מתי יגיע מיד? על חובת הדיווח על אירועי אבטחת מידע.
0.
קודם כל, שיר.
1.
הרשות להגנת הפרטיות הטילה אתמול עיצום כספי על קופת חולים מאוחדת בגובה של רבע מיליון שקלים. העיצום היה בגלל אירוע אבטחת מידע שהתרחש בחודש נובמבר 2025. לפי הדיווח של הרשות, אנשים היו יכולים לצפות בתיקים רפואיים של קרובי משפחה. אכן, ליקוי חמור במיוחד שנובע מתכנון לקוי וככל הנראה לא תקין של מערכות האבטחה של הקופה.
2.
אבל נחשו מה, העיצום הכספי הוא לא על האירוע עצמו. על האירוע, התכנון הלקוי, הקופה יצאה (הפעם, ככל הנראה) ללא פגע. העיצום הוא על העיכוב בדיווח לרשות להגנת הפרטיות, ועל העיכוב הזה בלבד. מה זאת אומרת? קופת החולים התעכבה כחודשיים בדיווח לרשות. בחודשיים האלה היא ככל הנראה חקרה את האירוע, בדקה מה קרה ו(אני מקווה) תיקנה אותו. אבל, לפי תקנה 11 לתקנות הגנת הפרטיות (אבטחת מידע), בעל מאגר צריך לדווח לרשות "באופן מיידי"; מתי זה "באופן מיידי"? ובכן, לא סתם התחלתי עם הסמית'ס.
3.
לפני כמה שנים הרשות שינתה מדיניות. פעם היתה אצלה מדיניות ברורה של "24 שעות ובכל מקרה לא יותר מ-72 שעות אחרי שנודע האירוע". זה השתנה ב-2022. מאז? הרשות, שמוציאה גילויי דעת על כל פיסת חקיקה קטנה, לא חשבה ליידע את הציבור על המיידיות שנדרשת לצורך דיווח על אירוע. האם 24 שעות זה מיידי? האם 72 שעות זה מיידי? האם חודשיים זה מיידי? (בקופת חולים שבה ממתינים 35 ימים לבדיקת MRI, אולי זה מיידי באמת).
4.
כלומר, הרשות לא מפרסמת, גם לא לצד העיצום הכספי הזה, How soon is now?. ולא סתם. למה? כי העיצום עצמו הוא על העיכוב ולא על אירוע האבטחה. הרשות היתה יכולה לקבוע גם שאירוע האבטחה הזה, עצם מתן גישה למבוטח א' על מידע של מבוטח ב' הוא מקרה חמור.
5.
מה? באמת? העיצום על מקרה שבו "בעל שליטה במאגר מידע או מחזיק במאגר מידע שלא נקט אמצעים מקובלים בנסיבות העניין ובהתאם לאופי המאגר וטיבו, כדי לוודא כי הגישה למאגר המידע ולמערכות המאגר נעשית בידי בעל הרשאה המורשה לכך בלבד לפי רשימת ההרשאות התקפות" הוא רק 160,000 ש"ח, להבדיל מה-320,000 ש"ח שאפשר לתת על אי דיווח, וזאת לפי חוק הגנת הפרטיות. כלומר, המחוקק שלנו ראה שבין שני המקרים: לא לדווח על אירוע, או לאפשר לאירוע לקרות, אז הדיווח יותר חמור מהאירוע.
6.
ולמה זה? ובכן, כי… איך נאמר זאת… לאף אחד לא איכפת. בואו נשחק לרגע "נדמה לי". אז קופת החולים דיווחה לרשות. ומה קרה מכאן? אני לא מכיר את המקרה בידיעה אישית, אני לא טיפלתי בזה, אבל אפשר לראות מקרים אחרים שבהם דיווחו על אירועים: שלוש כתבות של רן בר-זיק על אירועי אבטחת מידע: בית ספר בבת-חפר החזיק גוגל-דוק פתוח זמין לכולם עם פרטי תלמידים, ו"הנהלים חודדו". צה"ל? שם הנהלים כל כך מחודדים שאחרי שחידדו אותם, חידדו אותם שוב. זה הזמן להשקיע במחדדים, זו נראית תעשיה צומחת.
7.
וזו בעצם הבעיה. נכון. אירועי אבטחה קורים. יש תוקפים חיצוניים, יש מקרים שבהם תוקפים משתלטים על מערכות. אבל יש גם רשלנות בעיצוב. רוב האירועים שאנחנו רואים מגיעים מרשלנות כזו. לא האקרים עם קפוצ'ון אלא מישהו שבמקרה גילה שהוא יכול לגשת לתיק של אחותו. המבחן של הטיפול הוא איך מתמודדים. הרשות מבקשת דיווח, אבל מצד שני היא לא פועלת אחרי הדיווח כגוף מחנך, כזה שימנע את התקיפה הבאה. ונזכיר: העיצום הוא רק אחת הדרכים, המטרה היא שלא יהיו אירועים כאלה בכלל.
מענין.
אלא, שההגדרה צריכה להיות יותר מאורגנת ( הגדרה של במיידי וכדומה). מכיוון שצריך גם לגבש את ההבנה של האירוע. לגבש אותו ולהגדיר אותו נכון. משמע: מה קרה בכלל פה. עד שאין גיבוש והבנה מפורטת וברורה של השתלשלות העניינים, אז הדיווח חסר מרכיבים קריטיים.
אז צריך אולי לעשות הפרדה כך: בקרות האירוע, לדווח על עצם האירוע ( על פריצה או תקלה באבטחה). ואחרי זמן מוגדר, לדווח על מהות האירוע.
לגבי עצם קרות האירוע, אז זה ענין של סטנדרטים. והפוסט לא מספר לנו, האם יש סטנדרטים של זהירות. כלליים, של הרשות להגנת הפרטיות וכדומה.
כל אירוע כזה, צריך להיבחן על פי: סטנדרט זהירות ידוע ומפורסם ומחייב, לעומת, הסטייה וההפרה אם בכלל.
תודה