מדריך מעשי לחובות אבטחת המידע תחת תיקון 13 ותקנות הגנת הפרטיות (אבטחת מידע): רמות האבטחה לפי רגישות המאגר, בקרות טכניות וארגוניות, נהלים כתובים, ניהול הרשאות, טיפול באירוע אבטחה ודיווח, ביקורות והדרכת עובדים.
עודכן
תיקון 13 לחוק הגנת הפרטיות מחדד ומחזק את חובות אבטחת המידע של ארגונים, וממקם את אבטחת המידע לא כהמלצה טכנית אלא כחובה משפטית שהאכיפה עליה ממשית. עבור כל ארגון שמחזיק מאגר מידע אישי, ההיערכות מתחילה בהבנה מה נדרש בפועל, ובבניית מערך אבטחה ונהלים שעומד בדרישות. מדריך זה מפרט את עיקרי החובות ואת הצעדים המעשיים.
תיקון 13 מתכתב עם תקנות הגנת הפרטיות (אבטחת מידע), ומעצים את משמעותן. אבטחת מידע אינה עוד נושא של מחלקת ה-IT בלבד, אלא אחריות ארגונית שההנהלה נושאת בה. כשל אבטחה אינו רק תקלה טכנית, אלא עלול להוות הפרה של החוק ולחשוף את הארגון לאכיפה מצד הרשות להגנת הפרטיות. לכן ההיערכות מחייבת מבט משפטי וטכני יחד.
הדרישות אינן אחידות לכל מאגר. הן נגזרות מרמת הרגישות של המידע ומהיקפו. מאגר עם מידע רגיש או מאגר גדול נדרש לרמת אבטחה גבוהה יותר, עם בקרות מחמירות יותר, בעוד מאגר קטן ופשוט כפוף לדרישות בסיסיות יותר. הצעד הראשון הוא לסווג את המאגרים של הארגון לרמת האבטחה המתאימה, כי הסיווג קובע את היקף החובות.
החובה עצמה מעוגנת בסעיף 17 לחוק, ותקנות אבטחת המידע מ-2017 מחלקות את המאגרים לארבע רמות. הנוסח מובא במדריך חוק הגנת הפרטיות ותיקון 13.
אבטחת מידע אפקטיבית משלבת בקרות משני סוגים. בקרות טכניות כוללות ניהול הרשאות גישה, הצפנה, גיבוי, תיעוד פעולות במערכת, והגנה מפני גישה בלתי מורשית. בקרות ארגוניות כוללות נהלים כתובים, הגדרת אחריות, הפרדת תפקידים, ובקרה על ספקים חיצוניים שנחשפים למידע. מערך אמיתי נשען על שני הסוגים יחד, לא על אחד מהם.
נהלים כתובים ומעודכנים הם דרישה מרכזית, לא פורמליות. על הארגון להגדיר מסמך הגדרות למאגר, נוהל אבטחת מידע, נוהל ניהול הרשאות, ונוהל טיפול באירועי אבטחה. הנהלים צריכים לשקף את מה שקורה בפועל, ולהתעדכן כשמשתנים המערכות או התהליכים. נוהל שקיים על הנייר אך אינו מיושם אינו מספק הגנה, לא מעשית ולא משפטית.
עיקרון הבסיס הוא שכל עובד מקבל גישה רק למידע הנדרש לתפקידו, ולא מעבר לכך. יש לתעד מי ניגש לאילו מאגרים, לבטל הרשאות עם סיום תפקיד או עזיבת עובד, ולבצע בקרה תקופתית על ההרשאות הקיימות. ניהול הרשאות רופף הוא אחת הפרצות הנפוצות ביותר, ולכן הוא בלב הדרישות.
תיקון 13 מחזק את החשיבות של היערכות לאירועי אבטחה. הארגון צריך נוהל ברור לזיהוי אירוע, לבלימתו, לתיעודו, ולהפקת לקחים. באירועים חמורים עשויה לקום חובת דיווח לרשות להגנת הפרטיות, ולעיתים גם ליידע את נושאי המידע שנפגעו. היכולת להגיב מהר ובאופן מסודר לאירוע היא חלק בלתי נפרד ממערך האבטחה, ולא נספח לו.
מערך אבטחה אינו סטטי. נדרשת בקרה תקופתית שבודקת אם הבקרות עובדות, אם ההרשאות עדכניות, ואם הנהלים מיושמים. במקרים מסוימים נדרשת ביקורת תקופתית מסודרת. במקביל, הגורם האנושי הוא לרוב החוליה החלשה, ולכן הדרכת עובדים על נהלי האבטחה, על זיהוי ניסיונות פישינג, ועל טיפול נכון במידע, היא השקעה שמפחיתה סיכון באופן ממשי.
אבטחת המידע אינה עומדת לבדה. היא חלק ממערך רחב יותר של ממשל פרטיות, שבמרכזו לעיתים ממונה הגנת פרטיות (DPO), ומדיניות כוללת לניהול המידע בארגון. חיבור בין מערך האבטחה הטכני לבין הממשל המשפטי מבטיח שהבקרות משרתות את דרישות החוק, ושיש בארגון גורם אחראי שמפקח על התמונה כולה.
על הגורם הזה ראו מינוי ממונה הגנת פרטיות לפי תיקון 13, ולתמונה המלאה תיקון 13 לחוק הגנת הפרטיות: מדריך היערכות לארגונים.
