NIST מעדכן את תפיסת הכופרה: ממניעה בלבד לניהול מלא של הסיכון

כופרה היא אחד מתרחישי הסייבר שממחישים בצורה הברורה ביותר את ההבדל בין אבטחה לבין חוסן. אפשר להשקיע במניעת חדירה, אך ארגון צריך להיות מסוגל גם לזהות אירוע, לצמצם את הנזק, להמשיך בפעילות קריטית ולהחזיר מערכות בצורה בטוחה.
NIST IR 8374 Revision 1, שפורסם ביוני 2026, מעדכן את תפיסת Ransomware Risk Management בדיוק בכיוון הזה ומחבר את הכופרה לכל מחזור ניהול סיכוני הסייבר של הארגון.

Ransomware ב-2026: NIST מחדד כיצד ארגונים צריכים למנוע, להגיב ולהתאושש:
Prevention, Response ו-Recovery

כופרה היא כבר לא רק בעיית Prevention

במשך שנים, חלק גדול מהשיח סביב Ransomware עסק בשאלה כיצד למנוע את האירוע: הקשחת מערכות, עדכוני אבטחה, MFA, הגבלת הרשאות, הדרכת עובדים וגיבויים.

כל אלה ממשיכים להיות קריטיים, אבל הם אינם מספיקים.

מתקפת כופרה יכולה לכלול כיום לא רק הצפנת מערכות אלא גם גניבת מידע ואיום בפרסומו. NIST עצמו מתייחס לכך כבר בהגדרת התרחיש בפרופיל החדש: תוקפים עשויים להצפין מידע ולדרוש תשלום עבור החזרת הגישה, ובמקביל לגנוב מידע ולדרוש תשלום נוסף בתמורה לאי־חשיפתו.

לכן ניהול הסיכון חייב לענות על שלוש שאלות שונות:

• כיצד מצמצמים את הסיכוי לאירוע?
• כיצד מנהלים אותו אם הוא מתרחש?
• וכיצד מחזירים את הארגון לפעילות לאחר הפגיעה?

מה פרסם NIST ביוני 2026?

ב-11 ביוני 2026 פרסם NIST את הגרסה הסופית של:

NIST IR 8374 Rev. 1 – Ransomware Risk Management: A Cybersecurity Framework 2.0 Community Profile.

המסמך מחליף את IR 8374 המקורי משנת 2022, שהתבסס על NIST CSF 1.1. הגרסה החדשה מותאמת ל-NIST CSF 2.0 ומרחיבה בהתאם את תפיסת ניהול הסיכון.

NIST מגדיר לפרופיל שתי מטרות מרכזיות:

1. להעריך עד כמה הארגון מוכן להתמודד עם איומי Ransomware ועם ההשלכות האפשריות שלהם;
2. להשתמש בפרופיל כבסיס לבניית Ransomware Countermeasure Playbook – תוכנית מסודרת להתמודדות עם הסיכון.

זו נקודה חשובה: מדובר לא רק ברשימת בקרות טכניות, אלא במסגרת לקבלת החלטות ותיעדוף.

שש פונקציות – תרחיש כופרה אחד

כמו SP 800-61 Rev. 3 בתחום Incident Response, גם פרופיל הכופרה החדש של NIST בנוי בהתאם לשש הפונקציות של CSF 2.0:

1. Govern
2. Identify
3. Protect
4. Detect
5. Respond
6. Recover

הפרופיל מזהה את ה-Security Outcomes הרלוונטיים בכל אחת מהן לצורך התמודדות עם כופרה.

הגישה הזו משנה את השאלה.

במקום לשאול רק:

"האם אנחנו מוגנים מפני כופרה?"

הארגון צריך לשאול:

"האם אנחנו יודעים לנהל את מלוא מחזור החיים של אירוע כופרה?"

Govern: מי אחראי עוד לפני שהאירוע התחיל?

