סמכויות קבלת החלטות: מי מכריע במשבר סייבר?
תוכן העניינים
יותר מדי ידיים, ואף אחד לא מחזיק בהגה: למה החלטות מתעכבות בזמן משבר סייבר?
סמכויות קבלת החלטות של ההנהלה (Executive Decision Rights) מגדירות מי מוסמך לאשר פעולות בעלות השלכות עסקיות משמעותיות במהלך משבר סייבר, ובהן קבלת סיכון, השבתת פעילות ודיווח לגורמים חיצוניים.
כל עוד הכול עובד, הגדרת סמכויות קבלת ההחלטות כמעט אף פעם אינה נראית דחופה. יש זמן להתייעץ עם עוד מנהל, לבקש חוות דעת מהמחלקה המשפטית, לדחות שאלה לא נוחה לישיבת הוועדה הבאה או להשאיר תחום אחריות לא מוגדר – כל עוד המחיר אינו מורגש.
ואז מתחיל האירוע.
צוות אבטחת המידע מעריך שלתוקף עדיין עשויה להיות גישה לסביבה קריטית וממליץ לבודד כמה מערכות. אנשי התפעול מזהירים שהמהלך עלול לפגוע בשירות מרכזי. המחלקה המשפטית עדיין אינה יכולה לקבוע אם האירוע מחייב דיווח. אנשי הדוברות והתקשורת רוצים לדעת מה אפשר לומר לציבור, וההנהלה ממתינה לתמונה ברורה יותר לפני שתאשר פעולה בלתי הפיכה.
יש בארגון מי שאחראי לכל היבט של הבעיה, אבל לא ברור מי מוסמך לקבל את ההחלטה.
מחקרים עדכניים על מוכנות למשברי סייבר מצביעים על סוג כזה של עמימות באחריות כחולשה ממשית. Björck ועמיתיו מצאו שאחריות שאינה מוגדרת היטב עלולה להגביר חוסר יעילות במהלך משברי סייבר, בעוד שמוכנות חזקה יותר תלויה בתפקידים ברורים, תיאום חוצה-ארגון, מעורבות הנהלה והפנמה של תחומי האחריות עוד לפני שהלחץ מתחיל.
אבל גם כשברור מי משתתף בניהול המשבר, נותרת שאלה קשה יותר:
מי מחליט בפועל?
מתי החלטות סייבר הופכות להחלטות עסקיות?
בפעולות טכניות רבות כבר ברור מי מוסמך לפעול. צוותי אבטחת מידע יכולים לבודד תחנות קצה, לחסום פעילות זדונית, לבטל פרטי הזדהות או להפעיל נהלי תגובה לאירועים במסגרת הסמכות שניתנה להם.
ההחלטות מסתבכות כאשר לפעולת האבטחה יש השלכות על תחומים אחרים בארגון.
השבתה עשויה לבלום תוקף, אך גם לפגוע בהכנסות. דחיית ההשבתה עשויה לשמור על זמינות השירות, אך לאפשר לפגיעה להתרחב. דיווח מוקדם עשוי לשמר אמון, אך להתבסס על מידע חלקי. המתנה עשויה למנוע בהלה מיותרת, אך גם לאפשר לגורם חיצוני לקבוע מתי האירוע ייחשף לציבור.
המסגרת לפיקוח על סייבר שהציעו הראל וכרמלי ב־2025 מבחינה בין ניהול תפעולי לבין פיקוח על קבלת החלטות אסטרטגיות. החוקרים טוענים שדירקטוריונים צריכים להתמקד בנושאים כגון מה קריטי לתפקוד הארגון, סבילות לסיכון, השלכות אסטרטגיות, הקצאת משאבים ואחריותיות, בעוד שהביצוע התפעולי נותר בידי ההנהלה והצוותים הטכניים.
בזמן משבר ההבחנה הזאת חשובה במיוחד, משום שכמה בעלי תפקידים, שלכל אחד מהם סמכות בתחומו, נדרשים להתמודד עם אותה החלטה.
