מי אחראי על אבטחת המידע בארגון? הכירו את תפקידו של מנהל הסייבר

ארגונים מנהלים כיום חלק ניכר מפעילותם באמצעות מערכות דיגיטליות. מידע על לקוחות, פרטי עובדים, מסמכים פיננסיים, קניין רוחני, מערכות תפעול וחשבונות בענן הם רק חלק מהנכסים שדורשים הגנה. ככל שהפעילות הדיגיטלית מתרחבת, כך גדלים גם הסיכונים: מתקפות כופר, גנבת פרטי התחברות, חשיפת מידע, שימוש לא תקין בהרשאות והשבתת מערכות חיוניות.

אבטחת המידע אינה יכולה להישאר באחריותה הבלעדית של מחלקת המחשוב. היא דורשת מדיניות ארגונית, ניהול סיכונים, הדרכת עובדים, בקרה על ספקים והיערכות לתגובה בזמן אירוע. הגורם שמרכז את התחומים האלה ומחבר בין ההנהלה, אנשי הטכנולוגיה והצרכים העסקיים הוא מנהל אבטחת המידע – CISO.

מהו CISO?

המונח CISO הוא קיצור של Chief Information Security Officer – מנהל אבטחת המידע הראשי בארגון. תפקידו לבנות ולהוביל את תפיסת ההגנה על המידע, המערכות והתהליכים הדיגיטליים של הארגון.

מנהל אבטחת המידע אינו רק איש טכנולוגיה שמתקין תוכנות הגנה. עליו להבין כיצד הארגון פועל, איזה מידע הוא מחזיק, אילו מערכות חיוניות להמשכיות העסקית ומה עלולות להיות ההשלכות של פגיעה בכל אחד מהנכסים האלה.

בפועל, מנהל הסייבר מתרגם סיכונים טכנולוגיים לשפה ניהולית ועסקית. הוא מסייע להנהלה להבין אילו איומים מחייבים טיפול מיידי, היכן כדאי להשקיע את התקציב ואילו צעדים יכולים לצמצם את החשיפה של הארגון.

למה האחריות אינה שייכת רק למחלקת ה־IT?

מחלקת ה־IT אחראית בדרך כלל לתפעול השוטף של המחשבים, השרתים, הרשתות והמערכות הארגוניות. אנשי המחלקה מטפלים בתקלות, מקימים משתמשים, מתקינים תוכנות ודואגים לזמינות התשתיות. אלו משימות חשובות, אך הן אינן מקיפות בהכרח את כל תחומי אבטחת המידע.

מנהל אבטחת המידע עוסק במבט רחב יותר. בין היתר, הוא בוחן:

• אילו נכסי מידע קיימים בארגון

• מי רשאי לגשת לכל מערכת

• אילו סיכונים נובעים מעבודה עם ספקים חיצוניים

• כיצד הארגון עומד בדרישות רגולציה ותקנים

• מה עושים כאשר מתרחש אירוע סייבר

• כיצד שומרים על רציפות הפעילות העסקית

• האם העובדים יודעים לזהות ניסיונות דיוג והנדסה חברתית

• האם אמצעי ההגנה הקיימים מתאימים לסיכונים בפועל

הפרדה בין תפעול מערכות המחשוב לבין ניהול סיכוני הסייבר מאפשרת לבצע בקרה מקצועית ולהימנע ממצב שבו הגורם שמפעיל מערכת הוא גם היחיד שבוחן את רמת האבטחה שלה.

המשימה הראשונה: הכרת הארגון ונכסיו

אי אפשר להגן על מידע ומערכות בלי לדעת מה קיים בארגון. לכן אחת המשימות הראשונות של מנהל הסייבר היא למפות את הנכסים הדיגיטליים ואת תהליכי העבודה החשובים.

המיפוי עשוי לכלול שרתים, מחשבים, מערכות ענן, מאגרי מידע, יישומים, ציוד תקשורת, התקנים ניידים וספקים בעלי גישה למערכות. לצד הרשימה הטכנית יש לבדוק איזה מידע נשמר בכל מערכת, מי משתמש בה ומה יקרה אם היא תושבת או תיחשף.

לא כל נכס מחייב אותה רמת הגנה. מערכת המכילה פרטי לקוחות או מידע רפואי רגישה יותר ממערכת ציבורית שאינה כוללת מידע חסוי. מיפוי נכון מאפשר לקבוע סדרי עדיפויות ולהפנות את המשאבים למקומות שבהם הסיכון משמעותי יותר.

ביצוע סקר סיכונים ובניית תוכנית עבודה

לאחר מיפוי הנכסים ניתן לזהות איומים, חולשות ותרחישים אפשריים. סקר סיכונים מסייע לבחון מהי הסבירות שאירוע מסוים יתרחש ומה תהיה השפעתו על הפעילות, הכספים, המוניטין והלקוחות.

בהתאם לממצאים, מנהל הסייבר בונה תוכנית עבודה. התוכנית עשויה לכלול חיזוק הגדרות אבטחה, צמצום הרשאות, הטמעת אימות רב־שלבי, ביצוע בדיקות חדירה, שיפור מערך הגיבויים והדרכת עובדים.

