מוכנות להוראה 364 — מדריך לצוותי תשתיות

הוראת ניהול בנקאי תקין 364 — ניהול סיכוני טכנולוגיית המידע, אבטחת המידע והגנת הסייבר היא המסמך שאליו מפנים כשמדברים על עדכוני אבטחה בתאגיד בנקאי. היא מאחדת ומחליפה את ההוראות 357, 361 ו‑363.

המדריך הזה לא מחליף קריאה של ההוראה עצמה, והוא לא ייעוץ משפטי. הוא עושה דבר אחד: לוקח את שלושת הסעיפים שנוגעים ישירות לעבודת התשתיות ומתרגם כל אחד מהם לשאלה תפעולית — מה צריך להתקיים, ומה צריך להיות רשום.

הסעיפים הרלוונטיים, במבט אחד

סעיף	נושא	מה זה אומר בפועל
61.3	זיהוי EOL/EOS	לדעת מה כבר לא נתמך, ולהעריך את הסיכון
61.4	ניהול טלאים	תהליך שמיישם טלאים בזמן שתואם לקריטיות, אחרי בדיקה בסביבה נפרדת
97	שינויי חירום	מסלול מהיר מוגדר, עם מאשר מוסמך בשם
98	נתיב ביקורת	תיעוד הפעולות שבוצעו במהלך השינוי
114.2	ניהול תצורה	תצורה שממזערת חולשות
114.7	ניהול חולשות	טיפול מהיר ומבוסס סיכון
114.8	בקרת ניהול טלאים	הערכת עדכונים לחולשות שהתגלו ויישומם בזמן סביר

התחולה מוגדרת בסעיף 10: תאגידים בנקאיים כהגדרתם בחוק הבנקאות (רישוי), התשמ״א‑1981, תאגידים לפי סעיפים 11(א)(3א)/(3ב) ו‑11(ב), ונותני שירותי תשלום בעלי חשיבות מערכתית לפי סעיף 36יא.

[VERIFY] — לפני שמסתמכים על התחולה או על מספור הסעיפים במסמך מחייב, כדאי לאמת מול הנוסח המעודכן שמפרסם בנק ישראל.

סעיף 61.4 — ניהול טלאים

הסעיף דורש שני דברים. הראשון הוא תהליך שמבטיח יישום טלאים — פונקציונליים ולא פונקציונליים — בתוך פרק זמן שתואם את הקריטיות והרגישות של הטלאי ושל נכס המידע. השני הוא בדיקה בסביבה נפרדת לפני העלייה לייצור, לוודא התאמה לנכסים הקיימים ושאין גרימת תקלות.

מה נגזר מזה תפעולית

«תהליך», לא רשימת משימות. תהליך הוא דבר שאפשר להצביע עליו: קלט מוגדר, שלבים, אחראי לכל שלב, ואפשרות לשחזר מה קרה. גיליון שמתעדכן ידנית הוא ארטיפקט של תהליך שקיים בראש של אדם אחד.

«בתוך פרק זמן שתואם» — ההוראה לא נוקבת בימים, ולכן אתם צריכים להגדיר את היעדים ולהצדיק אותם. מטריצה של חומרה מול קריטיות, כתובה ומאושרת. יעד שאיש לא מודד מולו נקרא בביקורת כהצהרת כוונות.

«של הטלאי ושל נכס המידע» — שני משתנים. דירוג שמסתמך על CVSS בלבד מודד רק את הראשון מביניהם, ולכן הוא לא עונה על הסעיף כפי שהוא כתוב.

«פונקציונליים ולא פונקציונליים» — לא רק אבטחה. ארגון שמנהל רק עדכוני חולשות מנהל חצי מהדרישה.

«בסביבה נפרדת» — הדרישה קלה לניסוח וקשה להוכחה. העובדה שהעדכון נבדק צריכה להיות רשומה ליד החלון שבו הוא נכנס לייצור, אחרת אין דרך להראות אותה בדיעבד. הפתרון הפשוט הוא סעיף בצ׳קליסט הביצוע.

ראיות שסעיף 61.4 מצפה לראות

הראיה	איפה היא נוצרת
מסמך מדיניות עם יעדי הזמן	מאושר, מתוארך, בתוקף
מיפוי קריטיות לנכסים	תוצר ה‑BIA
הדירוג שניתן לכל תיקון, ומה הרכיב אותו	ברגע התכנון
רישום בדיקה בסביבה נפרדת	סעיף בצ׳קליסט הביצוע
מדידה מול היעדים	דוח תקופתי

סעיף 97 — שינויי חירום

הסעיף דורש נהלים מוגדרים להערכה, לאישור ולקידום לייצור של שינויים שאינם יכולים לעבור בתהליך ניהול השינויים הרגיל, וכן ציון מי מוסמך לאשר אותם.

