ידע מעשי של CyberFixCrew

מה צריך להיות בהסכם תחזוקת אבטחה: היקף, שעות ומסירה

הסכם תחזוקת אבטחה צריך להגדיר אילו מערכות ומשימות מכוסות, מי מוסמך לפעול, מתי ניתן שירות ואיך מאמתים סיום עבודה. אם יש SLA, צריך להבין מה נמדד ומתי השעון מתחיל ונעצר. זמן תגובה, התחלת טיפול וחזרה לתפקוד הם מדדים שונים שצריך להסכים עליהם במפורש.

התחילו ברשימת נכסים ומשימות חוזרות

רשמו אתרים, דומיינים, סביבת אחסון, תיבות או שרתים שנכללים בשירות, לפי ההתקשרות. הגדירו מה מבוצע ובאיזו תדירות או בעקבות איזה אירוע. מילים כגון עדכונים, גיבוי וניטור דורשות פירוט כדי לדעת מה נמסר ומה נשאר באחריות העסק או הספק האחר.

ההנחיה המשותפת לספקים מנוהלים וללקוחות מדגישה הגדרת אחריות ושקיפות של שירותים שנרכשו ושלא נרכשו. המסגרת כאן מתרגמת זאת לשאלות תפעוליות. היא אינה חוזה משפטי או תנאי SLA חדשים של CyberFixCrew, ויש להתאים הסכם לצורך ולייעוץ הרלוונטי.

ASD ACSC ושותפים: שקיפות ואחריות בשירות מנוהל

פרקו את מסגרת השירות לשדות שניתן לבדוק

הטבלה היא רשימת שאלות מקורית להסכמה. אין בה יעדי זמן מומלצים לכל עסק. בכל שדה צריכה להיות תשובה ברורה או חריגה מפורשת, עם גורם שאפשר לפנות אליו כשמתעוררת תלות שלא נכללה בתכנון.

שדות תפעוליים בהסכם תחזוקה
שדהמה צריך להגדיראיך בוחנים בהמשך
כיסוינכסים, משימות והחרגותהשוואת עבודה לרשימה
שעות וערוץזמינות, דיווח והסלמהפנייה בנתיב המוסכם
חומרה ועדיפותמי מסווג ולפי איזה נזקאירוע לדוגמה והחלטה
שעון שירותטריגר, שעות ותלות מעכבתרשומת זמן עקבית
אישור שינוימי מאשר ומה מותר בחירוםפעולה מול סמכות מוסכמת
מסירה ויציאהתוצרים, בעלות וביטול גישהתיק עבודה ומסירת נכסים

בדקו מה בדיוק נספר בזמן התגובה

זמן עד אישור קבלת פנייה יכול להיות שונה מזמן עד שאדם מתחיל לבדוק, ושניהם שונים מזמן פתרון. הגדירו אם הספירה היא בשעות שירות או ברצף, איזה ערוץ פותח פנייה ואילו פרטים נדרשים. הודעה אוטומטית אינה בהכרח התחלת טיפול אנושי.

בררו מה קורה כאשר נדרשים אישור לקוח, גישה לספק או שינוי אצל גורם חיצוני. אם הספירה מושהית, צריך להיות תיעוד של סיבה, בקשה ומועד חידוש. אין להפוך כל תלות לפטור עמום, ואין להציג יעד תגובה כהבטחת התאוששות בכל מצב.

הגדירו עדכון, תקלה ואירוע כנתיבי עבודה

תחזוקה מתוכננת דורשת תיאום ובדיקות תפקוד; תקלה מחייבת בירור והחלטת שינוי; חשד לפריצה עשוי לדרוש שימור מידע ומסלול אירוע. שאלו אילו פעולות כלולות בכל נתיב ומי מוסמך לבודד רכיב או לחזור לגרסה. תוספת מחיר או משימה נפרדת צריכות דרך אישור.

לגיבוי ולשחזור קובעים כיסוי, יעד בדיקה, גישה ואחריות. לא מספיק לכתוב שהאתר מגובה. WordPress ממליץ לגבות לפני עדכון; ההסכם צריך להסביר מי עושה זאת ואיך נשמרת דרך חזרה מתאימה למידע ולשינוי. רישוי ותלות בספק נשארים מפורשים.

WordPress: גיבוי ותהליך עדכון

דוגמה: אותה פנייה נמדדת אחרת בשני הסכמים

התרחיש להמחשה בלבד. פנייה מגיעה מחוץ לשעות השירות, אישור אוטומטי נשלח מיד, והגישה הנדרשת נמסרת רק בהמשך. הסכם אחד מודד אישור קבלה, ואחר מודד התחלת בדיקה בשעות שהוגדרו. בלי לקרוא את ההגדרה, מספר זמן התגובה עלול להטעות.

כדי לבדוק הבנה, עברו על תרחיש כתוב וציינו טריגר, שעות, המתנה, אישור וראיית סיום. אין צורך לפתוח אירוע אמת או למדוד ספק בהפתעה. זו בדיקת בהירות של התהליך, לא מדידת ביצוע בפועל או התחייבות שנוספה לחוזה.

דוח ויציאה מספק צריכים להישאר שימושיים

בקשו רשימת עבודה, בדיקות, חריגות והמשך טיפול. אם אין משימה בחודש מסוים, צריך להבין מה כן נבדק ומה מחוץ להיקף, במקום להסתפק בדוח פעילות עמום. רעננו נכסים ואנשי קשר לאחר שינוי. תקינות ביום מסירה אינה ראיה לכיסוי של מערכת שהתווספה אחר כך.

בסיום התקשרות מגדירים העברת תצורה ותוצרים, בעלות על רישיונות וביטול הרשאות בתיאום. ב-CyberFixCrew עמוד המסלולים מתאר את מסגרות השירות הקיימות; את הפרטים לאתר המסוים מסכמים לפני עבודה. המדריך מסייע להכין שאלות, ואינו מחליף את ההצעה וההסכם שסוכמו.

מקור מקצועי: ASD ACSC ושותפים: שקיפות ואחריות בשירות מנוהלמקור מקצועי: WordPress: גיבוי ותהליך עדכוןמקור מקצועי: NCSC: התאמת ראיות אבטחה לסיכון הספק

תשובות ברורות

שאלות שעולות בנושא

SLA הוא תמיד התחייבות לזמן פתרון?

לא, הוא עשוי לעסוק במדדים שונים. צריך לקרוא מה נמדד, מתי השעון מתחיל ואילו תנאים וחריגות חלים על המדד.

עדכונים כוללים אוטומטית תיקון קוד שנשבר?

אין להניח כך: צריך להגדיר בדיקות, דרך חזרה, אחריות לפיתוח ודרך לאשר עבודה נוספת אם מתגלה חוסר תאימות.

מה מבקשים בדוח תחזוקה?

נכסים שבהיקף, עבודה שבוצעה, בדיקות קבלה, חריגות ופעולות להמשך. רשימת התראות או מנויים פעילים אינה תחליף לתיאור תוצאות העבודה.

מתקדמים לפי הצורך

רוצים להגדיר מסגרת תחזוקה ברורה?

נברר נכסים, משימות ותלות ונגדיר תכולה, שעות ותוצרי עבודה לפני ההתקשרות.

לתיאום בדיקה והתאמת השירות