מדוע ספקי ענן ו-MSP הם כעת משטח ההתקפה העיקרי שלך
ספקי ענן ו-MSP נמצאים כעת בתוך התהליכים הקריטיים שלכם, כך שחולשות בבקרות שלהם הופכות במהרה לחולשות באבטחה שלכם. כשאתם מחברים פלטפורמה, ספק אירוח או שירות מנוהל לסביבה שלכם, אתם מרחיבים את משטח התקיפה שלכם, את החשיפה הרגולטורית שלכם ואת התלות שלכם בחוסן ובמשמעת התפעולית של מישהו אחר.
מידע זה הינו כללי ואינו מהווה ייעוץ משפטי, רגולטורי או פיננסי; עליך לפנות לייעוץ מקצועי מתאים לפני קבלת החלטות.
ענן ו-MSPs נמצאים בתוך התהליכים הקריטיים שלך
ספקי ענן ו-MSP הופכים לחלק מסביבת הייצור שלכם ברגע שהם מטפלים בנתוני לקוחות, מפעילים מערכות ליבה או מנהלים את הרשתות שלכם. מנקודת מבטם של הרגולטור והלקוח, משמעות הדבר היא שספקים אלה מוטמעים במתן השירות שלכם, כך שהכשלים או הפרות שלהם אינם ניתנים להבחנה משלכם.
גם אם השירות מתואר כ"מיקור חוץ", רגולטורים, לקוחות ומבקרים עדיין מתייחסים לסיכון כאל שלכם, משום שבחרתם את הספק ונהניתם מהשירות. רגולטורים להגנת מידע, לדוגמה, מסבירים כי בקרים נשארים אחראים לפעולות המעבדים שלהם גם כאשר העיבוד מתבצע במיקור חוץ, מה שמחזק את העיקרון שלא ניתן להעביר אחריות באמצעות חוזה בלבד. הנחיות מרשויות כמו המדריך להגנת מידע של משרד נציב המידע בבריטניה מבהירות את האחריות המשותפת הזו.
דו"ח מצב אבטחת המידע לשנת 2025 מצא כי רוב הארגונים כבר הושפעו מאירוע אבטחה אחד לפחות הקשור לצד שלישי או לספק בשנה האחרונה.
עליכם להיות מסוגלים לענות, בשפה פשוטה, מה קורה לפעילות שלכם אם ספק מפתח נכשל, נפגע או הופך לפתע ללא זמין. שאלה פשוטה זו היא לעתים קרובות הדרך המהירה ביותר לחשוף אילו ספקים שייכים באופן ישיר לתחום מערכת ניהול אבטחת המידע (ISMS) ISO 27001 שלכם.
כאשר ספק נמצא בנתיב הקריטי שלך, האירוע שלו הופך מהר מאוד לאירוע שלך.
התקפות מודרניות מכוונות לעתים קרובות לקונסולות ענן, ספקי זהויות וכלי ניהול מרחוק של MSP, משום שנקודות גישה אלו מאפשרות לתוקף לנוע לרוחב על פני לקוחות רבים בו זמנית. הערכות איומים אחרונות של רשויות אכיפת החוק, כגון הערכת איומי הפשע המאורגן באינטרנט (IOCTA) של יורופול, מתארות קמפיינים שבהם יריבים מנצלים לרעה ממשקי ניהול מרובי דיירים ומערכות זהות כדי לפגוע בארגונים רבים בפעולה אחת. אם תתייחסו לאבטחת ספקים כאל תרגיל שאלון מזדמן, תתקשו להסביר לדירקטוריון שלכם כיצד אתם מגנים מפני הסיכונים החשובים ביותר בסביבה כבדה בענן.
ספקי צל ואחריות משותפת מגבירים את החשיפה שלכם
ספקי צל צצים כאשר צוותים מאמצים שירותים ללא מעורבות של אבטחה, רכש או משפט, והם מגדילים את החשיפה שלכם מכיוון שאתם לא יכולים לנהל את מה שאתם לא רואים. שיווק עשוי לאמץ פלטפורמות SaaS חדשות, צוותי פיתוח מייצרים שירותים ישירות עם ספקים, ומשרדים אזוריים שוכרים ספקי שירותים מקומיים כדי לפתור בעיות דחופות.
ספקי צל אלה מקבלים לעתים קרובות גישה מועדפת או עותקים של נתונים רגישים הרבה לפני הבדיקה הרשמית. במקביל, מודלים של ענן ו-MSP מסתמכים על אחריות משותפת. ספקים מאבטחים חלקים גדולים מהמחסנית, אך אתם נשארים אחראים לחשבונות, לתצורה, לנתונים ולאופן שבו השירותים משולבים.
כאשר מתרחשים אירועים, חקירות מגלות לעתים קרובות כי לאף אחד לא הייתה תמונה ברורה היכן מסתיימת אחריות הספקים ומתחילה אחריות הלקוחות. תוכניות ISO 27001 רבות מתייחסות כיום לסיכוני ספקים וענן כרישומים סטנדרטיים באותו מרשם סיכונים המשמש לנכסים פנימיים, מה שמקל על ערעור על קווי הסיכונים המטושטשים הללו. גישה זו עולה בקנה אחד עם מודל מבוסס הסיכונים של ISO 27001, המצפה שסיכונים הקשורים לצדדים חיצוניים יוערכו, יטופלו ויטופלו במקביל לסיכונים פנימיים ולא בתהליך נפרד לחלוטין, כפי שמשתקף בפרשנויות נפוצות של התקן כמו אלו שנאספו באתר iso27001security.com.
תוכנית ISO 27001 מבוססת סיכונים נותנת לכם דרך להביא מבנה למורכבות זו. על ידי התייחסות לסיכון ספקים וענן כחלק מתחום ה-ISMS שלכם, תוכלו:
- סווגו ספקים לפי ההשפעה העסקית האמיתית של כישלון או פשרה.
- להחליט אילו ספקים חייבים לעבור הערכת סיכונים, ניטור ובדיקה תחת תקן ISO 27001.
- בניית סיפור עקבי לגבי אופן הזיהוי, הטיפול והראיות של סיכוני צד שלישי.
יחד, שלבים אלה הופכים את ניהול הספקים מקבוצת שאלונים אד-הוק לחלק בר-מעקב וחוזר על עצמו במערכת ניהול אבטחת המידע שלכם.
פלטפורמה כמו ISMS.online יכולה לעזור לכם לשמור על תצוגה אחידה של ספקים, לקשר בין מלאי הנכסים, רישום הסיכונים ומסגרת הבקרה שלכם, כך שקשרים בין ענן ל-MSP לא ינוהלו עוד בנפרד.
הזמן הדגמההפיכת ISO 27001:2022 לעמוד שדרה של ניהול ספקים
תקן ISO 27001:2022 מספק לכם עמוד שדרה ניהולי מוכן לפיקוח על ספקים, אך רק אם תתרגמו את הסעיפים והבקרות שלו לקומה משותפת וברורה. במקום להתייחס ל"ניהול ספקים" כיוזמה נפרדת, תוכלו להשתמש בתקן ISO 27001 כדי למקם אותו כאחד התהליכים המרכזיים בתוך מערכת ה-ISMS שלכם, עם יעדים, תפקידים, רישומים ונקודות סקירה מוגדרים.
על פי סקר ISMS.online לשנת 2025, לקוחות מצפים יותר ויותר מהספקים שלהם להתאים את עצמם למסגרות פורמליות כגון ISO 27001, ISO 27701, GDPR, Cyber Essentials, SOC 2 ותקני בינה מלאכותית מתפתחים.
זהה את דרישות ISO 27001 הנוגעות לספקים
מספר חלקים בתקן ISO 27001:2022 מעצבים ישירות את אופן ניהול ספקי הענן וה-MSP, כך שמיפוי שלהם מראש חוסך מאמץ בהמשך. כאשר מקשרים את הדרישות הללו לאופן העבודה שכבר קיים, פיקוח על הספקים הופך להרחבה של מערכת ה-ISMS הקיימת שלכם ולא לפעילות מקבילה.
