שאלון אבטחה מלקוח ארגוני הוא לרוב אחד המכשולים הראשונים בעסקה. הוא מגיע עם עשרות או מאות שאלות, ולעיתים נראה כמו מבחן. מי שעונה עליו בחפזון נוטה להגזים, או להסתבך כשהלקוח מבקש הוכחות. מי שיש לו שיטה, מקצר את התהליך ושומר על אמינות. נעבור כאן על השיטה שבה CISO ניגש לשאלון, ועל הכללים שמונעים בעיות.
המאמר כללי ואינו ייעוץ משפטי. פרטים משפטיים כדאי לבדוק מול עורך דין.
שלב 1: למיין לפני שעונים
לפני שמתחילים למלא, כדאי לשאול כמה שאלות:
- מי שלח, ומה גודל העסקה והחשיבות שלה? לא כל שאלון מצדיק אותה השקעה.
- האם זה שאלון תקני (SIG, CAIQ ודומיהם) או מותאם? שאלון תקני אפשר למלא פעם אחת ולעשות בו שימוש חוזר.
- האם הלקוח מוכן לקבל במקום זאת מסמך קיים, כמו תקציר מדיניות או דוח שיש לכם?
- מה המועד, ומי יקרא את התשובות בצד של הלקוח?
לפעמים שיחה קצרה עם איש האבטחה של הלקוח חוסכת עשרות שאלות. יש שואלים מתוך שגרה, ויש שיסתפקו בהסבר על ההיקף.
שלב 2: תשובות שאפשר לעמוד מאחוריהן
הכלל החשוב ביותר: כל תשובה צריכה להיות נכונה ביום שבו היא נכתבת, ואפשר להוכיח אותה. כמה כללי עבודה:
- "כן" אומר שהבקרה קיימת ופועלת, לא שהיא מתוכננת. אם היא מתוכננת, כתבו "בתהליך" ותנו תאריך מציאותי.
- "לא" עם הסבר ותוכנית עדיף על "כן" שאי אפשר להוכיח.
- שימו לב להיקף: מה שנכון למוצר אחד אינו בהכרח נכון לכל הארגון. כתבו במפורש על איזו מערכת מדובר.
- אל תתארו תקן או דוח כמשהו שאינו. ISO 27001 ניתן על ידי גוף הסמכה, ו-SOC 2 הוא דוח של מבקר. אם אין לכם אחד מהם, אל תרמזו שיש.
- הימנעו מניסוח שמבטיח מהלך עתידי או תוצאה, למשל "המידע לא ייפרץ".
שלב 3: לבנות ספריית תשובות
אחרי שני או שלושה שאלונים, רואים שהשאלות חוזרות. ספריית תשובות היא קובץ מסודר לפי נושאים (גישה, הצפנה, גיבוי, ספקים, אירועים, פיתוח, משאבי אנוש) שבו לכל תשובה יש גרסה, תאריך אימות ומי אישר אותה. כדי שהספרייה תישאר אמינה, צריך לעדכן אותה כשמשהו משתנה, ולא רק כשמגיע שאלון.
שלב 4: ראיות שאפשר להציג
לקוחות מבקשים לא פעם מסמכים נלווים: מדיניות, תרשים ארכיטקטורה, סיכום בדיקת חדירות, דוח. לפני ששולחים, כדאי לבדוק מה מותר להעביר, איזה חלק רגיש, ואם נדרש הסכם סודיות. אפשר לשלוח תקציר ולא את המסמך המלא.
שלב 5: סקירה משפטית קלה
חלק מהשאלות הן בפועל התחייבויות חוזיות: "האם תודיעו תוך 24 שעות על אירוע?", "האם תמחקו מידע בסיום ההתקשרות?". תשובה כתובה בשאלון עלולה להפוך לציפיית הלקוח. כדאי שגורם משפטי יעבור על שאלות כאלה ויאשר שהן תואמות את ההסכם ואת היכולת בפועל. פרטים משפטיים כדאי לבדוק מול עורך דין.
הטעויות שחוזרות
- להעתיק תשובה מארגון אחר או משאלון ישן בלי לוודא.
- לענות "כן" על כל שורה כדי להרגיע, ואחר כך לא להצליח לספק הוכחה.
- לשלוח תשובה שונה לאותה שאלה בשאלונים שונים.
- להתעלם מהסעיפים שמתייחסים לספקי משנה, ולהשאיר את הלקוח בלי תשובה.
- לא לתעד מי אישר מה, ואז לא לדעת אחרי חצי שנה על מה חתמו.
מי עושה מה בתוך הארגון
שאלון אבטחה אינו משימה של אדם אחד. בדרך כלל מעורבים איש מכירות או מנהל לקוח (מקבל את השאלון ומנהל את הקשר), CISO או מי שמחליף אותו (מאשר את התשובות ואחראי לדיוק), איש טכנולוגיה (מאמת פרטים כמו הצפנה וגיבוי), וגורם משפטי (סוקר התחייבויות). כשהתפקידים לא ברורים, כל אחד מניח שהאחר בדק.
דרך פשוטה להתארגן: טבלה משותפת, שבה לכל שאלה יש בעלים, סטטוס ותאריך. חלוקה כזו גם מקצרת זמני מענה.
