נעלם קובץ רגיש, לקוח קיבל מסמך שלא נועד אליו, עובד הוריד מאגר לפני עזיבה או מידע פנימי הופיע ברשת? המטרה בשעה הראשונה אינה למצוא אשם. המטרה היא לעצור חשיפה פעילה, לשמר את המקורות שנמחקים במהירות, להבין איזה מידע יצא ולמי, ולנהל את חובות הדיווח בלי לפגוע ביכולת להוכיח מה קרה.
אם הדליפה פעילה עכשיו: צמצמו חשיפה ושמרו ראיות במקביל.
הסירו קישור ציבורי או הרשאה עודפת, שמרו צילום מסך, כתובת מלאה, זמן, לוגים וגרסת מקור, וערבו מיד אבטחת מידע, פרטיות וייעוץ משפטי. אל תמחקו חשבון, אל תפרמטו מחשב ואל תעמתו עובד לפני שנבנתה תמונת שימור.
דליפת מידע אינה אירוע אחד
אותו סימן חיצוני יכול לנבוע מפעולה זדונית, טעות אנוש, חשבון שנפרץ, הרשאה רחבה מדי, קישור שיתוף פתוח, ספק שנפגע או תקלה בתהליך. גם סוג המידע משנה את מסלול הטיפול. מסמך עסקי חסוי אינו בהכרח "סוד מסחרי" במובן המשפטי, ודליפת מידע אישי עשויה להפעיל חובות שונות מדליפת מחירון פנימי או קוד מקור.
| סוג המידע | דוגמאות | השאלה הראשונה |
|---|---|---|
| מידע אישי | פרטי לקוחות, עובדים, בריאות, זיהוי, מיקום או נתונים פיננסיים | האם הייתה גישה, שימוש, העתקה או חשיפה ללא הרשאה, והאם חלה חובת דיווח? |
| מידע עסקי חסוי | הצעות מחיר, תחזיות, תנאי ספק, תוכניות עבודה ורשימות קשר | מי הורשה לגשת, כיצד סומן ונשמר, ומהו הנזק העסקי האפשרי? |
| סוד מסחרי | נוסחה, שיטה, קוד, מודל תמחור או מאגר שנותנים יתרון עסקי | האם המידע אינו פומבי, מעניק יתרון, והארגון נקט אמצעים סבירים לשמור על סודיותו? |
| מידע משפטי או מוגן | ייעוץ משפטי, חומר חקירה, הליך משמעתי או מסמך תחת צו | מי מוסמך להחליט על עיון, העברה ודיווח? |
| מידע ביטחוני או מפוקח | תשתיות, רפואה, פיננסים, רשות ציבורית או מידע מגזרי | איזה רגולטור, גורם מנחה או נוהל מגזרי חל בנוסף? |
הסיווג אינו סמנטיקה. הוא קובע מי מוביל את האירוע, מה צריך לשמור, למי עשויה לקום חובת דיווח ואילו טענות ניתן לבסס בהמשך.
נוהל 60 הדקות הראשונות
- פותחים יומן אירוע. רושמים מי גילה, מתי, באיזה ערוץ, מה נראה בפועל ומי עוד יודע.
- שומרים את הסימן המקורי. צילום מסך מלא, URL, הודעת דוא״ל מקורית, שם קובץ, מזהה שיתוף, זמן ואזור זמן.
- עוצרים חשיפה פעילה באופן ממוקד. מבטלים קישור ציבורי, מסירים הרשאה לא נחוצה או חוסמים סשן חשוד, בלי למחוק את החשבון או החומר.
- מקפיאים מקורות מתכלים. לוגי ענן, דוא״ל, VPN, EDR, DLP, מערכת קבצים, בקרת כניסה ומצלמות נדרסים לעיתים בתוך ימים.
- מגדירים צוות מצומצם. בעל האירוע, אבטחת מידע, פרטיות, ייעוץ משפטי, הנהלה וחוקר לפי הצורך.
- מפרידים בין עובדה להשערה. "החשבון הוריד 4,000 קבצים" הוא ממצא; "העובד מכר אותם" היא השערה שדורשת ראיות נוספות.
- בודקים חשיפה ציבורית. האם הקובץ עדיין פתוח, ניתן לאינדוקס, הורד או שוכפל, והאם קיימים עותקים נוספים?
