שני סעיפים קובעים כמה שווה חבילה של שירותי אבטחת מידע מנוהלים לעסקים: מה לא כלול בה, ותוך כמה זמן מישהו מטפל בפועל באירוע. שירות מנוהל הוא צוות שמנטר את המחשבים, השרתים, הדואר וחומת האש של העסק, ומגיב להתראות בשמו. ההבדל בין שתי הצעות באותו מחיר חודשי מתגלה ביום האירוע: באחת המחשב הנגוע מבודד מהרשת בתוך דקות, ובשנייה נפתחת קריאת שירות, שמטופלת למחרת בבוקר. לכן לפני החתימה מבקשים בכתב שלושה דברים: את רשימת הרכיבים שבתוך החבילה, את מה שמחויב בנפרד, ואת זמן הטיפול לפי חומרת האירוע ושעת היום.
אלה הרכיבים הנפוצים בחבילה, ומה מבקשים בכתב על כל אחד:
| רכיב | מה כלול בדרך כלל | מה מבקשים בכתב |
|---|---|---|
| הגנה על מחשבים ושרתים (EDR) | תוכנת הגנה שמנוהלת מרחוק ומדווחת לספק | אילו מכשירים בתוך ההיקף: גם ניידים, שרתים בענן ומכשיר אחסון רשתי (NAS)? |
| ניטור ותגובה (SOC) | צוות שקורא את ההתראות ומבודד מחשב נגוע | שעות הפעילות, וזמן הטיפול בלילה ובסוף שבוע |
| חומת אש (Firewall) | הגדרה, עדכוני תוכנה ורישוי | אם הרישוי והעדכונים כלולים לכל התקופה, או רק לשנה הראשונה |
| סינון דואר | עצירת הודעות דיוג וקבצים זדוניים לפני התיבה | אם כל תיבות הדואר במחיר, כולל תיבות משותפות |
| גיבוי | גיבוי אוטומטי לענן | אילו מערכות מגובות, וכל כמה זמן נעשה שחזור ניסיון |
| טיפול באירוע | עצירה ובידוד ראשוני | חקירה, ניקוי ושחזור: כלולים, או לפי שעות עבודה בתשלום |
מה כוללים שירותי אבטחת מידע מנוהלים, ומה נשאר מחוץ לחבילה?
חבילה מנוהלת נמכרת בדרך כלל לפי משתמש או לפי מכשיר, ולכן ההיקף נקבע ברשימה. מה שלא מופיע ברשימה לא מוגן, גם אם הוא מחובר לאותה רשת. בשיחות עם לקוחות עלה מקרה של ספק שהציע לגבות ולהגן רק על השרתים, ותחנות העבודה ומכשיר האחסון הרשתי נשארו בחוץ. לכן בונים טבלת כיסוי עוד לפני ההצעה: שרתים, מחשבים, ניידים, אחסון רשתי, דואר ושירותי ענן. לכל שורה רושמים אם היא מכוסה, ובאיזה רכיב.
שלושה דברים נשארים מחוץ לחבילה ברוב ההצעות:
- טיפול באירוע אחרי העצירה הראשונה. בידוד המחשב כלול, אבל חקירה, ניקוי ושחזור מחויבים לרוב לפי שעות.
- ניטור, כשהוא נמכר כרכיב נפרד. בלי ניטור, התראה שאיש לא קרא אינה באחריות הספק.
- המידע עצמו. ספקי תקשורת וענן כותבים בתנאים שלהם שהגיבוי באחריות הלקוח, ויש כאלה שפוטרים את עצמם מנזק למידע גם כשהתקלה אצלם.
מה ההבדל בין זמן תגובה לזמן טיפול באירוע אבטחה?
זמן תגובה הוא הרגע שבו הספק מאשר שקיבל את הפנייה. זמן טיפול, או זמן תיקון, הוא הרגע שבו האירוע נעצר והעבודה חוזרת. בהצעות של ספקים קטנים מופיע לא פעם "זמן תגובה של שעתיים", ובפועל זה זמן פתיחת הקריאה, לא זמן העצירה. ההבדל הזה יכול להיות יום עבודה שלם.
שלוש בדיקות בחוזה:
- זמן טיפול לפי רמת חומרה. מחשב אחד נגוע אינו הצפנה שמתפשטת ברשת, ולכל אחד מהם צריך זמן משלו.
