הייתה דליפת מידע. מה חייבים לעשות ב־72 השעות הראשונות?

מהו אירוע אבטחה חמור?

התקנות מבחינות לפי רמת האבטחה של המאגר. בקווים כלליים, במאגר ברמת אבטחה גבוהה, אירוע חמור הוא אירוע שבו נעשה שימוש במידע מהמאגר ללא הרשאה או בחריגה מהרשאה, או שנפגעה שלמות המידע; במאגר ברמת אבטחה בינונית, אירוע כזה שנוגע לחלק מהותי מהמאגר. לכן אחת השאלות הראשונות היא מה רמת האבטחה של המאגר שנפגע, כפי שנקבעה במסמך הגדרות המאגר.

בשעות הראשונות לרוב לא ברור עדיין מה היקף האירוע. זו בדיוק הסיבה שהרשות מבהירה שאין לחכות לסיום התחקיר: אם יש יסוד להניח שמדובר באירוע חמור, מדווחים, ומעדכנים כשמתברר יותר.

השעות הראשונות: לעצור ולתעד

1. מכנסים צוות קטן ומוגדר: מנכ״ל או מי מטעמו, אחראי IT או אבטחה, יועץ משפטי, ולפי הצורך חברת תגובה לאירועים. קובעים ערוץ תקשורת שאינו עובר דרך המערכות שנפגעו.
2. עוצרים את הדליפה: מנתקים גישה, מחליפים סיסמאות ומפתחות, חוסמים חשבונות שנפרצו. בלי לפרמט ובלי למחוק, כי צריך את העקבות.
3. משמרים ראיות: לוגים, תמונות מצב של שרתים, הודעות כופר, מיילים חשודים. מתעדים כל פעולה: מי עשה מה ומתי.
4. מתחילים יומן אירוע: מתי התגלה, מה ידוע, אילו החלטות התקבלו ולמה. היומן הזה ישמש בדיווח לרשות, מול המבטח, ובכל הליך עתידי.

עד 24 שעות: מסווגים ומדווחים

1. קובעים אילו מאגרים נפגעו, איזה מידע (פרטי זיהוי, מידע רפואי או פיננסי, סיסמאות), וכמה אנשים בערך.
2. בודקים אם זה אירוע חמור לפי רמת האבטחה של המאגר. אם יש ספק סביר, נוטים לדווח.
3. מגישים דיווח ראשוני לרשות להגנת הפרטיות, בטופס המקוון של הרשות, בציון מה ידוע ומה עדיין נבדק, ומתארים את הצעדים שננקטו.
4. מודיעים למבטח הסייבר לפי תנאי הפוליסה. בפוליסות רבות יש חובת הודעה מהירה, ולעיתים דרישה לעבוד עם ספקים שהמבטח מאשר.
5. שוקלים פנייה למערך הסייבר הלאומי, ובאירוע סחיטה גם למשטרה.

עד 72 שעות: לקוחות, נפגעים ואירופה

• חוזים: בודקים מה התחייבתם כלפי לקוחות עסקיים בהסכמי עיבוד מידע. לקוחות גדולים דורשים לעיתים הודעה בתוך מספר שעות מוגדר, והפרה של החובה הזאת היא עילה נפרדת.
• ספקים: אם האירוע התחיל אצל ספק שמחזיק מידע שלכם, דורשים ממנו דיווח מלא ושיתוף פעולה, לפי ההסכם ולפי תקנה 15.
• נפגעים: מחליטים אם, מתי ואיך להודיע לאנשים שהמידע שלהם נפגע. לפי התקנות, הרשות רשאית, לאחר התייעצות עם מערך הסייבר, להורות על הודעה כזו, ולעיתים נכון לעשות זאת מיוזמתכם, כדי שיוכלו להגן על עצמם. הודעה טובה אומרת מה קרה, איזה מידע, מה עשיתם ומה הם יכולים לעשות.
• GDPR: אם החברה מעבדת מידע של אנשים באיחוד האירופי, ייתכן שחלה חובה להודיע לרשות פיקוח אירופית בתוך 72 שעות מרגע שנודע על האירוע, ובמקרים מסוימים גם לנפגעים.
• תקשורת: מנסחים הודעה אחת, מאושרת משפטית, ללקוחות, לעובדים ולתקשורת. לא מעריכים היקף לפני שהוא ידוע, ולא מבטיחים ״שום מידע לא נפגע״.

מה לא לעשות

• לא לחכות לסיום התחקיר לפני דיווח לרשות.
• לא למחוק לוגים, מיילים או קבצים, גם כדי ״לנקות״.
• לא לשלם כופר לפני ייעוץ משפטי ופנייה למבטח: יש לכך השלכות משפטיות, ביטוחיות ולעיתים גם הגבלות של דיני סנקציות.
• לא להוציא הודעה לציבור או ללקוחות שלא נבדקה מול העובדות ומול החוזים.
• לא לנהל את האירוע בקבוצת וואטסאפ פתוחה. כל הודעה עלולה להפוך לראיה.

אחרי האירוע: הדירקטוריון והליך אפשרי

לפי הנחיה 1/2024, בחברות שבתחולתה הדירקטוריון צריך לדון באירועי האבטחה שהתרחשו, ולוודא שננקטו פעולות לתיקון. אחרי שתיקון 13 נכנס לתוקף, לרשות יש סמכות להטיל עיצומים כספיים, ונפגעים יכולים לתבוע. לכן התיעוד מהשעות הראשונות הוא חלק מההגנה: הוא מראה מה ידעתם, מתי, ומה עשיתם.

כשהסיכון מתממש, אותו משרד מייצג בהליך מול הרשות ובתביעות. הייעוץ המשפטי ניתן על ידי עו״ד שמעון צור. כדי להיות מוכנים מראש, ראו פרטיות ותיקון 13.