רוב הארגונים בישראל מחזיקים מאגר מידע שכפוף לתקנות הגנת הפרטיות (אבטחת מידע) – אבל מעטים יודעים לומר בביטחון איזו רמת אבטחה חלה עליהם בפועל. הטעות הזו אינה תיאורטית: סיווג שגוי של המאגר קובע אם אתם מחויבים בסקר סיכונים ובמבדקי חדירות אחת ל-18 חודשים, או שדילגתם בטעות על חובה שהרשות להגנת הפרטיות אוכפת היום עם עיצומים כספיים. מאז כניסת תיקון 13 לתוקף באוגוסט 2025, המחיר של "לא ידענו" עלה משמעותית.
עיקרי הדברים
- ✓ ארבע רמות אבטחה – התקנות מגדירות מאגר בניהול יחיד, רמה בסיסית, בינונית וגבוהה, וכל רמה גוררת חובות שונות
- ✓ הסיווג תלוי בתוכן ובהיקף – סוג המידע (רפואי, ביומטרי, פיננסי), מספר נושאי המידע ומספר מורשי הגישה קובעים את הרמה
- ✓ רמה גבוהה מחייבת מבדקי חדירות – אחת ל-18 חודשים לפחות, לצד סקר סיכונים, לפי תקנה 5 לתקנות
- ✓ תיקון 13 שינה את כללי המשחק – מאוגוסט 2025 לרשות להגנת הפרטיות סמכויות אכיפה מנהלית ועיצומים כספיים
מה הן תקנות אבטחת המידע ועל מי הן חלות
תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017[1], נכנסו לתוקף במאי 2018 והפכו את אבטחת המידע בישראל מהמלצה מקצועית לחובה משפטית. התקנות חלות על כל מי שהוא בעל מאגר מידע, מנהל מאגר או מחזיק במאגר – כלומר גם על ספק שמעבד מידע עבור לקוחותיו. בפועל, כמעט כל עסק שמנהל רשימת לקוחות, מערכת CRM, נתוני עובדים או מידע רפואי כלשהו נמצא בתחולת התקנות.
הרעיון המרכזי של התקנות הוא מדורג: לא כל מאגר מקבל את אותן דרישות. מרפאה שמחזיקה תיקים רפואיים של 200,000 מטופלים אינה דומה לחנות שמחזיקה רשימת תפוצה של אלף לקוחות, ולכן התקנות מגדירות ארבע רמות אבטחה – מאגר המנוהל בידי יחיד, רמה בסיסית, רמה בינונית ורמה גבוהה. ככל שהרמה עולה, מתווספות חובות: נהלים, בקרות גישה, תיעוד, הדרכות, ביקורות – ובקצה, סקר סיכונים ומבדקי חדירות תקופתיים.
חשוב להבין את הרקע העדכני: תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025[3], והעניק לרשות להגנת הפרטיות סמכויות פיקוח, חקירה מנהלית ואכיפה שלא היו לה קודם – כולל הטלת עיצומים כספיים משמעותיים. במקביל צומצמה חובת רישום המאגרים והוחלפה בחובת דיווח לגבי מאגרים מסוימים, ונקבעה חובת מינוי ממונה הגנת פרטיות (DPO) לגופים מסוימים. המשמעות המעשית: שאלת "איזו רמת אבטחה חלה עלינו" כבר אינה שאלה תיאורטית לרגע שבו תקרה תקלה – היא שאלה שהרשות רשאית לבדוק באופן יזום.
איך קובעים איזו רמת אבטחה חלה עליכם
הסיווג נקבע בתוספת הראשונה והשנייה לתקנות[2], לפי שלושה פרמטרים: סוג המידע במאגר, מטרת השימוש בו, והיקפו – מספר נושאי המידע ומספר מורשי הגישה. ארגון אחד יכול להחזיק כמה מאגרים ברמות אבטחה שונות – הסיווג נעשה לכל מאגר בנפרד, לא לארגון כולו.
