ISO 27001 או SOC 2: איך בוחרת חברת SaaS

מה כל אחד מהם בעצם

• ISO 27001 הוא תקן בינלאומי למערכת ניהול אבטחת מידע. ארגון בונה מערכת (סיכונים, מדיניות, בקרות, ביקורת פנימית, סקירת הנהלה), וגוף הסמכה מוסמך בודק אותה ומנפיק תעודה, עם ביקורות מעקב בהמשך.
• SOC 2 הוא דוח ולא תעודה. מבקר חיצוני, בדרך כלל משרד רואי חשבון, בוחן אם הבקרות של הארגון מתאימות לקריטריונים של שירותי אמון ומפיק דוח. ב-Type I הבחינה היא בנקודת זמן, וב-Type II היא לאורך תקופה.

ההבחנה הזו חשובה גם בשפה: אומרים "קיבלנו תעודת ISO" אבל "קיבלנו דוח SOC 2". ארגון שמתאר SOC 2 כתעודה יוצר רושם שגוי.

מה הלקוחות שלכם מבקשים

השאלה החשובה ביותר אינה איזה תקן "טוב יותר", אלא מה הלקוחות שלכם מבקשים. בשוק, לקוחות בארה"ב נוטים לבקש SOC 2, ולקוחות באירופה ובישראל לעיתים מבקשים ISO 27001, אבל זה כלל אצבע ולא חוק. הדרך האמינה לדעת היא לבדוק בשאלונים ובשיחות המכירה שכבר היו לכם: איזה מסמך נתבקש, ומי ביקש אותו.

ההבדלים המעשיים

• מי מנפיק: גוף הסמכה (ISO) מול מבקר חיצוני (SOC 2).
• צורת התוצר: תעודה עם תחולה מוגדרת מול דוח מפורט שנמסר ללקוחות בכפוף להסכם סודיות.
• גמישות: ב-ISO הארגון בוחר מערכת בקרות לפי הסיכונים שלו, תוך התאמה לתקן. ב-SOC 2 הארגון בוחר אילו קריטריונים לכלול בדוח ומתאר את הבקרות שלו.
• המשכיות: ב-ISO יש מחזור הסמכה וביקורות מעקב, וב-SOC 2 דוח Type II מתחדש מדי תקופה.
• מי קורא: ISO מספק תעודה שקל להציג, ו-SOC 2 מספק פירוט שצוותי אבטחה אוהבים לקרוא.

איך מחליטים

1. בדקו מה ביקשו הלקוחות הנוכחיים והפוטנציאליים בשנה האחרונה.
2. בדקו מה מבקשים משקיעים או רוכשים אפשריים.
3. שאלו מהו היקף המוצר, כדי להגדיר מה נכלל בהסמכה או בדוח.
4. ודאו מי אצלכם יוביל, כי שניהם דורשים אחריות פנימית ותיעוד.
5. בחנו את התקציב והזמן. אין כאן מספרים כלליים, כי הם תלויים בגודל, בהיקף ובגוף שנבחר.

לרוב מסתכמים בשאלה אחת: איזה מהם יסיר מחסום בעסקאות הקרובות. ומי שיש לו שני סוגי לקוחות, יכול להתחיל באחד ולהשתמש בעבודה שנעשתה גם עבור השני, כי יש חפיפה ניכרת בבקרות.

מה אסור להסיק מהם

• תעודה או דוח אינם הוכחה שהארגון מאובטח לחלוטין. הם מעידים על מערכת בקרות שנבדקה בהיקף ובתקופה מסוימים.
• הם אינם הוכחה לעמידה בחוק. תיקון 13 או GDPR הם דיני פרטיות, ותקן אבטחה יכול לתמוך בחלק מהדרישות בלבד. את הקשר המשפטי כדאי לבדוק מול עורך דין.
• הם אינם ערבות ללקוח, ואין לנסח אותם ככאלה בשאלונים או בחוזים.

מה כדאי לעשות כבר עכשיו, לפני שבוחרים

בלי קשר לבחירה, יש הכנות שמועילות לשניהם: מלאי נכסים ומערכות, מדיניות אבטחה קצרה, ניהול גישות, תהליך לשינויים, ניהול ספקים ותוכנית לאירועים. סקר סיכונים ראשוני יעזור להחליט מה בהיקף ומה לא. אפשר להתחיל משם ולבחור את המסלול לפי מה שהעסקאות דורשות.

