ביום 6.12.20 פרסמה הרשות להגנת הפרטיות (להלן – הרשות) דגשים לאבטחת מידע בחברות וארגונים והמלצות לציבור בעקבות אירוע אבטחת מידע חמור בחברת שירביט (להלן – אירוע שירביט).
הרשות מתייחסת לאירוע שירביט, ומציינת כי חברת שירביט העבירה לה ולרשויות רלוונטיות נוספות דיווח ביחס לאירוע האבטחה החמור. בעקבות האירוע פתחה הרשות בהליך חקירה, במסגרתו בוחנת הרשות את ההיבטים הקשורים להגנה על המידע האישי של לקוחות החברה ואת הפגיעה בהם כתוצאה מדליפת המידע, וכן את פעולות החברה בנוגע לאירוע ועמידתה בהוראות החוק.
הרשות מדגישה את חשיבות ההגנה על מידע אישי וקוראת לכל גורם במשק המנהל או מחזיק מאגר מידע לוודא עמידה בהוראות תקנות הגנת הפרטיות (אבטחת מידע) ולקיים את דרישות אבטחת המידע בהתאם לרמת הסיכון שיוצרת פעילות עיבוד המידע בארגון.
בהודעה מציינת הרשות להגנת הפרטיות, את ההכרח של חברות מכלל מגזרי המשק להגן על מידע אישי אודות לקוחות המצוי אצלן, ואת חשיבות עמידתן בחוק הגנת הפרטיות ובתקנות הגנת הפרטיות (אבטחת מידע).
על פי ההודעה, מעבר לפגיעה בפרטיות של לקוחות החברות, אירועים כגון אלו טומנים בחובם גם עלויות רבות, חשיפה משפטית ניכרת לתביעות שונות ונזק תדמיתי עצום לחברה. על מנת למזער התרחשותם של אירועי אבטחת מידע, על החברות לעמוד באופן מלא בתקנות הגנת הפרטיות (אבטחת מידע), אשר נועדו להגן מפני מצבים מסוג זה.
הרשות ממליצה לחברות לוודא מראש כי מדיניות ניהול המידע אותו הן מחזיקות על לקוחותיהן הינה רלוונטית לשירותים הניתנים, בין השאר שלא נאסף ונשמר מידע עודף, שברבות הימים יכול להפוך להיות איום אסטרטגי על החברה.
הרשות קוראת לכל גורם במשק המנהל מאגרי מידע לבדוק את מידת עמידתו בהוראות התקנות וההגנה על מידע, כפי שאלו מפורטות באתר הייעודי שהעמידה לשם כך בקישור זה.
הרשות מדגישה כי תקנות הגנת הפרטיות (אבטחת מידע) מחייבות כל גורם במשק בישראל, ציבורי ופרטי, המנהל מידע אישי, לקיים דרישות אבטחת מידע בהתאם לרמת הסיכון שיוצרת פעילות עיבוד המידע אצלו בארגון. על ארגונים לוודא כי הם עומדים בדרישות החוק והתקנות, ומקפידים על ביצוע ויישום של בקרות ניהוליות ועל מימוש ויישום מדיניות אבטחת מידע.
בנוסף, בהודעת הרשות מופיעים מספר דגשים חשובים בהיבטים תפעוליים של ביטחון מידע.
תשומת לבכם המיוחדת, להנחיות הרשות ולחשיבות ההקפדה על יישום חוק הגנת הפרטיות ותקנות הגנת הפרטיות (אבטחת מידע), וגיבוש תוכניות ציות תואמות. כתמיד, אנו עומדים לרשותכם למתן המעטפת המשפטית על מכלול ההיבטים המשפטיים הכרוכים בנושא.
להודעה המלאה של הרשות להגנת הפרטיות: דגשים לאבטחת מידע בחברות וארגונים והמלצות לציבור בעקבות אירוע אבטחת מידע חמור בחברת שירביט | הרשות להגנת הפרטיות (www.gov.il)
לפרטים ויעוץ ניתן לפנות לורד זליכה, שותפה במשרד ליפא מאיר ושות' וראש תחום סייבר ואינטליגנציה מלאכותית (AI)
*הבהרה: האמור בחוזר זה הינו מידע כללי בלבד ואין בו כדי להוות ייעוץ משפטי המחייב בחינה מעמיקה וספציפית של כל נושא לגופו.