ה־CISO מבין את סיכון הסייבר, סמנכ״ל התפעול (COO) מבין את ההשלכות התפעוליות, המחלקה המשפטית בוחנת את החשיפה הרגולטורית, אנשי הדוברות והתקשורת מביאים בחשבון את תגובות בעלי העניין, וההנהלה הבכירה רואה את התמונה העסקית הרחבה.
לכולם צריכה להיות השפעה על ההחלטה.
אבל לא כולם צריכים להיות מוסמכים להכריע בה.
שלוש החלטות במשבר סייבר שמחייבות סמכות ברורה
קבלת סיכון: מי מוסמך לומר ״נחיה עם זה״?
ה־CISO יכול לקבוע שמערכת אינה בטוחה, להסביר מה עדיין לא ידוע, להעריך את החשיפה האפשרית ולהמליץ על בלימת האיום. מכאן לא נובע שהוא גם צריך לקבל בשם הארגון את הסיכון העסקי הכרוך בהחלטה.
קבלת סיכון היא החלטה עסקית משום שהשלכותיה חורגות מתחום הסייבר.
הראל וכרמלי טוענים שארגונים צריכים לקבוע מראש מהי רמת הפגיעה בתפקוד שהם מוכנים לשאת ולהגדיר את החשיבות היחסית של נכסים קריטיים, עוד לפני שמתרחשת פריצה. הדיונים האלה צריכים להתקיים כחלק משגרת הממשל הארגוני, משום שהם מגדירים את הגבולות שיאפשרו לקבל החלטות במהירות בזמן משבר.
אם ה־CISO ממליץ להמשיך בפעילות למרות חשיפה ידועה, כבר צריך להיות ברור מי מוסמך לקבל את הסיכון הזה.
השבתת פעילות: מי מוסמך להוריד את השאלטר?
החלטות על השבתה מציבות את הדילמה ההפוכה. צוות אבטחת המידע עשוי לראות בבידוד המערכות צעד הכרחי, בעוד שאנשי התפעול סבורים שההשבתה עצמה היא האיום המיידי החמור יותר.
הראל וכרמלי מביאים את המקרה של Colonial Pipeline כדוגמה למתח הזה. החברה השביתה את רשת צינורות הדלק שלה כאמצעי זהירות, אף שמערכות הטכנולוגיה התפעולית (OT) עצמן לא נדבקו. בכך היא קיבלה על עצמה השלכות תפעוליות משמעותיות כדי לצמצם אי־ודאות ואת הסיכון לנזק נוסף. המסגרת שמציעים החוקרים מתייחסת במפורש להשבתות ולתעדוף שירותים כסוגיות אסטרטגיות בזמן מתקפה.
השבתה אינה בהכרח ההחלטה הנכונה בכל מקרה. אבל את השאלה מי מוסמך לאשר אותה צריך להסדיר לפני שההמלצה מגיעה לשולחן.
דיווח על האירוע: מי מאשר מה יוצא החוצה?
גם ההחלטה על דיווח מחייבת לשלב בין תחומי מומחיות שונים. צוות אבטחת המידע מכיר את הממצאים, המחלקה המשפטית מפרשת את החובות הרגולטוריות, אנשי הדוברות והתקשורת בוחנים את ההשפעה הציבורית, וההנהלה מביאה בחשבון את ההשלכות העסקיות. כאשר האירוע מקבל משמעות אסטרטגית, ייתכן שגם הדירקטוריון יצטרך להיות מעודכן.
הראל וכרמלי עוסקים במפורש בשאלות כגון האם לדווח על האירוע באופן יזום, איזה מידע למסור ללקוחות, למשקיעים ולרגולטורים, ובאיזו מהירות לעשות זאת.
כל השיקולים האלה צריכים להישמע, ובסיום הדיון צריך להיות ברור מי מוסמך להכריע.
ועדת משבר שבה כולם יכולים לייעץ, אך איש אינו מוסמך בה לקבל החלטה סופית, עדיין תתקשה לפעול בזמן.
