ביצוע סקרי סיכונים מחשוביים

סקר סיכונים מחשובי הוא תהליך שבודק את נקודות התורפה במערכות המחשב של העסק ומציע דרכים לצמצם אותן. העבודה כוללת בדרך כלל סקירה של הגדרות האבטחה, בדיקת גיבויים, בחינת הרשאות משתמשים וזיהוי סיכונים כמו פריצות, אובדן מידע או תקלות מערכת. היקף הסקר משתנה לפי גודל הארגון, מספר העובדים, סוג המידע שנשמר ומורכבות התשתית. עסק קטן עם כמה מחשבים יקבל סקר שונה בתכלית מחברה עם שרתים, ענן ועובדים מרוחקים.

מה עושה מומחה אבטחה בסקר סיכונים — שלב אחרי שלב

סקר סיכונים מחשובי מתחיל בשלב איסוף מידע. המומחה נפגש עם בעל העסק או עם מנהל המערכת ושואל על אופן השימוש במחשבים, על סוגי המידע שנשמרים ועל מי שיש לו גישה אליהם. אחר כך הוא סורק את הרשת, בודק את הגדרות האבטחה במחשבים ובשרתים, ובוחן אם קיימים עדכוני תוכנה אחרונים. הוא בודק גם את הגדרות הסיסמאות, את הרשאות המשתמשים ואת נוהלי העבודה השוטפים. בשלב הבא הוא בוחן את מערך הגיבויים — האם יש גיבוי, לאן הוא נשמר, והאם אפשר לשחזר ממנו מידע. לבסוף הוא כותב דוח מפורט עם ממצאים, דירוג סיכונים והמלצות מעשיות. בחלק מהמקרים הסקר כולל גם בדיקת חדירות, שבה מנסים לפרוץ למערכת כדי לבדוק את עמידותה, אבל זו פעולה נפרדת שבדרך כלל דורשת תיאום מראש.

למה עסק עם 5 עובדים משלם פחות מעסק עם 50 — ומה עוד משפיע על המחיר

הגורם המרכזי שמשפיע על המחיר הוא היקף התשתית. עסק עם כמה מחשבים ניידים ושירות ענן פשוט דורש פחות שעות עבודה מעסק עם שרת פיזי, רשת פנימית, מערכת ERP ומספר סניפים. גם מספר העובדים חשוב, כי כל משתמש נוסף פירושו עוד הרשאות לבדוק ועוד נקודות כניסה אפשריות. סוג המידע משפיע גם הוא — עסק שמחזיק פרטי לקוחות או נתונים רגישים יצטרך סקר מעמיק יותר מעסק שמחזיק רק חומר שיווקי. האם העסק משתמש בענן, ושל איזה ספק? האם יש עובדים שעובדים מרחוק? האם יש מערכות ישנות שלא עודכנו? כל אלה משפיעים על משך הבדיקה ועל המחיר. חשוב לבקש הצעת מחיר מפורטת שמפרטת מה כלול בסקר ומה לא, כדי שלא יופתעו מחיובים נוספים על בדיקות שלא תוכננו מראש.

יום אחד או שבועיים — מה קובע את משך הסקר

סקר סיכונים לעסק קטן יכול להסתיים ביום אחד, אם המומחה מגיע, סורק את המערכות, מראיין את בעל העסק וכותב דוח מסכם. עסק בינוני עם שרתים ומספר מחלקות ידרוש בדרך כלל כמה ימי עבודה, ולפעמים הסקר נפרס על פני שבוע או שבועיים. מה שמאריך את התהליך הוא בעיקר מורכבות התשתית, מספר המערכות שיש לבדוק, וזמינות העובדים לשאלונים ולראיונות. אם העסק עובד עם ספקי ענן חיצוניים, ייתכן שיידרש זמן נוסף כדי לקבל מהם מסמכים על הגדרות האבטחה. גם בדיקת חדירות מאריכה את התהליך, כי היא דורשת תכנון מוקדם וביצוע זהיר. מנגד, עסק שמגיע מוכן — עם מסמכי רכישה של הציוד, רשימת תוכנות ועובדים — יכול לקצר משמעותית את משך הסקר. חשוב לשאול את המומחה מראש מה כולל לוח הזמנים ומתי יימסר הדוח הסופי.

