תיקון 13 לעסקים מה לעשות בצד המחשוב והאבטחה

סיסמארטר | עלה ב:

ספרו לחברים:

תיקון 13 לעסקים מה לעשות בצד המחשוב והאבטחה

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025. הוא מחזק את סמכויות האכיפה של הרשות להגנת הפרטיות, מרחיב את חובות הארגונים שמחזיקים מידע אישי ומחייב חלק מהגופים למנות ממונה הגנת פרטיות. בפועל, כל עסק שמחזיק פרטים של לקוחות, עובדים או ספקים נדרש לבדוק איך המידע הזה נשמר, מי ניגש אליו ומה קורה כשמשהו משתבש.

המדריך הזה מתמקד בצד המחשוב והאבטחה של ההיערכות. הוא אינו ייעוץ משפטי. את השאלות על חובות ספציפיות בעסק שלכם, כמו חובת מינוי ממונה או רישום מאגרי מידע, כדאי לבחון מול עורך דין המתמחה בהגנת פרטיות.

מה השתנה בתיקון 13 ולמה זה נוגע גם לעסק קטן

התיקון מרחיב את ההגדרה של מידע אישי, מגדיר קטגוריות של מידע רגיש ומטיל חובות שקיפות ואבטחה. הרשות להגנת הפרטיות קיבלה כלי אכיפה משמעותיים יותר, כולל אפשרות להטיל עיצומים כספיים. המשמעות המעשית היא שפרטיות ואבטחת מידע הפסיקו להיות עניין תיאורטי, ועסקים נדרשים להראות שהם נוקטים צעדים סבירים.

גם עסק קטן עם רשימת לקוחות באקסל, מערכת CRM או תיקיות משותפות עם קבצי עובדים מחזיק מידע אישי. אין צורך להיות חברה גדולה כדי שהנושא יהיה רלוונטי.

שלב 1: למפות איפה יושב המידע האישי

אי אפשר להגן על מידע שלא יודעים איפה הוא נמצא. נקודת הפתיחה היא מיפוי פשוט שעונה על כמה שאלות:

  • אילו סוגי מידע אישי העסק אוסף: פרטי לקוחות, מועמדים, עובדים, נתוני תשלום, מידע רפואי או פיננסי.
  • באילו מערכות הוא נשמר: שרת קבצים, דואר, CRM, מערכת שכר, אפליקציות ענן, מחשבים ניידים וטלפונים.
  • מי מורשה לגשת אליו ומי מקבל אותו מחוץ לעסק, למשל ספקי חשבונאות, שיווק או אחסון.
  • כמה זמן הוא נשמר ואיך מוחקים אותו כשאין צורך בו.

שלב 2: בקרת גישה והרשאות

עקרון הרשאות מינימליות אומר שכל עובד רואה רק את מה שנדרש לתפקידו. בדקו מי מחזיק הרשאות ניהול, אילו חשבונות שייכים לעובדים שעזבו, ואילו תיקיות פתוחות לכולם. חשבון של עובד לשעבר שנשאר פעיל הוא אחת הדרכים הנפוצות לחשיפת מידע.

  • חשבון נפרד לכל משתמש, בלי חשבונות משותפים לעובדים רבים.
  • הפעלת אימות דו-שלבי בדואר, בענן ובגישה מרחוק.
  • תהליך קבוע לפתיחה וסגירה של חשבון בכניסה ויציאה של עובד.
  • סקירת הרשאות תקופתית, לפחות פעם בשנה.

על אימות דו-שלבי והונאות דיוג כתבנו בהרחבה במאמר על דיוג ואימות דו-שלבי בעסק.

שלב 3: הצפנה והגנה על מכשירים

מחשב נייד שנגנב או טלפון שאבד עלולים לחשוף מאגר לקוחות שלם. הצפנת דיסקים במחשבים ניידים, נעילת מסך אוטומטית וניהול מרכזי של מכשירים מצמצמים את הנזק. בנוסף כדאי להגן על תחנות הקצה בפתרון מתקדם. ההבדלים בין אנטי וירוס לפתרון EDR מוסברים במאמר נפרד.

שלב 4: גיבוי ושחזור

אבטחת מידע כוללת גם זמינות. אם מידע אישי נמחק או מוצפן בהתקפת כופר ואין לכם גיבוי תקין, מדובר גם באירוע אבטחה וגם בפגיעה בשירות ללקוחות. גיבוי נכון כולל כמה עותקים, לפחות אחד מנותק מהרשת, ובדיקות שחזור קבועות. גיבוי בענן לעסקים הוא דרך נפוצה לעמוד בכך בלי תשתית יקרה.

שלב 5: תיעוד, ספקים ותגובה לאירוע

  • נוהל כתוב לטיפול באירוע אבטחה: מי מקבל את הדיווח, מי מבודד מערכות, מי מודיע ללקוחות ולרשויות כשנדרש.
  • בדיקת ספקים שמחזיקים מידע בשמכם, ובהם חברות ענן, דיוור ושכר, ווידוא שיש הסכם שמסדיר אבטחה ופרטיות.
  • יומני פעילות (לוגים) במערכות מרכזיות, כדי שאפשר יהיה לברר מה קרה אחרי אירוע.
  • הדרכה קצרה לעובדים אחת לתקופה, כי חלק גדול מהאירועים מתחיל בטעות אנוש.

בדיקות שמראות איפה העסק עומד

בדיקה חיצונית נותנת תמונת מצב אמיתית. בדיקות חדירה וסקר סיכונים מאתרים חולשות לפני שמישהו אחר מוצא אותן, והתוצאות משמשות בסיס לתוכנית עבודה מסודרת.

שאלות נפוצות

האם תיקון 13 חל על עסק קטן?

החוק חל על כל גוף שמחזיק מידע אישי, אך היקף החובות משתנה לפי סוג המידע והיקפו. עסק קטן שמחזיק מידע רגיש, כמו מידע רפואי או פיננסי, צפוי לחובות מחמירות יותר. מומלץ לברר את המצב המדויק מול יועץ משפטי.

האם חייבים למנות ממונה הגנת פרטיות?

החובה חלה על גופים מסוימים, בעיקר כאלה שמחזיקים מידע אישי בהיקף נרחב או רגיש. עורך דין יוכל לקבוע אם העסק שלכם נכלל.

מאיפה מתחילים?

ממיפוי המידע, בקרת הרשאות ואימות דו-שלבי, גיבוי תקין ונוהל לטיפול באירוע. אלה צעדים שאפשר להתחיל בהם בלי להמתין לייעוץ משפטי מלא.

איך סיסמארטר יכולה לעזור

אנחנו מלווים עסקים בצד הטכני: מיפוי מערכות, הקשחת הגנות, גיבוי, ניהול משתמשים והטמעת פתרונות אבטחת מידע. אם אתם רוצים להבין איפה העסק עומד, השאירו פרטים ונחזור אליכם.

קראו גם

לא כדאי לפספס גם את אלו..

לכל הכתבות >

תגיות: