נוהל אבטחת מידע בארגון: איך בונים מדיניות ונהלים שבאמת עובדים

נוהל אבטחת מידע אינו מסמך שכותבים כדי לסמן V בביקורת. הוא הדרך שבה הארגון מתרגם סיכונים, דרישות רגולציה ומדיניות הנהלה להוראות עבודה ברורות:

• מי אחראי
• מי רשאי לגשת למידע
• כיצד מגיבים לאירוע
• איך מנהלים ספקים
• מה עושים כאשר עובד מצטרף, מחליף תפקיד או עוזב.

כאשר נהלי אבטחת המידע בנויים נכון, הם יוצרים שפה ארגונית משותפת ומחברים בין הנהלה, CISO, IT, משאבי אנוש, רכש, משפטית והעובדים.

כאשר הם נכתבים ללא חיבור למציאות הארגונית, הם נשארים בתיקייה ואף אחד אינו משתמש בהם.

מהם נהלי אבטחת מידע?

נוהל אבטחת מידע הוא מסמך אופרטיבי שמגדיר כיצד הארגון מיישם בפועל את מדיניות אבטחת המידע שלו בתחום מסוים.

מדיניות אבטחת המידע קובעת את העקרונות והכיוון:

1. מה הארגון מבקש להגן עליו?
2. מהי מחויבות ההנהלה?
3. מהם עקרונות ניהול הסיכון?

הנוהל יורד לרמת היישום.

לדוגמה:

מדיניות יכולה לקבוע כי גישה למידע תינתן רק בהתאם לצורך העסקי.

נוהל הרשאות צריך להגדיר מי מבקש הרשאה, מי מאשר אותה, מי מיישם, כיצד מתעדים אותה, מתי היא נבדקת וכיצד היא מבוטלת.

לכן נכון לחשוב על המבנה כך:

1. מדיניות
2. נהלים
3. הוראות עבודה
4. בקרות
5. תיעוד וראיות

למה ארגון צריך נהלי אבטחת מידע?

ארגון ללא נהלים מסודרים תלוי יותר מדי בידע שנמצא אצל אנשים מסוימים.

• מנהל IT יודע כיצד לפתוח משתמש
• איש HR יודע למי להודיע כאשר עובד עוזב
• ה־CISO יודע מה לעשות כאשר מתרחש אירוע
• הרכש יודע אילו שאלות לשאול ספק

אבל מה קורה כשאותו אדם אינו נמצא? מה קורה כאשר הארגון גדל? ומה קורה כאשר מגיעה ביקורת, לקוח גדול או אירוע סייבר?

נוהל טוב הופך ידע אישי ליכולת ארגונית.

הוא גם מאפשר לארגון להראות שלא רק קיימת מדיניות על הנייר, אלא שהוגדר תהליך עקבי, אחראי ומתועד.

מדיניות אבטחת מידע ונוהל אבטחת מידע, מה ההבדל?

חשוב להפריד בין השניים.

מדיניות אבטחת מידע היא מסמך ברמת Governance. היא מגדירה עקרונות, מטרות, תחומי אחריות ומחויבות הנהלה.

נהלי אבטחת מידע מגדירים כיצד העקרונות האלה מיושמים בתחומים השונים.

לדוגמה, תחת מדיניות אבטחה ארגונית יכולים להופיע נהלים נפרדים לניהול הרשאות, עבודה מרחוק, אירועי סייבר, ספקים, גיבויים, שימוש בענן ועוד.

ארגון בוגר אינו מסתפק במסמך מדיניות אחד, הוא בונה היררכיית מסמכים ברורה שבה לכל מסמך יש מטרה, Owner, תאריך אישור ומנגנון עדכון.

10 כללי הברזל לכתיבת נוהל אבטחת מידע

1. מתחילים מסיכון – לא מתבנית

אחת הטעויות הנפוצות היא להוריד Template ולשנות את שם החברה.

נוהל צריך להיבנות לפי המערכות, המידע, התהליכים, הספקים והסיכונים של הארגון.

לכן סקר סיכונים או Gap Assessment הוא לעיתים נקודת הפתיחה הנכונה למערך הנהלים.

מידע נוסף על סקר סיכונים וסקרי פערים באבטחת מידע וסייבר של אינפוגארד.

2. לכל נוהל חייב להיות Owner

נוהל ללא בעל תפקיד אחראי הופך במהירות למסמך יתום.

