עודכן:
פריצה למרכזיה — החשבון הטלפוני הוא החלק הזול
חשבון טלפון שקפץ פי עשרה הוא הסימפטום שרואים ראשון. אבל אותה פריצה שחייגה לחו״ל נגעה בדרך כלל גם בתא הקולי ובארכיון ההקלטות — ושם זה כבר לא עניין של כסף אלא של מאגר מידע. במדריך: איך מזהים פריצה למרכזיה, מי משלם על השיחות, מתי האירוע הוא גם אירוע אבטחת מידע, ו-7 צעדי הקשחה.
מה קורה כשפורצים למרכזיה טלפונית?
פריצה למרכזיה טלפונית מתחילה כמעט תמיד באותו מקום: תוקף משיג גישה לשלוחה או לתא קולי, ומנתב דרכם שיחות יוצאות למספרי פרמיום בינלאומיים שהוא שולט בהם ומרוויח נתח מהתשלום שנגבה על סיום השיחה. העסק מגלה את זה בחשבון הטלפון. הצד שפחות מדברים עליו: אותה גישה עצמה חושפת גם את התא הקולי ואת ארכיון ההקלטות — אוסף שמכיל מידע אישי על לקוחות, ולכן עשוי לענות על הגדרת מאגר מידע לפי דיני הפרטיות בישראל. אם זה המצב, האירוע אינו רק תקלת חיוב אלא גם אירוע אבטחה על מאגר מידע, על חובות הדיווח שנלוות לו. את חובת ההודעה מטילות התקנות על בעל המאגר; מי בעל המאגר במערך שלכם ואילו חובות חלות עליו בפועל — זו שאלה משפטית. מה שכן אפשר לומר בלי עורך דין: אל תניחו שספק התקשורת מטפל בזה במקומכם.
⚖️ הבהרה: מדריך זה נועד למידע כללי בלבד ואינו ייעוץ משפטי. סיווג המאגר, היקף חובות הדיווח והאחריות החוזית משתנים ממקרה למקרה. היוועצו בעורך דין לגבי חובותיכם המדויקות.
למה החשבון הטלפוני הוא החלק הזול
החיוב החריג הוא הנזק שקל למדוד: יש לו מספר, יש לו חשבונית, ויש עם מי להתווכח עליו. לכן הוא גם מקבל את כל תשומת הלב בימים הראשונים. עסק שמגלה חיוב חריג פונה לספק, מבקש לחסום יעדים ומתחיל להתווכח על הכסף. בינתיים איש לא שואל מה עוד היה נגיש לתוקף באותה גישה עצמה:
- תא קולי — הודעות שלקוחות השאירו, על כל מה שיש בהן. תיבה שנפרצה היא תיבה שנקראה.
- ארכיון הקלטות — שמות, מספרי טלפון, פרטי עסקה, ולפעמים מידע רגיש שנאמר בשיחה. אוסף מנוהל כזה מתנהג כמאגר מידע, כפי שפירטנו במדריך ביקורת רשות הגנת הפרטיות.
- הגדרות ניתוב והרשאות — מי שמשנה ניתוב יכול גם להאזין, להסיט שיחות ולהשאיר לעצמו דרך חזרה.
תקנות הגנת הפרטיות (אבטחת מידע), תשע״ז-2017 מגדירות בתקנה 1 מהו אירוע אבטחה חמור. במאגר ברמת אבטחה גבוהה: שימוש במידע מן המאגר, בלא הרשאה או בחריגה מהרשאה, או פגיעה בשלמות המידע. במאגר ברמת אבטחה בינונית: אותו דבר, לגבי חלק מהותי של המאגר. תקנה 11(ד)(1) קובעת שעל אירוע כזה יודיע בעל המאגר לרשם באופן מיידי, וידווח לרשם גם על הצעדים שנקט בעקבותיו. תקנה 11(ד)(2) מוסיפה שהרשם רשאי, לאחר התייעצות עם הרשות הלאומית להגנת הסייבר, להורות להודיע על האירוע גם לנושא מידע שעלול להיפגע ממנו.
