לנותני שירותים פיננסייםאשראי · P2P · נכסים פיננסיים · מידע פיננסי
חוזר 2022-10-9 מחייב נותני שירותים פיננסיים בנתיב ביקורת מוגן, בניטור בזמן אמת, בהרשאות לפי צורך ובבקרה הדוקה על גישה מרחוק של ספקים. Syteca מספקת יכולות טכנולוגיות שתומכות בבקרות האלה, ומשאירה ראיה לכל אחת מהן, כך שביום הבדיקה התשובה כבר מוכנה.
1,500+ ארגונים בעולםעל מי חל החוזר
החוזר פורסם ב-29.5.2022 ונכנס לתוקף ב-29.5.2023. תיקון 2024-10-3 הוסיף את יוזמי התשלומים, החל מ-1.3.2024, ושאר הנוסח לא השתנה.
על נותני שירותי מידע פיננסי הוא חל כבר מיום הפרסום.
פרסוםשנה אחרי הפרסום. החוזר חל לפי סוג הרישיון, בלי סף גודל.
בתוקףמוסיף את יוזמי התשלומים. שאר החוזר לא השתנה.
תיקוןמועד התחולה של החוזר על יוזמי התשלומים.
בתוקףבעלי רישיון למתן שירות פיקדון ואשראי.
מפעילי מערכות לתיווך באשראי, ובהן פלטפורמות P2P.
כשהנכס נשמר ומנוהל בחשבון ייעודי ללקוח, עם אפשרות להעבירו לחשבון אחר.
נותני שירותי מידע פיננסי. עליהם החוזר חל מיום הפרסום.
נוספו בתיקון 2024-10-3, בתוקף מ-1.3.2024.
כל בעל רישיון אחר ששומר באופן מקוון גם מידע וגם נכסים של לקוחות, למשל שירות במטבע וירטואלי או שמירת פיקדונות באופן מקוון, או שהוא מקור מידע או משתמש בנתוני אשראי.
מיפוי הסעיפים
המיפוי נבנה מול נוסח החוזר ותיקונו כפי שפורסמו באתר רשות שוק ההון. איפה ש-Syteca לא עונה ישירות, כתבנו את זה.
| הדרישה | סעיף בחוזר | איך Syteca עונה | הראיה שנשארת אצלכם |
|---|---|---|---|
| הערכת סיכונים ותוכנית להפחתתם | סעיף 3(א)-(ב) | Syteca לא מחליפה את הערכת הסיכונים, אבל מזינה אותה בנתונים: מי ניגש לאילו מערכות, מתי ובאיזו הרשאה, כולל ספקים. | נתוני גישה אמיתיים להערכת הסיכונים |
| ניטור בזמן אמת | סעיף 4(א)(2)(א) | ניטור והקלטה של כל סשן, עם צפייה חיה בזמן אמת. | הקלטה ומטא-דאטה לכל סשן |
| נתיב ביקורת לפעולות ולשאילתות במערכות רגישות, כולל ניסיונות כושלים | סעיף 4(א)(2)(ב)-(ד) | תיעוד כל סשן: אפליקציות, אתרים, פקודות והקשות, עם זהות המשתמש, המקור והמועד. שינויי ערכים בתוך מערכות הליבה נרשמים ביומני המערכות עצמן, ו-Syteca מוסיפה את מה שנעשה בסשן כולו. | רשומה לכל פעולה: מי, מתי, מאיפה ומה |
| הגנה על נתיב הביקורת, ושמירה 12 חודשים לפחות | סעיף 4(א)(2)(ה)-(ו) | סוכן שמוגן מפני התערבות של המשתמש (ב-Windows), ייצוא בפורמט חסין לשינוי, ושמירה בארכיון לתקופה שתגדירו. | ארכיון שמחזיק 12 חודשים ויותר |
