סקר סיכונים אבטחת מידע

במשך שנים רבות נתפס המונח "סקר סיכונים באבטחת מידע" כעניין טכני פנימי של מחלקת ה-IT או מנהל אבטחת המידע. סקרים רבים הסתכמו בטבלאות אקסל מנומנמות, מטריצות צבעוניות של "הסתברות מול השפעה", ומסמך עב כרס שנגנז במגירה לאחר שסימן "V" על דרישת ביקורת תקופתית.

המציאות הזו השתנתה מן הקצה אל הקצה. עם כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות, לצד הזינוק במתקפות סייבר מתוחכמות ואימוץ נרחב של כלי בינה מלאכותית, סקר סיכונים אבטחת מידע הפך למסמך המגן המשפטי והאסטרטגי החשוב ביותר של הארגון. הוא כבר אינו מיועד רק לטכנאים; הוא מיועד לדירקטוריון, למנכ"ל, ליועץ המשפטי ולמנהל הסיכונים.

סקר סיכונים שאינו מבוצע כהלכה אינו רק מעלה את הסיכון לחדירה למערכות – הוא חושף את החברה לעיצומים כספיים מרקיעי שחקים, לתביעות ייצוגיות של מיליוני שקלים, ומטיל לראשונה אחריות אישית ישירה על נושאי משרה.

רעידת האדמה של תיקון 13: למה סקר הסיכונים הפך לחומת המגן המשפטית שלכם?

תיקון 13 לחוק הגנת הפרטיות חולל מהפכה באכיפה ובאחריות התאגידית בישראל, ויישר קו עם תקנות ה-GDPR האירופיות. כדי להבין מדוע סקר סיכונים הפך לפעולה קריטית, יש להכיר את שלושת השינויים המבניים שהחוק יצר:

 זינוק דרמטי בעיצומים הכספיים

אם בעבר הקנסות של הרשות להגנת הפרטיות היו סמליים (עשרות אלפי שקלים בודדים), תיקון 13 מעניק לרשות שיניים חסרות תקדים: עיצומים כספיים מנהליים שיכולים להגיע למיליוני שקלים, המחושבים לפי מספר ההפרות, משך ההפרה והיקף נושאי המידע שנפגעו.

 אחריות אישית ואזרחית על נושאי משרה

החוק מסיר את מסך ההתאגדות במקרים של הפרת הוראות אבטחת מידע. מנכ"ל, דירקטור או נושא משרה שלא יוכיח שנקט בכל האמצעים הסבירים להגנה על המידע (Due Diligence), חשוף לקנסות אישיים, לתביעות אזרחיות ללא הוכחת נזק, ובמקרים חמורים אף להליכים פליליים. סקר סיכונים עדכני הוא הראיה המרכזית המוכיחה כי ההנהלה פעלה בתום לב ובסבירות עסקית.

חובת מינוי ממונה הגנת פרטיות (DPO) ותיעוד מתמיד

ארגונים רבים מחויבים כעת במינוי ממונה הגנת פרטיות (DPO). תפקידו של ה-DPO, בשיתוף פעולה עם ה-CISO, הוא להבטיח שניהול הסיכונים אינו אירוע חד-פעמי, אלא מתודולוגיה חיה הנבחנת ברציפות.

ההבדלים המהותיים: סקר סיכונים מול סקר פערים ומבדק חדירות

אחת הטעויות הנפוצות בקרב הנהלות היא שימוש שגוי במונחים טכנולוגיים, המוביל לרכישת שירות שאינו עונה על דרישות החוק. להלן ההבחנה המקצועית:

• סקר פערים (Gap Analysis): בדיקה בינארית של "כן / לא" מול תקן מוגדר (כגון ISO 27001, SOC 2 או תקנות הגנת הפרטיות). מטרתו לזהות אילו נהלים או מנגנונים חסרים בארגון.

• מבדק חדירות (Penetration Testing – PT): סימולציה טכנולוגית של תקיפת סייבר ("האקר לבן") הבודקת חוסן של שרתים, אפליקציות ורשתות בנקודת זמן ספציפית.

• סקר סיכוני אבטחת מידע (Risk Assessment): הליך הערכה אסטרטגי הבוחן את הקשר שבין הנכס, האיום, רמת הפגיעות וההשפעה העסקית-משפטית. הסקר אינו בודק רק קוד או שרתים, אלא את התהליכים העסקיים, ההיבט האנושי, המעטפת המשפטית ושרשרת האספקה.

