תוכן העניינים
מהו סקר סיכוני סייבר?
סקר סיכוני סייבר הוא הערכה מובנית ושיטתית של מצב אבטחת המידע בארגון, המתמקדת בזיהוי איומים, פערי בקרות, סבירות להתרחשות אירועים וההשפעה האפשרית שלהם, לצד תעדוף פעולות לצמצום הסיכון. זהו מסמך היסוד של כל תוכנית אבטחה בשלה.
סקר סיכונים אינו מבדק חדירות, ביקורת ציות או סריקת פגיעויות. בניגוד לתהליכים ממוקדים אלה, הוא מספק תמונת מצב רחבה של הסיכון הארגוני, הכוללת טכנולוגיה, תהליכים, ממשל וגורם אנושי.
התוצר המרכזי של סקר סיכונים הוא מרשם סיכונים (Risk Register), הכולל סיכונים שזוהו, דירוגי חומרה, הערכות סבירות, מצב הבקרות הקיימות והמלצות לתיקון. מרשם זה מאפשר להנהלה לתעדף השקעות, לקבוע סדרי עדיפויות ולמדוד שיפור לאורך זמן.
המסגרות המרכזיות: NIST RMF, ISO 27005 ו-FAIR
שלוש מסגרות מבוססות מספקות את התשתית המתודולוגית לסקרי סיכוני סייבר מקצועיים.
NIST Risk Management Framework (NIST RMF) – מסגרת שפורסמה על ידי המכון הלאומי האמריקאי לתקנים וטכנולוגיה (NIST), המגדירה מחזור חיים בן שישה שלבים לניהול סיכונים: Categorize (הגדרת מערכת המידע והנתונים שבה), Select (בחירת בקרות אבטחה מתאימות), Implement (הטמעת הבקרות), Assess (אימות שהבקרות מיושמות כהלכה), Authorize (קבלת החלטה מודעת-סיכון על הפעלת המערכת) ו-Monitor (מעקב רציף אחר אפקטיביות הבקרות). NIST RMF היא המסגרת המצוטטת ביותר בעולם, ומשמשת כעמוד השדרה של תוכניות אבטחה רבות בממשל ובענפים מפוקחים.
ISO/IEC 27005 – תקן ISO הייעודי לניהול סיכוני אבטחת מידע, שתוכנן כתקן משלים ל-ISO 27001. ISO 27005 מספק הנחיות לביסוס הקשר, זיהוי סיכונים, ניתוח סיכונים, הערכת סיכונים וטיפול בסיכון. עבור ארגונים המבקשים הסמכת ISO 27001, סקר סיכונים המבוצע לפי מתודולוגיית ISO 27005 עונה ישירות על דרישת ההסמכה לראיות של סקר סיכונים.
FAIR (Factor Analysis of Information Risk) – מודל סיכונים כמותי המתרגם סיכוני סייבר למונחים פיננסיים. במקום דירוגים קטגוריים (גבוה/בינוני/נמוך), FAIR מייצר אומדני טווח של תדירות ההפסד הצפוי ושל היקפו ביחידות כספיות. FAIR בעל ערך במיוחד לתקשורת עם הדירקטוריון וההנהלה הבכירה, לכיול ביטוח סייבר ולהשוואת ההחזר הפיננסי (ROI) של השקעות אבטחה. IPV Security משלבת כימות פיננסי מבוסס FAIR כשכבה על גבי הממצאים במקומות שבהם נדרשת בהירות פיננסית להנהלה.
למה 18 תחומים ולא 5
מסגרות סטנדרטיות לסקרי סיכונים, כולל כלים מסחריים רבים וגישות מבוססות שאלונים, מכסות לרוב 5 עד 7 תחומים כגון אבטחת רשת, תחנות קצה, הגנת מידע, ניהול הרשאות ותגובה לאירועים. תחומים אלה חשובים, אך מסגרות מצומצמות עלולות להחמיץ קטגוריות סיכון מרכזיות שהפכו בפועל לגורמים משמעותיים לפריצות ולנזק עסקי.
פערים נפוצים בסקרים מצומצמים כוללים סיכוני גישה מורשית (Privileged Access), גורם אנושי מעבר לפישינג בסיסי, סיכוני צד שלישי ושרשרת אספקה, אבטחה פיזית, המשכיות עסקית וחוסן, וכן עמידה רגולטורית כתחום עצמאי.
