WHY
למה הארגון שלך חייב סקר סיכוני סייבר?
סקר סיכונים מקצועי הוא הבסיס לכל תוכנית אבטחת מידע: הוא ממפה את הנכסים, מזהה איומים ונקודות תורפה, מדרג את הסיכונים לפי השפעה וסבירות - ומתרגם את התמונה לתכנית עבודה מעשית. התיק משמש את ההנהלה, הרגולטור, ביטוח הסייבר ותהליכי ההסמכה של הארגון.
הסקר מבוצע לפי מתודולוגיה סדורה על בסיס ISO 27001 ו-NIST 800-30: שאלון מובנה בהתאם לתחום העיסוק ולמתודה, המכסה תשתיות, מערכות, נהלים, ספקים, גיבויים והרשאות. התוצר - מטריצת סיכונים מדורגת, תכנית עבודה רב-שנתית מתועדפת לפי עלות-תועלת והגדרת תאבון סיכון ארגוני, חתומים דיגיטלית על ידי מומחה מוסמך.
ENGINE 01
מנוע דירוג סיכון - ISO/IEC 27005
דירוג סיכונים לפי מתודולוגיית ניהול הסיכונים של משפחת ISO 27001.
ENGINE 02
מנוע דירוג סיכון - NIST 800-30
הערכת סבירות והשפעה לפי המתודולוגיה האמריקאית לניתוח סיכוני סייבר.
ENGINE 03
מנוע דירוג סיכון - עלות-תועלת
תיעדוף הטיפול בסיכונים לפי עלות מול תועלת, לתכנית עבודה ריאלית.
MATURITY
מנוע בשלות ארגוני
מדידת רמת הבשלות של הארגון באבטחת מידע ומעקב התקדמות לאורך זמן.
SCOPE
מה כולל התיק?
[ A ]
מאגר אלפי שאלות בקרה
שאלון מובנה המכסה את כל תחומי אבטחת המידע: תשתיות, מערכות, נהלים, ספקים, גיבויים והרשאות - מותאם לגודל ולענף.
[ B ]
מטריצת סיכונים
זיהוי איומים ונקודות תורפה, הערכת השפעה וסבירות ודירוג כל סיכון - תמונת מצב שההנהלה מקבלת עליה החלטות.
[ C ]
תכנית עבודה רב-שנתית
תעדוף טיפול לפי עלות-תועלת, אבני דרך והמלצות מעשיות - כולל הגדרת תאבון סיכון ארגוני.
[ D ]
ליווי הסמכה
התיק חתום דיגיטלית על ידי מומחה מוסמך ומלווה מול הרשויות והגורם המסמיך - עד קבלת האישור הסופי.
SURVEY
מה נסקר בתהליך?
ההערכה ממפה את חשיפת הארגון בשלושה מישורים מקבילים, והניתוח המשולב מספק תמונת סיכון אינטגרטיבית.
[ 01 ]
נכסי מידע
מאגרי לקוחות, מידע אישי מזהה (PII), קניין רוחני, חוזים, מסמכים פיננסיים וסודות מסחריים. סיווג לפי רגישות והשפעה עסקית.
[ 02 ]
תשתיות טכנולוגיות
מערכות הפעלה, רכיבי רשת, שרתים, סביבות ענן (Cloud/SaaS), ממשקי API, תחנות קצה, גיבויים ופלטפורמות צד שלישי.
[ 03 ]
היבט ארגוני
מבנה אחריות, הרשאות, נהלי קליטה ופרישת עובדים, הסכמי סודיות, ניהול ספקים, מודעות עובדים ותגובה לאירועים.
PROCESS
תהליך העבודה בארבעה שלבים
01
מיפוי וסיווג נכסים
שאלון חכם + מיפוי מלא של הנכסים והתשתיות.
02
ניתוח איומים והערכת הסתברויות
מטריצת סיכונים לפי השפעה וסבירות.
