# אחרי השבתה או פריצה, איך יודעים שהאירוע טופל כמו שצריך?

תמיר חסון · עדכון 2026-10-07

בקשו הסבר מבוסס ראיות: איך התרחשה החדירה או התקלה, כמה זמן נדרש לזהות אותה ולחזור לפעילות, ומדוע. לאחר מכן בדקו מה שונה מאז, באימות של גורם שלא השתתף בטיפול באירוע. דוח שעונה באמצעות לוגים ותאריכים אפשר לקבל; דוח שמסתפק בשבחים ובהצהרות כלליות אי אפשר לקבל.

## בלימת האירוע היא רק תחילת הבדיקה

דרשו ציר זמן מבוסס ראיות, מהסימן הראשון לאירוע ועד לחזרה מלאה לשגרה. בחינת הגורמים צריכה לכסות את הגילוי והשחזור לצד הטריגר עצמו. אם תחקיר מאשים מפעיל יחיד או ספק בודד, בררו אילו היבטי גישה, התראות ותכנון מערכתי נבדקו.

לכל פעולה מתקנת דרושים אחראי, יעד מוגדר ומבחן שמוכיח שהיא הצליחה. שאלו אם אותה חולשה מופיעה במקומות נוספים במערכות שלכם. תיקון שמונע הישנות אינו מטפל במי שכבר נפגעו, לכן בררו מי בודק ומתקן מקרים קודמים.

## מי מוודא את התיקונים

דוח האירוע נכתב לרוב על ידי הצוות שהפעיל את המערכות, או על ידי הספק שהמערכת שלו כשלה. דאגו שהשינויים המרכזיים יאומתו על ידי גורם מחוץ לאותו צוות לפני שאתם מגדירים אותם כסגורים.

אם ספק גרם לכך, זיכויי שירות הם הפתרון הזול ביותר מבחינתו. דרשו את סיבת השורש בכתב, שינויים מונעים עם תאריכים ואת הזכות לבדוק אותם בפועל. לאחר מכן בחנו את התוכנית שלכם להמשך פעילות במקרה של כשל, כי החלק הזה באחריותכם.

## מה חשוב לבדוק בכל תפקיד

אם אתם חברי דירקטוריון, ההחלטות שלכם הן אלו ששמורות רק לכם: עמדה לגבי כופר, חובת דיווח, תקשורת מרכזית וסמכויות מוביל התגובה. דרשו רשימת משימות פתוחות עם אחראים ותאריכים, ועדכון שוטף עד לסגירתן. בנוסף, שאלו אילו אירועים קטנים יותר נותרו מתחת לסף הדיווח שנקבע לכם.

אם אתם מנכ"לים והדירקטוריון שואל אם להחליף את הנהלת ה-IT או את ספק השירות, התחילו בבדיקת האירוע. קבל תחקיר מגורם שלא היה אחראי למניעת המחדל. תשפוט אנשים לפי ההחלטות שהוטלו עליהם ותוקצבו בפועל. איש אינו יכול להבטיח שזה לא יקרה שוב; התחייבות שפרצות ידועות נסגרו ומנוטרות היא ברת-ביצוע.

## מה לבדוק לפני שמחליטים

- דרשו פירוט של נתיב החדירה או הגורם לתקלה, והוכחה לכך שהבעיה תוקנה, שאומתה בידי גורם שלא השתתף בטיפול באירוע.
- בררו מדוע נדרש פרק הזמן הזה לזיהוי האירוע ולחזרה לפעילות.
- בקשו לכל פעולה מתקנת שם של אחראי, תאריך יעד ובדיקה שמוכיחה שהצליחה.
- בדקו אם אותה נקודת תורפה קיימת גם במערכות נוספות שלכם.
- דרשו תיעוד של ההודעות שנשלחו לרגולטורים, ללקוחות ולמבטחים, והמועד שבו נשלחה כל הודעה.
- בררו אילו נושאים טרם טופלו, מי אחראי לכל אחד, מה המועד לטיפול ומה הסיכון עד אז.
- אם הספק גרם לאירוע, בדקו בחוזה מה אפשר לדרוש מעבר לזיכוי על השירות.

## שאלות נפוצות

### ועדת הביקורת קיבלה דוח הנהלה שלפיו אירוע הסייבר טופל היטב, איך נדע שזה נכון?

תדרוש הוכחות מאחורי שלוש קביעות: איך התוקף נכנס והאם הפרצה נחסמה, כמה זמן לקח הזיהוי ומדוע, ומה שונה מאז בצירוף ראיות. דוח שמציג לוגים ותאריכים אפשר לקבל; דוח שמסתפק בשמות תואר – לא. הכל תלוי בשאלה האם גורם מחוץ לצוות התגובה אימת את השינויים.

