תוכנית תגובה לאירוע סייבר: מה חייבים להכין מראש (לפני שהדברים נהיים מעניינים מדי)

אם יש מסמך אחד שלא רוצים לכתוב בלילה, עם קפה קר, בזמן שכולם שואלים ״מה קורה?!״ – זה תוכנית תגובה לאירוע סייבר.

החדשות הטובות: אפשר להכין מראש תהליך ברור, קל להפעלה, כזה שמייצר שקט. כן, גם כשהאינטרנט מחליט לבחון את העצבים של כולם.

המטרה פה פשוטה: שתהיו מוכנים, בלי דרמה, בלי אלתורים, ועם מינימום זמן מסך מיותר בשיחות בהולות.

למה בכלל צריך תוכנית? הרי יש לנו אנטי וירוס, לא?

אנטי וירוס זה נחמד. גם חגורת בטיחות זה נחמד.

אבל כשיש אירוע – מה שעוזר באמת הוא לא עוד כלי. זו שיטה.

תוכנית תגובה טובה עושה שלושה דברים במקביל:

• מצמצמת נזק – כי דקות ראשונות שוות זהב.
• מורידה לחץ – כי כולם יודעים מה עושים ומי עושה.
• מייצרת המשכיות – העסק ממשיך לעבוד, גם אם חלק מהמערכות לקחו ״חופשה״ לא מתוכננת.

ואם אתם חושבים ״טוב, אצלנו זה לא יקרה״ – מעולה. בדיוק ככה חושבים עד שזה כן קורה.

הבסיס: מה חייב להיות כתוב, ברור, וזמין גם כשלא זמין

תוכנית תגובה לא אמורה להיות רומן. היא אמורה להיות מדריך הפעלה.

ועוד פרט קטן: היא חייבת להיות זמינה גם כשאין גישה למייל, לתיקיות שיתופיות, או למערכת הכרטיסים.

כלומר, צריך עותק אופליין. מודפס או מאוחסן בצורה שלא תלויה בסביבה שנפגעה.

1) ״מי עושה מה?״ – צוות תגובה עם תפקידים שלא מתווכחים עליהם

החלק הכי מבוזבז בזמן אירוע הוא הוויכוח הסמוי: מי מוביל, מי מחליט, מי מדבר עם מי.

במקום זה, מגדירים מראש:

• Incident Commander – האדם שמנהל את האירוע, מתעדף, ומחזיק את ההגה.
• אבטחת מידע/סוק – מי שמזהה, מנתח, וממליץ על פעולות.
• IT ותשתיות – מי שמבצע בידוד, חסימות, ושינויים טכניים.
• אפליקציה/דבאופס – מי שיודע מה יישבר אם ננתק משהו, ואיך להחזיר חיים.
• משפטי וציות – מי שמסייע בהחלטות רגישות, תיעוד, והודעות חובה.
• תקשורת – מי שמדבר החוצה והפנים. אחד. לא חמישה.
• ביזנס – מי שמגדיר מה הכי חשוב להחזיר קודם.

טיפ קטן עם אפקט גדול: לכל תפקיד מגדירים גם מחליף. אנשים אוהבים לצאת לחופשה בדיוק כשלא צריך.

2) ״איך מדברים כשהכול רועד?״ – ערוצי תקשורת חלופיים

אם התוקף נוגע במייל – והמייל הוא ערוץ התיאום – אתם משחקים שחמט בלי לוח.

לכן מראש מגדירים:

• ערוץ חירום שלא תלוי ב-SSO הארגוני (למשל קבוצת מסרים ייעודית).
• רשימת טלפונים מעודכנת, כולל ספקים קריטיים.
• מילת קוד פשוטה כדי לוודא שמי שמתקשר הוא באמת מי שהוא אומר שהוא.

נשמע כמו סרט ריגול? יופי. רק בלי הפסקול.

3) ״מתי זה באמת אירוע?״ – טריאז׳ ודירוג חומרה שלא עושים לפי תחושת בטן

הגדרה מראש של רמות חומרה חוסכת החלטות יקרות בזמן אמת.

דוגמה לגישה פרקטית:

• חומרה 1 – השבתה רחבה, דליפת מידע סבירה, או פגיעה בלקוחות.
• חומרה 2 – פגיעה נקודתית עם פוטנציאל התרחבות.
• חומרה 3 – חשד/איתות שדורש בדיקה, אבל לא גורר קפיצה של כולם מהמיטה.

