אבטחת מידע: מה זה, מה ההבדל מפרטיות ואילו איומים חשוב להכיר

אבטחת מידע: ההגדרה ושלושת העקרונות

לפי מילון המונחים של NIST, המכון הלאומי לתקנים וטכנולוגיה של ארה"ב, אבטחת מידע היא הגנה על מידע ועל מערכות מידע מפני גישה, שימוש, חשיפה, שיבוש, שינוי או השמדה לא מורשים. המטרה היא לשמור על שלוש תכונות, שבאנגלית מקצרים אותן ל-CIA.

• סודיות (Confidentiality): רק מי שמורשה יכול לראות את המידע. דליפה של קובץ לקוחות פוגעת בסודיות.
• שלמות (Integrity): המידע לא שונה ולא נמחק בלי הרשאה. מתקפה שמחליפה את מספר חשבון הבנק בחשבונית פוגעת בשלמות.
• זמינות (Availability): המידע והמערכות זמינים כשצריך אותם. כופרה שנועלת את השרתים פוגעת בזמינות.

כמעט כל אמצעי הגנה משרת לפחות אחת מהתכונות האלה. הצפנה שומרת על סודיות, גיבויים על זמינות, ויומני פעולות וחתימות דיגיטליות על שלמות. בחלק מההגדרות של NIST, שלמות כוללת גם אותנטיות (שאפשר לוודא מי שלח את המידע) ואי־התכחשות (שמי שביצע פעולה לא יוכל להכחיש אותה אחר כך).

כשאתם בודקים מערכת, אפשר לשאול על כל אחת משלוש התכונות מה יקרה אם תיפגע. התשובה מראה על מה הכי חשוב להגן.

מה ההבדל בין אבטחת מידע לפרטיות

שני המושגים קשורים, אבל הם עונים על שאלות שונות. אבטחת מידע שואלת איך מגינים על המידע מפני מי שאינו מורשה. פרטיות שואלת מה מותר לעשות במידע אישי בכלל: האם מותר לאסוף אותו, לאיזו מטרה, כמה זמן לשמור אותו ועם מי מותר לשתף אותו. הורים לילדים שמשחקים אונליין יכולים להיעזר במדריך להורים על Roblox.

אפשר לאבטח מצוין ועדיין לפגוע בפרטיות, למשל כשאוספים יותר מדי מידע ושומרים אותו בכספת דיגיטלית מוגנת. בכיוון ההפוך, אי אפשר לשמור על פרטיות בלי אבטחה, כי מידע שדלף כבר אינו בשליטת מי שאסף אותו.

בישראל החוק מחבר בין השניים: חוק הגנת הפרטיות ותקנות אבטחת המידע שלו מטילים על מחזיקי מידע אישי גם חובות של שימוש הוגן וגם חובות אבטחה.

אבטחת מידע וסייבר: האם זה אותו דבר

בשיחה רגילה משתמשים במונחים כמעט כמילים נרדפות, אבל יש הבדל בהיקף. אבטחת מידע כוללת גם מידע שאינו דיגיטלי: תיק לקוח מודפס שנשכח ברכבת, מגירה לא נעולה או שיחה טלפונית שבה עובד מוסר פרטים למי שהתחזה לספק. אבטחת סייבר עוסקת בהגנה על מערכות, רשתות ומכשירים מחוברים.

מבחינה מעשית, בעסקים רבים חלק גדול מהמידע הרגיש נמצא בענן, בתיבות דואר ובמערכות SaaS, ולכן החפיפה בין התחומים גדולה. ההבחנה עוזרת בעיקר לא לשכוח את מה שקורה מחוץ למחשב: נוהלי גריסה, ניהול מפתחות למשרד ואימות טלפוני של בקשות להעברת כספים. על אבטחת ענן אפשר לקרוא גם במדריך על Wiz אחרי עסקת גוגל.

האיומים המרכזיים שכדאי להכיר

רוב האירועים שמדווחים נופלים לכמה קטגוריות מוכרות. לפי נתוני מערך הסייבר הלאומי שפורסמו ב-mako, פישינג היה 41% מהדיווחים למוקד 119 בשנת 2024, ופריצות לחשבונות ברשתות חברתיות 22%. הטבלה מסכמת את האיומים הנפוצים לפי התכונה שנפגעת ולפי ההגנה הבסיסית מול כל אחד מהם. כדאי גם ללמוד איך מזהים הודעת פישינג מזויפת לפני שלוחצים.

