מה חייב להיכלל בנוהל אבטחת מידע בארגון

הרשות להגנת הפרטיות קבעה במדריך תיקון 13 שסכום הבסיס לעיצום כספי בגין אי־הכנת נוהל אבטחה עומד על 40,000 ש״ח במאגר ברמת אבטחה בינונית ועל 160,000 ש״ח במאגר ברמה גבוהה. זה לא קנס על פריצה. זה קנס על כך שלא היה מסמך.

ההבדל הזה הוא הלב של העמוד הזה. הרבה בעלי עסקים בישראל מניחים שאבטחת מידע היא עניין של מישהו ב־IT שיתקין אנטי־וירוס, ושהרגולציה מתעוררת רק אחרי אירוע. תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 עובדות הפוך: הן מחייבות מסמך כתוב ומאושר שקיים לפני האירוע, מתאר את המערכות הספציפיות שלכם, ומחייב את העובדים שלכם בשמם ובתפקידם.

העמוד הזה מסביר מה המסמך הזה, מה חייב להיכלל בו, ואיך כותבים אותו בלי להסתמך על קובץ שמישהו העלה לאינטרנט ב־2019. הוא לא תבנית להורדה, ואין באמור ייעוץ משפטי — התאמה לארגון ספציפי דורשת בדיקה פרטנית.

לפני הכול — מה זה בכלל נוהל

בעברית של התקנות, נוהל אבטחת מידע הוא מסמך שמתרגם חובה משפטית להוראות עבודה. לא עקרונות, לא כוונות — הוראות. מי מאשר הרשאה חדשה. כמה זמן נשמר יומן הגישה. מי מנתק את מי כשמחשב נגנב. מה עושים בשבת בערב כשספק מודיע שנפרץ.

הבלבול הנפוץ ביותר הוא בין הנוהל לבין שני מסמכים אחרים שחיים לידו. מדיניות אבטחת מידע היא הצהרה ברמת ההנהלה — עקרונות, יעדים ותיאבון סיכון. היא כתובה בלשון גבוהה ולא עוזרת לאף אחד בשעת אמת. מסמך הגדרות המאגר הוא מיפוי: מה המאגר מכיל, למה הוא קיים, לאן המידע זורם. והנוהל הוא מה שעושים עם כל זה בפועל.

נוהל מול מסמך הגדרות המאגר הפרדה

זו השאלה שחוזרת הכי הרבה, ובצדק: שני המסמכים נדרשים, שניהם מדברים על אותו מאגר, ושניהם נבחנים אחת לשנה. ההבדל הוא בציר. מסמך הגדרות המאגר הוא תיאור מצב; נוהל אבטחת המידע הוא הוראת פעולה. כשהרשות מבקשת לראות מה המאגר מכיל — היא פונה למסמך ההגדרות. כשהיא בודקת איך מנעתם דליפה — היא פונה לנוהל ולראיות הביצוע שלו.

שימו לב לשורה האחרונה. התקנות קובעות שעד 31 בדצמבר בכל שנה יש לבחון את הצורך בעדכון מסמך הגדרות המאגר, ובמקביל — אחת לשנה את הצורך בעדכון הנוהל. בפועל, רוב הארגונים שראיתי מתעוררים בדצמבר, מגלים ששני המסמכים לא נגעו בהם מאז שנכתבו, ומעדכנים את שניהם באותו שבוע. זו לא שיטה גרועה, כל עוד זה באמת קורה.

שבעת התחומים שהנוהל חייב לכסות

התקנות לא מכתיבות עיצוב גרפי ולא שמות פרקים, אבל הן כן מכתיבות תכנים. אם מסמך לא נוגע באחד מהתחומים האלה — הוא חסר. להלן שבעת תחומי החובה, עם מה שצריך להיכנס לכל אחד.

