מה Assessment בודק
Privacy Assessment הוא הערכת מצב מקיפה של הארגון בתחום הפרטיות. בשונה מסריקת אתר, שבודקת מה נטען בדפדפן של המבקר, ה-Assessment בודק את הארגון עצמו: אילו מאגרי מידע קיימים, האם נדרש ממונה, אילו נהלים קיימים ומיושמים, מי ניגש למידע, אילו ספקים מחזיקים אותו, ואיך מטופלות פניות של מי שהמידע עליו.
מה שמייחד Assessment מבדיקה נקודתית הוא שהוא מייצר ציון לכל תחום ולא ממצא בודד. זה חשוב מסיבה מעשית: כמעט אף ארגון אינו חלש בכל התחומים. התמונה האופיינית היא ארגון שהמאגרים אצלו מסודרים והספקים לא, או שיש לו נהלים מעולים ואף אחד לא מונה לאחראי. תעדוף נכון דורש לדעת איפה הפער ולא רק שקיים פער.
הפלט אינו דוח לקריאה אלא בסיס להחלטה. לכל תחום: מה המצב, מה חסר, מה החשיפה, ומה הצעד הבא. ה-Assessment אינו אישור לעמידה בדרישות הדין ואינו מקנה הגנה בהליך אכיפה — הוא כלי אבחון.
מתי Assessment הוא הצעד הנכון
- 01האם אתם יודעים לומר, לכל תחום — מאגרים, ממונה, נהלים, הרשאות, ספקים — איפה אתם עומדים?
- 02האם נדרשתם להציג עמידה בדרישות פרטיות ללקוח, למכרז, לדירקטוריון או למבטח?
- 03האם ההיערכות שלכם התמקדה עד כה באתר ובמסמכים, בלי לבדוק מה קורה בתהליכי העבודה?
אם התשובה לראשונה שלילית, אין תמונה — ובלי תמונה כל תעדוף הוא ניחוש. אם אתם רק צריכים אינדיקציה ראשונית על הצד הפומבי, סריקת האתר מספיקה ומהירה. Assessment הוא הרמה שמעליה, והוא כולל את מה שכלי אוטומטי אינו יכול לראות.
התחומים שנבדקים
מאגרי מידע — קיום, הגדרה ומעמד
אילו אוספי מידע אישי קיימים בארגון, מה מטרתם, ומה מעמדם מול הרשות. שני הפערים השכיחים: אוספים שאף אחד לא חשב עליהם כמאגר, ורישומים היסטוריים שאינם משקפים את הפעילות הנוכחית. הבדיקה מתבססת על מיפוי המידע.
מינוי ממונה — תחולה ואפקטיביות
שתי שאלות נפרדות: האם החובה חלה, ואם מונה ממונה — האם יש לו הכשרה, זמן מוקצב ועצמאות. מינוי פורמלי בלי שלושת אלה עשוי להצביע על מודעות לחובה ואי-קיומה. מינוי חיצוני הוא אחת החלופות כשהשילוב הזה אינו קיים פנימית.
נהלים — קיום מול יישום
הבדיקה אינה אם קיימים נהלים אלא אם הם מיושמים. נוהל שקיים כמסמך נפרד ואינו משולב בתהליך העבודה — בטופס הרכש, בתהליך גיוס עובד — אינו מיושם. זה הפער שנמצא כמעט בכל ארגון.
הרשאות גישה
מי ניגש לאיזה מידע, על בסיס מה, ומה קורה כשעובד מסיים או מחליף תפקיד. הממצא השכיח: פתיחת הרשאה היא תהליך מסודר וסגירתה אינה תהליך בכלל. התוצאה היא גישות פעילות שאין להן עוד בסיס.
ספקים והעברות
מי מחוץ לארגון מחזיק מידע, על בסיס איזו הסדרה כתובה, והאם קיים תיעוד פיקוח. במרבית הארגונים המודרניים כאן מרוכזת מרבית החשיפה, ולכן זה תחום שכמעט תמיד מקבל תעדוף גבוה. ראו Vendor Risk Assessment.
זכויות נושא מידע ומוכנות לאירוע
מה קורה כשאדם מבקש לדעת איזה מידע מוחזק עליו, ומה קורה כשמתרחש אירוע אבטחת מידע. שני התרחישים נבחנים לא לפי מה שכתוב בנוהל אלא לפי מי יעשה מה בפועל, ובאיזה לוח זמנים.
אף ארגון לא חלש בכל התחומים.
התמונה האופיינית אינה ציון אחד אלא צורה לא סימטרית: חוזק בתחום אחד, פער בשני. תעדוף נכון מתחיל מהיכולת לראות את הצורה הזו.
מה חשוב להבין
Assessment אינו אישור
הוא כלי אבחון. הוא אינו קובע עמידה בדרישות הדין, אינו מהווה ייעוץ משפטי ואינו מקנה הגנה בהליך אכיפה. אין בישראל מנגנון שבו גורם פרטי מנפיק אישור עמידה בדיני הפרטיות, ולכן שום פלט של תהליך פרטי — שלנו או של אחר — אינו שווה ערך לאישור רגולטורי. מי שמציג לכם תו כזה מציג משהו שאין לו מקור.
