ייעוץ אבטחת מידע לארגונים
תשובה קצרה: ייעוץ אבטחת מידע הוא ליווי מקצועי חיצוני שממפה את סיכוני אבטחת המידע של הארגון, קובע סדר עדיפויות לטיפול ובונה תוכנית עבודה מול תקן מוכר כמו ISO 27001 או NIST CSF. הליווי כולל סקר מצב, כתיבת נהלים, בקרה בלתי תלויה מעל ספק ה-IT, והיערכות לדרישות רגולציה כמו תיקון 13 לחוק הגנת הפרטיות. עסק בינוני בישראל פונה לייעוץ כזה כשאין לו מנהל אבטחת מידע פנימי, כשלקוח או רגולטור דורש הוכחת עמידה בדרישות, או אחרי אירוע אבטחה.
רוב הארגונים הבינוניים בישראל לא סובלים ממחסור בכלי אבטחה. הם סובלים מהיעדר מישהו שמחליט מה מהם באמת מפחית סיכון, ומה רק צורך תקציב ותשומת לב.
הייעוץ מתחיל בשאלה אחת: מה יקרה לעסק אם המערכת הזו תיפול, או אם המידע הזה ידלוף החוצה. מהתשובה נגזרת תוכנית עבודה שמתועדפת לפי סיכון עסקי, לא לפי קטלוג מוצרים ולא לפי מה שבאופנה השנה.
את הליווי נותן עידן צברי אישית: רקע משולב של משפטים, ניהול תשתיות IT מבצעי והסמכת CISM. יועץ אחד, מתחילת הליווי ועד סופו.
למי מתאים השירות ומה מקבלים?
השירות מתאים לארגונים שצריכים תמונת מצב ברורה, מענה לדרישות לקוחות או תוכנית מסודרת לשיפור אבטחת המידע, גם כשכבר יש ספק מחשוב. בהתאם להיקף הליווי שסוכם, התוצרים כוללים מפת סיכונים, דוח להנהלה, תוכנית עבודה עם סדרי עדיפויות ואחראים, ונהלים מותאמים לארגון.
איזה ליווי מתאים לכם? ייעוץ אבטחת מידע נותן מענה לצורך מוגדר, כמו בדיקת מצב ובניית תוכנית. מנהל אבטחת מידע כשירות מספק ניהול אבטחה מתמשך. ממונה על הגנת הפרטיות כשירות מתמקד בייעוץ ובקרה בתחום הפרטיות. אלה תפקידים שונים; שילובם מחייב בחינת התאמה והיעדר ניגוד עניינים.
מתי ארגון צריך ייעוץ אבטחת מידע
לא כל ארגון צריך יועץ, ולא בכל שלב. הסימנים שכן:
- לקוח או מכרז שלח שאלון אבטחה, ואין מי שיענה עליו בלי לנחש.
- הדירקטוריון שאל כמה אנחנו חשופים, ואין תשובה מסודרת שאפשר להציג.
- חברת הביטוח דורשת הוכחות מוכנות כתנאי לפוליסת סייבר או לחידוש.
- קרה אירוע, או כמעט אירוע, והתברר שאין תהליך מוגדר אלא אלתור.
- יש הרבה כלים והרבה התראות, ואין תוכנית עבודה שנתית שמישהו אחראי עליה.
- ספק ה-IT אומר שהכול בסדר, ואין מי שיבדוק את זה באופן בלתי תלוי.
- צריך לברר אילו חובות אבטחת מידע חלות על מאגרי הארגון ומה השתנה בעקבות תיקון 13.
באיזו מסגרת אתם באמת חייבים לעמוד, ובאיזו רק כדאי
זהו הבלבול הנפוץ ביותר, והוא עולה כסף לשני הכיוונים. ארגונים משקיעים בתקן שלא נדרש מהם, ומתעלמים מחובה בדין שכן.
