פער הבעלות המסוכן באבטחת מידע: כשצוות האבטחה אחראי על הכול
תוכן העניינים
הבעיה עם "האבטחת מידע אחראית על האבטחה"
בעלות על אבטחה מרוכזת לעיתים קרובות בצוות האבטחה, גם כאשר ההחלטות שיוצרות את סיכון הסייבר מתקבלות במקום אחר בארגון.
בארגונים רבים, פונקציית האבטחה מגדירה את הבקרות, מזהה סיכונים, מנטרת איומים, מגיבה לאירועים, דוחפת לתיקון ליקויים ומסבירה מה השתבש כאשר משהו נכשל. על הנייר, הארגון אמור לתמוך באבטחה. בפועל, האחריות נשארת לעיתים קרובות מרוכזת אצל ה-CISO וצוות האבטחה.
הבעיה היא שריכוז האחריות הזה אינו משקף את האופן שבו סיכוני סייבר נוצרים בפועל ברחבי הארגון. צוות אבטחת המידע יכול להיות אחראי על תוכנית האבטחה, אבל הוא לא יכול להיות הבעלים של כל החלטה עסקית שיוצרת סיכון סייבר.
Panteli, Nthubu ו-Mersinas מתארים אבטחת סייבר כאחריות קולקטיבית שחוצה בעלי עניין רבים, ולא כבעיה טכנית שצריכה להישאר בידי אנשי מקצוע בתחום הסייבר. המחקר שלהם מדגיש אחריות משותפת, מעורבות הנהלה ושיתוף פעולה ארגוני.
הפער נוצר כאשר ארגונים מסכימים עם העיקרון הזה בתיאוריה, אך ממשיכים לפעול כאילו צוות האבטחה אחראי לכל תוצאה.
אזעקת גלאי העשן אינו גורם לשריפה
לצוות האבטחה יש תפקיד ברור: להגדיר סטנדרטים, לספק מומחיות, להעריך חשיפה, לנטר בקרות, לאתגר החלטות ולעזור לארגון להבין את ההשלכות של סיכונים.
אבל רבות מההחלטות שיוצרות סיכון סייבר מתקבלות במקומות אחרים.
צוות רכש בוחר ספק. צוות מוצר דוחה טיפול בחולשה כדי לעמוד בתאריך השקה. צוות תפעול ממשיך להשתמש במערכת Legacy משום שהחלפתה יקרה מדי. יחידה עסקית מבקשת חריגה משום שבקרת אבטחה יוצרת חיכוך.
אלה החלטות עסקיות שיש להן השלכות בתחום האבטחה.
אם צוות האבטחה מזהה את הסיכון, אך הארגון מחליט להמשיך בכל זאת, הסיכון לא אמור להפוך אוטומטית ל"סיכון של צוות האבטחה".
ההבחנה הזו חשובה משום שאחריות בתחום הסייבר כוללת מעורבות, יכולת פעולה ובעלות בכל רחבי הארגון, ולא רק בתוך פונקציית האבטחה.
המקום האהוב על כולם לזרוק אליו את הסיכון
הרבה פעמים הבעיה מתחילה מאחריות שאינה מוגדרת היטב.
קיימת חולשה, ולכן האבטחה אחראית עליה. לספק יש בקרות חלשות, ולכן האבטחה אחראית. פרויקט לא יכול לעמוד בדרישה, ולכן האבטחה אחראית לחריגה. יחידה עסקית מקבלת חשיפה מסוימת, אבל מצפים מצוות האבטחה להסביר את התוצאה בהמשך.
עם הזמן, ה-CISO הופך לבעל הסיכון כברירת מחדל גם כאשר מקורו בהחלטות עסקיות.
ייתכן שזה מפשט את ההסלמה, אבל זה מחליש את הממשל.
צוות האבטחה צריך להפוך את הסיכון לגלוי, להסביר את ההשפעה, להמליץ על בקרות ולאתגר החלטות חלשות. הוא לא אמור לספוג באופן אוטומטי את האחריות להחלטות שמתקבלות על ידי פונקציות אחרות.
המנהלים הארגוניים עדיין אחראים על ההחלטה
Chatterjee ו-Leslie מציעים גישה ארגונית כוללת למוכנות לסייבר, המבוססת על הרעיון שמוכנות לאבטחת סייבר היא עניין של הארגון כולו. אחת מאבני היסוד שהם מזהים היא הגדרה נכונה של בעלות, אחריות ואחריותיות.
