בין 2020 ל‑2022 שילמה מורגן סטנלי שני קנסות בסך כולל של 95 מיליון דולר בגלל אופן הגריעה של ציוד המחשוב שלה: 60 מיליון דולר ל‑OCC באוקטובר 2020 על כשל בפיקוח על פירוק שני מרכזי נתונים, ו‑35 מיליון דולר ל‑SEC בספטמבר 2022 על כשל בהגנה על מידע אישי של כ‑15 מיליון לקוחות לאורך חמש שנים.
מה שקרה בפועל: החברה שכרה חברת הובלות ואחסון ללא ניסיון בהשמדת מידע כדי לפרק אלפי דיסקים ושרתים, ולא פיקחה על עבודתה. חברת ההובלות מכרה את הציוד לצד שלישי, שהעלה אותו למכירה פומבית מקוונת — עם מידע לא מוצפן עליו. רוב המכשירים מעולם לא אותרו, ו‑42 שרתים נוספים לא נמצא להם דין וחשבון.
שלוש הטעויות, לפי סדר החומרה
1. ספק שאינו ספק ITAD
חברת הובלות יודעת להזיז ארגזים. היא אינה יודעת למחוק מדיה, אינה מפיקה תעודות, ואינה נושאת באחריות על המידע. ההפרש במחיר בין ספק הובלה לספק ITAD הוא אחוזים בודדים. ההפרש בחשיפה, במקרה הזה, היה 95 מיליון דולר.
2. אין פיקוח ואין תיעוד
לא היה מסמך שאומר אילו נכסים יצאו, מה נעשה איתם ולאן הלכו. בלי רשימה ברמת מספר סידורי ובלי תעודה לכל נכס, אין דרך לדעת אם משהו חסר — עד שהוא מופיע במכירה פומבית.
3. הנחה שהצפנה מכסה על הכול
חלק מהמדיה לא הייתה מוצפנת בכלל. הצפנה היא שכבת הגנה, לא תחליף להשבתת מידע — ובוודאי לא כשאיש לא בדק שהיא באמת פעלה על כל נכס.
- קנס OCC
- $60Mאוקטובר 2020, פירוק שני מרכזי נתונים
- קנס SEC
- $35Mספטמבר 2022, מידע של ~15 מיליון לקוחות
- משך הכשל
- 5 שניםהחל מ‑2015
- שרתים ללא דין וחשבון
- 42בנוסף לדיסקים שנמכרו
ומה אצלנו בישראל
תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב‑14 באוגוסט 2025 והוא מקנה לרשות להגנת הפרטיות סמכות להטיל עיצומים כספיים משמעותיים, במודל הדומה לזה שנהוג באירופה. הוא גם מדגיש חובת אבטחת מידע מתמשכת ומתועדת — כלומר, שהארגון יידרש להראות מסמכים, לא הסברים.
מבחינה מעשית, השאלה שארגון ישראלי צריך לדעת לענות עליה היא בדיוק אותה שאלה שמורגן סטנלי לא ידעה לענות עליה: אילו נכסים יצאו, מה נעשה עם המידע שהיה עליהם, ולאן הלכו.
מה זה אומר על בחירת ספק
| השאלה | תשובה שמגנה עליכם |
|---|---|
| מי מוביל בפועל? | עובדי החברה, ברכביה, בשרשרת משמורת מתועדת |
| מה קורה למדיה? | מחיקה מאומתת בתוכנה מוסמכת, או השמדה פיזית |
| איזה תיעוד אקבל? | רשימה ברמת מספר סידורי + תעודה לכל נכס נושא מדיה |
| מה עם מדיה תקולה? | מסלול השמדה פיזית — לא מסומנת כנמחקה |
| האם יש קבלן משנה? | אם כן — מי הוא, ומה התיעוד שלו |
החישוב שכדאי לעשות פעם אחת
ההפרש בין הצעת מחיר של קבלן פינוי להצעה של ספק ITAD מלא הוא לרוב כמה אלפי שקלים לפרויקט. ההפרש בין תיק תיעוד מלא לבין כלום הוא ההפרש בין להיות מסוגל לענות על שאלה, לבין לא.