ISO/IEC 27001 הוא תקן למערכת ניהול אבטחת מידע (ISMS), שאפשר ליישם בארגונים בגדלים שונים. הצורך בהסמכה עשוי לנבוע מהחלטה עסקית או מדרישה חוזית מסוימת; אין חובה אחידה לכל עסק. המדריך מציג שלבי היערכות, והזמן הנדרש תלוי במצב ההתחלתי, בהיקף ובמשאבים.
למה הארגון בוחן הסמכה
מגדירים אם המטרה היא דרישת לקוח, שיפור ניהול הסיכונים או הכנה לבדיקה. התקן אינו תחליף לבחינת חובות פרטיות ודין, ואין להניח שהסמכה מכסה את דרישות תיקון 13 או מבטיחה הנחה בביטוח. ראו ההסבר הרשמי של ISO על התקן והסמכה.
מפת דרכים לפי שלבים
שלב 1: ניתוח פערים ובניית בסיס
ניתוח פערים (Gap Analysis) השוואה בין המצב הנוכחי לדרישות התקן. מפת דרכים שמראה בדיוק מה חסר.
תוצרים: - דוח Gap Analysis עם ממצאים וסדרי עדיפות - רשימת סיכונים ראשונית - הערכת משאבים נדרשים (כוח אדם, תקציב, זמן)
הגדרת היקף ומדיניות - הגדרת ה-Scope: אילו מערכות, אתרים, ותהליכים נכללים בהסמכה - כתיבת מדיניות אבטחת מידע ראשית (Information Security Policy) - הגדרת תפקידים ואחריות — מי ה-ISMS Manager, מי הבעלים של כל סיכון - הגדרת מנגנון ניהול וקבלת החלטות שמתאים לגודל הארגון ולדרישות התקן
הערכת סיכונים הלב של ISO 27001. לכל נכס מידע: מה האיומים? מה ההסתברות? מה הנזק? מה עושים?
מתודולוגיה מומלצת: טבלת סיכונים עם דירוג 1-5 להסתברות ולהשפעה. כל סיכון מעל סף מסוים — דורש טיפול (בקרה, העברה, קבלה, או הימנעות).
שלב 2: הטמעת בקרות
Annex A של ISO 27001:2022 כולל 93 בקרות ב-4 קטגוריות: - ארגוניות — מדיניות, תפקידים, ניהול נכסים, סיווג מידע - משאב אנושי — סינון, הכשרה, סיום העסקה - פיזיות — גישה למתקנים, הגנת ציוד, אזורים מאובטחים - טכנולוגיות — הצפנה, בקרת גישה, ניטור, גיבוי
לא כל בקרה רלוונטית לכם. מסמך ה-Statement of Applicability (SoA) מגדיר אילו בקרות מיושמות ואילו לא — ולמה.
צעדים מעשיים: - בחינת אימות חזק במערכות המתאימות ותיעוד חריגים - הטמעת מערכת ניהול לוגים - הסדרת נוהלי גישה וסיסמאות - עדכון הסכמי ספקים עם סעיפי אבטחת מידע - הכנת נהלי תגובה לאירוע אבטחה (Incident Response)
שלב 3: תיעוד ומבדק פנימי
תיעוד ISMS ISO 27001 דורש תיעוד ספציפי: - מדיניות אבטחת מידע - הערכת סיכונים ותוכנית טיפול - Statement of Applicability - מידע מתועד וראיות הנדרשים לפי התקן ולתפעול הבקרות שנבחרו - רישומי הכשרות, אירועים, ושינויים
מבדק פנימי (Internal Audit) המבדק הפנימי בוחן את התאמת המערכת ואת יישומה. בוחרים מבקרים כשירים ומסדירים אובייקטיביות ואי־תלות מול הפעילויות הנבדקות; המבנה המתאים תלוי בארגון ובהיקף המבדק.
סקירת הנהלה (Management Review) ישיבה רשמית עם הנהלה בכירה: מה מצב ה-ISMS, אילו סיכונים פתוחים, מה תוקצב, מה הוחלט. זה לא טקס — הביקורת החיצונית תבדוק שזה קרה.