איך נראית עבודה טובה חודש אחרי הסקר — ושנה אחר כך

עבודה טובה לא מסתיימת במסירת הדוח. חודש אחרי הסקר, בעל העסק צריך לקבל ליווי ליישום ההמלצות — אם זה שינוי הגדרות, התקנת תוכנת אנטי-וירוס או הדרכת עובדים. מומחה טוב מסביר מה דחוף ומה אפשר לדחות, ועוזר לתעדף את הטיפול. שנה אחרי הסקר, ההבדל ניכר בכך שהעסק עמד בתקלות בלי נזק משמעותי, או שהצליח לשחזר מידע מגיבוי אחרי תקלה. עבודה בינונית, לעומת זאת, מסתפקת בדוח ארוך ומלא במונחים טכניים, בלי ליווי ובלי תוכנית פעולה ברורה. בעל העסק נשאר לבד עם הדוח, לא יודע מאיפה להתחיל, וחצי שנה אחר כך שום דבר לא השתנה. סימן נוסף לעבודה טובה הוא שהמומחה זמין לשאלות גם אחרי סיום הסקר, ולא נעלם ברגע שקיבל תשלום.

מה לשאול לפני שמזמינים סקר — ומה צריך להדליק נורה אדומה

לפני שסוגרים עם מומחה, כדאי לשאול: מה כולל הסקר בדיוק? האם הוא כולל בדיקת גיבויים והתאוששות מאסון? האם הוא כולל בדיקת חדירות? מי יכתוב את הדוח והאם הוא יהיה בעברית פשוטה? האם יש ליווי אחרי הסקר ליישום ההמלצות? כמה זמן לוקח הסקר ומתי מקבלים את הדוח? דגלים אדומים: מומחה שמבטיח לחסוך כסף או למנוע פריצות בהבטחה מוחלטת; מי שמסרב לתת דוגמה לדוח קודם או להפנות ללקוחות קודמים; מי שמציע מחיר נמוך במיוחד בלי להסביר מה לא כלול; ומי שממליץ מיד על רכישת ציוד או תוכנה יקרים בלי שביצע בדיקה מעמיקה. גם מומחה שלא שואל שאלות על העסק לפני שהוא נותן הצעת מחיר — סימן שהוא לא מתכוון להתאים את הסקר לצרכים.

שאלות נפוצות על סקרי סיכונים מחשוביים

האם סקר סיכונים מתאים גם לעסק קטן עם שני מחשבים?

כן. גם עסק קטן חשוף לפריצות, לאובדן מידע ולנזקי תוכנות כופר. הסקר לעסק קטן יהיה קצר יותר וממוקד יותר, אבל הוא יכול למנוע נזק גדול.

מה ההבדל בין סקר סיכונים לבדיקת חדירות?

סקר סיכונים הוא בדיקה רחבה של כל מערך האבטחה, כולל נהלים, גיבויים והרשאות. בדיקת חדירות היא ניסיון ממוקד לפרוץ למערכת, והיא בדרך כלל חלק מסקר מקיף או שירות נפרד.

האם הסקר יכול לגרום נזק למערכות?

סקר סיכונים רגיל אינו פוגע במערכות. בדיקת חדירות, אם היא מבוצעת, נעשית בתיאום מראש ובזהירות, כדי לא לשבש את העבודה השוטפת.

מה עושים עם הדוח אחרי שמקבלים אותו?

קוראים אותו, מבקשים מהמומחה הסבר על הממצאים, ומתחילים לטפל בסעיפים שסומנו כקריטיים. אם אין יכולת פנימית ליישם, אפשר לשכור את המומחה או ספק אחר לביצוע.

כמה פעמים בשנה צריך לערוך סקר?

לעסק קטן, סקר פעם בשנה הוא סביר, ובמיוחד אחרי שינוי משמעותי כמו הוספת עובדים, מעבר לענן או התקנת מערכת חדשה. עסק עם מידע רגיש או תשתית מורכבת עשוי להזדקק לסקר תכוף יותר.

האם הסקר כולל גם הדרכת עובדים?

לא תמיד. חלק מהמומחים כוללים הדרכה קצרה במסגרת הסקר, ואחרים מציעים אותה כשירות נוסף. כדאי לשאול מראש אם ההדרכה כלולה במחיר.