מאת עידן צברי · יועץ אבטחת מידע והגנת פרטיות · מומחה תיקון 13
מאת: עידן צברי, יועץ בכיר לאבטחת מידע והגנת פרטיות · עודכן אוגוסט 2026
מה זה RTO?
RTO — Recovery Time Objective הוא יעד זמן ההתאוששות: כמה זמן מותר למערכת או לתהליך עסקי להיות מושבת מרגע האירוע ועד לחזרה לפעילות. אם ה-RTO של מערכת ההזמנות שלכם הוא ארבע שעות, המשמעות היא שהארגון החליט שהוא שורד ארבע שעות בלי הזמנות — ומעבר לכך מתחיל נזק בלתי מתקבל. ה-RTO הוא שמכתיב את סוג הפתרון: גיבוי לענן, אתר DR חם, או שרת חלופי במדף.
מה זה RPO?
RPO — Recovery Point Objective הוא יעד נקודת ההתאוששות: כמה מידע מותר לאבד, במונחי זמן. אם ה-RPO הוא שעה, המשמעות היא שבמקרה הגרוע תחזרו לתמונת מצב של לפני שעה — וכל מה שנוצר מאז אבד. ה-RPO הוא שמכתיב את תדירות הגיבוי: גיבוי לילי אחד ליום פירושו RPO של עד 24 שעות, בין אם התכוונתם לכך ובין אם לא.
מה ההבדל בין RTO ל-RPO?
ההבדל פשוט: RTO מודד זמן השבתה, RPO מודד אובדן מידע. אפשר לחזור לפעילות מהר מאוד (RTO קצר) ועדיין לאבד יום שלם של נתונים (RPO ארוך) — ולהפך. שניהם נדרשים, והם עולים כסף בנפרד.
| RTO | RPO | |
|---|---|---|
| מה נמדד | זמן חזרה לפעילות | כמות מידע שאבד |
| השאלה העסקית | כמה זמן נשרוד מושבתים? | כמה מידע נוכל לאבד? |
| מה זה מכתיב | ארכיטקטורת התאוששות (DR, שרידות, ענן) | תדירות ושיטת הגיבוי |
| דוגמה | 4 שעות עד חזרה למסחר | עד שעה של הזמנות שאבדו |
| מי מחליט | ההנהלה — לא מחלקת ה-IT | |
איך קובעים RTO ו-RPO בפועל?
לא לכל המערכות אותו יעד, וזו הטעות הנפוצה. התהליך הנכון הוא ניתוח השפעה עסקית (BIA) קצר:
- מיפוי תהליכים קריטיים — מה באמת עוצר את העסק: ייצור? גבייה? שירות לקוחות?
- כימות הנזק לשעה — הפסד הכנסה, קנסות SLA, נזק תדמיתי, עצירת שרשרת אספקה
- קביעת יעד לכל מערכת — מערכת הליבה תקבל RTO/RPO אגרסיביים; ארכיון ישן יכול לחכות
- בדיקת פער מול המצב הקיים — מה ה-RTO/RPO שאתם באמת מקבלים היום, לא מה שכתוב בהצעה
- תמחור הפער — כמה עולה לקצר RTO מ-24 שעות ל-4, וכמה שווה לכם
למה זה נכשל ברגע האמת?
ברוב הארגונים שנתקלתי בהם, הפער אינו בטכנולוגיה אלא בהנחות שלא נבדקו. גיבויים קיימים — אבל איש לא ניסה לשחזר מהם. יש “תוכנית DR” — אבל היא לא תורגלה. הספקים מוגדרים בחוזה — אבל לא יודעים מה תפקידם בשעת אירוע. והמסמכים הקריטיים, מפת הרשת וסיסמאות המערכת, שמורים במערכת שגם היא מושבתת.
- מתי בפעם האחרונה בוצע שחזור מלא בפועל — ולא רק “בדיקת גיבוי הצליחה”?
- האם קיים עותק גיבוי מבודד מהרשת (offline/immutable) שכופרה לא יכולה להצפין?
- האם ההסכם עם ספק ה-IT או הענן כולל SLA מדיד לחזרה לשגרה?
- האם התיעוד הקריטי נגיש גם כשהמערכות למטה?
הקשר לתיקון 13 ולרגולציה
אירוע השבתה שכרוך גם בפגיעה במידע אישי הופך מיידית לאירוע רגולטורי: חלה חובת דיווח מיידית לרשות להגנת הפרטיות מרגע שנודע על האירוע. הקנס הראשון בישראל לפי תיקון 13 — 256,000 ₪ — ניתן בדיוק על איחור בדיווח, לא על הפריצה עצמה. משמעות מעשית: תוכנית ההתאוששות שלכם חייבת לכלול לא רק “איך מחזירים מערכות” אלא גם “מי מדווח, למי ותוך כמה זמן”. כל התשובות על תיקון 13 כאן.
שאלות נפוצות
מה זה RTO ומה זה RPO בפשטות?
RTO הוא כמה זמן מותר לעסק להיות מושבת עד שהוא חוזר לפעול. RPO הוא כמה מידע מותר לו לאבד, נמדד בזמן. RTO של 4 שעות ו-RPO של שעה פירושם: חוזרים לפעילות תוך 4 שעות לכל היותר, ומאבדים לכל היותר שעה של נתונים.
מי אמור לקבוע את היעדים — ה-IT או ההנהלה?
ההנהלה. RTO ו-RPO הם החלטות עסקיות על סיבולת לנזק, ומחלקת ה-IT מתרגמת אותן לארכיטקטורה ולתקציב. כשה-IT קובע אותם לבד, התוצאה היא בדרך כלל או הגנת יתר יקרה או פער מסוכן שההנהלה לא מודעת לו.
מה RTO ו-RPO סבירים לחברה בינונית?
אין מספר אחיד — הוא נגזר מהנזק לשעה. מערכת ליבה בייצור או במסחר מצדיקה לרוב RTO של שעות בודדות ו-RPO של דקות עד שעה; מערכות משניות יכולות להסתפק ביממה. הדרך היחידה לדעת היא לכמת את הנזק לשעה לכל תהליך.
גיבוי לענן פותר את הבעיה?
לא בהכרח. גיבוי מבטיח שהמידע קיים; הוא לא מבטיח כמה זמן ייקח לשחזר אותו ולהחזיר את המערכות לאוויר. שחזור של טרהבייטים מהענן עלול לקחת ימים — כלומר RPO מצוין לצד RTO גרוע. חייבים למדוד את שניהם בנפרד, ולתרגל שחזור בפועל.
קשור: סקר סיכוני אבטחת מידע · CISO כשירות · 5 כללי זהב להישרדות מתקפת כופרה
יודעים מה ה-RTO וה-RPO שלכם באמת?
שיחת הערכה עם יועץ בכיר — נבדוק את הפער בין מה שהובטח לכם למה שתקבלו ברגע האמת.
לתיאום שיחת הערכהעידן צברי — יועץ אבטחת מידע והגנת פרטיות
מייסד SEC-IT, עם מעל 15 שנות ניסיון. משלב רקע משפטי (תואר במשפטים) עם ניסיון IT מבצעי ומומחיות סייבר (CISM, CISO), ומתמחה ביישום תיקון 13 והגנת פרטיות לעסקים קטנים ובינוניים. עוד על עידן ←
