קבלת החלטות בתנאי אי־ודאות: איך מנהלי אבטחת מידע פועלים בהיעדר תמונה מלאה
תוכן העניינים
ערפל הוא חלק מהתחזית
קבלת החלטות בתנאי אי-ודאות אינה מצב חריג בעולם הסייבר; זו הסביבה שבה מתקבלות רוב החלטות האבטחה המשמעותיות באמת. CISO שמחליט אם להאיץ השקעה מסוימת לא יכול לדעת בדיוק איזה איום יתממש בהמשך, דירקטוריון שבוחן חשיפה למתקפת כופרה לא יכול לדעת איך כל אחד מהבקרות יתפקד תחת לחץ אמיתי, ומנהל שבוחן ספק קריטי כמעט אף פעם לא מחזיק בתמונה מלאה של כל מה שעלול להשתבש.
הקושי לא מסתכם בכך שחסר מידע. חלק מהמידע שמנהלים היו רוצים לקבל פשוט לא ניתן למדידה ברמת הדיוק הרצויה, בעוד שהנחות אחרות עלולות להפוך ללא רלוונטיות עוד לפני שניתן יהיה לדעת אם ההחלטה הייתה נכונה. מחקרים עדכניים מצביעים לכן על מטרה שימושית יותר: לא לנסות להעלים את אי-הוודאות, אלא להבין איפה היא נמצאת בתוך ההחלטה ולוודא שהיא אינה מוסתרת מאחורי לוחות מחוונים, ציוני סיכון או מספרים שנראים ודאיים יותר מהראיות שעליהן הם מבוססים.
כלל 1: להפסיק לחכות לתמונה המלאה
מחקר משנת 2026 בחן קבלת החלטות בתחום הסייבר ברמות האסטרטגית, הטקטית והתפעולית, בהתבסס על ראיונות עם 36 אנשי מקצוע משישה ארגונים, ובהם מנהלים בכירים, חברי דירקטוריון, מומחי ממשל וצוותי אבטחה תפעוליים. החוקרים מתארים החלטות בתחום הסייבר כתוצאה של שילוב בין אי-ודאות, לחץ זמן, פערי מידע, מגבלות טכנולוגיות, סדרי עדיפויות ארגוניים ושיקול דעת אנושי, שפועלים כולם במקביל.
מה שהופך את הממצא הזה למשמעותי במיוחד הוא שהמחקר זיהה 23 גורמים שונים המשפיעים על קבלת החלטות אפקטיבית, החל ממשאבים, רגולציה ומבנה ארגוני ועד לפרופיל הסיכון, ניסיון, ביטחון, עבודת צוות, הטיות ומצב האבטחה הארגוני. יותר ממחצית מהגורמים הללו פעלו בכמה רמות ארגוניות במקביל, ולא השתייכו באופן ברור לצוות מסוים או למקבל החלטות אחד.
המשמעות היא שהחלטת אבטחה כמעט אף פעם אינה רק תגובה טכנית לבעיה טכנית. אותו איום עשוי להוביל להחלטות שונות מאוד בהתאם לתיאבון הסיכון של הארגון, לבשלות תוכנית האבטחה שלו, לניסיון של האנשים המעורבים, למשאבים הזמינים ולהשלכות שהעסק מוכן לקבל. לכן, השאלה האמיתית אינה רק אם לארגון יש מספיק מידע, אלא אם המנהלים מבינים אילו גורמים מעצבים את שיקול הדעת שעליו הם עומדים לבסס את החלטתם.
יותר מידע לא מבטל את הצורך בשיקול דעת
קל לדמיין שטלמטריה טובה יותר, יותר לוחות מחוונים או מודל סיכונים מתוחכם יותר יהפכו בסופו של דבר את הסייבר לבעיית אופטימיזציה נקייה: הארגון יזהה את האיום, יחשב את ההסתברות, ימדוד את ההשפעה ויבחר בבקרה הטובה ביותר. בפועל, כל אחד מהשלבים הללו עדיין תלוי בפרשנות, ודווקא במקום שבו נדרשת פרשנות נכנסת אי-הוודאות.
