אבטחת מידע לעסקים: המדריך המעשי לעסק בינוני בישראל

מאת: עידן צברי, יועץ בכיר לאבטחת מידע והגנת פרטיות · עודכן ספטמבר 2026

מה באמת מאיים על עסק בינוני בישראל

התמונה שעולה מהשטח פשוטה יותר ממה שנדמה. רוב האירועים בעסקים בינוניים אינם תקיפה מתוחכמת אלא השתלטות על חשבון דואר באמצעות פישינג, כופרה שמגיעה דרך גישה מרוחקת פתוחה או דרך ספק, וזליגת מידע כשעובד עוזב ונשארת לו גישה. לפי נתונים שהוצגו בכנסת בדיוני חוק הגנת הסייבר הלאומי, ישראל היא מהמדינות המותקפות בעולם, עם ממוצע של כ-2,054 ניסיונות תקיפה לארגון בשנת 2024, כ-23 אחוזים מעל הממוצע העולמי. עסק בינוני לא נמצא מחוץ לטווח, הוא פשוט פחות מדווח.

מאיפה מתחילים: חמישה צעדים בסדר הנכון

הסדר חשוב לא פחות מהתוכן. הרבה עסקים קונים מוצר לפני שהם יודעים מה הם מגנים, ואז משלמים פעמיים.

1. מיפוי. איזה מידע יש לכם, איפה הוא יושב ומי ניגש אליו. בלי זה כל החלטה אחרת היא ניחוש.

2. זהויות והרשאות. אימות דו שלבי בכל החשבונות, ובעיקר בדואר ובמערכות הניהול, וסגירת גישות של עובדים וספקים שכבר אינם רלוונטיים.

3. גיבוי שנבדק. גיבוי מנותק מהרשת שמישהו באמת ניסה לשחזר ממנו. גיבוי שלא נבדק הוא הנחה, לא הגנה.

4. נוהל אירוע. דף אחד שאומר מי מרים טלפון למי בשתיים בלילה, את מי מיידעים ומתי מדווחים לרשות. בזמן אמת אף אחד לא ממציא תהליך.

5. בקרה על ספק ה-IT. הגדרה כתובה של מה הספק אחראי לו, ובדיקה תקופתית בלתי תלויה שהדברים אכן מבוצעים.

עבודה מרחוק וענן: שתי נקודות התורפה שחוזרות

עבודה מרחוק הפכה לברירת מחדל, ואיתה נכנסו לארגון מחשבים ביתיים, חיבורים מרוחקים ושיתופי קבצים שלא תמיד עברו בקרה. הכלל המעשי הוא שגישה מרחוק חייבת אימות דו שלבי, ושמחשב שאינו מנוהל על ידי הארגון לא אמור להחזיק מידע רגיש באופן מקומי.

בענן הבלבול הנפוץ הוא מודל האחריות המשותפת. ספק הענן אחראי לתשתית, אבל ההרשאות, השיתופים החיצוניים והגיבוי של התוכן נשארים באחריותכם. הרבה דליפות מידע בענן אינן פריצה אלא קובץ ששותף בקישור פתוח ונשכח.

אבטחת מידע לעסקים קטנים מול ארגונים בינוניים

ההבדל אינו ברמת האיום אלא בכמות המשאבים ובמורכבות. בעסק קטן אפשר לסגור חלק ניכר מהחשיפה בהגדרות נכונות של הכלים שכבר יש לכם, בלי רכש נוסף. בארגון בינוני נכנסים שחקנים נוספים: כמה ספקים, מערכות ליבה, לקוחות ששולחים שאלוני אבטחה ורגולציה שמחייבת תיעוד. שם כבר נדרש מישהו שמחזיק את התמונה המלאה ומדווח להנהלה.

מה הרגולציה דורשת מכם כבר היום

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף באוגוסט 2025 והרחיב משמעותית את חובות הארגונים שמחזיקים מידע אישי, לצד סמכויות אכיפה ועיצומים של הרשות להגנת הפרטיות. במקביל, חוק הגנת הסייבר הלאומי עבר קריאה ראשונה ביוני 2026 ונמצא בהכנה לקריאות שנייה ושלישית, והוא קובע חובת אבטחה סבירה לכל ארגון, גם כזה שאינו תשתית קריטית.

