תוכן העניינים
מהן בדיקות חדירות?
בניגוד לסריקות אוטומטיות, בדיקות חדירות משלבות מומחיות אנושית, ניתוח מעמיק ויכולת לשלב מספר חולשות לנתיב תקיפה אפשרי. התוצר אינו רק רשימת פגיעויות, אלא הדגמה של ההשפעה העסקית האפשרית ומה תוקף אמיתי יכול להשיג באמצעותן.
בדיקת חדירות מול סריקת פגיעויות: ההבדל הקריטי
אחת התפיסות המוטעות העיקשות ביותר באבטחת מידע ארגונית היא שסריקת פגיעויות ובדיקת חדירות הן אותו תרגיל בנקודות מחיר שונות. הן לא. הן עונות על שאלות שונות מיסודן.
| ממד | סריקת פגיעויות | בדיקת חדירות |
|---|---|---|
| שיטה | מיפוי אוטומטי מבוסס כלים | ניצול ידני על ידי בודקים אנושיים |
| תוצר | רשימת CVE ידועים ותצורות שגויות | נתיבי תקיפה מודגמים עם הוכחת היתכנות (Proof-of-Concept) |
| עומק | זיהוי ברמת פני השטח | ניצול מלא כולל הסלמת הרשאות |
| שרשור | מזהה חולשות בודדות | משרשר חולשות מרובות לתרחישי תקיפה ריאליסטיים |
| הקשר עסקי | אין – החומרה היא ציון CVSS | מפורש – ההשפעה ממופה לסיכון עסקי |
| התרעות שווא | גבוהות – הכלי מדווח ממצאים לא מאומתים | נמוכות – הבודק מאמת ניצוליות לפני הדיווח |
| ערך רגולטורי | מוגבל – רוב המסגרות דורשות יותר | מוכר עבור ISO 27001, PCI-DSS, DORA TLPT, NIS2 |
| משך טיפוסי | שעות | ימים עד שבועות, בהתאם להיקף |
| עלות | נמוכה ($500–$5,000) | משמעותית ($10,000-$100,000+) |
| מתי להשתמש | היגיינה שוטפת, שבועית או חודשית | ביטחון (Assurance) שנתי, לפני ביקורת, לאחר שינוי |
סריקת פגיעויות אומרת לכם מה עשוי להיות שבור. בדיקת חדירות אומרת לכם מה ניתן לשבור, על ידי מי, ובאילו השלכות. עבור ארגונים הנתונים לפיקוח רגולטורי או המנהלים נכסים דיגיטליים משמעותיים, רק האחרונה מספקת את איכות הראיות שמבקרים, מבטחים ודירקטוריונים דורשים.
מה הופך בדיקת חדירות ל”מונחית-תוצאה”?
רוב פרויקטי בדיקות החדירות מוגדרים לפי סוג הנכס: “לבדוק את אפליקציית הווב”, “לבדוק את ההיקף החיצוני”, “לבדוק את הרשת הפנימית”. גישה זו מפיקה ממצאים מדויקים טכנית, אך היא נכשלת לעתים קרובות במתן מענה לשאלה שבאמת חשובה לעסק: האם תוקף יכול להגיע לנכסי הליבה שלנו, ומה יקרה אם יצליח?
בדיקות חדירות מונחות-תוצאה מתחילות מהכיוון ההפוך. במקום להגדיר היקף לפי סוג נכס, הן מגדירות היקף לפי יעד סיכון:
- מהי התוצאה ההרסנית ביותר שעלינו למנוע? (דלף נתוני לקוחות, הפעלת כופרה, מניפולציה של עסקאות פיננסיות, שיבוש מערכות תפעוליות.)
- איזו בקרה רגולטורית עלינו לאמת? (ניהול פגיעויות טכני לפי ISO 27001 Annex A.8.8, דרישה 11.4 של PCI-DSS, סעיף 26 של DORA TLPT, אמצעי האבטחה לפי סעיף 21 של NIS2.)
- איזה וקטור תקיפה ספציפי מייצג את הסיכון הלא-מאומת הגבוה ביותר שלנו? (פישינג המוביל לכופרה, גישת צד שלישי למערכות ליבה, תצורה שגויה בענן המובילה לחשיפת נתונים.)
