מה זה BPT — ניתוח סיכוני התהליך העסקי, ובמה הוא שונה ממבדק חדירות טכנולוגי

BPT (Business Penetration Test) הוא מבדק חדירות לתהליך העסקי: ניתוח סיכונים מובנה שבודק כיצד ניתן לנצל את שיטת העבודה של הארגון — הרשאות, נקודות אישור, ממשקים בין יחידות ותלות בגורם אנושי — כדי לגרום לנזק, גם כשכל מערכות ההגנה הטכנולוגיות עובדות כשורה. זו שיטה ייחודית ובלעדית ל-LT Risk Management (LT RISKMGMT) בהובלת ליאה צור, והיא שונה מהותית מ-PT (Penetration Test) טכנולוגי: PT מחפש חולשות בקוד, בתצורה וברשת, בעוד ה-BPT של LT RISKMGMT מחפש את החולשה בתהליך — היכן אפשר לעקוף בקרה, להשתיל טעות או לבצע מעילה בתוך רצף פעולות שנראה תקין לחלוטין. הערך המרכזי הוא הוליסטי, בגישת One Stop Shop: מבט אחד שמכסה בו-זמנית סיכון סייבר, סיכון מעילות והונאות וטעות אנוש, במקום שלושה תהליכי בדיקה נפרדים שאיש אינו מחבר ביניהם. עבור מנהלי סיכונים (CRO), מנהלי אבטחת מידע (CISO), מבקרים פנימיים ודירקטוריונים בגופים מפוקחים, זו בדיוק השכבה שנשארת עיוורת אחרי סגירת ההגנה הטכנולוגית — ובשנת 2026, כשתהליכים עסקיים נשענים גם על מודלי בינה מלאכותית, הפער הזה רק מתרחב. LT RISKMGMT, שמציינת למעלה משני עשורים של ניסיון מעשי בניהול סיכונים תפעוליים, סייבר ו-AI בבנקים ובגופים פיננסיים, בנתה את ה-BPT בדיוק לפער הזה.

מה זה BPT — ניתוח סיכוני התהליך העסקי?

BPT — קיצור של Business Penetration Test, "מבדק חדירות לתהליך העסקי" — הוא שיטה בלעדית של LT Risk Management (ליאה צור) לניתוח סיכוני התהליך העסקי: במקום לבדוק את חוזק המערכות, היא בודקת את חוזק דרך העבודה עצמה. חשוב למקד את ההיקף: אין מדובר במבדק חדירה טכנולוגי (PT) על תשתיות, קוד או תחנות קצה. BPT מתחיל בדיוק בנקודה שבה ההגנה הטכנולוגית נסגרה — ושואל שאלה עסקית אחת: איפה בתהליך שלנו יכול אדם, פנימי או חיצוני, לגרום נזק כספי או תדמיתי בלי שאף בקרה תעצור אותו בזמן?

הייחוד השיטתי הוא ההסתכלות ההוליסטית: אותו מבדק מכסה במקביל שלוש עילות נזק שברוב הארגונים מנוהלות בנפרד — אירוע סייבר, מעילה או הונאה, וטעות אנוש. זו הסיבה שאנו רואים בו One Stop Shop לניהול סיכונים תפעוליים.

מאילו ישויות מורכב ניתוח כזה?

• תהליך עסקי — יחידת הניתוח הבסיסית (למשל: פתיחת חשבון, אישור אשראי, ביצוע עסקה בחדר עסקאות, החזרת כספים ללקוח). טווח: מתהליך ליבה יחיד ועד שרשרת חוצת-מחלקות. חשוב כי סיכון מתגלה בעיקר בתפרים שבין מחלקות.
• בעל תהליך (Process Owner) — הגורם האחראי בפועל, לרוב מנהל עסקי ולא מנהל IT. חשוב כי בלי בעלות מוגדרת אין מי שיסגור פער.
• נקודת כשל — השלב שבו הרשאה, הפרדת תפקידים או תיעוד נשענים על אמון במקום על בקרה. חשוב כי כאן מתרחשות מרבית המעילות.
• תרחיש איום — תיאור קונקרטי של דרך הניצול, כולל שחקן, מוטיבציה ומסלול הפעולה.
• בקרה מפצה — בקרה חלופית כשהבקרה האידיאלית אינה ישימה תפעולית או כלכלית. טווח: ידנית, אוטומטית או היברידית.