טבלה: השוואת מתודולוגיות אבטחה ובקרה בארגון

היבטים חדשים וקריטיים שאסור לפספס בסקר סיכונים מודרני

מרבית סקרי הסיכונים המוצעים כיום בשוק נשענים על פרקטיקות משנת 2017. סקר סיכונים מקצועי ואפקטיבי חייב לכלול התייחסות לאיומים החדשים של שנת 2026:

סיכוני בינה מלאכותית ו-Shadow AI בארגון

השימוש היומיומי של עובדים ומנהלים בכלי GenAI (כגון ChatGPT, Claude, Copilot ועוד) מייצר נקודת עיוורון מסוכנת:

• דלף מידע סודי ואישי: עובדים המזינים קוד מקור, מאגרי לקוחות, סיכומי פגישות רגישים או נתונים פיננסיים לתוך מודלים חיצוניים.

• הפרת תקנות הגנת הפרטיות: עיבוד מידע אישי של אזרחים ישראלים בפלטפורמות ענן שאינן עומדות בדרישות אבטחת מידע והעברת מידע מחוץ לגבולות המדינה.

• חובת הסקר: מיפוי כלי ה-AI הפועלים בארגון (גלויים וסמויים), הגדרת מדיניות ארגונית ברורה ובחינת מנגנוני סינון נתונים (Data Loss Prevention – DLP).

סיכוני שרשרת אספקה (Third-Party & Vendor Risk Management)

למעלה מ-60% מאירועי הסייבר המשמעותיים אינם מתרחשים בשל פריצה ישירה לארגון, אלא דרך "דלת אחורית" של ספק חיצוני: רואה חשבון, מערכת שכר, ספק ענן, בית תוכנה או מערכת CRM.

• מיפוי חיבורי API והרשאות יתר: בחינה מדויקת של איזה מידע זורם לספקים והאם הגישה שלהם מוגבלת לעיקרון "הצורך לדעת" (Least Privilege).

• הסכמי עיבוד מידע (DPA) לפי תיקון 13: סקר הסיכונים חייב לוודא קיומם של הסכמים משפטיים מחייבים מול כל ספק המעבד מידע אישי, המטילים עליו חובות דיווח מיידיות בעת אירוע אבטחה.

תרגום סיכונים לשפת הכסף: מודל FAIR במקום "אדום/צהוב/ירוק"

הנהלות ומנהלי כספים (CFO) מתקשים לקבל החלטות על בסיס מטריצות צבעים מופשטות. המתודולוגיה המתקדמת שאנו מיישמים משלבת את מודל FAIR (Factor Analysis of Information Risk), המתרגם סיכוני סייבר למספרים פיננסיים:

• מהו הנזק הכספי הממוצע לשנה כתוצאה מהשבתת שרתים (Value at Risk)?

• מהי החשיפה הכספית מתביעה ייצוגית במקרה של דלף מאגר הלקוחות?

• מהו ה-ROI (החזר ההשקעה) של הטמעת בקרת אבטחה מסוימת לעומת גובה הסיכון?

עמידה בתנאי סף של חברות ביטוח סייבר (Underwriting Compliance)

חברות הביטוח החמירו דרמטית את תנאי הפוליסות. אירוע כופר (Ransomware) עלול להסתיים בדחיית תביעה אם החברה לא תעמוד בתנאי החיתום הקפדניים:

• אימות רב-שלבי (MFA) גורף בכל מערכות הארגון והגישה מרחוק.

• גיבויים מבודדים שאינם ניתנים למחיקה או הצפנה (Immutable Backups).

• ניהול הרשאות מבוסס EDR/XDR מנוהל 24/7.

  סקר הסיכונים בוחן את הפערים מול דרישות הפוליסה ומונע מפח נפש פיננסי ברגע האמת.

תוצרי הסקר: מה ההנהלה חייבת לקבל ביד בסיום התהליך?

סקר סיכונים איכותי אינו מסתכם במסמך תיאורטי, אלא מספק לארגון ארגז כלים ניהולי שלם:

1. דוח מנהלים מתומצת (Executive Summary): תמונת מצב אסטרטגית המיועדת למנכ"ל ולדירקטוריון, המציגה את מדד הסיכון הכללי, החשיפות המרכזיות וההשלכות המשפטיות.