אותו מחקר מ-2026 מצא שאנשי מקצוע נשענים לא רק על מידע פורמלי, אלא גם על ניסיון, מודעות, ביטחון, דינמיקה צוותית והבנת סביבת האיומים הרחבה יותר. במילים אחרות, לנתונים יש חשיבות עצומה, אבל הם אינם מגיעים עם ההחלטה הנכונה כבר מצורפת אליהם.
כלל 2: לא להתבלבל בין דיוק לוודאות
מחקר משנת 2025 בחן ניהול סיכוני סייבר בחמישה ארגונים בשווי של מיליארדי דולרים, באמצעות 27 ראיונות עומק עם אנשי סייבר, מנהלים בכירים, חברי דירקטוריון, מנהלי סיכונים ומבקרים פנימיים. החוקרים ציפו למצוא לפחות בחלק מהארגונים מודלים כמותיים בשלים לניהול סיכונים, אך בפועל גילו שגם גישות שנראות כמותיות נשענות במידה רבה על שיקול דעת איכותני.
החוקרים מתארים זאת כ"מעטפת כמותית" – מצב שבו מספרים יוצרים מראית עין של מדידה מדויקת ומחמירה, אף שההנחות העומדות בבסיסם נותרות סובייקטיביות. ארגונים עשויים להציג ציוני סיכון, סולמות הסתברות, מדדים טכניים או אומדנים פיננסיים, אבל הדרך מהמידע הגולמי אל המספר הסופי לרוב הרבה פחות מדויקת מכפי שהתוצאה עצמה גורמת לה להיראות.
המתח הזה בולט במיוחד כאשר ארגונים מנסים להעריך הסתברות והשלכות. היקף הנתונים ההיסטוריים בתחום הסייבר מוגבל, טכניקות תקיפה משתנות במהירות, וגם כאשר קיימים אירועים דומים להשוואה, הרלוונטיות שלהם עלולה להישחק ככל שארכיטקטורות, בקרות ותלויות עסקיות משתנות. המחקר גם מראה שהשלכות של אירוע סייבר עשויות לכלול השבתה, אובדן לקוחות, פגיעה במוניטין, חשיפה משפטית, עלויות רגולטוריות, קנסות חוזיים והשפעות נוספות שפועלות זו על זו ולא פשוט מתחברות לסכום אחד ברור.
גם מספר מדויק יכול להיות רק הערכה
הבעיה אינה במספר עצמו. כימות יכול לעזור להנהלה להשוות בין סיכונים, לתעדף השקעות ולתקשר בצורה ברורה יותר, אבל הוא הופך למטעה כאשר דיוק באופן ההצגה נתפס בטעות כוודאות לגבי הידע עצמו.
הערכת הפסד של כמה מיליוני דולרים יכולה להיות שימושית, אך היא עדיין תלויה בהנחות לגבי משך ההשבתה, האפקטיביות של הבקרות הקיימות, המערכות שייפגעו, התנהגות הלקוחות, זמן ההתאוששות והשלכות רגולטוריות. ציון סיכון יכול לארגן את הדיון, אך הוא לא אמור לסיים אותו.
עבור מנהלי אבטחה, השאלה הטובה יותר אינה רק "מה המספר?", אלא "איך המספר הזה נבנה, על אילו הנחות הוא נשען, ועד כמה המסקנה תשתנה אם אחת ההנחות האלה תשתנה?"
כלל 3: גם נתונים זקוקים לבן אדם בחדר
אותו מחקר מציג מושג שימושי להבנת מה שארגונים עושים בפועל: qualculation – חישוב איכותני – שילוב בין ניתוח כמותי לבין שיקול דעת איכותני. במקום להתייחס למספרים ולשיקול דעת מקצועי כאל שתי גישות מתחרות, החוקרים טוענים שניהול סיכוני סייבר דורש לעיתים קרובות את שניהם, משום שכימות מושלם כמעט אף פעם אינו אפשרי.
