סעיף 3 לכללי נתוני אשראי (אבטחת מידע), התשע״ט–2018, אופן שמירת מידע במאגר, השימוש בו ואבטחתו.

(א)לצורך שמירת המידע במאגר, השימוש בו ואבטחתו ינקוט מנהל המאגר, בין השאר, צעדים כמפורט להלן:

(1)יקבע נוהל אבטחת מידע אשר יכלול, בין השאר, הוראות לעניין נושאים אלה:

(א)הגדרת האמצעים לעניין האבטחה הפיזית שנועדו להגן על מערכות המחשוב והתשתית ואופן הפעלתם לשם כך, ובלבד שאמצעים אלה יכללו, לכל הפחות, מתחם ייעודי מבודד ומנוטר, אמצעים להבטחת זיהוי כניסה לאתרים שבהם מצויות מערכות המחשוב והתשתיות, נעילת חדרים וארונות במתחם ומצלמות אבטחה;

(ב)הרשאות גישה למידע במאגר, לרבות לצורך שימוש במידע במאגר, למערכות תשתית המחשוב ולמערכות תקשורת ואבטחת מידע, ובכלל זה הקצאת הרשאת גישה על בסיס תפקיד ואחריות, איסור גישה למידע שלא לצורך מילוי תפקיד, ניהול מרוכז של הרשאות, מתן גישה למשתמשים המתקדמים (מנהלנים) רק באמצעות PAS (Privileged Accounts Security)‎, ביטול הרשאות בתום העסקת העובד ובקרה תקופתית על ההרשאות; הרשאת גישה למידע במאגר תינתן רק לבעלי הסיווג הביטחוני המתאים הנהוג בבנק ישראל לגבי מורשי גישה למאגרי מידע בבנק ישראל;

(ג)ביצוע הדרכות למורשי הגישה למידע במאגר, למורשי הגישה למערכות תשתית המחשוב ולמערכות תקשורת ואבטחת מידע ולמורשי שימוש במידע; הדרכות כאמור יכללו הנחיות ועדכונים בתחומי אבטחת המידע והגנת הפרטיות;

(ד)ביצוע סקר סיכונים שיכלול, בין השאר, התייחסות לסיכונים שחשוף להם המידע שבמאגר במסגרת הפעילות השוטפת, לרבות הסיכונים הנובעים ממבנה מערכות המאגר, חומרה ותוכנה, מהשימושים במידע, ומהמשתמשים והממשקים; הסקר האמור יכלול תכנית להפחתת הסיכונים, יבוצע בתדירות של אחת ל־18 חודשים לכל הפחות, ותוצאותיו יועברו לממונה;

(ה)אופן הטיפול במידע לצורך הנגשתו כמידע לא מזוהה ללשכות האשראי ולבנק ישראל לשם מילוי תפקידם ובהתאם למדיניות שתיקבע בנושא, ובלבד שהנגשת המידע תתבצע באמצעות הפעלת שירות אירוח מחשוב פרטי ותהליכי העבודה יכללו מגבלות על אופן ההכנסה וההוצאה של מידע, ניהול הרשאות למספר מצומצם של משתמשים, בקרה על מידע שמאושר להוצאה מהמאגר, אבטחה פיזית של מתחמי פעילות, החתמת משתמשים על הסכם שימוש, ביצוע הדרכות וקביעת סנקציות;

(ו)התמודדות עם אירועי אבטחת מידע לפי חומרת האירוע ומידת רגישות המידע, וכן ניטור מערכות לאורך כל שעות היממה על ידי צוות ייעודי וכלים ייעודיים למטרה זו, קביעת חוקת התראות ונוהלי דיווח, הגדרת יעדי שירות מזעריים בהתרחש אירועי אבטחת מידע והגדרת צעדי תגובה נדרשים;

(ז)כללי שימוש בהתקנים ניידים לרבות קביעה של סוגי ההתקנים המותרים לשימוש, חסימת אפשרות החיבור של אמצעים אלה לרכיבי המערכת למעט מקרים חריגים כגון עמדות ייעודיות להכנסת מידע ולהוצאת מידע והכול בכפוף להרשאות גישה;

(ח)היבטי אבטחת מידע הקשורים בגיבוי מידע ובלבד שיפורטו תהליכי הגיבוי על סוגיהם השונים, תדירותם, אופן שמירתם ואופן השימוש בהם לצורך השחזור;

(ט)תיאור של אמצעים נוספים שמטרתם הגנה על מערכות המאגר ואופן הפעלתם לצורך כך;

(2)יבצע בדיקות תקופתיות לרבות מבדקי חדירות בתדירות של אחת ל־18 חודשים, לכל הפחות, כדי לוודא את קיומם ותקינותם של אמצעי האבטחה השונים, לרבות אמצעי האבטחה שנקבעו לפי פסקה (1);

(3)יורה על הנחיות לגבי אופן ביצוע פעולות הפיתוח במאגר ותיעודן, ובכלל זה הגישה של אנשי הפיתוח לנתונים במאגר, כגון קיום סביבת פיתוח נפרדת, עבודה בהתאם לשיטת פיתוח מאובטחת ושימוש בנתונים סינטטיים בלבד.

(4)יבחן אחת ל־18 חודשים את הצורך בעדכון נוהלי אבטחת מידע; אם מתבצע שינוי טכנולוגי, ארגוני או שינוי תהליכי עבודה, שהוא שינוי מהותי, או בהתרחש אירועי אבטחת מידע, ייבחן הצורך בעדכון נוהלי אבטחת המידע באופן מיידי.

(ב)נוהל אבטחת המידע וכל שינוי מהותי בו יובאו לאישורו של הנגיד.