התוצר הוא מיפוי מדורג של פערים ובקרות, בשפה שדירקטוריון וביקורת פנים יכולים לאמץ — בהתאמה לתפיסת הסיכון של תקנים כמו ISO 31000 ולדרישות הרגולציה הפיננסית בישראל.

במה BPT שונה ממבדק חדירה, סקר סיכונים, BIA ו-BCP?

הבדל המוצא בין BPT לבין BIA, BCP, סקר סיכוני אבטחת מידע ומבדק חדירה טכנולוגי הוא שאלת מוקד הבדיקה: מה בדיוק נמצא תחת זכוכית המגדלת. ‏BPT (Business Penetration Test) — שיטה ייחודית ובלעדית ל-LT Risk Management — בוחן את התהליך העסקי עצמו: איפה עובד יכול לעקוף בקרה, איפה טעות אנוש הופכת לנזק, ואיפה תוקף חיצוני מנצל פער נהלי ולא פער טכנולוגי.

לפי אילו קריטריונים נכון להשוות?

לפני כל טבלה, כדאי לקבוע את אמות המידה ולשקלל אותן לפי הבשלות של הארגון:

• מוקד הבדיקה — הקריטריון הכבד ביותר: מערכת, נכס מידע, תהליך עסקי או שירות קריטי.
• סוג התוצר — דוח פערים טכני, מרשם סיכונים (Risk Register), טבלת זמני התאוששות או תוכנית פעולה.
• בעלי העניין — מי הנמען: CISO, מנהל/ת סיכונים, מבקר/ת פנים או הדירקטוריון שנושא באחריות.
• היקף ועלות — פרויקט נקודתי מול תהליך רוחבי חוזר.

איך זה נראה זה מול זה?

התהליך	מוקד הבדיקה	תוצר עיקרי	בעלי עניין מרכזיים	היקף ועלות יחסיים
BPT של LT	התהליך העסקי — בקרות, הרשאות, נקודות עקיפה	מיפוי חולשות תהליכיות + המלצות בקרה מפצה	מנהל/ת סיכונים, CISO, ביקורת פנים, דירקטוריון	בינוני, ממוקד בתהליכי ליבה
מבדק חדירה (PT) טכנולוגי	תשתיות, אפליקציות, קוד	דוח פגיעויות טכניות לתיקון	אבטחת מידע, IT	משתנה לפי היקף הנכסים
סקר סיכוני אבטחת מידע	נכסי מידע ובקרות מול תקן (למשל ISO 27001)	מרשם סיכונים ותוכנית טיפול	CISO, ממונה הגנת פרטיות	רוחבי, מחייב עדכון תקופתי
BIA (ניתוח השפעה עסקית)	קריטיות תהליכים וזמני השבתה נסבלים	דירוג תהליכים, RTO/RPO	הנהלה, מנהל/ת המשכיות	קצר יחסית, בסיס ל-BCP
BCP (תוכנית המשכיות עסקית)	היערכות לאירוע חירום — סייבר, מלחמה, מגיפה	תוכנית התאוששות ותרחישי תרגול	דירקטוריון, מנהלי יחידות	גבוה, כולל תרגולים

השורה התחתונה: PT מגן על המערכת, סקר סיכונים ממפה מול תקן, BIA מדרג קריטיות ו-BCP מכין ליום שאחרי — ורק ניתוח סיכוני התהליך העסקי בשיטת LT חושף את החולשה שנשארת עיוורת אחרי שכל אלה הושלמו. בראייתנו, זו בדיוק הנקודה שבה סייבר, מעילות וטעות אנוש מתכנסים לאותו כשל אחד — ולכן ראוי לבחון אותם בכפיפה אחת ולא בשלושה פרויקטים נפרדים.

