מה מגדיל חשיפה בפרטיות
מה מגדיל חשיפה, ומה מקטין אותה בלי לעלות כסף.
מה שצריך לדעת לפני שבודקים
חשיפה אינה מספר אחד. היא מכפלה של כמה מידע, כמה רגיש, וכמה ידיים נוגעות בו.
מה מגדיל חשיפה
השאלה 'כמה אנחנו חשופים' נשמעת ככזו שדורשת מספר, אבל המספר הוא לא מה שמניע החלטות. מה שמניע החלטות הוא הבנה של הגורמים — כי כל אחד מהם ניתן להקטנה בנפרד, וחלקם ניתנים להקטנה בלי תקציב.
חשיפה אינה סכום אלא מכפלה. מאגר גדול של פרטי יצירת קשר שנגיש לשני אנשים אינו בהכרח חשוף יותר ממאגר קטן של מידע רפואי שנגיש לחמישה עשר. כל גורם מכפיל את האחרים, ולכן שיפור באחד משפיע על התמונה כולה.
המסקנה המעשית חוזרת בכל ארגון: הפעולה הזולה ביותר היא מחיקה. מידע שאין לו מטרה פעילה מגדיל כל אחד מהגורמים ואינו תורם דבר — וההיפטרות ממנו אינה דורשת מערכת, פרויקט או תקציב.
ששת הגורמים
כמות
כמה נושאי מידע וכמה רשומות. הגורם הכי קל למדוד והכי פחות משמעותי כשהוא לבדו.
רגישות
מידע רפואי, פיננסי, ביומטרי או על קטינים אינו באותה קטגוריה עם פרטי יצירת קשר. זה הגורם עם המכפיל החזק ביותר.
מספר הגורמים הנגישים
כמה אנשים ומערכות ניגשים בפועל. הרשאה שניתנה לצורך זמני ונשארה היא חשיפה מתמשכת.
תקופת שמירה
כמה זמן המידע מוחזק אחרי שהמטרה מוצתה. שמירה ללא סוף מגדילה כל גורם אחר.
פיזור
בכמה מערכות, גיליונות וגיבויים אותו מידע קיים. עותקים הם חשיפה שאיש לא סופר.
שרשרת ספקים
כמה גורמים מחוץ לארגון מחזיקים את המידע, וכמה ספקי משנה מתחתיהם. השכבה הכי קשה לראות.
מה מקטין חשיפה, לפי סדר עלות
למחוק מה שאין לו מטרה
הפעולה הזולה, המהירה והמשפיעה ביותר. היא מקטינה כמות, פיזור ותקופת שמירה בבת אחת, ואינה דורשת מערכת או תקציב — רק החלטה ותיעוד.
לצמצם הרשאות
לעבור על מי ניגש למה ולהסיר את מי שכבר לא צריך. ברוב הארגונים רשימת ההרשאות גדלה ואף פעם לא מתכווצת.
לקבוע תקופות שמירה
לכל קטגוריית מידע — כמה זמן, ולפי איזה קריטריון. אחר כך לוודא שהמחיקה קורית בפועל ולא רק כתובה בנוהל.
לאחד עותקים
אותו מידע בארבעה מקומות הוא ארבע נקודות כשל. איחוד מקטין פיזור, ומגלה בדרך עותקים שאיש לא ידע עליהם.
לצמצם רגישות
לשאול אם באמת צריך את שדה תעודת הזהות, את תאריך הלידה המלא או את המידע הרפואי. ויתור על שדה אחד רגיש שווה יותר ממחיקת אלף רשומות.
להסדיר את השרשרת
מי מחזיק מה מחוץ לארגון, על בסיס איזה הסדר, ומה קורה בסיום ההתקשרות. ראו ניהול סיכוני ספקים.
מכפלה, לא סכום.
מאגר קטן של מידע רגיש שנגיש לחמישה עשר אנשים עשוי להיות חשוף יותר ממאגר גדול של פרטי קשר שנגיש לשניים. הגורמים מכפילים זה את זה.
מה עמוד זה אינו
הבנת הגורמים עוזרת לתעדף. היא אינה קובעת חבות ואינה מנבאת עלות.
אינו אומדן קנס
איננו מציגים סכומי עיצום או פיצוי. אלה תלויים בנסיבות, בנוסח החוק ובשיקול דעת הגורם המפקח.
אינו הערכת נזק
עלות אירוע תלויה בסוגו, בהיקפו, בתגובה ובנסיבות. אומדן מוקדם שלה יהיה ניחוש.
אינו ייעוץ משפטי
העמוד מציג סקירה כללית. משמעות החשיפה לארגון מסוים מחייבת בדיקה פרטנית.
אינו מודד אבטחה
היקף החשיפה והגנתה הן שתי שאלות. מאגר מוגן היטב עדיין מאגר גדול.
מתיישן
כל מערכת חדשה, ספק חדש או שוק חדש משנים את התמונה.
שאלות נפוצות
מה משפיע הכי הרבה על חשיפה?
רגישות המידע ומספר הגורמים שנגישים אליו. כמות היא הגורם שהכי קל לדבר עליו והכי פחות משמעותי לבדו — מאגר גדול של פרטי קשר אינו בהכרח חשוף יותר ממאגר קטן של מידע רפואי.
מה הפעולה הזולה ביותר?
מחיקת מידע שאין לו מטרה פעילה. היא מקטינה כמות, פיזור ותקופת שמירה בבת אחת, אינה דורשת תקציב, וברוב הארגונים יש הרבה ממנה.
אתם נותנים אומדן קנס?
לא. סכומי עיצום ופיצוי תלויים בנסיבות, בנוסח החוק העדכני ובשיקול דעת הגורם המפקח, ואיננו מציגים אותם. כל מספר כזה יהיה מטעה.
איך מודדים 'פיזור'?
בכמה מקומות אותו מידע קיים: מערכות, גיליונות, גיבויים, סביבות פיתוח, תיקיות אצל עובדים. עותקים הם הגורם שהכי מעטים סופרים והוא כמעט תמיד גדול מהצפוי.
יש לנו אבטחה טובה. זה מקטין חשיפה?
זה מקטין את ההסתברות שהחשיפה תתממש, לא את היקפה. אלה שתי שאלות נפרדות, ושתיהן נדרשות — אבטחה חזקה על מאגר שאין בו צורך היא השקעה במקום הלא נכון.
מאיפה מתחילים?
ממיפוי. בלי לדעת מה מוחזק, איפה, ומי ניגש — כל הערכה היא הנחה, וכל תעדוף שנגזר ממנו הוא ניחוש.
רוצים לדעת איפה מרוכזת החשיפה אצלכם?
שיחת אפיון קצרה, בלי התחייבות — ונגיד לכם איזה גורם דומיננטי בארגון שלכם ומה מקטין אותו.
העמוד מציג סקירה כללית ואינו מהווה ייעוץ משפטי או חוות דעת.