עיקרי הדברים

  • שתי השאלות שמזיזות את התמחור יותר מכל השאר הן היכן נאכף אימות רב-שלבי ומתי נבדק שחזור מגיבוי. חתמים מחפשים אכיפה על תיבות הדואר, על הגישה מרחוק, על מסופי ניהול הענן ועל מאגרי הקוד, ועותק גיבוי שכלי ההצפנה של התוקף לא יכלו להגיע אליו.
  • נתוני 2026 מצביעים על עלות ממוצעת של כ-5 מיליון דולר לפרצת נתונים, שיא, עלייה של 12%. נתוני 2026 מראים גם שזמן הזיהוי והבלימה הממוצע עלה לכ-247 ימים, ולכן חתמים בודקים את יכולת הגילוי באותה רצינות שבה הם בודקים את יכולת המניעה.
  • חברה ישראלית נבחנת גם מול תקנות הגנת הפרטיות (אבטחת מידע), שמחייבות מסגרת ניהולית סביב המאגר: מסמך הגדרות מאגר, נוהל אבטחה, סקר סיכונים תקופתי, מינוי ממונה אבטחת מידע בארגונים מסוימים ודיווח לרשות להגנת הפרטיות על אירוע אבטחה חמור. תיקון 13 לחוק הגנת הפרטיות חיזק את סמכויות האכיפה והעלה את משקל התיעוד הפנימי.
  • החתם בוחן גם את הצד המסחרי: היקף רשומות המידע האישי, מיקום האחסון, פיזור ההכנסות בין לקוחות ותלות בספק ענן יחיד. לקוח שמייצר יותר מחמישית מההכנסות משנה את חישוב אובדן ההכנסות התוצאתי, ודרישת אישור קיום ביטוחים בחוזה איתו קובעת לעיתים את גבול האחריות.

מה בדיוק השתנה בחיתום הסייבר לחברות תוכנה

עד לפני כמה שנים שאלון הסייבר הכיל עשרים שאלות רחבות על אופי הפעילות ועל היקף המידע. היום הוא בודק בקרות ספציפיות ומבקש ראיות עליהן, בדומה לתהליך בדיקת ספק שמפעיל לקוח ארגוני גדול. השינוי נובע מניסיון תביעות: שוק החיתום למד אילו בקרות מקטינות נזק אמיתי, ומתמחר לפיהן.

החתם בונה שתי הערכות במקביל, אחת לתדירות ואחת לחומרה. תדירות נגזרת ממשטח התקיפה החיצוני, מהיגיינת הזהות ומהמהירות שבה הארגון מגלה חדירה. חומרה נגזרת מהיקף המידע האישי שבידי החברה ומהמהירות שבה השבתה מתורגמת לאובדן הכנסות. נתוני 2026 מצביעים על עלות ממוצעת של כ-5 מיליון דולר לפרצת נתונים, שיא, עלייה של 12%. על פי נתוני 2026, עלות פרצת נתונים בארה"ב גבוהה מפי שניים מהממוצע העולמי. עבור חברת תוכנה ישראלית שרוב לקוחותיה אמריקאים הנתון הזה מתרגם ישירות לגבול האחריות שכדאי לבקש. חלק מהחתמים סורקים את משטח התקיפה החיצוני של המועמדת עוד לפני השיחה הראשונה, ומגיעים אליה עם רשימת ממצאים מוכנה.

שאלות החיתום דומות למדי בין ערוצים שונים, בין השאר מפני שחלק ניכר מהיכולת המקצועית בענף מרוכז בשוק לוידס. חברה שמכינה תשובה אחת מסודרת יכולה להשתמש בה מול כמה מציעים ולהשוות תנאים על בסיס זהה.

השאלות הטכניות ומה עומד מאחוריהן

כל שאלה בשאלון בודקת תרחיש נזק מסוים, ולא ממלאת סעיף. מי שמזהה את התרחיש שמאחורי השאלה עונה בצורה שמורידה את הסיכון הנתפס, ומי שמסמן כן או לא מקבל את הפרשנות השמרנית.

