למה אני כותב על מנהיגות באבטחת סייבר

ניהול חברת אבטחה מחייב החלטות שהשפעתן נמשכת מעבר למצגת מכירות. אני כותב למנהלים שנדרשים להחליט גם כשהמידע חלקי. אני רוצה לאפשר להם לבחון החלטות בעלות השלכות לפני שהנסיבות הופכות אותן לדחופות: אילו שירותים יקבלו הגנה קודם, מי רשאי לעצור פעילות שמייצרת הכנסות, מה מצדיק דחייה, ומי נושא במחיר כאשר האפשרות הזולה מעבירה את הסיכון למישהו אחר.

ארגון יכול לדבר על אבטחה בהרחבה ולהשאיר דווקא את השאלות הקשות ללא תשובה. הוא יכול לאשר תקציב, לרכוש מוצר ולקבל עדכון מקצועי, בלי להחליט כיצד יפעל כשהמשכיות השירות תתנגש בצורך להגביל גישה. העניין שלי הוא במקום שבו המציאות הטכנית פוגשת את האחריות הניהולית. הדברים נוגעים למי שמנהל חברת אבטחה וגם למי שנדרש להוביל את תחום האבטחה בתוך עסק אחר.

לחולשה במערכת יש תיאור טכני. ההחלטה לדחות בגללה השקה מחייבת גם שיקול דעת לגבי החשיפה, החלופות, ההתחייבויות וסמכות ההחלטה. תיאור אחד אינו מחליף את האחר. אני מנסה לחבר ביניהם בלי ליצור רושם שעצם המעבר לשפה עסקית מסלק את אי־הוודאות. תרגום מועיל צריך לשמר את מה שעוד איננו יודעים, ולא רק להפוך את ההסבר לקל יותר לקריאה.

תשומת הלב של מנכ״ל, מנהל כספים, מנהל תפעול או חבר דירקטוריון מוגבלת. אני רוצה להצדיק אותה באמצעות מאמר שעוזר לבחור, לזהות הנחה חלשה או לשאול שאלה שמשנה את הדיון. הפחדה לבדה אינה עומדת ברף הזה. גם מילים מרגיעות אינן מועילות אם התלות שממנה נובעת הבעיה נשארת כפי שהייתה.

הכתיבה בשם Kin Levi נותנת לטיעונים האלה מקום ציבורי שבו אפשר לבקר אותם. אינני זקוק לסיפור מומצא על משבר שחוויתי כדי להמחיש החלטה חשובה. תרחיש שמוגדר בבירור כהיפותטי מאפשר להציג דילמה ולשמור על הגבול בין המחשה לבין ראיה. אני מציע דרך חשיבה שאפשר לבדוק ולהתאים, לרבות זיהוי החלקים שראוי לדחות בנסיבות אחרות.

אני מתחיל בהבטחה שהעסק נותן

ההבטחה העסקית נותנת סדר עדיפויות לאבטחה. חברה יכולה להבטיח שלקוחות יוכלו לגשת לכספם, שמפעל יספק הזמנה או שתוכניות חסויות יישארו חסויות. כל הבטחה נשענת על אנשים, מערכות, ספקים ומידע. מנהיגות באבטחה שואלת מה עלול לקטוע את השרשרת הזאת ואיזו תגובה הארגון מסוגל להפעיל כשזה קורה.

נניח שיצרן צריך לבחור בין הגנה נוספת על האתר הציבורי לבין הפרדה טובה יותר של סביבת הייצור. שתי ההצעות עשויות להיות נכונות מבחינה טכנית. הייתי מתחיל בשאלה מה קורה אם כל שירות מפסיק להיות זמין או אמין. האם אפשר לקבל הזמנות בערוץ אחר? האם הייצור יכול להימשך בבטחה? האם הוראות ששונו עלולות לעבור בלי שיבחינו בכך? אילו השלכות יישארו גם אחרי שהתקלה הראשונית תסתיים?

