סקר סיכוני סייבר מול מבדק חדירה: מתי צריך כל אחד ומה הרגולטור מצפה

"עשינו סקר סיכונים, אז אנחנו מכוסים גם על מבדק החדירות" – המשפט הזה נשמע בארגונים ישראליים רבים, והוא טעות שעולה ביוקר. סקר סיכוני סייבר ומבדק חדירה הם שני כלים שונים, עם מטרות שונות, תוצרים שונים – ובמאגרי מידע ברמת אבטחה גבוהה, שתי חובות רגולטוריות נפרדות שכל אחת מהן עומדת בפני עצמה. ההבדל ביניהם אינו סמנטי: הוא קובע מה תוכיחו לרשות להגנת הפרטיות בביקורת, ומה תדעו על עצמכם לפני שתוקף ידע.

מה זה סקר סיכוני סייבר

סקר סיכוני סייבר הוא תהליך מיפוי והערכה שיטתי: אילו נכסי מידע יש לארגון, אילו איומים רלוונטיים אליהם, אילו בקרות קיימות, ואיפה הפערים. הסוקר עובר על התשתיות, המערכות, הנהלים וההרשאות – בראיונות עם בעלי תפקידים, בסקירת תיעוד ותצורות, ולעיתים בסריקות טכניות משלימות – ומתרגם את הממצאים למפת סיכונים מדורגת: מה הסבירות שכל סיכון יתממש, מה הנזק הצפוי, ומה סדר העדיפויות לטיפול.

התוצר של סקר טוב הוא תוכנית עבודה. לא רשימת חולשות טכניות, אלא תמונת מצב ניהולית: אילו סיכונים הארגון מקבל, אילו הוא מפחית ובאיזה סדר, ואיפה נדרשת השקעה. בגלל האופי הזה, הסקר הוא גם המסמך שהנהלה ודירקטוריון יכולים לקרוא ולקבל עליו החלטות תקציב – והוא הבסיס שעליו נשענת כל תוכנית אבטחת מידע רב-שנתית.

חשוב להבדיל: סקר סיכונים אינו מנסה לפרוץ לשום מקום. הוא בוחן את המערכת "מבפנים החוצה" – דרך שיחות, מסמכים ותצורות – ולכן הוא רחב אך אינו עמוק. הוא יגיד לכם שאין לכם תהליך עדכוני אבטחה מסודר; הוא לא יוכיח שדרך השרת הלא מעודכן אפשר להגיע למאגר הלקוחות בשעתיים.

מה זה מבדק חדירה

מבדק חדירות לארגון הוא ההפך הגמור מבחינת שיטה: סימולציית תקיפה מבוקרת, שבה בודק מיומן מנסה בפועל לחדור למערכות – לעקוף מנגנוני אימות, להסלים הרשאות, לנוע רוחבית ברשת ולהגיע למידע הרגיש – בדיוק כפי שתוקף אמיתי היה פועל. ההסבר המלא על שיטות העבודה, הסוגים (Black Box, Gray Box, White Box) ושלבי התהליך נמצא במדריך שלנו על מה זה מבדק חדירות.

התוצר של מבדק הוא הוכחות, לא הערכות: שרשראות תקיפה מתועדות צעד-אחר-צעד, ממצאים מסווגים לפי חומרה עם הוכחת היתכנות לכל אחד, והמלצות תיקון קונקרטיות. המבדק בוחן את המערכת "מבחוץ פנימה" – הוא עמוק אך ממוקד: הוא בודק לעומק את מה שהוגדר בהיקף (אפליקציה, רשת, ממשקי API), ולא את כלל הארגון על נהליו ותהליכיו.

נקודה אחת שחשוב לחדד, כי היא צצה בכל ביקורת: מבדק חדירות הוא עבודה אנושית של תוקף חושב. סריקת פגיעויות אוטומטית, מועילה ככל שתהיה, אינה מבדק חדירה – לא מבחינה מקצועית ולא מבחינה רגולטורית, כפי שמפרט המאמר שלנו על מבדק חדירות מול Automated Pentesting.

סקר סיכונים מול מבדק חדירה: השוואה ב-8 פרמטרים

הטבלה הבאה מרכזת את ההבדלים המהותיים בין שני הכלים:

הדרך הפשוטה לזכור את ההבדל: סקר סיכונים הוא צילום רנטגן רחב של הארגון; מבדק חדירה הוא בדיקת מאמץ ממוקדת. הרנטגן מגלה איפה כדאי להעמיק; בדיקת המאמץ מוכיחה מה קורה בעומס אמיתי. אף רופא לא היה מוותר על אחת מהן בטענה שהשנייה כבר בוצעה.

