מ-KEV ועד BOD: כך CISA משפיעה על הדרך שבה ארגונים מנהלים סיכוני סייבר
- מהי CISA ולמה ההנחיות שלה רלוונטיות גם לארגונים בישראל?
שדות מטה לגוגל
Meta Title: מהי CISA? מדריך ל-CISO על הנחיות, KEV ו-BOD
Meta Description: מה עושה CISA, מהו קטלוג KEV, מהן הנחיות BOD ומה ההבדל בין הנחיות CISA לתקינה ורגולציה? מדריך לארגונים ולמנהלי אבטחת מידע בישראל.
Slug: what-is-cisa-cybersecurity-directives-kev-bod
תגיות: CISA, אבטחת סייבר, Cybersecurity, רגולציית סייבר, Cyber Regulation, KEV, BOD, ניהול סיכוני סייבר
הקדמה
כאשר מתפרסמת חולשת אבטחה חדשה, ארגונים צריכים לדעת לא רק עד כמה היא חמורה — אלא האם היא באמת רלוונטית ודחופה עבורם. CISA הפכה לאחד המקורות המרכזיים בעולם להתרעות, חולשות מנוצלות, הנחיות אבטחה ותיעדוף סיכוני סייבר. גם כאשר הנחיותיה אינן מחייבות חברה בישראל, הן יכולות לספק ל-CISO ולצוותי IT נקודת ייחוס חשובה לקבלת החלטות.
CISA: הגוף האמריקאי שכל CISO כדאי שיכיר
כשמתפרסמת חולשת אבטחה חדשה, אחת השאלות הראשונות של מנהלי אבטחת מידע היא האם מדובר בעוד CVE שצריך להכניס לתור העבודה — או באיום שמחייב טיפול מיידי.
אחד הגופים המרכזיים שעוזרים לספק את ההקשר הזה הוא CISA — Cybersecurity and Infrastructure Security Agency, הסוכנות האמריקאית לאבטחת סייבר ותשתיות.
CISA עוסקת בהגנה על מערכות סייבר ותשתיות קריטיות, מספקת הנחיות וכלים לצמצום סיכונים ומובילה פעילות ממשלתית בתחום החוסן של תשתיות. הפעילות שלה רלוונטית בראש ובראשונה לארצות הברית, אך חלק ניכר מהמידע שהיא מפרסמת הפך לנקודת ייחוס מקצועית עבור קהילת הסייבר העולמית.
למה אנשי סייבר עוקבים אחרי CISA?
עולם ניהול החולשות מייצר אתגר פשוט לכאורה אך קשה מאוד לביצוע: יש הרבה יותר חולשות מיכולת הטיפול הזמינה.
מדי שנה מתפרסמים CVEs רבים במערכות הפעלה, ציוד תקשורת, מוצרי אבטחה, יישומים ותשתיות. עבור ארגון ממוצע, ניסיון לטפל בכולם באותה דחיפות אינו גישה יעילה.
CISA מספקת שכבת תיעדוף והקשר נוספת. הדוגמה הבולטת ביותר היא Known Exploited Vulnerabilities Catalog — KEV, שמרכז חולשות שלגביהן CISA קבעה כי קיימת עדות לניצול מוכר.
מבחינת CISO, עצם הופעתה של חולשה ב-KEV משנה את אופי השיחה: כבר לא מדובר רק בשאלה מה החומרה התיאורטית של CVE, אלא בכך שהחולשה מוכרת כמנוצלת בעולם האמיתי.
מה עוד מפרסמת CISA?
CISA מפרסמת Directives, התרעות, Cybersecurity Best Practices, Guidance ומידע שמטרתו לסייע לארגונים ולגופים ממשלתיים לצמצם סיכונים. חלק מה-Directives שלה הם Binding Operational Directives — הוראות המחייבות גופים פדרליים אזרחיים הנמצאים בתחום התחולה שלהן.
דוגמה לכך היא BOD 26-04 – Prioritizing Security Updates Based on Risk, שפורסמה ביוני 2026 ומגדירה מסגרת חדשה לתיעדוף עדכוני אבטחה בהתאם לסיכון. היא החליפה והרחיבה חלק מהגישה שהתבססה על BOD 22-01 ועל טיפול בחולשות מתוך קטלוג KEV.
קראו גם: BOD 26-04: כשדירוג CVSS כבר לא מספיק כדי להחליט מה לתקן קודם
CISA, תקינה ורגולציה — חשוב להבחין ביניהן
כשמדברים על CISA משתמשים לעיתים באותה נשימה במונחים "תקינה", "רגולציה", "הנחיות" ו-Best Practices, אך מבחינה מקצועית כדאי להפריד ביניהם.
CISA יכולה לפרסם Binding Operational Directives המחייבות גופים פדרליים שנמצאים בתחום התחולה שלהן, לצד הנחיות מקצועיות, Best Practices והמלצות שנועדו לקהלים רחבים יותר. היא אינה, עם זאת, "גוף התקינה של עולם הסייבר". בארצות הברית, למשל, NIST מפתח Standards, Guidelines, Frameworks ומשאבים מקצועיים המשמשים את הממשל, התעשייה וארגונים נוספים.
עבור ארגונים, הערך נמצא בחיבור בין שכבות אלה: דרישה רגולטורית יכולה להגדיר מה חייבים לעשות, Framework או תקן יכול לספק מסגרת ל־איך לנהל את התהליך, והנחיות CISA יכולות לספק מידע עדכני על מה כדאי לתעדף עכשיו.
