מה עושה מנהל אבטחת מידע בעסק בינוני — ומתי כדאי למנות אחד

חברה עם שישים עובדים גילתה ביום חמישי אחרי הצהריים שהנהלת החשבונות שלה העבירה כסף לחשבון שאינו של הספק. בחדר הישיבות היו מנכ"ל, מנהלת כספים ואיש IT, והשאלות שעלו לא היו טכניות: מי מאשר לנעול את תיבת הדואר עכשיו, מי מודיע ללקוחות, מי בודק אם זה קרה גם בתיבות אחרות, ומי אומר בסוף שחזרנו לעבוד. על שאלות כאלה אין תשובה בתפריט של Microsoft 365. הן שאלות של בעלות, וזה בדיוק מה שתפקיד מנהל אבטחת מידע נועד לפתור.

בעסקים בינוניים בישראל התפקיד הזה מופיע בשני שמות. בשפה המקצועית קוראים לו CISO, ובשפה החוקית קוראים לו ממונה על אבטחת מידע. זה לא בהכרח אותו דבר, ושווה להבין מה כל אחד מהם מחייב.

מה בפועל יושב על השולחן של מנהל אבטחת מידע

הטעות הנפוצה היא לחשוב שמדובר במי שמתקין כלי הגנה. בפועל, רוב העבודה היא החלטות, מסמכים ומעקב. אלה התוצרים שאפשר למדוד:

• מיפוי המידע — אילו מאגרי מידע יש בעסק, מה נשמר בהם, מי נגיש אליהם ומה רמת האבטחה שחלה על כל אחד.
• נוהל אבטחת מידע כתוב — לא מצגת, אלא מסמך שמישהו אישר ושאפשר להצביע עליו בביקורת.
• תכנית בקרה שוטפת — מה נבדק, באיזו תדירות, ומה קורה עם ממצא שחוזר.
• מדיניות הרשאות — מי מקבל גישה למה, מי מאשר, ומה נסגר ביום שעובד עוזב.
• ניהול ספקים — מי מהספקים נוגע במידע של העסק, ומה כתוב בהסכם איתו בנושא אבטחה.
• מוכנות לאירוע — מי מחליט, מי מדווח, למי מודיעים ובאיזה סדר. כתוב מראש, לא מאולתר בחדר הישיבות.
• דיווח להנהלה — תמונת מצב קבועה בשפה שמנכ"ל יכול לקבל עליה החלטה.

שימו לב למה שלא נמצא ברשימה. התקנת מערכות, עדכוני שרתים וטיפול בתקלות הם עבודת התמיכה הטכנית והתחזוקה. מנהל אבטחת מידע מגדיר לה את הדרישות ובודק שהן התקיימו, אבל הוא לא זה שמבצע אותן. ההפרדה הזאת היא לא בירוקרטיה: מי שמבצע ומי שבודק לא יכולים להיות אותו אדם.

מה החוק דורש, ומי חייב למנות ממונה

הדרישות מהתפקיד עצמו

תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, מגדירות בתקנה 3 שלוש דרישות מהממונה. ראשית, הוא "יהיה כפוף ישירות למנהל מאגר המידע או למנהל פעיל של בעל המאגר" — כלומר לא תחת מנהל ה-IT שאת עבודתו הוא אמור לבקר. שנית, עליו להכין נוהל אבטחת מידע ולהביאו לאישור בעל המאגר. שלישית, עליו להכין תכנית לבקרה שוטפת על העמידה בדרישות התקנות, לבצע אותה ולדווח על ממצאיה.

סביב התפקיד יש עוד שלוש דרישות שכדאי להכיר מאותן תקנות. במאגרים שחלה עליהם רמת אבטחה בינונית או גבוהה נדרשת ביקורת פנימית או חיצונית אחת ל-24 חודשים לפחות, בידי מי שאינו ממונה האבטחה (תקנה 16). באירוע אבטחה חמור נדרש דיווח מיידי לרשם ודיווח על הצעדים שננקטו בעקבותיו (תקנה 11(ד)). והתקשרות עם ספק חיצוני שמקבל גישה למאגר מחייבת בחינת סיכונים והסדרה בהסכם בכתב (תקנה 15).

מי חייב למנות ממונה אבטחת מידע

המדריך המקצועי של הרשות להגנת הפרטיות לתיקון 13 לחוק הגנת הפרטיות מפרט את חובת המינוי לפי סעיף 17ב, ומציין שהיא הורחבה והוחלה לראשונה גם על בעלי שליטה במאגרים מרובים. לפי המדריך, החובה חלה על בעל שליטה או מחזיק בחמישה מאגרי מידע החייבים ברישום או בחובת הודעה לרשות; על גוף ציבורי; ועל בנק, חברת ביטוח וחברה העוסקת בדירוג או בהערכה של אשראי. התיקון, לפי אותו מדריך, נכנס לתוקף ב-14 באוגוסט 2025.