מהדיון צריכה לצאת שרשרת קצרה וברורה: ההבטחה, התלות, הכשל האפשרי, התוצאה והמענה הזמין. אם הצעה אינה יכולה להסביר היכן היא נמצאת בשרשרת, אהסס להגדיר אותה כעדיפות אסטרטגית. אין פירוש הדבר שכל בקרת תמיכה מיותרת. צריך להסביר את תרומתה דרך התפקודים שהיא מאפשרת. רכיב שאינו נראה ללקוח עשוי להחזיק כמה הבטחות בבת אחת.

אני רוצה שמנהל יוכל לאתגר השקעת אבטחה בלי להתחזות למהנדס. השאלה איזו הבטחה הבקרה מגינה עליה מזמינה תשובה עניינית. השאלה אם ברשותנו הטכנולוגיה החדשה ביותר מזמינה שיחת רכש לפני שהבעיה העסקית הוגדרה. לאחר שמבינים מה צריך לשמר, אפשר לבחון אם ההצעה באמת פועלת על מסלול הכשל הרלוונטי או רק מוסיפה יכולת שאין לה תפקיד ברור בהחלטה הנוכחית.

חשוב גם לזהות מי תלוי בהבטחה. פגיעה בשירות פנימי יכולה לעבור הלאה ללקוח, לעובד או לשותף. לכן אינני מסתפק בשם המערכת או במחלקה שמחזיקה בה. אני מבקש לתאר את העבודה שלא תוכל להתבצע, את האפשרויות להמשיך בדרך אחרת ואת התנאים שבהם החלופה מפסיקה להספיק. זה הופך דיון מופשט על חשיבות מערכת לשיחה שאפשר לקבל בה החלטה.

ההחלטה צריכה להיכנס לעמוד, גם אם הניתוח ארוך

אני רוצה להפוך החלטות ניהוליות לקריאות. לקראת בחירה משמעותית באבטחה הייתי מבקש מסמך קצר שעונה על שש שאלות:

1. איזו החלטה נדרשת, ומדוע חשוב לקבל אותה עכשיו?
2. אילו תפקודים עסקיים ואילו אנשים עלולים להיות מושפעים?
3. מה ידוע, מה מבוסס על הנחה ומה עדיין אינו ידוע?
4. אילו חלופות אמינות קיימות, לרבות דחייה או צמצום ההיקף?
5. מי אחראי לחשיפה שתישאר בכל חלופה?
6. איזו ראיה חדשה או איזה שינוי יפתחו את ההחלטה מחדש?

הניתוח התומך יכול להיות מפורט מאוד. ההחלטה עצמה עדיין צריכה להיות ניתנת לניסוח. בקשה כללית לשפר חוסן אינה נותנת למנהל בסיס מספיק לאישור. בקשה לממן מסלול התאוששות עצמאי לשירות מוגדר, עם אחריות ברורה והדגמה מתוכננת, נותנת לו דבר ממשי לבחון. העמוד אינו תחליף לחומר המקצועי; הוא מאפשר להבין איזה חומר נחוץ ולשם מה.

נחשוב על חברת תוכנה היפותטית שההשקה שלה תלויה בשירות זהות חיצוני. אפשר להשיק עם התלות הקיימת, להגביל את השחרור לקבוצה קטנה יותר או לדחות אותו עד שתיבנה דרך גישה חלופית. לכל אפשרות יש מחיר. הדרך החלופית עשויה להקטין תלות ובו בזמן להוסיף קוד, תחזוקה ומנגנון נוסף שצריך להבין. השקה מצומצמת יכולה להגביל חשיפה אך לדחות הכנסות ולספק ניסיון תפעולי חלקי.

