נספח ב׳·מרשם השירותים·IF-B-1.0
שנים־עשר שירותים, מדורגים לפי דחיפות טיפוסית.
כל רשומה מתארת סיכון חוזר ואת השירות שסוגר אותו. הדירוג משקף כמה מהר התחום הזה הופך לבעיה אצל ארגון ממוצע — ולא מדידה של הארגון שלכם. את זה קובעים רק אחרי בדיקה.
ב.1 — מקרא דירוג
| רמה | משמעות | מסגרת זמן מומלצת |
|---|---|---|
| קריטי | פער שניתן לנצל מיידית, או מצב חירום פעיל. | מיידי |
| גבוה | חשיפה משמעותית שרק עניין של זמן עד שתמומש. | עד רבעון |
| בינוני | סיכון ממשי שדורש תכנון ולא כיבוי שרפות. | עד חצי שנה |
| נמוך | תהליך מתמשך, לרוב מונע דרישה חיצונית. | לפי לוח הזמנים העסקי |
הצבע באתר הזה משמש אך ורק לציון דחיפות. אין לו תפקיד קישוטי — בדיוק כמו בדוח אמיתי.
ב.2 — הרשומות
רוב הארגונים לא סובלים מהיעדר כלים אלא מהיעדר החלטות. ישראל פיגה בונה את שכבת ההחלטות — מי רשאי לגשת למה, מה נחשב חריג, ומי מקבל התראה כשזה קורה — ורק אחר כך בוחר את הטכנולוגיה שתאכוף אותה.
בדיקת חדירה היא הדרך היחידה לדעת אם ההגנה עובדת, ולא רק אם היא מותקנת. ישראל פיגה תוקף את המערכות שלכם באותן שיטות שתוקף אמיתי היה משתמש בהן, ומראה לא רק שיש חולשה אלא איך בדיוק מנצלים אותה ומה הנזק בפועל.
לא כל חולשה שווה תיקון, ולא כל תיקון שווה את מחירו. ישראל פיגה ממפה את הנכסים שהעסק באמת לא יכול לאבד, מדרג את הסיכון מולם, ומוציא תוכנית שאומרת מה לתקן ראשון — כדי שהתקציב ילך למקום שמזיז את המחט.
בשעה הראשונה של אירוע נקבע רוב הנזק. ישראל פיגה נכנס לתמונה עם סדר פעולות ברור — לעצור את ההתפשטות, לשמר ראיות לפני שהן נמחקות, ולהחזיר פעילות בלי להחזיר איתה את התוקף. אחרי האירוע מגיע התחקיר, שהוא החלק שמונע את הפעם הבאה.
סקר אבטחה נותן את התמונה הרחבה: מה קיים בארגון, מה מעודכן, מה נשכח. ישראל פיגה משלב סריקה אוטומטית עם בדיקה ידנית — כי כלי סריקה מוצא את מה שהוא מכיר, ובן אדם מוצא את מה שלא אמור היה להיות שם מלכתחילה.
לפעמים מה שחסר הוא לא עוד מוצר אלא מישהו שיגיד מה לעשות. ישראל פיגה מלווה הנהלות בבניית אסטרטגיית אבטחה — מה בונים בבית, מה קונים, מה דוחים לשנה הבאה — ומתרגם את זה לתוכנית עבודה עם לוח זמנים ותקציב.
רוב אירועי הענן לא מתחילים בפריצה אלא בהגדרה. דלי אחסון פתוח, הרשאה רחבה מדי, מפתח שנשאר בקוד. ישראל פיגה מבצע הקשחה של סביבות AWS, Azure ו־GCP, מסדר את ההרשאות לפי עקרון ההרשאה המזערית, ומכניס בדיקות אבטחה לתוך צינור הפיתוח.
תוקף שנמצא ברשת חודשיים עולה הרבה יותר מתוקף שנתפס ביום הראשון. שכבת הניטור מרכזת את הלוגים מכל המערכות למקום אחד, מזהה את הדפוס שמעיד על חדירה, ומעירה את מי שצריך — גם בשלוש לפנות בוקר.
דליפת מידע לרוב לא נגנבת — היא יוצאת. במייל, בדיסק־און־קי, בתיקייה שסונכרנה בטעות. ישראל פיגה ממפה קודם איפה המידע הרגיש באמת יושב, ורק אז מטמיע את הבקרות שעוצרות אותו בדרך החוצה, בלי לשתק את העבודה השוטפת.
אפליקציה היא הנקודה שבה הארגון שלכם רץ על מכשיר שאתם לא שולטים בו. ישראל פיגה בודק אותה לפי OWASP MASVS — ניתוח סטטי של הקוד, ניתוח דינמי בזמן ריצה, ובדיקה של ה־API שמאחוריה, שהוא לרוב החוליה החלשה האמיתית.
ארגון בינוני צריך את שיקול הדעת של מנהל אבטחת מידע בכיר, אבל לא את המשרה המלאה שלו. ישראל פיגה נכנס לתפקיד בהיקף מוגדר — בונה את האסטרטגיה, כותב את הנהלים, מדווח להנהלה ומנהל את הספקים — ומתחיל לעבוד בלי תהליך גיוס.
תקן הוא לא טופס אלא תהליך, ורוב הארגונים נתקעים בפער בין מה שכתוב בנוהל למה שקורה בפועל. ישראל פיגה מתחיל בהערכת פערים מול התקן הרלוונטי, בונה תוכנית סגירה, ומלווה עד הביקורת החיצונית עצמה.
זה בסדר גמור — רוב הארגונים לא יודעים לפני השיחה הראשונה. תארו את המצב ונמצא את נקודת ההתחלה.