MSSP, MDR ו-SOC כשירות: מה ההבדל, מה כלול בכל שירות ואיך הוא מתומחר
הסבר פשוט למונחי שירותי האבטחה המנוהלים: MSSP, MDR, SOC כשירות, XDR ו-IR. מה כל שירות עושה, מה הוא לא עושה, איך מתמחרים אותו ומה לשאול.
MSSP (Managed Security Service Provider) הוא שם כללי לספק שמנהל עבורכם רכיבי אבטחה, כמו חומת אש, EDR, דואר וגיבוי. MDR (Managed Detection and Response) הוא שירות מוגדר יותר: צוות שמנטר את העמדות ולעיתים גם את הענן והדואר, מזהה תקיפה ומבצע פעולות תגובה מוסכמות, בדרך כלל 24/7. SOC כשירות הוא מרכז ניטור שאוסף יומנים ממקורות רבים, מצליב אותם ומתריע. ההבדל המעשי בין השלושה הוא לא בשם. ההבדל הוא בשלוש שאלות: מה מנוטר, מתי מנוטר, ומה מותר לספק לעשות כשהוא רואה משהו. המונחים לא אחידים בשוק, ולכן המדריך הזה מסביר מה בודקים בכל אחד.
המדריך הוא חלק מהמדריך המרכזי לעלות הגנת סייבר. להשוואה בטבלה ראו השוואת סוגי השירותים.
מילון קצר
| מונח | מה זה בפועל | מה זה בדרך כלל לא |
|---|---|---|
| EDR | תוכנה על כל עמדה ושרת שמזהה התנהגות חשודה ומאפשרת לבודד עמדה | שירות. בלי מישהו שמסתכל על ההתראות, זה רק כלי |
| XDR | הרחבה של EDR למקורות נוספים: דואר, זהויות, ענן, רשת | בהכרח שירות מנוהל. לרוב זה שם של מוצר |
| MDR | צוות שמפעיל את ה-EDR או ה-XDR, חוקר התראות ומגיב | ניהול של חומת האש, גיבוי או ייעוץ רגולטורי |
| SOC כשירות | מרכז ניטור שמקבל יומנים (חומת אש, שרתים, ענן) לתוך SIEM ומתריע | תמיד גם תגובה. יש SOC שרק מדווח |
| MSSP | ספק שמנהל רכיבי אבטחה בשבילכם, לפעמים כולל כל מה שלמעלה | הגדרה מחייבת. השם לא אומר מה כלול |
| IR (תגובה לאירוע) | צוות שנכנס כשיש אירוע: בלימה, חקירה, ניקוי, שחזור | חלק מהמנוי. לעיתים זה ריטיינר או תשלום לשעה |
| vCISO | מנהל אבטחת מידע במיקור חוץ, לחלק משרה | ניטור טכני שוטף |
MDR: מה לשאול
- מה מנוטר? רק עמדות ושרתים, או גם חשבונות Microsoft 365 או Google Workspace, ענן ודואר? הרבה תקיפות בעסקים קטנים מתחילות בהשתלטות על חשבון דואר, לא בעמדה.
- מי מסתכל ומתי? ״24/7״ יכול להיות אנליסט אנושי בכל שעה, או זיהוי אוטומטי בלילה ואנליסט רק בבוקר. בקשו ניסוח מפורש.
- מה מותר לספק לעשות בלי לשאול? לבודד עמדה? לנעול משתמש? לאפס סיסמה? כדאי להגדיר מראש. בשתיים בלילה אין זמן למצוא מנהל שיאשר.
- מה קורה אחרי הבלימה? בירור מלא, ניקוי ושחזור הם לעיתים IR בתשלום נפרד.
- איזה כלי? יש ספקי MDR שעובדים עם EDR מסוים, ויש שעובדים עם הכלי שכבר יש לכם. אם הרישוי של הכלי שייך לספק, בדקו מה קורה כשעוזבים.
SOC כשירות: מה לשאול
SOC מתאים כשיש לכם כמה מקורות מידע חשובים, כמו חומת אש, שרתי קבצים, מערכת ERP ואתר מסחר, ואתם רוצים מישהו שיצליב ביניהם. שאלו:
- אילו מקורות מחוברים כבר בהקמה, ומה המחיר לכל מקור נוסף?
- איך נמדד הנפח? לפי GB ליום, לפי אירועים לשנייה, או לפי מכשירים? מה קורה כשהנפח עולה, למשל אחרי חיבור הענן?
- כמה זמן נשמרים היומנים? אם המאגר שלכם ברמת אבטחה בינונית או גבוהה, תקנה 10 מחייבת לשמור נתוני תיעוד גישה 24 חודשים לפחות. אם ה-SOC שומר פחות, צריך פתרון נוסף.
- מה עושים עם התראה? רק טלפון ומייל, או גם פעולה?
