רכישת מערכת SaaS, התקשרות עם ספק IT או הכנסת מוצר חדש לסביבה הארגונית הן לא רק החלטות טכנולוגיות או מסחריות. כל ספק כזה יכול ליצור תלות, לקבל גישה למידע או להפוך לחלק משמעותי ממשטח הסיכון של הארגון.
NIST SP 1326, שפורסם סופית ב-8 ביולי 2026, נועד לתת לארגונים נקודת פתיחה מעשית לשאלה:

מה אנחנו צריכים לדעת על הספק לפני שמקבלים החלטה?

מהו NIST SP 1326?

שמו המלא של המסמך הוא:

NIST Cybersecurity Supply Chain Risk Management: Due Diligence Assessment Quick-Start Guide.

לפי NIST, Due Diligence הוא תהליך חקירתי שבו אוספים ובוחנים את המידע הרלוונטי הזמין על ספק או מוצר, כדי לאפשר קבלת החלטה מושכלת לגבי רכישה חדשה או מערכת קיימת.

המסמך מבוסס על העקרונות של NIST SP 800-161 Rev. 1, שעוסק ב-Cybersecurity Supply Chain Risk Management, אבל נועד להיות מעשי ומהיר יותר.

NIST מתאר אותו כגישה implementation-ready, שמנסה להגדיר רמת מחקר ובדיקה סבירה גם לארגונים שמוגבלים בזמן או במשאבים.

מידע נוסף על ניהול מתקפות כופרה ו- NIST SP 800-61 Rev. 3

למה NIST פרסם מדריך נוסף?

הבעיה מוכרת כמעט לכל ארגון.

• Procurement רוצה לסגור חוזה.
• היחידה העסקית רוצה להתחיל להשתמש במערכת.
• הספק כבר שלח הצעת מחיר.
• אבטחת מידע מקבלת את הבקשה לבדיקה בשלב האחרון.

במצב כזה קשה לבצע חקירה ארוכה ומעמיקה לכל ספק.

NIST מנסה לתת מענה בדיוק לפער הזה:
ליצור תהליך Due Diligence שמספק מינימום סביר של מחקר ובדיקה, כך שמקבלי החלטות ידעו אילו סיכונים מהותיים קיימים לפני שהם מכניסים ספק או מוצר לסביבה.

חשוב גם שהבדיקה אינה מוגבלת בהכרח לרכישה חדשה. NIST מציין שניתן להשתמש ב-Due Diligence גם ביחס ל-existing systems, מערכות וספקים שכבר נמצאים בשימוש.

חמישה תחומים מרכזיים ב-Due Diligence

SP 1326 מגדיר חמישה רכיבים מרכזיים להערכת ספק:

• Foreign Ownership, Control, or Influence – FOCI
  בחינת בעלות, שליטה או השפעה זרה שעלולות להיות רלוונטיות לסיכון.
• Provenance
  הבנת המקור של הספק או המוצר והרקע שממנו הם מגיעים.
• Resilience
  בחינת גורמים שעשויים להשפיע על היכולת של הספק או המוצר להמשיך לתפקד ולתת שירות לאורך זמן.
• Foundational Cyber Practices
  בחינת פרקטיקות סייבר בסיסיות ומצב האבטחה של הספק.
• Supply Chain Tiers
  הבנת השכבות והתלויות שמאחורי הספק. כלומר, גם מי עומד מאחוריו או תומך בשירות שהוא מספק.

המשמעות היא שהבדיקה אינה מסתכמת בשאלה:

“האם יש לספק ISO 27001?”

אלא מנסה להבין את הספק בהקשר רחב יותר.

Due Diligence אינו Vendor Questionnaire

ארגונים רבים מזהים בדיקת ספקים עם שאלון אבטחה.

השאלון חשוב, אבל SP 1326 מצביע על תפיסה רחבה יותר.

Due Diligence עוסק גם במידע שהארגון יכול לאסוף ולאמת מעבר לתשובות שהספק מספק בעצמו.

לדוגמה:

• מי הבעלים של החברה?
• באילו מדינות היא פועלת?
• האם היו שינויים משמעותיים בבעלות?
• עד כמה המוצר או השירות תלויים בגורמים נוספים?
• מה ידוע על היציבות והחוסן של הספק?
• ומה ניתן להבין על פרקטיקות הסייבר שלו?

כלומר, מדובר ב-Risk Research, לא רק ב-Compliance Questionnaire.

מידע נוסף במאמרים:

• ניהול סיכונים של ספקים צד שלישי
• שאלון אבטחת מידע לספקים – Security Questionnaire

ומה לגבי ספקי SaaS?

המסמך ממוקד בספקי ICT, ולכן הוא רלוונטי מאוד גם לעולם SaaS.

מערכת SaaS של HR, משפטית, כספים, Marketing או Sales יכולה להיות ספק טכנולוגי משמעותי גם אם היא אינה נתפסת כ"תשתית".