נקודה זו מאפשרת גם לבנות ספריית תוכן משלימה באתר:
קראו גם: מה ההבדל בין תקן, רגולציה ו-Best Practice באבטחת מידע?
קראו גם: NIST Cybersecurity Framework: מה ארגונים צריכים לדעת?
קראו גם: קטלוג KEV של CISA: כיצד להשתמש בו בתהליך ניהול חולשות?
קראו גם: BOD 26-04: מעבר לתיעדוף חולשות מבוסס סיכון
האם CISA היא רגולטור?
לא באופן שבו חברה ישראלית מתייחסת לרשות רגולטורית מקומית שמטילה עליה חובה משפטית ישירה.
ה-Binding Operational Directives של CISA מחייבות את הגופים הפדרליים הרלוונטיים בתחום התחולה שלהן ואינן הופכות אוטומטית לדרישה מחייבת עבור חברה פרטית בישראל.
אבל כאן חשוב להבחין בין חובה משפטית לבין Benchmark מקצועי.
כאשר CISA מכניסה חולשה ל-KEV, מפרסמת הנחיית הקשחה או מגדירה מסגרת חדשה לתיעדוף Vulnerability Remediation, ארגונים מחוץ לממשל יכולים להשתמש במידע הזה כחלק מתהליך ניהול הסיכונים שלהם.
מה המשמעות לארגונים בישראל?
עבור ארגון ישראלי, CISA יכולה לשמש מקור מקצועי משלים לצד מערך הסייבר הלאומי, CERTים, הנחיות יצרנים, רגולטורים ומסגרות מקצועיות אחרות.
צוות SOC יכול להשתמש במידע שלה כחלק מתהליך הערכת איומים; אנשי IT ו-Infrastructure יכולים לשלב את KEV בתוך Patch Management; מנהלי סיכונים יכולים לבדוק האם נכסים קריטיים חשופים לחולשות שנמצאות בשימוש פעיל; וה-CISO יכול להיעזר בהנחיות כדי לתעדף משאבים ולהציג להנהלה תמונת סיכון ברורה יותר.
הערך המרכזי אינו בקריאה ידנית של כל התרעה. הוא נמצא בשילוב מקורות המידע האלה בתוך תהליך ארגוני הכולל Asset Inventory, Vulnerability Management, Patch Management, Threat Intelligence, Governance ובקרות מפצות כאשר לא ניתן לבצע עדכון מיידי.
CISA היא מקור מידע — לא תחליף לניהול סיכונים
גם הנחיה של CISA אינה מכירה את הסביבה הארגונית שלכם.
שתי חברות שמשתמשות באותו מוצר עשויות להיות חשופות לרמות סיכון שונות לחלוטין. אצל אחת המערכת עשויה להיות חשופה לאינטרנט ולתמוך בשירות עסקי קריטי; אצל האחרת היא יכולה להיות מבודדת ומוגבלת לסביבה פנימית.
לכן, הדרך הנכונה להשתמש במידע של CISA היא לא להפוך אותו לרשימת מטלות אוטומטית, אלא להכניס אותו כקלט איכותי למנגנון קבלת החלטות מבוסס סיכון.
בעידן שבו צוותי אבטחה מוצפים בממצאים, היכולת להבין מה באמת דורש טיפול היא יכולת אבטחה בפני עצמה. זו אחת הסיבות לכך שכדאי ל-CIO, ל-CISO, למנהלי IT ולצוותי SOC להכיר את CISA, את ה-KEV ואת מערך ההנחיות שהיא מפרסמת.
תקציר המאמר
CISA היא אחד הגופים המרכזיים בארצות הברית בתחום אבטחת הסייבר והחוסן של תשתיות, והיא מפרסמת Directives, התרעות, KEV והנחיות מקצועיות. חלק מהוראותיה מחייבות גופים פדרליים מוגדרים, בעוד תכנים אחרים משמשים Best Practices ו-Benchmark מקצועי לקהלים רחבים יותר. עבור ארגונים בישראל, הערך הוא בשילוב המידע של CISA בתוך תהליכי ניהול חולשות, Patch Management, SOC וניהול סיכוני סייבר.
3 אפשרויות CTA
CTA 1 — המשך קריאה:
רוצים להבין כיצד הגישה של CISA מתורגמת לפעולה? המשיכו למאמר שלנו על BOD 26-04 והמעבר מתיעדוף לפי חומרה לתיעדוף עדכוני אבטחה לפי סיכון.
CTA 2 — אינפוגרד:
הנחיות ו-Best Practices הן רק נקודת התחלה. אינפוגרד מסייעת לארגונים לתרגם דרישות רגולטוריות, תקנים וסיכוני סייבר למדיניות, סקרי סיכונים, בקרות ותוכנית עבודה ישימה.
CTA 3 — בדיקת בשלות:
מתי בפעם האחרונה בדקתם אם תהליך Vulnerability Management שלכם מחבר בין חולשות, נכסים, איומים וקריטיות עסקית? בחינה תקופתית של התהליך יכולה לחשוף פערים שלא נראים בדוח הסריקה עצמו.
המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי. כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים.
המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך על ידי ROY KISCH, חובב אבטחת מידע, סייבר ומנהל השיווק של קבוצת חברות עידור (Messagent, Infoguard, Idornext).
