סטארטאפ צעיר ושאלון אבטחה מלקוח: מה עונים ואיך מתכוננים

מה קורה כשלקוח גדול שולח שאלון

סטארטאפ צעיר מגיע לשלב שבו לקוח גדול, בנק, חברה ציבורית או מוסד, רוצה לעבוד איתו, ולפני כן שולח שאלון אבטחת מידע. לפעמים זה קובץ של 50 שאלות, ולפעמים אלפים. הצוות מרגיש שהעסקה תלויה בתשובות, ולרוב אין אף אחד שמכיר את התחום.

העיקרון הראשון: השאלון אינו מבחן שעוברים בכל מחיר. הוא שיחה על ניהול סיכונים. תשובה כנה ומדויקת עדיפה על תשובה מנופחת, כי לקוחות מבצעים בדיקות המשך, ושאלות לא נענות באמת מתגלות.

איך לגשת לשאלון

1. קראו את השאלון עד הסוף וסמנו מה אתם יכולים לענות עליו מיד, מה צריך בירור ומה פשוט לא קיים.
2. מנו אחראי אחד שמרכז את התשובות, כדי שלא יהיו סתירות בין מחלקות.
3. ענו על מה שבפועל. אם אין לכם ISO 27001 או SOC 2, כתבו שאין, ומה כן קיים. תקנים אלה מוזכרים בשאלונים הרבה, אך אין חובה לכל סטארטאפ.
4. צרפו ראיות כשאפשר: מסמך מדיניות, דוח, צילום מסך, תעודת השתתפות בהדרכה.
5. כתבו מה בתוכנית, אבל סמנו בבירור שזה בתכנון, ולא שקיים.

מה בדרך כלל שואלים על מייל והדרכת עובדים

שאלונים כוללים כמעט תמיד שאלות כמו:

• האם מוגדרים SPF, DKIM ו-DMARC בדומיין החברה, ומה מדיניות ה-DMARC?
• האם יש אימות דו-שלבי בתיבות המייל ובמערכות?
• האם מתקיימת הדרכת מודעות לעובדים, באיזו תדירות ולכמה עובדים?
• האם מתבצעים תרגילי פישינג?
• האם יש נוהל לדיווח על אירוע?

על שלוש הראשונות אפשר לענות מהר אם יודעים מה המצב בפועל. את אימות המייל אפשר לבדוק במהירות: ראו הסבר על DMARC, SPF ו-DKIM.

מה לענות בכנות

• אימות מייל: ציינו את המדיניות הקיימת. אם ה-DMARC על "מעקב בלבד" (p=none), כתבו זאת, ומה התוכנית להדק אותה. זה עדיף על לרמוז שיש אכיפה.
• הדרכה: ציינו מתי נערכה, באיזה פורמט ולכמה משתתפים. אם לא נערכה, כתבו שתתקיים ומתי.
• תרגיל פישינג: אם התקיים, ציינו מתי וכמה עובדים. הראיה היא דוח הסיכום.

המדריך שלנו מענה לשאלון אבטחת מידע מרכז ניסוחים לדוגמה, ומה הראיה שאפשר לצרף.

מה לא לעשות

• לא לכתוב שאתם "עומדים בתקן" אם לא עברתם הערכה מתאימה.
• לא לצרף דוח סריקה כאילו הוא מעיד על כל סביבת הענן שלכם. הסריקה החינמית שלנו, למשל, בודקת רק אימות מייל.
• לא להעתיק תשובות משאלון קודם בלי לוודא שהן עדיין נכונות.

מתי הלקוח באמת מתרשם

לקוחות מתרשמים כשרואים שיש אחראי, שיש תיעוד ושהתשובות עקביות. סטארטאפ שמראה תהליך, גם אם קטן, נתפס כבוגר יותר מסטארטאפ שמבטיח הכול.

מאגר תשובות: דרך לחסוך זמן

אם אתם מקבלים שאלונים שוב ושוב, כדאי לבנות מסמך תשובות פנימי אחד. כל תשובה כוללת: נוסח, תאריך עדכון אחרון, מי אישר ואיזו ראיה מצורפת. כשמגיע שאלון חדש, מעתיקים מהמאגר ומעדכנים. הכלל החשוב הוא לא להעתיק בעיוורון: לפני כל שליחה, מוודאים שהתשובה עדיין נכונה.

ניסוחים לדוגמה

• "בדומיין החברה מוגדרים SPF, DKIM ו-DMARC. מדיניות ה-DMARC כרגע היא [none/quarantine/reject], ותוכנית ההידוק היא [פירוט]."
• "אימות דו-שלבי מופעל בתיבות המייל ובמערכות [פירוט]."
• "הדרכת מודעות התקיימה בתאריך [תאריך] ל-[מספר] עובדים. תעודת ההשתתפות מצורפת."

חשוב לכתוב בסוגריים רק מה שנכון. אם משהו עדיין לא קיים, כתבו "בתכנון".

מה הלקוח מחפש מאחורי השאלות

שאלון אבטחה הוא לא רק רשימת סימונים. הלקוח רוצה לדעת:

• האם יש אדם שאחראי על הנושא.
• האם יש תהליך לטיפול בתקלות.
• האם הצוות מבין את הסיכונים.
• האם התשובות עקביות ולא מנופחות.

סטארטאפ שמראה תשובות כנות וקצרות, עם תוכנית לשיפור, משדר בגרות.