סיווג רמת אבטחה לפי תקנות אבטחת המידע, שלב אחר שלב

תקנות הגנת הפרטיות (אבטחת מידע) מסווגות כל מאגר מידע המכיל מידע אישי לאחת משלוש רמות אבטחה — בסיסית, בינונית, או גבוהה. הרמה שאליה אתם משתייכים קובעת דרישות קונקרטיות וניתנות לבדיקה: מדיניות אבטחה כתובה, תיעוד גישה, הצפנה במקרים הרלוונטיים, ובדרגות הגבוהות יותר — ממונה אבטחה ייעודי וביקורות תקופתיות. זה אחד החלקים הבודדים בדין הישראלי להגנת פרטיות שמפיק תשובה ספציפית וניתנת לביקורת — והמנגנון המדויק שלו ספציפי, ופחות אינטואיטיבי, מ”יותר מידע רגיש, יותר אנשים, רמה גבוהה יותר”.

שלוש הרמות

בסיסית היא ברירת המחדל — כל מאגר שלא מפעיל אחד משני הטריגרים האחרים. רמה בינונית מופעלת לפי סוג המידע, לא לפי כמותו או לפי כמה אנשים נוגעים בו: התוספת הראשונה מפרטת קטגוריות ספציפיות — סוגי מידע רגיש (רפואי, ביומטרי, פיננסי, ואחרים שהתקנות מפרטות), או בעלות של גוף ציבורי על המאגר, בין תנאים נוספים. אין סף גודל מינימלי לרמה בינונית; קטגוריית מידע רגיש אחת מספיקה בלי קשר להיקף.

רמה גבוהה חלה על מאגר שכבר כולל מידע רגיש לפי התוספת הראשונה, וחוצה אחד משני ספים מספריים נפרדים בתוספת השנייה: 100,000 נושאי מידע ומעלה (האנשים שהמידע שלהם נמצא במאגר), או מעל 100 בעלי הרשאה עם גישה אליו. כל אחד מהתנאים מספיק בפני עצמו — הם לא שני קצוות של אותו סרגל, אלא שני טריגרים נפרדים, ומאגר יכול להגיע לרמה גבוהה על סמך סף בעלי ההרשאה גם אם יש בו הרבה פחות מ-100,000 נושאי מידע.

מה בפועל מעלה אתכם לרמה גבוהה יותר

שני מנגנונים שונים, וקל לבלבל ביניהם. המעבר מבסיסית לבינונית הוא עניין של קטגוריית מידע — הוספת סוג מידע רגיש (רפואי, ביומטרי, פיננסי) חוצה את הגבול הזה בלי קשר להיקף. המעבר מבינונית לגבוהה, עבור מאגר שכבר ברמה בינונית, הוא עניין של היקף — או שמספר נושאי המידע חוצה 100,000, או שמספר בעלי ההרשאה חוצה 100. חברה יכולה לחצות את סף בעלי ההרשאה לרמה גבוהה בלי שמספר הלקוחות שלה משתנה בכלל, פשוט על ידי הוספת ספקים או עובדים עם גישה למאגר שכבר מכיל מידע רגיש.

מה כל רמה דורשת בפועל

כל רמה דורשת, לכל הפחות, מדיניות אבטחה מוגדרת ותהליך לזיהוי מי בעל גישה. הרמות הבינונית והגבוהה מוסיפות דרישות שהולכות וגדלות משם — הערכות סיכון תכופות יותר, בקרות גישה מחמירות יותר, תיעוד אירועים, ובדרגה הגבוהה — אדם ייעודי האחראי על אבטחת המידע וביקורת חיצונית תקופתית. התקנות ספציפיות מספיק כך ש”יש לנו מדיניות אבטחה” אינו מספיק כשלעצמו — השאלה היא האם המדיניות והבקרות שבפועל תואמות את מה שהרמה דורשת.

איפה מידע ספקי בינה מלאכותית בדרך כלל נוחת

ספקי בינה מלאכותית משפיעים על שני הטריגרים גם יחד. אם המידע שמגיע לספק כולל קטגוריה רגישה, זה לבדו מספיק כדי להעביר את המאגר לרמה בינונית, בלי קשר לכמה אנשים או רשומות מעורבים. מכאן, הוספת הצוות של הספק עצמו כבעלי הרשאה מקרבת את מספר בעלי ההרשאה לסף ה-100 לרמה גבוהה — סף שאין לו שום קשר למספר הלקוחות שלכם. חברה שסיווגה את מאגר הלקוחות שלה כרמה בסיסית לפני שנתיים, לפני הוספת כלי תמיכה מבוסס בינה מלאכותית עם גישה לאותו מידע, ייתכן שכבר לא פועלת ברמה שהיא חושבת — והסיבה יכולה להיות מספר בעלי ההרשאה, קטגוריית המידע, או שניהם.

איך זה משתלב בבדיקה

סיווג רמת האבטחה הוא אחד התוצרים הקונקרטיים של תהליך מיפוי מידע — לא פרויקט נפרד. ברגע שאתם יודעים היכן מידע אישי נמצא בפועל ואילו ספקים נוגעים בו, הרמה של כל מאגר נגזרת ישירות, וכך גם הפער בין מה שהרמה דורשת למה שבאמת קיים.