מסגרת הבצל: אסטרטגיה בת 5 שכבות לסייבר אחראי ב-2026

דמיינו שעה 3:00 לפנות בוקר. הטלפון שלכם רוטט: ספק שירותים מרכזי בשרשרת האספקה שלכם נפגע על ידי תוכנת כופר. על הנייר, המערכות הפנימיות שלכם "ירוקות". חומות האש החזיקו מעמד. הנתונים שלכם מוצפנים.

אבל עד השעה 8:00 בבוקר, המציאות מתבהרת: מכיוון שהספק הזה אינו פעיל, הלקוחות שלכם אינם יכולים לגשת לשירותים קריטיים. עד הצהריים, הסיפור הגיע לחדשות הארציות מכיוון שהשיבוש משפיע על התשתיות הציבוריות. אתם מבינים שלהיות "בטוחים מבחינה טכנית" לא מנע מכם להיות "בלתי אחראים חברתית".

במאמר מחקר שפורסם לאחרונה ב-Information Systems Frontiers (2025), החוקרים ניקי פנטלי, בוינילו ר. נטובו וקונסטנטינוס מרסינאס טוענים כי עלינו להתעלם מהשקפה צרה זו. כדי להיות מנהיג בשנת 2026, עליכם לאמץ מסגרת אבטחת סייבר אחראית: כזו שנראית פחות כמו חומה ויותר כמו בצל.

המעבר: מארכיטקט אבטחה ל"אחראי"

המחקר מזהה התפתחות יסודית בתעשייה שלנו: אנו מתרחקים מראיית אבטחת סייבר כבעיה מתמטית או קריפטוגרפית בלבד, ומתקרבים לראייתה כמחויבות קולקטיבית לניהול אחראי.

על פי המחקר, CISO אחראי פועל כ"אחראי". משמעות הדבר היא שאתם לא רק מגנים על ביטים ובייטים; אתם אחראים על המידע של אנשים אחרים, על השירותים שלהם ועל רווחת החברה כולה. המאמר טוען כי אחריות אינה חד-סטרית, אלא יחסים דו-צדדיים בין הפרט, הארגון והרשת כולה.

המסגרת דמוית הבצל: חמש שכבות של אחריות

התובנה המרכזית היא מודל רב-שכבתי המרחיב את היקף ה-CISO הרבה מעבר לחדר השרתים.

1. השכבה הטכנו-צנטרית (הליבה)

זהו הבסיס הטכני שלכם. עם זאת, "אחריות" כאן חורגת מעבר לתיקונים. היא כוללת:

• בטוח בעיצוב (Secure by Design): שילוב אבטחה בשלב הארכיטקטורה, הבטחת שתוכנה לא "תצבור חוב אתי" בהמשך הדרך.
• מנהיגות מחייבת: המחקר מדגיש כי אחריות נכשלת ללא CISO ייעודי שיש לו את המנדט והמימון הספציפיים לפקח על ההגנות הטכניות הללו.

2. השכבה האנושית (Human-Centric): רווחה כהגנה

החוקרים מדגישים פער קריטי באסטרטגיה המסורתית: הגורם האנושי. שכבה זו אינה עוסקת רק בהדרכה; היא עוסקת באכפתיות.

• משבר השחיקה: המאמר מציין במפורש את הלחץ המתמיד 24/7 על צוותי SOC. CISO אחראי מנהל את "הבטיחות הפסיכולוגית" ואת בריאות הנפש של הצוות שלו כדי למנוע את העייפות המובילה לפריצות.
• אבטחה מכילה: אחריות פירושה הכרה במגוון נוירולוגי בצוותי אבטחה והבטחת שהמערכות שמישות עבור כוח עבודה מגוון, במקום לאלץ בני אדם להסתגל לפרוטוקולים טכניים נוקשים ו"לא ידידותיים".