בפועל, מיפוי זה יכול להפוך לנקודת התייחסות בה אנשים משתמשים כאשר הם דנים בסיכון של צד שלישי. בפרט, עליכם לקחת בחשבון את הדברים הבאים:
- סעיפי ה"הקשר" ו"היקף" דורשים ממך לזהות תלות בגורמים חיצוניים.
- סעיפי הערכת סיכונים וטיפול בהם מצפים שסיכונים הקשורים לספקים ינותחו ויטפלו בהם כמו כל סיכון אחר.
- סעיפים תפעוליים מצפים לתהליכים מתועדים לבקרת פעילויות במיקור חוץ.
- נספח א' בקרות על קשרי ספקים, בקרת גישה, רישום, המשכיות עסקית וניהול אירועים חלות על שירותים המסופקים על ידי צדדים שלישיים באותה מידה כמו על המערכות שלכם.
צעד ראשון ומעשי הוא ליצור "עמוד שדרה לספקים" בן עמוד אחד, המפרט את סעיפי ISO 27001 והבקרות המסדירות כל שלב במחזור חיי הספק. לדוגמה:
- בחירה ובדיקת נאותות ממופות לבקרות הספקים בנספח א' ולשיטת הערכת הסיכונים שלך.
- התקשרויות וקליטה בהתאם לציפיות בקרת גישה, העברת מידע ופרטיות.
- ניטור, ביקורת וסקירה ממופים להערכת ביצועים ולדרישות שיפור מתמיד.
- יציאה ומעבר מקושרים לגיבוי, החזרת נכסים ובקרות מחיקה מאובטחות.
כאשר אתם מציגים את המפה הזו לבעלי עניין בתחומי הרכש, ה-IT, המשפט והפרטיות, אתם הופכים את תקן ISO 27001 ממסמך אבטחה מומחה למקור ייחוס משותף לממשל שכולם יכולים לעבוד איתו.
השתמשו במחזור חיי הספק כעלילת סיפור משותפת
שימוש במחזור חיים פשוט של ספק כקו העלילה שלכם מקל על מי שאינם מומחים לעקוב אחר דרישות ISO 27001. עבור רוב הארגונים, מחזור חיים זה עובר דרך רעיון, בחירה, התקשרות, קליטה, תפעול, שינוי ופרישה, דבר המשקף את האופן שבו אנשים כבר חושבים על קנייה ושימוש בשירותים.
תקן ISO 27001 מבקש ממך להגדיר, להפעיל ולשפר תהליכים; מחזור החיים מספק את המבנה שלפיו תהליכים אלה פועלים. תחת כל שלב תוכל להגדיר:
- ההחלטות שיש לקבל (לדוגמה, "האם בכלל נוכל להשתמש ב-MSP הזה?").
- המידע הנדרש לקבלת החלטות אלו (ציוני סיכון, תגובות לבדיקת נאותות, ייעוץ משפטי).
- החפצים המינימליים שתיצרו ותשמרו, בהתאם לתקן ISO 27001 (הערכות סיכונים, חוזים, פרוטוקולי ישיבות, רישומי אירועים).
- התפקידים והפורומים האחראים על אישורים ופיקוח.
זה נותן לכם "עמוד שדרה" שכותבי מדיניות, בעלי תהליכים ומנהלי כלים יכולים להסתמך עליו. בהתבסס על ניסיון ממסעות הסמכה רבים, ארגונים שמלווים ספקים במחזור חיים זה מוצאים שקל יותר להסביר את גישתם למבקרים ולקהלי אבטחת מידע אחרים, מכיוון שמחזור החיים מספק מבנה נרטיבי פשוט לתהליכים מורכבים בדרך כלל.
כאשר בהמשך תבצעו אוטומציה של חלקים ממחזור החיים במערכת כמו ISMS.online, אתם כבר יודעים אילו שלבים, רשומות ואישורים חשובים ביותר עבור הסמכה, לקוחות ורגולטורים.
ISO 27001 בקלות
יתרון של 81% מהיום הראשון
עשינו את העבודה הקשה בשבילך, ונתנו לך התחלה של 81% מרגע הכניסה. כל שעליכם לעשות הוא להשלים את החסר.
בניית מסגרת ניהול ספקים מעשית לענן ולספקי ניהול ספקים (MSPs)
מסגרת עבודה לספקים עובדת רק אם אנשים משתמשים בה בפועל בקבלת החלטות יומיומיות. כדי להיות שימושית בסביבה כבדה בענן, המסגרת שלך חייבת להיות מבוססת סיכונים, פרופורציונלית ופשוטה מספיק כדי שבעלי רכש, אבטחה, משפט ועסקים יוכלו ליישם אותה באופן עקבי מבלי להזדקק לידע מומחה בכל פעם.
בסקר מצב אבטחת המידע של ISMS.online לשנת 2025, כ-41% מהארגונים ציינו ניהול סיכוני צד שלישי ומעקב אחר תאימות ספקים כאתגר מרכזי.
מדרגים ספקים לפי סיכון כך שהמאמץ יתאים לחשיפה
חלוקת ספקים לפי סיכון מאפשרת לכם למקד את המאמץ היכן שהוא עושה את ההבדל הגדול ביותר ולמנוע עייפות של ביקורות. ניסיון להתייחס לכל ספק באותו אופן מוביל במהירות להתנגדות, מכיוון שצוותים רואים בדיקות קפדניות המופעלות על שירותים המהווים סיכון מוגבל.
כלי SaaS קטן ובעל סיכון נמוך אינו זקוק לאותה עומק של הערכה כמו ספק שירותים מנוהלים עם גישת מנהל דומיין לנכס הייצור שלך. הגישה מבוססת הסיכונים של ISO 27001 מעניקה לך רשות להתבלט באופן שתוכל להסביר לבעלי עניין ולמבקרים.
דרך מעשית להתחיל היא להגדיר מספר קטן של שכבות, כגון:
- פלטפורמות קריטיות שאם לא יהיו זמינות או ייפגעו, ישבשו באופן משמעותי את העסק שלך.
- ספקי שירותי ניהול (MSP) וספקי מיקור חוץ עם גישה מועדפת למערכות או רשתות ליבה.
- שירותי SaaS או ענן סטנדרטיים המטפלים בנתוני עסקיים אך אינם נמצאים בנתיב הקריטי.
- שירותים בעלי סיכון נמוך, בעלי גישה מוגבלת ומעבדים מידע לא רגיש.
מודל השכבות הפשוט שלהלן מראה כיצד ניתן לחבר סוגי ספקים לציפיות פיקוח ברמה גבוהה.
ניתן לסכם את חלוקת הספקים לפי סוג ומיקוד הפיקוח כך:
| שכבת הספק | דוגמאות אופייניות | מיקוד פיקוח |
|---|---|---|
| פלטפורמות קריטיות | CRM ליבה, ERP, שערי תשלום | בדיקת נאותות מעמיקה, ביקורות תכופות |
| חברי רשת MSP בעלי זכויות יתר | תשתית מנוהלת, שירותי אבטחה | בקרת גישה חזקה, קישור לאירועים |
| SaaS עסקי | שיתוף פעולה, שיווק, מערכות משאבי אנוש | בדיקות סטנדרטיות, סקירה שנתית |
| תשתיות בסיכון נמוך | כלי ניטור, תוספים נלווים | רישום בסיסי בקופה, סקירה קלה |
עבור כל רמה אתה מחליט:
- אילו הערכות ומסמכים הם חובה.
- אילו בקרות ISO 27001 אתם מצפים שהספקים יעמדו בהן או יתמכו בהן.
- באיזו תדירות ייבדק הקשר.
- למי יש סמכות לאשר חריגים או לקבל סיכון שיורי.
מכיוון שהרמות מבוססות על קריטריונים אובייקטיביים כגון רגישות נתונים, סוג גישה וקריטיות, ניתן להסביר אותן ולהגן עליהן בפני מבקרים ובעלי עניין פנימיים. עם הזמן, רמות אלו הופכות לעתים קרובות לחלק משפת הסיכונים הרחבה יותר שלכם, ולא רק לכלי רכש.