כלי בינה מלאכותית הוסיפו שני היבטים לרשימה. הראשון הוא הודעות פישינג משכנעות יותר, ולעתים גם הקלטות קול מזויפות. השני הוא הדבקה של מידע רגיש לכלי צ'אט חיצוניים בלי לבדוק מה הספק עושה איתו. מי שמכניס כלים כאלה לעבודה יכול להיעזר בסקירה שלנו על שימושי בינה מלאכותית בעסק קטן, ולקבוע מראש איזה מידע אסור להזין להם.

מה החוק בישראל דורש מעסקים

המסגרת המרכזית היא חוק הגנת הפרטיות, התשמ"א–1981, ותקנות הגנת הפרטיות (אבטחת מידע), התשע"ז–2017. התקנות פורסמו ב-8 במאי 2017 ונכנסו לתוקף שנה אחר כך, במאי 2018. הן חלות על גופים פרטיים וציבוריים שמחזיקים מאגרי מידע אישי, גם על עסקים קטנים, ומבחינות בין ארבעה סוגי מאגרים: מאגר שמנוהל בידי יחיד, ומאגרים ברמת אבטחה בסיסית, בינונית וגבוהה.

בפועל התקנות דורשות, בין השאר:

• מסמך שמתאר את מבנה המאגר ואת מערכות החומרה והתוכנה שלו.
• נוהל אבטחת מידע, שבמאגרים מסוימים יש לבחון לפחות פעם בשנה.
• ניהול הרשאות גישה לפי תפקיד, וזיהוי ואימות של מי שניגש למידע.
• דיווח מיידי לרשות על אירוע אבטחה חמור, במאגרים ברמת אבטחה בינונית או גבוהה.

ב-14 באוגוסט 2025 נכנס לתוקף תיקון 13 לחוק, שנחשב לרפורמה המשמעותית ביותר בדיני הפרטיות בישראל מזה עשרות שנים. התיקון נתן לרשות להגנת הפרטיות סמכות להטיל עיצומים כספיים, חייב גופים מסוימים למנות ממונה על הגנת הפרטיות והטיל אחריות אישית על ההנהלה ועל נושאי משרה. הרשות נתנה תקופת חסד לאכיפת חובת מינוי הממונה עד 31 באוקטובר 2025, והיא כבר הסתיימה.

הפרטים, כמו מי חייב במינוי ממונה ומה רמת האבטחה של כל מאגר, תלויים בסוג המידע ובהיקפו. לפני החלטה כדאי לבדוק את המדריכים של הרשות להגנת הפרטיות באתר gov.il או להתייעץ עם עורך דין שמתמחה בתחום.

אבטחת מידע לעסקים: 8 צעדים ראשונים

עסק קטן לא צריך מחלקת אבטחה כדי לטפל בפרצות הנפוצות. הצעדים האלה מכסים את רוב האיומים שבטבלה למעלה. אם העסק משתמש בסוכני AI, כדאי לעיין בהחידושים באבטחת סוכני AI.

1. מפו מה יש לכם. רשמו אילו מערכות משמשות את העסק (דואר, CRM, הנהלת חשבונות, אחסון קבצים), איזה מידע יש בכל אחת ולמי יש גישה.
2. הפעילו אימות דו־שלבי בדואר, באחסון הענן, בבנק ובכל מערכת ניהול. עדיפות לאפליקציית אימות או למפתח פיזי על פני SMS.
3. עברו למנהל סיסמאות וקבעו סיסמה ייחודית לכל שירות.
4. עדכנו תוכנות אוטומטית במחשבים, בטלפונים, בנתב ובתוספים של האתר.
5. גבו לפי כלל 3-2-1: שלושה עותקים, בשני סוגי אחסון, ואחד מהם מחוץ לרשת. בדקו מדי פעם שהשחזור באמת עובד.
6. צמצמו הרשאות. כל עובד מקבל גישה רק למה שהוא צריך, ובעזיבה מבטלים את הגישה באותו יום.
7. קבעו נוהל לבקשות כספיות. כל שינוי בפרטי חשבון בנק של ספק מאומת בשיחה למספר שכבר שמור אצלכם, ולא למספר שמופיע בהודעה.
8. הדריכו את הצוות לזהות פישינג, ותנו דרך פשוטה לדווח על הודעה חשודה בלי חשש מנזיפה.

