סקר סיכוני סייבר: מה אתם לא יודעים על הארגון שלכם?

רוב הארגונים יודעים אילו מערכות הם מפעילים. הם יודעים מי ספק המחשוב שלהם, היכן נמצאים השרתים, באילו שירותי ענן הם משתמשים ואילו פתרונות אבטחה נרכשו לאורך השנים.

אבל השאלה החשובה באמת היא אחרת: האם אתם יודעים איפה הארגון שלכם חשוף?

לא איפה אמורה להיות הגנה. לא אילו מערכות אבטחה מותקנות. אלא היכן נמצאים בפועל הפערים שיכולים לאפשר לאירוע סייבר להפוך מאירוע קטן להשבתה, אובדן מידע או פגיעה בפעילות העסקית. בדיוק כאן נכנס לתמונה סקר סיכוני סייבר.

הארגון שאתם מכירים, והארגון שקיים בפועל

ככל שארגון גדל, סביבת המחשוב שלו משתנה. עובדים מצטרפים ועוזבים, הרשאות נפתחות, ספקים מקבלים גישה, מערכות חדשות מוטמעות, מידע עובר לענן, עובדים מתחברים מרחוק ותהליכים שבעבר התנהלו בתוך המשרד עוברים לפלטפורמות חיצוניות.

כל שינוי כזה עשוי להיות מוצדק בפני עצמו. הבעיה נוצרת כאשר מסתכלים על התמונה כולה.

• ייתכן, למשל, שבארגון קיים גיבוי תקין, אבל אף אחד לא בדק לאחרונה האם ניתן לשחזר ממנו את המערכות הקריטיות.
• ייתכן שמופעל אימות רב־שלבי (MFA) בחלק מהמערכות, אבל דווקא חשבון בעל הרשאות משמעותיות אינו מוגן כפי שהארגון מניח.
• ייתכן שספק חיצוני קיבל בעבר גישה לצורך פרויקט נקודתי, והגישה נשארה פעילה זמן רב לאחר שהפרויקט הסתיים.
• וייתכן שמידע עסקי רגיש נמצא במיקום שכלל אינו מופיע במיפוי הרשמי של הארגון.

אף אחת מהדוגמאות האלה לא מחייבת "כשל דרמטי" של מערך האבטחה. לעיתים הסיכון נמצא דווקא בפער שבין מה שהארגון חושב שקורה לבין מה שקורה בפועל.

"יש לנו איש IT. למה אנחנו צריכים סקר סיכונים?"

זו שאלה לגיטימית. צוות IT או ספק מחשוב איכותי הוא חלק מרכזי בתפקוד ובאבטחת הארגון. הוא מטפל בתשתיות, משתמשים, מערכות, תקלות, עדכונים ולעיתים גם במערכות אבטחה רבות.

אבל ניהול IT וסקר סיכוני סייבר אינם אותו דבר. המטרה של סקר סיכונים אינה רק לבדוק אם המערכות עובדות או אם מותקנים מוצרי אבטחה. הוא נועד לבחון את הסיכון מנקודת מבט רחבה יותר: מה עלול להשתבש, מה תהיה המשמעות לארגון, ומהם הפערים שדורשים טיפול?

לכן סקר מקצועי אינו מסתכל רק על Firewall, אנטי־וירוס או Microsoft 365. הוא מסתכל על הקשר שבין אנשים, תהליכים, טכנולוגיה, ספקים ומידע. וזה הבדל משמעותי.

הסיכון לא תמיד נמצא במקום שבו מחפשים אותו

כאשר מנהלים חושבים על מתקפת סייבר, קל לדמיין תוקף שמנסה "לפרוץ לשרת". במציאות, נקודת הכניסה או הכשל יכולה להיות הרבה פחות צפויה:

• עובד יכול לקבל הרשאות רחבות מכפי שהוא צריך.
• ספק יכול להתחבר למערכת קריטית.
• חשבון ישן יכול להישאר פעיל.
• מסמך רגיש יכול להיות משותף באופן רחב מדי.
• מערכת יכולה להיות מוגנת היטב, אבל תהליך ההתאוששות שלה במקרה של השבתה לא נבדק מעולם.

ואפילו כאשר קיימות בקרות טכנולוגיות טובות, תהליך עסקי לא נכון עלול לעקוף אותן. זו אחת הסיבות לכך שרשימת מוצרי האבטחה של הארגון אינה מספיקה כדי להבין את רמת הסיכון שלו.

סיכון סייבר הוא לא מוצר. הוא תוצאה של הדרך שבה הארגון כולו עובד.

יש גיבוי. אבל האם יש התאוששות?

זו דוגמה מצוינת לפער בין תחושת ביטחון לבין מצב אמיתי. ארגון יכול להשקיע במערכת גיבוי ולראות בכל יום שהמשימות הסתיימו בהצלחה. על הנייר, יש גיבוי.

אבל במקרה של אירוע משמעותי השאלות משתנות: האם המידע הדרוש באמת נמצא בגיבוי? האם הגיבוי עצמו מוגן מפני פגיעה? האם ניתן לשחזר ממנו? כמה זמן ייקח להחזיר את המערכות הקריטיות לפעילות? ומה קורה לעסק בזמן ההשבתה?

הבדיקה החשובה אינה רק האם בוצע גיבוי. היא האם הארגון מסוגל להתאושש. אותו עיקרון נכון כמעט לכל תחום באבטחת מידע: עצם קיומה של בקרה אינו מבטיח שהיא אפקטיבית ברגע שבו באמת זקוקים לה.