### ועדת הביקורת קיבלה דוח על ההשבתה, עם הסבר לסיבה ופעולות לתיקון. איך בודקים אם הוא מספק?

תבדוק שלושה דברים: האם ציר הזמן שוחזר ברמת הדקה על בסיס נתונים, האם הסיבות מנתחות את הזיהוי וההתאוששות לצד הטריגר, והאם לכל משימה יש אחראי, תאריך ובדיקת הצלחה. דוח שחסר בו אחד מאלה אינו שלם. זה תלוי במעורבות ספקים ובציפיות הרגולטור.

### מתקפת כופר בעיצומה, מה תפקיד הדירקטוריון תוך כדי האירוע?

תפקיד הדירקטוריון מתמצה בהחלטות ששייכות לשולחנו: סוגיית תשלום הכופר, דיווח לרגולטורים ולשוק ההון, מסרים מרכזיים ללקוחות ולציבור, והגדרת סמכויות מנהל האירוע. כל היתר נשאר אצל ההנהלה. תקבע קצב עדכונים מהיר ואיש קשר יחיד. זה תלוי בחובות הגילוי ובתוכנית המענה לאירועים.

### הרגולטור פתח בבירור לאחר קריסת מערכות השירות. איך הדירקטוריון מתעד מה ידע ומה החליט לפני האירוע?

תשחזר מה הוצג לדירקטוריון על המערכות, השרידות והתקלות לפני הקריסה, ומה החליט; ואז תסמן איפה ראוי היה להקשות. תיאור כן שכולל שינויים שכבר יושמו משרת את הדירקטוריון טוב יותר מגישה מתגוננת. הדבר תלוי בפרוטוקולים ובדרישות החקירה לגבי הממשל התאגידי.

### מידע של מנויים דלף וההנהלה הציגה תגובה, מה הדירקטוריון חייב לדרוש מעבר לכך?

תדרוש את הסיבה בליווי הוכחות, את התיקונים שסוגרים אותה באישור גורם חיצוני לצוות, תיעוד פניות לרגולטור ולמנויים, ובדיקה איפה עוד קיים אותו כשל. לאחר מכן, שגרת דיווח עד לאימות מלא של השינויים. זה תלוי באופן שבו אירעה הדליפה ובדרישות ההמשך של הרגולטור.

### תקרית אבטחה חשפה פרומפטים ומידע של לקוחות, מה דירקטוריון של סטארטאפ צריך לדרוש מעבר לבלימה?

תדרוש סיבת שורש מוכחת, תיקונים שנבדקו מחוץ לצוות, דיווחי לקוחות ומועדיהם, ואת הבקרות שהיו מונעות זאת: הרשאות, ניטור, שמירת דאטה והפרדת סביבות. בהמשך, תוכנית לעמידה בתקנים שלקוחות ידרשו מעכשיו. הכל תלוי בנסיבות האירוע ובחוזי הלקוחות.

### מה כדאי לדירקטורים לשאול כשבדיקת אירוע בבית זיקוק מאשימה מפעיל בודד?

תדרוש הסבר שבוחן אמצעי הבקרה והנסיבות שתרמו לאירוע. סגירה אפקטיבית נשענת על סיבות שניתן לשחזר, ראיות לפסילת חלופות, וצעדים שחורגים מהתנהגות הפרט.

### האם ועדת הביקורת צריכה לבדוק אירועי טכנולוגיה שההנהלה לא העבירה לידיעתה?

תבדוק גם את האירועים וגם את הכללים שהסתירו אותם מעיני הוועדה. המענה תלוי בהשפעה מצטברת, תקלות חוזרות, ומחויבויות מול גורמי בקרה וייעוץ משפטי.

### מה על גורמי פיקוח ציבורי לדרוש לאחר שתוכנה שגתה בהחלת כללי שירות?

תחייב את ההנהלה למפות את היקף הנפגעים, לקבוע תחומי אחריות לתיקון, ולהציג הוכחה שהכלל מיושם כעת כשורה. תיקון עתידי לבדו אינו מרפא נזקי עבר, ועל הגורמים המשפטיים והתפעוליים לקבוע כיצד לתקן את הפגיעה בתושבים ומה להסביר להם.