כשמטריצת RACI משאירה את סמכות ההכרעה פתוחה
ארגונים מתמודדים לעיתים עם עמימות בחלוקת האחריות באמצעות תיעוד מפורט יותר של התפקידים.
זה מועיל, אבל לא מספיק.
Björck ועמיתיו מבחינים בין היערכות (preparedness) לבין מוכנות (readiness). היערכות כוללת תוכניות, נהלים, סימולציות ופרוטוקולים להסלמה, בעוד שמוכנות כוללת את המנהיגות, דפוסי ההתנהגות, האמון, התקשורת ויכולת ההסתגלות הנדרשים כאשר המצב כבר אינו תואם את התרחיש המתוכנן.
ממצאיהם מראים שגם ארגון בעל תוכניות ונהלים מתועדים היטב אינו בהכרח מוכן לפעול בזמן אמת.
מטריצת RACI יכולה להבהיר לכל המשתתפים מה תפקידם, ועדיין להשאיר פתוחה את השאלה מי מוסמך להכריע כאשר הם חלוקים בדעותיהם. גישה מועילה יותר מתחילה בהחלטות שצריך לקבל.
מי מוסמך לקבל סיכון שיורי שחורג מרמת הסבילות הרגילה של הארגון? מי מוסמך להשבית שירות עסקי קריטי? מי רשאי לאשר הוצאה דחופה? מי מאשר דיווח לגורמים חיצוניים? אילו החלטות מועברות למנכ״ל, ואילו מחייבות מעורבות של הדירקטוריון?
לאחר שמגדירים את ההחלטות האלה, אפשר לקבוע במפורש מי מוסמך לקבל כל אחת מהן, במקום להניח שהדבר מובן מאליו מתוקף הגדרת התפקיד.
סמכויות ה־CISO: היכן עובר הגבול?
חיזוק סמכותו של ה־CISO הוא לעיתים חלק מהפתרון.
מנהל אבטחת מידע שנדרש לקבל אישור הנהלה לכל פעולת בלימה אינו יכול לנהל תגובה יעילה לאירוע. ל־CISO ולצוותי אבטחת המידע צריכה להיות סמכות מספקת לחקור, לבלום, להעביר את הטיפול לדרג המתאים, להיעזר במומחים ולאכוף בקרות חירום שאושרו מראש, בלי להמתין לאישור בכל שלב.
הקושי מתעורר כאשר הסמכות הזאת הופכת, בלי החלטה מפורשת, לאחריות על כל השלכה עסקית הקשורה לסייבר.
אם השבתת מערכת תעצור ייצור, תפגע בשירות קריטי, תגרום להפסדים כספיים משמעותיים או תשפיע על לקוחות רבים, המלצת ה־CISO חיונית. עם זאת, ייתכן שהסמכות להכריע בסוגיית הסיכון העסקי נתונה לגורם אחר.
הגדרה ברורה של סמכויות קבלת החלטות מאפשרת ל־CISO לפעול בנחישות בגבולות שנקבעו מראש, ולדעת בדיוק מתי נדרש להעביר את ההכרעה למנהל אחר משום שההשלכות חצו סף תפעולי, כספי, משפטי או אסטרטגי.
כך אפשר להימנע משני מצבים בעייתיים: מצב שבו צוותי אבטחת המידע אינם יכולים לפעול בלי אישור הנהלה, ומצב שבו ה־CISO נעשה אחראי כברירת מחדל לסיכונים שהארגון עצמו בחר לקבל.
חמישה כללים להגדרת סמכויות קבלת החלטות במשבר סייבר
חמשת הכללים הבאים מתרגמים את התובנות משני המחקרים על ממשל ומוכנות למשברים להמלצות מעשיות להגדרת סמכויות קבלת החלטות.
1. קבעו את הסמכות לפי השלכות ההחלטה
חומרת האירוע לבדה עשויה להיות מדד טכני מדי לקביעה מי צריך להחליט. התנאים להעברת ההכרעה לדרג בכיר יותר צריכים להביא בחשבון גם את משך ההשבתה, ההשפעה על לקוחות, החשיפה הכספית, הפגיעה במידע רגיש, ההשלכות הרגולטוריות, הבטיחות והתלות במערכות ובגורמים קריטיים.
