שנה לתיקון 13 – איך בודקים שאבטחת המידע בעסק באמת עובדת

ב-14 באוגוסט 2025 נכנס לתוקף תיקון 13 לחוק הגנת הפרטיות. התיקון הרחיב את סמכויות הפיקוח והאכיפה של הרשות להגנת הפרטיות, עדכן את מבנה העיצומים והוסיף חובות שנוגעות לאופן שבו ארגונים מנהלים מידע אישי.

שנה לאחר מכן, המשמעות המעשית לעסקים ברורה יותר: אבטחת מידע אינה יכולה להישאר באחריותו הבלעדית של איש המחשוב או של הספק שמתחזק את האתר. היא נוגעת לכל מקום שבו מידע נאסף, נשמר, מועבר או נגיש לעובדים ולגורמים חיצוניים.

אתר עם טופס לידים, מערכת דיוור, חשבון ענן, מערכת CRM, חנות מקוונת או אזור אישי אינו פועל כיחידה מבודדת. הוא חלק משרשרת דיגיטלית שלמה. חולשה באחד החיבורים עלולה לעקוף את ההגנות שהותקנו בכל שאר המערכת.

עסק דיגיטלי הוא שרשרת של מערכות וספקים

אחת הטעויות הנפוצות היא לבדוק את אבטחת האתר בנפרד מכל מה שמתרחש סביבו. בפועל, ליד שנשלח דרך טופס עשוי לעבור לתיבת דואר, להיכנס למערכת CRM, להישלח לכלי אוטומציה ולהופיע לאחר מכן בקובץ שעובד הוריד למחשב האישי שלו.

לכן, השאלה הראשונה אינה איזה מוצר אבטחה מותקן באתר, אלא כיצד המידע נע בתוך העסק:

• איזה מידע נאסף ובאילו נקודות?
• היכן נשמרים עותקים שלו?
• לאילו עובדים וספקים יש גישה?
• אילו מערכות מחוברות באמצעות תוספים, ממשקים או מפתחות API?
• מה קורה להרשאות כאשר עובד עוזב או כאשר מחליפים ספק?
• האם קיימים גיבויים, והאם נבדק שאפשר לשחזר מהם את המערכת?

בלי המיפוי הזה, העסק אינו יודע מהו משטח התקיפה שלו. הוא יכול להשקיע בכלי הגנה ועדיין להשאיר חשבון מנהל ישן, תת-דומיין נשכח או מערכת חיצונית עם הרשאות רחבות מדי.

רשימת כלי אבטחה אינה הוכחה שהמערכת מוגנת

אימות דו-שלבי, גיבויים, Firewall ועדכוני תוכנה הם אמצעים חשובים, אך כל אחד מהם נותן מענה לסיכון אחר.

אימות דו-שלבי אינו מתקן תוסף פגיע. גיבוי אינו מונע גניבת מידע. Firewall אינו מבטל הרשאות עודפות של ספק חיצוני. גם מערכת מעודכנת יכולה להיות חשופה בגלל הגדרה שגויה או חיבור לא מאובטח למערכת אחרת.

כדי להעריך הגנה בצורה רצינית צריך לבדוק שלוש שכבות:

1. מניעה: אילו פעולות אמורות לחסום תקיפה או לצמצם את הסיכוי להצלחתה.
2. זיהוי: כיצד העסק יידע שחשבון נפרץ, מידע הועתק או בוצעה פעולה חריגה.
3. התאוששות: מי פועל במקרה של אירוע, כיצד מצמצמים נזק ואיך מחזירים את המערכות לפעילות תקינה.

עסק שמטפל רק בשכבת המניעה עלול לגלות אירוע מאוחר מדי. עסק שאין לו יכולת התאוששות עלול להפוך תקלה מוגבלת להשבתה ממושכת.

סריקת חולשות ומבחן חדירה אינם אותה בדיקה

סריקת חולשות היא בדרך כלל תהליך אוטומטי שמחפש גרסאות תוכנה ישנות, הגדרות חשודות וחולשות שכבר מוכרות למערכת הסריקה. היא יכולה להיות שימושית מאוד, אך היא אינה מוכיחה שניתן לנצל את הממצא או מסבירה כיצד מספר חולשות מתחברות למסלול תקיפה אחד.

מבחן חדירה הולך צעד נוסף. הבודק מנסה, במסגרת מוגדרת ומאושרת, להבין אם אפשר לנצל את החולשות בפועל, לאילו מערכות ניתן להגיע ומה עלולה להיות ההשפעה העסקית.

ההבחנה הזאת עומדת גם במרכז התכנים שמפרסם ישראל פיגא במגזין תובנות סייבר, העוסקים בבדיקות חדירה, ניהול סיכונים ואבטחת מידע ארגונית. המוקד אינו רק באיתור חולשות, אלא בהבנת המשמעות שלהן ובסגירת הפערים בפועל.

זו הבחנה חשובה גם מבחינה תקציבית. דוח ארוך שמציג עשרות התראות אוטומטיות אינו בהכרח שימושי יותר מדוח ממוקד שמראה אילו חולשות אפשר לנצל, מהו סדר העדיפויות לתיקון וכיצד מוודאים שהפער נסגר.

מתי עסק צריך לשקול מבחן חדירה?

לא כל אתר תדמית קטן זקוק מיד למבחן חדירה מלא. היקף הבדיקה צריך להיקבע לפי סוג המערכת, רגישות המידע, החשיפה לאינטרנט והנזק האפשרי במקרה של חדירה.