רק לאחר הגדרת היעדים הללו נקבע היקף הבדיקה. כך הבדיקה מתמקדת בתרחישי הסיכון המשמעותיים לארגון, ולא רק בנכסים שנכללים במקרה בגבולות טכניים מוגדרים. הדוח המתקבל מקשר כל ממצא להשפעה העסקית, לרמת הסיכון ולעדיפות הטיפול, ומאפשר לארגון לפעול באופן עצמאי ולתעדף תיקונים בצורה יעילה.
זהו הערך הייחודי של IPV Security בבדיקות חדירות: כל פרויקט מתוכנן סביב הסיכון העסקי והדרישות הרגולטוריות, ולא רק סביב רשימת נכסים או מגבלות טכניות.
חמשת השלבים של בדיקת חדירות מקצועית
פרויקט בדיקת חדירות מובנה, בין אם מתבצע על היקף חיצוני, רשת פנימית, אפליקציית ווב או סביבת ענן, כולל חמישה שלבים מרכזיים ומוגדרים. הבנת שלבים אלו חיונית להערכת איכות הבדיקה ולווידוא שהתהליך מספק תמונת מצב אמינה ורמת ביטחון אמיתית לארגון.
שלב 1 – הגדרת היקף וכללי התקשרות (Rules of Engagement)
לפני תחילת כל עבודה טכנית, פרמטרי הפרויקט מוגדרים בכתב: מערכות יעד, טכניקות מותרות, מערכות מוחרגות (סביבות ייצור עם אפס סובלנות לשיבוש), חלונות זמנים, אנשי קשר להסלמת חירום, וההסמכה המשפטית המגנה על שני הצדדים. זו אינה בירוקרטיה אדמיניסטרטיבית, זהו היסוד המבדיל בין האקינג אתי לפעילות פלילית. חברת בדיקות חדירות שמדלגת על שלב זה היא נטל, לא נכס.
שיחת הגדרת ההיקף מונחית-התוצאה מתרחשת כאן: הלקוח מגדיר את תרחישי התקיפה המייצגים סיכון עסקי אמיתי, וצוות הבדיקה מתכנן את הפרויקט כך שיבחן בדיוק את התרחישים הללו.
שלב 2 – איסוף מודיעין (Reconnaissance)
איסוף מודיעין פסיבי ואקטיבי נועד למפות את טביעת הרגל החיצונית של הארגון, כולל דומיינים, טווחי IP, שירותים חשופים, טכנולוגיות בשימוש, מידע ארגוני ודליפות מידע זמינות ממקורות ציבוריים. איסוף פסיבי מתבסס על מקורות OSINT ואינו יוצר תקשורת מול מערכות היעד, בעוד שאיסוף אקטיבי, כגון סריקות פורטים וזיהוי שירותים, מתבצע בהתאם להיקף ולכללי ההתקשרות שהוגדרו מראש.
שלב זה מאפשר לזהות חשיפות שאינן תמיד ידועות לארגון, כגון תתי־דומיינים נשכחים, מערכות ישנות החשופות לאינטרנט, הרשאות שנחשפו במאגרי קוד ציבוריים או מידע ארגוני העלול לשמש לביצוע מתקפות ממוקדות.
שלב 3 – ניצול (Exploitation)
זהו השלב המבדיל בדיקות חדירות מכל פעילויות הביטחון (Assurance) האחרות באבטחת מידע. באמצעות הפגיעויות ווקטורי התקיפה שזוהו בשלב איסוף המודיעין, צוות הבדיקה מנסה לנצל חולשות ולהשיג גישה בלתי מורשית בדיוק כפי שתוקף אמיתי היה עושה. זה כולל:
- ניצול פגיעויות תוכנה (CVE לא מטולאים, פגמי לוגיקה, פגיעויות הזרקה)
- עקיפת בקרות אימות זהות
- ניצול משאבי ענן או שירותי רשת בתצורה שגויה
- ביצוע סימולציות פישינג (במקומות שאושרו)
- ניסיונות credential stuffing או password spraying
באופן קריטי, הבודק מתעד כל שלב בתהליך, כולל הטכניקה שנעשה בה שימוש, ה־payload שהופעל והתגובה שהתקבלה. כך ניתן לשחזר את הממצאים באופן מלא ולאמת את תיקונם במסגרת תהליך סגירת הליקויים.
