CISO, ראשי תיבות של Chief Information Security Officer נחשב למנהל אבטחת המידע בארגון ותפקידו הוא להגן על המידע, המערכות והנכסים הדיגיטליים של הארגון מפני התקפות סייבר שונות. ככל שעסק פועל בצורה נרחבת יותר באופן דיגיטלי, כך קיימת חשיבות גדולה יותר ל-CISO עבור הארגון.
למרות שישנה חשיבות גדולה לתפקיד זה בכל עסק, ארגונים רבים בישראל בוחרים לא להעסיק CISO במשרה מלאה וזאת בעיקר בגלל עלות ההעסקה הגבוהה, קשיים במציאת אנשי מקצוע מיומנים והצורך בידע נרחב במגוון תחומים. ולכן, ארגונים רבים מוצאים את שירות CISO as a service (מנהל אבטחת מידע כשירות) כפתרון ממוקד וגמיש לקבלת ליווי מקצועי של מנהל אבטחת מידע בהתאם לצרכי הארגון וללא הצורך להעסקת עובד קבוע במשרה מלאה.
מדוע כל ארגון זקוק ל-CISO?
נכון להיום כמעט כל ארגון משתמש במערכות דיגיטליות ושומר שם מידע חשוב אודות העסק, העובדים והלקוחות. זה נכון שלטכנולוגיה זו יש יתרונות רבים, אך יחד עם זאת קיימים סיכונים לדליפת המידע לגורמים לא רלוונטיים. לכן, כל ארגון צריך לדאוג לאבטחת המידע שלו ולוודא שכל הנתונים שנמצאים במערכות דיגיטליות אלו הם מוגנים ומאובטחים.
תפקידו של ה-CISO או מנהל אבטחת המידע של הארגון הוא לזהות סיכונים אפשריים, ליצור נהלים מתאימים לכל אירוע סייבר ונוסף לכך לוודא שהארגון נוקט בכל האמצעים הנדרשים על מנת להגן על המידע והמערכות הדיגיטליות בעסק. בנוסף לכך, איש CISO יכול לייעץ להנהלת הארגון לגבי דרכים להגנה מפני איומי סייבר, דרישות החוק החדשות המתעדכנות מעת לעת ולדרכים שבהן ניתן לשפר את רמת האבטחה.
תחומי האחריות של CISO
מנהל אבטחת מידע CISO אחראי על מספר תחומים מרכזיים שנועדו להגן על המידע והמערכות של הארגון:
בניית אסטרטגיה לאבטחת מידע
מנהל אבטחת מידע אחראי על בניית אסטרטגיה לטווח הקרוב והרחוק עבור אבטחת הארגון, קביעת נהלים ומציאת פתרונות אבטחה בהתאם למטרות העסקיות של הארגון.
עמידה בדרישות רגולטוריות
חלק מתפקידו של מנהל אבטחת מידע כולל סיוע לעסק לעמידה בדרישות החוק ובתקני אבטחת המידע הרלוונטיים כמו למשל ISO 27001, SOC 2 ועוד.
איתור וטיפול בסיכונים פוטנציאליים
תפקיד זה כולל איתור חולשות וסיכוני אבטחה פוטנציאליים במערכות שבהן משתמש הארגון ובנוסף לכך, טיפול בבעיות אלו ונטרול חולשות המערכת.
הדרכות לעובדי הארגון
העברת הדרכות לעובדי הארגון בנושאים הקשורים לאבטחת המידע של הארגון כמו למשל הודעות פישינג, החלפת סיסמאות אחת לכמה זמן ושימוש בטוח במערכות הארגון.
טיפול באירועי סייבר
במידת הצורך, הכנת תוכנית פעולה להתמודדות עם אירועי אבטחת מידע וטיפול במקרה של מתקפת סייבר. בנוסף לכך החזרת מערכות הארגון לפעילותן התקינה בהקדם האפשרי.
התעדכנות במערכות וטכנולוגיות חדשות
בחינה שוטפת של פתרונות טכנולוגיים כמו למשל מערכות, תוכנות, ושירותי ענן לפני הטמעתן בארגון תוך כדי וידוא שמערכות אלו אינן יוצרות סיכונים לעסק.