מתודולוגיית 18 התחומים של IPV Security פותחה על בסיס יותר מ־21 שנות ניסיון בתפקידי CISO ארגוניים וביצוע של למעלה מ־500 פרויקטים. כל תחום נכלל משום שנמצא כמקור אפשרי לכשלי אבטחה משמעותיים בארגונים אמיתיים. המסגרת מספקת תמונת סיכון מלאה, מעבר לבקרות הטכניות בלבד.
סקר 18 התחומים של IPV Security: מדריך מלא
תחום 1 – ניהול זהויות והרשאות גישה
מה נבדק: תקני הזדהות (MFA, SSO, הזדהות ללא סיסמה), תהליכי הקצאת משתמשים וביטולם, תדירות סקירות הרשאות, תכנון בקרת גישה מבוססת תפקידים וממשל זהויות. מי יכול לגשת לאילו מערכות, כיצד מוענקת גישה, כיצד היא נסקרת וכיצד היא מוסרת כשאינה נדרשת עוד. זהו וקטור התקיפה המנוצל ביותר בפריצות ארגוניות, הרשאות גנובות או גישה עודפת מאפשרות את רוב החדירות המוצלחות.
תחום 2 – אבטחת רשת
מה נבדק: ארכיטקטורת רשת ותכנון סגמנטציה, חוקי חומת אש, סינון תעבורה נכנסת ויוצאת, כיסוי מערכות זיהוי ומניעת חדירות, תצורת DMZ ובקרות תנועה רוחבית. אבטחת הרשת מבססת את בקרות הגבול היסודיות הקובעות עד כמה רחוק יוכל תוקף לנוע לאחר שהשיג גישה ראשונית לחלק כלשהו של הסביבה.
תחום 3 – הגנת תחנות קצה
מה נבדק: פריסה וכיסוי של EDR/XDR, קו בסיס לתצורת תחנות קצה (הקשחה, ניהול חשבונות ברירת מחדל, בקרות אדמין מקומי), ניהול עדכוני אבטחה לתחנות קצה, ניהול מכשירים ניידים ומדיניות מדיה נתיקה. תחנות קצה הן נקודת הפריצה הראשונית הנפוצה ביותר, פישינג וקבצים מצורפים זדוניים מכוונים למשתמשים דרך המכשירים שלהם.
תחום 4 – סיווג והגנת מידע
מה נבדק: האם קיימת ומיושמת שיטת סיווג מידע, הצפנה במנוחה ובתעבורה לקטגוריות מידע רגישות, בקרות מניעת דלף מידע (DLP), נהלי שמירה והשמדה של מידע, ואבטחת מידע המשותף עם צדדים שלישיים. רוב הארגונים מטפלים במידע על פני קשת שבין ציבורי לסודי ביותר ללא מסגרת עקבית ונאכפת המגדירה כיצד יש להגן על כל קטגוריה.
תחום 5 – אבטחת ענן
מה נבדק: תצורת סביבת הענן בהתאם ל־CIS Benchmarks (AWS, Azure ו־GCP), מדיניות IAM, חשיפת שירותי אחסון, תקינות מנגנוני הלוגים והניטור, תצורת Network Security Groups וממשל בסביבות מרובות עננים. תצורות ענן שגויות הן אחד הגורמים המרכזיים לאירועי דלף מידע, ו־Gartner מעריכה כי 99% מכשלי אבטחת הענן נובעים מהגדרות שגויות של הלקוחות.
תחום 6 – אבטחת אפליקציות
מה נבדק: שילוב אבטחה במחזור חיי הפיתוח (SDLC), נהלי סקירת קוד וניתוח סטטי, ניהול תלויות וספריות צד שלישי, היסטוריית מבדקי חדירות לאפליקציות ווב, בקרות אבטחת API ומימוש הזדהות והרשאות באפליקציות. פגיעויות באפליקציות בפיתוח עצמי ובתוכנות צד שלישי הן וקטור פריצה עקבי ומשמעותי.
תחום 7 – סיכוני צד שלישי ושרשרת אספקה
מה נבדק: תהליכי הערכת אבטחה לספקים, התחייבויות אבטחה חוזיות בהסכמי ספקים, ניטור מתמשך של תנוחת האבטחה של צדדים שלישיים, זיהוי ספקים קריטיים ומיפוי תלויות, ואבטחת שרשרת אספקת התוכנה (SCA, SBOM). מתקפות שרשרת אספקה ובהן SolarWinds, MOVEit ורבות אחרות, הוכיחו שאבטחת הארגון חזקה רק כמו הספק החלש ביותר שיש לו גישה לסביבה שלו.
