מידע אישי על לקוחות נחשף באתר של מפעילת כביש 6

בעקבות דיווח של חברת דרך ארץ הייווייז על אירוע אבטחה חמור החל הליך אכיפה ברשות להגנת הפרטיות והתברר כי ישנה פרצה באתר התשלומים ממנה זלג המידע
גילי סיוון-כהן |
שיתוף ב facebook
שיתוף ב twitter
שיתוף ב telegram
שיתוף ב whatsapp
שיתוף ב email
רישום מקוון. אילוסטרציה envato

הרשות להגנת הפרטיות קבעה כי חברת “דרך ארץ הייוויז”, מפעילת כביש 6, הפרה את הוראות חוק הגנת הפרטיות ותקנותיו, בשל אירוע אבטחה חמור שהוביל לחשיפה של מידע אישי אודות לקוחותיה. מהליך האכיפה המנהלית שביצעה הרשות עולה, כי שורה של אמצעים ותהליכים שונים היו מסייעים לגלות את חולשת אבטחת המידע מבעוד מועד וכך היה ניתן לצמצם ואולי אף למנוע את הסיכוי להתרחשות אירוע אבטחת המידע.

בעקבות דיווח של חברת “דרך ארץ הייווייז”, מפעילת כביש 6, על אירוע אבטחה חמור שאירע בחברה, החלה הרשות להגנת הפרטיות בהליך אכיפה. במסגרת אירוע האבטחה התגלו חולשות אבטחת מידע באתר התשלומים שלה, אשר אפשרו חשיפה של מידע רב מתוך החשבוניות של לקוחותיה. מהמידע שהעבירה החברה לרשות עולה, כי בעמוד שבו נמצא “תשלום חשבוניות” באתר החברה, ניתן היה לקבל גישה לחשבוניות התשלום של הלקוחות ולחשבוניות עבר, הכוללות מידע אישי, לרבות שם פרטי ומשפחה, סכומי תשלום, מיקום הרכב, תאריכי ושעות נסיעות.

חשופים באתר

בשל העובדה שחברת “דרך ארץ הייווייז” לא תיעדה כנדרש את הגישה למערכותיה, לא ניתן לדעת במדויק במשך כמה זמן גורמים בלתי מורשים יכולים היו לגשת למערכות החברה. בהתאם לכך, קבעה הרשות להגנת הפרטיות כי החברה לא החזיקה באמצעי הגנה מתאימים במועד האירוע. כמו כן, ממצאי הליך הפיקוח שביצעה הרשות מעלים, כי החברה מיפתה באופן חלקי את הסיכונים האפשריים בתחום אבטחת המידע, אך לא פעלה לאורך פרק זמן של למעלה משנה לתיקון הליקויים שנמצאו במבדקי החדירות.

במכתב ההפרה, שהעבירה הרשות להגנת הפרטיות לחברה, מדגישה הרשות, כי חברות וארגונים במשק נדרשים לנקוט במדיניות אבטחת מידע דינמית וכי עם התפתחותם של איומים וסיכונים, על הארגון חלה חובה לבחון בקפדנות את הסיכונים המתעדכנים ולפעול בהתאם לעדכון אמצעי האבטחה המקובלים בנסיבות העניין, בהתאם לאופי המאגר וטיבו.

נדרשה לתקן ליקויים

כתוצאה מכך, חלה על חברות וארגונים החובה לעדכן את מערכותיהם ולערוך סקרי סיכונים ומבדקי חדירות, כדי לבחון את הסיכונים המשתנים ולהיערך להם. בנוסף, חלה חובה על חברות וארגונים לעשות שימוש במנגנון תיעוד אוטומטי ויש לערוך הדרכות לעובדים, בהתאם להוראות תקנות הגנת הפרטיות (אבטחת מידע).

הרשות להגנת הפרטיות הדגישה, כי “משימת אבטחת המידע בחברות וארגונים אינה אירוע חד פעמי אלא תהליך מורכב ומתמשך, הדורש בדיקות עיתיות, עדכונים שוטפים והערכת סיכונים מתמדת, בהתאם לרמת אבטחת המידע הנדרשת”.

ברשות הוסיפו כי מאגר אבטחת המידע של חברת דרך ארץ הייווייז, הינו מאגר ברמת אבטחה גבוהה, ועל מאגרים ברמה זו “חלות כלל תקנות הגנת הפרטיות – אבטחת מידע”. בהתאם לממצאי הפיקוח קבעה הרשות, כי החברה הפרה את הוראות חוק הגנת הפרטיות ותקנותיו וכן דרשה מהחברה לבצע מספר פעולות מתקנות.

________________________________________________________

עו”ד איתי נווה

שתף את הכתבה ב:
שיתוף ב facebook
שיתוף ב twitter
שיתוף ב telegram
שיתוף ב whatsapp
שיתוף ב email
רוצים להשאר מעודכנים בכל מה שחם בעולם המשפט?
הורידו את אפליקציית אוביטר:

אפליקציית אוביטר לאנדרואיד https://bit.ly/31H6hrk

אפליקצית אוביטר לאייפון https://apple.co/31GhGHV

לדף הפייסבוק שלנו https://bit.ly/32LKr5E

להצטרפות לאחת מקבוצות הוואטסאפ שלנו https://obiter.co.il/ask-lawyer

אתר החדשות המשפטיות obiter.co.il עושה כל מאמץ לאתר זכויות על תמונות וסרטונים המתפרסמים בו. אולם לעיתים התמונות והסרטונים מופצים ברחבי הרשת ולא מתאפשרת הגעה למקור החומר הויזאולי, לכן בהתאם לסעיף 27א’ לחוק זכויות היוצרים כל אדם הרואה עצמו נפגע עקב בעלות על זכויות היוצרים של תמונה או סרטון מוזמן לפנות להנהלת האתר [email protected]co.il

צרו איתנו קשר בנוגע לכתבה:

    נגישות