לא הייתי מסתיר את המחירים האלה כדי להקל על אישור המלצת האבטחה. הצעה משכנעת צריכה לעמוד גם בתיאור הוגן של חסרונותיה. הייתי מציין איזו חלופה אני מעדיף, מה תומך בה ובאילו תנאים חלופה אחרת תהיה טובה יותר. כך ההנהלה יכולה לבחון את ההיגיון ולא רק לבחור אם להסכים למסקנה שנמסרה לה.

יש חשיבות גם להגדרת היקף האישור. אישור להשקה מוגבלת אינו בהכרח אישור להרחבתה, ואישור לבניית חלופה אינו מוכיח שהחלופה כבר מוכנה. המסמך צריך לאפשר להבחין בין החלטה שהתקבלה לבין עבודה שעוד נדרשת למימושה. אחרת קל להתייחס לכוונה כאל יכולת קיימת ולהעביר הלאה ביטחון שאין לו בסיס תפעולי.

התקציב קובע גם מה נשאר חשוף

אני כותב על מימון משום שתקציב אבטחה מבטא סדר עדיפויות גם כשאיש אינו מצהיר עליו. כסף שמוקצה ליכולת אחת אינו זמין לאחרת. זמן הנדסי שמושקע בהרשאות אינו מתקן באותו רגע תהליך התאוששות שברירי. גיוס מומחה מחייב גם כלים, גישה, הכוונה ועמיתים שיוכלו לפעול בעקבות הממצאים שלו. התקן המאושר אינו כל היכולת שהארגון מבקש ליצור.

המסגרת שאני מעדיף מפרידה בין בסיס הכרחי לבין שיפורים הנתונים לבחירה. הבסיס כולל את היכולות הדרושות להפעלה אחראית בהתאם להתחייבויות ולמגבלות האמיתיות של הארגון. מעבר לו הייתי משווה הצעות לפי התוצאה העסקית שהן נועדו למנוע, סבירות מסלול הכשל, איכות ההתערבות המוצעת והמאמץ הדרוש כדי לשמר אותה.

זוהי דרך לארגן שיקול דעת, ולא נוסחה שמייצרת ודאות. אם הנתונים הם הערכות גסות, הכפלתם אינה הופכת אותם לעובדות שנצפו. הייתי מציג טווחים כשיש בהם תועלת, מסביר הנחות ומזהה אילו אי־ודאויות עשויות לשנות את דירוג החלופות. ועדה צריכה לראות היכן נמצא חוסר ההסכמה: במשמעות הנזק, בהיתכנות הביצוע או באיכות הראיות.

נניח שעסק יכול לממן ניטור רחב יותר או תרגיל התאוששות לשירות החשוב ביותר שלו. אם הצוות אינו יודע אם קיים גיבוי שאפשר להשתמש בו, התרגיל עשוי לפתור אי־ודאות משמעותית יותר. אם התאוששות כבר הודגמה אבל שינויים לא מורשים עלולים להישאר בלתי נראים, ייתכן שהניטור יקבל קדימות. ההמלצה צריכה לנבוע מהיכולת החסרה ומהמידע הזמין, ולא מהעדפה קבועה לסוג מסוים של מוצר.

הייתי שואל גם מה נפסיק לעשות. כלי שדורש תשומת לב שוטפת יכול להחליש צוות עמוס אם שום משימה אחרת אינה יורדת ממנו. הצעת השקעה מלאה צריכה לפרט את העבודה החוזרת, את תוכנית הפרישה של מערכות חופפות ואת בעל האחריות העסקית ליכולת שתיווצר. מחיר הרכישה הוא רק חלק מההתחייבות. גם מוצר טוב זקוק למישהו שיפרש את פלטיו ויהיה מסוגל לפעול.

אם אין יכולת לתחזק את ההצעה במתכונתה הנוכחית, אפשר לבחון היקף צר יותר או רצף מימוש שונה. חשוב לי שהצמצום יהיה מפורש: מה נקבל כעת, מה לא נקבל ומי נושא בחשיפה הנותרת. קיצוץ סמוי בתחזוקה אחרי אישור התקציב משנה את ההחלטה בלי שהמנהל בהכרח רואה שההנחות שעליהן נשענה כבר אינן מתקיימות.

