"מתווה אבטחת המידע בארגון צריך להיגזר מהיעדים העסקיים שלו"

"קשה עד בלתי אפשרי לתכנן את מתווה אבטחת המידע בארגון לשלוש או חמש שנים קדימה. על מנהלות ומנהלי האבטחה לבחון כל הזמן את מפת הדרכים של הארגון, את היעדים העסקיים שלו. מתווה האבטחה צריך להיגזר כפועל יוצא של היעדים העסקיים ולכן יש להבין, בטרם בניית תוכנית האבטחה, מהי מפת האיומים, מהם הנכסים של הארגון ומה מגן עליהם. בעולם הגנת הסייבר, אין כזה דבר להישאר במקום, כי המשמעות היא לסגת לאחור", כך אמרה שלי בראונשטיין, מנהלת אבטחת מידע במנורה מבטחים.

בראונשטיין דיברה בפאנל שנערך במסגרת מפגש של פורום CSC מבית אנשים ומחשבים, שדן באתגרי ההגנה בסייבר בשנה הבאה. המפגש התקיים אתמול (ג') ב-יס פלאנט בראשון לציון. פתח אותו גיא מזרחי, יו"ר ועדת התכנים של הפורום ומנכ"ל CyPros, והנחה אותו יהודה קונפורטס, העורך הראשי של אנשים ומחשבים. את הפאנל הנחתה יעל שיינברג וקנין, מנהלת אבטחת המידע של eshOS.

יעל שיינברג וקנין, מנהלת אבטחת המידע של eshOS. צילום: ניב קנטור

לדברי בראונשטיין, "יחידות הגנת הסייבר הן קטנות ומוטלות עליהן משימות רבות. במנורה מבטחים, בעבר היה לנו צוות SoC פנימי, והתקשינו לאייש אותו ולהעלות את המקצועיות של אנשיו. הוצאנו חלקים ממנו לשירות מנוהל, וכך הבאנו לשיפור תהליכים ולהגדלת התפוקה. המהלך גם מצא חן בעיני ההנהלה, כי הוא הביא לצמצום עלויות. יש לבחור בחוכמה מה מהפעילויות כדאי ונכון להוציא החוצה".

ליאת כהן, מנהלת ה-IT והאבטחה בקונקטים. צילום: יח"צ

ליאת כהן, מנהלת ה-IT והאבטחה בקונקטים, אמרה כי "אחת המשימות העיקריות היא לתת לעובדים יכולת להשתפר בהיבט המקצועי. זהו מצב שמייצר ניצחון לכולם: הוא מצמצם עד מחסל את היבט העזיבות, נותן לעובדים תחושת שייכות ומציב אותם בחזית הטכנולוגיה".

לדבריה, "בניית תוכנית עבודה היא מצב מתמיד. צריך לכתת רגליים כל הזמן, לשמוע ולהאזין לאן החברה הולכת. או אז יש למפות את הסיכונים, ומשם לבנות תוכנית עבודה, שאותה יש להציג להנהלה. לטווח הארוך, זה מייצר הצלחות".

אבי אלון, מנהל אבטחת מידע בדלק US Holdings. צילום: יח"צ

אבי אלון, מנהל אבטחת מידע בדלק US Holdings, אמר כי "אחד האתגרים שהצוות בראשותי מתמודד עימם הוא הכללת האבטחה עבור החברות שאנחנו רוכשים. לאחר כל מיזוג, אנחנו מוודאים שהאבטחה שנבנתה בארגון מיושמת ונשמרת גם בחלקיו החדשים. זה מאתגר – וגם מעניין".

"חשוב להתחבר לאסטרטגיית הארגון", הוסיף, "ולמצב את הגנת הסייבר כגוף מאפשר עסקי, שמניב מצוינות תפעולית, שמספק חוסן, בקרות והגנות, ואם חלילה קורה אירוע סייבר – מביא להתאוששות מהירה".

אלון סיים באומרו כי "אנחנו מערבים את חברי ההנהלה בתחום, 'מפמפמים' להם 'סייבר', וכך מעלים את המודעות לחשיבות התחום".

ליאור מרום, מנהל אבטחת מידע בטטה ריי. צילום: עצמי

דובר נוסף בפאנל היה ליאור מרום, מנהל אבטחת מידע בטטה ריי. הוא ציין ש-"בניתי אסטרטגיית הגנה בסייבר והבטחת הפרטיות. היה לנו נכון לגדול ולהיעזר בשירותים מנוהלים לתחום. יש להם מוקדי ידע שאין לעובד פנימי, טוב ככל שיהיה". "יתרון נוסף", ציין, "הוא שאנשי השירותים המנוהלים הם 'עיוורים' לארגון, וככאלה הם בבחינת 'אורח לרגע רואה כל פגע', מה שמאפשר להם לספר את האמת על מצב הסייבר של הארגון, גם אם היא כואבת".

"ככל ארגון, אנחנו נמצאים תחת מגבלה תקציבית", הוסיף מרום. "המענה שלי לאתגר הזה הוא מיצוי מרבי, בבחינת 'לסחוט את הלימון', של משאבי האבטחה הקיימים. כמו כן, אנחנו עוסקים בהעלאת המודעות של העובדים לתחום, בפיתוח מאובטח ובייעול תהליכי הפיתוח. להנהלה אנחנו מראים כיצד שיפרנו וייעלנו תהליכים".