בסטארטאפים מוקדמים אבטחת מידע היא בדרך כלל מישהו מהצוות הטכני שמטפל בה "בנוסף". זה עובד עד שמשהו משתנה: לקוח גדול שולח שאלון, משקיע מבקש בדיקת נאותות, או אירוע קטן מזכיר שאין תוכנית. בנקודה הזו לא תמיד צריך CISO במשרה מלאה. לפעמים מספיק CISO חיצוני בהיקף חלקי. כאן נעבור על מה שמעורר את הצורך, מה בפועל קורה בתחילת עבודה, ומה לשאול לפני שמתקשרים.
המאמר כללי ואינו ייעוץ משפטי. פרטים משפטיים כדאי לבדוק מול עורך דין.
סימנים שהגיע הזמן
- לקוח ארגוני שולח שאלון אבטחה ואף אחד לא יודע לענות עליו בביטחון.
- משקיע או רוכש פוטנציאלי מבקש לראות מדיניות, תיעוד או בדיקות.
- לקוח מבקש תקן או דוח, כמו ISO 27001 או SOC 2, ואתם לא יודעים מאיפה מתחילים.
- הצוות גדל ואין כבר סדר ברור בהרשאות, במכשירים ובגישה לייצור.
- קרה אירוע, אפילו קטן, ואין תוכנית כתובה.
- מנכ"ל או סמנכ"ל טכנולוגיות מבזבזים זמן על נושאי אבטחה במקום על המוצר.
מה התפקיד בפועל, ובמה הוא שונה מכלים אחרים
לעיתים מבלבלים בין כמה תפקידים שנוגעים באבטחה:
- בודק חדירות מוצא חולשות טכניות בנקודת זמן. זה חשוב, אבל הוא לא מנהל את תוכנית האבטחה.
- איש IT או DevOps מתפעל מערכות וגישות. הוא לא בהכרח מגדיר מדיניות, סיכונים וסדרי עדיפויות.
- יועץ ציות עוזר לעמוד בתקן או ברגולציה. CISO קובע מה הארגון צריך בפועל, וציות הוא חלק מזה.
- CISO חיצוני נוטל את האחריות המקצועית על התוכנית: סיכונים, מדיניות, עדיפויות, תקשורת עם הלקוחות והנהלה, וליווי אירועים.
איך נראים 90 הימים הראשונים
כל התקשרות מותאמת, אבל מבנה כללי נפוץ הוא כזה:
- הכרות: מה המוצר, איפה המידע, מי הלקוחות ומה הם דורשים.
- תמונת מצב: סקירה קצרה של הבקרות הקיימות, הגישות, הספקים והתיעוד, ורשימת פערים לפי סיכון.
- סדר עדיפויות: שלושה עד חמישה דברים שישנו הכי הרבה, בלי להציף את הצוות.
- בסיס תיעוד: מדיניות קצרה, מלאי נכסים ומידע, ותוכנית לאירוע, כך שאפשר להראות ללקוח.
- קצב קבוע: פגישה שוטפת, דוח קצר להנהלה, וזמינות כשיש שאלון או אירוע.
אין הבטחה לתוצאה מסוימת בתוך זמן מסוים. הקצב תלוי בגודל הצוות, במורכבות המוצר ובזמן שהצוות יכול להקדיש.
מה הארגון צריך לתת
CISO חיצוני לא יכול לעבוד בחלל ריק. כדאי להבטיח מראש: איש קשר טכני אחד עם זמן קבוע, גישה לתיעוד ולמערכות הרלוונטיות, והחלטה של ההנהלה מי מוסמך לאשר שינויים. בלי זה, גם הייעוץ הטוב ביותר יישאר במצגת.
מודלים להתקשרות
המודלים הנפוצים הם היקף חודשי קבוע של שעות או ימים, ליווי פרויקט נקודתי (למשל הכנה לתקן), או שילוב. מה שחשוב הוא לא שם המודל אלא מה כתוב בהסכם: מה כלול, מה זמן התגובה, איך מדווחים, ואיך אפשר להפסיק. מחיר תלוי בהיקף ובמורכבות ונקבע בהצעה.
שאלות לפני שמתקשרים
- מי בפועל יעבוד איתנו, ומה הניסיון שלו בחברות דומות?
- מה זמן התגובה לשאלון דחוף או לאירוע?
- איך תיראה התוצר הראשון, ומתי?
- האם יש לנותן השירות אינטרס כלכלי בכלים או בספקים שיומלצו לנו?
- מה קורה למסמכים ולגישות כשההתקשרות מסתיימת?
- מה מחוץ להיקף, ומי עושה אותו?
מה נראה בדרך כלל בתוצרים
- מסמך מדיניות אבטחה קצר, בשפה שהצוות מבין, ולא ספר של מאה עמודים.
- מלאי נכסים ומידע: איפה הנתונים הרגישים וממי הם נגישים.
- מפת סיכונים עם סדר עדיפויות, שהנהלה יכולה לקרוא בעשר דקות.
- מסמך ארכיטקטורה ותיאור הגנות שאפשר לשתף עם לקוח.
- תוכנית לאירוע, כולל מי מחליט ומי מתקשר למי.
- ספריית תשובות לשאלוני אבטחה, כדי לא להתחיל מאפס בכל עסקה.
כל אלה הם דוגמאות. הרכב התוצרים משתנה לפי השלב והמוצר, ואין רשימה אחת שמתאימה לכולם.