שירותי CISO במשרה מלאה לעומת העסקת CISO במיקור חוץ
ארגונים רבים שמעוניינים לשפר את רמת אבטחת המידע של העסק שלהם מתלבטים בין העסקת מנהל אבטחת מידע במשרה מלאה לבין העסקת עובד במיקור חוץ (CISO as a Service). לכל אחת מהאפשרויות יש יתרונות וחסרונות שצריך לקחת בחשבון. לרוב הבחירה תלויה בגודל הארגון, בתקציב ובמורכבות המערכות שאיתן הארגון עובד באופן שוטף.
העסקת CISO במשרה מלאה
מנהל אבטחת מידע פנימי הוא עובד במשרה מלאה שדואג לנהל את תחום אבטחת המידע של הארגון. היתרון המרכזי של עובד CISO במשרה מלאה הוא הזמינות הגבוהה שלו וההיכרות שלו עם מערכות הארגון.
אך יחד עם זאת, חשוב לקחת בחשבון שהעסקת CISO במשרה מלאה כרוכה בעלויות גבוהות ולא תמיד יש בכך צורך. בדרך כלל העסקת CISO במשרה מלאה מתאים לארגונים גדולים שעובדים עם מערכות טכנולוגיות מורכבות וזקוקים לסיוע שוטף בתחום אבטחת המידע.
העסקת CISO במיקור חוץ
העסקת CISO במיקור חוץ מאפשר לארגונים לקבל סיוע מקצועי של מנהל אבטחת מידע ללא צורך בהעסקתו כעובד חברה קבוע. על ידי כך, ניתן להשתמש בשירותיו רק כאשר יש לכך צורך ולחסוך בעלויות בהתאם להיקף השירות הנדרש.
מנהל אבטחת מידע במיקור חוץ מגיע עם ידע וניסיון מקצועי לאחר עבודה עם עשרות ארגונים בתעשייה. הוא זמין לתחילת עבודה מיידית ללא תהליכי גיוס ומיון והוא מאפשר להנהלת הארגון להקדיש יותר זמן לניהול העסק בזמן שהם מקבלים את הסיוע הדרוש להם בתחום אבטחת המידע.
העסקת CISO במיקור חוץ מתאים במיוחד לעסקים קטנים, עסקים בינוניים, סטארטאפים וארגונים בתהליכי צמיחה המעוניינים לקבל שירות בתחום אבטחת המידע מבלי להתחייב להעסקת CISO במשרה מלאה.
במה כדאי לבחור?
הבחירה בין העסקת CISO במשרה מלאה לבין העסקת CISO במיקור חוץ תלויה בעיקר בצרכים ובמשאבים של הארגון . במידה ואתם מנהלים ארגון גדול עם פעילות טכנולוגית מורכבת, ככל הנראה כדאי לכם להעדיף CISO פנימי שיהיה זמין עבור הארגון שלכם באופן שוטף.
לעומת זאת, במידה ואתם מנהלים ארגון קטן או בינוני ואתם לא זקוקים למנהל אבטחת מידע באופן יום יומי, כדאי לכם לשקול העסקת CISO במיקור חוץ שיוכל לסייע לכם לטפל בבעיות נקודתיות במידת הצורך ובאופן גמיש בהתאם לצרכי הארגון שלכם.
להלן מספר שאלות שכדאי לכם לשאול את עצמכם לפני ביצוע ההחלטה:
מצב האבטחה הנוכחי: מה מצב האבטחה הנוכחי של הארגון שלכם? האם יש לכם חורים בתהליכים או במערכות הארגון?
עמידה בדרישות רגולטוריות: האם העסק שלכם עומד בכל הדרישות הרגולטוריות? או שעליכם לבצע התאמות באופן תדיר כדי לעמוד בדרישות אלו?
אדם פנימי או ספק חיצוני: האם אתם זקוקים ל-CISO שמכיר את הארגון שלכם לעומק? או ליווי אסטרטגי במידת הצורך?
תדירות אירועי אבטחה: באיזו תדירות הארגון שלכם מתמודד עם אירועי אבטחה או איומי סייבר? האם אתם זקוקים למנהל אבטחת מידע שיהיה זמין עבורכם באופן שוטף, או למנהל אבטחת מידע שיוכל לסייע לכם במידת הצורך?