הטבלה הבאה מסכמת את מסלול ההחלטה. עברו עליה מלמעלה למטה – הרמה הראשונה שהמאגר שלכם עונה עליה היא הרמה שחלה עליכם:
| השאלה | אם התשובה חיובית |
|---|---|
| המאגר כולל מידע רגיש (רפואי, גנטי, ביומטרי, מצב כלכלי, דעות ואמונות, עבר פלילי, נתוני תקשורת ומיקום), או שייך לגוף ציבורי, או שמטרתו העיקרית איסוף מידע לצורך מסירתו לאחר – וגם יש בו מידע על 100,000 נושאי מידע או יותר, או מספר מורשי הגישה עולה על 100? | רמה גבוהה – כולל סקר סיכונים ומבדקי חדירות אחת ל-18 חודשים |
| המאגר עונה על אחד התנאים שלמעלה (מידע רגיש / גוף ציבורי / איסוף לצורך מסירה), אך בהיקף קטן מ-100,000 נושאי מידע ועד 100 מורשי גישה? | רמה בינונית – ממונה אבטחה, תיעוד גישה, הצפנה, ביקורת אחת ל-24 חודשים |
| המאגר מנוהל בידי אדם יחיד או עוסק יחיד, עם עד שני מורשי גישה נוספים, אינו למטרת מסירת מידע לאחר, ואינו כפוף לחובת סודיות מקצועית? | מאגר בניהול יחיד – חובות מצומצמות (מסמך הגדרות, אבטחה פיזית, דיווח על אירוע חמור) |
| אף אחד מהתנאים לא מתקיים? | רמה בסיסית – נוהל אבטחה, ניהול הרשאות, אבטחה פיזית ודיווח על אירועים |
שימו לב לחריג חשוב: מאגר שהיה אמור להיות מסווג ברמה בינונית בגלל סוג המידע, אך יש בו עד 10 מורשי גישה והמידע בו נוגע רק לעובדי הארגון או לספקיו – יורד לרמה בסיסית. זה החריג שמציל חברות קטנות רבות שמחזיקות נתוני שכר ובריאות של עובדיהן בלבד.
📌 חשוב לדעת: הסיווג הוא דינמי
מאגר שחצה את רף 100,000 נושאי המידע, או ארגון שצירף מורשה גישה מספר 101, עובר אוטומטית לרמה גבוהה – עם כל החובות הנלוות. ארגונים בצמיחה צריכים לבחון את הסיווג מחדש לפחות אחת לשנה, ובכל שינוי מהותי במערכות או בהיקף הפעילות.
רמה בסיסית – מה נדרש
גם ברמה הבסיסית, התקנות דורשות יותר ממה שרוב העסקים הקטנים מיישמים בפועל. הדרישה הראשונה היא מסמך הגדרות מאגר: תיאור כללי של פעולות האיסוף והשימוש, מטרות השימוש במידע, סוגי המידע, פרטי מנהל המאגר והמחזיק, והסיכונים העיקריים. המסמך הזה הוא הבסיס לכל דרישה אחרת, והוא גם המסמך הראשון שמבקשים בביקורת.
מעבר לכך, רמה בסיסית מחייבת נוהל אבטחת מידע כתוב, שמסדיר בין השאר את ניהול ההרשאות: מי מורשה לגשת למידע, לאילו צרכים, ואיך מוודאים שהגישה מוגבלת למינימום הנדרש לתפקיד. נדרשות גם אמצעי אבטחה פיזיים וסביבתיים למערכות המאגר, אמצעי זיהוי ואימות למורשי גישה, ותיעוד של אירועי אבטחה – כל אירוע שמעלה חשש לשימוש במידע בלא הרשאה או לפגיעה בשלמותו.