נניח שמשרד של חמישה עובדים מיישם רק את צעדים 2, 5 ו-7. גם אז קשה יותר להשתלט על החשבונות שלו, הוא יכול לשחזר קבצים אחרי מתקפת כופרה בלי לשלם, והסיכון שיעביר כסף לחשבון של מתחזה קטן.

מתי לפנות ליועץ אבטחת מידע ומה עושים כשקורה אירוע

יועץ אבטחת מידע או חברה שמספקת שירותי אבטחת מידע שווים את ההשקעה כשהעסק מחזיק מידע רגיש בהיקף משמעותי (מידע רפואי, פיננסי או ביומטרי), כשלקוח גדול דורש עמידה בתקן כמו ISO 27001 או SOC 2, או כשצריך להתאים את העסק לתקנות אבטחת המידע ולתיקון 13. לפני שמתקשרים עם יועץ, כדאי לבקש:

• הסבר בכתב מה כולל השירות: סקר סיכונים, מבדק חדירות, כתיבת נהלים או ניטור שוטף.
• ניסיון מוכח עם עסקים בגודל ובתחום שלכם.
• הבחנה ברורה בין ייעוץ טכני לייעוץ משפטי בנושאי פרטיות, שלרוב דורש עורך דין.
• תוכנית עבודה מסודרת לפי סדר עדיפויות לצד רשימת הממצאים.

אם אתם חושדים באירוע אבטחה

1. נתקו את המכשיר הנגוע מהרשת, אבל אל תכבו ואל תמחקו אותו, כדי לשמור ראיות.
2. החליפו סיסמאות לחשבונות שנחשפו, ממכשיר אחר ונקי.
3. דווחו למוקד 119 של מערך הסייבר הלאומי. המוקד פועל 24 שעות ביממה ומקבל דיווחים מאזרחים ומארגונים.
4. אם נחשף מידע אישי, בדקו מול עורך דין אם חלה עליכם חובת דיווח לרשות להגנת הפרטיות.
5. תעדו מה קרה ומתי, כולל צילומי מסך של הודעות חשודות.

שאלות נפוצות

מה שלושת העקרונות של אבטחת מידע?

סודיות, שלמות וזמינות, שבאנגלית מקצרים ל-CIA. סודיות פירושה שרק מורשים רואים את המידע, שלמות פירושה שהוא לא שונה בלי הרשאה, וזמינות פירושה שהוא נגיש כשצריך אותו.

האם עסק קטן חייב לעמוד בתקנות אבטחת מידע?

כן, התקנות חלות על כל מי שמחזיק מאגר מידע אישי, גם עסק קטן, אבל היקף הדרישות תלוי ברגישות המידע, בכמותו ובמספר בעלי הגישה. כדי לדעת מה חל עליכם, בדקו את ההנחיות של הרשות להגנת הפרטיות באתר gov.il.

מה ההבדל בין אבטחת מידע לסייבר?

אבטחת מידע מגינה על כל סוגי המידע, כולל מסמכים מודפסים ושיחות. אבטחת סייבר מתמקדת במערכות, ברשתות ובמכשירים מחוברים. ברוב העסקים יש בין התחומים חפיפה גדולה.

לאן מדווחים על מתקפת סייבר בישראל?

למוקד 119 של מערך הסייבר הלאומי, שפועל 24 שעות ביממה. אם נחשף מידע אישי, ייתכן שתחול עליכם גם חובת דיווח לרשות להגנת הפרטיות.

מה זה תיקון 13 לחוק הגנת הפרטיות?

זה תיקון שנכנס לתוקף ב-14 באוגוסט 2025. הוא נתן לרשות להגנת הפרטיות סמכות להטיל עיצומים כספיים, חייב גופים מסוימים למנות ממונה על הגנת הפרטיות והטיל אחריות אישית על נושאי משרה.