דיווח על אירוע אבטחה חמור: מה עושים בשעה הראשונה?
תוכן העניינים
- מתי אירוע הופך 'חמור' במובן המשפטי?
- 'מיידי' לא אומר 72 שעות: ציפיית הרגולטור הישראלי
- מי צריך לשבת בחדר בשעה הראשונה?
- התיעוד הראשון: למה מה שנכתב עלול לחזור בבית המשפט?
- דיווח חלקי מול המתנה לחקירה מלאה
- הודעה למבטח: חובה נפרדת מהדיווח לרגולטור
- דגלים אדומים: סימנים שהארגון לא יהיה מוכן לשעה הראשונה
- מה לבדוק השבוע, לפני שהטלפון מצלצל?
דיווח אירוע אבטחה חמור הוא חובה שמתחילה לרוץ ברגע שהארגון יודע, או חושד באופן סביר, שמשהו חמור קרה, ולא לאחר שהתמונה המלאה מתבררת. תקנה 11(ד) לתקנות הגנת הפרטיות (אבטחת מידע) מחייבת דיווח מיידי לרשות להגנת הפרטיות, בלי חלון קבוע של 72 שעות כמו באירופה. בשעות הראשונות אחרי גילוי האירוע נקבעים ההכלה הטכנית, התיעוד תחת חיסיון עורך דין-לקוח, וההחלטה אם ומתי לדווח, ושלושת אלה משפיעים גם על מעמד הארגון מול המבטח בהמשך.
ברוב הארגונים השעה הראשונה אחרי גילוי תקרית מתבזבזת על השאלה הלא נכונה: האם זה 'באמת' חמור מספיק כדי לדווח. בזמן שצוות ה-IT בודק את היקף הנזק הטכני, שעון הדיווח כבר רץ, וכל החלטה שמתקבלת בלי ליווי משפטי עלולה להפוך למסמך חשוף בהליך משפטי או רגולטורי מאוחר יותר.
מתי אירוע הופך 'חמור' במובן המשפטי?
לא כל תקלת IT היא אירוע אבטחה חמור, אבל הסף נמוך יותר ממה שחושבים. אירוע אבטחה חמור הוא אירוע שבו מידע ממאגר נחשף, נוצל בלי הרשאה או נפגע, ברמה שהתקנות להגנת הפרטיות מחייבות לדווח עליה. בפועל מדובר במגוון רחב של תרחישים: ממתקפת כופרה שהצפינה שרת, דרך גישה לא מורשית שהתגלתה בלוגים, ועד עובד או ספק שחשף מידע בטעות.
הבעיה המעשית היא שבארגון שאין בו תהליך סיווג מוגדר מראש, השאלה 'האם זה חמור' נדונה על ידי אנשי IT, שאינם בהכרח מכירים את ההגדרות המשפטיות. לכן קביעת מי מוסמך לסווג אירוע כחמור, עוד לפני שמתרחש אירוע, היא אחד השלבים הקריטיים ביותר בהיערכות.
'מיידי' לא אומר 72 שעות: ציפיית הרגולטור הישראלי
אחת הטעויות הנפוצות היא הסתמכות על לוח הזמנים האירופי. החובה היא לדווח באופן מיידי, ולא בתוך 72 שעות. אין בדין הישראלי חלון של 72 שעות, שהוא הוראה אירופית שאינה חלה בישראל. ההבדל הזה חשוב כי צוותים שמתכננים את התגובה שלהם לפי GDPR, בטעות, עלולים למצוא את עצמם באיחור מול הרשות הישראלית.
| קריטריון | ישראל, תקנות הגנת הפרטיות | האיחוד האירופי, GDPR |
|---|---|---|
| למי מדווחים | הרשות להגנת הפרטיות | רשות הפיקוח הרלוונטית במדינה החברה |
| מסגרת הזמן | מיידי, ללא חלון שעות קבוע | עד 72 שעות ממועד הגילוי |
| יידוע הנפגעים | רק כשהרשם מורה על כך | כשיש סיכון משמעותי לזכויות הנפגעים |
| בסיס משפטי | תקנה 11(ד) לתקנות אבטחת מידע | סעיף 33 ל-GDPR |
מי צריך לשבת בחדר בשעה הראשונה?
ההחלטה מי משתתף בשיחת החירום הראשונה קובעת את איכות כל מה שקורה אחר כך. צוות מצומצם מדי משאיר פערים בין ההיבט הטכני למשפטי, וצוות רחב מדי מאט את קבלת ההחלטות בדיוק ברגע שהזמן הוא המשאב הקריטי.