נקודה שנעלמת מעיני ארגונים רבים: גם ברמה הבסיסית קיימת חובת דיווח לרשות להגנת הפרטיות על אירוע אבטחה חמור. ההבדל בין הרמות הוא בהגדרת "חמור" – אבל החובה עצמה חלה על כולם. עסק קטן שחווה דלף נתונים ולא דיווח עלול למצוא את עצמו מול הרשות בעמדה גרועה בהרבה מזו שבה היה אילו דיווח בזמן.
רמה בינונית – מה מתווסף
ברמה הבינונית, התקנות עוברות ממסמכים לבקרות מתמשכות. החובות המרכזיות שמתווספות: מינוי ממונה על אבטחת מידע בגופים החייבים בכך, מנגנון תיעוד אוטומטי של הגישה למערכות המאגר (מי נכנס, מתי, לאיזה מידע), אימות זהות חזק של מורשי גישה, הצפנה של מידע המועבר ברשתות ציבוריות ובגישה מרחוק, והדרכות תקופתיות לעובדים בעלי גישה למידע – אחת ל-24 חודשים לפחות.
מתווספת גם דרישת הביקורת התקופתית לפי תקנה 16(א): אחת ל-24 חודשים לפחות, ביקורת פנימית או חיצונית שבודקת את עמידת המאגר בכל דרישות התקנות. את הביקורת חייב לבצע גורם בעל הכשרה מתאימה לביקורת אבטחת מידע, והוא אינו יכול להיות ממונה האבטחה של הארגון עצמו – הבודק לא יכול לבקר את עבודת עצמו.
עוד תחום שמקבל משקל ברמה הבינונית הוא מיקור חוץ לפי תקנה 15: לפני התקשרות עם ספק חיצוני שמקבל גישה למידע, נדרשת בחינה של סיכוני האבטחה, וההסכם איתו חייב לקבוע במפורש איזה מידע מותר לו לעבד, למה מותר להשתמש בו, מה קורה למידע בסיום ההתקשרות, ואיך הספק מדווח על עמידתו בדרישות. בעידן שבו כמעט כל מערכת היא SaaS, הדרישה הזו הופכת את ניהול הספקים לחלק בלתי נפרד מהציות. ארגונים שמבקשים ליווי מקצועי בתחום הגנת הפרטיות וציות מגלים לרוב שדווקא חוזי הספקים הם החוליה החלשה במערך שלהם.
רמה גבוהה – כאן נכנסים סקר הסיכונים ומבדקי החדירות
רמה גבוהה כוללת את כל חובות הרמה הבינונית, ומוסיפה עליהן את שתי הדרישות המחזוריות המשמעותיות ביותר בתקנות. הראשונה, לפי תקנה 5(ג): עריכת סקר לאיתור סיכוני אבטחת מידע אחת ל-18 חודשים לפחות, דיון בתוצאותיו ובחינת הצורך בעדכון מסמך ההגדרות ונוהלי האבטחה בעקבותיו. סקר הסיכונים ממפה את הנכסים, האיומים והפערים – והוא התשתית שעליה נבנית תוכנית העבודה של אבטחת המידע. ביצוע מקצועי של סקר סיכוני סייבר נותן לארגון לא רק עמידה בדרישה הרגולטורית, אלא סדר עדיפויות מבוסס לתיקון הפערים.
הדרישה השנייה, לפי תקנה 5(ד): עריכת מבדקי חדירות למערכות המאגר אחת ל-18 חודשים לפחות, לבחינת עמידותן מפני סיכונים פנימיים וחיצוניים. התקנה אינה מסתפקת בביצוע המבדק – היא מחייבת את בעל המאגר לדון בתוצאות ולפעול לתיקון הליקויים שהתגלו. כלומר, דוח מבדק שנשאר במגירה אינו עמידה בתקנה; הוא ראיה לאי-עמידה בה.
