ב-18 בפברואר פרסם Law.com מאמר של שון טומה (Shawn Tuma) שמיועד ליועצים משפטיים בחברות, ועוסק בשלוש תוכניות שבארגונים רבים מתערבבות זו בזו: תוכנית התאוששות מאסון (DRP), תוכנית המשכיות עסקית (BCP) ותוכנית תגובה לאירועים (IRP). הטענה המרכזית שלו פשוטה: אלה לא שמות נרדפים, ולכל אחת מהן תפקיד שונה בהגנה על הפעילות, המוניטין והמעמד המשפטי של הארגון.
הטענה של טומה
המאמר עצמו נמצא מאחורי חומת תשלום, ו-ACEDS פרסמה ממנו קטע פתיחה ב-19 בפברואר. לפי החלק הגלוי, טומה מסביר שלשלוש התוכניות מטרה משותפת, צמצום השיבוש לארגון, אבל מוקד שונה. הוא מציג אותן כבסיס להתמודדות עם מתקפת סייבר, אסון טבע או כשל תפעולי, וטוען שהבנתן היא חלק מניהול סיכונים ומעמידה בחובות רגולטוריות וחוזיות. המאמר מבטיח הנחיות מעשיות לתפקיד היועץ המשפטי בבנייה ובתחזוקה של התוכניות. את ההמלצות המפורטות לא ניתן היה לבדוק מתוך הקטע הפתוח.
מה ההבדל, לפי ההגדרות המקובלות
ההבחנה שטומה מדבר עליה מופיעה כבר במסמך היסוד של NIST בתחום, SP 800-34 Rev. 1 משנת 2010. לפי ההגדרות שם, BCP מתאר איך תהליכי העבודה העסקיים של הארגון ימשיכו לפעול במהלך שיבוש משמעותי ואחריו, למשל תהליך השכר או שירות הלקוחות. DRP הוא תוכנית ממוקדת מערכות מידע, שנועדה לשחזר מערכות באתר חלופי אחרי כשל חמור בחומרה או בתוכנה או הרס של המתקן. תוכנית תגובה לאירועי סייבר קובעת איך מזהים מתקפה, מגבילים את נזקיה ומתאוששים ממנה.
במילים אחרות, BCP שואל איך העסק ממשיך לעבוד, DRP שואל איך מחזירים את המערכות, ו-IRP שואל מה עושים ברגע שמתגלה פריצה. NIST מדגיש שצריך תיאום בין מי שכותבים את התוכניות השונות, ושכל שינוי באחת מהן צריך לעבור גם לאחרות.
איפה נכנס היועץ המשפטי
הצד המשפטי בולט במיוחד בתוכנית התגובה לאירועים, כי שם יושבות חובות הדיווח. בארצות הברית, כללי ה-SEC שאומצו ב-26 ביולי 2023 מחייבים חברות מדווחות לדווח על אירוע סייבר מהותי בטופס 8-K לפי Item 1.05, בדרך כלל תוך ארבעה ימי עסקים מרגע שנקבע שהאירוע מהותי. מעבר לכך, הדוח השנתי צריך לתאר את תהליכי ניהול סיכוני הסייבר ואת הפיקוח של הדירקטוריון עליהם.
גם בישראל יש לתוכניות האלה עיגון בדין. לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, נוהל האבטחה של מאגר מידע צריך לכלול את אופן ההתמודדות עם אירועי אבטחה (תקנה 4(ג)(6)). בעל מאגר צריך לתעד כל מקרה שהתגלה בו אירוע שמעלה חשש לפגיעה בשלמות המידע (תקנה 11(א)), ובאירוע אבטחה חמור עליו להודיע לרשם באופן מיידי ולדווח על הצעדים שנקט (תקנה 11(ד)(1)). במאגרים ברמת אבטחה בינונית או גבוהה נדרשים גם נהלי גיבוי ושחזור כתובים (תקנה 18(א)), כלומר רכיב מובהק של תוכנית התאוששות.
המשמעות למחלקה המשפטית היא שתוכנית תגובה לאירוע איננה מסמך טכני בלבד. מי שיכתוב אותה בלי היועץ המשפטי עלול לגלות באמצע אירוע שאין בה התייחסות למועדי דיווח, להודעה לנפגעים או לחובות חוזיות כלפי לקוחות וספקים.
מקורות
- Law.com: Disaster Recovery, Business Continuity and Incident Response Plans: A Guide for In-House Counsel
- ACEDS: Shawn Tuma: Disaster Recovery, Business Continuity and Incident Response Plans
- NIST: SP 800-34 Rev. 1, Contingency Planning Guide for Federal Information Systems
- SEC: SEC Adopts Rules on Cybersecurity Risk Management, Strategy, Governance, and Incident Disclosure
- ויקיטקסט: תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017