פורסם 2 ביולי 2026
SOC מנוהל הוא שירות חיצוני שמנטר את המחשבים, השרתים והחשבונות של העסק מסביב לשעון, מזהה פעילות חשודה ומטפל בה לפני שהיא הופכת לאירוע. בישראל הטווח נע בין כמה מאות שקלים בחודש עבור ניטור בסיסי בעסק עם חמש עד עשר תחנות קצה, לכמה אלפי שקלים עבור ניהול אבטחה מלא בעסק עם עשרות עובדים. ההבדל המרכזי בין החבילות הוא לא כמה התראות מתקבלות, אלא מי בפועל מטפל בהן.
מה זה SOC מנוהל, בשפה פשוטה
SOC הוא קיצור של Security Operations Center, חדר בקרה לאבטחת מידע. בארגון גדול זה צוות שיושב מול מסכים ועוקב אחרי מה שקורה ברשת. עסק קטן לא יכול להחזיק צוות כזה, ולכן נולד המודל המנוהל: ספק חיצוני, לרוב מסוג MSSP (Managed Security Service Provider), מחבר את המערכות של העסק לפלטפורמת ניטור שלו ומשתמש באותו צוות כדי לשרת עשרות או מאות לקוחות במקביל.
כדאי לקרוא גם: מערכת ניהול מלאי לעסק קטן: איך בוחרים, מה זה עולה ומה חובה · כמה עולה קמפיין גוגל אדס לעסק קטן בישראל: מדריך תקציב · כמה עולה בניית אתר וורדפרס לעסק קטן בישראל: מדריך מחירים
מבחינה מעשית, השירות נשען על שלושה רכיבים: סוכן תוכנה שמותקן על כל תחנת קצה ושרת ואוסף אירועים, חיבור לשירותי הענן שהעסק כבר משתמש בהם (בדרך כלל Microsoft 365 או Google Workspace), ומערכת שמצליבה את האירועים ומחפשת חריגות. כשמשהו נראה חשוד, מישהו מקבל התראה. השאלה מי זה המישהו הזה, ומה מותר לו לעשות, היא בדיוק מה שמפריד בין רמות השירות.
למי זה מתאים ולמי פחות
הקהל הטבעי הוא עסקים בלי איש IT ייעודי: משרדי רואי חשבון ועריכת דין, קליניקות, מרפאות, סוכנויות, בתי מלאכה קטנים ויצרנים עם עשרות עובדים. אצלם יש נתונים רגישים ויש חשיפה רגולטורית, אבל אין מי שיבדוק ביומן אירועים ביום שלישי בשלוש לפנות בוקר.
- מתאים במיוחד למי שכבר ספג ניסיון פישינג מוצלח, העברה כספית מזויפת או חשד להדבקה.
- מתאים למי שעובד מול לקוחות גדולים או גופים ציבוריים שדורשים הצהרות אבטחה בשאלוני ספק.
- מתאים למי שמנהל ייצור או לוגיסטיקה, שבהם יום השבתה מתורגם ישירות להזמנות שלא יוצאות.
- פחות מתאים לעסק של שניים או שלושה אנשים שעובד כולו בענן, בלי שרת ובלי נתוני לקוחות רגישים. שם עדיף להשקיע קודם בהקשחה בסיסית.
לפני שנכנסים למחויבות חודשית כדאי לוודא שהיסודות סגורים. אין הרבה טעם בניטור מתקדם כשאין אימות דו שלבי וכשגיבוי לא נבדק מעולם. את סדר הפעולות הזה פירטנו במדריך אבטחת סייבר לעסק קטן: 12 צעדים שאפשר ליישם בלי איש IT, ורוב הצעדים שם לא עולים כלום.