יש כמה מצבים שבהם הצורך בבדיקה נעשה משמעותי יותר:

• לפני השקה של אתר או מערכת הכוללים אזור אישי, תשלומים או מידע רגיש.
• לאחר מעבר אחסון, פיתוח מחדש או שינוי מהותי בתשתית.
• כאשר מערכות פנימיות או ממשקי ניהול נגישים מהאינטרנט.
• לאחר החלפת ספק פיתוח, חברת אחסון או גורם שמחזיק בהרשאות ניהול.
• בעקבות אירוע אבטחה, פעילות חריגה או חשד לדליפת פרטי גישה.
• כאשר קיימת דרישה רגולטורית, חוזית או ביטוחית לביצוע הבדיקה.

גם הרגולציה אינה מטילה חובה אחידה על כל עסק. רמת האבטחה הנדרשת נקבעת לפי מאפייני המאגר, סוג המידע, מספר האנשים שעליהם נשמר מידע ומספר בעלי ההרשאה. המדריך המקצועי לתיקון 13 של הרשות להגנת הפרטיות מפרט את מסגרת החובות, סמכויות האכיפה והעיצומים. במאגרים שעליהם חלה רמת האבטחה הגבוהה קיימת, בין היתר, חובה לערוך סקרי סיכונים ומבדקי חדירות אחת ל-18 חודשים לפחות.

חשוב להדגיש: עצם קיומו של טופס באתר אינו הופך כל עסק אוטומטית לבעל מאגר ברמת אבטחה גבוהה. עם זאת, הוא כן מחייב את העסק להבין איזה מידע נאסף, לאן הוא מועבר ומי יכול לגשת אליו.

מה כדאי לבדוק לפני שמזמינים שירות חיצוני?

מבחן חדירה מועיל מתחיל בהגדרת היקף ברורה. אין משמעות להזמנת ״בדיקת אבטחה לאתר״ אם לא ברור אילו דומיינים, מערכות, ממשקים וחשבונות נכללים בה.

לפני תחילת הבדיקה כדאי להסדיר:

• אילו נכסים ומערכות נכללים בבדיקה.
• אילו פעולות מותר לבודק לבצע ומה נמצא מחוץ לתחום.
• באילו שעות ניתן לבצע פעולות שעלולות להשפיע על המערכת.
• כיצד נשמרים המידע, צילומי המסך ופרטי הגישה שנאספים.
• למי מדווחים במקרה שמתגלה חולשה קריטית.
• כיצד יסווגו הממצאים לפי חומרה והשפעה עסקית.
• האם השירות כולל בדיקת אימות לאחר ביצוע התיקונים.

המבחן אינו אמור להסתיים ברגע שהדוח נשלח. אם לא נקבע מי אחראי לכל תיקון, מהו לוח הזמנים ומתי תבוצע בדיקה חוזרת, גם דוח מקצועי עלול להישאר ללא השפעה ממשית.

סדר הפעולות הנכון לעסק דיגיטלי

לפני שמתחילים לרכוש כלים או להזמין בדיקות, כדאי לבנות בסיס מסודר:

1. למפות את הנכסים הדיגיטליים: אתרים, דומיינים, תתי-דומיינים, שרתים, מערכות ענן, תיבות דואר, כלי אוטומציה וממשקים.
2. למפות את המידע: מה נאסף, היכן הוא נשמר ולמי הוא מועבר.
3. לנקות הרשאות: להסיר משתמשים ישנים, להפסיק שימוש בחשבונות משותפים ולהפעיל אימות דו-שלבי במערכות מרכזיות.
4. לבדוק גיבויים: לא להסתפק בכך שקיים גיבוי, אלא לבצע שחזור מבוקר ולוודא שהוא תקין.
5. לעבור על ספקים חיצוניים: לבדוק מי מחזיק בהרשאות ומה קורה בסיום ההתקשרות.
6. להכין נוהל תגובה קצר: מי מקבל החלטות, מי מטפל טכנית ומי אחראי על הדיווח והתקשורת.
7. להגדיר בדיקה חיצונית: לבחור סקר סיכונים, סריקת חולשות או מבחן חדירה בהתאם למערכת ולרמת הסיכון.

הסדר הזה מאפשר לעסק לטפל תחילה בפערים הברורים, ורק לאחר מכן להשקיע בבדיקה עמוקה יותר. הוא גם מספק לבודק החיצוני תמונה טובה יותר ומונע בזבוז זמן על נכסים שכבר אינם בשימוש.

אבטחת מידע נמדדת ביכולת להוכיח שההגנות עובדות

השינוי החשוב שהתרחש בשנים האחרונות אינו רק רגולטורי. עסקים נעשו תלויים ביותר מערכות, יותר ספקים ויותר תהליכים אוטומטיים. במקביל, קשה יותר להפריד בין האתר, מערכות השיווק, התפעול והמידע שנשמר בארגון.

לכן, אבטחת מידע אינה מסתכמת ברכישת מוצר או בהצהרה שהאתר מוגן. היא מתחילה כאשר העסק יודע איזה מידע נמצא ברשותו, מי יכול להגיע אליו ומה יקרה אם אחת משכבות ההגנה תיכשל.

מבחן חדירה הוא אחד הכלים שיכולים לספק את ההוכחה הזאת, אך הוא אפקטיבי רק כחלק מתהליך רחב יותר: מיפוי, צמצום הרשאות, טיפול בממצאים ובדיקת אימות. המטרה אינה להשיג דוח שאפשר לשמור בתיקייה, אלא לצמצם בפועל את מספר הדרכים שבהן אירוע אבטחה יכול להפוך לנזק עסקי.

המאמר מספק מידע כללי ואינו תחליף לבדיקה מקצועית או לייעוץ משפטי המותאמים למאפייני הארגון.