חשוב להדגיש: ברמה גבוהה, התקנות מאפשרות לסקר הסיכונים לשמש גם כביקורת התקופתית של תקנה 16, אם הוא כולל את כל רכיבי הביקורת הנדרשים. זה חיסכון תפעולי אמיתי – אבל רק כשהסקר מתוכנן מראש לכסות את שני הצרכים. סקר טכני צר שלא בוחן נהלים, הרשאות והדרכות לא יעמוד בדרישה הכפולה.
⚠️ עצור – סורק פגיעויות אוטומטי אינו מבדק חדירות
התקנות דורשות בחינת עמידות מפני "סיכונים פנימיים וחיצוניים". סריקה אוטומטית מזהה חולשות ידועות, אבל אינה בוחנת לוגיקה עסקית, שרשור חולשות, הרשאות עודפות או תרחישי תוקף פנימי. ארגון שמגיש דוח סריקה אוטומטית כ"מבדק חדירות" חושף את עצמו לקביעה שלא עמד בתקנה 5(ד) – בדיוק ברגע שבו הוא הכי זקוק להגנה המשפטית של עמידה בדרישות.
מה מבדק חדירות באמת מספק מול דרישת התקנה
קל להתייחס למבדק החדירות כאל "משבצת רגולטורית" שצריך לסמן אחת ל-18 חודשים. אבל ההיגיון של התקנה הפוך: המחוקק בחר במבדק חדירות דווקא כי הוא הכלי היחיד שבודק את המערכת כפי שתוקף אמיתי רואה אותה. סקר סיכונים עונה על השאלה "איפה אנחנו חשופים על הנייר"; מבדק חדירות עונה על השאלה "מה קורה כשמישהו מנסה בפועל".
מבדק חדירות לארגון שמבוצע נכון מדמה תוקף מיומן: הוא מנסה לעקוף מנגנוני אימות, להסלים הרשאות, לחלץ מידע מהמאגר ולנוע רוחבית ברשת – בדיוק התרחישים שהתקנות מבקשות למנוע. התוצר אינו רשימת חולשות גנרית אלא שרשרת תקיפה מוכחת: אילו צעדים הובילו מנקודת הכניסה ועד למידע האישי, ומה בדיוק צריך לתקן כדי לשבור את השרשרת. זו בדיוק "בחינת העמידות מפני סיכונים פנימיים וחיצוניים" שהתקנה דורשת.
יש כאן גם היבט ראייתי שכדאי להכיר. אחרי אירוע אבטחה, השאלה הראשונה שתישאל – על ידי הרשות, על ידי מבוטחים בתביעה ייצוגית, ועל ידי מבטח הסייבר – היא אילו אמצעים סבירים נקטתם מראש. דוח מבדק חדירות עדכני, עם תיעוד של דיון בתוצאות ותיקון ליקויים, הוא אחת הראיות החזקות ביותר לכך שהארגון פעל באחריות. היעדרו, לעומת זאת, הופך כל תקרית לקשה פי כמה מבחינה משפטית.
💡 טיפ מקצועי
תזמנו את מבדק החדירות כחודשיים-שלושה אחרי סקר הסיכונים, לא במקביל לו. כך ממצאי הסקר מספקים למבדק מיקוד (אילו מערכות קריטיות, אילו ממשקים חשופים), והמבדק מאמת בפועל אילו מהסיכונים שהסקר זיהה ניתנים לניצול אמיתי. שני הדוחות יחד מרכיבים תיק ציות שלם לאותו מחזור 18 חודשים.
איפה ארגונים נכשלים בביקורת – 5 טעויות נפוצות
1. סיווג שגוי של רמת האבטחה. הטעות הנפוצה ביותר, והיא מקור לכל השאר: ארגון שסיווג את עצמו ברמה בסיסית בזמן שהמאגר שלו כולל מידע רגיש בהיקף שמחייב רמה בינונית או גבוהה. ספירת מורשי הגישה היא נקודת כשל קלאסית – ארגונים שוכחים לספור ספקי מיקור חוץ, יועצים ומערכות אוטומטיות עם הרשאות גישה.