לכל רמה מצרפים: זמן תגובה, מי מאשרים צעדים קיצוניים, ומה מודיעים למי.

הקסם האמיתי: הכנות טכניות שעושות את ההבדל בין ״סדר״ ל״סיפור״

פה אין מקום למילים יפות. יש מקום להרגלים טובים.

4) לוגים, טלמטריה, ושעון אחד לכולם – כי בלי זה אתם עיוורים

כשיש אירוע, כולם שואלים ״מתי זה התחיל?״.

אם אין לוגים טובים, התשובה היא בדרך כלל ״מתישהו״. וזה לא עוזר.

מה להכין מראש:

• איסוף לוגים מרכזי מהנקודות הקריטיות: זהויות, תחנות קצה, שרתים, ענן, WAF, VPN.
• סנכרון זמן עקבי (NTP) – בלי זה, הקורלציה תהיה כמו פאזל עם חלקים של סט אחר.
• שמירת לוגים לתקופה שמאפשרת חקירה אמיתית, לא רק ״שבוע אחורה״.

בונוס: דשבורד ״מצב חירום״ שמציג את האותות הכי חשובים. בלי קישוטים.

5) בידוד מהיר: פלייבוקים שמאפשרים לחתוך בלי לפחד

בזמן אירוע, בידוד הוא חבר. אבל בידוד אגרסיבי יכול גם לשבור תהליכים עסקיים.

לכן מראש מגדירים פלייבוקים כמו:

• איך מנתקים תחנה חשודה מהרשת בלי למחוק ראיות.
• איך מבטלים טוקנים/סשנים למשתמשים שנפגעו.
• איך מחליפים סיסמאות מפתחות וגישה בצורה מסודרת.
• איך סוגרים גישה חיצונית זמנית בצורה שלא תגרום לפאניקה אצל לקוחות.

העיקרון: החלטות קשות נשענות על דפים קלים.

6) גיבויים ושחזורים: לא ״יש לנו גיבוי״ – אלא ״בדקנו שחזור״

להגיד שיש גיבוי זה כמו להגיד שיש מצנח. השאלה אם הוא נפתח.

מה להכין מראש:

• מיפוי מערכות קריטיות ומה היעדים שלהן: RPO ו-RTO ברורים.
• גיבוי מופרד מהדומיין ומההרשאות הרגילות, כדי שלא ייפגע יחד עם הכול.
• בדיקות שחזור קבועות, מתועדות, עם לקחים ושיפורים.
• תסריט שחזור מדורג – מה מחזירים קודם כדי להחזיר שירות, לא כדי להרגיש טוב.

אף אחד לא רוצה לגלות בזמן אמת שהגיבוי הוא בעצם אוסף קבצים עצובים בלי יכולת שימוש.

החלק שאנשים שוכחים: החלטות עסקיות, תקשורת, ואמון

אירוע סייבר הוא לא רק טכני. הוא גם אנושי.

7) מטריצת החלטות: מי מאשר מה, ובאיזה סף

כשהטון עולה, קל ליפול לשני קצוות: לשתק הכול או לא לעשות כלום.

מטריצת החלטות מראש עוזרת להישאר באמצע החכם.

• מי מאשר ניתוק שירותים חיצוניים.
• מי מאשר איפוס גורף של סיסמאות.
• מי מאשר מעורבות של ספק חיצוני.
• מי מאשר הודעה ללקוחות, ואיך מנוסח המסר.

כשהכול כתוב מראש, יש פחות ״רק עוד אישור אחד״.

8) הודעות פנימיות וחיצוניות: פחות דרמה, יותר בהירות

אנשים אוהבים ודאות. גם כשאין.

לכן מכינים מראש תבניות הודעה:

• פנימית – מה ידוע, מה לא ידוע, ומה מבקשים מהעובדים לעשות עכשיו.
• ללקוחות – מה ההשפעה, אילו צעדים ננקטו, ואיך מקבלים תמיכה.
• לספקים – מה צריך מהם, באיזה דחיפות, ואיזה מידע לשתף.

מסר טוב הוא קצר, עקבי, ולא מתנצל על זה שהוא מקצועי.

