תובנות מניתוח מענה לשאלון בנושא סיכוני אבטחת מידע וסייבר שהופץ בקרב חברות ניהול תיקים

במהלך החודשים נובמבר 2022 – מרץ 2023, ביצעה מחלקת ביקורת והערכה ברשות בדיקה מדגמית של אופן יישום המלצות שפורטו במסגרת חוזר התובנות שלהלן, בקרב חברות ניהול תיקים. בעקבות הבדיקה הוחלט לעדכן את חוזר התובנות. העדכונים בוצעו ביחס לתובנות מס' 2, 14, 15 ו-17 להלן, והם משקפים ליקויים רוחביים אשר עלו בבדיקת יישום התובנות ועמדות הסגל לגביהם. העדכון נכון ליוני 2023.

1. סיכוני אבטחת מידע וסייבר הם סיכונים אסטרטגיים וסיסטמיים ברמה המשקית. תחכום האיום הקיברנטי, עוצמת הסיכון והשלכות התממשותו מחייבים התייחסות מיוחדת אליו, הן ברמה אסטרטגית והן ברמה יישומית. יודגש שהסיכון הקיברנטי אינו מהווה סוגיה טכנולוגית גרידא אלא גם סוגיה עסקית- אסטרטגית חוצה ארגון, וככזה מחייב, לשם ביסוס מערך בקרות אפקטיבי, שילוב חוצה ארגון של אנשים, טכנולוגיה, תהליכים ונהלים.

2. בחודש מאי 2018 נכנסו לתוקף תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 (להלן: "תקנות אבטחת מידע" או "התקנות"), אשר חלות על כל הגופים בישראל המנהלים או מחזיקים מאגר מידע, כהגדרתו בחוק הגנת הפרטיות, התשמ"א-1981. התקנות קובעות עקרונות לאבטחת מידע, לשם הגנה על מידע אישי מפני שימוש לרעה על ידי גורמים בתוך הארגון ומחוצה לו. אי-יישום הדרישות העולות מתקנות אבטחת מידע עלול להוות הפרה לא רק של התקנות האמורות, אלא גם של הוראות הדין הייחודיות החלות על בעל רישיון מכוח חוק הסדרת העיסוק בייעוץ השקעות, בשיווק השקעות ובניהול תיקי השקעות, התשנ"ה-1995 (להלן: "חוק הייעוץ"). לפיכך, על חברות ניהול תיקים לנקוט במכלול הפעולות הנדרשות על מנת להגן, בין היתר, על המידע הנוגע ללקוחותיהן (ובפרט, מאגר נתוני לקוחות). עמדת סגל הרשות היא כי על חברות ניהול תיקים לתת ביטוי לפעולות האמורות, לרבות אלו שנעשות במסגרת יישום הדרישות העולות מתקנות אבטחת מידע, במסגרת נוהל אבטחת מידע (הנדרש על פי ההוראה לתאגידים המורשים בדבר חובת קביעת נהלי עבודה בנוגע לדרכי פעולתם והתנהלותם (נוסח חדש – 2015)).