חובה בדין: תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017
התקנות קובעות שלוש רמות אבטחה, בסיסית בינונית וגבוהה, לפי סוג המאגר, רגישות המידע והיקפו. הרמה קובעת מה חובה עליכם בפועל: מסמך הגדרות מאגר, סקר סיכונים תקופתי, מבדקי חדירות, ניהול והפרדת הרשאות, תיעוד אירועים ובקרת גישה.
זו נקודת ההתחלה של כל פרויקט אבטחת מידע בישראל. ארגון שלא יודע באיזו רמה הוא נמצא לא יודע מה נדרש ממנו, וכל השאר ניחוש. כאן מוסבר איך נקבעת הרמה.
תיקון 13 הרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות וקבע חובת מינוי ממונה על הגנת הפרטיות לסוגי גופים מסוימים. להסבר הרשמי של הרשות על תיקון 13.
חובת הדיווח המיידי על אירוע אבטחה חמור קבועה בתקנה 11(ד)(1) לתקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017, בהתאם לתחולת התקנות ולנסיבות האירוע. מתי חייבים לדווח: הנחיות הרשות להגנת הפרטיות.
חובה חוזית: ISO/IEC 27001:2022
ברוב המקרים זו לא חובת דין אלא דרישת לקוח או תנאי במכרז. התקן מגדיר מערכת ניהול אבטחת מידע ו-93 בקרות ב-Annex A, והמעבר מנוסח 2013 הסתיים ב-2025.
ההסמכה שווה את ההשקעה כשיש לה החזר עסקי ברור: עסקה שנתקעת בלעדיה, מכרז שדורש אותה, או שוק שבו היא כרטיס כניסה. היא אינה תחליף לעמידה בתקנות.
מסגרת התייחסות: NIST CSF 2.0 ו-CIS Controls v8.1
אלה לא תקנים להסמכה אלא שפה לניהול ולדיווח. פונקציית ה-Govern ב-NIST CSF 2.0 מסייעת להסדיר אחריות, מדידה ודיווח להנהלה במסגרת ניהול סיכוני הסייבר. השימוש במסגרת מקצועית אינו מחליף בדיקה של החובות החלות לפי הדין. CIS Controls נותן סדר עדיפויות מעשי לארגון בינוני, כלומר מה עושים ראשון כשהתקציב מוגבל.
מה כולל הליווי
סקר מצב ומיפוי סיכונים
בדיקה מובנית של המצב בפועל: מערכות, הרשאות, גיבויים ושחזור, ספקים, תהליכים ותיעוד, מול הרמה הנדרשת בתקנות ומול מסגרות מקובלות. התוצר הוא מפת סיכונים ודוח מנהלים, לא רשימת ממצאים גולמית.
תוכנית עבודה מתועדפת
כל פער מקבל דירוג לפי השפעה עסקית, סבירות ועלות תיקון, ומתורגם למשימה עם אחראי, לוח זמנים ואומדן. מה שאפשר לסגור החודש נפרד ממה שדורש תקציב ברבעון הבא.
מדיניות ונהלים שאנשים באמת קוראים
מדיניות אבטחת מידע, נוהל ניהול הרשאות, נוהל גיבוי ושחזור, נוהל תגובה לאירוע, מדיניות שימוש בענן וב-AI. מותאמים לארגון, לא תבנית של שמונים עמודים שאיש לא פותח.
בקרה בלתי תלויה מעל ספק ה-IT
אנחנו לא מחליפים את ספק ה-IT, אנחנו בודקים אותו. בדיקת שחזור בפועל ולא רק דוח גיבוי ירוק, סקירת הרשאות תקופתית, מעקב אחר עדכוני אבטחה, ואימות שמה שהובטח אכן בוצע.
מוכנות לאירועים ותרגול הנהלה
תוכנית תגובה שמגדירה מי מחליט, למי מדווחים ותוך כמה זמן, כולל חובת הדיווח המיידי לרשות. ותרגיל שולחן עם ההנהלה, כי נוהל שלא תורגל הוא נייר.