ההיערכות לאבטחת מידע תחת תיקון 13 מתחילה בסיווג המאגרים, ממשיכה בבניית בקרות טכניות וארגוניות ובנהלים כתובים ומיושמים, וכוללת ניהול הרשאות קפדני, היערכות לאירועי אבטחה, ביקורות והדרכת עובדים. ארגון שבונה את המערך הזה מראש מפחית סיכון משפטי ותפעולי כאחד, ומראה לרשות ולנושאי המידע שהוא מתייחס למידע שהופקד בידיו באחריות.
הערה: אין באמור ייעוץ משפטי או תחליף לו, והוא אינו מהווה חוות דעת מחייבת. כל מקרה מחייב בחינה פרטנית מול עורך דין מוסמך.
חובה משפטית. לפי סעיף 17 לחוק הגנת הפרטיות, בעל השליטה במאגר והמחזיק שמעבד בעבורו מידע אחראים כל אחד לאבטחת המידע, ותקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, מפרטות את החובות. כשל אבטחה עלול להיות הפרה של החוק, ולכן זו אחריות של ההנהלה ולא של מחלקת ה-IT לבדה.
התקנות מחלקות את המאגרים לארבע רמות: מאגר המנוהל בידי יחיד, רמה בסיסית, בינונית וגבוהה, והחובות מתרחבות ככל שהרמה עולה. מאגר עם מידע רגיש או מאגר גדול נדרש לרמה גבוהה יותר, ולכן סיווג המאגרים הוא הצעד הראשון: הוא שקובע את היקף החובות.
התקנות דורשות מסמך הגדרות מאגר ונוהל אבטחה, שנבחנים אחת לשנה (תקנות 2 ו-4). בפועל מצטרפים אליהם נוהל ניהול הרשאות ונוהל טיפול באירועי אבטחה. נוהל צריך לשקף את מה שקורה בפועל ולהתעדכן כשמשתנים המערכות או התהליכים, כי נוהל שקיים רק על הנייר אינו מגן.
כל עובד מקבל גישה רק למידע הנדרש לתפקידו. מתעדים מי ניגש לאילו מאגרים, מבטלים הרשאות עם סיום תפקיד או עזיבה, ובודקים את ההרשאות הקיימות מעת לעת. ברמות האבטחה הבינונית והגבוהה התקנות דורשות גם זיהוי ואימות, ובקרה ותיעוד של הגישה (תקנות 8 עד 10).
טכניות: ניהול הרשאות, הצפנה, גיבוי, תיעוד פעולות במערכת והגנה מפני גישה לא מורשית. ארגוניות: נהלים כתובים, הגדרת אחריות, הפרדת תפקידים ובקרה על ספקים שנחשפים למידע. מערך אבטחה אמיתי נשען על שני הסוגים יחד.
פועלים לפי נוהל שהוכן מראש: מזהים את האירוע, בולמים אותו, מתעדים ומפיקים לקחים. התקנות מחייבות לתעד אירועי אבטחה, ובאירוע אבטחה חמור להודיע מיד לראש הרשות להגנת הפרטיות (בנוסח התקנות: הרשם) ולדווח על הצעדים שננקטו (תקנה 11(ד)).
גם הספק וגם אתם אחראים לאבטחה (סעיף 17). בהתקשרות במיקור חוץ התקנות דורשות לבחון את הסיכונים מראש, לחתום על הסכם מפורט עם הגורם החיצוני ולבקר את עמידתו בו (תקנה 15). ספק ענן, מוקד שירות או כלי AI שמקבלים מידע אישי נבדקים באותה דרך.
מסמך הגדרות המאגר ונוהל האבטחה נבחנים אחת לשנה לפי התקנות, ובמקרים מסוימים נדרשת גם ביקורת תקופתית מסודרת. מעבר לכך כדאי לבדוק מעת לעת אם הבקרות עובדות, אם ההרשאות עדכניות ואם הנהלים מיושמים בפועל.
כי הגורם האנושי הוא לרוב החוליה החלשה. הדרכה על נהלי האבטחה, על זיהוי ניסיונות פישינג ועל טיפול נכון במידע מפחיתה סיכון באופן ממשי.
הוא אינו סכום אחיד: הוא מחושב לפי הפרט בתקנות שהופר ולפי רמת האבטחה של המאגר (סעיף 23כו(ח)). לכן סיווג נכון של המאגר משפיע לא רק על החובות, אלא גם על גובה החשיפה.
כן. לפי התוספת החמישית לחוק אפשר להפחית עיצום עד 70% במצטבר, ובכלל זה 30% על הפסקת ההפרה ביוזמת הארגון ודיווח עליה, ו-20% על פעולות למניעת הישנות ולהקטנת הנזק. תיעוד של מה שהארגון עשה אחרי האירוע משפיע ישירות על הסכום.
אבטחת המידע היא חלק ממערך רחב של ממשל פרטיות, שבמרכזו לעיתים ממונה הגנת פרטיות. החיבור בין הבקרות הטכניות לבין הממשל המשפטי מבטיח שהבקרות משרתות את דרישות החוק, ושיש בארגון גורם שמפקח על התמונה כולה.
נושא: בינה מלאכותית וממשל סיכונים
השירות בתחום: ייעוץ וחוות דעת שנייה בנושא AI
ייעוץ וחוות דעת נדל״ן · ייעוץ וחוות דעת AI · ייעוץ משפטי · גישור ויישוב סכסוכים · מאמרים · שאלות ותשובות · מבדק מוכנות · לתיאום פגישת ייעוץ
כל שינוי בקוד נבדק בשער פיתוח מאובטח לפי עקרונות OWASP Top 10, ISO/IEC 27001:2022 (A.8.28) ו-NIST SSDF. בדיקה אחרונה: 2.11.2026. פירוט הבקרות