הצפנת מידע עסקי: מה חובה להצפין ואיך עושים זאת נכון

פורסם 30 ביוני 2026

הצפנת מידע עסקי מתחלקת לשני מצבים: הצפנה במנוחה, שמגנה על קבצים שיושבים על דיסק, שרת או דיסק גיבוי, והצפנה בתעבורה, שמגנה על מידע בזמן שהוא נוסע ברשת באמצעות SSL/TLS. עסק שמחזיק פרטי תשלום, נתוני עובדים או מידע מזהה על לקוחות צריך את שתיהן. בפועל, רוב העבודה נעשית בכלים שכבר קיימים במערכת ההפעלה, והחלק הקשה הוא לא ההצפנה עצמה אלא ניהול המפתחות והגיבויים.

הצפנה במנוחה: המידע ששוכב על הדיסק

הצפנה במנוחה (at rest) הופכת את התוכן של הדיסק לרצף חסר משמעות עבור מי שאין לו את המפתח. המשמעות המעשית פשוטה: אם לפטופ נשכח במונית, או שדיסק גיבוי נעלם מהמשרד, מי שמצא אותו יכול להתחבר לחומרה אבל לא לקרוא את הקבצים. בלי הצפנה, כל מי שמוציא את הדיסק ומחבר אותו למחשב אחר עובר את סיסמת ההתחברות של Windows בתוך דקות.

כדאי לקרוא גם: מערכת ניהול מלאי לעסק קטן: איך בוחרים, מה זה עולה ומה חובה · תקן PCI DSS לעסקים: מה חובה, איך מתחילים וכמה זה עולה · אימות דו-שלבי (2FA) לעסק: איך זה עובד ולמה חובה להפעיל

העקרונות שמאחורי זה לא חדשים, ומי שרוצה רקע כללי יכול לקרוא על הצפנה בוויקיפדיה. לצרכים עסקיים, מספיק לזכור שהצפנה מודרנית מבוססת AES נחשבת חזקה מאוד, והחוליה החלשה היא כמעט תמיד הסיסמה או המפתח, לא האלגוריתם.

הצפנה במנוחה נדרשת בעיקר בשלושה מקומות: מחשבים ניידים, מדיה נשלפת (USB, דיסקים חיצוניים) וגיבויים. תחנות עבודה קבועות במשרד נעולה הן עדיפות נוחה יותר, אבל גם שם מומלץ להפעיל הצפנה כברירת מחדל.

הצפנה בתעבורה: מה SSL/TLS באמת עושה

הצפנה בתעבורה (in transit) מגנה על המידע בזמן שהוא עובר בין שני צדדים: בין הדפדפן לאתר, בין תוכנת הדואר לשרת, בין המשרד לספק הענן. הפרוטוקול שעושה את העבודה הזו נקרא TLS, ועדיין מכונה בשפת היום־יום SSL. כשמופיע מנעול בשורת הכתובת, זה אומר שהחיבור מוצפן ושתעודת האתר תקפה.

ההבדל המרכזי בין השתיים: הצפנה במנוחה מגנה מפני גנב שמחזיק פיזית את הציוד, הצפנה בתעבורה מגנה מפני מי שמאזין לרשת באמצע. הן לא מחליפות זו את זו. טופס יצירת קשר באתר לא מאובטח יכול לשלוח פרטי לקוח בטקסט גלוי גם אם השרת שמאחוריו מוצפן לחלוטין, ולהיפך: אתר עם HTTPS מושלם שמאחסן את פניות הלקוחות בקובץ פתוח על שרת לא מוצפן פתר רק חצי מהבעיה.

מה דורש תיקון 13 לחוק הגנת הפרטיות

תיקון 13, שנכנס לתוקף באוגוסט 2025, הוא בראש ובראשונה תיקון של אכיפה: הוא הרחיב את סמכויות הרשות להגנת הפרטיות, הוסיף עיצומים כספיים מנהליים שיכולים להגיע לסכומים גבוהים מאוד (הסדר גודל נקבע לפי היקף המחזור ומספר האנשים שנפגעו), וחייב חלק מהגופים במינוי ממונה על הגנת הפרטיות. חשוב להבין שהתיקון עצמו לא מפרט אלגוריתמים או אורכי מפתח.

הדרישות הטכניות יושבות בתקנות הגנת הפרטיות (אבטחת מידע) משנת 2017, שממשיכות לחול. שתי דרישות מהן רלוונטיות ישירות לנושא: העברת מידע מתוך מסד נתונים ברשת ציבורית מחייבת הצפנה, ושימוש בהתקנים ניידים שמכילים מידע אישי מחייב אמצעי הגנה מפני שימוש לא מורשה, כלומר הצפנה בפועל. תיקון 13 הפך את ההזנחה של הדרישות האלה מסיכון תיאורטי לסיכון כספי מוחשי.

הכלל המעשי: כל מסד נתונים שמכיל מידע על אנשים, גם אם מדובר בגיליון אקסל עם 300 לקוחות, נכנס לתמונה. הצפנה היא אחד ממספר צעדים, ומי שמתחיל מאפס ימצא תמונה רחבה יותר במדריך 12 צעדי אבטחת סייבר לעסק קטן.