המשכיות עסקית: RTO ו-RPO
קביעת יעדי זמן השבתה ואובדן מידע לכל מערכת קריטית, כהחלטה של ההנהלה ולא של מנהל ה-IT, ואז בדיקה אם התשתית הקיימת בכלל עומדת בהם. ברוב הארגונים התשובה מפתיעה.
מענה לשאלוני לקוחות ומכרזים
כשעסקה נתקעת על שאלון אבטחה, זה לא הזמן להתחיל לבנות מסמכים. אנחנו עונים על השאלונים, מתחזקים ערכת מסמכים מוכנה, ומלווים בשיחות מול צוותי הרכש והאבטחה של הלקוח.
מה תקבלו בסוף
| התוצר | למי הוא מיועד |
|---|---|
| דוח מנהלים, חמישה עד שמונה עמודים | מנכ״ל ודירקטוריון, בשפה עסקית, עם רמת חשיפה ותקציב |
| מפת סיכונים מדורגת | הנהלה: מה מסוכן ובאיזה סדר |
| תוכנית עבודה לשנים עשר חודשים | מנהל IT או ספק: משימות, אחראים, לוחות זמנים |
| ערכת מדיניות ונהלים | הארגון: מסמכים הניתנים להצגה בביקורת |
| מסמך פערים מול התקנות | רגולטור, מבטח, לקוח |
| דיווח תקופתי | דירקטוריון: מה נעשה, מה הסיכון כעת, מה הבא |
איך אני עובד בפועל
כשיש גיבוי, אבל לא ברור שאפשר לחזור לעבוד
דוח שמראה שהגיבוי הצליח הוא נקודת התחלה. אני בודק עם הארגון מה צריך לחזור לפעילות קודם, כמה זמן השבתה העסק יכול לספוג ומתי בוצע שחזור בפועל. מכאן אפשר להגדיר בדיקה מעשית ותוכנית לסגירת הפער בין מה שהעסק צריך לבין מה שהמערכות מאפשרות.
כשלקוח שולח שאלון אבטחה
אני מתחיל בבדיקה של מה שקיים: נהלים, הרשאות, הסכמים ותיעוד. המטרה היא לתת תשובות שאפשר לעמוד מאחוריהן. במקום שבו חסרה בקרה או הוכחה, מציינים את הפער ומגדירים פעולה להשלמה. כך השאלון הופך גם להזדמנות לעשות סדר בתוך הארגון.
כשיש ספק מחשוב, אבל ההנהלה צריכה תמונת מצב
ספק המחשוב מטפל בתפעול השוטף. התפקיד שלי הוא לחבר בין העבודה הטכנית לבין הסיכון העסקי: אילו פערים דורשים טיפול, מי אחראי, מה העלות ומה אפשר לתעדף להמשך. ההנהלה מקבלת תמונה ברורה, וספק המחשוב מקבל סדר עדיפויות שאפשר לעבוד לפיו.
למה SEC-IT ולא פירמה גדולה
בפירמה גדולה תקבלו מתודולוגיה מצוינת, ובפועל, ברוב המקרים, צוות שמתחלף בין השלבים ולומד את הארגון מחדש בכל פעם, וחשבון לפי שעות.
כאן מקבלים יועץ בכיר אחד שמכיר את העסק, את המערכות ואת האנשים, ונשאר אותו אדם מהשיחה הראשונה ועד הדיווח הרבעוני השלישי.
היתרון הנוסף, והוא לא מובן מאליו בענף, הוא רקע מבצעי עמוק בניהול תשתיות IT. זו הסיבה שההמלצות ניתנות ליישום בתשתיות שלכם ובתקציב שיש לכם, ולא נשארות כמצגת שאיש לא ידע איך לבצע.
