# אילו הרשאות גישה לתת לספקים לרשתות ולמערכות הבקרה שלנו?

תמיר חסון · עדכון 2026-10-07

התחילו במיפוי: מי מתחבר, לאיזו מערכת ולשם מה. בטלו הרשאות גישה שאין להן הצדקה. לספקים שעדיין זקוקים לגישה, אפשרו חיבורים מבוקרים: באישורכם, באמצעות חשבונות אישיים מזוהים, עם תיעוד ומגבלת זמן. ספקים מסכימים לכך לעיתים קרובות יותר מכפי שמשתמע מהחוזה הסטנדרטי שלהם.

## קודם כול, להבין אילו חיבורים עוברים בין הרשתות

חלוקת הרשת למקטעים עלולה לנתק חיבורים שלא תועדו. תקליטו תעבורה בפועל בין המפעל למשרד במשך כמה שבועות לפני שמישהו משרטט ארכיטקטורת יעד. תמפו כל חשבון וחיבור חיצוני, לאיזו מערכת הוא מגיע ומי האחראי העסקי עליו.

אחר כך תחליטו לגבי כל נתיב: חוק בפיירוול, שידור החוצה בלבד, או ביטול, עם אחראי מוגדר לכל אחד. תתזמנו את המעבר לחלונות תחזוקה מסודרים, עם תוכנית נסיגה לכל אזור. שמרו על התכנון בנפרד מחוזה הרכש של הציוד, כדי שקטלוג של ספק בודד לא יעצב לכם את המערכת.

## גישה מבוקרת במקום לחתוך או להשאיר פתוח

כשספק לוחץ על חיבור פתוח קבוע, תציעו חיבורים שהמפעל יוזם, בנתיב מאושר, עם חשבונות משתמש אישיים ומזוהים, הקלטת פעולות ומגבלת זמן. תוסיפו נוהל חירום עם אישור מהיר, כדי שהתמיכה לא תיתקע. תעגנו את זה בחוזה.

כשפרויקט ניתוח נתונים מחייב הקלה בבידוד הרשת, תבקשו מהספק להציג את התרחיש קודם כל על גבי הזנה חד-כיוונית מאושרת החוצה. עבור תוכנה שאתם קונים, תדרשו פירוט רכיבי צד-שלישי שקשורים ישירות לגרסה שסופקה. אחרי זה תבדקו איך הספק מתחקה אחר התרעת אבטחה ומשייך אותה לגרסאות שנפגעו.

## לפי המצב שהוביל לבדיקה

אם הבדיקה נדרשת בעקבות ממצאי ביקורת, תגדירו את תנאי הסגירה יחד עם המבקר לפני שמתחילים לעבוד. אם פריצה חדרה דרך ספק, תתקנו את מודל ההרשאות לפני שרוכשים מערכת לניהול סיכונים או מפיצים שאלונים. תמפו כל כשל באירוע לבקרה שהייתה צריכה להופיע בחוזה.

אם אתם מנסחים תנאי אחסון או תמיכה לקראת חידוש, תקשרו אותם לרגישות המידע. תגדירו איך תבדקו כל סעיף, באמצעות ראיות, בדיקות מעשיות או ביקורת, כי דרישה שאף אחד לא בודק היא רק משאלת לב.

## מה לבדוק לפני שמחליטים

- למפות כל חשבון וחיבור חיצוני, עם המערכת שאליה הוא נכנס והאחראי העסקי שלו.
- להקליט תעבורה אמיתית על התפר שבין רשת המפעל למשרדים במשך שבועות לפני שמתכננים את היעד.
- למחוק או להקפיא גישות שאין להן בעלים או שלא היו בשימוש לאחרונה, ולדווח מה הוסר.
- לדרוש סשנים באישור המפעל, חשבונות שמיים, אימות חזק, הקלטה והגבלת זמן עבור הספקים שנשארים.
- לקבוע תהליך גישת חירום עם זמני אישור קצרים, כדי לא לעכב את התמיכה.
- לעגן בחוזים סעיפי מיקום, הצפנה, רישום לוגים, הודעה על פריצה, זכויות ביקורת וקבלני משנה, ואיך תוודאו כל אחד מהם.
- לבקש מהספקים רשימת רכיבים המקושרת לגרסה שסופקה, ולברר איך הם מתריעים על גרסאות פגיעות.

## שאלות נפוצות

### הביקורת קבעה שרשתות ה-OT וה-IT לא מופרדות, איך מתכננים סגמנטציה בלי להשבית את המפעל?

מתחילים ממיפוי של מה מתקשר עם מה על פני התפר, כי סגמנטציה שוברת חיבורים שאף אחד לא תיעד. תתזמנו את המעבר להשבתות מתוכננות ותכינו תוכנית חזרה למצב הקודם לכל מקטע. זה תלוי בכמות החיבורים הלא מתועדים ובשאלה אם ספקי הבקרה ישתפו פעולה עם השינוי.

### חדירה התרחשה דרך גישה של ספק למערכות שלנו, איך נכון לנהל גישות ספקים מעכשיו?

מתחילים ממיפוי של מי מתחבר, לאן ובשביל מה, ומבטלים הרשאות גישה שאין להן הצדקה. אחרי זה מיישמים את הבסיס על מה שנשאר: חשבונות משתמש אישיים ומזוהים, אימות חזק, מינימום הרשאות הכרחי והגבלות זמן. שאלונים מגיעים רק אחר כך. זה תלוי במספר הספקים המחוברים ובמערכות שאליהן הם מגיעים.