- מבצעים הערכת דיווח מיידית. מידע אישי, מגזר מפוקח או אירוע סייבר עשויים לדרוש פעולה מהירה לפני השלמת החקירה.
מה לא לעשות
- לא למחוק הודעות, קבצים, חשבונות או לוגים כדי "לסגור את הפרצה".
- לא לפתוח קבצים חשודים שוב ושוב על מחשב העבודה.
- לא להיכנס לחשבון פרטי של עובד או לטלפון אישי ללא בסיס, סמכות ותיאום מתאים.
- לא לשלוח את החומר הרגיש בקבוצת הודעות רחבה של צוות המשבר.
- לא להאשים אדם על סמך כתובת IP, שם משתמש או פעולת הורדה בלבד.
- לא לפנות בפזיזות למפרסם, למתחרה או לחשוד באופן שעלול להביא למחיקה או הפצה נוספת.
- לא לרכוש מידע גנוב, לפרוץ למערכת אחרת או להתחזות כדי להשיג ראיות.
- לא להבטיח ללקוחות שאין נזק לפני שהיקף האירוע נבדק.
מפת נתונים: לפני שמחפשים מדליף, מגדירים מה דלף
חקירה יעילה מתחילה באובייקט המידע. בונים "טביעת אצבע" למסמך או למאגר: שם, גרסה, תאריך, בעלים, מיקום, מספר רשומות, מאפיינים ייחודיים, סימון, ערך גיבוב אם קיים ורשימת מערכות שבהן נשמר. לאחר מכן משווים את העותק שנחשף לגרסאות המקור.
| שאלה | למה היא חשובה | ראיה אפשרית |
|---|---|---|
| איזו גרסה דלפה? | מצמצמת את חלון הזמן ואת קבוצת בעלי הגישה | שגיאת כתיב ייחודית, שדה נסתר, מטא-דאטה או מספר גרסה |
| מהו היקף המידע? | משפיע על הסיכון, הדיווח והנזק | מספר קבצים, רשומות, תיקיות וסוגי מידע |
| האם המידע היה ציבורי קודם? | משפיע על סודיות ועל הערכת הפגיעה | אתר, מאגר פתוח, פרסום עבר או מטמון |
| מי היה יכול לגשת? | מגדיר אוכלוסיית בדיקה בלי להניח אשמה | ACL, קבוצות, שיתופים, ספקים והרשאות ירושה |
| מי קיבל עותק? | מבדיל חשיפה מוגבלת מהפצה | נמענים, הורדות, צפיות, כתובות וקישורים |
| האם יש עותקים נוספים? | בלימה של קישור אחד אינה מסיימת את האירוע | דוא״ל, גיבוי, ענן אישי, USB, הדפסה ומאגרי חיפוש |
וקטורי דליפה שכדאי לבדוק
- דוא״ל: נמען שגוי, העברה אוטומטית, תיבה שנפרצה, קובץ מצורף או כתובת פרטית.
- אחסון ענן: קישור "כל מי שמחזיק בקישור", שיתוף חיצוני, סנכרון או הרשאת תיקייה בירושה.
- מחשב קצה: USB, תיקייה מקומית, כלי סנכרון, צילום מסך, דחיסה או העלאה בדפדפן.
- כלי שיתוף ועבודה: Teams, Slack, WhatsApp, מערכות כרטוס, CRM וכלי ניהול פרויקטים.
- קוד ופיתוח: מאגר Git ציבורי, token בקוד, artifact, לוג CI/CD או סביבת בדיקות.
- כלי בינה מלאכותית: הדבקת מסמך, קוד, פרטי לקוח או סוד עסקי לשירות שלא אושר.
- הדפסה וצילום: מסמך פיזי, מדפסת משותפת, צילום בטלפון או פסולת משרדית.
- ספק וצד שלישי: מוקד שירות, רואה חשבון, חברת פיתוח, מערכת SaaS או קבלן משנה.
- הגדרה שגויה: bucket פתוח, ספרייה נגישה, גיבוי חשוף, API ללא הגנה או סביבת staging.
- חשבון שנפרץ: סשן גנוב, OAuth זדוני, סיסמה ממוחזרת או עקיפת MFA.
