ניהול אבטחת מידע - דבר המחוקק והרגולטור הישראלי בנושא - מאמר שני בסדרה

המאמר השני מוקדש למציאות הישראלית הפורמאלית. ישנם שני חוקים ושתי רגולציות מרכזיות במדינת ישראל המחייבות מינוי של פונקציה ניהולית לעניין אבטחת מידע. אזהרה: זהו פוסט ארוך...
הפוסט יסקור בקצרה את עיקרי הדרישות בחוקים וברגולציות, האם המשמעות היא מינוי של יותר ממנהל אבטחה אחד בארגון או שישנה חפיפה, ועוד נושאים שונים.
הסקירה תתבסס על ציר הזמן, כך שהקורא יוכל לעקוב אחר ההתפתחות בנושא והאם הרגולטורים והמחוקקים אכן למדו זה מהצלחותיו או כשלונותיו של זה שפעל לפניהם.

1. חוק הגנת הפרטיות 1981,
תקנות הגנת הפרטיות: הצבת דרישות לאבטחת מידע - 1986
חוק הגנת הפרטיות נחקק בשנת 1981. התקנות העיקריות העוסקות באבטחת מידע (תנאי החזקת מידע ושמירתו וסדרי העברת מידע בין גופים ציבוריים) תוקנו ב-1986.
בתקנות הוגדר שאחראי לאבטחת מידע במאגר מידע הינו מנהל המאגר. בתקנות הוגדרו דרישות אבטחת מידע שיש למלא אחריהן בתחומים הפיזיים, מיחשוביים וניהוליים. מנהל המאגר היה גורם ניהולי הקיים בכל ארגון: מנהל הארגון. בסמכותו להסמיך אחרים (כל מי שהוא מעלה בדעתו) כמנהלי מאגרים. הסמכת משנה לא קיימת. במקרים רבים הוסמכו אוטומאטית מנהלי המיחשוב. נא לזכור, זה עידן מערכות המחשב הגדולות של י.ב.מ, בורוז, דיגיטל, סי.די.סי ואחרים. המחשב האישי היה בחיתוליו, על אינטרנט לא חלמו אז במדינת ישראל. מישהו זוכר את המונח BBS?

2. חוק הגנת הפרטיות 1996:
בשנים 1994-1996 בוצע תיקון רחב היקף בחוק הגנת הפרטיות, שנודע לימים כתיקון מס' 4. התיקון כלל הוספת דרישה למינוי "ממונה אבטחת מידע"
סעיף 17 ב לחוק קובע כי: הגופים המפורטים להלן חייבים במינוי אדם בעל הכשרה מתאימה (מה זה בדיוק, לא מפורט...) שיהיה ממונה על אבטחת מידע (להלן - הממונה):
(1) מחזיק בחמישה מאגרי מידע החייבים ברישום לפי סעיף 8;
(2) גוף ציבורי כהגדרתו בסעיף 23; (גם זה לא בדיוק ברור מיהם כל הגופים הציבוריים. על כן, מנהל אבטחת מידע גש ליועץ המשפטי של הארגון בו הינך עובד וקבל מענה בדוק אם הארגון הוא גוף ציבורי כהגדרתו בסעיף 23 כן או לא...)
(3) בנק, חברת ביטוח, חברה העוסקת בדירוג או בהערכה של אשראי.
מבלי לגרוע מהוראות סעיף 17, הממונה יהיה אחראי לאבטחת המידע במאגרים המוחזקים ברשות הגופים כאמור בסעיף קטן (א).
לא ימונה כממונה מי שהורשע בעבירה שיש עמה קלון או בעבירה על הוראות חוק זה.
מדובר בציון דרך חשוב בתולדות העיסוק באבטחת מידע במדינת ישראל.
הייתה זו הפעם הראשונה שהמחוקק בחקיקה ראשית חייב ארגונים גדולים, שבהם כמויות מידע גדולות למנות גורם מקצועי שיקבל אחריות על אבטחת המידע האישי באותם ארגונים. מקוצר היריעה לא אכנס לכל הפרטים, כמו גם למשמעות המעשית בשטח. אבל כן, זה היה ניצן ראשון של התפתחות העיסוק בנושא בצד האזרחי של מפת המיחשוב במדינת ישראל.
המעניין הוא שאין דרישה למינוי ממונה על הגנת הפרטיות. אז נתפסה אבטחת המידע והגנת הפרטיות כאותו הדבר. היום אנו כבר יודעים שנדרשים שני בעלי מקצוע שונים.

