האבטחה שבפרטיות או הפרטיות שבאבטחה

במקומות אחרים וגם כאן מהעיר נשמע קול קורא:

הכינו נהלי אבטחת מידע, קבלו אסמכה לתקן כלשהו (27001 או מספר חזק אחר) והרי אתם מוכנים ל gdpr, תקנות הפרטיות ושאר ירקות מגינת הפרטיות.

‍

‍

‍

‍

כמה בעיות קטנות עם התזה הזו:

1. הזנב מקשקש בכלב? אבטחת מידע, חשובה ככל שתהיה, היא רק חלק מעולם הפרטיות. במקרה של gdpr מדובר על פסוק אחד מתוך 99.

התקנות הישראליות החדשות מתייחסות אך ורק לאבטחת מידע, אבל, שימו לב - זהו עדכון לחוק הפרטיות הותיק (שהקדים את זמנו). חוק רחב ומקיף שגם בו אבטחת מידע היא רק חלק מהסיפור.

2. אין תהודה לתעודה. בהמשך למה שכתבתי אתמול, תעודה כזאת או אחרת אינה מקובלת כחותמת כשרות.

מה שצריך לעשות זה לעשות.

אל תבינו לא נכון, אני מאמין גדול בתקן 27001, במידה והוא מהווה מסגרת ליישום מעשי של אבטחת המידע בארגון.

3. עשית ולא בדקת לא עשית. פסוק 32 של gdpr - הפסוק הממוקד באבטחת מידע - דורש לבצע בדיקות תקופתיות של אבטחת המידע. התקנות הישראליות דורשות בפירוש לבצע מבדקי חדירה (מה שנקרא פי טי). אל תוותרו על זה!

אז מה כלול במה? אבטחת מידע בפרטיות או פרטיות באבטחת מידע?

רמז - התשובה היא כן.