מקורות הראיה ומה כל אחד באמת מוכיח
| מקור | יכול להראות | אינו מוכיח לבדו |
|---|---|---|
| לוגי ענן ושיתוף | צפייה, הורדה, שינוי הרשאה, כתובת ומכשיר | מי ישב פיזית מול המכשיר ומה נעשה בעותק |
| דוא״ל | שולח, נמען, קובץ, כותרות, כלל העברה ושרשור | שהאדם הרשום יזם את הפעולה אם החשבון נפרץ |
| EDR או פורנזיקה | פתיחה, העתקה, דחיסה, USB, תהליך ורשת | כוונה או מסירה לצד מסוים ללא ראיה משלימה |
| DLP | התאמת תוכן, ערוץ, משתמש ופעולת חסימה | שההתראה מדויקת; יש לבדוק false positive והקשר |
| Git ומערכות פיתוח | commit, clone, token, branch ושינוי הרשאה | שהחומר יצא אל מחוץ לסביבה רק מפעולת clone |
| הדפסה | משתמש, קובץ, מדפסת, מספר עמודים וזמן | מי אסף את הדפים או לאן הגיעו |
| מצלמות ובקרת כניסה | נוכחות, תנועה וכניסה לאזור | תוכן פעולה דיגיטלית או בעלות על קובץ |
| ריאיון | הסבר, הקשר, תהליך, אנשים ומקורות נוספים | אמת מלאה ללא הצלבה עם ראיות בלתי תלויות |
הבחנה קריטית: גישה אינה הורדה, הורדה אינה העתקה חיצונית, והעתקה אינה הוכחה למסירה או לשימוש. צירוף של כמה מקורות הוא שמאפשר לעלות מדרגת חשד לממצא מבוסס.
שימור ראיות בלי לזהם את המקור
- מתעדים את המערכת, החשבון, טווח הזמן ואופן האיסוף.
- מייצאים בפורמט המקורי ככל האפשר, כולל כותרות, מטא-דאטה ואזור זמן.
- שומרים עותק מקור מוגן ועובדים על עותק בדיקה.
- מחשבים ערך גיבוב לקבצים מרכזיים כאשר הדבר מתאים.
- רושמים מי קיבל כל מוצג, מתי, לאיזו מטרה ומה החזיר.
- מגבילים גישה לחומר החקירה ומפרידים בינו לבין תיקיות העבודה הרגילות.
- מתעדים גם פעולות בלימה, משום שהן משנות את מצב המערכת.
לנוהל מפורט ראו שרשרת ראיות בחקירה פרטית. כאשר יש כמה מערכות וזמנים שונים, בונים גם ציר זמן חקירתי מאוחד.
ציר זמן: העוגן שמחבר את החקירה
מנרמלים זמנים ליחידת זמן אחת ושומרים גם את הערך המקורי. מסמנים שעון מערכת לא מדויק, שעון קיץ, אזור זמן ו-delay באיסוף. משלבים אירועים כגון יצירת מסמך, שינוי הרשאה, כניסה לחשבון, הורדה, חיבור USB, שליחת דוא״ל, הדפסה, עזיבת משרד ופרסום חיצוני.
ציר זמן טוב אינו רק רשימת אירועים. הוא מציג גם פערים: לוג שנמחק, שעה שבה החשבון היה פעיל משתי מדינות, קובץ שפורסם לפני ההורדה המיוחסת לעובד, או גרסה שלא הייתה זמינה לחשוד. לעיתים דווקא הסתירה מנקה חשד שגוי.
בניית השערות חלופיות
לפני איסוף פולשני מנסחים לפחות שלוש השערות שניתן להפריך:
- פעולה מכוונת של גורם פנימי: העתקה או מסירה ביודעין.
- טעות או תהליך לקוי: שיתוף פתוח, נמען שגוי או הרשאה בירושה.
- השתלטות חיצונית: שימוש בחשבון העובד לאחר פריצה.
- דליפה מצד ספק: העותק הגיע מצד שלישי שקיבל מידע כדין.
- מקור ציבורי או מקביל: המידע הגיע ממקום אחר או היה ניתן להשגה עצמאית.
לכל השערה מגדירים אילו ראיות יחזקו אותה, אילו יחלישו אותה ומהי הפעולה הפחות פולשנית שיכולה להכריע.
עובד לפני עזיבה: איך בודקים בלי לקפוץ למסקנות?
