לספק יש גישה למערכות העסק: מה בודקים מתחילת ההתקשרות ועד סיומה

הספק שמתחזק את המחשבים, החברה שמאחסנת את האתר והמערכת שאליה מעלים מסמכים הם חלק מהדרך שבה העסק עובד. הם יכולים להיות גם חלק ממסלול הגישה למידע ולמערכות. מערך הסייבר הלאומי מדגיש בהנחיותיו לניהול סיכונים בשרשרת האספקה שלא די להסתכל רק על המחשבים הנמצאים בתוך העסק. צריך להבין גם למי מבחוץ יש גישה, איזה מידע נמצא אצלו ומה יקרה אם השירות שלו ייפגע.

המדריך שלפניכם נשען על מסמך הדגשים לצד הלקוח של מערך הסייבר, גרסה 1.4 מינואר 2025, ועל הודעת המערך מאוגוסט 2026 על מערכת מצפ"ן. הוא מציע סדר עבודה לבעל עסק בשיחה עם אנשי המחשוב והספקים. זה אינו מפרט טכני לביצוע עצמאי ואינו קובע שכל המלצה היא חובה בחוק לכל עסק. את ההתאמה למערכות, להסכמים ולדרישות החלות עליכם צריך לעשות עם בעלי המקצוע המתאימים.

מתחילים ברשימת ספקים, לא בסיסמה חדשה

המסמך המקצועי מציע למפות את ספקי הארגון, את השירות שהם נותנים ואת אנשי הקשר בשני הצדדים. הרשימה אינה מוגבלת לחברת המחשוב. יכולים להיכלל בה גם ספקי אחסון, מפתחי תוכנה, אנשי תמיכה ונותני שירות המחזיקים מידע עסקי. השאלה הראשונה היא מי נוגע בפעילות ובמידע, ולא מי מופיע תחת הכותרת סייבר בחשבון ההוצאות.

אפשר להתחיל בטבלה קצרה: שם הספק, השירות, המידע שאליו הוא נחשף, אופן הגישה ואיש הקשר אצלכם. לאחר מכן משווים את הטבלה עם מי שמכיר את התפעול בפועל. אין צורך לשלוח בטבלה סיסמאות או לפרסם אותה לכל העובדים. המטרה היא לקבל תמונה מסודרת כדי שבירור הרשאות לא יתחיל רק כאשר עובד עוזב או מערכת מפסיקה לפעול.

ממפים את השירות המסוים שקניתם

אחד הדגשים במסמך המערך הוא תחום הבדיקה: אישור או הסמכה של ספק אינם בהכרח מתייחסים לכל שירות שהוא מציע. כשספק מציג מסמך הגנה, צריך לברר איזה מוצר או שירות נבדק, באיזה מועד ומה היקף הבדיקה. שם החברה בראש העמוד אינו מספיק כדי לדעת שהשירות שאתם משתמשים בו נכלל באותו מסמך.

לצד כל ספק רשמו את השירות המדויק שרכשתם. אם הוא גם בונה את האתר וגם שומר גיבויים, אלה שני תחומים שצריך להבין ולא רק שורה כללית של תחזוקה. אפשר לבקש מהספק הסבר על מה מכסה המסמך שהציג ועל מה הוא אינו מכסה. אין צורך להכריע לבד אם אישור מקצועי תקף; כאשר הדבר אינו ברור, זו שאלה לאיש המקצוע שמלווה את בדיקת ההתקשרות.

בודקים מה יקרה אם השירות ייפגע

ההנחיות מציעות להעריך את פוטנציאל הנזק של פגיעה בספק, לרבות נזק כלכלי, פגיעה ברציפות העסקית ורגישות המידע. אין הכרח שכל ספק יקבל אותה רמת בדיקה. מי שמחזיק מידע רגיש או מעניק שירות שהעסק תלוי בו דורש תשומת לב שונה מספק שהפסקת פעילותו תגרום אי נוחות מוגבלת בלבד.

