תקן ISO 27001

ISO/IEC 27001 הוא התקן הבינלאומי המוביל לניהול אבטחת מידע, וברוב המקרים — הדרישה הראשונה שחברה ישראלית פוגשת כשהיא מתחילה למכור לארגונים גדולים, לגופים פיננסיים או למכרזים ציבוריים. חשוב להבין מה התקן באמת דורש: לא ״להיות מאובטחים ב-100%״, אלא להוכיח שיש לכם מערכת ניהול אבטחת מידע (ISMS) — תהליך שיטתי ומתועד שמזהה סיכונים, בוחר בקרות, מיישם אותן ומשתפר לאורך זמן. גוף הסמכה חיצוני מבקר את המערכת הזו ומעניק תעודה שתקפה שלוש שנים, עם מבדקי מעקב שנתיים. בעמוד הזה נעבור על מבנה התקן בגרסתו העדכנית, על שלבי מסלול ההסמכה, ועל השאלות שכל הנהלה שואלת: כמה זמן, מה מול SOC 2, ומה קורה אחרי התעודה.

התקן בגרסת 2022 — מה השתנה ואיך הוא בנוי

הגרסה העדכנית, ISO/IEC 27001:2022, ארגנה מחדש את בקרות נספח A: במקום 114 בקרות ב-14 קטגוריות של גרסת 2013, יש כיום 93 בקרות בארבע קבוצות — פשוט יותר לניווט, עם בקרות חדשות שמשקפות את עולם ה-IT של היום, כמו Threat Intelligence, אבטחת שירותי ענן, Data Leakage Prevention ו-Secure Coding:

מי שהוסמך לפי גרסת 2013 — תקופת המעבר הרשמית הסתיימה: גופי ההסמכה השלימו את המעבר לגרסת 2022, וכל הסמכה חדשה או מחודשת נעשית כבר מולה. אם התחלתם פרויקט על בסיס חומרים ישנים של 2013, נדרש עדכון — בעיקר של ה-SoA ומיפוי הבקרות — לפני שניגשים למבדק.

מסלול ההסמכה — שלב אחרי שלב

1. בחינת פערים (Gap Assessment) — מיפוי המצב הקיים מול דרישות התקן: מה כבר קיים אצלכם בפועל (לרוב יותר ממה שנדמה), מה חסר ומה עלות הסגירה. התוצר: תוכנית עבודה מתוקצבת עם לוחות זמנים.
2. בניית ה-ISMS — הגדרת היקף (Scope), מתודולוגיית ניהול סיכונים, ביצוע הערכת סיכונים ראשונה, כתיבת מדיניות ונהלים, והטמעת הבקרות שנבחרו — כולל הדרכת עובדים ואיסוף ראיות.
3. הצהרת יישימות (SoA) — מסמך שממפה את כל 93 בקרות נספח A: אילו רלוונטיות אליכם, איך יושמו, ואילו הוחרגו ולמה (עוד על כך בהמשך).
4. ביקורת פנימית וסקר הנהלה — התקן מחייב ביקורת פנימית עצמאית וסקירת הנהלה מתועדת לפני המבדק החיצוני. זה גם התרגול הכללי שלכם לקראת המבקר האמיתי.
5. Stage 1 — מבדק מסמכים — גוף ההסמכה בוחן שה-ISMS מתוכנן נכון: מסמכים, היקף, SoA ומוכנות כללית. הפערים שעולים כאן ניתנים לתיקון לפני השלב הבא.
6. Stage 2 — מבדק ההסמכה — המבקר בודק שהמערכת עובדת בפועל: ראיונות עם עובדים, בחינת ראיות ותצפית על תהליכים. בסיומו המוצלח — תעודה לשלוש שנים.
7. מבדקי מעקב שנתיים (Surveillance) — פעם בשנה גוף ההסמכה חוזר לבדוק שהמערכת חיה: ביקורות פנימיות בוצעו, סיכונים עודכנו, אי-התאמות טופלו. כאן נופלים ארגונים שבנו ״מערכת לתעודה״ ולא תהליך אמיתי.

מהו ה-SoA — ולמה הוא המסמך החשוב ביותר

הצהרת היישימות (Statement of Applicability) היא מסמך אחד שמרכז את כל התמונה: לכל אחת מ-93 הבקרות — האם היא חלה עליכם, איך יישמתם אותה, ואם החרגתם — מה ההצדקה. זה המסמך הראשון שכל מבקר פותח, כי הוא מגלה מיד אם הארגון באמת חשב על הסיכונים שלו או העתיק תבנית. SoA טוב הוא גם כלי עסקי: כשלקוח Enterprise שולח שאלון אבטחה של 200 שאלות, ארגון עם SoA מתוחזק עונה עליו בימים במקום בשבועות.

ISO 27001 מול SOC 2 — ומתי צריך את שניהם

שני התקנים עוסקים באותו עולם תוכן אבל פונים לקהלים שונים: ISO 27001 היא הסמכה בינלאומית מול תקן אחיד — חזקה באירופה, בישראל ובמכרזים; SOC 2 הוא דוח בוחן של רואה חשבון אמריקאי (Attestation) לפי Trust Services Criteria — השפה שהשוק האמריקאי מדבר. חברות SaaS ישראליות שמוכרות לשני השווקים נדרשות לרוב לשניהם, והחדשות הטובות: חפיפת הבקרות גבוהה מאוד, כך שמי שבנה ISMS ל-ISO מגיע ל-הכנה ל-SOC 2 עם רוב העבודה גמורה. הסדר המומלץ תלוי בלקוח שדוחף — אבל כשיש בחירה, ISO 27001 קודם נותן בסיס רחב יותר.

כמה זמן זה באמת לוקח לחברה קטנה-בינונית

בלי הבטחות שווא: חברה קטנה-בינונית עם מחויבות הנהלה אמיתית מגיעה ל-Stage 2 בטווח של 4 עד 9 חודשים מתחילת העבודה. חברת SaaS קטנה וממוקדת, עם תשתית ענן מסודרת — לרוב בקצה המהיר (4–6 חודשים); ארגון עם IT מבוזר, אתרים מרובים או חוב תהליכי — בקצה האיטי ומעבר לו. המשתנה המשמעותי ביותר הוא לא גודל החברה אלא זמינות מנהל הפרויקט הפנימי: ארגון שמקצה בעל תפקיד עם כמה שעות שבועיות קבועות מתקדם פי שניים מארגון שמטפל בזה ״כשיש זמן״. שווה לקחת בחשבון גם את לוחות הזמנים של גוף ההסמכה עצמו — מבדקי Stage נקבעים לרוב שבועות מראש, ולכן את התאריך כדאי לשריין מוקדם. פירטנו את הדרך המהירה לחברות SaaS במאמר חמשת הצעדים ל-ISO 27001 לחברת SaaS.