בסיסית, בינונית או גבוהה: איך יודעים איזו רמת אבטחה חלה עליכם

למה זה משנה לאיזו רמה אתם שייכים?

כי לכל רמה חובות אחרות. התקנות מחלקות מאגרי מידע לארבע קבוצות, ולכל אחת חובות משלה. ההבדל הבולט ביותר לבעל עסק הוא מה קורה ביום שיש אירוע:

• ברמה הגבוהה כל שימוש לא מורשה במידע הוא אירוע חמור.
• ברמה הבינונית אירוע חמור הוא כשמדובר בחלק מהותי מהמאגר.
• באירוע חמור ברמה בינונית או גבוהה, חובה להודיע לרשות להגנת הפרטיות מיד.
• בכל הרמות, כולל מאגר המנוהל בידי יחיד, חובה לתעד אירועי אבטחה.

מי נחשב "בעל הרשאה"?

כל אדם שקיבל מכם גישה למאגר או למערכות שלו: עובד, שותף, מזכירה. עובדים של ספק חיצוני שמחזיק את המידע עבורכם לא נספרים.

מבחן הסיווג: ארבע שאלות, לפי הסדר

שאלה 1. אתם עסק של אדם אחד?

יחיד או תאגיד בבעלות יחיד, שרק הוא ועד שני בעלי הרשאה נוספים משתמשים במאגר, נחשב "מאגר המנוהל בידי יחיד", עם חובות מצומצמות. ההקלה לא חלה אם מתקיים אחד מאלה:

• יש במאגר מידע על 10,000 איש ומעלה.
• מטרת המאגר היא מסירת מידע לאחרים כעיסוק, כולל שירותי דיוור ישיר.
• חלה על המידע סודיות מקצועית לפי דין או אתיקה, כמו אצל עורך דין או רופא.

כן, וההקלה חלה: זה מאגר המנוהל בידי יחיד.

אחרת: עברו לשאלה 2.

שאלה 2. מטרת המאגר היא מסירת מידע לאחרים, או שאתם גוף ציבורי?

מאגר שמטרתו העיקרית איסוף מידע כדי למסור אותו לאחרים כעיסוק, כולל שירותי דיוור ישיר, ומאגר של גוף ציבורי, נמצאים לפחות ברמה הבינונית.

כן: עברו לשאלה 4.

לא: עברו לשאלה 3.

שאלה 3. יש במאגר מידע מהסוגים הרגישים, ויותר מעשרה בעלי הרשאה?

הסוגים הרגישים לפי התוספת הראשונה לתקנות, בין השאר: מידע על צנעת חיים, מידע רפואי או נפשי, מידע גנטי, דעות פוליטיות או אמונות, עבר פלילי, נתוני תקשורת, מידע ביומטרי, מידע על נכסים, חובות ומצב כלכלי, והרגלי צריכה שמלמדים על אלה.

אין מידע כזה: רמה בסיסית.

יש מידע כזה, ואצלכם עד עשרה בעלי הרשאה: רמה בסיסית.

יש מידע כזה, אבל רק על עובדים או ספקים, והוא משמש לניהול העסק בלבד: בדרך כלל רמה בסיסית.

יש מידע כזה, ויותר מעשרה בעלי הרשאה: עברו לשאלה 4.

שאלה 4. כמה אנשים במאגר, וכמה ניגשים אליו?

מידע על 100,000 איש ומעלה, או יותר מ 100 בעלי הרשאה: רמה גבוהה.

פחות מזה: רמה בינונית.

מאגר רגיש עם מידע על 100,000 איש ומעלה, אבל עם מעט בעלי הרשאה? כאן כדאי לקרוא את נוסח התקנות, כי הסיווג תלוי בפרטים.

איך זה נראה בעסקים מוכרים?

אלה כיווני בדיקה, לא קביעה. הסיווג תלוי במה שיש בפועל במאגר ובמספר האנשים שניגשים אליו.

מה עושים אחרי שיודעים את הרמה?

• בודקים מה החובות ברמה שלכם. הנוסח המלא נמצא בתקנות, והרשות פרסמה מדריך לכל תקנה.
• בודקים אם יש לכם נוהל לאירוע. ברמה הבינונית והגבוהה, אירוע חמור מחייב הודעה מיידית לרשות. בכל רמה חובה לתעד. אירוע אבטחה חמור: מתי מדווחים
• עוקבים אחרי מספר בעלי ההרשאה. במאגר עם מידע רגיש, עסק שגדל מעשרה לאחד עשר אנשים עם גישה עובר מרמה בסיסית לבינונית.
• בודקים מה קורה כלכלית אם יש אירוע. זה המקום של ביטוח סייבר. מה ביטוח סייבר מכסה