איך לבחור ספק ענן לעסק: מגדירים קודם אילו מערכות ואיזה מידע עוברים לענן, ואז בודקים 7 קריטריונים, והם אבטחה, ציות לרגולציה, הסכם רמת שירות, מיקום המידע, תמיכה בעברית, יציאה וניוד ועלות כוללת. רק אחרי שכל ספק קיבל אותו מסמך דרישות משווים הצעות. הטבלה מסכמת מה בודקים בכל קריטריון ואיזו שאלה לשאול את הספק.
| קריטריון | מה בודקים | שאלה לספק |
|---|---|---|
| אבטחה | הצפנה, אימות רב-שלבי ורישום פעולות, ברמת השירות הספציפי | אילו הסמכות יש לשירות שאני קונה? |
| ציות לרגולציה | חוק הגנת הפרטיות והתקנות שמכוחו, ותחום פעילות מפוקח | מי מעבד את המידע ואיך מדווחים על אירוע? |
| הסכם רמת שירות (SLA) | זמינות, זמני תגובה, חריגים ופיצוי | מה מוחרג ומה הפיצוי בפועל? |
| מיקום המידע | אזור הענן, מקום הגיבויים והרכיבים הנלווים | באיזה אזור רץ כל שירות וכל גיבוי? |
| תמיכה בעברית | שעות, ערוצי פנייה וגורם אחראי | מי עונה בתקלה ובאיזו שפה? |
| יציאה וניוד | פורמט ייצוא, תקופת מעבר ועלות | באיזה פורמט ובאיזה מחיר מוציאים את המידע? |
| עלות כוללת | מחשוב, אחסון, תעבורה יוצאת, רישוי ותמיכה | מה מחויב בנפרד מהמחיר? |
עיקרי הדברים
- לפי NIST, מחשוב ענן מוגדר על ידי חמש תכונות, שלושה מודלי שירות וארבעה מודלי פריסה, ובשיחה עם ספק חשוב לדעת איזה מודל שירות נקנה.
- ארבעה ספקי ענן ציבורי מפעילים אזור בישראל: AWS (Tel Aviv), Google Cloud (Tel Aviv), Microsoft Azure (Israel Central) ו-Oracle (Israel Central, Jerusalem).
- העובדה שהספק פועל בישראל אינה ערובה לכך שהמידע נשמר בישראל, ולכן בודקים כל שירות וכל גיבוי בנפרד.
- תיקון 13 לחוק הגנת הפרטיות הרחיב את ההגדרה של מחזיק במאגר מידע כך שהיא כוללת גורם חיצוני שמעבד מידע עבור בעל המאגר.
- את תנאי היציאה, כלומר פורמט, תקופת מעבר ועלות, קוראים לפני החתימה ולא אחריה.
לסקירה של סוגי שירותי הענן ושל מחיריהם ראו את המדריך שירותי ענן לעסקים. כאן מתמקדים בתהליך הבחירה.
מה בעצם קונים כשבוחרים ספק ענן?
לפי ההגדרה של NIST, המכון האמריקאי לתקנים וטכנולוגיה (פרסום SP 800-145), מחשוב ענן הוא מודל שמאפשר גישה ברשת, לפי דרישה, למאגר משותף של משאבי מחשוב, שאפשר להקצות ולשחרר במהירות ובמינימום מאמץ ניהולי. ההגדרה כוללת חמש תכונות, שלושה מודלי שירות וארבעה מודלי פריסה. בפועל, מה שקונים הוא חלוקת אחריות, וככל שעולים במדרג השירות, הספק מנהל יותר שכבות והעסק פחות.
