למה הדרכת עובדים היא חלק מניהול הגנת הפרטיות (והממונה), ומה היא צריכה לכלול

המאמר הוא מידע כללי בלבד ואינו ייעוץ משפטי. PhishingU מספקת הדרכת מודעות, תרגילי פישינג וסריקה חינמית של הדומיין, ואינה מספקת ייעוץ משפטי או שירותי ממונה הגנת פרטיות.

למה דווקא הדרכה

ארגון יכול להגדיר נהלים מצוינים, אבל כל נוהל תלוי בכך שאנשים מכירים אותו ופועלים לפיו. מידע אישי נמצא בידיים של עובדים: מזכירה שעונה לפונה, מנהל חשבונות שמעביר מסמך, נציג שירות שמעדכן פרטים. לפעמים טעות קטנה, כמו שליחת קובץ לנמען שגוי או לחיצה על קישור חשוד, מספיקה כדי ליצור אירוע. לכן הדרכה היא אחד מהאמצעים הרגילים בניהול הגנת הפרטיות.

תיקון 13 לחוק הגנת הפרטיות שינה, בין השאר, חובות הקשורות לממונים על הגנת הפרטיות ולאבטחת מידע במקרים מסוימים. אילו חובות חלות על הארגון שלכם, כולל בנוגע להדרכה, כדאי לבדוק מול עורך דין מה חל עליכם.

מה הדרכה בהגנת הפרטיות צריכה לכלול

1. מהו מידע אישי ומהו מידע רגיש, בשפה פשוטה ועם דוגמאות מהעבודה היומיומית. ראו גם מאגר מידע ומידע רגיש.
2. כללי טיפול יומיומיים: מה שולחים במייל ומה לא, איך שולחים מסמכים רגישים, איך משתפים קבצים ומתי מוחקים.
3. פישינג והתחזות: איך נראית הודעה חשודה, בקשה דחופה מ"המנהל", שינוי פרטי תשלום. ראו התחזות למייל.
4. סיסמאות ואימות דו-שלבי: למה חשוב להשתמש בהם.
5. עבודה מרחוק ומכשירים: נעילה, Wi-Fi ציבורי, מכשירים אישיים.
6. מה עושים כשקורה משהו: למי מדווחים, מהר ובלי חשש מביקורת.
7. זכויות של אנשים: מה עושים כשפונה מבקש לעיין במידע שלו או לתקן אותו, ולמי מעבירים את הפנייה בארגון.

הנקודה האחרונה נוגעת להליכים בארגון. מה בדיוק צריך לעשות ובאילו מועדים הוא עניין שכדאי לבדוק מול עורך דין.

למי מיועדת ההדרכה

לכל מי שנוגע במידע אישי או משתמש בתיבת מייל: עובדים קבועים, זמניים, מתמחים וקבלנים ארוכי טווח. כדאי להוסיף מודול מותאם לתפקידים רגישים במיוחד, כמו משאבי אנוש, שירות לקוחות והנהלת חשבונות.

פורמט ותדירות

הדרכה פרונטלית או מרחוק מאפשרת שאלות ודיון, ובעיקר מרגישה פחות כמו חובה מנהלתית. הדרכה אינטרנטית קצרה יכולה להשלים אותה. התדירות הנכונה תלויה בארגון, אך הדרכה חד-פעמית מתיישנת, והרגלים נשכחים. כדאי לשלב עדכון תקופתי, וכן הדרכה לעובדים חדשים בתחילת עבודתם.

תיעוד: מה נשאר אחרי ההדרכה

כדאי לשמור:

• תאריך, נושא ומשך ההדרכה.
• רשימת משתתפים.
• תעודת השתתפות או סיכום הדרכה.
• החומר שנלמד, כדי שאפשר יהיה להראות מה נכלל.

תעודת השתתפות בהדרכה היא ראיה להדרכה שבוצעה, המסייעת לעמידה בחלק מהדרישות. היא אינה אישור עמידה מלאה בחוק, ואינה מחליפה בדיקה של מה שחל על הארגון.

מה הדרכה לא יכולה לעשות

הדרכה אינה מבטלת סיכון. עובדים עדיין יטעו, במיוחד בלחץ. לכן היא פועלת לצד בקרות טכניות: אימות דו-שלבי, הרשאות מינימום, אימות מייל לדומיין ונוהל טיפול באירועים.

תרגיל פישינג כהשלמה

כדי לבדוק מה נקלט, אפשר להריץ תרגיל פישינג: הודעה מדומה נשלחת לעובדים, ואחר כך מתקבל דוח על מי לחץ ומי דיווח. חשוב לעשות זאת בשקיפות וללא עונשין, כדי לעודד דיווח. הדוח הוא ראיה נוספת לפעילות הדרכה, ואינו אישור עמידה.

קשר לממונה

ממונה שמפקח על הגנת הפרטיות יכול לקבוע מה העובדים צריכים לדעת, לבדוק שהדרכה מתקיימת ולקבל דיווח על אירועים. ראו גם ממונה חיצוני או פנימי.

איך בונים תוכנית הדרכה לשנה

אפשר לחשוב על שלושה שלבים. ראשית, הדרכה בסיסית לכולם, שבה מציגים את המושגים ואת הכללים של הארגון. שנית, תרגול והזכרה במהלך השנה, למשל תרגיל פישינג או תזכורת קצרה לפני תקופה עמוסה. שלישית, הדרכה ממוקדת לבעלי תפקידים רגישים וללקוחות פנימיים שמשתנים, כמו עובדים חדשים. בסוף כל מחזור, כדאי לתעד מה נעשה ולעדכן את התוכן לפי אירועים וממצאים.

מצבים (לדוגמה) שכדאי לתרגל בהדרכה

• נציג שירות מקבל טלפון מאדם שמבקש פרטים על לקוח. מה בודקים לפני שמוסרים?
• עובד שולח בטעות קובץ ללקוח אחר. למי מדווחים ומה עושים מיד?
• מנהל מבקש בהודעה דחופה להעביר רשימת לקוחות. איך מאמתים?
• עובד רוצה לשלוח מסמך רגיש במייל רגיל. מהן החלופות?
• מכשיר נייד אבד. מה הצעד הראשון?

המצבים האלה הם דוגמאות. מומלץ להתאים אותם לתפקידים אמיתיים בארגון, ולשלב נוהל מוכן שאפשר לפעול לפיו.