הקלטה ומטא-נתונים לכל סשן
מי נכנס, מאיזה מחשב וכתובת IP, מתי, ומה עשה: יישומים, חלונות, כתובות URL ופקודות. תומך בסעיף 61.7.1.
הוראת ניהול בנקאי תקין 364בנקים ונותני שירותי תשלום בעלי חשיבות יציבותית
הוראה 364 נכנסה לתוקף ב-18 במאי 2026 ומאחדת את ניהול טכנולוגיית המידע, אבטחת המידע והגנת הסייבר במסגרת אחת. חלק ממנה עוסק ישירות באנשים עם גישה: מנהלי מערכת, בעלי הרשאות מוגברות, ספקים ועובדים שמתחברים מרחוק. Syteca מספקת בקרות טכנולוגיות לחלק הזה ואת הראיות להן, והממשל, המדיניות וניהול הסיכונים נשארים אצלכם.
ההוראה במבט אחד
העובדות כפי שהן מופיעות בנוסח ההוראה ובחוזרי הפיקוח על הבנקים שמפנים אליה. הנוסח שנבדק כאן הוא גרסה 1 של ההוראה.
עם חוזר 2799 של הפיקוח על הבנקים.
עודכנו הוראות 362, 366 ו-367 בעקבות כניסתה לתוקף של הוראה 364 (חוזרים 2847, 2848 ו-2849).
ביטלה את הוראה 357 (ניהול טכנולוגיית המידע) ואת הוראה 361 (ניהול הגנת הסייבר), והטמיעה בתוכה את הוראה 363 (ניהול סיכוני סייבר בשרשרת אספקה).
תאגידים בנקאיים, תאגידים נוספים שמנויים בסעיף 11 לחוק הבנקאות (רישוי), ונותני שירותי תשלום בעלי חשיבות יציבותית סעיף 10.1. על בנק חוץ היא חלה עם התאמות סעיף 170.
שלושה נושאים: ממשל תאגידי בתחום טכנולוגיית המידע, ניהול סיכוני טכנולוגיית המידע, וניהול סיכוני אבטחת מידע, ובהם סיכוני סייבר סעיף 7.
ההוראה חלה על כל נכסי המידע, גם על אלה שמנוהלים בידי צד ג', בלי תלות במהותיות של הספק או של הפעילות סעיף 5.
לפיקוח על הבנקים, לפי הוראה 366 סעיף 171.1.
מיפוי הסעיפים
המיפוי נבנה מול נוסח ההוראה באתר בנק ישראל. הוא מציג יכולות שתומכות בבקרה, לא עמידה בסעיף. איפה ש-Syteca מכסה רק חלק מהדרישה, כתבנו את זה בתא.
נתיב ביקורת מבוסס קבצי Log על הגישה, הפעולות והשאילתות של משתמשים במערכות המידע: זיהוי הניגש, המקור, הזמן ופרטים על נושא הגישה.
הקלטה של כל סשן עם המשתמש, המחשב, כתובת ה-IP ושם המחשב המרוחק, הזמן, היישום, כותרת החלון, ה-URL ופקודות Linux. שאילתות בתוך מערכות הליבה נרשמות ביומנים של המערכות עצמן, ו-Syteca מוסיפה את מה שנעשה בסשן כולו.
אבטחת הגישה לנתיב הביקורת למניעת שינוי או מחיקה בלתי מורשים או שימוש לרעה בנתונים, ושמירה לפרק זמן הולם.
הצפנת AES-256 כבר בסוכן, Protected Mode ב-Windows שמונע גם ממנהל מקומי לשנות את הסוכן, hash או חתימה לכל רשומה מסוכני Windows (ב-SaaS רק בבקשה מ-Syteca), ויומן ביקורת של מי צפה ומי ייצא. השמירה והארכיון לפי המדיניות שתגדירו.