שלוש רמות שירות: מה ההבדל בפועל
ספקים שונים משתמשים בשמות שונים, אבל מאחורי השיווק כמעט תמיד מסתתרות שלוש רמות. ההשוואה הבאה מתארת את החלוקה המקובלת:
| רמת שירות | מה כולל | מי מטפל באירוע | מתאים ל |
|---|---|---|---|
| ניטור בלבד | איסוף אירועים, זיהוי חריגות, דוח חודשי והתראה במייל או בטלפון | העסק או ספק ה-IT החיצוני שלו | עסק שיש לו ספק IT זמין שיודע לפעול לפי הנחיה |
| ניטור עם תגובה (MDR) | כל מה שלמעלה, בתוספת בידוד תחנה נגועה, חסימת חשבון, ניתוק תהליך וחקירה ראשונית | צוות הספק, לפי נוהל מאושר מראש | רוב העסקים הקטנים בלי איש IT ייעודי |
| ניהול מלא | כל מה שלמעלה, בתוספת ניהול עדכוני אבטחה, מדיניות, חומת אש, גיבויים, הרשאות והדרכת עובדים | הספק, כאחראי אבטחה בפועל | עסק עם שרתים, מערכות ייצור או חשיפה רגולטורית |
הפער החשוב הוא בין הרמה הראשונה לשנייה. ניטור בלבד מייצר התראות, ואם אין מי שיקרא אותן ב-02:40 הן שוות מעט. מי שבוחר ניטור בלבד צריך לענות קודם על שאלה אחת: מי מרים את הטלפון, ובתוך כמה זמן.
כמה זה עולה בישראל
המחיר נקבע כמעט תמיד לפי מספר תחנות הקצה והשרתים, ולא לפי מחזור העסק. הטווחים שלהלן הם הערכה לעסקים קטנים ובינוניים בשוק הישראלי, לפני מע"מ, והם משתנים מספק לספק ולפי מורכבות הסביבה:
| מספר תחנות קצה | ניטור בלבד (חודשי) | ניטור עם תגובה (חודשי) | ניהול מלא (חודשי) |
|---|---|---|---|
| 5-10 | כ-400 עד 1,200 ₪ | כ-1,000 עד 2,500 ₪ | כ-2,500 עד 5,000 ₪ |
| 10-25 | כ-800 עד 2,000 ₪ | כ-2,000 עד 4,500 ₪ | כ-4,500 עד 9,000 ₪ |
| 25-50 | כ-1,500 עד 3,500 ₪ | כ-3,500 עד 7,000 ₪ | כ-7,000 עד 15,000 ₪ |
לרוב יש גם עלות הקמה חד פעמית, בדרך כלל בין כמה מאות שקלים לכמה אלפים, שמכסה התקנה, מיפוי הסביבה וכתיבת נוהל התגובה. שרתים ומערכות ייצור מתומחרים בנפרד ובמחיר גבוה יותר מתחנת קצה רגילה.
מה כמעט תמיד נמצא בתוספת
- טיפול באירוע אמיתי: חלק מהחוזים כוללים מספר שעות תגובה בשנה, ומעל זה התעריף שעתי.
- שחזור ושיקום לאחר מתקפת כופר, שהוא פרויקט בפני עצמו.
- בדיקות חוסן וסימולציות פישינג לעובדים.
- רישוי כלי הקצה, כשהספק מוכר את הפלטפורמה בנפרד מהשירות.
- שמירת לוגים לתקופה ארוכה, שנדרשת לעיתים בשאלוני ספק או בדרישות רגולציה.
שאלות שכדאי לשאול לפני חתימה
- מה זמן התגובה המתחייב, ומה קורה בלילה, בשבת ובחגים.
- מי בפועל מנטר: צוות בישראל, מוקד חיצוני או בעיקר אוטומציה עם מענה בשעות עבודה.
- אילו פעולות מותר לספק לבצע בלי אישור, ואילו דורשות שיחה עם בעל העסק.
- האם מקבלים דוח חודשי קריא, או רק גישה למסך עם גרפים.
- מה קורה בסיום ההתקשרות: מי מחזיק את הלוגים ואיך מורידים את הסוכנים.
- מהי תקופת ההתחייבות. שנה נפוצה, אך אפשר לבקש תקופת ניסיון של שלושה חודשים.
