ייעוץ אבטחת מידע לארגונים
רוב הארגונים הבינוניים בישראל לא סובלים ממחסור בכלי אבטחה. הם סובלים מהיעדר מישהו שמחליט מה מהם באמת מפחית סיכון, ומה רק צורך תקציב ותשומת לב.
הייעוץ מתחיל בשאלה אחת: מה יקרה לעסק אם המערכת הזו תיפול, או אם המידע הזה ידלוף החוצה. מהתשובה נגזרת תוכנית עבודה שמתועדפת לפי סיכון עסקי, לא לפי קטלוג מוצרים ולא לפי מה שבאופנה השנה.
את הליווי נותן עידן צברי אישית: רקע משולב של משפטים, ניהול תשתיות IT מבצעי והסמכת CISM. יועץ אחד, מתחילת הליווי ועד סופו.
מתי ארגון צריך ייעוץ אבטחת מידע
לא כל ארגון צריך יועץ, ולא בכל שלב. הסימנים שכן:
- לקוח או מכרז שלח שאלון אבטחה, ואין מי שיענה עליו בלי לנחש.
- הדירקטוריון שאל כמה אנחנו חשופים, ואין תשובה מסודרת שאפשר להציג.
- חברת הביטוח דורשת הוכחות מוכנות כתנאי לפוליסת סייבר או לחידוש.
- קרה אירוע, או כמעט אירוע, והתברר שאין תהליך מוגדר אלא אלתור.
- יש הרבה כלים והרבה התראות, ואין תוכנית עבודה שנתית שמישהו אחראי עליה.
- ספק ה-IT אומר שהכול בסדר, ואין מי שיבדוק את זה באופן בלתי תלוי.
- נכנסתם לתחולת תיקון 13, ואבטחת המאגר הפכה מהמלצה לחובה בדין.
באיזו מסגרת אתם באמת חייבים לעמוד, ובאיזו רק כדאי
זהו הבלבול הנפוץ ביותר, והוא עולה כסף לשני הכיוונים. ארגונים משקיעים בתקן שלא נדרש מהם, ומתעלמים מחובה בדין שכן.
חובה בדין: תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017
התקנות קובעות שלוש רמות אבטחה, בסיסית בינונית וגבוהה, לפי סוג המאגר, רגישות המידע והיקפו. הרמה קובעת מה חובה עליכם בפועל: מסמך הגדרות מאגר, סקר סיכונים תקופתי, מבדקי חדירות, ניהול והפרדת הרשאות, תיעוד אירועים ובקרת גישה.
זו נקודת ההתחלה של כל פרויקט אבטחת מידע בישראל. ארגון שלא יודע באיזו רמה הוא נמצא לא יודע מה נדרש ממנו, וכל השאר ניחוש. כאן מוסבר איך נקבעת הרמה.
תיקון 13, בתוקף מאוגוסט 2025, הוסיף על גבי זה חובת דיווח מיידי על אירוע אבטחה חמור, חובת מינוי ממונה לגופים מסוימים, ואחריות אישית מוגברת לנושאי משרה.
חובה חוזית: ISO/IEC 27001:2022
ברוב המקרים זו לא חובת דין אלא דרישת לקוח או תנאי במכרז. התקן מגדיר מערכת ניהול אבטחת מידע ו-93 בקרות ב-Annex A, והמעבר מנוסח 2013 הסתיים ב-2025.
ההסמכה שווה את ההשקעה כשיש לה החזר עסקי ברור: עסקה שנתקעת בלעדיה, מכרז שדורש אותה, או שוק שבו היא כרטיס כניסה. היא אינה תחליף לעמידה בתקנות.
מסגרת התייחסות: NIST CSF 2.0 ו-CIS Controls v8.1
אלה לא תקנים להסמכה אלא שפה לניהול ולדיווח. פונקציית ה-Govern שנוספה ב-NIST CSF 2.0 עוסקת בדיוק במה שתיקון 13 דורש מנושאי משרה: מי אחראי, איך מודדים, ואיך מדווחים למעלה. CIS Controls נותן סדר עדיפויות מעשי לארגון בינוני, כלומר מה עושים ראשון כשהתקציב מוגבל.
מה כולל הליווי
סקר מצב ומיפוי סיכונים
בדיקה מובנית של המצב בפועל: מערכות, הרשאות, גיבויים ושחזור, ספקים, תהליכים ותיעוד, מול הרמה הנדרשת בתקנות ומול מסגרות מקובלות. התוצר הוא מפת סיכונים ודוח מנהלים, לא רשימת ממצאים גולמית.
תוכנית עבודה מתועדפת
כל פער מקבל דירוג לפי השפעה עסקית, סבירות ועלות תיקון, ומתורגם למשימה עם אחראי, לוח זמנים ואומדן. מה שאפשר לסגור החודש נפרד ממה שדורש תקציב ברבעון הבא.
מדיניות ונהלים שאנשים באמת קוראים
מדיניות אבטחת מידע, נוהל ניהול הרשאות, נוהל גיבוי ושחזור, נוהל תגובה לאירוע, מדיניות שימוש בענן וב-AI. מותאמים לארגון, לא תבנית של שמונים עמודים שאיש לא פותח.
בקרה בלתי תלויה מעל ספק ה-IT
אנחנו לא מחליפים את ספק ה-IT, אנחנו בודקים אותו. בדיקת שחזור בפועל ולא רק דוח גיבוי ירוק, סקירת הרשאות תקופתית, מעקב אחר עדכוני אבטחה, ואימות שמה שהובטח אכן בוצע.
