ממונה הגנת פרטיות חיצוני או פנימי בארגון קטן: מה הוא צריך מצוות ה-IT והמייל

המאמר הוא מידע כללי בלבד ואינו ייעוץ משפטי. PhishingU מספקת הדרכת מודעות, תרגילי פישינג וסריקה חינמית של הדומיין, ואינה מספקת ייעוץ משפטי או שירותי ממונה הגנת פרטיות.

שני מסלולים, שאלות דומות

ארגון קטן שעומד לשקול מינוי ממונה על הגנת הפרטיות, או שנדרש לכך, מתלבט לרוב בין שתי דרכים: למנות אדם מתוך הארגון, או להיעזר בגורם חיצוני. אם בכלל נדרש מינוי, ואילו תנאים חלים על הארגון שלכם, היא שאלה משפטית שכדאי לבדוק מול עורך דין. ראו מה זה ממונה הגנת פרטיות.

מה לשקול בבחירה בין פנימי לחיצוני

• היכרות עם הארגון: ממונה פנימי מכיר את התהליכים והאנשים, אבל עלול להיות עמוס בתפקידים אחרים.
• ניסיון והיקף: גורם חיצוני עשוי להביא ניסיון מכמה ארגונים, אבל זקוק לזמן כדי להבין את הארגון.
• עצמאות וניגוד עניינים: כדאי לברר מול עורך דין אילו תפקידים אפשר לשלב. אדם שאחראי גם על ה-IT וגם על הפיקוח על ה-IT עלול למצוא את עצמו בניגוד עניינים.
• זמינות: מי עונה כשיש אירוע בשעה לא נוחה?
• עלות וגמישות: עלות קבועה לעומת עלות לפי שעות.

מה ממונה צריך מצוות ה-IT

בלי נתונים מהשטח, ממונה פועל בעיוורון. כדאי להכין לו:

1. מפת מידע: איפה נשמר מידע אישי, באילו מערכות, בתיבות מייל, בכונני ענן ובמכשירים.
2. מפת גישה: מי יכול לראות מה, ומה קורה כשעובד עוזב.
3. תמונת הגנות: אימות דו-שלבי, הצפנה, גיבוי, עדכוני תוכנה.
4. היסטוריית אירועים: מה קרה בעבר ואיך טופל.
5. ספקים: מי מחזיק או מעבד מידע בשם הארגון, ובאילו תנאים.

המייל: המקום שבו מידע אישי נודד

בארגונים רבים חלק גדול ממידע אישי של לקוחות נשלח ומתקבל בדואר אלקטרוני. כדאי שהממונה ידע:

• אילו סוגי מידע נשלחים במייל, ומה המדיניות לגבי מידע רגיש.
• מה קורה לתיבות משותפות ולכללי העברה אוטומטית.
• האם הדומיין מוגן מפני התחזות: SPF, DKIM ו-DMARC מקשים על שליחת מייל שנראה כאילו יצא מהארגון. ראו הסבר פשוט. חשוב לציין שהם לא מונעים פריצה לתיבה.
• האם יש אימות דו-שלבי בתיבות.

הסריקה החינמית של PhishingU בודקת את רשומות DMARC, SPF ו-DKIM של הדומיין, ומשמשת כנקודת פתיחה לשיחה כזו. היא אינה בדיקת אבטחה כוללת.

הדרכת עובדים

אחד התחומים שבהם הממונה והצוות נפגשים הוא ההדרכה. ממונה יכול לקבוע מה העובדים צריכים לדעת על טיפול במידע אישי, והצוות מארגן את ההדרכה בפועל. ראו למה הדרכת עובדים היא חלק מהגנת הפרטיות. תעודת השתתפות בהדרכה היא ראיה המסייעת לעמידה בחלק מהדרישות, ואינה אישור עמידה מלאה.

איך מתחילים בפועל

1. הגדירו מי איש הקשר מול הממונה בצוות ה-IT.
2. הכינו את חמש מפות המידע שלעיל, גם בגרסה ראשונית.
3. קבעו פגישה קבועה, למשל פעם ברבעון.
4. קבעו מנגנון דיווח על אירועים שמגיע ישירות אל הממונה.
5. תעדו החלטות: מה הוחלט, על ידי מי ולמה.

תהליך כזה מועיל גם כשאין חובת מינוי, כי הוא מסדר את הארגון.

מה כדאי לשאול ממונה פוטנציאלי

• איזה ניסיון יש לו בארגונים בגודל ובתחום שלכם?
• איך מתנהל הדיווח וכמה זמן הוא זמין?
• איך הוא עובד מול ה-IT והנהלה?
• איזה תיעוד הוא מכין?

מה נראית פגישה רבעונית עם הממונה

פגישה קצרה וקבועה מייצרת סדר. דוגמה לסדר יום: עדכון על שינויים במערכות או בספקים שנוגעים למידע אישי, אירועים וכמעט-אירועים מהרבעון, פניות של אנשים והטיפול בהן, סטטוס הדרכות ותרגילים, והחלטות פתוחות שמחכות להנהלה. כדאי לרשום פרוטוקול קצר, כדי שיהיה ברור מה הוחלט ומי אחראי.

טעויות נפוצות

• למנות ממונה ולא לתת לו גישה למידע ולהנהלה.
• להפוך את התפקיד לטופס: מסמך שנכתב פעם אחת ואינו מתעדכן.
• לשכוח את הצד האנושי: נהלים בלי הדרכה נשארים על הנייר.
• לא להגדיר מי מחליף כשהממונה בחופשה או עוזב.
• לא לעדכן את ה-IT בשינויים שמשפיעים על מידע אישי, כמו מערכת חדשה.