ספטמבר 2023

זה לא מכבר המחוקק ורשות ניירות הערך שינו את מחויבויות הדירקטורים בתחום הסייבר. עד כה נדרש הדירקטור רק לפקח, אך כיום דירקטור נדרש להיות מעורב בניהול, לוודא ולדאוג שמתבצע תהליך מסודר להגנת המידע ומניעת אירועי סייבר בפועל. תהליך זה כולל דיון פרטני, איסוף כל המידע הנדרש, בדיקת חלופות, קבלת חוות דעת מומחים וקבלת החלטות.

ב־23 לינואר, 2023 פרסמה הרשות לניירות ערך עדכון לעמדת סגל 105-33 בנושא גילוי בתחום הסייבר הנדרש מתאגידים מדווחים. עיקרי העדכון מחייבים תאגידים לדווח ולפרט על מדיניות ואסטרטגיות ניהול סיכוני סייבר, כאשר למעורבות הדירקטוריון משקל וחשיבות רבה בפיקוח על סיכוני סייבר, וכן כי יש לבצע הערכת סיכוני סייבר ולנהלם על בסיס מתודולוגיה מקובלת דוגמת סקר סיכונים, קביעת תכנית עבודה שנתית בתחום הסייבר ועריכת בקרות על ביצועה ועל אופן ניהול סיכוני הסייבר באמצעות ביקורת פנים ועוד.

ב־10 לספטמבר, 2023 פרסמה רשות הגנת הפרטיות טיוטת הנחיה בנושא תפקיד הדירקטוריון בקיום חובות החברה לפי תקנות הגנת הפרטיות (אבטחת מידע). בין השאר קובעת ההנחיה כי דירקטוריון החברה הוא הגורם המתאים לבצע את החובות שקבועות בתקנות, כגון קיום דיון בדירקטוריון בתוצאות סקר הסיכונים ותוצאות מבדקי חדירות שהחברה מחויבת לערוך, קיום דיון רבעוני או שנתי בדירקטוריון באירועי אבטחת המידע שהתרחשו בארגון ועוד.

 לאור האמור לעיל, הרי שהדירקטורים מחויבים לוודא קיום תהליכים סדורים בארגון בכל הקשור לניהול סיכונים ותהליכים ומתוך קבלת תשובות לשאלות האלה:

 לדאבוננו התשובות הנפוצות של מנהלי אבטחת המידע לדירקטוריון אינן נותנות מענה, אלא מתייחסות לטיב היישום של עוד מוצרים וטכנולוגיות בארגוננו. תשובות כגון שדרגנו את חומת האש, קנינו ויישמנו NAC וערכנו הדרכות לכל העובדים, יש לנו מדיניות אבטחת מידע ונהלים, ביצענו יישור קו של כל השרתים. נותרו לנו רק כמה עמדות עם windows 7, חייבים להגדיל את תקציב ההשקעה באבטחת מידע וכד'.שורש הדיסוננס בין השאלות לתשובות נוגע להגדרה של אלברט איינשטיין לאי־שפיות:

מניהול פרצות וטכנולוגיות לניהול סיכונים ותהליכים
מכיוון שעוד ועוד טכנולוגיות וכוח אדם לא הוכיחו שהם מפחיתים את סיכוני הסייבר ואינם מסייעים לארגונים לעמוד בדרישות החוק והתקנות, הרי שהפתרון טמון בשינוי התפיסה ובמיקוד בשורש הבעיה – איכות התהליכים בארגון. נדרש לעבור מניהול אבטחה אופרטיבי לניהול אבטחה אסטרטגי. המשמעות היא: 

- מיקוד וטיפול בשורש הבעיה: תהליכים – עוד טכנולוגיה ללא תהליכים לא תפתור את הבעיה.
- מעקב שוטף 24/7 אחר הסיכונים העסקיים – ולא אחר איומי סייבר בלבד.

היכולת לתרגם את סיכוני הסייבר הטכנולוגיים לסיכונים עסקיים ולעקוב אחריהם 24/7 היא מרכיב קריטי בניהול ההגנה והתאימות של הארגון, והיא מאפשרת לדירקטוריון לקבוע את תיאבון הסיכון ולשלוט בו (ב־$$). נוסף לכך, היא מאפשרת לצוותי אבטחת המידע לקבוע סדרי עדיפויות לטיפול בהתאם לסיכון העסקי ולראות האם וכיצד פעולותיהם משפיעות על הקטנת הסיכון העסקי.

החל משנת 2005, חברת IPV Security עורכת סקרי סיכוני אבטחת מידע וסייבר מתוך תרגום הסיכון הטכנולוגי לסיכון העסקי ולנכסי המידע של הארגון. סקרי הסיכונים מתמקדים בשורש הבעיות. כאשר במהלך סקר סיכונים מתגלה פרצה באחד מרכיבי ההגנה של הארגון, הרי שהמסקנה היא לא שיש לתקן את הפרצה בלבד, אלא שיש לנתח איזה תהליך לקוי אפשר את קיום הפרצה. טיפול בתהליך הוא טיפול שורש אשר יוודא כי פרצות דומות לא יישנו לעולם.