קבלת סיכון דורשת אחראי ודרך לסיום

הביטוי ״סיכון שהתקבל״ עלול להסתיר שיחה שלא הושלמה. אני רוצה שיתאר אדם מוסמך שמבין חשיפה מוגדרת, בוחר בין חלופות אמינות ונשאר אחראי לבחינה חוזרת של הבחירה. חתימה בלי הבנה כזאת היא פעולה מנהלית עם כותרת חשובה במיוחד. עצם קיומו של מסמך אינו מוכיח שהתקיימה החלטה מושכלת.

נניח שצוות מכירות מבקש חריגה כדי להפעיל חיבור ללקוח לפני ששיטת הזדהות חזקה יותר תהיה זמינה. הייתי מבקש מהגורם העסקי להסביר את תלות ההכנסה בחיבור, ומצוות האבטחה להסביר את אפשרויות השימוש לרעה. יחד הם צריכים להגדיר את המשתמשים, ההרשאות, המידע והמשך שעליהם חלה החריגה. רק כך אפשר להבין איזו חשיפה עומדת לבחירה.

רישום שימושי יכלול את האחראי העסקי, ההיקף המותר, אמצעי ההגנה הזמניים, התיקון המתוכנן והתנאים שמסיימים את ההסדר. בחינה חוזרת צריכה להתרחש גם בעקבות שינוי רלוונטי, ולא רק במועד שנקבע. ניסוי למספר מצומצם של משתמשים אינו יכול להפוך בשקט לשירות בלתי מוגבל ולהמשיך להישען על הנימוק המקורי.

יש החלטות שחורגות מסמכות האדם שמתבקש לקבל את הסיכון. מנהל אינו יכול להעלים אינטרסים של צד אחר באמצעות תיעוד פנימי. מי יישא בתוצאה, למי יש קול ואילו התחייבויות מגבילות את הבחירה? כאשר התשובה תלויה בפרשנות משפטית, דרוש ייעוץ משפטי מתאים. מאמר שמנוסח בביטחון אינו יכול להעניק סמכות שאינה קיימת.

היציאה חשובה משום שהסדרים זמניים צוברים תלות. אם אין מסלול ממומן לסגירת החריגה, הייתי מתאר אותה כבחירה תפעולית מתמשכת ובוחן אותה בהתאם. כדי לכנות אותה זמנית דרושה תוכנית שאפשר לבצע: מי יבנה את התיקון, מי יאשר שהוא מספק ואיך יטופלו התהליכים שכבר נשענים על החריגה. תאריך יעד לבדו אינו מספק את המשאבים לסיום.

אני מבקש גם להבחין בין בעל ההחלטה לבין מי שמנהל את המעקב. צוות אבטחה יכול להזכיר ולדווח, אך עצם שליחת התזכורת אינה מעבירה אליו את האחריות העסקית. אם האחראי אינו מסוגל עוד לסיים את ההסדר, צריך להחזיר את הבחירה לדיון גלוי במקום להאריך אותה אוטומטית בשם אותה הנמקה.

להגדיר סמכות לפני שמגיע הלחץ

אחריות וסמכות יכולות להתרחק זו מזו. מנהל אבטחה עשוי להיות אחראי לחשיפה כאשר צוותי המוצר שולטים בשחרור גרסאות והיחידות העסקיות בוחרות ספקים. מנהל תפעול עשוי להיות אחראי להמשכיות בלי סמכות לבדוק תלות קריטית. הכתיבה מאפשרת לי להצביע על החיבורים האלה, שבהם בעיה מוכרת עלולה להישאר ללא פעולה אפשרית.

