ארגונים הבינו זה מכבר את האתגר של תרגום סייבר לסיכון עסקי. כשל התקשורת בין מנהלי המערכות (CISO) לחדרי ישיבות הוא אמיתי ומתועד היטב. אך האם ישנן בעיות עמוקות יותר? מסיבות שונות, ניהול סיכוני סייבר גדל בגודלו ובהיקפו לאורך השנים. כיום הוא עשוי לכלול כל דבר, החל מדיסציפלינות אבטחה מסורתיות ועד לפרטיות, סיכוני שרשרת אספקה, משפט, ניהול בינה מלאכותית וחוסן תפעולי. זה יוצר באופן בלתי נמנע מחסומי נתונים, פערים בכיסוי ואתגרי חוסן.
אם ממשל משולב הוא היעד, כיצד צריך להיראות המסע?
כאשר נראות ובעלות מתפצלות
ישנן סיבות שונות לכך שניהול סיכוני סייבר הפך להיות כה מסורבל לאורך השנים. היה זמן שבו אבטחה הייתה הרבה יותר קלה. משאבי מחשוב חיו במקום וארגונים שמרו על ההיקף כדי למנוע מהדברים הרעים להיכנס. גישת "המצודה והחפיר" הזו התנדפה עם הגעתם של מחשוב ענן, עבודה מרחוק ויישומי SaaS. ככל ששטח התקיפה התרחב, הוא כלל טכנולוגיה תפעולית (OT), מערכות אינטרנט של הדברים (IoT), מכשירים ניידים, שרתי מחשוב קצה ועוד. יותר נכסי IT, יותר מורכבות, פיקוח מקוטע יותר.
תשתית ושירותי בינה מלאכותית מייצגים את ההתרחבות האחרונה. מודלים של שפות גדולות (LLMs), סוכנים, מסדי נתונים וקטוריים, צינורות למידת מכונה, ממשקי API, תוספים ושרתי ענן מהווים יעד חדש בסיכון גבוה לתקיפה. ככל שבינה מלאכותית מוצאת את דרכה לשירותים עסקיים קריטיים יותר, הפוטנציאל לפריצה, גניבת נתונים ומניפולציה גדל. בינה מלאכותית בצללים היא דאגה מיוחדת. שני שלישים (65%) מהארגונים סבלו אירועי אבטחה הקשורים לסוכני בינה מלאכותית בשנה האחרונה, ואף יותר (82%) חושדים שסוכנים לא מנוהלים פועלים בסביבות שלהם.
גם שרשראות האספקה אשמות. הארגון הממוצע משתמש כיום בכ-61 כלי אבטחה. וזה רק סייבר. כמעט בכל המגזרים, ארגונים צברו מערכת אקולוגית מורכבת של שותפים המטפלים בכל דבר, החל מלוגיסטיקה ועד שירותים מקצועיים. בנוסף, ישנם ספקים דיגיטליים. רכיבי קוד פתוח הם מקור סיכון הולך וגדל.
הגורם האחרון הוא הסביבה הרגולטורית. ככל שחוקים חדשים צצו לעידוד חוסן תפעולי ולהגן על נתונים אישיים, טכנולוגיית בינה מלאכותית, מכשירים חכמים וטכנולוגיות אחרות, הנטל על צוותי הציות גדל. במקרים מסוימים (כמו NIS2), ההנהלה הבכירה נושאת כעת באחריות אישית לאי-ציות. עובדה זו הסיט את מוקד האחריות באופן ישיר יותר מצוותי האבטחה אל הנהגת העסק.
מה זה אומר
לפי חברת המחקר והייעוץ Info-Tech Research Groupישנם שלושה חסמים עיקריים לניהול סיכונים משולב:
- היעדר תהליכים בוגרים, שפה משותפת, תרבות סיכונים וכלים מודרניים לתמיכה בניהול סיכונים משולב
- תקנות המתפתחות במהירות, טכנולוגיות מתפתחות ומציאות גיאופוליטית משתנה המקשות על שמירה על נוהלי סיכון פרואקטיביים
- ניהול סיכונים שמתייחסים אליו כאל תרגיל ציות ולא כאל יכולת אסטרטגית, מה שמוביל לנקודות עיוורות ולהחמצות של הזדמנויות לחיזוק החוסן
במקרים מסוימים, צפויים מנהלי מערכות מידע להתמודד עם הנטל הגובר. אוניברסיטת קיימברידג' מחקרים מראים שזה יכול להוביל לניהול סיכונים ריאקטיבי, עמידה בדרישות התיבות ולעתים קרובות שחיקה. IANS נפרד מחקר מגלה 52% ממנהלי מערכות המידע חשים כי היקף פעילותם אינו ניתן לניהול מלא עוד. הדו"ח מזהיר כי הלחץ חמור במיוחד בארגונים קטנים יותר ויכול לעכב יוזמות אסטרטגיות חשובות.