| מודל השירות | מה הספק מנהל | מה נשאר באחריות העסק |
|---|---|---|
| תשתית כשירות (IaaS, Infrastructure as a Service) | חומרה, וירטואליזציה, רשת ואחסון פיזי | מערכת ההפעלה, עדכוני אבטחה, יישומים, גיבוי והרשאות |
| פלטפורמה כשירות (PaaS, Platform as a Service) | גם מערכת ההפעלה, סביבת ההרצה ומסדי נתונים מנוהלים | הקוד, הנתונים, הגדרות הגישה והתצורה |
| תוכנה כשירות (SaaS, Software as a Service) | היישום כולו, כולל עדכונים וזמינות | ניהול משתמשים והרשאות, סיווג המידע וגיבוי עצמאי כשנדרש |
דוגמה מהשטח: ספק שמציע שרת וירטואלי מוכר לעסק תשתית כשירות, והגיבוי של המידע נשאר באחריות העסק גם אם הספק מציע שירות גיבוי. תנאי השירות של VCLOUD של בזק עסקים קובעים זאת במפורש: הלקוח אחראי לגבות את המידע ולנהל אותו, ומומלץ לא להחזיק גיבוי יחיד. לכן קוראים את הסעיף על אחריות בכל חוזה, גם אצל ספק גדול.
מה צריך לבדוק בכל ספק? רשימה בעשרה שלבים
הרשימה מסדרת את הבחירה לפי סדר העבודה, ואפשר להשתמש בה כבסיס למסמך הדרישות ולבקשה להצעות מחיר.
- מיפוי עומסי העבודה. רושמים כל מערכת: מי משתמש בה, כמה משאבים היא צורכת, עד כמה היא קריטית ואילו מערכות תלויות בה.
- סיווג המידע. קובעים איזה מידע אישי, פיננסי או רגיש נשמר בכל מערכת. הסיווג קובע את דרישות האבטחה ואת מיקום האחסון המותר.
- מיקום המידע. מבררים אם הספק יכול לשמור את המידע ואת הגיבויים באזור בישראל, ואם השירות הדרוש זמין באותו אזור.
- אבטחה והסמכות. מבקשים את ההסמכות של השירות הספציפי ולא של הספק בכלל, ובודקים הצפנה במנוחה ובתעבורה, אימות רב-שלבי ורישום פעולות.
- הסכם רמת שירות. בודקים מה הספק מתחייב לגבי זמינות, זמני תגובה לתקלות ופיצוי, ומה מוחרג.
- מודל התמחור. מפרקים כל הצעה לרכיבים ומבקשים יציבות מחיר לתקופה מוגדרת.
- קישוריות. בודקים את הקו מהעסק לענן, את קצב ההעלאה ואת השרידות שלו. בשירותי קול ווידאו זה תנאי סף.
- ניהול ותמיכה. מוודאים שיש ממשק ניהול נוח, תמיכה בשעות ובשפה שמתאימות לעסק וגורם אחראי לתקלות.
- אסטרטגיית יציאה. לפני החתימה בודקים באילו פורמטים אפשר לייצא את המידע, כמה זה עולה ותוך כמה זמן.
- פיילוט. מתחילים בשירות אחד או בסניף אחד, מודדים ביצועים ועלות, ורק אז מרחיבים.
איפה יישמר המידע? אזורי ענן בישראל
אזור ענן (Cloud Region) הוא מיקום גיאוגרפי שבו הספק מפעיל כמה מרכזי נתונים, ואזור זמינות (Availability Zone) הוא מרכז נתונים או קבוצה של מרכזים בתוך האזור, עם חשמל, קירור ורשת נפרדים. הפרטים שבטבלה נלקחו מהמסמכים הרשמיים של הספקים.