- נציג הנהלה בכיר עם סמכות לקבל החלטות מיידיות, לא רק לדווח למעלה
- אחראי אבטחת מידע או CISO, שמוביל את ההכלה הטכנית ומתעד את הממצאים
- ממונה הגנת פרטיות, אם מונה, שמעריך אם מדובר באירוע חמור במובן התקנות
- יועץ משפטי שמלווה את התהליך מהרגע הראשון, כדי שהבדיקות וההתכתבויות ייהנו מחיסיון
השילוב הזה הוא בדיוק הסיבה שעו"ד זיו און, שמוביל את CyberSure עם ניסיון של למעלה מ-20 שנה בליטיגציה ובדיני ביטוח, הסמכת CCIS בחיתום ביטוחי סייבר מלונדון, והסמכות CISO ו-DPO, נכנס לשיחות מהסוג הזה כבר בשעה הראשונה: ההחלטה אם משהו עומד בהגדרת אירוע חמור דורשת קריאה משפטית של התקנות לצד הבנה טכנית של מה שבאמת קרה ברשת.
התיעוד הראשון: למה מה שנכתב עלול לחזור בבית המשפט?
כל הודעת וואטסאפ, כל מייל פנימי וכל סיכום ישיבה שנכתבים בשעות שאחרי גילוי האירוע הם מסמכים שעלולים להיחשף בהמשך, בהליך מול הרגולטור, בתביעה מצד נפגעים או בסכסוך עם המבטח. בדיקה או סקירה שמבצע יועץ טכנולוגי בלבד, שאינו עורך דין, אינה נהנית מחיסיון עורך דין-לקוח, והממצאים שלה עלולים להיות חשופים לגילוי.
רוצים לשמוע עוד על השירותים של זיו און?
לתיאום שיחת אבחון בוואטסאפכשהבדיקה והתיעוד נעשים בליווי עורך דין, לצורך קבלת ייעוץ משפטי, יש סיכוי טוב יותר שהחומר ייהנה מחיסיון. ההבדל הזה הוא בדיוק מה שעומד מאחורי העבודה תחת חיסיון עורך דין-לקוח מלא: הממצאים, סיכום פערי האבטחה והמסקנות מהאירוע נשארים מוגנים ואינם הופכים אוטומטית לראיה נגד ההנהלה עצמה.
דיווח חלקי מול המתנה לחקירה מלאה
טעות נפוצה היא ההנחה שמותר להמתין לסיום הבדיקה הפנימית לפני פנייה לרשות. חובת הדיווח קמה עם גילוי האירוע, ואין להמתין לסיום הבירור הפנימי, והנדרש הוא דיווח ראשוני המבוסס על המידע הידוע באותו רגע. מיושם מודל דיווח מדורג לפיו אין צורך להמתין לסיום החקירה הפורנזית כדי לדווח, ובמידה שהאירוע זוהה ויש חשש סביר כי מדובר באירוע אבטחה חמור, יש למסור דיווח ראשוני מיד, ולעדכן בדיווח משלים בהמשך עם התבהרות התמונה.
לדרישה הזו יש כבר תקדים אכיפתי: העיצום הראשון שהוטל מכוח תיקון 13 ניתן דווקא על איחור בדיווח. המסקנה המעשית ברורה: דיווח ראשוני חלקי, שמעודכן בהמשך, עדיף משמעותית על המתנה לתמונה שלמה. דיווח מתבצע בדרך כלל באמצעות הטופס הייעודי באתר הרשות להגנת הפרטיות, ובמקרה שאין אישור קבלה אוטומטי, מומלץ לוודא את קבלתו גם בערוץ נוסף.
הודעה למבטח: חובה נפרדת מהדיווח לרגולטור
לצד הדיווח לרשות להגנת הפרטיות, רוב פוליסות הסייבר כוללות חובת הודעה למבטח בתוך פרק זמן מוגדר מרגע שהתגלה אירוע שעלול להוביל לתביעה. זו חובה חוזית, נפרדת מהדיווח הרגולטורי, ועיכוב בה עלול ליצור בעיית כיסוי משל עצמו, גם אם אין כל בעיה בשאלון החיתום.
ארגון שמתכנן את תגובתו לשעה הראשונה צריך לדעת מראש מי שולח את ההודעה למבטח, באיזה נוסח, ואיך היא מתואמת עם הדיווח לרגולטור כך ששתי ההודעות לא סותרות זו את זו.
