מאת: עידן צברי, יועץ בכיר לאבטחת מידע והגנת פרטיות · עודכן אוגוסט 2026
מתי מזמינים סקר סיכונים
- לפני בניית תקציב אבטחה, כדי לדעת לאן ללכת עם הכסף
- כשהדירקטוריון או הבעלים מבקשים תמונת חשיפה
- כתנאי לפוליסת ביטוח סייבר או לחידושה
- לפני או אחרי מעבר לענן, מיזוג או שינוי ארגוני משמעותי
- אחרי אירוע אבטחה, כדי להבין מה עוד פתוח
- כדרישה של תיקון 13, של לקוח גדול או של תקן
מה נבדק בפועל
- נכסי מידע ומערכות: מה קריטי לעסק ומה ההשפעה אם ייפול
- הרשאות וזהויות: מי ניגש למה, ניהול משתמשים, עובדים שעזבו, גישת ספקים
- תשתית ורשת: הפרדות, נקודות חשיפה לאינטרנט, ניהול עדכונים
- גיבוי והתאוששות: האם קיים, האם מבודד, ומתי נבדק שחזור בפועל
- ענן ו-SaaS: תצורה, שיתופים חיצוניים, שימוש לא מנוהל
- גורם אנושי: מודעות, פישינג, נהלים ותרגול
- ספקים ושרשרת אספקה: מי מחזיק מידע שלכם ובאילו תנאים
- ממשל ורגולציה: נהלים, בעלי תפקידים, פערים מול תיקון 13
הבהרה חשובה: סקר סיכונים הוא בדיקה ניהולית-ארכיטקטונית, לא מבדק חדירה. מבדק חדירה (Penetration Test) בודק ניצול טכני של חולשות בפועל, והוא שירות משלים שאנחנו יודעים לנהל עבורכם מול ספק מתמחה, כולל הגדרת ההיקף ובחינת הממצאים.
התוצרים
- דוח מנהלים: עמוד עד שניים בשפה עסקית: מה הסיכון הגדול, מה ההשלכה, מה נדרש
- מרשם ממצאים מדורג: כל פער עם רמת סיכון, השפעה עסקית והמלצה
- תוכנית עבודה מתועדפת: מה בטווח מיידי, מה ברבעון, מה בשנה, עם הערכת מאמץ
- מצגת לדירקטוריון: לפי הצורך, כולל התייחסות לאחריות נושאי משרה
איך זה עובד
התהליך מתחיל בשיחת הערכה ללא עלות שבה מגדירים היקף. לאחר מכן: איסוף מידע וראיונות קצרים עם בעלי התפקידים, בחינה טכנית של התצורות והמערכות המרכזיות, ניתוח ודירוג, ולבסוף הצגת הממצאים להנהלה. הנטל עליכם מינימלי, רוב העבודה נעשית מהצד שלנו.
- שיחת הערכה והגדרת היקף: אילו מערכות, אתרים ומאגרי מידע נכללים, ומי בעלי התפקידים שנדבר איתם.
- איסוף מידע וראיונות: שיחות קצרות עם ההנהלה, אנשי ה-IT ובעלי התהליכים, ואיסוף הנהלים והמסמכים הקיימים.
- בחינה טכנית: סקירת תצורות, הרשאות, גיבויים, סביבות ענן ונקודות חשיפה לאינטרנט.
- ניתוח ודירוג: לכל ממצא נקבעות סבירות והשפעה עסקית, ומהן רמת הסיכון.
- הצגה להנהלה: מעבר על הממצאים, הסכמה על סדרי העדיפויות ומסירת תוכנית העבודה.
מבנה דוח סקר הסיכונים
- תקציר מנהלים: עמוד עד שניים בשפה עסקית, עם הסיכונים המרכזיים וההחלטות הנדרשות.
- היקף ומתודולוגיה: מה נבדק, איך, ומה לא נכלל בבדיקה.
- מפת סיכונים: כל הסיכונים על מטריצה של סבירות מול השפעה.
- מרשם ממצאים: לכל ממצא ראיה, רמת סיכון, השפעה עסקית והמלצה.
- תוכנית עבודה מתועדפת: מה מיידי, מה ברבעון ומה בשנה, עם הערכת מאמץ ובעל אחריות.
- נספחים טכניים: פירוט לצוות ה-IT, בנפרד מהחלק שמיועד להנהלה.
סקר סיכונים, ביקורת אבטחת מידע או מבדק חדירה: מה ההבדל?
ביקורת אבטחת מידע בודקת אם הארגון עומד במדיניות, בנהלים ובדרישות שכבר התחייב אליהן, למשל תקן ISO 27001 או דרישות של לקוח גדול. התוצר הוא רשימת פערים מול דרישה קיימת. סקר סיכונים שואל שאלה רחבה יותר: מה יכול להשתבש, כמה זה יעלה לעסק, ומה כדאי לתקן קודם.