| ספק | אזור בישראל | מה מאומת ומה לבדוק |
|---|---|---|
| AWS | Israel (Tel Aviv), il-central-1 | שלושה אזורי זמינות. האזור כבוי כברירת מחדל ויש להפעילו בחשבון |
| Google Cloud | Tel Aviv, me-west1 | שלושה אזורים: me-west1-a, me-west1-b ו-me-west1-c |
| Microsoft Azure | Israel Central | שלושה אזורי זמינות. לא בכל שירות יש תמיכה באזורי זמינות |
| Oracle Cloud | Israel Central (Jerusalem), il-jerusalem-1 | תחום זמינות (Availability Domain) אחד |
| בזק עסקים | חוות השרתים של בזק (VCLOUD) | המיקום המדויק אינו מצוין בעמודי השירות של בזק, ולכן שואלים אותו בהצעה |
סלקום עסקים ופרטנר עסקים מציגות באתריהן עמודי אירוח שרתים וחוות שרתים. פרטים כמו המיקום ורמת השרידות מבררים מול כל ספק בכתב, וכך גם לגבי הוט עסקים, שעמודי שירותי הענן שלה לא אומתו כאן. לעסק פרטי הלקח פשוט: בודקים בכל שירות באיזה אזור הוא רץ, איפה נשמרים הגיבויים ואם רכיבים כמו ניטור ותמיכה מעבדים מידע מחוץ לאזור.
מה הרגולציה בישראל מחייבת לפני מעבר לענן?
תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף באוגוסט 2025. לפי המדריך המקצועי של הרשות להגנת הפרטיות, התיקון עדכן את ההגדרות המהותיות של החוק, והגדרת מחזיק במאגר מידע הורחבה כך שהיא כוללת כל גורם חיצוני לבעל השליטה שמעבד מידע עבורו. המונח עיבוד כולל כל פעולה על מידע אישי, ובהן אחסון והעתקה. הרשות רשאית להטיל עיצומים כספיים גם על הפרה של חובות בקרה ופיקוח על גורם חיצוני.
המשמעות לבחירת ספק היא שהעברת מערכת לענן לא מעבירה את האחריות החוקית. בעל המאגר נשאר אחראי, ולכן החוזה צריך להגדיר מה הספק עושה עם המידע, היכן הוא נשמר, איך ומתי מדווחים על אירוע אבטחה ומה קורה למידע בסיום ההתקשרות. תנאי השירות של בזק, למשל, קובעים שהלקוח נושא באחריות למידע ולאבטחתו ולעמידה בחוק הגנת הפרטיות ובתקנות אבטחת המידע שמכוחו. אין בכך ייעוץ משפטי, ובגופים מפוקחים נדרשת בדיקה משפטית נפרדת.
כמה עולה שירות ענן ואיך שולטים בעלות?
אין מחיר אחד לענן. העלות נגזרת מהמשאבים, ממודל הרכישה, מהתעבורה ומהשירותים הנלווים, ולכן משווים עלות כוללת לתקופה ולא מחיר חודשי של רכיב בודד.
- מבקשים פירוק של כל הצעה למחשוב, אחסון, תעבורה יוצאת (Egress), רישוי, גיבוי ותמיכה.
- מתאימים את גודל השרתים לשימוש בפועל (Rightsizing) ובודקים אותו מחדש מדי רבעון.
- מתייגים כל משאב לפי מחלקה או פרויקט, כדי לדעת מי צורך מה.
- מגדירים תקציב והתראות חריגה בממשק הספק כבר ביום הראשון.
- בודקים מראש את עלות הוצאת המידע בגיבוי ובשחזור, שנוטה להפתיע.
שאלות תמחור שכדאי לשאול כל ספק: מה כלול במחיר הבסיס ומה מחויב בנפרד, האם יש התחייבות למחיר ומה מנגנון העדכון, ומה עולה הוצאת המידע בסיום. בנוסף, האם הספק רשאי לעדכן מחיר באמצע התקופה. בחוזה של בזק עסקים, למשל, בזק רשאית לעדכן מחירים בהודעה מראש בכתב, ולכן את זכות העדכון בודקים גם אצל שאר הספקים.
על מה לשים לב בהסכם רמת השירות ובשרידות?