זה לא אומר שכולם אחראים על הכול.
זה אומר שצריך לשייך את הבעלות לרמה הנכונה.
צוות האבטחה אחראי על יכולת האבטחה
צוות האבטחה צריך להיות אחראי על המנגנונים שמאפשרים לארגון לנהל סיכוני סייבר.
זה כולל מסגרות עבודה, מדיניות, סטנדרטים, ניטור, בקרה, מומחיות באיומים והנחיות אבטחה.
הארגון אחראי על החלטות בנוגע לסיכון עסקי
מנהלי הארגון צריכים להיות אחראים להחלטות בנוגע לסדרי עדיפויות, תקציבים, פשרות תפעוליות, בחירת ספקים, לוחות זמנים של מוצרים וקבלת סיכון.
כאשר ההחלטות האלה מגדילות את החשיפה לסייבר, האחריות צריכה להישאר אצל מקבל ההחלטה.
ההנהלה אחראית על מודל הממשל
ההנהלה הבכירה והדירקטוריון צריכים לוודא שהבעלות על סיכונים מוגדרת במפורש, שמסלולי ההסלמה ברורים ושסיכונים שהתקבלו גלויים.
Chatterjee ו-Leslie מציינים שבעבר אבטחת סייבר נתפסה בעיקר כסוגיה טכנית לאנשים טכניים, אך כיום מצופה יותר ויותר מדירקטוריונים ומנהלים בכירים לקחת חלק ישיר בהובלת תוצאות האבטחה.
הם גם מדגישים את תפקידה של ההנהלה הבכירה ביצירת הבנה משותפת של סיכוני סייבר ובהענקת המנדט והמשאבים הנדרשים למומחי האבטחה כדי להגיב בצורה אפקטיבית.
אחריות פורמלית אינה מספיקה
ארגונים יכולים להגדיר אחריות על הנייר ועדיין להיכשל ביצירת אחריות אמיתית בפועל.
מדיניות יכולה לקבוע שבעלי תפקידים עסקיים אחראים לסיכוני סייבר. מטריצת RACI יכולה להקצות בעלות. ועדה יכולה לבחון החלטות סיכון.
אבל אם כל החלטה קשה עדיין נדחפת בחזרה לצוות האבטחה, מודל הממשל לא באמת השתנה.
Gao ו-Calderon מצאו כי פיקוח אפקטיבי של הדירקטוריון ומומחיות בתחום הסייבר קשורים לדיווח איכותי יותר על סיכוני סייבר, בעוד שהאפקט נחלש כאשר הפיקוח הופך לסמלי בלבד.
הם גם מדגישים את הסיכון שבפיקוח שטחי מסוג "סימון וי", כאשר לממשל אין מספיק מומחיות או מעורבות משמעותית.
אותו עיקרון חל גם מתחת לרמת הדירקטוריון.
אחריות חייבת להתקיים בתוך תהליך קבלת ההחלטות עצמו, ולא רק במסמכי הממשל.
קבלת סיכון זקוקה לאחראי אמיתי
אחד המקומות הברורים ביותר שבהם ניתן לראות את פער הבעלות הוא קבלת סיכון.
צוות האבטחה עשוי לזהות שבקרה חסרה או שהחשיפה גבוהה מהרמה הרצויה. אבל אם תיקון הבעיה דורש תקציב, דוחה השקה, משפיע על קשר עם ספק או משנה תהליך עסקי, ההחלטה הסופית שייכת לבעל התפקיד העסקי הרלוונטי.
צוות האבטחה יכול להמליץ, לאתגר או להסלים. אבל אם הארגון בוחר לקבל את הסיכון, קבלת הסיכון צריכה להיות מפורשת וניתנת למעקב.
אחרת, נוצר מצב שבו הארגון מקבל את התועלת מההחלטה, בעוד צוות האבטחה ממשיך לשאת באחריות לתוצאה.
אחריות משותפת דורשת גבולות ברורים
"אבטחה היא האחריות של כולם" הוא מסר שימושי, אבל הוא מעורפל מדי כמודל ממשל.
אחריות משותפת עובדת רק כאשר הגבולות ברורים. עובדים צריכים לדעת מה מצופה מהם. בעלי תפקידים ארגוניים צריכים לדעת אילו סיכונים הם מחזיקים. צוות האבטחה צריך לקבל סמכות לאתגר ולהסלים. מנהלים בכירים צריכים לקבל נראות לגבי קבלת סיכונים מהותיים.
