אירוע אבטחה חמור: מתי מדווחים לרשות להגנת הפרטיות ואיך

מה נחשב אירוע אבטחה חמור?

ההגדרה בתקנות תלויה ברמת האבטחה של המאגר:

שתי הבהרות מהמדריך של הרשות לתקנות:

• "שימוש" כולל גם צפייה. ברמה הגבוהה, גם אם מישהו רק צפה במאגר בלי הרשאה ולא העתיק דבר, זה אירוע חמור.
• "חלק מהותי" נבחן לפי נסיבות. הרשות מסבירה שמדובר בכמות ניכרת של מידע או במידע על אנשים רבים, להבדיל מרשומה אחת, ושאפשר לבחון זאת לפי מספר המערכות שנפגעו, סוגן ומשך האירוע.

לא בטוחים באיזו רמה אתם? המבחן

מה חובה לעשות כשיש אירוע חמור?

• להודיע לרשות להגנת הפרטיות מיד. התקנות קובעות הודעה מיידית.
• לדווח מה נעשה בעקבות האירוע. הצעדים שנקטתם.
• לפעול לפי הוראות הרשות. הרשות יכולה להורות לכם להודיע לנושאי המידע שעלולים להיפגע, כלומר ללקוחות.

איך מדווחים?

את הדיווח מגישים בשירות המקוון של הרשות להגנת הפרטיות ב gov.il: gov.il (https://www.gov.il/he/service/report-of-data-breach)

אם האירוע הוא מתקפה שעדיין פעילה, אפשר לפנות גם למערך הסייבר הלאומי בחיוג 119 או באופן מקוון, בכל שעה. זו פנייה נפרדת מהדיווח לרשות.

מה חובת התיעוד?

כל מאגר חייב בתיעוד אירועי אבטחה, בכל רמה. בנוסף:

• ברמה הבינונית התקנות דורשות דיון באירועי אבטחה אחת לשנה לפחות.
• ברמה הגבוהה אחת לרבעון לפחות.

תיעוד מסודר הוא גם הבסיס לדיווח לרשות, שבו מפרטים את הצעדים שנקטתם.

דיווח לרשות משפיע על עיצום?

בשני כיוונים. אי דיווח על אירוע אבטחה חמור הוא בעצמו הפרה שהרשות יכולה להטיל עליה עיצום: לפי מדריך הרשות, 80,000 ש"ח במאגר ברמה בינונית ו 320,000 ש"ח ברמה גבוהה (נכון ל 2025). ומנגד, עסק שהפסיק הפרה ביוזמתו ודיווח עליה לרשות יכול לקבל הפחתה של 30% בעיצום. עיצומים כספיים: מה מפחית

איפה ביטוח סייבר נכנס?

החובה לדווח היא חובה חוקית, והיא חלה בלי קשר לביטוח. מה שביטוח סייבר יכול לעשות, בהתאם לפוליסה, הוא לעזור בעלויות שמסביב: שחזור מערכות, השבתה, ותביעות של לקוחות שהמידע שלהם דלף. בצד השלישי, פוליסות מכסות בדרך כלל תביעות על דליפת מידע אישי.

יש גם מבטחים שמצרפים מוקד חירום לאירוע סייבר. לדוגמה, במגדל המוקד פתוח 24/7, והתמיכה מוגבלת ל 72 שעות מההודעה.