בישראל יש תקנות פרטיות חדשות, כך תעמדו בהן ותימנעו מקנסות

תקנות הפרטיות המעודכנות, ובפרט תקנה 10 המחייבת שמירת לוגים לתקופה של שנתיים, מעלות שאלות רבות בנוגע לאופן יישומן, ההשלכות על ארגונים במשק הישראלי, והאיזון העדין בין דרישות רגולטוריות, פרטיות המשתמשים, וניהול נכון של נתונים.

עדכון התקנות הוא חלק מהמאמץ הכולל של ממשלת ישראל לחזק את אבטחת המידע בארגונים, להפחית את הסיכון להפרות פרטיות, ולהגביר את השקיפות מול גורמי אכיפה ובקרה. הדרישה לשמור לוגים לתקופה של שנתיים נועדה לאפשר חקירה מעמיקה של אירועי סייבר, איתור אנומליות, וזיהוי הפרות פוטנציאליות של חוקי הגנת המידע. עם זאת, ההשלכה המיידית היא שארגונים יידרשו להתמודד עם עלייה משמעותית בכמות הנתונים שעליהם לאחסן, לנהל ולהגן עליהם.

לוגים (Logs) הם רשומות דיגיטליות המתעדות פעולות ואירועים במערכות מידע, תוכנה או חומרה. ניתן להשוות אותם ליומן דיגיטלי, שמאפשר לעקוב אחר פעילות משתמשים, שינויים במידע, פעולות אבטחה ותקלות טכניות. לוגים מכילים מידע חיוני כמו תאריכים ושעות של פעולות, כתובות IP, שגיאות מערכת ועוד.

שמירת לוגים היא קריטית מכמה סיבות עיקריות:

• איתור בעיות ותקלות: לוגים מספקים למנהלי מערכות מידע תובנות בזמן אמת ומאפשרים פתרון בעיות טכניות במהירות.
• חקירת אירועי סייבר: במקרה של תקיפת סייבר או הפרת פרטיות, לוגים משמשים ככלי מרכזי לחקירת האירוע והבנת השפעותיו.
• עמידה בדרישות רגולטוריות בעולם: שמירת לוגים היא חלק בלתי נפרד מעמידה בחוקי הפרטיות הנהוגים באירופה, ארה"ב ומדינות נוספות, במיוחד בתחומים רגישים כמו פיננסים ובריאות.
• ניתוח מגמות ושיפור ביצועים: לוגים מאפשרים לארגונים לנתח נתונים לאורך זמן, לזהות מגמות ולייעל תהליכים עסקיים וטכנולוגיים.

לדוגמה, אם ארגון חווה פרצת אבטחה, הלוגים יכולים להציג את שרשרת הפעולות שהובילה לכך, כולל מתי התוקף נכנס, אילו פעולות ביצע ומה המידע שנפגע.

לוגים נוצרים בכמות עצומה, במיוחד בארגונים גדולים, והדרישה לשמור אותם למשך 24 חודשים מציבה אתגרים טכנולוגיים, כלכליים ורגולטוריים. עלויות האחסון, שמירה על פרטיות המשתמשים וניהול אבטחת המידע הופכים למשימות מורכבות שמחייבות שימוש בכלים וטכנולוגיות מתקדמות:

אחסון נתונים מאובטח וחסכוני - עלות האחסון עלולה לגדול משמעותית, במיוחד בארגונים מבוססי ענן או בעלי מערכות מידע מקומיות. הפתרון הוא להשתמש בטכנולוגיות דחיסת נתונים, שירותי ענן מבוססי תשלום לפי שימוש, ומנגנוני ארכוב חכמים.
גישה מהירה לנתונים היסטוריים - ארגונים נדרשים להחזיק במידע בפורמט שיאפשר שליפה מהירה בעת הצורך - בין אם מדובר בביקורת רגולטורית ובין אם באירוע אבטחת מידע. על כן, שילוב של מנועי חיפוש לוגים מהירים כמו Elasticsearch או Splunk יהפוך לקריטי.
שמירה על פרטיות המשתמשים - שמירת לוגים לתקופה ממושכת מעלה חשש לפרטיות המשתמשים. התקנות מחייבות ארגונים לוודא שהנתונים מאוחסנים ומטופלים בהתאם לתקני פרטיות, כולל אנונימיזציה של נתונים רגישים.

תקנות שמירת הלוגים מגבירות את היכולת להתמודד עם איומים דיגיטליים, אך הן מציבות אתגר משמעותי של שמירה על פרטיות המשתמשים. ארגונים נדרשים לקבוע מדיניות ברורה לשמירת נתונים, להחליט אילו לוגים יישמרו, מהי רמת הפירוט הנדרשת וכיצד להגן על המידע בזמן האחסון.

שימוש בטכנולוגיות מתקדמות כמו הצפנה ואנונימיזציה יכול לצמצם את הפגיעה בפרטיות. הצפנה מבטיחה שהמידע יישאר מוגן במקרה של דליפה, ואנונימיזציה מפחיתה את הסיכון לזיהוי אישי. בנוסף, על הארגונים לבחון את עומק ואופי הנתונים הנאספים ולוודא כי רק המידע ההכרחי נשמר לצורך עמידה בתקנות ולמטרות בקרה ואבטחה, תוך שמירה על פרטיות המשתמשים.

עמידה בדרישות החוק דורשת היערכות מקיפה הכוללת מיפוי תהליכי איסוף ושמירת לוגים. על הארגונים לזהות את נקודות האיסוף במערכותיהם ולהטמיע מערכות ניהול לוגים המותאמות לדרישות התקנות החדשות.

יש להשקיע בפתרונות טכנולוגיים מתקדמים לניהול לוגים, כמו AWS CloudTrail, Microsoft Sentinel או Splunk, שמציעים יכולות ארכוב ודחיסה עם גישה נוחה לנתונים המאוחסנים.

בנוסף, חשוב לשדרג את תשתיות אבטחת המידע כך שיכללו מערכות מתקדמות להגנה על נתונים, כגון טכנולוגיות זיהוי חדירות ואימות רב-שלבי.

במקביל, הדרכה פנימית היא חיונית: אנשי ה-IT ואבטחת המידע בארגון צריכים להכיר את הדרישות לעומקן ולדעת כיצד ליישם אותן ביעילות תוך שמירה על עמידה בחוק והגנה על פרטיות המשתמשים.

אמנם הדרישה לשמור לוגים לתקופה של 24 חודשים מציבה אתגרים משמעותיים, אך היא גם מהווה הזדמנות לארגונים לשדרג את תהליכי ניהול המידע שלהם. ארגון שיערך נכון יוכל להבטיח לא רק עמידה בדרישות הרגולציה, אלא גם חיזוק האמון מצד לקוחותיו, שיפור תהליכי העבודה הפנימיים, ושדרוג המוכנות שלו להתמודדות עם איומים דיגיטליים. השלכות השינוי הן מעבר להיבט הטכנולוגי - הן נוגעות גם לשינוי תרבותי בארגונים, שבו ניהול מידע ואבטחתו הופכים לחלק בלתי נפרד מהאסטרטגיה הארגונית.


אלי לוין הוא מנכ"ל חברת CYBEROOT המעניקה שירותי CISO ו-DPO מנוהלים ומגוון פתרונות GRC.