לאחרונה פורסם על ידי הארגון הגלובלי לדירקטורים ה-GNDI: "הקווים המנחים לדירקטורים בנושא בקרה (Oversight) בתחום הסייבר
הנושא של ביטחון המידע ובקרה על תחום הסייבר הופך ליותר ויותר רלוונטי עבור חברות בכל הגדלים ובכל התחומים בעקבות ה-digitalization של הכלכלה הגלובלית. עם היתרונות של שימוש במערכות מתקדמות ומשוכללות בחברות באים גם סיכונים, כמו חשיפה של מידע רגיש, האפשרות למתקפת סייבר על החברה ובין השאר, האפשרות לדליפת מידע ונתונים" 

ארגון ה-GNDI – הנו האיגוד הגדול בעולם של יותר מ100,000 דירקטורים ונושאי משרה בכירים – פרסם בשנים האחרונות הנחיות לדירקטורים על איך לנתח את הסיכונים והזדמנויות העולות מ-digitalization, שכוללים בתוכם גם המלצה לאימוץ של risk-based approach לניהול הנושא. הקווים המנחים עלו מתוך כנס (Summit) בנושא סייבר שה-GNDI ארגן ב-2015, אך הארגון מוסיף ומחדד את ההמלצות של הקווים המנחים באופן שוטף בהבנה שהתחום ממשיך להתפתח ושחברות חשופות ליותר ויותר סיכונים בעקבות השימוש במערכות מידע לצרכים שונים.

ארגון ה-GNDI מצביע על כך שתפקיד הדירקטוריון בניהול נושאי סייבר המתעוררים בארגון איננו בבחינה ובחירת מוצרי סייבר או אמצעי הגנה למידע של הארגון, אלא יותר תפקיד של cyber resilience – חסינות בפני איומי סייבר. חסינות בתחום הסייבר משמעותה היכולת של הארגון לנבא, להתמודד, להתאושש, ולהשתנות כדי לשפר את מעמדו מול איומים, מצבים קשים או מתקפות סייבר דרך שימוש נכון במשאבים ותפקוד יעיל במצבים כאלו. לכן, ארגון ה-GNDI מציע לדירקטורים לייסד מנגנוני בקרה, דיווח ושליטה שמושפעים ובנויים על סמך הניתוח של סיכונים והזדמנויות אפשריות העולות מניהול תחום הסייבר.

כדי לאפשר לארגונים לפתח ולהבין מהי חסינות בסייבר, פרסם ארגון ה-GNDI את עשרת העקרונות/הקווים המנחים לניהול הנושא בדירקטוריונים:

1. על הדירקטוריון להבין את תחום הסייבר ומונחים המרכזיים.
2. על הדירקטוריון להבין איך התחום מנוהל בחברה, איזה מוצרי סייבר יש לחברה ומי אחראי על התחום בחברה.
3. הדירקטוריון צריך לבקש ניהול נפרד של הנושא ע"י הדירקטוריון וע"י הנהלת החברה.
4. הדירקטוריון צריך לבקש שיהיה לעובדי החברה הדרכות בנושא ובתדירות סבירה.
5. הדירקטוריון צריך לדאוג שיהיה זמן לדיון באג'נדה לניהול ההזדמנויות והסיכונים העולים מ-digitalization ואיך החברה יכולה לנהל את הסיכונים (increase resilience).
6. על הדירקטוריון לקבוע את המסגרת לניהול סיכונים בתחום הסייבר. הגישה לניהול סיכונים צריכה להבטיח בקרה הולמת נגד סיכונים בתחום הסייבר ולהתכונן לאפשרויות ל-worst case scenarios.
7. הדירקטוריון צריך לבקש שנתוני הדיווח על תחום הסייבר (cyber metrics) מדויקים למצבי סייבר שונים כדי להבין את המצב הכללי של החברה מבחינת ניהול סייבר וגם רמות שונות של סיכונים אפשריים כדי להגיע להחלטות.
8. הדירקטוריון צריך להבין איך פיתוחים טכנולוגיים תומכים ב-business model של החברה, בהווה ובעתיד. הדירקטוריון צריך לזהות הזדמנויות ולבקש שתהיה התנהלות המזהירה מפני סיכונים מהתחלה. (cyber set-up)
9. הדירקטוריון צריך להכיר בחוקים וברגולציות הקשורות לניהול מידע וסייבר לגבי כל אזורי הפעילות של החברה, כולל אתרים תפעוליים ואזורי לקוחות.
10. הדירקטוריון צריך לבקש מהחברה מסגרת מובנת וברורה לניהול מידע שפועל לשבץ (classify) את המידע, למדוד את ערך המידע ומאפשר זיהוי אפקטיבי של סיכונים הקושרים למידע של החברה.

חוץ מעקרונות אלו, ה-GNDI מפרסם guidance היכן יכולים הדירקטורים ללמוד על התחום ומהו המידע בתחום הסייבר הרלוונטי  ביותר עבורם. למידע נוסף ניתן להיכנס ל-guidance המלא שפורסם בלינק הבא:
http://gndi.weebly.com/uploads/1/4/2/1/14216812/gndi_cybersecurity_final.pdf
ישראל, נחשבת למדינה עם כמות החברות הגדולה ביותר בתחום הסייבר, לכן חשיבת הנושא והמודעות המוגברת ברורה. לכן, חשוב מאוד כי הדירקטורים הישראליים יהוו דוגמה כבעלי הידע המקצועי בנושא. אנו ממליצים לאמץ את הקווים המנחים ולדון עליהם בישיבות דירקטוריון מיוחדות, או להעלות את הנושא בשיחות על ניהול סיכונים והזדמנויות בחברה, גם עבור חברות ציבוריות וגם עובר חברות פרטיות.

ארגון ה-GNDI מפרסם עוד הרבה מאמרים ופרסומים בנושאים מקצועיים לדירקטורים, ואנו מקווים לפרסם עוד סיכומים ומאמרים שמציגים את ההנחיות והמלצות עם הדגש על הרלוונטיות וה-context הישראלי.