הוראה 357 כבר לא בתוקף — מה בא במקומה

מסמכי מדיניות פנימיים מזדקנים לאט. נוהל אבטחת מידע שנכתב פעם אחת ומאושרר מדי שנה יכול להמשיך להפנות שנים לסימוכין שכבר לא קיים, ואף אחד לא שם לב — עד שמבקר שם.

זה בדיוק המצב עם הוראה 357.

מה השתנה

הוראת ניהול בנקאי תקין 364 — «ניהול סיכוני טכנולוגיית המידע, אבטחת המידע והגנת הסייבר» מאחדת ומחליפה את הוראות 357, 361 ו‑363. הצמד «357/364», שעדיין מופיע בהרבה מצגות ומכרזים, מיושן: 357 הוחלפה.

מבחינה מעשית זה אומר שלושה דברים:

1. הפניה ל‑357 במסמך פנימי היא הפניה למסמך שאינו בתוקף. לא בהכרח שגיאה מהותית — התוכן ברובו עבר — אבל היא נראית רע, והיא הדבר הראשון שמבקר מסמן.
2. מספרי הסעיפים אחרים. «לפי סעיף X בהוראה 357» כמעט תמיד לא מצביע היום על הסעיף הנכון.
3. ההיקף רחב יותר. 364 מקיפה את ניהול סיכוני הטכנולוגיה, אבטחת המידע והגנת הסייבר במסמך אחד, ולכן מסמכי מדיניות שנכתבו מול שלוש הוראות נפרדות צריכים להתמזג בהתאם.

על מי זה חל

סעיף 10 מגדיר את התחולה: תאגידים בנקאיים כהגדרתם בחוק הבנקאות (רישוי), התשמ״א‑1981, תאגידים לפי סעיפים 11(א)(3א)/(3ב) ו‑11(ב), וכן נותני שירותי תשלום בעלי חשיבות מערכתית לפי סעיף 36יא.

[VERIFY] — כדאי לאמת את התחולה מול נוסח ההוראה המעודכן באתר בנק ישראל לפני שמסתמכים עליה במסמך מחייב.

לאן הלכו הסעיפים שחיפשתם

אלה הסעיפים ב‑364 שרלוונטיים לניהול עדכוני אבטחה, ומה כל אחד מהם דורש:

סעיף	נושא	בשפה תפעולית
61.4	ניהול טלאים (Patches)	תהליך שמיישם טלאים בזמן שתואם לקריטיות, אחרי בדיקה בסביבה נפרדת
61.3	זיהוי EOL/EOS	לדעת מה כבר לא נתמך, ולהעריך את הסיכון
97	שינויי חירום	מסלול מהיר מוגדר, עם מאשר מוסמך בשם
98	נתיב ביקורת	תיעוד הפעולות שבוצעו במהלך השינוי
114.2	ניהול תצורה	תצורה שממזערת חולשות
114.7	ניהול חולשות	טיפול מהיר ומבוסס סיכון
114.8	ניהול טלאים (בקרה)	הערכת עדכונים לחולשות שהתגלו ויישומם בזמן סביר

שימו לב לכפילות המדומה בין 61.4 ל‑114.8. היא לא כפילות: 61.4 יושב בפרק התפעול ומדבר על התהליך, ו‑114.8 יושב בפרק הבקרות ומדבר על הבקרה שמוודאת שהתהליך עובד. מדיניות טובה מתייחסת לשניהם ואומרת מי אחראי על כל אחד.

מה כדאי לעשות עכשיו

1. חיפוש טקסט על 357

   בכל מסמכי המדיניות והנהלים. גם ב‑361 וב‑363, אם הם מוזכרים.

2. מיפוי סעיפים

   לא להחליף רק את המספר של ההוראה. כל הפניה לסעיף צריכה מיפוי לסעיף המקביל ב‑364, לפי הטבלה למעלה.

3. לבדוק את היעדים

   364 מחייבת פרק זמן «שתואם את הקריטיות». אם מסמך המדיניות שלכם ירש מ‑357 יעד גורף אחד לכל סוגי הנכסים, זה המקום לפצל אותו.

הרחבה על הסעיף שהכי נוגע לעבודת התשתיות נמצאת כאן: סעיף 61.4, קריאה של אנשי תפעול.