### שירות מקוון קרס מיד לאחר ההשקה ועלי לנמק זאת בפני ועדה, איך אברר מה קרה בצורה מהירה ואמינה?

תרכיב ציר זמן קצר מההחלטה לעלות לאוויר ועד לקריסה, כולל מי החליט, מה הוחלט ועל בסיס מה, ותצביע על שלושת הגורמים לצד פתרון לכל אחד. ועדות מקבלות תיאור ענייני עם זמנים ואחראים. זה תלוי אם הכשל טכני, נבע מהחלטה שנגדה את הממצאים, או מהיעדר מוכנות תפעולית.

### תקלה אצל הספק השביתה את המרפאות ליום שלם, והוא הציע זיכוי. מה צריך לדרוש במקום?

תדרוש בכתב את סיבת השורש, את השינויים למניעת הישנות כולל מועדים, ואת הזכות לאמת אותם; זיכוי כספי הוא המענה הזול ביותר של הספק. במקביל, תבדוק מה הקופה יכלה לעשות בעצמה כדי לשמור על רציפות, כי זה החלק שלך. זה תלוי בהסכם המשפטי ובפתרונות הגיבוי של המרפאות.

### אחרי פריצה הדירקטוריון שואל אם להחליף את הנהלת ה-IT ואת ספק השירות, איך אחליט בהגינות?

קבל סקירה על הפריצה ממי שלא היה מופקד על מניעתה: איך חדרו, למה זה לא זוהה, מדוע השחזור התארך, ומה מתוך זה נבע מהחלטות לעומת חוסר מזל. רק אז תשפוט אנשים על ההחלטות שלהם. זה תלוי אם כשלו בדברים שהוגדרו להם, או בתחומים שאיש לא הכריע בהם.

### אחרי אירוע סייבר במפעל, הדירקטוריון מבקש לדעת שהמצב בשליטה. מה אפשר להבטיח, ואיך מבססים את ההבטחה?

תספק לדירקטוריון שלושה דברים: מה התרחש ומדוע, מה עודכן מאז, ומה עדיין פתוח עם תאריכים ומובילים. הבטחה שזה לא יישנה היא פנטזיה; הבטחה שהפערים הידועים טופלו ונמצאים תחת בקרה היא מציאותית. זה תלוי בנתיב החדירה ובשאלה האם גורם חיצוני וידא את התיקונים.

## איך אני יכול לעזור בהחלטה הזו

- **שאלה או שיחה (ללא עלות):** אשתף את הזווית שלי לגבי מה כדאי לדרוש בבדיקת האירוע, ואילו סעיפים בדוחות מסוג זה לרוב נטולי הוכחות.
- **בדיקה והערכה (משלמים רק אם קיבלתם ערך):** אכתוב חוות דעת בלתי תלויה לאחר האירוע על הגורמים לכשל, התיקונים והסיכון שנותר, במסמך שהדירקטוריון יוכל להסתמך עליו. אמליץ מה לקבל, מה לדרוש ואחרי מה להמשיך לעקוב.
- **ליווי שוטף (בזמן ובקצב שמתאימים לכם):** אשאר זמין עד לסגירת כל המשימות הפתוחות, ואבדוק את הממצאים של ההנהלה לקראת כל דיווח לדירקטוריון או לוועדות.

## מתלבטים בנושא? כתבו לי

אשיב באופן אישי בתוך שני ימי עסקים, עם כיוון ראשוני.

[כתבו לי על המקרה שלכם](https://1pf.co.il/#q=%D7%97%D7%95%D7%95%D7%99%D7%A0%D7%95%20%D7%94%D7%A9%D7%91%D7%AA%D7%94%20%D7%A8%D7%A6%D7%99%D7%A0%D7%99%D7%AA%20%D7%95%D7%94%D7%94%D7%A0%D7%94%D7%9C%D7%94%20%D7%98%D7%95%D7%A2%D7%A0%D7%AA%20%D7%A9%D7%94%D7%A0%D7%95%D7%A9%D7%90%20%D7%A1%D7%92%D7%95%D7%A8.%20%D7%9E%D7%94%20%D7%A2%D7%9C%D7%99%D7%A0%D7%95%20%D7%9C%D7%93%D7%A8%D7%95%D7%A9%20%D7%9C%D7%A4%D7%A0%D7%99%20%D7%A9%D7%9E%D7%A1%D7%9E%D7%A0%D7%99%D7%9D%20%D7%95%D7%99%3F&field=other&src=guide) · [קביעת שיחה של 45 דקות](https://1pf.co.il/book/)

---

[מדריכים לקבלת החלטות](https://1pf.co.il/guides/) · [דף הבית](https://1pf.co.il/index.md)