הגדירו תפקידים, נתונים ובעלות כדי ששום דבר לא ייפול בין הכיסאות
בעלות ברורה היא חיונית אם אתם רוצים שהמסגרת שלכם תעבוד בפועל ולא תישאר על הנייר. קשרי ענן או ניהול שירותים (MSP) נוגעים לצוותים רבים: רכש, אבטחה, תפעול IT, פרטיות, משפט ובעל העסק הזקוק לשירות, ותקן ISO 27001 מצפה שאחריותם תהיה מוגדרת.
גישה מעשית היא לקבוע, עבור כל שלב במחזור החיים:
- איזה תפקיד יוזם או מחזיק בבעלות על הפעולה (לדוגמה, בעל עסק שמעלה בקשה).
- אילו תפקידים יש להתייעץ איתם או לאשר (אבטחה, פרטיות, משפט, רכש).
- איזה מידע חייב להיקלט ברשומת הספק שלך (שירותים, סוגי נתונים, גישה, מיקומים, רמת סיכון, אנשי קשר מרכזיים).
- כיצד והיכן יאוחסנו הרשומות כדי שיישארו נגישות ועדכניות.
שלב 1 – מיפוי המסע הנוכחי
שרטט כיצד ספק טיפוסי מתגלה, מוערך, מאושר, מתקבל ונבדק כיום, כך שתוכל לראות היכן תחומי האחריות אינם ברורים או היכן יש כפילויות בעבודה.
שלב 2 – הקצאת תפקידים ושדות נתונים ברורים
החליטו למי שייך כל שלב, איזה מידע יש לאסוף והיכן הוא יישמר, ולאחר מכן תעדו זאת בשפה פשוטה שהצוותים יכולים לפעול לפיה.
פלטפורמה כמו ISMS.online יכולה להקל על כך על ידי מתן סביבת עבודה מרכזית לספקים שבה רשומות, סיכונים, חוזים, משימות ותאריכי סקירה נמצאים יחד, במקום להיות מפוזרים על פני דוא"ל וגליונות אלקטרוניים. כאשר כל צוות רואה את אותו מידע ומשתמש באותן זרימות עבודה, אתם מפחיתים את הסיכון שצעדים או עדכונים חשובים יופספסו.
בשלב זה, צעד רך אך שימושי הוא לשבת עם עמיתים מתחום הרכש, האבטחה והפרטיות ולשרטט את מסע הספק הנוכחי שלכם. השוואת תמונה זו למחזור חיים התואם לתקן ISO 27001 מגלה לעתים קרובות ניצחונות מהירים שניתן להשיג עוד לפני שינויים בכלים.
תכנון הערכות סיכונים תואמות לתקן ISO 27001 עבור ספקי ענן ו-MSP
הערכות סיכונים הן בלב ליבו של תקן ISO 27001, ויש להתייחס לספקים כמו לכל מקור סיכון משמעותי אחר. האתגר הוא לתכנן שיטה מובנית מספיק כדי לעמוד בביקורת, אך קלה מספיק כדי שצוותים יוכלו להשתמש בה עבור קשרי הענן וה-MSP הרבים שבבעלותם.
החליטו מה הופך ספק למסוכן מטבעו
סיכון מובנה הוא החשיפה שהיית מתמודד איתה אם לא היו בקרות קיימות, משני הצדדים, והוא קובע את קו הבסיס לאופן שבו עליך לבחון לעומק ספק. עבור ספקי ענן ו-MSP, הסיכון המובנה נובע בדרך כלל משילוב של רגישות נתונים, רמת גישה וקריטיות תפעולית.
ביישומים רבים של ISMS מבוססים, צוותים משתמשים בכמה שאלות פשוטות כדי לדרג ספקים באופן עקבי. הנחיות סיכוני שרשרת אספקה בסייבר, כולל פרסום מיוחד 800-161 של NIST בנושא ניהול סיכוני שרשרת אספקה עבור מערכות פדרליות, מתארות גישות דומות המבוססות על גורמים אשר מתחשבות ברגישות, גישה וקריטיות של נתונים, התומכות בשימוש בקבוצות שאלות מובנות כדי להניע ניקוד סיכוני ספקים עקבי (NIST SP 800-161 Rev.1). עבור ספקי ענן ו-MSP, המניעים העיקריים כוללים בדרך כלל:
- סוג ורגישות הנתונים שהם מעבדים, מאחסנים או יכולים לראות.
- רמת הגישה שיש להם למערכות ולרשתות שלך.
- הקריטיות של השירותים שהם תומכים בהם עבור הפעילות והלקוחות שלך.
- תחומי השיפוט והאזורים שבהם הם פועלים או מאחסנים נתונים.
- המידה שבה אתה תלוי בהם כנקודת כשל יחידה.
מודל ניקוד פשוט שמשקלל את הגורמים הללו נותן לכם דרך שקופה לתעדף את תשומת הלב. ספקים בעלי סיכון מובנה גבוה מועמדים לבדיקת נאותות מעמיקה יותר, התחייבויות חוזיות חזקות יותר וביקורות תכופות יותר.
המודל שלך צריך לשקף גם דפוסי תקיפה ידועים וציפיות רגולטוריות. לדוגמה, ספק המספק ניהול מרחוק של התשתית שלך מצדיק בדיקה רבה יותר מספק שירותים עם הרשאות נמוכות, גם אם רמות ההוצאות דומות. הנחיות אבטחה לספקי שירותים מנוהלים מדגישות באופן קבוע את ההשפעה המוגברת של פגיעה ברמת גישה זו בהשוואה לצדדים שלישיים עם הרשאות נמוכות יותר, כגון בניתוחים של התקפות ממוקדות MSP שפורסמו על ידי חברות תגובה לאירועים (הנחיות אבטחה של Mandiant MSP).
הבחנה בין סיכון מובנה לסיכון שיורי, והפיכת החלטות לנראות לעין
סיכון שיורי הוא מה שנותר לאחר שאתם והספק היישום של בקרות, ותקן ISO 27001 מצפה שתהיו מסוגלים להסביר כיצד הגעתם למצב זה. בהקשר של ענן ו-MSP, סיכון שיורי תלוי בשילוב של אמצעי הגנה טכניים ותהליכיים משני הצדדים.
בקרות שהספק מפעיל עשויות לכלול בקרת גישה משלו, רישום וניהול פגיעויות. בקרות שאתם מפעילים סביב השירות שלו עשויות לכלול פילוח רשת, ניטור והגבלות על נתונים והרשאות. בקרות משותפות מכסות לרוב תחומים כגון תגובה לאירועים וניהול שינויים.
שיטת הערכה טובה שואלת שתי שאלות עבור כל סיכון:
- אילו בקרות קיימות כיום, ועד כמה אתה בטוח שהן פועלות ביעילות?
- בהינתן בקרות אלו, האם הסיכון הנותר הוא בתחום התיאבון, או שאתה זקוק לטיפול נוסף?
תיעוד תשובות אלו עבור כל ספק משמעותי נותן לכם נקודת מבט ברורה לאתגרים פנימיים ולביקורת חיצונית. זה גם מניע את הפעולות הבאות שלכם: הצפנה חזקה יותר, ביקורות תכופות יותר, בקרות מפצות, או במקרים נדירים החלטה לא להמשיך.
אם אתם משתמשים ב-ISMS.online כ-ISMS שלכם, תוכלו לקשר את סיכוני הספקים ישירות לתוכניות הטיפול, לבקרות ולהצהרת היישום שלכם. זה מקל מאוד על הצגת מיקום סיכוני הספקים בתהליך ניהול הסיכונים הכולל שלכם בתקן ISO 27001.
שחררו את עצמכם מהר של גיליונות אלקטרוניים
הטמע, הרחב והרחיב את תאימותך, ללא כל בלגן. IO מעניק לך את החוסן והביטחון לצמוח בצורה מאובטחת.