צריך להיות ברור מי אחראי לתחזוקה שלו, מי מאשר שינויים ומי מוודא שהוא מיושם.

3. להגדיר מי עושה מה

הנוהל צריך להגדיר Roles & Responsibilities.

לא מספיק לכתוב "יש לבטל הרשאות לעובד שעזב".

צריך להיות ברור מי מודיע, מי מאשר, מי מבטל ומי מוודא שהפעולה הושלמה.

4. לכתוב את מה שבאמת אפשר לבצע

נוהל שלא ניתן ליישם גרוע לעיתים מהיעדר נוהל.

אם הארגון מתחייב לבצע בקרת הרשאות כל חודש אבל בפועל אין לו יכולת לכך, נוצר פער בין המסמך למציאות.

נהלים צריכים להיות שאפתניים, אבל ישימים.

5. לחבר בין אבטחת מידע לתהליך העסקי

Security אינו פועל לבד.

נוהל קליטת ועזיבת עובדים מחייב HR.
נוהל ספקים מחייב רכש ומשפטית.
נוהל אירועי סייבר מחייב הנהלה, IT ולעיתים גם פרטיות ומשפטית.

ככל שהנוהל מחובר טוב יותר לתהליך הקיים, כך הסיכוי שיופעל גבוה יותר.

6. לעבוד לפי Least Privilege

נהלי הרשאות צריכים להתבסס על הצורך המינימלי הנדרש לתפקיד.

גם הרשות להגנת הפרטיות מדגישה במסגרת תקנות אבטחת המידע כי הרשאות גישה למאגרים צריכות להינתן רק בהיקף הנדרש לביצוע התפקיד ולנוהל רשימת הרשאות מעודכנת.

7. לתעד גם את החריגים

המציאות אינה תמיד מתאימה לנוהל.

אם נדרשת הרשאה חריגה, שימוש זמני במערכת או חריגה ממדיניות – צריך להגדיר מי רשאי לאשר אותה, לכמה זמן וכיצד היא מתועדת.

8. לכלול מנגנון דיווח והסלמה

עובד שמזהה אירוע צריך לדעת למי לפנות.

מנהל שמגלה חשיפה של מידע צריך לדעת מי מקבל החלטה.

נוהל טוב אינו משאיר את שלב ההסלמה לפרשנות בזמן לחץ.

9. לבנות Evidence

אם אי אפשר להוכיח שהתהליך בוצע – קשה מאוד להגן עליו בביקורת.

אישורי הרשאות, תיעוד הדרכות, ביקורות תקופתיות, דוחות, Tickets ואישורי חריגה הם חלק ממנגנון הבקרה.

10. נוהל הוא מסמך חי

מערכות משתנות. ספקים מתחלפים. עובדים עוברים לענן. כלי AI נכנסים לארגון. רגולציה משתנה.

לכל נוהל צריך להיות מנגנון Review תקופתי וגם Trigger לעדכון בעקבות שינוי מהותי או אירוע.

כלל הברזל המרכזי: נוהל אבטחת מידע טוב צריך לתאר את הדרך שבה הארגון באמת עובד – ולשפר אותה. לא לתאר ארגון תיאורטי שאינו קיים.

אילו נהלי אבטחת מידע ארגון צריך?

אין רשימה אחת שמתאימה לכל ארגון, אבל במערך טיפוסי כדאי לבחון לפחות את התחומים הבאים:

ניהול זהויות והרשאות

פתיחת משתמשים, שינוי הרשאות, Privileged Access, MFA, ביקורות הרשאה ו-Offboarding.

קליטת עובדים ועזיבתם

חיבור בין HR, IT ואבטחת מידע, הקצאת ציוד והרשאות וביטולם בסיום העסקה.

שימוש במחשבים, ציוד קצה ו-BYOD

כללים לגבי מחשבים ארגוניים, טלפונים פרטיים, הצפנה, תוכנות, עבודה מהבית ואובדן ציוד.

עבודה מרחוק ו-Cloud

גישה מרחוק, VPN או Zero Trust, שימוש במערכות SaaS וניהול מידע בסביבות ענן.

ניהול ספקים ושרשרת אספקה

בדיקת ספק לפני התקשרות, דרישות אבטחה, גישה למידע, הרשאות ספקים וסיום התקשרות.

גיבוי ושחזור

מה מגובה, באיזו תדירות, מי אחראי וכיצד בודקים שניתן לבצע Restore.