בכל החלטה חשובה הייתי מבחין בין מי שממליץ, מי שמחליט, מי שצריך להתייעץ איתו ומי שמבצע. התפקידים יכולים לחפוף, אבל משמעותם צריכה להישאר ברורה. לאחר מכן הייתי בודק אם לבעל ההחלטה יש גם סמכות וגם מידע שמאפשרים לפעול. שם בתרשים אינו מוכיח שלאותו אדם יש גישה למערכת, הבנה של החלופות או אפשרות לתת הוראה מחייבת.

נחשוב על פלטפורמה היפותטית שאולי חושפת מידע של לקוחות. צוות האבטחה ממליץ להגביל פונקציה, הצוות המסחרי צופה פגיעה בלקוחות וצוות התפעול צריך לבצע את ההגבלה. מי רשאי לאשר הכלה? באיזו רמת אי־ודאות מותר לפעול? מי רשאי להחזיר את הפונקציה? מי מכריע במחלוקת אם בעל הסמכות הרגיל אינו זמין?

אני מעדיף סמכות מוגדרת בגבולות. צוות יכול להיות מורשה לבודד רכיב מסוים עם הופעת ראיות מוגדרות, בכפוף לבחינה ניהולית מהירה. השבתה רחבה יותר יכולה לדרוש החלטה של גורם אחר. הגבולות צריכים לשקף את ההשלכות ואת האפשרות לחזור לאחור. העברה של כל פעולה במעלה ההיררכיה עלולה לעכב מענה, וחופש בלתי מוגבל עלול להפקיד בחירה עסקית אצל מי שלא הוסמך לקבלה.

צריך לתרגל את ההסדרים. תרשים יכול להציג את התפקידים הנכונים ולהשאיר שאלות מעשיות פתוחות: האם פרטי הקשר עובדים, האם לאדם המוגדר יש הרשאות והאם המחליף מבין את ההחלטה. אסטרטגיה שאינה מסוגלת להפיק פעולה מוסמכת בזמן הזמין נותרת חלקית. גם חזרה לשגרה דורשת החלטה: הסרת מגבלה אינה בהכרח פעולה טכנית שגרתית רק מפני שהחלתה כבר אושרה.

תרגול כזה צריך לאפשר לגלות מחלוקת לפני אירוע אמיתי. אם כל צד מניח שמישהו אחר מוסמך לעצור את השירות, יש פער שדורש הכרעה. אם כולם מבינים מי מחליט אך אינם מסכימים על המידע שעליו יסתמך, צריך להגדיר גם את נתיב ההסלמה ואת השאלה שתועבר אליו. המטרה היא יכולת לפעול, ולא רק חלוקת תארים מסודרת.

להשאיר את אי־הוודאות גלויה ולהמשיך לפעול

מנהל נדרש לעיתים לפעול לפני שהתמונה הושלמה. אני מבחין בין אי־ודאות שאפשר לצמצם בזמן שנותר לבין אי־ודאות שצריך לשאת לתוך ההחלטה. הראשונה דורשת בירור ממוקד; השנייה דורשת פעולה מוגבלת, אמצעי הגנה ותוכנית עדכון. בקשה כללית ליותר מידע יכולה לכלות את הזמן בלי לשנות את הבחירה הזמינה.

באירוע היפותטי, חשבון חשוד יכול להעיד על שימוש לרעה, טעות מנהלית או תהליך תקין שאינו מוכר למגיבים. העדכון הראשוני צריך להפריד בין תצפיות לבין פירושים. עליו להסביר מה מוצע לעשות עכשיו, איזה נזק הפעולה עלולה לגרום ואילו ראיות יצדיקו את המשכה או ביטולה. הסבר אפשרי אינו צריך להופיע בדיווח כאילו כבר אומת.

הכלל המעשי שלי הוא להשוות את מחיר ההמתנה למחיר ההתערבות השגויה. הגבלה הפיכה עם הפרעה מצומצמת יכולה להצדיק סף ראיות נמוך יותר מפעולה בלתי הפיכה שפוגעת בלקוחות רבים. אם פעולה עלולה להשמיד מידע הנחוץ להבנת האירוע, שימורו הופך לחלק מהבחירה. גם אי־פעולה היא בחירה עם השלכות, וצריך להציג אותן ולא להשאיר אותן כרקע מובן מאליו.