אפילו ספקים גדולים חווים תקלות, ולכן השאלה היא לא רק כמה תשיעיות הספק מבטיח, אלא מה העסק עושה כשהשירות נופל. מגדירים שני יעדים לכל מערכת: יעד נקודת שחזור (RPO), כלומר כמה מידע מותר לאבד, ויעד זמן שחזור (RTO), כלומר תוך כמה זמן חוזרים לפעול. אחר כך בודקים אם הארכיטקטורה המוצעת עומדת בהם, למשל פריסה על כמה אזורי זמינות, גיבוי מחוץ לחשבון הראשי ופתרון התאוששות מאסון למערכות הקריטיות.
בהסכם עצמו בודקים מה נחשב זמינות, איך מודדים אותה, מהם החריגים כמו תחזוקה מתוכננת וכוח עליון ומה הפיצוי. בחוזים רבים הפיצוי הוא זיכוי בשירות ולא כיסוי הנזק העסקי. בתנאי השירות של בזק, כך למשל, אם בית משפט מוסמך קבע שבזק אחראית לנזק, הפיצוי מוגבל לעלות החודשית של השירותים. את הפרק הזה בהסכם קוראים לפני החתימה.
איך נמנעים מנעילת ספק?
נעילת ספק היא מצב שבו המעבר לספק אחר יקר או מורכב כל כך שהעסק נשאר גם כשהשירות או המחיר כבר לא מתאימים. הסיכון עולה ככל שמסתמכים על יותר שירותים קנייניים של ספק מסוים.
- דורשים בחוזה זכות לייצוא מלא של המידע בפורמט פתוח ותקופת מעבר מוגדרת.
- מעדיפים טכנולוגיות ניידות, כמו מכולות (Containers) ומסדי נתונים בתקן פתוח, על פני שירותים שאין להם מקבילה אצל ספקים אחרים.
- מתעדים את התשתית כקוד (Infrastructure as Code), כדי שאפשר יהיה להקים אותה מחדש.
- מגבילים את תקופת ההתחייבות הראשונה ונמנעים מחבילות שמצמידות שירותים שונים למחיר אחד ללא פירוט.
אילו הסמכות אבטחה כדאי לבקש מספק ענן ומה כל אחת מוכיחה?
הסמכה אינה תחליף לבדיקה, אבל היא מעידה שגורם חיצוני בחן תהליכים של הספק. ארבעה מסמכים נפוצים בבקשות להצעות:
- ISO/IEC 27001: תקן לניהול מערכת אבטחת מידע בארגון. בודקים מה היקף ההסמכה, כלומר אילו אתרים ושירותים היא מכסה.
- ISO/IEC 27017: הנחיות אבטחה ייעודיות לשירותי ענן, כולל חלוקת האחריות בין הספק ללקוח.
- ISO/IEC 27018: הגנה על מידע אישי שמעובד בענן, רלוונטי כשהמערכת מחזיקה מידע על לקוחות או עובדים.
- SOC 2 Type II: דוח של מבקר חיצוני על אפקטיביות הבקרות לאורך תקופה, ולא רק על קיומן ביום מסוים.
שלוש שאלות משלימות: האם התעודה בתוקף ומה תאריך הסיום שלה, האם היא חלה על השירות ועל האזור שנקנה, והאם הספק מוכן למסור את הדוח או התעודה בכתב. ספק שמצטט הסמכה אך אינו מציג אותה, או שההסמכה היא של חברת האם בלבד, מקבל סימן שאלה בטבלת ההשוואה.
איך מנהלים את הספק אחרי המעבר?
בחירת הספק היא תחילת הקשר ולא סופו. עסק שאינו בודק את הספק אחרי החתימה מגלה בדרך כלל חריגות רק בחשבונית או אחרי תקלה. מנהל מוסכם של סקירה רבעונית קצרה מצמצם את הסיכון:
- עלות בפועל מול ההצעה, לפי רכיבים, וזיהוי משאבים שאינם בשימוש.
