תרגיל שולחן בסייבר (Tabletop Exercise): כך מתכוננים ובודקים מוכנות לאירוע
אירוע סייבר משמעותי אינו מבחן רק למערכות ההגנה של הארגון. הוא מבחן ליכולת של אנשים ממחלקות שונות להבין את המצב, לתקשר, לקבל החלטות ולהמשיך להפעיל את העסק תחת לחץ ואי־ודאות.
תרגיל שולחן מאפשר לבדוק את כל אלה בסביבה מבוקרת, בלי להשבית מערכות ובלי להמתין לאירוע אמיתי שילמד את הארגון בדרך הקשה.
תרגיל שולחן בסייבר: הדרך לבדוק את תוכנית החירום לפני אירוע אמיתי
לארגון יש:
- נוהל Incident Response
- יש BCP
- יש גיבויים
- יש SOC
- יש אנשי קשר של ספקים
- הוגדר מראש מי נמצא בצוות ניהול המשבר
אבל אז מגיע אירוע.
מערכת עסקית קריטית אינה זמינה, אנשי ה-IT עדיין אינם יודעים מה היקף הפגיעה, מופיע חשש לדליפת מידע, לקוח מרכזי מבקש תשובות והמנכ"ל רוצה לדעת אם אפשר להמשיך לעבוד.
פתאום מתברר שהשאלה החשובה אינה רק “האם יש לנו נוהל?”
אלא:
“האם אנחנו באמת יודעים להפעיל אותו?”
זו בדיוק המטרה של Tabletop Exercise – תרגיל שולחן – לבדוק מוכנות, יישום נהלים ומדיניות ובעיקר להיכונן ולהשתפר לאירוע שיבוא.
אנחנו באינפוגארד רואים בתרגילי שולחן כלי מרכזי לניהול הסיכונים של הארגון וחלק בלתי נפרד גם מניהול הסיכון האנושי בארגון – Human Risk Management וכעוד חלק או שכבת הגנה, המתייחסת להדרכה והכשרה של צוותים והנהלה, להתמודדות עם מקרי משבר בתחום אבטחת המידע והסייבר.
מהו תרגיל שולחן בסייבר – Cyber Tabletop Exercise?
תרגיל שולחן הוא תרגיל מבוסס דיון שבו בעלי תפקידים בארגון מתמודדים עם תרחיש שמתפתח בשלבים.
בניגוד לתרגיל טכני, אין צורך להחדיר קוד לסביבה, לתקוף מערכות או להפעיל צוות Red Team.
המשתתפים מקבלים מידע על אירוע מדומה ונדרשים להסביר כיצד הארגון היה פועל אילו היה מדובר באירוע אמיתי.
CISA האמריקאית מגדירה Tabletop Exercise ככלי שמאפשר לארגונים לדון ביכולת שלהם להתמודד עם מגוון תרחישי איום. חבילות התרגול שלה כוללות בין היתר תרחישי כופרה, Phishing, Insider Threat ופגיעה במערכות בקרה תעשייתיות.
גם מערך הסייבר הלאומי בישראל מפרסם מתודולוגיה ייעודית לתרגילי סייבר שולחניים, ומציג את התרגיל השולחני ככלי עיוני שמאפשר לבחון את אופן ההתמודדות של הארגון עם תרחיש נתון.
היתרון הגדול הוא שאפשר לבדוק אנשים, תהליכים וקבלת החלטות בלי לסכן את סביבת הייצור.
מה בעצם בודקים בתרגיל?
תרגיל שולחן איכותי אינו מבחן טריוויה על נהלי הארגון.
הוא נועד לבדוק אם המערכת הארגונית כולה פועלת.
בין היתר ניתן לבחון:
- האם ברור מי מנהל את האירוע
- כיצד Alert טכני הופך ל-Incident ארגוני
- מי מוסמך להשבית מערכת
- מתי מערבים הנהלה
- כיצד פועלים כאשר מידע אישי עלול להיחשף
- מתי מפעילים BCP
- כיצד מתקשרים עם ספקים
- מי אחראי על דיווח לרגולטור או לרשות
- כיצד מעדכנים עובדים ולקוחות
- ובאיזה שלב מתחילים תהליך Recovery
CISA מציינת שתרגילים כאלה יכולים לסייע לארגון לבחון ולעדכן תהליכי שיתוף מידע, תוכניות חירום, מדיניות, נהלים ותוכניות Recovery.