3. השכבה התוך-ארגונית (Intra-Organizational): שבירת סטיגמת "המשטרה"

אחת הממצאים העמוקים ביותר במחקר היא הניתוק בין אבטחה לעסקים.

• תפיסת "המשטרה": צוותים עסקיים רואים לעתים קרובות את האבטחה כ"משטרתית" שמעכבת אותם.
• בעלות משותפת: אבטחת סייבר אחראית דורשת שינוי תפיסתי שבו משאבי אנוש, כספים ושיווק מבינים שהם הבעלים של הסיכון במחלקות שלהם. תפקידו של ה-CISO הוא לגשר על "החשיבה היזמית" (שנוטלת סיכונים) עם "חשיבת האבטחה" (שמנהלת אותם).

4. השכבה הבין-ארגונית (Inter-Organizational): פרדוקס שרשרת האספקה

המחקר מצא כי פריצות לשרשרת האספקה מהוות עד 62% מהחדירות. המאמר מציע אזהרה חמורה: אינכם יכולים להעביר סיכון.

• אחריות במעבר: גם אם אתם משתמשים בענן צד שלישי, אתם נשארים בעלי הנתונים. אם נתונים נפרצים במעבר או באתר של שותף, האחריות (ופגיעה במוניטין) נשארת שלכם.
• תפקיד התמיכה של חברות קטנות ובינוניות: לארגונים גדולים יש אחריות לפעול כ"מנטורים" לספקים הקטנים יותר בשרשרת שלהם, אשר עשויים להיות חסרי משאבים להגן על עצמם.

5. השכבה החברתית (Societal-Centric): "רדיוס הפיצוץ"

השכבה החיצונית ביותר מכירה בכך שהחברה שלכם אינה קיימת בחלל ריק. פריצה לספק מזון או שירות מעבדה (כמו אירועי ה-NHS האחרונים) עלולה לגרום השלכות קטסטרופליות לציבור. גישה אחראית מחייבת אותנו לשקול את הכוונות האתיות של הטכנולוגיה שלנו וכיצד כישלונה עלול לגרום לכאוס חברתי.

וקטור השינוי: מנהיגות כמחבר

המחקר מסיק ששכבות אלו אינן מתחברות מעצמן. הנהגה בכירה היא הוקטור שמחבר את הבצל יחד.

טיפוח חשיבה זו דורש גישה "מלמעלה למטה". תפקידו של ה-CISO הוא לתרגם את הסיכונים החברתיים והטכניים המורכבים הללו ל"שפת הדירקטוריון". כאשר ההנהגה מתייחסת לאבטחה כערך ליבה ולא כסעיף הוצאה, הארגון עובר מ"פגיע" ל"אחראי".

תיאום ה"בצל" באמצעות Cyber OS

בעוד שהמחקר מספק את המסגרת האסטרטגית, ה-CISO המודרני מתמודד עם מכשול תפעולי עצום: כיצד לעקוב אחר כל השכבות בו זמנית?

ניהול מדדי שחיקת צוות, הערכות סיכון ספקים, ופגיעויות טכניות באמצעות כלים מפוצלים הוא מתכון לפיקוח חסר. זה המקום שבו Cyber OS עבור CISOs הופך ל"מערכת ההפעלה" החיונית לאחריות.

על ידי תזמור כלל מערך האבטחה שלכם במקום אחד, אתם מקבלים את הנראות הדרושה כדי לראות את "רדיוס הפיצוץ" על פני הבצל כולו. כך CISOteria מאפשרת לכם לגשר על הפער בין העסקים לאבטחה, ומספקת את חלון הראווה הבודד הדרוש למעבר ממגן טכני למנהל חברתי.

לקריאה נוספת

פוסט זה בבלוג התבסס על התובנות שהוצגו ב: Panteli, N., Nthubu, B.R. & Mersinas, K. Being Responsible in Cybersecurity: A Multi-Layered Perspective. Inf Syst Front 28, 209–227 (2025). https://doi.org/10.1007/s10796-025-10588-0