מה הרגולציה הישראלית דורשת מכל אחד

תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017^[1], מתייחסות לשני הכלים במפורש ובנפרד, באותה תקנה. במאגרי מידע שחלה עליהם רמת האבטחה הגבוהה, תקנה 5(ג) מחייבת עריכת סקר לאיתור סיכוני אבטחת מידע אחת ל-18 חודשים לפחות, ותקנה 5(ד) מחייבת עריכת מבדקי חדירות למערכות המאגר אחת ל-18 חודשים לפחות, לבחינת עמידותן מפני סיכונים פנימיים וחיצוניים^[2]. בשני המקרים, התקנות אינן מסתפקות בביצוע: הן מחייבות לדון בתוצאות ולפעול לתיקון הליקויים.

העובדה ששתי החובות יושבות בסעיפים נפרדים היא התשובה הרגולטורית לשאלת ה"החלפה": המחוקק דרש את שניהם במפורש – ארגון ברמה גבוהה שביצע רק סקר או רק מבדק עומד במחצית הדרישה בלבד. יש רק חריג אחד בכיוון ההפוך: לפי תקנה 16, סקר סיכונים מקיף יכול לשמש גם כביקורת התקופתית (הנדרשת אחת ל-24 חודשים ברמה בינונית וגבוהה), אם הוא כולל את כל רכיבי הביקורת – אבל שום דבר בתקנות לא מאפשר לסקר להחליף מבדק חדירות, או להפך.

ההקשר הרחב חשוב לא פחות: מאז כניסת תיקון 13 לחוק הגנת הפרטיות לתוקף באוגוסט 2025, לרשות להגנת הפרטיות סמכויות אכיפה מנהלית ועיצומים כספיים^[3], והיא מעדכנת את הנחיותיה בהתאם^[4]. גם ארגונים ברמת אבטחה בינונית, שהתקנות אינן מחייבות אותם במבדק, מגלים שהדרישה מגיעה מכיוונים אחרים: מבטחי סייבר, לקוחות עסקיים בהסכמי ספק, ותקנים כמו ISO 27001 ו-SOC 2. ליווי מקצועי בתחום הגנת הפרטיות וציות מתחיל בדיוק כאן – בקביעה אילו חובות חלות על אילו מאגרים, ובניית מחזור הבדיקות שעונה על כולן.

למה סדר הפעולות חשוב – קודם סקר, אחר כך מבדק

כשמתכננים את שניהם, הסדר אינו עניין של טעם. סקר שמבוצע ראשון נותן למבדק שלושה דברים שאי אפשר לקבל בשום דרך אחרת: מיפוי של הנכסים הקריטיים באמת (כדי שהמבדק יופנה אליהם ולא למערכות שוליות), רשימת חששות ממוקדת (הסיכונים שהסקר דירג גבוה והמבדק צריך לאמת), והגדרת היקף מושכלת – שהיא הגורם המשפיע ביותר על עלות המבדק ועל התועלת ממנו.

הכיוון ההפוך עובד פחות טוב. מבדק שמבוצע "על עיוור", בלי מיפוי מוקדם, נוטה להיות רחב מדי (ויקר) או צר מדי (ומחטיא את הנכסים החשובים). והסקר שמגיע אחריו כבר לא נהנה מהמידע החשוב ביותר שהמבדק מייצר – כי הוא נבנה בלי לדעת מה המבדק ימצא. תרחיש נפוץ: ארגון מזמין מבדק על האפליקציה החדשה שלו, בזמן שהחשיפה האמיתית יושבת בכלל בתשתית – בדיוק סוג הממצאים שמתואר במדריך שלנו על חולשות ברשת הארגונית – ורק סקר רוחבי היה מגלה זאת מראש.

איך משלבים את שניהם בתוכנית שנתית

ארגון שכפוף לרמת האבטחה הגבוהה צריך לחשוב במחזורים של 18 חודשים, והמבנה המומלץ פשוט: רבעון ראשון – סקר סיכונים ועדכון מפת הסיכונים; רבעון שני – תיקון הליקויים המתועדפים מהסקר; רבעון שלישי – מבדק חדירות ממוקד בנכסים הקריטיים, ואחריו דיון מתועד בממצאים; רבעון רביעי – תיקונים ומבדק חוזר (Retest) לאימות. כשהסקר מתוכנן כך שיכסה גם את דרישות הביקורת התקופתית של תקנה 16, אותו מחזור סוגר שלוש חובות רגולטוריות במהלך אחד.

בין המחזורים, אל תשאירו ואקום: שינוי מהותי במערכות – מעבר לענן, מערכת ליבה חדשה, מיזוג – מצדיק בדיקה נקודתית גם אם המועד הרגולטורי טרם הגיע. המסגרת המלאה לקביעת הקצב, כולל הטריגרים העסקיים והרגולטוריים, מפורטת במדריך שלנו על כל כמה זמן צריך לבצע מבדק חדירות.