כלומר, המטרה אינה לבדוק רק את צוות הסייבר.
המטרה היא לבדוק את הארגון.
תרגיל הנהלה אינו תרגיל SOC
זו הבחנה חשובה.
SOC צריך לדעת לזהות פעילות חריגה, לבצע Triage, להבין Indicators ולנהל אסקלציה.
הנהלה אינה צריכה לדעת לבצע Isolation ל-Endpoint.
מה שהנהלה כן צריכה לדעת הוא לקבל החלטות כאשר התמונה אינה מלאה.
- לדוגמה:
- האם אנחנו מוכנים להשבית שירות קריטי כדי לצמצם את הסיכון?
- מי מוסמך לקבל החלטה כזו?
- מה עושים כאשר הצוות הטכני ממליץ להשאיר מערכת מושבתת אבל הפעילות העסקית דורשת אותה?
- מתי מעדכנים לקוח גדול?
- האם האירוע דורש הפעלה של תוכנית המשכיות עסקית?
- ומה אומרים לעובדים כאשר עדיין איננו יודעים מה באמת קרה?
אלו בדיוק המצבים שקשה לתרגל באמצעות מסמך.
איך נראה תרגיל Tabletop?
תרגיל טוב בנוי סביב תרחיש מתפתח.
במקום לספר למשתתפים מראש מה קרה, המנחה מציג מידע בשלבים, לעיתים באמצעות Injects, כלומר התפתחויות חדשות שמוזרמות אל תוך התרגיל.
לדוגמה:
09:00 – SOC מזהה פעילות חריגה במספר תחנות.
09:30 – משתמשים מדווחים שאינם יכולים לגשת לקבצים.
10:00 – מערכת עסקית מרכזית אינה זמינה.
10:30 – מתעורר חשש שמידע הועתק מחוץ לארגון.
11:00 – לקוח מתקשר בעקבות מידע שהופיע ברשת.
11:30 – ספק מרכזי מודיע שגם הוא חווה אירוע.
בכל נקודה נשאלת אותה שאלה:
מה הארגון עושה עכשיו?
תרגיל כזה מאפשר לזהות במהירות פערים שבשגרה יכולים להישאר חבויים בתוך מסמכים.
מי צריך להשתתף בתרגיל?
הרכב המשתתפים תלוי בארגון ובתרחיש, אבל בתרגיל הנהלה משמעותי כדאי לשקול השתתפות של:
- מנכ"ל או חבר הנהלה בכיר
- CIO / CTO
- CISO או מנהל אבטחת מידע
- IT ותשתיות
- SOC / Incident Response
- מנהל BCP או Continuity
- Legal
- DPO / Privacy
- HR
- תפעול
- Finance
- דוברות / Communications
- ספקים מרכזיים, בהתאם לתרחיש
דווקא השילוב בין בעלי תפקידים הוא חלק חשוב מהתרגיל.
בזמן אמת, אירוע סייבר אינו מתנהל במסלול אחד:
- צוות אחד חוקר את התקיפה
- צוות אחר צריך להחליט אם להמשיך שירות
- צוות משפטי בוחן חובות דיווח
- הנהלה צריכה לקבל החלטות עסקיות
Incident Response, BCP ו-DR – האם הם באמת מחוברים?
אחד השימושים החשובים ביותר ב-Tabletop הוא לבדוק את נקודות החיבור בין תוכניות שונות.
Incident Response
Incident Response עוסק בזיהוי האירוע, חקירתו, צמצום הנזק, טיפול והתאוששות.
BCP – Business Continuity Plan
תוכנית המשכיות עסקית עוסקת ביכולת להמשיך לבצע תהליכים עסקיים קריטיים כאשר מערכות, אנשים, אתרים או ספקים אינם זמינים.