מי אחראי בפועל

שלושה תפקידים מתערבבים אצל רוב העסקים. מנהל ה-IT או ספק ה-IT אחראי לתפעול ולזמינות. מנהל אבטחת מידע, בין אם פנימי ובין אם CISO כשירות, אחראי לתוכנית העבודה, לניהול הסיכונים ולבקרה מעל הספק. ממונה הגנת פרטיות, בין אם פנימי ובין אם DPO כשירות, אחראי לציות לחוק הגנת הפרטיות ולטיפול בפניות של נושאי מידע. בעסק בינוני התפקידים האלה לא חייבים להיות שלושה אנשים, אבל הם כן חייבים להיות מוגדרים, ומי שמיישם לא אמור לבקר את עצמו.

שאלות נפוצות

כמה עולה אבטחת מידע לעסק בינוני?

העלות נגזרת משלושה משתנים: כמות המערכות והמשתמשים, רמת הרגולציה שחלה עליכם, והאם אתם בונים מאפס או משפרים מצב קיים. ברוב העסקים הבינוניים עיקר ההוצאה אינו ברכישת מוצרים אלא בזמן ניהול, כלומר מי אחראי שהדברים באמת נסגרים. כדאי להתחיל בסקר קצר שמתמחר את הפערים לפני שמתחייבים לתקציב שנתי.

מנהל ה-IT שלנו יכול לטפל בזה?

הוא יכול ליישם, אבל לא לבקר את עצמו. מנהל IT או ספק IT חיצוני אחראי על הזמינות והתפעול, ואותו גורם לא אמור לאשר שהבקרות שהוא עצמו הטמיע תקינות. הפרדה בין מי שמיישם למי שבודק היא אחד ההבדלים הבולטים בין עסק שעומד בביקורת לעסק שנופל בה.

מה עושים קודם כשהתקציב מוגבל?

אימות דו שלבי בכל החשבונות, גיבוי מנותק שנבדק בשחזור בפועל, ונוהל כתוב קצר לטיפול באירוע. שלושת אלה זולים יחסית, אינם דורשים פרויקט ארוך, וחוסמים את רוב התרחישים שפוגעים בעסקים בינוניים בישראל.

ביטוח סייבר מחליף אבטחת מידע?

לא. הפוליסה מכסה חלק מהנזק אחרי אירוע, אבל היא אינה מונעת אותו, ורוב המבטחים מתנים כיסוי בקיומן של בקרות בסיסיות כמו אימות דו שלבי וגיבויים. עסק שלא מקיים את התנאים עלול לגלות אחרי האירוע שהכיסוי מצומצם מכפי שחשב.

עסק קטן הוא בכלל מטרה?

כן, ולרוב לא באופן אישי. רוב התקיפות אינן ממוקדות אלא סורקות אוטומטית חשיפות נפוצות, ועסק קטן שמחובר לשרשרת אספקה של ארגון גדול הופך למסלול נוח לתוקף. בפועל, דווקא לקוחות גדולים הם אלה שמתחילים לדרוש מעסקים קטנים הוכחות בסיסיות לאבטחה.

מה תיקון 13 דורש מעסק בינוני?

תיקון 13 לחוק הגנת הפרטיות הרחיב את חובות הארגונים שמחזיקים מידע אישי, ובכלל זה מינוי ממונה הגנת פרטיות בחלק מהמקרים, תיעוד מסודר של המאגרים, וחובת דיווח לרשות על אירוע אבטחה חמור. ההיקף המדויק תלוי בסוג המידע ובהיקף הפעילות, ולכן כדאי לבדוק זאת פרטנית ולהתייעץ עם עורך דין לגבי המשמעויות המשפטיות.

רלוונטי להעמקה: ייעוץ אבטחת מידע · סקר סיכוני אבטחת מידע · היערכות לתיקון 13