אימות רב-שלבי: על אילו נכסים הוא נאכף

תשובת כן על אימות רב-שלבי כמעט לא מזיזה את התמחור. החתם מבקש לדעת אם האכיפה חלה על תיבות הדואר, על הגישה מרחוק, על מסופי הניהול של הענן, על מאגרי הקוד ועל ממשקי הניהול הפנימיים, ואם נותרו חשבונות מורשת שהוחרגו מהמדיניות. חשבון שירות ישן אחד ללא אימות הוא הנתיב שהתוקפים מחפשים, והוא גם הפרט שיצוץ בחקירה אחרי אירוע.

גיבויים: המבחן הוא מועד השחזור האחרון

השאלה שמפרידה בין ארגונים היא מתי בוצע שחזור מלא מגיבוי וכמה זמן הוא ארך. חתמים מחפשים עותק בלתי ניתן לשינוי, מנותק או מופרד מהרשת התפעולית, כזה שכלי ההצפנה של התוקף לא יכלו להגיע אליו. יעד זמן התאוששות שנרשם במסמך ומעולם לא נבדק מתקבל כהצהרה בלבד.

הצפנה וניהול מפתחות

השאלה מכסה מידע במנוחה ומידע במעבר, אבל המשקל האמיתי נמצא בניהול המפתחות. חתם ישאל מי מחזיק את המפתחות, האם קיים תהליך רוטציה מתועד, והאם מפתחות ייצור מופרדים מסביבות פיתוח. ארגון שמנהל מפתחות בשירות ייעודי של ספק הענן עם הפרדת תפקידים נמצא במקום טוב יותר מארגון שמחזיק אותם בקובץ תצורה.

תגובה לאירוע: תוכנית שנבדקה בתרגיל

תוכנית תגובה לאירוע נמדדת לפי מועד התרגיל האחרון ולפי זהות האחראי. החתם ישאל מי מחליט על השבתת מערכת, מי מדבר עם הלקוחות ועם הרשות להגנת הפרטיות, ומי מוסמך לאשר הוצאה בשעה הראשונה. נתוני 2026 מראים שזמן הזיהוי והבלימה הממוצע עלה לכ-247 ימים, וכל יום כזה מתגלגל לתוך עלות התביעה.

ניהול פגיעויות, עדכונים והרשאות

שתי המשפחות האלה נבדקות יחד מפני שהן מתארות את אותה משמעת תפעולית. בצד הפגיעויות החתם ישאל מהו זמן היעד לתיקון חולשה בחומרה גבוהה, באיזו תדירות רצה סריקה, והאם היא מכסה גם ספריות צד שלישי. בצד ההרשאות הוא ישאל כמה זמן לוקח לשלול גישה של עובד שעזב, והאם גישה מורשית מנוהלת במערכת נפרדת עם תיעוד. תשובה שמסתמכת על תהליך ידני בלי בקרה אוטומטית נקראת כסיכון פתוח.

מה להכין מראש מול כל נושא בחיתום

הטבלה מרכזת את תשעת הנושאים שחוזרים כמעט בכל שאלון סייבר לחברת תוכנה, את מה שהחתם באמת מנסה ללמוד מכל אחד מהם, את המסמך שכדאי להביא איתכם ואת הדגל האדום שמייקר תנאים.