אחת התוספות החשובות שנובעות מהחיבור ל-CSF 2.0 היא הדגש על Governance.

עוד לפני התראה ראשונה צריך להגדיר:

• מי בעל הסיכון העסקי.
• מי מנהל אירוע משמעותי.
• מי מוסמך לקבל החלטות על השבתת מערכות.
• מי מערב הנהלה, Legal ו־Privacy.
• כיצד מנוהלים ספקים קריטיים.
• מהי רמת הסיכון שהארגון מוכן לקבל.
• וכיצד הכופרה משתלבת בתהליך ניהול הסיכונים הארגוני.

כופרה אינה רק נושא של מנהל אבטחת המידע. היא יכולה להשבית תהליכים עסקיים, לחשוף מידע, לפגוע בחוזים ובלקוחות ולהפוך בתוך זמן קצר למשבר הנהלתי.

מידע נוסף במאמר סיכוני סייבר לארגונים, שמרחיב על הצורך לנהל כופרה כחלק ממכלול סיכוני הסייבר ולא כאיום מבודד.

Identify ו-Protect: לדעת מה חייבים להגן עליו

לא כל מערכת בארגון חשובה באותה מידה.

לפני שבונים הגנות צריך לדעת:

מהם הנכסים הקריטיים?
איזה מידע חיוני לפעילות?
אילו מערכות תלויות זו בזו?
אילו זהויות מחזיקות הרשאות משמעותיות?
ואילו ספקים יכולים להשפיע על הרציפות העסקית?

מכאן מגיע השלב של Protect – בקרות המקטינות את הסבירות לאירוע ואת פוטנציאל הנזק שלו.

מבחינת הארגון, זה המקום לחבר בין סקר סיכונים, ניהול נכסים, הקשחה, הרשאות, גיבויים, מודעות עובדים וניהול חולשות.

מידע נוסף על סקר אבטחת מידע, שנועד למפות נכסים, לזהות פערים ולבנות תוכנית טיפול מתועדפת.

Detect: האם נדע שמשהו קורה בזמן?

גם ארגון עם שכבות הגנה טובות צריך להניח שאירוע יכול להתרחש.

לכן זיהוי מהיר הוא חלק מהותי מחוסן מול כופרה.

השאלה היא לא רק האם קיימות מערכות ניטור, אלא האם יש תהליך שמאפשר:

לזהות פעילות חריגה,
להבדיל בין רעש לאירוע אמיתי,
להעריך חומרה והשפעה,
ולהסלים את האירוע לגורמים המתאימים.

זהו בדיוק החיבור בין Prevention לבין Incident Response.

שירות SOC as a Service, הכולל ניטור, Triage, תחקור ראשוני, הערכת השפעה ואסקלציה בהתאם לרמות חומרה.

Respond: מה עושים כשהכופרה כבר בתוך הארגון?

ברגע שאירוע משמעותי מתחיל, הטכנולוגיה היא רק חלק מהתמונה.

הארגון צריך במקביל:

• לחקור את היקף האירוע
• לצמצם התפשטות
• להבין אם מידע נגנב
• להחליט אילו שירותים ניתן להמשיך להפעיל
• להפעיל ספקי Incident Response
• לנהל תקשורת פנימית וחיצונית
• ולבחון חובות משפטיות ורגולטוריות

זו הסיבה ש-Incident Response חייב להיות מתורגל מראש.

מסמך IR שלא הופעל מעולם אינו הוכחה לכך שהארגון באמת מוכן.

תרגילי Tabletop: לבדוק את תוכנית הכופרה לפני שהאירוע אמיתי

תרחיש Ransomware מתאים במיוחד ל־Tabletop Exercise משום שהוא מכריח את הארגון להתמודד עם שילוב של החלטות טכנולוגיות ועסקיות.

