ייעוץ ISO 27001
ISO 42001 ו-SOC 2
ייעוץ ותחזוק שוטף של הסמכות ותהליכי ISO
מ-Gap Analysis ועד קבלת התעודה | ליווי מקצועי מלא ל-ISO 27001, ISO 42001, ISO 27017/27018/27701, ו-SOC 2 Type I & II.
מה כולל הייעוץ שלנו?
שירות מקיף מתחילת ועד תום | ליווי מעשי לאורך כל התהליך, כולל ISO 42001 לבינה מלאכותית
Gap Analysis
ניתוח פערים, מיפוי נכסים, הגדרת Scope ותכנית עבודה | שלב ראשון לכל פרויקט.
כתיבת מדיניות ונהלים
מדיניות אבטחת מידע, SoA, נהלים, נהלי AI, מסמכי מדיניות לבינה מלאכותית.
הטמעת תהליכים ובקרות
Annex A controls, ניהול סיכונים, ביקורות פנימיות, סקר הנהלה.
ביקורת פנים לפני הסמכה
ביקורת פנימית מקצועית לפני ה-Audit החיצוני | מזהה ממצאים ומונע כשלים בביקורת ההסמכה.
הכנה לביקורת חיצונית
הכנה ל-Stage 1 ו-Stage 2 Audit, ליווי מלא במהלך הביקורת מול גוף ההסמכה.
ISO 27799 | אבטחת מידע בבריאות
ליווי לקראת הסמכת ISO 27799 | תקן אבטחת מידע לסקטור הבריאות (MedTech, בתי חולים, DigitalHealth).
ISO 27017 | אבטחת ענן
תוספת לשירותי ענן | Cloud Security ו-Shared Responsibility Model.
ISO 27018 | פרטיות בענן
הגנה על PII בשירותי ענן ציבוריים | לספקי ענן ולמשתמשים.
ISO 27701 | PIMS
Privacy Information Management System | הרחבת ISMS לניהול פרטיות, מיושר עם GDPR ותיקון 13.
ISO 42001 | AI Governance
ממשל בינה מלאכותית | הכנת הארגון לתקן ISO 42001, נהלי AI, AI Risk Assessment.
SOC 2 Type I
הכנה לדוח SOC 2 Type I | הצהרה על עיצוב הבקרות.
SOC 2 Type II
הכנה לדוח SOC 2 Type II | אפקטיביות הבקרות לאורך 6-12 חודשים.
תהליך ההסמכה שלב אחר שלב
Gap Analysis
בחינת המצב הקיים ומיפוי הפערים | בדרך כלל 1-2 שבועות.
תכנון
בניית תוכנית עבודה, הגדרת Scope ו-Risk Assessment.
הטמעה
כתיבת נהלים, הטמעת בקרות, הדרכות לעובדים | עיקר הפרויקט.
ביקורת פנימית
ביקורת פנימית לפני ביקורת הסמכה, תיקון ממצאים.
הסמכה
Stage 1 + Stage 2 עם גוף הסמכה מוכר | קבלת התעודה.
ISO 27001 לעומת SOC 2 - מה ההבדל?
ISO 27001 הוא תקן בינלאומי לניהול אבטחת מידע (ISMS). SOC 2 הוא מסגרת ביקורת אמריקאית (AICPA) לשירותי ענן ו-SaaS. רוב הארגונים הישראלים המוכרים גם לשוק האמריקאי זקוקים לשניהם.
| קריטריון | ISO 27001 | SOC 2 |
|---|---|---|
| גוף מפרסם | ISO / IEC (בינלאומי) | AICPA (ארה"ב) |
| תוצר | תעודת הסמכה | דוח ביקורת (סודי ללקוחות) |
| שוק יעד | ישראל, אירופה, עולמי | ארה"ב - SaaS / ענן |
| מסגרת בקרות | Annex A - 93 בקרות | Trust Service Criteria (5) |
| משך ההכנה | 6–12 חודשים (מאפס) | 6–18 חודשים לType II |
| חידוש | Surveillance שנתי + Recert כל 3 שנים | Type II - ביקורת שנתית |
| מתאים ל | כל סקטור וגודל ארגון | SaaS, FinTech, MedTech |
ISO 27001
תקן בינלאומי
- מוכר בכל העולם (ISO/IEC)
- נדרש בשוק האירופי והישראלי
- מתאים לארגונים מכל הסקטורים
- מחייב ביקורת שנתית לחידוש
- כולל 93 בקרות (Annex A)
SOC 2
AICPA Framework
- נדרש לחברות SaaS המוכרות בארה"ב
- מתמקד בשירותי ענן ו-SaaS
- Type I = עיצוב בקרות
- Type II = אפקטיביות לאורך 6-12 חודש
- נמסר כדוח סודי ללקוחות
SOC 2 | מה כולל התהליך?