הורדת קבצים סמוך לעזיבה היא דגל לבדיקה, לא הוכחת גניבה. ייתכן שהעובד הכין חפיפה, גיבה חומר במסגרת תפקידו או פעל לפי הרגל שהארגון אפשר. בודקים תחילה את תפקידו, היקף העבודה הרגיל, הוראות שקיבל, נתיבי השיתוף המקובלים והשוואה לעובדים דומים.
אחר כך בוחנים חריגות: נפח, שעה, סוג קבצים, תיקיות שאינן קשורות לתפקיד, דחיסה, חיבור התקן, העלאה חיצונית, מחיקה או ניסיונות לעקוף בקרה. הקשר של הצטרפות למתחרה עשוי להיות רלוונטי, אך גם הוא אינו מחליף ראיה לפעולה. במקרים כאלה ניתן לשלב את מדריך חקירת עובד מתחרה והסטת לקוחות.
תשאול העובד וסדר הפעולות
ברוב האירועים אוספים קודם את המקורות המתכלים ומייצבים את הגישה, ורק אז מתשאלים. בריאיון מתחילים בשאלות פתוחות: מה היה תהליך העבודה, היכן נשמר החומר, מי ביקש את הפעולה, באילו כלים השתמש העובד ומי עוד היה יכול לגשת. לאחר קבלת גרסה חופשית מציגים פערים באופן מדורג.
- מתעדים מי נכח, מועד, מקום והסכמות או הודעות שנדרשו.
- אינם מבטיחים סודיות מוחלטת שאין יכולת לקיים.
- אינם מציגים ממצא טכני כוודאות כאשר קיימות חלופות.
- מאפשרים הסבר ומחפשים ראיות שמאמתות או סותרות אותו.
- נמנעים מאיום, לחץ פסול או ניסיון להשיג גישה לחשבון פרטי ללא סמכות.
ראו גם תשאול וריאיון בחקירה פנימית.
מכשיר פרטי, BYOD וחשבונות אישיים
העובדה שעובד השתמש במכשיר פרטי לצורכי עבודה אינה מעניקה לארגון גישה בלתי מוגבלת לכל המכשיר. בודקים מדיניות BYOD, הסכמה, בעלות על החשבון, היקף המידע הנדרש, חלופות פחות פולשניות והנחיית ייעוץ משפטי. לעיתים ניתן לקבל ייצוא ממוקד, לשמר רק תיקייה עסקית או לבדוק לוגים ארגוניים בלי לעיין בתוכן אישי שאינו רלוונטי.
דליפה דרך ספק או מערכת SaaS
כאשר צד שלישי מחזיק מידע, יש לחקור בשני צירים: מה קרה אצל הספק ומה הארגון יכול היה לדעת ולבקר. שומרים חוזה, נספח אבטחה, רשימת מעבדי משנה, SLA לדיווח, הרשאות, יומני פעילות, מיקום מידע ומועד מחיקה.
- מבקשים מהספק תיאור אירוע עובדתי וטווח זמנים, לא רק הצהרה ש"הנושא טופל".
- מבררים אילו נתונים ומערכות הושפעו ואילו לא.
- מבקשים לשמר לוגים, snapshots, מזהים וקבצים רלוונטיים.
- בודקים מי עוד קיבל גישה, לרבות קבלני משנה ותמיכה.
- מתעדים פעולות containment, שינויי הרשאה ואימות שהחשיפה נסגרה.
- בודקים אם חובת הדיווח מוטלת על הספק, על הארגון או על שניהם במסלולים שונים.
חשיפה ברשת, ברשתות חברתיות או בפורומים
מתעדים לפני שפונים להסרה: כתובת מלאה, תאריך ושעה, שם משתמש, הקשר, צילומי מסך, קובץ כפי שפורסם ומאפיינים שמקשרים אותו לגרסת המקור. בודקים הופעות נוספות במקורות גלויים ומנועי חיפוש, אך אינם פורצים לחשבונות, עוקפים בקרת גישה או רוכשים את החומר.
אם פורסמו פרטי זיהוי או נוצרו חשבונות מתחזים, יש לחבר גם את נוהל התחזות דיגיטלית וגניבת זהות. בקשה להסרה צריכה להיעשות לאחר שימור, ובתיאום עם מי שמנהל את ההיבט המשפטי והתקשורתי.
