ניהול משבר סייבר: ההחלטות שההנהלה חייבת לקבל לפני האירוע

מאת עידן צברי · יועץ אבטחת מידע והגנת פרטיות · מומחה תיקון 13

מאת: עידן צברי, יועץ בכיר לאבטחת מידע והגנת פרטיות · עודכן אוגוסט 2026

מיועד למנכ״לים, סמנכ״לי כספים, סמנכ״לי תפעול, מנהלי מערכות מידע וחברי דירקטוריון.

רוב הדיונים על מתקפות סייבר מתמקדים בטכנולוגיה — כמה חומות אש, איזה EDR, האם הגיבוי עובד. אלה שאלות חשובות, אבל הן לא השאלות שיקבעו אם הארגון ישרוד אירוע חמור. מה שיקבע הוא סדרת החלטות ניהוליות: מי מוסמך לאשר תשלום, מתי מודיעים לרשות להגנת הפרטיות, מה אומרים ללקוחות, ומי מדבר בשם החברה. ארגונים שקיבלו את ההחלטות האלה מראש מתפקדים אחרת לחלוטין מארגונים שמקבלים אותן תחת לחץ.

מה באמת קורה לארגון ב-72 השעות הראשונות אחרי מתקפה?

אירוע סייבר חמור מתפתח בשלבים צפויים למדי. ההכרה בהם מראש היא מה שמאפשר להתערב בכל שלב במקום להגיב באיחור:

1. שלב 1 — חדירה שקטה. התוקף נמצא ברשת לפני שמישהו יודע. בשלב הזה אין דרמה, יש רק אנומליות שאיש לא בדק.
2. שלב 2 — השבתה או הצפנה. מערכות קריטיות נעצרות. כאן מתגלה אם תוכנית ההמשכיות היא מסמך או יכולת אמיתית.
3. שלב 3 — חשיפה פומבית. הסיפור מגיע לתקשורת או לרשתות החברתיות, לרוב מהר יותר מהיכולת של הארגון לנסח תגובה מסודרת.
4. שלב 4 — שחיקת אמון. לקוחות, שותפים ומשקיעים מגיבים למה שהם רואים — ולא למה שקורה בפועל בחדר המצב.

הפער הקריטי הוא בין שלב 2 לשלב 3. ארגון שהכין מראש הודעות מסגרת, הגדיר דובר יחיד ויודע מתי הוא חייב לדווח לרגולטור — שולט בקצב. ארגון שלא — מגיב לכותרות.

כמה עולה אירוע סייבר — ואילו מספרים אפשר באמת לצטט?

בתחום הזה מסתובבים הרבה מספרים מרשימים בלי מקור. אלה הנתונים שניתן לאמת ולצטט בדיון הנהלה:

• 4.44 מיליון דולר — העלות הממוצעת העולמית של אירוע דליפת נתונים, לפי דוח IBM Cost of a Data Breach 2025.
• 575 מיליון דולר לפחות (ועד 700 מיליון) — סכום ההסדר שאליו הגיעה Equifax בשנת 2019 מול ה-FTC, ה-CFPB ומדינות ארה״ב, בעקבות דליפת מידע אישי של כ-147 מיליון אנשים ב-2017.
• 256,000 ש״ח — הקנס הראשון שהוטל בישראל במסגרת סמכויות האכיפה החדשות, על איחור בדיווח בלבד — לא על הפריצה עצמה.

נתונים על ירידות בשווי מניה או על אחוזי חברות שנסגרות אחרי מתקפה מצוטטים לעיתים קרובות בלי מקור בר-אימות. אנחנו נמנעים מהם כאן במכוון. המסקנה העסקית לא זקוקה להם.

למה נזק המוניטין גדול מהנזק הטכנולוגי?

מערכות משוחזרות. אמון לא. ההבדל נובע משלושה מאפיינים של נזק מוניטין: הוא מתפשט מהר יותר מהיכולת לתקן אותו, הוא נשען על תפיסה ולא על עובדות, והוא נמדד ביחסים עסקיים שנבנו שנים — לקוחות אסטרטגיים, שותפים, ספקים ומועמדים לגיוס.

בפועל, הלקוח לא שואל איזה וקטור תקיפה נוצל. הוא שואל שתי שאלות: האם המידע שלי נחשף, ולמה לא סיפרתם לי מוקדם יותר. התשובה לשאלה השנייה נקבעת כולה בהיערכות מוקדמת.