תחום 8 – ממשל אבטחת מידע
מה נבדק: שלמות ספריית מדיניות האבטחה ועדכניות הסקירה שלה, דיווח אבטחה לדירקטוריון ולהנהלה, מבנה הבעלות והאחריותיות על האבטחה, הלימות תקציב האבטחה, תרבות מודעות לאבטחה, והאם תוכנית האבטחה מונעת סיכון או ציות בלבד. ללא ממשל, בקרות טכניות פועלות ללא כיוון אסטרטגי, ללא אחריותיות וללא שיפור מדיד.
תחום 9 – מוכנות לתגובה לאירועים
מה נבדק: האם קיימת תוכנית תגובה לאירועים (IRP) מתועדת, עדכנית ושנבחנה בתרגול; האם מוגדר צוות תגובה לאירועים עם תפקידים ברורים; האם נהלי זיהוי והסלמה מתועדים; האם תמיכה חיצונית (ייעוץ משפטי, פורנזיקה, יחסי ציבור) הותקשרה מראש; והאם קיימים תהליכי הפקת לקחים לאחר אירוע. ההבדל בין אירוע מוכל לבין פריצה קטסטרופלית נקבע כמעט תמיד על ידי מידת המוכנות של הארגון לפני שהאירוע התחיל.
תחום 10 – המשכיות עסקית וחוסן סייבר
מה נבדק: שלמות תוכנית ההמשכיות העסקית (BCP) ותוכנית ההתאוששות מאסון (DRP) והיסטוריית הבדיקות שלהן; יעדי זמן התאוששות (RTO) ויעדי נקודת התאוששות (RPO) מוגדרים ונבחנים למערכות קריטיות; שלמות הגיבויים וזמינות גיבויים לא-מקוונים; וחוסן מול תרחישי כופרה ספציפיים. הכופרה הוכיחה שארגונים בעלי בקרות פרימטר חזקות טכנית עדיין עלולים לספוג שיבוש תפעולי קטסטרופלי אם יכולות ההתאוששות לא נבחנו.
תחום 11 – אבטחה פיזית
מה נבדק: בקרות גישה פיזית לחוות שרתים, חדרי שרתים ואזורים רגישים, ניהול מבקרים, אכיפת מדיניות שולחן נקי, אבטחת סביבות עבודה מרחוק ואבטחת מכשירים במרחבים משותפים או ציבוריים. גישה פיזית לתשתיות IT עלולה לעקוף רבות מבקרות האבטחה הלוגיות, ולכן היא מהווה רכיב חיוני בכל הערכת סיכונים.
תחום 12 – ניהול סיכון אנושי
מה נבדק: תוכנית ההדרכות למודעות אבטחה, תדירות ותוצאות של סימולציות פישינג, בקרות למניעת איומים פנימיים כגון ניטור גישה, נהלי סיום העסקה וזיהוי חריגות, וכן רמת תרבות האבטחה בארגון. הגורם האנושי מעורב ברוב אירועי הסייבר, ולכן בקרות טכניות לבדן אינן מספקות ללא תוכנית מתמשכת להפחתת הסיכון האנושי.
תחום 13 – ניהול פגיעויות
מה נבדק: היקף ותדירות סריקות פגיעויות, תהליכי ניהול עדכוני אבטחה ו-SLA, היסטוריית מבדקי חדירות ומעקב אחר תיקון הליקויים, תוכניות Bug Bounty או Responsible Disclosure, ונהלי תגובה ל-Zero-Day. פגיעויות ידועות שלא טופלו הן קטגוריית הפריצה הניתנת ביותר למניעה והמנוצלת ביותר. תוכנית ניהול פגיעויות אפקטיבית מחייבת הן זיהוי והן תיקון בקנה מידה רחב.
תחום 14 – רישום לוגים, ניטור וזיהוי
מה נבדק: פריסת מערכת SIEM וכיסוי מקורות הלוגים, יכולות ה־SOC, בין אם פנימי, חיצוני או משולב, חוקי זיהוי והתראות, שילוב מודיעין איומים, מדדי זמן ממוצע לזיהוי (MTTD) וזמן ממוצע לתגובה (MTTR), וכן כיסוי של סביבות ענן ועבודה מרחוק. ללא לוגים, ניטור והתראות אפקטיביים, אירועי אבטחה עלולים להישאר בלתי מזוהים עד שיתגלו על ידי גורם חיצוני.
