בעמוד הזה
מה זה רמות אבטחה?
תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 לא מטילות את אותן חובות על כל מאגר מידע. הן מחלקות את המאגרים לשלוש רמות אבטחה: בסיסית, בינונית וגבוהה, וקובעות בתקנה 21 אילו תקנות חלות על כל רמה. לצידן יש קטגוריה רביעית, מאגר המנוהל בידי יחיד, שחלות עליו מעט חובות בלבד.
ההגדרות בתקנות, ובתוספת השלישית לחוק הגנת הפרטיות שקובעת את העיצומים, קובעות את הרמה לפי כמה שאלות: האם המאגר כולל מידע בעל רגישות מיוחדת, האם בעל השליטה הוא גוף ציבורי, האם מטרתו העיקרית היא מסירת מידע לאחרים כדרך עיסוק (למשל דיוור ישיר), כמה בני אדם יש במאגר וכמה בעלי הרשאה יש לו. מאגר שאינו עונה על אף אחד מהתנאים של הרמה הבינונית או הגבוהה הוא ברמה בסיסית. איך ממפים את המאגרים בארגון וקובעים לכל אחד את רמתו: סיווג מאגרי מידע בישראל.
דוגמה מהשטח
רשת מרפאות שגדלה. ברשת יש מידע רפואי על 30,000 מטופלים ו-40 עובדים עם גישה למערכת. כיוון שזה מידע בעל רגישות מיוחדת ויש יותר מעשרה בעלי הרשאה, המאגר ברמת אבטחה בינונית: בין השאר נדרשים תיעוד אוטומטי של הגישה למערכות, הדרכת עובדים אחת לשנתיים וביקורת אבטחה אחת ל-24 חודשים. כשמספר העובדים עם גישה יעבור את 100, המאגר יעבור לרמת אבטחה גבוהה, ויתווספו חובות כמו סקר סיכונים ומבדקי חדירות אחת ל-18 חודשים לפחות.
מה חל בכל רמה
| רמה בסיסית | רמה בינונית | רמה גבוהה | |
|---|---|---|---|
| אילו מאגרים | כל מאגר שאינו בינוני, גבוה או מנוהל בידי יחיד | מאגר עם מידע בעל רגישות מיוחדת (בכפוף לחריגים), מאגר של גוף ציבורי, או מאגר שמטרתו מסירת מידע לאחרים כדרך עיסוק | מאגר שמטרתו מסירת מידע או מאגר עם מידע בעל רגישות מיוחדת, כשיש בו מידע על 100,000 בני אדם ומעלה או יותר מ-100 בעלי הרשאה; וגם מאגר עם מזהים ביומטריים של 100,000 בני אדם ומעלה |
| תיעוד אוטומטי של גישה (תקנה 10) | לא חל | חל, והתיעוד נשמר 24 חודשים לפחות | חל, והתיעוד נשמר 24 חודשים לפחות |
| ביקורת אבטחה (תקנה 16) | לא חלה | אחת ל-24 חודשים לפחות | אחת ל-24 חודשים לפחות |
| סקר סיכונים ומבדקי חדירות (תקנה 5) | לא חלים | לא חלים | אחת ל-18 חודשים לפחות |
| דיון באירועי אבטחה (תקנה 11(ג)) | לא חל | אחת לשנה לפחות | אחת לרבעון לפחות |
| עיצום על אי הכנת מסמך הגדרות מאגר (סכום הבסיס בתוספת השלישית) | 2,000 ש"ח | 40,000 ש"ח | 160,000 ש"ח |
מקורות
רכיבים מרכזיים
איך זה עובד
- מיפוי המאגרים
רשימת כל מאגרי המידע האישי בארגון והמערכות שבהן הם נשמרים.
- בדיקת סוג המידע
האם יש במאגר מידע בעל רגישות מיוחדת, ומה מטרת המאגר.
- ספירה
כמה בני אדם יש במאגר וכמה בעלי הרשאה יש לו.
- קביעת הרמה
התאמת המאגר להגדרה של רמה בסיסית, בינונית או גבוהה.
- יישום החובות
השלמת הבקרות שחלות על הרמה לפי תקנה 21, ותיעוד שלהן.
שאלות נפוצות
מי קובע את רמת האבטחה של המאגר?
הרמה לא נבחרת, היא נובעת מההגדרות בחוק ובתקנות. בעל השליטה במאגר צריך לבדוק את סוג המידע, את מטרת המאגר, את מספר האנשים שבו ואת מספר בעלי ההרשאה, ולפיהם לדעת איזו רמה חלה. לפי תקנה 20, הרשם רשאי לפטור מאגר מסוים מחובות או להחיל עליו חובות נוספות.
האם מאגר יכול לעבור רמה?
כן. הרמה תלויה בנתונים שמשתנים, כמו מספר בעלי ההרשאה או מספר האנשים במאגר. מאגר עם מידע בעל רגישות מיוחדת שבו מספר בעלי ההרשאה עובר את 100, או שהמידע בו מגיע ל-100,000 בני אדם, עובר לרמה הגבוהה.
האם הסמכה ל-ISO 27001 פוטרת מהתקנות?
לא באופן אוטומטי. תקנה 20(ב) מאפשרת לרשם להורות שמי שעומד בתקן מסוים ייחשב כמקיים את התקנות, כולן או חלקן, אם השתכנע שהתקן מבטיח את רמת האבטחה הנדרשת. באוקטובר 2026 דווח שהרשות להגנת הפרטיות דחתה את טענת משרד החינוך שהסמכתו ל-ISO 27001 פוטרת אותו מחלק מהתקנות.
מה ההבדל בין רמות האבטחה בתקנות לבין הקטגוריות של NIST?
ב-NIST (תקן FIPS 199 בארצות הברית) מערכת מקבלת קטגוריית אבטחה לפי ההשפעה האפשרית של פגיעה בסודיות, בשלמות או בזמינות שלה. בתקנות הישראליות הרמה נקבעת לפי כללים קבועים: סוג המידע, סוג בעל השליטה, מספר האנשים ומספר בעלי ההרשאה.
מה קורה לארגון שלא יישם את החובות של הרמה שלו?
הרשות להגנת הפרטיות רשאית להטיל עיצום כספי לפי התוספת השלישית לחוק. הסכום תלוי בהפרה וברמת האבטחה של המאגר, ובמאגר ברמה גבוהה עם מידע על 1,000,000 בני אדם ומעלה הרשות רשאית להטיל כפל סכום.