מה החתם שואל בכל נושא, מה להכין ומה נחשב דגל אדום:

נושא בחיתום מה החתם באמת שואל מה להכין מראש דגל אדום
אימות רב-שלבי על אילו מערכות האכיפה חלה, ואילו חשבונות הוחרגו צילום מדיניות האכיפה מספק הזהויות ורשימת חריגים מאושרת אימות שזמין למשתמשים ולא נאכף במדיניות, לצד חשבונות מורשת פתוחים
גיבויים ושחזור מתי בוצע שחזור מלא, כמה זמן הוא ארך והאם העותק מנותק דוח מבחן השחזור האחרון עם תאריך ומשך, ותיאור העותק הבלתי ניתן לשינוי גיבוי שנשמר באותה סביבה ותחת אותן הרשאות כמו מערכות הייצור
הצפנה וניהול מפתחות מי מחזיק את המפתחות ואיך מתבצעת רוטציה נוהל ניהול מפתחות והפרדה מתועדת בין ייצור לפיתוח מפתחות בקובצי תצורה או בהיסטוריית מאגר הקוד
תגובה לאירוע מתי נערך התרגיל האחרון ומי מוביל את האירוע תוכנית עם בעלים ועץ הסלמה, לצד פרוטוקול התרגיל האחרון תוכנית שנכתבה לשאלון קודם ולא עודכנה מאז
ניהול פגיעויות ועדכונים זמן היעד לתיקון חולשה בחומרה גבוהה ותדירות הסריקה מדיניות תיקון לפי חומרה ודוח סריקה תקופתי תיקונים שמבוצעים לפי פניות לקוחות בלבד
ניהול גישה והרשאות כמה זמן לוקח לשלול גישה של עובד שעזב נוהל כניסה ועזיבה ורשימת חשבונות מורשים מעודכנת הרשאות מנהל רוחביות לכל צוות הפיתוח בסביבת הייצור
היקף מידע אישי כמה רשומות, באילו מדינות ואילו סוגי מידע רגיש מיפוי מאגרים לפי סוג מידע, מיקום אחסון והיקף רשומות הערכה בעל פה בלי מיפוי כתוב ובלי בעלים לנתון
תלות בענן ובצד שלישי מי הספקים החיוניים ומה קורה בהשבתה ממושכת רשימת ספקים חיוניים, זמני התאוששות חוזיים ותוכנית המשכיות תלות בספק יחיד בלי תרחיש חלופי כתוב
הכנסות וריכוזיות לקוחות מהו מחזור ההכנסות והאם לקוח בודד עובר חמישית ממנו דוח הכנסות לפי לקוח ואומדן אובדן הכנסות ליום השבתה חישוב הכנסה ליום שלא נעשה מעולם

מידע אישי, תלות בענן וריכוזיות לקוחות

שלושת הנושאים האלה קובעים את החומרה, ולכן הם קובעים את גבול האחריות ואת מחיר הכיסוי לאובדן הכנסות. חברת תוכנה שמחזיקה מיליוני רשומות עבור לקוחות ארגוניים בארה"ב ובאירופה מתומחרת אחרת מחברה שמחזיקה מאות אלפי רשומות בישראל בלבד.

לקוח בודד שמייצר יותר מחמישית מההכנסות הופך את אובדן ההכנסות התוצאתי מתרחיש סטטיסטי לתרחיש קונקרטי.

תלות בענן נבחנת בשתי שכבות: מה קורה כשספק התשתית הראשי מושבת, ומה קורה כשספק SaaS שיושב בליבת השירות מושבת. חתם ישאל אם קיימת ארכיטקטורה רב-אזורית ומה זמן ההתאוששות שהספק התחייב לו בחוזה. חברות רבות מגלות בשלב הזה שמעולם לא חישבו הכנסה ליום השבתה, ובלי המספר הזה קשה לנמק בקשה לגבול אחריות גבוה.

מה הרגולציה הישראלית מוסיפה לשאלון

חברה ישראלית נבחנת גם מול תקנות הגנת הפרטיות (אבטחת מידע), שמחייבות מסגרת ניהולית שלמה סביב המאגר. התקנות דורשות מסמך הגדרות מאגר, נוהל אבטחת מידע, סקר סיכונים תקופתי בהתאם לרמת האבטחה, בקרת הרשאות ומינוי ממונה אבטחת מידע בארגונים מסוימים, וכן דיווח לרשות להגנת הפרטיות על אירוע אבטחה חמור. תיקון 13 לחוק הגנת הפרטיות חיזק את סמכויות האכיפה של הרשות, ולכן התיעוד הפנימי הפך לנכס גם מול הרגולטור וגם מול החתם.