דו"ח SOC 2 הוא הסטנדרט בינלאומי שמסייע לחברה להניח את דעתם של לקוחות אמריקאים בנוגע לאבטחת המידע שלה. הדו"ח מכסה 5 Trust Service Criteria: Security, Availability, Processing Integrity, Confidentiality, Privacy.
SYBER מלווה חברות בכל שלבי SOC 2: Readiness Assessment, Gap Analysis, עיצוב בקרות, Remediation, בחירת CPA לביקורת, קבלת הדו"ח.
ISO 42001 | AI Governance
ממשל בינה מלאכותית לארגונים
ISO 42001 (2023) הוא התקן הבינלאומי הראשון לניהול מערכות בינה מלאכותית (Artificial Intelligence Management System | AIMS). הוא מגדיר דרישות לפיתוח, הטמעה ותפעול AI בצורה אחראית, שקופה וניתנת לביקורת.
כתיבת נהלים ומסמכי מדיניות ל-AI: SYBER מכינה מדיניות שימוש ב-AI, נהלי אחריות (AI Accountability), מדיניות שקיפות, הגבלות שימוש ב-AI לעיבוד מידע אישי, ונהלי בדיקה (Testing/Validation) למערכות AI.
הכנת הארגון לצמצום חשיפה ב-AI: AI Risk Assessment | זיהוי סיכוני AI לפי קטגוריות הסיכון של ה-EU AI Act: Unacceptable, High, Limited, Minimal. הטמעת בקרות לצמצום סיכוני Bias, Hallucination, Data Privacy ו-Security.
EU AI Act: תקנה אירופית שנכנסת לתוקף בהדרגה עד 2026. חלה על ארגונים ישראלים שמשתמשים ב-AI לשירות לקוחות אירופאים. SYBER מכינה ארגונים לעמידה בדרישות | כולל Conformity Assessment ל-High Risk AI Systems.
תקנים ומסגרות עבודה בינלאומיות
ISO 27002
מתווה מומלץ לבקרות ISO 27001. מכיל 93 בקרות המחולקות ל-4 תחומים: ארגוני, אנשים, פיזי, טכנולוגי.
ISO 27701 | PIMS
Privacy Information Management System | הרחבה של ISO 27001 לניהול מידע פרטי. מתלכד עם GDPR ותיקון 13. מכסה Data Controller ו-Data Processor.
ISO 27017 | אבטחת ענן
קווים מנחים לבקרות אבטחת מידע עבור שירותי ענן. מגדיר Shared Responsibility בין ספק הענן ללקוח. רלוונטי ל-AWS, Azure, GCP.
ISO 27018 | פרטיות בענן
הגנה על PII בשירותי ענן ציבוריים. מיושם על ספקי ענן המעבדים מידע אישי כ-Data Processors לפי GDPR.
ISO 42001 | AI Governance
תקן לניהול מערכות בינה מלאכותית. מגדיר דרישות לאחריות, שקיפות, ניהול סיכוני AI ועמידה ב-EU AI Act.
NIST Cybersecurity Framework
מסגרת הסייבר של NIST | Identify, Protect, Detect, Respond, Recover. נפוץ בחברות ישראליות עם לקוחות ופעילות בארה"ב.
HIPAA
חוק הניידות והאחריות של ביטוח הבריאות האמריקאי. חובה לכל חברת MedTech/HealthTech המשרתת לקוחות אמריקאים.
COBIT
מסגרת ממשל וניהול IT שפותחה על ידי ISACA. מסייעת לדירקטוריון לממש אחריות על סיכוני IT ולניהול GRC ברמה ארגונית.
שאלות נפוצות ISO 27001 ו-SOC 2
מוכנים להתחיל בתהליך ההסמכה?
נבצע Gap Analysis ונספק הערכת זמן ועלות מדויקת לפרויקט שלכם.