SLA וחוזה לשירות אבטחה מנוהל: 20 שאלות לשאול לפני שחותמים

החוזה לשירות אבטחה מנוהל צריך לענות בכתב על חמש שאלות. מה מנוטר ומה לא. מתי: שעות, זמני תגובה לפי חומרה ומה קורה בסוף שבוע. מה מותר לספק לעשות בלי אישור. מה קורה כשמשהו קורה: טיפול באירוע, דיווח לכם, ודיווח לרשויות אם צריך. איך יוצאים: נתונים, סוכנים, הרשאות ותקופת חפיפה. על כל זה נוספות החובות של תקנה 15 לתקנות אבטחת מידע, כשהספק ניגש למאגר מידע אישי. המדריך מרכז 20 שאלות, ולכל אחת מסביר למה היא חשובה.

המדריך הוא חלק מהמדריך לבחירת ספק אבטחה מנוהל. השאלות מופיעות גם בצ׳קליסט בדיקת הספק.

א. היקף

1. אילו נכסים מנוטרים? בקשו רשימה: עמדות, שרתים, דואר, זהויות, ענן, חומת אש, אתר. כל מה שלא ברשימה לא מנוטר.
2. מה קורה כשמוסיפים נכס? תוך כמה זמן הוא נכנס לניטור, ובאיזה מחיר?
3. האם השירות כולל ציד איומים (Threat Hunting) או רק תגובה להתראות?
4. אילו דוחות תקבלו, ובאיזו תדירות?

ב. SLA: זמנים ושעות

1. שעות פעילות: 24/7 כולל שישי, שבת וחגים, או שעות עבודה בלבד? מה קורה בזמן מלחמה או מצב חירום?
2. הגדרת חומרה: מה נחשב ״קריטי״, ״גבוה״ ו״בינוני״? מי קובע?
3. זמני תגובה לפי חומרה. ההבחנה בין ״זמן הודעה״ ל״זמן פעולה״ חשובה. דוגמה להמחשה של טבלה שכדאי לבקש:

הזמנים בטבלה הם דוגמה למבנה ולא תקן. הספק יציע זמנים משלו.

1. מה קורה כשה-SLA לא נעמד בו? זיכוי כספי? דיווח? זכות יציאה אחרי הפרות חוזרות?

ג. פעולות מותרות ותגובה

1. אילו פעולות הספק רשאי לבצע בלי אישור? בידוד עמדה, נעילת משתמש, איפוס סיסמה, חסימת כתובת. כדאי להגדיר מראש. בלילה אין זמן לשאול.
2. מי אצלכם מאשר פעולות אחרות, ומה קורה אם הוא לא עונה?
3. מה כלול בטיפול באירוע (IR)? כמה שעות? חקירה? ניקוי? שחזור? מה המחיר לשעה מעבר לכלול?
4. האם הספק יעזור בדיווח לרשות להגנת הפרטיות, לחברת הביטוח או ללקוחות? ההחלטה והאחריות לדיווח נשארות אצלכם. ראו דיווח על אירוע חמור.

ד. נתונים, פרטיות ותקנה 15

1. איפה נשמרים היומנים ולכמה זמן? ברמת אבטחה בינונית וגבוהה, תקנה 10 דורשת לשמור נתוני תיעוד גישה 24 חודשים לפחות.
2. מי ניגש לנתונים? עובדי הספק בישראל, צוות בחו״ל או ספק משנה?
3. האם ההסכם כולל את מה שתקנה 15(א)(2) דורשת? המידע שהספק רשאי לעבד ומטרות השימוש. המערכות שהוא רשאי לגשת אליהן. סוג העיבוד. משך ההתקשרות, השבת המידע והשמדתו בסיום. אופן יישום חובות האבטחה. התחייבות סודיות של העובדים שלו. חובות לגבי ספקי משנה. דיווח שנתי לכם, והודעה על אירוע אבטחה.
4. האם הספק עצמו מבוטח באחריות מקצועית או בסייבר, ובאיזה היקף?

