כאשר מתרחש אירוע אבטחת מידע, הטיפול בו הוא קריטי

העיצום הכספי שהטילה הרשות להגנת הפרטיות על קופת חולים מאוחדת, בעקבות איחור בדיווח על אירוע אבטחת מידע, הוא הרבה מעבר למקרה נקודתי. המקרה עצמו כבר זכה לסיקור נרחב, אולם החשיבות האמיתית שלו טמונה במסר שהוא מעביר לכל חברה המחזיקה במידע אישי, ובפרט במידע רגיש: האחריות המשפטית של הארגון אינה מסתיימת במניעת פרצות אבטחה, אלא כוללת גם את האופן שבו הוא מתנהל מרגע שנודע לו על אירוע אבטחת מידע.

קופ"ח מאוחדת איחרה בדיווח על פרצת אבטחה ונקנסה ב-256,000 שקל

עבור חברות המחזיקות במידע רפואי, פיננסי, ביומטרי, מידע על עובדים, לקוחות או קטינים - מדובר במסר בעל משמעות רחבה. בעידן שבו מידע אישי הוא אחד הנכסים המרכזיים של כל ארגון, אירוע אבטחת מידע שוב אינו אירוע טכנולוגי בלבד. הוא עשוי להפוך בתוך שעות לאירוע משפטי, רגולטורי, עסקי ותדמיתי, המחייב קבלת החלטות מהירה ומדויקת.

הסיכון המשפטי של חברה אינו מתחיל רק ברגע שמתרחשת פרצת אבטחה. הוא נוגע הן לאופן שבו הארגון נערך מראש לצמצום הסיכון והן ליכולתו לזהות אירוע, להעריך את חומרתו ולהגיב אליו בהתאם לדין כאשר הוא מתרחש.

האתגר העיקרי הוא ארגוני

לאחר כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות, הורחבו באופן משמעותי סמכויות האכיפה של הרשות להגנת הפרטיות, ובכלל זה האפשרות להטיל עיצומים כספיים בגין הפרות של הוראות החוק ותקנות הגנת הפרטיות (אבטחת מידע). ההחלטה הנוכחית ממחישה, כי החשיפה אינה נובעת רק מהאירוע עצמו, אלא גם מהאופן שבו הארגון מנהל אותו לאחר גילויו. הרשות הבהירה, כי כאשר מתגלה אירוע אבטחה חמור, אין להמתין להשלמת כלל הבדיקות, להבנת מלוא היקף האירוע או לתיקון התקלה לפני החלטה בדבר חובת הדיווח. דיווח ראשוני צריך להיעשות על בסיס המידע הקיים באותו שלב, ואת התמונה ניתן להשלים בהמשך.

המשמעות עבור ארגונים ברורה. לצד ההשקעה במערכות הגנה, אמצעי ניטור ופתרונות סייבר מתקדמים, עליהן להיערך גם לניהול האירוע עצמו. לא אחת, האתגר המשמעותי אינו טכנולוגי אלא ארגוני: מי מקבל את הדיווח הראשון? מי בוחן האם מדובר באירוע אבטחה חמור? מי מוסמך לקבל החלטה בדבר דיווח לרשות? וכיצד מתעדים את הפעולות שננקטו בזמן אמת?

בארגונים רבים מעורבים באירועי אבטחת מידע גורמים שונים: מחלקת מערכות המידע, אבטחת המידע, הייעוץ המשפטי, הנהלת החברה, ולעיתים גם משאבי אנוש, דוברות וספקים חיצוניים. ללא מנגנון ברור לקבלת החלטות ולחלוקת אחריות, קיים חשש לעיכובים, להעברת אחריות בין גורמים שונים ואף לפגיעה ביכולתו של הארגון לעמוד בדרישות הדין.

לא פחות חשוב הוא התיעוד. כאשר הרשות בוחנת אירוע אבטחת מידע, היא עשויה לבקש להבין מתי נודע לראשונה על האירוע, אילו בדיקות בוצעו, אילו החלטות התקבלו בכל שלב ומדוע. תיעוד מסודר של תהליך קבלת ההחלטות עשוי להיות בעל חשיבות מכרעת, שכן הוא מאפשר לארגון להראות כי פעל באופן סביר, מקצועי ובהתאם לדרישות הדין.

להיערך מול ספקים חיצוניים

היבט נוסף שארגונים נוטים לעיתים להמעיט בחשיבותו הוא ניהול הקשר עם ספקים חיצוניים. ארגונים רבים מעבדים מידע אישי באמצעות שירותי ענן, חברות תוכנה, ספקי שכר, מוקדי שירות או נותני שירותים אחרים. כאשר אירוע אבטחת מידע מתגלה אצל ספק, כל עיכוב בהעברת המידע לארגון עלול לפגוע גם ביכולתו לעמוד בחובותיו כלפי הרשות. לכן, ראוי לוודא כי הסכמי ההתקשרות כוללים מנגנוני דיווח ברורים, לוחות זמנים מוגדרים וחובת שיתוף פעולה מלאה במקרה של אירוע אבטחה.

• קופ"ח מאוחדת איחרה בדיווח על פרצת אבטחה ונקנסה ב-256,000 שקל
• "השקעה בפרטיות היא קריטית לחלק מן העסקים"

לצד החשיפה הרגולטורית, קיימות גם השלכות עסקיות משמעותיות. אירוע אבטחת מידע עלול להביא לפגיעה באמון הלקוחות, לחשיפה לתביעות אזרחיות, לביקורות רגולטוריות, לבחינה מחודשת מצד שותפים עסקיים ולפגיעה במוניטין הארגון. במקרים רבים, הנזק התדמיתי והעסקי משמעותי יותר מהנזק הכספי.

המסר ברור: ארגונים אינם נמדדים רק בשאלה אם הצליחו למנוע אירוע אבטחת מידע, אלא גם באופן שבו פעלו מרגע שנודע להן עליו. בעידן שבו אירועי סייבר הם חלק בלתי נפרד מהמציאות העסקית, היערכות מוקדמת, נהלי תגובה ברורים, חלוקת אחריות מוגדרת וקבלת החלטות מהירה אינם עוד המלצה מקצועית, אלא חלק בלתי נפרד מממשל תאגידי תקין ומחובות הציות של כל ארגון המחזיק במידע אישי, ובפרט במידע רגיש.

עו"ד לימור ארגוב-שנהב היא שותפה וראש מחלקת הגנת הפרטיות ואבטחת מידע במשרד וקסלר-ברגמן. עו"ד אביטל יהודיאן היא עורכת דין במחלקה (צילום: יונתן בלום)