תנאים נוספים לעניין ניהול סיכוני סייבר

סקירה: ניהול סיכוני סייבר בהיבט תקריות

• תאריך פרסום: 27/08/2020
• כניסה לתוקף: 27/08/2020
• סטטוס: בתוקף
• מקור: המשרד להגנת הסביבה
• סקירה: ניהול סיכוני סייבר

בתאריך 27.08.2020 פרסמו אגף חירום וסייבר ואגף חומרים מסוכנים במשרד להגנת הסביבה תנאים נוספים בהיתר הרעלים לעניין ניהול סיכוני סייבר. מטרת תנאים אלה הינה לחייב את בעל העסק לבצע את הוראות "מדריך הסייבר לתעשייה" אשר פורסם ביולי 2020.

להלן תמצית עיקרי התנאים:

כללי

מינוי ממונה סייבר תוך 60 ימים מקבלת התנאים.

הכנת מסמך מדיניות אבטחת מידע והגנת סייבר והגשתו לממונה על-פי דרישה.

סיווג תהליכים ומערכות

בתוך שנה עם קבלת התנאים הנוספים, על העסק לבצע מיפוי תהליכים מסוכנים במפעל. מיפוי התהליכים נעשה על פי השיטה האירופאית: שיטת 'סווסו'. זאת על-פי הפורמט שמובא בנספח ו' במדריך הסייבר וכן בהתאם להוראות המופיעות בנספח י"א במדריך.

ניהול סיכונים והגדרת פערים לגישור

עם השלמת ההוראות שבפרק ב' ובתוך שנה עם קבלת תנאים אלו, יכין העסק את המסמכים הבאים:

• סקר מלא לניהול סיכוני סייבר לפי הוראות מדריך הסייבר לתעשייה.
• ביצוע אנליזת פערים אשר תכיל השוואה בין הבקרות הקיימות לבין אלו שעליו ליישם כתוצאה מהכנת הסקר.
• גיבוש תוכנית עבודה למזעור סיכוני סייבר, העסק יציג את התוכנית לממונה על-פי דרישתו.
• הגשת תצהיר על ביצוע סקר סיכוני סייבר, כמפורט בנספח ז' למדריך הסייבר לתעשייה.

יישום אמצעים לגישור פערים

• עם סיום הכנת תוכנית העבודה למזעור הסיכונים על העסק לבצע את כלל הפעולות שבתוכנית. הביצוע לא יאוחר משלוש שנים ממועד קבלת התנאים. ככל שבמהלך התקופה בוצעו שינויים על העסק לבצע השלמת פערים.
• בתוך שלוש שנים ממועד קבלת התנאים, יחתום העסק על תצהיר המעיד על סיום התהליך ויגישו לממונה.

תיעוד, רישום ושמירת מסמכים

• בעל העסק יחזיק בעותקי הסקר, מסמך מדיניות ובתוכנית למזעור סיכוני סייבר לפחות 10 שנים.
• על העסק לדעת כי בכל שלב שהוא יכול הממונה לדרוש לקבל עותק עדכני של המסמכים הנ"ל.

ו' – עדכון סקר ניהול סיכונים

• העסק יעדכן את סקר הסיכונים אחת ל-42 חודשים בהתאם למדריך הסייבר או על-פי דרישת הממונה.
• בעת ביצוע שינוי משמעותי בעסק, על העסק לעדכן את הממונה וכן את סקר הסיכונים.

ניהול אירוע סייבר, הסקת מסקנות ודיווח למשרד להגנת הסביבה

• אם התרחש אירוע חומ"ס אשר מקורו בסייבר העסק יכלול זאת בדיווח האירוע.
• במידה והתרחש אירוע חומ"ס בשל כשל מערכות מחשוב העסק יבחן האם מדובר באירוע סייבר ובמידה וכן יעדכן את מוקד הגנה"ס.
• היה ונודע לבעל העסק כי התרחש אירוע סייבר וטרם נגרם אירוע חומ"ס, העסק יפעל מיידית לטיפול באירוע זאת כדי למנוע אירוע חומ"ס עתידי. במקביל לכך ולא יאוחר מ-24 שעות מרגע הגילוי, בעל העסק יעדכן את מוקד הגנה"ס.
• העסק יכין תוכנית תגובה לאירוע סייבר והוא יצורף לתיק-המפעל של העסק.
• לאחר סיום אירוע סייבר, העסק יכין דו"ח אירוע זאת בהתאם לנספח ט' שמדריך הסייבר.

לקריאה נוספת באתר המשרד להגנת הסביבה

הזמט וניהול סיכוני סייבר

המלחמה בהאקרים דורשת מרדף אינסופי בין פיתוח מערכות הגנה עמידות להאקרים לבין היכולת של האקרים לפצח את מערכות ההגנה. בהזמט, הדרך שלנו היא להפחית, ואף לבטל כליל, את היכולת של מתקפת סייבר לגרום לתקרית חומרים מסוכנים. לפרטים נוספים הקישו כאן. לשילוב סייבר בניהול סיכונים בהיבט תקריות הקישו כאן.