מתי מדובר גם באירוע סייבר?
כאשר קיימים סימני פריצה, שימוש בחשבון, תוכנה זדונית, גישה לא מורשית, דליפת הרשאות או חשיפה טכנית, החקירה הארגונית והתגובה הטכנית חייבות לפעול יחד. צוות הסייבר מבודד ומנקה; צוות החקירה שומר את היכולת להסביר מי עשה מה, מה נחשף ומה מקור הממצא.
אם האירוע התחיל מהשתלטות על דוא״ל ושינוי הוראת תשלום, ראו הונאת מנכ״ל והתחזות לספק. דיווח למוקד 119 אינו מחליף תלונה במשטרה או דיווח לרגולטור כאשר הם נדרשים.
מתי מדווחים לרשות להגנת הפרטיות?
הרשות להגנת הפרטיות מפרסמת מסלול לדיווח מיידי על אירוע אבטחה חמור במאגר מידע. התנאים תלויים ברמת האבטחה של המאגר ובסוג האירוע. בין הדוגמאות הרשמיות: שימוש, גילוי, העתקה, העברה או מסירה ללא הרשאה בחלק מהותי ממאגר ברמת אבטחה בינונית; ובמאגר ברמת אבטחה גבוהה גם כניסה שהעניקה גישה ללא הרשאה עשויה לחייב דיווח, אף אם טרם הוכח שימוש בפועל.
החלטת דיווח צריכה להיעשות מיד עם גורמי הפרטיות והייעוץ המשפטי, על בסיס העובדות הידועות באותו שלב. אין להמתין לוודאות מלאה אם הדין מחייב דיווח מיידי. שומרים את נוסח הדיווח, מועדו, נספחיו והעדכונים שנמסרו.
למי עוד עשוי להיות צורך לדווח?
| גורם | מתי בוחנים פנייה | הערה |
|---|---|---|
| מערך הסייבר הלאומי, 119 | חשד לאירוע סייבר, פריצה, התחזות או דלף | סיוע ודיווח למערך אינם מחליפים חובה רגולטורית אחרת |
| משטרת ישראל | חשד לעבירה, סחיטה, גניבה, פריצה או שימוש במידע | במקרה חירום פונים ל-100 |
| רגולטור מגזרי | פיננסים, בריאות, תשתיות, רשות ציבורית או תחום מפוקח אחר | בודקים את הוראות המגזר והחוזים |
| לקוחות או נושאי מידע | כאשר הדין, הרשות, החוזה או הערכת הסיכון מחייבים או מצדיקים | מתאמים נוסח מדויק שאינו מטעה ואינו חושף מידע נוסף |
| מבטח | פוליסת סייבר, אחריות מקצועית או תנאי הודעה | איחור עלול להשפיע על הכיסוי; פועלים לפי הפוליסה |
| שותף חוזי | הסכם כולל חובת הודעה או מידע שלו הושפע | שומרים על אחידות בין דיווחים |
מה הופך מידע לסוד מסחרי?
חוק עוולות מסחריות מגדיר סוד מסחרי לפי תנאים, ולא לפי הכותרת שהארגון נתן לקובץ. באופן מעשי בודקים אם המידע אינו נחלת הרבים ואינו ניתן לגילוי בנקל; אם סודיותו מקנה יתרון עסקי; ואם בעליו נוקט אמצעים סבירים לשמור עליה. לכן חותמת "סודי" לבדה אינה מספיקה, ומנגד מידע שאינו מסומן עדיין עשוי לדרוש בדיקה עובדתית.
ראיות לאמצעים סבירים לשמירת סודיות
- סיווג מידע ברור והדרכת עובדים לפי תפקיד.
- גישה לפי צורך, ביקורת הרשאות וסגירת חשבונות בזמן.
- הסכמי סודיות וסעיפים מותאמים לספקים ולעובדים.
- הצפנה, רישום גישה, DLP ובקרות יצוא לפי רמת הסיכון.
- סימון מסמכים, הפרדה בין סביבות ומדיניות שיתוף.
- תהליך מסודר בקליטה, שינוי תפקיד וסיום עבודה.
- תגובה עקבית לאירועים ולאכיפת המדיניות.