כדי להתחיל, שאלו מה לא תוכלו לעשות אם השירות לא יהיה זמין מחר. האם אפשר להוציא מסמכים, לקבל הזמנות או להמשיך לתת שירות? כמה מהמידע קיים גם אצלכם, ובאיזו דרך מותר ומעשי להשתמש בו? אלה שאלות תכנון, לא הבטחה לזמן התאוששות. אם אין תשובה ברורה, רשמו את הפער והעבירו אותו לבירור במקום לסמן שהספק חשוב ולהמשיך הלאה בלי תוכנית.

גישה מרחוק אינה צריכה להיות בלתי מוגבלת

המסמך המקצועי מפרט בקרות לגישה מרחוק, ובהן הגבלת הרשאות לפעולות הנדרשות, אימות רב־גורמי, אישור של גורם מטעם הארגון, ניטור וסיום ההתחברות. יישום הבקרות דורש התאמה מקצועית. בעל העסק אינו צריך לשנות הגדרות רשת בעצמו מתוך כתבה, אך הוא יכול לבקש שיסבירו לו מי רשאי להתחבר, באילו נסיבות ולכמה זמן.

הכינו רשימת שאלות לספק המחשוב: מי מאשר התחברות, כיצד מזהים את המשתמש ומה קורה בסיום העבודה? בררו גם למי מתקשרים כאשר צריך להפסיק גישה בדחיפות. אל תסתפקו במשפט שהמערכת מאובטחת. בקשו תיאור של התהליך הרלוונטי לעסק שלכם, כולל מי אחראי בכל שלב. תשובה קצרה וברורה עדיפה על שם של מוצר שאיש בצוות אינו יודע מה הוא עושה בפועל.

חשבון זמני צריך גם נקודת סיום

בהנחיות לפעילות ספק במתקני הארגון מצוין שאין למסור סיסמאות ניהול קיימות, וכשצריך יש להקים חשבון ייעודי וזמני בעל ההרשאה הנדרשת בלבד. עוד מודגש שבסיום הפעילות יש לבדוק מה בוצע ולסגור חשבונות והרשאות זמניות. זהו עיקרון שימושי גם ברמת ניהול המשימות: פתיחת גישה וסגירתה הן שני שלבים של אותה עבודה.

לכן, כאשר מזמינים טיפול, הגדירו מראש מי בודק שהגישה הסתיימה. אל תסגרו את המשימה רק משום שהתקלה תוקנה או שהספק שלח חשבונית. בקשו מאיש המחשוב לתעד אילו הרשאות ניתנו ומה נשאר לאחר העבודה. המדריך אינו קובע זמן אחיד לכל חשבון זמני, אלא מציע לוודא שלצורך שהתחיל יש גם סיום ברור ומישהו שאחראי לבדוק אותו.

מחלקים אחריות גם כשעובדים בענן

המסמך מדגיש שהסמכה של ספק ענן אינה קובעת באופן אוטומטי את חלוקת האחריות בנושאים כמו עדכוני תוכנה, ניהול משתמשים, גיבויים וניטור. זו נקודה חשובה לעסק שמניח שכל מה שאינו מותקן בחנות או במשרד נמצא באחריות מלאה של הספק. במקום הנחה כזאת צריך לקבל תיאור של מה עושה כל צד במסגרת השירות שנרכש.

אפשר ליצור דף אחריות עם שורה לכל תחום: מי מוסיף משתמש, מי מבטל גישה, מי מטפל בגיבוי ומי בודק אירוע חריג. ליד כל שורה מציינים את המקור להסכמה, למשל הסכם או תשובה כתובה מהספק. אם נשאר תא ריק, לא משלימים אותו לפי תחושת בטן. פער בחלוקת האחריות צריך בירור, משום ששני הצדדים יכולים לחשוב שהצד האחר כבר מטפל באותה משימה.

לא מסתפקים בשאלון שנשאר במגירה

המתודה כוללת הערכת ספקים, תיעוד פערים ומעקב אחר הטיפול בהם. היא אינה מסתיימת בקבלת תשובה חיובית לשאלה כללית על אבטחה. בבדיקת מענה של ספק יש חשיבות לעדכניות, לתחום השירות ולהוכחות המתאימות. כשהספק מציין שתהליך מסוים קיים, צריך להבין כיצד הוא קשור לשירות שלכם ומה נדרש כדי לבדוק את היישום במסגרת הבדיקה המקצועית.

