הערכת סיכוני סייבר לארגון

מה הארגון צריך לקבל מההערכה?

הערכה שימושית עונה על שאלות שמחייבות החלטה: איזה סיכון דורש טיפול עכשיו, מה אפשר לדחות ומה צריך לברר. מגדירים מראש את שירותי הארגון ואת הגורם שיקבל את התוצר. סיכון במערכת תומכת עשוי להיות מהותי אם אין חלופה להפעלת תהליך עסקי. לכן מתחילים מהפעילות וממפים את התלות בטכנולוגיה, באנשים ובספקים. המטרה אינה לכסות רשימת מערכות בלבד, אלא להבין מה עלול לפגוע ביעדים וביכולת לספק שירות.

מתרחיש טכני להשפעה עסקית

ממצא טכני צריך להתחבר לתרחיש ולהשלכה. לדוגמה, הרשאה עודפת עשויה לאפשר גישה למידע, ואובדן שירות יכול להשבית תהליך. אלה דוגמאות להערכה ולא קביעה על הארגון שלכם. מתעדים את ההנחות, את הנתונים החסרים ואת הבקרות. אין להעביר חומרת חולשה אוטומטית לדירוג עסקי. כשאין בסיס לחישוב כספי, משתמשים בסולם איכותני עקבי ובהסבר. ההנהלה צריכה להבין מה עומד מאחורי הציון ומה עשוי לשנות אותו, כדי להשוות בין חלופות.

בעלות על סיכון וסמכות החלטה

לכל סיכון צריך בעלים שמבין את ההשפעה על הפעילות ומוסמך לקדם החלטה. צוות אבטחה יכול להעריך ולהמליץ, אך אינו מחליף החלטה עסקית ללא סמכות. מגדירים מי מאשר טיפול, מי מקבל סיכון ומי עוקב אחר ביצוע. כשכמה צוותים חולקים אחריות, מציינים גורם מתאם ותלות. רישום סיכון ללא בעלים או מועד בחינה נשאר מידע שאינו מוביל לפעולה. תהליך ברור מאפשר להמשיך את המעקב גם כשמנהל או ספק מתחלפים.

תעדוף ותקציב לפי השפעה

משווים חלופות טיפול לפי צמצום סיכון, עלות, זמן ותלות. פעולה רוחבית יכולה לטפל בכמה תרחישים, אך צריך להראות את הקשר ולא להניח שמוצר חדש פותר את כולם. מפרידים בין הקטנת חשיפה מיידית לבין שינוי מבני. בוחנים גם יכולת תחזוקה: בקרה ללא מי שמפעיל אותה יכולה להוסיף תיעוד בלי להוסיף הגנה. הצעת תקציב צריכה להסביר איזה מצב ישתנה ואיך נבדוק זאת. כך ההנהלה יכולה לבחור סדר פעולות שמתאים למשאבים ולא רק לחומרת רשימה.

ספקים, אנשים והמשכיות עסקית

הערכת סיכונים ארגונית כוללת תלות בספקים, תהליכים ידניים וזמינות אנשי מפתח. בוחנים מה קורה אם שירות חיצוני אינו זמין, אם עובד טועה או אם אי אפשר לשחזר מידע בזמן. חוזה או גיבוי אינם מוכיחים לבדם שהחלופה תעבוד. חשוב לברר אחריות, בדיקות ותהליכי הסלמה. ממצאי מבדק פישינג יכולים להוסיף מידע על דיווח ועל אימות בקשות. הם אינם מוכיחים לבדם את הסתברות האירוע, אך יכולים לכוון את בחינת הבקרות האנושיות והתהליכיות.

סיכון שיורי וקבלה מתועדת

לאחר טיפול בוחנים מה נשאר ומה הבסיס להערכה. יש להבחין בין בקרה שנרכשה, בקרה שהופעלה ובקרה שנבדקה. אם הארגון מקבל סיכון, מתעדים החלטה, נימוק, סמכות ומועד בחינה מחדש. קבלה אינה מחיקה של הסיכון. שינוי בנתונים, בחשיפה או בדרישות עשוי לחייב החלטה חדשה. תיעוד אמין צריך לציין אי ודאות ומגבלות ולא להציג ודאות שאין לה בסיס. החלטה מוסמכת מאפשרת להנהלה להבין את המשמעות ולעקוב אחריה לאורך זמן.

דוח הנהלה ומעקב אחר טיפול

דוח הנהלה צריך להציג את הסיכונים המרכזיים, ההחלטות והמשאבים הנדרשים. נספח מקצועי יכול לפרט תרחישים וראיות לפי הרשאות. תוכנית העבודה כוללת בעלי אחריות, אבני דרך ותנאי סגירה. בישיבות מעקב בוחנים ביצוע ויעילות, ולא רק אחוז משימות. כשנוסף שירות, משתנה ספק או מתרחש אירוע, מעדכנים את ההערכה. תהליך תקופתי מסייע לזהות סיכונים חדשים ולשמור על קשר בין הדוח למציאות, בלי להבטיח שלא יתרחש אירוע.

מה להכין לשיחת תיחום?

הכינו תיאור קצר של הפעילות, המטרה, בעלי התפקידים ומועד היעד. בשיחה מגדירים היקף, נתונים, הרשאות ותוצרים. אין צורך לשלוח סיסמאות או מידע רגיש בטופס הפנייה. תוכנית העבודה צריכה להסביר מי מבצע כל פעולה, מה נדרש מצוותי הארגון ואיך תיבחן התוצאה.

תחומים משלימים

• מבדק פישינג לעסקים
• סימולציית פישינג לעובדים
• סקר סיכוני סייבר
• ייעוץ אבטחת מידע

שאלות נפוצות

נגדיר יחד את התהליך המתאים לארגון

עברו אל שירות הערכת הסיכונים לתמונה הרחבה, או צרו קשר לשיחת תיחום.