תקנות הפיקוח על שירותים פיננסיים (ייעוץ, שיווק ומערכת סליקה פנסיוניים) (אבטחת מידע במערכת סליקה פנסיונית מרכזית), התשע"ב-2012 1

(1) תיאור סוגי המידע שניתן להעביר באמצעות מערכת סליקה פנסיונית מרכזית או לשמור בה, והערכת הרגישות של כל סוג מידע ביחס לפגיעה אפשרית בפרטיות לקוח שעל אודותיו מועבר המידע בשל פגיעה באבטחת המידע במערכת;

(2) המטרות שלשמן מותר למשתמש להעביר מידע באמצעות מערכת סליקה פנסיונית מרכזית והמטרות שלשמן מותר לחברה לשמור מידע במערכת;

(3) האופן שבו החברה מעבדת את המידע;

(4) הסיכונים המרכזיים לפגיעה בעניינו של לקוח, עקב חשיפת מידע על אודותיו ושימוש בו שלא כדין, והדרכים למזעורם.

(ב) חברה תפרט במסמך הגדרות המערכת את האופן שבו מסמך זה מקיים את סעיף 31 טז(א) לחוק.

(ג) חברה תפעל לשם עדכונו השוטף של מסמך הגדרות המערכת.

(ב) ממונה על הפרטיות ואבטחת מידע יאפשר עיון בנתונים על אודות המידע או הכספים שנשתמרו לגבי לקוח במערכת, לפי בקשתו.

(ג) הממונה על הפרטיות ואבטחת המידע יהיה כפוף ישירות למנהל החברה.

(ד) הממונה על הפרטיות ואבטחת המידע לא ימלא תפקיד נוסף שעלול להעמידו בחשש לניגוד עניינים עם מילוי תפקידו לפי תקנות אלה, לרבות מבקר פנים של החברה.

(ה) הממונה על הפרטיות ואבטחת המידע יהיה אחראי על יישום מסמך הגדרות המערכת ועל הכנת נוהלי עבודה לקיום הוראות תקנות אלה, וידווח על קיומם למנהל החברה.

(ו) הממונה על הפרטיות ואבטחת המידע יהיה בעל גישה ישירה לנתונים המאפשרים בקרה על השימוש במערכת סליקה פנסיונית מרכזית.

(ז) הממונה על הפרטיות ואבטחת המידע יבצע את כל הפעולות הנדרשות כדי שפעילות החברה תעמוד בהוראות בסעיף 31 טז(א) לחוק.

(ב) נוהל האבטחה יחייב את כל עובדי החברה שלהם גישה למידע, למערכת סליקה פנסיונית מרכזית או לרכיביה כאמור בתקנת משנה 5(א) (להלן - גישה למערכת).

(ג) נוהל האבטחה יכלול, בין השאר, את כל אלה:

(1) תיאור רכיבי המערכות המפורטים בתקנת משנה 5(א) ותיאור מבנה הרשת שבה פועלת מערכת הסליקה;

(2) תיאור אופן מתן הרשאות גישה למערכת, ואופן ביטולן של הרשאות כאמור;

(3) הוראות בדבר אופן אימות זהותם של מורשי גישה למערכת ואופן הטיפול בתקלות באימות זהות; אם יש צורך בשימוש בססמה יינתנו הוראות לעניין רמת אבטחת הססמה, מספר הניסיונות השגויים, ותדירות החלפת הססמאות שתיקבע לפי תפקיד מורשה הגישה, שלא תעלה על שישה חודשים;

(4) הוראות למורשי גישה למערכת, לגבי אופן השימוש במערכת תוך אבטחת המידע;

(5) הוראות בדבר אבטחה פיזית וסביבתית של מיתקני מערכת סליקה פנסיונית מרכזית כאמור בתקנה 7;

(6) אופן בקרה על שימוש במידע, לרבות עריכת רישום על אודות גישה למערכת ומניעת הוספה או גריעה של מסמכים למערכת באופן בלתי מתועד;