מה שלא נבטיח לכם: אף יועץ אינו יכול להבטיח מניעת תקיפות סייבר או עמידה מלאה בדרישות החוק, ומי שמבטיח זאת אומר לכם משהו שאינו יכול לקיים. מה שכן: הפחתת סבירות, צמצום נזק, ומערך ציות מתועד שניתן להציג בביקורת.
מה ההבדל בין אבטחת מידע להגנת סייבר
השניים משמשים בערבוביה, ובפועל הם לא אותו דבר. הגנת סייבר עוסקת בהתקפה ובהגנה על מערכות מחשוב: חדירה, כופרה, פישינג, ניצול חולשות. אבטחת מידע רחבה יותר והיא עוסקת בשאלה מי רשאי לגעת במידע שלכם, לאיזו מטרה, לכמה זמן, ומה קורה כשהוא דולף. מידע על נייר, עובד שלוקח קובץ לפני שהוא עוזב, ספק שמקבל גישה למערכת וכבר לא צריך אותה, כל אלה הם אירועי אבטחת מידע גם כשאין בהם שום האקר.
ההבחנה הזו חשובה מסיבה מעשית. רוב הארגונים קונים הגנת סייבר ומדלגים על אבטחת מידע, ואז מגלים שהרגולטור, הלקוח העסקי או חברת הביטוח שואלים דווקא על החלק השני: מיפוי מאגרי המידע, הרשאות, הסכמי סודיות מול ספקים, נהלים מתועדים והוכחה שמישהו באמת מפקח. כלי הגנה לא עונים על השאלות האלה.
אבטחת מידע לעסקים קטנים ובינוניים: מאיפה מתחילים
מדריך מעשי מלא בנושא, כולל סדר הצעדים, עבודה מרחוק וענן ודרישות הרגולציה, נמצא בעמוד אבטחת מידע לעסקים.
ארגון בינוני בישראל לא צריך להתחיל מרכש. הוא צריך להתחיל מתמונת מצב, כי בלעדיה כל השקעה היא ניחוש. הסדר שעובד בפועל הוא זה:
- למפות מה יש לכם. אילו מערכות מחזיקות מידע אישי או עסקי רגיש, מי הספק שמאחורי כל אחת, ואיפה המידע יושב פיזית.
- לבדוק מי ניגש. רשימת הרשאות אמיתית, כולל עובדים שעזבו, ספקים חיצוניים וחשבונות שירות ששכחו מהם.
- לקבוע במה אתם חייבים לעמוד. תקנות אבטחת מידע וההשלכות של תיקון 13 הן חובה בדין. תקן כמו ISO 27001 הוא לרוב דרישה חוזית של לקוח, לא של המדינה.
- לסגור את הפערים לפי סדר. לא הכול ביחד. קודם מה שמונע אירוע משמעותי או חושף לעיצום, אחר כך השאר.
- לבנות הוכחה. נהלים, לוגים, תיעוד החלטות. ארגון שלא יכול להראות מה עשה נמצא באותו מקום כמו ארגון שלא עשה.
טעות נפוצה: לקנות מערכת הגנה מתקדמת לפני שיודעים אילו מאגרי מידע קיימים בארגון ומי ניגש אליהם. זה כמו להתקין אזעקה משוכללת בבית שבו הדלת האחורית פתוחה.
פתרונות אבטחת מידע: מה באמת צריך, ומה אפשר לדחות
שוק הפתרונות בישראל צפוף, וקל להוציא תקציב שלם על כלים שלא פותרים את הסיכון המרכזי של הארגון. הכלל הפשוט הוא שבקרה קודמת לכלי. אם אין מדיניות הרשאות, מערכת לניהול זהויות לא תסדר אותה. אם אין נוהל גיבוי ותרגול שחזור, פתרון גיבוי יקר לא יציל אתכם ביום שבו תצטרכו אותו.