רוב הארגונים צריכים את שניהם, ובסדר הזה: קודם סקר סיכונים שקובע סדרי עדיפויות, ואחר כך ביקורת תקופתית שמוודאת שהבקרות שנבחרו אכן עובדות. מאחר שהסקר בוחן גם את הבקרות הקיימות, מקבלים בדרך גם תמונה ראשונה של ביקורת מערכות המידע.
| סקר סיכונים | ביקורת אבטחת מידע | מבדק חדירה | |
|---|---|---|---|
| השאלה | מה הכי מסוכן לעסק ומה לתקן קודם? | האם אנחנו עומדים בדרישה? | האם תוקף יכול לחדור בפועל, ואיך? |
| נקודת המוצא | הנכסים, האיומים והתהליכים העסקיים | מדיניות, תקן או דרישת לקוח קיימת | מערכות ונקודות חשיפה בהיקף שהוגדר מראש |
| אופי הבדיקה | ניהולית-ארכיטקטונית: ראיונות, תצורות ותהליכים | השוואה מול רשימת דרישות ובדיקת ראיות | טכנית: ניסיון מבוקר לנצל חולשות |
| התוצר | מפת סיכונים ותוכנית עבודה מתועדפת | רשימת פערים מול הדרישה | רשימת חולשות שנוצלו, עם הוכחות והמלצות תיקון |
| מתי מתאים | בתחילת הדרך, ואחרי כל שינוי משמעותי | לפני מבדק הסמכה או מבדק לקוח | אחרי שהבקרות הבסיסיות קיימות, ולפני חשיפה של מערכת חדשה לאינטרנט |
מבדק חדירה עונה על שאלה צרה ועמוקה יותר: האם אפשר לנצל חולשה מסוימת בפועל. הוא מועיל במיוחד אחרי שהסקר קבע מה הנכסים הקריטיים, כי אז ברור מה כדאי לבדוק ובאיזה היקף.
מתי התקנות מחייבות סקר סיכונים
תקנות הגנת הפרטיות (אבטחת מידע), התשע”ז-2017 מחייבות סקר סיכונים ומבדקי חדירה אחת ל-18 חודשים רק במאגרי מידע ברמת אבטחה גבוהה (תקנה 5). במאגרים ברמת אבטחה בינונית או גבוהה נדרשת גם ביקורת תקופתית אחת ל-24 חודשים (תקנה 16).
רמת האבטחה של מאגר נקבעת לפי סוג המידע שבו, מספר האנשים שהמידע עליהם ומספר בעלי ההרשאה, ולכן הצעד הראשון הוא לסווג את המאגרים. הסבר מלא בדף רמות אבטחה לפי התקנות. גם כשהתקנות לא מחייבות סקר, הוא הדרך המקובלת לקבוע מה לתקן קודם, ולקוחות גדולים ומבטחים מבקשים אותו לא פעם. לקביעה מדויקת של החובות בארגון שלכם מומלץ להתייעץ עם עורך דין.
שאלות נפוצות
באיזו תדירות כדאי לבצע סקר סיכונים?
המקובל הוא פעם בשנה, ובנוסף אחרי כל שינוי משמעותי: מעבר לענן, החלפת ספק IT, מערכת חדשה שמחזיקה מידע רגיש או אירוע אבטחה. ארגונים בתהליך ISO 27001 נדרשים ממילא לבחון את הסיכונים מחדש במועדים מתוכננים.
האם סקר סיכונים כולל ביקורת מערכות מידע?
חלקית. הסקר בוחן את הבקרות הקיימות ומצביע על פערים, אבל אינו מבדק טכני מלא של כל מערכת. כשנדרשת בדיקה טכנית עמוקה, כמו מבדק חדירה או סקירת הגדרות, היא מתווספת כשלב נפרד.
כמה עולה סקר סיכוני אבטחת מידע?
העלות נגזרת מגודל הארגון, ממספר המערכות ומעומק הבדיקה. בשיחת ההערכה נגדיר היקף מתאים ותקבלו הצעה ברורה מראש, בלי הפתעות ובלי חיוב לפי שעות פתוח.
מה ההבדל בין סקר סיכונים למבדק חדירה?
סקר סיכונים בוחן את התמונה הניהולית והארכיטקטונית, נכסים, תהליכים, בקרות וממשל, ומייצר תוכנית עבודה. מבדק חדירה מנסה לנצל חולשות טכניות ספציפיות. לרוב נכון להתחיל בסקר, ורק אז להחליט אם ואיפה נדרש מבדק חדירה.
כמה זמן זה לוקח?
בארגון בינוני, בדרך כלל שבועיים עד ארבעה שבועות מתחילת האיסוף ועד הצגת הדוח, תלוי בזמינות בעלי התפקידים ובמספר המערכות.
האם הסקר עוזר גם מול חברת הביטוח?
מאוד. מבטחי סייבר דורשים היום הוכחות מוכנות, סקר עדכני, גיבוי בדוק, MFA ונהלים. סקר מסודר משפר את התנאים, ולעיתים הוא תנאי לקבלת פוליסה או לתשלום תביעה.
קשור: CISO כשירות · ליווי ל-ISO 27001 · היערכות לתיקון 13
רוצים לדעת איפה אתם באמת חשופים?
שיחת הערכה ללא עלות, נגדיר יחד את היקף הסקר המתאים לארגון שלכם.
לתיאום שיחת הערכה