המטרה אינה לטפל בכל סיכון בבת אחת. ארגון צריך להבין אילו פעולות הן הדחופות ביותר, מה ניתן לבצע במסגרת התקציב ואילו סיכונים הוא מוכן לקבל באופן מודע. מנהל אבטחת המידע מסייע להנהלה לקבל את ההחלטות האלה על בסיס מידע מקצועי.

כתיבת מדיניות ונהלי אבטחת מידע

מערכות הגנה אינן מספיקות אם העובדים והמנהלים אינם יודעים כיצד לפעול. מנהל הסייבר אחראי בדרך כלל גם לכתיבה, לעדכון ולהטמעה של מדיניות ונהלים.

הנהלים יכולים לעסוק בנושאים כגון:

• בחירה והחלפה של סיסמאות

• פתיחה וסגירה של חשבונות עובדים

• עבודה מרחוק

• שימוש במחשבים ובטלפונים פרטיים

• חיבור התקנים חיצוניים

• שמירת מידע ושיתופו

• מתן הרשאות לספקים

• גיבוי ושחזור מידע

• דיווח על הודעה או פעילות חשודה

• טיפול באירוע אבטחה

נוהל יעיל צריך להתאים לאופי הארגון ולהיות מעשי. מסמך ארוך שאיש אינו קורא אינו מספק הגנה אמיתית. לכן חשוב שההנחיות יהיו ברורות, נגישות וניתנות ליישום במהלך העבודה השוטפת.

העובדים הם חלק מרכזי במערך ההגנה

גם מערכת מאובטחת עלולה להיפגע אם עובד מוסר את פרטי ההתחברות שלו, פותח קובץ זדוני או שולח מידע רגיש לנמען הלא נכון. לכן הדרכות מודעות הן חלק בלתי נפרד מתפקידו של מנהל הסייבר.

ההדרכה צריכה להתמקד בתרחישים שהעובדים פוגשים בפועל: הודעות דיוג, התחזות למנהל, בקשות חריגות להעברת כספים, קישורים חשודים ושימוש לא בטוח בשירותי ענן. ניתן להשלים אותה באמצעות תרגולים וקמפיינים מבוקרים המדמים ניסיונות תקיפה.

המטרה אינה להפחיד את העובדים או להאשים אותם, אלא להפוך אותם לשכבת הגנה פעילה. עובד שיודע לזהות סימן מחשיד ולמי לדווח עליו עשוי לעצור אירוע לפני שנגרם נזק.

פיקוח על ספקים ומערכות חיצוניות

ארגונים רבים מעבירים מידע לספקי תוכנה, שירותי ענן, חברות שכר, מוקדי תמיכה ונותני שירות נוספים. גם אם המידע יצא מגבולות הארגון, האחריות לניהול הסיכון אינה נעלמת.

מנהל אבטחת המידע בוחן אילו נתונים נמסרים לכל ספק, כיצד הם נשמרים, מי רשאי לגשת אליהם ומה קורה עם סיום ההתקשרות. במקרים המתאימים הוא יכול לדרוש מסמכי אבטחה, התחייבויות חוזיות, בדיקות או עמידה בתקנים.

חשוב לבחון לא רק ספקים חדשים. מערכות שהוטמעו לפני שנים עשויות להחזיק הרשאות רחבות או לפעול לפי דרישות אבטחה שכבר אינן מספקות. לכן נדרשת בקרה תקופתית גם על התקשרויות קיימות.

היערכות לתגובה לאירוע סייבר

אבטחה טובה מפחיתה את הסיכון, אך אינה יכולה להבטיח שאירוע לעולם לא יתרחש. לכן אחד התפקידים החשובים של מנהל הסייבר הוא להכין את הארגון להתמודדות עם מתקפה, דליפה או השבתה.

תוכנית תגובה לאירוע צריכה להגדיר:

• מי מוסמך לקבל החלטות

• למי מדווחים על האירוע

• כיצד מבודדים מערכת שנפגעה

• אילו אנשי מקצוע וספקים יש להזעיק

• כיצד שומרים ראיות לצורך הבדיקה

• מתי נדרש לערב גורמים משפטיים או רגולטוריים

• כיצד מתקשרים עם עובדים, לקוחות ושותפים

• איך מחזירים את המערכות לפעילות בטוחה

תרגול התוכנית מאפשר לזהות פערים לפני שעת חירום. כאשר האחריות והסמכויות ברורות, הארגון יכול להגיב מהר יותר ולצמצם את הנזק.

האם כל ארגון צריך מנהל סייבר במשרה מלאה?

לא לכל עסק יש צורך או יכולת להעסיק מנהל אבטחת מידע פנימי במשרה מלאה. הצורך תלוי בגודל הארגון, באופי המידע שהוא מחזיק, במורכבות המערכות, בדרישות הלקוחות וברגולציה החלה עליו.