03
מבדק חוסן ובדיקות חדירות (אופציונלי)
שלב נפרד המדמה תקיפה אמיתית, מומלץ לתעשיות רגולטוריות (פיננסים, בריאות, ממשל, חברות ציבוריות).
04
גיבוש תוכנית הפחתה Mitigation Plan
המלצות מדורגות, אחריות ולוחות זמנים.
COMPLIANCE
תקנים ורגולציה
ההערכה נכתבת בהתאמה לסטנדרטים המקצועיים והמשפטיים הרלוונטיים לארגון. ניתן להתאים את ההיקף למסגרת רגולטורית בודדת או לשילוב של מספר מסגרות במקביל.
ISO 27001:2022
ניהול אבטחת מידע
תקן בינלאומי, מהווה בסיס להסמכה
ISO/IEC 27005
ניהול סיכוני אבטחת מידע
מתודולוגיית ניהול הסיכונים של משפחת ISO 27001
NIST 800-30
הערכת סיכוני סייבר
מתודולוגיה אמריקאית מקובלת
תקנות 2017
הגנת הפרטיות (אבטחת מידע)
חלות על ארגונים בישראל המעבדים מאגרי מידע אישי, ברמת אבטחה לפי סיווג המאגר
ISO 27032
הגנת סייבר
הרחבה ל-27001 בהיבט סייבר
ISO 27701
פרטיות מידע (PIMS)
משלים ל-GDPR ולתקנות 2017
GDPR
הגנת פרטיות אירופאית
לארגונים עם מעורבות בשוק האירופי
HIPAA
בריאות (ארה"ב)
לחברות עם מעורבות בשוק הרפואי האמריקאי
SOC 2
תקן שירותי ענן
לחברות SaaS וטכנולוגיה
SECTORS
התאמה ענפית של הסקר
FINANCE
פיננסים ובנקאות
עמידה בהוראות בנק ישראל, PCI DSS ו-SOX; הגנה על נתוני אשראי ומניעת הונאות.
HEALTH
בריאות ורפואה
ניהול מידע רפואי רגיש (PHI) לפי ISO 27799 והנחיות משרד הבריאות; הגנה על מערכות רפואיות ומכשור מחובר.
HIGH-TECH
הייטק וסטארטאפים
הגנה על קניין רוחני, קוד מקור ונתוני משתמשים; היערכות ל-SOC 2 ו-ISO 27001.
LEGAL
משרדי עורכי דין
הגנה על סודיות לקוחות וקבצים רגישים, בהתאם לכללי לשכת עוה"ד והגנת הפרטיות.
CPA
משרדי רואי חשבון
מעטפת הגנה על מידע פיננסי, עסקי ואישי; מניעת אחריות משפטית מול לקוחות ורשויות המס.
REAL ESTATE
נדל"ן
הגנה על עסקאות ומידע בסכומי מיליונים; מניעת הונאות העברות כספים.
OT / ICS
תעשייה ותשתיות
אבטחת סביבות OT/ICS ומערכות SCADA לפי IEC 62443.
GOV
ממשלה ורשויות
עמידה בהנחיות מערך הסייבר הלאומי וחוק הגנת הפרטיות.
NGO
עמותות וארגונים חברתיים
הגנה על מידע תורמים ומוטבים.
SMB
עסקים קטנים ובינוניים
סקר מותאם לצרכים ולתקציב, כולל דרישות ביטוח סייבר.
FRACTIONAL CISO
ליווי שוטף - המשך טבעי לסקר
ארגונים שאינם נדרשים ל-CISO במשרה מלאה מקבלים ליווי שוטף (CISO-as-a-Service):
- ▸ ניהול תוכנית האבטחה הרב-שנתית שגובשה בסקר
- ▸ מעקב חודשי אחר יישום בקרות
- ▸ ממשל סיכונים ודיווח להנהלה ולדירקטוריון
- ▸ ייצוג מול אודיטורים ורגולטורים
- ▸ הובלת הסמכת ISO 27001
- ▸ תכנון המשכיות עסקית ותגובה לאירועים