שאלון אבטחה של 200 שאלות מלקוח גדול: איך עונים עליו ביושר עם AI וסוגרים את העסקה

זה בדרך כלל מתחיל במייל משמח: “אנחנו רוצים להתקדם איתכם”. בהודעה הבאה, ממחלקת הרכש או מצוות אבטחת המידע של הלקוח, מגיע קובץ אקסל עם כמה לשוניות ו-200 שורות. “האם הארגון מחזיק ב-ISO 27001?”, “תארו את מדיניות ניהול ההרשאות”, “האם מבוצע מבחן חדירה שנתי?”, “מהו ה-RTO וה-RPO שלכם?”. אתם עסק של שלושה אנשים, או פרילנסרים, או סטודיו קטן, ובחצי מהשורות אתם לא בטוחים מה בכלל שואלים.

המדריך הזה מיועד לספקים קטנים: מפתחים, סוכנויות שיווק, יועצים, חברות SaaS בתחילת הדרך ונותני שירות שמקבלים גישה למידע של לקוח. הוא לא יהפוך אתכם למומחי סייבר. הוא כן ייתן לכם שיטה לעבור על השאלון בתוך יום-יומיים של עבודה במקום שבועיים של לחץ, ולהחזיר תשובות שצוות האבטחה של הלקוח יכול לאשר. הנקודה החשובה ביותר: התשובות יהיו כנות. תשובה שמבטיחה משהו שאין לכם היא לא רק שקר. היא הופכת להתחייבות חוזית, ואם יקרה אירוע היא תחזור אליכם.

לפני שפותחים את הקובץ: מה השאלון הזה באמת

השאלון הוא לא מבחן שצריך לקבל בו 100. זה כלי לסינון סיכונים. מי שקורא אותו בצד השני הוא בדרך כלל אנליסט אחד או שניים שמטפלים בעשרות ספקים, וממלאים בשבילם טבלת סיכון. הם לא מצפים שעסק של חמישה אנשים יחזיק SOC 2. הם רוצים לדעת שלושה דברים:

1. לאיזה מידע שלהם תגיעו ואיפה הוא יישמר.
2. האם יש לכם את הבסיס: אימות דו-שלבי, גיבויים, הצפנה, הרשאות לפי צורך ונוהל למקרה של אירוע.
3. האם אתם יודעים מה אתם עושים וכנים לגבי הפערים.

ספק שכותב “לא קיים כרגע, מתוכנן לרבעון הבא, ובינתיים מופעל X” נראה בעיני אנליסט מנוסה הרבה יותר אמין מספק שסימן “כן” על כל 200 השורות. סימון “כן” על הכול נראה מוזר לכל מי שראה כמה שאלונים כאלה.

עוד דבר שכדאי לדעת: הרבה מהשאלונים בנויים על תבניות סטנדרטיות כמו SIG או CAIQ, או על דרישות ISO 27001, או על רשימה פנימית של הלקוח. בהרבה מהן יש שאלות שפשוט לא רלוונטיות לכם, למשל אבטחה פיזית של חדר שרתים כשאין לכם חדר שרתים. “לא רלוונטי” עם הסבר קצר היא תשובה לגיטימית.

בישראל צריך להביא בחשבון גם את חוק הגנת הפרטיות ואת התיקון שנכנס לתוקף באוגוסט 2025 (תיקון 13), ואת תקנות אבטחת מידע. גופים גדולים מחמירים מאז את הדרישות מספקים שמעבדים מידע אישי בשבילם. אם תטפלו במידע אישי של לקוחות הלקוח, צפו לשאלות על כך באופן ספציפי.

שלב 1: מסדרים את סביבת העבודה עם ה-AI (ואת הפרטיות שלה)

לפני שמדביקים משהו לצ’אט, שימו לב לאירוניה: אתם עומדים לענות על שאלון פרטיות, ובאותה הזדמנות להעלות לכלי AI מסמך של לקוח שלפעמים מסומן “חסוי”.