ניהול אירועי אבטחת מידע

זיהוי, דיווח, Classification, הסלמה, תגובה, תיעוד, Recovery והפקת לקחים.

ניהול חולשות ועדכוני אבטחה

מי אחראי על Patch Management, כיצד מתעדפים חולשות ומה קורה כאשר לא ניתן לתקן מיד.

פיתוח מאובטח

רלוונטי במיוחד לארגונים שמפתחים תוכנה: Secure SDLC, Code Review, Secrets, בדיקות ואישור לפני Production.

שימוש במידע, AI ושירותים חיצוניים

ארגונים צריכים כיום להגדיר גם איזה מידע ניתן להזין לכלי Generative AI, אילו שירותים מאושרים ומהם הכללים לחיבור AI Agents למערכות ומידע ארגוני.

נהלים, תקינה ורגולציה

נהלי אבטחת מידע אינם מתקיימים בחלל ריק.

ISO/IEC 27001:2022 מגדיר דרישות להקמה, יישום, תחזוקה ושיפור מתמשך של Information Security Management System – ISMS.

התקן אינו מספק "נוהל אחד" שיש להעתיק. הוא דורש מהארגון לנהל סיכוני אבטחת מידע ולהפעיל מערכת ניהול שמתאימה להקשר, לסיכונים ולדרישות שלו.

ISO/IEC 27002 משמש מקור הנחיה לבקרות אבטחת מידע ויכול לסייע בהפיכת דרישות ועקרונות לבקרות ותהליכים.

הסמכה ISO 27001 – מערכת ניהול אבטחת מידע

גם מסגרות נוספות יכולות להשפיע על מערך הנהלים, בהתאם לפעילות הארגון, ובהן NIST CSF, SOC 2, PCI DSS ודרישות רגולטוריות סקטוריאליות.

NIST Cybersecurity Framework 2.0, לדוגמה, מארגן ניהול סיכוני סייבר סביב שש פונקציות: Govern, Identify, Protect, Detect, Respond ו-Recover. מערך נהלים טוב צריך לתמוך בכל מחזור החיים הזה – לא רק בפעולות מניעה.

ומה לגבי חוק הגנת הפרטיות בישראל?

כאשר הארגון מנהל מידע אישי, מערך הנהלים צריך להתחבר גם לחובות הנובעות מחוק הגנת הפרטיות ומתקנות הגנת הפרטיות (אבטחת מידע), בהתאם לתחולתן ולרמת האבטחה הרלוונטית.

התקנות מתייחסות בין היתר לנושאים כגון הרשאות גישה, זיהוי ואימות, תיעוד אירועי אבטחה, התקנים ניידים, ספקים וביקורות.

לכן לא נכון לנהל "נהלי פרטיות" ו"נהלי אבטחת מידע" כשני עולמות שאינם מדברים זה עם זה.

במקום שבו קיים מידע אישי, ה־CISO, ה-DPO, ה־IT והגורמים העסקיים צריכים לעבוד במסגרת תהליכים מתואמת.

מידע נוסף על ניהול הגנת הפרטיות במיקור חוץ – DPO as a Service והתאמות לתיקון 13 חוק הגנת הפרטיות 2026.

מי אחראי על כתיבת נהלי אבטחת מידע?

הנהלה

הנהלה אינה אמורה לכתוב את נוהל הרשאות המשתמשים, אבל היא צריכה לאשר את מדיניות אבטחת המידע ולתת לה תוקף ארגוני.

המחויבות הניהולית חשובה משום שחלק מהנהלים דורשים משאבים, שינויי התנהגות והחלטות שחוצות מחלקות.

CISO – מנהל אבטחת המידע

ה-CISO מוביל בדרך כלל את בניית מערך המדיניות והנהלים.

תפקידו לחבר בין סיכונים, דרישות רגולציה, טכנולוגיה וצרכים עסקיים ולהבטיח שמערך הנהלים נשאר רלוונטי ומתעדכן.

IT וצוותי תשתיות

הם שותפים מרכזיים בכל הקשור להרשאות, מערכות, גיבויים, Patch Management, Logging, ציוד קצה ויישום בקרות.

DPO ומשפטית

כאשר הנוהל נוגע למידע אישי, העברת מידע, ספקים או חובות דיווח, יש צורך גם בזווית פרטיות ומשפטית.

HR

שותף קריטי לנהלי קליטה, עזיבה, שינויי תפקיד, הדרכות ומודעות עובדים.