(7) הוראות בדבר אבטחת מערכות מחשוב ומערכות תקשורת שבאמצעותן מועברים נתונים ממערכת סליקה פנסיונית מרכזית ואליה;

(8) הוראות בדבר ניהול והעברה של אמצעי אחסון והתקנים ניידים;

(9) הוראות בדבר אופן גיבוי מידע, שחזורו ואופן התמודדות עם אירוע אבטחה כמשמעותו בתקנה 12;

(10) הוראות בדבר ביצוע ביקורות תקופתיות לשם הבטחת קיומם ותקינותם של אמצעי האבטחה לפי תקנות אלה;

(11) הוראות בדבר חובת דיווח למנהל החברה על אירועי אבטחה ועל פעולות שננקטו בעקבותיהם;

(12) הוראות בדבר התקשרות לאספקת שירותים ומוצרים עם גורם חיצוני.

(ד) הממונה על הפרטיות ואבטחת המידע יעדכן את נוהל האבטחה מזמן לזמן, בהתאם לשינויים מהותיים במערכת סליקה פנסיונית מרכזית או תוצאות ביקורת תקופתית שנערכה לפי תקנה 15.

(1) מערכות חומרה ורכיבי תקשורת, לרבות ציון מיקומם הפיזי;

(2) מערכות התוכנה המשמשות להפעלת מערכת סליקה פנסיונית מרכזית, לניהולה, לתחזוקתה, לתמיכה בפעילותה, לבקרתה, לניטורה ולאבטחתה;

(3) תוכנות וממשקים המשמשים לביצוע התקשרות אל מערכת סליקה פנסיונית מרכזית וממנה;

(4) כל מידע או רכיב אחר הנדרש לשם הפעלת מערכת סליקה פנסיונית מרכזית או לשם גישה אליה.

(ב) מערכת סליקה פנסיונית מרכזית תתוכנן באופן שיפחית את סיכוני אבטחת המידע ולאחר שהחברה ערכה סקר השפעה על הפרטיות ואבטחת המידע.

(ג) חברה תערוך סקר לאיתור סיכוני אבטחת מידע לאחר סיום הקמתה של מערכת סליקה פנסיונית מרכזית ולפני תחילת הפעלתה באופן מלא או חלקי (להלן - סקר סיכונים); תוצאות סקר הסיכונים יועברו לממונה על הפרטיות ואבטחת המידע ולמנהל החברה, לבחינת הצורך בעדכון מדיניות אבטחת המידע או נוהל האבטחה ולתיקון ליקויים שהתגלו במסגרת הסקר, אם התגלו.

(ד) רשימת הרכיבים וסקר הסיכונים יעודכנו בתוך 18 חודשים מהמועד האחרון שבו עודכנה רשימת הרכיבים או מהמועד שבו עודכן סקר הסיכונים האחרון, לפי העניין, וכן לפני הטמעת שינויים משמעותיים במערכות הטכנולוגיות.

(ה) גורם מקצועי, בלתי תלוי וחיצוני לחברה יערוך את סקר הסיכונים.

(ו) מנהל החברה ידווח לממונה על ליקויים שנמצאו בסקר הסיכונים, ועל תכנית העבודה לתיקון הליקויים האמורים, בתוך 30 ימים מהמועד שבו הגיעו לידיו.

(ב) שמירה של מידע מזוהה או ניתן לזיהוי במערכת סליקה פנסיונית מרכזית ייעשה באופן מוצפן שאינו מאפשר זיהוי הלקוח; הממונה רשאי לקבוע ברישיון שניתן לחברה תחולה מדורגת להוראה זו אם הדבר נדרש לצורך בדיקת המערכת בעת תחילת עבודתה או בעת ביצוע שינויים טכנולוגיים.

(ב) חברה תנקוט אמצעים לבקרה על הגישה לאתרים שבהם מצויים רכיבים המפורטים ברשימת הרכיבים ולתיעוד גישות כאמור שבוצעו, לרבות הכנסה והוצאה של ציוד אל אתרים אלה ומהם.