בסופו של דבר, ניהול סיכונים מבודד פוגע בארגון על ידי הגברת האטימות וסיכון הפריצה, טוען דום גלבאך, CISO ב-Black Duck.
"כאשר סילואים יוצרים פיקוח מנותק, במיוחד כאשר בינה מלאכותית מאיצה את הקצב, צצים סיכונים בשרשראות אספקה של תוכנה, זרימות עבודה ופעילות עסקית. בעלות מבוזרת נחוצה כדי לעמוד בקצב, שכן סיכוני סייבר משתרעים על פני אבטחה, מוצר, פרטיות, תאימות וספקים", הוא אומר ל-IO (לשעבר ISMS.online). "כאשר הסילואים משבשים את הפיקוח, ארגונים מוצאים את עצמם בנקודות עיוורות, עבודה כפולה, תגובה איטית יותר וקושי להוכיח שהבקרות פעלו בכל רחבי הארגון."
זמן להשתלב
אז לאן הולכים ארגונים מכאן? לאינפו-טק יש תוכנית בת ארבע נקודות לניהול משולב של סיכוני סייבר:
- קביעת מטרות וניהול
- פיתוח מנגנונים לזיהוי והערכת סיכונים
- פיתוח אפשרויות תגובה לסיכונים
- צור תוכנית כלים, ניטור ודיווח
עבור מוחמד יחיא פאטל, סגן מנהל מערכת EMEA ב-Huntress, שני תחומי התמקדות עיקריים צריכים לבוא במקום הראשון.
"ראשית, מסגרת בקרה משותפת שכל הפונקציות מתמפות אליה, כך שכאשר קצין הגנת המידע (CISO) מדווח על בקרות אבטחה, קצין הגנת המידע (DPO) מדווח על בקרות פרטיות, וראש ניהול הבינה המלאכותית מדווח על סיכוני מודל, כולם מדברים על אותה טקסונומיית סיכונים בסיסית, והדירקטוריון יכול לראות את התמונה הכוללת", הוא אומר ל-IO.
"שנית, מימד הספק זקוק לתשומת לב משום שזה המקום שבו כשל הממשל החריף ביותר כרגע. ברוב הארגונים יש תהליכי ניהול סיכונים של צד שלישי שהם נקודתיים בזמן: הערכה בעת הקליטה, שאלון בעת חידוש. מה שאין להם הוא נראות רציפה האם הבקרות עליהן הסתמכו בזמן ההערכה עדיין קיימות. ניטור רציף של מצב האבטחה של הספק, בשילוב עם תמונת הסיכונים הפנימית שלכם, הוא חובה."
היכן מסגרות עוזרות
רונלד לואיס, ראש מחלקת ניהול אבטחת סייבר ב ברווז שחור, מדמה את התהליך לכוונון עדין של שעון מיושן, שבו כל פונקציה היא גלגל שיניים.
"לכל גלגל שיניים יש תפקיד ספציפי, אך אף אחד מהם אינו פועל באופן עצמאי. אם גלגל שיניים אחד אינו מיושר, מסתובב מהר מדי, לאט מדי או בכיוון הלא נכון, כל המערכת נסחפת. כך בדיוק מתנהג סיכוני סייבר בסביבות מבודדות. בקרות לא נכשלות בגלל שהן מתוכננות בצורה גרועה; הן נכשלות בגלל שהן אינן מסונכרנות עם החלטות המתרחשות במקומות אחרים", הוא אומר.
"רמת הסנכרון הזו לא מתרחשת באופן אורגני. היא דורשת מסגרת. בין אם זה ISO 27001, NIST, או מודל פנימי בנוי היטב, העיקר הוא ליצור שפה משותפת, טקסונומיה עקבית וקווי מעקב ברורים בין סיכונים, בקרות ובעלות."
לואיס מסביר שמסגרת חזקה כופה אינטגרציה בין תחומים.
"זה יוצר את הרקמה המקשרת בין פרטיות, אבטחה, סיכוני צד שלישי, ניהול בינה מלאכותית וחוסן תפעולי. זה מאפשר לך לראות לא רק סיכונים בודדים, אלא גם כיצד הם מקיימים אינטראקציה ומתפתחים", הוא מסכם. "בלי מבנה זה, לא ניתן להגיע לפיקוח משולב. בעזרתו, ניתן ליישר קו בין גלגלי השיניים, לפנות באופן עצמאי, אך באותו כיוון, לעבר מטרה אחת ומדידה: הבנה וניהול קוהרנטיים כלל-ארגוניים של סיכוני סייבר."
הרחב את הידע שלך
פודקאסט: פישינג לצרות עונה 2 פרק 2: אתם צייתנים. האם אתם גמישים?
בלוג: מדוע חוסן סייבר עוד רחוק מלהיות רחוק עבור עסקים רבים בבריטניה