שבעה מהלכי היערכות שרוב הארגונים מדלגים עליהם

אלה אינם מהלכים טכנולוגיים. כולם ניתנים לביצוע בתוך רבעון, ורובם אינם דורשים תקציב משמעותי — אלא החלטה.

1. תרגיל דירקטוריון על “היום שאחרי”

לא סקירה של מצגת אבטחה, אלא תרגיל שולחני שבו הדירקטוריון וההנהלה נדרשים להכריע בזמן אמת, על בסיס מידע חלקי: האם משלמים כופר? מה מוסרים לשוק? האם ממשיכים פעילות במתכונת מצומצמת? התרגיל חושף מהר מאוד היכן אין החלטה — ולא היכן אין טכנולוגיה.

2. מטריצת החלטות למשבר (Crisis Decision Matrix)

מסמך בן עמוד אחד שקובע מראש מי מוסמך להחליט על מה, מהם ספי האישור הכספיים, ומהו זמן התגובה המרבי לכל סוג החלטה. בלעדיו, 48 השעות הראשונות נשרפות בחיפוש אחר מי מוסמך לחתום.

3. ביטוח סייבר כשירות אקטיבי, לא כפוליסה במגירה

פוליסות מודרניות כוללות מוקד תגובה, גישה לצוותי כשירות דיגיטלית ולייעוץ משפטי בשעת אירוע. השאלה שצריך לשאול את סוכן הביטוח אינה מה גובה הכיסוי, אלא: את מי בדיוק אני מרים בטלפון בשעה שתיים בלילה, ותוך כמה זמן הוא מגיע? בדקו גם אילו חריגים בפוליסה מתבטלים אם לא בוצעו בקרות מסוימות.

4. מעורבות סמנכ״ל הכספים כבר בהיערכות

משבר סייבר הוא בראש ובראשונה משבר תזרים: הכנסות נעצרות, הוצאות חירום מזנקות, ולעיתים נדרשת נזילות מיידית. סמנכ״ל כספים שמעורב מראש יכול להגדיר קו אשראי לתרחיש חירום ולהריץ סימולציית נזילות. סמנכ״ל כספים שמגלה את האירוע בבוקר ההשבתה — מגיב.

5. שרשרת האספקה הדיגיטלית

ספקים ונותני שירות מהווים וקטור כניסה מרכזי, והם גם נקודת הכשל שבה לארגון יש הכי מעט שליטה ישירה. שני צעדים מעשיים: לחייב ספקים קריטיים להציג את מדיניות אבטחת המידע שלהם ואת תוכנית התגובה שלהם לאירוע, ולוודא שקיים מנגנון טכני לניתוק מהיר של ספק שנפרץ. בהקשר של תיקון 13, ספק שמעבד מידע אישי עבורכם הוא עניין רגולטורי ולא רק תפעולי.

6. שילוב יועץ תקשורת ועורך דין עוד לפני האירוע

בזמן אמת אין זמן לגייס. הכינו מראש: הודעות מסגרת (Holding Statements) לשלושה תרחישים, דובר יחיד מוגדר, ונוסח פנייה ללקוחות. עורך דין המלווה מראש יידע גם מה מותר לומר בלי לפגוע בעמדת הארגון מול הרגולטור או מול תביעות עתידיות.

7. תרבות Pre-Mortem

שיטה פשוטה ויעילה: מכנסים את ההנהלה ומציגים הנחה — “עברה שנה, הארגון ספג אירוע שגרם נזק חמור. מה גרם לזה?” התשובות שעולות בחדר חושפות בדרך כלל את הפערים שאף סריקה אוטומטית לא מדווחת עליהם: תלות באדם אחד, מערכת ישנה שאיש לא מוכן לגעת בה, תהליך שעוקף את הבקרה כי הוא נוח.

מה תיקון 13 שינה בניהול אירוע אבטחת מידע?

תיקון 13 לחוק הגנת הפרטיות הפך את ניהול האירוע מעניין פנימי לעניין רגולטורי. שלוש השלכות מעשיות על תוכנית התגובה:

• חובת דיווח לרשות להגנת הפרטיות על אירוע אבטחה חמור, בתוך פרק זמן קצר. משמעות תפעולית: מישהו בארגון חייב להיות מוסמך לקבוע שהאירוע חוצה את הסף — בלילה, בסוף שבוע, בלי ועדה.
• סמכויות אכיפה מנהליות מורחבות של הרשות, לרבות עיצומים כספיים. הקנס הראשון שהוטל ניתן על איחור בדיווח — כלומר על ניהול האירוע, לא על הפריצה.
• חובת מינוי ממונה על הגנת הפרטיות (DPO) בגופים מסוימים. לממונה תפקיד מוגדר גם בזמן אירוע, ולא רק ביומיום.

