רוב העסקים הקטנים משקיעים באמצעי מניעה, אבל מעטים מכינים תשובה לשאלה הקריטית: מה עושים בדקות הראשונות אחרי שמגלים פריצה? תוכנית תגובה לאירוע סייבר היא מסמך קצר ומעשי שמגדיר מי עושה מה, באיזה סדר ועם מי מדברים. היא לא מונעת את האירוע, אבל היא קובעת אם הוא יישאר תקלה מטרידה או יהפוך לשיבוש של ימים.
## למה צריך תוכנית לפני שהאירוע קורה
בזמן אירוע אמיתי יש לחץ, בלבול ומידע חלקי. בלי תוכנית כתובה, אנשים מקבלים החלטות חפוזות: מישהו מכבה שרתים ומוחק ראיות, מישהו אחר ממשיך לעבוד על מחשב נגוע, ואף אחד לא מעדכן את ההנהלה. תוכנית מוכנה מראש חוסכת זמן יקר ומפחיתה טעויות.
## שלב ראשון: מגדירים תפקידים ואנשי קשר
קבעו מי מנהל את האירוע, מי אחראי על הצד הטכני ומי מתקשר עם לקוחות, ספקים והנהלה. רשמו מספרי טלפון זמינים גם מחוץ לשעות העבודה, כולל ספק ה-IT, ספק האינטרנט וחברת הביטוח. שמרו עותק מודפס או במקום שאינו תלוי ברשת הארגונית, כי בזמן אירוע ייתכן שלא תהיה לכם גישה לקבצים.
## שלב שני: זיהוי ובלימה מהירה
סימנים לאירוע כוללים הודעות כופר, התחברויות חריגות, קבצים שנעלמו או משתמשים שמדווחים על התנהגות מוזרה. הצעד הראשון הוא לבודד: לנתק את המכשיר החשוד מהרשת, להחליף סיסמאות של חשבונות מושפעים ולנתק גישות מרחוק. מומלץ לנתק מהרשת ולא לכבות את המכשיר, כדי לשמר מידע שימושי לחקירה.
## שלב שלישי: שימור ראיות ותיעוד
רשמו מה נראה, מתי, ואילו פעולות בוצעו. שמרו יומני מערכת, הודעות חשודות וצילומי מסך. תיעוד מסודר עוזר להבין איך התוקף נכנס, לסגור את הפרצה ולהוכיח לחברת הביטוח ולגורמים רגולטוריים שפעלתם נכון.
## שלב רביעי: שחזור והתאוששות
לפני שמשחזרים, ודאו שהפרצה נסגרה, אחרת התוקף יחזור. שחזרו מגיבויים שנבדקו ואינם מחוברים ישירות לרשת, ובדקו שהמערכות נקיות. החזירו שירותים בהדרגה לפי סדר עדיפויות עסקי: קודם מה שמניב הכנסה או נדרש לפעילות השוטפת.
## תקשורת וחובות דיווח
החליטו מראש מה אומרים ללקוחות ולעובדים, ובאיזה זמן. תקשורת כנה ומסודרת שומרת על אמון. אם נחשף מידע אישי, ייתכנו חובות דיווח לפי חוק הגנת הפרטיות, ולכן כדאי להיוועץ ביועץ משפטי או בגורם מקצועי כבר בשלב התכנון.
## תרגול ושיפור מתמשך
תוכנית שלא תורגלה היא תוכנית שלא תעבוד. פעם או פעמיים בשנה הריצו תרגיל שולחני קצר: מה נעשה אם מחשב אחד הוצפן? כל תרגיל חושף פערים. אחרי כל אירוע, אמיתי או מדומה, עדכנו את המסמך.
תוכנית תגובה לאירוע סייבר לא חייבת להיות מורכבת. עמוד או שניים עם תפקידים, אנשי קשר, צעדי בלימה ושחזור יכולים לעשות את ההבדל בין נזק מוגבל לאסון עסקי. הקדישו לה שעה השבוע, לפני שתצטרכו אותה.