ההיגיון הזה חל גם מחוץ לאירועים. רכישה היפותטית של חברה עשויה לכלול תלות טכנית לא מוכרת שאי אפשר לבדוק במלואה לפני מועד מסחרי. החלופות יכולות לכלול שילוב מצומצם, תקופת מעבר מוגנת, התחייבויות חוזיות נוספות או דחייה. רשימת אפשרויות כזאת מאפשרת לנהל את אי־הוודאות בלי לטעון שבדיקת הנאותות ענתה על כל שאלה.

אני מעדיף המלצה זמנית עם תנאי ברור לשינוי על פני תשובה מוחלטת שהנחותיה נסתרות. מידת הביטחון צריכה לתאר את התמיכה במסקנה, ולא את עוצמת הקול שבו מוסרים אותה. אפשר לומר מה נכון לעשות עכשיו, ובאותה נשימה להגדיר מה יגרום לנו לשנות כיוון. כך בחינה מחודשת נעשית חלק מההחלטה המקורית ולא הודאה שמישהו לא היה אמור להחליט מלכתחילה.

ראיות צריכות לשרת את ההחלטה הבאה

לוח בקרה חשוב בעיניי כשהוא עוזר למישהו לבחור מה לבדוק, לממן, לעצור או לשנות. הייתי מארגן דיווח ניהולי סביב שלוש הבחנות: מה יושם, מה הודגם ומה עדיין לא נבדק. אלה טענות שונות שזקוקות למילים שונות. צבע חיובי אחד אינו יכול להחליף את ההבדל בין נוהל מאושר לבין יכולת שפעלה בתנאים מוגדרים.

תהליך התאוששות יכול להיות כתוב בלי שתורגל. תרגיל יכול להצליח בהיקף צר בלי להוכיח שכל התלויות ניתנות לשחזור. מדיניות גישה יכולה להיות מאושרת כשהארגון עדיין אינו יודע היכן היא נאכפת. אני רוצה לשמור על ההבחנות האלה משום שהן מבהירות מה העבודה הבאה, במקום לאפשר למצב חיובי כללי להסתיר אותה.

בדיון דירקטוריון היפותטי, הייתי מעדיף דיווח שלפיו התאוששות שירות מסוים הודגמה בתנאים מוגדרים, תוך ציון תלות שלא נכללה, על פני הכרזה שההתאוששות מוכנה. הניסוח המצומצם מייצר שאלות מועילות. האם לבדוק עכשיו את התלות שהוחרגה? האם העסק מבין את המגבלה? האם המסלול שנבדק מתאים לאופן שבו השירות פועל בפועל?

גם ספירות יכולות לעזור. תור גדל של ממצאים שלא נסגרו עשוי להצביע על מגבלת יכולת, אבל המספר לבדו אינו קובע חשיבות עסקית. הייתי שואל אילו תפקודים נפגעים, כמה זמן הממצאים פתוחים, היכן הם מרוכזים והאם לממצאים חוזרים יש גורם משותף. ההחלטה יכולה להיות שינוי כוח אדם, ארכיטקטורה, אחריות או קדימות, והדיווח צריך לעזור להבחין ביניהם.

לראיות יש גבולות. מי הפיק אותן, מה הן כיסו ואילו תנאים יהפכו אותן ללא עדכניות? הדגמה ישירה, הצהרת ספק והסקה מתוך מידע אחר אינן אותה תשתית להחלטה. ההבחנה מאפשרת למנהל לבקש את הבדיקה הבאה שיש בה ערך, במקום לדרוש עוד מספרים כברירת מחדל. צריך גם לדעת איזו מסקנה הראיה אינה תומכת בה, כדי שלא להרחיב את משמעותה מעבר להיקפה.