ציון גבוה אינו חסינות
ציון מודד את מה שנבדק ביחס למתודולוגיה. הוא אינו מכסה כל תרחיש, ואינו חוזה מה יקרה באירוע. ארגון עם ציון טוב שנפל בשל ספק שלא נבדק — נמצא באותה עמדה כמו ארגון שלא נבדק כלל.
דוח בלי תיקון עלול להזיק
זו הנקודה שהכי מעטים מזהים. ה-Assessment מתעד שהארגון היה מודע לפער. אם לא נעשה דבר, המודעות עצמה עשויה להיות עמדה גרועה מאי-ידיעה. Assessment מחייב מחויבות לתיקון, לא רק רצון לדעת.
לבדוק מסמכים במקום מציאות
Assessment שמסתמך רק על מה שהארגון מסר ימצא רק את מה שהארגון יודע. הפערים המהותיים מתגלים בשיחות עם הדרג שנוגע במידע ביום-יום — מי מוציא קובץ לספק, מי משיב ללקוח, מה קורה כשעובד מסיים.
צילום מצב שמתיישן
התמונה נכונה ליום הבדיקה. תוך פחות משנה נוספות מערכות ומתחלפים ספקים, והציון כבר אינו מדויק. בלי ניטור שוטף אחרי ה-Assessment, הערך שלו דועך.
מה מקבלים
שאלון ארגוני
איסוף מובנה של המצב לפי תחום.
ראיונות מבצעיים
שיחות עם מי שנוגע במידע — לא רק עם ההנהלה.
בדיקת הצד הפומבי
אתר, טפסים ומדיניות — מה שכל אחד רואה.
ציון לכל תחום
שש נקודות מבט, כדי לראות איפה הפער.
רשימת ממצאים
מה בדיוק חסר בכל תחום, בשפה ברורה.
תעדוף
לפי חשיפה והסתברות — לא לפי קלות תיקון.
תוכנית תיקון
מה עושים, מי אחראי, ובאיזה לוח זמנים.
תמצית להנהלה
עמוד אחד שאפשר להציג בדירקטוריון או ללקוח.
שאלות נפוצות
מה זה Privacy Assessment?
הערכת מצב מקיפה של הארגון בתחום הפרטיות, על פני שישה תחומים: מאגרי מידע, מינוי ממונה, נהלים, הרשאות גישה, ספקים והעברות, וזכויות נושא מידע ומוכנות לאירוע. הפלט הוא ציון לכל תחום, רשימת ממצאים מתועדפת ותוכנית תיקון.
מה ההבדל בין Assessment לבין סריקת אתר?
סריקה בודקת את הצד הפומבי — מה נטען בדפדפן של המבקר — ונותנת אינדיקציה ראשונית תוך דקות. Assessment בודק את הארגון עצמו: מאגרים, ממונה, נהלים, הרשאות וספקים. הסריקה עונה על "מה קורה באתר", ה-Assessment על "מה מצב הארגון".
מה ההבדל בין Assessment לבין סקר פרטיות?
השניים קרובים ונבדלים בדגש. Assessment מייצר תמונת מצב עם ציון לכל תחום, ומתאים כשצריך לדעת איפה עומדים. סקר מתמקד בפער בין המוצהר לקיים ובתיעוד הממצאים, ומתאים כשצריך להציג ממצאים לגורם חיצוני.
האם ה-Assessment מקנה אישור או תעודה?
לא. הוא כלי אבחון: אינו קובע עמידה בדרישות הדין, אינו מהווה ייעוץ משפטי ואינו מקנה הגנה בהליך אכיפה. אין בישראל מנגנון שבו גורם פרטי מנפיק אישור עמידה בדיני הפרטיות, ולכן אף תו או תעודה מגורם פרטי אינם שווי ערך לאישור רגולטורי.
כמה זמן לוקח Assessment?
תלוי בגודל הארגון, במספר המערכות ובמספר הספקים. השאלון והבדיקה הפומבית הם שלבים קצרים; הראיונות ובדיקת שרשרת הספקים הם השלב המשמעותי. לא ניתן לתת טווח אמין בלי לראות את הארגון.
האם דוח Assessment יכול להזיק לנו?
דוח בלי תיקון עלול להזיק. הוא מתעד שהארגון היה מודע לפער, ואם לא נעשה דבר — המודעות עצמה עשויה להיות עמדה גרועה מאי-ידיעה. לכן Assessment צריך להיות מלווה במחויבות לתיקון ולא רק ברצון לדעת.
מה עושים אחרי ה-Assessment?
מבצעים את תוכנית התיקון לפי התעדוף, ואז מפעילים מנגנון שמונע סחיפה חזרה. בארגון עם יותר מפער אחד, המסגרת המתאימה היא תוכנית פרטיות ארגונית ולא טיפול בממצאים בודדים.
האם זו חוות דעת משפטית?
לא. העמוד מציג סקירה כללית ואינו מהווה ייעוץ משפטי או חוות דעת. היקף ה-Assessment והשלכות הממצאים על ארגון ספציפי מחייבים בדיקה פרטנית.
נתקלתם במונח שאינו ברור? מילון מושגי הפרטיות מסביר 98 מונחים בעברית — כל אחד עם הגדרה, הסבר מעשי ודוגמה.
איפה אתם עומדים, לפי תחום?
שיחת אפיון קצרה, בלי התחייבות — ונגיד לכם מה היקף ה-Assessment שהארגון שלכם צריך.