מה דורשת ההוראה החדשה, אילו טכנולוגיות עוזרות לעמוד בה — ואיך לבחור פתרון שיחזיק גם מחר
ביום 18 בנובמבר 2024 פרסם הפיקוח על הבנקים את הוראת ניהול בנקאי תקין מספר 364 — "ניהול סיכוני טכנולוגיית המידע, אבטחת המידע והגנת הסייבר". ההוראה נכנסת לתוקף ב-18 במאי 2026 ומחליפה שלוש הוראות קיימות: נב"ת 357 (ניהול טכנולוגיית מידע), נב"ת 361 (הגנת סייבר) ונב"ת 363 (סיכוני סייבר בשרשרת אספקה).
במקום שלוש מסגרות נפרדות, נב"ת 364 יוצר מסגרת אחידה, כוללת וגמישה. הגישה של הפיקוח היא טכנולוגית-ניטרלית במכוון: ההוראה לא מכתיבה פתרונות ספציפיים, אלא מגדירה את רמת ההגנה הנדרשת — ומשאירה לכל בנק את ההחלטה כיצד להגיע אליה.
הדירקטוריון אחראי אקטיבית. לא מספיק לאשר מדיניות — צריך לפקח ולמדוד אפקטיביות.
מיפוי נכסים, ניטור שוטף, עדכון מערכות, גיבויים ויכולת שחזור מוגדרת.
הצפנה, ניהול הרשאות, ניטור רציף ומאויש, בחינת פגיעויות ואיומים.
נהלים ברורים לזיהוי, תגובה ודיווח. תרגולים שוטפים. מערך דיווח פנימי מוגדר.
תוכנית המשכיות עסקית, יכולת שחזור מהירה, תרגול תקופתי של תרחישי כשל.
ספקים עם גישה לנכסי מידע כפופים לדרישות. הבנק אחראי על ספקיו.
עמידה בנב"ת 364 אינה פתרון יחיד — היא ארכיטקטורה של שכבות. כל שכבה מגינה על וקטור אחר של סיכון. הנה המפה:
מגן על מידע שנמצא בענן ועל שיתופו. מונע העברת קבצים רגישים לשירותים חיצוניים, Gmail אישי, Dropbox וכדומה. יעיל מאוד לאיומי Insider שמנסים להוציא מידע דיגיטלית.
מגן על נתונים בעמדת הקצה — חוסם העתקה ל-USB, הדפסה לא מורשית, שמירה למיקומים לא מאושרים. עובד גם כשהעמדה לא מחוברת לרשת.
מבטיח שרק מי שצריך מגיע למה שצריך. הצפנת דיסק, הצפנת תקשורת, זיהוי רב-שלבי. בסיס שעליו כל שאר ההגנות נשענות.
אוסף לוגים מכל המערכות, מזהה אנומליות בזמן אמת ומתריע על אירועים חריגים. נב"ת 364 מחייב ניטור מאויש — לא רק אוטומטי.
כל השכבות הקודמות מגינות על המידע הדיגיטלי. אבל מה קורה כשעובד מצלם את המסך עם הטלפון? כשאדם לא מורשה צופה מעבר לכתפו? כשעמדה נשארת פתוחה ללא מפעיל?
טכנולוגיות הגנה ויזואלית — כמו ScreenStop — משתמשות בראיית מחשב מבוססת AI כדי לזהות בזמן אמת את האיומים הפיזיים על המסך: זיהוי טלפון מול מסך, זיהוי מבט לא מורשה, נעילה אוטומטית של עמדה עזובה ואימות רציף של הנוכחות הנכונה מול המסך.
טעות נפוצה: בוחרים פתרון שעונה על דרישות הרגולציה הנוכחית — ומגלים שנתיים מאוחר יותר שהוא לא מכסה את האיומים החדשים.
נב"ת 364 נכתב ב-2024. מה יהיה נב"ת 365 ב-2027? לפי כיוון האיומים שאנחנו רואים כבר היום, הסביר ביותר:
שאלו כל ספק שאתם שוקלים:
"איך הפתרון שלכם מתמודד עם איום שלא היה קיים כשכתבתם את חוקי הזיהוי שלכם?"
פתרון מבוסס חוקים סטטיים לא יצליח להתעדכן. פתרון שבנוי על AI ולמידת מכונה — יתאים עצמו. זה ההבדל בין פתרון שישרת אתכם לשנה לבין פתרון שישרת אתכם לחמש שנים.
כשמבקר מטעם בנק ישראל מגיע לביקורת, הדבר הראשון שהוא מבקש אינו מסמך מדיניות. זה לא תרשים ארכיטקטורה. זה לא רשימת ספקים.
הדבר הראשון: "תראה לי את הלוגים."
לכל אירוע אבטחה — קטן כגדול — חייב להיות תיעוד מלא:
נב"ת 364 נכנס לתוקף ב-18 במאי 2026. עד למועד זה יבוטלו הוראות נב"ת 357, 361 ו-363.
על כלל התאגידים הבנקאיים בישראל. בנוסף, חלק מדרישותיו חלות על ספקי צד שלישי שיש להם גישה לנכסי מידע של הבנק.
נב"ת 361 עסק בהגנת סייבר בלבד. נב"ת 364 הוא מסגרת כוללת ומאוחדת שמשלבת ניהול IT, אבטחת מידע, הגנת סייבר, ניהול אירועים, המשכיות עסקית וסיכוני שרשרת אספקה — הכל תחת קורת גג אחת.
כן, חלקית. ספקים שיש להם גישה לנכסי מידע של תאגיד בנקאי כפופים לחלק מדרישות ההוראה. הבנקים מחויבים לוודא שספקיהם עומדים בסטנדרטים הנדרשים.
הדבר הראשון שמבקשים מבקרי בנק ישראל הוא לוגים. לכל אירוע אבטחה חייבת להיות תיעוד: מה זוהה, מתי, מה הפעולה שננקטה ומי היה אחראי. ארגונים ללא לוגים מלאים — לא עומדים בדרישות, גם אם ההגנה עצמה פועלת.
ומייצרת לוגים מוכנים לביקורת על כל אירוע — בדיוק מה שהרגולטור מחפש.
בקשו דמו