רכש ובעלי תהליכים עסקיים

נדרשים במיוחד בניהול ספקים, SaaS ושירותים חיצוניים.

מה המשמעות של נהלי אבטחת מידע להנהלה?

מנקודת מבט ניהולית, נהלים הם מנגנון של Accountability.

הם הופכים החלטה כללית כמו "אנחנו מחויבים לאבטחת מידע" למערכת שבה ניתן להבין:

1. מי אחראי?
2. מה צריך להתבצע?
3. מתי?
4. מי מאשר?
5. כיצד מודדים?
6. מה קורה כאשר משהו משתבש?

מערך נהלים טוב גם מקטין תלות באנשים בודדים, משפר מוכנות לביקורות ולדרישות לקוחות ומאפשר להנהלה לקבל תמונת מצב ברורה יותר של פערי אבטחה.

נוהל לא מספיק – צריך לוודא שהוא מיושם

אחת הטעויות הגדולות ביותר היא לחשוב שפרסום הנוהל הוא סוף התהליך.

נוהל אפקטיבי צריך לעבור:

1. כתיבה
2. אישור
3. הטמעה
4. הדרכה
5. תרגול
6. בקרה
7. עדכון.

לדוגמה, אם נכתב נוהל פישינג אך העובדים אינם יודעים כיצד לדווח על הודעה חשודה, המנגנון אינו שלם.

אם נכתב נוהל Incident Response אך מעולם לא בוצע תרגיל, לא ידוע אם הוא יעבוד בזמן אירוע אמיתי.

לכן נכון לחבר את מערך הנהלים גם ל־הדרכות מודעות, תרגילי פישינג, תרגילי הנהלה, סקרי סיכונים ובדיקות תקופתיות.

מידע על שירותי: הדרכות מודעות אבטחת מידע לעובדים | תרגילי פישינג | סקרי סיכונים באבטחת מידע וסייבר

מתי נכון להיעזר ב-CISO במיקור חוץ?

ארגונים רבים מבינים שהם צריכים מדיניות ונהלים, אבל אין בהם פונקציית אבטחת מידע שמנהלת אותם לאורך זמן.

במצב כזה, כתיבת מסמכים כפרויקט חד־פעמי אינה תמיד מספיקה.

CISO as a Service מאפשר לארגון לקבל מנהל אבטחת מידע מקצועי שמוביל את התחום באופן שוטף: ניהול סיכונים, מדיניות ונהלים, תוכנית עבודה, בקרה, מוכנות לאירועים, ספקים, רגולציה ותקינה.

היתרון הוא שמערך הנהלים אינו נשאר אוסף קבצים, הוא הופך לחלק מתוכנית אבטחת המידע הארגונית.

מידע נוסף על CISO as a Service – ניהול אבטחת מידע במיקור חוץ

יש לכם נהלים ישנים, חלקיים או כאלה שאינם משקפים עוד את סביבת העבודה?

יצירת קשר עם מומחי אבטחת מידע של אינפוגארד לביצוע סקירה של מערך המדיניות והנהלים, לזהות פערים ולבנות תוכנית עדכון והטמעה שמתאימה לארגון.

מתי צריך לעדכן נוהל אבטחת מידע?

לא מומלץ להסתפק בבדיקה לפי לוח שנה בלבד.

כדאי לבחון עדכון גם כאשר:

• נכנסת מערכת עסקית או מערכת Cloud חדשה
• מתבצע שינוי משמעותי בארכיטקטורה
• הארגון מתחיל לעבוד עם ספק מהותי
• נכנסים כלי AI או AI Agents
• מתרחשת תקרית אבטחה
• מתגלים ממצאים בסקר סיכונים או Pen Test
• משתנה רגולציה רלוונטית
• הארגון נערך להסמכה או ביקורת
• חל שינוי משמעותי בכוח האדם או במבנה הארגוני

אירוע הוא לעיתים הסימן הטוב ביותר לכך שנוהל מסוים אינו ברור, אינו מיושם או אינו מתאים עוד.

איך אינפוגארד יכולה לסייע?

באינפוגארד אנחנו בוחנים מערך מדיניות ונהלי אבטחת מידע כחלק מתמונת ניהול הסיכונים הארגונית הרחבה.

