בכל 39 שניות מתבצעת תקיפת סייבר בעולם.  78% מהארגונים בארה"ב דיווחו על תקיפות סייבר במהלך 2019, וכן במחצית הראשונה של 2019 נחשפו 4.1 מיליארד חשבונות כתוצאה מאירועי דלף מידע. 

איומי הסייבר מהווים סיכון לחברה, לכלכלה ולמשק בישראל ובעולם כולו. ככאלו, הם מכוונים לכולם, ארגונים גדולים או עסקים בינוניים וקטנים.
מתקפות סייבר עלולות לפגוע בארגונים ואף להביא להפסקת תהליכי ייצור, לנזק כלכלי ולפגיעה במוניטין של הארגון. האם יצא לכם לחשוב כיצד מתקפת סייבר עלולה להשפיע על הארגון שלכם?

כדירקטורים הנכם מובילים ומשפיעים על אסטרטגית הארגון ועל החלטות משמעותיות לתפקודו, בניהם נכלל גם תחום הגנת הסייבר.
לטובת הגדרת סיכוני הסייבר של הארגון והמענה הרצוי בהתאם ריכזנו עבורכם שאלות מיקוד, מומלץ לוודא כי מתקיים בהן דיון מעמיק באופן עיתי. 

1. האם הגדרתם מהם הנכסים ו/או התהליכים העסקיים הקריטיים ביותר לארגון? כיצד אירוע סייבר עלול להשפיע על נכסים/תהליכים אלו?
מטרת ההגנה בסייבר הינה לאפשר לארגון לפעול במרחב הסייבר ללא חשש לפגיעה ברציפות התפקודית ובמוניטין, ולמזער נזקים פוטנציאלים אשר הארגון חשוף להם כתוצאה מהתלות במרחב זה. הגדרת ליבת הפעילות והתשתית הטכנולוגית המאפשרות השגת מטרות אלו, תסייע למקד את המאמצים במקומות הנכונים בארגון.

2. מהי רמת ההשקעה של הארגון בהגנה בסייבר ועד כמה הארגון מוגן? האם הוגדרו מדדי ביצוע בתחום הסייבר בארגון (Key Performance Indicators)? כיצד מדידה זו מתבצעת בארגונכם?
ישנם כלים אוטומטיים שונים המאפשרים להציג את רמת הבשלות של הארגון.
ללא מדידה של רמת ההגנה, לצד הגדרת יעדים מדידים, ניהול ההגנה מתבצע תחת מעטה של ערפל. הגדרת היעדים והמדדים תסייע לתאם ציפיות בין הנהלת הארגון לממונה על ההגנה בסייבר בארגון ותאפשר צפייה במגמות לאורך ציר הזמן. מדידה זו יכולה להתבצע בפשטות, באנונימיות וללא עלות במערכת יוב"ל של המערך. בקשו מהגורם הממונה על הגנת הסייבר להציג לכם את מידת ההגנה שלכם בהתאם למתודה הלאומית.

3. מהם סיכוני הסייבר המהותיים לארגון? האם סיכונים אלו דורגו ושוקפו באמצעות "מפת חום" ארגונית?
לכל מגזר עסקי אופייניים סיכוני סייבר מסוימים וקיימים סדרי עדיפויות הרלוונטיים למגזר. כך, סיכוני הסייבר של בית חולים יהיו שונים מסיכוני חברת מזון. אף בין בתי החולים השונים, ייתכנו שינויים בראיית הסיכון בעיני ההנהלה. קיום דיון מעמיק על ההסתברות להתממשות סיכונים אלו ועל הנזק הפוטנציאלי במידה ואכן יתממשו, יסייע ליצירת אסטרטגיית הגנה רלוונטית.

4. על איזו מתודה נשענת הגנת הסייבר של הארגון? האם סטנדרט זה כולל התייחסות ליכולת לאתר אירוע ולהגיב לו (Detect & respond)? מהי רמת ההגנה הארגונית אל מול דרישות תורת ההגנה בסייבר הלאומית?
הישענות על מתודה סדורה, אשר מבוססת על ניסיונם של ארגונים רבים, תורמת לבניית תכנית עבודה וריכוז מאמצים בצורה אפקטיבית יותר. מערך הסייבר פיתח את תורת ההגנה הארגונית ואנו ממליצים לכל בעל תפקיד בכיר לעיין במסמך זה.

5. האם מצוי בידי הארגון המידע הדרוש לטובת קבלת החלטות וגיבוש האסטרטגיה בנושא הסייבר?
ערוץ מוסדר מול הגורם אשר אמון על נושא ההגנה בסייבר בארגון מסייע לקבל תמונת מצב עדכנית. סקירה עיתית בנושא ע"י הגורם הרלוונטי בארגון מסייעת להציף דברים "מהשטח" לצד אפשרות לתשאל באופן ישיר את הגורם המטפל בנושא בשגרה.

6. כיצד הארגון מגן על מידע שנמצא אצל ספקים וקבלני משנה? האם ישנה מתודה סדורה להגנה מפני אירוע סייבר שמקורו בשרשרת האספקה?
שרשרת האספקה מהווה אחד מהאיומים הגדולים ביותר בתחום הסייבר. תקיפות רבות מגיעות אל הארגון דרך תקיפת שרשרת האספקה שלו. כמו-כן, פעמים רבות אירוע סייבר אצל ספק אשר הוצאנו אליו מידע עסקי רגיש, או אשר אפשרנו לו גישה מרחוק אל המערכות שלנו, חושף אותנו לסיכונים אשר השליטה עליהם מוגבלת. יש לקבוע מדיניות לעבודה נכונה עם ספקים וקבלני משנה בהיבטי הסייבר, תוך מיקוד בסיכון הסייבר וכיסוי היבטים משפטיים רלוונטיים. לרשותכם עומדת מתודה ומודול ייעודי לנושא במערכת יוב"ל שפיתח מערך הסייבר הלאומי.

7. לאילו חוקים ורגולציה בתחום הסייבר הארגון כפוף ומהי מידת העמידה בדרישות אלו? האם רגולציה זו כוללת חובת דיווח על אירועי סייבר?
על הארגון למפות לאלו חוקים ותקנות הוא נתון כתוצאה מפעילותו העסקית. מיפוי זה מסייע להפחית את הסיכון לסנקציה פלילית ו/או כלכלית מצד רגולטורים ותובעים פוטנציאלים.

על הדירקטורים לפעול למען הגנה ושימוש בטוח במרחב הסייבר ובמידת הצורך להיעזר בגופים המוסמכים לטפל בכך. הגנה זו תאפשר מרחב סייבר מוגן, בטוח וחופשי לחברה ויתרום לצמיחתה.