### ספק אוטומציה דורש גישה מרחוק קבועה לרשת הבקרה בשביל תמיכה, איך מסכימים על משהו מאובטח?

ספקים מסכימים לגישה מבוקרת בתדירות גבוהה יותר ממה שהחוזה הרגיל שלהם משדר: מבוססת סשנים, באישור המפעל, מוקלטת, דרך שרת קפיצה (jump host), ועם חשבונות שמיים. עגנו את התנאים הללו ישירות בחוזה והציעו הליך אישור מזורז כדי לשמור על תמיכה מהירה. הדבר תלוי במערכות שדורשות ליווי ספק ובהגדרות מדיניות האבטחה אצלכם.

### אחרי פריצה במערכת שמארח ספק חיצוני, אילו דרישות אירוח והגנה כדאי להכניס לכל הסכם?

דרשו בקרות שתוכלו לבדוק בפועל, כמו מיקום המידע, הצפנה, תיעוד גישה, דיווח על אירוע תוך יעד זמנים קצר וברור וזכות לערוך ביקורת, והתאימו אותן לרגישות הנתונים. לאחר מכן ודאו אותן בשטח, כי דרישה שאף אחד לא אוכף נשארת משאלה. העניין נשען על סיווג המידע ועל חלופות האירוח המאושרות בתחום שלכם.

### האם כדאי להגמיש את בידוד הרשת בבית הזיקוק עבור מיזם אנליטיקה?

דרשו הוכחה שהערך העסקי אינו בר-השגה בתוך גבולות הבידוד הקיימים. ההחלטה תלויה במידע שהאנליטיקה באמת מוכרחה לקבל ובחשיפה התפעולית שכל חריגה כזו מייצרת.

### האם נכון לקבל תוכנה בלי שקיפות לרכיבי צד-שלישי קריטיים שבה?

דרשו פירוט רכיבים המקושר לגרסה שסופקה לצד תהליך תחזוקה ברור. לפירוט מלא יש ערך רק אם אתם מסוגלים לזהות גרסאות פגיעות ולקבל מענה מתקן בעת הצורך.

### האם אנחנו חייבים תוכנת סייבר תעשייתית ייעודית או שכלים קיימים יספיקו?

בחרו לפי סיכוני המפעל והאילוצים התפעוליים שחייבים מענה. הדבר תלוי ביכולת מוכחת לזהות מה מתרחש ברשת, באפשרות להפעיל את הכלי בבטחה לצד הציוד הקיים, בזהות האחראי לטיפול באירועים ובפערים שנותרו למרות הבקרות הקיימות.

## איך אני יכול לעזור בהחלטה הזו

- **שאלה או שיחה (ללא עלות):** אתן את דעתי על תנאי הגישה שספקים נוטים להסכים להם, ועל המיפוי שחסר ברבות מהתוכניות.
- **בדיקה והערכה (משלמים רק אם קיבלתם ערך):** אכתוב חוות דעת בלתי תלויה על תכנון הגישה, תנאי הספק או המערכת המוצעת, ביחס למדיניות האבטחה ולצורכי הרציפות התפעולית שלכם. אמליץ על ההיקף, הסדר הנכון והסעיפים שכדאי לחתום עליהם או לפסול.
- **ליווי שוטף (בזמן ובקצב שמתאימים לכם):** אשאר זמין לבחינת תוכניות מעבר, בדיקות הרשאות והוכחות עמידה בתנאים שהספקים מציגים לקראת מועדי חידוש.

## מתלבטים בנושא? כתבו לי

אשיב באופן אישי בתוך שני ימי עסקים, עם כיוון ראשוני.

[כתבו לי על המקרה שלכם](https://1pf.co.il/#q=%D7%94%D7%A1%D7%9B%D7%9D%20%D7%94%D7%AA%D7%9E%D7%99%D7%9B%D7%94%20%D7%A9%D7%9C%20%D7%A1%D7%A4%D7%A7%20%D7%94%D7%90%D7%95%D7%98%D7%95%D7%9E%D7%A6%D7%99%D7%94%20%D7%A9%D7%9C%D7%A0%D7%95%20%D7%9E%D7%97%D7%99%D7%99%D7%91%20%D7%92%D7%99%D7%A9%D7%94%20%D7%9E%D7%A8%D7%97%D7%95%D7%A7%20%D7%A8%D7%A6%D7%99%D7%A4%D7%94%20%D7%9C%D7%A8%D7%A9%D7%AA%20%D7%94%D7%91%D7%A7%D7%A8%D7%94.%20%D7%9C%D7%9E%D7%94%20%D7%90%D7%A0%D7%97%D7%A0%D7%95%20%D7%99%D7%9B%D7%95%D7%9C%D7%99%D7%9D%20%D7%9C%D7%94%D7%A1%D7%9B%D7%99%D7%9D%20%D7%91%D7%91%D7%98%D7%97%D7%94%3F&field=refining&src=guide) · [קביעת שיחה של 45 דקות](https://1pf.co.il/book/)

---

[מדריכים לקבלת החלטות](https://1pf.co.il/guides/) · [דף הבית](https://1pf.co.il/index.md)