תבנית לתדרוך הדירקטוריון בנושא אבטחת סייבר
הכינו תדרוך ממוקד החלטות למנכ״לים, למנהלי אבטחת מידע ולדירקטוריונים: ראיות, השפעה על לקוחות, חלופות, אחריות ותנאים לבחינה מחדש.
תדרוך שימושי מציג להנהלה החלטה שביכולתה לקבל וליישם. דף העבודה עוקב אחר שירות עסקי, משינוי בחשיפה לסיכון ועד להחלטה המבוקשת. הכינו רשומה נפרדת לכל סוגיה מהותית והעבירו החלטות פתוחות לסקירה הבאה.
הכנת הדיון
בחרו שינוי מהותי
התחילו בהתחייבות ללקוח או בשירות חיוני. הסבירו מה השתנה מאז התדרוך הקודם ומדוע נדרשת תשומת לב כעת. הוסיפו נתוני פעילות כראיות תומכות כאשר הם מסייעים להסביר את השינוי.
השוו חלופות מעשיות
תארו לפחות שתי חלופות ואת השלכות הדחייה. לכל חלופה ציינו את עלות הביצוע, החשיפה שתישאר והמשאבים הדרושים. הבחינו בין תוצאות שנבדקו, ציפיות המבוססות על התכנון והנחות שטרם אומתו.
השלימו את מעגל ההחלטה
בקשו החלטה מוגדרת מבעל הסמכות. תעדו אחריות, פעולה הבאה ומועד יעד, ואז הגדירו איזו ראיה או איזה אירוע יחייבו בחינה מחדש. בלימה דחופה מתבצעת מיד לפי נוהל התגובה לאירועים, בלי להמתין לתדרוך המתוכנן.
דוגמה: תלות משותפת של סביבת השחזור
בשירות תשלומים היפותטי, סקירת הרשאות מגלה שאותה זהות בעלת הרשאות נרחבות מנהלת גם את סביבת הייצור וגם את סביבת השחזור. הסקירה מוכיחה שיתוף בגישה, אך אינה מוכיחה שהשחזור ייכשל. ההנהלה נדרשת לבחור בין הקצאת משאבי הנדסה להפרדת הגישה כעת לבין דחייה מוגבלת עם הגבלות מפצות. מנהל הפלטפורמה אחראי לביצוע. יש לבחון מחדש לאחר שיודגמו גישה עצמאית ושחזור בפיקוח, או קודם לכן אם ראיות מאירוע ישנו את החשיפה. התרחיש מדגים תהליך חשיבה ואינו מציג תוצאה שנמדדה.
בניית התדרוך שלכם
הטקסט שהזנתם נשאר בדף זה ומשמש ליצירת הקובץ בדפדפן. הורידו את הקובץ לפני סגירה או טעינה מחדש; האתר אינו שומר את דף העבודה שמילאתם.
איזה שירות, התחייבות ללקוח או תהליך חיוני חשופים? ציינו את התלות הקריטית ואת התפקיד העסקי האחראי.
תארו ממצא או שינוי מאז הסקירה האחרונה, מתי התגלה ומדוע נדרשת החלטה כעת.
הפרידו בין עובדות מאומתות, מקורות ראיות, השערות עבודה והנחות שלא נבדקו. מה אי אפשר להסיק מן הראיות הקיימות?
הסבירו השפעות סבירות על לקוחות, רציפות ותפעול. אם נכללת הערכה, תעדו את ההנחות ואת אי־הוודאות שבה.
השוו פעולות מעשיות, עלויות, חשיפה שיורית וצרכי כוח אדם. כללו את ההשלכות של דחיית ההחלטה.
ציינו במדויק את האישור או ההכרעה, מי מוסמך להחליט ועד מתי נדרשת ההחלטה.
הגדירו תפקיד אחראי, פעולה הבאה שאפשר לעקוב אחריה ומועד יעד. תארו משאבים או תלויות החוסמים את הביצוע.
מה עשוי לשנות את הבחירה, מתי תיבחן שוב ואילו ראיות יוכיחו שהושג היעד המבוקש?
השתמשו בראיות וציינו מגבלות
התאימו את הדף לסמכויות ההחלטה ולתדירות הדיווח בארגון. הוא אינו מחשב הסתברות לאירוע, מאשר יעילות של בקרות או מחליף הערכת סיכונים מלאה. תעדו במפורש את הלא־ידוע והשתמשו בתיאורים ללא פרטים מזהים כאשר משתפים מחוץ לצוות התגובה.
שיטה ומקורות
דף עבודה מערכתי מקורי הנעזר במקורות בנושא ממשל סיכונים. זו אינה תבנית רשמית של NIST או CISA ואינה הסמכה.