זרקור על ממשל תאגידי לסיכוני סייבר

ב- 09.03.22 פרסמה רשות ניירות הערך האמריקאית טיוטה של כללים חדשים בתחום הממשל התאגידי ונושאי משרה בתחום הסייבר, וכן חובות דיווח על אירועי סייבר משמעותים. תקופת ההערות לטיוטה הסתיימה לאחרונה והיא מעוררת שיח ער בתעשייה.[1] הצעת הכללים משקפת מגמה גוברת של תשומת לב רגולטורית ומשפטית לצורך לחבר בין סיכוני הסייבר (וצוות הגנת הסייבר ומערכות המידע של הארגון) לפעילותו העסקית המהותית של התאגיד (ולדירקטוריון), והשפעת שני אלה על הדוחות הכספיים וה- "שורה התחתונה".
גם אם הצעת הכללים לא תתקבל במלואה, היא מהווה קריאת השכמה לדירקטוריונים שטרם יצרו מסגרת יציבה לממשל מידע וניהול סיכוני מידע בתאגיד, ומהווה גם הזדמנות לבחינת אפקטיביות ההשקעה הארגונית בהגנת סייבר ושיפור החוסן הארגוני. ההמלצות שלהלן אודות היערכות לכללים רלבנטיות גם לתאגידים הפועלים לפי חוק ניירות ערך בישראל. [2]

שפה משותפת על "יהלומי הכתר" הארגונים כחלק מהיערכות לחובות דיווח על אירועים מהותיים

הרכיב הראשון בהוראה של ה- SEC, הינו המיקוד בחובת דיווח אודות אירועים מהותיים, וזאת תוך ארבעה ימים מהמועד שהתאגיד הבין כי מדובר באירוע מהותי.
על מנת לעמוד בחובה זו בזמן אמת, על התאגיד להיות מסוגל להבין מה היחס בין אירוע הסייבר המתחולל במערכותיו הממוחשבות לבין פעילותו ונכסיו. מכאן יוצא שכדי להיערך לתרחיש זה, על הדירקטוריון לחבר בין שיח סיכוני הסייבר לבין השיח העסקי המהותי הממוקד בפעילויות הארגון. קיום דיון מעין זה בדירקטוריון, עוד לפני שהתרחש אירוע סייבר, תורם לסינכרון נושאי המשרה ואנשי המקצוע בארגון לאותה לאותה "שפה מקצועית", שתחבר בין הראייה הכלל ארגונית לבין ההיבטים הייחודים של סיכוני הסייבר. בנוסף, יש לו תועלות נוספות להעלאת רמת ההגנה בארגון, בכך שהוא מסמן לדרג המקצועי את האיזורים שהם בעדיפות להגנה ולתעדף את משאבי ההגנה. על ההנהלה לשאוף לכך שבמסגרת אישור ה- "שפה הארגונית" ייקבעו גם המדדים המעידים על אפקטיביות ההשקעה הארגונית בתחומים אלה. בכך ההנהלה יכולה לא רק להביא להיערכות טובה יותר של הארגון לאירוע, אלא גם לעקוב אחר ההיבטים הכספיים של ההשקעה הנדרשת.

חשיבות ניטור המערכות לצורך הערכת החשיפה של נכסים ותהליכים מהותיים

על מנת להיות מסוגל לקיים הערכת מצב אודות ההשלכות של אירוע סייבר על אותם נכסים ופעילויות קריטיות שתוארו קודם, נדרשת יכולת ל- "תמונת מצב" של מערכות המידע. צורך זה מצביע שוב על החשיבות העצומה של מדיניות שימור רשומות מחשב (לוגים) באופן שיטתי ומקיף בארגון, וקיומו של SOC-SIEM ארגוני (בין בתוך התאגיד ובין כשירות מנוהל חיצוני), כדי שיהיו לתאגיד "מצלמות אבטחה" שיאפשרו לו להעריך את היקף האירוע והשפעתו.
אמנם כאשר מדובר בתקיפות כופרה, בדרך כלל ההשפעה ברורה באופן מיידי, עקב אי נגישותם של משאבים או מערכות. בתקיפות מתוחכמות שבהן התוקף "שהה" ברשת החברה, יש צורך לפענח לאחור את פעילותו, על מנת להעריך את היקף החשיפה. ליכולת מקצועית זו חשיבות לטיפול במשברי סייבר, ובחינת הצורך בעידכון צדדים נוספים, אשר עלולים להיות מושפעים מהאירוע, כגון לקוחות או ספקים. לעיתים ממצאים אלה יעלו כי למרות החשיפה הסייברית, תהליך מהותי או נכס מהותי לא עמדו בסיכון. מכאן שלניטור שוטף יש חשיבות רבה לצורך קבלת החלטה אודות קיום חובת דיווח.

ממשל תאגידי לניהול סיכוני סייבר

רכיב מרכזי שני בטיוטת הכללים האמריקנים עוסק בחובות גילוי על אודות ממשל התאגידי לסיכוני סייבר. התאגיד המדווח יידרש לציין האם יש לו אסטרטגיה ומדיניות לטיפול בסיכוני סייבר, וכן האם קיים דירקטור בעל מומחיות בממשל או ניהול סיכוני סייבר. בשונה מרגולציה בתחום הפיננסים, הבריאות, והתשתיות, דרישות אלה אינן מכוונות את התאגיד לדרישות מינימום מסויימות בתחום זה, ולכאורה משאירות לו מרחב תימרון רחב בנושא זה. לדעתי בתפר שבין ההנהלה לבין דרגי הביצוע בתחום טכנולוגית המידע, ראשי הפרקים של תחום אבטחת המידע, כפי שהם מופיעים בתקנות הגנת הפרטיות (אבטחת מידע) מהווים לדעתי אמת מידה בסיסית לתחומי התוכן שהמדיניות הארגונית צריכה לכלול. בכך הדירקטוריון יוודא כי מחזור החיים של הטיפול בסיכוני סייבר משולב בתהליכים התפעוליים ובשגרות הארגוניות.

סיכום

טיוטת הכללים האמריקנית מבקשת להגן על ציבור המשקיעים ולהעלות את רמת הקשב וההשקעה של הנהלות ארגונים לניהול סיכוני הסייבר. קידום ההיערכות לכללים אלה, אף בלי שהם מחייבים, יסייע לחוסן הארגוני, ישפר את משילות המידע בו, ויביא להשקעת משאבים ארגונית יעילה יותר בתחומים אלה.


הכותב הנו מומחה למשפט וטכנולוגית מידע, לשעבר היועץ המשפטי של מערך הסייבר הלאומי, ושל הרשות להגנת הפרטיות. מרצה מהחוץ בתחום משפט טכנולוגיה ומדיניות באוניברסיטאות חיפה, תל אביב ורייכמן