תרגיל חזרה לפעילות אחרי אירוע סייבר
כיצד בודקים שאפשר לחזור לקבל הזמנות
מנהל המערכת מודיע שהשרת חזר לפעול, בסיס הנתונים זמין והאפליקציה מגיבה. כעת צריך לבדוק אם גם העובדים יכולים לחזור לעבוד: האם אפשר לקלוט הזמנה, לטפל בה ולהעביר אותה לשלב הבא, בלי לאבד מידע או לבצע פעולה פעמיים?
בתרגיל כזה צריך להגדיר מראש איזו פעולה עסקית תיבדק ומה ייחשב לביצוע תקין. לצד הבדיקה התפעולית יש לוודא שהמידע והמערכות ששוחזרו תקינים. במסגרת CSF 2.0, NIST כולל אימות שלמות הנכסים ששוחזרו ואישור שהמערכות והשירותים חזרו לפעילות תקינה. (NIST CSF 2.0 תחום ההתאוששות).
בחרו פעולה עסקית שאפשר לבדוק
בחרו תהליך שהארגון צריך לבצע, למשל קליטת הזמנה חדשה והעברתה למחסן. בקשו ממנהל התהליך להגדיר אילו שלבים חייבים לעבוד כבר בתחילת החזרה לפעילות ומה אפשר להשלים בהמשך.
בדקו במפורש אם אפשר להזין הזמנות חדשות, ולא רק לצפות בהזמנות שכבר נקלטו. אפשר לחזור גם לפעילות מצומצמת, בתנאי שהוגדרו המגבלות, שהגורמים המושפעים מהן מכירים אותן ושניתן לכך אישור.
את תנאי ההצלחה כדאי לנסח במשפט פשוט: ״עובד בעל ההרשאה המתאימה יוכל לפתוח הזמנה, והיא תגיע למחסן עם כל הפרטים הנדרשים״. כך בודקים גם את החיבור בין המערכות ואת המעבר בין בעלי התפקידים.
קבעו יעדים לזמן ההשבתה ולאובדן המידע
RTO הוא יעד הזמן להחזרת השירות לפעילות. RPO מגדיר את נקודת הזמן שאליה נדרש לשחזר את המידע, ומשקף את אובדן המידע שהארגון מוכן לקבל במונחי זמן. את שני היעדים קובעים לפי הצרכים העסקיים. התרגיל נועד לבדוק אם אפשר לעמוד בהם בפועל. (הגדרת RTO של NIST; הגדרת RPO של NIST).
נניח, לצורך הדוגמה, שהארגון רוצה לחזור לקבל הזמנות בתוך ארבע שעות, ומוכן לספוג אובדן של נתונים שנוצרו ברבע השעה שלפני ההשבתה. אם השרת עולה בתוך שעה, אבל אישור ההזמנה הראשון מושלם רק לאחר חמש שעות, יעד הזמן לא הושג. אם נקודת הזמן העדכנית ביותר שאליה ניתן לשחזר את המידע היא שעה לפני ההשבתה, גם יעד ה־RPO לא הושג.
את התוצאות משווים ליעדים ומחליטים מה לתקן לקראת התרגיל הבא. מדריך NIST SP 800-184 ממליץ לתעדף משאבים, לתרגל ולשפר את תוכנית ההתאוששות על בסיס מדדים ולקחים. (מדריך NIST SP 800-184 להתאוששות מאירועי סייבר).
עברו על כל שלבי הטיפול בהזמנה
אפשר לבדוק את התהליך באמצעות הזמנת ניסיון, בתרגיל מתואם ומאושר ובסביבה ובהיקף שאינם מסכנים את הפעילות השוטפת. בדקו את השלבים הבאים:
- עובד מתחבר בהרשאות שיינתנו לו בעת החזרה לפעילות.
- הוא פותח הזמנת בדיקה ומוודא שפרטי הלקוח, הפריטים והמחירים תקינים.
- ההזמנה מועברת למערכת הבאה, והצוות מוודא שנקלטה פעם אחת בלבד.
- נציג התפעול מאשר שאפשר להמשיך לטפל בה לפי התהליך שנקבע.
- הצוות מתעד את זמני הביצוע, את התקלות ואת הפעולות שנדרשו לבצע ידנית.
אין לשלוח ללקוחות הזמנות או הודעות אמיתיות במהלך התרגיל ללא תכנון ואישור מראש. השתמשו בנתוני בדיקה. אם נדרש מידע אמיתי, הגדירו מראש מי רשאי לגשת אליו וכיצד יוגן. חיבור שלא נבדק יסומן במפורש ככזה, ולא ייכלל בין הרכיבים שנבדקו בהצלחה.
בדקו את המידע שנרשם בזמן ההשבתה
נניח שבזמן שהמערכת לא הייתה זמינה, צוות המכירות ריכז ידנית חמש בקשות להזמנה. לאחר שהמערכת חזרה, מתברר שאחת מהן כבר נקלטה לפני התקלה והלקוח שלח אותה שוב. ארבע האחרות עדיין חסרות.
קבעו מי משווה בין הרישומים, מי מאשר את הזנת הבקשות החסרות וכיצד מונעים חיוב או משלוח כפול. בתרגיל עצמו בקשו מהצוות לבצע את הבדיקה ולהראות כיצד הוא משלים את החסר.
בהנחיות NCSC מאוקטובר 2026 נכללת המלצה לתכנן מראש כיצד לבדוק מידע שנוצר בעבודה ידנית בזמן האירוע ולשלב אותו עם המידע ששוחזר. ההנחיות ממליצות גם לתרגל את השחזור ולתעד את סדר החזרת התשתיות, תוך התחשבות בתלות ביניהן. (הנחיות NCSC להכנת יכולת התאוששות טכנית).
קבעו מתי אפשר לחבר מחדש את המערכות
לפני חיבור מחדש של רכיב ששוחזר, יש לבדוק אם הוא כשיר ובטוח לשימוש. את תנאי החיבור קובעים עם צוות התגובה לאירוע: אילו בדיקות וראיות נדרשות, אילו הגנות חייבות לפעול ואילו מגבלות נשארות בתוקף.
NIST SP 800-61 Rev. 3 מציג את ההתאוששות כחלק מניהול סיכוני הסייבר ומהתגובה לאירוע. יש לתאם בין פעולות החזרה לפעילות לבין החקירה וצעדי ההגנה. (הנחיות NIST לתגובה לאירועים מאפריל 2025).
בסיום התרגיל, הציגו להנהלה סיכום שמפרט מה נבדק ומתי היה אפשר להשלים את הפעולה העסקית. ציינו אילו פערי מידע התגלו, מה נשאר מחוץ לבדיקה ומי אחראי לטיפול בכל פער. בדיקה חלקית יכולה להועיל, אם מציינים במפורש את מגבלותיה וקובעים מי ישלים את הטיפול בפערים.
ב־Cybecs אפשר לתכנן בדיקת מוכנות לשירות עסקי אחד, לתעד מה פעל כראוי ומה דורש תיקון, ולקבוע עם הצוותים את סדר הטיפול. לקראת שיחה ראשונית כדאי להכין את יעדי החזרה לפעילות ואת סיכום התרגיל האחרון, אם קיים.