הראל וכרמלי ממקמים את ההכנה הזאת בשלב שלפני האירוע. כבר אז ההנהלה צריכה להבין מהם הנכסים הקריטיים, מהי רמת הסבילות לסיכון ואיזה היקף של שיבוש בפעילות הארגון מוכן לשאת.
2. הפרידו בין ייעוץ מקצועי לסמכות להחליט
צוות אבטחת המידע יכול להמליץ על השבתה בלי לשאת באחריות להשלכותיה העסקיות. המחלקה המשפטית יכולה לזהות חשיפה רגולטורית בלי להיות הגורם המוסמך להכריע בכל החלטה על מסירת מידע. אנשי התפעול יכולים להסביר את ההשפעה על ההמשכיות העסקית בלי לקבוע כמה סיכון סייבר הארגון מוכן לקבל.
ככל שיש בחדר יותר מומחיות, קל יותר לבלבל בין השפעה מקצועית לסמכות הכרעה.
חלוקת תפקידים ברורה נותנת מקום לשתיהן.
3. שמרו על ההפרדה בין החלטות אסטרטגיות לתפעוליות
הדירקטוריון אינו אמור לנהל את התגובה לאירוע, כשם שהמנכ״ל אינו אמור לאשר כל פעולה בחקירה הפורנזית.
הראל וכרמלי מציינים שבזמן מתקפה הדירקטוריון צריך לקבל מידע ולבחון את ההשלכות האסטרטגיות, תוך הימנעות מקבלת החלטות תפעוליות שוטפות. מעורבותו נעשית רלוונטית יותר כשעל הפרק השבתות משמעותיות, כופר, תקשורת עם בעלי עניין, חשיפה משפטית או קביעת סדרי עדיפויות אסטרטגיים רחבים יותר.
גבולות ברורים מאפשרים לצוותים התפעוליים לפעול במהירות ולהנהלה להתמקד בהחלטות שדורשות את שיקול דעתה.
4. הגדירו סמכויות גם למצבי אי־ודאות
משברי סייבר אינם ממתינים עד שכל העובדות מתבררות.
Björck ועמיתיה מתארים אותם כמצבים עמומים המתפתחים במהירות, וקשה לנהל אותם באמצעות נהלים קבועים בלבד. המחקר מדגיש את הצורך לגבש הבנה של המצב מתוך מידע חלקי: צוותים נדרשים לפרש סימנים לא שלמים ולהפעיל שיקול דעת תחת לחץ, גם כשהנהלים הקיימים כבר אינם מספקים מענה מלא.
לכן חלוקת הסמכויות צריכה לאפשר פעולה גם כשהתמונה עדיין אינה ברורה.
צריך להיות ברור מי מוסמך לאשר פעולה כאמצעי זהירות, מתי אי־הוודאות עצמה מצדיקה העברת ההכרעה לדרג בכיר יותר, ומתי ממצאים חדשים מחייבים לבחון מחדש החלטה שכבר התקבלה.
5. בדקו סמכות בתרגילי שולחן
רוב תרגילי השולחן בוחנים אם הארגון יודע מה לעשות.
הם צריכים לבחון גם אם ברור מי מוסמך לאשר זאת.
Björck ועמיתיה מצאו שתרגילים מבוססי תרחישים מועילים משום שהם חושפים פערים ניהוליים לצד פערים טכניים ומסייעים לצוותים להפנים את תפקידיהם תחת לחץ. המחקר מתאר גם ארגון שהפריד בין הצוות האסטרטגי לצוות התפעולי בניהול המשבר, כך שקבוצה אחת קיבלה החלטות והאחרת הוציאה אותן לפועל.
לכן כדאי שתרגיל שולחן ייצור במכוון מצבים של מחלוקת.
צוות אבטחת המידע ממליץ להשבית שירות קריטי. אנשי התפעול מתנגדים. למחלקה המשפטית עדיין חסר מידע, וההנהלה מבקשת להמתין עוד שעה.
