העדר סקר סיכוני סייבר: מתי עלולה להיווצר חשיפה אישית למנהלים ולבעלי עסקים?
השאלה שרוב המנהלים לא שואלים עד שמאוחר מדי
כשמתקפת סייבר פוגעת בעסק ישראלי, השיחות הראשונות עוסקות בנזק הטכני: אילו מערכות הושבתו, האם המידע הודלף וכמה זמן ייקח לחזור לפעילות. השיחות שמגיעות בהמשך, לעיתים שבועות מאוחר יותר, הן שונות לגמרי: האם ניתן להגיש תביעה נגד הנהלת החברה? האם בעל העסק ידע על הסיכונים ולא פעל?
בישראל של 2026, אחת השאלות שעשויות להיות משמעותיות בבחינת התנהלות הארגון והנהלתו היא האם הסיכונים נבחנו מראש, האם הממצאים הובאו לידיעת הגורמים המתאימים ומה נעשה בעקבותיהם.
מתי קיימת חובה לבצע סקר סיכונים?
תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, הרחיב את הגדרות המידע האישי, חיזק את סמכויות האכיפה וקבע חובת מינוי ממונה על הגנת הפרטיות בארגונים מסוימים. עם זאת, הוא לא יצר חובה גורפת לבצע סקר סיכוני סייבר בכל עסק שמחזיק רשימת לקוחות, ניוזלטר או מערכת CRM.
החובה המפורשת לבצע סקר סיכונים אחת ל-18 חודשים לפחות נקבעה בתקנות הגנת הפרטיות ביחס למאגרים ברמת אבטחה גבוהה. במאגרים אחרים עדיין נדרש להגדיר את הסיכונים העיקריים למידע ואת דרכי ההתמודדות עמם, והרשות להגנת הפרטיות רואה בסקר סיכונים דרך מרכזית לביצוע המיפוי. לכן יש לבחון בכל ארגון את סוג המידע, מספר נושאי המידע, היקף ההרשאות ורמת האבטחה החלה על המאגר.
גם חובת מינוי ממונה על הגנת הפרטיות אינה חלה על כל עסק, אלא על הגופים והארגונים שעומדים בתנאים שנקבעו בחוק, כגון עיבוד מידע בעל רגישות מיוחדת בהיקף ניכר או ניטור שיטתי של בני אדם.
ביחס לתאגידים מדווחים, עמדת סגל רשות ניירות ערך עוסקת בגילוי הנדרש כאשר סיכון הסייבר מהותי לפעילות התאגיד, לרבות התייחסות למדיניות ההגנה, לפיקוח על יישומה ולבחינת האפקטיביות שלה. דרישות אלה אינן חלות באופן זהה על כל עסק.
מתי עלולה להיווצר חשיפה אישית?
הלכת Caremark האמריקאית עוסקת בחובת הפיקוח של דירקטורים ובצורך לקיים מנגנוני דיווח ובקרה סבירים. יישומה בדין הישראלי טרם הוכרע, אף שבית המשפט המחוזי ציין כי ראוי לשקול את אימוצה כאמת מידה גם בישראל.
המשמעות אינה שהעדר סקר יוצר באופן אוטומטי אחריות אישית. השאלות הרלוונטיות הן האם הוקמו מנגנוני פיקוח ודיווח מתאימים, האם ההנהלה קיבלה מידע על סיכונים מהותיים והאם התעלמה מממצאים או מ״דגלים אדומים״.
גם המבנה המשפטי של העסק, התפקיד שמילא כל אדם, הסמכויות שהיו בידיו והנסיבות שקדמו לאירוע משפיעים על בחינת האחריות. לא כל בעל עסק, מנהל או דירקטור חשופים באותו אופן.
הנחיית הרשות להגנת הפרטיות משנת 2024 מספקת בסיס ישראלי ישיר יותר. בחברות שעיבוד מידע אישי מצוי בליבת פעילותן או שפעילותן יוצרת סיכון מוגבר לפרטיות, מצופה מהדירקטוריון לפקח על הציות, לקיים דיונים בתוצאות סקרי סיכונים ומבדקי חדירות ולעקוב אחר תיקון הליקויים.
לכן, העדר סקר עלול להגדיל את החשיפה כאשר הייתה חובה לבצעו, כאשר הסיכון היה ידוע או כאשר לא התקיים מנגנון פיקוח מתועד. במילים אחרות, השאלה אינה רק אם ההנהלה ידעה שהארגון עלול להיפגע, אלא אילו פעולות ננקטו כדי לזהות את הסיכונים ולנהל אותם מראש.
