אמצעים מקובלים באבטחת מידע – טיוטה להערות הציבור לפי תקנה 9(א)

אמצעים מקובלים באבטחת מידע עומדים במרכז טיוטה חדשה של הרשות להגנת הפרטיות.

הרשות פרסמה מסמך להערות הציבור בנושא ניהול הרשאות גישה.

המסמך מפרש את תקנה 9(א) לתקנות הגנת הפרטיות (אבטחת מידע).

לכן ארגונים צריכים להיערך כבר עכשיו.

מה מטרת הטיוטה להערות הציבור?

הטיוטה מגדירה סטנדרט מעשי לניהול הרשאות.

היא מסבירה כיצד ארגון מצמצם גישה למידע.

כך רק גורם מורשה ייגש למאגר מידע.

בנוסף המסמך מציג ציפייה לצעדים מדידים.

החובה חלה על בעל המאגר ועל המחזיק בו.

לכן כל ארגון חייב לקבוע תהליך הרשאות.

לצד זאת, המסמך מדגיש אחריות ניהולית רציפה.

אמצעים מקובלים באבטחת מידע: שלוש דרכי אימות

הטיוטה מתארת שלוש שיטות לאימות זהות.

ראשית, המשתמש מזדהה באמצעות סיסמה או קוד.

שנית, המשתמש מציג רכיב שבידיו, כמו טלפון.

שלישית, המשתמש מזדהה באמצעות מאפיין ביומטרי.

• משהו שהמשתמש יודע: סיסמה או קוד חד-פעמי.
• משהו שלמשתמש יש: אפליקציה, טלפון או מפתח אבטחה.
• משהו שהמשתמש הוא: טביעת אצבע או זיהוי פנים.

בנוסף הרשות ממליצה על אימות רב-גורמי.

כך ארגון מקשה על תוקפים לבצע התחזות.

כיצד מיישמים אמצעים מקובלים באבטחת מידע בארגון?

תחילה הארגון ממפה משתמשים והרשאות.

לאחר מכן הוא מגדיר רמות גישה לפי תפקיד.

בנוסף הארגון מגביל גישה לחשבונות מנהל.

כמו כן הארגון קובע ריענון הרשאות תקופתי.

לצד זאת, ארגון צריך לקבוע אימות מחדש.

למשל, אחרי זמן פעילות או שינוי סיכון.

בנוסף כדאי לשלב הגנות נגד דיוג והתחזות.

מה המשמעות המעשית של הטיוטה?

הטיוטה יוצרת רף ציות ברור יותר.

לכן סיסמה בלבד לא תספיק במקרים רבים.

בנוסף ארגונים יידרשו לתיעוד החלטות הרשאה.

כך הרשות תוכל לבדוק עמידה בקלות רבה.

גם מאגר קטן דורש בחינת סיכון.

לכן עמותות, אגודות וחברות חייבות להתאים נהלים.

כדאי לבצע בדיקת פערים כבר כעת.

למה חשוב להגיש הערות ציבור?

המסמך עדיין אינו סופי.

לכן זה הזמן להשפיע על הנוסח.

בנוסף הערות ציבור מאפשרות התאמה למציאות בשטח.

אחר כך יהיה קשה לשנות דרישות.

קישור למסמכים רשמיים

הטיוטה להערות הציבור באתר הרשות להגנת הפרטיות

privacy-draft;
לעיון בטיוטה להערות הציבור: אמצעים מקובלים לפי תקנה 9(א)

ליווי משפטי בהגנת פרטיות ואבטחת מידע

משרד ח. נועם ושות' מלווה ארגונים בניהול סיכוני פרטיות.

אנו מסייעים בבדיקות ציות לתקנות אבטחת מידע.

בנוסף אנו מסייעים בנהלים, בקרות והכנת מסמכים.

לקבלת ייעוץ משפטי – יצירת קשר