בדיקת נאותות, חוזים וקליטה: הפיכת אבטחה ללא אופציונלית
הערכות סיכונים אומרות לכם היכן להתמקד; בדיקת נאותות, חוזים והטמעה הופכים את הציפיות שלכם למציאותיות. עבור ספקי ענן ו-MSP, עליכם לעבור מעבר לשאלות כלליות ושפה בסיסית לשילוב של בדיקות מעשיות והתחייבויות ניתנות לאכיפה שתוכלו להצביע עליהן כאשר משהו משתבש.
הפכו את בדיקת הנאותות לשער מובנה וניתן לחזור עליו
בדיקת נאותות משמשת כשער שקובע אילו ספקים ניתן לסמוך עליהם בכל הנוגע לשירותים ונתונים קריטיים. לעתים קרובות זה מתחיל בשאלונים ובסקירת מסמכים, אך זה לא אמור להסתיים שם, כי חפצים אלה מספרים רק חלק מהסיפור.
המטרה היא להבין כיצד הספק מנהל בפועל את האבטחה והפרטיות בהקשר של השירותים שתשתמשו בהם, והאם זה תואם את יעדי הבקרה שלכם לפי תקן ISO 27001 ואת תיאבון הסיכון. בתוכניות רבות, ספקים המטפלים במידע רגיש ביותר או בגישה מועדפת עוברים בדיקות מעמיקות באופן ניכר בהשוואה לשירותים בעלי סיכון נמוך וגישה נמוכה.
גישה מובנית כוללת בדרך כלל:
- שאלון סטנדרטי המותאם לשירותי ענן או MSP, המקושר לבקרות מפתח בתקן ISO 27001 ובקרות ספציפיות לענן.
- סקירת אבטחות עצמאיות כגון אישורים ודוחות של צד שלישי, תוך בדיקת רלוונטיות ההיקף והתאריכים.
- הבהרת אחריות משותפת, כולל מי מנהל זהויות, רישום, גיבוי ותגובה לאירועים.
- הערכת המשכיות עסקית ותוכניות יציאה, במיוחד עבור שירותים קריטיים.
עבור ספקים בסיכון גבוה יותר, ייתכן שתבקשו גם תיאורי ארכיטקטורה, יומני רישום לדוגמה או סקירה כללית של תהליכי האירועים שלהם. מה שחשוב הוא שעומק בדיקת הנאותות תואם את רמת הסיכון שהגדרתם קודם לכן.
כל החלטה שאתם מקבלים במהלך בדיקת הנאותות - האם להמשיך, להחיל בקרות מפצות או לדחות - ניתנת להגנה רבה יותר כאשר היא מתועדת לצד הראיות שסקרתם. ניסיון הביקורת מצביע על כך שסוג זה של מעקב מובנה יכול לסייע כשאתם מסבירים פשרות קשות לבעלי עניין בכירים, משום שהוא מראה כיצד נשקלו סיכונים ומדוע נבחרו אפשרויות מסוימות.
מסמכים חוזיים הם הדרך העיקרית שלך לתרגם ציפיות ISO 27001 להתחייבויות שאתה יכול לסמוך עליהן כאשר משהו משתבש. עבור ספקי ענן ו-MSP, תחומים מרכזיים כוללים לעתים קרובות:
- דרישות אבטחה: אימות, הצפנה, רישום, הפרדה ובקרת שינויים.
- הודעה על אירוע: מסגרות זמן, תוכן ההודעות ושיתוף פעולה בחקירה ובתיקון.
- זכויות ביקורת ומידע: כיצד ניתן להשיג ביטחון לגבי בקרות בפועל.
- הגנת מידע: תפקידים ואחריות, בסיס חוקי, מיקום נתונים, שמירה ומחיקה, תנאי מעבד משנה.
- המשכיות עסקית ויציאה: גישה לייצוא נתונים, תמיכה במעבר, לוחות זמנים למחיקה מאובטחת.
לאחר מכן, תהליך ההטמעה צריך להבטיח שההגדרות הטכניות תואמות את ההתחייבויות המודפסות. חשבונות והרשאות צריכים לשקף את ההרשאות הנמוכות ביותר; נתיבי הרשת צריכים להיות מבוקרים; מערכות ניטור צריכות לקבל את הלוגים הנכונים; וצוותים רלוונטיים צריכים לדעת כיצד להעלות בעיות מול הספק.
מערכת כמו ISMS.online יכולה לסייע על ידי מתן תבניות לשאלוני ספקים, לוחות זמנים לחוזים ורשימות תיוג להטמעה שכבר תואמות לתקן ISO 27001 ולתקנים קשורים. היא יכולה גם לאכוף שמשימות מסוימות - כגון הערכת סיכונים, אישור והעלאת חוזים - יושלמו לפני שספק עובר מ"מבוקש" ל"פעיל", ובכך להפוך את המדיניות לפרקטיקה נראית לעין.
ניטור שוטף, מדדי ביצועים (KPI) וסקירות ספקים
ברגע שספק פעיל, המיקוד עובר מהערכה ראשונית לשמירה על קצב קבוע של בדיקות ושיחות. תקן ISO 27001 מצפה שניטור, מדידה, ניתוח, הערכה, ביקורת פנימית וסקירת הנהלה יהיו מתוכננים וחוזרים ונשנים, וספקים הם חלק ממחזור זה ולא יוצאים מן הכלל לו.
ציפייה זו חלה על ספקים בדיוק כמו על בקרות פנימיות, משום שאירועים חמורים רבים מקורם כיום בצדדים שלישיים. פרסומים ממשלתיים ותעשייתיים בנושא סיכוני שרשרת אספקה, כולל הנחיות NIST לניהול סיכוני שרשרת אספקה בסייבר עבור מערכות קריטיות (NIST SP 800‑161 Rev.1), מדגישים את התדירות וההשפעה של התקפות המתחילות אצל ספקים חיצוניים, ומדגישים מדוע יש לנטר ולנהל סיכונים הקשורים לספקים לצד סיכונים פנימיים. ארגונים הנוקטים בגישה זו מוצאים שקל יותר להסביר למבקרים, ללקוחות ולרגולטורים מדוע פיקוח על ספקים מובנה בקצב הניהול הרגיל שלהם.
בדוח "מצב אבטחת המידע לשנת 2025", כשני שלישים מהארגונים אומרים כי המהירות והיקף השינויים הרגולטוריים מקשים על קיום תאימות.
בחרו קבוצה קטנה של מדדי ביצועים משמעותיים (KPIs)
קבוצה קטנה ונבחרת בקפידה של מדדי ביצועים (KPI) לספקים נותנת לכם מספיק תובנות כדי לפעול מבלי ליצור עומס דיווח. יותר מדי אינדיקטורים מדללים את המיקוד; מעטים מדי יכולים להותיר נקודות עיוורות שצצות רק כאשר יש אירוע חמור, ממצא ביקורת או חשש מצד הלקוח.
מדדי הביצועים (KPI) שלכם צריכים לשקף הן את הביצועים והן את הסיכון, כך שתוכלו לראות היכן להתערב. רוב הארגונים מוצאים ערך באמצעים כגון:
- אחוז הספקים הנכללים במסגרת הפרויקט עם הערכת סיכונים ורישומי בדיקת נאותות עדכניים.
- מספר וחומרת האירועים והמגמות הקשורים לספקים לאורך זמן.
- עמידה ברמות שירות לזמינות ותגובה לאירועים.
- דיוק תיקוני הספקים לממצאים ופגיעויות.
- שיעורי השלמה של סקירות ספקים מתוכננות.
עבור ספקי ענן ו-MSP קריטיים, ניתן גם לעקוב אחר מדדים טכניים ספציפיים, כגון זמן פעולה מול יעדים מוסכמים או שיעור נתיבי הגישה המנהלית המוגנים על ידי אימות חזק. לא משנה מה תבחרו, לכל KPI צריך להיות בעלים ברור, קצב סקירה ופעולות מוגדרות כאשר נפגעים ספים.