הטבלה הבאה ממפה את מקורות החובה שמופיעים בפועל בשאלוני חיתום לחברות תוכנה ישראליות.

עוגנים רגולטוריים וחוזיים ואיך הם מתורגמים לשאלת חיתום:

מקור החובה מה נדרש בפועל איך זה מופיע בשאלון החיתום
תקנות הגנת הפרטיות (אבטחת מידע) מסמך הגדרות מאגר, נוהל אבטחה, סקר סיכונים תקופתי ובקרת הרשאות שאלה על מסגרת ניהולית מתועדת ועל בעלים אחראי לאבטחת המידע
חובת הדיווח לרשות להגנת הפרטיות דיווח על אירוע אבטחה חמור והפעלת נוהל התראה מסודר שאלה על מסלול הדיווח הרגולטורי בתוך תוכנית התגובה לאירוע
תיקון 13 לחוק הגנת הפרטיות הרחבת סמכויות האכיפה והגברת משקל התיעוד הפנימי שאלה על מוכנות לביקורת ועל חלוקת אחריות ניהולית
GDPR בסיס חוקי לעיבוד, הסכמי עיבוד מידע וחובת הודעה על אירוע שאלה על לקוחות באירופה ועל היקף הרשומות האירופיות
NIS2 ו-DORA ניהול סיכוני ספקי ICT וחוסן תפעולי אצל גופים מפוקחים באירופה שאלה על מכירה לבנקים, למבטחים ולתשתיות מפוקחות באירופה
SOC 2 ו-ISO 27001 דוח אימות של פירמת רואי חשבון עצמאית, או תקן מוסמך למערכת ניהול שאלה על תחולת הבקרות ועל התקופה שהדוח מכסה
NIST ו-OWASP מסגרות עבודה לבקרות אבטחה ולפיתוח מאובטח שאלה על התקן שלפיו נבנתה תוכנית האבטחה של החברה
אישור קיום ביטוחים התאמת גבולות, ענפים וסעיפים לדרישת החוזה עם הלקוח שאלה על דרישות ביטוח חוזיות שקובעות את גבול האחריות

איפה שאלון החיתום פוגש את החוזה עם הלקוח

דרישות הביטוח בחוזה עם לקוח ארגוני קובעות לעיתים קרובות את גבול האחריות יותר מכל הערכת סיכון פנימית. סעיף שמחייב כיסוי סייבר ואחריות מקצועית בגבול מסוים, בתוספת אישור קיום ביטוחים בנוסח שהלקוח דורש, הופך את הפוליסה לתנאי מסחרי לסגירת העסקה. הברוקר (LAMDA Broking) והיועץ המשפטי משווים את נוסח הפוליסה מול סעיפי החוזה, כדי לאתר פערים בין מה שהחוזה דורש לבין מה שהנוסח מספק.

פער נפוץ נוגע להגדרת אירוע מכוסה מול הגדרת הפרת אבטחה בחוזה, ולתקופת ההמתנה בכיסוי אובדן הכנסות. חוזה שמבטיח זמינות של 99.9% מול פוליסה עם תקופת המתנה של שתים עשרה שעות מייצר פער שנופל על החברה. בדיקה מוקדמת של שני המסמכים יחד חוסכת משא ומתן מחודש בעיצומו של אירוע.

