איך בוחרים ספק אבטחה מנוהל מתאים לעסק: שיטה, קריטריונים ודוגמה לשקלול

אין ספק אבטחה מנוהל ש״הכי טוב״ לכל עסק. יש ספק שמתאים לסיכון, למידע, לגודל ולתקציב של עסק מסוים. כדי למצוא אותו עובדים בשש פעולות: ממפים מה יש לכם ומה חל עליכם, מגדירים דרישות חובה, מבקשים הצעות על אותה רשימת נכסים, משקללים קריטריונים שקבעתם מראש, בודקים SLA וחוזה, ומאמתים בהדגמה ובמסמכים. המחיר הוא אחד הקריטריונים, לא הקריטריון. ההבדל בין הצעות מתגלה בדרך כלל במה שקורה בלילה, בסוף שבוע ובעזיבה, ולא במחיר לעמדה.

בקטגוריה הזו תמצאו את הכלים לכל שלב: דוגמאות לעלות, צוות פנימי מול שירות מנוהל, בסיס אבטחה, שאלות SLA וחוזה, CISO במיקור חוץ, מבדקי חדירה והעלאת מחיר בחידוש.

שלב 1: מיפוי

לפני שמדברים עם ספקים, כתבו בעמוד אחד:

• נכסים: כמה עמדות, שרתים (במשרד ובענן), חשבונות דואר, אתרים, סניפים וגישות מרחוק.
• מידע: אילו מאגרי מידע אישי יש לכם, ובאיזו רמת אבטחה כל אחד, לפי המדריך לרמות.
• דרישות חיצוניות: שאלוני אבטחה מלקוחות, דרישות של המבטח, הוראות רגולטור אם אתם מפוקחים.
• יכולת פנימית: מי מטפל היום במחשוב? האם יש מישהו זמין בלילה?
• נזק של השבתה: כמה עולה לכם יום בלי מערכות? זה לא חייב להיות מדויק. סדר גודל מספיק.

שלב 2: דרישות חובה

אלה דרישות שבלעדיהן ההצעה נפסלת, בלי קשר למחיר. דוגמאות:

1. ניטור ותגובה בשעות שקבעתם, למשל 24/7 כולל שישי-שבת.
2. כיסוי של דואר וזהויות בענן, ולא רק של עמדות.
3. שמירת יומנים לתקופה שהתקנות דורשות במאגר שלכם.
4. הסכם שכולל את מה שתקנה 15 דורשת, כולל ספקי משנה.
5. מענה בעברית ואיש קשר קבוע.
6. יציאה מסודרת: הסרת סוכנים, החזרת נתונים ותקופת חפיפה.

שלב 3: בקשת הצעות על בסיס אחיד

שלחו לכל ספק את אותה רשימת נכסים, את דרישות החובה ואת צ׳קליסט בדיקת הספק. בקשו שהמחיר יפורק לרכיבים: יחידת מדידה, מחיר ליחידה, דמי הקמה ומה לא כלול. אם ספק לא מוכן לפרק, זה מידע בפני עצמו.

שלב 4: שקלול

קבעו משקלות לפני שאתם רואים את ההצעות, כדי שהמחיר לא ״יגרור״ את ההחלטה. דוגמה להמחשה עם שתי הצעות היפותטיות, א׳ וב׳:

ציון משוקלל:

• א׳: 4×0.25 + 3×0.25 + 5×0.20 + 3×0.15 + 4×0.15 = 1.00 + 0.75 + 1.00 + 0.45 + 0.60 = 3.80
• ב׳: 5×0.25 + 5×0.25 + 3×0.20 + 4×0.15 + 4×0.15 = 1.25 + 1.25 + 0.60 + 0.60 + 0.60 = 4.30

בדוגמה הזו ההצעה היקרה יותר מתאימה יותר, כי העסק נתן משקל גבוה לתגובה בפועל. עסק אחר, עם ספק IT חזק שזמין בלילה, היה יכול לתת לתגובה משקל נמוך יותר ולהגיע למסקנה הפוכה. זה בדיוק העניין: השקלול משקף את הצרכים שלכם, לא דירוג כללי. ההצעות היפותטיות ואינן מייצגות ספקים אמיתיים.

