תיקון 13: החלק הטכני שעורך הדין לא יכול לעשות בשבילכם

למה עכשיו

ב-21 ביולי 2026 הטילה הרשות להגנת הפרטיות את העיצום הכספי הראשון מכוח תיקון 13, על גוף במערכת הבריאות. לפי הרשות, הגוף ידע על אירוע אבטחה חמור ודיווח עליו רק כחודשיים לאחר מכן. כאשר חלה חובת דיווח על אירוע אבטחה חמור, יש לדווח עם היוודע על האירוע, בלי להמתין להשלמת כל הבדיקות.

המשמעות למערכת: צריך לזהות אירועי אבטחה מוקדם ככל האפשר, להבין איזה מידע עלול היה להיחשף, ולהחזיק במידע הדרוש לדיווח ראשוני בזמן. יומני גישה וניטור עוזרים לזהות אירועים ולברר את היקפם.

מה התיקון דורש, הגדרה אחר הגדרה, מפורט בדף על תיקון 13 למערכות.

מה אנחנו עושים

1. מיפוי טכני: באילו טבלאות, קבצים, גיבויים ושירותים חיצוניים נמצא מידע אישי.
2. הרשאות: מי רואה מה, חשבונות ישנים, הרשאות רחבות מדי.
3. הצפנה וסודות: הצפנת מידע רגיש באחסון ובתעבורה, סיסמאות ומפתחות שנשארו בקוד.
4. תיעוד גישה: האם אפשר לזהות מי ניגש למידע, מתי ולאיזה חלק במערכת.
5. זיהוי ודיווח על אירועים: האם תגלו אירוע אבטחה בזמן, ומאיפה תדעו מה נחשף כדי לדווח לרשות בלי דיחוי.
6. שמירה ומחיקה: האם יש מנגנון שמוחק מידע שכבר לא נדרש.
7. ספקים ו-AI: איזה מידע אישי מועבר לשירותי ענן ולשירותי AI חיצוניים.
8. תיקון: מבצעים את השינויים בקוד ובתשתית, לא רק כותבים המלצות.

מה מקבלים

דוח פערים טכני שאפשר להעביר לעורך הדין, לממונה על הגנת הפרטיות ולממונה אבטחת המידע, ותוכנית תיקון לפי עדיפות.

ניסיון במידע רגיש

פלטפורמת הבריאות הלאומית שאנחנו מתכננים ומפתחים פועלת בסביבת ייצור מאז 2008. מידע רפואי ואישי הוא העבודה היומיומית שלנו.

חשוב לדעת

שאלות נפוצות

זה מחליף ממונה על הגנת הפרטיות?

לא. אנחנו נותנים לו את התמונה הטכנית ומבצעים את התיקונים במערכות.

מה המערכת צריכה כדי לדווח על אירוע בזמן?

יומני גישה שמאפשרים לזהות מי ניגש למערכת ולמידע ומתי, מערכת ניטור שמתריעה על פעילות חריגה, ונוהל שקובע מי אחראי להערכת חומרת האירוע ולדיווח. בלי הכלים והתהליכים האלה קשה יותר לזהות אירועים בזמן, לברר את היקפם ולדווח כנדרש.

המערכת שלנו נבנתה על ידי ספק אחר. אפשר?

כן. צריך גישה לקוד, למסד הנתונים או לפחות לסביבת בדיקה.

זה כולל מבדק חדירה?

לא. אנחנו מכינים את המערכת למבדק חדירה, ואחריו מתקנים את הממצאים בקוד ובתשתית.