השאלה אם מידע מסוים הוא סוד מסחרי ומהם הסעדים האפשריים היא משפטית ותלויה בנסיבות. החקירה מספקת תשתית עובדתית: מהו המידע, מי ידע עליו, כיצד נשמר, כיצד הושג ומה נעשה בו.
תוכנית חקירה מדורגת
- שלב בלימה ושימור: סגירת חשיפה פעילה ושמירת מקורות מתכלים.
- שלב היקף: איזה מידע, כמה רשומות, אילו גרסאות, מי נחשף ומהו חלון הזמן.
- שלב נתיב: מאיזו מערכת יצא, באיזה חשבון, מכשיר, ערוץ ויעד.
- שלב ייחוס: הצלבת זהות, שליטה בחשבון, נוכחות, הרשאה, התנהגות והסבר.
- שלב שימוש ונזק: האם היה פרסום, מסירה, גישה נוספת, שימוש תחרותי או פגיעה באנשים.
- שלב החלטה: דיווח, פעולה משפטית, משמעת, תקשורת, תיקון ובקרה.
בכל שלב מגדירים מטרות, שאלות, מקורות, סמכות, עלות ונקודת עצירה. כך נמנעת חקירה רחבה ויקרה שאינה משנה החלטה. ראו תוכנית חקירה: מטרות, ראיות ותקציב.
מטריצת ייחוס: כמה חזקה הראיה?
| רמת ממצא | דוגמה | ניסוח נכון |
|---|---|---|
| איתות | חשבון עובד צפה בקובץ | נרשמה גישה מהחשבון; זהות המשתמש בפועל טרם אומתה |
| חיזוק | גישה, מכשיר מוכר ונוכחות באותו זמן | כמה מקורות מתיישבים עם שימוש בידי העובד |
| נתיב העברה | דחיסה והעלאה לחשבון חיצוני מזוהה | תועד מעבר מהמקור ליעד, בכפוף לשלמות הלוגים |
| שימוש חיצוני | גרסה ייחודית הופיעה אצל מתחרה | המאפיינים תואמים לגרסה שהייתה בקבוצת גישה מוגדרת |
| ייחוס מבוסס | מקורות טכניים, פיזיים ועדותיים מצטלבים ולחלופות אין תמיכה | המסקנה נתמכת במארג ראיות ומגבלותיה מפורטות |
מה צריך להופיע בדוח החקירה?
- תקציר מנהלים שמפריד בין עובדות, הערכות ומה שעדיין אינו ידוע.
- הגדרת האירוע, סוגי המידע והיקפם.
- ציר זמן מאוחד עם מקורות ואזורי זמן.
- מפת מערכות, חשבונות, הרשאות, מכשירים וגורמי צד שלישי.
- תיאור שיטת האיסוף, עותקי מקור ושרשרת שמירה.
- ממצאים שתומכים ומחלישים כל השערה.
- הפרדה בין גישה, הורדה, הוצאה, מסירה ושימוש.
- פעולות בלימה והשפעתן על הראיות.
- החלטות דיווח, מועדן והגורם שאישר אותן.
- מגבלות: לוג חסר, שעון שגוי, חשבון משותף או מקור שלא נבדק.
- גורם שורש והמלצות ממוספרות לפי דחיפות, בעלים ומועד.
תיקון שורש: איך מונעים את האירוע הבא?
- ממפים מידע רגיש, בעלים, מקום שמירה ותקופת החזקה.
- מצמצמים הרשאות לפי צורך ומבצעים ביקורת תקופתית.
- מבטלים קישורים ציבוריים ישנים ושיתופים חיצוניים שאינם נחוצים.
- מפעילים MFA, ניהול מכשירים וסגירת סשנים בעת שינוי תפקיד.
- מגדירים יצוא, USB, דוא״ל אישי והדפסה לפי סיכון.
- מיישמים DLP באופן מדורג עם בדיקת התראות שווא.
- מרכזים לוגים ומוודאים תקופת שמירה שמתאימה לזמן הגילוי הצפוי.
- מגדירים שימוש מותר בכלי AI ואוסרים הזנת מידע רגיש לשירות לא מאושר.
- מעדכנים הסכמי ספק, זמני דיווח וזכות לקבל חומר חקירה.
- בונים תהליך עזיבה: הרשאות, החזרת ציוד, העברת ידע ותזכורת לסודיות.