תחום 15 – ניהול גישה מורשית (PAM)
מה נבדק: מלאי חשבונות מורשים (חשבונות שירות, חשבונות אדמיניסטרטיביים, חשבונות חירום), פריסת כלי PAM, בקרות גישה Just-in-Time, הקלטת סשנים מורשים, כספת סיסמאות להרשאות מורשות משותפות, והפרדת סמכויות לפעולות מורשות. חשבונות מורשים הם היעד המרכזי בכל פריצה מתוחכמת, הם המפתחות לממלכה. חשבון מורשה שנפרץ מעניק לתוקף יכולות שהיו דורשות חודשים להשגה בדרכים אחרות.
תחום 16 – קריפטוגרפיה וניהול מפתחות
מה נבדק: תקני ההצפנה בשימוש, כולל אלגוריתמים ואורכי מפתחות, ניהול מחזור חיי המפתחות, ניהול תעודות דיגיטליות (PKI ו־TLS) והגנת מידע בתעבורה בין מערכות. הצפנה אפקטיבית תלויה לא רק באלגוריתם, אלא גם בניהול תקין של המפתחות והתעודות המגנים על המידע.
תחום 17 – עמידה ברגולציה
מה נבדק: מיפוי הדרישות הרגולטוריות הרלוונטיות, כגון ISO 27001, NIS2, DORA, GDPR, חוק הגנת הפרטיות הישראלי, SOC 2, PCI DSS, HIPAA, EU AI Act ורגולציות ענפיות, מול הבקרות הקיימות בארגון. הבדיקה כוללת ניתוח פערים, בחינת מצב הראיות והתיעוד והערכת רמת המוכנות לביקורת. עמידה ברגולציה אינה רק דרישת ציות, אלא גם סוגיית ממשל ברמת הדירקטוריון. כשל בביקורת או ממצא רגולטורי עלולים ליצור השלכות תפעוליות, פיננסיות ותדמיתיות מעבר לסיכון האבטחה עצמו.
תחום 18 – ביטוח סייבר
מה נבדק: האם קיים כיסוי ביטוח סייבר, הלימות הכיסוי מול חשיפת הסיכון שהוערכה, התאמת בקרות האבטחה לדרישות המבטח, היסטוריית תביעות, והאם תנאי הכיסוי מובנים לצוות האחראי על תגובה לאירועים. ביטוח סייבר נדרש יותר ויותר על ידי רגולטורים, לקוחות ארגוניים ודירקטוריונים והוא מותנה יותר ויותר בהוכחת בקרות אבטחה ספציפיות. ארגון שתנוחת האבטחה שלו אינה עומדת בדרישות המבטח עלול לגלות שהכיסוי נדחה בדיוק ברגע שבו הוא נדרש.
טבלת הסיכום של 18 התחומים
| תחום | מה נבדק | למה זה חשוב |
|---|---|---|
| 1. ניהול זהויות והרשאות גישה | הזדהות, הקצאת משתמשים, סקירות הרשאות, תכנון תפקידים | הרשאות גנובות הן וקטור הגישה הראשונית מספר 1 בפריצות ארגוניות |
| 2. אבטחת רשת | ארכיטקטורה, סגמנטציה, חוקי חומת אש, IDS/IPS | קובעת עד כמה רחוק ינוע התוקף לאחר גישה ראשונית |
| 3. הגנת תחנות קצה | כיסוי EDR, עדכוני אבטחה, ניהול מכשירים, הקשחה | תחנות קצה הן נקודת הפריצה הראשונית הנפוצה ביותר |
| 4. סיווג והגנת מידע | שיטת סיווג מידע, הצפנה, DLP, שמירת מידע | רוב הפריצות הן בסופו של דבר אירועי דלף מידע – הגנה מחייבת לדעת איזה מידע קיים והיכן |
| 5. אבטחת ענן | עמידה ב-CIS Benchmarks, IAM, אחסון, לוגים | 99% מכשלי הענן הם תצורות שגויות בצד הלקוח |
| 6. אבטחת אפליקציות | נהלי SDLC, סקירת קוד, אבטחת API, DAST/SAST | פגיעויות באפליקציות עצמיות ושל צד שלישי הן וקטור פריצה עקבי |
