בקצרה: לפי תקנה 5(ג) לתקנות הגנת הפרטיות (אבטחת מידע), במאגר שחלה עליו רמת האבטחה הגבוהה בעל המאגר אחראי לכך שייערך סקר סיכונים אחת ל-18 חודשים לפחות, ידון בתוצאותיו ויתקן את הליקויים. באותה רמת אבטחה נדרשים גם מבדקי חדירות אחת ל-18 חודשים לפחות (תקנה 5(ד)). מאז תיקון 13, אי-ביצוע סקר סיכונים או מבדקי חדירות במאגר ברמת אבטחה גבוהה חושף לעיצום כספי של 320,000 ש"ח, והסכום כפול במאגר עם יותר ממיליון נושאי מידע.
במשך שנים רבות נתפס המונח "סקר סיכונים באבטחת מידע" כעניין טכני פנימי של מחלקת ה-IT או מנהל אבטחת המידע. סקרים רבים הסתכמו בטבלאות אקסל מנומנמות, מטריצות צבעוניות של "הסתברות מול השפעה", ומסמך עב כרס שנגנז במגירה לאחר שסימן "V" על דרישת ביקורת תקופתית.
המציאות הזו השתנתה מן הקצה אל הקצה. עם כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות, לצד הזינוק במתקפות סייבר מתוחכמות ואימוץ נרחב של כלי בינה מלאכותית, סקר סיכונים אבטחת מידע הפך למסמך המגן המשפטי והאסטרטגי החשוב ביותר של הארגון. הוא כבר אינו מיועד רק לטכנאים; הוא מיועד לדירקטוריון, למנכ"ל, ליועץ המשפטי ולמנהל הסיכונים.
סקר סיכונים שאינו מבוצע כהלכה אינו רק מעלה את הסיכון לחדירה למערכות – הוא חושף את החברה לעיצומים כספיים משמעותיים ולתביעות, כולל תביעות ייצוגיות.
רעידת האדמה של תיקון 13: למה סקר הסיכונים הפך לחומת המגן המשפטית שלכם?
תיקון 13 לחוק הגנת הפרטיות חולל מהפכה באכיפה ובאחריות התאגידית בישראל, ויישר קו עם תקנות ה-GDPR האירופיות. כדי להבין מדוע סקר סיכונים הפך לפעולה קריטית, יש להכיר את שלושת השינויים המבניים שהחוק יצר:
זינוק דרמטי בעיצומים הכספיים
אם בעבר הקנסות של הרשות להגנת הפרטיות היו סמליים (עשרות אלפי שקלים בודדים), תיקון 13 מעניק לרשות שיניים חסרות תקדים: עיצומים כספיים מנהליים שיכולים להגיע למיליוני שקלים, לפי סוג ההפרה, רמת האבטחה של המאגר ומספר נושאי המידע בו. למשל, אי-ביצוע סקר סיכונים במאגר ברמת אבטחה גבוהה: 320,000 ש"ח, וכפול במאגר עם יותר ממיליון נושאי מידע.
אחריות הארגון וההנהלה
תיקון 13 ביטל את האחריות האישית של "מנהל מאגר" לאבטחת המידע, והחובות מוטלות על בעל השליטה במאגר, כלומר הארגון עצמו. ההנהלה עדיין מעורבת: לפי הנחיית הרשות 1/2024, בארגונים שההנחיה חלה עליהם הדירקטוריון צריך לדון בעקרונות נוהל אבטחת המידע ובמסמך הגדרות המאגר. סקר סיכונים עדכני הוא ראיה חשובה לכך שהארגון פעל בסבירות.
חובת מינוי ממונה הגנת פרטיות (DPO) ותיעוד מתמיד
ארגונים רבים מחויבים כעת במינוי ממונה הגנת פרטיות (DPO). תפקידו של ה-DPO, בשיתוף פעולה עם ה-CISO, הוא להבטיח שניהול הסיכונים אינו אירוע חד-פעמי, אלא מתודולוגיה חיה הנבחנת ברציפות.
ההבדלים המהותיים: סקר סיכונים מול סקר פערים ומבדק חדירות
אחת הטעויות הנפוצות בקרב הנהלות היא שימוש שגוי במונחים טכנולוגיים, המוביל לרכישת שירות שאינו עונה על דרישות החוק. להלן ההבחנה המקצועית:
-
סקר פערים (Gap Analysis): בדיקה בינארית של "כן / לא" מול תקן מוגדר (כגון ISO 27001, SOC 2 או תקנות הגנת הפרטיות). מטרתו לזהות אילו נהלים או מנגנונים חסרים בארגון.
-
מבדק חדירות (Penetration Testing – PT): סימולציה טכנולוגית של תקיפת סייבר ("האקר לבן") הבודקת חוסן של שרתים, אפליקציות ורשתות בנקודת זמן ספציפית.
-
סקר סיכוני אבטחת מידע (Risk Assessment): הליך הערכה אסטרטגי הבוחן את הקשר שבין הנכס, האיום, רמת הפגיעות וההשפעה העסקית-משפטית. הסקר אינו בודק רק קוד או שרתים, אלא את התהליכים העסקיים, ההיבט האנושי, המעטפת המשפטית ושרשרת האספקה.