| זיהוי והתרעה על פעולות חריגות או אסורות | סעיף 4(א)(2)(ז)-(ח) | חוקי התראה, זיהוי דפוסי פעילות חריגים, ותגובה אוטומטית ב-Windows: אזהרה, חסימת משתמש, עצירת תהליך או סיום סשן. | התראות מתועדות, עם הקשר הסשן ומה נעשה בעקבותיהן |
| תחקור אירועים והפקת לקחים | סעיף 4(א)(2)(י) · סעיף 4(א)(3)(ב) | חיפוש בהקלטות לפי משתמש, אפליקציה, פקודה או זמן, קפיצה לרגע המדויק וייצוא קטע מהסשן. | ציר זמן מוקלט לתחקיר ולוועדת ההיגוי |
| הרשאות מינימליות לפי הצורך לדעת והצורך לבצע, ובדיקה פעם בשנה לפחות | סעיף 4(ד)(3)(א), (ד) | גישה באישור ומוגבלת בזמן, הרשאות לפי משתמשים וקבוצות, ודוחות שתומכים בבדיקה התקופתית, גם של ספקים. | דוח הרשאות לכל משתמש וספק |
| חשבונות לא אישיים וחשבונות שירות | סעיף 4(ד)(1)(א)(3) | אימות משני שמשייך כל פעולה בחשבון משותף לאדם מסוים, וכספת לסיסמאות. | כל פעולה בחשבון משותף, עם שם של אדם |
| גישה מרחוק ברשת ציבורית | סעיף 4(ג)(1)(ג) | אימות דו-שלבי, גישה מהדפדפן ל-RDP ול-SSH בלי VPN, והקלטה של הסשן בסוכן שבשרת היעד או בשרת הקפיצה. | יומן גישה מרחוק עם זהות מאומתת |
| תחזוקה מרחוק של ספקים | סעיף 4(ה)(2)(א)-(ו) | אישור לכל התחברות, משתמש ייעודי לכל ספק, זמן מוגבל, אימות דו-שלבי והקלטה של כל פעילות. | ארכיון סשנים לכל ספק |
| דיווח לדירקטוריון ולמפקח על אירוע מהותי | סעיף 4(א)(3)(ח) | Syteca לא מדווחת במקומכם. היא מספקת את ציר הזמן ואת הראיות שהדיווח נשען עליהם. | ציר זמן מוקלט של האירוע |
המיפוי מוצג להמחשה כללית של יכולות המוצר מול סעיפי החוזר, ואינו ייעוץ משפטי או רגולטורי. החוזר כולל גם דרישות ממשל, מדיניות, הדרכה והמשכיות עסקית שאינן בתחום המוצר.
יכולות הפלטפורמה
היכולות שמאחורי מיפוי הסעיפים: גישה מבוקרת לספקים ולמנהלי מערכת, נתיב ביקורת מוקלט, זיהוי והתראה בזמן אמת, ודוחות.
עוד על ניהול גישה פריבילגית (PAM)ניהול זהויות ואימות רב-שלבי
סעיף 4(ה)(2) · תחזוקה מרחוק של ספקים
מה החוזר דורש
לכל גישה מרחוק של ספק לצורך תחזוקה, החוזר דורש אישור פוזיטיבי לכל התחברות, משתמש ייעודי, הגבלת זמן, הזדהות חזקה, הצפנה מקצה לקצה, ניטור של כל פעילות שבוצעה בגישה מרחוק, וצמצום החשיפה של הספק למידע על לקוחות.
ההצפנה מקצה לקצה נקבעת בתשתית החיבור, וצמצום החשיפה למידע נקבע בהגדרת ההרשאות. בגופים מוסדיים, הדרישה המקבילה מופיעה בסעיף 5(ה)(2) לחוזר 2016-9-14, ומדברת על ניטור של כל פעילות מהותית.
מה Syteca נותנת, לכל חיבור
תוכנית הטמעה
צוות היישום של קונסיסט מלווה את ההטמעה מקצה לקצה, בעברית. לפי Syteca, זמן הפריסה הממוצע הוא כשבועיים מהתקנה ועד ייצור.