הפכו ראיות וסקירות לחלק מנוהל ניהולי רגיל
ניטור מועיל רק אם הוא מזין החלטות ושיפורים, לכן מידע הספקים שלכם צריך להופיע באותם מקומות שבהם מנהיגים כבר משתמשים כדי לנווט את הארגון. משמעות הדבר היא מעבר מתרגילים חד פעמיים למעגל קבוע של סקירה, פעולה ותיעוד.
בפועל זה נראה לעתים קרובות כך:
- פגישות סקירה שוטפות עם ספקים בסיכון גבוה, הכוללות אירועים, שינויים, מדדים ותוכניות עתידיות.
- מעקב שיטתי אחר פעולות מתקנות שהועלו מול ספקים, כולל מועדים אחרונים ודרכי הסלמה.
- שילוב מידע על ביצועי ספקים וסיכונים בדוחות הסיכונים והביצועים הפנימיים שלך.
- ביקורות פנימיות תקופתיות של תהליך ניהול הספקים שלך כדי לוודא שהוא פועל כמתועד.
חומר בנושא שיטות עבודה מומלצות לניהול ספקים מציין כי הטמעת פיקוח על ספקים בפורומי ניהול שגרתיים ואיחוד ראיות במקום אחד נוטים להקל על התגובה לבקשות בדיקת נאותות של לקוחות ולביקורות פורמליות, מכיוון שאתם שואבים רישומים שכבר מתוחזקים כחלק מממשל עסקי כרגיל במקום ליצור אותם מחדש לפי דרישה (שיטות עבודה מומלצות לניהול ספקים). פלטפורמה כמו ISMS.online יכולה לתמוך בכך על ידי מתן לוחות מחוונים, תזכורות ורישומים מובנים עבור כל ספק, כך שראיות לביקורות, הערכות לקוחות וסקירות הנהלה כבר מורכבות. צעד רך שתוכלו לנקוט כעת הוא לרשום את הסקירות שכבר יש לכם עם ספקים מרכזיים ולבדוק האם הן מכסות באופן עקבי נושאי אבטחה, פרטיות וחוסן, ולא רק עניינים מסחריים.
ניהול כל דרישות התאימות, הכל במקום אחד
ISMS.online תומך ביותר מ-100 תקנים ותקנות, ומעניק לך פלטפורמה אחת לכל צרכי התאימות שלך.
אירועים, אי התאמות ושינויים אצל ספקים: סגירת מעגל
לא משנה כמה חזקות הבקרות והפיקוח שלכם, אירועים ושינויים יקרו אצל הספקים שלכם. מה שמייחד תוכנית חזקה התואמת לתקן ISO 27001 הוא האופן שבו אתם מגיבים, לומדים ומתאימים את עצמכם כאשר ספקים חווים בעיות או כאשר הציפיות שלכם משתנות.
הגדירו ספרי הכנה וספים לפני שאתם זקוקים להם
הגדרת ספים וספרי נהלים לפני אירוע מקלה בהרבה על תגובה רגועה ועקבית כאשר משהו משתבש. ניסיון לעצב תהליך תגובה באמצע משבר לעיתים רחוקות מסתיים בהצלחה, משום שאנשים נוטלים החלטות אד-הוק ושוכחים לאסוף ראיות.
במקום זאת, ניתן לקבוע מראש כיצד יסווגו ויטופלו מצבים שונים. ספרי ההליך שלכם צריכים להסביר מי מעורב, אילו צעדים נדרשים ואיזה מידע יש לאסוף בכל פעם שמתרחשת תקרית או אי התאמה של הספק.
ספרי ההדרכה שלכם צריכים לכסות, במונחים ברורים, גם:
- מה נחשב לבעיית שירות קלה לעומת תקרית אבטחה או פרטיות מהותית.
- אילו סוגי אירועים מעוררים הודעות רגולטוריות, תקשורת עם לקוחות או תשומת לב ברמת הדירקטוריון.
- כיצד תשתפו פעולה עם ספקים בחקירה, בלימה והתאוששות.
- כיצד תוודאו כי פעולות מתקנות מיושמות ויעילות.
ספרי ההליכים שלכם צריכים לכסות גם שינויים משמעותיים כגון מעבדי משנה חדשים, העתקת מרכזי נתונים, שינויים בבעלות או שינויים משמעותיים במצב האבטחה של הספק. כל אחד מאלה יכול לשנות את הסיכון שאתם עומדים בפניו, ותקן ISO 27001 מצפה מכם להעריך מחדש ולטפל בסיכונים כאשר הנסיבות משתנות.
תיעוד הספים והצעדים הללו מקל על הוכחת רואי החשבון והרגולטורים שאתם מוכנים ומכוונים בתגובותיכם.
הזינו לקחים שנלמדו בחזרה למערכת ה-ISMS ולמסגרת הספקים שלכם
כל תקרית או אי-התאמה עם ספק חומרים היא הזדמנות לחזק את המסגרת שלכם, לא רק בעיה לסגור. לאחר התגובה המיידית, עליכם לשאול קבוצה קצרה של שאלות עקביות כדי שתוכלו לשפר את הבקרות והתהליכים שלכם.
שאלות שימושיות כוללות:
- האם הערכת הסיכונים והדרגות שלנו שיקפו נכון את חשיבותו של ספק זה?
- האם פעילויות הניטור והסקירה שלנו היו מספיקות כדי לזהות בעיות מוקדם?
- האם החוזים והתהליכים שלנו סיפקו לנו את המינוף והמידע שהיינו צריכים?
- האם עלינו להתאים את הקריטריונים, הספים, התבניות או ההכשרה שלנו כתוצאה מכך?
רישום השתקפויות אלו והפעולות הנובעות מכך במערכת ה-ISMS שלכם עוזר לכם להראות שיפור מתמיד לאורך זמן. זה גם עוזר לכם להעריך האם עליכם לשקול חלופות או ריצה כפולה עבור שירותים קריטיים במיוחד שהראו בעיות חוזרות ונשנות.
ISMS.online יכול לתמוך בלולאת הלמידה הזו על ידי קישור אירועים, פעולות מתקנות, סיכונים ועדכוני בקרה במקום אחד. בדרך זו, הסיפור של "מה קרה ומה שינינו" גלוי לא רק ברישום הספק אלא בכל מערכת ה-ISMS שלכם, וזה בדיוק סוג הנרטיב שמבקרים ולקוחות מצפים לשמוע.
ראה ISMS.online בפעולה עם מודל ניהול הספקים שלך
ISMS.online עוזר לכם להפוך את ניהול הספקים לחלק חי ומוכן לביקורת במערכת ה-ISMS של ISO 27001 שלכם, במקום אוסף של גיליונות אלקטרוניים ודוא"ל מנותקים. כאשר אתם מרכזים רישומי ספקים, רישומי סיכונים, בקרות, משימות וסקירות, קל הרבה יותר להראות לבעלי העניין שספקי ענן ו-MSP נמצאים תחת שליטה שיטתית.
דו"ח מצב אבטחת המידע לשנת 2025 מציין כי רוב הארגונים אומרים שכבר חיזקו את ניהול הסיכונים של צד שלישי ומתכננים להשקיע בו יותר.
כיצד ISMS.online יכול לתמוך במודל ניהול הספקים שלך
פלטפורמה ייעודית כמו ISMS.online מאגדת את הפרקטיקות המתוארות כאן, כך שאין צורך לחבר אותן יחד באופן ידני. ניתן לתחזק רישום ספקים יחיד המקשר שירותים, סוגי נתונים, מיקומים, רמות גישה ורמות סיכון, ולאחר מכן לחבר את הערכים הללו ישירות להערכות הסיכונים, תוכניות הטיפול והבקרות שלכם.
בשימוש יומיומי, זה אומר:
- רישומי ספקים, דירוגי סיכונים, חוזים, משימות וסקירות נמצאים יחד בסביבת עבודה אחת.