(ב) חברה תפעל להדרכת עובדיה לקיום חובות החברה וחובות עובדי החברה לפי תקנות אלה, בטרם יקבלו גישה למידע.

(ג) עובדי החברה יחתמו בטרם קבלת גישה למידע על התחייבות לשמור על סודיות בנוגע למידע כאמור לפי סעיף 31טו לחוק, ועל התחייבות לקיים את החובות לפי תקנות אלה.

(ד) החברה תקיים באמצעות הממונה על הפרטיות ואבטחת המידע פעילות הדרכה תקופתית לעובדי החברה שהם מורשי גישה למידע, בדבר מדיניות אבטחת המידע, נוהל האבטחה והוראות אבטחת המידע לפי החוק ולפי תקנות אלה, בהיקף הנדרש לצורך ביצוע תפקידם, ובדבר חובות המוטלות עליהם; הדרכה כאמור תבוצע אחת לשנה לפחות, ולגבי עובד חברה חדש - סמוך ככל האפשר למועד תחילת העסקתו.

(ב) החברה תנהל רישום מעודכן של עובדיה, תפקידיהם והרשאות הגישה שלהם.

(ב) גישה של עובד חברה למידע תיעשה באמצעות התקן פיזי שנתון לשליטתו הבלעדית של העובד ואמצעים נוספים שעליהם תורה החברה.

(ג) החברה תדאג לביטול הרשאות של עובד שסיים את תפקידו בחברה, לשינוי ססמאות וקודי גישה למערכת סליקה פנסיונית מרכזית, שניתנו לו, ולהשבת כל המסמכים והציוד הנמצאים ברשותו, לרבות התקן פיזי, מיד עם סיום תפקידו של עובד החברה.

(ב) מערכת סליקה פנסיונית מרכזית תמנע, ככל הניתן, אפשרות להפסקת פעילות מנגנון התיעוד או לצמצומה בניגוד למדיניות אבטחת המידע של החברה; על המערכת לאתר הפסקת פעילות מנגנון התיעוד או צמצומה ולהפיץ התראות לאחראים.

(ג) הממונה על הפרטיות ואבטחת המידע יבחן פעמיים בשבוע לפחות את הליקויים שאיתר מנגנון התיעוד ויערוך דוח של הליקויים שהתגלו והפעולות שננקטו בעקבותיהן.

(ד) נתוני הרישום של מנגנון התיעוד יישמרו למשך 24 חודשים לפחות.

(ה) החברה תיידע את עובדיה בדבר קיומו של מנגנון תיעוד.

(ב) הממונה על הפרטיות ואבטחת המידע יגיש למנהל החברה דוח אחת לרבעון על אודות אירועי אבטחה; החברה תערוך דיון אחת לרבעון בדבר הצורך בעדכון מסמך הגדרות המערכת או נוהל האבטחה בעקבות אירועים אלה.

(ג) תיעוד אירועי אבטחה יכלול גם תיעוד שחזור מידע במקרה של אבדן או הרס לפי תקנה 16, ככל שנדרשו, ובכלל זה תיעוד זהותו של מי שביצע את הליכי השחזור, זהותו של מי שאישר את שחזור המידע ופרטי המידע ששוחזר.

(ב) מערכת סליקה פנסיונית מרכזית לא תחובר לרשת האינטרנט או לרשת ציבורית אחרת בלא התקנת אמצעי הגנה סבירים מפני חדירה לא מורשית או מפני תוכנות המסוגלות לגרום נזק או שיבוש למחשב או לחומר מחשב.

(ג) העברת מידע ממערכת סליקה פנסיונית מרכזית באמצעות רשת תקשורת אלחוטית, רשת ציבורית, אינטרנט, או בכל אמצעי תקשורת אחר, תיעשה תוך שימוש באמצעי הצפנה מקובלים.

(ד) החברה תעדכן באופן שוטף מערכות ותוכנות המשמשות להפעלת מערכת הסליקה הפנסיונית המרכזית ובכלל זה מערכות אבטחת מידע, לרבות חומר מחשב הנדרש לפעולתן.

