בעמוד הזה
מה זה אירוע אבטחה חמור?
תקנות הגנת הפרטיות (אבטחת מידע) מבחינות בין אירוע אבטחה רגיל לבין אירוע אבטחה חמור, לפי רמת האבטחה של המאגר. במאגר ברמת אבטחה גבוהה, כמעט כל שימוש לא מורשה במידע או פגיעה בשלמותו נחשבים חמורים. במאגר ברמה בינונית, האירוע חמור כשהוא נוגע לחלק מהותי מהמאגר.
על אירוע חמור מדווחים לרשות להגנת הפרטיות מיד, לפי תקנה 11. מאז כניסת תיקון 13 לתוקף, לרשות יש סמכות להטיל עיצומים כספיים, וגם דיווח באיחור הוא הפרה בפני עצמה.
דוגמה מהשטח
קובץ פתוח עם מידע רפואי של תלמידים. באוקטובר 2026 פרסמה הרשות להגנת הפרטיות את מסקנותיה בעניין קובץ עם פרטים אישיים ורפואיים של כ-21 אלף תלמידים, שהיה נגיש בקישור פתוח בלי סיסמה. הרשות קבעה שמדובר באירוע אבטחה חמור, מצאה כשלים בניהול הרשאות ובהצפנה, ודחתה את הטענה שהסמכת ISO 27001 פוטרת מעמידה בתקנות.
ישראל או GDPR: איך מדווחים?
| ישראל (תקנות אבטחת מידע) | GDPR | |
|---|---|---|
| למי מדווחים | הרשות להגנת הפרטיות | רשות הפיקוח הרלוונטית במדינה באיחוד |
| מתי | מיד | תוך 72 שעות |
| יידוע האנשים שנפגעו | כשהרשות מורה על כך | כשיש סיכון גבוה לזכויותיהם |
רכיבים מרכזיים
איך זה עובד
- זיהוי
גילוי האירוע ושמירת ראיות ראשוניות.
- הערכת חומרה
בדיקה אם האירוע עומד בהגדרת אירוע חמור.
- דיווח
דיווח מיידי לרשות להגנת הפרטיות.
- הכלה ותיקון
סגירת הפרצה וטיפול בגורם השורש.
- תיעוד ולקחים
סיכום האירוע ועדכון הנהלים.
שאלות נפוצות
האם כל דליפה היא אירוע אבטחה חמור?
לא. זה תלוי ברמת האבטחה של המאגר ובהיקף המידע שנפגע. אבל גם אירוע שאינו חמור מחייב תיעוד וטיפול, ולכן כדאי שנוהל התגובה יכלול את בדיקת החומרה כשלב קבוע.
תוך כמה זמן צריך לדווח?
מיד. בתקנות בישראל אין חלון של 72 שעות כמו ב-GDPR, ואיחור בדיווח הוא הפרה בפני עצמה.
האם צריך להודיע ללקוחות שהמידע שלהם נחשף?
לא אוטומטית. הרשות רשאית להורות על יידוע האנשים שנפגעו, בהתייעצות עם ראש מערך הסייבר הלאומי.