ב-21.07.2026 פרסמה הרשות להגנת הפרטיות עיצום כספי על גוף שאיחר בדיווח על אירוע אבטחה חמור — העיצום הכספי הראשון שהוטל על ארגון מאז שתיקון 13 נכנס לתוקף. העיצום הוטל על האיחור בדיווח, לא על האירוע עצמו. עמדת הרשות, כפי שנוסחה בהחלטה, היא שחובת הדיווח קמה עם היוודע על אירוע האבטחה החמור, ושהמתנה להשלמת בדיקות פנימיות מרוקנת את דרישת המיידיות מתוכן. מדובר בקופת חולים ובמאגר מידע רפואי — רמת רגישות אחרת מארכיון הקלטות של עסק טיפוסי, וסכום העיצום אינו מלמד דבר על מה שעסק אחר צפוי לו. מה שרלוונטי כאן הוא איך הרשות קוראת את דרישת המיידיות, ותו לא.
האינסטינקט ברגע הגילוי זהה כמעט תמיד: ״קודם נבין מה קרה, ואז נדווח״. ההחלטה הזו אינה קובעת שחלה עליכם חובת דיווח, ואף מדריך לא יכול לקבוע את זה במקומכם. מה שהיא כן עושה זה להראות שהרשות כבר הביעה עמדה על סדר הפעולות הזה — וזו סיבה מספיקה להעלות את השאלה מול עורך דין ביום הראשון, במקום להכריע בה לבד.
ההסתייגות שאסור לדלג עליה נוגעת בדיוק לזה. השאלה אם ארכיון מסוים מסווג ברמת אבטחה בסיסית, בינונית או גבוהה — ולכן אילו חובות בדיוק חלות עליו, ואם בכלל — תלויה במאגר עצמו ובנסיבות, והיא שאלה משפטית. המדריך הזה לא מכריע בה. הוא אומר משהו צר בהרבה: שזו שאלה שמעלים ביום הראשון, לא בשבוע השני. תיקון 13, שנכנס לתוקף ב-14.8.2025, הרחיב את סמכויות הפיקוח והאכיפה של הרשות להגנת הפרטיות — מה שהופך את ההבדל בין ״טיפלנו בחשבון״ ל״טיפלנו באירוע״ למשמעותי יותר מבעבר.
יש גם כיוון הפוך שכדאי להכיר: אי אפשר פשוט למחוק את הארכיון כדי שהבעיה תיעלם. על חלק מהשיחות חלה חובת שמירה לפי תיקון 74 לחוק הגנת הצרכן, כך שעסק שנפרץ מוצא את עצמו מחזיק ארכיון שהוא גם חשוף וגם חייב בשמירה. הדרך לצאת מזה בשלום היא להגיע לאירוע כשהארכיון כבר מסודר.
איך פורצים למרכזיה — ואיך מזהים את זה בזמן
הווקטורים שלמטה הם דפוסים ותיקים ומוכרים בטלפוניה, והם מובאים כאן מצד ההגנה בלבד: מה לחפש ומה לסגור. אין כאן שום הוראה תפעולית לתוקף. כדאי לעבור על הרשימה מול ההגדרות שלכם בפועל — גם אם המרכזייה שלכם רצה בענן.
| הווקטור | איך זה עובד | הסימן שרואים בעסק |
|---|---|---|
| מיפוי שלוחות | סורקים אוטומטיים מזהים תשתית SIP במהירות, ובודקים אילו שלוחות קיימות באמצעות בקשות REGISTER ו-OPTIONS. | רצף פניות לשלוחות שאינן קיימות, ותעבורה נכנסת מכתובות שאין להן שום עסק אתכם. |
| סיסמאות שלוחה חלשות | ניסיונות מילון וכוח גס מול סיסמאות שלוחה. הכשל הקלאסי הוא סיסמה שזהה למספר השלוחה, או ברירת מחדל של היצרן שאיש לא החליף. | ריבוי כשלי הרשמה ברצף, לרוב מאותו מקור ובקצב שאדם לא מייצר. |
| פורטים חשופים | 5060/UDP, 5060/TCP ו-5061/TLS שנגישים מהאינטרנט הפתוח בלי הגבלה — נקודת הכניסה שכולם מחפשים. | סריקות קבועות בלוג, גם בתקופות שבהן אין ניסיון פריצה מוצלח. |
| תא קולי בקוד ברירת מחדל | תיבות שנשארו על PIN של 0000 או 1234, ומשם ניצול יכולות ההעברה שבתוך התיבה כדי להגיע לקו יוצא. | כניסות לתא קולי בשעות מוזרות, והעברות שלא מתאימות לדפוס של אותה שלוחה. |
| ניצול DISA והעברת שיחות | DISA והעברת שיחות נועדו לאפשר לעובד לחייג החוצה דרך המערכת. תוקף שהשיג גישה משתמש בהן לאותה מטרה בדיוק. | שיחות יוצאות משלוחה שאין לידה אף אחד, ושרשראות העברה שאיש לא הגדיר. |
| חיוג ליעדי פרמיום | התעבורה מנותבת למספרי פרמיום בינלאומיים שבשליטת התוקף, והוא מרוויח נתח מהתשלום שנגבה על סיום השיחה. זו הסיבה שהיעדים נראים אקזוטיים. | קפיצה חדה בנפח, ביעדים חריגים ובמספר השיחות המקבילות — בדרך כלל בבת אחת. |
למה דווקא סופי שבוע וחגים — ולמה בישראל החלון ארוך יותר
חיוג שרץ שעתיים במשרד מאויש ייעצר; חיוג שרץ יומיים ברצף לא. הפרק הזה הוא מסקנה שנובעת מלוח השנה הישראלי, ולא ממדידה שלנו: לוח השנה כאן נותן חלון לא מנוטר ארוך יותר מסוף שבוע מערבי סטנדרטי. המשרד מתחיל להתרוקן בצהרי יום שישי והחיים חוזרים רק בבוקר יום ראשון, וסביב חגים הפער נמתח על פני ימים.
