הדו"ח השנתי של מערך הסייבר הלאומי שפורסם באחרונה מצביע על מגמה מדאיגה: בשנת 2024 תועדו בישראל מעל 300 מתקפות כופרה, בעיקר נגד עסקים קטנים ובינוניים, ובראשם משרדי עורכי דין, רואי חשבון, מרפאות שיניים ועסקים בענפי ההארחה, הלוגיסטיקה והתעשייה. המערך מדגיש כי מספר המתקפות בפועל עשוי להיות גבוה בהרבה, בשל תת-דיווח.
בקרב סוגי נוזקות הכופרה שאותרו בולטים Phobos, STOP/DJVU וזנים של LockBit, ואילו בתחום גניבת המידע (Infostealers) נרשמה עלייה חדה, עם כ-53 אלף מקרי הדבקה בישראל לבדה. הנוזקות הנפוצות: RedLine, Lumma, StealC, Raccoon ו-Generic Stealer.
לדברי סופי סטריק, חוקרת איומים במערך, “עסקים קטנים ממשיכים להיות טרף קל – פעמים רבות בשל העדר גיבוי תקין, ניהול הרשאות רשלני והיעדר פיקוח”. היא מדגישה כי גיבוי מנותק, לצד הכשרות לעובדים וכלים לניהול זהויות, מהווים קו הגנה קריטי ואף היחיד בעת מתקפה.
הדו"ח מתאר שינוי מגמה גם ברמה הבינלאומית: רשויות האכיפה אינן מתמקדות עוד רק בתפיסת תוקפים, אלא בפירוק תשתיות פשיעה והקשרים הבינלאומיים שמזינים אותן, במטרה לשבש את רווחיות הפשיעה.
ומה צופן העתיד? המערך מזהיר מפני גידול במתקפות פישינג והנדסה חברתית מבוססות בינה מלאכותית, שימוש בפרטי מידע דולפים ליצירת "דלף מזויף", ופריצה מתוחכמת יותר מבוססת חולשות יום אפס. לצד זאת, מסתמנת מגמה חיובית של שיתופי פעולה בין תעשייה לרגולציה.
הרשות להגנת הפרטיות פרסמה טיוטת הנחיה חדשה המגדירה לראשונה את יישום חוק הגנת הפרטיות בכל שלבי מחזור החיים של מערכות בינה מלאכותית. חשוב להדגיש כי מדובר בשלב זה בטיוטה בלבד, המפורסמת להערות הציבור, ומהווה הזדמנות משמעותית לכל מי שערכי הפרטיות, זכויות האדם והחירות חשובים לו להשפיע על עיצוב המדיניות. ההנחיה קובעת כי הוראות החוק חלות לא רק על מידע אישי המוזן למערכות אלא גם על מידע שהמערכת מסיקה בעצמה. לפי הטיוטה, כריית מידע אישי מהאינטרנט לצורך אימון מודלים דורשת הסכמה מדעת, וכי פרסום מידע ברשתות חברתיות אינו מהווה הסכמה אוטומטית לשימוש במידע זה. הרשות מחייבת פלטפורמות דיגיטליות לנקוט באמצעים למניעת כריית מידע לא מורשית ומדגישה את זכויות האזרחים לשליטה במידע אודותיהם. אזרחים הדואגים להגנת הפרטיות וזכויות האדם בעידן הדיגיטלי מוזמנים להשמיע את קולם ולהעביר התייחסות לטיוטת ההנחיה עד ל-5.6.2025, ובכך לקחת חלק פעיל בהגנה על ערכי הדמוקרטיה והחירות האישית.