(ב) בדוח הביקורת שיבוצע לפי תקנת משנה (א) תפורט התאמת אמצעי האבטחה לנוהל האבטחה ולתקנות אלה, ליקויים ודרכים לתיקונם.

(ג) דוחות הביקורת יועברו למנהל החברה ולממונה על הפרטיות ואבטחת המידע, שיבחנו את הצורך בעדכון מסמך הגדרות המערכת או נוהל האבטחה בהתאם.

(1) נוהלי עבודה לביצוע גיבויים מדי שבוע, לכל הפחות, זולת אם לא בוצע עדכון המידע במהלך אותה תקופה;

(2) נהלים להמשכיות הספקת השירות ורציפותו למקרה של אבדן או הרס המידע (להלן - נוהלי ההמשכיות).

(ב) החברה תבחן מדי שישה חודשים את הצורך בעדכון נוהלי גיבוי המידע ושחזורו, ואופן יישומם.

(ג) יישום נוהלי ההמשכיות טעון אישור של מנהל החברה או מי מטעמו.

(ד) החברה תשמור עותקים של המידע, ובכלל זה מידע לגבי אופן הגישה למערכת והפעלתה ונוהלי ההמשכיות, במיתקני החברה ומחוץ להם, ותשתמש באמצעים שיבטיחו את שלמות המידע ואת אפשרות שחזורו במקרה של אבדן או הרס.

(ב) זיהוי משתמש או עובד מטעמו במערכת סליקה פנסיונית מרכזית, לשם חיבור למערכת, ייעשה באמצעות אמצעי זיהוי חד–ערכי אישי של משתמש או עובד מטעמו ויכלול התקן פיזי שנתון לשליטתו הבלעדית של המשתמש או העובד מטעמו; ואולם רשאי הממונה להורות כי עובד מטעמו של משתמש לא יידרש להתחבר למערכת סליקה פנסיונית מרכזית באמצעות התקן פיזי אישי, ובלבד שהרשאת הגישה שלו למערכת ואמצעי ניטור ובקרה על שימוש כאמור, מקיימים את אלה:

(1) הרשאת הגישה לשימוש במערכת מבוססת על זיהוי חד–ערכי של העובד לפי מספר זיהוי ושם; הרשאת גישה כאמור תהיה בהיקף ובמידה הנדרשים לביצוע הפעולות שאותן רשאי עובד המנוי על אותו סוג עובדים לבצע בשם המשתמש;

(2) המשתמש מיישם מערכת תיעוד גישה אוטומטית למערכת בדומה למנגנון התיעוד.

(ג) זיהוי לקוח במערכת סליקה פנסיונית מרכזית, לשם חיבור למערכת, ייעשה באמצעות אחד מאלה:

(1) תעודה אלקטרונית לאימות;

(2) אמצעי זיהוי חד–ערכי אישי אחר של הלקוח כפי שיורה הממונה.

(ד) נוהלי חיבור משתמשים ולקוחות למערכת סליקה פנסיונית מרכזית יוגשו לאישור הממונה טרם פרסומם או בטרם ביצוע שינויים בהם.

(ה) נוהלי חיבור משתמשים ולקוחות למערכת סליקה פנסיונית מרכזית יפורסמו לציבור באמצעות אתר אינטרנט או בכל אמצעי אחר שיאשר הממונה ויימסרו לכל מי שרשאי לבקש להתחבר למערכת.

(ב) מערכת סליקה פנסיונית מרכזית תטפל בבקשת בעל רישיון לביצוע פעולה מרשימת הפעולות לפי בקשת לקוח, לראשונה, רק אם הציג לפניה ייפוי כוח תקף התואם את הבקשה; לעניין תקנת משנה זו העברת מידע לפי תקנת משנה (א) לא תיחשב ביצוע פעולה.