מי מחליט?
התוקף טוען שגנב מידע, ממצאי החקירה עדיין אינם חד־משמעיים, שמועות כבר מתפשטות, וייתכן שלא יהיה מנוס מדיווח.
מי מחליט עכשיו?
התרגיל בוחן גם את איכות ההחלטה וגם את עצם היכולת של הארגון לקבל אותה.
הסכמה צריכה לשפר את ההחלטה, לא לעכב אותה
ניהול משבר סייבר חייב להיות שיתופי משום שאף פונקציה אחת לא רואה את התמונה המלאה.
הבעיה מתחילה כאשר שיתוף פעולה הופך בשקט לדרישה לקונצנזוס.
Björck ועמיתיו מצאו שמנהיגות במשברי סייבר דורשת איזון בין גישות מכוונות לבין גישות שיתופיות, במיוחד משום שתיאום חוצה-ארגון הופך לחשוב יותר ככל שאי-הוודאות עולה. המחקר שלהם מראה גם כיצד מנהיגות סילואית יכולה להחליש את התגובה כאשר הגבולות הארגוניים חזקים יותר ממבנה המשבר המשותף.
זכויות קבלת החלטות ברורות מאפשרות לנהל מחלוקות בצורה בטוחה יותר.
ה-CISO יכול לטעון בעד בלימת האירוע, צוות התפעול יכול להסביר את העלויות וההשלכות, הצוות המשפטי יכול להצביע על אי-הוודאות, צוות התקשורת יכול לערער על עיתוי הפעולה, וצוות הכספים יכול לכמת את החשיפה – מבלי שכולם יצטרכו להגיע לאותה מסקנה.
בעל ההחלטה שומע את הטיעונים וסוגר את ההחלטה.
זה לא שיתוף פעולה חלש יותר. זה שיתוף פעולה עם נקודת סיום.
סיכום: אל תבנו את שרשרת הפיקוד כשהבית כבר בוער
בפעילות שגרתית, סמכות לא ברורה עולה מעט. אפשר לקבוע עוד ישיבה, להתייעץ עם עוד מנהל, ואחריות עמומה יכולה לשרוד במשך חודשים בלי להפוך לבעיה נראית לעין.
משבר סייבר הופך את העמימות הזאת לעיכוב.
Björck ועמיתיו טוענים שמוכנות למשבר סייבר דורשת הרבה יותר מנהלים ונהלים מתועדים; ארגונים צריכים תפקידים שהופנמו, התנהגות אדפטיבית, מנהיגות ותיאום שיכולים להחזיק מעמד תחת לחץ. הראל וכרמלי מגיעים לאותה נקודה דרך עדשת הממשל, וטוענים שארגונים צריכים להגדיר מראש רמות סבילות, סדרי עדיפויות, אחריותיות ויכולת לקבל החלטות במשבר עוד לפני שהמתקפה מתחילה.
זכויות קבלת החלטות של ההנהלה אינן יכולות להבטיח שמנהלים תמיד יקבלו את ההחלטה המושלמת, משום שמשברי סייבר כמעט אף פעם אינם מציעים בחירות מושלמות.
הן כן יכולות להבטיח שכאשר צוות אבטחת המידע רוצה להשבית מערכת, צוות התפעול רוצה להשאיר אותה פעילה, הצוות המשפטי דורש ראיות נוספות והזמן ממשיך לדחוק – הארגון לא יצטרך לפתור גם תעלומה נוספת.
מי מחליט?
לקריאה נוספת
פוסט זה מבוסס על תובנות וניתוחים מן המקורות הבאים:
- Björck, Albena, et al. "Advancing cyber crisis readiness: context, microfoundations and the role of leadership." Journal of Communication Management 30.3 (2026): 322-341.
https://doi.org/10.1108/JCOM-01-2025-0006
- Harel, Yaniv, and Abraham Carmeli. "A strategic cybersecurity oversight framework: a board’s imperative." Journal of Cybersecurity 11.1 (2025): tyaf021.
