CISO במיקור חוץ וממונה על אבטחת מידע: מתי חובה, מה התפקיד כולל וכמה זה עולה

CISO במיקור חוץ (נקרא גם vCISO, ״CISO וירטואלי״ או ״CISO כשירות״) הוא מנהל אבטחת מידע שעובד אצלכם חלק מהזמן, בדרך כלל כמה שעות או ימים בחודש. הוא כותב מדיניות ומסמכים, מוביל סקר סיכונים, מתעדף פערים, מלווה ביקורות ושאלוני לקוחות, ומתאם את הספקים הטכניים. רוב העסקים הקטנים אינם חייבים בחוק למנות ממונה על אבטחת מידע. סעיף 17ב לחוק הגנת הפרטיות מחייב רק גופים מסוימים: מי שמחזיק חמישה מאגרים החייבים ברישום או בהודעה, גופים ציבוריים, בנקים, מבטחים וחברות דירוג אשראי. אבל עסק ברמת אבטחה בינונית צריך מישהו שיכתוב ויתחזק את מה שהתקנות דורשות. vCISO הוא דרך נפוצה לעשות את זה בלי משרה מלאה.

המדריך הוא חלק מהמדריך לבחירת ספק אבטחה מנוהל.

שני תפקידים בחוק, ואל תבלבלו ביניהם

אם מיניתם ממונה, גם כשאינכם חייבים, תקנה 3 חלה עליו: הוא כפוף ישירות למנהל בכיר, ולא ימלא תפקיד שעלול ליצור ניגוד עניינים. בעל המאגר צריך להקצות לו משאבים.

מה vCISO עושה בפועל

בהקמה (חודש עד שלושה):

• מיפוי מאגרי המידע וקביעת רמת אבטחה לכל אחד. ראו המדריך לרמות.
• כתיבת מסמך הגדרות מאגר, נוהל אבטחה ומיפוי מערכות.
• סקר פערים ותוכנית עבודה מתועדפת עם תקציב.
• בדיקת ההסכמים עם הספקים לפי תקנה 15.

בשוטף:

• ישיבה חודשית עם ההנהלה ועם ספק ה-IT.
• מעקב אחרי ביצוע התוכנית.
• מענה לשאלוני אבטחה של לקוחות.
• תכנון הדרכות. ברמה בינונית וגבוהה נדרשת הדרכה תקופתית אחת לשנתיים לפחות.
• דיון שנתי באירועי האבטחה ברמה בינונית, או רבעוני ברמה גבוהה.
• הכנה לביקורת התקופתית ולמבדק חדירה, ותיאום שלהם.

באירוע: ריכוז ההחלטות, קשר עם ספק ה-IR ועם הביטוח, ובדיקה אם נדרש דיווח לרשות.

איך מתמחרים, דוגמה להמחשה

חשבון לשנה הראשונה במודל המשולב: 25,000 + 4 × 450 × 12 = 25,000 + 21,600 = 46,600 ₪ לפני מע״מ. בשנה השנייה, בלי הקמה, 21,600 ₪. כל המספרים להמחשה. מחיר לשעה תלוי בניסיון, בתחום ובהיקף.

ניגודי עניינים: למה זה חשוב

• vCISO שהוא גם משווק של מוצרים: אם אותו גורם ממליץ על מוצר ומרוויח ממכירתו, ההמלצה עלולה להיות מוטה. שאלו ישירות, ובקשו גילוי בכתב.
• vCISO שהוא גם הספק הטכני: הוא עלול לבקר את העבודה של עצמו.
• ביקורת: תקנה 16 מחייבת שהביקורת התקופתית ברמה בינונית וגבוהה תיעשה בידי גורם בעל הכשרה מתאימה, שאינו ממונה האבטחה של המאגר. אם ה-vCISO הוא הממונה, הביקורת צריכה גורם אחר.

מתי vCISO לא מספיק

• כשיש צורך ביד על המקלדת, כמו עדכונים, הגדרות ותיקון ממצאים. זה תפקיד של ספק IT או של שירות מנוהל.
• כשיש אירוע גדול שדורש צוות IR.
• כשהעסק גדל לרמה שבה אבטחה היא עבודה של יום-יום. אז ייתכן שמשרה פנימית מתאימה יותר. ראו צוות פנימי מול שירות מנוהל.

שאלות לראיון vCISO

1. עם אילו עסקים בגודל ובתחום שלנו עבדתם? אין צורך בשמות.
2. איך תקבעו את רמת האבטחה של המאגרים שלנו?
3. מה תספקו בשלושת החודשים הראשונים? בקשו רשימת תוצרים.
4. מה זמן התגובה שלכם באירוע, גם מחוץ לשעות?
5. האם אתם משווקים מוצרים, או מקבלים עמלה מספקים?
6. מה קורה עם המסמכים אם נפסיק לעבוד יחד? הם צריכים להישאר שלכם.

תוצרים לשלושת החודשים הראשונים: דוגמה

כדי שלא תשלמו על ״שעות״ בלי לדעת מה קיבלתם, בקשו רשימת תוצרים עם תאריכים. דוגמה לעסק ברמת אבטחה בינונית:

בסוף החודש השלישי קל לבדוק אם קיבלתם את מה שסוכם, ולהחליט על היקף הריטיינר להמשך.

שאלות נפוצות

האם vCISO יכול להיות הממונה הרשמי לפי 17ב?

הסעיף דורש ״אדם בעל הכשרה מתאימה״ ולא מחייב שיהיה עובד. אבל תקנה 3 דורשת שהממונה יהיה כפוף ישירות להנהלה, ושלא יהיה בניגוד עניינים. ודאו שהמבנה החוזי מאפשר את זה, והתייעצו עם עורך דין.

כמה שעות בחודש עסק קטן צריך?

זה תלוי בשלב. בהקמה צריך יותר. בשוטף, עסק קטן ברמה בסיסית יכול להסתפק במעט שעות. עסק ברמה בינונית עם שאלוני לקוחות צריך יותר. התחילו עם תוצרים מוגדרים, לא עם מספר שעות.

האם vCISO מחליף DPO?

לא בהכרח. אם אתם חייבים ב-DPO לפי 17ב1, בדקו את התפקיד והדרישות שלו בנפרד. אותו אדם יכול לעיתים למלא את שני התפקידים, אם אין ניגוד עניינים.

מקורות

• ויקיטקסט: חוק הגנת הפרטיות — סעיפים 17ב, 17ב1 ו-17ב2
• ויקיטקסט: תקנות הגנת הפרטיות (אבטחת מידע) — תקנות 3 ו-16
• הרשות להגנת הפרטיות (gov.il) — הנחיות על ממונה הגנת פרטיות