דגלים אדומים: סימנים שהארגון לא יהיה מוכן לשעה הראשונה
חלק מהארגונים מגלים שהם לא מוכנים רק כשהאירוע כבר מתרחש. כמה סימנים מקדימים שמעידים על כך:
- אין נוהל דיווח כתוב מראש, רק כוונה 'לטפל בזה כשיקרה'
- תפקיד הגנת הפרטיות הואצל למנהל ה-IT בלבד, בלי הפרדה בין התפקיד הטכני לתפקיד הרגולטורי
- אין קו דיווח מוגדר בין ממונה אבטחת המידע להנהלה ולדירקטוריון
- אף גורם משפטי לא מעורב מראש, כך שכל בדיקה בזמן אמת נעשית בלי הגנת חיסיון
המינוי הטבעי בארגון בינוני הוא מנהל ה-IT, וזה בדיוק המינוי שגילוי הדעת מסמן כבעייתי, מכיוון שהתפקיד דורש גם שיקול דעת משפטי עצמאי, לא רק יכולת טכנית. ארגונים הפועלים גם מול גופים פיננסיים באירופה עשויים לשאת, בנוסף, בחובות דיווח לפי מסגרות רגולציה זרות בלוח זמנים שונה מזה הישראלי.
מה לבדוק השבוע, לפני שהטלפון מצלצל?
היערכות לשעה הראשונה לא מתחילה באירוע, היא מתחילה בשבוע רגיל. בדיקה מעשית כוללת מיפוי של מי מוסמך לסווג אירוע כחמור, האם קיים נוהל דיווח כתוב וחתום, האם יועץ משפטי מעורב מראש בכל תרחיש חירום, והאם חובת ההודעה למבטח ידועה לאנשים הנכונים בארגון.
אצלנו ב-CyberSure בודקים בדיוק את הפערים האלה: בין מה שכתוב בנוהל לבין מה שקיים בפועל ברשת ובסדרי העבודה, תחת חיסיון עורך דין-לקוח מלא, כך שההנהלה מקבלת תמונה מלאה בלי לחשוף את עצמה. הפעילות פרוסה בכל הארץ, ומיועדת למנכ"לים, סמנכ"לי כספים, CISO ודירקטורים שרוצים לדעת מה קורה בפועל לפני שמגיע הרגע שבו כבר אין זמן לבדוק.
שאלות ותשובות
תוך כמה זמן חייבים לדווח על אירוע אבטחה חמור לרשות להגנת הפרטיות?
החובה היא לדווח באופן מיידי, ולא בתוך חלון של 72 שעות כמו באירופה. הדיווח יכול להיות ראשוני וחלקי, ולהתעדכן בהמשך עם התבהרות התמונה.
מה נחשב אירוע אבטחה חמור לפי תקנות הגנת הפרטיות?
אירוע שבו מידע ממאגר נחשף, נוצל ללא הרשאה או נפגע, ברמה המחייבת דיווח לפי התקנות. זה כולל, בין היתר, חדירה לרשת, הצפנת מידע או חשיפה בשוגג על ידי עובד או ספק.
האם חובה להודיע ללקוחות שנפגעו מאירוע אבטחה?
לא באופן אוטומטי. ההודעה לנפגעים עצמם נעשית רק כשראש הרשות להגנת הפרטיות מורה על כך, לאחר היוועצות עם ראש מערך הסייבר הלאומי, ולא מכוח חובה עצמאית של הארגון.
האם כדאי להמתין לסיום הבדיקה הפנימית לפני הדיווח לרשות?
לא. עמדת הרשות היא שחובת הדיווח קמה עם גילוי האירוע, ואין להמתין לסיום הבירור הפנימי. מוסר דיווח ראשוני על בסיס המידע הידוע, ומעדכן בדיווח משלים בהמשך.
זיו און כאן בשבילכם, מוזמנים ליצור קשר.
לתיאום שיחת אבחון בוואטסאפרוצים לשתף את המאמר?לחצו כאן להצגת פוסט מוכן לפייסבוק
דיווח אירוע אבטחה חמור הוא חובה שמתחילה לרוץ ברגע שהארגון יודע, או חושד באופן סביר, שמשהו חמור קרה, ולא לאחר שהתמונה המלאה מתבררת. תקנה 11(ד) לתקנות הגנת הפרטיות (אבטחת מידע) מחייבת דיווח מיידי לרשות להגנת הפרטיות, בלי חלון קבוע של 72 שעות כמו באירופה. תוך כמה זמן חייבים לדווח על אירוע אבטחה חמור לרשות להגנת הפרטיות?
https://cybersure.bizagent.me/a/serious-security-incident-first-hours
