Тиккун 13: техническая часть, которую юрист за вас не сделает
Находим персональные данные внутри систем, проверяем доступы, шифрование и журналирование доступа и исправляем то, чего не хватает, в коде и инфраструктуре.
Кратко
Тиккун 13 к закону о защите частной жизни действует с 14 августа 2025 года. Первый денежный штраф по нему наложили 21 июля 2026 года на организацию из сферы здравоохранения, и не за саму утечку, а за запоздалое сообщение о серьёзном инциденте безопасности. Юридическую и организационную сторону ведут юрист и ממונה על הגנת הפרטיות. Но значительная часть требований выполняется технически, внутри систем: управление доступом, шифрование, журналирование доступа, удаление данных и обнаружение инцидентов безопасности.
Почему сейчас
21 июля 2026 года Управление по защите частной жизни наложило первый денежный штраф по Тиккуну 13 на организацию из сферы здравоохранения. По данным Управления, организация знала о серьёзном инциденте безопасности и сообщила о нём только примерно через два месяца. Если обязанность сообщать о серьёзном инциденте безопасности применима, сообщать нужно, как только о нём стало известно, не дожидаясь окончания всех проверок.
Что это значит для системы: инциденты безопасности нужно обнаруживать как можно раньше, понимать, какие данные могли стать доступны, и иметь сведения, нужные для первичного сообщения вовремя. Журналы доступа и мониторинг помогают обнаружить инцидент и выяснить его масштаб.
Что требует поправка, определение за определением, разобрано на странице о Тиккуне 13 для систем.
Что мы делаем
- Техническая карта: в каких таблицах, файлах, резервных копиях и внешних сервисах хранятся персональные данные.
- Доступы: кто что видит, старые учётные записи, слишком широкие права.
- Шифрование и секреты: чувствительные данные при хранении и передаче, пароли и ключи, оставшиеся в коде.
- Журнал доступа: можно ли установить, кто обращался к данным, когда и к какой части системы.
- Обнаружение инцидентов и сообщение о них: заметите ли вы инцидент вовремя и откуда узнаете, что именно стало доступно, чтобы без промедления сообщить в Управление.
- Хранение и удаление: есть ли механизм, который удаляет данные, когда они больше не нужны.
- Поставщики и AI: какие персональные данные передаются в облачные сервисы и внешние AI-сервисы.
- Исправление: вносим изменения в код и инфраструктуру, а не только даём рекомендации.
Что вы получаете
Технический отчёт о пробелах, который можно передать юристу, ממונה על הגנת הפרטיות и ответственному за защиту информации, а также план исправлений по приоритетам.
Опыт работы с чувствительными данными
Национальная медицинская платформа, которую мы проектируем и разрабатываем, работает в продакшене с 2008 года. Медицинские и персональные данные для нас повседневная работа.
Важно знать
Мы не юридическая фирма и не даём юридических консультаций. По юридическим вопросам, в том числе о том, обязаны ли вы назначить ממונה על הגנת הפרטיות, нужно консультироваться с юристом. Мы даём ему технические факты о системах.
Частые вопросы
Это заменяет ממונה על הגנת הפרטיות?
Нет. Мы даём ему техническую картину и вносим исправления в системы.
Что нужно системе, чтобы сообщить об инциденте вовремя?
Журналы доступа, по которым можно установить, кто и когда обращался к системе и к данным, система мониторинга, которая предупреждает о необычной активности, и порядок, в котором определено, кто отвечает за оценку серьёзности инцидента и за сообщение о нём. Без этих инструментов и процессов труднее вовремя обнаружить инцидент, выяснить его масштаб и сообщить, как требуется.
Нашу систему делал другой подрядчик. Это возможно?
Да. Нужен доступ к коду, к базе данных или хотя бы к тестовой среде.
Это включает тест на проникновение?
Нет. Мы готовим систему к тесту на проникновение, а после него исправляем найденное в коде и инфраструктуре.
SLAtech LTD