מדריך תקנות אבטחת מידע לעצמאים ולעסקים קטנים

מהי אבטחת מידע?
אבטחת מידע פירושה הגנה על שלמות המידע והגנה עליו מפני חשיפה, שימוש או העתקה, על ידי גורמים שאינם מורשים. 

על מי חלות התקנות? 
התקנות חלות על כל המשק הישראלי, והן מבקשות להגן על האנשים שמידע על אודותיהם קיים במאגר המידע. 

על איזה מידע חלות התקנות?
התקנות חלות על מידע המכיל נתונים על מעמדו האישי של אדם (כגון סטטוס משפחתי, אילן יוחסין, קשרים משפחתיים), מצבו הכלכלי, הכשרתו המקצועית ועוד. דוגמה נוספת למידע שיש להגן עליו היא מספר תעודת הזהות של אדם. 

מהו מאגר המנוהל בידי יחיד? 
זהו מאגר מידע שמנהל יחיד בעצמו או תאגיד בבעלות יחיד ("חברת אני"), ואשר הגישה למידע שבו מותרת רק לאותו יחיד ולכל היותר לעוד שני בעלי הרשאה נוספים.  

לדוגמה:
ברשותי חנות פרחים, שבה אני מנהל מאגר לקוחות הכולל פרטים כמו תאריכי לידה, קשרי משפחה ועוד. למאגר זה יכולים לגשת גם העובדים המסייעים לי בחנות.

ואם יש לי בחנות 3 עובדים ויותר?
אז כבר לא מדובר במאגר יחיד. במקרה זה יחולו חובות אחרות, שמפורטות במדריך המלא לתקנות אבטחת מידע. 

אבל, רגע רגע – יש חריגים
קיימים שלושה סוגי מאגרים שלמרות שהם מנוהלים על ידי יחיד, לא ייחשבו  כ"מאגר המנוהל בידי יחיד":

1. כאשר בעל המאגר כפוף לחובת סודיות מקצועית לפי דין או לפי עקרונות של אתיקה מקצועית. לדוגמה – עורך דין או פסיכיאטר.
2. מאגר מידע שמטרתו העיקרית היא איסוף מידע לצורך מסירתו לאחר כדרך עיסוק, לרבות שירותי דיוור ישיר.
3. מאגר מידע שיש בו מידע לגבי 10,000 אנשים ומעלה.

אם מאגר המידע שלכם הוא אחד מן השלושה הללו - אין מדובר ב"מאגר המנוהל בידי יחיד", ועליכם לבחון איזו רמת אבטחה חלה על המאגר שלכם, בהתאם לאמור בתקנות. 

בדקתי ואני נחשב למאגר יחיד -  אלו חובות חלות על מאגר המידע שלי?

הכנת "מסמך הגדרות המאגר". המסמך יתייחס לנושאים הבאים:

• מה אני עושה במידע? תיאור כללי של פעולות השימוש במידע.
• בשביל מה? מטרות השימוש במידע.
• איזה מידע יש לי בכלל? סוגי המידע השונים הכלולים במאגר המידע.
• האם אני מעביר את המידע לאחרים בחו"ל?פרטים על העברת מאגר המידע או שימוש בו מחוץ לגבולות ישראל.
• האם נעשות פעולות עיבוד מידע באמצעות אחר (הכוונה לקבלן חיצוני שאינו בעל המאגר, אולם מחזיק בו או רשאי לעשות בו שימוש עבור בעל המאגר).
• האם יש סיכונים? מהם הסיכונים העיקריים של פגיעה באבטחת המידע. 
• איך אני מתכוון להתמודד עם הסיכונים האלה אם חס וחלילה יתרחשו?
• שמו של מנהל מאגר המידע (היי, זה אני!) ושל מחזיק המאגר.

חשוב – את מסמך ההגדרות נדרש לעדכן - 

• אם נעשה שינוי משמעותי באחד מהפרמטרים לעיל.
• אם נעשו שינויים טכנולוגיים רלוונטיים.
• אם נעשו שינויים ארגוניים רלוונטיים.
• אם אירע אירוע אבטחה.