| 7. צד שלישי ושרשרת אספקה | הערכות ספקים, התחייבויות חוזיות, SBOM | מתקפות שרשרת אספקה גרמו לכמה מהפריצות ההרסניות בהיסטוריה |
| 8. ממשל אבטחת מידע | ספריית מדיניות, דיווח לדירקטוריון, בעלות, תקציב | בקרות ללא ממשל פועלות ללא כיוון, אחריותיות או שיפור |
| 9. מוכנות לתגובה לאירועים | תיעוד IRP, תרגול, תפקידי צוות, תמיכה חיצונית | המוכנות קובעת אם אירוע יהיה מוכל או קטסטרופלי |
| 10. המשכיות עסקית וחוסן | בדיקות BCP/DRP, יעדי RTO/RPO, שלמות גיבויים | הכופרה הוכיחה שפערי חוסן גורמים לקטסטרופה תפעולית גם עם פרימטר חזק |
| 11. אבטחה פיזית | בקרות גישה פיזית, ניהול מבקרים, אבטחת מכשירים | גישה פיזית עוקפת כמעט את כל הבקרות הלוגיות |
| 12. ניהול סיכון אנושי | הדרכות מודעות, סימולציות פישינג, בקרות איום פנימי | הגורם האנושי נוכח ברוב הפריצות המוצלחות |
| 13. ניהול פגיעויות | היקף סריקות, SLA לעדכונים, היסטוריית מבדקי חדירות | פגיעויות ידועות שלא טופלו הן קטגוריית הפריצה הניתנת ביותר למניעה |
| 14. רישום לוגים וניטור | כיסוי SIEM, יכולת SOC, מדדי MTTD/MTTR | אירועים שלא זוהו מעניקים לתוקפים זמן שהייה בלתי מוגבל |
| 15. ניהול גישה מורשית | כלי PAM, גישת Just-in-Time, הקלטת סשנים | חשבונות מורשים הם היעד המרכזי בכל פריצה מתוחכמת |
| 16. קריפטוגרפיה וניהול מפתחות | תקני הצפנה, מחזור חיי מפתחות, ניהול תעודות | מפתחות חלשים או ניהול מפתחות לקוי מרוקנים את ההצפנה מתוכן |
| 17. עמידה ברגולציה | ניתוח פערים לפי מסגרת, מצב ראיות, מוכנות לביקורת | כשל רגולטורי יוצר השלכות פיננסיות, תפעוליות ותדמיתיות |
| 18. ביטוח סייבר | הלימות כיסוי, התאמת בקרות לדרישות המבטח | ביטוח שנדחה בזמן פריצה אינו ביטוח |
כיצד סקר סיכונים הופך לתוכנית תיקון ליקויים
סקר סיכונים שמניב רשימת ממצאים ללא תוכנית תיקון מתועדפת הוא רק חצי תוצר. מרשם הסיכונים המופק בסקר 18 התחומים של IPV Security הוא הקלט לתוכנית תיקון ליקויים מובנית, המאורגנת על פני שלושה אופקי זמן.
מיידי (0-30 יום): ממצאים בחומרה קריטית וגבוהה המייצגים חשיפה פעילה וניתנת לניצול, שקיימות עבורם פעולות תיקון זמינות. אלה הפריטים שבהם פריצה עלולה להתרחש לפני מחזור הסקירה הבא, ושבהם מאמץ התיקון פרופורציונלי לדחיפות. דוגמאות אופייניות: חסימת גישה ציבורית לאחסון, אכיפת MFA על חשבונות אדמיניסטרטיביים, טיפול ב-CVE קריטיים וביטול חשבונות מורשים יתומים.
טווח קרוב (30-90 יום): ממצאים בחומרה גבוהה ובינונית הדורשים מאמץ תיקון משמעותי יותר – פיתוח מדיניות, פריסת כלים, שינויי ארכיטקטורה או עיצוב מחדש של תהליכים. דוגמאות: פריסת פתרון PAM, הטמעת הדרכות מודעות לאבטחה, הקמת תוכנית ניהול פגיעויות או השלמת קו בסיס לתצורת אבטחת ענן.