3. חוק להסדרת הביטחון בגופים ציבוריים - 1998:
שנתיים לאחר קבלת התיקון בחוק הגנת הפרטיות המגדיר תפקיד חדש בחלק מהארגונים במדינת ישראל, תפקיד הממונה על אבטחת המידע האישי המוגן עפ"י החוק והתקנות להגנת הפרטיות, מתקבל בכנסת החוק השני המרכזי לענינינו, החוק להסדרת הביטחון בגופים ציבוריים.
החוק קובע כי גוף ציבורי הינו "כל גוף המנוי בתוספות, ולגבי משרד ממשלתי המנוי בתוספות – לרבות יחידות הסמך שלו;"
ממונה ביטחון הינו "מי שמונה על פי חוק זה להיות אחראי על ארגון פעולות אבטחה ועל
הפיקוח עליהן בגופים המפורטים בתוספות"; ומי שמונה יהיה כפוף במישרין למנהל הגוף הציבורי או לסגנו.
פעולות אבטחה מוגדרות כ"פעולות לשמירה על בטחונו של אדם, בטחון הציבור או בטחון המדינה, לרבות שמירה על רכוש. לענין גופים המנויים בתוספות הראשונה והשניה – גם פעילות לאבטחת מידע שחשיפתו עלולה לפגוע בבטחון המדינה וכן פעולות למניעת פגיעה בכל אחד מאלה."
ובמילים פשוטות, מינו את קצין הביטחון של גופים ציבוריים כגון : משרדי הממשלה, רשויות ממשלתיות, חברות התשתית (מקורות, חברת חשמל, בזק ועוד. נא לזכור אנו
ב-1998, לא 2011!!!) כאחראי לאבטחת המידע הביטחוני בגופים אלו.
אין סתירה בין חוק הגנת הפרטיות ובין החוק להסדרת הביטחון בגופים ציבוריים. עוסקים בסוגי מידע שונים בתכלית השינוי. הראשון במידע אישי, השני במידע ביטחוני.

4. בנק ישראל, המפקח על הבנקים, הוראת ניהול בנקאי תקין מס' 357 – ניהול תקין של טכנולוגיית המידע - 2003 :
עוברות חמש שנים עד שמשתנה משהו במגזר האזרחי. המפקח על הבנקים רואה את הפער בין הגנת הפרטיות ומי שממונה עליה בבנק "ממונה אבטחת המידע" ובין הצרכים האמיתיים של הבנק בהתמודדות למול האיומים והסיכונים ההולכים ונערמים. אנו כבר בעידן האינטרנט וחיבור לקוחות למערכות המידע הבנקאיות, ונדרש בעל מקצוע שיהיה לו גם תואר וגם מעמד בכיר מספיק על מנת לקדם את הנושאים בבנק. נפתח עידן "מנהל אבטחת המידע" במדינת ישראל.
הגדרת אבטחת מידע חסרה ברגולציה זו, אם כי היא ניתנת להצגה מזווית אחרת, זווית המענה הנדרש, כפי המופיע בהוראה:
תאגיד בנקאי יישם אמצעי אבטחה פיזית ולוגית למניעה, גילוי תיקון ותיעוד של חשיפות במערך טכנולוגיית המידע ודיווח עליהם בהתאם להערכת הסיכונים ותוך התייחסות גם להיבטים הבאים:
1. זיהוי ואימות (אלו סוגי בקרות אבטחת מידע בתחום המניעה)
2. סודיות ופרטיות (מרכיב ה-Confidentiality במודל ה-CIA).
3. שלמות ומהימנות הנתונים (מרכיב ה- Integrity במודל ה-CIA).
4. מניעת הכחשה (סוג בקרה בתחום הגילוי והתיעוד).
קיבלנו דרישות בתחומים הפיזיים והמחשוביים בקטגוריות מניעה, גילוי תיקון ותיעוד בנושאי CI, אין A. זו איננה טעות. נושא הזמינות והשרידות קיים בהוראה, אבל הוא איננו חלק מאבטחת מידע. ואכן במערכת הבנקאית במדינת ישראל, נושא הטיפול בתוכנית להמשכיות עסקית (שהוא מענה השרידות) איננו בתחום האחריות של מנהל אבטחת המידע של התאגיד הבנקאי.
ההוראה דורשת מהנהלת תאגיד בנקאי למנות "מנהל אבטחת מידע" שיהיה כפוף לחבר הנהלה (כן הוא יכול להיות כפוף למנהל מערכות המידע בבנק ובתנאי שזה האחרון חבר בהנהלת הבנק). הדירקטוריון וההנהלה חייבים לקבוע ולאשר מדיניות לניהול טכנולוגיית המידע שהפרק הראשון בה הוא "אבטחת מידע". הרגולטור לא כתב איך יראה מסמך המדיניות כולו, או פרק אבטחת המידע, והשאיר זאת לבנקים עצמם.
ומה קורה עם הממונה לאבטחת המידע מחוק הגנת הפרטיות שהתאגידים הבנקאיים חוייבו למנות בשנת 1996? שוב מקוצר היריעה ניתן לומר בקיצור שאין בעיה. מנהל אבטחת המידע עפ"י הרגולציה יכול למלא גם את תפקיד הממונה. ומה עם הגנת הפרטיות נשאל? בבנקים ישנו תפקיד "קצין ציות", זה היה באחריותו ונשאר באחריותו.
אם נבחן מהי ההשפעה הישירה של המהלך בהיבט הרוחבי של על מגזרי המשק, אזי לדעתי ההשפעה שולית כיוון שמדובר במספר מצומצם של ארגונים, תאגידים בנקאיים במדינת ישראל שחלקם כבר מינו מנהל אבטחת מידע והוא כבר היה כפוף לחבר הנהלה. מסיבה זו איננו יוצר שינוי דרמטי בנוף הניהולי של אבטחת המידע. גם בתוך הבנקים, מקצתם מצייתים להוראה ככתבה וכלשונה עוד טרם שיצאה לאור, מקצתם יצייתו ומקצתם "מתחכמים". בואו נשאיר את "מנהל אבטחת המידע" בדרג נמוך ונגדיר ערוץ היררכי חדש " מנהל מקצועי למנהל אבטחת המידע" המנהל המקצועי הוא חבר הנהלה, אבל מנהל אבטחת המידע מאחר והוא מנהל זוטר, מנהלו איננו חבר הנהלה... טריק חמוד שתוך כמה שנים נעלם מהנוף.
הערה נוספת: הוראה זו איננה, אני חוזר ומדגיש איננה נקודת מוצא מספקת לנושא אבטחת מידע בתאגיד בנקאי. היא הוראה כללית לניהול תקין של טכנולוגיית המידע ובתחום אבטחת המידע עוסקת במספר מאד מאד מאד מצומצם של נושאים.
אין בכך כדי לגרוע מחשיבות פריצת הדרך בנושא ניהול אבטחת מידע כמו גם נושאים ממוקדים נוספים בתחום אבטחת המידע, כגון, הערכת סיכונים, סקרי בטיחות, בנקאות בתקשורת.

