נכתב בתאריך 11 בנובמבר 2026
לספק ה-IT שלכם יש את המפתחות הראשיים לכל השרתים, הקבצים ומאגרי הנתונים של הארגון.
אם חברת המחשוב עצמה פרוצה או מתנהלת ברשלנות, שום מערכת הגנה שקניתם לעסק לא תעזור לכם. על פי דוח SecurityScorecard, לפחות 35.5% מכלל דלפי המידע נבעו מגישה של ספקי צד שלישי, ועל פי דוח IBM העלות הממוצעת של אירוע דלף מידע הגיעה לשיא של כ-18 מיליון ₪.
כדי למנוע מתקפת שרשרת אספקה שתשתק את הארגון שלכם דרך כלי השליטה של הספק, הכנו רשימת בדיקה מעשית שבוחנת את נהלי העבודה והבקרה של חברת המחשוב עצמה.
1. דרישת תעודות הסמכה ובדיקת היקף התקן
הצעד הראשון הוא לדרוש מהספק להציג תעודת הסמכה מקורית ובתוקף לתקנים בינלאומיים מוכרים, ובראשם תקן iso 27001 או SOC 2 Type II. אל תסתפקו בהצהרה שיווקית או בלוגו באתר האינטרנט של הספק.
כשאתם מקבלים את התעודה, בדקו שני דברים קריטיים: תאריך התפוגה שלה וסעיף היקף ההסמכה (Scope). חובה לוודא שההסמכה כוללת במפורש את מערך התמיכה ומתן שירותי מחשוב לעסקים של הספק עצמו, ולא רק את חוות השרתים החיצונית שבה הוא מתארח.
אצלנו בחברת erg, למשל, ההסמכה לתקן ISO 27001 ולתקן האיכות ISO 9001 חלה על כל תהליכי העבודה, הניהול והשירות שלנו מקצה לקצה. המשמעות היא שמבקר חיצוני בודק אותנו בציציות מדי שנה.
2. בקרת גישה מרחוק של צוות התמיכה
כל חיבור מרחוק של טכנאי מטעם ספק המחשוב לרשת הארגון שלכם חייב להתבצע דרך ערוץ מוצפן, מבוקר ומנוטר, ולעולם לא דרך חיבורי שולחן עבודה מרוחק (RDP) הפתוחים ישירות לאינטרנט. כלי השליטה מרחוק של הספק הם שער הכניסה הרגיש ביותר לארגון שלכם.
ספקי שירותים מנוהלים מחזיקים בהרשאות גישה עמוקות לשרתים של כל הלקוחות שלהם. אם מערכות הספק אינן מופרדות ומוגנות כראוי, פריצה בודדת למחשב של תומך עלולה לאפשר לתוקפים להפיץ תוכנות כופר לכלל הלקוחות בו זמנית.
דרשו לדעת באיזו מערכת שליטה ובקרה הספק משתמש, והאם כל חיבור של תומך מייצר רישום מלא ביומן האירועים (Log) המתעד מי התחבר, מתי, ואיזו פעולה בוצעה בשרת.
3. אכיפת אימות רב שלבי (MFA) פנימי אצל הספק
ספק מחשוב שעומד בתקן מחמיר מחייב אימות רב שלבי (MFA) על כל המערכות הפנימיות שלו, ללא יוצא מן הכלל. לא מספיק שהספק יגדיר אימות דו שלבי עבור העובדים שלכם, הוא חייב לאכוף זאת קודם כל על העובדים שלו.
בדקו מול הספק האם הכניסה למערכת ניהול הקריאות שלו, למאגר הסיסמאות הארגוני ולכלי ההשתלטות מרחוק דורשת אימות חזק מעבר לסיסמה. מהניסיון שלנו בשטח, ספק שמתפשר על נוחות הטכנאים שלו ומדלג על שלב האימות, חושף את הלקוחות שלו לסכנה מיידית במקרה של גניבת פרטי התחברות.
4. נהלי גיבוי מנותק והצפנת מידע
כדי להבטיח המשכיות עסקית אמיתית, ספק ה-IT חייב להחזיק עותק גיבוי מנותק או בלתי ניתן לשינוי (Immutable Backup), המוצפן גם בזמן העברת הנתונים וגם בזמן אחסונם. גיבוי שמחובר באופן קבוע לרשת הרגילה יימחק או יוצפן מיד במהלך מתקפת כופר.
