עדכון שבועי 26.11.2020

המפקח על הבנקים פרסם טיוטה בנושא חובת דיווח על אירועי כשל טכנולוגי וסייבר תוך שעתיים

על אף שכבר קיימת הסדרה של סוגיית הטיפול של בנקים בישראל באירועי סייבר (ראו, בין היתר, הוראות ניהול בנקאי מספר 357, 367 ו-361 והוראת דיווח מספר 848), טיוטת החוזר "דיווח על אירועי כשל טכנולוגי ואירועי סייבר" שפורסמה אתמול, ה-25 בנובמבר, מעלה משמעותית את רמת התערבותו הרגולטורית של הפקח. בדברי ההסבר לחוזר נכתב כי "...מצא הפיקוח על הבנקים לנכון להגדיר מחדש את דרישות הדיווח בתחומים אלה מתוך מטרה לוודא כי התאגידים הבנקאיים מנהלים כיאות את האירוע, לקבל תמונת מצב ולסייע במקרה הצורך, לצמצם השפעה מערכתית של האירוע ולוודא תהליך תחקור והפקת לקחים בעקבות האירוע" (עמוד 1). טיוטת החוזר מבטלת את הוראת הדיווח מספר 848 בנושא "דיווח על אירוע סייבר", ובמקומה קובעת תיקונים להוראות 357, 367 ו-361, המספקות הנחיות מפורטות בנוגע לסוגי האירועים המחייבים דיווח (סעיף 6 בטיוטת החוזר), לאחריות על הדיווח (סעיפים 7-9), לאופן הדיווח (סעיפים 10-13) ולתחקיר האירוע (סעיפים 14-16). בתוך כך, אחד השינויים שנקבעו באופן הדיווח הוא הטלת חובת דיווח טלפוני תוך שעתיים מרגע זיהוי האירוע ככזה המחייב דיווח, וכן דיווח ראשוני בכתב תוך 8 שעות (סעיף 10.1).

התנועה לזכויות דיגיטליות הגישה בקשה לתובענה ייצוגית בתחום הגנת פרטיות המידע

התביעה, שהוגשה ב-17 בנובמבר מטעם התנועה לזכויות דיגיטליות ואמיר לוי נגד חברת השכרת הרכב ״קשר רנט א קאר בע”מ״, עוסקת בהפרת זכויותיהם של לקוחות החברה, בין היתר תחת חוק הגנת הפרטיות, תשמ"א-1981 ותקנות הגנת הפרטיות (אבטחת מידע), תשע"ז-2017. באופן פרטני, התביעה מתייחסת לפרצת אבטחה או לדליפת מידע משרת חברת ״קשר״ שאירעה בחודש אפריל 2019 והביאה לפגיעה בפרטיותם של מידע אישי של לקוחות, לרבות שמות, כתובות, התחנות בהן אספו והשיבו רכבים ומועדי השכרתם. הסכום הנתבע על ידי הקבוצה בגין הפרת זכויות נושאי המידע עומד על 16.4 מיליון ש״ח. בנוסף לתביעה זו, הוגשה לבית המשפט המחוזי במרכז לוד בקשה לאישור התביעה כתובענה ייצוגית לפי חוק הגנת הצרכן, תשמ"א-1981, כאשר קבוצת התובעים מוגדרת כ"כל לקוחות המשיבה אשר פרטים או מידע שלהם נשמרו באתר או בשרת המשיבה". גל של תובענות ייצוגיות דומות בתחום הגנת המידע האישי מתרחש לאחרונה באיחוד האירופי.

הרשות להגנת הפרטיות פרסמה חוות דעת נוספת בנוגע לחוק הסמכת השב"כ לסיוע בצמצום התפשטות נגיף הקורונה 

ב-17 בנובמבר פרסמה הרשות חוות דעת שביעית בנושא, בהתאם לסמכותה על פי סעיף 12 של חוק הסמכת שירות הביטחון הכללי לסייע במאמץ הלאומי לצמצום התפשטות נגיף הקורונה החדש (הוראת שעה), התש"ף-2020. חוות הדעת מתמקדת בסל תמריצים חיוביים הנדרשים מצד הממשלה לטובת ביצוע פעולות הנחוצות למאבק בנגיף הקורונה, לרבות מימון ימי הבידוד על ידי המדינה, קיצור נוסף במספר ימי הבידוד הנדרשים, דיווח עצמאי על חובת בידוד והכרה בנתונים המצטברים ביישומון ״המגן״ כבסיס לערעור על חובת בידוד. הרשות מוסיפה ומדגישה את הצורך להמשיך בפיתוחו של יישומון ״המגן״ ופרסומו ברבים, זאת על מנת לקדם טכנולוגיה "אזרחית וולונטרית" למעקב אחר מגעים בין-אישיים העלולים להגביר את קצב ההידבקות בנגיף. הודעת הרשות המסבירה את חוות הדעת כוללת הבהרה לפיה "...אין עוד הצדקה להמשיך לעשות שימוש בכלי השב"כ [לאיתור חולי קורונה] גם לאור ההגדלה הדרמטית של מערך החקירות האפידמיולוגיות".

