מריאנה דן - משרד עורכי דיןזהב

קודם כל, כל הכבוד על ההבנה שאין דבר כזה 100% הגנה. זה כבר מעיד על רמת ידע מסוימת. אם כך למה בכל זאת עושים זאת? הרי היום כולם יודעים שמתישהו יבוא יום הדין וגם אנחנו נתקל בפריצה. אתה כמנכ"ל, בעל עסק, עצמאי וכו' ששומר מידע רגיש על המחשב וצריך לפרנס את עצמך ואת העובדים בעסק שלך אתה יודע ששני דברים מאוד חשובים. אחד, המשכיות עסקית ושתיים, התאוששות מהירה מאסון! אין לך זמן לאבד זמן בקרות אירוע סייבר. אם תעמוד בציות לחוק אירוע הסייבר יהווה "פגיעה קלה בכנף" כך שתוכל להתאושש במהירות מאסון ואף יטפחו לך על השחם ויגידו "כל הכבוד שגילית אחריות ונערכת!".

אני אספר לכם מהניסיון שלי בשטח אצל לקוחות. הרבה פעמים אני מגיעה לעסקים שאנשי המחשוב שלהם התקינו להם מערכות הגנה. ואז מה מתברר? או שהן לא מספיק מגנות עליהם חזק או שחסרות מערכות מיגון נוספות שהחוק דורש שיהיו לך בארגון ולכן מאחר שאיש המחשוב אינו עורך דין, לא למד משפטים ולא מבין בחוקים הרי שעלה הצורך בעורכי דין שכן מבינים טכנולוגיה וכן מדברים סייבר ובו זמנית מובילים את העסק שלך לציית לחוק ולהיחשף לכמה שפחות פריצות אבטחת מידע, תביעות וקנסות.

הפסיקה רואה באיסוף מידע מסוג זה גם כמידע שדורש את ההגנה המתאימה. לכן בהתאם לסעיף 11 לחוק הגנת הפרטיות יש לוודא כי מי שמוסר את המידע אכן מודע ומסכים לאיסוף המידע הנ"ל. חשוב לוודא הסכמה מלאה ומפורשת אחרת ניתן להיות חשופים לתביעות, כאב ראש וכו'.

כרגע, יש 2 סנקציות עיקריות. בפן הפלילי, אתה צפויי למאסר של שנה בהתאם לסעיף 31א(א)(1) לחוק הגנת הפרטיות. בפן המנהלי, רשם מאגר המידע עלול להטיל עליך קנס מנהלי ( תלוי ברמת האבטחה שחלה על המאגר שלכם). כך או כך תכף יכנס לתוקף תיקון 14. מה זה הדבר הזה שנקרא תיקון 14? הוא "מתמחר" את ההפרות בגין אי ציות לחובות. הקנסות נעים בין 2,000 ₪ ל-320,000 ₪. הייתי בהלם בעצמי, אבל כן, זאת עובדה.

איומי הסייבר לא מבחינים בין עסק קטן, גדול או בינוני. הם פשוט תוקפים. השאלה היא מה תהיה עוצמת הנזק בעסק שלך הקטן מבחינה כלכלית. כך או כך, הפגיעה התדמיתית בשם הטוב והמוניטין שצברת היא לא נעימה בעבור אף עסק.

דורש מאמץ? נדרש שיתוף פעולה. אני אישית כשאני מטפלת בלקוח אני נוהגת לבוא עד אליו לעסק לבדוק הכול בעיניים שלי ולראות את "הנפשות הפועלות". כך שתמיד מתקיימת פגישת היכרות בעסק של הלקוח בה אני שואלת ובוחנת את הכול. מבחינת זמן? אני נוהגת לסיים את התהליך בערך עד כ-3 חודשים. יכול להיות הרבה פחות ויכול להיות קצת יותר. תלוי בגודל הארגון. תלוי בשיתוף הפעולה מצד הלקוח ומצד אנשי המחשוב שלו. כאמור, אני עובדת עם אקוסיסטם ביחד עם אנשי מחשוב היות ואני מדריכה אותם להתקין את מערכות ההגנה הממוחשבות בהתאם לדרישות החוק.

זה תלוי ברמה האבטחה שחלה על העסק שלך. בגדול יש 3 רמות אבטחה. בסיסית, בינונית וגבוהה ובהתאם לכך מתמחרים (אני לפחות). בכל אופן זה לא יעלה לך יותר ממה שאתה עלול לשלם אם לא תבצע תהליך של ציות לרגולציה. איך אומרים? אל תשלם את "מחיר הטעות". מה שנדמה לך שאתה חוסך היום יעלה לך הרבה יותר ביוקר בהמשך.

בגדול 2 תשובות. האחת, החוק (שנכנס לתוקף בשנת 2018) מחייב אותך. והשנייה, כי אתה לא חסר אחריות על העסק שלך ואני מאמינה שעבדת מספיק קשה בשבילו על מנת שלא תפגע כלכלית או תדמיתית. אין היום כמעט עסק שלא שמע על עסק בתחום שלו שפרצו לו למערכות מחשוב, שלפו לו מידע, ביקשו כופר וכו'. לא נעים להיות בסיטואציה הזאת ובהחלט ניתן למנוע אותה. ואף אם בכל זאת תפגעו, לפחות שזאת תהיה "מכה קטנה בכנף" ותוכלו להמשיך בניהול העסק.

צריך לבחון ביחד עם איש חוק (משפטן או עורך דין) שמבין את חוק ותקנות הגנת הפרטיות ויודע לבדוק האם העסק שלך עומד בציות לאותה רגולציה. בנושא החסינות מפני מתקפות סייבר, אין דבר כזה 100% הגנה ומי שאומר זאת הוא לא מקצועי ולא מדויק ואף טועה ומטעה. מה שכן ניתן לעשות, זה לצמצם עד כמה שניתן את משטח התקיפה ביחד עם איש מחשוב מקצועי ואיש חוק שמכווין אותו כיצד לבצע זאת בסנכרון וציות לחוק.

ביטוח סייבר לא נועד להגן עליך בשעת הצורך. ביטוח סייבר נועד לממן את ההוצאות הנדרשות כתוצאה מאירוע אבטחת מידע. חברות הביטוח לא ממהרות לשלם כסף במקרה ביטוחי ויבדקו אותך האם קודם כל עמדת בתנאי החוק ותקנות הגנת הפרטיות (אבטחת מידע). לכן מחויבים לציית לחוק והתקנות על מנת להיות באמת זכאים לקבל את אותה "כרית מימון" מחברת הביטוח במקרה הצורך. בכלל ביטוח סייבר הוא רק נקודה קטנה מתוך תורת הגנת הסייבר.