מדיניות אבטחת מידע

עודכן לאחרונה: אפריל 2026

[שם המפעיל/החברה] מחויב/ת להגן על המידע המצוי ברשותו/ה וליישם אמצעי אבטחת מידע, סייבר, פרטיות והמשכיות עסקית המתאימים לאופי השירותים, להיקף הפעילות, לרגישות המידע ולסיכונים הרלוונטיים.

מסמך זה מתאר בקווים כלליים את עקרונות האבטחה שאנו מיישמים. מטעמי אבטחה, איננו מפרטים את כלל הבקרות, הארכיטקטורה, רשימות הנכסים, הליכי התגובה והנהלים הפנימיים.

מסמך זה אינו מהווה התחייבות לתוצאה מסוימת, ערבות לחסינות מוחלטת או פירוט מלא של כלל בקרות האבטחה המופעלות בפועל.

1. מסגרת נורמטיבית וסטנדרטים

אנו פועלים תוך התייחסות, בין היתר, ל:

חוק הגנת הפרטיות, התשמ"א-1981 ותיקוניו;
תקנות הגנת הפרטיות (אבטחת מידע), תשע"ז-2017;
הנחיות והוראות מחייבות של הרשות להגנת הפרטיות ושל רשויות מוסמכות אחרות, ככל שהן חלות;
חובות ניהול ספקים, תיעוד, בקרה, סיווג והרשאות לפי הדין החל;
עקרונות ונהגים מקובלים כגון Least Privilege, Need to Know, הפרדת תפקידים, Privacy by Design, Security by Design וניהול סיכונים;
סטנדרטים ומתודולוגיות מקובלים בתעשייה, כגון ISO/IEC 27001:2022, NIST Cybersecurity Framework 2.0, CIS Controls v8, OWASP, ובמידת הצורך גם מתודולוגיות אבטחת ענן, AppSec והמשכיות עסקית.

2. עקרונות אבטחה מרכזיים

אנו מיישמים, לפי העניין ובהתאם לסיכון, אמצעים כגון:

א. ממשל, מדיניות ונהלים

הגדרת אחריות ארגונית לאבטחת מידע, פרטיות וניהול סיכונים;
מיפוי מערכות, מאגרי מידע, תהליכי עיבוד וספקים;
מדיניות ונהלים בתחומי גישה, סיסמאות, הצפנה, גיבוי, ספקים, תגובה לאירועים והמשכיות עסקית;
הדרכות מודעות לעובדים, נותני שירות והרשאות רלוונטיות;
בחינה תקופתית של סיכונים, בקרות ועמידה בדרישות רגולטוריות.

ב. בקרת גישה וזהויות

גישה למידע על בסיס הרשאה מינימלית בלבד;
ניהול זהויות, משתמשים והרשאות לאורך מחזור החיים שלהם;
שימוש באמצעי אימות מתאימים, ובמקומות הנדרשים גם אימות רב-גורמי (MFA);
בקרה, רישום ומעקב אחר פעולות גישה רגישות;
סקירות הרשאה תקופתיות ושלילת גישה בעת שינוי תפקיד או סיום התקשרות.

ג. הגנת תשתיות, ענן ויישומים

הצפנת מידע במעבר באמצעות פרוטוקולים מקובלים כגון TLS;
הצפנה או אמצעי הגנה שקולים למידע במנוחה, כאשר הדבר מתאים;
חומות אש, סינון תעבורה, הפרדות סביבתיות, הקשחת מערכות וניהול תצורה;
ניטור, זיהוי חריגות, הגנה מפני קוד זדוני וכלים לזיהוי/מניעת איומים, לפי הצורך;
ניהול תיקוני אבטחה ועדכונים;
פיתוח מאובטח, בדיקות קוד, ניהול תלויות, Secrets Management והקטנת שטח תקיפה;
סריקות חולשות, בדיקות תקופתיות ושיפור מתמיד, בהתאם לרמת הסיכון.

ד. זמינות, גיבוי והמשכיות עסקית

גיבויים סדירים בהתאם לקריטיות המערכות והשירותים;
בקרות שחזור ובדיקות תקופתיות, ככל שנדרש;
תכנון התאוששות מאסון והמשכיות עסקית בהתאם להיקף הפעילות;
ניטור זמינות, עומסים וביצועים לצורך צמצום השבתות.

ה. ניהול ספקים ומחזיקים

בחינת ספקים רלוונטיים לפני התקשרות ובמהלכה;
שימוש בהסכמי סודיות, עיבוד מידע, אבטחה והעברה בינלאומית לפי הצורך;
צמצום גישה של ספקים למידע למינימום הנדרש;
בקרה חוזית ותפעולית על שירותי ענן, אירוח, סליקה, תמיכה, תקשורת וכלי צד שלישי.

3. סיווג מידע, מזעור ושמירה

אנו פועלים לצמצום היקף המידע הנאסף והנשמר, לסיווג מידע לפי רגישות, קריטיות והיקף חשיפה, ולהחלת בקרות שונות בהתאם לקטגוריית המידע, מטרת העיבוד וחובות השימור.

כאשר ניתן, אנו עושים שימוש באמצעים כגון הקטנת נתונים, פסאודונימיזציה, הפרדת סביבות, טיוב הרשאות ומחיקה יזומה של מידע שאינו נחוץ עוד.