לדוגמה:

מערכת מרכזית מושבתת.
לא ברור עדיין אם מידע נגנב.
הגיבוי האחרון דורש בדיקה.
לקוח מבקש תשובה.
הנהלה רוצה לדעת מתי חוזרים לפעילות.
ובמקביל מתקבלת דרישת כופר.

התרגיל צריך לבדוק:

מי מנהל את האירוע?
מי מוסמך להשבית או להחזיר מערכת?
מתי מפעילים BCP?
מי מערב ייעוץ משפטי ו־Privacy?
מי מנהל תקשורת?
והאם ההנהלה מסוגלת לקבל החלטה גם כשאין עדיין תמונה מלאה?

הערך של Tabletop אינו בתרגול "איך משלמים" או "איך מנקים נוזקה".

הערך הוא בתרגול קבלת ההחלטות הארגונית.

Recover: גיבוי אינו תוכנית התאוששות

אחת הטעויות הנפוצות ביותר היא להניח שאם קיימים גיבויים — יש גם Recovery.

בפועל יש פער גדול בין השניים.

ארגון צריך לדעת:

האם ניתן לגשת לגיבויים בזמן האירוע?
האם הם נבדקו?
האם ברור שהם אינם מושפעים?
מהו סדר השחזור?
מהן התלויות בין המערכות?
וכמה זמן ייקח להחזיר את התהליך העסקי כולו לפעולה?

NIST מחזיק לאורך שנים סדרת משאבים שעוסקת לא רק בזיהוי והגנה אלא גם בתגובה ובהתאוששות מאירועי Ransomware ואירועים הרסניים. פרופיל 2026 מחבר את כל התחומים הללו תחת CSF 2.0.

כאן BCP ו-DRP הופכים לקריטיים

חשוב להבחין בין שני מושגים:

DRP – Disaster Recovery Plan עוסק בעיקר בשחזור מערכות, תשתיות ומידע.

BCP – Business Continuity Plan עוסק ביכולת העסק להמשיך לבצע את הפעולות הקריטיות גם כאשר מערכות מסוימות אינן זמינות.

במתקפת כופרה שני העולמות חייבים לעבוד ביחד.

ייתכן שה-DR אומר שלשחזור מערכת מסוימת יידרשו 12 שעות, אבל מבחינה עסקית הארגון אינו יכול להפסיק לספק שירות למשך 12 שעות.

בדיוק בשביל זה קיים BCP.

מידע נוסף במאמר BCP או DRP? שני המסמכים שכל ארגון צריך – והסיבה שהם לא אותו דבר

מוכנות לכופרה נמדדת ביכולת להתאושש

אחד המסרים החשובים בפרסום של NIST הוא שהפרופיל יכול לשמש ארגונים כדי להעריך את רמת המוכנות שלהם ולזהות פעולות בעדיפות גבוהה לחיזוק החוסן. NIST מציין שהפרופיל פותח בשיתוף עם התעשייה במטרה להתאים בין דרישות אמיתיות למניעה ולהפחתת נזק לבין יעדים, Risk Appetite ומשאבים ארגוניים.

זה אומר שלא כל ארגון חייב ליישם בדיוק אותו סט בקרות.

אבל כל ארגון צריך להבין:

• מהו תרחיש הכופרה הסביר עבורו
• מה תהיה ההשפעה העסקית
• אילו בקרות כבר קיימות
• איפה נמצאים הפערים
• מה סדר העדיפויות לטיפול

זו בדיוק המשמעות של Risk Management.

מה ארגונים צריכים לבדוק בעקבות NIST IR 8374 Rev. 1?

הפרסום החדש הוא הזדמנות טובה לבצע Gap Analysis ממוקד לכופרה.

כדאי לבדוק לפחות:

1. האם Ransomware מופיע כתרחיש מוגדר בסקר הסיכונים?
2. האם מיפינו מערכות ומידע קריטיים?
3. האם תוכנית Incident Response כוללת Playbook לכופרה?
4. האם תוכנית IR מחוברת ל־BCP ול־DRP?
5. האם גיבויים ושחזור נבדקים בפועל?
6. האם הנהלה השתתפה ב־Tabletop של Ransomware?
7. האם קיימים ספקי IR ואנשי קשר שהוגדרו מראש?
8. האם תהליך Post-Incident מוביל לעדכון סיכונים ובקרות?