מה כולל סקר סיכוני סייבר?
סקר סיכוני סייבר הוא תהליך שבו ממפים את נכסי המידע של הארגון, מזהים את האיומים הרלוונטיים, מעריכים את ההסתברות להתממשותם ואת עוצמת הנזק האפשרי ומסכמים את הממצאים לצד המלצות לתיקון מדורג לפי סדר עדיפות.
התוצר הוא מסמך שמאפשר לארגון שלושה דברים: לדעת היכן הוא עומד ביחס לסיכונים, להראות שבוצעה בדיקה מסודרת ולנהל את הסיכונים לאורך זמן ולא רק בנקודת זמן אחת.
חשוב להבין שהסקר אינו בהכרח פעולה חד-פעמית. ארגון שביצע סקר לפני שלוש שנים ומאז הוסיף מערכת ענן, ספק חיצוני שמחובר לרשת ושלושה עובדים חדשים בעלי הרשאות גישה נמצא במצב שונה מזה שתועד בסקר המקורי.
שינויים במערכות, בספקים, בהרשאות או בסוג המידע עשויים לחייב בחינה מחודשת. אם התנהלות הארגון תיבדק בעקבות אירוע, עשויה להיבחן לא רק עצם קיומו של הסקר, אלא גם מידת העדכניות שלו והפער בין הממצאים לבין המצב בפועל.
מה האחריות כאשר הכשל נובע מספק חיצוני?
תרחיש שחוזר על עצמו הוא מצב שבו תוקף מנצל חולשה בתוכנה או במערכת שסופקה על ידי גורם חיצוני. העובדה שהכשל נבע מספק אינה מנתקת את אחריות הארגון לבחון את הסיכונים הנובעים מההתקשרות.
כאשר ספק מקבל גישה למאגר מידע, תקנה 15 לתקנות הגנת הפרטיות מחייבת לבחון את סיכוני אבטחת המידע הכרוכים בהתקשרות ולהסדיר בהסכם את הגישה למערכות ואת השימוש המותר במידע. מדובר בחובה נפרדת, שאינה מחייבת בכל מקרה ביצוע סקר סיכונים ארגוני מלא.
אם בדיקת הספק או סקר קיים הצביעו על צורך בפיקוח והממצא לא טופל, הדבר עלול להקשות על הארגון ועל הגורמים המפקחים עליו להסביר את התנהלותם. מנגד, תיעוד של בדיקת הספק, דרישות חוזיות, בקרות ומעקב עשוי להראות שהסיכון נוהל באופן סביר.
זהו ההבדל בין ארגון שבחן את הסיכון ונקט פעולות מתועדות לבין ארגון שמגלה את הבעיה רק לאחר שמתרחש אירוע או מוגשת תביעה.
מה מחזק את ההגנה של ההנהלה?
סקר סיכונים מסודר ומתועד יכול להיות רכיב חשוב במערך הציות והפיקוח, אך הוא אינו מעניק חסינות ואינו מהווה לבדו הגנה משפטית. המשקל שלו תלוי בהתאמתו לפעילות הארגון ובעיקר באופן שבו טופלו הממצאים.
מנהל שיכול להציג מיפוי סיכונים עדכני, דיון מתועד בממצאים, תכנית עבודה מדורגת ומעקב אחר הביצוע נמצא בעמדה טובה יותר ממנהל שאין בידיו תיעוד של תהליך פיקוח מסודר. לא מפני שהחוק מבטיח לו חסינות, אלא משום שהתיעוד עשוי להראות שהסיכונים נבחנו ושהתקבלו החלטות בנוגע לטיפול בהם.
עם זאת, עצם ביצוע הסקר אינו מספיק. סקר שממצאיו לא טופלו עלול דווקא לתעד שהארגון היה מודע לסיכון ובחר שלא לפעול. לכן השלב החשוב אינו מסתיים בקבלת הדוח, אלא כולל גם קביעת סדרי עדיפויות, הקצאת אחריות, לוחות זמנים ומעקב אחר יישום ההמלצות.
לפרטים נוספים על שירותי סקר הסיכונים של פורס מאז'ור
הבהרה: המידע במאמר הוא כללי ואינו מהווה ייעוץ משפטי או תחליף לבדיקה פרטנית של החובות החלות על הארגון בהתאם לפעילותו, למידע שהוא מעבד ולרגולציה החלה עליו.