DRP – Disaster Recovery Plan
תוכנית התאוששות ( DRP ) עוסקת בהחזרת מערכות, תשתיות ומידע לפעילות.
על הנייר אלו תוכניות שונות – באירוע אמיתי הן נפגשות.
לדוגמה,
צוות Incident Response עשוי להחליט שלא ניתן עדיין להחזיר מערכת לסביבת הייצור.
מבחינת DR קיימת יכולת לשחזר אותה.
אבל מבחינת BCP העסק כבר צריך לספק שירות.
- מי מחליט?
- איזו חלופה מפעילים?
- ומהו הסיכון שמוכנים לקבל?
Tabletop מאפשר לבדוק בדיוק את החיבורים האלה.
מידע נוסף על BCP מול DRP – שני המסמכים שכל ארגון צריך.
אילו תרחישי Tabletop כדאי לתרגל?
אין תרחיש אחד שמתאים ונכון לכל ארגון.
תרגיל טוב מתחיל מתמונת הסיכון העסקית ובחינת הארגון.
תרחיש 1 מתקפת כופרה
מערכות מושבתות, קיים חשש לגניבת מידע, הגיבויים דורשים בדיקה וההנהלה נדרשת לקבל החלטות תחת לחץ.
CISA אף ממליצה להשתמש בתרגילי סייבר כדי לבחון או לפתח Incident Response Plan בהקשר של תרחיש Ransomware.
מידע נוסף במאמר – NIST Ransomware Risk Management 2026.
תרחיש 2 דליפת מידע
הארגון מגלה שמידע אישי או עסקי נמצא מחוץ לסביבה, אך עדיין אינו יודע כיצד הגיע לשם ומה היקף החשיפה.
תרחיש 3 Phishing ו-Account Takeover
אירוע שמתחיל בלחיצה של משתמש אחד ומתפתח לגישה למערכות נוספות.
מידע נוסף: Incident Response ו-Threat Hunting לאחר מתקפת Phishing.
תרחיש 4 פגיעה בספק
מערכת הארגון תקינה – אך ספק SaaS או שירות קריטי אחר נפגע.
תרחיש 5 אירוע Cloud
זהות בעלת הרשאות גבוהות נפרצת או ששירות מרכזי הופך בלתי זמין.
תרחיש 6 Cyber + Influence
במקביל לאירוע הטכנולוגי מופיעים ברשת מידע, שמועות או טענות בנוגע לארגון.
עוד מידע במאמר האם הארגון שלכם ערוך למתקפת סייבר שמטרתה גם להשפיע? כשהתקיפה לא מסתיימת ברשת
למה חשוב שהתרחיש יהיה מותאם לארגון?
תרגיל גנרי יכול להיות שימושי, אבל תרגיל איכותי צריך לדבר בשפה של הארגון.
- לחברת SaaS יש תלות אחרת ממפעל.
- לבנק יש דרישות שונות מבית חולים.
- ארגון המחזיק מידע אישי רגיש צריך לבדוק שאלות שונות מארגון שבו האתגר המרכזי הוא רציפות ייצור.
לכן לפני בניית התרחיש כדאי להבין:
- מהם הנכסים הקריטיים.
- מהם התהליכים העסקיים החשובים ביותר.
- אילו ספקים מהווים תלות משמעותית.
- אילו דרישות רגולטוריות חלות.
- מהן נקודות הכשל האפשריות.
- ואילו תרחישים מדאיגים את ההנהלה.
מכאן ניתן לבנות תרגיל שבאמת בוחן את יכולת הארגון להתמודד עם הסיכונים שלו.
מידע נוסף על סקר אבטחת מידע
TTX אינם רק Best Practice
החשיבות של TTX אינה תיאורטית.
בנובמבר 2025 ערך הפיקוח על הבנקים בישראל תרגיל סייבר מערכתי במתכונת TTX, בהשתתפות הגופים המפוקחים, מערך הסייבר הלאומי והמרכז לרציפות פיננסית במשרד האוצר.