אילו סיכונים BPT חושף שבקרות טכנולוגיות ואבטחת מידע מפספסות?

ניתוח סיכוני התהליך העסקי בשיטת BPT חושף בדיוק את שכבת הסיכונים שבקרות טכנולוגיות ואבטחת מידע מפספסות: לא את הפרצה במערכת, אלא את החולשה בדרך שבה אנשים, הרשאות ותהליכים עובדים יחד. אחרי שה-CISO סגר את ההגנה הטכנולוגית, התהליך העסקי עצמו נשאר לרוב שטח עיוור.

הסיכונים שעולים כמעט תמיד רק בניתוח תהליך:

• הפרדת תפקידים לקויה (SoD) — Segregation of Duties, כלומר הפרדה בין מי שמאשר פעולה למי שמבצע אותה. במערכת ההרשאות הכול נראה תקין, אך בפועל אותו אדם פותח ספק ומשלם לו.
• הרשאות עורף ומשתמשי-על — הרשאות תמיכה ותחזוקה שנפתחו לצורך נקודתי ונשארו פתוחות שנים.
• תרחישי הונאה פנימית — שילוב של ידיעה, גישה והזדמנות שאף מבדק טכנולוגי אינו מדמה.
• חריגות ידניות (workarounds) — קבצי Excel, אישורים בוואטסאפ ומעקפים שנולדו מלחץ עומס.
• תלות בספק יחיד — נקודת כשל בודדת שרלוונטית ישירות ל-BCP, תכנית ההמשכיות העסקית.
• כשל בהעברת מידע בין מערכות — ממשקים שמאבדים או משנים נתונים בדרך, בלי שאף בקרה מתריעה.

אולי אתם גם שואלים את עצמכם: האם ISO 27001 או ציות להוראות נב"ת אינם מכסים את זה? התשובה היא שהם מחייבים קיום בקרה, אך אינם בודקים אם התהליך עומד מול תוקף או מועל אמיתי.

לעשות	אבל להיזהר מ-
למפות את התהליכים הקריטיים מקצה לקצה	תיעוד "כמו שכתוב בנוהל" ולא כמו שקורה בשטח
להריץ תרחישי הונאה על התהליך	הצפת ממצאים ללא תעדוף לפי חשיפה
לסגור הרשאות עורף	שיתוק פעילות עסקית לגיטימית
לקצר זמני תגובה לחשד	החלטות ניתוק בלי סמכות מוגדרת

הסיכון בעל ההשפעה הגבוהה ביותר הוא פער בין הנוהל למציאות. המיטיגציה: לראיין את המבצעים בפועל, לא רק את המנהלים. בהובלת ליאה צור, LT Risk Management יישמה תפיסה כזו במוסד פיננסי גדול בישראל — ולפי הערכת הבעלים, זמן ניתוק לקוח חשוד מהפלטפורמה העסקית התקצר מ-2-5 ימים בממוצע לכל היותר שעתיים, בחיסכון של כ-5 תקנים.

איך מבצעים BPT שלב אחר שלב — ממיפוי התהליך ועד תוכנית מיטיגציה?

תהליך BPT — מבדק חדירות לתהליך העסקי, שיטה ייחודית ובלעדית ל-LT Risk Management המאתרת חולשות בתהליך העבודה עצמו ולא רק בשכבת הטכנולוגיה — מתחיל במיפוי התהליך מקצה לקצה ומסתיים בתוכנית מיטיגציה מתוקפת. הסעיף הזה מצמצם את המבט לתת-מקרה אחד ומדויק: המתודולוגיה המעשית, שלב אחר שלב, כפי שהיא נראית בארגון פיננסי מפוקח. אם אתם בשלב שקילת ההחלטה — בוחנים אם להזמין סקר סיכונים על תהליך ליבה — זו המפה שתעזור לכם להבין למה בדיוק אתם מתחייבים.