ציפיות רשות ניירות הערך ורשות הגנת הפרטיות הן כי דירקטורים לא יוודאו את קיומם של סקרי סיכונים בלבד, אלא יפעלו למימוש תהליכים שוטפים לניהול וטיפול בסיכונים – וכיצד אפשר לממש אחריות זו ללא יכולת לקבלת שקיפות (Visibility) של מצב הסיכונים לארגון 24/7?

בשנת 2015 הקמנו והתחלנו לפתח את CISOteria, פלטפורמה אשר קיבלה אישור פטנט ממשרדי הפטנטים של ארה"ב, ישראל, אירופה ויפן. CISOteria מכמתת את סיכוני הסייבר לארגון במונחים עסקיים ונותנת שקיפות לכל דרגי הארגון בכל הנוגע לסטטוס סיכוני הסייבר העסקיים 24/7. CISOteria היא פלטפורמה אשר יוזמת המלצות להקטנת הסיכון העסקי על בסיס מעקב אחר התהליכים בארגון.

בתחילת השנה, במשך חודשים מספר, ליווינו חברה ציבורית, והשילוב של היכולות המצטברות של מומחי IPV Security ומערכת CISOteria אפשרו לנו לערוך תהליך שבו ביצענו טרנפורמציה – ממצב שבו לא קיימים ניהול סיכונים ועמידה בדרישות הרגולציות כלל למצב שבו ישנם ניהול סיכונים והגנות, וכמובן הסיכוי לאירוע אבטחת מידע ירד לאחוזים בודדים. עיקרי התהליך כללו:

1)    סקר סיכונים ובניית תכנית עבודה – אשר כלל מיפוי נכסים, איומים וסיכונים, ניתוח פערים מול חוק הגנת הפרטיות, מיפוי מעגלי הגנת המידע, מבדקי חדירה, מבדק מוכנות לאירוע כופרה ועוד.
2)    שירות ניהול אבטחת מידע (CISO-as-a-Service) – אשר כלל מעקב אחר סגירת פערים, ניהול שגרת בקרות, מעקב אחר יישום תוכנית עבודה, ניהול ועדת היגוי, ביצוע תרגולות ועוד.
3)    יישום פלטפורמת CISOteria לניהול סיכונים ותהליכים 24/7 – אשר מאפשרת ניהול סגירת הפערים, איסוף ושמירה של מודיעין וידע, מעקב אחר יישום רמת הפרואקטיביות של הארגון, מעקב אחר עמידה בחוק הגנת הפרטיות, מעקב אחר ציון הסיכון 24/7, קבלת מידע מודיעיני ועוד.

סיכום

ארגונים ודירקטוריונים מחויבים לאמץ את דרישות החוק ולקבל בעלות על ניהול סיכוני הסייבר והתהליכים הקשורים אליהם. מדיניות ה"לא ידעתי ו/או אני לא מבין" אינה רלוונטית. לצורך זאת, יש לאמץ ניהול אבטחה אסטרטגי אשר ממוקד תהליכים ומאפשר את ניהול הסיכונים ומעקב אחריהם 24/7.
הסתייעות בשירותי מיקור חוץ ומומחים בתחום אבטחת מידע וכן כלים בתחום, מאפשרים ליישם את דרישות החוק באופן שימנע פריצות ואירועי אבטחת מידע וחשיפות, כגון זו לה זכתה חברת "גולד בונד" בתחילת שנת 2023.

מוצרים דוגמת CISOteria בשילוב עם חברות ייעוץ מנוסות כ־IPV Security מאפשרים:
- אכיפה וניהול של כל פעילויות אבטחת המידע והרגולציה ממקום אחד.
- כימות ומעקב אחר ציון הסיכון העסקי ותרגומו למונים עסקיים ($$).
- קבלת נתונים המאפשרים קבלת החלטות מושכלות. צמצום "כיבוי שריפות".
- ייעול, אופטימיזציה ושליטה 24/7 על פעילויות הסייבר של צוותי אבטחת המידע.
- שיתוף נתונים סטטיסטיים ותובנות מלקוחות אחרים.

כפי שאמר מנהל מערכות המידע של אוניברסיטת רייכמן, מר מייק ריי, "CISOteria היא הפתרון שחיפשתי זמן רב. 

היא פתרון שנותן לי תמונת מצב עדכנית 24/7 בנוגע לרמת החשיפה של האוניברסיטה לסיכוני סייבר, ומאפשר 

לי לקבל החלטות מושכלות ולקבוע סדרי עדיפויות."