המסגרת המשפטית בישראל
תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, מחייבות כל ארגון שמחזיק מאגר מידע ליישם אמצעי אבטחה לפי רמת האבטחה שחלה על המאגר. בין היתר: מסמך הגדרות מאגר, נוהל אבטחה, ניהול הרשאות, תיעוד גישה, בקרה על ספקים, וטיפול באירועי אבטחה, כולל דיווח לרשות להגנת הפרטיות על אירוע חמור.
כשמתרחש אירוע
בשעות הראשונות של אירוע סייבר מתקבלות החלטות עם משמעות משפטית: מה לתעד, את מי לעדכן, האם ומתי לדווח לרשות, מה לומר ללקוחות ולספקים. מעורבות של עורך דין כבר בשלב הזה עשויה לאפשר הגנת חיסיון על חלק מהתחקיר, בכפוף לדין ולנסיבות.
- הערכה משפטית של חובות דיווח בישראל ובמדינות אחרות.
- ליווי מול הרשות להגנת הפרטיות.
- ניסוח הודעות ללקוחות ולנושאי מידע.
- עבודה משותפת עם צוות התגובה הטכני ועם חברת הביטוח.
הכנה לפני אירוע
- נוהל תגובה לאירועים עם חלוקת תפקידים ברורה.
- תרגיל שולחני (Tabletop) משולב להנהלה ולצוות הטכני.
- בחינת פוליסת ביטוח הסייבר מול התרחישים הצפויים.
ספקים ושרשרת אספקה
- סעיפי אבטחת מידע בהסכמי ספקים ולקוחות.
- מענה לשאלוני אבטחה של לקוחות.
- ספקים של גופים אירופיים: בחינת ההשלכות החוזיות של NIS2 ו-DORA, שמגלגלות דרישות אבטחה לשרשרת האספקה.
דיווח להנהלה ולדירקטוריון
סיכוני סייבר הם סיכון עסקי. המשרד מסייע בבניית מנגנון דיווח תקופתי להנהלה ולדירקטוריון, שמאפשר להם לפקח על הסיכון ולתעד את הפיקוח.
ראו גם רגולציה ותקינה.