ה. מחיר, אחריות ויציאה

1. הגבלת אחריות: לרוב היא מוגבלת לסכום ששולם בתקופה מסוימת. ודאו שאתם מבינים מה זה אומר באירוע אמיתי, ואם יש חריגים, למשל רשלנות חמורה או הפרת סודיות.
2. חידוש ומחיר: חידוש אוטומטי, תקרת העלאה, הודעה מוקדמת. ראו העלאת מחיר בחידוש.
3. יציאה: הסרת סוכנים, החזרת יומנים ודוחות בפורמט סביר, ביטול כל ההרשאות של הספק, ותקופת חפיפה של 30–60 יום.
4. בעלות: של מי הרישוי, של מי הכללים וההגדרות שנבנו, ומי מחזיק בסיסמאות הניהול.

דוגמה: שתי הצעות, אותו מחיר

שתי הצעות היפותטיות ל-50 עמדות, שתיהן ב-5,000 ₪ לחודש להמחשה:

אירוע אחד שדורש 15 שעות IR יעלה בהצעה א׳ 9,750 ₪ נוספים (15 × 650). בשנה זה כבר 16% יותר מ-60,000 ₪. ושמירת יומנים ל-90 יום לא תספיק אם המאגר ברמה בינונית. ״אותו מחיר״ הוא לא אותו שירות.

סעיף לדוגמה: פעולות מותרות בלי אישור (להמחשה)

״הספק רשאי, בלי אישור מראש של הלקוח, לבודד מהרשת עמדה או שרת שזוהו בהם סימנים לנוזקה פעילה, ולהשבית זמנית חשבון משתמש שזוהתה בו פעילות התחברות חשודה. זאת בתנאי שהספק יודיע לאיש הקשר של הלקוח בתוך 15 דקות מביצוע הפעולה. בידוד של שרת שמופיע ברשימת המערכות הקריטיות שבנספח א׳ ייעשה רק אחרי ניסיון ליצור קשר עם איש הקשר. אם לא נוצר קשר בתוך 30 דקות, ובאירוע בחומרה קריטית, הספק רשאי לבצע את הבידוד. כל פעולה תתועד ביומן האירוע ותדווח בדוח החודשי.״

הנוסח הזה מראה מה כדאי להגדיר: אילו פעולות מותרות, באילו תנאים, מה ההבדל בין מערכות רגילות לקריטיות, ומה חובת ההודעה והתיעוד. התאימו אותו לעסק שלכם בעזרת עורך דין.

חוזה אחיד

ספקים רבים עובדים עם נוסח סטנדרטי. חוק החוזים האחידים חל גם על לקוח עסקי. הוא קובע חזקות קיפוח, למשל לתנאי שפוטר את הספק מאחריות שהייתה חלה עליו לפי דין, או לתנאי שמאפשר לו לשנות מחיר באופן חד-צדדי. בפועל, הדרך הטובה ביותר היא לבקש תיקונים לפני החתימה. ספקים רבים מוכנים להוסיף נספח.

שאלות נפוצות

הספק לא מוכן לתת SLA כתוב. מה זה אומר?

שאין לכם התחייבות, רק כוונה. בשירות שתפקידו להגיב לאירועים זו בעיה. בקשו לפחות טבלת זמנים בנספח.

האם אפשר לדרוש קנס על אי-עמידה ב-SLA?

אפשר לנהל משא ומתן על זיכויים. ספקים רבים מציעים זיכוי כספי מוגבל. זכות יציאה אחרי הפרות חוזרות שווה לעיתים יותר מזיכוי.

האם ההסכם צריך להיות בעברית?

אין חובה כללית, אבל ודאו שאתם מבינים כל סעיף. אם הנוסח המחייב באנגלית, בקשו תרגום של הנספחים המרכזיים.

מקורות

• ויקיטקסט: תקנות הגנת הפרטיות (אבטחת מידע) — תקנות 10 ו-15
• ויקיטקסט: חוק החוזים האחידים — סעיף 4
• הרשות להגנת הפרטיות (gov.il) — הנחיות לגבי מיקור חוץ