מיפוי ותיעוד
מיפוי מאגרי מידע: הבסיס שכל השאר נבנה עליו
אי אפשר לאבטח, לרשום או להצהיר על מאגר שלא יודעים שקיים. מיפוי המאגרים עונה על השאלות הבסיסיות שכל ביקורת מתחילה בהן: איזה מידע אישי יש בארגון, איפה הוא יושב, מי ניגש אליו, למי הוא נמסר ולמה בכלל אוספים אותו. התוצר המרכזי הוא מסמך הגדרות מאגר לכל מאגר, כנדרש בתקנות אבטחת המידע. זה מסמך החובה הראשון שהרשות מבקשת.
מה מקבלים
- §איתור מאגרים בכל המערכות: CRM, מערכות שכר ו-HR, גיבויים, קבצים משותפים ו-SaaS צד ג'
- §מסמך הגדרות מאגר ערוך כדין לכל מאגר, לפי תקנות אבטחת מידע
- §טבלת עיבודי מידע (RoPA), נכס שמשרת גם דרישות GDPR אם יש לקוחות אירופיים
- §סיווג רגישות וקביעת רמת האבטחה הנדרשת לכל מאגר
- §מיפוי מעבירים ונעברים: ספקים, מעבדי משנה והעברות לחו"ל
- §המלצות רישום או הודעה לרשות במקומות שבהם זה נדרש
מתי זה קריטי
תחילת כל פרויקט ציות
סקר פערים בלי מיפוי מאגרים הוא ניחוש. המיפוי הוא השלב הראשון של כל תוכנית היערכות רצינית.
ארגונים עם צמיחה מהירה
כל מערכת SaaS חדשה שמישהו חיבר בכרטיס אשראי היא מאגר פוטנציאלי שאיש לא תיעד. אנחנו מוצאים גם את אלה.
לקראת רישום או הודעה לרשות
תיקון 13 שינה את משטר הרישום של מאגרי מידע. המיפוי קובע מה צריך לרשום, על מה מודיעים לרשות ומה פטור.
היתרון הטכני
מיפוי אמיתי דורש לדבר עם אנשי המערכות בשפה שלהם: סכמות, הרשאות, לוגים ו-API-ים. בזכות הניסיון שלנו מעולם הפיתוח, המיפוי לא נעצר במה שכתוב במסמכים אלא ממשיך אל מה שקיים במערכות עצמן.
מדריכי הפרטיות שלנו ‹שאלות נפוצות
כמה מאגרים בדרך כלל יש לארגון?
כמעט תמיד יותר מההערכה הראשונית. ארגון בינוני טיפוסי מגלה בין חמישה לחמישה-עשר מאגרים נפרדים אחרי שסופרים HR, לקוחות, שיווק, גיוס, מצלמות וספקי SaaS.
יש לנו כבר רשימת מערכות מה-IT. זה לא מספיק?
רשימת מערכות היא נקודת פתיחה, אבל מאגר מוגדר לפי המידע והשימוש בו, לא לפי השרת. מערכת אחת יכולה להכיל כמה מאגרים, ומאגר אחד יכול להתפרש על כמה מערכות.