ניהול ספקים ומחזיקי מידע: הסיכון הנסתר בשרשרת האספקה

שמונה בספטמבר 2018.

זה היום שבו קפצה התרעה במערכת האבטחה של מריוט אינטרנשיונל, וחשפה את מה שאיש לא ידע: מאגר האורחים של סטארווד, רשת המלונות שמריוט רכשה שנתיים קודם, נפרץ עוד ב-2014. ארבע שנים של פרצה שמריוט ירשה עם הרכישה ומעולם לא גילתה.

מאות מיליוני רשומות אורחים. שמות, תאריכי לידה, מספרי דרכון, פרטי כרטיסי אשראי.

הקנס: 18.4 מיליון פאונד מהרגולטור הבריטי. ולכך הוסיפו עלויות ריסון, תביעות ייצוגיות, ואובדן אמון שאי אפשר לכמת.

מה מריוט עשתה לא נכון? היא רכשה חברה בלי לבדוק לעומק את מערכות המידע שלה. בדיקת הנאותות לא כיסתה את אבטחת המידע כראוי, והפרצה עברה עם העסקה. והלקח רחב מעולם המיזוגים: מידע שאתם אחראים לו יושב גם אצל גורמים אחרים, וסיכון שלא בדקתם הוא סיכון שירשתם.

זה בדיוק מה שדיני הגנת הפרטיות מנסים למנוע.

מי הוא "מחזיק"

לפי חוק הגנת הפרטיות, גורם חיצוני שמעבד מידע אישי בשמכם ועבורכם הוא "מחזיק" (המקבילה הישראלית למונח האירופי processor). זה לא עניין של גודל או סוג שירות.

עו"ד שמנהל תיקי לקוחות עבורכם. חברת שיווק שמשגרת ניוזלטרים לרשימת הדיוור שלכם. שירות ענן שמאחסן מסמכים. מערכת ה-CRM שמנוהלת על ידי חברה חיצונית. חברת גבייה שפועלת בשמכם. הכול.

כולם מחזיקים. וכולם דורשים הסכם עיבוד מידע (DPA, Data Processing Agreement) כתוב. זו דרישה מפורשת של תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, שמחייבת גם בחינת סיכונים לפני ההתקשרות.

מה צריך להיות בהסכם

הסכם לפי תקנה 15 חייב להסדיר לפחות: איזה מידע ואילו מערכות מותר לספק לעבד, ולאילו מטרות בלבד. משך ההתקשרות ומה קורה בסיומה (השבת המידע או מחיקתו). אילו חובות אבטחה חלות על הספק. התחייבות לסודיות של המורשים מטעמו. הסדרת ההתקשרות עם קבלני משנה. חובת דיווח שנתי שלו כלפיכם והודעה על כל אירוע אבטחה. ואמצעי הבקרה שלכם על קיום ההסכם.

ויש נקודה שרבים מפספסים: קבלן המשנה (sub-processor).

קבלן המשנה שאיש לא שם לב אליו

הספק שלכם עשוי להשתמש בספק נוסף כדי לבצע את השירות. חברת ה-CRM משתמשת בשרתי AWS. חברת השיווק שולחת מיילים דרך Mailchimp. משרד עוה"ד שומר קבצים ב-Dropbox.

אותם ספקים שניים הם קבלני משנה.

תקנה 15 מחייבת שההסכם יסדיר את ההתקשרות איתם, ועיבוד מידע בחריגה מההרשאה שנתן בעל השליטה אסור לפי סעיף 8(ג) לחוק. במילים פשוטות: מסלול המידע צריך להיות מוסכם וכתוב, מקצה לקצה.

אגב, רוב חברות ה-SaaS כבר מפרסמות רשימת קבלני משנה מפורשת בחוזי ה-GDPR שלהן. אם אתם עובדים עם שירותים בינלאומיים, הרשימה כבר שם. צריך רק לדרוש אותה.

איך מנהלים את זה בפועל

שלב ראשון: מיפוי. רשימת כל הספקים שמחזיקים או מעבדים מידע אישי של לקוחות, עובדים, או ספקים שלכם.

שלב שני: בדיקת DPA קיים. האם יש הסכם? האם הוא עונה על דרישות תקנה 15? האם יש בו סעיף על קבלני משנה?

שלב שלישי: בדיקת נאותות. לפני חתימה עם ספק חדש, לשאול: איפה המידע מאוחסן? האם יש להם הסמכת ISO 27001 או SOC 2? מה תהליך הדיווח שלהם על אירועים?

שלב רביעי: עדכון שוטף. כל שינוי בספקים, כל שדרוג מערכת, כל שינוי ארגוני, ידרוש בדיקה של מי מחזיק מידע והאם ה-DPA מכסה את זה.

מה קורה כשאין DPA

האחריות על המידע נשארת עליכם, עם הסכם ובלעדיו: אתם בעל השליטה במאגר. ההסכם אינו תעודת ביטוח שמעבירה את הסיכון לספק, אלא חובת ציות (תקנה 15) וכלי הבקרה המרכזי שלכם. היעדרו הוא הפרה בפני עצמה, וגם הדרך הבטוחה לאבד שליטה על מה שקורה עם המידע בפועל. ולמחזיק עצמו, אגב, יש חובות ישירות משלו לפי התקנות, וחשיפה משלו.

מריוט שילמה עשרות מיליוני פאונד על פרצה שהתרחשה במערכות שירשה. כל יום שעובר בלי הסכם מסודר עם ספק שמחזיק מידע של לקוחותיכם הוא יום של חשיפה משפטית.