- מתרגלים אירוע דליפה עם הנהלה, משפטי, פרטיות, IT ותקשורת.
- בודקים שהבקרה אינה רק כתובה אלא פועלת ומתועדת.
רשימת בדיקה להנהלה
- האם החשיפה הפעילה נסגרה בלי למחוק ראיות?
- האם ידוע בדיוק איזה מידע וגרסה הושפעו?
- האם נשמרו לוגים לפני תפוגה או שינוי?
- האם נבדקו חשבון שנפרץ, טעות, ספק וגורם פנימי כחלופות?
- האם הופרדה גישה מהוכחה להוצאה או שימוש?
- האם החלטת הדיווח התקבלה בזמן ותועדה?
- האם הוגדרה תקשורת אחת לעובדים, לקוחות וספקים?
- האם הדוח מציין מגבלות ולא רק מסקנות?
- האם לכל תיקון יש אחראי, תאריך ומדד ביצוע?
שאלות נפוצות
העובד הוריד אלפי קבצים. האם זו הוכחה לגניבה?
לא. ההורדה היא ממצא שדורש הקשר. בודקים תפקיד, דפוס רגיל, יעד ההעתקה, פעולות המשך, שליטה במכשיר והסבר העובד.
צריך לנתק מיד את העובד?
אם קיימת סכנה פעילה, ניתן לצמצם גישה באופן מידתי ובהתאם להחלטת הארגון. לפני מחיקה או איפוס שומרים לוגים, סשנים וחומר רלוונטי ומתעדים כל פעולה.
אפשר לבדוק טלפון פרטי של עובד?
לא באופן אוטומטי. נדרשים בסיס מתאים, בחינת מדיניות והסכמה, מידתיות וייעוץ משפטי. מעדיפים איסוף ממוקד וחלופות ארגוניות פחות פולשניות.
כל מסמך פנימי הוא סוד מסחרי?
לא. בוחנים את מאפייני המידע ואת האמצעים שננקטו לשמור עליו לפי החוק והנסיבות. עצם הכותרת "סודי" אינה מכריעה.
אם הסרנו את הקישור הציבורי, האירוע הסתיים?
לא בהכרח. צריך לבדוק כמה זמן היה פתוח, מי צפה או הוריד, האם נוצרו עותקים, האם מנועי חיפוש שמרו אותו ומהן חובות הדיווח.
האם חוקר פרטי יכול לפרוץ לחשבון של החשוד?
לא. חקירה חוקית מתבססת על מקורות שהארגון מוסמך למסור, מידע גלוי, איסוף מורשה ושיתוף פעולה עם בעלי סמכות. רישיון חוקר אינו היתר לפריצה.
מתי מערבים עורך דין?
מוקדם ככל האפשר כאשר קיימים מידע אישי, חשד לסוד מסחרי, עובד, הליך משפטי, רגולטור או צורך בצו. הייעוץ מסייע להגדיר סמכות, דיווח, היקף איסוף ושימוש בממצאים.
כמה זמן נמשכת חקירה?
אירוע ממוקד עם לוגים זמינים עשוי להתבהר במהירות; אירוע חוצה מערכות, ספקים ומדינות ארוך יותר. נכון לעבוד בשלבים ולמסור תמונת מצב ראשונית, במקום להמתין לדוח סופי כדי לקבל החלטות דחופות.
מקורות רשמיים
- הכנסת: חוק עוולות מסחריות, התשנ״ט-1999.
- הרשות להגנת הפרטיות: דיווח על אירוע אבטחה חמור במאגר מידע.
- הרשות להגנת הפרטיות: המדריך ליישום תקנות אבטחת מידע.
- מערך הסייבר הלאומי: דיווח על אירוע סייבר ומוקד 119.
- מערך הסייבר הלאומי: המרכז הארצי לניהול אירועי סייבר.
המידע במדריך כללי ואינו תחליף לייעוץ משפטי, אבטחת מידע, פרטיות או דיווח רגולטורי המותאמים לאירוע.
צריכים לבנות תמונת מצב בלי לפגוע בראיות?
אפשר להתחיל בשיחת מיקוד חסויה, להגדיר את מקורות השימור ואת שלוש השאלות הראשונות, ורק אז להחליט על היקף החקירה. פנו לייעוץ ראשוני.