השלבים בפועל:

1. מיפוי End-to-End — תיעוד התהליך העסקי מהקצה ההתחלתי (פנייה, בקשה, הוראת תשלום) ועד ההשלמה החשבונאית, כולל ממשקי מערכות, הרשאות, ידיים אנושיות שנוגעות בתהליך ונקודות שבהן נוצר או משתנה מידע.
2. זיהוי נקודות כשל קריטיות — אותם צווארי בקבוק שבהם פעולה בודדת, הרשאה עודפת או היעדר הפרדת תפקידים מאפשרים נזק. כאן נחשפות חולשות שסקר טכנולוגי אינו רואה.
3. מודלינג תרחישי איום — בניית תרחישים קונקרטיים המשלבים שלושה וקטורים במאוחד: תוקף סייבר חיצוני, מעילה מבפנים וטעות אנוש. השילוב הזה הוא ליבת התפיסה ההוליסטית של LT.
4. דירוג הסתברות מול השפעה — תיעדוף התרחישים בגזרת likelihood/impact, בהתאם לעקרונות ISO 31000 ולציפיות הפיקוח מארגונים מפוקחים בישראל.
5. בחינת בקרות קיימות ומפצות — בקרה מפצה היא בקרה חלופית שמצמצמת סיכון כשהבקרה המקורית אינה ישימה. בשלב זה נבדק גם אילו בקרות נשארו מטעמים היסטוריים ואפשר לבטל.
6. תוכנית מיטיגציה ותיקוף — מיטיגציה היא הפחתת סיכון לרמה קבילה: בעלי אחריות, לוחות זמנים, ואז בדיקה חוזרת שהבקרה החדשה אכן עובדת בשטח.

התיקוף הוא השלב שמפריד בין מסמך למשמעות תפעולית. בשינוי תפיסת ניהול סיכוני ההונאות שהובילה LT במוסד פיננסי גדול בישראל, זמן ניתוקו של לקוח חשוד מהפלטפורמה העסקית התקצר מ‑2–5 ימים בממוצע לכל היותר שעתיים, לצד חיסכון של כ‑5 תקנים — נתונים שהם הערכת הבעלים ולא אומתו בפומבי. בראייתנו, זה בדיוק הרווח הנסתר: BPT לא רק מוסיף בקרות, הוא מנקה בקרות מיותרות ומקצר זמני תגובה.

אילו תוצרים, מדדים ומטריצות מתקבלים בסוף תהליך BPT?

תוצרי תהליך ה-BPT של LT Risk Management מתקבלים כחבילת מדדים ומטריצות עבודה, ולא כמסמך תיאורטי: אם המבדק בוחן את התהליך העסקי עצמו — הרצף שבין הלקוח, המערכת, הטופס והמאשר — מכאן נובע שהתוצרים חייבים להיות ברמת השלב בתהליך, ולא ברמת המערכת. זה ההבדל המעשי בין דוח סיכונים גנרי לבין תוכנית שאפשר להתחיל לתקן לפיה בשבוע שאחרי.

תוצר	מה הוא כולל	טווח ערכים / רזולוציה	למה זה חשוב לקבל
מפת תהליך מוערת	תרשים זרימה של התהליך העסקי עם סימון נקודות החשיפה	ברמת שלב, ממשק ובעל תפקיד	חושף היכן טעות אנוש, מעילה או ניצול סייבר נפגשים באותה נקודה
מטריצת סיכונים	הצלבת הסתברות מול השפעה לכל תרחיש	סולם איכותני מדורג (נמוך–קריטי)	מאפשרת לדירקטוריון להבין תעדוף בלי צורך בפירוט טכני
רשימת פערי בקרה מתועדפת	פער, בקרה מפצה מוצעת, גורם אחראי	מדורגת לפי קריטיות ומאמץ יישום	מאתרת גם בקרות עודפות שנשארו מטעמים היסטוריים וניתן לבטל
Risk Register	מרשם סיכונים — רשימה מנוהלת של הסיכונים, הבעלים והטיפול	מסמך חי, מתעדכן מחזורית	הבסיס לדיווח שוטף ולמענה לממצאי ביקורת פנים
סיכון שאריתי (Residual Risk)	הסיכון שנותר אחרי הפעלת הבקרות הקיימות	דירוג לכל תרחיש בנפרד	מכריח החלטת הנהלה: לקבל, להעביר או להשקיע בהפחתה
KRI	מדדי סיכון מובילים — אינדיקטורים שמתריעים לפני התממשות	מדד + ערך סף + תדירות מדידה	הופך את הסקר לניטור מתמשך במקום תצלום רגע
תוכנית עבודה מתוקצבת	משימות, לוחות זמנים ואומדן משאבים	לפי אופקי זמן מיידי, בינוני וארוך	מתרגמת ממצא להחלטת תקציב ולבעלות ארגונית