(ג) מערכת סליקה פנסיונית מרכזית תבדוק את אמיתות ייפוי הכוח במקרה של בקשה לקבלת מידע לפי תקנת משנה (א) באמצעות תעודה אלקטרונית לאימות, שתואמת את פרטי הלקוח הכלולים בייפוי כוח שהוצג לפני המערכת, או באמצעות אמצעי זיהוי חד–ערכי אחר של הלקוח, כפי שיורה הממונה.

(ב) הרשאות לקוח לביצוע פעולות באמצעות מערכת סליקה פנסיונית מרכזית יינתנו ללקוח לפי מספר זיהוי ושם, בהיקף ובמידה הנדרשים לביצוע הפעולות שרשאי הלקוח לבצע באמצעות המערכת.

(ג) חברה תנהל רישום מעודכן של לקוחות ומשתמשים במערכת סליקה פנסיונית מרכזית לפי סוג משתמש, שמו והרשאות הגישה שנקבעו לו, בעלי הרשאות מטעמו, מספר זיהוים ותפקידם אצל המשתמש.

(ד) הרשאות גישה לעובד של משתמש או ללקוח שפעל בניגוד להוראות אבטחת המידע של המערכת יותלו מיד עד לקבלת אישור הממונה על הפרטיות ואבטחת המידע.

(1) פרטים על מועדי הבקשה ומסירתה;

(2) זהות הלקוח שהבקשה נוגעת לו;

(3) סוג הבקשה ומספר הזיהוי לביצועה;

(4) סוג ההיזון החוזר שהועבר למבקש ומועד מסירתו;

(5) זהות מבקש המידע ומקבל המידע;

(6) זהות מוסרי המידע;

(7) תחומי המידע שהועבר והיקפו;

(8) זהות מבקש הבקשה לביצוע פעולה וזהות מקבל הבקשה.

(1) מועד הבקשה להעברת הכספים או הפקדתם;

(2) המועדים שבהם עברו הכספים מחשבון לחשבון ממועד העברתם מחשבון המעביר עד השלמת העברתם;

(3) זהות מעביר או מפקיד הכספים ומקבליו ופרטי חשבונות הבנק לחיוב ולזיכוי;

(4) זהות הלקוח שלזכותו הועברו או הופקדו הכספים ופרטי חשבונו בקופת הגמל המזוכה;

(5) סכומי הכספים שהועברו או הופקדו ורכיביהם וסוג המטבע שבו הועברו או הופקדו;

(6) אופן ביצוע העברת הכספים או הפקדתם ומספר הזיהוי לביצוען;

(7) סוג העברת הכספים או הפקדתם תוך ציון אם הועבר מידע אגב העברת הכספים או הפקדתם; העברת מידע כאמור תכלול גם את מספר הזיהוי לביצוע העברת המידע;

(8) סוג ההיזון החוזר שהועבר למעביר הכספים או מפקידם ומועד מסירתו.

(1) הליך המרת המסמך אינו כרוך בשינוי תוכנו; לעניין זה, שינויים הנעשים לגבי אופן הצגת תוכן מסמך, כחלק מהליך המרה, לצורך שיפור הצגת התוכן בלבד, לא ייחשבו כמשני תוכן, ובלבד שנערך לגביהם תיעוד כמפורט בפסקה (2);

(2) הליך ההמרה יתועד ויכלול את מועד ההמרה, זהות מבצע ההמרה, האמצעי ששימש להמרה ותצורת ההמרה; תיעוד תצורת ההמרה יכלול נתונים בדבר מערכת החומרה והתוכנה ששימשה להמרה, וכן פרטים בדבר אופן ההמרה ושינויים שנעשו, אם נעשו, לאופן הצגת התוכן;

(3) בתום הליך ההמרה הוצמד לחומר המחשב אישור לגבי אופן הליך ההמרה כאמור בפסקה (2).

(ב) שימור מסמך לפי תקנת משנה (א) יתועד.

(ב) על החברה להשיב למשתמש או ללקוח, בכתב, בתוך 30 ימי עסקים מהיום שפנייתו התקבלה בחברה.