האם מסגרת האבטחה שלכם משאירה פערים? היכרות עם CRTT
תוכן העניינים
יש לכם את המסגרות שלכם. NIST CSF מופיע על מסך אחד, ISO 27002 על מסך אחר, אולי עם קצת MITRE D3fend או CIS 8 ליתר ביטחון. השקעתם אינספור שעות במיפוי בקרות, בהערכת סיכונים ובדיווח על תאימות. ובכל זאת, נותרה שאלה מטרידה: עם כל ההנחיות החופפות, המורכבות ולעיתים קרובות הנוקשות הללו, מה עדיין חסר לנו?
המציאות היא שבעוד שתקנים אלו חיוניים, הם לא נבנו בצורה מאוחדת. יש להם מבנים שונים, היקפים מוגבלים, והם יכולים להיות מורכבים להפליא ליישום עקבי. מורכבות זו יוצרת פערים: פגיעויות עדינות אך קריטיות שיכולות לעבור ללא תשומת לב עד שיהיה מאוחר מדי.
אבל מה אם הייתה דרך לאחד את החוזקות של כל המסגרות הללו למודל אחד, יעיל?
במאמר שפורסם בשנת 2025, חוקרים עשו בדיוק את זה. הם התמודדו עם הבעיות המתמשכות של מורכבות ואי-סטנדרטיזציה על ידי בניית טקסונומיה חדשה ומאוחדת של אמצעי נגד לאבטחת סייבר. התוצאה, שנקראת Cyber Risk Treatment Taxonomy (CRTT), היא יותר מסתם תרגיל אקדמי. כאשר היא הועמדה למבחן בסביבה אמיתית ועתירת סיכונים, היא חשפה נקודות עיוורון קריטיות שתכנית אבטחה בוגרת ובעלת משאבים רבים התעלמה מהן.
הבעיה: למה להטוטנות עם מסגרות לא עובדת
המחקר מתחיל באימות התסכולים שרבים ממנהיגי האבטחה חשים מדי יום. ניתוח של עשר טקסונומיות עיקריות של אמצעי נגד, כולל אלו של NIST, ISO ו-MITRE, זיהה חמש בעיות ליבה:
- מורכבות: מסגרות רבות מפותלות וקשות לשימוש יעיל על ידי צוותים.
- אי-סטנדרטיזציה: מבנים לא עקביים הופכים את ההשוואה או שיתוף המידע בין מערכות לכמעט בלתי אפשריים.
- חוסר התאמה: הם לעיתים קרובות נוקשים מדי מכדי להתאים לצרכים הספציפיים של הארגון.
- היקף מוגבל: רבים מתמקדים בעיקר בנכסים טכניים, ומזניחים אזורים קריטיים כמו ספקים, אנשים וממשל ארגוני.
- התיישנות מהירה: הם מתקשים לעמוד בקצב ההתפתחות המתמדת של איומי אבטחת סייבר.
בעיות אלו פירושן שאפילו ה-CISO החרוץ ביותר פועל עם תמונה לא מלאה.
פתרון מאוחד: הכרת ה-Cyber Risk Treatment Taxonomy (CRTT)
כדי לפתור בעיות אלו, החוקרים בנו את ה-CRTT על ידי איחוד האלמנטים הטובים ביותר מעשר מהטקסונומיות המוכרות ביותר בעולם. לא מדובר בהחלפת NIST או ISO, אלא ביצירת עדשה מקיפה ופרקטית דרכה ניתן לצפות בסביבת הבקרה כולה.
ה-CRTT בנוי סביב חמש קטגוריות עסקיות עיקריות, המכסות נכסים שמסגרות אחרות לעיתים קרובות מזניחות:
- תהליכים (אבטחה פיזית, ניהול שינויים, תפעול)
- טכנולוגיה (שיפור, מניעה, הפחתה והסרה של סיכונים)
- אנשים (בקרת גישה, עבודה מרחוק, מודעות והדרכה)
- ממשל וניהול (מדיניות, ניהול אירועים, המשכיות עסקית)
- ספקים (הסכמי שירות, אבטחת צד שלישי, ציות רגולטורי)
מפת הדרכים של ה-CISO: בקרות מדורגות לבגרות אסטרטגית
חשוב לציין, 229 אמצעי הנגד של ה-CRTT אינם רק רשימה שטוחה. הם מסווגים לשלוש רמות יישום, ומספקים מפת דרכים ברורה לכל ארגון, ללא קשר לבגרותו הנוכחית:
- ישיר (חובה): 100 אמצעי הנגד החיוניים שכל ארגון חייב שיהיו לו.
- פיצוי (נדרש): 70 אמצעי הנגד הדרושים לכיסוי כשלים בבקרות ישירות, המיועדים לרמת בגרות בינונית.
- הגנה (רצוי): 59 אמצעי הנגד מתקדמים למזעור השפעה לאחר שהסיכון התממש, המיועדים לתכניות בוגרות מאוד.
גישה מדורגת זו מאפשרת למנהלי אבטחת מידע (CISOs) לחרוג מגישה פשוטה של "תואם/לא תואם" ולבנות תוכנית אסטרטגית לשיפור מתמיד.
ההוכחה: מה חשף ה-CRTT בבנק בינלאומי
כאן התיאוריה פוגשת את המציאות. החוקרים יישמו את ה-CRTT במחקר מקרה שנמשך שנה במחלקת ניהול זהויות וגישה (IAM) של בנק בינלאומי: ארגון עם מודל אבטחה בוגר המבוסס על NIST CSF ו-ISO 27001.
התהליך היה קריטי, קשור ישירות לדוחות הכספיים של המוסד ונתון לבדיקה קפדנית מצד מבקרים. לבנק היו כבר 12 אמצעי נגד קיימים עבור תהליך מחזור חיי המשתמש שלו.
לאחר יישום ה-CRTT, הצוות זיהה שישה אמצעי נגד קריטיים נוספים שהיו חסרים לחלוטין בתכנית הקיימת של הבנק:
- בדיקת יחסי אמון במערכת.
- בקרת גישה חובה.
- בקרות ספקים ABC.
- ניטור חשבונות מקומיים.
- ניתוח פעילות סשנים באינטרנט.
- ניתוח משך סשן.
גילוי פערים אלה בתהליך כה קריטי היה ממצא משמעותי. אזור הבקרה הפנימי של הבנק אישר את התוצאות ויצר מיד תוכנית פעולה דו-שנתית ליישום הבקרות החסרות ולחיזוק הקיימות. הארגון ראה ב-CRTT משאב יקר ערך והחליט להמשיך ליישם אותו בתוכנית פיילוט.
המהלך האסטרטגי הבא שלך
הלקח כאן אינו שמסגרות קיימות חסרות תועלת, אלא שהסתמכות עליהן לבד יוצרת נקודות עיוורון מהותיות. ה-CRTT מספק כלי חדש ועוצמתי עבור מנהלי אבטחת מידע לביצוע מטא-אנליזה של סביבת הבקרה שלהם, זיהוי פערים שאפילו תוכניות בוגרות מחמיצות, ובניית עמדת אבטחה עמידה ומקיפה יותר. זו דרך סוף סוף לראות את התמונה כולה.
לקריאה נוספת:
פוסט זה מבוסס על התובנות והניתוח שהוצגו במאמר: Sánchez-García, I. D., San Feliu, T., & Calvo-Manzano, J. A. (2025). “Building a cyber risk treatment taxonomy”. Cluster Computing, 28, 205. פורסם אונליין ב-21 בינואר 2025. https://doi.org/10.1007/s10586-024-04899-1