המטרה אינה לפזר אחריות בצורה רחבה כל כך שבסופו של דבר אף אחד אינו באמת אחראי.
המטרה היא למקם את האחריות במקום שבו ההחלטות הרלוונטיות מתקבלות בפועל.
סיכום: צוות האבטחה לא אמור להיות הבעלים של כל סיכון
צוות האבטחה צריך להיות אחראי על תוכנית האבטחה, על המומחיות שעומדת מאחוריה ועל המנגנונים המשמשים לזיהוי ולניהול של סיכוני סייבר.
זה לא אומר שהוא צריך להיות הבעלים של כל סיכון סייבר בארגון.
המחקר מדגיש את חשיבותו של מודל רחב שבו אבטחת סייבר תלויה בהשתתפות של פונקציות עסקיות, הנהלה ומנגנוני ממשל, ולא נשארת רק באחריותם של מומחי הסייבר.
מכאן שתפקיד ה-CISO הוא להפוך את הסיכון לגלוי ולעזור לארגון לנהל אותו.
באופן זה, הארגון אמור להישאר אחראי להחלטות שיוצרות את הסיכון או מקבלות אותו
לקריאה נוספת
פוסט זה מבוסס על תובנות וניתוחים מן המקורות הבאים:
- Chatterjee, Dave, and Anne Leslie. "Ignorance is not bliss: A human-centered whole-of-enterprise approach to cybersecurity preparedness." Business Horizons (2024).
https://doi.org/10.1016/j.bushor.2024.10.009
- Gao, Lei, and Thomas G. Calderon. "Cybersecurity risk governance and companies’ cybersecurity risk disclosures in their 10-K filings." Journal of Accounting and Public Policy 54 (2025): 107376.
https://doi.org/10.1016/j.jaccpubpol.2025.107376
- Panteli, Niki, Boineelo R. Nthubu, and Konstantinos Mersinas. "Being responsible in cybersecurity: A multi-layered perspective." Information Systems Frontiers 28.1 (2026): 209-227.
שאלות נפוצות
לא. צוות האבטחה צריך לזהות, להעריך, לנטר ולתקשר סיכוני סייבר, אך סיכונים רבים נוצרים כתוצאה מהחלטות עסקיות הקשורות לספקים, מוצרים, מערכות, תקציבים או סדרי עדיפויות תפעוליים. האחריות להחלטות אלה צריכה להישאר אצל בעל התפקיד הארגוני הרלוונטי.
אחריות אבטחה מתייחסת לפעילויות כמו הגדרת בקרות, מתן מומחיות, ניטור חשיפה ותמיכה בתיקון ליקויים. בעלות על סיכון מתייחסת לסמכות ולאחריות הנוגעת להחלטות קונקרטיות, כמו כיצד לטפל בסיכון עסקי מסוים או האם לקבל אותו.
סיכון סייבר אמור לרוב להתקבל על ידי בעל תפקיד ארגוני או מנהל בעל סמכות מספקת על התהליך, המערכת, המוצר או היעד העסקי הרלוונטי. צוות האבטחה צריך לספק את הניתוח הדרוש וכל מידע חיוני קיים לתמיכה בהחלטה.
ה-CISO צריך להוביל את תוכנית האבטחה, להגדיר דרישות אבטחה, לספק מומחיות, לאתגר החלטות מסוכנות ולהיות בשליטה בכל מצב של חשיפות מהותיות. עם זאת, ה-CISO לא אמור להפוך באופן אוטומטי לבעלים של כל סיכון עסקי שיש לו רכיב של אבטחת סייבר.
אחריות משותפת עלולה להפוך למעורפלת כאשר ארגונים אינם מגדירים מי בדיוק אחראי על החלטות, מי רשאי לקבל סיכון ומי אחראי לתיקון ליקויים. ללא גבולות אחריות ברורים, המסר המתקבל הוא "אבטחה היא האחריות של כולם", מה שעלול לגרום לכך שהאחריות בפועל תחזור שוב לצוות האבטחה.
ארגונים יכולים להגדיר בעלי סיכון ברורים, לקבוע רמות אישור לקבלת סיכונים, לתעד חריגות אבטחה, לערב מנהלים ארגוניים בהחלטות סייבר ולוודא שתהליכי הממשל משקפים מי מחזיק בפועל בסמכות קבלת ההחלטות.
