בזמנים של מתיחות ביטחונית ועלייה באיומי ייחוס מצד מדינות וארגוני טרור, חובתם של ה-CISO וצוותי ה-IT היא להעלות את רמת המוכנות מאפס למאה. במצב כזה, מרחב הטעות מצטמצם, והיכולת להגיב במהירות היא ההבדל בין אירוע נקודתי להשבתה כוללת.
להלן צ'ק-ליסט פעולות קריטיות להיערכות ותגובה:
צמצום משטח התקיפה והקשחת גישה
המטרה היא להשאיר כמה שפחות "דלתות וחלונות" פתוחים עבור התוקף.
אימות רב-גורמי (MFA/2FA): וידוא אכיפה מלאה על כלל המשתמשים, בדגש על חיבורי VPN וגישה לענן. אין החרגות בזמן חירום.
חסימת Geo-Location: חסימת גישה למשאבי הארגון ממדינות שאינן נדרשות פעילות מולן (בדגש על מדינות עוינות או מדינות המהוות "תחנת מעבר").
הקפאת תצורה (Freeze): הימנעות משדרוגים או שינויים שאינם קריטיים במערכות הליבה כדי למנוע תקלות שיוצגו כמתקפות או יצירת פרצות חדשות.
ניתוק קשרים עודפים: ניתוק זמני של ממשקים (APIs) או חיבורים למערכות צד ג' שאינם חיוניים לתפקוד הרציף.
ניטור, לוגים וזיהוי חריגים
יכולת הזיהוי המוקדם היא קריטית למניעת התבססות תוקף ברשת.
תיקוף רציפות לוגים: בדיקה אקטיבית שכלל המערכות (FW, EDR, Cloud) מעבירות מידע תקין ל-SOC/SIEM.
הגברת רגישות התרעות: עדכון חוקי הניטור לזיהוי התנהגויות חשודות של משתמשים (UBA) וניסיונות גישה בשעות לא שגרתיות.
הקלטת תעבורה: הפעלת Full Packet Capture בנקודות קריטיות ברשת במידה והיכולת קיימת, לצורך תחקור עתידי.
חוסן תפעולי וגיבויים (BCP/DR)
מתקפות הרס (Wipers) וכופרה הן תרחיש הייחוס המרכזי בעת לחימה.
בדיקת תקינות גיבויים: ביצוע שחזור ניסיוני (Restore Test) לווידוא שהגיבויים אינם רק "קיימים" אלא גם עובדים.
גיבוי Offline (Immutable): וידוא קיומו של עותק גיבוי מנותק מהרשת להגנה מפני מתקפות כופרה.
עדכון דרכי התקשרות: ריענון רשימות קשר של צוותי חירום (Out-of-band) למקרה של השבתת המייל הארגוני או ה-WhatsApp.
הגברת מודעות עובדים (המרכיב האנושי)
בזמן חירום, התוקפים מנצלים את הלחץ והסקרנות של העובדים. לצורך אבטחת מידע יש להנחות את העובדים:
התראות פייק ניוז: אזהרה מפני לחיצה על קישורים המבטיחים "מידע בלעדי" או "סרטונים מזירת האירוע" בווטסאפ ובמייל.
דיווחי "דלת אחורית": בקשה מהעובדים לדווח על כל התנהגות מוזרה במחשב (סמן עכבר שזז, חלונות שנפתחים ונסגרים), גם אם זה נראה להם זניח.
אימות זהות: הקפדה על אימות קולי/חזותי של בקשות לשינוי סיסמה או העברות כספים, גם אם הן מגיעות לכאורה מ"מנהל בכיר".
אבטחה פיזית: הקפדה על נעילת תחנות עבודה, איסור הכנסת התקני USB חיצוניים ודיווח על דמויות חשודות במתחם הארגוני.
עבודה מול גורמים חיצוניים ושרשרת אספקה
הארגון חזק רק כחוזקה של החוליה החלשה בשרשרת.
ניהול ספקים: לוודא כי ספקים בעלי גישה עבור תמיכה מרחוק מקשיחים את אמצעי האבטחה שלהם.
דיווח ושת"פ: הכנת רשימת כתובות IP ודומיינים ארגוניים להעברה למערך הסייבר הלאומי במידת הצורך לקבלת הגנה היקפית.
תיקוף נהלי עבודה: רענון מול עובדי קבלן וטכנאים חיצוניים – ליווי צמוד בכל רגע שהם נמצאים בקרבת תשתיות קריטיות.
זכרו! סייבר בחירום הוא לא רק טכנולוגיה, הוא בראש ובראשונה משמעת תפעולית.
ערנות של כל קצה בארגון, בשילוב יד קשה על מדיניות האבטחה, הם הבלם המרכזי נגד איומי המחר.
שאלות ותשובות: ניהול סייבר תחת אש
מדוע חשוב להכריז על "הקפאת תצורה" (Freeze) דווקא בזמן חירום?
בזמן לחימה, מערכות שירותי מחשוב סופגות עומס וניסיונות תקיפה בלתי פוסקים. ביצוע שינויים, שדרוגים או התקנות חדשות שאינן קריטיות עלול לייצר תקלות טכניות שקשה להבחין בינן לבין מתקפת סייבר פעילה. הקפאת המצב הקיים מאפשרת לצוותי ה-IT להתמקד בנטרול איומים חיצוניים במקום בפתרון תקלות פנימיות, ומונעת יצירת פרצות אבטחה בשוגג עקב עבודה תחת לחץ.
יש לנו מערכת גיבוי אוטומטית בענן. האם זה מספיק לזמן מלחמה?
לא בהכרח. אחד האיומים המרכזיים בזמן לחימה הוא מתקפות כופרה או מתקפות הרס (Wipers) שנועדו למחוק מידע. אם הגיבוי שלכם מחובר ישירות לרשת הארגונית, התוקף עלול להגיע גם אליו ולמחוק אותו. לכן, חובה לוודא קיום גיבוי Immutable (בלתי ניתן לשינוי) או עותק Offline שמנותק לוגית מהרשת, כך שגם במקרה של פגיעה רחבה, הארגון יוכל להשתקם במהירות.
למה כדאי לחסום גישה לפי מיקום גיאוגרפי (Geo-Location) אם התוקפים משתמשים ב-VPN?
נכון שתוקף מיומן יכול להסוות את מיקומו, אך חסימת מדינות עוינות או "תחנות מעבר" ידועות מצמצמת משמעותית את כמות ה"רעש" והתקיפות האוטומטיות (Bots). פעולה זו מאפשרת למערכות הניטור (SIEM/SOC) להתמקד בתעבורה שנראית לגיטימית ולהקפיץ התרעות איכותיות יותר על חריגות, במקום לטבוע באלפי ניסיונות פריצה ממדינות שאין לארגון קשר עסקי איתן.
איך רותמים את העובדים לערנות מבלי לייצר פאניקה מיותרת?
המפתח הוא שקיפות והנחיות פרקטיות. במקום "להפחיד", יש להסביר לעובדים שהם קו ההגנה הראשון של הארגון. הנחו אותם לבצע אימות קולי לכל בקשה חריגה (כמו העברת כספים או שינוי סיסמה) ועודדו אותם לדווח על כל דבר קטן שנראה מוזר במחשב. מסר של "עדיף דיווח שווא מאשר התעלמות מאירוע אמת" יוצר תרבות של אחריות משותפת.