אם חלק מהתשובות אינן ברורות, זה בדיוק סוג הפער שהפרופיל החדש יכול לסייע למפות.

מ-Ransomware Protection ל־Ransomware Resilience

הנקודה החשובה ביותר ב-NIST IR 8374 Rev. 1 היא לא בקרת אבטחה ספציפית.

זו התפיסה.

NIST אינו מסתכל על Ransomware רק כאיום שצריך לחסום, אלא כסיכון שצריך לנהל לאורך כל מחזור החיים שלו:

• למשול בסיכון
• להכיר את הנכסים
• להגן עליהם
• לזהות פעילות חריגה
• להגיב
• להתאושש

זו גם הדרך הנכונה להסתכל על כופרה ברמת הארגון.

לא רק:

“איך נמנע את המתקפה?”

אלא גם:

“אם היא תתרחש מחר והאם נדע להמשיך לתפקד?”

כיצד אינפוגארד יכולה לסייע?

אינפוגארד מסייעת לארגונים לבחון ולשפר את המוכנות שלהם לתרחישי Ransomware באמצעות סקרי סיכונים, Gap Analysis, סקירת בקרות, בניית ועדכון תוכניות Incident Response, בחינת BCP ו־DRP ותרגילי הנהלה ו־Tabletop Exercise.

הבחינה יכולה להתבסס גם על NIST CSF 2.0 ועל NIST IR 8374 Rev. 1, כדי למפות Current State, לזהות פערים ולבנות תוכנית טיפול בהתאם לסיכון ולצרכים העסקיים של הארגון.

המטרה אינה רק להקטין את הסיכוי למתקפת כופרה.

המטרה היא לוודא שהארגון מסוגל לזהות אותה, לנהל אותה ולהתאושש ממנה.

NIST IR 8374 Rev. 1 מחדד כי Ransomware Risk Management

NIST IR 8374 Rev. 1 אינו מסתכם במניעה או בגיבויים. הארגון נדרש לחבר Governance, הגנה, זיהוי, Incident Response והתאוששות למערכת אחת של ניהול סיכונים.
החיבור בין IR, BCP ו-DRP, לצד תרגילי Tabletop להנהלה ומאפשר לבחון לא רק אם קיימות בקרות, אלא אם הארגון באמת מסוגל להמשיך לתפקד בזמן משבר.
בעולם שבו אי אפשר להבטיח שכל מתקפה תיחסם, חוסן נמדד גם במהירות ובאיכות שבה הארגון יודע להגיב ולחזור לפעילות.

מקורות

• NIST, NIST IR 8374 Rev. 1 – Ransomware Risk Management: A Cybersecurity Framework 2.0 Community Profile, 11.6.2026.
• NIST NCCoE, Now Available: Practical Guidelines for Preventing and Mitigating Ransomware, 11.6.2026.
• NIST CSRC, Ransomware Protection and Response – Publications.
• NIST, IR 8374 – Ransomware Risk Management: A Cybersecurity Framework Profile, פברואר 2022; הוחלף ב־IR 8374 Rev. 1 ביוני 2026.
• המידע במאמר נועד למטרות מידע והעשרה ואינו מהווה ייעוץ משפטי, רגולטורי או מקצועי המותאם לארגון מסוים.

המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי.

אנחנו באינפוגארד מאמינים כי כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים על מנת להכין תוכנית הרלוונטית בדיוק לארגון ולחברה.

המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך על ידי רועי קיש, חובב פרטיות, אבטחת מידע, סייבר ומנהל שיווק בקבוצת חברות עידור (Messagenet, Infoguard, Idornext).