לפי בנק ישראל, מטרת התרגיל הייתה לחזק ולבחון מוכנות טכנולוגית, ארגונית ותהליכית לאירועי סייבר משמעותיים, כדי לאפשר התאוששות מהירה ומושכלת. במהלך התרגיל נבחנו גם תרחישים מתפתחים של שרשרת אספקה, צדדים שלישיים ושימוש אפשרי ב־AI מצד תוקפים.
זו דוגמה טובה לתפיסה הנכונה של תרגול:
לא לבחון רק האם מערכות האבטחה עובדות, אלא האם המערכת הארגונית יודעת לפעול ולהפעיל אותן.
מה ההבדל בין תרגיל שולחן טוב לישיבת דיון?
תרגיל Tabletop אינו צריך להפוך לישיבה שבה כולם מסבירים מה הם "אמורים" לעשות.
כדי להפיק ממנו ערך, נדרשים מספר מרכיבים:
- מטרות ברורות – מה רוצים לבדוק?
- תרחיש רלוונטי – אירוע שמתאים לעסק ולסיכונים.
- התפתחות הדרגתית – לא לחשוף את כל התמונה מראש.
- מנחה מקצועי – שמאתגר את המשתתפים בלי לכוון אותם לתשובה.
- תיעוד – החלטות, פערים ונקודות שדורשות טיפול.
- After Action Review – סיכום מסודר לאחר התרגיל.
- תוכנית עבודה – הפיכת הממצאים לפעולות מתקנות.
גם חבילת ה-Tabletop של CISA כוללת תבניות למשוב ול־After Action Report, מתוך תפיסה שהתרגיל אינו מסתיים כאשר הדיון בחדר נגמר.
התוצר החשוב ביותר הוא לא ציון
מטרת התרגיל אינה להוכיח שהארגון מוכן.
למעשה, תרגיל שבו לא נמצאו פערים בכלל צריך לעורר שאלה אם התרחיש היה מאתגר מספיק.
המטרה היא למצוא פערים בשגרה.
לדוגמה:
- אין איש קשר עדכני של ספק קריטי.
- לא ברור מי מוסמך להשבית מערכת.
- ה-BCP מניח שמערכת מסוימת זמינה, אבל תרחיש הסייבר משבית אותה.
- הנהלים מגדירים DPO כחלק מהאירוע, אבל הוא אינו מופיע ברשימת ההסלמה.
- ערוץ התקשורת החלופי תלוי באותה תשתית שהתרחיש השבית.
אלה בדיוק הדברים שתרגיל טוב צריך לחשוף.
ומה עושים אחרי התרגיל?
התרגיל עצמו הוא רק אמצעי.
הערך נוצר לאחריו.
בסיום Tabletop כדאי לרכז:
- מה עבד היטב.
- אילו פערים נמצאו.
- אילו החלטות היו לא ברורות.
- אילו נהלים דורשים עדכון.
- אילו בקרות חסרות.
- מי אחראי על כל פעולה מתקנת.
- ומהו לוח הזמנים לטיפול.
לאחר מכן ניתן לעדכן בהתאם:
- Incident Response Plan
- BCP
- DRP
- רשימות קשר
- מדיניות
- נהלי דיווח
- הסכמים עם ספקים
- תוכנית העבודה של אבטחת המידע
כך תרגיל Tabletop הופך מכלי הדרכה לכלי של ניהול סיכונים ושיפור מתמשך.
כל כמה זמן כדאי לבצע תרגיל?
אין תדירות אחת שמתאימה לכל ארגון.
אבל ככלל, כדאי לא להמתין לאירוע אמיתי כדי לבדוק שהתוכנית עובדת.
יש היגיון לבצע תרגיל תקופתי ובנוסף לתרגל בעקבות שינויים משמעותיים, למשל:
- שינוי בתשתיות
- מעבר לענן
- שינוי ארגוני
- ספק קריטי חדש
- שינוי רגולטורי
- אירוע סייבר משמעותי בענף
- שינוי מהותי בתמונת האיום
- או עדכון של תוכניות Incident Response ו-BCP
ארגון יכול גם לשנות את התרחיש בכל פעם: שנה אחת Ransomware, לאחר מכן Supply Chain, ובהמשך Data Breach או Cloud Incident.
