פורסם 3 ביולי 2026
מבחן חדירות הוא בדיקה שבה בודק אנושי מנסה לפרוץ למערכות של העסק באישור מראש, כדי למצוא את החולשות לפני שמישהו אחר ימצא אותן. בעסק קטן בישראל, בדיקה של אתר בודד נעה בדרך כלל בין כמה אלפי שקלים לכ-15 אלף שקל, ובדיקה של רשת פנימית או אפליקציה מורכבת יכולה להגיע לעשרות אלפים. הכתבה הזו מסבירה מה מקבלים תמורת הכסף, במה זה שונה מסריקה אוטומטית ומתי זה באמת נחוץ.
מה זה מבחן חדירות ומה הוא לא
ההגדרה פשוטה: מישהו מקבל אישור בכתב לתקוף את המערכות של העסק, ומנסה לעשות בדיוק את מה שתוקף אמיתי היה עושה. הוא מחפש טעויות הגדרה, סיסמאות חלשות, ממשקים שנשארו פתוחים, גרסאות ישנות של תוכנה וצירופים של כמה בעיות קטנות שיחד מאפשרים כניסה. התוצאה היא דוח שמסביר מה נמצא, איך הבודק הגיע לשם, ומה חומרת הנזק האפשרי. המונח המקצועי מתואר בהרחבה בערך בדיקת חדירות בוויקיפדיה, והוא מבדיל בין בדיקה שמתבצעת ללא מידע מוקדם לבין בדיקה שבה הבודק מקבל גישה וקוד מראש.
כדאי לקרוא גם: מערכת ניהול מלאי לעסק קטן: איך בוחרים, מה זה עולה ומה חובה · ביטוח סייבר לעסק קטן: כמה זה עולה ומה כלול בפוליסה · SOC מנוהל (MSSP) לעסק קטן: מה זה וכמה זה עולה בישראל
חשוב להבין גם מה זה לא. זו לא תוכנת אנטי-וירוס, זה לא מוצר שמותקן פעם אחת, וזה לא ביטוח מפני מתקפה. זו תמונת מצב ליום מסוים. שבוע אחרי הבדיקה אפשר להתקין תוסף חדש באתר ולפתוח חור שלא היה שם קודם.
ההבדל בין סריקת פגיעויות אוטומטית למבחן חדירות מלא
זה הבלבול הנפוץ ביותר, ולעיתים גם מקור לפערי מחיר עצומים בהצעות שמתקבלות. סריקת פגיעויות היא כלי תוכנה שרץ מול המערכת, משווה אותה למאגר חולשות ידועות ומוציא רשימה. היא מהירה, זולה ואפשר להריץ אותה כל חודש. מבחן חדירות מלא משתמש בסריקה כנקודת פתיחה, ואז אדם לוקח את הממצאים ומנסה לנצל אותם בפועל.
ההבדל המעשי: הסורק ידווח ש"קיים טופס ללא הגנה מספקת". הבודק האנושי ישתמש בטופס הזה כדי להוציא את רשימת הלקוחות ויצרף צילום מסך לדוח. גם הכיוון ההפוך נכון: הסורק ייצר עשרות התראות שאינן רלוונטיות, והאדם יסנן אותן.
| פרמטר | סריקת פגיעויות אוטומטית | מבחן חדירות מלא |
|---|---|---|
| מי מבצע | תוכנה, ללא מעורבות אנושית ממשית | בודק אנושי, בעזרת כלים |
| משך | שעות עד יממה | כמה ימים עד שבועות |
| טווח מחירים משוער | מאות עד כמה אלפי שקלים | אלפים בודדים עד עשרות אלפים |
| לוגיקה עסקית שבורה | כמעט לא מזוהה | זה בדיוק החוזק |
| התראות שווא | הרבה | מעט, הממצאים מאומתים |
| מתאים ל | ניטור שוטף | נקודות החלטה, לקוח ארגוני, שינוי מהותי |
מתי עסק קטן באמת צריך מבחן חדירות
לא כל עסק זקוק לבדיקה כזו כל שנה. יש כמה מצבים שבהם היא כן מוצדקת:
- לפני חתימה על לקוח ארגוני. זו הסיבה הנפוצה ביותר. חברות גדולות, גופים ציבוריים ובנקים שולחים שאלון ספקים שכולל שורה על בדיקת חדירות תקופתית. בלי דוח, העסקה נתקעת.