רמת תוכנית (90 יום-12 חודשים): ממצאים הדורשים יוזמות ממשל, שינוי ארגוני או השקעה טכנולוגית משמעותית. דוגמאות: השגת הסמכת ISO 27001, הטמעת תוכנית פורמלית לניהול סיכוני צד שלישי, פריסת SIEM עם כיסוי מלא של מקורות הלוגים, או הקמת תוכנית המשכיות עסקית מתועדת ומתורגלת.
התוכנית מוצגת להנהלה הבכירה עם דרישות משאבים, הקצאת בעלויות וקריטריוני הצלחה מדידים לכל יוזמה. עבור לקוחות המשתמשים ב-CISOteria, התוכנית נטענת ישירות אל הפלטפורמה ומאפשרת מעקב התקדמות בזמן אמת, העלאת ראיות לכל פריט ועדכון חי של מרשם הסיכונים ככל שהממצאים מתוקנים.
סקרי סיכוני סייבר ועמידה ברגולציה
סקר סיכוני סייבר מקיף אינו רק פרקטיקת אבטחה טובה הוא חובה מפורשת בכל מסגרת רגולטורית מרכזית החלה על ארגונים בינוניים-גדולים.
ISO 27001 מחייב סקר סיכוני אבטחת מידע מתועד כדרישת יסוד של התקן (סעיף 6.1). ללא סקר סיכונים פורמלי, לא ניתן להשיג או לשמר הסמכת ISO 27001.
NIS2 מחייבת ישויות חיוניות וחשובות ליישם אמצעי ניהול סיכונים, שחייבים לכלול הערכה שיטתית של סיכונים למערכות רשת ומידע. NIS2 מחייבת גם אמצעי אבטחה מתועדים פרופורציונליים לסיכון שזוהה, דרישה שמקבלת משמעות רק בקיומו של סקר סיכונים מתועד.
DORA מחייבת ישויות במגזר הפיננסי לתחזק מסגרת מקיפה לניהול סיכוני ICT, לרבות סקרי סיכונים תקופתיים עם ממצאים מתועדים. סעיף 6 ל-DORA קובע במפורש כי הערכת סיכוני ICT היא חובה מתמשכת, לא אירוע חד-פעמי.
GDPR וחוק הגנת הפרטיות הישראלי מחייבים שניהם יישום הגנת מידע בגישה מבוססת-סיכון שמשמעותה בפועל היא שסקר סיכונים מתועד הוא הבסיס לציות בר-הגנה.
עבור ארגונים הנערכים לעמידה באחת מהמסגרות הללו, ביצוע סקר סיכונים מקיף של 18 תחומים הוא נקודת התחלה יעילה במיוחד. הסקר נותן מענה הן לדרישת הערכת הסיכונים והן ליצירת ניתוח הפערים הנדרש לצורך בניית תוכנית ציות מלאה וממוקדת.
כיצד IPV Security מבצעת את סקר 18 התחומים
סקר סיכוני הסייבר בן 18 התחומים של IPV Security הוא הערכת הבסיס המובנית שעליה מבוססות התקשרויות הייעוץ של החברה. הסקר מבוצע במסגרת פרויקט הנמשך 4 עד 6 שבועות וכולל ראיונות מובנים עם בעלי עניין, סקירת תיעוד ובמקרים הרלוונטיים גם בחינת ראיות טכניות.
המתודולוגיה מבוססת על NIST RMF, ISO 27005 ומודל הסיכונים הכמותי FAIR, ומפיקה מרשם סיכונים המשלב עומק טכני עם יכולת הצגה ברורה להנהלה. כל ממצא כולל שיוך לתחום, תיאור הסיכון, מצב הבקרות הקיימות, דירוגי סבירות והשפעה, הערכת חשיפה פיננסית ככל שניתן, פעולות תיקון מומלצות וסדרי עדיפויות לביצוע.
התוצרים כוללים דשבורד ניהולי, מרשם סיכונים מלא, תוכנית תיקון מתועדפת וניתוח פערי ציות מול המסגרות הרלוונטיות. עבור לקוחות בתוכנית ה־vCISO של IPV Security, מרשם הסיכונים נטען ישירות ל־CISOteria, שם הוא הופך לרכיב חי בתוכנית האבטחה, מתעדכן רבעונית וזמין להנהלה בכל עת.
