סקר סיכונים וסקר פערים לאבטחת מידע: מה כולל והצעת מחיר

מה כולל סקר סיכונים

1. 1. מיפוי נכסים ומידע
   אילו מערכות, מאגרי מידע וסוגי מידע יש בארגון (כולל מידע אישי ורגיש), איפה הם מאוחסנים ומי ניגש אליהם.
2. 2. זיהוי איומים ופגיעויות
   מה יכול לפגוע במידע ובמערכות: תקיפה חיצונית, טעות אנוש, ספק חיצוני, תקלה, גישה לא מורשית.
3. 3. דירוג סיכונים
   לכל סיכון מעריכים סבירות והשפעה, ומקבלים דירוג שמאפשר לסדר עדיפויות.
4. 4. בחינת בקרות קיימות
   מה כבר קיים (נהלים, הרשאות, גיבויים, הדרכות, הצפנה) ומה חסר ביחס לדרישות הרלוונטיות.
5. 5. תכנית טיפול מתועדפת
   רשימת פעולות לפי חשיבות, עם אחראי ולוח זמנים מוצע לכל פעולה, ודוח שאפשר להציג להנהלה, ללקוח או למבקר.

ראו גם את ההגדרות במילון: סקר סיכונים וסקר פערים.

דוגמה לטבלת סיכונים

כך נראית, בצורה מופשטת, טבלת סיכונים בסוף סקר. זו דוגמה להמחשה בלבד ואינה נתוני לקוח: בסקר אמיתי הנכסים, האיומים והדירוגים נקבעים לפי הארגון.

סקר סיכונים מול סקר פערים מול מבדק חדירה

שלושת השירותים נקראים לעיתים בטעות בשם אחד, אבל הם עונים על שאלות שונות ואינם מחליפים זה את זה.

על מבדק חדירה ואבטחת רשתות: אבטחת רשתות ותשתיות.

מתי נדרש סקר סיכונים

• רגולציית אבטחת מידע: תקנה 5(ג) לתקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017, מחייבת במאגר מידע ברמת אבטחה גבוהה לערוך סקר לאיתור סיכוני אבטחת מידע לפחות אחת ל-18 חודשים, לדון בתוצאותיו, לבחון את הצורך בעדכון מסמך הגדרות המאגר או נוהל האבטחה ולפעול לתיקון הליקויים. החובה תלויה בסיווג רמת האבטחה של המאגר ואינה חלה על כל מאגר. תקנה 5(ד) קובעת בנפרד מבדקי חדירות אחת ל-18 חודשים במאגר ברמת אבטחה גבוהה, ותקנה 16 קובעת ביקורת תקופתית אחת ל-24 חודשים לפחות ברמה בינונית וגבוהה. תיקון 13 לחוק הגנת הפרטיות לא יצר את החובה אלא הוסיף סמכות להטלת עיצומים כספיים בשל הפרתה. כדאי לבדוק את סיווג המאגר ואת הדרישה המדויקת מול יועץ משפטי. ראו רישום מאגרי מידע ורמות אבטחה.
• ISO 27001: התקן דורש תהליך מתועד של הערכת סיכונים וטיפול בהם, ולכן סקר סיכונים וסקר פערים הם בדרך כלל השלב הראשון בהיערכות. ראו ISO 27001 ו-SOC 2.
• עסקה, השקעה או רכישה: משקיע או רוכש מבקש לדעת מה מצב האבטחה והפרטיות של החברה. ראו Cyber Due Diligence.
• שאלוני אבטחה מלקוחות: לקוחות גדולים מבקשים לעיתים הוכחה לניהול סיכונים. תוצר של סקר מסודר מאפשר לענות על השאלונים בצורה מתועדת.

סקר פרטיות

סקר פרטיות ממפה איזה מידע אישי הארגון אוסף, באילו מאגרים ומערכות הוא נשמר, לאן הוא זורם, מי מעבד אותו מטעם הארגון, על איזה בסיס חוקי הוא נמצא בשימוש, ואיך מטופלות הודעות לנושאי המידע ובקשות מימוש זכויות. לאחר מכן מודדים את המצב מול חוק הגנת הפרטיות, תקנות אבטחת מידע ותיקון 13, ומקבלים רשימת פערים ותכנית פעולה. אין הגדרה רגולטורית רשמית למונח "סקר פרטיות", זהו שירות מקצועי, והוא מסייע בהיערכות ואינו מאשר עמידה מלאה בחוק.

למידע נוסף: DPO חיצוני וממונה הגנת פרטיות, תיקון 13 ו-GDPR וההגדרה במילון.

הצעת מחיר לסקר סיכונים: מה משפיע על המחיר ומה לשלוח

אין מחיר אחיד לסקר סיכונים, כי ההיקף שונה מארגון לארגון. אלה הגורמים שקובעים את ההיקף ולכן את המחיר:

• היקף: מספר המערכות, האתרים, העובדים והמאגרים שנכללים
• רגישות המידע: האם יש מידע אישי רגיש, רפואי, פיננסי או מידע שחל עליו דין מיוחד
• מצב התיעוד: האם כבר קיימים נהלים, מפת מערכות ורשימת מאגרים, או שצריך לבנות אותם
• עומק הבדיקה: סקירת מסמכים בלבד, או גם ראיונות ובחינה טכנית של הגדרות
• התקן או הרגולציה שמודדים מולם (למשל ISO 27001 או חוק הגנת הפרטיות ותיקון 13)
• התוצרים הנדרשים: דוח להנהלה בלבד, או גם תכנית טיפול מפורטת, מצגת או מענה ללקוח או למבקר
• לוח הזמנים: האם יש מועד יעד, כמו עסקה, ביקורת או דרישת לקוח

מה כדאי לשלוח כדי לקבל הצעת מחיר

• תחום הפעילות של הארגון ומספר העובדים בקירוב
• רשימת המערכות המרכזיות (ענן, מערכות ליבה, אתר, ספקים עם גישה למידע)
• סוגי המידע שנאספים, ובמיוחד מידע אישי או רגיש, ואם יש מאגרים רשומים
• התקן או הרגולציה שהסקר אמור לענות עליהם, ומי מבקש אותו (הנהלה, לקוח, משקיע, מבקר)
• מסמכים קיימים: מדיניות אבטחה, דוחות קודמים, תוצאות מבדקי חדירה, הסמכות
• מועד יעד, אם יש, והאם נדרש דוח בעברית, באנגלית או בשתי השפות

אין צורך שהכול יהיה מוכן. גם תיאור קצר מספיק כדי להתחיל, והיקף מדויק מתבהר בשיחה הראשונה.

שאלות נפוצות