- אחרי שינוי מהותי במערכת. מעבר לענן, השקת אזור אישי ללקוחות, חיבור לסליקה או מיזוג עם מערכת אחרת.
- כשמחזיקים מידע רגיש. מרפאות, משרדי רואי חשבון, קופות גמל, כל מי שכפוף לתקנות הגנת הפרטיות.
- בדרישת המבטח. חלק מחברות הביטוח שואלות על כך בחיתום של פוליסת ביטוח סייבר, ובחלק מהמקרים דוח עדכני משפיע על הפרמיה או על תנאי הכיסוי.
אם אף אחד מהמצבים האלה לא רלוונטי, ובעסק עדיין אין גיבויים מסודרים ואימות דו-שלבי, עדיף להשקיע קודם ביסודות. סקרנו אותם במדריך 12 צעדי אבטחת סייבר שאפשר ליישם בלי איש IT. מבחן חדירות על תשתית שלא עברה את השלבים האלה יפיק דוח ארוך ומתסכל שרובו ידוע מראש.
מה כולל התהליך בפועל
- הגדרת היקף. אילו כתובות, דומיינים ומערכות נכללות, מה מחוץ לתחום, מתי מותר לבדוק ומי איש הקשר בשעת חירום.
- איסוף מידע. מיפוי של כל מה שגלוי מבחוץ: שרתים, תתי-דומיינים, ממשקי ניהול, חשיפות בענן.
- זיהוי חולשות. שילוב של כלים אוטומטיים ובדיקה ידנית.
- ניצול מבוקר. ניסיון אמיתי להיכנס, ללא גרימת נזק או שיבוש שירות.
- דוח. תקציר מנהלים, ממצאים לפי חומרה, הוכחות והמלצות תיקון מדורגות.
- בדיקה חוזרת. אימות שהתיקונים עבדו, בדרך כלל עד שלושה חודשים מהבדיקה.
כדאי לוודא ששני השלבים האחרונים כלולים בהצעה. דוח בלי בדיקה חוזרת שווה פחות, כי אין אישור שהפער נסגר.
כמה זה עולה: טווחי מחירים לפי היקף
המספרים למטה הם טווחים משוערים לשוק הישראלי, לפני מע"מ, והם משתנים משמעותית לפי הספק, מורכבות המערכת ומספר ימי העבודה שהוקצו. בדיקה זולה במיוחד היא כמעט תמיד סריקה אוטומטית שנמכרת בשם אחר.
| סוג הבדיקה | טווח מחיר משוער | משך אופייני |
|---|---|---|
| סריקת פגיעויות מנוהלת עם סינון ממצאים | 1,500 – 5,000 ₪ | 1 – 2 ימים |
| אתר תדמית או אתר בודד, ללא אזור אישי | 5,000 – 15,000 ₪ | 2 – 4 ימים |
| אפליקציית ווב עם משתמשים, הרשאות ותשלומים | 15,000 – 45,000 ₪ | 5 – 12 ימים |
| אפליקציית מובייל (אנדרואיד או iOS) | 12,000 – 35,000 ₪ | 4 – 10 ימים |
| רשת פנימית, שרתי קבצים וניהול משתמשים | 15,000 – 50,000 ₪ | 5 – 12 ימים |
| בדיקת פישינג והנדסה חברתית לעובדים | 5,000 – 18,000 ₪ | 2 – 5 ימים |
| תרחיש תקיפה מלא (Red Team) | 50,000 ₪ ומעלה | שבועות |
מה מזיז את המחיר
- כמות ימי הבודק. זה למעשה כל התמחור. שלושה ימים ושמונה ימים מייצרים דוחות שונים לחלוטין.
