ISO/IEC 27001 ותיקון 13 לחוק הגנת הפרטיות עוסקים שניהם בניהול סיכוני מידע, אבל הם אינם אותו דבר. תיקון 13 הוא שינוי בדין הישראלי; ISO/IEC 27001 הוא תקן בינלאומי לניהול אבטחת מידע. התקן יכול לעזור לארגון לבנות תהליכים מסודרים ולהציג ראיות לבקרה, אך הסמכה אליו אינה מחליפה בדיקה משפטית ואינה מעניקה חסינות מפני אכיפה.
מה השתנה בתיקון 13?
תיקון 13 לחוק הגנת הפרטיות אושר באוגוסט 2024 ונכנס לתוקף באוגוסט 2025. הוא עדכן הגדרות מרכזיות, חיזק את סמכויות הפיקוח והאכיפה של הרשות להגנת הפרטיות והרחיב במקרים מסוימים את החובות החלות על בעלי שליטה ומחזיקים במאגרי מידע. היקף החובה תלוי בסוג המידע, מטרת העיבוד, זהות הארגון והיקף הפעילות — ולכן אין כלל אחיד שלפיו כל עסק נדרש לאותן פעולות.
גם החובה למנות ממונה על הגנת הפרטיות (DPO) אינה חלה באופן אוטומטי על כל ארגון. החוק מגדיר קבוצות ומצבים שבהם המינוי נדרש, והרשות פרסמה חומרי הסבר בנושא. ארגון שאינו בטוח אם הוא נכלל באחת הקבוצות צריך לבצע בדיקה פרטנית עם גורם משפטי מתאים.
מה נותן ISO/IEC 27001?
ISO/IEC 27001:2022 מגדיר דרישות להקמה, יישום, תחזוקה ושיפור מתמשך של מערכת לניהול אבטחת מידע (ISMS). במרכזו נמצאים זיהוי נכסי מידע, הערכת סיכונים, בחירת בקרות מתאימות, הגדרת אחריות, ניהול ספקים, טיפול באירועים, ביקורות ושיפור מתמשך.
התקן מבוסס סיכון: ארגון אינו אמור להעתיק רשימת בקרות באופן עיוור, אלא להגדיר היקף, להבין איומים והשפעות ולנמק אילו בקרות יושמו. אפשר לעבוד לפי עקרונות התקן גם בלי לעבור הסמכה; הסמכה רשמית היא תהליך נפרד מול גוף התעדה מוסמך.
איפה התקן מסייע לעמידה בדרישות פרטיות?
- מיפוי נכסים וזרימות מידע: מי אוסף מידע, היכן הוא נשמר, מי מקבל גישה ולאילו ספקים הוא מועבר.
- ניהול סיכונים מתועד: קביעת שיטה, בעלי תפקידים, סדרי עדיפויות ותכנית טיפול.
- בקרות גישה והרשאות: עקרון הצורך לדעת, סקירות הרשאה תקופתיות וטיפול בעובדים שמחליפים תפקיד או עוזבים.
- ניהול ספקים: בדיקת דרישות אבטחה, הסכמים, מעקב ושינוי או סיום התקשרות.
- ניהול אירועים: זיהוי, תיעוד, הסלמה, הפקת לקחים ותרגול. חובת דיווח לרשות או לנושאי מידע תלויה בנסיבות ובדין החל, ולא כל תקלה מטופלת באותו אופן.
- ראיות לבקרה: נהלים, רישומים, תוצאות ביקורת, הדרכות ותכניות שיפור.
מה ISO 27001 לא עושה?
הסמכה לתקן אינה הוכחה שכל פעילות הארגון תואמת את חוק הגנת הפרטיות, ואינה מבטלת צורך בפרשנות משפטית. היקף ההסמכה עשוי להיות מוגבל למחלקה, שירות או אתר מסוים; גם בתוך ההיקף, הביקורת מבוססת על דגימות ומערכת ניהול ולא על הבטחה שלא יתרחש אירוע אבטחה.
מנגד, ארגון שאינו מוסמך אינו בהכרח מפר את החוק. החובה המשפטית נקבעת לפי הדין והנסיבות. התקן הוא מסגרת ניהולית שימושית שיכולה לתמוך בתהליך הציות, במיוחד כאשר לקוחות או מכרזים דורשים אותה, אך הוא אינו "מגן משפטי".
תכנית עבודה מעשית לארגון
- מנו בעל תפקיד שמוביל את מיפוי דרישות הפרטיות ואבטחת המידע, ובדקו בנפרד אם קיימת חובה חוקית למנות DPO.
- הגדירו את מאגרי המידע, המערכות, הספקים וזרימות המידע בפועל — לא רק את מה שמופיע במסמכים ישנים.
- בצעו ניתוח פערים מול החוק, תקנות אבטחת המידע והתחייבויות חוזיות; במקביל בדקו אם ISO/IEC 27001 מתאים ליעדים העסקיים.
- תעדפו פערים לפי סיכון והשפעה: הרשאות עודפות, מערכות לא מעודכנות, גיבויים לא בדוקים וספקים ללא בקרה הם בדרך כלל נקודות התחלה טובות.
- קבעו מדדים, בצעו ביקורות פנימיות ותרגלו תגובה לאירוע. תיעוד צריך לשקף פעילות אמיתית ולא להיות תרגיל נייר.
- לפני הסמכה, בצעו סקר הנהלה וביקורת פנימית ובחרו גוף התעדה מתאים.
אריאל מרום, מומחה IT, ענן וסייבר, מדגיש כי הערך של ISO 27001 אינו נמצא בתעודה לבדה אלא ביכולת להפוך אחריות, סיכונים ובקרות לשגרה ניהולית הניתנת למדידה. בתהליכי ייעוץ של M-Challenge, למשל, נכון להפריד בין מסלול הציות המשפטי לבין מסלול בניית מערכת הניהול — ולחבר ביניהם באמצעות מפת סיכונים אחת.
מקורות והבהרה
למידע רשמי ראו את שאלות ותשובות של הרשות להגנת הפרטיות על תיקון 13, את המדריך המקצועי של הרשות ואת דף ISO/IEC 27001 הרשמי. הכתבה מספקת מידע כללי ואינה ייעוץ משפטי.
קרדיט תמונה: ThisIsEngineering / Pexels. מקור | רישיון Pexels.