בפועל, לרוב הארגונים הבינוניים מספיקה שכבה בסיסית שמיושמת היטב: הפרדת הרשאות, אימות דו שלבי בכל מקום שאפשר, גיבוי שנבדק בתרגול ולא רק בדוח, ניטור בסיסי של פעילות חריגה, והדרכת עובדים שמתייחסת לתרחישים אמיתיים ולא למצגת שנתית. מעבר לזה, כל רכישה צריכה להיגזר מפער שזוהה בסקר ולא מהמלצה של ספק.
יועץ אבטחת מידע, מנהל אבטחת מידע וממונה הגנת פרטיות: מי עושה מה
שלושת התפקידים מתבלבלים זה בזה, והבלבול עולה כסף. זה החיתוך:
| תפקיד | מה הוא עושה | מתי צריך אותו |
|---|---|---|
| יועץ אבטחת מידע | מאבחן מצב, בונה תוכנית עבודה, כותב נהלים ומלווה יישום | כשצריך לדעת איפה עומדים ומה לעשות, בפרויקט עם התחלה וסוף |
| מנהל אבטחת מידע (CISO) | אחראי שוטף על מערך האבטחה, מקבל החלטות ומדווח להנהלה | כשנדרשת אחריות מתמשכת ולא פרויקט חד פעמי |
| ממונה הגנת פרטיות (DPO) | מייעץ ומבקר בתחום הגנת הפרטיות ומשמש איש קשר מול הרשות, בהתאם לתפקידו | כשהארגון נכנס לאחת הקטגוריות שחייבות במינוי לפי תיקון 13 |
יש להתאים את היקף הליווי לצורכי הארגון. שילוב תפקידים מחייב בחינת התאמה והיעדר ניגוד עניינים. אפשר להעמיק בCISO כשירות, בממונה הגנת פרטיות כשירות, ולבדוק מי חייב למנות ממונה הגנת פרטיות. חשוב לציין שהשאלה אם ארגון מסוים חייב במינוי היא שאלה משפטית, וכדאי ללבן אותה מול עורך דין.
ארגון שצריך מישהו שיחזיק את תפקיד מנהל אבטחת המידע באופן שוטף, בלי לגייס משרה מלאה, יכול להיעזר במנהל אבטחת מידע חיצוני.
איך בוחרים חברת ייעוץ אבטחת מידע
ההבדל בין ייעוץ שמשנה משהו לבין דוח שנשאר במגירה נקבע בשלב הבחירה. חמש שאלות ששווה לשאול כל מועמד לפני החתימה:
- מי בפועל יבצע את העבודה? לא מי מציג בפגישת המכירה, אלא מי יגיע לארגון ומה הניסיון שלו.
- מה בדיוק אקבל בסוף? דוח בלבד, או גם תוכנית עבודה מתועדפת, נהלים מוכנים ותמיכה ביישום.
- האם יש ניגוד עניינים? גוף שמוכר גם מוצרי אבטחה יתקשה להמליץ שלא לקנות. בקרה בלתי תלויה שווה יותר.
- איך מודדים הצלחה? צריך להיות מדד מוסכם מראש, למשל מספר פערים קריטיים שנסגרו או מוכנות למבדק לקוח.
- מה קורה אחרי? ליווי ההמשך הוא לרוב ההבדל בין שיפור אמיתי לבין פרויקט שנגמר בקובץ PDF.
שווה לבדוק: בקשו לראות תוכן מקצועי שהיועץ פרסם בשמו. זה הדרך הפשוטה ביותר לראות אם מדובר במישהו שמבין את החומר לעומק או במי שמוכר שירות של מישהו אחר.
שאלות נפוצות
מה ההבדל בין ייעוץ אבטחת מידע לבין CISO כשירות?