טבלה: השוואת מתודולוגיות אבטחה ובקרה בארגון
| קריטריון להשוואה | סקר פערים (Gap Analysis) | מבדק חדירות (Pen Test) | סקר סיכונים אבטחת מידע |
| מטרת העל | בדיקת תאימות לתקן או חוק | איתור חולשות אבטחה בקוד ובתשתית | הערכת חשיפה עסקית ומשפטית כוללת |
| נקודת המבט | ציות רגולטורי (Compliance) | טכנולוגית / נקודת מבט של התוקף | הוליסטית: טכנולוגיה, משפט, תהליכים |
| תדירות חוקית נדרשת | לפי דרישת תקן | אחת ל-18 חודשים לפחות, רק במאגר ברמת אבטחה גבוהה (תקנה 5(ד)) | אחת ל-18 חודשים לפחות, במאגר ברמת אבטחה גבוהה (תקנה 5(ג)) |
| קהל היעד של הדוח | מבקרים חיצוניים ומנהלי אבטחה | אנשי פיתוח וצוותי אבטחת מידע | מנכ"ל, דירקטוריון, יועמ"ש ו-CISO |
| הגנה משפטית בבית משפט | חלקית | מוגבלת להיבט התשתיתי בלבד | משמעותית (ראיה לנקיטת אמצעים סבירים) |
היבטים חדשים וקריטיים שאסור לפספס בסקר סיכונים מודרני
חלק מסקרי הסיכונים עדיין נשענים על פרקטיקות ישנות. סקר סיכונים מקצועי ואפקטיבי חייב לכלול התייחסות לאיומים החדשים של שנת 2026:
סיכוני בינה מלאכותית ו-Shadow AI בארגון
השימוש היומיומי של עובדים ומנהלים בכלי GenAI (כגון ChatGPT, Claude, Copilot ועוד) מייצר נקודת עיוורון מסוכנת:
-
דלף מידע סודי ואישי: עובדים המזינים קוד מקור, מאגרי לקוחות, סיכומי פגישות רגישים או נתונים פיננסיים לתוך מודלים חיצוניים.
-
הפרת תקנות הגנת הפרטיות: עיבוד מידע אישי של אזרחים ישראלים בפלטפורמות ענן שאינן עומדות בדרישות אבטחת מידע והעברת מידע מחוץ לגבולות המדינה.
-
חובת הסקר: מיפוי כלי ה-AI הפועלים בארגון (גלויים וסמויים), הגדרת מדיניות ארגונית ברורה ובחינת מנגנוני סינון נתונים (Data Loss Prevention – DLP).
סיכוני שרשרת אספקה (Third-Party & Vendor Risk Management)
חלק ניכר מאירועי הסייבר מתרחשים דרך "דלת אחורית" של ספק חיצוני ולא בפריצה ישירה לארגון: רואה חשבון, מערכת שכר, ספק ענן, בית תוכנה או מערכת CRM.
-
מיפוי חיבורי API והרשאות יתר: בחינה מדויקת של איזה מידע זורם לספקים והאם הגישה שלהם מוגבלת לעיקרון "הצורך לדעת" (Least Privilege).
-
הסכמי עיבוד מידע (DPA) לפי תקנה 15: כשספק מקבל גישה למאגר, יש לבחון מראש את סיכוני ההתקשרות ולקבוע בהסכם, בין היתר, את המידע והמערכות שהספק רשאי לגשת אליהם, דיווח שנתי של הספק והודעה על אירוע אבטחה.
תרגום סיכונים לשפת הכסף: מודל FAIR במקום "אדום/צהוב/ירוק"
הנהלות ומנהלי כספים (CFO) מתקשים לקבל החלטות על בסיס מטריצות צבעים מופשטות. אחת הגישות המקובלות היא מודל FAIR (Factor Analysis of Information Risk), המתרגם סיכוני סייבר למספרים פיננסיים:
-
מהו הנזק הכספי הממוצע לשנה כתוצאה מהשבתת שרתים (Value at Risk)?
-
מהי החשיפה הכספית מתביעה ייצוגית במקרה של דלף מאגר הלקוחות?
-
מהו ה-ROI (החזר ההשקעה) של הטמעת בקרת אבטחה מסוימת לעומת גובה הסיכון?
עמידה בתנאי סף של חברות ביטוח סייבר (Underwriting Compliance)
חברות הביטוח החמירו דרמטית את תנאי הפוליסות. אירוע כופר (Ransomware) עלול להסתיים בדחיית תביעה אם החברה לא תעמוד בתנאי החיתום הקפדניים:
-
אימות רב-שלבי (MFA) גורף בכל מערכות הארגון והגישה מרחוק.
-
גיבויים מבודדים שאינם ניתנים למחיקה או הצפנה (Immutable Backups).
-
ניהול הרשאות מבוסס EDR/XDR מנוהל 24/7.
סקר הסיכונים בוחן את הפערים מול דרישות הפוליסה ומונע מפח נפש פיננסי ברגע האמת.