כך התרגול הופך לחלק מתוכנית Cyber Resilience ולא לאירוע חד־פעמי.
איך תדעו אם הגיע הזמן לבצע Tabletop?
כדאי לשאול:
- מתי בפעם האחרונה ההנהלה תרגלה אירוע סייבר?
- האם Incident Response, BCP ו-DR נבדקו יחד?
- האם מנהלים יודעים מי מקבל החלטה בזמן אירוע?
- האם ספקים קריטיים נכללו בתרחיש?
- האם תורגל אירוע שבו המידע חלקי וסותר?
- האם אחרי התרגיל האחרון בוצעו פעולות תיקון?
אם על חלק מהשאלות קשה לענות, זו כבר אינדיקציה לכך שהתרגיל יכול לייצר ערך.
מנוהל כתוב ליכולת מוכחת
אי אפשר להבטיח שלא יתרחש אירוע סייבר.
אבל אפשר לבדוק מראש כיצד הארגון יפעל כאשר הוא יתרחש.
תרגיל שולחן מאפשר לקחת מסמכי Incident Response, BCP ו-DR ולהוציא אותם מהתיקייה אל המציאות, בלי צורך לחוות משבר אמיתי.
הוא בודק לא רק את הטכנולוגיה אלא את התיאום שבין אנשים, תהליכים, מערכות והחלטות.
והפער הזה הוא בדיוק ההבדל בין ארגון שיש לו תוכנית תגובה לאירוע לבין ארגון שפיתח יכולת אמיתית להתמודד עם אירוע.
תרגילי Tabletop עם אינפוגארד
אינפוגארד מסייעת לארגונים לבחון את רמת המוכנות שלהם לאירועי סייבר באמצעות תרחישים מותאמים לסביבת האיום, למערכות הקריטיות, לתהליכים העסקיים ולדרישות הרגולטוריות של הארגון.
התרגול יכול לחבר בין Incident Response, הנהלה, BCP, DRP, פרטיות, ספקים וניהול משבר, ולאפשר לזהות פערים לפני אירוע אמיתי.
לפני שמגיע אירוע הסייבר הבא: אולי אתם צריכים, לבצע תרגילי שולחן?
תרגיל שולחן בסייבר אינו מבחן טכני, אלא סימולציה של יכולת הארגון לקבל החלטות ולהמשיך לתפקד בזמן משבר. הוא מאפשר לבדוק במקביל Incident Response, BCP, DR, רגולציה, ספקים ותקשורת הנהלה.
הערך האמיתי של התרגיל נמצא בפערים שהוא חושף ובפעולות שמבוצעות בעקבותיהם — עוד לפני שהארגון נדרש להתמודד עם אירוע אמיתי.
בסופו של דבר, מוכנות אינה נמדדת במספר הנהלים הקיימים, אלא ביכולת של האנשים בארגון להפעיל אותם בזמן הנכון.
מקורות
- CISA, Cybersecurity Scenarios – CISA Tabletop Exercise Packages (CTEPs). תרחישים הכוללים Ransomware, Insider Threats, Phishing ו-ICS Compromise.
- CISA, CTEP Package Documents. כלי תכנון לתרגילי Tabletop, לרבות תהליכי הערכה ו-After Action Report.
- CISA, #StopRansomware Guide. התייחסות לתרגילי סייבר ככלי לבחינה ולפיתוח של Cyber Incident Response Plan בתרחישי כופרה.
- מערך הסייבר הלאומי, מדריך לתרגול בסייבר – מתודולוגיה וקווים מנחים לתרגילי סייבר שולחניים.
- בנק ישראל – הפיקוח על הבנקים, תרגיל סייבר מערכתי במתכונת TTX, 13.11.2025.
המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי.
אנחנו באינפוגארד מאמינים כי כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים על מנת להכין תוכנית הרלוונטית בדיוק לארגון ולחברה.
המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך על ידי רועי קיש, חובב פרטיות, אבטחת מידע, סייבר ומנהל שיווק בקבוצת חברות עידור (Messagenet, Infoguard, Idornext).
