בשנים האחרונות, שאלות אבטחה ב-due diligence עברו מסעיף "אחרים" לשאלון נפרד של 30-50 שאלות. קרנות VC גדולות כבר שולחות שאלוני אבטחה ייעודיים לפני כל השקעה משמעותית. סטארטאפים שלא מוכנים – מגלים את זה ברגע הכי גרוע.
מה בעצם שואלים משקיעים?
בניגוד לתחושה הנפוצה שזה "רק בדיקת תיעוד", due diligence אבטחה מודרנית בודקת את האמת. הנה השאלות שאנחנו רואים שוב ושוב:
- מי אחראי על אבטחת המידע בחברה? מה הניסיון שלו?
- האם אי פעם חוויתם פריצה, דלף נתונים, או אירוע אבטחה?
- מה מדיניות הגישה למערכות הייצור? האם יש MFA?
- כיצד מנוהלים סיסמאות ו-secrets? האם נעשה שימוש ב-vault?
- האם בוצע מבדק חדירה? מתי? מה היו הממצאים?
- האם יש לכם SOC 2 או ISO 27001?
- כיצד מנוהל גישת צוות ל-production?
- מה תהליך ה-offboarding של עובד?
המחיר של "לא מוכנים"
ראינו עסקאות Series A שנסגרו בגלל ממצאי due diligence אבטחה. לא כי הסטארטאפ היה "מסוכן" – אלא כי לא ידע לענות על השאלות. המשמעות: עיכוב של 3-6 חודשים לתיקון, אובדן תנאי השקעה, ולעיתים – אובדן ה-deal לגמרי.
עלות CISO as a Service לסטארטאפ היא שבריר ממה שעיכוב בסבב גיוס עולה. אם הסבב שלכם הוא $3M, עיכוב של רבעון עולה מאות אלפי דולרים באובדן הזדמנות.
מה עושה CISO חיצוני לסטארטאפ?
CISO חיצוני (Fractional CISO) מספק את מה שהסטארטאפ צריך בשלב הזה: מסגרת אבטחה בסיסית, תיעוד נכון, ויכולת לייצג את הארגון בשיחות due diligence. הוא לא מגיע לנהל את ה-IT – הוא מגיע לבנות את הסיפור הנכון ולהוכיח אותו.
- 1הערכת מצב קיים – מה יש, מה חסר, מה הסיכון האמיתי
- 2הכנת Security Overview Document – מסמך שמשקיע יכול לקרוא
- 3יישום בקרות קריטיות – MFA, secrets management, logging
- 4הכנה לשאלוני due diligence – תשובות מוכנות, ראיות, תיעוד
- 5ייצוג בשיחות עם ה-VC עצמם אם נדרש
מתי להתחיל?
התשובה הפשוטה: עכשיו. אם אתם ב-Seed ומתכננים Series A ב-6-12 חודשים הבאים – הזמן להתחיל לבנות את המסגרת הוא היום. לא כי זה דרישה רגולטורית, אלא כי זה יתרון תחרותי. חברות שמגיעות לפגישת due diligence מוכנות – מגיעות עם כוח מיקוח.