תקנה 15 לתקנות הגנת הפרטיות: מה ארגונים חייבים לבדוק מול ספקים חיצוניים
ארגון יכול להעביר שירות או מערכת לספק חיצוני, אך האחריות לאבטחת המידע אינה נעלמת. כאשר ספק מקבל גישה למאגר מידע, תקנה 15 מחייבת להבין את הסיכון, להסדיר את אופן הגישה והטיפול במידע ולפקח על הספק לאורך ההתקשרות.
מהי תקנה 15?
תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), תשע"ז–2017, עוסקת בהתקשרות עם גורם חיצוני לצורך קבלת שירות הכרוך בגישה למאגר מידע.
התקנות הותקנו מכוח חוק הגנת הפרטיות, תשמ״א 1981, תקנה 15 היא הוראה רגולטורית מחייבת מכוח החוק, אבל לא סעיף 15 לחוק הגנת הפרטיות.
הרשות להגנת הפרטיות מדגישה כי התקשרות כזו יוצרת סיכונים ייחודיים הקשורים לגישה למידע אישי, להעברת מידע ולניהולו לאורך חיי ההתקשרות.
המשמעות היא שהתקנה אינה רלוונטית רק לספק IT. היא יכולה להיות רלוונטית גם למערכת HR בענן, CRM, מערכת שיווק, שירות משפטי, מערכת פיננסית או כל ספק SaaS המעבד מידע אישי עבור הארגון.
לפני החוזה: קודם בודקים את הסיכון
אחת הדרישות החשובות בתקנה היא לבצע בחינה של סיכוני אבטחת המידע הנובעים מההתקשרות לפני שהיא מתחילה.
כדאי להבין:
- לאיזה מידע יקבל הספק גישה?
- עד כמה המידע רגיש?
- אילו הרשאות באמת נחוצות?
- היכן יישמר ויעובד המידע?
- האם הספק משתמש בגורמים נוספים?
- ומה יקרה אם הספק יחווה אירוע אבטחה?
זהו חיבור ישיר בין תקנה 15 לבין Third-Party Risk Management – TPRM.
למידע נוסף במאמר ניהול סיכוני ספקים – Third-Party Risk Management וספקי SaaS.
החוזה הוא גם בקרת אבטחת מידע
לא מספיק שהספק מצהיר שהוא מאובטח.
ההתקשרות צריכה להסדיר, בהתאם לנסיבות, איזה מידע הספק רשאי לעבד, לאילו מערכות הוא רשאי לגשת, מה מותר לו לעשות במידע ומה יקרה לו עם סיום השירות.
כדאי לתת ביטוי גם לנושאים כגון:
- חובת דיווח על אירוע אבטחה.
- הרשאות וגישה.
- שימוש בספקי משנה.
- שמירה, החזרה ומחיקת מידע.
- דרישות אבטחה.
- פיקוח ובקרה.
- סיום ההתקשרות.
לכן יישום תקנה 15 דורש בדרך כלל שיתוף פעולה בין Security, Legal, Privacy/DPO, Procurement והיחידה העסקית.
ספק SaaS הוא גורם חיצוני לכל דבר
בעולם SaaS, רכישה והטמעה של מערכת חדשה יכולות להתבצע בתוך זמן קצר ולעיתים ישירות על ידי יחידה עסקית.
אבל העובדה שמדובר בשירות ענן נגיש אינה מפחיתה את הסיכון.
אם מערכת HR מחזיקה מידע על עובדים, מערכת שיווק מקבלת מאגר לקוחות או מערכת משפטית מעבדת מסמכים הכוללים מידע אישי, נדרש לבחון את אופי ההתקשרות ואת דרישות תקנה 15 בהתאם לנסיבות.
לכן תהליך SaaS Procurement נכון צריך לערב Security ו-Privacy לפני שמידע אמיתי מועבר לספק.
הבדיקה לא מסתיימת אחרי החתימה
Vendor Assessment אינו צריך להיות אירוע חד־פעמי.
ספק יכול במהלך הזמן לשנות תשתית, להוסיף Subprocessors, להרחיב את השירות, לשנות את סוגי המידע שהוא מעבד או לחוות אירוע סייבר.
הרשות להגנת הפרטיות מדגישה גם את הצורך בפיקוח ובקרה על עמידת הגורם החיצוני בדרישות במהלך ההתקשרות.
לכן כדאי להגדיר:
- מתי מבצעים Reassessment.
- כיצד מתקבל דיווח על Incident.