שלב 5: SLA וחוזה

השאלות המרכזיות מפורטות במדריך ל-SLA ולחוזה. בקצרה: זמני תגובה לפי חומרה, הגדרה של ״אירוע״, פעולות שמותר לבצע בלי אישור, מה כלול ב-IR, הגבלת אחריות, תקרת העלאת מחיר בחידוש, ויציאה.

שלב 6: אימות

• הדגמה על התראה אמיתית מושחרת: איך היא נראית, מה נעשה, ותוך כמה זמן.
• דוח חודשי לדוגמה.
• תעודות: אם הספק מציין תקן, למשל ISO/IEC 27001 או דוח SOC 2, בקשו לראות את התעודה ואת היקף ההסמכה.
• תקופת הקמה מוגדרת, עם נקודת בדיקה בסופה.

דוגמאות לפי סוג עסק

• משרד עורכי דין, 12 עובדים, מידע חסוי: דגש על דואר וזהויות, הצפנת ניידים, גיבוי מנותק, ותיעוד גישה אם המאגר ברמה בינונית. MDR שמכסה Microsoft 365 או Google Workspace, ועוד vCISO לכמה שעות בחודש בשביל המסמכים.
• מפעל, 90 עובדים, רשת ייצור: הפרדת רשתות, חומת אש מנוהלת, ניטור של שרתים ועמדות, ותוכנית התאוששות. SOC שמקבל גם יומני רשת.
• חנות אונליין, 15 עובדים, כרטיסי לקוח אצל סולק: אבטחת האתר וחשבונות הניהול, מבדק חדירה לאתר לפני עונה עמוסה, הגנה על הדואר מפני הונאות תשלום.

טעויות נפוצות בתהליך הבחירה

• מתחילים מהמוצר ולא מהסיכון. ספק מציג כלי מרשים, והעסק קונה אותו בלי לדעת אם הוא סוגר את הפער העיקרי שלו.
• משווים מחיר לעמדה בלבד. כפי שראינו, שתי הצעות באותו מחיר יכולות להיות שירותים שונים לגמרי.
• לא שואלים על יציאה. כשנכנסים, קל לשכוח שאולי תרצו לעזוב. השאלה ״מה קורה בסוף״ חושפת תלות ברישוי, בנתונים ובסיסמאות.
• מדלגים על תקנה 15. נותנים לספק גישה מלאה למאגר בלי הסכם שמפרט את מה שהתקנה דורשת. מאז תיקון 13 זו הפרה שיש לה עיצום מוגדר.
• לא מגדירים מי אצלנו מגיב. גם השירות הטוב ביותר צריך מישהו אצלכם שמאשר פעולות ומתקן ממצאים.
• חותמים לשלוש שנים בלי תקופת ניסיון. בקשו נקודת יציאה אחרי ההקמה, או לפחות סעיף שמאפשר לצאת אם ה-SLA לא נעמד בו.

שאלות נפוצות

כמה הצעות כדאי לבקש?

שלוש הצעות על בסיס אחיד מספיקות בדרך כלל כדי לראות טווח. יותר מזה מגדיל את העבודה ולא תמיד משפר את ההחלטה.

האם ספק ה-IT הקיים יכול לתת גם אבטחה?

כן, ולפעמים זה נוח. אבל שימו לב לניגוד עניינים: מי שמנהל את המערכות לא תמיד יבקר את עצמו. התקנות מחייבות שהביקורת התקופתית ברמה בינונית וגבוהה תיעשה על ידי מי שאינו ממונה האבטחה של המאגר.

מה עושים אם כל ההצעות מעל התקציב?

סגרו קודם את הבסיס, ואז התחילו מהשירות שמכסה את הסיכון הגבוה ביותר, בדרך כלל ניטור ותגובה וגיבוי. אפשר להרחיב בשנה הבאה.

מקורות

• ויקיטקסט: תקנות הגנת הפרטיות (אבטחת מידע) — תקנות 15 ו-16
• מערך הסייבר הלאומי (gov.il) — המלצות לבחירת ספקים ולשרשרת אספקה
• הרשות להגנת הפרטיות (gov.il) — הנחיות מיקור חוץ