הסיכונים שחוזרים בסטארטאפים
בלי להצביע על חברה מסוימת, יש דפוסים שחוזרים בארגונים צעירים: מפתחים עם גישה רחבה לסביבת ייצור, סודות וסיסמאות בקוד או בצ׳אט, חשבונות משותפים, ספקי SaaS רבים בלי מי שמנהל אותם, עובדים שעזבו והגישות שלהם נשארו, וגיבויים שאיש לא בדק. אלה בדרך כלל לא בעיות מורכבות, אלא עניין של סדר ואחריות.
CISO חיצוני מתעדף: מה מסוכן באמת, מה אפשר לתקן בשבוע, ומה צריך להחליט עליו ברמת ההנהלה.
ומתי עדיין לא
חברה בשלב מוקדם מאוד, בלי לקוחות ארגוניים ובלי מידע רגיש, אולי לא צריכה עדיין ליווי קבוע. לעיתים מספיקה שיחה חד-פעמית ורשימת בסיס: אימות דו-שלבי, ניהול סיסמאות, גיבויים והרשאות מינימליות. אם אין צורך, עדיף לומר זאת בגלוי. גם ליווי חלקי כדאי להתחיל בהיקף קטן ולהרחיב אם מתברר שהוא מועיל.
תרחיש כללי: הלקוח הארגוני הראשון
סטארטאפ SaaS קטן סוגר פיילוט עם לקוח ארגוני. בשבוע האחרון לפני החתימה מגיע שאלון אבטחה ארוך, ובו שאלות על הצפנה, ניהול גישות, גיבוי, בדיקות חדירה ותוכנית לאירוע. הצוות הטכני עונה על מה שהוא יודע, אבל חסרים מסמכים, ויש שאלות שאיש אינו בטוח בתשובה עליהן. זו נקודה שבה CISO חיצוני יכול לקצר את התהליך: למיין את השאלות, להשלים תיעוד חסר, לנסח תשובות כנות, ולהחליט מה לתקן אחרי החתימה.
התרחיש הזה אינו מקרה אמיתי אלא דוגמה לדפוס שחוזר. מה שחשוב בו הוא שהשיחה עם הלקוח נשארת מקצועית, ושהחברה לא מבטיחה דברים שאינה יכולה לעמוד מאחוריהם.
איך יודעים שזה עובד
בלי להסתמך על מספרים כלליים, אפשר לבדוק כמה סימנים: האם זמן המענה לשאלון התקצר? האם ההנהלה מקבלת תמונה קבועה ומבינה אותה? האם הצוות הטכני יודע מה הסדר העדיפויות? האם יש תיעוד שאפשר להראות? האם אירוע קטן טופל לפי תוכנית? אם התשובה לרוב השאלות היא כן, ההתקשרות מועילה. אם לא, הגיע הזמן לשוחח על ההיקף או על הצורה.
סימנים להתקשרות טובה
- ההיקף והתוצרים כתובים ומובנים לשני הצדדים.
- יש אדם מוגדר שאחראי מצד נותן השירות, ושם אחד ברור מצד הארגון.
- הדיווחים קצרים, מתוארכים וכוללים מה לא הושלם.
- ההמלצות מנומקות לפי סיכון ועלות, ולא לפי כלי מסוים.
- כשמשהו אינו בתחום, נאמר זאת בגלוי ומוצע מי כן יכול לטפל בו.
אפשר לבדוק את אלה גם בהתקשרות קיימת. אם רובם חסרים, כדאי לשוחח על שינוי.
שאלות נפוצות
האם סטארטאפ קטן צריך CISO?
לא תמיד במשרה מלאה. כשיש לקוחות ארגוניים, משקיעים או דרישות רגולטוריות, ליווי חלקי יכול להספיק. ההחלטה תלויה בסיכון, בלקוחות ובשלב החברה.
האם CISO חיצוני מחליף בדיקת חדירות?
לא. בדיקת חדירות מוצאת חולשות טכניות בנקודת זמן, ו-CISO מנהל את תוכנית האבטחה. שניהם משלימים.
האם CISO חיצוני מבטיח שנקבל תקן או דוח?
לא. תקן ניתן על ידי גוף הסמכה, ודוח על ידי מבקר. ה-CISO מכין ומלווה, אבל התוצאה תלויה גם בגוף החיצוני.
רוצים לדבר על המצב אצלכם?
שיחת ייעוץ ראשונית ללא עלות. נשמח להבין את הארגון ולהציע צעד הבא, בלי התחייבות.
הדרכה ותרגול לעובדים, ב-PhishingU
אנו עובדים עם PhishingU, חברה קשורה שמספקת סימולציית פישינג להפעלה עצמית והדרכת מודעות לעובדים. אפשר להריץ מבדק פישינג לעובדים בעצמכם, ואפשר להזמין הדרכה להעלאת המודעות של העובדים לאיומי סייבר. גילוי נאות: SYBER ו-PhishingU ישויות קשורות (ראו עמוד אודות).
מאמרים קשורים
מה כולל השירות, למי הוא מתאים ואיך בוחרים.
איך לענות על שאלון אבטחה של לקוח ארגוני: מיון השאלון, תשובות כנות שאפשר לעמוד מאחוריהן, ספריית תשובות, בדיקה משפטית והטעויות שהכי מסתבכים בהן.