העבודה יכולה לכלול מיפוי נהלים קיימים, Gap Analysis, סקרי סיכונים, כתיבת מדיניות ונהלים, התאמה ל־ISO 27001 ולמסגרות נוספות, בחינת דרישות חוק הגנת הפרטיות, הגדרת אחריות ותהליכי בקרה, הדרכות והטמעה בארגון.

כאשר נדרש ליווי מתמשך, ניתן לשלב את התהליך במסגרת CISO as a Service, כך שמנהל אבטחת מידע מקצועי מחזיק את מערך הנהלים, תוכנית העבודה והבקרה לאורך זמן ולא רק בנקודת כתיבת המסמכים.

המטרה היא לא להוסיף עוד מסמכים לארגון, אלא לבנות מערכת נהלים ברורה, ישימה ומדידה שמחברת בין סיכון, רגולציה והעבודה היומיומית.

נוהל אבטחת מידע טוב לא נמדד במספר העמודים שלו. הוא נמדד בשאלה האם האנשים שצריכים לפעול לפיו יודעים מה לעשות כשהרגע מגיע.

רוצים לבנות, לעדכן או לבדוק את נהלי אבטחת המידע בארגון?

דברו עם מומחי אינפוגארד לסקירת המצב הקיים, בניית מדיניות ונהלים והטמעת תהליכי אבטחת מידע שמתאימים לפעילות ולדרישות שלכם.
לקביעת שיחת ייעוץ ראשונית

שש שאלות נפוצות בנושא נוהלי אבטחת מידע בארגונים

1. מה צריך לכלול נוהל אבטחת מידע?
   היקף הנוהל תלוי בנושא ובארגון, אך בדרך כלל הוא כולל מטרה, תחולה, בעלי תפקידים, אחריות, שלבי התהליך, מנגנוני אישור והסלמה, תיעוד, חריגים ובקרות.
2. מה ההבדל בין מדיניות אבטחת מידע לבין נוהל?
   מדיניות קובעת עקרונות ומטרות ברמת הארגון. נוהל מגדיר כיצד מיישמים אותם בפועל בתהליך מסוים.
3. מי צריך לכתוב את הנהלים?
   בדרך כלל התהליך מובל על ידי CISO או גורם אבטחת מידע מקצועי, בשיתוף בעלי התהליך הרלוונטיים כגון IT, HR, משפטית, DPO ורכש.
4. האם ISO 27001 מחייב נהלי אבטחת מידע?
   ISO/IEC 27001 דורש מהארגון להקים ולתחזק מערכת ניהול אבטחת מידע מתועדת בהתאם לדרישות התקן, להקשר ולסיכונים שלו. הוא אינו מספק רשימת נהלים אחידה שמתאימה לכל ארגון.
5. כל כמה זמן צריך לעדכן נהלי אבטחת מידע?
   יש לבצע Review תקופתי, אך גם לבחון עדכון בעקבות שינויים משמעותיים במערכות, תהליכים, איומים, רגולציה, ספקים או בעקבות אירוע אבטחה.
6. האם ניתן לנהל את מערך הנהלים באמצעות CISO במיקור חוץ?
   כן. שירות CISO במיקור חוץ יכול להוביל את מערך המדיניות והנהלים כחלק מניהול אבטחת המידע השוטף, לרבות סיכונים, בקרה, תקינה ומוכנות לאירועים.

מערך נהלי אבטחת מידע אפקטיבי צריך להיות מבוסס סיכון, מחובר לתהליכים העסקיים ומתוחזק באופן שוטף ולא רק להיכתב פעם אחת.
הנהלים צריכים להגדיר בעלי תפקידים, אחריות, מנגנוני בקרה, חריגים, תיעוד ועדכון, ולתמוך בדרישות תקינה, רגולציה וניהול סיכונים.
ארגונים שאין בהם פונקציית אבטחת מידע מלאה יכולים לנהל את התחום באמצעות CISO במיקור חוץ ולשלב את הנהלים כחלק מתוכנית אבטחת מידע רחבה ומתמשכת.

המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ מקצועי בנושאי סייבר, פרטיות, אבטחת מידע, תקינה ורגולציה, ייעוץ משפטי או טכנולוגי.

אנחנו באינפוגארד מאמינים שכל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים ולהתאים את התוכנית והפתרונות ספציפית לארגון, לתקינה ולמצב הקיים.

המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך על ידי ROY KISCH, חובב פרטיות, אבטחת מידע, סייבר ומנהל השיווק בקבוצת חברות עידור (Messagenet, Infoguard, Idornext).