האם הארגון שלכם באמת מוכן לאירוע סייבר?

יש Firewall. יש אנטי־וירוס או EDR. יש MFA. יש גיבויים.

אז הארגון מוכן לאירוע סייבר? לא בהכרח.

אחת ההנחות הנפוצות בעולם אבטחת המידע היא שאם השקענו מספיק במניעה, אנחנו גם מוכנים לרגע שבו משהו בכל זאת יצליח לעבור את ההגנות. אלה שני דברים שונים. מערכות אבטחה נועדו לצמצם את הסיכוי לאירוע. מוכנות לאירוע עוסקת בשאלה אחרת לחלוטין: מה הארגון יעשה אם האירוע כבר התחיל?

האירוע לא מתחיל תמיד באזעקה

אירוע סייבר אמיתי לא בהכרח מתחיל בהודעה גדולה שאומרת "נפרצנו". לפעמים עובד מדווח שהוא לא מצליח לפתוח קובץ. אחר כך מגיעה תלונה ממחלקה נוספת. מישהו מבחין בפעילות חריגה בחשבון. ספק מתקשר ושואל על הודעה חשודה שקיבל. או שמערכת קריטית פשוט מפסיקה לעבוד.

בשלב הזה מתחילות השאלות:

• מי מנהל את האירוע?
• מי מוסמך לקבל החלטה על ניתוק מערכת מהרשת?
• מי מדבר עם ההנהלה, ומי עובד מול ספק ה־IT?
• מי אחראי על התקשורת עם עובדים או לקוחות?
• מה עושים אם הדואר האלקטרוני עצמו אינו זמין?
• ומה קורה אם האדם שאמור לקבל את ההחלטה נמצא בחו"ל?

הבדל של דקות או שעות באופן שבו ארגון מגיב יכול להשפיע בצורה משמעותית על המשך האירוע.

אירוע סייבר הוא לא רק אירוע של מחלקת IT

כאשר מערכת נופלת, הבעיה אולי מתחילה בטכנולוגיה. אבל ההשפעה העסקית מתפשטת במהירות:

• מחלקת המכירות אינה יכולה להגיע ל־CRM.
• הנהלת החשבונות אינה יכולה להפיק מסמכים.
• שירות הלקוחות אינו רואה היסטוריית פניות.
• ההנהלה רוצה לדעת מה היקף הנזק.
• ספקים ולקוחות מתחילים לשאול שאלות.

לכן תוכנית תגובה שמוגדרת רק בתוך מחלקת IT מחמיצה חלק משמעותי מהבעיה. אירוע סייבר משמעותי דורש בדרך כלל שילוב של טכנולוגיה, הנהלה, תפעול, משפטים, כספים, משאבי אנוש ולעיתים גם ספקים חיצוניים.

יש לכם תוכנית? מצוין. מתי השתמשתם בה לאחרונה?

ארגונים רבים מחזיקים מסמך שנקרא Incident Response Plan. זה צעד חשוב. אבל ארגון משתנה: עובדים עוזבים, מנהלים מתחלפים, מערכות חדשות נכנסות וספקים מוחלפים. מערכת שנחשבה משנית לפני שנתיים יכולה להפוך היום לקריטית.

לכן תוכנית שלא נבחנה במשך זמן רב יכולה לתאר ארגון שכבר אינו קיים. הבדיקה האמיתית אינה אם יש קובץ PDF בתיקייה. היא האם האנשים שאמורים לפעול בזמן אירוע יודעים מה מצופה מהם, והאם התהליך מתאים למציאות הנוכחית.

מה מחזירים קודם?

נניח שאירוע השבית חלק משמעותי מסביבת המחשוב. אי אפשר תמיד להחזיר הכול יחד. אז מה קודם? מערכת הנהלת החשבונות? CRM? מערכת שירות? קבצים? ERP? דואר? VPN? Active Directory?

לכל עסק יש סדר עדיפויות אחר, והתשובה אינה בהכרח טכנית. מערכת קטנה יחסית יכולה להיות חוליה חיונית בתהליך שמכניס כסף לארגון. לכן ההחלטה על סדר ההתאוששות צריכה להתחיל מהעסק ולא מהשרתים. בדיוק כאן נכנסים לתמונה גיבויים שאפשר באמת לשחזר מהם, ותכנון המשכיות עסקית.

ומה אם גם אמצעי התקשורת נפגעים?

ארגונים מתכננים לעיתים תגובה לאירוע באמצעות אותם כלים שעלולים להיות חלק מהאירוע: Teams, דואר, קבצים משותפים, מערכת הטלפוניה. אם אחד מהם אינו זמין, כיצד מנהלים את האירוע?

מוכנות אמיתית בוחנת גם את התרחישים הלא נוחים האלה. לא כדי לייצר פחד, אלא כדי לצמצם אלתור בזמן שבו ממילא יש מספיק לחץ.

ההבדל בין "אנחנו מוגנים" לבין "אנחנו מוכנים"

ארגון יכול להיות מוגן היטב ובכל זאת לא להיות מוכן. ולהפך: ארגון שמבין שגם מערכות טובות אינן חסינות לחלוטין יכול להיערך לכך שאירוע יקרה ולהקטין את הנזק.

מוכנות טובה אינה אומרת שהכול יעבוד בדיוק לפי התוכנית. היא אומרת שכאשר משהו משתבש, הארגון אינו מתחיל לחשוב מאפס. נקודת פתיחה טובה לכך היא סקר סיכוני סייבר, שמראה אילו תרחישים באמת רלוונטיים לארגון.

מוכנות לאירוע עם מרום סייבר

מרום סייבר מסייעת לארגונים לבחון את ההיערכות שלהם לאירועי סייבר, מתוך הסתכלות על מערכות, אנשים, אחריות ארגונית, גיבויים והמשכיות עסקית. זה חלק משירותי אבטחת המידע וייעוץ הסייבר שלנו.

המטרה אינה לייצר עוד מסמך. המטרה היא להבין כיצד הארגון צפוי לפעול כאשר התנאים אינם רגילים.

שאלות נפוצות