אירוע אבטחת מידע או דליפת מידע אישי: מה עושים בשעות הראשונות ועם מי מתייעצים

המאמר הוא מידע כללי בלבד ואינו ייעוץ משפטי. PhishingU מספקת הדרכת מודעות, תרגילי פישינג וסריקה חינמית של הדומיין, ואינה מספקת ייעוץ משפטי או שירותי ממונה הגנת פרטיות.

מה נחשב אירוע

אירוע אבטחת מידע הוא כל מצב שבו מידע של הארגון נחשף, שונה, אבד או נגיש למי שלא היה אמור לגשת אליו. הדוגמאות נעות מקובץ שנשלח בטעות לנמען שגוי, דרך מחשב נייד שאבד, ועד פריצה לתיבת מייל או למערכת. לא כל אירוע כזה כרוך במידע אישי, אבל כשיש מידע אישי של לקוחות, מטופלים, מועמדים או עובדים, השאלה המשפטית מקבלת משקל.

ארבעת הדברים הראשונים

1. לעצור את ההמשך. לנתק גישה של חשבון חשוד, להחליף סיסמאות ממכשיר נקי, לנתק התחברויות פעילות ולבדוק כללי העברה אוטומטית בתיבת המייל.
2. לשמור ראיות. לשמור את ההודעה החשודה, צילומי מסך ויומני כניסה, ולא למחוק. מחיקה עלולה לפגוע בבירור.
3. לתעד מהרגע הראשון. מי גילה, מתי, מה נעשה ובאיזו שעה. תיעוד שוטף שווה הרבה כשמנסים אחר כך לשחזר את הרצף.
4. ליידע את האחראי. לעדכן מיד את מי שאחראי בארגון על אבטחת מידע והגנת הפרטיות, ולא להמתין עד שיהיה "הכול ברור".

להבין מה נחשף

אחרי העצירה, השאלה המרכזית היא איזה מידע היה נגיש ושל מי. כדאי לברר:

• אילו סוגי נתונים היו במקום שנפרץ (פרטי זיהוי, פרטי תשלום, מידע על בריאות, מסמכים).
• על כמה אנשים בערך מדובר, ומי הם (לקוחות, עובדים, מועמדים).
• האם המידע רק היה נגיש, או שיש סימנים שאכן נקרא או הועתק.
• האם המידע היה מוצפן או מוגן בדרך אחרת.

בשלב הזה עדיף לכתוב "לא ידוע עדיין" מאשר לנחש. ניחוש שמתברר כשגוי מזיק יותר מאי-ודאות כנה.

עם מי מתייעצים

• עורך דין שמכיר הגנת פרטיות: לגבי חובות דיווח לרשויות ולמי שנפגע, מועדים, ומה כותבים. כדאי לבדוק מול עורך דין מה חל עליכם, כי התשובה תלויה בסוג הארגון, בסוג המידע ובדין החל.
• הממונה על הגנת הפרטיות, אם מונה בארגון, והוא הגורם הטבעי לרכז את הטיפול. ראו מה זה ממונה הגנת פרטיות.
• ספק ה-IT או האבטחה, לבירור טכני: מה קרה, מאיפה, ומה צריך לתקן.
• חברת הביטוח, אם יש פוליסה לסיכוני סייבר. לעיתים יש תנאים לגבי מועד הודעה.

מה עם הלקוחות

העדכון ללקוחות ולמי שנפגע הוא החלטה משפטית ועסקית. נוסח לא זהיר עלול להבטיח יותר ממה שידוע או לחשוף פרטים מיותרים. מומלץ לגבש את הנוסח עם עורך דין. כשמעדכנים, כדאי לכתוב בבהירות מה קרה, איזה מידע נוגע, מה הארגון עושה ומה הנפגע יכול לעשות, ולמסור פרטי קשר.

אחרי שהסערה שככה

כל אירוע הוא הזדמנות ללמוד. כדאי לערוך בירור שקט, ללא האשמות, ולשאול מה אפשר לעשות כדי שזה לא יחזור:

• האם היה אימות דו-שלבי?
• האם ההרשאות היו רחבות מדי?
• האם הדומיין מוגדר כך שמקשה על התחזות? ראו DMARC, SPF ו-DKIM בשפה פשוטה.
• האם העובדים ידעו איך לדווח, ולמי?

חלק גדול מהאירועים מתחיל בהודעה אחת שמישהו לחץ עליה. לכן הדרכת מודעות ותרגול הם חלק ממניעה, לצד הבקרות הטכניות. ראו למה הדרכת מודעות חשובה.

נוהל מוכן מראש

הזמן הגרוע ביותר לכתוב נוהל תגובה הוא באמצע אירוע. כדאי להכין מראש דף אחד: מי מנהל, מי מדבר עם הלקוחות, מי עורך הדין, ספק ה-IT, פרטי קשר בכל שעה, ואיפה נשמר התיעוד. עוברים עליו בקצרה פעם בשנה.

שלושה תרחישים לדוגמה והצעד הראשון בכל אחד

הדוגמאות כאן הן תרחישים כלליים, ולא מקרים אמיתיים.

• קובץ נשלח לנמען שגוי: מדווחים מיד לאחראי, מבקשים מהנמען בנימוס לא לפתוח ולמחוק, מתעדים מה נשלח ולמי, וממשיכים לפי ייעוץ משפטי.
• מחשב נייד אבד או נגנב: מדווחים מיד, מנסים לנעול או למחוק מרחוק אם אפשר, בודקים אם הדיסק היה מוצפן ומה היה עליו.
• תיבת מייל נפרצה: מחליפים סיסמה ממכשיר נקי, מנתקים התחברויות, מוחקים כללי העברה לא מוכרים ובודקים מה נשלח. ראו מייל נפרץ: מה עושים.

מה לא לעשות

• לא למהר להכחיש או להפיץ הודעות לפני שיש תמונה ושיחה עם עורך דין.
• לא למחוק הודעות או יומנים לפני שתועדו.
• לא להאשים אדם בודד באופן פומבי. עובדים שחוששים מעונש יפסיקו לדווח.
• לא לנחש בהודעות ללקוחות. עדיף לכתוב מה ידוע ומה בבדיקה.
• לא לפעול לבד בשאלות של דיווח וחובות. שם נדרש ייעוץ.