שלב 4 – לאחר הניצול (Post-Exploitation)
לאחר השגת הגישה הראשונית, הבדיקה לא נעצרת. תוקפים אמיתיים לא עוצרים בדלת הכניסה. שלב ה-Post-Exploitation ממפה מה תוקף יכול לעשות עם הגישה שהשיג: תנועה רוחבית למערכות נוספות, הסלמת הרשאות לרמת שליטה אדמיניסטרטיבית או שליטה ברמת הדומיין, זיהוי נתונים וסימולציית חילוץ נתונים, מנגנוני התמדה (Persistence), ומעבר (Pivoting) לסביבות מבודדות לכאורה.
כאן הגישה מונחית-התוצאה משלמת את הדיבידנד המשמעותי ביותר שלה. באמצעות הגדרת נכסי הליבה מראש, צוות הבדיקה יכול להדגים האם תוקף ריאליסטי יכול היה להגיע לנתוני תשלומים של לקוחות, לקוד מקור של סביבת הייצור, לתכתובות הנהלה בכירה או למערכות שליטה תפעוליות וכיצד נראה הנתיב לשם. ההדגמה הזו היא מה שגורם לדירקטוריון להתייחס לממצאים ברצינות.
שלב 5 – דיווח
דוח בדיקת חדירות שווה בדיוק כמו ההחלטות שהוא מאפשר. דוח בדיקת חדירות איכותי מכיל ארבעה רכיבים:
- תקציר מנהלים – נרטיב לא-טכני של מה שהושג, מה משמעותו לעסק, ומה על הארגון לתעדף
- ממצאים טכניים מפורטים – כל פגיעות מתועדת במלואה עם שלבי שחזור, ראיות, נכסים מושפעים וחומרת CVSS
- מיפוי השפעה עסקית – כל ממצא מתורגם לשפת סיכון עסקי, לא רק לחומרה טכנית
- מפת דרכים לתיקון ליקויים – המלצות מתועדפות, ספציפיות ובנות-ביצוע, לא הצהרות best-practice גנריות
סוגי בדיקות חדירות: בחירת ההיקף הנכון
לא כל בדיקות החדירות בוחנות את אותם הדברים. ההיקף המתאים תלוי בחשיפת הסיכון העיקרית של הארגון, בדרישות הרגולטוריות ובבשלות תוכנית האבטחה הקיימת שלו.
- בדיקת חדירות לרשת חיצונית – מכוונת לתשתיות הפונות לאינטרנט: חומות אש היקפיות, שערי VPN, שרתי ווב, תשתית דוא”ל וכל שירות הנגיש חיצונית. זו בדרך כלל נקודת ההתחלה עבור ארגונים שטרם הזמינו בדיקות חדירות מקצועיות.
- בדיקת חדירות לרשת פנימית – מדמה פריצה מתוך היקף הרשת, ומייצגת תרחיש של תחנת עבודה שנפרצה, גורם פנימי עוין, או תוקף שהצליח לחדור את ההיקף באמצעות פישינג. בדיקה זו חושפת נתיבי תנועה רוחבית, פגיעויות ב-Active Directory והיעדר סגמנטציה של הרשת הפנימית.
- בדיקת חדירות לאפליקציית ווב – מתמקדת באפליקציית ווב או API ספציפיים, ובוחנת את ה-OWASP Top 10 ופגמי לוגיקה ייחודיים לאפליקציה. חיונית לכל ארגון המפעיל אפליקציות מול לקוחות או API-ים המטפלים בנתונים רגישים.
- הערכת אבטחת ענן – מעריכה את תצורת האבטחה של תשתית הענן (AWS, Azure, GCP), כולל הרשאות IAM, בקרות גישה לאחסון, קבוצות אבטחת רשת, כיסוי לוגים ותצורות הגנת נתונים.
- הנדסה חברתית / סימולציית פישינג – בוחנת את המרכיב האנושי באמצעות סימולציה של הודעות פישינג, שיחות vishing או ניסיונות חדירה פיזית. בעלת ערך במיוחד לפני תוכניות הדרכה למודעות אבטחה, שכן היא מייצרת קו בסיס מדיד.
- בדיקות חדירות מונחות-איומים לפי DORA (TLPT) – תרגיל red team מתמחה ומבוסס-מודיעין, המחויב על פי רגולציית ה-Digital Operational Resilience Act עבור גופים פיננסיים משמעותיים. TLPT פועל לפי מסגרת TIBER-EU ובוחן את מחזור התקיפה המלא מול תרחישי איום אמיתיים שמקורם במודיעין.