01.05.2025
חלוקת האחריות על אבטחת המידע ודיווח על אירועי אבטחה
- בעל המאגר והמחזיק נושאים ביחד ולחוד באחריות לאבטחת המאגר
- סעיף 17 לחוק קובע שכל אחד מהם (בעל המאגר, המחזיק או מנהל המאגר) אחראי לאבטחת המידע במאגר
- תקנה 19(ב) מחילה את רוב חובות בעל המאגר גם על המחזיק
- חלוקת התפקידים לביצוע בפועל צריכה להיקבע במפורש בהסכם ביניהם (בהתאם לתקנה 15(2))
חובת מינוי מנהל מאגר
- החוק והתקנות אינם מחייבים מינוי מנהל מאגר
- מנכ"ל החברה הוא האחראי למילוי חובות מנהל המאגר אם לא מונה אחד
- האחריות לאבטחת המידע חלה על כל אחד: בעל המאגר, מחזיק במאגר או מנהל המאגר
גורם בעל הכשרה מתאימה לביקורת
- רמת המומחיות הנדרשת צריכה להתאים לרגישות, מורכבות והיקף הנתונים בארגון
- הכשרה מתאימה צריכה לכלול:
- שליטה בדרישות החוק והתקנות בישראל
- היכרות עם האופי העסקי של המגזר הרלוונטי
- ניסיון והכשרה במערכות מידע ואבטחת מידע
- ההכשרה והניסיון צריכים לאפשר ביצוע תפקידים כגון בחינת נהלים, הערכת סיכונים, זיהוי ליקויים והצעת אמצעי תיקון
בודקים חיצוניים מוסמכים
- הרשות להגנת הפרטיות אינה מסמיכה גורמים מקצועיים בתחום אבטחת מידע
- אם אין בארגון אדם בעל הכשרה מתאימה, ניתן לשכור שירותים של גורמים מקצועיים חיצוניים
מנגנוני הצפנה מקובלים
- הצפנה מקובלת היא כזו שנמצאת תחת קונצנזוס מקצועי של מומחי אבטחה
- יש לתעד את בחירת מנגנון ההצפנה ולעדכן בהתאם לקונצנזוס המקצועי המתעדכן
- בבחירת מנגנון הצפנה יש לבחון:
- איכות המנגנון והיישום הנכון
- התאמת רמת ההגנה לסיכונים הרלוונטיים
- הצפנת מידע אישי היא אמצעי הגנה חשוב המעיד על קיום חובות אבטחת מידע
24.04.2025
הרשות להגנת הפרטיות פרסמה ממצאים מפתיעים מסקר מקיף שערכה בקרב בני נוער בגילאי 12-17, המציג תמונה שונה מהדימוי הרווח של "דור שמשתף הכל".
לפי הסקר, 80% מהמתבגרים בישראל מודעים לסיכונים בחשיפת מידע אישי ברשת, 72% נמנעים משיתוף מידע רגיש, ו-61% דיווחו כי נמנעו מהורדת אפליקציות שנתפסו כבעייתיות מבחינת פרטיות.
הנתונים מפריכים את התפיסה הרווחת לפיה בני נוער אינם מודעים לפרטיותם. למעשה, הם מפגינים מידה רבה של שיקול דעת וביקורתיות בכל הנוגע לשיתוף מידע במרחב הדיגיטלי.
ממצא בולט נוסף הוא שכ-80% מהנשאלים דיווחו על שינוי בהתנהלותם ברשת בעקבות אירועי 7 באוקטובר, וכ-66% דיווחו על עלייה משמעותית בתכנים קשים ברשת מאז תחילת הלחימה.
הסקר גם חושף שרוב המתבגרים סבורים כי הוריהם צריכים לקבל את הסכמתם לפני שיתוף מידע אישי עליהם ברשת, וכי 62% רואים בזכות למחוק מידע חלק בלתי נפרד מהיכולת לשמור על פרטיות.
הרשות להגנת הפרטיות מציינת כי הממצאים מדגישים את הצורך בשיתוף בני נוער בתהליכי קבלת החלטות הנוגעות לפרטיותם במרחב הדיגיטלי, ובחיזוק כלים שיאפשרו להם שליטה טובה יותר במידע האישי שלהם.
הדו"ח המלא של הסקר זמין באתר הרשות להגנת הפרטיות.
09.04.2025