תקנות אבטחת מידע: מה חל על עסק קטן, בשפה של בעל עסק

מה הן תקנות אבטחת המידע?

השם המלא הוא תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז 2017. הן פורסמו ב 8 במאי 2017, ותחילתן שנה מיום פרסומן. כלומר הן חלות מאז מאי 2018.

התקנות קובעות איך בעל מאגר מידע צריך לשמור עליו. "בעל מאגר" יכול להיות מרפאה עם תיקי מטופלים, משרד עם תיקי לקוחות, או חנות עם מועדון לקוחות.

ומה לא נחשב מאגר? מאז תיקון 13, רשימה שיש בה רק שמות, כתובות ודרכי התקשרות, של עד 100,000 איש, בלי מידע נוסף עליהם אצלכם, לא נחשבת "מאגר מידע". ברגע שיש מידע נוסף, כמו היסטוריית רכישות או תיק לקוח, זה כבר מאגר.

לאילו ארבע קבוצות התקנות מחלקות מאגרים?

ההגדרה של אירוע אבטחה חמור בתקנות מתייחסת לרמה הבינונית ולגבוהה. בכל רמה, התקנות מחייבות לתעד אירועי אבטחה.

איך יודעים באיזו קבוצה העסק שלכם?

בודקים לפי הסדר:

1. אתם לבד, עם עד שני אנשים נוספים שניגשים למאגר? ייתכן שזה "מאגר המנוהל בידי יחיד", עם חובות מצומצמות. אבל אם חלה עליכם סודיות מקצועית, כמו עורך דין או רופא, או שיש במאגר מידע על 10,000 איש ומעלה, ההקלה הזו לא חלה.
2. יש במאגר מידע רגיש, ויותר מעשרה אנשים ניגשים אליו? מידע רפואי, נפשי, כלכלי, חובות, ביומטרי. אם כן, רמה בינונית. אם ניגשים אליו עד עשרה, רמה בסיסית.
3. על כמה אנשים, וכמה ניגשים למאגר? במאגר ברמה הבינונית: 100,000 איש ומעלה, או יותר מ 100 בעלי הרשאה, זו רמה גבוהה.

ויש חריג נוסף שמקל: מידע רגיש על עובדים וספקים בלבד, שמשמש לניהול העסק, נשאר בדרך כלל ברמה הבסיסית.

המבחן המלא, עם דוגמאות

צריך עדיין לרשום את המאגר?

ברוב המקרים לא. רוב העסקים הפרטיים כבר לא צריכים לרשום מאגר. החובה נשארה בעיקר לגופים ציבוריים ולמי שעיסוקו מסירת מידע לאחרים, כולל דיוור ישיר, במאגר עם מידע על 10,000 איש ומעלה.

אבל ביטול הרישום לא פוטר מחובות האבטחה והדיווח, שממשיכות לחול במלואן.

מה קורה אם לא עומדים בתקנות?

מאז תיקון 13, הרשות להגנת הפרטיות יכולה להטיל עיצומים כספיים על הפרת התקנות. הסכומים לפי מדריך הרשות, נכון ל 2025:

• במאגר ברמה בסיסית ובמאגר המנוהל בידי יחיד, העיצום על הפרות נפוצות נע בין 1,000 ל 2,000 ש"ח להפרה, ובחלק מההפרות 4,000 ש"ח.
• במאגר ברמה בינונית העיצום נע בין 20,000 ל 80,000 ש"ח להפרה, וברמה הגבוהה בין 80,000 ל 320,000 ש"ח.
• במאגר עם מידע על יותר ממיליון אנשים הסכומים מוכפלים.
• לעסקים קטנים וזעירים נקבעו תקרות, ובכל מקרה העיצום הכולל לא יעלה על 5% מהמחזור השנתי.

עיצומים כספיים: על מה, כמה, ומה מפחית

איפה ביטוח סייבר נכנס לתמונה?

התקנות קובעות מה העסק חייב לעשות. ביטוח סייבר עונה על שאלה אחרת: מה קורה כשבכל זאת קורה אירוע. פוליסת סייבר בנויה בדרך כלל משני חלקים: הנזק לעסק עצמו, והנזק שנגרם לאחרים, למשל ללקוחות שהמידע שלהם דלף.

יש גם נקודת מפגש. בפוליסות רבות יש תנאים על גיבוי, עדכוני אבטחה ומערכת הגנה פעילה. והאסטרטגיה הלאומית להגנת הסייבר רואה בביטוח סייבר גם כלי שמעלה את רמת ההגנה של עסקים, בגלל הדרישות שהמבטחים מציבים.