# תרגיל כופרה שולחני לצוותי הנהלה

https://he.kinlevi.com/resources/ransomware-tabletop-exercise

התרחיש המקורי מיועד לבחינת תיאום בתנאי אי־ודאות. המטרה היא לחשוף סמכויות חסרות, הנחות ללא ראיות ותלויות בשחזור. הסכמה בחדר מעידה על דיון; היא אינה מוכיחה שבקרה טכנית או תהליך שחזור פועלים.

## הכנת המפגש

- בחרו מנחה שיציג את העדכונים וצופה שיתעד את פעולות המשתתפים בפועל. כללו אחריות לתיאום האירוע, אבטחה, תפעול פלטפורמה, פעילות עסקית ותקשורת.
- הגדירו שירות אחד ואת גרסת תוכנית התגובה הנבדקת. הביאו מטריצת החלטות, רשימת קשר ומפת תלויות. השתמשו בשמות ובחומרים בדויים.
- כהצעת תכנון, הקצו כ־90 דקות: 10 להגדרת המסגרת, 60 לארבעה סבבים ו־20 לתחקיר. התאימו את הקצב ליעדים ואל תעריכו משתתפים לפי מהירות בלבד.

## גבולות התרגיל ותנאי עצירה

- זהו תרגיל דיון. אין לשנות גישה במערכות אמיתיות, להריץ קבצים, לשלוח הודעות חיצוניות או להשתמש ברשומות לקוח אמיתיות לצורך הדמיית התרחיש.
- כל משתתף רשאי להשהות את התרגיל אם פעולה מוצעת נוגעת במערכת אמיתית או חורגת מהמסגרת. יש להבהיר את הגבול לפני שממשיכים.
- אם מתרחש אירוע תפעולי אמיתי, עצרו את התרגיל ועברו לתהליך התגובה האמיתי. סמנו בבירור רשומות תרגיל והודעות מדומות.

## מצב פתיחה בדיוני

ספק B2B תלוי בשירות אישור הזמנות בתקופת שיא המשלוחים. לקוחות מדווחים על תקלות והצוות אינו יודע אילו הזמנות התקבלו. הסיבה וההיקף המושפע אינם ידועים. העדכונים הבאים הם חומרי תרגול בדויים של המנחה ואינם תצפיות על ארגון אמיתי.

## שירות, משתתפים ומסגרת התרגיל

תעדו שירות, גרסת תוכנית, מנחה, צופה, תפקידים משתתפים וגבולות מוסכמים.

[להשלמה במהלך התרגיל]

## הציגו את העדכונים לפי הסדר

פתחו סבב אחד בכל פעם. מקטעי 15 הדקות מסייעים להנחיה ואינם מועדי תגובה מחייבים. לפני שמתקדמים, תעדו בחירה, סמכות, ראיות זמינות והבדיקה הבאה.

### 00 min — השבתת שירות

שירות ההזמנות אינו זמין. התמיכה קיבלה שלושה דיווחים, אך אין ספירה אמינה של ההזמנות שנפגעו. אי אפשר להשיג את מנהל האירוע הרגיל.

- מי מכריז על האירוע, מתאם את התגובה ומפעיל ממלא מקום?
- מה צריך לברר לפני מעבר להזמנות ידניות או עצירת הזמנות חדשות?

#### החלטה, סמכות ונימוקים

מה נבחר, בידי איזה תפקיד מוסמך, עם אילו חלופות והשלכות ללקוחות? ציינו מי אחראי לפעולה הבאה.

[להשלמה במהלך התרגיל]

#### פערי ראיות והבדיקה הבאה

הפרידו בין עובדות שסופקו, הנחות המשתתפים וראיות חסרות. מה ייבדק, בידי מי ולפני איזו החלטה?

[להשלמה במהלך התרגיל]

### 15 min — טענת סחיטה שלא אומתה

המנחה מציג הודעת כופר מדומה ודיווח על הפעלה חריגה של חשבון בעל הרשאות גבוהות. עדיין אין ראיות המוכיחות גנבת נתונים או את מלוא היקף הגישה.

- איזו בלימה מאושרת ואילו ראיות היא עלולה למחוק?
- מי בודק את הטענה ושומר על דיוק התקשורת עם הלקוחות כל עוד אמיתותה אינה ידועה?