כלים לניתוח ממוכן של נתיב הביקורת, לפי הערכת סיכונים, לזיהוי אנומליות ודפוסי פעילות.
חוקי התראה ותבניות מוכנות, העברה ל-SIEM, ו-UEBA שמסמן סשנים בשעות חריגות. UEBA זמין בהתקנה מקומית ובענן הפרטי של קונסיסט, ולא ב-SaaS של Syteca או במצב High Availability.
הרשאות מינימליות לפי הצורך לדעת, וגישה לנכסי מידע רק כשקיים צורך עסקי ברור וכל עוד הוא קיים.
גישה באישור ולזמן מוגבל, כניסה רק מול קריאת שירות פתוחה ב-SysAid או ב-ServiceNow, ו-Privilege Elevation ב-Windows, שמחליף את חלון ה-UAC במדיניות: אישור אוטומטי, בקשת אישור או חסימה.
אמצעי זיהוי ואימות אישיים לכל גורם, וייחוס השימוש בנכסי מידע והגישה אליהם לאדם, לחומרה או לתוכנה. כשאין אפשרות לזיהוי אישי, בקרות מפצות.
אימות משני בחשבונות משותפים כמו admin ו-root: מי שנכנס מזדהה בשמו, ושני השמות נשמרים בסשן ובכל אירוע.
מתן הרשאה לפי הערכת סיכונים, בין היתר לפי התפקיד, הגישה מרחוק, והזמן והמשך של הגישה.
אישור כניסה מראש, תמיד או רק מחוץ לשעות העבודה, סיסמה חד-פעמית לכניסה לנקודות קצה Windows, וחלון זמן מוגדר לכל גישה.
אמצעי הזיהוי והאימות מונפקים, מנוהלים, מאומתים, מבוטלים ומבוקרים.
כספת סיסמאות עם Check-out והחלפת סיסמאות, הזרקת סיסמה בשרת קפיצה בלי לחשוף אותה למשתמש, וסריקה אוטומטית של הרשת לאיתור חשבונות פריבילגיים.
אימות מוגבר, כמו אימות רב-גורמי, לגישת מנהל מערכת או בעל הרשאות מוגברות לנכס מידע קריטי או רגיש, ולגישה מרחוק ברשת ציבורית לנכס כזה.
אימות דו-שלבי בקוד TOTP בכניסה לשרתים ולתחנות Windows ו-Linux, ו-SSO ב-SAML 2.0 לממשק הניהול, כך שחלים עליו ה-MFA וכללי הגישה של הארגון.
בחינה של תרחיש חמור אך סביר: פעולות זדוניות של תוקף בעל הרשאות מיוחדות מתוך התאגיד, בסיוע גורם פנימי או חיצוני.
הבחינה עצמה היא שלכם. Syteca מוסיפה בקרות לתרחיש: הקלטה של סשני מנהלי מערכת וספקים, התראות על פעולות מסוכנות ותגובה אוטומטית.
בקרות דלף מידע: הרשאת גישה לאמצעים ולהתקנים להעברת מידע עם רישום ובחינה תקופתית, חסימה, סינון וניטור של אמצעים אלקטרוניים להעברת מידע, של אתרים ושל הדפסה, ונתיב ביקורת על התקנים.
ב-Windows: רישום של כל התקן אחסון USB, והתראה, חסימה או חסימה עד אישור מנהל. ב-macOS התראות בלבד. ב-Windows וב-macOS גם רישום כתובות URL והעלאות קבצים. סינון אתרים והדפסה אינם בתחום המוצר.
ניטור מתמשך של טרנזקציות לזיהוי שימוש לרעה בהרשאה בידי צד ג' או גורמים אחרים, ושל גורמים פנימיים וחיצוניים, כולל בעלי תפקידים בפונקציות האדמיניסטרטיביות של מערך טכנולוגיית המידע.
ניטור של הסשנים עצמם: מה מנהלי מערכת, ספקים ועובדים עשו על המסך ובטרמינל, עם התראות בזמן אמת. ניטור הטרנזקציות במערכות הליבה נעשה בכלים אחרים.