מה SOC מנוהל לא פותר
ניטור מקטין את הסיכוי שאירוע יתגלה מאוחר, אבל הוא לא מבטיח שלא יקרה. הוא גם לא מכסה את הנזק הכספי: ימי השבתה, שחזור נתונים, יעוץ משפטי, הודעה ללקוחות ופגיעה בהכנסות. בדיוק לשם כך קיים ביטוח סייבר, שהפך בשנים האחרונות זמין גם לעסקים קטנים ומתומחר לפי מחזור ורמת ההגנה הקיימת. ההיגיון הוא חלוקת תפקידים: השירות המנוהל מצמצם את ההסתברות, הביטוח מצמצם את החשיפה הכספית. בפועל, מבטחים רבים דורשים כתנאי מוקדם בדיוק את מה שהשירות המנוהל מספק, כמו הגנת קצה מנוהלת, אימות דו שלבי וגיבוי מופרד, ולעיתים ההוזלה בפרמיה מקזזת חלק מהעלות החודשית.
שאלות נפוצות
האם צריך SOC מנוהל אם כבר יש אנטי וירוס?
אנטי וירוס חוסם מה שהוא מזהה כזדוני, ועוצר שם. שירות מנוהל מוסיף את השכבה שחסרה: מי בודק את ההתראות שלא נחסמו, מי מזהה התחברות חשודה לחשבון מייל, ומי פועל כשמשהו כבר בפנים. בעסק בלי איש IT זה בדרך כלל ההפרש בין גילוי בתוך שעה לגילוי בתוך שבוע.
מה ההבדל בין MSSP לבין MDR?
MSSP הוא מודל עסקי: ספק שמנהל שירותי אבטחה עבור לקוחות. MDR הוא סוג שירות: זיהוי ותגובה מנוהלים בתחנות הקצה. בשוק הישראלי המילים מתערבבות, ולכן עדיף לשאול מה השירות עושה בפועל במקרה של אירוע ולא איך הוא נקרא בהצעה.
כמה זמן לוקח להטמיע?
בעסק עם עד 25 תחנות קצה, התקנה וחיבור לענן אורכים בדרך כלל בין כמה ימים לשבועיים. השבועות הראשונים הם תקופת כיול שבה מצטברות התראות שגויות, וזה נורמלי. כדאי לקבוע מראש נקודת בדיקה אחרי חודש כדי לסגור רעשים.
אפשר להתחיל בקטן ולהתקדם?
כן, וזו לרוב הדרך הנכונה. אפשר לפתוח בניטור בלבד עם נוהל ברור מי מטפל, ולעלות לרמת תגובה מנוהלת אחרי חצי שנה או כשמצטרפים עובדים. מומלץ לבדוק מראש שהמעבר בין החבילות אינו דורש התקנה מחדש.
איך יודעים שהשירות באמת עובד?
שני מדדים פשוטים: האם דווח על אירוע שלא היה ידוע לעסק, וכמה זמן עבר מהזיהוי לטיפול. אפשר גם לבקש תרגיל מתואם, למשל הפעלה של קובץ בדיקה או ניסיון התחברות ממדינה אחרת, ולראות אם ומתי מגיעה שיחה.
לסיכום
SOC מנוהל הוא הדרך המעשית שבה עסק קטן משיג יכולת ניטור ותגובה בלי להעסיק איש אבטחה. מי שאין לו ספק IT זמין בשעות חריגות יתקשה להרוויח מניטור בלבד, ועדיף לכוון לרמה שכוללת תגובה. תקציב של אלף עד ארבעת אלפים שקלים בחודש מכסה את רוב הצרכים של עסק עם עד 25 תחנות קצה. לפני החתימה כדאי לסגור את היסודות החינמיים, ולראות את השירות המנוהל ואת ביטוח הסייבר כשני חצאים של אותו פתרון.
כותב טכנולוגיה ותעשייה
עידו רזניק כותב על טכנולוגיה מנקודת המבט של מי שצריך להשתמש בה, לא של מי שמוכר אותה. אחרי שנים בתפעול ובניהול פרויקטים בתעשייה, הוא עבר לכתיבה ומתמקד בחדשנות תעשייתית, אנרגיה, סייבר לעסקים קטנים וכלים דיגיטליים. מאמין שכל טכנולוגיה מסובכת אפשר להסביר בשלוש פסקאות.