ארגונים בשלים יותר מתקדמים משם לגישה רציפה: במקום נקודות בדיקה בדידות אחת לשנה-שנתיים, ניהול חשיפות מתמשך שמשלב ניטור שוטף עם מבדקים תקופתיים – הגישה שמכונה CTEM, שעליה הרחבנו בהשוואה בין CTEM למבדק חדירות מסורתי. אבל גם בגישה הרציפה, סקר תקופתי ומבדק אנושי נשארים חובה רגולטורית – הניטור הרציף מתווסף אליהם, לא מחליף אותם.

שאלות נפוצות

האם סקר סיכונים מחליף מבדק חדירה?

לא. במאגרי מידע ברמת אבטחה גבוהה, תקנות הגנת הפרטיות דורשות את שניהם בנפרד: סקר סיכונים לפי תקנה 5(ג) ומבדקי חדירות לפי תקנה 5(ד), כל אחד אחת ל-18 חודשים לפחות. גם מקצועית הם אינם חלופיים – הסקר מעריך סיכונים על סמך מיפוי ותיעוד, והמבדק מוכיח בפועל מה תוקף יכול לעשות. החריג היחיד בתקנות פועל בכיוון אחר: סקר מקיף יכול לשמש גם כביקורת התקופתית של תקנה 16, אם הוא כולל את כל רכיביה.

מה עושים קודם – סקר או מבדק?

קודם סקר, אחר כך מבדק. הסקר ממפה את הנכסים הקריטיים ואת הסיכונים המרכזיים, וכך מגדיר למבדק היקף ממוקד ומועיל; המבדק מאמת בפועל אילו מהסיכונים שהסקר זיהה אכן ניתנים לניצול. מומלץ להשאיר חודשיים-שלושה בין השניים, כדי לתקן את הליקויים המיידיים מהסקר לפני שהבודק נכנס.

כל כמה זמן צריך סקר סיכוני סייבר?

לפי תקנה 5(ג) לתקנות אבטחת מידע – אחת ל-18 חודשים לפחות, במאגרים ברמת אבטחה גבוהה. בפועל מומלץ לרענן את הסקר גם אחרי כל שינוי מהותי: מעבר לענן, החלפת מערכת ליבה, מיזוג או רכישה, או שינוי משמעותי בהיקף המידע. ארגונים ברמה בינונית אינם מחויבים בסקר לפי התקנות, אך רבים מבצעים אותו כבסיס לתוכנית האבטחה ולקראת הביקורת התקופתית.

מי מבצע סקר סיכונים ומי מבצע מבדק חדירה?

סקר סיכונים מבצע יועץ או סוקר אבטחת מידע עם ראייה ניהולית ורגולטורית – הוא צריך להבין תהליכים, נהלים ורגולציה, לא רק טכנולוגיה. מבדק חדירה מבצע בודק חדירות מוסמך (הסמכות כמו OSCP) עם ניסיון התקפי מעשי. אלה שתי דיסציפלינות שונות, וחברה מקצועית תציב אנשים שונים לכל משימה. בשני המקרים חשוב שהמבצע יהיה בלתי תלוי במי שמנהל את המערכות הנבדקות.

האם התקנות מחייבות את שניהם?

ברמת אבטחה גבוהה – כן, את שניהם, כל אחד אחת ל-18 חודשים לפחות, ובנוסף ביקורת תקופתית אחת ל-24 חודשים (שסקר מקיף יכול לכסות). ברמה בינונית התקנות מחייבות ביקורת תקופתית בלבד, וברמה בסיסית אף אחד מהם אינו חובה – אם כי דרישות של מבטחים, לקוחות ותקנים בינלאומיים הופכות את שני הכלים לסטנדרט מצופה גם שם. את רמת האבטחה של כל מאגר קובעים לפי סוג המידע, מטרתו והיקפו.

מקורות שצוטטו במאמר (4)

• [1] תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 – נבו
• [2] נוסח מלא של תקנות אבטחת מידע כולל התוספות – ויקיטקסט
• [3] מדריך מקצועי: תיקון מס' 13 לחוק הגנת הפרטיות – הרשות להגנת הפרטיות, gov.il
• [4] הרשות להגנת הפרטיות מעדכנת את הנחיותיה לאחר כניסת תיקון 13 לתוקף – law.co.il

המאמר עודכן לאחרונה: ספטמבר 2026 ומשקף את המצב הרגולטורי הנוכחי, כולל תיקון 13 לחוק הגנת הפרטיות. המידע המובא הוא כללי ואינו מהווה ייעוץ משפטי או אבטחתי פרטני.