ההשלכה החשובה ביותר היא על לוח הזמנים. עד תיקון 13, ארגון יכול היה להרשות לעצמו כמה ימים של בירור פנימי לפני שהחליט מה לעשות עם המידע. היום, שעות הבירור האלה הן עצמן סיכון רגולטורי. פירוט מלא של החובות: שאלות ותשובות על תיקון 13.

מודל ארבעה שלבים לבניית חסינות ארגונית

1. מיפוי. אילו נכסים באמת קריטיים — מערכות, תהליכים, תזרים, מאגרי מידע אישי ומוניטין. ללא מיפוי, ההיערכות מגינה על מה שקל להגן עליו ולא על מה שחשוב. סקר סיכונים הוא הכלי המקובל לשלב זה.
2. היערכות. תרחישים כתובים, מטריצת החלטות, יעדי RTO/RPO, פוליסת ביטוח שנבדקה, ובקרת ספקים.
3. תרגול. תרגיל שנתי אחד לפחות, הכולל את הדירקטוריון ואת ההיבט התקשורתי — לא רק את צוות ה-IT.
4. שיפור מתמיד. ניתוח פערים אחרי כל תרגיל ואחרי כל אירוע-כמעט, והטמעת הלקחים בנהלים. ליווי ובקרה שוטפים הוא מה שמונע מהמודל להישאר מסמך.

שאלות נפוצות

כמה זמן לוקח להיערך למשבר סייבר ברמת ההנהלה?

היערכות ניהולית בסיסית — מטריצת החלטות, הודעות מסגרת, הגדרת מוסמכים ותרגיל שולחני ראשון — ניתנת להשלמה בתוך 6 עד 10 שבועות בארגון בינוני. זהו פרק הזמן לרכיב הניהולי; שיפורים טכנולוגיים ותוכנית המשכיות מלאה נמשכים זמן רב יותר.

האם מותר לשלם כופר בישראל?

זו שאלה משפטית ולא טכנית, והתשובה תלויה בנסיבות — בין היתר בזהות התוקף ובחשש להפרת סנקציות או איסורי מימון טרור. לכן ההמלצה המעשית היא לקבוע מראש, עם עורך דין, מהי עמדת הארגון ומי מוסמך להכריע — ולא לברר זאת לראשונה תחת לחץ. אין לראות באמור ייעוץ משפטי.

מתי חייבים לדווח לרשות להגנת הפרטיות?

כאשר מתקיים אירוע אבטחה חמור כהגדרתו בחוק ובתקנות. מכיוון שההגדרה דורשת שיקול דעת, ההמלצה היא להגדיר מראש בנוהל את קריטריוני הסף הפנימיים ואת בעל הסמכות לקבוע שהם התקיימו. פירוט: שאלות ותשובות על תיקון 13.

מי צריך לנהל את המשבר — מנהל ה-IT או ההנהלה?

מנהל ה-IT או ספק ה-IT מנהל את הטיפול הטכני. את המשבר מנהלת ההנהלה, משום שרוב ההחלטות הקריטיות — דיווח, תקשורת, המשכיות, תשלום, יחסי לקוחות — אינן טכניות. ערבוב בין השניים הוא אחד הכשלים הנפוצים ביותר.

האם ארגון קטן באמת צריך את כל זה?

לא בהיקף זהה. ארגון קטן זקוק לגרסה מצומצמת: מי מחליט, למי מודיעים, איך ממשיכים לעבוד ומה מגבים. הנטל הרגולטורי לפי תיקון 13 חל גם על ארגונים קטנים המחזיקים מאגרי מידע אישי.

רוצים לבדוק היכן אתם עומדים?

שיחת אבחון קצרה מאפשרת למפות את פערי המוכנות הניהולית לאירוע סייבר — ללא התחייבות. אפשר גם להתחיל משירותי CISO כשירות או מממונה הגנת פרטיות (DPO) כשירות.

לתיאום שיחת אבחון עם עידן צברי ←

מקורות: IBM Cost of a Data Breach Report 2025; Federal Trade Commission — Equifax Data Breach Settlement (2019); חוק הגנת הפרטיות, תיקון 13; פרסומי הרשות להגנת הפרטיות.