סעיף 5 לתקנות הפיקוח על שירותים פיננסיים (ייעוץ, שיווק ומערכת סליקה פנסיוניים) (אבטחת מידע במערכת סליקה פנסיונית מרכזית), התשע״ב–2012, מיפוי וביצוע סקר סיכונים.

(א)חברה תערוך רשימה, שבה יפורטו מכלול רכיבי מערכת סליקה פנסיונית מרכזית ומועד עדכונם (להלן – רשימת הרכיבים), ובכלל זה –

(1)מערכות חומרה ורכיבי תקשורת, לרבות ציון מיקומם הפיזי;

(2)מערכות התוכנה המשמשות להפעלת מערכת סליקה פנסיונית מרכזית, לניהולה, לתחזוקתה, לתמיכה בפעילותה, לבקרתה, לניטורה ולאבטחתה;

(3)תוכנות וממשקים המשמשים לביצוע התקשרות אל מערכת סליקה פנסיונית מרכזית וממנה;

(4)כל מידע או רכיב אחר הנדרש לשם הפעלת מערכת סליקה פנסיונית מרכזית או לשם גישה אליה.

(ב)מערכת סליקה פנסיונית מרכזית תתוכנן באופן שיפחית את סיכוני אבטחת המידע ולאחר שהחברה ערכה סקר השפעה על הפרטיות ואבטחת המידע.

(ג)חברה תערוך סקר לאיתור סיכוני אבטחת מידע לאחר סיום הקמתה של מערכת סליקה פנסיונית מרכזית ולפני תחילת הפעלתה באופן מלא או חלקי (להלן – סקר סיכונים); תוצאות סקר הסיכונים יועברו לממונה על הפרטיות ואבטחת המידע ולמנהל החברה, לבחינת הצורך בעדכון מדיניות אבטחת המידע או נוהל האבטחה ולתיקון ליקויים שהתגלו במסגרת הסקר, אם התגלו.

(ד)רשימת הרכיבים וסקר הסיכונים יעודכנו בתוך 18 חודשים מהמועד האחרון שבו עודכנה רשימת הרכיבים או מהמועד שבו עודכן סקר הסיכונים האחרון, לפי העניין, וכן לפני הטמעת שינויים משמעותיים במערכות הטכנולוגיות.

(ה)גורם מקצועי, בלתי תלוי וחיצוני לחברה יערוך את סקר הסיכונים.

(ו)מנהל החברה ידווח לממונה על ליקויים שנמצאו בסקר הסיכונים, ועל תכנית העבודה לתיקון הליקויים האמורים, בתוך 30 ימים מהמועד שבו הגיעו לידיו.