- כיצד נבדקים שינויים מהותיים בשירות.
- מי בארגון אחראי למעקב.
תקנה 15 היא תהליך מתמשך, לא שאלון חד־פעמי.
ומה קורה בסיום העבודה עם הספק?
Offboarding הוא חלק משמעותי מניהול הסיכון.
עם סיום ההתקשרות צריך לבדוק:
- האם המידע הוחזר או נמחק?
- האם החשבונות נסגרו?
- האם API Keys ו-Tokens בוטלו?
- האם לספקי משנה נשאר מידע?
- והאם קיימת הוכחה מתאימה למחיקה, כאשר הדבר נדרש?
ספק שהחוזה איתו הסתיים אבל עדיין מחזיק מידע או הרשאות נשאר סיכון לארגון.
תקנה 15 היא לא רק עניין משפטי
קל לראות בתקנה 15 עוד דרישת Compliance, בפועל היא עוסקת בשאלה בסיסית של ניהול סיכונים:
מה קורה כאשר אנחנו מאפשרים לגורם שאינו חלק מהארגון גישה למידע שלנו?
לכן יישום נכון של התקנה מתחבר באופן טבעי ל:
- TPRM
- Vendor Assessment
- Security Questionnaire
- Incident Response
- פרטיות
- ניהול הרשאות
6 שאלות שכדאי לבדוק מול ספק
- איזה מידע הספק מקבל ולשם מה?
- לאילו מערכות והרשאות תהיה לו גישה?
- אילו סיכוני אבטחת מידע נובעים מההתקשרות?
- האם הדרישות מופיעות בצורה מספקת בהסכם?
- כיצד הארגון מפקח על הספק במהלך השירות?
- מה קורה למידע ולהרשאות בסיום ההתקשרות?
אם אין תשובות ברורות, יש מקום לבחינה נוספת.
כיצד אנחנו באינפוגארד יכולים להשתלב?
אינפוגארד מסייעת לארגונים ביישום דרישות תקנה 15 כחלק מתהליכי פרטיות, אבטחת מידע ו־Third-Party Risk Management, לרבות מיפוי וסיווג ספקים, Vendor Assessments, שאלוני אבטחת מידע ובחינת דרישות אבטחה ופרטיות בהתקשרויות.
ניתן לשלב את התהליך במסגרת שירותי DPO, סקרי סיכונים וניהול סיכוני ספקים, כך שהבדיקה אינה מסתיימת בחתימת החוזה אלא מלווה את מחזור החיים של הספק.
מידע נוסף:
Third-Party Risk Management, שאלון אבטחת מידע לספקים, DPO וסקרי סיכונים.
תקנה 15 כחלק מניהול סיכוני ספקים
תקנה 15 מחייבת ארגונים להתייחס לספק חיצוני בעל גישה למידע כחלק מסביבת הסיכון שלהם.
הבדיקה מתחילה לפני ההתקשרות, ממשיכה בהסכם ובפיקוח השוטף ומסתיימת רק לאחר הסדרת המידע וההרשאות בסיום השירות.
בעולם המבוסס על SaaS וספקים חיצוניים, יישום נכון של התקנה הוא לא רק דרישת פרטיות, אלא רכיב מרכזי בניהול Third-Party Risk.
רוצים לוודא שההתקשרויות עם הספקים שלכם עומדות בדרישות תקנה 15 ושסיכוני צד שלישי מנוהלים בצורה מסודרת?
צוות אינפוגארד ישמח לסייע בבחינת הספקים, זיהוי פערים והתאמת תהליכי האבטחה והפרטיות לארגון.
צרו איתנו קשר לבחינה ראשונית.
מקורות
- הרשות להגנת הפרטיות, מדריך פעולה ליישום תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע) בעת התקשרות עם גורם חיצוני, נוסח מעודכן בעקבות תיקון 13.
- הרשות להגנת הפרטיות, המדריך המלא ליישום תקנות הגנת הפרטיות (אבטחת מידע).
- הרשות להגנת הפרטיות, שאלות ותשובות בנושא תקנות הגנת הפרטיות (אבטחת מידע).
המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי.
אנחנו באינפוגארד מאמינים כי כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים על מנת להכין תוכנית הרלוונטית בדיוק לארגון ולחברה.
המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך בעזרת בינה מלאכותית ואנושית על ידי רועי קיש, חובב פרטיות, אבטחת מידע, סייבר ומנהל שיווק בקבוצת חברות עידור (Messagenet, Infoguard, Idornext).