2. מסמך הגדרות מאגר שלא עודכן שנים. המסמך נכתב ב-2018, ומאז הארגון עבר לענן, החליף CRM וצירף שלושה ספקי SaaS. מסמך הגדרות שאינו משקף את המציאות הנוכחית נחשב בביקורת כאילו אינו קיים.
3. מבדק חדירות ללא טיפול בממצאים. התקנה מחייבת לדון בתוצאות ולתקן ליקויים. ארגונים שמציגים דוח מבדק מלפני שנה עם ממצאים קריטיים פתוחים נמצאים במצב גרוע יותר מארגונים שרק עכשיו ביצעו מבדק ראשון – כי הם ידעו ולא פעלו.
4. הסתמכות על סריקות אוטומטיות בלבד. כפי שפירטנו למעלה, סורק פגיעויות אינו תחליף למבדק חדירות, וביקורת מקצועית תזהה את ההבדל מיד – ולא רק בזכות עומק הבדיקה, אלא גם כי דוח סריקה חסר את שרשרת התקיפה, ניתוח ההשלכות והמלצות התיקון הממוקדות שמבדק אנושי מספק.
5. חוזי מיקור חוץ ללא סעיפי אבטחת מידע. תקנה 15 דורשת שההתקשרות עם כל גורם חיצוני שניגש למידע תסדיר במפורש את חובות האבטחה שלו. בביקורות רבות מתגלה שדווקא הספקים עם הגישה הרחבה ביותר – בתי תוכנה, ספקי תמיכה, לשכות שירות – עובדים לפי חוזים ישנים בלי שום התייחסות לתקנות.
שאלות נפוצות
איך יודעים איזו רמת אבטחה חלה על המאגר שלנו?
בודקים שלושה פרמטרים לפי התוספת הראשונה והשנייה לתקנות: סוג המידע (האם יש מידע רגיש כמו מידע רפואי, ביומטרי או פיננסי), מטרת המאגר (האם המידע נאסף לצורך מסירה לאחר, או שמדובר בגוף ציבורי), והיקפו (מספר נושאי המידע ומספר מורשי הגישה). מאגר עם מידע רגיש הוא לפחות רמה בינונית; אם יש בו מידע על 100,000 איש או יותר, או שיש יותר מ-100 מורשי גישה – הוא ברמה גבוהה. את הבדיקה עורכים לכל מאגר בארגון בנפרד.
כל כמה זמן התקנות מחייבות מבדק חדירות?
אחת ל-18 חודשים לפחות, לפי תקנה 5(ד) – אך החובה חלה רק על מאגרים ברמת אבטחה גבוהה. התקנה גם מחייבת לדון בתוצאות המבדק ולתקן את הליקויים שהתגלו. בפועל, ארגונים רבים ברמה בינונית מבצעים מבדקי חדירות מיוזמתם, כי זו הדרך האפקטיבית להיערך לביקורת התקופתית ולעמוד בדרישות של מבטחי סייבר ולקוחות עסקיים.
האם סורק פגיעויות אוטומטי עונה על דרישת התקנות?
לא. התקנה דורשת מבדקי חדירות שבוחנים את עמידות המערכות מפני סיכונים פנימיים וחיצוניים. סריקה אוטומטית מאתרת חולשות ידועות בלבד, ואינה בוחנת לוגיקה עסקית, שרשור חולשות או תרחישי תוקף אמיתיים. סריקות אוטומטיות הן כלי משלים מצוין בין מבדקים – אבל אינן תחליף למבדק חדירות מקצועי לצורך עמידה בתקנה.
מה ההבדל בין סקר סיכונים לביקורת תקופתית?