דרישות רגולטוריות המחייבות בדיקות חדירות
בדיקות חדירות כבר אינן בגדר best practice וולונטרי עבור רוב הארגונים המפוקחים — הן דרישה רגולטורית מפורשת. הבנת המסגרות החלות על הארגון שלכם קובעת הן את ההיקף והן את תדירות הבדיקות המינימלית.
- ISO 27001:2022 Annex A.8.8 – מחייב ארגונים להעריך פגיעויות טכניות ולנקוט אמצעים מתאימים. אף שהתקן אינו נוקב בבדיקות חדירות בשמן, Annex A.8.8 מפורש באופן נרחב על ידי מבקרים כמחייב אותן עבור ארגונים בינוניים וגדולים.
- PCI-DSS v4.0 דרישה 11.4 – מחייבת בדיקות חדירות חיצוניות ופנימיות לפחות אחת לשנה ולאחר כל שינוי תשתיתי משמעותי. ההיקף חייב לכסות את סביבת נתוני כרטיסי האשראי (Cardholder Data Environment) ואת כל רכיבי המערכת. הבודקים חייבים להיות מוסמכים ובלתי תלויים.
- DORA סעיף 26, בדיקות חדירות מונחות-איומים (TLPT) – חל על גופים פיננסיים משמעותיים תחת רגולציית ה-Digital Operational Resilience Act (בתוקף מ-17 בינואר 2025). TLPT הוא תרגיל red team מתקדם המבוסס על מודיעין איומים אמיתי, המבוצע לכל הפחות אחת לשלוש שנים, על ידי בודקים מוסמכים מול מערכות ייצור כולל אנשים, תהליכים וטכנולוגיה.
- NIS2 סעיף 21 – מחייב מפעילים של גופים חיוניים וחשובים ליישם “אמצעים טכניים ותפעוליים הולמים ומידתיים”, כולל בדיקות אבטחה. רגולטורים במספר מדינות חברות באיחוד האירופי פרסמו הנחיות המונות במפורש בדיקות חדירות כאמצעי נדרש.
- SOC 2 (Trust Services Criteria) – אף ש-SOC 2 אינו מחייב בדיקות חדירות, מבקרים בוחנים באופן שגרתי את קיומן ותוצאותיהן של בדיקות חדירות כראיה לקריטריוני הזמינות, האבטחה והסודיות.
העלות הממוצעת של פריצת נתונים הגיעה ל-$4.45 מיליון בשנת 2023 (דוח IBM Cost of a Data Breach) – סכום המגמד את עלותה של כל בדיקת חדירות מקצועית. עבור ארגונים הכפופים לאכיפה רגולטורית, חשיפת הקנסות מעצימה את הסיכון עוד יותר: קנסות NIS2 מגיעים ל-€10 מיליון או 2% מהמחזור הגלובלי, והפרות DORA גוררות סנקציות פיקוחיות משמעותיות לגופים פיננסיים.
אילו הסמכות צריך בודק החדירות שלכם להחזיק?
איכותה של בדיקת חדירות גבוהה בדיוק כמו יכולתו של הבודק המבצע אותה. אלה ההסמכות המספקות ביטחון משמעותי ביכולת טכנית:
- OSCP (Offensive Security Certified Professional) – הסמכת בדיקות החדירות המעשית המוערכת ביותר בתעשייה. דורשת מבחן מעשי בן 24 שעות שבו המועמדים נדרשים לפרוץ למספר מכונות יעד באמצעות טכניקות ידניות בלבד. אין מבחן אמריקאי; המעבר או הכישלון נקבעים לפי ניצול מודגם בפועל.
- CREST – גוף ההסמכה הבריטי המסמיך הן בודקים בודדים והן ארגוני בדיקה. ארגונים מוסמכי CREST עומדים בסטנדרטים מוגדרים של מתודולוגיה, בקרת איכות והתנהלות מקצועית. נדרש עבור פרויקטי TIBER-EU/TLPT.
- CEH (Certified Ethical Hacker) – הסמכה ניטרלית-יצרן המכסה את המושגים והכלים של האקינג אתי. מוכרת באופן נרחב אך תובענית פחות טכנית מ-OSCP; שימושית כקריטריון סינון ולא כביטחון עצמאי.