שילוב מערכות הניטור עם מערכות אחרות לזיהוי, חקירה, תיעוד, התראות ודיווח.
אירועי סשנים, התראות ויומן הביקורת עוברים ל-SIEM בזמן אמת, בפורמט CEF או LEEF. רשומות הסשן וההתראות כוללות קישור לסשן בנגן.
תחקיר, שימור ראיות וניתוח מעמיק של אירועי אבטחת מידע, ושמירה של המידע על האירוע לצורך תחקיר ואבחון הגורם.
חיפוש בהקלטות, קפיצה לרגע המדויק, וייצוא פורנזי של סשן או קטע ממנו לקובץ EFE מוצפן עם hash מסוג SHA256, שנפתח בנגן הפורנזי של Syteca.
נתיב ביקורת לפעילות שמבוצעת בזמן הטמעת שינוי, לחקירה ולפתרון בעיות.
הקלטה של סשן ההטמעה. בחיבור ל-SysAid או ל-ServiceNow, קישור להקלטה נוסף לקריאת השירות.
צדדים שלישיים
פרק י"ג הוא סעיף אחד (155) שמפנה לנספח, והנספח מרכז 22 הפניות להנחיות על צדדים שלישיים לאורך ההוראה. צד ג' מוגדר כמי שיש לו גישה לנכס מידע של התאגיד (סעיף 11), וההוראה חלה גם על נכסי מידע שהוא מנהל, בלי תלות במהותיות שלו (סעיף 5). כך Syteca תומכת בחלק שנוגע לגישה של הספק למערכות שלכם.
ניהול אירוע אבטחת מידע
סעיף 147 מחייב לזהות באיזה שלב נמצא אירוע אבטחת מידע ולנהל אותו בהתאם. כך נראה התפקיד של Syteca בכל שלב, כולל השלבים שבהם היא לא הכלי.
ראיות
ההוראה דורשת תהליכים ובקרות. בביקורת פנימית או בבדיקה של הפיקוח צריך להראות שהם פועלים. אלה הראיות ש-Syteca שומרת מרגע שהסוכן פועל.
מי נכנס, מאיזה מחשב וכתובת IP, מתי, ומה עשה: יישומים, חלונות, כתובות URL ופקודות. תומך בסעיף 61.7.1.
הדוח Access Request Grid מתעד כל בקשת גישה: סוג הבקשה, הסטטוס, מי טיפל בה ומתי. תומך בסעיפים 116.3 ו-117.
הדוח Secondary User Authentication Grid מראה מי האדם שעבד בכל כניסה לחשבון משותף. תומך בסעיף 105.6.
הדוח Audit Session Grid מראה מי צפה באילו סשנים, ויומן הביקורת מתעד צפיות וייצוא. כך מראים שגם הגישה לנתונים עצמם מבוקרת, כפי שסעיף 61.7.3 דורש.
במצב צילומי מסך, סשן או קטע ממנו נשמר כקובץ EFE מוצפן עם hash מסוג SHA256, עם סיסמה והערה לפי בחירה, ונפתח בנגן הפורנזי בלי גישה לממשק הניהול. תומך בסעיף 101.8.
רשומות סשן, התראות ויומן הביקורת עוברים ל-SIEM בזמן אמת, ב-CEF או LEEF. ברשומות הסשן וההתראות יש קישור לסשן. תומך בסעיף 143.
מה נשאר אצלכם
Syteca לא מבטיחה עמידה בהוראה 364. אלה דרישות מרכזיות שהן ארגוניות, וההחלטות בהן שייכות לדירקטוריון, להנהלה ולבעלי התפקידים.
שאלות נפוצות
לא מצאתם תשובה? ארכיטקט פתרונות של קונסיסט יענה, בעברית.