9) תיעוד: כן, גם כשהידיים רועדות

תיעוד נשמע משעמם. עד שהוא מציל אתכם אחר כך.

מה לתעד בזמן אמת:

• ציר זמן של אירועים והחלטות.
• מי ביצע איזה שינוי ומתי.
• אינדיקטורים שנמצאו (לפי מדיניות שיתוף פנימית).
• הנחות עבודה – כדי לא לחזור על אותן טעויות פעמיים.

התיעוד הוא גם בסיס ללמידה וגם עוגן לשקיפות בריאה.

5 שאלות ותשובות שחוסכות התלבטויות (ומיילים בשתיים בלילה)

שאלה: מתי מפעילים את התוכנית ולא ״רק בודקים רגע״?
תשובה: כשיש השפעה על זמינות, שלמות מידע, זהויות, או אינדיקציה סבירה להתפשטות. אם אתם מתווכחים יותר מחמש דקות – כנראה שכבר צריך להפעיל.

שאלה: מה הדבר הראשון לעשות כשיש חשד לתחנה נגועה?
תשובה: לבודד מהרשת בצורה שמכבדת חקירה, ולהתחיל תיעוד. לא למחוק, לא ״לנקות״, ולא לעשות ריסט כאילו זה פותר רגשות.

שאלה: האם כדאי להחליף סיסמאות לכולם מיד?
תשובה: לפעמים כן, אבל לא כאוטומט. קודם להבין היקף פגיעה בזהויות, ואז לבצע החלפה מדורגת עם ביטול סשנים וטוקנים. אחרת אתם יוצרים אירוע משני: כאוס תפעולי.

שאלה: איך יודעים מה להחזיר קודם בשחזור?
תשובה: לפי שירותים שמייצרים ערך עכשיו: מערכות ליבה, תמיכה, מערכות כספיות קריטיות. לא לפי מה שהכי כיף לשחזר.

שאלה: מה הסימן שתוכנית התגובה שלכם טובה?
תשובה: כשאפשר להפעיל אותה גם עם חצי צוות זמין, כשהמסרים ברורים, וכשכולם יודעים מה הצעד הבא בלי להמציא מחדש את הארגון.

שדרוג קטן שמרגיש כמו טורבו: תרגול, תרגול, ושוב תרגול

תוכנית שלא מתרגלים היא כמו מפת אוצר שלא בדקו אם האוצר עדיין שם.

מה לעשות בפועל:

• Tabletop אחת לתקופה – סימולציה סביב שולחן עם שאלות קשות, בלי להדליק שרתים.
• תרגול טכני – שחזור מגיבוי, בידוד, החלפת מפתחות, והפעלה מחדש.
• תרגול תקשורתי – ניסוח הודעות, אישורים, וסנכרון בין גורמים.
• לקחים – לא כטקס. כמנוע שיפור. קצר, ברור, עם משימות וסגירה.

הקטע היפה: תרגול טוב הופך אירוע עתידי להרבה פחות מפחיד. לפעמים אפילו די משעמם. וזה מחמאה.

עוד שתי נקודות שחכמות מדי כדי להשאיר לסוף (אז שמתי אותן כמעט בסוף)

ראשית, תנו מקום לספקים הנכונים.

זה כולל מי שמחזיקים תשתיות, מי שמספקים שירותי אבטחה, ומי שמסוגלים לעזור בחקירה והקשחה.

שנית, שמרו על קשרים מקצועיים וידע עדכני ממקורות אמינים. לפעמים זה ההבדל בין ״לקחנו החלטה טובה״ לבין ״לקחנו החלטה רועשת״.

אם אתם רוצים נקודת ייחוס מקצועית לקריאה והיכרות, אפשר להסתכל על אילון אוריאל וגם על אילון אוריאל בלינקדאין.

בסוף, תוכנית תגובה לאירוע היא לא מסמך שמכינים כדי ״לצאת ידי חובה״. היא דרך עבודה שמייצרת ביטחון, סדר, ואפילו קצת גאווה מקצועית כשדברים מתחממים.

ככל שתכינו יותר מראש – אנשים ירגישו פחות לחץ, תקבלו החלטות טובות יותר, ותצאו מהצד השני חזקים יותר, מגובשים יותר, ובעיקר עם הרבה פחות סיפורים מביכים לספר אחר כך.