מפו פעילות עסקית לפני רשימת מוצרים
רשמו איך מתקבלות פניות, מתבצעות הזמנות ונגיש מידע נחוץ. ליד כל תהליך ציינו אתר, דואר, זהות ניהול, ספק ונתונים. העסק צריך להחליט מה חיוני ומה יכול להמתין בעת כשל. זו נקודת התחלה פשוטה שמונעת מצב שבו קונים פתרון למערכת צדדית ומשאירים תלות מרכזית בלי בעלים.
NIST SP 1300 מציע לעסקים קטנים להבין נכסים, השפעת אובדן ואחריות ולהתייחס לסייבר כחלק מהסיכון העסקי. המדריך אינו קובע תקציב כספי מחייב. את מסגרת ההחלטה כאן ממלאים לפי מצב העסק ולא כטענה לעמידה רשמית בתקן.
לכל הוצאה צריכה להיות בעיה ותוצאת קבלה
הטבלה היא מסגרת תעדוף מקורית, ללא ניקוד סיכון מדומה. מלאו מה ידוע, מה דורש בירור ואיזה תנאי מאפשר להתחיל. פעולה שנראית קטנה עשויה להיות תלויה בגישה לספק או בתיקון קודם. עלות אינה רק רישיון, ותלות יכולה להשפיע על הסדר.
| שדה | שאלה למילוי | תוצאה לתכנון |
|---|---|---|
| תהליך ונכס | מה עלול להיפגע בעסק | היקף וסדר חשיבות |
| פער נצפה | מה ידוע ומה עדיין הנחה | בדיקה או פעולה נדרשת |
| תלות | מה צריך להתקיים קודם | סדר ביצוע ואחראי |
| עלות הקמה | מי מבצע ומה נמסר | הצעה לפי היקף |
| עלות חוזרת | מי מתחזק, מחדש ובודק | מחויבות תפעולית |
| קבלה ודחייה | איך יודעים שהושלם ומה נשאר | ראיה ומועד בחינה |
הפרידו הקמה, תפעול והתאוששות
הגדרה ראשונית של אימות, גיבוי או כלל הגנה היא עבודה אחת. עדכון רשימת מורשים, טיפול בכשל ובדיקת שחזור הם עבודות נוספות. גם פעולה שבעל העסק מבצע בעצמו צורכת זמן ומחייבת ידע מתאים. בהשוואת חלופות ציינו איזו משימה נשארת בתוך העסק ואיזו מועברת לספק.
חשבו על רכישה במונחי תקופה אחידה והנחות ידועות, בלי להכפיל מחיר לפני שהובהר משך החיוב. עלויות חיצוניות, חידוש, שינוי ספק ורכיבים שטרם נבדקו נרשמים בנפרד. אין להסיק ממחיר חבילה שהטיפול באירוע, פיתוח ותגובה בכל שעה כלולים בה.
תעדפו לפי חשיפה ותלות שאפשר להסביר
זהו פער שמאפשר גישה רחבה או שמונע התאוששות, ובחנו כיצד הוא קשור לפעילות הקריטית. לא כל חולשה מקבלת אותה קדימות, ולא כל טיפול מחייב מוצר חדש. לפעמים נדרש קודם לברר מי מנהל דומיין או אם גיבוי אכן ניתן לשחזור.
דחיית טיפול היא החלטה שיש לה בעלים. רשמו מה נשאר חשוף, איזה צמצום זמני אפשרי ומתי בוחנים מחדש. אם אין מספיק מידע, מגדירים בירור ממוקד במקום להציג מסקנה כספית מדויקת. לא מחשבים תשואה על אבטחה באמצעות הסתברות תקיפה שהומצאה לצורך ההצעה.
דוגמה: נשאר רישיון אבל לא נשאר מי שיטפל בהתראה
התרחיש להמחשה בלבד. עסק רוכש מערכת שמפיקה התראות ומבטל זמן תחזוקה כדי לחסוך. ההתראות מגיעות לתיבה שאין לה אחראי קבוע. תקציב הרכישה התמלא, אך לא הוקצתה יכולת לבדוק ולהגיב. במסגרת מתוקנת רושמים גם בעלים, שעות ותהליך הסלמה.
אין בכך המלצה לבטל מערכת או להחליף ספק באופן מיידי. בודקים מה הכלי כבר מספק, מי יכול להפעילו ואיזה פער נשאר. ההחלטה יכולה להיות צמצום היקף, שינוי תהליך או הזמנת עבודה מוגדרת, לפי צורך וסמכות.
בחינה תקופתית צריכה להראות מה התקדם
בדקו אילו פעולות התקבלו, אילו חריגות נותרו ומה השתנה בנכסים או בספקים. דוח טוב מחבר הוצאה לתוצר שנבדק, ולא רק מציג שהמנוי פעיל. אחרי שינוי עסקי משמעותי בחנו גם תלויות חדשות, גיבוי והרשאות. התוכנית צריכה להיות שימושית למי שמאשר אותה.
ב-CyberFixCrew אפשר להתחיל בבדיקת מצב ובתוכנית טיפול מדורגת לאתרים ולתשתיות הדיגיטליות שבהיקף השירות. הצעת עבודה אינה תקציב לכל תחום הסייבר של הארגון. מסכמים מה מכוסה, מה דורש גורם אחר ומה אפשר לבצע באופן עצמאי.