5. החוק להסדרת הביטחון בגופים ציבוריים עדכון לחוק (מס' 2) משנת 2005:
הצעת התיקון לחוק הוגשה בשנת 2002. התיקון התקבל רק בשנת 2005. מכיוון ש"תוך כדי" נכנס הנושא של אבטחת מערכות מיחשוב חיוניות שלא היה בתכנון המקורי של תיקון מס' 2 לחוק זה. על כן שינוי שמטרתו הייתה רק לתקן ולשפר הפך להיות אבן הראשה של מהפיכה של ממש בניהול אבטחת מידע במדינת ישראל.
על כן, ניתן לומר כי מהותו של השינוי הינה הכללת נושא ההגנה על מערכות ממוחשבות חיוניות, אשר באותה העת עדיין פעלו כולן בגופים ציבוריים ועל כן המיקום הנאות של הנושא היה בחוק הנ"ל.
בדברי ההסבר להצעת החוק נכתב כי: "מוצע להבחין בין "פעולות אבטחה פיזית", הכוללות פעולות הנוגעות לשמירה על ביטחונו של אדם ועל הרכוש במבנה של הגוף הציבורי, לבין "פעולות אבטחת מידע" הנוגעות לשמירה על מידע מסווג המצוי בידי הגוף הציבורי; המונח "פעולות אבטחה" כולל את שני סוגי הפעולות; אבחנה זו נדרשת כדי להבהיר את חלוקת האחריות בין המשטרה לשב"כ באשר למתן הנחיות מקצועיות ביחס לגופים המפורטים בתוספת השניה לחוק ולהבהיר כי הנחיות מקצועיות שענינן אבטחה פיזית יינתנו על ידי נציג המשטרה ואילו הנחיות מקצועיות שענינן אבטחת מידע יינתנו על ידי נציג השב"כ. (סעיף 7 לחוק המוצע)
הנוסח שהתקבל לבסוף בחוק הינו:
"פעולות לאבטחת מידע - פעולות הדרושות לשם שמירה על מידע מסווג של גוף ציבורי או מידע כאמור המצוי אצלו, וכן פעולות למניעת פגיעה בכל אחד מאלה";
ו"פעולות לאבטחת מערכות ממוחשבות חיוניות - פעולות הדרושות לשם שמירה על מערכות ממוחשבות, שגוף שהסמיכה הממשלה קבע שהן מערכות ממוחשבות חיוניות, על מידע האגור במערכות אלה ועל מידע מסווג הקשור למערכות אלה, וכן פעולות למניעת פגיעה במערכות או במידע כאמור;"
ממונה הביטחון, דהיינו קצין הביטחון של הגוף הציבורי נותר האחראי על אבטחת המידע (אם כי מהנוסח של המילים בחוק לא לגמרי ברור מהו "מידע מסווג" או "מידע כאמור המצוי אצלו" אלו דורשים פרשנות משפטית) וישנו תפקיד נוסף: "הממונה על הפעולות לאבטחת מערכות ממוחשבות חיוניות".
ישנה גם חלוקת עבודה מסודרת בין גופים מנחים, משטרה, שב"כ, מלמ"ב.
אלא שכאן מתחיל ריבוי של בעלי אחריות לאבטחת מידע בחלק מהגופים הציבוריים במדינת ישראל.
גוף ציבורי שיש לו מידע אישי (בכולם יש) והוא גם כלול בהגדרת גוף שיש לו מערכות ממוחשבות חיוניות יש לו עכשיו שלושה אחראים לאבטחת מידע:
1. ממונה לאבטחת מידע עפ"י חוק הגנת הפרטיות שאחראי על אבטחת המידע האישי. התקנות העומדות לרשותו מעודכנות באותה השנה 2005, אבל אויה! העדכון הינו מינהלי ולא טכנולוגי. מהיכן ישאב ידע מקצועי לביצוע עבודתו? מהתקנות משנת 1986??? בעיה!
2. קצין הביטחון האחראי על המידע המסווג ביטחונית באותו הגוף הציבורי. הנחיות מקצועיות יסופקו לו מגורמי ביטחון הרלוונטיים.
3. ובאם הוחלט שיש צורך למנות אחראי להגנת המערכות הממוחשבות החיוניות אז יש סיכוי שיהיה מנהל שלישי. וההנחיות לאבטחת המידע כאן יסופקו שוב ע"י גורם ביטחוני..
עברו 6 שנים, נוספו והורדו גופים והניהול הכפול והמשולש ממשיך לו.

