פרצת אבטחה: תוכנית פעולה לשעות הראשונות

יום שישי בבוקר. 12 במאי 2017.

בבתי החולים של הנשיונל הלת' סרוויס הבריטי, המסכים התחילו להשחיר אחד אחרי השני. ניתוחים בוטלו. מטופלים הופנו חזרה הביתה. צוותי חירום נאלצו לנהל את עבודתם מנייר ועיפרון. לא מחבלים. לא ריגול ממדינה עוינת. נוזקה בשם WannaCry, שניצלה פגיעות בפרוטוקול SMBv1 של Windows, שטלאי עבורה פורסם חודשיים קודם. רוב המערכות שנפגעו ב-NHS הריצו Windows 7 שאיש לא טרח לעדכן.

ה-NHS שילמה מחיר של 92 מיליון פאונד. לא על הנוזקה עצמה. על מה שקרה בשעות שאחריה.

מיד, לא שבוע

תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, מציבות דרישה ברורה: חובת הדיווח לרשות להגנת הפרטיות על אירוע אבטחה חמור היא מיידית (תקנה 11(ד)(1)), לא "תוך 72 שעות".

מיד. לא שבוע. לא "כשנדע יותר". לא "אחרי שנתייעץ עם עורך דין".

מהו "אירוע חמור"? ההגדרה שבתקנה 11(ד) תלויה ברמת האבטחה של המאגר: ברמה הבינונית, שימוש בחלק מהותי מהמאגר בלא הרשאה או פגיעה בשלמות המידע; ברמה הגבוהה, כל שימוש בלא הרשאה או פגיעה בשלמות המידע. לא כל תקלה טכנית, אבל גם לא רק אסון מלא (במאגרים ברמת האבטחה הבסיסית אין חובת דיווח יזום לרשות). האזור האפור קיים, ולכן כלל האצבע הוא: אם יש ספק, מדווחים. המחיר של אי-דיווח גבוה משמעותית מהמחיר של דיווח מיותר.

שני ערוצי דיווח

תקנה 11 מסדירה שני ערוצים: דיווח מיידי לרשם והודעה לנושאי המידע בהוראת הרשם.

הרשות להגנת הפרטיות (PPA). הדיווח לרשם הוא מיידי (לא "בתוך 72 שעות") וכולל את פירוט הצעדים שננקטו; רשימת הפרטים אינה קבועה בתקנה. בפועל מקובל לכלול גם: תיאור האירוע, סוג המידע שנחשף, מספר נושאי המידע המושפעים (הערכה), ופרטי קשר של הממונה.

נושאי המידע. ההודעה לנושאי המידע נמסרת לפי הוראת הרשם. לא הודעה כללית באתר. הודעה אישית, ברורה, שמסבירה מה קרה ומה אפשר לעשות כדי להתגונן.

אגב, הדיווח לרשות אינו מסיים את החובה. הרשות רשאית לדרוש עדכונים ולפתוח בחקירה, גם חודשים אחרי הדיווח הראשוני.

תוכנית תגובה לאירועים: לפני, לא אחרי

בכל פעם שמגיע לייעוץ עסק שחווה אירוע אבטחה, השאלה הראשונה שנשאלת היא: "איפה תוכנית התגובה לאירועים שלכם?" התשובה השכיחה: "לא סיימנו לכתוב אותה".

תקנות אבטחת המידע, 2017, מחייבות ארגונים לנהל תהליכי תגובה לאירועים. חובת הדיווח המיידי אינה מאפשרת לכתוב נהלים תחת לחץ.

תוכנית תגובה סבירה צריכה להכיל:

• הגדרת מהותי מול לא מהותי לגבי הארגון הספציפי שלכם.
• עץ החלטות ברור: מי מחליט, מי מדווח, מי מתקשר עם הרשות.
• תבניות מוכנות לדיווח לרשות ולהודעות לנושאי מידע.
• תיעוד שוטף של כל שלב: מה התגלה, מתי, על ידי מי, מה נעשה.
• ניתוח שורש (root cause analysis) לאחר האירוע.

ה-NHS ידעה על הפגיעות שניצלה WannaCry. הטלאי חיכה חודשיים. אפשר לשאול מה קרה שם.

מה לא לעשות

ניסיון בתחום לימד כמה טעויות חוזרות:

לדחות את הדיווח עד שיש "תמונה מלאה". אין תמונה מלאה בשעות הראשונות. החוק מצפה לדיווח עם מה שיש, כשאפשר להשלים מידע בהמשך.

להעביר את הדיווח לאחריות ה-IT בלבד. אירוע אבטחה הוא אירוע משפטי ועסקי, לא רק טכני. ממונה הגנת הפרטיות (DPO), היועץ המשפטי וההנהלה צריכים להיות מעורבים מהרגע הראשון.

לפרסם הודעה לציבור לפני שדיווחתם לרשות. הרשות אינה מעוניינת לגלות על אירועים מהעיתונות.

המחיר של אי-דיווח

המחיר הרגולטורי, אם הרשות מגלה כי לא דיווחתם בזמן, יכול להגיע לעיצום כספי של עד 320,000 שקלים. עיצום על אי-הדיווח. לא על האירוע עצמו.

כי האירוע יכול לקרות לכל אחד. מה שנמדד הוא מה שעשיתם אחרי.