הדבר חשוב במיוחד ברמת ההנהלה, שבה ההחלטה כמעט אף פעם אינה מסתכמת במדד טכני יחיד. ל-CISO יכולים להיות נתוני פגיעויות, שיעורי תיקון, ציוני בשלות של בקרות, מודיעין איומים, נתוני אירועים היסטוריים ומידע פיננסי, אך ההנהלה עדיין צריכה להחליט מה כל האותות האלה אומרים ביחס לסדרי העדיפויות הנוכחיים של הארגון.
שיקול דעת מקצועי ממלא את הפער שבין הראיות לבין הפעולה, אבל אסור לו להישאר בלתי נראה. אם המלצה נשענת על ניסיון, הנחות או פרשנות מקצועית, ההנהלה צריכה להיות מסוגלת לראות זאת בבירור, במקום לקבל מסקנה שנראית כאילו הופקה באופן מכני.
להפוך את ההיגיון שמאחורי המספר לגלוי
אם CISO מציג לדירקטוריון אומדן לחשיפה לכופרה, הדירקטוריון צריך להבין מעבר למספר סופי. עליו לדעת איזו הסתברות הונחה, אילו בקרות נחשבו אפקטיביות, איזה זמן התאוששות נלקח בחשבון, אילו תהליכים עסקיים הוגדרו קריטיים והאם השפעות עקיפות, כמו נזק למוניטין או השלכות רגולטוריות, נכללו בחישוב.
הדבר אינו הופך את ההחלטה לפחות קפדנית. במקרים רבים הוא דווקא הופך את רמת הקפדנות לגלויה יותר, משום שהוא מבהיר איפה מסתיים הניתוח ואיפה מתחיל שיקול הדעת.
ההחלטות החזקות ביותר אינן אלה שבהן שיקול הדעת נעלם. הן אלה שבהן הוא גלוי מספיק כדי שניתן יהיה לאתגר אותו.
כלל 4: לתת בעיטה בהנחות ולראות מה נשבר
מחקר נוסף משנת 2025 מתמקד ישירות באי-ודאות במודלים לתמיכה בקבלת החלטות בתחום הסייבר. נקודת המוצא שלהם היא שמדדי סייבר, ובמיוחד הערכות לגבי אפקטיביות של בקרות אבטחה, אינם מדויקים מטבעם.
אפילו שאלה פשוטה לכאורה, כמו האם בקרה מסוימת אפקטיבית, יכולה להיות קשה מאוד למענה בביטחון. חומת אש שמעולם לא נפרצה עשויה להיות אפקטיבית מאוד, אבל ייתכן גם שפשוט עדיין לא עמדה מול תקיפה מתוחכמת מספיק. היעדר אירועים אינו מוכיח באופן אוטומטי שהבקרה תפעל באותה רמה מול איום שונה בעתיד.
במקום להניח ערך מדויק אחד לאפקטיביות של בקרה, החוקרים בוחנים כמה תרחישים אפשריים ושואלים כיצד החלטות אבטחה שונות מתפקדות תחת כל אחד מהם. אחת הגישות שהם בוחנים היא minmax regret, שמטרתה לבחור אפשרות שתצמצם ככל האפשר את החרטה הפוטנציאלית של הארגון אם המציאות תתפתח באופן שונה מהצפוי. הם גם מפתחים גישת min-product שנועדה להפחית סיכון באופן עקבי יותר על פני מגוון תרחישים.
המתמטיקה עצמה אינה המסר החשוב ביותר עבור מנהלים. העיקרון השימושי יותר הוא שהחלטת אבטחה לא צריכה להיבחן רק תחת ההנחות שגורמות לה להיראות נכונה.
לשאול מה קורה כשההנחה זזה
השקעת אבטחה מסוימת עשויה להיראות אטרקטיבית כאשר מניחים שהבקרה תהיה אפקטיבית מאוד, שזמן ההתאוששות יהיה קצר ושהתלות בספק ניתנת לניהול. ההחלטה הופכת להרבה יותר מעניינת כאשר מנהלים שואלים מה קורה אם אחת מההנחות האלה משתנה.