#### החלטה, סמכות ונימוקים

מה נבחר, בידי איזה תפקיד מוסמך, עם אילו חלופות והשלכות ללקוחות? ציינו מי אחראי לפעולה הבאה.

[להשלמה במהלך התרגיל]

#### פערי ראיות והבדיקה הבאה

הפרידו בין עובדות שסופקו, הנחות המשתתפים וראיות חסרות. מה ייבדק, בידי מי ולפני איזו החלטה?

[להשלמה במהלך התרגיל]

### 30 min — תלות בשחזור

רשימת הגיבויים מציינת עותק עדכני, אך שחזורו לא הודגם בתרגיל. השחזור תלוי גם בשירות זהויות שאמינותו מוטלת בספק. התפעול מבקש הפעלה מחדש במהירות.

- אילו ראיות נדרשות לפני שחזור זהויות, נתונים ושירות?
- מי מאשר פעילות מוגבלת ואיזה תנאי ניטור או חזרה לאחור יחייב לעצור אותה?

#### החלטה, סמכות ונימוקים

מה נבחר, בידי איזה תפקיד מוסמך, עם אילו חלופות והשלכות ללקוחות? ציינו מי אחראי לפעולה הבאה.

[להשלמה במהלך התרגיל]

#### פערי ראיות והבדיקה הבאה

הפרידו בין עובדות שסופקו, הנחות המשתתפים וראיות חסרות. מה ייבדק, בידי מי ולפני איזו החלטה?

[להשלמה במהלך התרגיל]

### 45 min — לחץ לתקשר

לקוח מרכזי דורש זמן חזרה לשירות ועיתונאי מציג צילום מסך שלא אומת. המשמרת הבאה מגיעה לרשומת החלטות חלקית.

- מי מאשר עדכון שמסביר השפעה ואי־ודאות בלי הבטחות שאינן מבוססות?
- אילו החלטות, התחייבויות וראיות יש להעביר למשמרת הבאה ולגורם המנהל האחראי?

#### החלטה, סמכות ונימוקים

מה נבחר, בידי איזה תפקיד מוסמך, עם אילו חלופות והשלכות ללקוחות? ציינו מי אחראי לפעולה הבאה.

[להשלמה במהלך התרגיל]

#### פערי ראיות והבדיקה הבאה

הפרידו בין עובדות שסופקו, הנחות המשתתפים וראיות חסרות. מה ייבדק, בידי מי ולפני איזו החלטה?

[להשלמה במהלך התרגיל]

## הפכו את התחקיר לפעולות המשך

### חוזקות ופערים שנצפו

סמנו מה הודגם בדיון, מה רק נטען ומה לא טופל. ציינו רשומה או פעולה שנצפתה והימנעו מציון מוכנות שאינו מבוסס.

[להשלמה במהלך התרגיל]

### פעולות מתקנות ואימות

לכל פער תעדו אחראי, פעולה הבאה, מועד יעד וראיות להשלמה. השאירו תלויות פתוחות גלויות.

[להשלמה במהלך התרגיל]

### תנאי לתרגיל חוזר

הגדירו איזה שינוי או תיקון שהושלם יובילו לתרגיל נוסף ומה עליו להדגים. הסכימו מי יעקוב אחר ההתקדמות.

[להשלמה במהלך התרגיל]

ממצאי דיון אינם מוכיחים ששחזור, גילוי או תקשורת יפעלו באירוע אמיתי. אמתו טענות טכניות בנפרד באמצעות בדיקות מורשות. שמרו את הקובץ שהורדתם ובדקו פעולות מתקנות לפני שמכריזים שהושלמו.

## שיטה ומקורות

תרחיש ודף עבודה מקוריים עם מקורות ראשוניים לתכנון תרגילים. זו אינה ערכת תרגיל רשמית של CISA או NIST.

- [CISA — Tabletop Exercise Package Documents](https://www.cisa.gov/resources-tools/resources/ctep-package-documents)
- [NIST SP 800-84 — Test, Training, and Exercise Programs](https://csrc.nist.gov/pubs/sp/800/84/final)
- [NIST SP 800-61 Rev. 3 — Incident Response Recommendations](https://csrc.nist.gov/pubs/sp/800/61/r3/final)