תוצרי הסקר: מה ההנהלה חייבת לקבל ביד בסיום התהליך?
סקר סיכונים איכותי אינו מסתכם במסמך תיאורטי, אלא מספק לארגון ארגז כלים ניהולי שלם:
-
דוח מנהלים מתומצת (Executive Summary): תמונת מצב אסטרטגית המיועדת למנכ"ל ולדירקטוריון, המציגה את מדד הסיכון הכללי, החשיפות המרכזיות וההשלכות המשפטיות.
-
מפת סיכונים וסקר נכסים מלא: מיפוי מפורט של כל מאגרי המידע, רמות האבטחה הנדרשות על פי דין, וממשקי העבודה מול גורמים חיצוניים.
-
תוכנית עבודה מדורגת לטיפול בפערים (Remediation Roadmap): רשימת פעולות פרקטית המסודרת לפי רמות סיכון (קריטי, גבוה, בינוני), לוחות זמנים מומלצים וחלוקת אחריות בארגון.
-
חוות דעת משפטית לרגולציה ולביטוח: מסמך רשמי המעיד על ביצוע הסקר על פי הוראות תקנה 5(ג) לתקנות הגנת הפרטיות, המוכן להצגה בפני הרשות להגנת הפרטיות או חברות הביטוח.
שאלות ותשובות
כל כמה זמן חובה על פי חוק לבצע סקר סיכונים באבטחת מידע?
על פי תקנה 5(ג) לתקנות הגנת הפרטיות (אבטחת מידע), ארגונים המנהלים מאגרי מידע שחלה עליהם רמת אבטחה גבוהה מחויבים לבצע סקר סיכונים לפחות אחת ל-18 חודשים. התקנות אינן קובעות חובה לסקר נוסף בכל שינוי, אבל אחרי שינוי מהותי (כמו מעבר לענן או הטמעת מערכת ERP) כדאי לבחון את הסיכונים מחדש. לפי תקנה 5(ג), בעקבות הסקר יש לבחון גם אם לעדכן את מסמך הגדרות המאגר ואת נוהל האבטחה.
האם חברה יכולה לבצע את סקר הסיכונים באמצעות אנשי ה-IT הפנימיים שלה?
תקנה 5(ג) קובעת שבעל המאגר אחראי לכך שייערך סקר סיכונים, ואינה מחייבת גורם חיצוני. עם זאת, אנשי IT שבודקים מערכות שהם עצמם הקימו ומתחזקים נמצאים בחשש לניגוד עניינים. סקר בידי גורם בלתי תלוי ובעל ידע מתאים מחזק את היכולת להראות שהארגון נקט אמצעים סבירים.
מה ההבדל בין חובת הדיווח הישנה לחובת הדיווח תחת תיקון 13?
חובת הדיווח המיידי לרשות על אירוע אבטחה חמור קבועה בתקנה 11(ד) עוד לפני תיקון 13. החידוש בתיקון 13 הוא העיצום: אי-דיווח הוא הפרה שעליה ניתן להטיל עיצום של 80,000 ש"ח (רמת אבטחה בינונית) או 320,000 ש"ח (רמת אבטחה גבוהה), בלי קשר לשאלה אם נגרם נזק. העיצום הראשון לפי תיקון 13 הוטל ביולי 2026 על קופת חולים מאוחדת, 256,000 ש"ח אחרי הפחתות, בשל איחור בדיווח על אירוע כזה.
כיצד סקר סיכונים מסייע בהפחתת פרמיית ביטוח הסייבר?
חברות ביטוח מבצעות תמחור סיכונים קפדני. הצגת סקר סיכונים עדכני המלווה בתוכנית הפחתת סיכונים מוכחת מאותתת לחתמי הביטוח כי מדובר בארגון בעל בשלות אבטחתית גבוהה (Cyber Maturity). הדבר עשוי לסייע בקבלת פוליסה רחבה יותר, בהימנעות מהחרגות ובהוזלת הפרמיה.
שילוב ייחודי של משפט, סייבר וממשל תאגידי
סקר סיכוני אבטחת מידע מחייב שילוב של שני תחומים: יכולת טכנולוגית עמוקה לצלול לתוך הארכיטקטורה של המערכות, הרשתות והענן, לצד ראייה משפטית חדה שמבינה רגולציה, דיני נזיקין, ממשל תאגידי ומשפט מסחרי.
משרד עו"ד שחר שוורץ מלווה ארגונים בהיבטים המשפטיים של אבטחת המידע ושל תיקון 13: מיפוי החובות לפי התקנות, הסכמים מול ספקים ונהלים. עו"ד שוורץ מחזיק בהסמכות CISO (מנהל אבטחת מידע) ו-DPO (ממונה על הגנת הפרטיות).
האם הארגון שלכם עומד בדרישות תיקון 13 לחוק הגנת הפרטיות? אל תחכו לקבלת מכתב דרישה מהרגולטור או לאירוע סייבר בלתי צפוי. צרו קשר עם משרדנו עוד היום לשיחת היכרות ולבחינת החובות שחלות על הארגון.
