כשארגון בונה מדיניות הגנת מידע, ההנחה הטבעית היא לחפש את היעד החריג: אתר לא מוכר, כלי לא מאושר, ערוץ שמישהו הקים בלי לדווח. דוח מגמות הגנת המידע של Safetica למחצית הראשונה של 2026, שמבוסס על ניתוח מאות אלפי אירועי חסימה, הפרות מדיניות ואיתותי סיכון פנימי אצל לקוחות Safetica ברחבי העולם, מראה תמונה הפוכה כמעט לגמרי. הסיכון לא נמצא ביעדים החריגים. הוא נמצא בכלים שהארגון עצמו אישר.
כמעט 44 אחוזים מהחסימות מגיעות מ-Google ומ-Microsoft
הנתון הבולט ביותר בדוח: אתרי Google ו-Microsoft יחד היוו 43.7 אחוזים מכלל הפעילות שנחסמה ברבעון השני של 2026, כמעט פי שלושה מהחלק המשולב שלהם ברבעון השלישי של 2025, אז עמד על 14.2 אחוזים בלבד. Google לבדו טיפס ל-22.7 אחוזים, Microsoft ל-21 אחוזים.
מדובר בקטגוריות רחבות – דרייב, חשבונות, מסמכים, Outlook, Teams, OneDrive – כלומר בדיוק הכלים שכל ארגון מבקש מהעובדים שלו להשתמש בהם מדי יום. הדוח מנסח זאת בפשטות: הגנת מידע היא כבר פחות עניין של חסימת יעדים "מסוכנים" ויותר עניין של פיקוח על האופן שבו מידע זז בתוך הפלטפורמות שהארגון כבר הכשיר.
כלי AI עוקפים את "חיפוש עבודה" כקטגוריית הסיכון המובילה
הממצא המשמעותי ביותר בדוח נוגע לאופן שבו ארגונים מגדירים סיכון בעצמם, לא רק למה שהם חוסמים אוטומטית. ברבעון השני של 2026 הפכו כלי AI ל-40.7 אחוזים מהפעילות המסומנת כמסוכנת אצל משתמשים, ועברו לראשונה את "חיפוש עבודה", קטגוריה שמסומנת כמסוכנת כברירת מחדל בכל מערכת.
ChatGPT ו-Copilot יחד אחראים על יותר מ-80 אחוזים מכל הפעילות החסומה בכלי AI. ChatGPT חזר להוביל ברבעון השני עם 44.8 אחוזים, אחרי ש-Copilot הוביל לרגע אחד בלבד ברבעון הראשון עם 55 אחוזים, קפיצה שהדוח מייחס לגל של פריסות Microsoft 365 Copilot שנתקלו לראשונה במדיניות ארגונית. הירידה החדה של Copilot ל-37.5 אחוזים ברבעון השני נקראת כמדיניות שמתכווננת, לא כירידה בשימוש. לעומת זאת ChatGPT טיפס בכל רבעון שהדוח עוקב אחריו, מה שמעיד על אימוץ אורגני מתמשך ולא על גל חד-פעמי. קלוד הגיע לשיא של 4.3 אחוזים ברבעון השני.
הבעיה עם קלוד וגרוק
הדוח מצביע על כך שהריכוז סביב ChatGPT ו-Copilot הופך אותם ליעד מדיניות פשוט יחסית. הקושי האמיתי הוא החזאי: קלוד, גרוק וכל כלי שיופיע ברבעון הבא נכנסים לארגון דרך אימוץ אישי של עובד בודד, לא דרך תהליך רכש מסודר. בדיקה שוטפת של מי חדש ברשימת עשרת הכלים המובילים בכל רבעון היא, לפי הדוח, הבקרה הזולה ביותר שקיימת.
