בשנים האחרונות, המינוח "CISO as a Service" (vCISO, Fractional CISO, מנהל אבטחת מידע חיצוני) הפך לנפוץ מאוד בשוק הסייבר הישראלי. המודל מאפשר לארגון לקבל את מומחיות ה-CISO, ללא העלות הכוללת של שכיר במשרה מלאה.
אך מה בדיוק כולל שירות זה? מי האנשים הנכונים לספק אותו? ואיך מוודאים שמקבלים ערך אמיתי? מדריך זה עונה על כל השאלות.
מה כולל שירות CISO as a Service?
שירות CISO as a Service טוב מכסה את מלוא היקף תפקיד ה-CISO הפנימי, בהיקף מותאם:
ניהול תכנית אבטחה שנתית
בניית תכנית עבודה מולטי-שנתית עם יעדים, לוחות זמנים ותקציב. דיווח רבעוני להנהלה.
ניהול סיכונים שוטף
עדכון Risk Register, ניתוח סיכונים חדשים, קביעת עדיפויות ותיאום תכנית הטיפול.
ציות לרגולציה
ניהול תהליך ISO 27001 / SOC 2 / GDPR / תיקון 13 מקצה לקצה: Gap Analysis, Policy Writing, Internal Audit.
מענה לשאלוני אבטחה
תשובות לשאלוני לקוחות (SIG, CAIQ, VSAQ, שאלוני ממשלה). ייצוג בפגישות Due Diligence.
ניהול ספקי צד שלישי
Security Assessment לספקים, ניהול DPA ו-MSA, ניהול הסכמי SLA לאבטחה.
תגובה לאירועי אבטחה
הכנת IRP, ניהול הטיפול בפרצות, דיווח לרשויות תוך 72 שעות, ניהול מדיה.
הדרכות עובדים
Phishing Simulations, הדרכות GDPR, Secure Development Awareness, Security Induction לעובדים חדשים.
ועדת ענן ואישורי כלים
ניהול ועדת ענן חודשית, בחינת כלים חדשים לפני הטמעה, מדיניות Shadow IT.
מי צריך CISO as a Service?
הסימנים שמאותתים שהגיע הזמן לגייס vCISO:
שאלוני אבטחה מלקוחות
לקוחות Enterprise שולחים CAIQ, SIG, או שאלוני אבטחה מותאמים. ה-CTO עונה כרגע, ורוב הזמן הוא בפיתוח.
ISO 27001 / SOC 2 הוא תנאי לחוזה
לקוח גדול דורש הסמכה. בלי CISO, התהליך לא מתקדם מספיק מהר.
גיוס הון / Due Diligence
VC או PE מבצעים Due Diligence. שאלות אבטחה צצות ואין מי שעונה מקצועית.
שוק מוסדר
חברה שנכנסת לשוק הפיננסים, הבריאות, הביטוח, או המגזר הממשלתי.
פרצת מידע או אירוע אבטחה
אחרי אירוע אבטחה, ברור שצריך מישהו שיבנה את ה-IR Plan ויחזק את ההגנות.
Exit לחו"ל
לפני Exit, בייחוד לשוק האמריקאי, רוכשים פוטנציאליים בוחנים את מצב האבטחה לפרטי פרטים.
מחירי CISO as a Service
מחיר שירות CISO as a Service משתנה לפי היקף הפעילות. להלן המודלים הנפוצים:
יום בשבוע
~12,000-18,000 ₪/חודש
כ-4-5 ימי עבודה בחודש. מתאים לארגונים שצריכים נוכחות שוטפת יחסית.
מתאים ל: Startups מגייסים, Pre-SOC2
חצי יום בשבוע
~7,000-12,000 ₪/חודש
כ-8-10 שעות בחודש. מתאים לארגונים עם צוות טכני חזק שצריך ניהול ואסטרטגיה.
מתאים ל: Early Stage, Pre-Seed, Seed
שעתי / פרויקטאלי
350-600 ₪/שעה
עבור משימות ספציפיות: מענה ל-RFP, Gap Analysis, כתיבת מדיניות.
מתאים ל: משימות חד-פעמיות
חיסכון ממשי: CISO פנימי בישראל עולה 40,000-80,000 ₪/חודש (שכר + הטבות + גיוס + ציוד). CISO as a Service עם כל השירות עולה 10-25% מזה. המשמעות: חיסכון של 35,000-65,000 ₪ בחודש, כשנה אחת מממנת 3-4 שנות CISO as a Service.
איך בוחרים ספק CISO as a Service?
לא כל מי שמציע "CISO as a Service" מתאים. שאלו את השאלות הבאות לפני החתימה:
מה הרקע של ה-CISO?
וודאו שיש הסמכות מקצועיות (CDPSE, CISSP, ISO 27001 Lead Implementer) ולא רק ניסיון כוללני.
האם יש רקע משפטי?
CISO שהוא גם עורך דין מסוגל לנהל DPA, לדווח לרשויות, ולייצג אתכם בפגישות משפטיות. זה יתרון ייחודי.
האם יש ניסיון ספציפי לתעשייה שלכם?
FinTech, MedTech, ממשלתי ו-Enterprise שונים לחלוטין. הספק שלכם צריך להכיר את הרגולציה הרלוונטית.
מה מנגנון הזמינות?
מה קורה בפרצת מידע ב-11 בלילה? יש SLA ברור? זמינות חירום?
האם מספקים צוות או אדם אחד?
ספק שנותן גישה לצוות (CISO + DPO + יועץ ISO) נותן ערך גבוה הרבה יותר מאדם יחיד.
שאלות נפוצות
האם CISO as a Service מתאים לחברה קטנה?
בהחלט. למעשה, CISO as a Service תוכנן בדיוק עבור חברות קטנות ובינוניות שאינן יכולות להרשות לעצמן CISO פנימי. הוא מאפשר גישה לרמת מומחיות שבעבר הייתה שמורה לארגונים גדולים בלבד.
האם vCISO יכול לייצג אותנו מול לקוחות בחו"ל?
כן. SYBER מייצגת לקוחות ישראלים בפגישות Due Diligence עם Enterprise אמריקאי ואירופאי, עונה על שאלוני אבטחה באנגלית, ומתקשרת ישירות עם צוותי אבטחה בינלאומיים.
מה ה-SLA של CISO as a Service?
SYBER מספקת SLA הכולל: תגובה לפניות תוך 24 שעות בימי עבודה, זמינות חירום לאירועי אבטחה, ומשלוח תוצרים לוח זמנים מוסכם. כל ההתחייבויות מוגדרות בחוזה.
כמה זמן לוקח להיות "מוכנים" עם CISO as a Service?
ה-Onboarding לוקח 2-4 שבועות: לימוד הסביבה, תיעוד נכסים ורשתות, ביצוע Gap Analysis ראשוני, ותכנון שנה ראשונה. לצרכים דחופים (RFP עד שבוע) SYBER זמינה מיידית.
התחילו עם CISO as a Service של SYBER
צוות SYBER: עורך דין + CDPSE (ISACA) + ISO 27001 Lead Implementer. ייצוג בינלאומי, זמינות מיידית, מחיר שקוף.