המשמעות המעשית פשוטה. עסק שהתראות החיוג שלו נוחתות בתיבת דואר שנקראת בימי עבודה בלבד יגלה את האירוע ביום ראשון בבוקר, אחרי שהמונה רץ יומיים וחצי ברצף. אותו עסק בדיוק, עם אותה מערכת ואותה סיסמה חלשה, היה סופג חלק קטן מהנזק אילו ההתראה הייתה מגיעה לטלפון של מישהו בשבת בבוקר.
לכן זה צעד נפרד ברשימה למטה, ולא הערת שוליים בתוך צעד הניטור: את החלון הזה סוגרים מראש, בהגדרה, ולא בתגובה.
מי משלם על השיחות — התשובה נמצאת בחוזה
על השאלה מי סופג את החיוב על שיחות שבוצעו בפריצה — העסק או ספק התקשורת — עונה בראש ובראשונה החוזה מול הספק. סעיפי האחריות, תקרות החיוב וההגדרה של שימוש לרעה משתנים מספק לספק ומחוזה לחוזה, ואין כאן ברירת מחדל אחת שחלה על כולם. מחלוקות מהסוג הזה הגיעו לבתי משפט בישראל; איננו מציגים כאן פסיקה או תוצאה של הליך מסוים.
העצה המעשית קצרה: תקראו את הסעיף לפני שאתם צריכים אותו. מי שקורא אותו בפעם הראשונה מול חשבון בן חמש ספרות כבר בעמדת מיקוח גרועה. ואם אתם ממילא מחליפים ספק, זה הרגע לשאול על אחריות בהונאת חיוג ועל תקרות חיוב — באותה שיחה שבה שואלים מה קורה לארכיון ההקלטות הקיים.
מה עושים כשמגלים פריצה — הצעדים הראשונים
הסדר כאן משנה, ולא במקרה. עצירת הנזק קודמת לבירור, שמירת הראיות קודמת לפנייה לספק, והשאלה המשפטית לא מחכה לסוף. הצעד האחרון רץ במקביל לכל השאר — זו בדיוק הנקודה שהחלטת האכיפה מ-21.07.2026 חידדה.
חסמו חיוג בינלאומי יוצא — לגמרי
הדבר הראשון, לפני כל בירור: לסגור את הברז. חסמו חיוג בינלאומי יוצא במלואו — אפשר להחזיר יעדים בהמשך, אחרי שמבינים מה קרה. כל דקה שהחסימה מתעכבת היא דקה שהמונה ממשיך לרוץ.
החליפו את כל הסיסמאות ואת קודי התא הקולי
החליפו את הסיסמאות של כל השלוחות, לא רק של זו שנראית חשודה, ואת קודי ה-PIN של כל תיבות התא הקולי. תוקף שהגיע לשלוחה אחת כבר מיפה גם את השאר.
שמרו את הלוגים לפני שהם נדרסים
לוגים של תעבורה, של ניסיונות הרשמה ושל שינויי הגדרות נשמרים לתקופה מוגבלת ונדרסים. ייצאו והעתיקו אותם עכשיו, לפני שממשיכים הלאה. בלי הלוגים אי אפשר לבסס מה קרה — לא מול הספק ולא מול הרשות.
