"הסייבר יהיה המלחמה הבאה"; איך ארגונים יכולים להתכונן אליה?

"הסייבר מכתיב לארגונים מציאות חדשה, והם נדרשים להתאים את עצמם אליה. כחלק מאימוץ מדיניות אבטחת המידע והעלאת רמת החוסן בסייבר, ארגונים נדרשים לבצע תהליכים, בקרות וביקורות שוטפות, לרבות תוכניות החלמה והתאוששות, כמו גם תוכניות לניהול משברי סייבר. אלה יגדירו לארגון כיצד להתנהל ולהתנהג בעת אירוע סייבר, כלפי פנים וחוץ – כי הסייבר הוא המלחמה הבאה", כך אמר שיראל אמון, מנהל פעילות אבטחת מידע בסיסקו ישראל.

אמון דיבר בפתח סדנה שערכה החברה באחרונה, שעסקה בניהול משברי סייבר ונקראה "משחק מלחמה". הסדנה נערכה בבית סיסקו בנתניה, בהשתתפות יותר מ-100 מנמ"רים ומנהלי אבטחת מידע והגנת סייבר. הגופים שהיו שותפים לסיסקו בקיום הסדנה הם קוד בלו – חברה שעוסקת בניהול משברי סייבר, קונסיינטה מקבוצת יעל, שעיסוקה הוא מודעות לסייבר, ומשרד עורכי הדין יעקב עוז ושות', שעוסק בייעוץ ובייצוג בתחומי הפרטיות והסייבר.

אמון הרחיב מעט לאנשים ומחשבים על הסדנה: "היא כללה את הזוויות העסקיות הקשורות למתקפת סייבר, כמו גם את אלה המשפטית, התקשורתית והתפעולית, את תפקידי ההנהלה והדירקטוריון ואת הכלים לניהול המשבר". לדבריו, "גולת הכותרת בסדנה הייתה תרגיל שדימה מתקפת סייבר על חברה גלובלית. ממוני אבטחת המידע נדרשו לתת מענה ופתרונות לדילמות שעלו במהלך התרגיל".

"כל ארגון נדרש שיהיו לו תוכניות לניהול משברי סייבר, שאותן הוא יבצע ושיאפשרו לו להבין איך להתמודד ולהתנהל כלפי פנים וכלפי חוץ: המדיה, הספקים, לקוחות הקצה והמערכת המשפטית", ציין. "לא פחות חשוב הוא לתרגל את הנהלת הארגון, כדי שתיחשף למשמעויות הרות הגורל של אירוע סייבר ותירתם למימוש מדיניות האבטחה בארגון".

"נמשיך לקיים פעילויות דומות, על מנת לקדם ולעודד ארגונים נוספים להיערך בהתאם ולצמצם, ככל הניתן, את החשיפה לסיכוני אבטחת מידע", אמר אמון. "יש להנגיש את המשמעויות הללו לארגונים, שבחלקם לא מבינים אותן במלואן, או שאין להם את המשאבים להיערך לאירועי סייבר. תורת אבטחת המידע נשענת, בין היתר, על תוכניות היערכות והתאוששות מאסון, ויש להיערך במסגרתן גם לניהול משברי סייבר".

רפאל פרנקו, מייסד ומנכ"ל קוד בלו. צילום: ניב קנטור

רפאל פרנקו, מייסד ומנכ"ל קוד בלו, אמר כי "השנה התאפיינה בשינוי תפיסת ההגנה – ממצב מניעה למצב של גילוי, זיהוי, הכלה והתאוששות. התלכדות הזירות של רוסיה ואיראן מעלה את ההסתברות למשבר סייבר ומגדילה את כלל הסיכונים העסקיים המסורתיים. חברה שלא תיערך לניהול משבר סייבר, שלא תטפל במכלול ההיבטים – הטכנולוגיים, הפיננסיים, המשפטיים והתדמיתיים – ושלא תפעל לתכנון מבצעי מפורט לשמירת הרציפות העסקית, עלולה למצוא את עצמה חדלה מלהתקיים עסקית ולהעמיד את מנהליה בסיכון משפטי. ארגונים וחברות שעסקו במה שקשור למוכנות וכשירות למשבר סייבר צלחו אותו בצורה טובה ויצאו מחוזקים".

גיא דגן, מנכ"ל משותף של קונסיינטה מקבוצת יעל. צילום: יח"צ

גיא דגן, מנכ"ל משותף של קונסיינטה, ציין כי "השאלה לגבי משבר סייבר היא לא האם הוא יקרה – אלא מתי. חשוב מאוד להבין כי משבר סייבר הינו, בראש ובראשונה, משבר עסקי, שכולל היבטים שונים. לכן, תרגול ההנהלה והכנתה לקראתו הם קריטיים לניהול נכון של המשבר". הוא ציין כי "בסדנה, נתנו למשתתפים לשחק תפקידים שונים, כדי ללמדם על זוויות נוספות שקשורות למשבר. המציאות מכתיבה: כל הנהלה חייבת להכין את עצמה לניהול משבר סייבר".

עו"ד יעקב עוז ממשרד עורכי הדין יעקב עוז ושות'. צילום: מירי כהן

לדברי עו"ד יעקב עוז ממשרד עורכי הדין יעקב עוז ושות', "מיד לאחר משחק המלחמה שביצענו, ובתזמון יוצא דופן, משרד המשפטים והרשות להגנת הפרטיות פרסמו טיוטת הנחיה, שתכליתה הגדרת אחריות על חברות שבליבת פעילותן יש איסוף נתונים, טיפול בהם ועיבודם. לפי הטיוטה, על הדירקטוריון מוטלת האחריות לקבוע מי בחברה אחראים ליישום הוראות חוק הגנת הפרטיות, תקנות אבטחת המידע, תהליכי בקרת סיכונים, תסקיר השפעת פרטיות, וקיום דיונים בתוצאות התהליכים הללו ויישום מסקנותיהם". הוא ציין ש-"המגמה שמעודדת ארגונים לפעול לפי חובות ועקרונות ממשל תאגידי נכון מתכתבת עם הנחיה זו. טוב יעשו הארגונים אם יוסיפו לתרגל הנהלות בתרחישים עסקיים ומשפטיים, שיש בהם להשפיע על ההמשכיות והרציפות התפקודית. מעבר לכל דין, קיימת חובה מוסרית כלפי לקוחות, עובדים וספקים – לשמור על המידע הרגיש, האישי והמסחרי כאחד".