שאלות נפוצות
סמכויות קבלת החלטות מגדירות מי רשאי לקבל החלטות עסקיות משמעותיות במהלך משבר סייבר, במיוחד כשהן משפיעות על הפעילות, החשיפה הכספית, החובות הרגולטוריות, הלקוחות או המוניטין. הן מבהירות מי משתתף בדיון, ובעיקר מי מוסמך לאשר פעולה כאשר הגורמים המעורבים חלוקים בדעותיהם.
משברי סייבר מתפתחים בתנאי אי־ודאות ולחץ זמן, ולכן חוסר בהירות בנוגע לסמכות ההכרעה עלול לגבות מחיר גבוה. מחקרים על מוכנות למשברי סייבר מראים שעמימות בחלוקת האחריות עלולה לפגוע בתיאום ולעכב את התגובה. לעומת זאת, תפקידים ברורים, מבנה מוגדר לניהול המשבר ותהליכי קבלת החלטות שתורגלו מראש מסייעים לארגון לפעול תחת לחץ.
ל־CISO צריכה להיות סמכות מספקת לחקור, לבלום איומים, להעביר את הטיפול לדרג המתאים ולהפעיל אמצעי חירום שאושרו מראש. עם זאת, לא כל החלטה הקשורה לסייבר צריכה להיות בסמכותו. החלטות על השבתה משמעותית, קבלת סיכון, דיווח או צעדים בעלי השלכות עסקיות נרחבות עשויות להיות בסמכות המנכ״ל, סמנכ״ל התפעול, מנהלים אחרים או הדירקטוריון, בהתאם למבנה הממשל הארגוני.
יש לקבוע מראש מי מוסמך להכריע, בהתאם להשלכות התפעוליות והאסטרטגיות של ההשבתה. צוות אבטחת המידע צריך לספק את הערכת הסיכון ואת ההמלצה לבלימה. כאשר ההשלכות חורגות מהסמכות שניתנה לו, ייתכן שהמנהל האחראי לפעילות העסקית שתושפע יצטרך לקבל או לאשר את ההחלטה הסופית.
האחריות לקבלת סיכון סייבר צריכה בדרך כלל להיות בידי המנהל העסקי שנושא באחריות להשלכותיו, ולא לעבור אוטומטית לצוות אבטחת המידע. תפקיד ה־CISO הוא להציג בבירור את החשיפה, את אי־הוודאות ואת הבקרות המומלצות, כדי שהגורם המוסמך יוכל לקבל החלטה מושכלת.
מטריצת RACI מבהירה מי אחראי לביצוע, מי נושא באחריות הכוללת, עם מי צריך להתייעץ ואת מי יש ליידע. עם זאת, היא עלולה להשאיר עמימות באשר לסמכות ההכרעה כשכמה בעלי תפקידים בכירים אינם מסכימים. הגדרת סמכויות קבלת החלטות מתמקדת במפורש בשאלה מי מוסמך להכריע בסוגיות בעלות השלכות משמעותיות, כגון קבלת סיכון, השבתת פעילות, אישור הוצאה חריגה או דיווח על האירוע לגורמים חיצוניים.
תרגילי שולחן צריכים לכלול מצבים שבהם בעלי תפקידים חלוקים בדעותיהם משיקולים מקצועיים לגיטימיים, לצד בדיקת הנהלים הטכניים. מחקרים על מוכנות למשברי סייבר מדגישים את תרומתם של תרגילים מבוססי תרחישים לחשיפת פערים ניהוליים, להפנמת התפקידים ולשיפור התיאום תחת לחץ.
הדירקטוריון אמור לפקח ברמה האסטרטגית, בעוד שניהול התגובה השוטפת נשאר בידי ההנהלה וצוותי התגובה. המסגרת של הראל וכרמלי מדגישה את מעורבות הדירקטוריון בנושאים כגון תיאבון הסיכון, סדרי עדיפויות אסטרטגיים, החלטות משמעותיות על השבתה או כופר, תקשורת עם בעלי עניין והשלכות משפטיות ופגיעה אפשרית במוניטין.
