כללי בטיחות מידע — מה לא מזינים
היחידה הזו לא באה להפחיד. היא באה לתת קו ברור, כי בלעדיו אחד משניים קורה: או שאף אחד לא משתמש, או שמישהו מדביק תיק רווחה שלם לתוך חלון צ׳אט.
שלוש רמות
| רמה | מה זה כולל | הכלל |
|---|---|---|
| ירוק | חומר שכבר פורסם או שנועד לפרסום: נהלים פומביים, תוכן אתר, טיוטת הודעה לתושבים, טקסט כללי | מותר |
| צהוב | חומר פנימי לא רגיש: פרוטוקול עבודה, תוכנית, סקר מצרפי | מותר אחרי הסרת שמות ופרטים מזהים |
| אדום | מידע על אדם מזוהה: תיקי רווחה, בריאות, חובות, תלונות, חומר משמעתי, מידע ביטחוני, מכרזים לפני פרסום | לא מזינים. גם לא ״רק כדי לנסח״ |
איך מכינים מסמך צהוב להזנה
1
מחליפים שמות בתוויות. ״תושב א׳״, ״מנהלת המחלקה״. שמירה על עקביות מאפשרת לקרוא את התשובה בלי בלבול.
2
מוחקים מספרים מזהים. ת״ז, טלפון, כתובת מדויקת, מספר תיק, מספר רכב.
3
שמים לב לצירופים. בישוב קטן, ״אלמנה בת 63 מהשכונה הצפונית״ הוא זיהוי מלא, גם בלי שם.
4
מחזירים את הפרטים ידנית אחרי שקיבלתם את התוצאה, במסמך שלכם.
לפני הכול — בררו מה מותר אצלכם. לרשויות ציבוריות יש הנחיות והתקשרויות משלהן, וחשבון ארגוני מתנהג אחרת מחשבון פרטי חינמי (בין היתר בשאלה אם התוכן משמש לאימון). ההנחיות כאן הן קו הגנה בסיסי, לא תחליף לבירור מול הממונה על אבטחת המידע, היועץ המשפטי או הממונה על הגנת הפרטיות ברשות.
ארבע טעויות שכיחות
- צילום מסך. אנשים שמקפידים למחוק שמות מטקסט מעלים בלי היסוס צילום מסך של מערכת עם כל הפרטים.
- קובץ שלם ״כדי שיהיה הקשר״. מעלים את הפרק הרלוונטי בלבד.
- שיחה שנפתחה בירוק וגלשה לאדום. החלטה על עובד באמצע שיחה על ניסוח נוהל. פותחים שיחה חדשה כשהנושא משתנה.
- הסתמכות על ציטוט חוק שהכלי הביא. תמיד לאמת מול המקור לפני שמסתמכים.
נוהל קצר לאימוץ באגף
נוהל שימוש בכלי AI — עמוד אחד
נוהל שימוש בכלי בינה מלאכותית — [שם האגף] בתוקף מ־[תאריך]. אחראי/ת: [שם] 1. במה מותר להשתמש רק בכלים ובחשבונות שאושרו: [רשימה] 2. מה לא מזינים, בשום מקרה • מידע המזהה אדם: שם + פרט אישי כלשהו • מידע רפואי, רווחתי, כלכלי או משמעתי • חומר ביטחוני • מכרזים והצעות לפני פרסום • התכתבות עם ייעוץ משפטי 3. מה כן, ואיך מסמכים פנימיים — אחרי הסרת פרטים מזהים. בכל מקרה של ספק — שואלים את [שם] לפני. 4. אחריות על התוצאה כל תוצר נבדק על ידי אדם לפני שהוא יוצא החוצה. נתון, ציטוט או סעיף חוק — מאומתים מול המקור. 5. שקיפות מסמך שנשלח החוצה ונכתב ברובו בעזרת כלי — מציינים זאת בפני מי שמאשר אותו. 6. אירוע חריג הוזן בטעות מידע רגיש? מדווחים ל[שם] באותו יום. לא מוחקים בשקט.
מחר בבוקר
שלחו את שלוש הרמות לצוות ובקשו מכל אחד לשלוח דוגמה אחת ממשית מהעבודה שלו לכל רמה. חצי שעה כזו מייצרת הבנה מעשית שאף נוהל כתוב לא מייצר לבדו.