טווח השליטה הבלתי ריאלי שמולו ניצבים CISOs מודרניים
תוכן העניינים
לפני עשרים שנה, CISO ניהל חומות אש, אנטי-וירוס ובקרת גישה. שלושה תחומים נפרדים עם גבולות ברורים ותוצאות מדידות.
היום? התפקיד התרחב למשהו שונה באופן מהותי, ובלתי בר קיימא באופן מהותי.
היקום המתרחב של אחריות ה-CISO
מ-CISOs מודרניים מצפים לשמור על מומחיות ופיקוח על פני עשרה תחומים נפרדים לפחות:
- מסגרות ממשל – NIST, ISO 27001, CIS Controls, וכל מסגרת שהרגולטור בתעשייה שלך מעדיף
- ניהול סיכונים – הערכת סיכונים ארגונית, מידול איומים, התאמת תיאבון לסיכונים לאסטרטגיה עסקית
- ניהול זהויות וגישה – ארכיטקטורת Zero Trust, גישה מיוחסת, ניהול זהויות ברחבי הענן והמערכות המקומיות
- פיקוח תאימות – SOC 2, PCI-DSS, HIPAA, GDPR, CCPA, ומרק האלפבית ההולך וגדל של התקנות
- פעולות אבטחה – ניהול SOC, כוונון SIEM, סיווג התרעות, ציד איומים, תגובה לאירועים
- אבטחת ענן – ניהול מצב רב-ענני, אבטחת קונטיינרים, ארכיטקטורות serverless, בקרות מולדות ענן
- אבטחת AI/ML – אבטחת מודלים, ניהול נתונים ללמידת מכונה, הערכת סיכוני AI, מניעת הזרקת פרומפטים
- תגובה לאירועים – פיתוח ספרי נהלים, תרגילי שולחן, תיאום תגובה לפריצות, תקשורת משברים
- סיכוני שרשרת אספקה – הערכת ספקים צד שלישי, אבטחת שרשרת אספקת תוכנה, סיכוני צד רביעי
- המשכיות עסקית – תכנון התאוששות מאסון, בדיקת חוסן, אימות גיבויים, ניהול משברים
כל אחד מהתחומים הללו מורכב מספיק כדי להצדיק תפקיד בכיר במשרה מלאה. ובכל זאת, מ-CISOs מצפים לשמור על פיקוח אסטרטגי על כולם בו-זמנית, תוך כדי:
דיווח לדירקטוריון רבעוני
ניהול תקציבי אבטחה (בדרך כלל 5 מיליון דולר – 50 מיליון דולר ומעלה)
הובלת צוותי אבטחה (10-100+ אנשים)
מענה לבקשות אד-הוק של הנהלה
הישארות מעודכנת באיומים מתפתחים
הערכת טכנולוגיות אבטחה חדשות
בניית קשרים עם יחידות עסקיות
ניהול יחסי ספקים
טיפול באירועי אבטחה בזמן אמת
אף מנהל C-level אחר אינו מתמודד עם טווח אחריות כזה. סמנכ"לי כספים לא מנהלים באופן אישי את השכר, חשבונות חייבים, חשבונות זכאים, FP&A, אוצר ומסים. יש להם צוותים מיוחדים עם בעלות ברורה לכל פונקציה פיננסית.
אבל אבטחת סייבר? מ-CISO מצפים להיות המומחה האוניברסלי.
מדוע מבנה זה נכשל
טווח שליטה לא מציאותי זה יוצר שלוש בעיות קריטיות:
1. צווארי בקבוק בהחלטות
כאשר כל דבר דורש אישור או פיקוח של ה-CISO, מהירות ההחלטות קורסת. האבטחה הופכת לצוואר הבקבוק המאט יוזמות עסקיות. העברות ענן ממתינות לאישור ה-CISO. ספקים חדשים לא יכולים להיקלט עד שה-CISO יבדוק את מצב האבטחה שלהם. יחידות עסקיות מתחילות לעקוף את האבטחה מכיוון שלקבל תשובה לוקח יותר מדי זמן.
2. איזון בין אסטרטגיה לבין תפעול
מ-CISOs צריכים להקדיש 70% מזמנם ליוזמות אסטרטגיות: בניית תרבות אבטחה, התאמה ליעדים עסקיים, פיתוח מפות דרכים לטווח ארוך, תקשורת סיכונים למנהלים ולדירקטוריונים.
מציאות? רוב ה-CISOs מקדישים 70% מזמנם לכיבוי שריפות תפעולי: סיווג התרעות, תגובה לאירועים, מעקב אחר ראיות תאימות, סקירת שאלוני ספקים.