- דוח זמינות וזמני תגובה מול ההתחייבות בהסכם, וגם דרישת פיצוי כשיש חריגה.
- סקירת הרשאות: מי רשאי לנהל את החשבון, מי עזב את הארגון ועדיין מחזיק גישה.
- ניסוי שחזור מגיבוי למערכת אחת לפחות, ומדידה מול יעדי RPO ו-RTO.
- עדכון הרשימה של שירותי הספק שבשימוש, כדי לזהות תלות חדשה שנוצרה בלי החלטה מסודרת.
הסקירה היא גם הזדמנות לבחון אם הצרכים השתנו, למשל אם מערכת עברה מתשתית כשירות לשירות מנוהל, או אם יש הצדקה להעביר עומס לאזור אחר.
איך מבצעים מעבר בלי לפגוע בפעילות?
מעבר מוצלח מתבצע בשלבים. קודם מעבירים שירות פשוט ובעל סיכון נמוך, כמו דואר, קבצים או גיבוי. אחר כך מעבירים מערכות ליבה, כל אחת עם תוכנית חזרה מוגדרת, ובכל שלב מודדים ביצועים, עלות ושביעות רצון של המשתמשים.
צריך לתכנן במקביל גם את התקשורת. מעבר לענן מגדיל את התלות בקו האינטרנט, ולכן בודקים קו גיבוי, תעדוף תעבורה וקצב העלאה מספיק, במיוחד כשעובדים מול שרת מרוחק. מידע על קו ייעודי נמצא במדריך קו תמסורת. גם שינוי הרגלי העבודה, כמו עבודה מרחוק ועבודה משותפת על מסמכים, הוא חלק מהפרויקט ולא תוצר לוואי שלו.
בחירת ספק ענן עם טלקום אקספרט
טלקום אקספרט היא אינטגרטור תקשורת עם מעל 25 שנות ניסיון. מהנדס תקשורת ממפה את המערכות, בודק את חיבור האינטרנט ואת הרשת, מסייע בניסוח מסמך הדרישות וקורא יחד איתכם את ההצעות שהתקבלו. השירות מיועד לעסקים ולארגונים בלבד, ללא התחייבות.
איזה שירות של טלקום אקספרט מתאים לשלב הבחירה?
בכל אחד מהשלבים שלהלן אפשר לקבל ליווי נפרד או חבילה מלאה, והמחיר נקבע לפי היקף המערכות.
| שירות של טלקום אקספרט | מה כולל |
|---|---|
| מיפוי מערכות וסיווג מידע | רשימת עומסי העבודה, רמת הקריטיות והתלויות בין המערכות, וסיווג המידע הנמצא בכל מערכת. |
| מסמך דרישות ובקשה להצעות | ניסוח אחיד של מסמך הדרישות לכל הספקים, הכולל שאלות על אבטחה, זמני שירות (SLA) ותנאי יציאה. |
| בדיקת הצעות והסכם | פירוק ההצעה לרכיבים, קריאת תנאי היציאה, המחיר והפיצוי, לפני חתימה על ההסכם. |
| סקירה רבעונית של הספק | בדיקה רבעונית של העלות, הזמינות, ההרשאות וניסוי שחזור, והשוואתם להתחייבויות שבהסכם, עם דוח לעסק. |
| מרכזיה בענן, החל מ-20 ש"ח לשלוחה לחודש, מינימום 60 ש"ח | שלוחות, נתב שיחות והקלטה, עם ניוד המספרים הקיימים של העסק אל המרכזיה בענן. |
| קבלו הצעת מחיר | |
לייעוץ ללא התחייבות: 077-8123111.
שאלות נפוצות על בחירת ספק ענן לעסק
אילו שאלות מוסיפים לבקשה להצעות מספקי ענן?
