אוקטובר  2022

תקציב הגנת סייבר שנתי, בנצ'מרק וקווים מנחים

יובל שגב, יו"ר פורום הסייבר באיגוד הדירקטורים

למרות הסיכון הגובר של אירועי סייבר, חברות רבות אינן משקיעות מספיק בהגנת הסייבר שלהן. תוצאות סקר פריצות אבטחת סייבר משנת 2022 שנערך בבריטניה הראו כמה נתונים סטטיסטיים מדאיגים בכל הנוגע למאמץ שעושים ארגונים בזיהוי והגנה מפני התקפות סייבר:
17% ערכו הכשרה בתחום הגנת סייבר לעובדים הרלוונטיים ב-12 החודשים האחרונים.
ל-34% בלבד יש תוכניות המשכיות עסקית המכסות אבטחת סייבר.
כחברי דירקטוריון, הנכם נדרשים לוודא כי החברה משקיעה משאבים מקובלים גם בתחום זה. בסקר שנערך על ידי איגוד הדירקטורים בארה"ב השנה, עלה כי תחום הסייבר נמצא בפער גדול בין מידת האיום אל מול מידת ההשקעה וההבנה שלהם בנושא.

בישראל, כמעט ולא קיימים מספרים ייעודיים למהו התקציב הנדרש, למעט אלו שהוגדרו עבור משרדי הממשלה מכח החלטת ממשלה – "יוקצה תקציב ייעודי לנושא הסייבר בשיעור שלא יפחת מ-8% מן התקציב שנקבע לתחום טכנולוגיית המידע במשרד, למעט באישור בנסיבות מיוחדות"
תקציב הגנת סייבר, מושפע ממספר פרמטרים, והוא אמור לשקף את תיאבון הסיכון ואת החובות החלות על הארגון. בין פרמטרים אלו, ניתן למנות את האיום על המגזר, מידת התלות של הגוף בטכנולוגיות המידע (בהתאם למודל השריג האסטרטגי: תמיכה/בית חרושת, תפנית, אסטרטגית) ולחקיקה ורגולציה בתחום.
חשוב לזכור, כי כשם שהטכנולוגיה איננה סטאטית, והיא תופסת מקום משמעותי יותר בארגונים לאורך השנים, כך בהתאמה מרחב התקיפה ומרחב האיומים משתנה, וכתוצאה מכך נדרש לתקף את תקציב הגנת הסייבר מידי שנה.

בסקר שנערך על ידי ISACA בשנת 2019, עלו הממצאים הבאים:
12% - מעריכים כי תקציב הגנת הסייבר שלהם יקטן השנה. 34% - מעריכים כי התקציב יישאר כפי שהיה בשנה שעברה 54% - מעריכים כי תקציב הגנת הסייבר שלהם יגדל השנה.
בסקר של דלוייט, אשר בחן את השינוי בתקציב הסייבר של ארגונים בין השנים 2019-2020, עלה כי התקציב אכן גדל מעט במהלך שנה זו בכל המגזרים.

לסיכום: ראוי כי כל דירקטוריון ייבחן את התקציב המוקצה לתחום הסייבר בהתאם לאיום ולמגזר, אך לא פחות חשוב לוודא את מידת המוכנות הארגונית.