שלוש שאלות שהנוהל חייב לענות עליהן

1. מה נחשב חירום

   הגדרה שאפשר להכריע לפיה בשתי דקות באמצע הלילה. «חולשה עם ניצול פעיל על נכס חשוף» היא הגדרה. «מקרים דחופים» היא לא.

2. מי מאשר, בשם

   שם ותפקיד, וממלא מקום. הסעיף מבקש במפורש לציין מי מוסמך.

3. מה מתועד ומתי

   מה נרשם תוך כדי, ותוך כמה זמן משלימים את התיעוד המלא. «נשלים אחר כך» בלי פרק זמן קצוב הוא מה שהופך מסלול חירום למסלול עוקף.

סעיף 98 — נתיב ביקורת

הסעיף דורש שמירה של נתיב ביקורת של הפעולות שבוצעו במהלך יישום השינוי, כדי לתמוך בחקירה ובפתרון בעיות תוך כדי ואחרי השינוי.

שימו לב לניסוח. הוא מדבר על הפעולות שבוצעו, לא על ההחלטות שהתקבלו. יומן שמתעד רק אישורים לא עונה על הסעיף.

הבדיקה המעשית

השאלה הנכונה היא לא «האם יש לנו תיעוד» אלא «האם התיעוד נוצר מעצמו». כל דבר שדורש מאדם לזכור לתעד לא ייווצר בלילה שבו הוא הכי נחוץ — וזה בדיוק הלילה שעליו תישאל השאלה.

מה שצריך להיות בנתיב, לכל חלון:

• מי אישר, מתי, ובאיזה אמצעי.
• מה בוצע בפועל: שעת התחלה, שעת סיום, מי ביצע.
• מה נכשל, ומה נעשה בעקבותיו.
• מי קיבל הודעה, ומתי.

חמש השאלות שנשאלות בפועל

לפי מה שאפשר להיערך אליו מראש — זו רשימת בדיקה עצמית, לא ציטוט של מבקר:

1. «תראו לי את המדיניות, ואת התאריך שבו היא אושרה.» מדיניות בלי תאריך אישור בתוקף היא טיוטה.
2. «קחו חולשה קריטית מלפני חצי שנה ותראו לי את הרצף עד לתיקון.» זו השאלה שמפרידה בין תהליך לבין תיעוד. אם צריך לחפש בשלושה מקומות, התשובה כבר ידועה.
3. «מי אישר את החלון הזה?» על חלון אקראי, לא על אחד שבחרתם.
4. «מה קורה כשעדכון נכשל?» התשובה הטובה כוללת דוגמה שקרתה.
5. «איך אתם יודעים שהעדכון נבדק לפני הייצור?» הסעיף דורש את זה במפורש, וזאת הראיה שהכי קל לשכוח לייצר.

מה אסור לטעון

זה החלק שכדאי להעביר גם לצוות המכירות ולמי שכותב מכרזים.

מותר: «מתוכנן סביב הדרישות של סעיף 61.4» · «מייצר את נתיב הביקורת שסעיף 98 מדבר עליו» · «תומך בראיות שלכם» · «ממופה לסעיפים».

אסור: «עומד בהוראה 364» · «מוסמך» · «מבטיח עמידה» · «מאושר על ידי בנק ישראל».

הסיבה איננה זהירות יתר. אף ספק לא הופך תאגיד בנקאי לעומד בהוראה, הפיקוח על הבנקים אינו מאשר מוצרים, וכל ניסוח שנשמע כמו הסמכה ייתפס תוך דקה על ידי צוות הציות של הקונה. זה מפסיד את העסקה מהסיבה הגרועה ביותר.

מאיפה להתחיל אם אין כלום

לפי סדר:

1. מסמך מדיניות עם יעדי זמן. עמוד אחד מספיק. בלי זה, אין למה למדוד.
2. מיפוי בעלוּת. מי מאשר מה. בלי זה אין אישורים, וממילא אין ראיות.
3. צ׳קליסט ביצוע. שישה סעיפים. זה מייצר את רוב נתיב הביקורת בעלות הנמוכה ביותר.
4. מדידה. חציון הזמן מזיהוי עד תיקון, לפי חומרה. רבעוני.

הפלייבוק המלא לשלבים האלה נמצא כאן: פלייבוק לתיאום חלונות תחזוקה.