- איפה הנתונים? אם היומנים נשמרים בחו״ל, ייתכן שחלות עליהם תקנות העברת מידע אל מחוץ לגבולות המדינה.
MSSP: השם הכללי
ספק MSSP יכול לנהל עבורכם הכול: חומת אש ו-EDR, גיבוי, דואר, ניטור ולעיתים גם CISO. היתרון הוא איש קשר אחד. החיסרון הוא שקשה לראות מה בדיוק כלול, וקשה להחליף רכיב אחד בלי להחליף את כולם. בהצעה של MSSP בקשו פירוק לרכיבים: כל שירות, יחידת המדידה שלו והמחיר שלו.
איך מתמחרים, דוגמה להמחשה
| שירות | יחידת תמחור נפוצה | דוגמה להמחשה |
|---|---|---|
| EDR מנוהל בשעות העבודה | עמדה לחודש | 30 עמדות × 40 ₪ = 1,200 ₪ |
| MDR 24/7 | עמדה או משתמש לחודש | 30 × 100 ₪ = 3,000 ₪ |
| SOC כשירות | דמי בסיס + מקורות או נפח | 3,500 ₪ בסיס + 4 מקורות × 400 ₪ = 5,100 ₪ |
| IR בריטיינר | שעות שנתיות מראש | 20 שעות × 600 ₪ = 12,000 ₪ לשנה |
אף אחד מהמספרים אינו מחיר שוק. הם רק מראים שהשירותים נמדדים ביחידות שונות. לכן מחיר ״לעמדה״ של ספק אחד לא תמיד ניתן להשוואה למחיר ״חודשי״ של ספק אחר. כדי להשוות, חשבו כמה כל הצעה עולה לכם בשנה, על אותה רשימת נכסים, עם מחשבון העלות.
מה מתאים למי
- עסק קטן מאוד (עד כ-15 עמדות) עם ספק IT: EDR טוב, מנוהל לפחות בשעות העבודה, ועוד גיבוי מנותק ו-MFA. ״כתובת״ ל-IR מוסכמת מראש.
- עסק של עשרות עמדות בלי איש אבטחה: MDR 24/7 שמכסה גם דואר וזהויות. ליווי vCISO חלקי למסמכים ולתקנות.
- עסק בינוני עם כמה מערכות קריטיות או דרישות מלקוחות גדולים: MDR ו-SOC, או MSSP שמשלב ביניהם. יומנים שנשמרים לפי התקנות.
אלה כיוונים כלליים ולא המלצה. ההחלטה תלויה בסיכון, במידע ובמה שהעסק יכול לספוג. ראו את שיטת הבחירה.
הקשר לחוק
שירות מנוהל לא מעביר את האחריות. לפי סעיף 17 לחוק הגנת הפרטיות, בעל השליטה במאגר והמחזיק בו כל אחד מהם אחראי לאבטחת המידע. ספק MDR שניגש לעמדות שבהן יש מידע אישי הוא ״גורם חיצוני״ במובן תקנה 15 לתקנות אבטחת מידע. לכן נדרשים בחינת סיכונים לפני ההתקשרות, הסכם עם תוכן מוגדר ובקרה. ראו המדריך לרמות האבטחה והמדריך לסיכוני ספקים.
שאלות נפוצות
אם יש לי MDR, אני צריך גם אנטי-וירוס?
בדרך כלל ה-EDR שעליו נשען שירות ה-MDR מחליף את האנטי-וירוס הישן. שני כלים על אותה עמדה עלולים להתנגש. שאלו את הספק מה להסיר.
האם SOC כשירות מחליף צוות IT?
לא. SOC מנטר ומתריע. מישהו עדיין צריך לעדכן מערכות, לנהל הרשאות ולתקן את מה שהתגלה.
האם ספק ישראלי עדיף על ספק זר?
אין תשובה אחת. ספק בישראל נותן לרוב מענה בעברית ובשעות המקומיות, ופחות שאלות על העברת מידע לחו״ל. ספק זר עשוי להציע כלים ומעקב רחבים יותר. בדקו גם את השלכות המחירון בדולר.
כמה זמן לוקחת הקמה?
זה תלוי במספר העמדות ובמצב הקיים. פריסת סוכנים יכולה להיות עניין של ימים, אבל כוונון ההתראות ותיאום כללי התגובה לוקחים בדרך כלל כמה שבועות. בקשו תוכנית הקמה כתובה.
מקורות
- ויקיטקסט: חוק הגנת הפרטיות ותקנות אבטחת מידע — סעיף 17, תקנות 10 ו-15
- מערך הסייבר הלאומי (gov.il) — הנחיות והמלצות לארגונים
- הרשות להגנת הפרטיות (gov.il) — הנחיות בנושא מיקור חוץ ואבטחת מידע