• בדקו את ההגדרות. ב-ChatGPT ובממשק הצרכני של Claude יש בהגדרות אפשרות לקבוע אם השיחות שלכם ישמשו לאימון מודלים. אם אתם על חשבון אישי, כבו אותה. בחשבונות העסקיים (ChatGPT Team/Enterprise, Claude Team/Enterprise, Gemini ב-Google Workspace) ברירת המחדל היא בדרך כלל שהמידע לא משמש לאימון, אבל כדאי לוודא בתנאים של התוכנית שלכם.
• נקו את הקובץ לפני ההעלאה. מחקו את שם הלקוח, שמות אנשי קשר וכל פרט מזהה. את השאלות עצמן אפשר כמעט תמיד להעלות בלי בעיה, כי הן גנריות.
• פתחו פרויקט ייעודי. גם ב-ChatGPT וגם ב-Claude יש “פרויקטים” שבהם אפשר לשמור קבצים והנחיות קבועות. הכניסו לשם “דף עובדות” עליכם (בשלב הבא) והשאלון יתמלא בעקביות.

דף העובדות: הדבר הכי חשוב במדריך הזה

ה-AI לא יודע איך העסק שלכם עובד. אם לא תגידו לו, הוא ימלא את החורים בהנחות, ושם נולדות ההבטחות המסוכנות. לכן לפני כל דבר אחר, הכינו מסמך עובדות קצר בעזרת הפרומפט הזה:

אני ספק קטן שצריך למלא שאלון אבטחת מידע ופרטיות של לקוח גדול.
לפני שנתחיל, ראיין אותי כדי לבנות "דף עובדות" על המצב האמיתי של אבטחת המידע אצלי.

שאל אותי שאלה אחת בכל פעם, בשפה פשוטה, בנושאים האלה:
- כמה אנשים עובדים איתי, מי מהם קבלנים, ומאילו מכשירים הם עובדים
- באילו כלים ושירותי ענן אנחנו משתמשים (מייל, אחסון קבצים, קוד, CRM, תקשורת)
- איפה יישמר המידע של הלקוח, ומי יכול לגשת אליו
- אימות דו-שלבי, מנהל סיסמאות, הצפנת מחשבים
- גיבויים: מה, איפה, כל כמה זמן, והאם ניסינו פעם לשחזר
- מה קורה כשעובד עוזב
- האם היה לנו אירוע אבטחה, ומה עשינו
- האם יש לנו מסמכים כתובים כלשהם (מדיניות, נהלים, חוזים עם ספקי משנה)

חוקים:
- אם אני עונה "לא יודע", רשום "לא ידוע – לבדוק" ואל תניח.
- אל תציע לי תשובות. רק תשאל ותתעד.
- בסוף, סכם הכול בטבלה: נושא | המצב בפועל | יש הוכחה? (כן/לא) | הערות

הבקשה “יש הוכחה?” חשובה. אנליסטים מבקשים לפעמים צילום מסך או מסמך, ועדיף לדעת מראש מה אתם יכולים להראות.

שלב 2: ממיינים 200 שאלות לחמש ערימות

אל תענו על השאלון לפי הסדר. קודם ממיינים. העלו את קובץ האקסל (Claude, ChatGPT ו-Gemini יודעים לקרוא גיליונות) והשתמשו בפרומפט הבא:

מצורף שאלון אבטחת מידע ופרטיות מלקוח, ומצורף גם "דף העובדות" שלי.
אל תענה עדיין על השאלות. קודם מיין כל שאלה לאחת מחמש קטגוריות:

A – יש לי תשובה ברורה ותומכת לפי דף העובדות
B – יש לי חלק מזה (פער חלקי)
C – אין לי את זה בכלל
D – לא רלוונטי לעסק בגודל ובמבנה שלי (הסבר במשפט למה)
E – לא ברור לי / לך מה שואלים או מה המצב אצלי – צריך בירור

החזר טבלה עם העמודות: מספר שאלה | נושא בשתי מילים | קטגוריה | נימוק קצר.
אחרי הטבלה, תן סיכום: כמה שאלות בכל קטגוריה, ו-5 הפערים שהכי סביר שיעניינו את הלקוח.
אם שאלה שואלת שני דברים בבת אחת, פצל אותה.