1. אבטחה פיזית וסביבתית

החלק שהכי קל לשכוח כי הוא לא נשמע "סייבר". מי נכנס למשרד, איך מתועדים אורחים, איפה עומדים השרתים או ארון התקשורת, מי מחזיק מפתח, האם יש נעילה לחדר, ומה ההגנה מפני אש, הצפה והפסקת חשמל. במשרד קטן שהשרת שלו עומד מתחת לשולחן של מנהלת החשבונות — זה בדיוק המקום לכתוב את זה במפורש ולהסביר איך מגבילים גישה פיזית אליו.

2. הרשאות גישה

מי רשאי לגשת לאיזה מידע, מי מאשר, ועל בסיס מה. העיקרון המנחה הוא הרשאה מינימלית — עובד מקבל גישה למה שתפקידו דורש, לא למה שנוח לתת. הנוהל צריך לקבוע תהליך אישור בשם תפקיד (למשל "מנהל היחידה מאשר, ממונה אבטחת המידע מבצע"), וכן ביקורת תקופתית של רשימת ההרשאות.

3. ניהול כוח אדם

כל מה שקורה סביב אדם: בדיקת התאמה לפני מתן גישה, התחייבות לסודיות, הדרכה לפני תחילת העבודה, הדרכה מחזורית, ומה שקורה בסיום העסקה. במאגרים ברמת אבטחה בינונית או גבוהה התקנות דורשות הדרכת בעלי הרשאה אחת לשנתיים לפחות. בפועל, ארגון שרוצה באמת להקטין סיכון מדיוג יעשה זאת תכופות יותר — אבל זה הרף המינימלי.

4. תיעוד אירועים

שני דברים שונים שמתבלבלים: תיעוד גישה למערכת (יומני לוג) ותיעוד אירועי אבטחה. הנוהל צריך לקבוע מה נרשם — זהות המשתמש, שעה, רכיב, סוג וההיקף של הגישה — מי רשאי לצפות ביומנים, ואיך מגנים עליהם מפני שינוי. נתוני מנגנון הבקרה האוטומטי על הגישה נשמרים 24 חודשים לפחות, וכך גם נתוני האבטחה שנצברו מכוח התקנות.

בנוסף — הדיון התקופתי. במאגר ברמת אבטחה בינונית מתקיים דיון באירועי אבטחה אחת לשנה לפחות; ברמה גבוהה — אחת לרבעון לפחות. הדיונים האלה אינם מחליפים את חובת הדיווח המיידי לרשות להגנת הפרטיות על אירוע אבטחה חמור. פירוט תהליך הדיווח עצמו נמצא בעמוד נפרד בסדרה.

5. ניהול התקנים ניידים

מחשבים ניידים, טלפונים, התקני USB, דיסקים חיצוניים. הנוהל צריך לקבוע אם מותר להוציא מידע למדיה נתיקה ובאילו תנאים, האם ההתקנים מוצפנים, מה קורה כשמכשיר נגנב או אובד, ומי מבצע מחיקה מרחוק. זה גם המקום לטפל בציוד אישי — עובד שקורא מיילים של העבודה מהטלפון הפרטי שלו הוא התקן נייד לכל דבר.

6. גיבוי ושחזור

מה מגבים, באיזו תדירות, איפה נשמר העותק, מי מורשה לגשת אליו, והאם הוא מוצפן. הנקודה הקריטית שארגונים מפספסים: גיבוי שלא נבדק אינו גיבוי. הנוהל צריך לקבוע בדיקת שחזור תקופתית ולתעד את תוצאותיה. וכן — עותק גיבוי שמחובר תמידית לאותה רשת שבה יושב השרת הוא העותק הראשון שכופרה תצפין.

7. מיקור חוץ

כאן נמצא הפער הגדול ביותר בשוק הישראלי. הרבה עסקים מניחים שברגע שהמידע יושב בענן או אצל ספק מחשוב חיצוני, האחריות עברה. היא לא. בעל השליטה — מי שקובע את מטרות העיבוד ואמצעיו — נשאר האחראי, והמחזיק הוא הגורם החיצוני שמעבד עבורו. תיקון 13 הבהיר במפורש שהחובות חלות גם כשהעיבוד נעשה בענן או אצל ספק.