טעויות נפוצות

  • מסמנים כן על אימות רב-שלבי כשהוא זמין למשתמשים ולא נאכף במדיניות.
  • מציגים גיבוי יומי כהוכחת התאוששות, בלי מבחן שחזור מתועד עם תאריך ומשך, ואז מגלים באירוע כופר שהעותק היה נגיש לאותן הרשאות שהצפינו את סביבת הייצור.
  • מתייחסים ל-SOC 2 כאל תעודת הסמכה. מדובר בדוח אימות שמנפיקה פירמת רואי חשבון עצמאית מול קריטריוני AICPA, על תקופה מוגדרת ועל בקרות שהארגון עצמו הגדיר.
  • ממלאים את השאלון בצוות הכספים בלי מנהל אבטחת המידע, ושולחים תשובות שהצוות הטכני היה מנסח אחרת.
  • מדווחים על מספר רשומות המידע האישי מהזיכרון, בלי מיפוי מאגרים כתוב.
  • מגיעים לחידוש שבוע לפני תום התקופה, כשכבר אין זמן לתקן ממצא שהחתם מסמן.
  • מדלגים על חישוב ההכנסה ליום השבתה, ואז מבקשים גבול אחריות בלי בסיס מספרי.
  • חותמים על חוזה עם דרישת ביטוח שלא נבדקה מול נוסח הפוליסה הקיים.

צ׳ק־ליסט מקצועי

  1. אכפו אימות רב-שלבי על תיבות הדואר, על הגישה מרחוק, על מסופי ניהול הענן ועל מאגרי הקוד, והפיקו דוח חריגים.
  2. סגרו חשבונות מורשת וחשבונות שירות ללא אימות, ותעדו כל חריג שנשאר עם נימוק ותאריך בדיקה חוזרת.
  3. בצעו מבחן שחזור מלא אחת לרבעון, ורשמו את המשך ואת אחוז הנתונים שהתאוששו.
  4. החזיקו עותק גיבוי בלתי ניתן לשינוי, מופרד מהרשאות סביבת הייצור.
  5. כתבו נוהל ניהול מפתחות עם רוטציה, והפרידו מפתחות ייצור מסביבות פיתוח ובדיקות.
  6. הריצו תרגיל שולחן לתגובה לאירוע אחת לשנה, בהשתתפות נציג הנהלה ונציג משפטי.
  7. הגדירו בתוכנית התגובה את מסלול הדיווח לרשות להגנת הפרטיות ואת מי שמאשר אותו.
  8. קבעו זמני יעד לתיקון חולשות לפי חומרה, ומדדו את העמידה בהם מדי חודש.
  9. קצרו את זמן שלילת הגישה של עובד שעזב ליום עסקים אחד, וגבו את התהליך בבקרה אוטומטית.
  10. מפו את מאגרי המידע האישי לפי סוג מידע, מיקום אחסון והיקף רשומות, ועדכנו את המיפוי אחת לחצי שנה.
  11. חשבו את ההכנסה ליום השבתה, ובנו על בסיסה את גבול האחריות המבוקש.
  12. רשמו את הספקים החיוניים ואת זמני ההתאוששות שהתחייבו להם בחוזה מולכם.
  13. השוו את דרישות הביטוח בחוזי הלקוחות מול נוסח הפוליסה לפני החתימה על החוזה.
  14. פתחו את שאלון החיתום מול צוות האבטחה תשעים יום לפני מועד החידוש.
  15. שמרו תיקיית ראיות אחת שמרכזת את כל המסמכים שהחתם ביקש בשנה שעברה.

שאלות נפוצות

האם אפשר לקבל ביטוח סייבר בלי אכיפת אימות רב-שלבי מלאה?

ברוב הערוצים היום אכיפת אימות רב-שלבי על הדואר ועל מסופי ניהול הענן היא תנאי סף. חברה שחסרה אכיפה על חלק מהנכסים עדיין יכולה לקבל הצעה, בדרך כלל עם השתתפות עצמית גבוהה יותר או עם תנאי מתלה שמחייב השלמה בתוך תשעים יום. המסלול המעשי הוא להשלים את האכיפה לפני ההגשה, מפני שעלות ההשלמה נמוכה בדרך כלל מהפער בפרמיה.

כמה זמן לוקח להיערך לשאלון חיתום?

