التعديل 13 — قائمة تحقّق عملية لشركتك
يوسّع التعديل 13 لقانون حماية الخصوصية الإسرائيلي بشكل جوهري التزامات أمن المعلومات والإبلاغ على كل شركة تحتفظ بقاعدة بيانات — بصلاحيات إنفاذ وغرامات ذات وزن. إليك ما يتطلبه القانون فعلًا، وكيف تُغلق كل متطلب دون مشروع من ستة أشهر.
ما الذي تغيّر — باختصار
يُحوِّل التعديل التركيز من "تسجيل قواعد البيانات" إلى واجب أمن معلومات فعّال وشفافية واستجابة للحوادث. تحتاج الشركة أن تعرف ما المعلومات التي تحتفظ بها، وأن تحميها بضوابط مُثبَتة، وأن توثّق مَن وصل إلى ماذا، وأن تكون قادرة على الإبلاغ عن حادث أمني في الوقت المناسب. الإنفاذ الإداري إضافةً إلى العقوبات المالية يحوّل ذلك من "مستحسَن" إلى "إلزامي".
قائمة التحقّق — المتطلبات السبعة وكيف تُلبّيها عمليًا
1. رسم المعلومات والأصول
عليك أن تعرف أي أجهزة وخوادم وخدمات سحابية تحتفظ بالمعلومات. معنا: جرد أصول واحد (نقاط نهاية + خوادم + سحابة AWS/Azure/GCP/M365/Google) مع خريطة اتصالات ثلاثية الأبعاد ودرجة صحة 0–100 لكل أصل.
2. ضوابط أمنية مُثبَتة
Defender/جدار حماية نشط، تشفير، إدارة أذونات، نسخ احتياطي. معنا: مراقبة مستمرة للضوابط + معالجة تلقائية حين يُطفأ شيء ما، وصيد للبرمجيات الخبيثة (YARA)، وكشف شذوذ سلوكي (UEBA).
3. إدارة الوصول والأذونات المتدرّجة
الوصول على أساس الحاجة، لا كل شيء للجميع. معنا: عزل لكل مستأجر، مشاركة أجهزة بثلاثة مستويات (عرض/تحكّم/إدارة)، وحذف محفوظ للمالك وحده.
4. توثيق الوصول (مسار التدقيق)
من وصل، ومتى، ولماذا. معنا: سجلّ تدقيق كامل لكل إجراء + تدقيق-عند-الكشف لكل سرّ يُكشَف في الخزنة — دليل لا يمكن إنكاره.
5. النسخ الاحتياطي والاستعادة
معلومات يمكنك استعادتها حتى بعد هجوم فدية. معنا: نسخ احتياطي غير قابل للتغيير (WORM · Object-Lock) لا يستطيع المهاجم حذفه — حتى بمفاتيح مسروقة — مع اختبار استعادة تلقائي.
6. كشف الحوادث والإبلاغ عنها
كشف حادث أمني والإبلاغ عنه في الوقت المناسب. معنا: تنبيهات في الزمن الحقيقي + خط زمني جنائي بلغة واضحة (من، ماذا، متى، مع وسم MITRE) — أساسٌ لتقرير منظّم إلى الجهة المنظِّمة.
7. تقرير امتثال دوري
دليل للإدارة/المؤمّن/الجهة المنظِّمة. معنا: مطابقة CIS ← التعديل 13 / ISO 27001 / SOC 2، وتقرير جاهز للتنزيل بنقرة واحدة — دون جمع الأدلة يدويًا.