צ׳קליסט בדיקת ספק אבטחה מנוהל לפני חתימה

0 / 16 הושלמו

היקף השירות

• רשימה כתובה של מה מנוטר: עמדות, שרתים, דואר, ענן, חומת אש, חשבונות משתמשים. מה לא מנוטר כתוב במפורש
• ברור אם השירות כולל רק התראה, או גם תגובה: בידוד עמדה, נעילת משתמש, חסימת כתובת. ומי מאשר כל פעולה
• ברור מה כלול בטיפול באירוע (Incident Response), כמה שעות, ומה המחיר לשעה מעבר לכך

SLA

• שעות פעילות (24/7 או שעות עבודה), כולל שישי-שבת וחגים, וזמני תגובה לפי חומרה, מוגדרים במסמך ולא במצגת
• מוגדר מה קורה כשה-SLA לא נעמד בו: זיכוי, דיווח, או זכות יציאה

אנשים ומיקום

• ידוע מי מטפל בפועל: צוות בישראל, בחו״ל או ספק משנה. האם יש מענה בעברית, ומי איש הקשר הקבוע
• ידוע איפה נשמרים היומנים והנתונים, לכמה זמן, ומי ניגש אליהם, כולל העברה לחו״ל

חוזה ופרטיות

• ההסכם מפרט את מה שתקנה 15 לתקנות אבטחת מידע דורשת: מידע, מערכות, סוג עיבוד, משך, השבה והשמדה, סודיות, ספקי משנה ודיווח שנתי
• הספק מתחייב להודיע מיד על אירוע אבטחה אצלו, כולל אצל ספקי משנה
• הגבלת האחריות של הספק ברורה, וביטוח האחריות המקצועית שלו נבדק

מחיר

• המחיר בשקלים או בדולר, לפני או אחרי מע״מ, ומה בדיוק נספר: עמדה, משתמש, נפח יומנים או GB
• יש תקרה להעלאת מחיר בחידוש והודעה מוקדמת, ותנאי ההצמדה (מדד או דולר) כתובים

יציאה

• בסיום ההתקשרות: הסרת סוכנים, החזרת היומנים והדוחות בפורמט סביר, ביטול הרשאות ותקופת חפיפה
• תקופת ההתחייבות ותנאי הביטול המוקדם מתאימים לנו, בלי חידוש אוטומטי ארוך שקשה לצאת ממנו

אימות

• ביקשנו דוח חודשי לדוגמה והדגמה של התראה אמיתית (מושחרת), לא רק מצגת
• שאלנו על הסמכות ותקנים (למשל ISO/IEC 27001 או SOC 2) וביקשנו לראות את התעודה ואת היקפה