6. הוראה לניהול סיכוני אבטחת המידע של הגופים המוסדיים המפקח על הביטוח באגף שוק ההון של משרד האוצר – ספטמבר 2006
ושוב חוזר הכדור למגזר האזרחי. במשך כשנתיים ובעקבות ההוראה של המפקח על הבנקים, פועל המפקח על שוק ההון להכיל על מגזר הביטוח הוראה המטפלת באבטחת מידע לחברות הביטוח. הוראה לובשת ופושטת צורה ומתרחבת לכלול לא רק את חברות הביטוח אלא את "הגופים המוסדיים" מונח הכולל בנוסף לחברות הביטוח את קופות הגמל וקרנות ההשתלמות.
אבטחת המידע בהוראה זו תטפל בנושאי זמינות ושרידות (Availability), אמינות שלמות ודיוק (Integrity) וסודיות (Confidentiality).
בהיבט ניהול אבטחת המידע המצב דומה להוראה של המפקח על הבנקים ומשפרת אותה.
סעיף 2.1.3 בהוראה קובע כי:
א. הנהלת הארגון תמנה את אחד מחברי ההנהלה בעל כישורים מתאימים, בכפיפות למנכ"ל אשר יהיה ממונה על נושאי אבטחת המידע בארגון (להלן – "הממונה"). אין בהוראה זו כדי לפגוע בחובת מינוי ממונה לפי סעיף 17ב לחוק הגנת הפרטיות.
ב. הממונה יהיה אחראי על פיקוח ובקרה על הפעילות המתבצעת בתחומי אבטחת מידע וכן על בקרה על תכנית עבודה בנושא אבטחת המידע בהתאם למדיניות אבטחת המידע של הארגון.
ג. הנהלת הארגון תמנה מנהל אבטחת מידע שיהיה כפוף לממונה בנושאי אבטחת המידע בארגון ותעמיד לרשותו את המשאבים הדרושים לניהול אבטחת מידע.
כלומר ישנה היררכיה:
1. מנהל אבטחת מידע שיוכל לתפקד כי הארגון נדרש להעמיד לרשותו המשאבים לכך.
2. מנהלו הינו חבר הנהלה (כפוף למנכ"ל) שיש לו אחריות במסגרת ההנהלה לאבטחת מידע.
אין פגיעה בממונה אבטחת המידע עפ"י חוק הגנת הפרטיות
בדרך כלל אין כפל תפקידים ומנהל אבטחת המידע והממונה על אבטחת המידע הינם אותו אדם.
במהלך אוגוסט 2010 מתפרסם מסמך "ניהול טכנולוגיות מידע בגופים מוסדיים" המספק מעטפת רחבה של ניהול טכנולוגיית המידע בגוף מוסדי וכך נותן קונטקסט להוראתו הקודמת שעסקה רק באבטחת המידע.

לא בכדי סימנתי בכתיב נטוי את תחומי הטיפול של אבטחת המידע, CIA מלא.
ישנם מצבים שבהם מערכות המידע שבהן נעשה שימוש הינן של תאגידים בנקאיים. אלה אמורים לעמוד בהוראה 357, כאשר מנהל אבטחת המידע בתאגיד בנקאי אחראי באמת רק על C (סודיות), מעט על I (שלמות ואמינות) וכלל לא על A (זמינות שרידות).
התוצאה הינה "סכיזופרניה ניהולית" של מנהל אבטחת המידע של התאגיד הבנקאי...