טבלה: איזה מידע דורש איזו רמת הצפנה

אותו היגיון חל על מערכות ניהול: גם מערכת ניהול מלאי מחזיקה בדרך כלל פרטי ספקים ולקוחות, ולכן כדאי לבדוק בהסכם מול הספק מה מוצפן ואיפה המידע נשמר.

כלים מומלצים, ומה הם עולים

• BitLocker: הצפנת דיסק מלאה שמוכללת ב-Windows בגרסאות Pro ו-Enterprise. אין עלות נוספת למי שכבר מחזיק את הרישיון, ושדרוג מ-Home ל-Pro נע בסדר גודל של כמה מאות שקלים למכשיר (המחיר משתנה).
• VeraCrypt: חינמי וקוד פתוח, יוצר מכולות מוצפנות או מצפין דיסקים שלמים. מתאים למי שעובד על Home, לדיסקים חיצוניים, ולתיקייה רגישה שצריכה סיסמה נפרדת.
• FileVault: המקבילה של BitLocker ב-macOS, כלולה במערכת.
• הצפנת מכשירים ניידים: טלפונים מודרניים מוצפנים כברירת מחדל כשמוגדר קוד נעילה. בלי קוד, אין הצפנה.
• תעודת SSL/TLS: תעודות בסיסיות זמינות בלי עלות אצל רוב ספקי האחסון, ותעודות מורחבות נעות בטווח של עשרות עד מאות שקלים בשנה.

ניהול מפתחות: הנקודה שבה עסקים נופלים

הצפנה שעובדת טוב מדי היא בעיה. דיסק מוצפן שאבד לו מפתח השחזור הוא דיסק מעוצב מבחינה מעשית, ואין גורם שיכול לפתוח אותו. לכן מפתח השחזור של BitLocker צריך להיות שמור מחוץ למחשב עצמו: בחשבון מנהל של הארגון, בכספת, או במנהל סיסמאות עסקי. שלוש פעולות שחוסכות משבר:

1. לתעד לכל מכשיר מוצפן מי מחזיק את מפתח השחזור ואיפה.
2. לבדוק שחזור אמיתי פעם בחצי שנה, ולא רק להניח שהגיבוי עובד.
3. להפריד בין סיסמת ההצפנה לסיסמת ההתחברות, ולא להשתמש באותה סיסמה בשתיהן.

שאלות נפוצות

האם HTTPS באתר מספיק כדי לעמוד בדרישות?

לא. HTTPS מכסה את המידע בתעבורה בלבד. אם פניות הלקוחות נשמרות אחר כך בקובץ על מחשב לא מוצפן או נשלחות למייל פרטי, המידע חשוף בשלב האחסון. נדרשות שתי השכבות.

האם הצפנה מאטה את המחשב?

בחומרה מהשנים האחרונות ההשפעה זניחה, מפני שהמעבדים כוללים האצה לפעולות AES. בדיסקים מכניים ישנים אפשר להרגיש האטה קלה בקריאה וכתיבה של קבצים גדולים.

מה קורה אם עובד מסרב או שוכח את הסיסמה?

כאן נכנס מפתח השחזור שמנוהל ברמת העסק. במכשירים שבבעלות העסק, ההצפנה וניהול המפתח צריכים להיות מוגדרים מראש על ידי מי שמנהל את המערכות, לא על ידי העובד.

האם אפשר להסתמך על ההצפנה של ספק הענן?

ברוב המקרים כן, אבל כדאי לבדוק בהסכם מה בדיוק מוצפן, מי מחזיק את המפתחות, ומה קורה בעת סיום ההתקשרות. האחריות מול הרשות להגנת הפרטיות נשארת של העסק שמחזיק את המידע.

מאיפה כדאי להתחיל אם אין תקציב?

מהצעדים שלא עולים כלום: הפעלת הצפנת דיסק במכשירים שתומכים בה, קוד נעילה בטלפונים, HTTPS באתר, והצפנת כל דיסק חיצוני שיוצא מהמשרד.

לסיכום

הצפנת מידע עסקי אינה פרויקט אלא הגדרה שמפעילים פעם אחת ומתחזקים: במנוחה על כל מה שאפשר לגנוב פיזית, בתעבורה על כל מה שעובר ברשת. תיקון 13 לא המציא את הדרישה, הוא רק הפך את ההתעלמות ממנה ליקרה. מי שמצפין ניידים וגיבויים, מוודא HTTPS מלא, ומנהל את מפתחות השחזור בצורה מסודרת, סוגר את רוב הפער בלי השקעה גדולה.

עידו רזניק

כותב טכנולוגיה ותעשייה

עידו רזניק כותב על טכנולוגיה מנקודת המבט של מי שצריך להשתמש בה, לא של מי שמוכר אותה. אחרי שנים בתפעול ובניהול פרויקטים בתעשייה, הוא עבר לכתיבה ומתמקד בחדשנות תעשייתית, אנרגיה, סייבר לעסקים קטנים וכלים דיגיטליים. מאמין שכל טכנולוגיה מסובכת אפשר להסביר בשלוש פסקאות.