- זרימות עבודה ותזכורות מבטיחים שהערכות, אישורים וסקירות יתבצעו בזמן.
- ראיות להסמכה, אבטחת לקוחות ושאלות רגולטוריות נאספות תוך כדי עבודה, ולא תחת לחץ.
על ידי יישור מחזור חיי הספק, בקרות ISO 27001 וראיות במקום אחד, אתם מקלים הרבה יותר על בעלי עניין פנימיים, מבקרים ולקוחות לראות שסיכוני הספק מנוהלים באופן שיטתי. ארגונים רבים מגלים גם שסביבת עבודה אחת, הממופה על ידי ISO, מפחיתה את החיכוך במחזורי המכירות ובסקירות אבטחת לקוחות, מכיוון שצוותים יכולים להגיב לבקשות על ידי הסתמכות על רשומות מובנות במקום לחפש במערכות מרובות. הסקירה שלנו על גישת ISO 27001 ו-ISMS.online ליישום מסבירה כיצד ריכוז מדיניות, סיכונים, בקרות וראיות נועד לתמוך הן במסעות הסמכה והן בשיחות אבטחת מידע מתמשכות (מהו ISO 27001?).
צעד מעשי נוסף עבור הארגון שלך
אם אתם מזהים כי ניהול ספקים מקוטע כיום, הצעד המעשי הבא הוא למפות את מחזור החיים הקיים שלכם מול המודל התואם לתקן ISO 27001 המתואר כאן. לאחר מכן תוכלו להחליט היכן פלטפורמה יכולה להפוך שלבים מייגעים לאוטומטיים, לאכוף אישורים או לרכז רשומות כך שאנשים יבזבזו פחות זמן במרדף ויותר זמן בשיפור בקרות.
כאשר תהיו מוכנים לבחון כיצד זה יכול לעבוד בפועל, תוכלו לתאם מפגש קצר כדי לראות את ISMS.online בפעולה עם בעלי העניין המרכזיים שלכם. במהלך שיחה זו, תוכלו לבחון כיצד רישום הספקים הנוכחי שלכם, הערכות הסיכונים והביקורות עשויים להיראות בסביבה מובנית וממופת ISO, ומה תהיה המשמעות של זה עבור מחזור ההסמכה הבא שלכם ודיוני אבטחת הלקוחות.
בחרו ב-ISMS.online כשאתם רוצים ניהול ספקים שיתקיים בתוך מערכת ISMS חזקה וניתנת לביקורת, הכוללת שירותי ענן, ספקי ניהול ספקים (MSP) ועוד. אם אתם מעריכים ראיות ברורות, ביקורות צפויות וסביבת עבודה אחת ומשותף לצוותים האחראים על סיכוני הספקים, אנו מוכנים לעזור לכם לראות האם הפלטפורמה שלנו מתאימה לאופן שבו הארגון שלכם עובד כיום ולאופן שבו אתם רוצים שהוא יפעל בעתיד.
הזמן הדגמהשאלות נפוצות
כיצד תקן ISO 27001:2022 עוזר לכם לשמור על שליטה בספקי ענן ו-MSP?
תקן ISO 27001:2022 מאפשר לכם להפעיל פיקוח על ענן ו-MSP דרך אותה מערכת ניהול אבטחת מידע בה אתם משתמשים לכל השאר, כך שספקים מנוהלים עם היקף, סיכונים, בקרות ושיפורים ברורים במקום גיליונות אלקטרוניים מפוזרים ופרויקטים צדדיים.
כיצד ISO 27001 משלב ספקים בתוך תחומי ה-ISMS שלכם
התקן שוזר ספקים בסעיפים המרכזיים של מערכת ה-ISMS שלכם, כך שתוכלו להראות למבקרים וללקוחות גישה אחת ומשולבת:
- הקשר והיקף (סעיף 4):
אתם מחליטים אילו שירותי ענן ו-MSP נמצאים במסגרת אבטחת המידע שלכם, איזה מידע הם נוגעים בו, מי הבעלים שלו ואילו גורמים מעוניינים אכפת להם. זה מונע מכלים קריטיים ו"צללים של IT" להישאר מחוץ לטווח הראייה הפורמלי שלכם.
- הערכת סיכונים וטיפול בהם (סעיפים 6 ו-8):
סיכון הספק מנותח לצד סיכונים פנימיים, בהתבסס על רגישות הנתונים, רמת הגישה, קריטיות השירות וחשיפה רגולטורית. לאחר מכן בוחרים טיפולים שיכולים לכלול אמצעים טכניים, סעיפים חוזיים והסכמי אחריות משותפת.
- תפעול וביצועים (סעיפים 8 ו-9):
בדיקת נאותות, ניטור ספקים, ביקורת פנימית וסקירת הנהלה מנוהלים באופן הכולל במפורש שירותי צד שלישי. ניתן להוכיח שסיכון הספק הוא סעיף קבוע בסדר היום, ולא ניקוי שנתי.
- שיפור (סעיף 10):
בעיות עם ספקים הופכות לתשומות לשיפור מתמיד. אתם משתמשים באירועים אמיתיים ואי התאמות כדי להתאים חוזים, בקרות, נהלים והדרכות.
נספח א' מפרט ציפיות שעובדות היטב עבור פיקוח על ענן ו-MSP, כגון:
- א.5.19–א.5.22: לבחירת ספקים, הסכמים, בקרת שרשרת אספקה של טכנולוגיות מידע ותקשורת וניטור שירות שוטף.
- א.5.23–א.5.30: לשימוש מאובטח בשירותי ענן, תכנון שיבושים והמשכיות טכנולוגיית מידע ותקשורת.
- השמיים משפחת A.8 עבור גישה, רישום, גיבוי, ניהול פגיעויות ושינויים, בדרכים המכסות במפורש צדדים שלישיים.
בפועל, ארגונים רבים פועלים לפי דפוס אחד מקצה לקצה עבור ספקים חשובים:
- הוסיפו שירותי ענן ו-MSP קריטיים למערכת שלכם מלאי נכסים, הצהרת היקף ורישום סיכונים.
- חלקו אותם לפי השפעה וגישה.
- להעביר אותם דרך א שער מובנה לצורך בדיקת נאותות והתקשרות.
- ניטור ביצועים, אירועים ושינויים מהותיים במחזור מוגדר.
- יש להחזיר את התוצאות לסקירות סיכונים, ביקורת פנימית וסקירת הנהלה.
הפעלת מחזור חיים זה בתוך ISMS.online פירושה שרישומי ספקים, סיכונים, חוזים, בקרות, משימות וראיות חיים כולם בסביבה תואמת ISO, כך שכאשר מבקר, לקוח עיקרי או חבר דירקטוריון שואל "איך אתם שומרים על שליטה על הספקים שלכם?", יש לכם תשובה קוהרנטית אחת במקום צרור של קבצים לא מנותקים.
כיצד ניתן לדרג ספקי ענן ו-MSP לפי סיכונים מבלי ליצור בירוקרטיה בלתי ניתנת לניהול?
הגישה המעשית ביותר היא להגדיר מספר קטן של רמות ספקים בהתבסס על ההשפעה העסקית ורמת הגישה, ולאחר מכן לקשר כל רמה לכללים פשוטים לבדיקות, חוזים וסקירות. בדרך זו, ניתן להשקיע יותר מאמץ במקומות בהם כישלון באמת יפגע ונמנע מעיכוב של ספקים בעלי סיכון נמוך בתהליך כבד.
מודל ספקים בן ארבע רמות שאבטחה, רכש וביקורת יכולים לחיות איתו
אינך זקוק למנוע ניקוד מורכב כדי להיות אמין. מודל ברור בן ארבע רמות בדרך כלל קל להסבר ולתחזוקה:
- רמה 1 - פלטפורמות קריטיות:
שירותי ענן מרכזיים שבהם פרצה או הפסקה ממושכת ישפיעו קשות על הכנסות, פעילות, בטיחות או התחייבויות משפטיות/רגולטוריות (לדוגמה, פלטפורמת לקוח עיקרית, ERP, תשלומים).
