הרשות להגנת הפרטיות שבמשרד המשפטים פרסמה בשבוע שעבר את ממצאי הפיקוח שלה על משרד החינוך. הקביעה: המשרד הפר את סעיף 17 לחוק הגנת הפרטיות ושורת הוראות בתקנות אבטחת המידע, לאחר שפרטים אישיים ורפואיים של כ‑ 21 אלף תלמידי חינוך מיוחד במחוז החרדי הגיעו לידיים בלתי מורשות. הרשות סיווגה את האירוע כאירוע אבטחה חמור. בהודעתה לא צוין עיצום כספי ולא נאמר אם תינקט אכיפה נוספת.
שני רכיבים והגדרה אחת
את כל השרשרת אפשר לתמצת בשני רכיבים. הראשון הוא טופס מקוון שמוסדות החינוך התבקשו למלא כדי לזרז את השיבוץ. השני הוא קובץ נתונים שעובדי המשרד הרכיבו בעצמם, סביב מאי 2024, מתוך מערכת פעילה של המשרד.
לגרסת המשרד בפני הרשות, הקובץ היה אמור להישאר רכיב תשתית שהטופס שולף ממנו נתונים. ההגדרה שנקבעה בפועל אמרה דבר אחר: גישה לכל מי שמחזיק בקישור, בלי סיסמה, עם אפשרות צפייה והורדה. גם הקישור לא היה נעול לנמען שלו, אלא ניתן להעברה הלאה.
התפוצה הראשונה הייתה דווקא ממוסדת: באותו חודש נשלח הקישור לאנשי המוסדות החרדיים, דרך חשבונות דוא"ל רשמיים ופרטיים גם יחד. מכאן הדרך לציבור הרחב הייתה קצרה. הרשות קבעה שהמידע אכן הגיע לגורמים שלא היו מורשים לקבלו.
בתוך הקובץ לא הייתה רשימת שמות. לפי חשיפת N12, שעליה נסמך הפרסום התקשורתי במרץ 2025, מדובר ברשומות של 21,439 ילדים: מספרי זהות ותאריכי לידה, כתובות ופרטי מוסד הלימוד, השתייכות דתית והאבחנה הרפואית שבגינה התלמיד נמצא בחינוך מיוחד. הורים מסרו שהמשמעות הקשה היא דווקא בתוך הקהילה, לרבות השפעה אפשרית על שידוכים.
מה שהפך תקלה נקודתית לכשל מערכתי
המשרד ביקש למסגר את האירוע כטעות מקומית: שגיאה בהגדרות ההרשאות של טופס אחד, שאפשרה למשתמש חיצוני לאתר את הקובץ. הרשות לא עצרה שם. מעבר להגדרה עצמה היא מנתה חוסרים מערכתיים שאמורים לעניין כל ארגון.
העובד שחילץ את הנתונים לא נמצא ברשימת המורשים העדכנית. מסמך שמגדיר את מסד הנתונים לא היה. מדיניות אבטחת המידע לא עמדה בדרישות. סקר סיכוני אבטחה עדכני לא היה כלל. נוסף לכך נמצאו כשלים בניהול ההרשאות, בהפעלת המערכת ובדרך שבה הועבר המידע: שליחה בקישור פתוח, בלי הצפנה מקובלת, נקבעה כהפרה של הכללים להעברת מידע ברשת. היבט מחמיר נוסף: המסד שממנו נשלפו הנתונים מחזיק מידע רגיש על למעלה ממאה אלף בני אדם ולכן התקנות מחייבות אותו ברמת האבטחה הגבוהה.
טענת ההגנה המעניינת של המשרד הייתה אחרת. הוא הפנה להסמכות שיש לו בתקני אבטחת מידע בינלאומיים וראה בהן פטור מחלק מהתקנות. הרשות דחתה את הטענה מפורשות: תקן בינלאומי אינו תחליף, מצד עצמו, לעמידה בדין הישראלי. למי שמנהל ארגון, זו השורה שכדאי לקרוא פעמיים.
סיכון אבטחת המידע לארגון שלכם
זה לא סיפור על פריצה. לא נוצלה חולשה, לא הופעלה נוזקה ולא הוגשה דרישת כופר. מה שהיה כאן הוא עובדים שניסו לפתור בעיה תפעולית אמיתית בכלי נוח, בתוך ארגון שחסרו בו המדיניות והסקר שהיו אמורים לתפוס הגדרה כזו בזמן. זה הדפוס שמכונה מערכת צל: רכיב שנבנה מתוך כוונה טובה, מחזיק נתונים אמיתיים מהמערכת המרכזית ואינו מופיע באף מסמך אבטחה.
שתי עובדות הופכות את זה למסוכן במיוחד. האחת היא טיב המידע. מספר זהות ואבחנה רפואית אינם סיסמה שמחליפים אחרי דליפה. הם עשויים לשמש להתחזות ולהנדסה חברתית שנים קדימה. האחרת היא הזמן. הקישור יצא במאי 2024, הפרסום התקשורתי הגיע במרץ 2025 ורק בעקבותיו נפתח הליך הפיקוח: כעשרה חודשים בין הרגע שבו נפתח הקובץ לעולם לבין הרגע שבו נודע אודות האירוע.
נקודה רגולטורית: הרשות הדגישה שהאירוע קדם לכניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות ולפיכך נבדק לפי הדין וסמכויות האכיפה שהיו אז. עצם ההדגשה היא המסר. אירוע זהה שיקרה היום נמצא תחת סמכויות האכיפה של תיקון 13.
010 הגנה על מידע
רשימת החוסרים שהרשות מנתה היא, בפועל, רשימת בדיקה לכל ארגון שמחזיק מידע על אנשים. חלק גדול ממנה הוא בדיוק מה שאנחנו עושים.
- סקר סיכונים של 010 ניגש אל מה שנקבע כאן כחסר: מיפוי מסדי הנתונים שהארגון מחזיק בפועל, קביעת רמת האבטחה הנדרשת לפי היקף המידע ורגישותו, השוואה בין ההרשאות על הנייר לבין ההרשאות הפעילות באמת ואיתור יזום של אותן מערכות צל שאיש אינו מתעד.
- מניעת דלף מידע (DLP) מכוונת אל הצעד שהכריע כאן: קובץ עם נתונים אישיים שיוצא ממערכת ליבה אל שיתוף פתוח, אל הורדה או אל תיבה פרטית. היא אינה הבטחה שאירוע כזה לא יקרה, אך היא הופכת אותו מדבר שמתרחש בשקט לדבר שמישהו רואה.
- מודעות עובדים לסייבר מטפלת בשורש של מה שקרה. מי שבנה את הטופס לא היה תוקף אלא עובד שלא הכיר את המשמעות של הגדרת שיתוף אחת.
- מודיעין סייבר מקצר את הפער בין רגע החשיפה לרגע הגילוי, בניטור שמאתר מידע של הארגון היכן שהוא אינו אמור להיות, כדי שהידיעה תגיע מאיתנו ולא מהעיתון.
שורה תחתונה: הסמכה אינה ציות. תעודה על הקיר אינה מחליפה את מי שבודק את ההגדרות עצמן.
למקור הידיעה ולקריאה נוספת לחצו כאן
