חברה בינונית נפגעה במתקפת סייבר. צוות אבטחת המידע הצליח לבלום את המתקפה ולהחזיר את המערכות לפעילות.
לכאורה, אפשר לנשום לרווחה.
אלא שאז מתברר שמידע אישי של אלפי לקוחות ועובדים דלף לגורם לא מורשה.
פתאום, זו כבר לא רק בעיה של אנשי המחשוב.
לקוחות דורשים תשובות. עובדים חוששים שהמידע שלהם ייחשף. ההנהלה מתמודדת עם פגיעה באמון ועם חשיפה משפטית.
המנכ"ל מגלה שגם אם לא ידע בדיוק איזה מידע נשמר בארגון ואיך הוא מוגן, האחריות הניהולית לא נעלמת.
א. להשלים את תחקיר הסייבר ולחזק את מערכות ההגנה כדי למנוע אירוע חוזר.
ב. להודיע מיד לכל הלקוחות והעובדים על דליפת המידע ולפעול לשיקום האמון.
ג. להעריך את היקף דליפת המידע ואת הסיכונים לנפגעים, ולבחון בדחיפות את חובות הדיווח והטיפול לפי החוק.
ד. למנות ממונה על הגנת הפרטיות שיגבש תוכנית לצמצום החשיפה המשפטית.
התשובה הנכונה היא ג'.
ההאקרים יצאו מהמערכת. המידע שהם לקחו לא בהכרח חזר איתם.
זו בדיוק הנקודה שבה אירוע סייבר הופך גם למשבר של הגנת הפרטיות.
המערכות חזרו לעבוד, אבל האם המנכ"ל יודע איזה מידע נחשף? למי הוא שייך? מה אפשר לעשות באמצעותו? ומה הארגון מחויב לעשות עכשיו?
השאלות האלה אינן יכולות להמתין לסיום תחקיר הסייבר.
יש לברר בדחיפות את היקף החשיפה, סוגי המידע שנפגעו, הסיכונים לאנשים ולארגון ואת חובות הדיווח והטיפול החלות על האירוע.
לפי תקנות הגנת הפרטיות (אבטחת מידע), אירוע העונה להגדרת "אירוע אבטחה חמור" מחייב דיווח מיידי לרשות להגנת הפרטיות. לא כל אירוע מחייב דיווח, ולכן חשוב לבצע את הבדיקה ללא דיחוי. במקרה של אי-ודאות ניתן להגיש גם דיווח ראשוני על בסיס המידע הקיים.
ובינתיים? ממשיכים לצמצם את הנזק, לשמור ראיות ולטפל בסיכונים שהתגלו.
א. להשלים את תחקיר הסייבר ולחזק את מערכות ההגנה
נחוץ בהחלט, אבל לא מספיק.
תחקיר הסייבר עוסק בשאלה כיצד התוקפים חדרו למערכת ואיך למנוע את האירוע הבא.
הגנת הפרטיות מחייבת גם להבין מה קרה למידע האישי, מי עלול להיפגע ומהן חובות הארגון בעקבות החשיפה.
הטיפול בשני התחומים צריך להתקדם במקביל.
ב. להודיע מיד לכל הלקוחות והעובדים
שקיפות היא חשובה, אבל הודעה גורפת לפני בירור העובדות אינה בהכרח הצעד הנכון.
צריך לבחון מי אכן נפגע, איזה מידע דלף ומהן חובות היידוע החלות בנסיבות האירוע.
במקרים המתאימים, הרשות להגנת הפרטיות רשאית להורות על הודעה לנושאי המידע. ייתכנו גם חובות אחרות המחייבות יידוע.
הודעה שאינה מבוססת על מידע אמין עלולה ליצור בהלה, בלי לסייע למי שזקוק להגנה.
ד. למנות ממונה על הגנת הפרטיות
ממונה מקצועי יכול לסייע לארגון להבין את חובותיו, להיערך לסיכונים ולנהל את תחום הפרטיות.
אבל מינוי ממונה לאחר שהמידע כבר דלף אינו תחליף לטיפול המיידי באירוע.
יתר על כן, חובת מינוי ממונה על הגנת הפרטיות (DPO) אינה חלה באופן גורף על כל ארגון. היא תלויה במאפייני הפעילות ובתנאים הקבועים בחוק.
הגנת הפרטיות לא מתחילה ביום שבו המידע דולף.
היא מתחילה הרבה קודם.
האם הארגון יודע איזה מידע אישי הוא מחזיק? מדוע הוא אוסף אותו? למי יש גישה אליו? עם אילו ספקים הוא משתף אותו? ומה יקרה אם המידע ייחשף?
אלו שאלות ניהוליות, לא רק טכנולוגיות.
מנכ"ל אינו נדרש להיות מומחה לסייבר או משפטן. אבל הוא כן נדרש להבטיח שהארגון מטפל בסיכונים ובחובות החלות עליו.
אחריות ניהולית אינה בהכרח אחריות משפטית אישית. ובכל זאת, התעלמות מהנושא עלולה לעלות לארגון ביוקר.
אם מחר בבוקר יתרחש אצלכם אירוע דליפת מידע אישי – האם תדעו איזה מידע דלף, את מי צריך לעדכן ומה החוק מחייב אתכם לעשות?
ב-OK יועצים לניהול אנו מסייעים לארגונים להבין את החשיפה שלהם בתחום הגנת הפרטיות ולהיערך לדרישות החוק.
השירותים כוללים מיפוי מידע אישי, סקרי פערים, גיבוש תוכניות עבודה, הטמעת תהליכים ושירותי ממונה על הגנת הפרטיות (DPO) במיקור חוץ.
המטרה להגן על המידע, לצמצם סיכונים, לשמור על אמון הלקוחות והעובדים ולעמוד בדרישות החוק.