ומה לגבי האנשים שמחזיקים את העסק?

אבטחת מידע אינה מסתיימת במחלקת ה־IT. למעשה, חלק מהמידע הרגיש ביותר בארגון נמצא דווקא אצל מחלקות שאינן טכנולוגיות:

• הנהלת חשבונות מחזיקה מידע פיננסי ומבצעת העברות כספים.
• משאבי אנוש מחזיקים מידע אישי על עובדים ומועמדים.
• מכירות מחזיקות מאגרי לקוחות, הצעות מחיר ולעיתים מידע מסחרי רגיש.
• הנהלה מחזיקה מסמכים אסטרטגיים וגישה למידע רחב.
• עובדים משתמשים בדואר אלקטרוני, שירותי ענן, מערכות ארגוניות ולעיתים גם במכשירים פרטיים.

לכן סקר שמתמקד רק בתשתיות עלול להחמיץ חלק משמעותי מהתמונה. ארגון אינו אוסף של מחשבים. הוא אוסף של תהליכים עסקיים שמסתמכים על מידע וטכנולוגיה, והגנה אפקטיבית צריכה להתחיל מההבנה הזאת.

לא כל סיכון דורש השקעה גדולה

אחת הטעויות הנפוצות היא לחשוב שסקר סיכונים נועד לייצר רשימת קניות של מוצרי אבטחה. סקר טוב אמור לעשות כמעט את ההפך: המטרה היא להבין איפה נכון להשקיע קודם.

ייתכן שבארגון מסוים נדרש שינוי טכנולוגי משמעותי. בארגון אחר, הסיכון המרכזי יכול להיפתר באמצעות שינוי הרשאות, הגדרת תהליך, חיזוק בקרות קיימות או שינוי באופן שבו ספקים מקבלים גישה.

לא כל פער מצדיק פרויקט גדול, ולא כל סיכון מצדיק אותה רמת טיפול. הערך נמצא ביכולת להבחין בין מה שחשוב לבין מה שפחות חשוב, ולתעדף את הפעולות בהתאם להשפעה האפשרית על הארגון.

"אבל אף פעם לא קרה לנו אירוע"

זו אולי אחת מתחושות הביטחון המסוכנות ביותר. העובדה שארגון לא חווה אירוע משמעותי אינה בהכרח מעידה שאין בו חולשות. לעיתים היא פשוט אומרת שהחולשות עדיין לא נוצלו, או שהארגון לא זיהה אירועים שהתרחשו.

ניהול סיכונים אינו ניסיון לנבא בדיוק איזו מתקפה תתרחש ומתי. המטרה היא להבין אילו תרחישים עלולים לפגוע בארגון, ולהקטין מראש את הסבירות ואת ההשפעה שלהם. בדומה לביטוח, לתוכנית המשכיות עסקית או למערכות גילוי אש, הערך של ההיערכות מתגלה בדרך כלל דווקא ביום שבו משהו משתבש.

סקר סיכונים אינו מסמך למדף

אפשר לבצע סקר, לקבל מסמך ארוך, לשמור אותו בתיקייה ולא לשנות דבר. זה לא ניהול סיכונים.

סקר מקצועי צריך לאפשר להנהלה להבין את התמונה ולקבל החלטות: אילו סיכונים משמעותיים קיימים? מה עלולה להיות ההשפעה שלהם? אילו בקרות כבר קיימות? איפה נמצאים הפערים? ומה נכון לתעדף?

התוצאה אינה אמורה להיות רק רשימה של ממצאים טכניים. היא צריכה להפוך סיכון טכנולוגי לשפה עסקית שאפשר לנהל. כי בסופו של דבר, ההחלטה אם לקבל סיכון, לצמצם אותו, להעביר אותו או להשקיע בטיפול בו היא החלטה עסקית.

אז מה אתם לא יודעים על הארגון שלכם?

ייתכן שמערך האבטחה שלכם טוב מאוד. ייתכן שיש לכם צוות IT מצוין, מערכות מתקדמות, גיבויים, Firewall, MFA ומדיניות מסודרת. אבל עדיין נשארת שאלה אחת: האם מישהו בחן לאחרונה את כל החלקים האלה יחד, מנקודת מבט של סיכון?

לא כדי למצוא אשמים. לא כדי למכור עוד מוצר. אלא כדי להבין מה יכול לפגוע בפעילות העסקית, והאם הארגון ערוך לכך.

לפעמים סקר סיכונים מגלה פערים משמעותיים. לפעמים הוא דווקא מאשר שחלק גדול מהבקרות הקיימות אפקטיביות. בשני המקרים, הערך המרכזי הוא אותו ערך: להחליף הנחות בידיעה.

סקר סיכוני סייבר עם מרום סייבר

במרום סייבר אנו בוחנים את סביבת הארגון מתוך הסתכלות רחבה על טכנולוגיה, תהליכים, עובדים, ספקים ומידע, ולא רק על מוצרי האבטחה המותקנים.

המטרה היא לספק תמונה ברורה של הסיכונים והפערים הרלוונטיים לארגון, לאפשר תעדוף נכון של הטיפול ולחבר בין אבטחת המידע לבין הצרכים העסקיים בפועל. סקר הסיכונים הוא חלק משירותי אבטחת המידע וייעוץ הסייבר שלנו.

שאלות נפוצות