לבעל העסק אפשר להציע כלי פשוט: רשימת פריטים פתוחים עם אחראי ומועד לבירור. אם התגלתה שאלה על גיבוי או על חשבון ישן, תעדו מי אמור לחזור עם תשובה ומתי. אין כאן דרישה לחשוף לידיכם מידע טכני רגיש שאינכם צריכים. יש כאן דרישה ניהולית שלכם לעצמכם: לדעת מה הוכרע ומה עדיין תלוי בהבטחה שצריך להשלים את בדיקתה.

חידוש ההסכם הוא זמן לבדיקת השינוי

מסמך המערך מציג את חידוש ההתקשרות כהזדמנות לבדוק את רמת ההגנה ואת סגירת הפערים שהועלו. שירות שהיה קטן בעת החתימה יכול לקבל משמעות אחרת אם העסק הוסיף משתמשים, העביר מסמכים נוספים או נעשה תלוי בו יותר. במקום להעתיק את ההסכם משנה לשנה, כדאי לבדוק אם תיאור העבודה עדיין משקף את מה שנעשה בפועל.

הכינו לקראת החידוש רשימת שינויים בשירות ובצורכי העסק. האם נוספה גישה, האם נשמר מידע אחר והאם השתנה איש הקשר? את סעיפי האחריות, הדיווח והזכויות בהסכם יש לבדוק עם בעלי המקצוע המתאימים. המדריך אינו מציע סעיף משפטי מוכן ואינו מבטיח שכל ספק יסכים לכל דרישה. הוא עוזר להגיע למשא ומתן עם פערים מזוהים במקום לגלות אותם לאחר אירוע.

מתכננים את הפרידה כבר בתחילת הדרך

סיום ההתקשרות מקבל מקום נפרד בהנחיות: החזרת מידע וציוד, טיפול בעותקים ובמחיקה בהתאם להסכמות וביטול הרשאות גישה. השאלה אינה רק איך עוברים לספק אחר, אלא גם מה נשאר אצל הספק הקודם ואילו חיבורים ממשיכים להתקיים. אין להניח שהפסקת תשלום סוגרת מעצמה כל גישה ומסדירה כל עותק של מידע.

עוד לפני שמתחילים לעבוד עם ספק חדש, בררו כיצד ניתן לקבל בחזרה את המידע הדרוש לעסק ובאיזה פורמט. שאלו מי מבצע את המעבר ומי מאשר שהגישה הישנה נסגרה. אין כאן הבטחה לזכות חוזית מסוימת או למחיקה מיידית בכל מצב. את התנאים צריך להסדיר ולהבין מראש, כדי שתוכנית היציאה תהיה חלק מההתקשרות ולא אלתור ביום שבו מבקשים להיפרד.

פעולה ראשונה שאפשר לבצע השבוע

מערך הסייבר פרסם ב־2026 גם הודעה על מצפ"ן, מערכת שנועדה לרכז תהליך הערכה ועמידה בדרישות עבור עסקים וספקים. אין צורך להניח שהרשמה למערכת לבדה פותרת את ניהול הסיכון, ואין במדריך הזה בדיקה של ממשק המערכת או הבטחה לגבי השירות שתקבלו בה. נקודת המוצא נשארת ההיכרות עם הספקים והפעילות שהם מבצעים עבורכם.

בחרו ספק אחד שהעסק תלוי בו והכינו לקראת שיחה איתו דף של שירות, מידע, גישה, אחריות ויציאה. עברו עליו עם איש המחשוב ורשמו את השאלות שנותרו פתוחות. כך אפשר להפוך נושא שנשמע גדול לתהליך עבודה ממשי, בלי להבטיח הגנה מוחלטת ובלי לבצע שינוי טכני שאינכם מבינים. המטרה היא לדעת מי יכול לעשות מה, ומה העסק יעשה כאשר משהו משתנה.

מצאתם טעות או תוכן לא ראוי? דווחו לנו >>