- רמה 2 - ספקי שירותים בעלי זכויות יתר:
ספקי שירותים מנוהלים עם גישה ברמת מנהל למערכות, רשתות או מאגרי זהויות מרכזיים, גם אם הם אינם מארחים את היישומים העיקריים שלכם.
- שכבה 3 - יישומי SaaS עסקיים:
שירותים המטפלים במידע עסקי אך בעלי רדיוס פיצוץ קטן יותר. תקרית אינה רצויה אך אינה קיומית באופן מיידי.
- דרגה 4 - תשתיות בסיכון נמוך:
כלים בעלי היקף מצומצם עם גישה רק למידע לא רגיש, או כלים בהם ניתן להחליף אותם במהירות במאמץ מינימלי של אינטגרציה.
עבור כל רמה, רשום:
- מינימום של חפצים:
לדוגמה, דרגות 1-2 דורשות הערכת סיכונים מתועדת, שאלון אבטחה, לוח זמנים לאבטחת חוזים, הסכם עיבוד נתונים וסקירת תת-מעבד. דרגות 3 עשויות להשתמש בשאלון מצומצם ובסעיפי תבנית. דרגות 4 עשויות להזדקק רק לפתק סיכונים קצר ולהסכם סטנדרטי.
- גבולות שליטה:
אילו אמצעים התואמים לתקן ISO 27001 אתם מצפים שהספק יפעיל (כגון הצפנה, אבטחה פיזית, פיתוח מאובטח וחוסן) ואילו אמצעים יישארו בבירור שלכם (כגון זהות, ניטור ותיאום אירועים).
- קצב הסקירה:
רבעוני או חצי שנתי עבור שכבות 1-2, שנתי עבור שכבות 3 וכל שנתיים עבור שכבה 4, אלא אם כן שינוי או אירוע משמעותי מחייבים סקירה מוקדמת יותר.
- כללי חריגים:
מי יכול לאשר סטיות, כמה זמן הן נמשכות וכיצד מתועד הסיכון השיורי כך ששום דבר לא יגלוש למצב "זמני" קבוע.
כאשר מבקר, לקוח ארגוני או ועדת סיכונים פנימית שואלים מדוע ספק מסוים טופל בקלות או בחומרה, מודל זה נותן לכם תשובה הגנתית: פעלתם לפי גישה מתועדת ומבוססת סיכונים. אחסון של רמות, הערכות, אישורים וסקירות ב-ISMS.online הופך את המודל הזה לפנקס ספקים חי, כך שבעלי אבטחה, רכש, משפט ועסקים יכולים לראות את אותה תמונה במקום להתווכח על גיליונות אלקטרוניים ושרשראות דוא"ל לא תואמים.
כיצד יש לבנות את בדיקת הנאותות והחוזים כך שכל ספק הנמצא תחת תקן ISO 27001 יעבור שער עקבי?
דפוס אמין הוא לבצע בדיקת נאותות והתקשרות כדבר יחיד, בלתי ניתן למשא ומתן שער כניסה שכל שירות ענן או MSP הנמצא במסגרת השירות עובר לפני העלייה לאוויר. עוצמת הבדיקות צריכה להתאים למודל השכבות שלכם, אך קיומו של השער לא צריך להיות תלוי במי שקונה את השירות או במידת הדחיפות של הפרויקט.
איך נראה שער ספקים מבוקר כשהוא פועל בפועל
שער מעשי התואם את תקן ISO 27001 כולל בדרך כלל חמישה מרכיבים:
- שאלות ממוקדות בנושא אבטחה ופרטיות:
שאלונים קצרים ומובנים המותאמים לשירותי ענן ו-MSP וממופים ישירות ליעדי הבקרה והצהרת הישימות של ISO 27001. ניתן לחבר את התשובות ישירות להערכת הסיכונים, ל-SoA ולרשומות הטיפול, במקום להגיש אותן כ"חבילת אבטחה" מנותקת.
- סקירת אבטחה עצמאית:
אימות ופרשנות בסיסית של אישורים ודוחות כגון ISO 27001, SOC 2, מבחני חדירה או מכתבי ביקורת. אתם בודקים את ההיקף, התאריכים והממצאים העיקריים במקום רק לאסוף לוגואים.
- הגדרות ברורות של אחריות משותפת:
הצהרות פשוטות המתארות מי אחראי על זהות, תצורה, גיבוי, רישום, תגובה לאירועים והמשכיות. זה מפחית את הסיכון של "הנחנו שהם עושים את זה" משני הצדדים.
- לוחות זמנים לאבטחה וסעיפי עיבוד נתונים:
נוסח חוזה הכולל דרישות אבטחה, מסגרות זמן לדיווח על אירועים, סיוע במהלך חקירות, זכויות ביקורת ומידע, אחסון נתונים, ניהול מעבדי משנה ותמיכה בהתנתקות.
- משימות קליטה וקביעת תצורה:
רשימת תיוג המקשרת בין חתימות חוזים לשינויים אמיתיים: הגדרת חשבון, תפקידים בעלי הרשאות נמוכות, כללי רשת, רישום, תצורת גיבוי וניטור, ועדכונים למחברות הריצה שלכם לצורך תמיכה וטיפול באירועים.
מה שחשוב הוא עקיבות: היכולת להראות, עבור כל ספק, אילו מהאלמנטים הללו קיימים, היכן הם נמצאים ואילו החלטות קיבלתם כאשר היה צורך בפשרות. אם תנהלו את כל השער בתוך ISMS.online, כל רשומת ספק תציג שאלונים, מאפייני אבטחת מידע, חוזים, אישורים ומשימות קליטה במקום אחד, מה שמקל בהרבה על הוכחת שאבטחת מידע ופרטיות נלקחו בחשבון לפני שהשירות עלה לאוויר.
אילו מדדי ביצועים (KPI) ונהלי סקירה מבהירים שפיקוח על ספקים הוא פרויקט מתמשך, ולא חד פעמי?
קבוצה קטנה של מדדי ביצועים משמעותיים, המגובים בקצב סקירה צפוי, בדרך כלל מספיקה כדי לשכנע מבקרים, לקוחות וצוות ההנהלה שלכם שמתבצעת פיקוח מתמשך על הספקים. הטריק הוא לעקוב אחר ביצועי הספקים וגם אחר התנהגות תהליך הפיקוח שלכם לאורך זמן.
מדדי פיקוח על ספקים העומדים בביקורת פנימית וחיצונית
אינך זקוק ללוח מחוונים ארוך כדי שסיכון צד שלישי ירגיש אמיתי. קבוצה ממוקדת של מדדים יכולה להיות יעילה:
- כיסוי ומטבע:
אחוז הספקים הנכללים במסגרת הפרויקט עם הערכת סיכונים מתועדת, חבילת בדיקת נאותות עדכנית וסעיפי אבטחה או עיבוד נתונים חתומים בתאריכי הסקירה שלהם.
- קומת אירוע ותקלה:
מספר וחומרת התקריות הקשורות לספקים במהלך השנה-שנתיים האחרונות, כמה מהר הן זוהו ובלומו, והאם עמדו בספים וזמני ההודעה שהוסכמו.
- ביצועי שירות לעומת התחייבויות:
עמידה ביעדי זמן פעילות, תגובה ופתרון בעיות מוסכמים עבור שירותים ברמות 1-2, וכל תקלה חוזרת ונשנית או בעיות שירות כרוניות.
- משמעת תיקון:
הזמן הממוצע שלוקח לספקים לסגור פגיעויות בעדיפות גבוהה, ממצאי ביקורת או פעולות שהעליתם, בתוספת מספר הממצאים החוזרים לאורך מחזורי הבדיקה.
- מעקב אחר הממשל:
שיעור השלמה של סקירות ספקים מתוזמנות לפי רמה ואחוז הפעולות שנגרמו כתוצאה מכך עד לתאריכי היעד שלהן.