מעבר לעצם קיום הגיבוי, תקן ISO 27001 מחייב ביצוע תרגילי שחזור תקופתיים. שאלו את הספק מתי לאחרונה הוא ביצע בדיקת שחזור בפועל לנתונים שלכם, ובקשו לראות תיעוד של זמן השחזור במסגרת תוכנית התאוששות מאסון. גיבוי שלא נבדק ביכולת השחזור שלו אינו שווה דבר ברגע האמת.
5. התחייבות לזמני תגובה באירוע סייבר (SLA)
הסכם השירות (SLA) מול ספק המחשוב חייב לכלול נוהל תגובה לאירועי סייבר (Incident Response) עם זמני תגובה מוגדרים בדקות, ולא רק בימי עסקים. תקלה במדפסת יכולה לחכות למחר, אבל זיהוי של חדירה לרשת דורש ניתוק ובידוד מיידי.
וודאו שלספק יש צוות זמין ויכולת מוכחת לבצע אבחון וטיפול מהיר במצבי חירום. בקשו לראות את נוהל האירוע הכתוב של הספק: מי מנהל את האירוע, תוך כמה זמן מודיעים להנהלת הארגון שלכם, ואיך מתבצע בידוד השרתים הנגועים כדי לעצור את ההתפשטות.
6. שלילת הרשאות מיידית מעובדי ספק שעזבו
אחת החולשות המסוכנות ביותר אצל חברות מחשוב לא מבוקרות היא הרשאות שנשארות פתוחות עבור טכנאים שכבר סיימו את עבודתם בחברה. ספק שעומד בתקן מנהל תהליך סדור של גיוס וסיום העסקה (Offboarding) שמונע מצב כזה לחלוטין.
עיקרון הגישה המינימלית (Least Privilege) קובע שלעובדי הספק לא תהיה גישה גורפת לכל המידע שלכם, אלא רק למה שנדרש לתפקידם, וגם זה רק אחרי שעברו בדיקות רקע קפדניות. ודאו שברגע שעובד עוזב את חברת ה-IT, כל החשבונות והגישות שלו למערכות הלקוחות נחסמים מיד ממוקד אחד.
7. בקרת ספקי משנה בשרשרת האספקה
ספק ה-IT שלכם נעזר לעיתים קרובות בספקי משנה, כגון ספקי שירותי ענן, מומחי בסיסי נתונים חיצוניים או כלי תוכנה צד שלישי. לפי דרישות התקן, הספק שלכם מחויב לבצע בקרת סיכונים קפדנית על כל ספק משנה שיש לו נגיעה למידע שלכם.
דרשו מהספק רשימה שקופה של ספקי המשנה שמשולבים בשירות שהוא מעניק לכם, ובדקו באילו שירותי אבטחת מידע ותקנים אותם ספקי משנה עומדים. חוליה חלשה אחת בשרשרת הזו מספיקה כדי לעקוף את כל ההגנות הארגוניות שלכם.
8. שקיפות, דוחות ביקורת ומבדקי חדירות
ספק שאכן מיישם אבטחת מידע לעסקים ברמה גבוהה עובר מבדקי חדירות (Penetration Tests) תקופתיים על ידי חברה חיצונית ובלתי תלויה. אל תהססו לבקש לראות תקציר מנהלים של דוח מבדק החדירות האחרון שהספק עבר, יחד עם אישור על תיקון הליקויים הקריטיים שהתגלו בו.
בנוסף, חברות IT שמציבות את האמינות והשקיפות במקום הראשון יספקו לכם דוחות ביקורת שוטפים על מצב הרשת, עדכוני התוכנה שבוצעו, וניסיונות התקיפה שנבלמו. שקיפות מלאה ותיעוד מסודר הם ההוכחה הטובה ביותר לכך שהספק שלכם עובד לפי נהלים אמיתיים ולא רק מחזיק תעודה על הקיר.
המלצת המומחה: אייל גבעון
"לאורך יותר מ-20 שנות ניסיון בעבודה מול ארגונים, ראיתי שההבדל בין עסק ששורד מתקפת סייבר לעסק שמשותק טמון במשמעת התפעולית של ספק ה-IT שלו.