(חי פה) – הרשות להגנת הפרטיות קבעה כי הטכניון הפר את הוראות חוק הגנת הפרטיות ואת תקנות הגנת הפרטיות (אבטחת מידע), בעקבות ליקויים שנמצאו בהתנהלותו בעת אירוע אבטחת מידע חמור שהתרחש לפני מספר שנים. במסגרת האירוע זוהתה חדירה בלתי מורשית למערכות הארגון.
לא דווח על אירוע האבטחה באופן מידי
ההחלטה התקבלה בתום הליך פיקוח מנהלי שערכה הרשות, שנועד לבדוק את נסיבות האירוע ואת אופן התנהלות הטכניון בכל הנוגע להגנה על מערכות המידע שברשותו.
ממצאי הפיקוח העלו כי במועד האירוע, הטכניון לא דיווח לרשות להגנת הפרטיות באופן מידי על אירוע האבטחה החמור, כפי שנדרש בתקנות הגנת הפרטיות (אבטחת מידע).
ליקויים במיפוי המערכות ובהגנה עליהן
לצד העיכוב בדיווח, מצאה הרשות ליקויים נוספים בהתנהלות הטכניון. בין היתר, נקבע כי במועד האירוע לא החזיק המוסד במסמך מיפוי מערכות וברשימת מצאי כנדרש.
עוד נמצא כי הטכניון לא הקפיד על ניהול ותפעול תקין של מערכות המאגר, ולא וידא כי מערכות המידע מעודכנות ומוקשחות באופן אפקטיבי, בהתאם לדרישות אבטחת המידע.
אילו הוראות הופרו?
על בסיס ממצאי הליך הפיקוח, קבעה הרשות כי הטכניון הפר את סעיף 17 לחוק הגנת הפרטיות, התשמ"א–1981, בנוסחו במועד האירוע, וכן את תקנות 5(א), 11(ד)(1), 13(א) ו-13(ג) לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז–2017.
סעיף 17 לחוק הגנת הפרטיות קובע: כי בעל מאגר מידע ומי שמחזיק בו אחראים לאבטחת המידע, ועליהם לפעול להגנה עליו מפני גישה ושימוש בלתי מורשים.
תקנות הגנת הפרטיות (אבטחת מידע) מפרטות את החובות הנדרשות לשם כך:
תקנה 5(א) – מחייבת להחזיק מסמך מעודכן המתאר את מבנה המאגר ורשימת המצאי של מערכותיו; תקנה 11(ד)(1) – מחייבת לדווח לרשות להגנת הפרטיות באופן מיידי על אירוע אבטחה חמור;
תקנה 13(א) – מחייבת ניהול ותפעול תקין של מערכות המאגר, בהתאם לנהלים שנקבעו;
תקנה 13(ג) – מחייבת עדכון שוטף של מערכות המאגר, לרבות רכיבי התוכנה הנדרשים להפעלתן, והימנעות משימוש במערכות שאינן מקבלות עוד תמיכה אבטחתית, ללא מענה מתאים לסיכונים.
ההחלטה מתייחסת לליקויים שנמצאו בהתנהלות הטכניון בעת אירוע האבטחה, ובפרט לחובת הדיווח, לתיעוד ולמיפוי מערכות המידע ולצעדים הנדרשים לשמירה על אבטחתן.