בדרך כלל מגלים ששליש מהשאלות הן A, שליש B או D, ורק מעט הן באמת C. זה מוריד הרבה מהלחץ. חשוב יותר מזה: ה“סיכום של 5 הפערים” אומר לכם במה להשקיע זמן, ועל זה נדבר בשלב 4.

טיפ שלא רואים בכל מקום: בשאלונים גדולים יש הרבה כפילויות. אותה שאלה על אימות דו-שלבי יכולה להופיע בלשונית “גישה”, שוב בלשונית “ענן” ושוב בלשונית “עבודה מרחוק”. בקשו מה-AI לסמן קבוצות של שאלות כפולות, וכתבו תשובה אחת אחידה. תשובות סותרות לאותה שאלה הן דגל אדום בעיני אנליסט.

שלב 3: מבינים כל סעיף, גם את השאלות המוזרות

עכשיו נכנסים לקטגוריה E ולכל שאלה שאתם לא בטוחים בה. כאן ה-AI ממש טוב: הוא יכול להסביר מונחים כמו RTO, DLP, SIEM, SSO, “סגמנטציה של הרשת” או “data residency” בשפה של בעל עסק.

הסבר לי את השאלה הבאה מתוך שאלון אבטחה של לקוח, כאילו אני בעל עסק קטן בלי רקע ב-IT:

"[הדביקו כאן את השאלה]"

תענה בפורמט הזה:
1. מה שואלים בפועל (במשפט אחד)
2. למה זה מעניין את הלקוח – מה הסיכון שמדאיג אותו
3. מה נחשב תשובה סבירה לעסק בגודל של 3-10 אנשים (לא לארגון)
4. אילו שאלות עליי לשאול את עצמי כדי לדעת מה המצב אצלי
5. האם יש דרך זולה ומהירה לסגור את הפער, אם קיים

אל תניח שום דבר על המצב אצלי.

הסעיף השלישי, “מה נחשב תשובה סבירה לעסק בגודל שלי”, חוסך הרבה. לדוגמה, השאלה “האם יש לכם SIEM עם ניטור 24/7?” נשמעת כמו משהו שאין לכם שום סיכוי לעמוד בו. ה-AI יסביר שעסק קטן יכול לענות בכנות שאין לו SIEM, ושבמקום זה הוא משתמש בהתראות האבטחה המובנות של Google Workspace או Microsoft 365 ובודק התראות על כניסות חשודות. זו תשובה אמיתית לחלוטין.

אזהרה: כשה-AI מסביר תקן או חוק, למשל מה בדיוק דורשות תקנות אבטחת מידע לרמת אבטחה מסוימת, התייחסו להסבר כנקודת פתיחה ולא כחוות דעת משפטית. בכל שאלה שבה התשובה שלכם תלויה בפרט משפטי, בדקו את המקור או שאלו עורך דין או יועץ פרטיות.

שלב 4: עונים ביושר, עם נוסחה ולא עם “כן” גורף

זה לב המדריך. לכל תשובה, במיוחד בקטגוריות B ו-C, השתמשו במבנה של ארבעה חלקים:

1. המצב היום: מה קיים בפועל.
2. מה לא קיים: נאמר במפורש.
3. בקרה מפצה: מה אתם עושים במקום זה כדי להפחית את הסיכון.
4. תוכנית: מה יקרה ומתי, אבל רק אם אתם באמת מתכוונים לעשות את זה.

הפרומפט:

כתוב טיוטת תשובה לשאלה הבאה בשאלון האבטחה, על סמך דף העובדות בלבד.

שאלה: "[השאלה]"
קטגוריה שסימנו: [A/B/C/D]

חוקים מחייבים:
- אל תכתוב שום דבר שלא מופיע בדף העובדות. אם חסר מידע, כתוב [חסר: ___] במקום לנחש.
- אל תשתמש במילים "תמיד", "מלא", "מובטח", "100%", "בהתאם לכל התקנים" אלא אם זה מוכח.
- אל תזכיר תקן או הסמכה (ISO, SOC 2 וכו') שאין לנו.
- במקרה של פער: ציין אותו במפורש, הוסף בקרה מפצה אם קיימת, ותוכנית רק אם סימנתי שיש כזו.
- אורך: 1-3 משפטים. עניני, בגוף ראשון רבים, בשפה של השאלון (אם השאלון באנגלית – ענה באנגלית).