לדוגמה, מערכת יכולה:

• לאחסן מידע אישי.
• להתחבר באמצעות API.
• להשתמש ב־SSO.
• לקבל הרשאות למערכות אחרות.
• להחזיק מידע עסקי רגיש.
• להפוך לתהליך קריטי שהארגון תלוי בו.

לכן Due Diligence על SaaS צריך להתייחס לא רק לאבטחת השירות עצמו, אלא גם לזהות הספק, התלויות שלו, החוסן שלו ומודל הסיכון הכולל.

וזו בדיוק הנקודה שבה SP 1326 מתחבר ל-Third-Party Risk Management – TPRM.

לא כל ספק דורש אותה רמת בדיקה

אחד העקרונות החשובים בניהול ספקים הוא התאמת עומק הבדיקה לסיכון.

מערכת קטנה שאינה מקבלת מידע משמעותי ואינה קריטית לעסק אינה שקולה לספק Cloud שמחזיק מידע אישי או למערכת SaaS שמפעילה תהליך כספי מרכזי.

לכן כדאי להתחיל מ-Risk Classification:

• מהו המידע שהספק יקבל?
• לאילו מערכות תהיה לו גישה?
• עד כמה השירות קריטי?
• מה תהיה ההשפעה אם הוא יושבת?
• האם הוא מעבד מידע אישי?
• האם קיימת תלות משמעותית בספקי משנה?

מכאן ניתן לקבוע את רמת ה-Due Diligence הנדרשת.

Due Diligence לפני חתימת חוזה

הזמן הטוב ביותר לגלות שספק אינו מתאים לדרישות הארגון הוא לפני שהחוזה נחתם.

אחרי שהמערכת כבר נרכשה, המידע הוזן והיחידה העסקית תלויה בה – היכולת לנהל את הסיכון יורדת משמעותית. לכן NIST מדגיש שמקבלי החלטות בתחום הרכש צריכים להיות מודעים לסיכוני הספק לפני שההחלטה מבוצעת.
בפועל, המשמעות היא ש-Security ו-Risk צריכים להיכנס לתהליך Procurement מוקדם יותר.

לא ביום שבו מבקשים מהם “לאשר את הספק”.

החיבור ל-Third-Party Risk Management

SP 1326 עוסק ב־Due Diligence, אבל Due Diligence הוא רק שלב אחד במחזור החיים של הספק.

תהליך TPRM מלא כולל בדרך כלל:

• Discovery לדעת אילו ספקים קיימים.
• Classification להבין את רמת הסיכון.
• Due Diligence לבדוק את הספק לפני התקשרות.
• Contracting להכניס דרישות מתאימות להסכם.
• Monitoring לעקוב אחרי הספק במהלך ההתקשרות.
• Incident Management לדעת כיצד פועלים אם הספק נפגע.
• Offboarding לסגור גישה ולטפל במידע בסיום.

במובן הזה, SP 1326 יכול להפוך להיות המתודולוגיה לשלב הבדיקה בתוך תוכנית TPRM רחבה יותר.

מאמר בנושא Third-Party Risk Management וספקי SaaS.

החיבור הישראלי: תקנה 15

עבור ארגונים בישראל יש גם חיבור רגולטורי טבעי.

תקנה 15 לתקנות הגנת הפרטיות (אבטחת מידע) דורשת, כאשר התקשרות עם גורם חיצוני כוללת גישה למאגר מידע, לבחון את סיכוני אבטחת המידע הנובעים מההתקשרות לפני שהיא מתחילה.

לכן, במקרים הרלוונטיים, SP 1326 יכול לשמש גם כמקור מקצועי משלים לבניית תהליך Due Diligence מסודר, לצד הדרישות המשפטיות והרגולטוריות בישראל.

חשוב להבחין:
SP 1326 אינו מחליף את תקנה 15 ואינו מסמך רגולטורי ישראלי.
אבל המתודולוגיה שלו יכולה לסייע לארגון להפוך את דרישת "בדיקת הספק" לתהליך מקצועי ומובנה.

תקנה 15 לתקנות הגנת הפרטיות: מה ארגונים חייבים לבדוק מול ספקים חיצוניים.

מה כדאי לבדוק לפני התקשרות עם ספק ICT?

בהשראת SP 1326, ארגון יכול להתחיל ממספר שאלות:

1. מי הספק ומה ידוע על מבנה הבעלות והשליטה בו?
2. מה מקור המוצר או השירות?
3. אילו תלויות מהותיות קיימות בספקים נוספים?
4. מה ידוע על החוסן והיציבות של הספק?
5. מה ניתן ללמוד על פרקטיקות אבטחת המידע שלו?
6. איזה מידע או הרשאות אנחנו מתכוונים לתת לו?
7. מה תהיה ההשפעה על הארגון אם השירות ייפגע?