ארגון שכבר מפעיל את הבקרות מסיים בשבועיים, ורוב העבודה היא איסוף ראיות. ארגון שצריך להשלים אכיפת אימות ומבחן שחזור זקוק לשישים עד תשעים יום, מפני שחלק מהראיות דורשות פעולה אמיתית ולא מסמך. שחזור צריך להתבצע, ותרגיל תגובה צריך להיערך לפני שאפשר לצרף פרוטוקול. פתיחת התהליך שלושה חודשים לפני החידוש נותנת מרווח לתיקון ממצאים.

מה ההבדל בין דוח SOC 2 לבין שאלון החיתום?

SOC 2 הוא דוח אימות שמנפיקה פירמת רואי חשבון עצמאית מול קריטריוני AICPA, על תקופה מוגדרת ועל בקרות שהארגון עצמו בחר להצהיר עליהן. שאלון החיתום בודק נקודות שקשורות ישירות לתרחישי הנזק שהמבטח נושא בהם, ולכן הוא צולל לפרטים שלא תמיד מופיעים בדוח. דוח קיים מקצר את הדיון ומחזק את האמון, ואינו מחליף את התשובות הטכניות.

האם דרישת ביטוח בחוזה עם לקוח משנה את הכיסוי שצריך?

לעיתים קרובות היא קובעת אותו. סעיף ביטוח בחוזה ארגוני מגדיר גבול אחריות, ענפים נדרשים ולעיתים גם נוסח מחייב של אישור קיום ביטוחים. חברה שחותמת על החוזה לפני שבדקה את הדרישה מול הפוליסה מגלה את הפער בשלב שבו הלקוח כבר מצפה לאישור חתום. השוואת שני המסמכים לפני החתימה מונעת את המצב הזה.

מה נדרש מהדירקטוריון בנושא סייבר?

כללי הגילוי של ה-SEC משנת 2023 מחייבים חברות ציבוריות לתאר את אופן הפיקוח של הדירקטוריון על סיכוני סייבר. ההצעה לחייב גילוי על מומחיות סייבר בקרב חברי הדירקטוריון הוסרה מהנוסח הסופי. בחברות פרטיות עם משקיעים ולקוחות ארגוניים הציפייה דומה במהות: דיון מתועד בפרוטוקול, מדדים שמוצגים להנהלה ותוכנית טיפול עם לוחות זמנים.

האם תלות בספק ענן יחיד פוסלת כיסוי לאובדן הכנסות?

היא לא פוסלת, אבל היא משנה את התמחור ואת ההגדרות. חתמים בוחנים את משך ההשבתה שממנו מתחיל הכיסוי ואת התלות בשירותי צד שלישי שיושבים בליבת המוצר. חברה שמציגה תרחיש חלופי כתוב ותכנון התאוששות מקבלת בדרך כלל תקופת המתנה קצרה יותר. חברה בלי תשובה מסודרת מקבלת תת-גבול לאירוע שמקורו אצל ספק.

מה קורה כשעונים לחתם שהנושא נמצא בתהליך?

תשובה כזאת מתומחרת לפי התרחיש הגרוע, מפני שהחתם אינו יכול לאמת מה כבר קיים. עדיף לפרט מה הושלם, מה נותר ומה לוח הזמנים לסיום, ולצרף מסמך שמראה התקדמות אמיתית. חתמים מקבלים תוכנית עבודה עם תאריכים, ולעיתים מוכנים להעניק תנאי מתלה במקום החרגה. תשובה מעורפלת בלי תאריך יעד נקראת כסיכון פתוח.

תנאי ביטוח הסייבר של חברת תוכנה נקבעים לפי הבקרות שהיא יכולה להוכיח בתיעוד ביום הגשת השאלון, ולא לפי אלה שהיא מתכננת להפעיל אחריו.

האמור לעיל הוא מידע כללי בלבד ואין בו משום ייעוץ ביטוחי, משפטי או מקצועי אחר. תנאי הכיסוי, ההחרגות והחובות נקבעים בנוסח הפוליסה הספציפי ובכפוף לדין החל. יש לבחון כל מקרה לגופו מול נוסח הפוליסה ומול יועץ מוסמך.