מבדק חדירה לעסק: סוגים, הגדרת היקף, הרשאה בכתב לפי חוק המחשבים ותמחור להמחשה

מבדק חדירה הוא ניסיון מבוקר ומורשה לפרוץ למערכות שלכם, כמו אתר, רשת, אפליקציה או ענן. מטרתו למצוא חולשות לפני שתוקף ימצא אותן. התוצר הוא דוח ממצאים עם חומרה והמלצות לתיקון. במאגר מידע ברמת אבטחה גבוהה, תקנה 5(ד) לתקנות אבטחת מידע מחייבת מבדקי חדירה אחת ל-18 חודשים לפחות, וגם דיון בתוצאות ותיקון הליקויים. ברמות אחרות המבדק אינו חובה, אבל הוא נפוץ לפני השקה, בדרישת לקוח או מבטח, ואחרי שינוי גדול. המבדק חייב להיות מורשה בכתב בידי מי שמוסמך לכך. סעיף 4 לחוק המחשבים, התשנ״ה–1995 קובע שחדירה לחומר מחשב שלא כדין היא עבירה שדינה עד שלוש שנות מאסר. ההרשאה היא מה שהופך בדיקה לעבודה מקצועית ולא לעבירה.

המדריך הוא חלק מהמדריך לבחירת ספק אבטחה מנוהל.

סוגי מבדקים

שיטת העבודה מתוארת לרוב לפי מידת הידע שמקבל הבודק: קופסה שחורה (בלי מידע), קופסה אפורה (משתמש רגיל) או קופסה לבנה (גישה לקוד ולתיעוד). סריקה אוטומטית של חולשות היא לא מבדק חדירה. היא כלי שימושי, אבל בלי ניתוח של אדם.

ההרשאה: מה צריך להיות כתוב

החוק אוסר חדירה ״שלא כדין״, כלומר בלי הרשאה. הרשאה טובה היא מסמך שחתום בידי מי שמוסמך לתת אותה בשם הבעלים של המערכות, וכוללת:

1. זהות הצדדים: מי מזמין, מי בודק, ומי מאנשי הבודק משתתף.
2. היקף: כתובות, דומיינים, אפליקציות, חשבונות ענן. כל מה שלא ברשימה מחוץ להיקף.
3. מועדים: תאריכים ושעות. האם מותר לבדוק בשעות פעילות?
4. שיטות מותרות ואסורות: למשל אסור לבצע מתקפת מניעת שירות, ואסור לגשת למידע אישי מעבר להוכחת היכולת.
5. טיפול במידע: מה עושים אם נחשף מידע אישי, איך שומרים את הממצאים, ומתי מוחקים.
6. איש קשר לחירום בשני הצדדים, ונוהל עצירה מיידית.
7. צדדים שלישיים: אם האתר מתארח אצל ספק אחסון או בענן ציבורי, או אם יש בתוכו שירות של ספק אחר, אתם לא מוסמכים לאשר בדיקה של המערכות שלו. בדקו את מדיניות הבדיקות של הספק, ובקשו אישור אם צריך.

סעיף 6 לחוק המחשבים אוסר גם על הפצה, העברה או התקנה של תוכנה או סיסמה כדי שתבוצע חדירה שלא כדין. עוד סיבה לכך שהכלים והגישה צריכים להיות מתועדים ומורשים.

איך מתמחרים: דוגמה להמחשה

מבדק מתומחר בדרך כלל לפי ימי עבודה, שתלויים בהיקף: מספר כתובות, מספר תפקידים באפליקציה, מספר דפים או נקודות API, וזמן הכתיבה של הדוח.

כולל מע״מ 18%: 47,200 ₪. אפשר לחשב במחשבון המחיר כולל מע״מ. המספרים הם דוגמה למבנה החשבון ולא מחיר שוק.

מה לבקש מהבודק

• הצעת עבודה עם היקף, מתודולוגיה (למשל לפי OWASP לאפליקציות), ימי עבודה ותוצרים.
• דוח עם תקציר מנהלים, ממצאים לפי חומרה, הוכחת היתכנות והמלצות תיקון ברורות.
• בדיקה חוזרת אחרי התיקונים: כלולה, או במחיר נפרד?
• סודיות: התחייבות לשמור על הממצאים ולמחוק את המידע.
• ביטוח אחריות מקצועית של הבודק.

לפני המבדק: ההכנה מצדכם

• גיבוי עדכני של המערכות שייבדקו, למקרה שבדיקה תגרום לתקלה.
• עדכון ספק הניטור: אם יש לכם שירות MDR או SOC, הודיעו לו על המועדים ועל כתובות המקור של הבודק. אחרת המבדק ייראה כמו מתקפה, והספק יחסום אותו או יפעיל נוהל אירוע. לפעמים דווקא רוצים לבדוק אם הניטור מזהה. אז זו החלטה מכוונת, ולא הפתעה.
• משתמשי בדיקה: במבדק אפליקציה צרו משתמשים ייעודיים לכל תפקיד, עם נתונים מדומים, ולא חשבונות של לקוחות אמיתיים.
• הקפאת שינויים: הימנעו מהעלאת גרסאות גדולות בזמן המבדק, כדי שהממצאים יתייחסו לגרסה ידועה.
• ספקים: אם חלק מהמערכת שייך לספק, ודאו שיש לכם את האישור שלו, או הוציאו את החלק הזה מההיקף.

אחרי המבדק

התקנות ברמה גבוהה לא מסתפקות במבדק. הן דורשות שבעל המאגר ידון בתוצאות ויפעל לתיקון הליקויים. מאז תיקון 13, אי-עריכת מבדק, או אי-דיון ואי-תיקון, מופיעים בתוספת השלישית עם עיצום של 320,000 ₪ (סכום בסיסי; 327,560 ₪ ב-2026 לאחר עדכון המדד) במאגר ברמה גבוהה. ראו העיצומים. בפועל:

1. ישיבה עם ההנהלה ועם ספק ה-IT על הממצאים.
2. תוכנית תיקון עם אחראים ותאריכים.
3. בדיקה חוזרת.
4. תיעוד כל השלבים, כולל ההחלטות לא לתקן ממצא מסוים והנימוק.

שאלות נפוצות

האם סריקת חולשות אוטומטית מספיקה לתקנות?

התקנות מדברות על ״מבדקי חדירות לבחינת עמידות בפני סיכונים פנימיים וחיצוניים״. סריקה אוטומטית לבדה בדרך כלל לא עונה על זה. בדקו עם ה-vCISO או עם עורך הדין מה מתאים לכם.

מותר לי לבדוק את האתר של ספק שלי לפני שאני עובד איתו?

לא בלי הרשאה שלו. אפשר לבקש מהספק דוח מבדק עדכני, תקציר ממצאים או תעודת תקן.

כל כמה זמן לעשות מבדק אם המאגר לא ברמה גבוהה?

אין חובה בתקנות. עסקים רבים עושים מבדק אחרי שינוי מהותי, לפני השקה או כשלקוח דורש. קבעו תדירות לפי הסיכון.

מקורות

• ויקיטקסט: חוק המחשבים, התשנ״ה–1995 — סעיפים 4, 5 ו-6
• ויקיטקסט: תקנות הגנת הפרטיות (אבטחת מידע) — תקנה 5(ג)–(ד)
• מערך הסייבר הלאומי (gov.il) — המלצות לבדיקות אבטחה