הנוהל צריך לקבוע בדיקת נאותות לפני התקשרות, נספח אבטחה בחוזה, טיפול בספקי משנה, חובת דיווח של הספק על אירועים, והשבה או מחיקה של המידע בסיום ההתקשרות. התקנות דורשות שהספק ידווח לבעל השליטה על אופן עמידתו בחובות האבטחה אחת לשנה לפחות. במדריך הרשות, סכום הבסיס לעיצום בגין הפרות של פיקוח ובקרה על מיקור חוץ עומד על 4,000 ש״ח כבר במאגר ברמה בסיסית — ומטפס ל־80,000 ש״ח ברמה בינונית ו־320,000 ש״ח ברמה גבוהה בקבוצת ההפרות החמורה, שכוללת גם אי־פיקוח על ספק.

איך כותבים את זה בפועל — שישה שלבים

הסדר חשוב. ארגונים שמתחילים משלב הכתיבה כותבים מסמך יפה שלא מתאר את המציאות, וחודשיים אחר כך מגלים שחצי מהמערכות שמוזכרות בו כבר לא בשימוש וחצי מהמערכות שבשימוש לא מוזכרות בו.

• מיפוי מערכות ומידע רושמים כל מאגר, יישום, שרת, שירות ענן, התקן נייד, ספק וממשק שדרכו מידע נכנס או יוצא. לכל פריט: מי הבעלים העסקי, איזה סוג מידע, לאיזו מטרה, מי ניגש ולכמה זמן המידע נשמר. זה גם הבסיס למסמך הגדרות המאגר ולקביעת רמת האבטחה.
• הגדרת בעלי תפקידים מי מאשר הרשאות, מי אחראי על הגיבויים, מי מקבל דיווח על אירוע, ומי מדבר מול הרשות. אם חלה חובת מינוי — קובעים מי ממונה אבטחת המידע ומי ממונה הגנת הפרטיות, ומוודאים שאין ביניהם ניגוד עניינים. אלה שני תפקידים שונים, ואפשר לשלבם רק אם קיימים הכישורים, המשאבים והעצמאות הנדרשים.
• כתיבת הנוהל עוברים תחום־תחום לפי שבעת הפרקים, וכותבים בלשון ציווי עם שמות תפקידים אמיתיים מהארגון. לא "יש להקפיד על גיבוי" אלא "מנהל המערכות מוודא ביצוע גיבוי יומי ומתעד בדיקת שחזור ברבעון".
• אישור הנהלה הנוהל מאושר בידי בעל השליטה או ההנהלה, עם תאריך ומספר גרסה. אישור הוא גם קבלת סיכון: מי שחותם מקבל על עצמו את הפערים שלא נסגרו.
• הדרכת עובדים כל בעל הרשאה מקבל את החלק שרלוונטי לתפקידו — התקנות דורשות למסור את מה שנדרש לתפקיד, לא את כל המסמך. אין סיבה שכל עובד יכיר את מלוא ארכיטקטורת ההגנה. מתעדים מי הודרך ומתי.
• עדכון תקופתי אחת לשנה בוחנים את הצורך בעדכון הנוהל, ובמקביל בודקים אם נשמר במאגר מידע עודף ביחס למטרותיו. בנוסף — בכל שינוי מהותי: מערכת חדשה, ספק חדש, אירוע משמעותי.

מקרה הקצה שמפיל ארגונים — עובד שעוזב

זה התרחיש שבו נוהל טוב מוכיח את עצמו, והוא גם התרחיש שהכי הרבה עסקים קטנים בישראל לא כתבו עליו שורה אחת. עובד מסיים ביום חמישי, מקבל פרידה נחמדה, והגישה שלו למערכת ה-CRM נשארת פעילה עוד שמונה חודשים. היומנים ממשיכים לרשום כניסות ואף אחד לא קורא אותם.

