CISO חיצוני: מי באמת מנהל את סיכוני הסייבר של הארגון?

מי אחראי אצלכם על אבטחת המידע? בארגונים רבים התשובה מגיעה במהירות: "איש ה־IT". או: "ספק המחשוב שלנו".

אבל כאשר ממשיכים לשאול כמה שאלות, התמונה נהיית מורכבת יותר:

• מי מציג להנהלה את סיכוני הסייבר?
• מי מחליט איזה סיכון דורש טיפול מיידי?
• מי בוחן את הספקים?
• מי מוודא שממצאים מסקר סיכונים באמת נסגרים?
• מי עוקב אחרי הרשאות?
• מי מחבר בין ISO 27001, דרישות לקוחות, ביטוח סייבר, תשתיות ופעילות עסקית?

כאן מתחיל ההבדל בין ניהול IT לבין ניהול אבטחת מידע.

אנשי IT צריכים לגרום לדברים לעבוד

ל־IT יש תפקיד חיוני. משתמש צריך מחשב. מערכת צריכה לעבוד. VPN צריך להתחבר. שרת צריך להיות זמין. תקלה צריכה להיפתר. אלה משימות קריטיות לעסק.

אבל אבטחת מידע שואלת לפעמים שאלות אחרות:

• האם המשתמש בכלל צריך את ההרשאה?
• האם גישה מרחוק מוגדרת בצורה שמתאימה לסיכון?
• האם הנתונים שהספק מחזיק דורשים בקרה נוספת?
• מה תהיה המשמעות העסקית אם מערכת מסוימת תושבת?
• האם הנהלת החברה מודעת לסיכון?

IT וסייבר נפגשים כל הזמן, אבל אינם אותו דבר.

הסייבר הוא כבר סוגיה ניהולית

אירוע סייבר אינו נמדד רק במספר המחשבים שנפגעו. הוא יכול להשפיע על הכנסות, שירות לקוחות, התחייבויות חוזיות, פרטיות, מוניטין, ביטוח, ספקים והמשכיות הפעילות. לכן החלטות סייבר הן גם החלטות עסקיות.

אם מערכת דורשת השקעה משמעותית כדי להקטין סיכון מסוים, מישהו צריך להסביר להנהלה: מהו הסיכון? מה הסבירות? מה ההשפעה? אילו חלופות קיימות? ומה יקרה אם נחליט לא לטפל כרגע?

זו אינה שיחה שצריך לנהל באמצעות שמות של מוצרי Firewall. צריך לתרגם טכנולוגיה לסיכון עסקי.

מי מחבר בין כל החלקים?

ארגון יכול להחזיק מוצרים מצוינים: Firewall טוב, EDR, גיבוי, Microsoft 365, MFA וספק IT מקצועי. ועדיין להישאר עם שאלה: מי מסתכל על הכול יחד?

• מי מוודא שהפער שנמצא לפני חצי שנה אכן טופל?
• מי בוחן שינוי משמעותי במערכת לפני שהוא עולה לאוויר?
• מי בודק האם ספק חדש יוצר סיכון?
• מי אחראי לכך שסקר הסיכונים יתורגם לתוכנית עבודה?

כאשר אין בעל תפקיד שמסתכל על התמונה השלמה, אבטחת המידע יכולה להפוך לאוסף פעולות שלא בהכרח מתחברות לאסטרטגיה אחת.

לא כל חברה צריכה CISO שכיר

בחברה גדולה, CISO במשרה מלאה יכול להיות צורך ברור. אבל מה לגבי עסק עם 30, 70 או 150 עובדים?

הסיכונים קיימים. הלקוחות יכולים לדרוש אבטחה. המערכות חשובות. המידע רגיש. אבל גיוס מנהל אבטחת מידע בכיר במשרה מלאה אינו תמיד מוצדק. שירות CISO חיצוני מאפשר לארגון לקבל פונקציה מקצועית בהתאם להיקף הפעילות והסיכון.

CISO חיצוני אינו "יועץ שמגיע פעם ברבעון"

שירות אפקטיבי צריך לחבר בין ניהול סיכונים לבין עבודה אמיתית:

• מעקב ותעדוף.
• דיונים עם ההנהלה.
• עבודה עם IT.
• בקרה על ספקים.
• מעורבות בשינויים.
• רגולציה ותקינה, כמו ISO 27001, כאשר רלוונטי.
• היערכות לאירועים.
• מדיניות ונהלים.

המטרה היא שלאבטחת המידע יהיה בעל בית.

ומה קורה כשאין בעל בית?

בדרך כלל לא קורה אסון מיידי. זו בדיוק הבעיה.

פערים מצטברים לאט. משתמשים מקבלים הרשאות. ספקים מתחברים. מערכות חדשות נכנסות. חריגים הופכים לקבועים. בדיקה נדחית. ממצא נשאר פתוח. כל פעולה בפני עצמה נראית קטנה. אחרי שנתיים, הארגון כבר נראה אחרת.

CISO חיצוני עם מרום סייבר

מרום סייבר מסייעת לארגונים לנהל אבטחת מידע כתהליך עסקי מתמשך: לחבר בין הנהלה, IT, ספקים, תקינה, סיכונים ותוכנית העבודה. זה חלק משירותי אבטחת המידע וייעוץ הסייבר שלנו.

שאלות נפוצות