תקנות הפיקוח על שירותים פיננסיים (קופות גמל) (איסוף, גישה ובקרה בעת איחוד חשבונות) (הוראת שעה), התשע"ז-2016 1

(ב) הממונה ישמור מידע שהגיע אליו כאמור בתקנת משנה (א) באופן מוצפן ומאובטח במערכת באמצעי הצפנה מקובל.

(ג) הממונה על אבטחת המידע יוודא כי עיבוד או שמירה ממוחשבת של מידע שהגיע לממונה במסגרת הליך איחוד חשבונות ייעשו באופן שאינו מאפשר למי שאינו מורשה, גישה למידע, ובכלל כך יוודא כי המערכת מופרדת ממערכות מחשוב אחרות, וכי כל ניסיון גישה של מי שאינו מורשה גישה למידע כאמור, יתועד באופן שיהיה ניתן לזהות את המבצע.

(ד) הממונה על אבטחת המידע יוודא כי המידע של המערכת, ובכלל זה מידע לגבי אופן הגישה למערכת והפעלתה ונוהלי ההמשכיות, מגובה, לפי הרשאות הגישה והשימוש שבתקנות אלה, וישתמש באמצעים שיבטיחו את שלמות המידע ואת אפשרות שחזורו במקרה של אבדן או הרס.

(ה) חברה מנהלת תמנה ממונה על הפרטיות ואבטחת המידע שיהיה אחראי על העברת מידע לפי תקנות אלה.

(ב) הממונה על אבטחת המידע, בהתייעצות עם הרשות למשפט, טכנולוגיה ומידע במשרד המשפטים, יערוך נוהל אבטחת מידע לעניין אמצעי הזיהוי ומורשה הגישה למידע (להלן - נוהל האבטחה) לפי תקנות אלה.

(ג) נוהל האבטחה יחייב את מורשה הגישה למידע ואת מורשה הגישה למערכת.

(ד) נוהל האבטחה יכלול, בין השאר, את כל אלה:

(1) הוראות בדבר אופן אימות זהותו של מורשה הגישה למידע ואופן הטיפול בתקלות באימות זהות;

(2) הוראות למורשה הגישה למידע, לגבי אופן השימוש במערכת תוך אבטחת המידע;

(3) הוראות בדבר אבטחה פיזית וסביבתית של מיתקני המערכת;

(4) הוראות בדבר אופן אחסונו ועיבודו של המידע בצורה מאובטחת;

(5) אופן הבקרה על השימוש במידע, לרבות עריכת רישום בדבר גישה למערכת ומניעת הוספה או גריעה של מסמכים למערכת באופן בלתי מתועד;

(6) הוראות בדבר אופן גיבוי מידע, שחזורו ואופן התמודדות עם אירוע אבטחת מידע;

(7) הוראות בדבר חובת דיווח לממונה על אבטחת המידע על אירועי אבטחה ועל פעולות שננקטו בעקבותיהם.

(ה) הרשאות גישה של העובדים למערכת במסגרת הליך איחוד חשבונות יהיו על בסיס הגדרת תפקיד; הרשאת גישה לכל תפקיד תהיה בהיקף ובמידה הנדרשים לביצועו בלבד; גישת מורשה גישה למערכת תיעשה לשם תחזוקה ותפעול בלבד, לפי אישור הממונה על אבטחת המידע ובעדכון מורשה הגישה למידע.

(ו) גישת מורשה גישה למערכת ומורשה גישה למידע תיעשה באמצעות שם המשתמש שלו והתקן פיזי אישי הנתון לשליטתו הבלעדית.

(ז) הממונה על אבטחת המידע ידאג לביטול הרשאות של עובד שסיים את תפקידו במשרד, לשינוי ססמאות וקודי גישה למערכת שניתנו לו, ולהשבת כל המסמכים והציוד הנמצאים ברשותו, לרבות התקן פיזי, לא יאוחר מסיום תפקידו של העובד.

(ב) הממונה על אבטחת המידע אחראי על האבטחה הפיזית והסביבתית של המערכת, וינקוט את האמצעים לבקרה על הגישה לאתרים שבהם מצויים רכיבי המערכת.

(ג) מערכת המחשוב בהליך איחוד החשבונות תתעד אירוע המעלה חשש לזליגה של מידע, לפגיעה בשלמות המידע או לשימוש בו בלא הרשאה; תיעוד כאמור יבוצע, ככל האפשר, באמצעות רישום אוטומטי ובהודעה בזמן אמת לממונה על אבטחת מידע ולמורשה הגישה למידע בעת קרות אירוע כאמור.

(ב) הממונה על אבטחת המידע יערוך בדיקות לגבי הליקויים שאיתר מנגנון התיעוד כאמור בתקנת משנה (א), יערוך דוח מיידי של ליקויים חמורים שהתגלו והפעולות שננקטו בעקבותיהן ויעבירו לרשם כהגדרתו בסעיף 7 לחוק הגנת הפרטיות; לעניין תקנת משנה זו, "ליקוי חמור" - אירוע שנעשה בו שימוש במידע, לרבות אירוע שבו היתה כניסה למערכת באופן שאפשר גישה למידע בלא הרשאה או בחריגה מהרשאה.