4. לוגים, ניטור ומניעת הונאה

לצורכי אבטחה, אמינות, מניעת הונאה, חקירת אירועים, תפעול ושיפור השירות, אנו עשויים לאסוף ולנתח:

לוגים של מערכות ויישומים;
פרטי התחברות ופעולות משתמש;
כתובות IP ומזהי מכשיר;
אירועי שגיאה, חריגות וניסיונות גישה;
נתוני תפעול ואבחון.

מידע זה יעובד בהתאם לדין החל, לצורך מידתי וסביר, ובכפוף למדיניות הפרטיות שלנו.

5. ניהול אירועי אבטחה ותגובה

אנו מפעילים תהליכים לזיהוי, תיעוד, הכלה, חקירה, תיקון והתאוששות מאירועי אבטחה, ובכלל זה:

הערכת חומרת האירוע והיקפו;
בידוד, בלימה ומניעת התפשטות;
שמירת ראיות ותיעוד;
תיקון, שחזור ופעולות מניעה להמשך;
למידה ושיפור לאחר אירוע.

במקרה של אירוע העלול להשפיע על מידע אישי, על זכויות נושאי מידע או על זמינות השירותים, נפעל בהתאם לחומרת האירוע ולדרישות הדין, ובכלל זה:

הערכת הסיכון לנפגעים ולמערכות;
הודעה לבעלי תפקידים, לקוחות, ספקים או גורמים מושפעים כאשר הדבר נדרש;
הודעה לרשויות מוסמכות כאשר קיימת חובה או הנחיה מחייבת;
כאשר חל GDPR/UK GDPR, דיווח לרשות פיקוח בתוך פרק הזמן הנדרש בדין, ובמקרים מסוימים בתוך 72 שעות ממועד המודעות לאירוע, ככל שהחוק מחייב;
מתן הודעה לנושאי מידע כאשר קיים סיכון גבוה לזכויותיהם וחירויותיהם, לפי הדין החל.

6. אבטחה בפיתוח ושינויים טכנולוגיים

ככל שהדבר רלוונטי לשירותינו, אנו פועלים לפי עקרונות Secure Development Lifecycle ו-Privacy by Design, ויכולים לכלול בין היתר:

בחינת דרישות אבטחה ופרטיות בשלב האפיון;
בקרות על סביבות פיתוח, בדיקות וייצור;
ניהול שינויי קוד ותצורה;
טיפול בחולשות ידועות ובתלויות צד שלישי;
בדיקות טרום השקה ושיפור לאחר השקה.

7. אחריות המשתמש לאבטחה

גם למשתמש יש תפקיד חשוב בשמירה על האבטחה. אנו ממליצים:

לבחור סיסמה חזקה וייחודית;
להפעיל MFA כאשר אפשרי;
לא לשתף פרטי גישה;
להתנתק מחשבון במכשירים משותפים;
לעדכן דפדפנים, מערכות הפעלה ותוכנות אבטחה;
להיזהר מהודעות פישינג, קבצים לא מוכרים וקישורים חשודים;
לדווח לנו מיד על כל חשד לפגיעה באבטחה.

8. גילוי חולשות ודיווח אחראי

אם מצאת חולשת אבטחה, תצורה שגויה או חשד לאירוע סייבר הקשור לשירותינו, אנא דווח/י לנו באופן אחראי לכתובת [אימייל אבטחה].

נבקש לצרף:

תיאור ברור של הממצא;
מועד הגילוי;
כתובות או מסכים רלוונטיים;
היקף אפשרי;
פרטי התקשרות לחזרה.

אנו מבקשים להימנע מ:

גישה לנתונים שאינם שלך;
שינוי, מחיקה או שיבוש מידע;
פגיעה בזמינות השירות;
ביצוע בדיקות אגרסיביות ללא אישור;
פרסום פומבי של חולשה לפני שניתנה לנו הזדמנות סבירה לטפל בה.

פניות בתום לב ייבחנו באופן ענייני, ואנו נפעל לצמצום הסיכון ולשיפור ההגנה. אין באמור כדי להעניק חסינות משפטית גורפת מעבר למה שהדין מחייב.

9. מגבלות

למרות מאמצינו ויישום אמצעי הגנה מקובלים, אין מערכת מאובטחת לחלוטין. לכן איננו יכולים להבטיח חסינות מוחלטת מפני חדירה, תקלה, שיבוש, גניבה, אובדן, כשל מערכת, שימוש לרעה או גישה בלתי מורשית. עם זאת, אנו פועלים באופן שוטף לצמצום סיכונים, לזיהוי מוקדם ולשיפור הבקרות.

10. שינויים במדיניות

אנו רשאים לעדכן מדיניות זו מעת לעת כדי לשקף שינויים בדין, ברגולציה, בטכנולוגיה, באיומים, בהנחיות רגולטוריות או בפעילותנו. הגרסה המעודכנת תפורסם באתר עם תאריך עדכון.

11. יצירת קשר

לשאלות בנושא אבטחת מידע, פרטיות או דיווח על אירוע אבטחה:

אחראי/ת אבטחת מידע / CISO (אם מונה): [שם]
דוא"ל אבטחה: [אימייל אבטחה]
דוא"ל פרטיות: [אימייל פרטיות]
טלפון: [טלפון]
כתובת: [כתובת מלאה]