איך נראה התהליך, בקווים כלליים

ב-ISO 27001 התהליך כולל בדרך כלל הגדרת היקף, סקר סיכונים, בחירת בקרות, כתיבת מדיניות ונהלים, הטמעה, ביקורת פנימית, סקירת הנהלה, ולאחר מכן ביקורת של גוף ההסמכה בשני שלבים. ב-SOC 2 בוחרים קריטריונים, בונים ומתעדים בקרות, ומבקר בוחן אותן בנקודת זמן (Type I) או לאורך תקופה (Type II). משכי הזמן משתנים מאוד לפי הארגון והגוף, ולכן לא נציג מספרים כלליים.

שני המסלולים דורשים נוכחות של ההנהלה, זמן של אנשי טכנולוגיה, ותיעוד שנשמר באופן שוטף ולא רק לקראת הביקורת.

כלי אוטומציה ומה הם לא עושים

בשנים האחרונות נפוצות פלטפורמות שאוספות ראיות באופן אוטומטי, כמו רשימות משתמשים, הגדרות ענן ומצב מכשירים. הן חוסכות עבודה ידנית, אבל אינן מחליפות את ההחלטות: מה בהיקף, אילו סיכונים מקובלים, ומי אחראי. בחירת כלי היא החלטה עסקית נפרדת, וכדאי לבדוק כל ספק לפי הצרכים ולא לפי הפרסום.

איך מתארים את זה ללקוחות

הדרך הנכונה להציג את המצב כוללת שלושה פרטים: מה ההיקף (איזה מוצר או איזו סביבה), מי הגוף שהנפיק או הפיק, ומה התקופה. לדוגמה, "דוח SOC 2 Type II שהופק על ידי מבקר חיצוני לתקופה פלונית ולמערכת פלונית". ניסוח מעורפל, כמו "אנחנו תואמי תקנים", מעורר שאלות ולעיתים חשדנות. וגם אם הצהרתם על תהליך שנמצא באמצע, ציינו שהוא באמצע.

אל תכתבו ללקוח או באתר שהתקן "מבטיח" משהו. מדובר בהוכחה חלקית לקיומה של מערכת בקרות, ותו לא.

דוגמה כללית להחלטה

חברת SaaS ישראלית מוכרת בעיקר ללקוחות בישראל ובאירופה. בשיחות מכירה הלקוחות שואלים בעיקר על תעודה בינלאומית, ואחדים מזכירים SOC 2 כשהם מגיעים מחברות אמריקאיות. החברה בודקת את השאלונים שקיבלה בשנה האחרונה ורואה ששניים ביקשו ISO 27001, ושלושה ביקשו אישור על "דוח צד שלישי". היא מחליטה להתחיל ב-ISO 27001, כי הוא מתאים לרוב הלקוחות, ובהמשך להוסיף SOC 2 כשיהיה לקוח שדורש אותו. זו רק דוגמה להליך חשיבה, ולא המלצה כללית.

שימו לב שההחלטה נשענה על נתונים מקומיים ולא על דעה כללית או על מה שעשו אחרים.

טעויות נפוצות בדרך

• להגדיר היקף רחב מדי, כך שהתהליך מתארך בלי שהלקוח צריך את זה.
• להגדיר היקף צר מדי, כך שהתעודה או הדוח לא מכסים את המוצר שהלקוחות קונים.
• להתייחס לתיעוד כמשימה לקראת הביקורת בלבד, ולא כחלק מהעבודה השוטפת.
• לבחור בגוף או במבקר לפי המחיר בלבד, בלי לבדוק את ההכרה והניסיון שלו.
• להסתמך על כלי אוטומציה בלי מי שמבין את התקן.
• לפרסם באתר ניסוח מוגזם על מה שהתקבל.

שאלות לגוף ההסמכה או למבקר

• האם הגוף מוכר ומוסמך, ומה ההכרה שלו מול לקוחות כמו שלכם?
• מה ההיקף שיוגדר ומי מאשר אותו?
• כמה ביקורות מעקב או חידושים צפויים, ומה לוח הזמנים?
• מה קורה אם נמצאו אי-התאמות, ואיך מטפלים בהן?
• מי הצוות שיבקר, והאם יש לו ניסיון בחברות דומות?

התשובות יעזרו להשוות בין הצעות ולהימנע מהפתעות באמצע התהליך.

שאלות נפוצות