פנו לספק התקשורת
בקשו חסימת יעדים גם בצד של הספק, תיעוד מלא של התעבורה בתקופה הרלוונטית, ובירור מה מכוסה בחוזה. תעדו את הפנייה ואת השעה שבה נמסרה — התיעוד הזה הוא הבסיס לכל דיון מאוחר יותר על החיוב.
בדקו מה עוד היה נגיש לתוקף
רק עכשיו, כשהדימום נעצר, בדקו מה עוד נחשף באותה גישה: תא קולי, ארכיון הקלטות, הגדרות ניתוב והרשאות — ומי ניגש אליהם ומתי. זה החלק שקובע אם מדובר גם באירוע על מאגר מידע, ולא רק בחיוב חריג.
העלו את שאלת הדיווח מול עורך דין — באותו יום
במקביל לצעדים 1–5, ולא אחריהם: העלו מול עורך דין את השאלה אם מדובר באירוע אבטחה חמור שמחייב הודעה מיידית לרשם. בהחלטת אכיפה מ-21.07.2026 קבעה הרשות להגנת הפרטיות שהמתנה להשלמת בדיקות פנימיות אינה מצדיקה איחור בדיווח — ולכן זו שאלה שמעלים ביום הראשון, בלי לחכות שהוויכוח על החשבון ייסגר.
7 צעדי הקשחה למרכזיה
שבעת הצעדים כאן אינם דרישה רגולטורית ואינם ציטוט מתקן. אלה הגדרות שנחשבות פרקטיקה מקובלת בתפעול מרכזיות, וכך הן מובאות — לא כממצא מדוד ולא כרשימה שמישהו מחייב אתכם לעמוד בה. מה מהן זמין אצלכם תלוי במערכת ובספק, וגם יישום מלא שלהן אינו מבטיח שלא תיפרצו. עברו עליהן מול ההגדרות שלכם בפועל, ודלגו על מה שלא רלוונטי לעסק שלכם.
סיסמת שלוחה חזקה — וקוד נפרד לתא הקולי
תנו לכל שלוחה סיסמה חזקה וייחודית שאינה מספר השלוחה ואינה ברירת המחדל של היצרן. סיסמה שזהה למספר השלוחה היא כשל מוכר, וסביר להניח שהיא בין הצירופים הראשונים שסורק אוטומטי מנסה. לתא הקולי הגדירו קוד PIN נפרד — לא 0000, לא 1234, ולא אותו קוד לכל התיבות.
חיוג בינלאומי סגור כברירת מחדל
אל תשאירו חיוג בינלאומי פתוח לכל היעדים. פתחו רק את המדינות שאליהן העסק באמת מחייג, והוסיפו יעד כשצריך אותו. ההיגיון פשוט: חיוג ליעד יקר הוא מה שהופך את הפריצה לכדאית, וסגירת היעדים חותכת את הערך שלה עוד לפני שהיא קורית.
תקרות שיחות והוצאה לכל שלוחה
הגדירו תקרת שיחות ותקרת הוצאה לכל שלוחה או חשבון. תקרה הופכת פריצה מאירוע בלתי מוגבל לאירוע חסום: התוקף מקבל את מה שהגדרתם ולא שקל מעבר לזה. אותה פריצה עצמה, עם תקרה ובלעדיה, מייצרת שני חשבונות שונים לגמרי.
הגבלת הרשמה לרשתות מוכרות וחסימה אוטומטית
היכן שהפריסה מאפשרת, הגבילו הרשמה של שלוחות לרשתות ולכתובות מוכרות בלבד, והפעילו חסימה אוטומטית אחרי ניסיונות הרשמה כושלים חוזרים. סורק שנחסם אחרי עשרה ניסיונות לא מגיע לניסיון האלף.
התראות חריגה שמגיעות לאדם ער
הגדירו התראות על יעדים לא רגילים, על קפיצה בנפח שיחות, על ריבוי שיחות מקבילות ועל פעילות מחוץ לשעות. ואז ודאו את החלק שנופל הכי הרבה: שההתראה מגיעה לאדם שער באותו רגע, ולא לתיבת דואר שתיפתח ביום ראשון בבוקר. התראה שאיש לא רואה שווה בדיוק כמו היעדר התראה.
סגירת סוף השבוע הארוך במפורש
הגדירו תקרות מחמירות יותר או חסימת חיוג בינלאומי מחוץ לשעות הפעילות, ולפני שבת וחגים. אם העסק לא מחייג לחו״ל בשבת, אין סיבה שהמערכת תוכל. זו הגדרה אחת, והיא סוגרת את החלון הארוך ביותר בשבוע.
