מאת עידן צברי · יועץ אבטחת מידע והגנת פרטיות · מומחה תיקון 13
מאת: עידן צברי, יועץ בכיר לאבטחת מידע והגנת פרטיות · עודכן לאחרונה: אוגוסט 2026 · מבוסס על Verizon DBIR, ENISA Threat Landscape, IBM Cost of a Data Breach
בחודש מאי קיבלתי טלפון ב-03:00 לפנות בוקר ממנכ”ל של חברת ייצור ישראלית בינונית. על המסך שלו הופיעה הודעה: “Your files are encrypted. Pay 2 million USD in Bitcoin.” המערכות שותקו, פס הייצור נעצר, לקוחות מחו”ל לא קיבלו סחורה. תוך שעות — הפגיעה הפכה מאירוע IT למשבר קיומי. ההנהלה הבינה מאוחר מדי: לא הטכנולוגיה כשלה, אלא אחריות ניהולית שלא נלקחה ברצינות.
כמה באמת עולה מתקפת כופרה?
לפי דוח IBM Cost of a Data Breach 2025, העלות הממוצעת העולמית של אירוע דלף מידע עומדת על כ-4.44 מיליון דולר, ומשך הזמן הממוצע לזיהוי ולהכלה של אירוע הוא 241 יום. ובחברה מהסיפור שבפתיחה: 18 ימי השבתה, אובדן חוזים בהיקף 7 מיליון ₪, וארבעה מנהלים בכירים שהתפטרו. בסוף הם שילמו גם את הכופר — וגם את המחיר התדמיתי.
כלל 1: כופרה היא אחריות דירקטוריון — לא של מחלקת ה-IT
השאלה הראשונה שאני שואל דירקטוריון: מי מדווח לכם אישית על מוכנות לאירועי כופרה, ובאיזו תדירות? אם אין תשובה — זו התשובה.
- לקבוע ישיבת דירקטוריון רבעונית ייעודית לניהול סיכוני סייבר
- להגדיר KPI עסקי למדד מוכנות — לא מדד טכנולוגי
כלל 2: תרגול שנתי — על המציאות, לא על הנייר
חברה שליוויתי חשבה שיש לה “תוכנית התאוששות”. ביום האמת התברר: המסמך קיים — אבל איש לא תרגל אותו. מחקרי IBM מצביעים שארגונים שמתרגלים אירועי כופרה באופן קבוע מצמצמים משמעותית את עלות האירוע — עד כדי 43%.
- לאשר תקציב לאימון שנתי שמדמה השבתה מלאה
- לחייב השתתפות הנהלה בכירה — לא רק אנשי IT
כלל 3: מיפוי הנכסים הקריטיים — 48 השעות הראשונות קובעות
לפי ניתוחי Verizon DBIR, כ-80% מהזמן באירוע מושקע בלהבין “מה נפל” — במקום בלהציל. מי שלא יודע מהם חמשת הנכסים הקריטיים לעסק, מבזבז את הזמן היקר ביותר.
- להגדיר רשימת נכסים קריטיים עם דירוג: מה חייב לעלות ראשון
- לאשר אותה בדרג הנהלה — אחת לשנה
כלל 4: שקיפות ותקשורת — והחל מתיקון 13, גם חובת דיווח
במשבר שליוויתי, המנכ”ל ניסה להסתיר את האירוע. התוצאה: שמועות, לקוחות שברחו, ומשבר שגדל פי שלושה. נתוני ENISA מראים שחברות שקופות שומרות על שיעור גבוה משמעותית של לקוחות. ומאז תיקון 13 זה כבר לא רק עניין תדמיתי: על אירוע חמור חובה לדווח לרשות להגנת הפרטיות באופן מיידי. הקנס הראשון בישראל — 256,000 ₪ — ניתן בדיוק על איחור בדיווח.
- להכין תסריט תקשורתי כתוב מראש — ללקוחות, לעובדים ולתקשורת
- להטמיע נוהל דיווח לרשות עם לוח זמנים מחייב — כל התשובות על תיקון 13 כאן
כלל 5: גיבוי מבודד — שנבדק בפועל, לא על הנייר
בדוחות IBM נמצא שכ-39% מהחברות שנפגעו לא הצליחו לשחזר גיבוי — למרות שהיו בטוחות שיש להן. הסיבה: לא היה תהליך בדיקה ניהולי של הגיבויים.
- לדרוש דוח הנהלה רבעוני שמראה מתי בוצע שחזור מלא בפועל
- לוודא שהגיבוי מבודד מרשת החברה (Offline/Immutable)
שאלות נפוצות
האם כדאי לשלם את הכופר?
ברוב המקרים לא. תשלום אינו מבטיח שחזור, מסמן אתכם כיעד חוזר, ועלול ליצור חשיפה משפטית. ההחלטה חייבת להתקבל בדרג הנהלה עם ליווי משפטי ומקצועי — ולא בלחץ של רגע. ארגון עם גיבוי מבודד ותוכנית מתורגלת כמעט לעולם לא נדרש לשאלה הזו.
מה חובת הדיווח באירוע כופרה לפי תיקון 13?
אם האירוע כרוך בפגיעה במידע אישי, חלה חובת דיווח מיידית לרשות להגנת הפרטיות — מרגע שנודע על האירוע, לא אחרי סיום החקירה. הקנס הראשון לפי תיקון 13 (256,000 ₪) ניתן על איחור של כחודשיים בדיווח.
כמה זמן לוקח להתאושש ממתקפת כופרה?
לפי IBM, זיהוי והכלה של אירוע אורכים בממוצע 241 יום, וההתאוששות התפעולית המלאה נמשכת שבועות עד חודשים. ארגונים עם נכסים ממופים, גיבוי בדוק ותוכנית מתורגלת מקצרים את ההשבתה מ-18 ימים לימים בודדים.
מה עושים מחר בבוקר?
חמש פעולות: להכניס סייבר לסדר יום הדירקטוריון, לאשר תקציב לתרגול אמיתי, לאשר רשימת נכסים קריטיים, להכין מסר תקשורתי ונוהל דיווח מראש, ולדרוש הוכחת שחזור גיבוי רבעונית. אין ארגון חסין — יש ארגון מוכן.
רוצים לדעת אם הארגון שלכם היה שורד את ה-03:00 הזה?
שיחת הערכה עם יועץ בכיר — ללא עלות. נעבור יחד על חמשת הכללים מול המצב אצלכם.
לתיאום שיחת הערכהעידן צברי — יועץ אבטחת מידע והגנת פרטיות
מייסד SEC-IT, עם מעל 15 שנות ניסיון. משלב רקע משפטי (תואר במשפטים) עם ניסיון IT מבצעי ומומחיות סייבר (CISM, CISO), ומתמחה ביישום תיקון 13 והגנת פרטיות לעסקים קטנים ובינוניים. עוד על עידן ←