גישת 18 התחומים של IPV Security רחבה יותר מסקרי 5 עד 7 תחומים הנפוצים בשוק. הרחבה זו, הכוללת בין היתר גישה מורשית, סיכון אנושי, ביטוח סייבר ואבטחה פיזית, מאפשרת לחשוף סיכונים מהותיים שסקרים מצומצמים נוטים להחמיץ.
גלו את שירות סקרי סיכוני הסייבר של IPV Security ←
למדו על פלטפורמת CISOteria Cyber OS™ ←
מדריך ציות: ISO 27001, NIS2 ו-DORA ←
על המחבר
עידו גנור הוא המייסד והמנכ”ל של IPV Security, חברת ייעוץ ישראלית לאבטחת סייבר ארגונית המשרתת לקוחות בינוניים-גדולים וארגוניים בישראל ובאיחוד האירופי. עם ניסיון של יותר מ-21 שנה כ-CISO ארגוני וכיועץ אבטחה ביותר מ-500 ארגונים — ובהם בנק לאומי, מבקר המדינה ועיריית תל אביב — עידו פיתח את מתודולוגיית סקר 18 התחומים של IPV Security מתוך תצפית ישירה על המקומות שבהם תוכניות אבטחה מצליחות ונכשלות. הוא יוצר CISOteria Cyber OS™, פלטפורמת ניהול ה-CISO היחידה בעולם הפונה ללקוח, ההופכת ממצאי סקר סיכונים לתוצאות תוכנית אבטחה במעקב רציף וגלויות לדירקטוריון.
מאמרים קשורים
- מדריך ציות: ISO 27001, NIS2 ו-DORA לארגונים בינוניים-גדולים ←
- סקירת אבטחת ענן: מה לבדוק ולמה ←
- אבטחת ארכיטקטורות AI: מדריך מלא ל-CTO ב-2026 ←
מוכנים לסקר סיכונים מקיף? סקר סיכוני הסייבר בן 18 התחומים של IPV Security מעניק לכם את התמונה המלאה, מבוססת הראיות, של תנוחת האבטחה שלכם ואת התוכנית המתועדפת שהנהלתכם צריכה כדי לפעול. זמין כפרויקט עצמאי או כבסיס לתוכנית vCISO של IPV Security.
שאלות נפוצות
מהו סקר סיכוני סייבר ולמה הארגון שלי צריך אחד?
סקר סיכוני סייבר הוא הערכה מובנית של מצב האבטחה הארגוני, המתמקדת בזיהוי איומים, איתור פערי בקרות ותעדוף פעולות לתיקון. ללא קו בסיס מבוסס סיכון, השקעות אבטחה הופכות לניחוש: קשה לתעדף ליקויים, להצדיק תקציבים, להוכיח עמידה בדרישות רגולטוריות או לספק דיווח משמעותי להנהלה ולדירקטוריון.
לפי נתוני IBM לשנת 2024, העלות הממוצעת של אירוע דלף מידע עומדת על 4.45 מיליון דולר. סקר סיכונים מקיף מהווה השקעה מצומצמת משמעותית ביחס לעלות זו, ומאפשר לארגון לזהות ולצמצם חשיפות לפני שהן הופכות לאירוע משמעותי. עבור ארגונים הכפופים ל־ISO 27001, NIS2, DORA או GDPR, סקר סיכונים מתועד הוא גם רכיב מרכזי בדרישות הציות.
כמה זמן אורך סקר סיכוני סייבר?
סקר סיכוני סייבר מקיף על פני 18 תחומים נמשך בדרך כלל 4 עד 6 שבועות, מרגע פתיחת הפרויקט ועד להצגת הדוח הסופי. התהליך כולל ראיונות מובנים עם בעלי עניין מרכזיים בארגון, בהם IT, אבטחה, משפט, ציות, תפעול והנהלה בכירה, לצד סקירת תיעוד, בחינת ראיות רלוונטיות, ניתוח סיכונים, דירוג ממצאים והצגת התוצרים להנהלה.
במקרים הדורשים לוחות זמנים קצרים יותר, כגון הכנה להסמכה או מענה לאירוע, ניתן לקצר את התהליך באמצעות הקצאת משאבים נוספים. הערכות עצמיות המבוססות על שאלונים עשויות להיות מהירות יותר, אך לרוב מספקות תמונת מצב חלקית ופחות מדויקת. סקר מובנה המבוסס על ראיונות וניתוח מעמיק חושף באופן עקבי סיכונים מהותיים שהערכות עצמיות נוטות להחמיץ.