האם ההשקעה עדיין תהיה מוצדקת אם הבקרה תספק רק מחצית מרמת ההגנה הצפויה? האם הארגון יתעדף אותה באותו אופן אם זמן ההתאוששות יהיה כפול? האם ספק עדיין ייחשב מקובל אם יתברר בהמשך שכמה תהליכים קריטיים תלויים בו?
המטרה אינה להמציא אינסוף תרחישי קיצון עד שאף החלטה לא תרגיש בטוחה. המטרה היא להבין האם ההחלטה נשארת ניתנת להגנה בכמה גרסאות סבירות של המציאות, ולא רק תחת התחזית היחידה ששימשה להצדקתה.
כלל 5: לתת למנהלים הקשר, לא עוד רעש
המחקר מ-2025 על ניהול סיכוני סייבר זיהה גם פער חוזר בין צוותים טכניים לבין הנהלה בכירה. אנשי אבטחה ו-IT מחזיקים בדרך כלל בידע טכני עמוק יותר, בעוד שמנהלים ודירקטוריונים תלויים בהם כדי לתרגם את משמעות המידע הזה למשהו שיכול לתמוך בהחלטות עסקיות.
הבעיה היא שיותר דיווח לא בהכרח סוגר את הפער הזה. הארגונים שנבדקו במחקר סיפקו להנהלה מידע ממספר פונקציות, תוך שימוש במדדים, מתודולוגיות ורמות פירוט שונות – דבר שעלול להפוך דיווח על סיכוני סייבר למורכב יותר במקום לשימושי יותר. מנהלים ודירקטוריונים התעניינו פעמים רבות דווקא בשאלות צופות פני עתיד: מה משתנה בסביבת האיומים, מה קורה בארגונים דומים, ועד כמה הארגון יהיה מוכן אם אירוע דומה יתרחש אצלו.
הדירקטוריון לא צריך לראות כל פגיעות, כל מדד בקרה או כל חריגה טכנית. הוא צריך מספיק הקשר כדי להבין מה האותות האלה אומרים עבור העסק, היכן נמצאת אי-הוודאות, ומהי ההחלטה שמבקשים ממנו לקבל.
איך CISOteria עושה סדר בבלגן
CISOteria לא מנסה להעלים את אי-הוודאות מהחלטות בתחום הסייבר, משום שניסיון לעשות זאת עלול ליצור בדיוק את תחושת הביטחון המדומה שהבלוג הזה מזהיר מפניה. במקום זאת, היא עוזרת להפוך את המידע שעליו מבוססות ההחלטות למחובר יותר, עדכני יותר וקל יותר לפרשנות.
במקום לדרוש מ-CISO להרכיב תמונה של סיכונים, פגיעויות, תאימות, חשיפה לצדדים שלישיים, התקדמות בתיקונים, אירועים ותוכניות עבודה מתוך מערכות וגיליונות נפרדים, CISOteria מרכזת את כל אלה לתמונה תפעולית אחת. כך קל יותר להבין כיצד ממצאים טכניים מתחברים להשפעה העסקית, מי אחראי לצעד הבא, מה השתנה ואיפה עדיין נותרת חשיפה.
הפלטפורמה גם מסייעת לגשר בין הראיות הטכניות לבין קבלת ההחלטות ברמת ההנהלה. נתונים עדכניים על סיכונים, תאימות, צדדים שלישיים ואירועים יכולים להפוך לדיווח שמוכן להצגה בפני הדירקטוריון, בעוד שסיכונים ופגיעויות מתחברים להקשר העסקי, לסדרי עדיפויות, לתוכניות טיפול, לבעלות ולהתקדמות בתיקון.
כל זה לא מעלים את אי-הוודאות עצמה, אלא נותן למנהלים בסיס טוב יותר להתמודד איתה: תמונה עדכנית יותר של תוכנית הסייבר, קשר ברור יותר בין הראיות לבין ההשפעה העסקית, ופחות תלות בדיווחים מפוצלים שעלולים להיות מיושנים עוד לפני שההחלטה מגיעה לחדר הדירקטוריון.
