הגדירו נכסים, אנשים וערוץ קשר שאפשר להשתמש בו
רשמו אתר, דואר, זהויות, אחסון, דומיין, גיבויים וחיבורים עסקיים מרכזיים. לכל נכס הגדירו בעלים, ספק ואיש קשר חלופי. אין צורך לכלול סיסמאות בתוכנית; מציינים איך בעל הרשאה ניגש למידע הנחוץ ומי יכול לאשר פעולה. מסמך שמאוחסן רק בתיבה שנפגעה עלול לא להיות זמין בזמן הצורך.
קבעו ערוץ חלופי מוכר לתיאום כאשר יש חשד לחשבון דואר. רשימת הטלפונים מאומתת מראש ומתוחזקת, ולא נלקחת מהודעה חשודה בזמן האירוע. הגדירו גם מי מחליף את האחראי כשהוא אינו זמין. גישה חלופית צריכה להיות מוגנת ומורשית, לא חשבון משותף פתוח שכל ספק מכיר.
מצבי הפעלה וסמכויות מונעים אלתור
NIST SP 800-61r3 משלב הכנה, גילוי, תגובה, התאוששות ולמידה בתוך ניהול הסיכון. לעסק קטן כדאי לתרגם את העיקרון לשאלות החלטה קצרות. הטבלה היא תבנית מקורית להתאמה, לא נוהל NIST ולא התחייבות לזמן טיפול.
| מצב שמפעיל בירור | אחריות שיש לקבוע מראש | החלטה שצריך לתעד |
|---|---|---|
| חשבון לא מוכר או שינוי הרשאה | בעל המערכת והאחראי הטכני | הגבלת גישה ובירור חשבונות נוספים |
| שינוי באתר או התראת קובץ | בעל האתר וספק האחסון | שימור מידע וצמצום מסלול מושפע |
| חשד לחשיפת נתוני לקוחות | הנהלה וגורם מקצועי מתאים | היקף בירור וחובות דיווח |
| פגיעה בהזמנות או בתשלום | אחראי עסקי וטכני | עצירת פעולה מסוימת או חלופה מאושרת |
| חזרה לשירות | בעל תהליך ואחראי טכני | תנאי קבלה וממצאים שנותרו פתוחים |
הפרידו פעולה לצמצום פגיעה מאיסוף הראיות
צריך לדעת מי רשאי להגביל חשבון, לבודד רכיב או להשהות תהליך, ומה ההשלכה על העסק. אין פעולה גורפת שמתאימה לכל סימפטום. תיאום חשוב במיוחד כשהשינוי עלול לנתק ניהול, לפגוע בגיבוי או למחוק מידע הנחוץ להבנת האירוע. הכנה מראש מצמצמת התלבטות כאשר נדרשת החלטה מהירה.
בחשד לכופרה, המדריך המשותף של CISA ושותפיו מדגיש בידוד מערכות מושפעות ושמירת ראיות. אופן הביצוע נקבע לפי הסביבה והמצב, בעזרת גורם מוסמך. התוכנית צריכה לציין מסלול הסלמה; היא אינה מדריך לביצוע ניסויים, לכיבוי גורף או להתקנת כלי לא מוכר במערכת שנפגעה.
קבעו מי מרכז תקשורת ובדיקת חובות דיווח
אדם מוגדר מרכז את העובדות הידועות, השאלות הפתוחות והעדכונים לספקים ולהנהלה. יש להבחין בין תצפית לבין השערה גם בהודעה ללקוח. לא מפרסמים קביעה שאין חשיפת מידע רק מפני שהאתר חזר. מנגד, אין לקבוע היקף דליפה בלי בסיס. תיאום התקשורת נעשה במקביל לטיפול ולא במקום פעולות צמצום.
בישראל קיימת אפשרות לדיווח למערך הסייבר הלאומי, וחובות דיווח לרשות להגנת הפרטיות עשויות לחול לפי תנאי הדין והאירוע. דיווח לגוף אחד אינו מחליף בהכרח דיווח לאחר. קבעו מראש מי בודק זאת מיד מול הגורם המוסמך; אין לדחות בדיקת חובה עד השלמת תחקיר טכני מלא.
תרגיל שולחני: חשבון הדואר של המנהל אינו אמין
בתרחיש להמחשה בלבד, נשלחת בקשת גישה מספק דרך תיבת המנהל, ובמקביל מתגלה שינוי לא מוכר באתר. המשתתפים עוברים על התוכנית: כיצד מאמתים את הבקשה, מי מתקשר לספק, מי אוסף מידע ומי מוסמך להגביל גישה. התרגיל נעשה בדיון ובנתונים מלאכותיים, ללא הודעות מתחזות או שינוי חשבונות אמיתיים.
רשמו היכן חסרו מספר טלפון, הרשאה או הבנת תלות. בדקו גם מי מרכז את תמונת המצב ומי בוחן דיווח, בלי להמתין לוודאות מלאה בכל שאלה. הצלחת התרגיל נמדדת בהחלטות שניתן לבצע ובפערים שנקבע להם אחראי, ולא בהבטחה שהצוות ימנע כל אירוע.
תנאי חזרה וסגירה צריכים להיות ידועים מראש
הגדירו אילו פעולות עסקיות חייבות לעבוד כדי לאשר חזרה, מי מאמת אותן ומה מחייב בדיקה נוספת. חזרה חלקית יכולה להיות החלטה לגיטימית אם הסיכון והמגבלות מתועדים. אין לסמן אירוע כסגור בגלל תצוגת דף בית בלבד. צריך לבדוק גם חשבונות, תלויות וממצאים לפי היקף הטיפול.
תוכנית ההתאוששות הנפרדת מתארת סדר החזרת שירותים; התחקיר מוסיף לקחים ומשימות מניעה. עדכנו את רשימת הספקים ואת ההחלטות כשהעסק משנה שירות. CyberFixCrew יכולה לסייע במיפוי ובטיפול הנוגע לאתר ולתשתיות שבתחום השירותים המוגדרים, עם היקף מוסכם. התוכנית אינה הבטחה למענה מסביב לשעון או לשירות SOC.
