כשתעודת ISO 27001 לא מגינה על החברה
חברת טכנולוגיה ישראלית עברה תהליך הסמכה מלא לתקן ISO 27001, קיבלה את התעודה, והציגה אותה בגאווה באתר האינטרנט וב-Due Diligence מול לקוחות. כמה חודשים לאחר מכן התרחש אירוע אבטחה שחשף מידע אישי של לקוחות. הלקוחות טענו שההסמכה יצרה אצלם ציפייה סבירה לרמת הגנה מסוימת, שלא התקיימה בפועל.
התרחיש הזה אינו נדיר. חברות רבות מתייחסות להסמכה ל-ISO 27001 כאל קו סיום, בעוד שמבחינה משפטית מדובר בנקודת פתיחה בלבד. מאמר זה בוחן את המעבר המשפטי מ'עמידה בתקן' ל'אחריות בפועל', ואת המשמעויות המעשיות עבור חברות טכנולוגיה בישראל.
מהו המעמד המשפטי של תקן ISO 27001 בישראל
חוק הגנת הפרטיות, התשמ"א-1981, כפי שתוקן בתיקון 13, וכן תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, אינם מחייבים באופן ישיר הסמכה לתקן ISO 27001. עם זאת, רשות הגנת הפרטיות ורגולטורים נוספים נוהגים להתייחס לתקן כאל אינדיקציה לקיומם של 'אמצעי אבטחה סבירים' בהתאם לרמת הסיכון של המידע המעובד.
משמעות הדבר היא שהסמכה יכולה לשמש ראיה תומכת מטעם החברה בהליך רגולטורי או משפטי, אך היא אינה קונקלוסיבית. בית משפט או רגולטור עשויים לבחון האם אמצעי הבקרה שתועדו בתקן אכן יושמו בפועל, והאם הם התאימו לסיכון הקונקרטי שהתממש.
נכון למועד כתיבת מאמר זה, אין הוראת דין ישראלית המקנה לתעודת ISO 27001 מעמד של 'חזקת ציות' אוטומטית.
מדוע המגמה עוברת מ'עמידה בתקן' ל'אחריות בפועל'
תקן ISO 27001 מבוסס על מסמך מרכזי הנקרא Statement of Applicability, המפרט אילו בקרות אומצו, אילו הוחרגו, ומדוע. תעודת ההסמכה מעידה על כך שתהליך ניהול הסיכונים תועד ונבדק במועד מסוים, אך אינה מעידה על תפקוד הבקרות בזמן אמת.
רגולטורים ובתי משפט, ככל שיתעורר צורך לבחון אירוע אבטחה, יתמקדו פחות בשאלה 'האם הייתה הסמכה' ויותר בשאלות מהותיות: האם הבקרות שתועדו יושמו הלכה למעשה, האם הסיכונים שהתקבלו כ'סיכון שיורי' נותרו סבירים, והאם התהליכים עודכנו בהתאם לאיומים משתנים.
זהו למעשה מעבר מבחינה פורמלית של 'עמידה בדרישות' לבחינה מהותית של 'אחריות בפועל' — גישה התואמת את המגמה הכללית ברגולציית הסייבר וההגנת הפרטיות, המדגישה תוצאה ולא רק תיעוד.
התחייבויות חוזיות סביב ISO 27001 ומה הן יוצרות
בהסכמי SaaS, הסכמי מיקור חוץ והסכמי שירותים מנוהלים נפוץ לראות סעיף המחייב את הספק להחזיק בהסמכה תקפה ל-ISO 27001 לאורך כל תקופת ההתקשרות. סעיף כזה אינו דקלרטיבי בלבד — הוא מהווה מצג והתחייבות חוזית.
אובדן ההסמכה, גם באופן זמני, עלול להוות הפרה חוזית המקימה עילה לביטול ההסכם, להפעלת סעיפי שיפוי, או להפעלת זכות ביקורת (Audit Rights) שהוענקה ללקוח. חברות רבות אינן שמות לב לכך שהתחייבות גורפת 'להחזיק בהסמכה בתוקף' עלולה להיות רחבה מדי, ואינה מותאמת למציאות שבה תהליכי חידוש הסמכה כרוכים בזמני התארגנות.
- יש לוודא שסעיפי ISO 27001 בהסכמים מנוסחים באופן מידתי, כולל תקופת חסד לחידוש הסמכה.
- יש להימנע מהתחייבות מוחלטת ל'העדר ממצאים' בביקורת, ולהסתפק בהתחייבות לפעולה סבירה לתיקון ממצאים.
