פרטיות וציות שמתחברים לעבודה בפועל.
ממפים את המידע, מבררים את הדרישות הרלוונטיות ובונים תוכנית עבודה לבקרות, תיעוד והכנה לביקורת. DLTS מחברת בין הנהלה, IT וגורמי המשפט והביקורת כדי לקדם טיפול מסודר בפערים.
תיקון 13 לחוק הגנת הפרטיות, GDPR, ISO 27001 ו־SOC 2 הם מסגרות שונות: חקיקה, תקן ניהולי ודוח ביקורת. מתחילים בבדיקת הרלוונטיות לפעילות הארגון ולדרישות לקוחותיו. לאחר מכן מגדירים אחריות, סדרי עדיפויות ותיעוד, ומחברים אותם לניהול ההרשאות, המידע והמערכות. היישום הטכני מתואם עם הייעוץ המשפטי ועם גוף הביקורת לפי הצורך.
מבינים את המסגרת לפני שמתחילים ליישם
לכל מסגרת תחולה, היקף ותוצר שונים. הפרטים הבאים מסייעים לשיחת המיפוי ואינם קביעה לגבי חובות הארגון שלכם.
לכל בקרה יש אחראי, תהליך ודרך לבדוק אותה.
ניהול הרשאות, הגנת מערכות, גיבוי, תיעוד וניהול ספקים יכולים לתמוך בכמה מסגרות במקביל. ממפים כל בקרה לדרישה המתאימה, ובודקים בנפרד את ההיקף, הראיות והפערים של כל מסגרת.
DLTS מסייעת לחבר בין מדיניות לבין מה שקורה במערכות: מי מקבל גישה, איך מטפלים בשינוי, מה מתועד ואיך בודקים שחזור. גם כשמוסיפים כלי AI או אוטומציה, בוחנים את המידע, הספקים וההרשאות כחלק מהתהליך.
גישה ובקרת הרשאות
מיפוי משתמשים, אימות חזק וסקירת הרשאות לפי תפקיד וצורך.
אבטחת מידע
הגנת מערכות, ניטור ותגובה לאירועים לפי הסיכונים והיקף השירות.
גיבוי והמשכיות
יעדי שחזור מוסכמים, בדיקות מתועדות וחלוקת אחריות.
פרטיות ותיעוד
מיפוי מידע וספקים, תהליכי טיפול בפניות ותיעוד לפי הדרישות הרלוונטיות.
מתקדמים לפי פערים וסדרי עדיפויות.
- מיפוי: אילו מערכות ומידע נכללים, אילו דרישות רלוונטיות ומה כבר קיים.
- תעדוף: מה דחוף, מה תלוי בתהליך אחר ומי אחראי לקדם כל משימה.
- יישום: התאמת הרשאות, נהלים ובקרות, יחד עם הצוותים והספקים הרלוונטיים.
- בדיקה: איסוף ראיות, טיפול בפערים ובחינה חוזרת כשמערכות או דרישות משתנות.
תשובות מהשטח
מתי תיקון 13 נכנס לתוקף ומה ההשלכות הפרקטיות?
תיקון 13 נכנס לתוקף ב-14 באוגוסט 2025. הוא עדכן בין היתר הגדרות, סמכויות אכיפה וחובות ביחס למאגרי מידע ולמינוי ממונה הגנת פרטיות. מיפוי החובות לארגון נעשה לפי פעילותו וסוגי המידע שהוא מעבד.
האם חובה למנות DPO רשמי?
החובה תלויה בסוג הגוף, בפעילות הליבה, בסוגי המידע ובהיקף העיבוד. יש לבדוק את תנאי החוק ואת הנחיות הרשות להגנת הפרטיות לגבי הארגון המסוים, ולא להסיק שכל עסק חייב במינוי.
כמה זמן לוקח להתאים את הארגון?
לוח הזמנים תלוי בפערים, במערכות, בהיקף המידע ובמשאבים הזמינים. מתחילים במיפוי ותעדוף, מגדירים בעלי אחריות ואבני דרך, ומבררים בנפרד את דרישות תקופת הבדיקה של גוף הביקורת הרלוונטי.
אילו בקרות טכניות הן הקריטיות ביותר?
אימות חזק, הרשאות לפי צורך, הגנת תחנות, ניטור, גיבוי שנבדק ועדכוני אבטחה הם תחומים מרכזיים לבחינה. הבחירה בבקרות נעשית לפי הסיכונים, המערכות והדרישות החלות; רשימת מוצרים לבדה אינה מוכיחה עמידה בדין או בתקן.
מה עושים במקרה של אירוע אבטחה?
מפעילים את תוכנית התגובה, מתעדים ומשלבים גורמי אבטחה ומשפט לצורך הכלה, שמירת ראיות ובחינת ההשפעה. בודקים בהקדם אילו חובות דיווח ומועדים חלים לפי הדין, סוג המאגר והאירוע; מועד הדיווח תלוי במסגרת הרלוונטית ובנסיבות.
מה ההבדל בין Type I ל-Type II ב-SOC 2?
Type I מתייחס לתכנון הבקרות בנקודת זמן. Type II כולל גם בדיקה של האפקטיביות התפעולית לאורך תקופה. את סוג הדוח, התקופה והמערכת הנבדקת מתאמים עם גוף הביקורת בהתאם לצורך.
להעמקה במקורות הרשמיים: הרשות להגנת הפרטיות · ISO/IEC 27001 · AICPA — SOC · EDPB — תחולת GDPR.
מתחילים במיפוי הצרכים והפערים
ספרו על הפעילות, על המערכות ועל הדרישה שבגללה פניתם — לקוח, ביקורת או צורך פנימי. בשיחת ההיכרות נברר את ההקשר ונגדיר יחד מה צריך לבדוק ובאיזה היקף.
- בירור המסגרות הרלוונטיות לפעילות
- מיפוי פערים ותוכנית עבודה מתועדפת
- יישום טכני בתיאום עם גורמי המשפט והפרטיות
- הכנת תיעוד ותמיכה בתהליך הביקורת