מחשב עבודה נגנב: פעולות לעובד ולעסק

גניבת מחשב עבודה עלולה לחשוף קבצי לקוחות וגישה למערכות העסק. מחשב עבודה נגנב — מה עושים עכשיו: דווחו למחשוב ולמנהל והתחילו לתעד ממכשיר בטוח. בדקו במקביל את החשבונות החשופים, מצב ההצפנה ואפשרויות הטיפול במחשב.

עודכן: 1 בנובמבר 2026.

1. דיווח ראשוני וחלוקת אחריות

1.1 העובדים: דיווח ראשוני

דווחו מיד למחשוב ולמנהל הישיר, גם אם חסרים פרטים. השתמשו בתבנית שבסעיף 1.4 ורכזו בה את המידע במקום לשלוח גרסאות שונות. אל תכללו סיסמאות או מפתחות שחזור בהודעה. אם מתקבל מיקום אפשרי של המחשב, העבירו אותו למשטרה ואל תנסו להתעמת עם הגנב.

1.2 מנהל האירוע: הקצאת אחריות ושמירת ראיות

פתחו רישום מרכזי והקצו לכל משימה אחראי ותנאי סיום. שמרו זמני דיווח ופעולות, אישורי הנהלה וראיות זמינות. הבדילו בין עובדות להשערות והגבילו גישה לתיק לפי הצורך. קבעו מי מעדכן את העובדים ואת ההנהלה ומי מרכז החלטות.

1.3 ההנהלה: תיעוד למשטרה ולביטוח

אספו מספר סידורי, חשבונית, תיאור המחשב וראיות זמינות. שמרו את אישור התלונה ובדקו את דרישות חברת הביטוח ואת מועדי ההודעה שבהסכם המסוים.

1.4 העובדים: השלמת נוסח הדיווח

2. הגבלת חשבונות ואימות הניתוק

מנהל המערכת בודק בכל שירות כיצד להגביל גישה, לבטל חיבורים ולטפל בפרטי גישה שעלולים להיחשף. קבעו את היקף הפעולה לפי נסיבות האירוע וההרשאות הזמינות, ותעדו כיצד תיבדק השלמתה.

2.1 מנהל המערכת: הגבלת גישה בשירותי הארגון

מפו דואר, אחסון ענן, VPN, מנהל סיסמאות, מערכות לקוחות וחשבונות ניהול שהיו זמינים. בכל שירות בדקו את הוראות הספק להגבלת גישה ולביטול חיבורים. תעדו מה שונה, מי ביצע ומתי, וכן מה עדיין דורש אימות. עיינו בהנחיות Microsoft Entra לפי סביבת הארגון.

2.2 העובדים בתיאום עם IT: טיפול בחשבונות אישיים

רשמו אילו חשבונות אישיים היו בשימוש וטפלו בהם בנפרד לפי הוראות הספק. בדקו פרטי גישה שעלולים להיחשף והסתייעו בהנחיות Google למכשיר שאבד. תעדו השלמה בלי לשתף עם העסק סיסמאות אישיות.

3. הערכת ההגנה לפי ההצפנה ומצב המחשב

3.1 מנהל המערכת: איסוף ראיות למצב ההצפנה

בדקו את דוח ההצפנה האחרון, מועדו והגדרות ההגנה שתועדו. אספו בנפרד מידע על מצב המחשב בעת האובדן ועל החשבונות שהיו זמינים בו. אם אין ראיה עדכנית, רשמו "מצב לא ידוע" והגדירו מי משלים את הבדיקה. שמרו מפתחות שחזור במקום מוגבל הרשאות, בנפרד מתיק האירוע הכללי.

3.2 הנהלה ו־IT: קביעת מסלול הטיפול לפי הראיות

• יש ראיות עדכניות: תעדו את מקורן ואת מועדן, והעבירו אותן להערכת החשיפה.
• יש מידע חלקי או סותר: הפרידו בין דיווח העובדים לבין נתוני הניהול.
• אין ראיות מספיקות: תעדו אי־ודאות ואל תסגרו את בדיקת החשיפה על סמך השערה.

4. איתור, נעילה ומחיקה מרחוק

4.1 מנהל המערכת: בדיקת המסלול הזמין

בדקו ברישומי הניהול ובתיעוד היצרן איזה מסלול הוגדר למחשב ואילו פעולות זמינות למנהל המורשה. אמתו מערכת הפעלה, רישום לניהול, הרשאות ורישוי רלוונטי. השתמשו בתיעוד פעולות Intune לבדיקת התנאים, ואל תשלחו פקודה רק משום ששמה מופיע בממשק.

4.2 הנהלה ו־IT: אישור מחיקה ובחירת הפעולה

ההנהלה מאשרת מחיקה לפי רגישות המידע, הצורך בראיות והמידע המקומי שעלול ללכת לאיבוד. שמרו ראיות זמינות לפני הפעולה בלי לעכב הגנה נחוצה. Wipe ב־Intune מיועד לאיפוס המכשיר; בדקו את התנהגותו ואת האפשרויות לפלטפורמה לפני אישור. אל תניחו שמידע שלא גובה יהיה ניתן לשחזור.