- יש לבחון האם סעיפי שיפוי בהסכם קושרים בין אובדן הסמכה לבין אחריות בלתי מוגבלת.
אחריות דירקטורים ונושאי משרה בעת אירוע אבטחה
חוק החברות, התשנ"ט-1999, מטיל על דירקטורים חובת זהירות וחובת אמונים, הכוללות פיקוח סביר על ניהול סיכוני סייבר. הסמכה ל-ISO 27001 יכולה לשמש אינדיקציה לכך שהדירקטוריון פעל באחריות בבואו לאשר מדיניות אבטחת מידע, אך אינה פוטרת אותו מחובת המשך הפיקוח.
בעקבות תיקון 13 לחוק הגנת הפרטיות, הוטלו חובות דיווח על אירועי אבטחה חמורים לרשות הגנת הפרטיות, וכן חובת תיעוד ותגובה מסודרת. חברה שתסתמך על תעודת ISO 27001 כתחליף למנגנון תגובה לאירועים עלולה למצוא עצמה בהפרת חובת הדיווח עצמה, בנפרד מכל שאלה של אחריות בנזיקין.
מומלץ שהליך התגובה לאירוע סייבר (Incident Response) ייבחן מבחינה משפטית באופן נפרד מתהליך ההסמכה לתקן, כך שהחברה תוכל להוכיח קיומו של תהליך תגובה עצמאי, מתועד ומתורגל.
הפער בין תעודת ISO 27001 למציאות התפעולית של החברה
ביקורת ISO 27001 מבוססת על דגימה — המבקר בוחן מדגם מצומצם של בקרות ותהליכים, ולא את כלל הפעילות השוטפת. תעודת ההסמכה אינה מהווה אישור לכך שכל מערכת ורכיב בארגון עומדים בדרישות התקן בכל רגע נתון.
בנוסף, תחום ההסמכה (Scope) עשוי להיות מוגבל למחלקה, למוצר או לסביבה טכנולוגית מסוימת, בעוד שהאירוע המשפטי או הרגולטורי מתרחש דווקא באזור שלא נכלל בתחום ההסמכה. פער כזה בין 'מה שהוסמך' לבין 'מה שקרה בפועל' הוא אחד המוקדים המרכזיים שבהם נבחנת אחריות החברה.
מומלץ לבצע בחינה משפטית תקופתית של מסמך ה-Statement of Applicability ושל רישום הסיכונים (Risk Register), כדי לוודא שהחרגות והנחות העבודה שאומצו על ידי צוות אבטחת המידע אכן עומדות ברף הסבירות המשפטי הנדרש, ולא רק ברף הטכני של התקן.
מה חברות צריכות לעשות כדי לגשר בין התקן לחוק
הפער בין הסמכה טכנית לאחריות משפטית ניתן לצמצום, אך הוא מחייב פעולה יזומה ולא הסתמכות פסיבית על תוצאות הביקורת השנתית.
- לערוך בדיקה משפטית של מסמך ה-SOA ורישום הסיכונים, במקביל לתהליך ה-ISO, ולא רק כחלק ממנו.
- לוודא שנהלי התגובה לאירוע סייבר תואמים את חובות הדיווח לפי חוק הגנת הפרטיות כפי שתוקן בתיקון 13.
- לבחון מחדש את הסעיפים החוזיים המתייחסים ל-ISO 27001 מול לקוחות וספקים, ולוודא מידתיות בניסוחם.
- לתאם בין דרישות פוליסת ביטוח הסייבר לבין תחום ההסמכה בפועל, כדי למנוע פערי כיסוי.
- לתעד את דיוני הדירקטוריון בנושא ניהול סיכוני סייבר כראיה עצמאית לפיקוח סביר.
ISO 27001 נותר כלי חשוב לניהול סיכוני אבטחת מידע, אך הוא אמור לשמש נדבך אחד מתוך מערך רחב יותר של ממשל תאגידי, חוזים מסודרים ותהליכי תגובה משפטיים. חברות שיבחנו את הפער בין התקן לחוק באופן שוטף, ולא רק בעת חידוש ההסמכה, יהיו במצב טוב יותר להתמודד הן עם אירוע סייבר עתידי והן עם בחינה רגולטורית או משפטית שתבוא בעקבותיו.
האמור במאמר זה מהווה מידע כללי בלבד ואינו מהווה ייעוץ משפטי. לקבלת ייעוץ מותאם לנסיבות הספציפיות של חברתכם, אנו מזמינים אתכם ליצור קשר עם משרדנו.