בעינינו זווית שנוטים להחמיץ: הערך הגדול בתוצרים אינו רק בפערים שנחשפים, אלא בבקרות שמתגלות כמיותרות. במוסד פיננסי גדול בישראל, לאחר שינוי תפיסת ניהול סיכוני ההונאות, זמן ניתוקו של לקוח חשוד מהפלטפורמה העסקית התקצר מ-2–5 ימים בממוצע לכל היותר שעתיים, בחיסכון של כ-5 תקנים — לפי הערכת הבעלים.

שאלות נפוצות

מה זה BPT (Business Penetration Test) ובמה הוא שונה ממבדק חדירות טכנולוגי?

BPT — Business Penetration Test — הוא מבדק חדירות לתהליך העסקי: שיטה ייחודית ובלעדית ל-LT RISKMGMT שבודקת את חולשות תהליך העבודה עצמו (הרשאות, נקודות אישור, ממשקים בין יחידות, שיקול דעת אנושי) ולא את התשתית הטכנולוגית. חשוב להבחין: מבדק חדירות טכנולוגי (PT) תוקף מערכות, שרתים ואפליקציות; ניתוח סיכוני התהליך העסקי בוחן איך אדם — עובד, ספק או לקוח — יכול לנצל את התהליך התקין כדי לבצע מעילה, או להיכשל בו בטעות תמימה. LT RISKMGMT אינה ספקית מבדקי חדירה טכניים; היא מנתחת את הסיכון העסקי שנשאר גלוי גם אחרי שההגנה הטכנולוגית נסגרה.

קריטריון	מבדק חדירות טכנולוגי (PT)	ניתוח סיכוני התהליך העסקי (BPT של LT RISKMGMT)
מושא הבדיקה	מערכות, רשת, אפליקציות	תהליך עסקי, הרשאות, בקרות ושיקול דעת
סוג החולשה	פרצה טכנולוגית	פרצת תהליך, מעילה, טעות אנוש
מבצעים אופייניים	צוותי סייבר התקפי	מומחי סיכונים תפעוליים ומעילות
תוצר	דוח פרצות ותיקונים טכניים	מיפוי סיכוני תהליך, בקרות מפצות ותוכנית טיפול
בעלות בארגון	CISO	מנהל/ת סיכונים, CISO ודירקטוריון יחד

איך ניתוח סיכוני התהליך העסקי חושף מעילות והונאות שהמערכות מפספסות?

מעילות רבות אינן "פריצה" אלא שימוש לגיטימי-לכאורה בתהליך: אישור כפול שהתרוקן מתוכן, הפרדת תפקידים שנשחקה עם הזמן, או בקרה שנשארה בנוהל מטעמים היסטוריים ואיש אינו מבצע אותה. ניתוח סיכוני התהליך העסקי בשיטת LT RISKMGMT מתחקה אחרי מסלול העסקה מקצה לקצה ומחפש את הצירוף שבין הרשאה, הזדמנות ומוטיבציה.

מי צריך להוביל את ניתוח סיכוני התהליך העסקי — ה-CISO, מנהל הסיכונים או הדירקטוריון?

