דוח הערכת אבטחה·IF-REPORT-1.0·הפצה מוגבלת
מה שתוקף היה מוצא אצלכם — לפני שהוא מוצא.
ישראל פיגה (הידוע גם כישראל פיגא) עוסק מעל חמש־עשרה שנה בצד ההתקפי ובצד ההגנתי של אבטחת המידע. הוא בודק מערכות של ארגונים ישראליים ובינלאומיים, מוצא את הדרך פנימה, וכותב את הדוח שמסביר בדיוק איך לסגור אותה. העמוד הזה בנוי במתכונת של אותו דוח.
1.0 — תקציר מנהלים
ארגונים קונים מוצרי אבטחה מצוינים ומתקינים אותם על תשתית שאף אחד לא מיפה. התוצאה מוכרת: שלושה כלים שמתריעים על אותו דבר, אף אחד שלא מסתכל, והחדירה בסוף מגיעה דרך הרשאה ישנה של עובד שעזב לפני שנתיים.
ישראל פיגה מתחיל תמיד באותו מקום — מה הארגון הזה לא יכול להרשות לעצמו לאבד. מהתשובה נגזרת התוכנית: מה נבדק, מה מנוטר, מה מוצפן ומה פשוט נסגר. רק אחר כך נכנסת הטכנולוגיה, ובהיקף שמתאים לגודל האמיתי של הסיכון ולא לגודל של תקציב הספק.
הגישה הזאת נבנתה מתוך עבודה עם סטארטאפים בשלב מוקדם ועם תאגידים ומוסדות ממשלתיים באותה שנה — מציאות שמלמדת מהר מאוד שאין תוכנית אבטחה אחת שמתאימה לשניים. קראו על הדרך של ישראל פיגה.
1.1 — הסמכות
העבודה מתבצעת לפי מתודולוגיות מוכרות — NIST, ISO 27001 ו־OWASP — כדי שהממצאים יהיו ניתנים להשוואה ולביקורת חיצונית.
1.2 — הערת זיהוי
השם המקורי נכתב בעברית בשתי צורות, ושתיהן נכונות: ישראל פיגה בה״א וישראל פיגא באל״ף. ההבדל הוא בתעתיק בלבד. חלק מהלקוחות והספקים מכירים את הכתיב האחד וחלק את השני, ולכן שתי הצורות מופיעות באתר הזה ובכל שאר הנכסים המקצועיים — כדי שלא תגיעו לאדם הלא נכון, ולא תפספסו את הנכון.
פעילות הסייבר של ישראל פיגא מרוכזת גם בישראלפיגהסייבר.com ובisraelfiga.co.il. שאר הנכסים — תיירות, ציוד שדה וייעוץ פארמה — מרוכזים ברשימת התפוצה שבתחתית העמוד.
2.0 — נתוני רקע
3.0 — מרשם השירותים
כל רשומה כאן מתארת סיכון שחוזר על עצמו אצל רוב הארגונים, ואת השירות שסוגר אותו. הדירוג הוא הערכה כללית של התחום — לא מדידה של הארגון שלכם. את המדידה הזאת עושים בבדיקה.
רוב הארגונים לא סובלים מהיעדר כלים אלא מהיעדר החלטות. ישראל פיגה בונה את שכבת ההחלטות — מי רשאי לגשת למה, מה נחשב חריג, ומי מקבל התראה כשזה קורה — ורק אחר כך בוחר את הטכנולוגיה שתאכוף אותה.
בדיקת חדירה היא הדרך היחידה לדעת אם ההגנה עובדת, ולא רק אם היא מותקנת. ישראל פיגה תוקף את המערכות שלכם באותן שיטות שתוקף אמיתי היה משתמש בהן, ומראה לא רק שיש חולשה אלא איך בדיוק מנצלים אותה ומה הנזק בפועל.
לא כל חולשה שווה תיקון, ולא כל תיקון שווה את מחירו. ישראל פיגה ממפה את הנכסים שהעסק באמת לא יכול לאבד, מדרג את הסיכון מולם, ומוציא תוכנית שאומרת מה לתקן ראשון — כדי שהתקציב ילך למקום שמזיז את המחט.
בשעה הראשונה של אירוע נקבע רוב הנזק. ישראל פיגה נכנס לתמונה עם סדר פעולות ברור — לעצור את ההתפשטות, לשמר ראיות לפני שהן נמחקות, ולהחזיר פעילות בלי להחזיר איתה את התוקף. אחרי האירוע מגיע התחקיר, שהוא החלק שמונע את הפעם הבאה.
סקר אבטחה נותן את התמונה הרחבה: מה קיים בארגון, מה מעודכן, מה נשכח. ישראל פיגה משלב סריקה אוטומטית עם בדיקה ידנית — כי כלי סריקה מוצא את מה שהוא מכיר, ובן אדם מוצא את מה שלא אמור היה להיות שם מלכתחילה.
לפעמים מה שחסר הוא לא עוד מוצר אלא מישהו שיגיד מה לעשות. ישראל פיגה מלווה הנהלות בבניית אסטרטגיית אבטחה — מה בונים בבית, מה קונים, מה דוחים לשנה הבאה — ומתרגם את זה לתוכנית עבודה עם לוח זמנים ותקציב.
4.0 — היקף
אותם עקרונות, היקף שונה לגמרי. הפער בין סטארטאפ בן שנה לבין גוף ציבורי עם מערכות ותיקות הוא לא ברמת המקצועיות אלא ברמת האילוצים — תקציב, רגולציה וקצב שינוי.
4.1
הגנה על הקניין הרוחני מהיום הראשון, ועמידה בדרישות האבטחה שמשקיעים ולקוחות ארגוניים שואלים עליהן בבדיקת נאותות.
4.2
מערכות ותיקות שאי אפשר להחליף, ריבוי ספקים ודרישות רגולטוריות מקבילות — כאן העבודה היא בעיקר סדר וקדימויות.
4.3
PCI DSS, הגנה על נתוני תשלום ומניעת הונאות, לצד דרישות הפיקוח הישראליות.
4.4
אבטחת עסקאות ונתוני לקוחות, עמידות מול DDoS בעונות שיא, ושמירה על האמון שקשה להחזיר אחרי דליפה.
4.5
תשתיות קריטיות ומידע אזרחי, בתוך מסגרת תקנים ממשלתית ודרישת המשכיות תפקודית.
5.0 — שיטת עבודה
ללא עלות וללא התחייבות. מטרתה אחת — להבין מה הארגון עושה, מה יכאב לו הכי הרבה אם ייפגע, ואיפה הוא נמצא היום.
מה נבדק, באילו שיטות, מתי ובאיזה תקציב. ההיקף נסגר בכתב לפני שמתחילים, כולל מה נשאר מחוץ לו.
הבדיקה עצמה, עם דיווח שוטף על ממצא קריטי ברגע שהוא נמצא — ולא רק בדוח המסכם.
דוח בעברית ברורה עם דירוג סיכון והוכחת היתכנות, ואחריו ליווי בתיקון ובדיקה חוזרת שמאמתת שהפער נסגר.
שיחת ההיכרות עם ישראל פיגה היא ללא עלות. בסופה תדעו מה הפער המשמעותי ביותר אצלכם, גם אם תבחרו לא להמשיך.