בדקו את ההוראות המתאימות לפני פעולה: Remote lock ב־Intune, Locate device ב־Intune, איתור ונעילה ב־Windows וטיפול ב־Mac שאבד. הקישורים מיועדים לאימות המסלול; אין להניח שכל פעולה זמינה בכל מחשב.

4.3 מנהל המערכת: שמירת ראיות לביצוע

5. בדיקת חשיפה, דיווח וחזרה לעבודה

5.1 מנהל המערכת: בדיקת פעילות חריגה

בדקו במערכות הרלוונטיות פעילות סביב מועד האובדן, בהתאם לראיות הזמינות ולהוראות הספק. רשמו את טווח הזמן שנבדק ואת מגבלות הבדיקה. בחשבון דואר ארגוני היעזרו בהנחיות Microsoft לבדיקת חשבון שנפגע. אל תציגו בדיקה חלקית כהוכחה להיעדר חשיפה.

5.2 הנהלה וגורם משפטי: בדיקת דיווח לפי דין

בדקו את סיווג המאגר לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017. לפי דף הדיווח הרשמי של הרשות להגנת הפרטיות, ברמת אבטחה בינונית נדרש דיווח כשנעשה שימוש ללא הרשאה או בחריגה מהרשאה בחלק מהותי מהמאגר, או שנוצר עותק של המידע. שימוש כולל גילוי, העתקה, העברה או מסירה. חלופה נפרדת היא פגיעה בשלמות המידע לגבי חלק מהותי מהמאגר, לרבות הצפנתו או מניעת גישה אליו.

ברמת אבטחה גבוהה, לפי אותו מקור, גם כניסה למערכות המאגר שנתנה גישה למידע ללא הרשאה או בחריגה מהרשאה מחייבת דיווח, אף שטרם הוכח שימוש בפועל. המקור מתייחס גם לגישה שאין לבעל המאגר דרך לדעת את היקפה, משכה או הפעולות שבוצעו בה. הדיווח על אירוע אבטחה חמור נדרש מיד; דיווח למשטרה או לגורם אחר אינו מחליף אותו. בדקו את נסיבות הגניבה והראיות בלי להסיק את סיווג המאגר מגודל העסק.

5.3 ההנהלה: בדיקת הסכמים והודעות

בנפרד מהבדיקה לפי דין, עיינו בהסכם המסוים עם כל לקוח, ספק ומבטח ובדקו אם נקבעו נסיבות ומועדים להודעה. כהמלצה תפעולית, הקצו גורם לאישור הודעות ותעדו עובדות ואי־ודאות. אל תציגו זאת כחובת הודעה כללית ללקוחות.

5.4 מנהל האירוע: בדיקת ערוצי סיוע

בעת הצורך, בדקו את ערוצי הסיוע והדיווח הרשמיים הרלוונטיים, ובהם מערך הסייבר הלאומי. הבדילו בין בקשת סיוע לבין בדיקת חובות הדיווח של העסק.

5.5 מנהל המערכת והעובדים: שחזור ואישור חזרה לעבודה

הכינו מחשב חלופי ושחזרו מידע מגיבוי זמין בהתאם לתנאי השירות ולהרשאות. בדקו עם העובדים פתיחת קבצים, דואר ומערכות הנחוצות לתפקיד. תעדו מה שוחזר, מה חסר ואילו מגבלות נותרו. היקף ההתאוששות ומועדה תלויים בגיבוי הקיים, בתקינותו ובתנאים שסוכמו.

5.6 הנהלה ו־IT: קביעת פעולות המשך

הקצו אחראים ומועדים לסגירת פערים בהצפנה, בניהול ובבדיקות שחזור. להמשך התכנון עיינו בניהול מכשירים, בגיבוי בענן ובהכנת אחריות לדיווח.

5.7 מנהל האירוע: אימות השלמה

צ׳קליסט לסיום הטיפול — להעתקה למסמך האירוע:

• ודאו שלכל משימה יש ראיית השלמה או אחראי ומועד להמשך.
• ודאו שהחלטות על דיווח, מחיקה וחזרה לעבודה אושרו ותועדו.
• שמרו בנפרד משימות פתוחות, לרבות פעולות מרחוק שביצוען טרם אומת.

שאלות נפוצות

דברו איתנו על צורכי המחשוב של העסק. לפני התקשרות עם ספק, בדקו בהצעה מי אחראי להגבלת גישה, לאיסוף ראיות, לחקירה, לשחזור ולתיאום דיווחים. ודאו אילו משימות כלולות, אילו דורשות הסכמה נוספת, מי מאשר פעולות ומהם זמני המענה ותנאי ה־SLA.