אם סביבת העבודה השתנתה, ראיה קודמת יכולה עדיין להיות שימושית אך לא מספקת. אני רוצה שהדיווח יסביר מה נשאר תקף ומה דורש בדיקה נוספת. אין צורך לבטל כל עבודה קודמת כדי להכיר בגבולה; צריך לחבר את המידע הקיים להחלטה שעומדת עכשיו על הפרק.

גם תלויות בספקים הן החלטות הנהלה

בחירת ספק משנה את צורת האחריות. שירות יכול להפחית עבודה פנימית וליצור תלות בבקרות גישה, בשיטות תפעול ובהחלטות התאוששות של ארגון אחר. השאלה היא כיצד התלות משפיעה על ההבטחה העסקית, לרבות מצב שבו סדר העדיפויות של הספק שונה מזה שלנו. העברת הביצוע אינה מבטלת את הצורך להבין את התוצאה עבור העסק.

נניח שפונקציית הכספים בוחרת ספק שיחזיק רשומות רגישות ויפעיל תהליך קריטי. הייתי שואל מי יכול לגשת לרשומות, אילו הרשאות נדרשות לחיבור, איך ניתן לראות פעילות ומה קורה אם הגישה נעצרת. הייתי בודק גם אם החברה יכולה לקבל בחזרה מידע שימושי ולהמשיך את העבודה החיונית בדרך אחרת. עצם הזכות לקבל מידע אינה מסבירה אם נוכל להשתמש בו בזמן הדרוש.

הפשרה יכולה להיות סבירה לחלוטין. בנייה פנימית עשויה להיות איטית, יקרה וקשה יותר לתחזוקה. המטרה שלי היא להשלים את ההשוואה. לצד הבטחות הספק צריך לבחון את ההרשאות שניתנות לו, ריכוז התפקודים הקריטיים אצלו, היכולת לזהות שימוש לרעה והאפשרות המעשית לעזוב. חלופה פנימית צריכה להיבחן באותה כנות לגבי המגבלות שלה.

תוכנית יציאה צריכה להתאים למשמעות התלות. שירות נוחות בעל השלכות מוגבלות אינו דורש אותו עומק כמו ספק שכשל שלו יעצור תשלום שכר או גישת לקוחות. בתלות קריטית הייתי רוצה ראיה לכך שהחלופה יכולה לעבוד, כולל האנשים והמידע הנחוצים להפעלתה. כפתור ייצוא לבדו אינו מוכיח המשכיות: צריך להבין את הנתונים ולהפעיל באמצעותם תהליך עובד.

אלה נושאים שמחברים אבטחה לרכש, לכספים, לארכיטקטורה ולתפעול. מסירת כל שאלת ספק לצוות האבטחה תשאיר ידע עסקי חיוני מחוץ להחלטה. מי שמכיר את התהליך צריך לעזור לקבוע איזו הפרעה אפשר לשאת ואיזו חלופה באמת משמרת את התפקוד. בלי התרומה הזאת קל לאשר פתרון טכני שאינו מספק את מה שהעסק צריך.

אנשים זקוקים לאפשרויות שאפשר להשתמש בהן

אני מבקש לערער על הסברים שמסתיימים ב״טעות אנוש״. פעולה אישית יכולה להיות משמעותית, אבל ההנהלה צריכה לבדוק גם את התנאים שסביבה: הרשאות מבלבלות, תמריצים סותרים, מסלול מאושר שאינו זמין או תהליך שדורש ידע שמעולם לא ציפו מהמשתמש להחזיק. האחריות האישית אינה מייתרת את הבחינה הזאת.

נניח שעובד מעביר מסמך בערוץ לא מאושר כדי לעמוד במועד של לקוח. הייתי שואל איזה מידע היה בו, אילו אפשרויות מאושרות עמדו לרשותו ומדוע לא התאימו או לא היו מוכרות. המענה עשוי לכלול אחריות אישית. הוא עשוי לכלול גם דרך שימושית לשיתוף, סיווג ברור יותר או הבטחה אחרת ללקוח. בלי לברר את האפשרויות, קשה לדעת מה נכון לשנות.