- GPEN / GWAPT (GIAC Penetration Tester / Web Application Penetration Tester) – הסמכות GIAC בעלות קפדנות טכנית גבוהה, מוערכות במיוחד לבדיקות רשת ולבדיקות אפליקציות ווב בהתאמה.
בעת הערכת ספק בדיקות חדירות, שאלו באופן ספציפי אילו הסמכות מחזיקים הבודקים שיוקצו לפרויקט שלכם ולא מהם האישורים של איש הצוות הבכיר ביותר בחברה.
מה חייב לכלול דוח בדיקת חדירות טוב
התוצר החשוב ביותר הוא הדוח הסופי ואיכותו של דוח זה היא שמבדילה בין פרויקט מועיל לבין מסמך יקר שנשאר במגירה.
דוח בדיקת חדירות מקצועי חייב לכלול:
- אישור היקף – תיעוד מדויק של מה שנבדק, מה הוחרג ומה הייתה תקופת הבדיקה
- הצהרת מתודולוגיה – המסגרות והגישות שבהן נעשה שימוש (PTES, OWASP, OSSTMM, מותאם אישית)
- תקציר מנהלים – כתוב לקהל לא-טכני; מתאר מה קרה, מה המשמעות ומה לעשות
- ממצאים מדורגי סיכון – כל ממצא מדורג לפי ניצוליות, השפעה וסיכון עסקי (לא רק ציון CVSS)
- ראיות והוכחת היתכנות – צילומי מסך, לוגים ושלבי שחזור לכל ממצא
- הנחיות לתיקון ליקויים – ספציפיות, בנות-ביצוע ומתועדפות ולא הצהרות גנריות בסגנון “טלאו את התוכנה”
- התחייבות לבדיקה חוזרת – אישור שהספק יבדוק מחדש ממצאים קריטיים לאחר תיקון הליקויים כדי לוודא שנסגרו
דוחות המספקים רק רשימת פגיעויות ממוינת לפי CVSS, ללא הקשר עסקי, ללא תיעוד נתיבי תקיפה וללא הנחיות תיקון בנות-ביצוע, אינם ראויים להצגה בפני דירקטוריון, להגשה לרגולטור או לשיפור אבטחה משמעותי.
הגישה של IPV Security לבדיקות חדירות
פרקטיקת בדיקות החדירות של IPV Security מבוססת על עיקרון מרכזי: בדיקה שאינה מאפשרת קבלת החלטות אינה מייצרת ערך אמיתי. כל פרויקט מתחיל בהגדרת היקף מבוססת־תוצאות, המזהה את הסיכונים העסקיים והדרישות הרגולטוריות שהבדיקה נדרשת לתת להם מענה, ומסתיים בדוח המקשר כל ממצא ישירות להשפעתו ולתעדוף הטיפול.
הבודקים של IPV Security מחזיקים בהסמכות OSCP ו־CREST ופועלים בהתאם למתודולוגיות PTES (Penetration Testing Execution Standard) ולמדריך הבדיקות של OWASP. עבור גופים פיננסיים הכפופים ל־DORA, מבוצעות גם בדיקות חדירות מונחות־איומים בהתאם לעקרונות TIBER-EU, תוך שילוב מודיעין איומים עדכני הרלוונטי לסביבה הפיננסית בישראל ובאירופה.
בדיקות החדירות של IPV Security משתלבות כחלק מתוכנית ניהול סיכונים רחבה יותר ואינן עומדות בפני עצמן. במסגרת שירותי ה־vCISO, תוצאות הבדיקות מוזנות ישירות לפלטפורמת CISOteria Cyber OS™, מעדכנות את תמונת הסיכון, מסייעות בתעדוף פעולות תיקון ומייצרות ראיות מוכנות לביקורת עבור רגולטורים ומבטחים. גם בפרויקטים עצמאיים הלקוח מקבל דוח ניהולי ובר־ביצוע, המתאים להצגה בפני הנהלה ודירקטוריון ומשמש בסיס לתוכנית תיקון מתועדפת.
