכונים כדי לתרגם את דרישות הדין לתהליך ארגוני ישים.

הסיוע יכול לכלול:

מיפוי מאגרי מידע ותהליכי עיבוד
הבנת סוגי המידע, המערכות, הממשקים, ההרשאות והספקים המעורבים.

סיווג רמת האבטחה
בחינת מאפייני המאגר והתאמת הסיווג לדרישות תקנות הגנת הפרטיות.

Privacy Gap Assessment
זיהוי הפער בין דרישות החוק, התקנות והמדיניות לבין היישום בפועל.
למידע על סקר פערים להגנת הפרטיות

Security Risk Assessment
בחינת סיכוני אבטחת מידע, נכסים, בקרות, נקודות גישה ותרחישי סיכון.
למידע על סקר סיכוני אבטחת מידע

DPO as a Service
ליווי שוטף בניהול פרטיות, ממשל, תיעוד, ספקים, העברות מידע ובקרה.
למידע על שירות DPO במיקור חוץ

בדיקת פערים באבטחת מידע וסייבר
מיפוי הדרישות מול היישום בפועל ובניית תוכנית עבודה מתועדפת.
למידע על Security GAP Analysis

הפכו את מאגרי המידע ממקור חשיפה לנכס מנוהל.
מיפוי, סיווג, סקרי פערים וניהול פרטיות שוטף – בתהליך אחד שמחבר רגולציה, סייבר וניהול סיכונים.

דברו עם מומחי אינפוגארד ›

מרמת אבטחה למפת סיכונים: כך נכון לסווג ולנהל מאגרי מידע

סיווג מאגרי מידע הוא הרבה יותר מחובה רגולטורית.

הוא מאפשר לארגון להבין איזה מידע הוא מחזיק, מה רמת הרגישות שלו, מי ניגש אליו, אילו דרישות אבטחה חלות עליו ואילו פערים דורשים טיפול.

החיבור בין רמת האבטחה החוקית לבין מודל רמזור ניהולי מאפשר ליצור שפה פשוטה וברורה:

הרגולציה מגדירה מה נדרש.
הרמזור מציג איפה אנחנו עומדים.

וכאשר שני הדברים מחוברים, קל יותר להפוך פרטיות ואבטחת מידע מתהליך של Compliance לתהליך אמיתי של ניהול סיכונים.

מה צבע מצב העמידה של מאגרי המידע שלכם?

אינפוגארד יכולה לסייע לכם למפות את המאגרים, לבדוק את רמת האבטחה, לזהות פערים ולבנות תוכנית עבודה מעשית ומדורגת.

דברו עם מומחי סיווג המידע של אינפוגארד

המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי. כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים.
המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך על ידי ROY KISCH, חובב אבטחת מידע, סייבר ומנהל השיווק של קבוצת חברות עידור (Messagent, Infoguard, Idornext).