חלוקת האחריות על אבטחת המידע ודיווח על אירועי אבטחה
- בעל המאגר והמחזיק נושאים ביחד ולחוד באחריות לאבטחת המאגר
- סעיף 17 לחוק קובע שכל אחד מהם (בעל המאגר, המחזיק או מנהל המאגר) אחראי לאבטחת המידע במאגר
- תקנה 19(ב) מחילה את רוב חובות בעל המאגר גם על המחזיק
- חלוקת התפקידים לביצוע בפועל צריכה להיקבע במפורש בהסכם ביניהם (בהתאם לתקנה 15(2))
חובת מינוי מנהל מאגר
- החוק והתקנות אינם מחייבים מינוי מנהל מאגר
- מנכ"ל החברה הוא האחראי למילוי חובות מנהל המאגר אם לא מונה אחד
- האחריות לאבטחת המידע חלה על כל אחד: בעל המאגר, מחזיק במאגר או מנהל המאגר
גורם בעל הכשרה מתאימה לביקורת
- רמת המומחיות הנדרשת צריכה להתאים לרגישות, מורכבות והיקף הנתונים בארגון
- הכשרה מתאימה צריכה לכלול:
- שליטה בדרישות החוק והתקנות בישראל
- היכרות עם האופי העסקי של המגזר הרלוונטי
- ניסיון והכשרה במערכות מידע ואבטחת מידע
- ההכשרה והניסיון צריכים לאפשר ביצוע תפקידים כגון בחינת נהלים, הערכת סיכונים, זיהוי ליקויים והצעת אמצעי תיקון
בודקים חיצוניים מוסמכים
- הרשות להגנת הפרטיות אינה מסמיכה גורמים מקצועיים בתחום אבטחת מידע
- אם אין בארגון אדם בעל הכשרה מתאימה, ניתן לשכור שירותים של גורמים מקצועיים חיצוניים
מנגנוני הצפנה מקובלים
- הצפנה מקובלת היא כזו שנמצאת תחת קונצנזוס מקצועי של מומחי אבטחה
- יש לתעד את בחירת מנגנון ההצפנה ולעדכן בהתאם לקונצנזוס המקצועי המתעדכן
- בבחירת מנגנון הצפנה יש לבחון:
- איכות המנגנון והיישום הנכון
- התאמת רמת ההגנה לסיכונים הרלוונטיים
- הצפנת מידע אישי היא אמצעי הגנה חשוב המעיד על קיום חובות אבטחת מידע
24.04.2025