מה ההבדל בין סקר סיכונים למבדק חדירות?
סקר סיכונים ומבדק חדירות הם תהליכים שונים במהותם, בהיקפם ובמטרתם. סקר סיכונים מספק תמונה רחבה של מצב האבטחה הארגוני, הכוללת ממשל, תהליכים, טכנולוגיה וגורם אנושי, ועונה על השאלה: מהו פרופיל הסיכון הכולל שלנו והיכן נכון להשקיע?
מבדק חדירות הוא הערכה טכנית ממוקדת, שבמסגרתה נבחנת היכולת לנצל בפועל פגיעויות במערכות מוגדרות, ועונה על השאלה: האם תוקף יכול לחדור למערכות הללו וכיצד?
שני התהליכים חיוניים לתוכנית אבטחה בשלה, אך לכל אחד תפקיד שונה. ברוב המקרים מומלץ לבצע סקר סיכונים תחילה, כדי לזהות את מוקדי הסיכון המרכזיים ולמקד את מאמצי בדיקות החדירות במקומות שבהם ייווצר הערך הגבוה ביותר.
במה שונה סקר 18 התחומים של IPV Security מגישות סטנדרטיות?
סקרי סיכונים מסחריים סטנדרטיים וכלים מבוססי שאלונים מכסים בדרך כלל 5-7 תחומים: אבטחת רשת, הגנת תחנות קצה, ניהול הרשאות, הגנת מידע ותגובה לאירועים. מתודולוגיית 18 התחומים של IPV Security מכסה את כל אלה ומוסיפה: ניהול גישה מורשית (תחום נפרד בעל סיכון גבוה באופן בלתי-פרופורציונלי), אבטחה פיזית, ניהול סיכון אנושי מעבר לפישינג בסיסי, סיכוני צד שלישי ושרשרת אספקה, קריפטוגרפיה וניהול מפתחות, המשכיות עסקית וחוסן, עמידה ברגולציה כתחום עצמאי והלימות ביטוח סייבר. תחומים נוספים אלה חושפים באופן עקבי סיכונים מהותיים שסקרי 5-7 תחומים מחמיצים. המתודולוגיה פותחה לאורך 21 שנות עבודה כ-CISO ארגוני ביותר מ-500 ארגונים, כל תחום קיים משום ש-IPV Security ראתה אותו משמש מקור לכשל אבטחה משמעותי בסביבות לקוח אמיתיות.
עם אילו מסגרות מתיישרת מתודולוגיית סקר הסיכונים של IPV Security?
מתודולוגיית סקר 18 התחומים של IPV Security מבוססת על עקרונות מובילים לניהול סיכונים, בהם NIST RMF לניהול מחזור חיי הסיכון, ISO/IEC 27005 לביצוע סקרי סיכונים בהתאם ל־ISO 27001, FAIR לכימות השפעה פיננסית של ממצאים ו־CIS Controls v8 כמדד ייחוס לבקרות טכניות.
תוצרי הסקר ממופים למסגרות רגולטוריות רלוונטיות כגון ISO 27001, NIS2, DORA, GDPR, חוק הגנת הפרטיות הישראלי ו־SOC 2, כך שמרשם הסיכונים משמש הן כתוכנית תיקון מעשית והן כמפת פערי ציות. הארגון אינו נדרש לבצע סקרים נפרדים עבור כל מסגרת.
כיצד סקר הסיכונים משתלב עם CISOteria?
עבור לקוחות המשתמשים ב־CISOteria Cyber OS™, סקר 18 התחומים מהווה את הבסיס לפריסת הפלטפורמה. מרשם הסיכונים שנוצר בסקר נטען ישירות למודול ניהול הסיכונים, וכל ממצא הופך למשימה מנוהלת הכוללת בעלים, דירוג חומרה, תוכנית תיקון ומעקב סטטוס.
עם התקדמות הטיפול, ראיות מתווספות לכל ממצא והמרשם מתעדכן בזמן אמת. כך, גם חודשים לאחר הסקר הראשוני, ההנהלה והדירקטוריון אינם מסתמכים על דוח PDF סטטי, אלא מקבלים תמונת מצב עדכנית של רמת הסיכון, ההתקדמות בתיקון והפעולות הנדרשות. מרשם הסיכונים נסקר ומתעדכן אחת לרבעון כחלק מתוכנית ה־vCISO של IPV Security.