אחרי הטיוטה, כתוב שורה נפרדת: "סיכון התחייבות:" ופרט אם יש בתשובה משהו שהלקוח עלול לראות בו התחייבות חוזית.

שורת “סיכון ההתחייבות” חשובה מאוד. תשובות לשאלונים כאלה מצורפות לפעמים לחוזה כנספח. אם כתבתם “הנתונים מוצפנים בכל שלב”, זו עכשיו התחייבות שלכם.

דוגמאות: לפני ואחרי

שאלה: האם מבוצעים מבחני חדירה שנתיים על ידי גורם חיצוני?

❌ “כן, אנו מקפידים על בדיקות אבטחה תקופתיות.” (מעורפל, מטעה, ולא עונה על השאלה)

✅ “לא בוצע עד היום מבחן חדירה חיצוני. המערכת מבוססת על פלטפורמה מנוהלת [שם], שאחראית לאבטחת התשתית, ואנו מריצים סריקת תלויות אוטומטית בכל שינוי קוד. אנו בוחנים מבחן חדירה ממוקד לפני העלייה לסביבת הייצור של הפרויקט, ונשמח לתאם את היקפו עמכם.”

שאלה: האם יש לכם תוכנית להמשכיות עסקית (BCP) ותוכנית התאוששות מאסון (DRP)?

✅ “אין לנו מסמך BCP/DRP פורמלי. נתוני הפרויקט נשמרים ב-[שירות ענן] עם גיבוי יומי אוטומטי, ובדקנו שחזור לאחרונה ב-[תאריך]. זמן השחזור המשוער הוא עד יום עבודה אחד. נצרף נוהל התאוששות של עמוד אחד עד [תאריך].”

שימו לב: “נצרף עד תאריך” נכתב רק אם אתם באמת עומדים לעשות את זה. אם לא, אל תכתבו את המשפט.

בדיקת עקביות לפני שליחה

כשכל התשובות מוכנות, הריצו בדיקה בשיחה חדשה. אפשר גם בכלי אחר: אם כתבתם ב-ChatGPT, בדקו ב-Claude או ב-Gemini. עין “רעננה” שלא כתבה את הטקסט תופסת יותר טעויות.

אתה אנליסט אבטחת מידע בחברה גדולה שבודק ספק קטן. לפניך התשובות שהספק מילא, ודף העובדות שלו.
1. מצא תשובות שסותרות זו את זו.
2. מצא תשובות שמבטיחות יותר ממה שדף העובדות תומך בו.
3. מצא תשובות מעורפלות שהיית שולח עליהן שאלת המשך.
4. ציין 5 שאלות המשך שסביר שתשאל בשיחה עם הספק.
היה ביקורתי. אל תחמיא.

סעיף 4 מכין אתכם לשיחת הטלפון עם צוות האבטחה, שבדרך כלל מגיעה אחרי שליחת השאלון.

שלב 5: מדיניות אבטחת מידע של עמוד אחד

כמעט בכל שאלון יש שורה: “צרפו את מדיניות אבטחת המידע של הארגון”. אין לכם מדיניות? עמוד אחד שמתאר את מה שאתם באמת עושים עדיף בהרבה על מסמך של 30 עמודים שהורדתם מהאינטרנט ואף אחד אצלכם לא קרא.

על סמך דף העובדות בלבד, כתוב "מדיניות אבטחת מידע ופרטיות" של עמוד אחד (עד 450 מילים) לעסק שלי.