מה עושים כשהתשובה היא לא
כל ארגון נתקל בשאלה שהתשובה עליה שלילית. רצוי לא להיבהל. לקוחות מנוסים יודעים שאין ארגון מושלם, והם מחפשים בעיקר כנות ותוכנית. תשובה טובה אומרת מה המצב, מה הסיכון, איזו בקרה חלופית יש, ומתי מתוכננת התקדמות.
- מצב קיים: מה קיים כיום, בלי עיגול לטובה.
- בקרה חלופית: מה מקטין את הסיכון בינתיים.
- תוכנית: מי אחראי ומתי, בתאריך שאפשר לעמוד בו.
אחרי שהשאלון נשלח
לעיתים הלקוח חוזר עם שאלות המשך או מבקש שיחה. כדאי להיות מוכנים: מי יצטרף, אילו מסמכים אפשר להציג, ואיזה חלק לא ניתן לשתף. חשוב גם לשמור את השאלון המלא כפי שנשלח, כדי שאפשר יהיה להשוות בעתיד. אם משהו מהתשובות השתנה בזמן ההתקשרות, כדאי לעדכן את הלקוח ולא להמתין לשאלה.
ארגון שמתייחס לשאלונים כתהליך ולא כאירוע, מוצא שהם נעשים קלים יותר עם הזמן, ושהם גם מראים לו איפה כדאי לשפר.
דוגמה למבנה של ספריית תשובות
ספריית תשובות יכולה להיות פשוטה: גיליון עם עמודות לנושא, שאלה סטנדרטית, תשובה מאושרת, היקף (איזה מוצר או סביבה), מסמך תומך, תאריך אימות אחרון ובעלים. נושאים אופייניים הם ניהול גישות והרשאות, אימות דו-שלבי, הצפנה במעבר ובמנוחה, גיבוי ושחזור, ניהול שינויים, פיתוח מאובטח, ניהול חולשות, אבטחה פיזית, ספקי משנה, אירועי אבטחה, משאבי אנוש ופרטיות.
כל תשובה בספרייה היא טענה שהארגון מוכן לעמוד מאחוריה. לכן כדאי לקבוע תאריך אימות, למשל פעם בחצי שנה, ולסמן תשובות שלא אומתו כדי שלא יישלחו בטעות.
שאלונים תקניים מול שאלונים מותאמים
שאלונים תקניים, כמו SIG ו-CAIQ, מאורגנים לפי נושאים וחוזרים בין לקוחות, ולכן כדאי להשקיע במילוי אחד טוב ולשמור אותו. שאלונים מותאמים נוטים להיות קצרים יותר אך משקפים חששות ספציפיים של הלקוח, וכדאי לקרוא אותם בעיון כדי להבין מה מטריד אותו. לעיתים אפשר להציע שאלון תקני שכבר מולא במקום מותאם, וההצעה נענית בחיוב יותר ממה שחושבים.
מתי לסקור את הספרייה והתהליך
מועדים שכדאי בהם לעבור על התשובות: אחרי שינוי מהותי בארכיטקטורה או בספקים, אחרי אירוע אבטחה, אחרי קבלת תקן או דוח, ולפחות פעם בחצי שנה. כדאי גם לסכם אחרי כל שאלון גדול מה היה קשה, כדי לשפר את הספרייה ואת הבקרות עצמן.
שאלות נפוצות
האם חייבים למלא כל שאלון שהלקוח שולח?
לא תמיד. לעיתים הלקוח מוכן לקבל מסמך קיים או שיחה קצרה. כדאי לשאול לפני שמתחילים.
האם מותר לענות "בתהליך"?
כן, אם זה נכון ומצורף תאריך מציאותי. זה עדיף על "כן" שאינו מדויק.
האם תשובה בשאלון יכולה לחייב חוזית?
ייתכן. חלק מהתשובות נתפסות כהתחייבות, ולכן כדאי שגורם משפטי יסקור שאלות רגישות.
רוצים לדבר על המצב אצלכם?
שיחת ייעוץ ראשונית ללא עלות. נשמח להבין את הארגון ולהציע צעד הבא, בלי התחייבות.
הדרכה ותרגול לעובדים, ב-PhishingU
אנו עובדים עם PhishingU, חברה קשורה שמספקת סימולציית פישינג להפעלה עצמית והדרכת מודעות לעובדים. אפשר להריץ מבדק פישינג לעובדים בעצמכם, ואפשר להזמין הדרכה להעלאת המודעות של העובדים לאיומי סייבר. גילוי נאות: SYBER ו-PhishingU ישויות קשורות (ראו עמוד אודות).
מאמרים קשורים
מתי סטארטאפ כבר צריך מנהל אבטחת מידע, איך נראים 90 הימים הראשונים של CISO חיצוני, במה הוא שונה מבודק חדירות או איש IT, ומה לשאול לפני שמתקשרים.
ההבדל בין ISO 27001 ל-SOC 2 מזווית של חברת SaaS: מי נותן כל אחד, מה הלקוחות שואלים, איך מחליטים באיזה להתחיל, ולמה אף אחד מהם אינו הוכחה לאבטחה מושלמת.