לפי סעיף 10.1, על תאגידים בנקאיים, על תאגידים נוספים שמנויים בסעיף 11 לחוק הבנקאות (רישוי), ועל נותני שירותי תשלום בעלי חשיבות יציבותית כהגדרתם בסעיף 36ט לאותו חוק. על בנק חוץ ההוראה חלה עם התאמות שמפורטות בסעיף 170.
הפיקוח על הבנקים פרסם את ההוראה ב-18.11.2024, והיא נכנסה לתוקף ב-18.5.2026. היא ביטלה את הוראה 357 (ניהול טכנולוגיית המידע) ואת הוראה 361 (ניהול הגנת הסייבר), והטמיעה בתוכה את הוראה 363 (ניהול סיכוני סייבר בשרשרת אספקה). ב-17.6.2026 עודכנו הוראות 362, 366 ו-367 בעקבות כניסתה לתוקף.
לא לכל גישה. לפי סעיף 119, חוזק האימות נקבע לפי ההשלכות של זיהוי שגוי, ואימות מוגבר, כמו אימות רב-גורמי, נדרש בשלושה מקרים: גישה של מנהל מערכת או של בעל הרשאות מוגברות לנכס מידע קריטי או רגיש (119.1), גישה מרחוק ברשת ציבורית לנכס כזה (119.2), ופעילויות שהוגדרו בסיכון גבוה לפי עקרונות שהדירקטוריון אישר (119.3). על לקוחות בנקאות בתקשורת חלה הוראה 367 (סעיף 120).
לא במפורש. היא דורשת נתיב ביקורת על הגישה, הפעולות והשאילתות של משתמשים (סעיף 61.7.1), ניטור שמזהה שימוש לרעה בהרשאות (סעיף 141.2), ותחקיר ושימור ראיות (סעיף 101.8). הקלטת סשנים היא אחת הדרכים לספק את כל אלה יחד, עם ההקשר של מה שקרה על המסך. ההחלטה איך ליישם נשארת שלכם.
הוראה 364 לא קובעת מספר. סעיף 61.7.3 דורש לשמור אותו לפרק זמן הולם, לפי הקריטיות והרגישות ולפי הדרישות הרגולטוריות והמשפטיות שחלות עליכם. דרישות אחרות שחלות עליכם, למשל בדיני הגנת הפרטיות, עשויות לקבוע תקופה מינימלית, ולכן את התקופה קובעים יחד עם הייעוץ המשפטי. ב-Syteca מגדירים ניקוי מתוזמן לפי גיל הסשנים, ובהתקנה מקומית אפשר להעביר סשנים ישנים לארכיון ולצפות בהם בנגן גם אחר כך.
הוראה 364 היא של הפיקוח על הבנקים, וחלה על תאגידים בנקאיים ועל נותני שירותי תשלום בעלי חשיבות יציבותית. חוזר 2022-10-9 של רשות שוק ההון חל על סוגים מסוימים של נותני שירותים פיננסיים בפיקוח הרשות, לפי סוג הרישיון. החוזר קובע מספרים מפורשים, כמו שמירה של נתיב הביקורת 12 חודשים לפחות ושבעה תנאים לתחזוקה מרחוק בידי ספק. הוראה 364 נשענת יותר על הערכת סיכונים.
לא, ואף מוצר לא יכול להבטיח את זה. רוב ההוראה עוסקת בממשל, באסטרטגיה, במדיניות, בניהול סיכונים, בהמשכיות עסקית ובדיווח. Syteca מספקת בקרות טכנולוגיות בתחום הגישה, הניטור, נתיב הביקורת והתחקיר, ואת הראיות שהבקרות האלה פועלות.
ארכיטקט פתרונות של קונסיסט יעבור איתכם על התרחישים שלכם, בעברית.
התוכן בעמוד נועד למטרות מידע ושיווק בלבד. היכולות והזמינות לפי האתר והתיעוד של Syteca, אוקטובר 2026.