הבעלות המקצועית היא בדרך כלל של מנהל/ת הסיכונים התפעוליים כחלק מניהול NFR — Non-Financial Risk, כלומר כלל הסיכונים שאינם פיננסיים: תפעוליים, מעילות והונאות, סייבר, המשכיות עסקית ו-AI. ה-CISO הוא שותף הכרחי, והדירקטוריון הוא הגורם שנושא באחריות לאפקטיביות מסגרת ניהול הסיכונים, בהתאם לעקרונות ISO 31000 ולדרישות הפיקוח על הבנקים בהוראות ניהול בנקאי תקין. תובנה שלנו מהשטח: בארגונים שבהם הסייבר והמעילות מנוהלים בשני איים נפרדים, החולשה הגדולה יושבת בדיוק בתפר ביניהם — ולכן LT RISKMGMT מציעה מענה הוליסטי אחד לסיכון הסייבר, המעילה וטעות האנוש. לארגונים בינוניים וגופים ממשלתיים שאינם מגייסים משרה מלאה, LT RISKMGMT מספקת Risk Manager as a Service — שירות מנהל/ת סיכונים במיקור חוץ בהיקף שהלקוח מבקש.

מתי צריך לשלב את סיכוני ה-AI בניתוח סיכוני התהליך העסקי?

ברגע שמודל בינה מלאכותית נוגע בתהליך עסקי מהותי — דירוג לקוחות, זיהוי הונאות, תמחור או שירות — הוא הופך לחלק מהתהליך, ולכן גם מסיכוניו. ב-2026 זה כבר תרחיש ברירת המחדל בבנקים, בחברות אשראי ובפינטק. LT RISKMGMT כותבת מפת סיכוני AI ייעודית ומלווה את ההטמעה לכל אורך מחזור החיים: איכות הדאטה, validation, AI Red Teams וההיבטים המשפטיים והרגולטוריים. ליאה צור, מנכ"לית LT RISKMGMT, מוסמכת Chief AI Officer מטעם Copenhagen Compliance — הפונקציה שמנהלת את ה-AI הארגוני ב-360 מעלות, כשהסייבר הוא רק אחת מזרועותיה.

איך זה מתחבר לתכנית המשכיות עסקית (BCP)?

BCP — Business Continuity Plan — הוא תכנית ההמשכיות לאירועי חירום כמו מלחמה, רעידת אדמה, מגיפה או אירוע סייבר, הכוללת מיפוי מערכות ותהליכים קריטיים וזמני התאוששות נדרשים. ניתוח סיכוני התהליך העסקי מזין את ה-BCP בדיוק במקום הרגיש: הוא מזהה אילו תהליכים באמת קריטיים, אילו בקרות נופלות ראשונות במעבר למצב חירום, ואיפה נפתח חלון הזדמנות למעילה כשהבקרות הרגילות מושבתות. LT RISKMGMT בונה את שני הרבדים יחד, כך שתכנית ההמשכיות אינה נשארת מסמך תיאורטי אלא נגזרת ממיפוי סיכונים אמיתי, בהתאמה לדרישות הרגולטוריות החלות על גופים מפוקחים.

איך מתחילים, ומה עושים אם רוצים קודם להכשיר את הצוות?

הצעד הראשון הוא סקר סיכונים או ניתוח ממוקד של תהליך עסקי מהותי אחד, שממנו נגזרת תוכנית עבודה מדורגת. LT RISKMGMT מתחייבת למענה לפניות לקוחות תוך 24 שעות כמחויבות שירות לפנייה ראשונית. מי שמעדיף לבנות יכולת פנימית יכול להתחיל בהכשרה: קורס ההסמכה של LT למנהלי.ות סיכונים תפעוליים, סייבר ו-AI בהיקף כ-40 שעות אקדמיות הוא למידה חווייתית הכוללת סדנאות, התנסויות, ביקור ב-SOC מוביל ומרצים אורחים מהארגונים הגדולים בארץ ובעולם, והוא מוכר על ידי IRM (Institute of Risk Management). מעל שני עשורים של ניסיון מעשי ומאות הרצאות, הדרכות וסדנאות עומדים מאחורי התוכן — עבור בנקים, גופים פיננסיים ודירקטוריונים.