חברות ייעוץ אבטחת מידע – איך בוחרים

הגדירו תוצאה לפני רשימת ספקים

רצוי לתאר יעד מוחשי: מיפוי פערים, תוכנית טיפול, מוכנות לביקורת או החלטה על ארכיטקטורה. ציינו מי ישתמש בתוצר ואיזו החלטה הוא צריך לאפשר. דרישה כללית לשיפור אבטחה אינה מספיקה להערכת הצעה. ארגון שאין בו בעל תפקיד פנימי עשוי להזדקק לליווי מתמשך, בעוד צוות מנוסה יכול לבקש בדיקה ממוקדת. מועד יעד חשוב, אך צריך להבחין בין תאריך מסחרי לבין משך עבודה מציאותי. ככל שהצורך ברור, קל יותר לזהות מה חסר בהצעה ולהימנע מקניית שירות שאינו עונה עליו.

ניסיון רלוונטי וצוות העבודה

שאלו מי יבצע את העבודה בפועל, מה תפקידו וכיצד מנוהלת הבקרה על התוצרים. ניסיון בענף דומה מועיל כאשר הוא כולל הבנה של תהליכים ומערכות רלוונטיים, אך אין לבקש חשיפת פרטים חסויים של לקוחות. אפשר לבקש דוגמת תוצר אנונימית או תיאור שיטת עבודה. תעודה מקצועית היא קלט להערכה ולא הוכחה מספקת ליכולת ביצוע. בררו גם כיצד החברה מגבה את הפרויקט אם האחראי אינו זמין, ומי מוסמך לענות על שאלות הנהלה, תשתיות ופיתוח.

GRC ויכולת יישום טכנית

ייעוץ GRC עוסק במשילות, סיכונים וציות, אך החלטות רבות דורשות הבנה של יישום טכני. נוהל הרשאות צריך להתאים למנגנוני הזהות שבהם הארגון משתמש; דרישת ניטור צריכה להתחבר למקורות לוג ולתהליך תגובה. כדאי לבדוק אם החברה יכולה להסביר את המעבר מדרישה למשימה ולראיה. אין צורך שכל יועץ יהיה מומחה בכל מוצר, אך נדרש תהליך לזיהוי פער ידע ולשיתוף מומחה מתאים. בחרו הצעה שמבחינה בין המלצה, ליווי והטמעה בפועל כדי לדעת מה נשאר באחריותכם.

השוואת הצעות על בסיס משותף

בנו טבלת השוואה הכוללת תחום, עומק, שעות או אבני דרך, תוצרים, פגישות, הנחות ותלות בצוותי הארגון. בדקו אם המחיר כולל תיקוני תוצר, תמיכה בביקורת או בדיקה חוזרת. הצעה זולה יותר יכולה להיות מצומצמת יותר; הצעה ארוכה אינה בהכרח מקיפה יותר. בקשו הסבר לסעיפים שאינם ברורים ודוגמה לקריטריון השלמה. בשירות לקראת הסמכה יש להפריד בין ייעוץ לבין עבודת הגוף המבקר. עלות כלי, ספק צד שלישי או שינוי תשתית צריכה להופיע כתלות ולא כהפתעה בסיום.

סודיות, גישה ועצמאות

תהליך ייעוץ עשוי לחשוף מידע על מערכות ועל חולשות, ולכן מסדירים מראש הרשאות, ערוצי העברה, שמירת חומרים ומחיקתם. אין צורך להעביר סיסמאות בטופס פנייה כדי להתחיל שיחת תיחום. בררו מי נחשף לחומרים, האם מעורבים קבלני משנה ואיך מדווחים על אירוע. אם החברה ממליצה גם על מוצר שהיא משווקת, בקשו גילוי ברור של הזיקה והסבר לחלופות. כשמדובר בביקורת, הגדירו כיצד נשמרת אובייקטיביות ביחס לעבודת ההטמעה. עצמאות מקצועית תומכת בהערכה שאפשר להסתמך עליה.

סימנים לתהליך מועיל לאורך זמן

חברה מתאימה שואלת על המערכת ועל היעד, מציגה מגבלות ומסבירה מה אפשר לבדוק. הבטחת הסמכה מובטחת או אפס סיכונים אינה קריטריון איכות. חפשו תקשורת שמחברת ממצא להשפעה, אחריות ופעולה. בסיום הליווי צריך להיות ברור מי מחזיק את המסמכים, איך מעדכנים אותם ומה קורה כאשר משתנה השירות. מדדי הצלחה יכולים לכלול טיפול בסיכונים ואיכות הראיות, ולא רק מספר מסמכים שנמסרו. תהליך מסירה לצוות הפנימי עוזר לשמר את הידע ולא ליצור תלות שאינה נחוצה.

מה להכין לשיחת תיחום?

כדאי להכין תיאור של השירותים והמערכות המרכזיות, אנשי קשר, דרישות לקוחות ומועדי יעד. מסמכים וממצאים קודמים יכולים לסייע, אך אין צורך לשלוח סיסמאות, מידע לקוחות או פרטי מערכת רגישים בפנייה הראשונית. לאחר הגדרת ההיקף מסכימים על ערוצי העברה והרשאות לפי צורך. חשוב לזהות מי מאשר החלטות ומי מסוגל לבצע שינויים, כדי שתוכנית העבודה תתאים לזמינות ולמשאבים של הארגון.

מהתוצר לתוכנית שאפשר לתחזק

לכל פעולה מגדירים אחראי, תלות, מועד ותנאי סגירה. מבחינים בין מסמך שנכתב לבין שינוי שהוטמע ונבדק. אם אי אפשר להשלים פעולה בזמן, מתעדים את הסיבה ואת ההחלטה לגבי הסיכון שנותר. בישיבות מעקב בוחנים גם שינוי בפעילות, ולא רק אחוז השלמת משימות. בסיום הליווי מסדירים מקום לשמירת התוצרים, העברת ידע והמשך עדכון. המטרה היא שהארגון יוכל להשתמש בהחלטות גם לאחר סיום הפרויקט.

תחומים משלימים

• יועץ אבטחת מידע – תפקיד והיקף
• ליווי לתקן ISO 27001
• ליווי SOC 2
• ביקורת אבטחת מידע

שאלות נפוצות

נגדיר יחד תוכנית שמתאימה לארגון

לתמונה הרחבה עברו אל ייעוץ אבטחת מידע של ExploiX. צרו קשר לשיחת תיחום עם תיאור קצר של המטרה והפעילות.