- שעות הפעילות. "24/7" בעמוד השיווקי אינו מבטיח מענה בשבת, ואצל חלק מהספקים מענה בערב ובסוף שבוע הוא מסלול נפרד בתוספת.
- נספח SLA (התחייבות לרמת שירות) חתום, עם זיכוי על חריגה. אמנת שירות פומבית היא מסמך יעדים, שהספק רשאי לשנות.
כשיש כמה ספקים, למשל לקו, לענן ולתוכנה, מגדירים מראש מי מתאם ביניהם באירוע. אחרת כל אחד מפנה לאחר, והשעון ממשיך לרוץ.
מי משלם כשמתקפה בכל זאת מצליחה?
שירות מנוהל מקטין את הסיכון. הוא לא מבטח אותו. בחוזים של ספקי קו וענן תקרת האחריות מוגבלת לתשלומים של חודש עד שישה חודשים, ונזק עקיף ואובדן הכנסות מוחרגים במפורש. דהיינו: עסק שמשלם כמה מאות שקלים בחודש ומושבת שלושה ימים יקבל, במקרה הטוב, החזר של כמה חודשי מנוי.
לכן עושים חשבון פשוט לפני החתימה: כמה עולה לעסק יום השבתה, ומה התקרה בחוזה. כשהפער גדול, משלימים אותו בביטוח או בעותק גיבוי נוסף, שהעסק שולט בו ולא הספק. הסעיפים שכדאי להוסיף לחוזה, כשהחשש העיקרי הוא כופרה, מופיעים בסקירה על הגנה מפני מתקפות כופר.
איך מתומחרים שירותי אבטחת מידע מנוהלים לעסק?
אין מחיר אחד, כי המחיר נגזר מההיקף. השירות מתומחר בדרך כלל לפי משתמש או לפי מכשיר לחודש, ולצידו דמי הקמה וחיוב נפרד על טיפול באירוע. רכיב אחד שאפשר לתמחר מראש הוא חומת אש מנוהלת לאינטרנט עסקי, שעולה בשוק 350 עד 550 ש"ח לחודש לפני מע"מ.
עסק קטן נתקל גם במגבלה הפוכה. יצרני מערכות ההגנה והניטור הגדולים עובדים לרוב מול ארגונים, ובשיחות עם מפיצים עלה מינימום של מאות תחנות לחוזה ישיר. משרד של 15 עובדים מקבל את אותה טכנולוגיה דרך ספק שירות מנוהל, שמאגד כמה לקוחות. אצלו בודקים איזה מוצר מותקן בפועל, ומי קורא את ההתראות. ההבדלים בין יצרן, משלב ושירות מנוהל מפורטים בסקירה על חברת אבטחת מידע.
מה קורה למידע ולגישות כשעוברים לספק אחר?
תנאי היציאה נקבעים ביום הכניסה. ביטול שירות דורש לרוב הודעה בכתב, אצל חלק מהספקים 30 יום מראש, ועד אז השירות ממשיך ומחויב. לכן לא עוצרים את הספק הישן עד שהחדש הותקן ונבדק, ומתכננים חודש שבו משלמים לשניהם.
לפני החתימה מבקשים בכתב מה יקרה ביום היציאה: יומני האירועים וההגדרות עוברים לעסק או לספק החדש, חשבונות הגישה של הספק נמחקים מכל המערכות, והמידע שנשמר אצלו נמחק עם אישור בכתב. ספק שמסרב לכתוב את זה מראש יקשה גם בסוף.
שורה תחתונה: מה מבקשים בכתב לפני שחותמים?
רשימת כיסוי מלאה, מה מחויב בנפרד, זמן טיפול לפי חומרה ולפי שעה, נספח SLA חתום, ותקרת האחריות מול עלות של יום השבתה. ספק שעונה על כל אלה בכתב הוא ספק שאפשר להשוות. ספק שעונה "הכול כלול" בלי רשימה, לא.
אם קיבלת הצעה לשירות אבטחה מנוהל, שלח לי אותה, ואעבור איתך על ההיקף, על זמני הטיפול ועל סעיפי האחריות לפני שאתה חותם. זה חלק מהליווי שלנו בתחום ביטחון ואבטחה לעסקים. 077-812-3111.