ממונה הגנת הפרטיות, ה-DPO, הוא תפקיד נפרד עם רשימת חייבים אחרת לגמרי — בין היתר גופים ציבוריים, מי שעיקר עיסוקו באיסוף מידע אישי לשם מסירתו לאחר במאגר שבו מידע על יותר מ-10,000 איש, וגופים שעיסוקם ניטור שיטתי בהיקף נרחב או עיבוד מידע רגיש בהיקף נרחב. אם אתם לא בטוחים באיזו מהרשימות אתם נמצאים, זו שאלה שכדאי לברר לפני שממנים מישהו, ואפשר לפנות אלינו כדי לעבור על זה.

משרה פנימית, מיקור חוץ, או שילוב

בעסק בינוני התפקיד כמעט תמיד לא מצדיק משרה מלאה, אבל גם לא נעלם. זו ההשוואה שאני עובר עליה עם לקוחות:

בפועל, הפתרון שעובד בעסקים בסדר גודל של כמה עשרות עובדים הוא לרוב משולב: מנהל אבטחת מידע במיקור חוץ שמחזיק את הנוהל, את תכנית הבקרה ואת הדיווח, ואיש IT פנימי או ספק מחשוב שמבצע את מה שנגזר מזה.

בלי נתונים זה לא תפקיד, זה דעה

החלק שהכי מתפספס במינוי ממונה הוא מה הוא יסתכל עליו. תכנית בקרה שוטפת, כפי שהתקנות מנסחות אותה, מחייבת שיהיה מה לבדוק באופן קבוע: מי התחבר מאיפה, אילו חוקי העברה חדשים נוצרו בתיבות הדואר, איזו אפליקציה חיצונית קיבלה הרשאה לדואר, מה פתוח כלפי חוץ, ומה השתנה בהרשאות המנהלים. באותן תקנות, תקנה 10 מחייבת מנגנון תיעוד אוטומטי של גישה למערכות המאגר ברמות האבטחה הבינונית והגבוהה — אבל תיעוד שאף אחד לא קורא הוא רק אחסון.

כאן נכנס הניטור. אצלנו החלק הזה נעשה דרך MCS – Managed Cyber Security, שירות הסייבר המנוהל שפיתחנו לעסקים קטנים ובינוניים, ובפרט דרך SOC מנוהל לעסקים קטנים ובינוניים שמספק את התמונה השבועית שהממונה עובד איתה. הרעיון פשוט: הממונה מחליט מה חשוב, והניטור מביא את העובדות.

שאלות שחוזרות

אפשר למנות את איש ה-IT שלנו כממונה אבטחת מידע?

אפשר, אבל זה יוצר בעיה. תקנה 3 קובעת כפיפות ישירה לבעל המאגר או למנהל פעיל שלו, ותקנה 16 קובעת שהביקורת התקופתית תיעשה בידי מי שאינו ממונה האבטחה. כשאותו אדם גם מגדיר, גם מבצע וגם בודק, אין למי לדווח על ממצא לא נוח.

אנחנו לא ברשימת החייבים. יש טעם למנות?

חובת המינוי היא רצפה, לא המלצה. גם עסק שלא חייב למנות נדרש לעמוד בדרישות אבטחת המידע, ומישהו צריך להחזיק אותן. בעסקים שלא מינו אף אחד, מה שקורה בפועל הוא שאף אחד לא מחזיק את זה, וזה מתגלה באירוע או בדרישה של לקוח גדול.

מה ההבדל בין ממונה אבטחת מידע ל-DPO?

ממונה אבטחת מידע עוסק בהגנה על המידע: הרשאות, ניטור, נהלים, מוכנות לאירוע. ממונה הגנת הפרטיות עוסק בשאלה אם מותר לכם להחזיק את המידע הזה מראש ולמה — בסיס חוקי, זכויות מושאי המידע, יידוע ומחיקה. אלו שתי רשימות חייבים שונות ושני תחומי אחריות שונים, ולפעמים אדם אחד ממלא את שניהם.

כמה זמן לוקח להתחיל?

הדבר הראשון הוא מיפוי: אילו מאגרים יש, מה רמת האבטחה שחלה עליהם ומה קיים היום מול מה שנדרש. זה שלב שנשען על בדיקה בפועל במערכות ולא על שאלון, ואפשר לצאת ממנו עם רשימת פערים מתועדפת לפני שנוגעים בנהלים.

הצעד הראשון

אם אין בעסק שלכם מישהו שאפשר להצביע עליו ולומר "הוא מחזיק את אבטחת המידע", זה הפער הראשון שכדאי לסגור — לפני רכישת כלים. אנחנו מלווים עסקים בתחום אבטחת המידע והסייבר משלב המיפוי ועד הבקרה השוטפת. כתבו לנו ונעבור יחד על המצב אצלכם ועל מה שנדרש בפועל.

אריאל מרום, מייסד ומנכ"ל M-Challenge ומוביל פיתוח MCS – Managed Cyber Security. פעיל בתחום המחשוב, הענן ואבטחת המידע מאז 2007.