גלו את שירות בדיקות החדירות של IPV Security ←
למדו על תוכנית ה-vCISO המלאה ←
קראו את מדריך הרגולציה: ISO 27001, NIS2, DORA ←
על המחבר
עידו גנור הוא המייסד והמנכ”ל של IPV Security, חברת ייעוץ ישראלית לאבטחת סייבר ארגונית המשרתת חברות בסדר גודל בינוני בישראל ובאיחוד האירופי. הוא מביא ניסיון של למעלה מ-21 שנה כ-CISO ארגוני בתעשיות מפוקחות, ובהן שירותים פיננסיים, תשתיות קריטיות וטכנולוגיה. הוא יוצר פלטפורמת CISOteria Cyber OS™ והארכיטקט של מודל ההפעלה ארבעת-העמודים של IPV Security למנהיגות אבטחה מנוהלת.
מאמרים קשורים
- מהי תוכנית vCISO? המדריך המלא 2026 ←
- מדריך רגולציה: ISO 27001, NIS2, DORA ו-GDPR — הסבר מלא ←
- סקר סיכוני סייבר ב-18 דומיינים ←
מוכנים לבחון את תמונת האבטחה שלכם? IPV Security מבצעת בדיקות חדירות מונחות-תוצאה שמייצרות החלטות ולא רק דוחות, בהיקף המותאם לסיכונים העסקיים ולדרישות הרגולטוריות הספציפיים שלכם, ומבוצעות על ידי בודקים מוסמכי OSCP ו-CREST.
שאלות נפוצות
מה ההבדל בין בדיקת חדירות לתרגיל red team?
בדיקות חדירות מתאימות לרוב הארגונים כחלק מתוכנית אבטחה תקופתית, בעוד שתרגילי Red Team מיועדים בעיקר לארגונים בשלים המעוניינים לבחון את יכולת ההגנה, הזיהוי והתגובה שלהם מול תרחיש תקיפה מציאותי.
כמה זמן נמשכת בדיקת חדירות?
ההיקף קובע את המשך. בדיקת חדירות ממוקדת לרשת חיצונית מול טווח IP מוגדר עשויה להימשך שלושה עד חמישה ימי בדיקה פעילה ועוד יומיים-שלושה של כתיבת דוח. בדיקה מקיפה של אפליקציית ווב מורכבת יכולה להימשך שבועיים עד שלושה. בדיקת חדירות לרשת פנימית עבור ארגון בסדר גודל בינוני נמשכת בדרך כלל שבוע עד שבועיים. תרגילי DORA TLPT הם פרויקטים ארוכי-טווח הנמשכים מספר חודשים, כולל שלב הכנת מודיעין האיומים. יש לפקפק בכל ספק שמציע בדיקת חדירות של יום אחד עבור היקף משמעותי.
באיזו תדירות עלינו לבצע בדיקות חדירות?
האם בדיקות חדירות עלולות לשבש את מערכות הייצור שלנו?
בדיקת חדירות המבוצעת באופן מקצועי כוללת דיון מפורש בסובלנות הסיכון במהלך הגדרת ההיקף. הבודקים מגדירים אילו טכניקות ו-payloads ייעשה ולא ייעשה בהם שימוש מול מערכות ייצור. מתודולוגיית בדיקות חדירות מודרנית נמנעת בכוונה ממצבי מניעת שירות (Denial-of-Service) ומהשמדת נתונים. היוצא מן הכלל הוא DORA TLPT, המבוצע במפורש מול מערכות ייצור תחת מסגרת מבוקרת — אך גם אז, הימנעות משיבוש היא דרישת ליבה. ארגונים שמעולם לא עברו בדיקת חדירות צריכים להתחיל בבדיקה חיצונית, הנושאת את סיכון השיבוש הנמוך ביותר.
מה עלינו לעשות עם דוח בדיקת החדירות לאחר קבלתו?
דוח בדיקת חדירות הוא מפת דרכים לתיקון ליקויים, לא תעודת עמידה ברגולציה. הצעד הראשון הוא טריאז’: זיהוי הממצאים הקריטיים והגבוהים הדורשים פעולה מיידית והקצאת אחריות ברורה. בתוך 30 יום יש לתקן פגיעויות קריטיות ולבדוק אותן מחדש. בתוך 90 יום צריכות להיות לממצאים בדרגה גבוהה ובינונית תוכניות תיקון מתועדות. את הדוח עצמו יש להציג לדירקטוריון (באמצעות תקציר המנהלים), לשתף עם מבטחי הארגון אם קיים ביטוח סייבר, ולשמור כראיה לביקורת. לאחר מכן יש לתזמן את המחזור: תיקון ליקויים, בדיקה חוזרת וההערכה המלאה הבאה.