שלב 4: ביקורת חיצונית
שלבי הביקורת והחלטת ההסמכה מתאמים עם הגוף המסמיך את שלבי הבדיקה, התיעוד, ראיונות העובדים והראיות הנדרשות. הגוף הבודק קובע כיצד מטפלים באי־התאמות ומה נדרש לפני החלטת הסמכה. אין תקופת תיקון אחידה או הבטחה שממצא מסוים לא יעכב אותה.
הסמכה מבוצעת על ידי גופי הסמכה חיצוניים, ולא על ידי ISO עצמה או יועץ ההטמעה. בדקו את היקף התעודה, תוקפה ותוכנית המעקב והחידוש מול הגוף המסמיך. ראו הסבר ISO על הסמכה.
איך מתכננים תקציב
מפרידים בין מיפוי וליווי, עבודת צוות פנימי, כלים, הכשרות וביקורת חיצונית. בקשו הצעות המתייחסות לאותו היקף ולמצב הקיים. תכננו גם תחזוקת בקרות, מעקב וטיפול בפערים אחרי הבדיקה הראשונה.
שגיאות נפוצות שעולות ביוקר
- נהלים בלי יישום — מסמכים שאינם משקפים את העבודה בפועל אינם בסיס מספק למערכת ניהול פעילה.
- היקף שאינו משקף את הצורך — קובעים גבולות ותלויות שמתאימים לפעילות ולדרישות בעלי העניין, בלי לצמצם היקף באופן שמסתיר סיכונים.
- תיעוד יתר — 500 עמודי נהלים שאף אחד לא קורא. תיעוד יעיל הוא תיעוד שעובדים באמת משתמשים בו.
- התעלמות מתלות בספקים — בוחנים סיכונים, הסכמים ובקרות ספקים הרלוונטיים להיקף; מסקנת ביקורת תלויה בממצאים ובהקשר.
איך DLTS מסייעת בהיערכות
DLTS מסייעת במיפוי ובהסדרת הביצוע הטכנולוגי והתפעולי: הרשאות, תיעוד, גיבוי ובקרות לפי התוכנית שנבחרה. מתאמים עבודה עם בעלי התפקידים, הייעוץ המשפטי והגורם הבודק. היקף הליווי מוגדר בהצעה ואינו הבטחה להסמכה.
ליווי היערכות לדרישות אבטחה | תאמו שיחה
שאלות נפוצות
האם ISO 27001 רלוונטי לעסקים קטנים? כן. התקן ניתן ליישום בארגונים בגדלים שונים. המשאבים ומבנה האחריות צריכים להתאים להיקף ולסיכונים; אין מודל כוח אדם יחיד שמבטיח הסמכה.
האם ההסמכה תקפה לצמיתות? לא. יש לבדוק את תוקף התעודה ואת ביקורות המעקב והחידוש שנקבעו עם הגוף המסמיך, ולהמשיך לתחזק את מערכת הניהול ואת הבקרות.
כמה זמן לוקח אם כבר עומדים ב-SOC 2? ייתכן שחלק מהבקרות והתיעוד הקיימים יסייעו, אך אלה מסגרות שונות. מבצעים מיפוי לפי ההיקף והדרישות; אין אחוז חפיפה קבוע או זמן הסמכה מובטח.
מפת דרכים עדכנית — ISO 27001:2022
גרסת 2022 שינתה את Annex A: במקום 114 Controls ב-14 קטגוריות — 93 Controls ב-4 קטגוריות: Organizational (37), People (8), Physical (14), Technological (34).
דוגמאות לבקרות שכדאי להכיר
- Threat Intelligence — לעקוב אחרי איומים רלוונטיים
- Cloud Security — מדיניות שימוש בענן
- ICT Readiness for BC — IT מוכן ל-Business Continuity
- Data Masking — הסתרת נתונים רגישים
- DLP — מניעת דליפת מידע
- Monitoring — ניטור פעילויות חריגות
- Web Filtering — סינון גלישה
- Secure Coding — פיתוח מאובטח
בדיקת מהדורה והיקף
ודאו שהמסמכים, ההיערכות וההתקשרות עם הגוף המסמיך מתייחסים למהדורה ולתיקונים הרלוונטיים, ושהתעודה המבוקשת משקפת את גבולות הפעילות שנבדקה.
קראו גם: ניהול אבטחת מידע | היערכות לדרישות אבטחה ופרטיות