מסקנות:

1. המסקנה העיקרית לדעתי היא שנדרש שהמחוקקים והרגולטורים יחשבו על הגופים אשר כפופים לרגולציות/חקיקות הללו וישקלו שקול היטב כיצד למזער את הבלבול הניהולי של נושאי משרות מנהלי/ממוני אבטחת המידע.
2. לא בכל חקיקה /רגולציה נושא הניהול מפורט בצורה ברורה. ניהול מכיל:
א. את המיצוב הארגוני של נושא המשרה. שלושה מהארבעה שמים דגש ומציבים עמדה ברורה בעניין זה. חוק הגנת הפרטיות איננו מתייחס לסוגיה זו כלל וכלל. ווידוי אישי: כותב שורות אלה היה אחד ממעצבי הסעיף הזה בשנת 1996 בתיקון לחוק הגנת הפרטיות בתפקידו כנציג משרד הבריאות בישיבות וועדת החוקה חוק ומשפט שדנה ועיצבה את נוסח התיקון לחוק עד להבאתו להצבעה בכנסת. ראינו אז הישג ענק בהשגת המטרה של קיבוע בחקיקה ראשית את עצם החובה למנות איש מקצוע לאבטחת מידע במערכות הציבוריות הגדולות, בנקים וחברות ביטוח. לא הקדשנו אז מחשבה מספקת לנושא מיקום הממונה.
ב. את תחומי האחריות במישור CIA (סודיות, שלמות ואמינות, זמינות ושרידות) ובמישור אבטחה פיזית למול אבטחת המחשבים. חוק הגנת הפרטיות מתייחס למעשה לכל ה-CIA וכוולל התייחסות לדרישות לאבטחה פיזית ומיחשובית, חוק להסדרת הביטחון נחזה להתייחס ל-C בלבד וקיימת הפרדה בין פעילות אבטחה פיזית ופעילות אבטחת מידע, הוראת המפקח על הבנקים לC ול-I בלבד ומחייבת אספקת מענה פיזי ומיחשובי, והוראת המפקח על הביטוח שוב לכל ה-CIA. גם הוראה זו מתייחסת לפן הפיזי והמיחשובי.
אתם מוזמנים להשוות את סעיף ב עם הסיום של הפוסט הראשון ולראות שבפועל המציאות קצת שונה.
לנושא האבטחה הפיזית למול אבטחת מערכות טכנולוגיית המידע אתייחס באחד מהפוסטים הבאים.

הגנת פרטיות - על ציות ואי ציות לחוק במדינת ישראל

המאמר השני בסדרה יעסוק בנושא של ציות לחוק. במקרה זה, ציות לחוק הגנת הפרטיות.

במהלך כהונתי כמנהל אבטחת המידע של משרד הבריאות נשאלתי לא אחת ע"י מנהלי בתיה"ח הממשלתיים, מהן החובות שלו כמנהל מאגר המידע המרכזי של ביה"ח ובייחוד חובות שעל פניהן איננו יכול לעמוד בהן. דוגמה מובהקת הינו הסעיף הבא המגדיר את אחד מהמקרים המנויים בחוק לפגיעה בפרטיות, פרק א', סעיף 2, סעיף קטן 11:
פרסומו של ענין הנוגע לצנעת חייו האישיים של אדם, לרבות עברו המיני, או למצב בריאותו, או להתנהגותו ברשות היחיד.
ונצטמצם ל: "פרסומו של עניין הנוגע... למצב בריאותו של אדם".
בלשון פשוטה, פרסום דבר אשפוזו של אדם בבי"ח (שכן אדם בריא איננו מתאשפז, אלא רק מי שחולה) מהווה פגיעה בפרטיות. למותר לציין שבמדינתנו רוויית אירועי ריבוי נפגעים, לא ניתן היה בעבר (וספק אם גם כיום) לציית לדרישת סעיף זה בחוק, והוא איננו הסעיף היחיד הבעייתי.
ומה הייתה תשובתי למנהלי בתיה"ח? בלשון של היום היינו מכנים אותה: ניהול סיכונים כולל, אלא שאז ניסחתי זאת כך:
מדינת ישראל מינתה אותך לנהל בית חולים. בתפקיד זה עליך למלא אחר מגוון דרישות חוק, רגולציות, צווים, הנחיות מקצועיות ומינהליות. כולם נועדו להגדיר ולסייע לבית החולים למלא את ייעודו כמוסד רפואי במדינת ישראל המטפל בחולים. לא התמנית למלא אחר שורה אחת, פסקה אחת או חוק אחד. התמנית כדי שתעצב על פי נסיונך המקצועי והניהולי ובעזרת ההנהלה של המוסד את התקן שעל פיו יפעל המוסד שאתה מנהלו. עליך למצוא את האיזון הנכון המתאים לאוכלוסיה אותה אתה משרת, החולים הבאים בשעריך, בני משפחותיהם וגם מעגלים רחבים יותר, ולהנחיות הפורמליות המוטלות עליך. אין בסמכותי מטעם משרד הבריאות לומר לך לא לציית לדרישה בחוק. בסמכותך לקבוע את סדרי העדיפויות על מנת לבצע את תפקידך ולעמוד על כך לביקורת הציבורית כפי הקבועה בחוק. ובכל תנאי, עליך לפרסם את ההנחיות שעל עובדי המוסד לעבוד על פיהן, לוודא הדרכתם בעת קבלתם לעבודה ובאופן תקופתי, ועיקר העיקרים, ולגבות אותם במידה ופעלו בהתאם להנחיותיך. זוהי תמציתה של מנהיגות ניהולית.
כך נהגתי אני עצמי בתהליכי קבלת ההחלטות בתחום אחריותי במשרד הבריאות. ניהול פירושו ללמוד את התחום, לקבל החלטות ולעמוד לביקורת הרלוונטית על אותן ההחלטות.
דוגמה א': החלטתי בזמנו כי מאחר ואין הפרדה חוקית בחוק ובתקנות להגנת הפרטיות בנושא סוגי מידע רפואי לחלקיו השונים, אזי נהלי אבטחת המידע להגנת המידע הרפואי במסגרת מערכת הבריאות הממשלתית יהיו אחידים ולא יבדילו בין סוגי מידע רפואי. חושבת החברה הישראלית כי מידע בתחום בריאות הנפש רגיש יותר, תתכבד החברה הישראלית באמצעות נציגיה בכנסת לשנות את החקיקה בעניין זה.
דוגמה ב': על הפרק מימוש דרישות אבטחת מידע בבתי החולים הממשלתיים הכלליים. השנה 1997. באותה השנה יוצא לדרך פרוייקט נמ"ר. פרוייקט שמשמעותו החלפת כל מערך המיחשוב בבתי חולים אלה בתוך מספר שנים. החלטתי לא "לטרטר" את בתי החולים בשיפור המצב הקיים ולהשקיע את כל המאמצים בשילוב דרישות אבטחת המידע בפרוייקט הנמ"ר.