בקרה שעוצרת עבודה זקוקה לתכנון תפעולי. מי מקבל את הבקשה, בתוך כמה זמן אפשר להחליט, איזו חלופה בטוחה קיימת ומה קורה כשהבודק נעדר? השאלות האלה עוזרות לבקרה לפעול בנסיבות שלשמן נוצרה, דווקא כאשר הלחץ מקשה על התהליך. איסור ברור שאין אחריו נתיב עבודה ישים משאיר את הבעיה העסקית ללא מענה.

מנהלים מעצבים תמריצים באמצעות מה שהם משבחים, מממנים ומאפשרים. אם הם דורשים אספקה מיידית אך משאירים את המסלול הבטוח בלתי מעשי, מסר הדרכתי אינו פותר את הסתירה. אני רוצה שמנהיגות באבטחה תתייחס לתכנון העבודה באותה רצינות שבה היא בוחנת את התנהגות מי שמבצע אותה. שינוי צריך לטפל בשאלה מה יוכל האדם לעשות בפעם הבאה, ולא רק במה שאסור היה לו לעשות הפעם.

מה אני חייב לקורא

הסיבה שבגללה אני כותב מציבה רף גם לכתיבה עצמה. אני חייב להבחין בין טיעון, דוגמה היפותטית וטענה שדורשת ראיות חיצוניות. אני חייב לספק די פירוט כדי להפוך מסגרת החלטה לשימושית, ולגלות איפוק כדי שלא להציג אותה כמתאימה לכל ארגון. פרספקטיבה של עקרונות כלליים צריכה לאפשר לקורא לזהות היכן הנסיבות המקומיות משנות את התשובה.

אני רוצה שמנכ״ל יסיים מאמר ויוכל לשאול מי אחראי לבחירה משמעותית. שמנהל כספים יזהה את ההוצאות המתמשכות שמאחורי הצעה. שמנהל תפעול יאתגר הנחת המשכיות שלא נבדקה. שמנהל אבטחה יוכל לתאר המלצה באופן ששומר על משמעותה הטכנית ומבהיר את השלכותיה העסקיות. אלה שימושים שונים באותו מאמץ להפוך אחריות לדבר שאפשר לדון בו במדויק.

לשם כך עליי לחשוף גם את ההנחות שלי. המלצה עשויה להסתמך על פעולה הפיכה, חלופה זמינה או צוות שיש לו יכולת לתחזק את הבקרה. אם התנאים האלה אינם מתקיימים, הקורא צריך לראות מדוע ההמלצה משתנה. הכתיבה נותנת לי מקום לפרט את התלויות ונותנת לאחרים אפשרות לחלוק עליהן בלי שיצטרכו לנחש את הבסיס למסקנה.

אינני מצפה שמאמר יחליף ידע מקומי או שיחה ניהולית קשה. אני רוצה לשפר את השיחה. הרגע המועיל מגיע כאשר דאגה רחבה הופכת להחלטה מוגדרת: זו ההבטחה שעל הפרק, אלה האפשרויות, לאדם הזה יש סמכות ואלה הראיות שיאמרו לנו מתי לבחון מחדש. אז אפשר להבין גם מה הוחלט וגם מה עדיין דורש עבודה.

לכן אני כותב על מנהיגות באבטחת סייבר. אני רוצה לעזור למנהלים לקבל התחייבויות שהם יכולים להסביר, לתמוך בהן, לבדוק ולשנות. בשם Kin Levi אני מציב את דרך החשיבה הזאת לעיון ציבורי. ערכה תלוי בשאלה אם היא עוזרת לאדם אחר לחשוב בבהירות רבה יותר על האחריות שהוא באמת מחזיק בידיו.