הכרה
נכללה ב-Leadership Compass
נכללה ב-Market Guide 2025
מוזכרת בפרסום
תוכנה מאושרת
שותפה רשמית ל-Azureשאלות נפוצות
לא מצאתם תשובה? ארכיטקט פתרונות של קונסיסט יענה, בעברית.
החוזר חל לפי סוג הרישיון, בלי סף גודל: בעלי רישיון למתן שירות פיקדון ואשראי, מפעילי מערכות לתיווך באשראי (P2P), בעלי רישיון לשירות בנכס פיננסי שמחזיקים את הנכס בחשבון ייעודי ללקוח, נותני שירותי מידע פיננסי, וכל בעל רישיון שמחזיק באופן מקוון גם מידע וגם נכסים של לקוחות, או שהוא מקור מידע או משתמש בנתוני אשראי. תיקון 2024-10-3 הוסיף את יוזמי התשלומים.
החוזר פורסם ב-29.5.2022 ונכנס לתוקף שנה אחר כך, ב-29.5.2023. על נותני שירותי מידע פיננסי הוא חל מיום הפרסום. התיקון שהוסיף את יוזמי התשלומים נכנס לתוקף ב-1.3.2024.
החוזר לא משתמש במונח «משתמש פריבילגי». הוא דורש הרשאות מינימליות לפי צורך, בקרה מיוחדת על חשבונות לא אישיים, נתיב ביקורת מוגן, ניטור והתרעה, ובקרה הדוקה על גישה מרחוק של ספקים. ניהול גישה פריבילגית הוא דרך יעילה ליישם את הדרישות האלה, אבל ההחלטה איך ליישם אותן נשארת שלכם.
לפי סעיף 4(א)(2)(ו), לא פחות מ-12 חודשים, ולפי סעיף 4(א)(2)(ה) הוא צריך להיות מוגן מפני מחיקה או שינוי בלתי מורשה. אם המאגר ברמת אבטחה בינונית או גבוהה לפי תקנות הגנת הפרטיות (אבטחת מידע), תקנה 10 דורשת לשמור את נתוני התיעוד 24 חודשים לפחות.
סעיף 4(ה)(2) מונה שבעה תנאים לתחזוקה מרחוק בידי ספק: אישור פוזיטיבי לכל התחברות, משתמש ייעודי לכל ספק, הגבלת זמן, הזדהות חזקה (לפחות שני אמצעי זיהוי), הצפנה מקצה לקצה, ניטור של כל פעילות שבוצעה בגישה מרחוק, וצמצום החשיפה של הספק למידע על לקוחות. Syteca מספקת ישירות את האישור, המשתמש הייעודי, הגבלת הזמן, האימות הדו-שלבי וההקלטה של הסשן. ההצפנה נקבעת בתשתית החיבור, ואת החשיפה למידע מצמצמים בהגדרת ההרשאות, כש-Syteca מגבילה כל ספק לשרתים שאושרו לו.
לא, ואף מוצר לא יכול להבטיח את זה. החוזר כולל גם דרישות ממשל, מדיניות, הדרכה והמשכיות עסקית. Syteca מספקת את הבקרות הטכנולוגיות בתחום הגישה, הניטור והתיעוד, ואת הראיות להן.
התיעוד מתחיל מרגע שהסוכן פועל. לפי Syteca, זמן הפריסה הממוצע הוא כשבועיים מהתקנה ועד ייצור, וקונסיסט מלווה את ההטמעה בעברית.
בפגישה של 30 דקות נעבור על הסעיפים שחלים על הרישיון שלכם, נמפה את הבקרות הקיימות, ונראה איך Syteca סוגרת את הפערים בגישה, בניטור ובתיעוד.
התוכן בעמוד נועד למטרות מידע ושיווק בלבד ואינו ייעוץ משפטי או רגולטורי. ההפניות לסעיפי חוזר 2022-10-9 ותיקונו 2024-10-3 הן להמחשה כללית, לפי הנוסח שפורסם באתר רשות שוק ההון, נכון לאוקטובר 2026; היישום בגוף מסוים מחייב בחינה מול הנוסח המחייב. סיפורי הלקוחות כפי שמפרסמת Syteca.