שתי ההחלטות נבעו מהליך של ניתוח המצב הקיים על בסיס "ניהול סיכונים כולל", הצגת ההמלצה בפני דרגי הניהול במשרד הבריאות ובפני גורמי הביקורת הרלוונטיים כדוגמת מבקרת המדינה ושכנועם. בכך הוכח כי ישנה דרך אמיתית להתנהל בטווח קצר, בינוני וארוך במערכת הממשלתית כאשר לך כמנהל אבטחת המידע יש את הידע, היכולת והכושר הניהולי להתמודד, כמו גם גיבוי ניהולי בתוך המשרד עצמו.

ניהול יעיל של אבטחת מידע בעשור הראשון של המאה ה – 21 מרובת הרגולציות באמצעות הסמכה לתקן אבטחת מידע ת"י 27001

בהתקרב סיומו של העשור הראשון של המאה ה-21 מוצאים עצמם ארגונים רבים במדינת ישראל נאבקים בסיוט חדש: חובת הציות לערב רב של חוקים ודרישות רגולטוריות שבדרך זו או אחרת משפיעים על מערכות המידע בארגון.
לציית כמובן צריך. הסיכון שבאי ציות הנו העמדה לדין, שבסיומו עלול למצוא עצמו הארגון משלם קנס בן מאות אלפי ש"ח, סכום שבעתות הידוק החגורה עלול להיות מכה קשה וכואבת ובעיקר מיותרת.
אבל תהליך ההכנה של הארגון עלול להיות ארוך, קשה, מורכב ויקר. הסיבה העיקרית עלולה להיות שהארגון לא השקיע בעבר בנושא אבטחת מידע וכעת בטווח זמן קצר יחסית נאלץ לסגור פער גדול. באם ההתמודדות הייתה עם הוראה רגולטורית אחת, ניתן להתמודד באופן סביר. אלא שעל הארגונים בסקטורים השונים "מתנפלות" רגולציות שמספרן גדל והולך. חלקן "תוצרת הארץ".
החוקים עליהם מבוססת אבטחת מידע במדינת ישראל הנם:
1. החוק והתקנות להגנת הפרטיות. שני עדכונים מהותיים בחוק זה. האחד בשנת 1996 והשני בשנת 2005. עדכונים נוספים במהלך השנים שלאחר 2005. בימים אלה משגר רשם מאגרי המידע במשרד המשפטים הודעות על הפעלת הקנס המנהלי, וכדאי לשים לב לעניין זה.
2. החוק להסדרת הביטחון בגופים ציבוריים. בשנת 2005 עובר עדכון בעיקר על מנת לכלול את גופי התשתיות החיוניות (התוספת הרביעית לחוק).
רגולציות עיקריות במדינת ישראל:
1. הוראת המפקח על הבנקים לעניין ניהול תקין של טכנולוגיית המידע, משנת 2003. ההוראה חלה על תאגידים בנקאיים.
2. הוראת המפקח על הביטוח באגף שוק ההון במשרד האוצר לעניין ניהול סיכוני אבטחת מידע החלה על גופים מוסדיים (חברות ביטוח, וקרנות פנסיה וגמל).
חקיקה בעולם הרלוונטית לחלק מהארגונים במדינת ישראל:
1. חוק סרבנס-אוקסלי (SOX). הן המפקח על הבנקים והן המפקח על הביטוח אימצו את עקרונות החוק ומחייבים את הארגונים הסרים לפיקוחם לעמוד בחלק מדרישות החוק, למרות שאין במדינת ישראל חקיקה מחייבת לעניין זה.
רגולציות בעולם המחייבות חלק מהארגונים במדינת ישראל:
1. בזל II. רגולציה לסקטור הבנקאי שעיקרה ניהול סיכונים, בין היתר סיכונים תפעוליים. מרכיבי ניהול סיכוני טכנולוגיית המידע כלולים (עפ"י הגדרת המונח סיכון תפעולי) במסגרת הסיכונים התפעוליים.
2. PCI-DSS. רגולציה שמקורה בחברות כרטיסי האשראי. מטרתה לאפשר, בהתקיים תנאי סף מסויימים, לקבוע דרישות מינימום בתחום אבטחת המידע עבור סוחרים וספקי שירותים בעולם כרטיסי האשראי.
ארגון אשר רגולציה כזו או אחרת מושת עליו יפעל באופן כללי בצורה הבאה:
1. מיפוי הדרישות למול יחידות ארגוניות רלוונטיות בארגון. לדוגמה: דרישות לדירקטוריון, דרישות להנהלה, דרישות ליחידת טכנולוגיות המידע, דרישות למנהל אבטחת המידע וליחידתו וכד'. תוצר השלב: טבלת דרישות למול יחידות ארגוניות בארגון.