שאלות נפוצות על שירותי אבטחת מידע מנוהלים
העסק מקבל צוות ומערכות שמגינים עליו ברציפות, במקום תוכנות שמותקנות ונשכחות. השירות כולל בדרך כלל הגנה מתקדמת (EDR) על מחשבי העובדים ועל השרתים, התקנת עדכוני אבטחה מרחוק, סינון דואר מפני הודעות דיוג, גיבוי לענן בגרסאות נעולות, ומוקד ניטור שמזהה אירוע ומבודד את המחשב הנגוע. נוסף על כך מקבלים דוחות תקופתיים על מצב ההגנה והמלצות לשיפור הנהלים וההרשאות.
ההתראה מגיעה לאנליסט, שבודק אם מדובר באירוע אמיתי או בהתראת שווא. כשהאירוע אמיתי, הצעד הראשון הוא לבודד את המחשב או את השרת מהרשת, כדי שהנוזקה לא תתפשט, ומיד אחר כך מודיעים לאיש הקשר שהעסק הגדיר. בסוף מקבלים דוח: מה זוהה, מה נעשה, ומה נשאר לטפל. שני פרטים קובעים כמה מהר זה קורה: אם המוקד מורשה לבודד מחשב בלי לחכות לאישור טלפוני, ומי בעסק זמין לקבל את ההודעה בלילה. את שניהם מגדירים בכתב לפני שמתחילים.
ברוב המקרים כן. עסק שעובד עם תוכנות בענן, ממחשב נייד ומסמארטפון, חשוף לדיוג ולכופרה כמו ארגון גדול, אבל בדרך כלל אין בו מי שקורא התראות אבטחה ומגיב להן. תוכנת הגנה שאיש לא מנטר מתריעה לתוך חלל ריק. שירות מנוהל נותן לעסק כזה ניטור, הגנה וגיבוי בלי להעסיק איש אבטחה, ובמחיר שמחושב לפי מספר המשתמשים או המכשירים. עסק של עובד אחד או שניים יכול לפעמים להסתפק בהגנה בסיסית וגיבוי, בתנאי שמישהו אחראי לבדוק אותם.
גיבוי בענן מאפשר לשחזר את המידע ממצב נקי מלפני המתקפה, בלי לשלם כופר לתוקפים. מתקפת כופר מצפינה את הקבצים בשרתים ובמחשבים, ולעיתים גם גיבויים שיושבים באותה רשת. גיבוי מנוהל שנשמר בענן, מחוץ לרשת העסק ובכמה גרסאות לאורך זמן, נשאר מחוץ להישג ידם. כדי שהגיבוי יהיה שימושי צריך לוודא שהוא רץ באופן אוטומטי, שנבדק שחזור בפועל ושמוגדר פתרון התאוששות מאסון (DRP) לחזרה מהירה לעבודה.
לפני שבוחרים ספק כדאי לוודא שהוא מספק פתרון מקיף מכתובת אחת, ולא אוסף מערכות של כמה ספקים בלי אחראי אחד. יש לבדוק אם השירות כולל הגנה על שרתים ומחשבי קצה, מוקד ניטור (SOC) שפועל מסביב לשעון, גיבוי מנוהל לענן ותוכנית התאוששות מאסון. חשוב לשאול על רמת השירות המחייבת (SLA), על זמני תגובה לאירוע ועל ניסיון עם עסקים בגודל דומה. כדאי גם לבקש הסבר כתוב על מה לא כלול בחבילה.
תלוי בחבילה, ולכן שואלים על כך בנפרד. יש שירותים שבהם מוקד הניטור פועל כל שעות היממה, ויש שירותים שבהם המערכת מתריעה בלילה, אבל אדם קורא את ההתראה רק בבוקר. מתקפות כופר מופעלות לא פעם דווקא בלילה או בסוף שבוע, כשאיש לא נמצא במשרד. מבקשים בהצעה את שעות הפעילות של המוקד, ואת זמן הטיפול בשעות שמחוץ לשעות העבודה ובחגים.
ברוב המקרים כן. ספק שירות מנוהל יכול לקבל לניהולו חומת אש שהעסק כבר קנה, בתנאי שהדגם עדיין נתמך ושהרישוי לעדכוני האבטחה בתוקף. כשהדגם ישן ויצא מתמיכה, אין טעם לנהל אותו, ואז משווים בין שכירות חודשית לבין קנייה. בכל מקרה מבקשים שהסיסמאות וההגדרות יישארו גם אצל העסק, כדי שאפשר יהיה להחליף ספק בלי להחליף את הציוד.
המידע נכתב ונבדק ע"י מיכאל פנחס, מהנדס תקשורת ומנהל טלקום אקספרט.