מוכנות לאירועים ותרגול הנהלה
תוכנית תגובה שמגדירה מי מחליט, למי מדווחים ותוך כמה זמן, כולל חובת הדיווח המיידי לרשות. ותרגיל שולחן עם ההנהלה, כי נוהל שלא תורגל הוא נייר.
המשכיות עסקית: RTO ו-RPO
קביעת יעדי זמן השבתה ואובדן מידע לכל מערכת קריטית, כהחלטה של ההנהלה ולא של מנהל ה-IT, ואז בדיקה אם התשתית הקיימת בכלל עומדת בהם. ברוב הארגונים התשובה מפתיעה.
מענה לשאלוני לקוחות ומכרזים
כשעסקה נתקעת על שאלון אבטחה, זה לא הזמן להתחיל לבנות מסמכים. אנחנו עונים על השאלונים, מתחזקים ערכת מסמכים מוכנה, ומלווים בשיחות מול צוותי הרכש והאבטחה של הלקוח.
מה תקבלו בסוף
| התוצר | למי הוא מיועד |
|---|---|
| דוח מנהלים, חמישה עד שמונה עמודים | מנכ״ל ודירקטוריון, בשפה עסקית, עם רמת חשיפה ותקציב |
| מפת סיכונים מדורגת | הנהלה: מה מסוכן ובאיזה סדר |
| תוכנית עבודה לשנים עשר חודשים | מנהל IT או ספק: משימות, אחראים, לוחות זמנים |
| ערכת מדיניות ונהלים | הארגון: מסמכים הניתנים להצגה בביקורת |
| מסמך פערים מול התקנות | רגולטור, מבטח, לקוח |
| דיווח תקופתי | דירקטוריון: מה נעשה, מה הסיכון כעת, מה הבא |
למה SEC-IT ולא פירמה גדולה
בפירמה גדולה תקבלו מתודולוגיה מצוינת, ובפועל, ברוב המקרים, צוות שמתחלף בין השלבים ולומד את הארגון מחדש בכל פעם, וחשבון לפי שעות.
כאן מקבלים יועץ בכיר אחד שמכיר את העסק, את המערכות ואת האנשים, ונשאר אותו אדם מהשיחה הראשונה ועד הדיווח הרבעוני השלישי.
היתרון הנוסף, והוא לא מובן מאליו בענף, הוא רקע מבצעי עמוק בניהול תשתיות IT. זו הסיבה שההמלצות ניתנות ליישום בתשתיות שלכם ובתקציב שיש לכם, ולא נשארות כמצגת שאיש לא ידע איך לבצע.
מה שלא נבטיח לכם: אף יועץ אינו יכול להבטיח מניעת תקיפות סייבר או עמידה מלאה בדרישות החוק, ומי שמבטיח זאת אומר לכם משהו שאינו יכול לקיים. מה שכן: הפחתת סבירות, צמצום נזק, ומערך ציות שעומד בביקורת.
שאלות נפוצות
מה ההבדל בין ייעוץ אבטחת מידע לבין CISO כשירות?
ייעוץ אבטחת מידע הוא לרוב פרויקטלי או בהיקף בקרה: סקר, תוכנית, נהלים, בדיקה תקופתית. CISO כשירות הוא תפקיד ניהולי מתמשך, עם אחריות שוטפת על ניהול הסיכון, נוכחות קבועה מול ההנהלה ודיווח לדירקטוריון. רוב הלקוחות מתחילים בייעוץ ועוברים ל-CISO כשההיקף מצדיק.
כמה זמן לוקח סקר אבטחת מידע?
לארגון בינוני, בין שבועיים לחודש מרגע קבלת הגישה למידע, תלוי במספר המערכות ובזמינות הגורמים בארגון. שיחת ההערכה הראשונית אורכת עשרים עד שלושים דקות ומספיקה כדי להעריך היקף.
יש לנו ספק IT. אתם מחליפים אותו?
לא, ואנחנו גם לא רוצים. ספק ה-IT מפעיל את המערכות, אנחנו מגדירים את דרישות הסיכון, בודקים שהן מיושמות ומדווחים להנהלה. ההפרדה הזו היא ממשל תאגידי תקין, ורוב מנהלי ה-IT מקבלים אותה בברכה, כי היא נותנת להם גיבוי מקצועי מול ההנהלה.
אנחנו כבר מוגנים היטב. עדיין צריך?
העיצום הראשון בישראל לפי תיקון 13 הוטל על ארגון גדול ומאובטח. ההפרה לא הייתה פריצה אלא איחור בדיווח. ארגון יכול להיות מוגן היטב טכנולוגית ועדיין חשוף רגולטורית, כי חסר לו נוהל כתוב ומתועד. זה בדיוק הפער שסקר מגלה.
מה זה עולה?
תלוי בהיקף: סקר חד-פעמי, ליווי תקופתי או ניהול שוטף. בשיחת ההערכה, שהיא ללא עלות, נגדיר יחד היקף שמתאים לצורך האמיתי, ותקבלו הצעה מסודרת.
רוצים לדעת איפה אתם באמת עומדים?
שיחת הערכה עם יועץ בכיר, עשרים עד שלושים דקות, ללא עלות וללא התחייבות. בסופה תקבלו סיכום כתוב עם המלצה על סדר הפעולות, גם אם תחליטו להמשיך לבד.
קשור: רמות אבטחה · סקר סיכוני אבטחת מידע · ליווי ISO 27001 · היערכות לתיקון 13