Incident Response — מה עושים כשפורצים? 6 השלבים

פריצה תקרה — השאלה היא איך מגיבים. תהליך Incident Response (IR) מסודר הוא ההבדל בין נזק קטן לאסון.

6 השלבים (מודל SANS)

1. Preparation (הכנה) — נהלים, כלים, צוות, גיבויים. לפני האירוע.
2. Identification (זיהוי) — האם זה באמת אירוע? מה היקפו?
3. Containment (בלימה) — לעצור את ההתפשטות. ניתוק מערכות נגועות (קצר/ארוך טווח).
4. Eradication (מיגור) — הסרת הנוזקה והסיבה (לא רק התסמין).
5. Recovery (התאוששות) — החזרת מערכות לעבודה, וידוא שהן נקיות.
6. Lessons Learned (הפקת לקחים) — מה קרה, איך נמנע בעתיד. השלב שהכי מדלגים עליו — והכי חשוב.

כללי זהב

• אל תפעלו בפאניקה — תהליך מסודר עדיף.
• תעדו הכל — לחקירה ולמשפט אם צריך.
• שמרו ראיות (forensics) לפני שמנקים.
• תקשורת — מי מודיע למי? (הנהלה, לקוחות, רגולטור).

הלקח: לארגון מוכן יש "ספר הפעלה" (playbook) מוכן מראש. אל תאלתרו תוך כדי שריפה.