"אירוע אבטחה חמור": מידע רגיש על 21 אלף תלמידי חינוך מיוחד דלף ממשרד החינוך
תומצת מתוך Calcalist על ידי baba
הרשות להגנת הפרטיות קבעה כי משרד החינוך הפר את חוק הגנת הפרטיות ואיפשר דליפת מידע אישי ורפואי רגיש על כ-21,000 תלמידי חינוך מיוחד חרדים. הדליפה, שהתגלתה במרץ 2025, נבעה מטופס דיגיטלי שנועד לייעל שיבוצים, אך הקישור אליו הופץ ללא הצפנה. משרד החינוך פעל לחסימת הגישה והסרת המידע, ערך תחקיר וחיזק את נהלי האבטחה.
הידיעה ב-6 שורות · תקציר של baba
- הרשות להגנת הפרטיות קבעה כי משרד החינוך הפר את חוק הגנת הפרטיות.
- מידע אישי ורפואי רגיש על כ-21,000 תלמידי חינוך מיוחד חרדים דלף.
- הדליפה התגלתה במרץ 2025, אך מקורה באירוע ממאי 2024.
- המידע הופץ לגורמים בלתי מורשים דרך קישור פתוח ללא הצפנה.
- משרד החינוך טען לתקלה נקודתית בהגדרת הרשאות שאפשרה את הדליפה.
- המשרד פעל לחסימת הגישה, ערך תחקיר וחיזק את נהלי האבטחה.
הרשות להגנת הפרטיות במשרד המשפטים קבעה כי משרד החינוך הפר את חוק הגנת הפרטיות ותקנות אבטחת מידע, בכך שאפשר דליפה של מידע אישי ורגיש על כ-21,000 תלמידי חינוך מיוחד במגזר החרדי. המידע שדלף כלל פרטים מזהים, פרטי מגורים ולימודים, השתייכות דתית ומידע רפואי מפורט על מוגבלויות התלמידים. הרשות הגדירה את הדליפה והפצת המידע לגורמים לא מורשים כ"אירוע אבטחה חמור".
הדליפה התגלתה במרץ 2025, אך מקורה באירוע שאירע בסמוך למאי 2024. אז, עובדות במשרד החינוך ביקשו לייעל את הליכי השיבוץ של תלמידי החינוך המיוחד החרדי ויצרו טופס דיגיטלי. לשם כך, הוצא מידע ממערכת משרדית ויצר קובץ שכלל את הנתונים הרגישים, שאליו קושר הטופס למילוי על ידי מוסדות חינוך. משרד החינוך טען שהקובץ נועד לאיסוף מידע והיה פתוח לצפייה והורדה לכל מי שהיה ברשותו קישור.
הקישור לטופס נשלח במאי 2024 לבעלי תפקידים במוסדות חינוך חרדי, גם לכתובות מייל פרטיות. משרד החינוך טען כי התקלה נבעה מתקלה נקודתית בהגדרת הרשאות, שאפשרה לגורם חיצוני לאתר את הקובץ באמצעות מנגנוני חיפוש לאחר לחיצה על הקישור.
הפיקוח העלה ליקויים נוספים: המידע הופק על ידי עובדת שלא הייתה מורשית, הועבר בקישור פתוח ללא הצפנה, לא היה למשרד נוהל אבטחת מידע תקין, ולא בוצע סקר סיכוני אבטחה למערכת. הרשות להגנת הפרטיות הדגישה את חובתם של גופים ציבוריים לשמור על מידע אישי רגיש, במיוחד של קטינים.
ממשרד החינוך נמסר כי עם היוודע האירוע נחסם הגישה למידע והוסר. נערך תחקיר, הופקו לקחים, חודדו נהלים וחזקו מנגנוני בקרה ואבטחה.
אותו אירוע, כפי שכל מערכת דיווחה עליו בנפרד. פתחו כמה דיווחים כדי להשוות מה כל מערכת מדגישה, ומה היא משאירה בחוץ.
שמאל 1מרכז 3ימין 1אחרים 5
