מודל ניהולי לאבטחת סייבר למנכ״לים

הייתי בונה מודל לניהול אבטחת סייבר סביב החלטות שנתקעות שוב ושוב בין יחידות. האבטחה יכולה לזהות חשיפה, אך הכספים שולטים בתקציב והתפעול בחלון השינוי. כמנכ״ל הייתי מחבר בין הסמכויות האלה בפורום קבוע לקבלת החלטות.

הפורום

הייתי מנהל סקירה חודשית עם מנהל אבטחת המידע, ראשי הטכנולוגיה, הכספים והתפעול והאחראים העסקיים הרלוונטיים. על סדר היום היו עולים שיקולים מתנגשים שטרם הוכרעו, תלויות משותפות והתחייבויות שדורשות התערבות. בעלי סמכות מואצלת היו מטפלים בשגרה; לאירועים דחופים היה מסלול תגובה מיידי.

כל הצעה הייתה מגיעה עם מועד להחלטה, ראיות, חלופות מעשיות והיקף המשאבים שכל חלופה צורכת. הייתי דורש ממי שמוסמכים להקצות משאבים להשתתף או לשלוח מחליפים מוסמכים. הדיון היה מסתיים בזיהוי האדם שיחליט ובהוראה שאפשר לבצע. הסכמה מלאה לא הייתה תנאי לפעולה. הייתי רוצה שהשיחה תסתיים ביכולת להתחייב לביצוע, ולא רק בהצגת עמדות. לכן זהות המשתתפים והסמכות שלהם להקצות משאבים קשורות ישירות לאפשרות להפוך דיון להחלטה מעשית.

מסלול ההחלטה

הייתי מנתב כל נושא בעזרת שלוש שאלות. האם הוא בגבולות הסמכות והמשאבים של אחראי מסוים? להחזיר אליו לביצוע. האם הוא מחייב צוותים בעלי דרישות מתחרות לשנות סדרי עדיפויות? להכריע בפורום ההנהלה. האם הוא חורג מגבול סיכון מאושר או נוגע לעניין השמור לדירקטוריון? לבקש את החלטת הדירקטוריון המתאימה, כשההנהלה נושאת באחריות להגנה הזמנית. העברת ההכרעה לדירקטוריון אינה מעבירה אליו את האחריות להגנה עד להחלטה; גם בזמן ההמתנה הייתי דורש שהאחריות הזאת תישאר ברורה.

הייתי משווה חלופות לפי הפגיעה בלקוחות, מחיר העיכוב, היתכנות תפעולית והחשיפה שנותרת. אם חסרות ראיות, ארצה לדעת איזו בדיקה מסוימת עשויה לשנות את הבחירה ומהו המועד האחרון שבו בטוח להחליט. הקדמת המועד מחייבת גם הקדמת החלטה.

הפיקוח

NIST CSF 2.0 כולל אסטרטגיה, תפקידים, מדיניות ופיקוח בפונקציה Govern. הייתי משתמש בתוצאות האלה כדי לבחון את ההסדרים שלנו; הפורום החודשי הוא הצעת היישום שלי. הייתי מבחין בין התוצאות שהמסגרת מתארת לבין המנגנון שאני מציע כדי לממש אותן. את ההסדרים שלנו הייתי בוחן לאור התוצאות האלה.

הייתי מבקש מהדירקטוריון לאשר גבולות סיכון אסטרטגיים ולבדוק אם ההנהלה פועלת בתוכם. ההנהלה בוחרת בקרות, מחלקת עבודה ואחראית לביצוע. הדירקטורים צריכים להכיר חריגות מהותיות, מחלוקות שלא נפתרו וראיות למימוש החלטות. מנהל אבטחת המידע צריך גישה ישירה לדירקטוריון כדי שיוכל לערער על התיאור שלי.

דוגמה היפותטית

נניח שמחלקות השכר וחיוב הלקוחות זקוקות לאותם מהנדסים כדי להפריד גישות בעלות הרשאות מיוחדות. שתי המחלקות מבקשות קדימות. זו דוגמה אפשרית לדרך שבה הייתי מכריע, ולא תיאור של מקרה שבוצע. הייתי בוחן יחד את סדר העבודה ואת ההגנה בזמן ההמתנה. הייתי מפגיש את האחראים כדי להשוות בין התחייבויות התשלום הקרובות, ההרשאות החשופות והגבלות הביניים שאפשר ליישם. הפורום יכול להקצות את חלון השינוי הראשון לשכר ולהגביל את הגישה לחיוב עד לחלון שלו. הכספים יצטרכו לקבל את עומס העבודה הנובע מכך. אם ההסדר חורג מגבול מאושר, הייתי מעביר אותו להכרעה בדרג המתאים לפני שמתקדמים.

המעקב

בסקירה הבאה הייתי בודק אם העבודה מומנה ושובצה בלוח הזמנים ואם אמצעי ההגנה עמדו במבחן. תלות שלא מומשה פותחת מחדש את הקצאת המשאבים. הייתי שופט את המודל לפי יכולתו להביא עימותים להכרעה מוסמכת לפני שהמועדים כופים את התוצאה, ולפי יכולתו של הדירקטוריון לעקוב אחר ההחלטה עד לפעולה.