ייעוץ אבטחת מידע הוא לרוב פרויקטלי או בהיקף בקרה: סקר, תוכנית, נהלים, בדיקה תקופתית. CISO כשירות הוא תפקיד ניהולי מתמשך, עם אחריות שוטפת על ניהול הסיכון, נוכחות קבועה מול ההנהלה ודיווח לדירקטוריון. רוב הלקוחות מתחילים בייעוץ ועוברים ל-CISO כשההיקף מצדיק.
כמה זמן לוקח סקר אבטחת מידע?
לארגון בינוני, בין שבועיים לחודש מרגע קבלת הגישה למידע, תלוי במספר המערכות ובזמינות הגורמים בארגון. שיחת ההערכה הראשונית אורכת עשרים עד שלושים דקות ומספיקה כדי להעריך היקף.
יש לנו ספק IT. אתם מחליפים אותו?
לא, ואנחנו גם לא רוצים. ספק ה-IT מפעיל את המערכות, אנחנו מגדירים את דרישות הסיכון, בודקים שהן מיושמות ומדווחים להנהלה. ההפרדה הזו היא ממשל תאגידי תקין, ורוב מנהלי ה-IT מקבלים אותה בברכה, כי היא נותנת להם גיבוי מקצועי מול ההנהלה.
אנחנו כבר מוגנים היטב. עדיין צריך?
כלי הגנה טכנולוגיים הם חלק מהתמונה. סקר אבטחת מידע בוחן גם הרשאות, נהלים, תרגול שחזור, אחריות ארגונית ותיעוד. כך אפשר לזהות פערים בתהליכים ובמוכנות לאירוע, גם כשכבר קיימות מערכות הגנה.
מה זה עולה?
תלוי בהיקף: סקר חד-פעמי, ליווי תקופתי או ניהול שוטף. בשיחת ההערכה, שהיא ללא עלות, נגדיר יחד היקף שמתאים לצורך האמיתי, ותקבלו הצעה מסודרת.
מה זה אבטחת מידע?
אבטחת מידע היא מכלול הבקרות שמבטיחות שהמידע של הארגון נשאר זמין למי שצריך אותו, מוגן ממי שלא אמור לגשת אליו, ואמין מבחינת תוכנו. היא כוללת טכנולוגיה, אבל גם נהלים, הרשאות, הסכמים מול ספקים והתנהגות עובדים.
מה ההבדל בין אבטחת מידע לסייבר?
הגנת סייבר מתמקדת בהתקפות על מערכות מחשוב. אבטחת מידע רחבה יותר וכוללת גם דליפה פנימית, הרשאות עודפות, מידע בנייר וחשיפה דרך ספקים. אפשר להיות מוגנים היטב מפני האקרים ועדיין להיכשל בביקורת אבטחת מידע.
מה כולל סקר סיכוני אבטחת מידע?
מיפוי מערכות ומאגרי מידע, בדיקת הרשאות וגישה, סקירת נהלים קיימים, זיהוי פערים מול הדין ומול התקן הרלוונטי, ודירוג הפערים לפי סיכון ומאמץ. התוצר הוא תמונת מצב ותוכנית עבודה. אפשר להעמיק בעמוד סקר סיכוני אבטחת מידע.
האם עסק קטן באמת צריך יועץ אבטחת מידע?
לא כל עסק, אבל כל עסק שמחזיק מידע אישי של לקוחות או עובדים כפוף לתקנות אבטחת מידע, וכל עסק שמספק שירות לארגון גדול ייתקל בשאלוני אבטחה. בשני המקרים נדרשת עבודה מסודרת. עסק קטן צריך לרוב ליווי ממוקד ולא מערך שלם.
רוצים לדעת איפה אתם באמת עומדים?
שיחת הערכה עם יועץ בכיר, עשרים עד שלושים דקות, ללא עלות וללא התחייבות. בסופה תקבלו סיכום כתוב עם המלצה על סדר הפעולות, גם אם תחליטו להמשיך לבד.
קשור: רמות אבטחה · סקר סיכוני אבטחת מידע · ליווי ISO 27001 · היערכות לתיקון 13