שלושה שבועות.
זה הזמן שהאקרים ישבו ברשת של Target לפני שמישהו שם לב. בדצמבר 2013, כשהחברה הכריזה על פרצת האבטחה הגדולה בתולדותיה, פרטי כרטיסי האשראי של 40 מיליון לקוחות כבר היו בידי ברוקרים ברחבי העולם.
הם לא נכנסו דרך הדלת הראשית. הם נכנסו דרך חברה שתחזקה את מערכות המיזוג.
ספק צד ג'. גישת רשת. הסכם שגוי. שלושה מרכיבים שנדמה שאין ביניהם קשר, ויחד יצרו את אחד הכשלים היקרים בהיסטוריה העסקית. Target שילמה למעלה מ-200 מיליון דולר בפשרות, תביעות, ועלויות שיקום.
שלושה שבועות, ולא ידעו.
בישראל, תקנות אבטחת מידע, התשע"ז-2017 קיימות כבר למעלה מ-7 שנים. תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף ב-14 באוגוסט 2025, הוסיף להן שיניים: עיצומים כספיים במדרג שמגיע לרצפות של מאות אלפי שקלים, מוכפל במאגרי ענק, עם תקרה כוללת של 5% מהמחזור השנתי. חובת הדיווח המיידי על אירוע אבטחה חמור (תקנה 11(ד)) קיימת עוד מהתקנות עצמן; מה שהשתנה הוא המחיר של הפרתה. ולצד כל אלה, הנחיה 1/2024 של הרשות מטילה על דירקטוריונים של חברות עתירות-מידע חובת פיקוח על קיום התקנות.
הכשלים שמוצאים בביקורות ציות חוזרים על עצמם. לא ייחודיים לסקטור אחד, לא לגודל עסק מסוים. הם קיימים בחברת הזנק עם 20 עובדים ובחברת ביטוח עם 2,000.
כשל ראשון: מסמך הגדרות מאגר שלא קיים
תקנה 2 לתקנות אבטחת מידע מחייבת כל ארגון שמנהל מאגר מידע לתעד מסמך הגדרות: מה המידע, מי מורשה לגשת, לאיזו מטרה, ואיפה הוא מאוחסן.
זה נשמע פשוט. וזה אכן פשוט לכתוב.
הבעיה שרוב העסקים עושים את הטעות ההפוכה: הם לא כותבים את המסמך כלל, או כותבים אותו פעם אחת ולא מעדכנים כשהעסק משתנה. עובד שעזב לפני שנה עם גישת אדמין. אפליקציה חדשה שהתחברה למאגר בלי שמישהו יודע. ספק שקיבל גישה לדאשבורד ו"שכחו" לנטרל.
כשל שני: סקר סיכונים שנעשה פעם אחת, אם בכלל
במאגרים שחלה עליהם רמת האבטחה הגבוהה, תקנות 5(ג) ו-5(ד) מחייבות סקר סיכונים ומבדק חדירות אחת ל-18 חודשים לפחות. לא מסמך Word עם כמה נקודות: הערכה מובנית של איומים, חולשות ורמת חשיפה, ופעולות בעקבות התוצאות.
ובשאר הארגונים? חובת סקר תקופתי אינה קבועה בתקנות (ברמה הבינונית קיימת חובת ביקורת תקופתית אחת לשנתיים, תקנה 16), אבל בפועל סקר סיכונים הוא הדרך היחידה לדעת איפה אתם חשופים, וכל ביקורת ציות רצינית מתחילה בו. הסקר הנפוץ ביותר בשטח הוא זה שנעשה בפעם הראשונה ומעולם לא עודכן.
אגב, כשמגיעה ביקורת של הרשות להגנת הפרטיות, השאלה היא לא "האם יש לכם מסמך". השאלה היא "מתי עשיתם אותו לאחרונה, ומה עשיתם בעקבותיו".
כשל שלישי: ניהול ספקים ללא הסכם עיבוד מידע
כל ספק שמעבד מידע אישי עבורכם הוא "מחזיק" לפי החוק הישראלי (המקבילה למונח האירופי processor). עו"ד, רואה חשבון, שירות ענן, חברת שיווק, מאגר לידים. הכול.
תקנה 15 לתקנות אבטחת המידע מחייבת הסכם מפורש עם כל גורם חיצוני כזה. לא מייל. לא סעיף כללי בחוזה שירות. הסכם ספציפי שמגדיר מה מותר לו לעשות עם המידע, איך הוא מאובטח, מה קורה בסיום ההתקשרות, ומה חובות הדיווח שלו כלפיכם, כולל על אירועי אבטחה.
בלי הסכם כזה, אתם חשופים לכל מה שהספק שלכם עושה עם המידע של הלקוחות שלכם. וגם עם הסכם, האחריות נשארת בסופו של דבר עליכם: ההסכם הוא כלי הבקרה, לא תעודת ביטוח.
כשל רביעי: בקרת גישה שמתעלמת מעיקרון המינימום
לכל עובד גישה רק למידע שנדרש לתפקידו. לא יותר.
בפועל: מנהל השיווק עם גישה לנתוני שכר. מתמחה עם גישה לרשימת לקוחות מלאה. מנהל יוצא שמחשב שלו לא נותק.
זה לא רשלנות זדונית. זה הצטברות של נוחות על פני הצטברות של זמן. כל אחד קיבל גישה כי "היה צריך פעם," ואף אחד לא הסיר כי "לא כדאי לשבש."
כשל חמישי: מחיקה לא מאובטחת
כשקובץ עם פרטי לקוח "נמחק" בלחיצת Delete, הוא לא נמחק. הוא מסומן כמרחב פנוי. עד שמידע חדש ייכתב מעליו, הוא שם.
זה נכון לדיסקים קשיחים, לציוד ישן, ל-USB שמחלקים לעובדים ולקוחות. חברות שמוכרות מחשבים ישנים ולא מוחקות מהם מידע, ארגונים שמשליכים דפי הדפסה בפח רגיל.
מחיקה מאובטחת (Secure Wipe) נדרשת לפני כל פינוי ציוד.
נקודת המוצא
Target לא נפלה כי לא ידעה על סיכוני אבטחה. היא ידעה. בדיוק מסיבה זו הייתה לה מערכת ניטור שהתריעה.
אבל ההתראות לא עובדו.
החוק הישראלי לא דורש שתהיו נטולי כשלים. הוא דורש שתהיו מודעים להם ותנהלו אותם. ביקורת הציות הטובה ביותר היא זו שמוצאת את הכשלים לפני שמישהו אחר מוצא אותם.