מנהל/ת , האם נתת את דעתך גם לסיכוני
הסייבר, אבטחת מידע והגנת הפרטיות בארגונך?
קצב תקיפות הסייבר, אירועי אבטחת מידע
ופגיעה בפרטיות עלה מדרגה נוספת בשנים האחרונות. גורמים שונים כגון מדינות, ארגוני
פשיעה וגופי טרור כמו גם מתחרים עסקיים עובדי חברות רשויות וארגונים ממורמרים,
וצעירים חובבי פריצות למחשבים, מנצלים כל אחד ממניעיו, פרצות אבטחה במאגרי המידע
של ארגונים על מנת לחדור אליהם ולהשיג שליטה על מידע שהוא קריטי לפעילותם. פעמים
רבות מטרתם של גורמים אלה היא להשיג רווח כלכלי קל ומהיר באמצעות שימוש במידע
המסחרי והפרטי, הרגיש, אודות הלקוחות ובכך הם מבקשים לבצע סחיטה מקוונת באמצעות
תוכנת כופר.
נזקי מתקפת הסייבר, האחרון בשרשרת
1. הנזקים הכלכליים הנגרמים לארגון שחווה
מתקפת סייבר ידועים היטב. אלה כוללים את העלויות הנדרשות לטפל באופן מידי באירוע
הסייבר על מנת להביא לסיומו, פגיעה כלכלית ישירה כתוצאה מאובדן הכנסות עקב פגיעה
במשאב חיוני לארגון, עלות יישום תוכנית המשכיות עסקית, פגיעה במוניטין, עזיבת
לקוחות, קנסות רגולטוריים ועוד. בתום אירוע הסייבר לאחר שנדמה כבר כי הארגון
התאושש וחזר למהלך עסקיו הרגיל הוא מגלה כי הצרות שפקדו אותו בעקבות אירוע הסייבר
לא תמו. ליתר דיוק אלו המנהלים של הארגון האמונים על התווית התוכנית של הארגון
שעלולים לגלות מהר מהצפוי כי גם הם יעד למתקפה עת מוגשים נגדם תביעות נגזרות
ומוטלים עליהם קנסות. עילות התביעה כלפי המנהלים רבות ומגוונות ונוגעות להעדר פיקוח על פעילות הארגון בכל הקשור
לניהולו את סיכוני הסייבר, קבלת החלטות שהתעלמו מסיכונים אלה, אי הכללת דרישות
חוזיות עם ספקי שירות (מיקור חוץ) בנוגע לחלוקת האחריות בנושא אבטחת המידע, אי
מינוי ממונה אבטחת מידע (שלעיתים מחויב על פי חוק) שיוודא כי פעילות הארגון תואמת
לרגולציות אבטחת המידע השונות, אי רכישת ביטוח סייבר ועוד.
הרגולציות מכוחן נגזרות חובות המנהלים
מנהלי הארגון נוטים לעיתים לטעות
ולחשוב כי האחריות לנושא אבטחת המידע חונה באופן בלעדי במגרשו של הממונה על אבטחת
המידע. במקרה של מתקפת סייבר הוא זה שייתן את הדין. אלא שהאחריות להגנה מפני
התרחשות אירועי סייבר מוטלת בראש ובראשונה על המנהלים ונושאי המשרה האחרים בארגון.
בהתאם לחובות החלות על המנהלים עליהם להתוות את מדיניות החברה ולפקח על ביצועי
ההנהלה. בתפקידם זה עליהם לקבל את החלטותיהם בהתאם לחובת הזהירות וחובת האמונים.
ככל שיימצא כי המנהלים לא פעלו ברמת המיומנות של "המנהל הסביר" אפשר
שתוטל עליהם אחריות לנזקי הארגון. המנהלים נדרשים לוודא ציות לדרישות הרגולטוריות
הקבועות בחוק הגנת הפרטיות ותקנות הגנת הפרטיות (אבטחת מידע) בנוגע לאבטחת מאגרי
המידע שבארגון. בנוסף, קיימות רגולציות בנושאי אבטחת מידע החלות על ארגונים
הפועלים בתחומים ספציפיים.
אחריות המנהלים להגנה מפני איומי
הסייבר
חשיבות רבה נודעת לקיום דיון תקופתי בנושאי
אבטחת המידע בארגון ובו ידונו במוכנות הארגון להתמודדות עם אירועי סייבר, יגבשו
מדיניות הגנת סייבר, יקצו את המשאבים הדרושים למימושה ויפקחו על ביצועה באופן
פעיל. המנהל נדרש לדווח ולקבל דווחים שוטפים על סיכוני הסייבר הכרוכים בפעילות
הארגון ועל הסיכונים הנובעים משימוש בטכנולוגיות חדשות בארגון. חברי ההנהלה יעניקו
עדיפות לטיפול בסיכוני הסייבר בהתאם לפוטנציאל הנזק הקיים בהם והסבירות להתממשותם.
כמו כן, נושאי המשרה נדרשים לוודא כי בארגון קיימת מודעות לנושאי הגנת פרטיות,
אבטחת מידע ופשעי סייבר.
ככל שהמנהלים יגלו עניין ומעורבות
פעילה יותר בנושאי פרטיות וסייבר וישאלו את השאלות הנכונות כך יגבר חוסנו של
הארגון מול מתקפות סייבר ואילו הסכנה כי הם עצמם יהיו חשופים לתביעות, בקרות אירוע
סייבר, תפחת.
המלצות הדין וה- BEST
PRACTICE
1. קיום דיון הכוונה בהנהלת הארגון
2. גיבוש תכנית עבודה לעמידה בדרישות החוק
והתקנות
3. תכנית התאוששות
4. טיפול במאגרי המידע
5. כתיבת נהלי אבטחת מידע
6. ביצוע סקר סיכונים
7. ביצוע מבדקי חדירות
8. עריכת הסכמי התקשרות עם נותני שירותים
במיקור חוץ
9. ביצוע ביקורות תקופתיות ותיעודן
10. הכשרת ממונה הגנת פרטיות ואבטחת מידע
11. הטמעת טכנולוגיות
הכותב הינו יו"ר ועדת הסייבר בלהב
ויועץ לנשיאות המגזר העסקי עו"ד מרצה ויועץ לדיני הגנת הפרטיות אבטחת
לתגובות
אין לראות באמור שום ייעוץ משפטי. כל
מקרה ידון לגופו ובהתאם לנסיבותיו