להיערך לזה גם כאירוע אבטחת מידע
החליטו מראש מי בעל המאגר בעסק, מי איש הקשר ומה נוהל הטיפול באירוע — כדי שהשעון של דיני הפרטיות לא יהיה הדבר שאתם מתחילים לחשוב עליו ביום השלישי. הצ'קליסט המלא נמצא במדריך ביקורת רשות הגנת הפרטיות.
איפה Voipe נכנסת — ואיפה לא
אף ספק לא יכול להבטיח לעסק חסינות מהונאת חיוג, ואנחנו לא נבטיח. מה שקיים בצד שלנו הם כלים שעוזרים לעסק לעמוד בחובות שלו: הרשאות מדורגות לפי תפקיד, שקובעות מי ניגש להקלטות ולהגדרות (ראו מדריך הרשאות משתמשים), אימות דו-שלבי לכניסה לממשק, ואחסון הקלטות בענן עם מדיניות שמירה ומחיקה מוגדרת. הכלים מקטינים את שטח הפגיעה ומקצרים את הבירור אחרי אירוע. האחריות על ההגדרה, על הניטור ועל הדיווח נשארת של העסק.
שאלות נפוצות על פריצה למרכזיה והונאת חיוג
איך יודעים שנפרצנו למרכזיה?
רוב העסקים מגלים את זה מהחשבון, וזה מאוחר. הסימנים שמקדימים אותו: קפיצה בנפח שיחות יוצאות, יעדים בינלאומיים שהעסק לא מחייג אליהם, ריבוי שיחות מקבילות מהרגיל, פעילות בשעות שאין בהן אף אחד במשרד, ורצף ניסיונות הרשמה כושלים לשלוחות. אם יש לכם דוח שיחות יוצאות לפי יעד, מבט שבועי בו תופס את זה הרבה לפני שהחשבון מגיע.
מי משלם על השיחות שהתוקף ביצע?
את זה קובע בראש ובראשונה החוזה מול ספק התקשורת — סעיפי האחריות, תקרות החיוב וההגדרה של שימוש לרעה משתנים מספק לספק ומחוזה לחוזה. מחלוקות מהסוג הזה הגיעו לבתי משפט בישראל, ואיננו מציגים כאן תוצאה של הליך מסוים. הדבר המעשי לעשות היום: לקרוא את הסעיף הרלוונטי בחוזה שלכם לפני שמגיע חשבון חריג, ולברר מה בדיוק מכוסה ומה לא.
האם פריצה למרכזיה היא אירוע אבטחת מידע שצריך לדווח עליו?
ייתכן מאוד, ולכן זו שאלה שצריך לשאול מיד. תקנות הגנת הפרטיות (אבטחת מידע), תשע״ז-2017 מגדירות בתקנה 1 אירוע אבטחה חמור: במאגר ברמת אבטחה גבוהה — שימוש במידע מן המאגר, בלא הרשאה או בחריגה מהרשאה, או פגיעה בשלמות המידע; במאגר ברמת אבטחה בינונית — אותו דבר, לגבי חלק מהותי של המאגר. תקנה 11(ד)(1) קובעת שעל אירוע כזה יודיע בעל המאגר לרשם באופן מיידי, וידווח לרשם גם על הצעדים שנקט בעקבות האירוע. פריצה שנגעה בתא הקולי או בארכיון ההקלטות עשויה להיכנס להגדרה — אבל סיווג המאגר והשאלה אילו חובות חלות עליו בפועל הם עניין משפטי, והיוועצו בעורך דין. שימו לב לנקודה שקל לפספס: התקנות מטילות את החובה על בעל המאגר, ולא על מי שמפעיל עבורכם את המערכת. אל תניחו שספק התקשורת מדווח במקומכם.
האם באמת אוכפים את חובת הדיווח המיידי?
כן. ב-21.07.2026 פרסמה הרשות להגנת הפרטיות החלטת אכיפה נגד גוף שאיחר בדיווח על אירוע אבטחה חמור — העיצום הכספי הראשון שהוטל על ארגון מאז שתיקון 13 נכנס לתוקף. הדיווח הגיע כחודשיים אחרי שהגוף כבר ידע על האירוע, והעיצום הוטל על האיחור בדיווח ולא על האירוע עצמו. עמדת הרשות היא שחובת הדיווח קמה עם היוודע על אירוע האבטחה החמור, ושהמתנה להשלמת בדיקות פנימיות מרוקנת את דרישת המיידיות מתוכן. הבסיס הרגולטורי היה תקנות אבטחת המידע. וצריך לסייג: מדובר בקופת חולים ובמאגר מידע רפואי — רמת רגישות אחרת מארכיון הקלטות של עסק טיפוסי. מה שרלוונטי כאן הוא איך הרשות קוראת את דרישת המיידיות, ולא סכום העיצום.