הדחוף דוחק תמיד את החשוב.
3. שחיקה ותחלופה
תקופת הכהונה הממוצעת של CISO היא 18-24 חודשים בלבד. לא בגלל ש-CISOs נכשלים, אלא בגלל שהתפקיד, במבנהו הנוכחי, אינו בר קיימא.
73% ממנהיגי האבטחה מדווחים על חווית שחיקה. כשאתה אחראי על הכל אבל מוסמך לשלוט במעט מאוד, תשישות היא בלתי נמנעת.
הבעיה הבסיסית: חוסר מבנה
הבעיה אינה ביכולות ה-CISO. הבעיה היא שאבטחת סייבר מעולם לא תוכננה להתרחב בדרך זו.
ככל שהאיומים התרבו והתקנות התרחבו, ארגונים המשיכו להוסיף אחריות לתפקיד ה-CISO מבלי להוסיף מבנה לניהול מורכבות זו.
זה כמו לבנות גורד שחקים בן 50 קומות על יסודות המיועדים לבניין בן שלוש קומות. בסופו של דבר, המשקל הופך לבלתי ניתן לתמיכה.
מה פונקציות אחרות עושות אחרת
כספים לא מנוהלים בגיליונות אלקטרוניים על ידי סמנכ"ל הכספים. הם מנוהלים על ידי מערכות לתכנון משאבי ארגון (ERP) שאוכפות תהליכים, מבטיחות בקרות, ומספקות נראות בזמן אמת.
תפעול לא סומך על מנהל התפעול שיזכור לבדוק כל מדד ייצור. הוא מנוהל על ידי פלטפורמות ניהול תפעול המנטרות ביצועים, מסמנות חריגות ומפעילות תהליכי עבודה אוטומטית.
מכירות לא תלויות בסמנכ"ל מכירות שעוקב ידנית אחר כל עסקה. הן מנוהלות על ידי מערכות CRM שמבנות את תהליך המכירה, אוכפות שלבים ומדווחות על בריאות צינור המכירות בזמן אמת.
אבל אבטחת סייבר? רוב תוכניות האבטחה עדיין פועלות על טלאים של כלים נקודתיים, גיליונות אלקטרוניים, וידע שבטי. אין מערכת הפעלה בסיסית לאכיפת תהליכים, תזמור כלים ומתן נראות מאוחדת.
הדרך קדימה: אבטחה אסטרטגית
מ-CISOs צריכים להפוך ממומחים אוניברסליים לאדריכלים אסטרטגיים. אך טרנספורמציה זו דורשת שינוי מבני, לא רק טריקים של פרודוקטיביות אישית.
אבטחה אסטרטגית דורשת שלושה שינויים יסודיים:
- מבנה – אכיפת תהליכים אוטומטית כך שתהליכי עבודה של אבטחה יתבצעו באופן עקבי ללא התערבות ידנית
- ממשל – דרישות מסגרת מתורגמות לתהליכי עבודה ניתנים לביצוע במקום תרגילי תיעוד
- סיכון בזמן אמת – כימות סיכונים מתמשך בשפה עסקית כך שדירקטוריונים יבינו את החשיפה ללא צורך בתרגום CISO
זה מה שמערכת הפעלה סייבר מספקת: השכבה הבסיסית שהופכת את תוכניות האבטחה לניתנות לניהול בפועל.
עם מבנה נכון, CISOs יכולים להאציל ביצוע תפעולי לצוותיהם תוך שמירה על פיקוח אסטרטגי. תהליכי אבטחה פועלים אוטומטית. ממשל מתרחש באמצעות ביצוע, לא באמצעות תיעוד נפרד. הסיכון מתעדכן ברציפות במונחים עסקיים.
התפקיד לא הופך קל יותר. אבל הוא הופך בר קיימא.
השאלה ל-CISOs
שאלו את עצמכם: כמה אחוזים מזמנכם אתם מקדישים ליוזמות אסטרטגיות לעומת כיבוי שריפות תפעולי?
אם התשובה היא פחות מ-50% אסטרטגי, אתם לא בתפקיד הלא נכון. אתם פועלים ללא המבנה הנכון.
כל פונקציה עסקית אחרת התפתחה מעבר לניהול מורכבות באמצעות מאמץ אינדיבידואלי הירואי. הגיע הזמן שאבטחת סייבר תעשה את אותו הדבר.
רוצים לראות איך נראית טרנספורמציה זו בפועל? הורידו את העבודה הלבנה שלנו: מדוע אבטחת סייבר זקוקה למערכת הפעלה