תיקון 13 לחוק הגנת הפרטיות: 6 הגדרות ב-Microsoft 365 שחושפות מידע אישי

מה השתנה בתיקון 13

אכיפה: הרשות להגנת הפרטיות יכולה להטיל עיצומים כספיים משמעותיים על הפרות של החוק והתקנות.
ממונה על הגנת הפרטיות: ארגונים מסוימים חייבים למנות ממונה שאחראי על העמידה בחוק.
רישום מאגרים: חובת הרישום צומצמה, אבל מאגר שפטור מרישום עדיין כפוף לחוק ולתקנות אבטחת המידע.
אבטחת מידע: תקנות הגנת הפרטיות (אבטחת מידע) מ-2017 נשארות בתוקף. הן דורשות, בין השאר, להגביל את הגישה למידע למי שצריך אותו, לתעד גישה (ברמות האבטחה הבינונית והגבוהה) ולטפל באירועי אבטחה.

למה זה עניין של הגדרות ב-Microsoft 365

קבצי לקוחות, תלושי שכר, קורות חיים ופרטי מטופלים כבר לא יושבים בשרת אחד בחדר המחשבים. הם בתיבות דואר, בספריות SharePoint, ב-OneDrive של עובדים ובערוצי Teams. ההגדרות של Microsoft 365 קובעות מי יכול לפתוח אותם, לשתף אותם ולהוציא אותם מהארגון. ברירות המחדל נועדו להקל על שיתוף פעולה, לא להגן על מידע אישי.

6 ההגדרות שכדאי לבדוק קודם

הגדרה	מה הבעיה	למה זה נוגע לפרטיות
שיתוף בקישור Anyone with the link	קבצים ב-SharePoint וב-OneDrive משותפים בקישור שכל מי שמחזיק בו יכול לפתוח, בלי להתחבר	קישור שהועבר הלאה חושף את המידע לכל מי שקיבל אותו, ואין דרך לדעת מי
שיתוף חיצוני ואורחים	ספקים, יועצים ולקוחות מקבלים גישה, ואף אחד לא בודק מתי היא נגמרת	מידע אישי נשאר נגיש לגורמים שכבר לא צריכים אותו
Conditional Access	אין מדיניות שמגבילה התחברות לפי מכשיר, מיקום או רמת סיכון	חשבון אחד שנפרץ פותח גישה לכל המידע שהעובד רואה
Data Loss Prevention	אין מדיניות DLP, או שהיא לא מכסה מידע ישראלי כמו מספרי זהות	מידע רגיש יוצא במייל או בשיתוף בלי שאף אחד יודע
Audit	הרישום לא מופעל לכל השירותים, או שאף אחד לא בודק אותו	אחרי אירוע אי אפשר לדעת מה נחשף ולמי, וקשה לעמוד בחובת הדיווח
שמירה ומחיקה	אין מדיניות retention, ומידע נשמר לנצח	ככל שמידע אישי נשמר יותר זמן, הנזק בדליפה גדול יותר

מאיפה מתחילים

מפו איפה המידע האישי נמצא. אילו אתרי SharePoint, תיבות משותפות וערוצי Teams מחזיקים מידע על לקוחות, עובדים או מטופלים.
סגרו שיתוף אנונימי. הגבילו את "Anyone with the link" ברמת הארגון, או לפחות באתרים שמחזיקים מידע אישי, וקבעו תפוגה לקישורים.
בדקו גישה חיצונית. הגדירו סקירות גישה (Access Reviews) לאורחים, והסירו גישה שכבר לא בשימוש.
הפעילו Conditional Access. דרשו MFA בכל התחברות, וגישה למידע הארגון רק ממכשירים מנוהלים.
הגדירו DLP. ב-Microsoft Purview יש תבנית מוכנה בשם Israel Protection of Privacy, שמזהה מספרי זהות ומספרי חשבון בנק ישראליים. התחילו במצב בדיקה, ראו מה נתפס, ורק אז חסמו.
ודאו שה-Audit פועל. ושמישהו יודע איפה לחפש כשקורה אירוע.
הגדירו שמירה ומחיקה. שמרו מידע אישי רק כל עוד צריך אותו, ומחקו אותו אחר כך.
הכינו תוכנית לאירוע אבטחה. מי מחליט, מי בודק, ומתי מדווחים לרשות.

איך Griffin31 עוזר

Griffin31 בודק את הגדרות האבטחה בטננט Microsoft 365 שלכם באופן רציף, כולל שיתוף, גישה חיצונית, Conditional Access, Audit, DLP ומדיניות שמירה ומחיקה, ומראה מה לתקן קודם, עם ההוכחה מאחורי התוצאות.

המאמר הזה מסביר איך דרישות החוק מתורגמות להגדרות ב-Microsoft 365. הוא לא מהווה ייעוץ משפטי. לשאלות על החובות של הארגון שלכם, פנו לממונה על הגנת הפרטיות או ליועץ משפטי.

רוצים לדעת איפה הטננט שלכם עומד? Griffin31 בודק את הגדרות האבטחה ב-Microsoft 365 באופן רציף ומראה מה לתקן קודם.

קביעת הדגמה