ארגונים קטנים ובינוניים יכולים להיעזר בשירות CISO חיצוני. במסגרת זו, איש מקצוע מנוסה ממלא את התפקיד בהיקף המותאם לצורכי הארגון ומסייע בבניית תוכנית עבודה, ניהול סיכונים, כתיבת נהלים, הדרכות, בקרה ועמידה בדרישות.

המודל החיצוני יכול להתאים גם לארגון שנמצא בתהליך צמיחה, מתכונן לביקורת, נדרש לעמוד בתקן או מעוניין לקבל בקרה מקצועית שאינה תלויה בגורמי המחשוב הפנימיים.

כיצד בוחרים גורם מקצועי לניהול הסייבר?

ניהול אבטחת מידע מחייב שילוב של ידע טכנולוגי, ניסיון ארגוני והיכרות עם תקנים ודרישות רגולטוריות. כאשר בוחרים מנהל סייבר או ספק חיצוני, כדאי לבדוק:

• ניסיון עם ארגונים בגודל ובתחום דומים

• הכשרות והסמכות מקצועיות

• יכולת לבצע סקרי סיכונים ולבנות תוכניות עבודה

• היכרות עם רגולציה ותקנים רלוונטיים

• ניסיון בהתמודדות עם אירועי סייבר

• יכולת לעבוד מול הנהלה, עובדים וספקים

• זמינות ולוחות זמנים

• הגדרה ברורה של תחומי האחריות

• אופן המדידה והדיווח להנהלה

גורם מקצועי אינו אמור להציע רשימת מוצרים קבועה לכל לקוח. עליו ללמוד את הארגון, להבין את החשיפה שלו ולהמליץ על פתרונות המתאימים לסיכונים ולמשאבים הקיימים. ניתן להיעזר בגוף מקצועי כדוגמת מדסק – חברת סייבר לצורך קבלת ייעוץ ושירותים בתחום אבטחת המידע והסייבר.

כיצד ההנהלה יודעת שמערך הסייבר מתקדם?

מנהל הסייבר צריך לספק להנהלה תמונת מצב ברורה ולא להסתפק בדיווח טכני. רצוי להגדיר יעדים ומדדים המאפשרים לעקוב אחר ההתקדמות לאורך זמן.

המדדים יכולים לכלול את שיעור העובדים שעברו הדרכה, מספר החולשות שטופלו, זמן סגירת חשבונות של עובדים שעזבו, מצב הגיבויים, תוצאות תרגילי דיוג והתקדמות ביישום תוכנית העבודה.

הדיווח צריך להציג גם סיכונים שטרם טופלו, חסמים והחלטות הנדרשות מההנהלה. בדרך זו אבטחת המידע הופכת מתהליך טכני נסתר לנושא ניהולי שניתן לבחון ולשפר.

שאלות נפוצות

מה ההבדל בין מנהל IT למנהל אבטחת מידע?

מנהל IT אחראי בדרך כלל לתפעול המערכות והתשתיות, ואילו מנהל אבטחת המידע עוסק בניהול הסיכונים ובהגנה על המידע והפעילות. בארגונים מסוימים קיימת חפיפה, אך מדובר בתחומי אחריות שונים.

האם עסק קטן באמת זקוק ל־CISO?

הצורך אינו נקבע רק לפי מספר העובדים. גם עסק קטן עשוי להחזיק מידע רגיש, לעבוד עם לקוחות גדולים או להיות תלוי לחלוטין במערכות דיגיטליות. אפשר להתאים את היקף השירות לרמת הסיכון ולצרכים.

האם רכישת תוכנות אבטחה מספיקה?

לא. תוכנות הן חלק ממערך ההגנה, אך נדרשים גם נהלים, הרשאות, גיבויים, הדרכות, בקרה ותוכנית תגובה לאירועים. אבטחת מידע היא תהליך מתמשך ולא רכישה חד־פעמית.

באיזו תדירות צריך לבצע סקר סיכונים?

התדירות תלויה בפעילות הארגון, בדרישות החלות עליו ובקצב השינויים. כדאי לבחון את הסיכונים מחדש גם לאחר הטמעת מערכת משמעותית, מעבר לענן, שינוי ארגוני או אירוע אבטחה.

למי מנהל הסייבר צריך לדווח?

כדי שיוכל להשפיע על החלטות ולקבל גיבוי ארגוני, רצוי שמנהל הסייבר יעבוד באופן ישיר עם ההנהלה הבכירה ויציג לה באופן קבוע את הסיכונים, הפעולות והפערים.

לסיכום

האחריות לאבטחת המידע משותפת להנהלה, למחלקת המחשוב, לעובדים ולספקים, אך נדרש גורם מקצועי שירכז את הפעילות ויוביל אותה. מנהל הסייבר ממפה את הנכסים, מעריך סיכונים, בונה מדיניות, מדריך עובדים, מפקח על ספקים ומכין את הארגון להתמודדות עם אירועים.

ארגון שמגדיר אחריות ברורה ופועל לפי תוכנית מסודרת אינו רק מצמצם את הסיכון למתקפה. הוא גם מחזק את המשכיות הפעילות, את אמון הלקוחות ואת יכולתו להתמודד עם הדרישות המשתנות של הסביבה הדיגיטלית.