מבנה:
- מטרה והיקף (2 משפטים)
- אחריות: מי אחראי על אבטחת המידע (שם תפקיד)
- גישה והרשאות: אימות דו-שלבי, מנהל סיסמאות, הרשאות לפי צורך, הסרת גישה בעזיבה
- מכשירים: הצפנה, נעילת מסך, עדכונים
- מידע של לקוחות: איפה נשמר, מי ניגש, מחיקה בסיום התקשרות
- ספקי משנה: רשימת השירותים העיקריים
- גיבוי ושחזור
- אירוע אבטחה: מה עושים, ותוך כמה זמן מעדכנים לקוח
- שימוש בכלי AI: איזה מידע מותר ואסור להכניס
- סקירה: המסמך נבדק פעם בשנה, תאריך עדכון אחרון

חוקים: כתוב רק מה שאנחנו עושים בפועל, בלשון "אנו" ובזמן הווה. מה שעדיין לא קיים – אל תכלול. 
בסוף, תן לי רשימה נפרדת של "דברים שכדאי להוסיף למדיניות ברגע שתיישמו אותם".

שני דברים שרוב הספקים מפספסים:

• סעיף שימוש בכלי AI. מאז 2024 יותר ויותר לקוחות שואלים במפורש אם אתם מעבירים את המידע שלהם לכלי בינה מלאכותית. אם יש לכם מדיניות מוכנה (“אנו משתמשים בתוכנית עסקית של X שבה המידע לא משמש לאימון, ולא מעלים מידע אישי מזהה של לקוחות”), אתם נראים מקצועיים במיוחד.
• זמן הודעה על אירוע. לקוחות גדולים רוצים לשמוע מכם מהר. כתבו מספר שאתם באמת יכולים לעמוד בו, למשל 72 או 48 שעות מרגע הגילוי. בדקו מה כתוב בחוזה של הלקוח, כי לפעמים הוא כבר קובע מספר.

שלב 6: סוגרים את העסקה

שאלון שמחזירים כקובץ אקסל בלי מילה נוספת מזמין עוד סבב של שאלות. ארזו אותו בחבילה:

1. השאלון המלא.
2. מדיניות של עמוד אחד (PDF עם תאריך).
3. רשימת ספקי משנה: איזה שירות, לאיזו מטרה, ואיפה נשמר המידע.
4. מכתב נלווה קצר שמציג את הפערים בעצמכם, לפני שהאנליסט ימצא אותם.

כתוב מייל נלווה קצר (עד 180 מילים) לצוות אבטחת המידע של הלקוח, שמצורף לשאלון המלא.
המייל צריך:
- לציין שמילאנו את כל השאלות ושהתשובות משקפות את המצב בפועל
- להציג במשפט-שניים את גודל העסק ואת היקף הגישה שנקבל למידע שלהם
- לרכז את 3 הפערים העיקריים שלנו, ולכל אחד – בקרה מפצה ותאריך יעד (רק כשקיים)
- להציע שיחה של 20 דקות להשלמת פרטים
טון: מקצועי, ענייני, בטוח בעצמו, בלי התנצלויות ובלי שיווק.

הטיפ שהכי משפיע על קבלת אישור: הקטינו את היקף הגישה. אם הלקוח מודאג כי תהיה לכם גישה למערכות שלו, הציעו לעבוד רק דרך חשבונות שהוא מנהל ויכול לסגור בכל רגע, או רק על נתונים מדומים, או בלי גישה למידע אישי בכלל. ספק שלא נוגע במידע רגיש מקבל רמת סיכון נמוכה ושאלון קל הרבה יותר. לפעמים אפשר לבקש שאלון מקוצר רק בגלל זה. כדאי לשאול: “בהינתן שלא נקבל גישה למידע אישי, האם יש גרסה מקוצרת של השאלון?”

ובסוף, שמרו ספריית תשובות. אחרי שהשאלון יוצא, שמרו טבלה של “שאלה גנרית ← תשובה מאושרת” בתוך הפרויקט שלכם ב-Claude או ב-ChatGPT. השאלון הבא ייקח שעתיים במקום יומיים. עדכנו את הספרייה בכל פעם שמשהו משתנה, למשל אם הפעלתם אימות דו-שלבי לכולם או ביצעתם מבחן חדירה.