סיכום: המטרה אינה ודאות
קבלת החלטות בתנאי אי-ודאות אינה סימן לכך שהארגון אינו בוגר מספיק; בתחום הסייבר זו לעיתים קרובות פשוט המציאות שבה יש לקבל החלטות משמעותיות עוד לפני שכל הראיות זמינות. מה שחשוב הוא אם המנהלים יודעים להפריד בין מה שידוע לבין מה שמוערך, לזהות היכן שיקול דעת ממלא את החסר ולהבין עד כמה ההחלטה תלויה בהנחות שעלולות להתברר בהמשך כשגויות.
שלושת המחקרים מצביעים על אותו כיוון מזוויות שונות. החלטות בתחום הסייבר מושפעות מהקשר ארגוני ומשיקול דעת אנושי, ניתוח סיכונים כמותי עלול ליצור אשליה של ודאות גם כאשר ההנחות נותרות סובייקטיביות, והחלטות חזקות יותר הן אלה שנשארות סבירות בכמה תרחישים אפשריים ולא רק בעתיד אחד צפוי.
המטרה אינה לחזות את העתיד באופן מושלם, משום שסייבר כמעט אף פעם לא מעניק את הפריבילגיה הזאת. המטרה היא לקבל החלטה שניתן להסביר, לאתגר ולבחון מחדש כאשר הראיות משתנות, תוך שמירה על בהירות לגבי הסיבה שבגללה אותה החלטה הייתה מוצדקת בהתבסס על המידע שהיה זמין באותו רגע.
לקריאה נוספת
פוסט זה מבוסס על תובנות וניתוחים מן המקורות הבאים:
- Dawson, Niamh, et al. "Informed cybersecurity decisions: A synthesis of expert perspectives." Computers & Security (2026): 104927.
https://doi.org/10.1016/j.cose.2026.104927
- Zhang, Yunxiao, and Pasquale Malacaria. "Dealing with uncertainty in cybersecurity decision support." Computers & Security 148 (2025): 104153.
https://doi.org/10.1016/j.cose.2024.104153
- Slapničar, Sergeja, Micheal Axelsen, and Marc Eulerich. "Cyber risk management: an illusion of a risk-based approach." Journal of Management Control (2025): 1-36.
שאלות נפוצות
קשה לכמת סיכוני סייבר משום שכמות הנתונים ההיסטוריים האמינים מוגבלת, מתקפות וטכנולוגיות משתנות במהירות, וההשלכות הכספיות של אירוע עשויות לכלול כמה השפעות חופפות, החל מהשבתה ועלויות משפטיות ועד לפגיעה במוניטין ועלויות רגולטוריות. כתוצאה מכך, גם הערכות כמותיות נשענות לעיתים קרובות על שיקול דעת מקצועי ועל הנחות סובייקטיביות.
לא בהכרח. יותר מידע יכול לשפר את קבלת ההחלטות, אבל רק כאשר הוא רלוונטי, מובן ומחובר להקשר העסקי. מחקרים מראים שמנהלים יכולים לקבל כמויות גדולות של מידע טכני ממספר פונקציות ועדיין להתקשות להבין מה באמת חשוב, במיוחד כאשר הדוחות משתמשים במתודולוגיות שונות או מתמקדים בבקרות הקיימות במקום בסיכונים מתפתחים ובמוכנות הארגונית.
מנהלים צריכים להתמקד בהבנת ההנחות שמאחורי ההמלצה, במגבלות של הראיות הזמינות ובאופן שבו ההחלטה תתפקד אם ההנחות האלה ישתנו. במקום להסתמך על תוצאה חזויה אחת, החלטות חזקות יותר לוקחות בחשבון מספר תרחישים סבירים, ונותרות מבוססות וניתנות להצדקה גם תחת תנאים משתנים.
ארגונים יכולים להימנע מדיוק מדומה באמצעות הצגה ברורה של ההנחות שמאחורי ציוני סיכון ואומדנים כספיים, שימוש בטווחים או בתרחישים כאשר הדבר מתאים, והסבר של הראיות שעליהן מבוססת המסקנה. מנהלים צריכים להבין לא רק מהו המספר שמוצג להם, אלא גם כיצד הוא נוצר ואיזה מידע חדש עשוי לשנות אותו באופן מהותי.