למה התקפות מתרכזות דווקא בסופי שבוע וחגים?
כי אז אף אחד לא מסתכל. חיוג שרץ שעתיים ייעצר; חיוג שרץ יומיים לא. הנקודה הישראלית היא מסקנה שנובעת מלוח השנה כאן, לא ממדידה שלנו: החלון הלא מנוטר ארוך מסוף שבוע מערבי סטנדרטי, מצהרי יום שישי ועד בוקר יום ראשון, וסביב חגים הוא נמתח על פני ימים. לכן כדאי להחמיר תקרות או לחסום חיוג בינלאומי מחוץ לשעות הפעילות ולפני שבת וחגים.
האם מרכזיה בענן חשופה פחות ממרכזיה מקומית?
פרופיל החשיפה שונה, לא בהכרח נמוך יותר. במרכזיה מקומית האחריות על עדכוני גרסה, על חשיפת הפורטים ועל ניטור הלוגים נופלת על העסק, ומערכת שנשכחה בארון שרתים היא יעד קל. בפריסה בענן חלק מהשכבות מנוהלות אצל הספק ומתעדכנות עבורכם. מה שלא משתנה בין השתיים: סיסמת שלוחה חלשה, קוד תא קולי בברירת מחדל וחיוג בינלאומי פתוח לכל היעדים מסוכנים באותה מידה בשתי הארכיטקטורות. ענן הוא לא חסינות אוטומטית.
מה עושים ב-24 השעות הראשונות אחרי שמגלים פריצה?
בקצרה, לפי הסדר: לחסום חיוג בינלאומי יוצא, להחליף את סיסמאות השלוחות ואת קודי התא הקולי, לשמור את הלוגים לפני שהם נדרסים, לפנות לספק התקשורת, ולבדוק מה עוד היה נגיש לתוקף — ובמקביל לכל אלה, לא אחריהם, להעלות מול עורך דין את שאלת ההודעה לרשם. הפירוט המלא של כל צעד נמצא בפרק ״מה עושים כשמגלים פריצה — הצעדים הראשונים״ בעמוד הזה.
שאלות נוספות על הקלטות, הרשאות ותפעול שוטף של המערכת — במרכז השאלות הנפוצות.
רוצים לעבור על ההגדרות של המרכזיה שלכם?
בהדגמה קצרה נעבור על הרשאות לפי תפקיד, תקרות חיוג, פתיחת יעדים בינלאומיים והתראות חריגה — ועל מה שקורה לארכיון ההקלטות.
קבעו הדגמהמקורות
המקורות שלהלן מגבים את החלק הרגולטורי במדריך — הגדרת אירוע אבטחה חמור, חובת ההודעה לרשם ועמדת הרשות בשאלת המיידיות. צעדי ההקשחה ורשימת הווקטורים אינם נשענים עליהם: אלה פרקטיקה מקובלת בתפעול מרכזיות, וכך הם מוצגים בעמוד.
- נבו — תקנות הגנת הפרטיות (אבטחת מידע), תשע״ז-2017ההגדרות והחובות המצוטטות כאן הן מתקנה 1 (״אירוע אבטחה חמור״) ומתקנה 11(ד)(1)–(2). נבו הוא אתר מסחרי שמביא את נוסח התקנות; החוק שמכוחו הותקנו מובא באתר הרשות להגנת הפרטיות.gov.il — חוק הגנת הפרטיות, תשמ״א-1981, באתר הרשות להגנת הפרטיות
- law.co.il — החלטת אכיפה של הרשות להגנת הפרטיות בעניין איחור בדיווח על אירוע אבטחה (21.07.2026)המקור לעמדת הרשות בדבר דרישת המיידיות וללוח הזמנים של הדיווח באותו מקרה.
התוכן בעמוד זה הוא מידע כללי ואינו ייעוץ משפטי, ואינו מהווה הבטחה למניעת הונאה או לחסינות מפניה. הדרישות המחייבות הן אלה שבחקיקה ובתקנות ובפרסומי הרשות להגנת הפרטיות; היוועצו בעורך דין לגבי חובותיכם לפי חוק הגנת הפרטיות ותקנות אבטחת המידע, ובספק התקשורת שלכם לגבי האחריות החוזית על חיובים.