- מידע שניתן מראש. בדיקה עיוורת דורשת יותר זמן מיפוי ולכן עולה יותר, אך בדיקה עם גישה לקוד מגלה לרוב יותר בעיות אמיתיות.
- מספר סוגי המשתמשים. כל סוג הרשאה נוסף מכפיל את הבדיקות.
- דרישות תקן. דוח שנדרש לעמוד בפורמט מסוים מייקר את העבודה.
- בדיקה חוזרת. לעיתים כלולה, לעיתים בתוספת של 15% עד 25%.
איך בוחרים ספק בלי להתבלבל
כדאי לבקש דוח לדוגמה מעבודה קודמת, מושחר מפרטים מזהים. דוח טוב מכיל תיאור של דרך התקיפה ולא רק רשימת כלים. שווה לשאול כמה ימי עבודה מוקצים בפועל, מי הבודק ומה הרקע שלו, האם קיים ביטוח אחריות מקצועית ומה קורה אם במהלך הבדיקה משהו נופל. גם הסכם סודיות ומסמך הרשאה חתום הם תנאי בסיסי, לא בונוס.
שאלות נפוצות
כל כמה זמן צריך לחזור על מבחן חדירות?
הנוהג המקובל הוא אחת לשנה, או אחרי כל שינוי מהותי במערכת. בין הבדיקות אפשר להריץ סריקות אוטומטיות חודשיות, שעולות מעט ותופסות חולשות חדשות שהתפרסמו.
האם הבדיקה עלולה להפיל את האתר?
בדיקה מקצועית מתוכננת כך שלא תשבש שירות, ולרוב מתבצעת בשעות מוסכמות. עדיין, תמיד כדאי לוודא שיש גיבוי עדכני לפני שמתחילים ושיש איש קשר זמין משני הצדדים.
אפשר להסתפק בסריקה אוטומטית זולה?
לצורך היגיינה שוטפת, כן. לצורך שאלון ספקים של לקוח ארגוני או דרישת מבטח, בדרך כלל לא: מבקשים דוח עם שם הבודק, מתודולוגיה וממצאים מאומתים.
כמה זמן לוקח לקבל את הדוח?
בדרך כלל שבוע עד שבועיים מסיום הבדיקה בפועל. ממצא קריטי אמור להימסר מיידית ולא להמתין לדוח המסכם.
האם ביטוח סייבר מחליף מבחן חדירות?
לא, השניים משלימים. הביטוח מטפל בנזק אחרי אירוע, הבדיקה מנסה למנוע אותו. בחלק מהמקרים קיום בדיקה עדכנית משפיע לטובה על תנאי הפוליסה.
לסיכום
מבחן חדירות הוא הוצאה נקודתית שנכון לבצע כשיש סיבה ברורה: לקוח שמבקש, מערכת שהשתנתה, או מידע רגיש שנשמר. לאתר בודד מדובר בכמה אלפי שקלים, ולמערכת מורכבת או רשת פנימית בעשרות אלפים. לפני שמזמינים, כדאי לוודא שהיסודות מסודרים, לבקש הצעה שמפרטת ימי עבודה ובדיקה חוזרת, ולהתייחס לדוח כרשימת משימות ולא כתעודה שנתלית על הקיר.
כותב טכנולוגיה ותעשייה
עידו רזניק כותב על טכנולוגיה מנקודת המבט של מי שצריך להשתמש בה, לא של מי שמוכר אותה. אחרי שנים בתפעול ובניהול פרויקטים בתעשייה, הוא עבר לכתיבה ומתמקד בחדשנות תעשייתית, אנרגיה, סייבר לעסקים קטנים וכלים דיגיטליים. מאמין שכל טכנולוגיה מסובכת אפשר להסביר בשלוש פסקאות.