טעויות נפוצות

• לסמן “כן” כי “בערך יש לנו”. “כן” על “האם המידע מוצפן במנוחה?” כשאתם רק מניחים שספק הענן עושה את זה. בדקו או כתבו בדיוק מה ידוע לכם.
• לתת ל-AI לנסח בלי דף עובדות. בלי עובדות הוא יכתוב תשובות שנשמעות מקצועיות ויתארו עסק אחר, גדול ומסודר יותר משלכם. זו הדרך המהירה ביותר להתחייבות שקרית.
• להעתיק מדיניות של 30 עמודים מתבנית. אנליסט ישאל “איך אתם מיישמים את סעיף 7.4?”, ולא תדעו מה לענות. גרוע מזה, המסמך מחייב אתכם.
• לטעון שאתם עומדים בתקן שאין לכם. “אנו פועלים בהתאם ל-ISO 27001” בלי הסמכה נקרא כטענה להסמכה. אם עשיתם עבודה ברוח התקן, כתבו “חלק מהבקרות שלנו מבוססות על עקרונות ISO 27001, ואיננו מוסמכים”.
• לענות “לא רלוונטי” בלי הסבר. תמיד הוסיפו משפט: “לא רלוונטי – אין לנו משרד פיזי, כל העבודה מתבצעת בשירותי ענן מנוהלים”.
• להעלות את השאלון עם פרטי הלקוח לחשבון AI אישי שמשמש לאימון. תבדקו את ההגדרות לפני כן ולא אחרי.
• לשכוח את ספקי המשנה. אם המידע עובר דרך Google Drive, Slack, Notion או כלי AI, אלה ספקי משנה, והלקוח ירצה לדעת עליהם.
• להבטיח תאריכים שלא תעמדו בהם. “עד סוף הרבעון נשיג SOC 2” נשמע טוב במייל ונראה רע בשאלון של השנה הבאה.
• לסמוך על ה-AI בשאלות משפטיות. בשאלות על חוק הגנת הפרטיות, הסכמי עיבוד מידע (DPA) או העברת מידע מחוץ לישראל, ה-AI עוזר להבין את השאלה אבל לא מחליף בדיקה מול המקור או ייעוץ מקצועי.

סיכום וצ’קליסט התחלה

שאלון של 200 שאלות נראה מאיים, אבל הוא בעיקר תרגיל בסדר ובכנות. עם דף עובדות אמיתי, מיון חכם, נוסחת תשובה קבועה ומדיניות קצרה שמתארת מה שאתם באמת עושים, ספק קטן יכול להחזיר חבילה שאנליסט אבטחה יאשר. לעיתים קרובות היא אפילו תיראה טוב יותר מזו של ספקים גדולים שענו “כן” על הכול.

הצ’קליסט שלכם, לפי הסדר:

• כיביתם שימוש בשיחות לאימון (או עובדים בתוכנית עסקית), ומחקתם פרטים מזהים של הלקוח מהקובץ
• פתחתם פרויקט ייעודי ב-Claude או ב-ChatGPT
• הכנתם דף עובדות בעזרת פרומפט הראיון, כולל עמודת “יש הוכחה?”
• מיינתם את כל השאלות ל-A/B/C/D/E וזיהיתם כפילויות
• הבנתם את כל שאלות ה-E בעזרת פרומפט ההסבר
• ניסחתם תשובות לפי נוסחת המצב / הפער / הבקרה המפצה / התוכנית, ובדקתם את “סיכון ההתחייבות”
• הרצתם בדיקת עקביות בשיחה חדשה, רצוי בכלי אחר
• כתבתם מדיניות של עמוד אחד, כולל סעיף על שימוש ב-AI
• הכנתם רשימת ספקי משנה
• שלחתם חבילה מלאה עם מייל נלווה שמציג את הפערים בעצמכם
• שמרתם ספריית תשובות מאושרות לשאלון הבא

רוצים להמשיך ולשפר את התהליכים העסקיים שלכם עם AI? מדריכים נוספים מחכים לכם בספריית המדריכים.