שואלים באיזה אזור רץ כל שירות וכל גיבוי, אילו הסמכות יש לשירות הספציפי, מה ההסכם מבטיח לזמינות ומה הפיצוי, ובאיזה פורמט ובאיזה מחיר מוציאים את המידע. שואלים גם מה מחויב בנפרד ומי עונה בתקלה. עסק בינוני יבקש לפחות שתי הצעות על בסיס אותו מסמך דרישות ויריץ פיילוט קצר לפני התחייבות ארוכה.
האם עסק חייב לאחסן את המידע שלו בישראל?
לא בכל מקרה. החובה תלויה בסוג המידע, בתחום הפעילות ובהסכמים עם הלקוחות, ובגופים מפוקחים הדרישות מחמירות יותר. מכיוון שארבעה ספקי ענן ציבורי מפעילים אזור בישראל, ברוב המקרים אפשר לשמור את המידע בארץ, אבל בודקים זאת בכל שירות ובכל גיבוי.
האם עדיף לקנות ענן ישירות מהספק הגדול או דרך חברת שירותים מנוהלים?
ספק ענן גלובלי מספק את התשתית ואת השירותים עצמם. ספק שירותים מנוהלים (MSP, Managed Service Provider) מתכנן, מקים ומתפעל עבור העסק את הסביבה, לרוב על תשתית של ספק גדול. עסק בלי צוות IT פנימי יכול לרכוש את הניהול כשירות, אבל צריך לוודא שהחשבון והמידע רשומים על שמו.
באיזה סדר מעבירים מערכות לענן?
מתחילים בשירות פשוט ובעל סיכון נמוך, כמו דואר, קבצים או גיבוי, ורק אחר כך מעבירים מערכות ליבה עם ממשקים רבים, כל אחת בשלבים. לכל מערכת מגדירים תוכנית חזרה, וכדאי לכלול בלוח הזמנים גם הדרכת משתמשים ותקופת עבודה במקביל.
אילו עלויות נסתרות כדאי לחפש בהצעת ענן?
מבררים מראש את עלות תעבורת הנתונים היוצאת, שמפתיעה בגיבוי ובשחזור, ואת עלות התמיכה בכל רמה ואת הרישוי של התוכנות. בודקים גם מה קורה כשהשימוש יורד מתחת להתחייבות ואת עלות הוצאת המידע בסיום. כדי למנוע חריגה מגדירים תקציב והתראות בממשק הספק כבר ביום הראשון ומתייגים כל משאב.
מי אחראי למידע שנשמר אצל ספק ענן?
החלוקה תלויה במודל השירות. הספק אחראי לתשתית, והלקוח אחראי להגדרות, להרשאות ולמידע, כפי שכתוב למשל בתנאי השירות של בזק עסקים. לפי תיקון 13, בעל המאגר נשאר אחראי גם כשהמידע מעובד אצל גורם חיצוני, ולכן נדרשים אימות רב-שלבי, הצפנה ובקרה שוטפת.
מה זה RPO ו-RTO ואיך קובעים אותם?
יעד נקודת שחזור (RPO) קובע כמה מידע מותר לאבד, ויעד זמן שחזור (RTO) קובע תוך כמה זמן המערכת חוזרת לפעול. קובעים אותם לכל מערכת לפי הנזק העסקי של השבתה ושל אובדן נתונים. אחר כך בודקים שהגיבוי וההתאוששות מאסון שהספק מציע עומדים ביעדים.
אילו הסמכות אבטחה כדאי לבקש מספק ענן?
מבקשים תעודת ISO/IEC 27001 לניהול אבטחת מידע, ובמידת האפשר גם 27017 לשירותי ענן ו-27018 להגנה על מידע אישי בענן, וכן דוח SOC 2 מסוג II. חשוב לוודא שההסמכה חלה על השירות והאזור שהעסק קונה ושהיא בתוקף, ולבקש את התעודה או הדוח בכתב.