2. בחינת הדרישות בפועל – דוח סטאטוס המציג את הפער בין כל דרישה לבין המצב בפועל בארגון. תוצר השלב: דוח פערים עפ"י יחידות בארגון למול הדרישות.
3. תוכנית עבודה לסגירת/צמצום הפערים – כמקובל. כולל לו"ז, משאבים, סדרי עדיפויות , אחראים על הבצוע, אבני דרך ותהליכי דיווח ובקרה על התקדמות.
ככל שהחוק הנדון או הרגולציה מפורטת יותר כך הדרישות ברורות יותר, אבל בה בעת תהליך איתור הפערים מורכב וארוך יותר. כך גם תתארך לה מן הסתם "רשימת המכולת" להצטיידות לעמידה בדרישות.
בהינתן חקיקה/רגולציה חדשה (לאומית, או אימוץ דרישה בינלאומית) בהיקף של לפחות אחת לשנתיים, ימצא עצמו מנהל אבטחת המידע מהר מאד עוסק ללא הרף באיתור פערים למול דרישה שאיננה מתבססת ברוב המקרים על מתודולוגיה אבטחתית מספיק רחבת היקף, שכן חקיקה או רגולציה נולדים מתוך צורך לספק מענה להתרחשות ספציפית או רק לסקטור ספציפי..
והדוגמאות הרי הן לפניכם:
1. חוק הגנת הפרטיות להגנה של צנעת הפרט ללא התייחסות בכלל למידע עסקי,
2. חוק SOX (סרבנס-אוקסלי) לאמינות הדיווחים החשבונאיים, ולא לכלל מערכות המידע בארגון,
3. רגולציית בזל II מתייחסת רק לתאגידים בנקאיים,
4. הוראת המפקח על הבנקים לניהול תקין של מערך ה-IT בבנקים מתייחסת באופן ספציפי למספר מאד מצומצם של הבטי אבטחת מידע בבנקים. לדוגמה אין כל התייחסות להיבט האנושי.
5. הוראת המפקח על הביטוח לגבי גופים מוסדיים, חלה רק עליהם. בהמשך בדומה לסקטור הבנקאות תחול בסקטור הביטוח הוראת Solvency II העוסקת בניהול סיכונים בדומה לבזל II.
כל חקיקה או רגולציה הנה רלוונטית למקטע כזה או אחר, בין סקטוריאלי או בחתך אחר, אך עיקר הבעיה שאיננה רגולציה יחידה ובחלוף השנים הארגון מוצא עצמו נדרש לעמוד ביותר משתיים ואפילו שלוש חקיקות/רגולציות שונות בתחום אבטחת מידע ואבטחת טכנולוגיית המידע.
על מנת להימנע מהקשיים והעלויות הגבוהות אשר כבר נדרשות וימשיכו להידרש לכל הפחות בעתיד הקרוב ממעגלים גדלים והולכים של סקטורים, מומלץ לאמץ גישה שבה ניהול סיכוני טכנולוגיית המידע מתבסס על תקן אבטחת מידע בינלאומי, תקן 27001/27002.
תקן 27001/27002. הנו תקן לניהול סיכוני טכנולוגיית המידע האמור לספק מענה לכל סוגי הארגונים בכל מדינות העולם. ככזה ברור שאיננו מספק מענה ככתבו וכלשונו, ונדרשות התאמות החל מרמת המדינה, המגזר והארגון הספציפי. התקן אומץ ע"י מכון התקנים הישראלי ככתבו וכלשונו. היתרון המשמעותי של התקן הנו אי תלותו בסקטור או ארגון מסויים. בכך תהליך ההתייחסות לאבטחת מידע באמצעות התקן מחייב התאמתו לארגון הספציפי, תוך שילוב של דרישות חוקיות / רגולטוריות הרלוונטיות לאותה מדינה / אותו סקטור / ארגון. התקן מאפשר מתן מענה מותאם לכל ארגון בהיבטים הרחבים של ניהול סיכוני המידע והשימוש בטכנולוגיית המידע ומאפשר שילוב "תוך כדי תנועה" ושילוב תקופתי של רגולציות / חקיקות הן ברמה הלאומית והן ברמה הבינלאומית.
