בואו נתכנן את הצעד הבא באבטחת הארגון
השאירו פרטים לשיחה
ייעוץ אבטחת מידע ורגולציה / יועץ אבטחת מידע – תפקיד והיקף
יועץ אבטחת מידע מסייע לארגון להבין סיכונים, להגדיר בקרות ולתרגם דרישות לתוכנית עבודה. היקף התפקיד יכול להיות ממוקד בפרויקט או לכלול ליווי מתמשך. ייעוץ מוצלח מחבר בין החלטות הנהלה לבין פעולות צוותי IT, פיתוח ותפעול. חשוב להגדיר סמכות, אחריות ודרך למדוד התקדמות כבר בתחילת ההתקשרות.
מה עושה יועץ אבטחת מידע?
היועץ יכול למפות מצב קיים, להעריך סיכונים, לבחון פערים ולהמליץ על סדרי עדיפות. הוא עשוי לסייע בכתיבת מדיניות, בתכנון בקרות ובהכנה לביקורת, בהתאם להסכם. העבודה כוללת שיחה עם בעלי תהליכים ולא רק סקירה טכנית. למשל, החלטה על הרשאות דורשת להבין מי צריך מידע, מי מאשר גישה ואיך מסירים אותה. אין להניח שיועץ מפעיל אוטומטית את כל מערכות האבטחה. התפקיד צריך להגדיר מה הוא בוחן, מה הוא מבצע ומתי נדרש אישור הארגון.
יועץ, מנהל אבטחת מידע ו־vCISO
יועץ חיצוני יכול לחזק צוות קיים או לספק מומחיות זמנית. מנהל אבטחת מידע נושא באחריות שנקבעת במבנה הארגוני ובסמכויות שלו. שירות vCISO יכול לספק רכיבים של ניהול אבטחה בהיקף מוסכם, אך הכותרת לבדה אינה מגדירה סמכות או זמינות. מבררים מי מציג סיכונים, מי מאשר מדיניות, מי מקבל סיכון ומי מנהל אירוע. האחריות העסקית אינה נעלמת כשנעזרים בספק. הגדרה ברורה מונעת מצב שבו כולם מניחים שמישהו אחר מטפל בהחלטה מהותית.
פרויקט ממוקד או ליווי מתמשך
פרויקט מתאים לשאלה מוגדרת, כגון מוכנות לביקורת או בחירת בקרת גישה. ליווי תקופתי מאפשר מעקב אחר טיפול, שינויים וספקים. לפני הבחירה ממפים יכולות פנימיות ופערים. מגדירים פגישות, זמינות, תגובה לפניות ותוצרים, ולא רק מכסת שעות. גם שירות מצומצם צריך לכלול דרך להסלים סיכון דחוף. שינוי בפעילות עשוי לחייב התאמה של ההסכם וחלוקת האחריות.
עבודה עם הצוותים
ההנהלה צריכה להבין משמעות עסקית וחלופות; הצוות המיישם צריך להבין פעולה, תלות וקריטריון הצלחה. המלצה לצמצום הרשאות צריכה להתחבר לבקשה, לאישור, לחריגים ולסקירה תקופתית. קובעים אחראי בכל צוות ומנהלים החלטות. מחלוקת על עדיפות נפתרת באמצעות הסבר הסיכון והמשאבים. תכנון משותף מאפשר לבנות בקרה שאפשר להפעיל לאורך זמן.
תוצרים ומדדי הצלחה
התוצרים יכולים לכלול מפת סיכונים, תוכנית עבודה, מדיניות ודוח הנהלה. לכל תוצר מגדירים משתמש ואישור. מדידה מתייחסת לסיכונים שטופלו, למשימות שבוצעו ולאיכות האימות. מספר פגישות אינו מוכיח שיפור. מבחינים בין המלצה שהתקבלה, שינוי שהוטמע ובקרה שנבדקה. כך רואים גם עיכובים ותלות ומעדכנים את התוכנית כשמתגלה מידע חדש.
תחילת עבודה והעברת ידע
מכינים תיאור פעילות, מערכות מרכזיות, דרישות לקוחות וממצאים קודמים. מסדירים גישה וערוצי העברה רק לפי צורך. ההצעה צריכה לכלול מטרה, גבולות והנחות. בסיום קובעים איפה נשמרים תוצרים, מי מעדכן אותם ואילו הרשאות יבוטלו. תחזוקת ידע חשובה כשהאחראי מתחלף או כשהארגון מוסיף שירות.
מה להכין לשיחת תיחום?
כדאי להכין תיאור של השירותים והמערכות המרכזיות, אנשי קשר, דרישות לקוחות ומועדי יעד. מסמכים וממצאים קודמים יכולים לסייע, אך אין צורך לשלוח סיסמאות, מידע לקוחות או פרטי מערכת רגישים בפנייה הראשונית. לאחר הגדרת ההיקף מסכימים על ערוצי העברה והרשאות לפי צורך. חשוב לזהות מי מאשר החלטות ומי מסוגל לבצע שינויים, כדי שתוכנית העבודה תתאים לזמינות ולמשאבים של הארגון.
מהתוצר לתוכנית שאפשר לתחזק
לכל פעולה מגדירים אחראי, תלות, מועד ותנאי סגירה. מבחינים בין מסמך שנכתב לבין שינוי שהוטמע ונבדק. אם אי אפשר להשלים פעולה בזמן, מתעדים את הסיבה ואת ההחלטה לגבי הסיכון שנותר. בישיבות מעקב בוחנים גם שינוי בפעילות, ולא רק אחוז השלמת משימות. בסיום הליווי מסדירים מקום לשמירת התוצרים, העברת ידע והמשך עדכון. המטרה היא שהארגון יוכל להשתמש בהחלטות גם לאחר סיום הפרויקט.
תחומים משלימים
שאלות נפוצות
האם יועץ מחליף את צוות IT?
בדרך כלל לא. מגדירים במפורש אחריות לייעוץ, יישום ותפעול.
אפשר לקבל ליווי לפי שעות?
כן, ורצוי לקשור את הזמן למטרות, לתוצרים ולעדיפות.
מה חשוב בהסכם?
היקף, סמכות, זמינות, תוצרים, סודיות, גישה, הסלמה ומסירה.
מי מקבל החלטה על סיכון?
הגורם המוסמך בארגון, על בסיס הערכה והמלצה מקצועית.
מתי מתאים vCISO?
כאשר נדרשים רכיבים של ניהול אבטחה מתמשך במסגרת חיצונית עם אחריות מוגדרת.
איך בוחנים הצלחה?
בודקים אם החלטות הפכו לבקרות מיושמות ומאומתות ואם הידע הועבר לצוות.
נגדיר יחד תוכנית שמתאימה לארגון
לתמונה הרחבה עברו אל ייעוץ אבטחת מידע של ExploiX. צרו קשר לשיחת תיחום עם תיאור קצר של המטרה והפעילות.