נציבות האיחוד האירופי מפרסמת הצעה לרגולציה חדשה בנושא משילות מידע: The Data Governance Act

ההצעה, שפורסמה ב-25 בנובמבר, היא צעד ראשון ביישום מדיניותו החדשה של האיחוד להגברת האמון בשימוש במידע על ידי "מתווכי מידע" ולחיזוק מנגנוני שיתוף מידע. ההצעה מתייחסת הן למידע אישי, כפי שהוא מוגדר ב- General Data Protection Directive (GDPR, והן למידע שאינו מוגדר כאישי, ומטרתה לאפשר לארגונים באיחוד ולנושאי מידע לנהל את המידע שלהם באופן שקוף יותר, לרבות באמצעות מנגנונים מוכרים ואמינים המיועדים לכך.  בעמוד המוקשש לשאלות ותשובות בנוגע להצעה, מוסבר כי "...הרגולציה תבטיח למערכת הכלכלית ולחברה האירופיות גישה לנתונים נוספים, ותספק לאזרחים ולארגונים שליטה גבוהה יותר על המידע שהם מייצרים. מהלך זה יחזק את הריבונות הדיגיטלית של אירופה".

הצעת חוק חדשה בקונגרס האמריקאי בעניין הגנות סייבר על אינטרנט של חפצים (IoT)

הצעת החוק, שהוגשה השבוע על ידי הסנאט בארה״ב בתמיכת שתי המפלגות, מנחה את המכון הלאומי לתקנים וטכנולוגיה (NIST) לגבש תקינה והנחיות עבור הרשויות הפדרליות, לשם הגברת רמת הגנת הסייבר במסגרת השימוש במכשירי IoT המחוברים למערכות המידע של רשויות אלה. ההצעה, The Information of Things Cybersecurity Improvement Act, מקדמת גם הגדרה רשמית של IoT, ומאפשרת ל-NIST לכלול בהנחיותיו הוראות אופרטיביות לרשויות הממשל לשם הגנה על מערכותיהן. הצורך בהסדרת נושא ה-IoT הוא ניכר, כאשר על פי הערכה אחת - מספר המכשירים המחוברים ל-IoT יגיע לכ-125 מיליארד עד שנת 2030.

מגמות בייחוס פומבי של מתקפות סייבר ברמה הבין-מדינתית

בכתבה שפורסמה ב-23 בנובמבר באתר מועצת יחסי החוץ של ארה"ב נבחנת סוגיית הפרסום הפומבי של ייחוס מעשי סייבר עוינים, נושא בעל השפעה על תהליך הפיתוח של נורמות בין-מדינתיות במרחב הסייבר. במספר מקרים שאירעו בעת האחרונה החלו ארה"ב, קנדה ומדינות נוספות בחשיפה פומבית של פרטי אירועי סייבר שחוו, תוך ייחוסם למדינות ולגורמים עוינים אחרים. כך, למשל, הודעה מטעם ה-FBI שפורסמה בסוף אוקטובר מייחסת שורה של מתקפות לשישה קצינים במערכת הביטחון הרוסית (ראו "הסייבר", 22.10.2020). קנדה מצדה ייחסה במסגרת דוח ה-National Cyber Threat Assessment 2020 מעשים עוינים במרחב הסייבר לסין, לרוסיה, לקוריאה הדרומית ולאיראן. הפרסום הפומבי של ייחוס אירועי סייבר חשוב, בין היתר, לקידום האפשרות לזהות "שחקנים רעים" בזירה, להבהרת ההתנהגות המדינתית המותרת והאסורה במרחב ולהדגשת היכולות הטכנולוגיות והמודיעיניות של מדינות המסוגלות לבצע את הייחוס, ובכך להרתיע תוקפים. נוסף על אלה, הייחוס הפומבי מהווה רכיב משמעותי בגיבוש כללי המשפט הבינלאומי ודרכי יישומם במרחב הסייבר.