דווקא הליך זה מספק את הסיכוי המיטבי למימוש טוב, רחב ומלא של ניהול סיכוני טכנולוגיית המידע. התקן כולל את מכלול הדרישות לייסוד, הטמעה, הפעלה, ניטור, סקירה תחזוקה ושיפור של מערכת מתועדת לניהול אבטחת המידע בארגון. בכך כולל התקן למעשה את כל הבקרות אשר על הארגון להפעיל בנושא הטיפול בסיכוני סודיות, זמינות, שרידות, שלמות ואמינות של השימוש במידע ובטכנולוגיית המידע בהבטים הפיזיים, המחשוביים, האנושיים והתהליכיים לאורך כל מחזור החיים של השימוש במידע ובמערכות טכנולוגיית המידע. חשוב לציין שיש לשלב בתהליך מתחילתו את הדרישות החוקיות/רגולטוריות על מנת למנוע כפל/סתירה ביישום התקן.
התהליך הנדרש כולל על כן התאמה של מרכיבים רבים עפ"י המבנה, תהליכי העבודה ומרכיבי הטכנולוגיה בארגון ואיננו מאפשר כלל וכלל אימוץ אוטומאטי של דרישות.
כדוגמה ניתן לציין את החובה לבצע סיקרי סיכונים ע"י גורמים חיצוניים, מקצועיים ובלתי תלויים בהתאם להערכת הסיכונים של מערך טכנולוגיית המידע, ובתדירות כפי הנדרשת ע"י הרגולטורים, המפקח על הבנקים לתאגידים בנקאיים, והמפקח על הביטוח לגופים מוסדיים. לעומת זאת, בתקן לא קיימת חובה שהסקרים יבוצעו ע"י גופים חיצוניים. זו אחת האפשרויות אבל אין הכרח. על כן שילוב הדרישות במקרה זה יגדיר את תהליכי הביקורת הבאים: קיום הנהלים וביצוע הפעילויות המתחייבות מהם יכול להתבצע ע"י גורמים פנים ארגוניים (בלשון 27001: מבדק פנימי), בעוד שסקרי הסיכונים עצמם, המהווים את מבדק הבקרות האבטחתיות חייב להיעשות בידי גורמי חוץ עפ"י דרישת הרגולאטורים.
27002 הנה תורת האבטחה עפ"י מכון התקנים הבינלאומי, תורה שאומצה גם היא ככתבה וכלשונה ע"י מכון התקנים הישראלי. תורה זו מסבירה "מה כוונת המשורר" (מכון התקנים) בכל בקרה ובקרה המנוסחת ב-27001 וכיצד מכון התקנים מניח שיש ליישמה.
ראוי לציין ששני המסמכים מהווים התפתחות של שני מסמכים שהיוו את התקן הקודם ונודעו במספרם 17799. אלו התבססו על תקינה בריטית BS7799 מסוף העשור הקודם, אשר מקורה במסמכים פנימיים לניהול אבטחת המידע בחברת של הבריטית.
יישום התקן הכולל גם תהליך של הסמכה פורמאלית ומתמשכת של הארגון לתקן 27001 מהווה אם כך את "אבן הראשה" לציות לכל אחד מהחוקים/רגולציות ההולכים ומתפתחים החל מתחילת המאה הנוכחית ואשר באופן ישיר או עקיף מתייחסים לנושאי מידע וטכנולוגיית מידע.
המשמעות אם כך הנה שעל מנת להימנע מזעזועים גדולים שמשמעותם הקצאה לא מתוכננת של משאבים ומיקוד יתר לטווח קצר לנושאי ניהול סיכוני טכנולוגיית המידע (שיגרור לאחריו מיקוד חסר בטווחים הבינוני והארוך), על ארגונים להיערך להסמכתם לתקן אבטחת מידע 27001, וזאת מומלץ שיבוצע ככל האפשר בטרם יידרשו לעמוד בחקיקה/רגולציה מגזרית. תהליך כזה יביא את הארגון להתאמה אופטימלית של ניהול סיכוני המידע וטכנולוגיית המידע כאשר חקיקה/רגולציה ספציפית עשוייה בדרך כלל להוסיף אולי תוספת שולית (בעיקר התמקדות לסעיף זה או אחר, אך קשה להניח שתתווסף דרישה אבטחתית חדשה לחלוטין שלא נדרשה כבר ויושמה), אך לא לגרור את הארגון לפרוייקט במועד שלא תוכנן על ידו ובלוחות זמנים שעלולים לשבש תוכניות ארגוניות אחרות.

ותרשו לי הערה אישית קטנה:אני ובת זוגתי יורדים היום לאילת להנות ממספר קונצרטים במסגרת הפסטיבל הבנלאומי למוזיקה קאמרית. אז שיהיה שבוע טוב ונקי מוירוסים ושאר מרעין בישין, ולהתראות בשבוע הבא