ארגונים מרבים לתזמן סקירות רבעוניות או חצי שנתיות עבור שכבות 1-2 ו ביקורות שנתיות עבור רמות נמוכות יותר, באמצעות סדר יום פשוט: אירועים והפסקות חשמל, שינויים מהותיים משני הצדדים, מגמות של מדדי ביצועים (KPI), סיכונים שנותרו, התקדמות בפעולות שהוסכמו ושיפורים מתוכננים.
לכידת מדדי ביצועים (KPI), סקירת פרוטוקולים ופעולות מעקב כנגד כל רשומת ספק ב-ISMS.online מאפשרת לכם להציג תמונה עדכנית של סיכוני צד שלישי ללקוחות, רגולטורים ובעלי עניין בכירים, ללא התלבטות של הרגע האחרון. זה מעביר את הנרטיב שלכם מ"אנחנו חושבים שאנחנו בשליטה" ל"כך אנחנו יודעים והנה הראיות שמאחורי זה", וזה הרבה יותר משכנע בשיחות ובביקורות בדיקת נאותות של לקוחות.
כיצד אירועי ספקים ושינויים משמעותיים צריכים להיזהר ממערכת ה-ISMS שלכם (מערכות ניהול מערכתיות) כדי שתוכלו להמשיך להשתפר?
תקריות ושינויים משמעותיים בספקים צריכים להיכלל באותם תהליכי תקריות, סיכונים ושינויים שאתם כבר מפעילים עבור בעיות פנימיות, במקום להישמר ביומן "ספק" נפרד. תקן ISO 27001 מצפה מכם להעריך מחדש את הסיכונים כאשר הנסיבות משתנות ולהראות שאתם מתאימים את הבקרות וההתנהגות שלכם בהתבסס על מה שקורה בפועל.
הפיכת אירועי ספקים לשיפורים במקום ניקויים בודדים
כאשר מתרחש תקרית משמעותית עם ספק או שינוי משמעותי, גישה ממושמעת נראית כך:
- רשום את זה בתהליך המרכזי, לא בגיליון אלקטרוני צדדי:
סווגו את האירוע כהפרעה בשירות, אירוע אבטחה, אירוע פרטיות או שילוב של אותם, ותעדו אותו בתהליך העבודה הראשי של האירוע כך שהוא ייספר במדדים שלכם.
- הערכת ההשפעה והגורמים הבסיסיים עם הספק:
קבע אילו שירותים ונתונים הושפעו, מה נכשל (טכנולוגיה, תהליכים, אנשים או בהירות אחריות משותפת) והאם חולשות דומות עשויות להתקיים במקומות אחרים.
- הציגו הגנות לטווח קצר ותכננו שינויים לטווח ארוך:
הטמיעו אמצעי הגנה מהירים במידת הצורך (לדוגמה, גישה הדוקה יותר, ניטור נוסף, בדיקות ידניות זמניות) בזמן שאתם מתכננים תיקונים עמידים יותר כגון הקשחת תצורה, שיפור ספרי ריצה או שינויים באופן חלוקת האחריות.
- עדכון רישומי סיכונים, טיפול ודרגות:
רענן את הערכת הסיכונים ותוכנית הטיפול של הספק, והתאם את הרמה או תדירות הביקורת שלהם אם האמון שלך בבקרות או בחוסן שלו השתנה.
- למד לקחים על הממשל שלך:
שאלו מה זה מגלה על הפיקוח שלכם: האם ספים היו מעורפלים, פערים בניטור ברורים, חוזים היו מעורפלים או שהסקירות היו תכופות מדי?
- לשקף שינויים ב-ISMS:
עדכנו את המדיניות, הנהלים, רשימות התיוג, ערכי הסף, יומני ההדרכה והשיפור הרלוונטיים, כך שיהיה קו ברור מהאירוע ועד לשינויים מוחשיים במערכת הניהול שלכם.
אם תתעדו יחד אירועים, פעולות מתקנות, עדכוני סיכונים, שינויי בקרה ופרטי ספקים ב-ISMS.online, תוכלו להדגים בקלות את השרשרת המלאה כשתישאלו: תוכלו להראות מה קרה, את ההשפעה, את ההחלטות שקיבלתם והיכן הסביבה שלכם חזקה יותר כתוצאה מכך. נרטיב זה הוא לעתים קרובות מה שקובע האם לקוחות ומבקרים רואים בעיית ספק כאירוע למידה מקובל או כראיה לסיכון לא מנוהל.
מתי כדאי להעביר את ניהול הספקים מגיליונות אלקטרוניים לפלטפורמת ISMS ייעודית?
העברת ניהול ספקים לפלטפורמת ISMS ייעודית הופכת בדרך כלל לכדאית כאשר מספרם וחשיבותם של ספקי הענן וה-MSP שלכם גורמים למעקב לא פורמלי להרגיש שביר. אם שאלות לגבי סיכון צד שלישי ממשיכות להופיע בשאלונים של לקוחות, בממצאי ביקורת או בדיונים בדירקטוריון, ריכוז הכל במערכת תואמת ISO הוא בדרך כלל הצעד ההגיוני הבא.
סימנים מעשיים לכך שגדלתם על כלי אד-הוק - ומה משתנה כשאתם עוברים דירה
סביר להניח שאתם בנקודה הזו אם כמה מההצהרות האלה מהדהדות:
- ספקים קריטיים, רישומי סיכונים, חוזים, שאלונים ופרוטוקולים של סקירה מאוחסנים בכלים שונים ונמצאים בבעלות צוותים שונים, כך שלאף אחד אין תמונה מלאה ועדכנית.
- כשמישהו שואל אילו ספקים השלימו בדיקת נאותות, חתמו על הסעיפים הנכונים או נבדקו השנה, צריך לשאול כמה אנשים ולאסוף תשובות ידנית.
- כל שאלון או ביקורת של לקוח מרכזי מעוררים מאבק חוזר לבנייה מחדש של ראיות בנוגע לשירותי ענן ו-MSP, משום שעבודות קודמות לא נאספו בצורה לשימוש חוזר.
- תקריות עם ספקים חושפות פערים בין מה שכתוב בחוזים, איך השירותים מוגדרים לבין מה שאתם באמת עוקבים או מתאמנים עליו.
העברת עבודה זו ל-ISMS.online יכולה לתת לך:
- רישום ספקים יחיד: שקושר כל ספק לבעלים, נכסים, סיכונים, בקרות, חוזים, אחריות ותאריכי סקירה, כך שצוותים כבר לא עובדים מגרסאות שונות במקצת של המציאות.
- זרימות עבודה הניתנות להגדרה: עבור קליטה, דירוג, הערכה, אישורים, קליטה, סקירה ויציאה העומדים בתקן ISO 27001 כיום וניתנים להתאמה ל-NIS 2, DORA או הנחיות ספציפיות למגזר מבלי להתחיל מדף ריק.
- הנחיות ותזכורות מובנות: כך שחידושים, סקירות, בדיקות ומשימות מעקב מתרחשות בזמן גם כאשר אנשים עוברים תפקידים או ספקים חדשים מופיעים באמצע השנה.
- חבילות ראיות לשימוש חוזר: לכל ספק, כך שתוכלו להגיב לביקורות ולבקשות בדיקת נאותות של לקוחות על ידי ייצוא של מה שכבר קיים במקום ליצור אותו מחדש שוב ושוב תחת לחץ זמן.
דרך מעשית לבחון זאת היא לקבוע חזון לטווח קצר של "טוב" - לדוגמה, תוך 60-90 יום כל ספק Tier 1-2 מסווג לפי דרגות סיכון, חוזים והסכמי עיבוד נתונים מקוטלגים, אחריות מוסכמת ומחזורי סקירה גלויים - ולאחר מכן לראות עד כמה ISMS.online יכול להביא אתכם לתוצאה זו עם הצוות שכבר קיים. מסגור השינוי בדרך זו עוזר לכם להבטיח תמיכה פנימית וממצב אתכם כמי שהפך את סיכון הספק מנושא לא נוח לנקודת חוזק מנוטרלת היטב.