הנוהל צריך לקבוע רשימת פעולות סגורה שמתבצעת ביום סיום העבודה — לא "בהקדם". לפחות את אלה:

• ביטול כל ההרשאות בכל המערכות, כולל כאלה שלא מנוהלות מרכזית — מערכת הנהלת חשבונות, כלי שיווק, קבוצות עבודה, גישה למחשב שולחני.
• ניתוק גישה מרחוק חיבור VPN, גישה לשולחן עבודה מרוחק, חשבונות אצל ספקים חיצוניים שנפתחו על שם העובד.
• טלפון אישי הסרת חשבון הדואר הארגוני והיישומים העסקיים מהמכשיר הפרטי, כולל מחיקת מידע ארגוני ששמור בו מקומית — ומסמך חתום שמאשר שהמחיקה בוצעה.
• החזרת ציוד מחשב נייד, התקני USB, כרטיס כניסה, מפתחות — עם רישום.
• שינוי סיסמאות משותפות כל חשבון שהעובד הכיר את סיסמתו ולא ניתן לשייכו אישית.
• תיעוד הביצוע טופס סיום עבודה חתום על ידי ממונה אבטחת המידע או מי שהנוהל מסמיך, עם תאריך ושעה.

הטלפון האישי הוא החלק העדין. הרבה ארגונים נמנעים מלגעת בו כי זה מרגיש פולשני, והתוצאה היא שמידע עסקי ממשיך לשבת במכשיר פרטי של מי שכבר לא עובד שם. הפתרון איננו למחוק מרחוק את כל הטלפון — אלא לקבוע מראש, בהתחייבות שהעובד חותם עליה ביום הקליטה, שהגישה הארגונית מהמכשיר תוסר בסיום ההעסקה ושמידע ארגוני לא יישמר מקומית. מה שלא הוסדר בכניסה כמעט אף פעם לא מוסדר ביציאה.

למה תבנית PDF מהרשת לא תעבור

חיפוש של "דוגמא לנוהל אבטחת מידע" מחזיר עשרות קבצים — חלקם מצוינים כתוכן עניינים, חלקם תורגמו מתקן זר, וחלקם נכתבו לפני תיקון 13. כולם חולקים חיסרון אחד: הם לא מכירים את המערכות שלכם.

הדרך המעשית: קחו תוכן עניינים כלשהו כנקודת פתיחה, מחקו כל סעיף שלא רלוונטי אליכם, והוסיפו שמות אמיתיים — שם המערכת, שם התפקיד, שם הספק. נוהל של ארבעה עמודים שמתאר במדויק עסק עם שישה עובדים שווה יותר מתבנית של שלושים עמודים שהועתקה.

איפה הנוהל נפגש עם שאר חובות התקנות

הנוהל הוא מסמך מרכזי, אבל הוא לא היחיד. במאגר ברמת אבטחה גבוהה נדרשים גם סקר סיכוני אבטחת מידע ומבדקי חדירות — כל אחד מהם אחת ל־18 חודשים לפחות. במאגרים ברמה בינונית או גבוהה נדרשת ביקורת אבטחת מידע, פנימית או חיצונית, אחת ל־24 חודשים לפחות. הנוהל צריך להפנות לתהליכים האלה ולקבוע מי אחראי להזמין אותם ומי מטפל בממצאים.

נקודה אחרונה שכדאי לדעת: מאגר המנוהל בידי יחיד — יחיד או תאגיד בבעלותו, שבו מלבד מנהל המאגר יש לכל היותר 2 בעלי הרשאה נוספים, ושאינו כולל 10,000 נושאי מידע ומעלה — נמצא במסלול מצומצם שאינו כולל את חובת הנוהל הכתוב. אבל גם עליו חלות חובות: מסמך הגדרות, אבטחה פיזית, זיהוי, תיעוד אירועים, התקנים ניידים, עדכון מערכות ואבטחת תקשורת. כלומר גם עסק של אדם אחד לא פטור — הוא רק פטור מהמסמך, לא מהפעולות.

מקורות

1. הרשות להגנת הפרטיות — מדריך מקצועי לתיקון מס׳ 13 לחוק הגנת הפרטיות, 2025.
2. הרשות להגנת הפרטיות — אתר רשמי, gov.il.
3. תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017 — נוסח התקנות.
4. בנק ישראל — הוראות ניהול בנקאי תקין (לגופים בפיקוח בלבד).

נכון ל־29/10/2026.