הסיכון הפנימי עובר מ-USB לרשת
מגמה שלישית, שהדוח מציג כאחת השתיים החדשות באמת ברבעון השני, נוגעת לערוץ שדרכו סיכון פנימי בא לידי ביטוי. שימוש חריג ב-USB חיצוני נותר הדומיננטי ביותר בהתראות, אבל צנח בחדות מ-57.1 אחוזים ברבעון הראשון ל-43.9 אחוזים ברבעון השני. במקביל, פעילות רשת חריגה זינקה ב-21.7 נקודות אחוז וכמעט שילשה את עצמה, עד לכ-34.3 אחוזים מכלל המקרים.
אותה תזוזה בדיוק מופיעה גם בנתוני יכולת ה-Dynamic DLP של Safetica, שמחמירה את ההגנה בהדרגה ככל שמשתמש חוזר על התנהגות שמפרה מדיניות: הפעלות שמקורן ברשת קפצו מ-5.1 אחוזים ל-21.6 אחוזים תוך רבעון אחד בלבד, בעוד פעילות USB חיצוני נפלה כמעט 10 נקודות מהשיא של ארבעה רבעונים שנרשם קודם לכן. שני מנגנוני זיהוי נפרדים ובלתי תלויים סימנו את אותה תזוזה באותו רבעון בדיוק, מה שהדוח מתאר כאיתות ולא כצירוף מקרים.
המסקנה המעשית: הירידה בפעילות USB אינה עדות לשיפור בהתנהגות הסיכון. היא כנראה משקפת מעבר ערוץ מצד המשתמש הקצה. אותה התנהגות חוזרת ונשנית של טיפול במידע פשוט עברה למסלול בעל פחות חיכוך.
מה זה אומר על סוג המסמכים שבאמת בסיכון
הדוח בוחן גם אילו סוגי קבצים נעים בפועל. PDF חזר לראש רשימת סוגי הקבצים החסומים ברבעון השני עם 11.6 אחוזים, אחרי ש-txt ו-png הובילו במחצית השנייה של 2025, ושש הפורמטים המובילים כולם גדלו רבעון על רבעון. קבצי טקסט ומצגות ממשיכים להיות סוגי הקבצים הנפוצים ביותר בחסימות, וביחד עם גיליונות אלקטרוניים ותמונות מהווים 88 אחוזים מכלל הקבצים שנחסמו ברבעון השני.
גם בבדיקת הפרות מדיניות הגנת המידע התמונה עקבית: אימייל, גלישה ומסרים מיידיים אחראים יחד על כ-73 אחוזים מכל הנתיבים שבהם נרשמו הפרות ברבעון השני, ומצגות וקבצי טקסט מהווים יותר ממחצית מסוגי הקבצים המעורבים. אין כאן ערוץ בודד או פורמט אקזוטי לחסום; יש ריכוז בפורמטים ובנתיבים שכל עובד ידע נוגע בהם מדי יום.
מה זה אומר לארגון בישראל שרוצה להגן על המידע שלו בפועל
התמונה שעולה מהדוח מחייבת שינוי בסדר העדיפויות. מדיניות שנכתבה נגד ערוצים "חשודים" מיושנת מול נתונים שמראים שהסיכון האמיתי יושב היום בתוך הכלים הכי מאושרים בארגון: Google, Microsoft, Outlook, ChatGPT, Copilot.
- מדיניות שמכסה קטגוריה שלמה, לא כלי בודד – כי הכלי הבא באותה קטגוריה כבר בדרך
- בקרה שמסתכלת על ערוץ, לא רק על סוג הקובץ – כי אותה התנהגות עוברת בין ערוצים
- הסלמה לפי חזרתיות, לא לפי אירוע בודד – כדי לתפוס דפוס לפני שהוא הופך לדליפה
קומסקיור מפיצה את Safetica בישראל ומלווה ארגונים בתהליך המיפוי הראשוני שמראה לראשונה דרך אילו ערוצים מידע באמת יוצא, לפני שמחליטים מה לחסום ואיך להתאים את המדיניות למה שהדוח מראה: הסיכון לא נעלם כשחוסמים יעד אחד, הוא זז ליעד הבא.
