מגלים היכן המידע נמצא

ערכו רשימה של מערכות לקוחות, טפסים, דיוור, עובדים, הקלטות וקבצים משותפים. כתבו גם על גיליונות ותיקיות שהצוות משתמש בהם מחוץ למערכת המרכזית. מיפוי של אתר האינטרנט בלבד עלול להחמיץ מידע שמגיע בטלפון, בדוא״ל או מספק.

לכל מקום רשמו איזה מידע נשמר, מי מוסר אותו ולשם מה נאסף. אין צורך להעתיק את נתוני הלקוחות לתוך מסמך המיפוי; תיאור של סוגי המידע מספיק להתחלה. כך לא יוצרים מאגר רגיש נוסף לצורך הבדיקה עצמה.

מחברים מטרה למערכת ולאחראי

בקשו מבעל תפקיד שמכיר כל תהליך להסביר מה קורה למידע אחרי האיסוף. רשמו מי ניגש, למי מועבר המידע ומה ידוע על תקופת שמירתו. אם נתון אינו ברור, הגדירו אחראי להשלמה במקום לבחור תשובה שנשמעת תקינה.

שדה במיפוידוגמה לשאלה
מקורמאיזה טופס או תהליך מגיע המידע?
מטרהלשם מה משתמשים בו בפועל?
גישהאילו תפקידים וספקים יכולים לצפות?
שמירההיכן הוא נשמר ומה קורה בסיום הצורך?

הפרידו בין מצב קיים לתוכנית עתידית. אם רוצים להוסיף מערכת או שימוש חדש, ציינו זאת. המדיניות וההסכמים צריכים להיבדק ביחס למציאות, ולא ביחס לתרשים רצוי שטרם יושם.

אוספים את ההודעות וההסכמים הקיימים

רכזו נוסחי טפסים, הודעות פרטיות, הסכמות ותנאי התקשרות עם ספקים. שמרו את הגרסאות המשמשות בפועל, כולל מסכים שמופיעים לפני שליחה. אל תחליפו מיד את הנוסח הישן בטקסט חדש לפני שהובהר מה קורה למידע.

הרשות להגנת הפרטיות מרכזת מידע להיערכות לתיקון 13, ובו גם התייחסות למיפוי מאגרים ותהליכים. השתמשו בו להכנת שאלות על החובות הרלוונטיות לעסק, בלי להסיק שכל גוף נדרש לאותו מבנה או לאותם מינויים.

מתאמים משפט, אבטחה ותפעול

שאלו מי יכול להסביר הרשאות, גיבויים, מחיקה וספקי משנה. עורך דין צריך לקבל תמונה טכנית אמינה, ואיש המחשוב צריך לדעת אילו תהליכים נבדקים. נוסח משפטי אינו בדיקת אבטחה, ובדיקת מערכת אינה בהכרח מענה לכל שאלה משפטית.

אם כבר התקבלו בקשות מידע או אירע אירוע אבטחה, ציינו אותם בלי להפיץ פרטים מעבר לנחוץ. רכזו את הפניות ואת אופן הטיפול בהן. אין להציג נוהל כתוב כהוכחה שהוא מיושם בלי לברר מה עושים העובדים בפועל.

מזמינים תוצר שאפשר ליישם

בררו אם העבודה כוללת מיפוי, בדיקת חובות, ניסוח מסמכים, הדרכה או מעקב יישום. בקשו רשימת פעולות עם אחראי ותלות במידע חסר. מדיניות מוכנה יכולה להיות תוצר אחד, אך אינה מחליפה שינויים בתהליך שנמצאו נחוצים בבדיקה.

המקור הרשמי נבדק ב־23.10.2026. להמשך: הגנת הפרטיות, משפט מסחרי ותיק הכנה לאחר אירוע סייבר.

לקריאה ממוקדת נוספת: אפיון חנות מקוונת לפני ניסוח תקנון.