בצעד בעל השלכות רוחביות על היערכות חברות וארגונים במשק לביקורות רגולטוריות ואירועי סייבר, הבהירה הרשות להגנת הפרטיות כי הצגת תעודת הסמכה לתקן ISO/IEC 27001 אינה מהווה כשלעצמה הוכחה לעמידה בהוראות תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017. הדברים נאמרו במסגרת וובינר מקצועי מיוחד שערכה הרשות תחת סדרת "קמפוס פרטיות", שעסק ביחס שבין עמידה בתקן הבינלאומי לבין דרישות הדין הישראלי והנחיית הרשות מס' 3/2018.
במוקד ההבהרה עומדת העמדה העקרונית שלפיה קבלת תעודת הסמכה מגוף התעדה חיצוני אינה סוף פסוק ואינה מייצרת "כרטיס חסינות" מפני הליכי פיקוח ואכיפה. הרשות הדגישה כי ארגון המבקש להסתמך על התקן נדרש להוכיח יישום מתמשך, מהותי ובפועל של הבקרות הרלוונטיות, לצד המשך זיהוי וניהול סיכונים חדשים באופן דינמי. עוד הובהר כי כאשר מתעורר חשד לכשל באבטחת המידע, הרשות אינה כבולה לעצם קיומה של התעודה ורשאית לבחון לעומק את מערך אבטחת המידע בפועל של הארגון.
דגש מיוחד הושם על הצהרת "הישימות" (Statement of Applicability – SOA) המפרטת אילו בקרות אומצו, אילו יושמו ואילו הוחרגו על ידי הארגון. נקבע כי האחריות המלאה לתחולת ההסמכה ולנכונות ה-SOA מוטלת אך ורק על הארגון עצמו. בעת ביקורת או חקירת אירוע אבטחה חמור, הרשות עשויה לדרוש לבחון את ה-SOA לצד סקרי הסיכונים, תוכניות הטיפול ודוחות המבדקים הפנימיים, כדי לוודא התאמה מלאה לפעילות הממשית בארגון ולא להסתפק בהצגת מסמכים ברמה הפורמלית.
במישור האסדרה המשלימה, הובהר כי הנחיה 3/2018 אינה מהווה פטור מהותי מחובות אבטחת המידע, וכי על ארגונים מוסמכים חלה חובה להמשיך ולקיים את הדרישות המשלימות הייחודיות לדין הישראלי. בין היתר, נדרשים הארגונים לוודא את קיומו של מסמך הגדרות מאגר מעודכן לפי תקנה 2, עמידה בדרישות הסיווג לרמות האבטחה השונות, וכן היערכות לדיווח לרשות להגנת הפרטיות על אירוע אבטחה חמור כהגדרתו בתקנה 11.
עבור מנהלי חברות, ממוני הגנת פרטיות (DPO) ומנהלי אבטחת מידע (CISO), מדובר בהבהרה המחדדת את גבולות האחריות המשפטית והתפעולית. המהלך מדגיש את הצורך בבחינה מחודשת של הצהרות הישימות וסקרי הסיכונים בארגון, וכן סגירת פערים מול דרישות הדין הישראלי הספציפיות.