השאלות אינן מחליפות Assessment מלא, אבל הן מאפשרות לזהות במהירות אם קיים סיכון שמצדיק בדיקה עמוקה יותר.

Due Diligence הוא גם תהליך עסקי

אבטחת מידע אינה הגורם היחיד שצריך להיות מעורב.

בדיקה איכותית יכולה לדרוש שיתוף פעולה בין:

• Procurement בחינת ההתקשרות והרכש.
• Security / CISO סיכוני סייבר וגישה.
• Legal מבנה ההתקשרות והתחייבויות.
• Privacy / DPO מידע אישי ועיבוד מידע.
• Business Owner קריטיות השירות.
• BCP תלות והמשכיות עסקית.

המטרה אינה לייצר עוד שלב בירוקרטי בתהליך הרכש.

המטרה היא לאפשר לארגון לקבל החלטת רכישה מודעת לסיכון.

ומה לגבי ספק שכבר נמצא בארגון?

אחת הנקודות המעניינות ב-SP 1326 היא שהמתודולוגיה אינה מיועדת רק לספק חדש.

NIST מגדיר Due Diligence כתהליך שיכול לתמוך בהחלטות גם לגבי existing systems.

זה חשוב במיוחד בארגונים שבהם קיימים ספקי SaaS ותיקים שמעולם לא עברו Vendor Assessment מסודר.

אפשר להשתמש בתהליך כדי לבצע Reassessment כאשר:

• חוזה מתחדש.
• הספק הופך לקריטי יותר.
• סוג המידע משתנה.
• נוספות אינטגרציות חדשות.
• הספק נרכש על ידי חברה אחרת.
• מתרחש Incident.
• או משתנה פרופיל הסיכון שלו.

ממידע על הספק להחלטה

בסופו של דבר, SP 1326 אינו נועד לייצר תיק מחקר.

הוא נועד לתמוך בהחלטה.

• לאחר הבדיקה, הארגון יכול להחליט:
• לאשר את הספק.
• לאשר בכפוף לבקרות נוספות.
• לדרוש שינוי חוזי.
• להקטין הרשאות.
• להגביל את סוג המידע.
• לבצע Assessment מעמיק יותר.
• או להחליט שהסיכון אינו מקובל.

זו המשמעות של Risk-Based Procurement.

כיצד אינפוגארד יכולה לסייע?

אינפוגארד מסייעת לארגונים לבנות ולבצע תהליכי Vendor Due Diligence ו־Third-Party Risk Management, לרבות מיפוי וסיווג ספקים, Vendor Assessments, בחינת ספקי SaaS ו-ICT, בניית שאלוני בדיקה והגדרת דרישות אבטחה ופרטיות.

ניתן להשתמש בעקרונות NIST SP 1326 כחלק מתהליך מובנה של Due Diligence, ולחבר את תוצאות הבדיקה ל-TPRM, לסקר הסיכונים הארגוני, לתקנה 15 ולתהליכי Procurement.

המטרה אינה לבדוק כל ספק באותה צורה.

המטרה היא לדעת איזה ספק דורש איזו בדיקה, לפני שהסיכון נכנס לארגון.

האם בדקתם את הספק לפני החוזה לפי NIST SP 1326?

NIST SP 1326 הופך Due Diligence מספקים מתהליך כללי למתודולוגיה מובנית יותר לבחינת ספקי ICT ומוצרים טכנולוגיים. הוא ממקד את הבדיקה בבעלות והשפעה, מקור, חוסן, פרקטיקות סייבר ותלויות בספקים נוספים.
עבור ארגונים, המשמעות היא שאבטחת ספקים צריכה להתחיל לפני חתימת החוזה ולהיות חלק מתהליך קבלת החלטות מבוסס סיכון.
בשילוב עם TPRM ודרישות מקומיות כמו תקנה 15, SP 1326 יכול לספק בסיס מקצועי טוב לתהליך Vendor Due Diligence עקבי ומדיד.

צוות המומחים של אינפוארד זמין לכם לשיחת ייעוץ.
צרו קשר

מקורות

• NIST, SP 1326 – NIST Cybersecurity Supply Chain Risk Management: Due Diligence Assessment Quick-Start Guide, פורסם סופית 8.7.2026.
• NIST, NIST releases the finalized C-SCRM Due Diligence Assessment Quick-Start Guide, 8.7.2026.
• NIST, פרויקט Cybersecurity Supply Chain Risk Management – SP 1326 מופיע כפרסום סופי לצד SP 800-161 Rev. 1 ומשאבי C-SCRM נוספים.

המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי.

אנחנו באינפוגארד מאמינים כי כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים על מנת להכין תוכנית הרלוונטית בדיוק לארגון ולחברה.

המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך בעזרת בינה מלאכותית ואנושית על ידי רועי קיש, חובב פרטיות, אבטחת מידע, סייבר ומנהל שיווק בקבוצת חברות עידור (Messagenet, Infoguard, Idornext).