סקר סיכונים (תקנה 5(ג), רמה גבוהה, אחת ל-18 חודשים) ממפה את נכסי המידע, האיומים והפערים, ומטרתו לזהות סיכונים ולתעדף את הטיפול בהם. ביקורת תקופתית (תקנה 16, רמה בינונית וגבוהה, אחת ל-24 חודשים) בודקת את עמידת המאגר בדרישות התקנות עצמן, ומבוצעת על ידי גורם מוסמך שאינו ממונה האבטחה של הארגון. ברמה גבוהה, סקר סיכונים מקיף יכול לשמש גם כביקורת – אם הוא כולל את כל רכיבי הבדיקה הנדרשים.
מה קורה אם לא עומדים בתקנות?
מאז כניסת תיקון 13 לתוקף באוגוסט 2025, לרשות להגנת הפרטיות סמכויות אכיפה מנהלית מלאות: עריכת ביקורות יזומות, חקירות מנהליות והטלת עיצומים כספיים שנגזרים בין השאר מסוג ההפרה, מסוג המידע ומהיקף המאגר. מעבר לכך, אי-עמידה בתקנות חושפת את הארגון לתביעות נזיקין וייצוגיות אחרי אירוע דלף, לקשיים מול מבטחי סייבר, ולפגיעה עסקית מול לקוחות שדורשים הוכחת ציות כתנאי להתקשרות.
מקורות שצוטטו במאמר (4)
- [1] תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 – נבו
- [2] נוסח מלא של תקנות אבטחת מידע כולל התוספות – ויקיטקסט
- [3] מדריך מקצועי: תיקון מס' 13 לחוק הגנת הפרטיות – הרשות להגנת הפרטיות, gov.il
- [4] הרשות להגנת הפרטיות מעדכנת את הנחיותיה לאחר כניסת תיקון 13 לתוקף – law.co.il
מילון מושגים
אוסף נתוני מידע אישי המוחזק באמצעי דיגיטלי ומיועד לעיבוד – ממערכת CRM ועד קובץ אקסל עם פרטי לקוחות.
האדם שהמידע במאגר מתייחס אליו – לקוח, עובד, מטופל או משתמש. מספר נושאי המידע הוא אחד הקריטריונים לסיווג רמת האבטחה.
כל גורם – עובד, ספק או מערכת – שיש לו הרשאה לגשת למידע שבמאגר. מעל 100 מורשי גישה במאגר עם מידע רגיש מקפיצים אותו לרמה גבוהה.
תהליך שיטתי לאיתור סיכוני אבטחת מידע: מיפוי נכסים, איומים ופערים מול הבקרות הקיימות. חובה ברמה גבוהה אחת ל-18 חודשים.
סימולציית תקיפה מבוקרת שבוחנת את עמידות המערכות מפני תוקף אמיתי – פנימי או חיצוני. חובה ברמה גבוהה אחת ל-18 חודשים לפי תקנה 5(ד).
תיקון מקיף לחוק הגנת הפרטיות שנכנס לתוקף ב-14.8.2025, המעניק לרשות להגנת הפרטיות סמכויות אכיפה מנהלית ועיצומים כספיים, ומחיל חובת מינוי ממונה הגנת פרטיות על גופים מסוימים.
ברמה גבוהה – כל שימוש במידע בלא הרשאה או פגיעה בשלמותו; ברמה בינונית – אירוע שנוגע לחלק מהותי מהמאגר. מחייב דיווח מיידי לרשות להגנת הפרטיות.
המאמר עודכן לאחרונה: ספטמבר 2026 ומשקף את המצב הרגולטורי הנוכחי, כולל תיקון 13 לחוק הגנת הפרטיות. המידע המובא הוא כללי ואינו מהווה ייעוץ משפטי.
לא בטוחים איזו רמת אבטחה חלה על המאגר שלכם?
מומחי RedEntry ילוו אתכם מסיווג המאגר ועד מבדק החדירות והדוח לביקורת. שיחת ייעוץ ראשונית ללא עלות.
