נובמבר 2001. מניות אנרון קורסות.
המבקרים החיצוניים הסבירו כי לא ראו את הסכנה. הדירקטורים הצהירו כי לא ידעו. ה-SEC פתחה בחקירה, ושאלה שאלה אחת: כיצד דירקטוריון של חברה ציבורית לא ידע?
כעשרים ושלוש שנים לאחר מכן פרסמה הרשות להגנת הפרטיות את הנחיה 1/2024 על תפקיד הדירקטוריון בקיום חובות התאגיד לפי תקנות אבטחת מידע. השאלה שביסודה היא אותה שאלה בדיוק.
על מי ההנחיה חלה
ההנחיה אינה חלה על כל דירקטוריון: היא מכוונת לתאגידים שעיבוד מידע אישי נמצא בליבת פעילותם, או שפעילותם יוצרת סיכון מוגבר לפגיעה בפרטיות. בחברות כאלה הרשות מצפה למעורבות ממשית של הדירקטוריון בקיום חובות תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, ולא רק לחובת פיקוח כללית.
מה קובעת ההנחיה: חמישה דיונים
ההנחיה מפרטת את הדיונים שהדירקטוריון נדרש לקיים:
- מסמך הגדרות המאגר: דיון בטרם קביעתו (תקנה 2(א)).
- נוהל אבטחת המידע: דיון בעקרונות המרכזיים בטרם אישורו.
- סקר סיכונים ומבדקי חדירות: דיון בתוצאות ובפעולות הנדרשות בעקבותיהן.
- אירועי אבטחה: דיון תקופתי באירועים שאירעו ובלקחים מהם: אחת לרבעון במאגרים שחלה עליהם רמת האבטחה הגבוהה, אחת לשנה ברמה הבינונית (בהתאם לתקנה 11(ג)).
- הביקורת התקופתית: דיון בתוצאות הביקורת הנערכת אחת לשנתיים.
שימו לב לניואנס: אין בהנחיה דרישת "פיקוח רבעוני" גורפת. התדירות הרבעונית נקבעה רק לדיון באירועי אבטחה במאגרים ברמה הגבוהה.
האם מותר לאצול?
מותר, בתנאים. ההנחיה מכירה בכך שהדירקטוריון רשאי להאציל את הטיפול לגורם אחר, אבל רק בהחלטה מנומקת ומתועדת, והאחריות לפיקוח נשארת אצלו. מה שאסור הוא לאצול ולשכוח.
ומה עם קו הדיווח של ה-DPO?
כאן נדרש דיוק שחשוב להכיר: החוק קובע שממונה הגנת הפרטיות מדווח ישירות למנכ"ל, או לנושא משרה בכיר הכפוף לו במישרין (סעיף 17ב2(ג) לחוק). ההנחיה אינה קובעת קו דיווח של הממונה לדירקטוריון; הדרישות שלה מופנות לדירקטוריון עצמו, לקיים את הדיונים שלמעלה ולפקח. בפועל, ארגון מסודר יביא את דוח הממונה לשולחן הדירקטוריון במסגרת הדיונים האלה, וכך שני הערוצים נפגשים.
ציות אינו מספיק
ה-CFO שואל "האם אנחנו עומדים בדרישות?" הדירקטוריון צריך לשאול גם "האם אנחנו מנהלים סיכון?"
ציות (compliance) עוסק בעמידה בדרישות הקיימות. ממשל (governance) עוסק בהחלטות העסקיות עצמן: האם המידע הזה נחוץ בכלל, מה סיבולת הסיכון של הארגון, ואילו פרויקטים מחייבים בחינה מוקדמת.
דירקטוריון שנשאל "האם אנחנו מצייתים?" ואינו שואל "האם אנחנו צריכים לאסוף את המידע הזה בכלל?" עשה רק חלק מהעבודה.
אנרון לא נפלה כי הנהלתה לא הכירה את חוקי ניירות הערך. היא נפלה כי הדירקטוריון לא שאל שאלות מספיק קשות. הנחיה 1/2024 נועדה להבטיח שהדירקטוריון ישאל.