2. מפת סיכונים וסקר נכסים מלא: מיפוי מפורט של כל מאגרי המידע, רמות האבטחה הנדרשות על פי דין, וממשקי העבודה מול גורמים חיצוניים.

3. תוכנית עבודה מדורגת לטיפול בפערים (Remediation Roadmap): רשימת פעולות פרקטית המסודרת לפי רמות סיכון (קריטי, גבוה, בינוני), לוחות זמנים מומלצים וחלוקת אחריות בארגון.

4. חוות דעת משפטית לרגולציה ולביטוח: מסמך רשמי המעיד על ביצוע הסקר על פי הוראות תקנה 5(ג) לתקנות הגנת הפרטיות, המוכן להצגה בפני הרשות להגנת הפרטיות או חברות הביטוח.

שאלות ותשובות

כל כמה זמן חובה על פי חוק לבצע סקר סיכונים באבטחת מידע?

על פי תקנה 5(ג) לתקנות הגנת הפרטיות (אבטחת מידע), ארגונים המנהלים מאגרי מידע שחלה עליהם רמת אבטחה גבוהה מחויבים לבצע סקר סיכונים לפחות אחת ל-18 חודשים. כמו כן, חובה לערוך סקר סיכונים ממוקד בכל עת שמתבצע שינוי טכנולוגי או תהליכי מהותי במערכות המידע של הארגון (כגון מעבר לענן או הטמעת מערכת ERP מרכזית).

האם חברה יכולה לבצע את סקר הסיכונים באמצעות אנשי ה-IT הפנימיים שלה?

החוק והפסיקה דורשים כי הסקר יבוצע על ידי גורם מקצועי, מיומן ובעל אי-תלות. אנשי ה-IT הפנימיים נמצאים בניגוד עניינים מובנה, שכן הם נדרשים לבקר את המערכות שהם עצמם הקימו ותחזקו. ביצוע הסקר על ידי מומחה חיצוני בלתי תלוי הוא תנאי סף לקבלת הגנה משפטית של "נקיטת אמצעים סבירים" מול הרגולטור.

מה ההבדל בין חובת הדיווח הישנה לחובת הדיווח תחת תיקון 13?

תיקון 13 מרחיב את סמכויות הפיקוח של הרשות להגנת הפרטיות ומחמיר את חובת הדיווח על אירועי אבטחה חמורים. אי-דיווח בזמן אמת מהווה עבירה עצמאית הגוררת עיצומים כספיים כבדים, ללא קשר לשאלה האם נגרם נזק בפועל לנושאי המידע.

כיצד סקר סיכונים מסייע בהפחתת פרמיית ביטוח הסייבר?

חברות ביטוח מבצעות תמחור סיכונים קפדני. הצגת סקר סיכונים עדכני המלווה בתוכנית הפחתת סיכונים מוכחת מאותתת לחתמי הביטוח כי מדובר בארגון בעל בשלות אבטחתית גבוהה (Cyber Maturity). הדבר מאפשר לארגון לקבל פוליסה רחבה יותר, להימנע מהחרגות קריטיות ולהוזיל את עלויות הפרמיה בעשרות אחוזים.

שילוב ייחודי של משפט, סייבר וממשל תאגידי

ביצוע סקר סיכוני אבטחת מידע בעידן הנוכחי מחייב מומחיות כפולה: יכולת טכנולוגית עמוקה לצלול לתוך הארכיטקטורה של המערכות, הרשתות והענן, לצד ראייה משפטית חדה שמבינה רגולציה, דיני נזיקין, ממשל תאגידי ומשפט מסחרי.

משרד עו"ד שחר שוורץ מציע יתרון מקצועי נדיר: עו"ד שוורץ נמנה עם קבוצה מצומצמת של כעשרה עורכי דין בלבד בישראל המחזיקים בהסמכות הבכירות CISO (מנהל אבטחת מידע בכיר) ו-DPO (מנהל הגנת פרטיות). שילוב זה מבטיח לארגון שלכם סקר סיכונים מקצועי, מעשי ומדויק, המעניק הגנה הנדסית לצד שקט משפטי מלא מול האתגרים של תיקון 13.

האם הארגון שלכם עומד בדרישות תיקון 13 לחוק הגנת הפרטיות? אל תחכו לקבלת מכתב דרישה מהרגולטור או לאירוע סייבר בלתי צפוי. צרו קשר עם משרדנו עוד היום לתיאום פגישת אבחון מקצועית וביצוע סקר סיכונים מקיף המותאם לצרכי החברה שלכם.