הפרצה שאף אחד לא מדבר עליה
נתון אחד שכדאי לזכור: על פי דוח של IBM לשנת 2024, עלות ממוצעת של מתקפת סייבר מוצלחת על ארגון עומדת על קרוב ל-5 מיליון דולר. אבל הנתון שמפחיד עוד יותר הוא שיותר מ-60% מהתקפות הסייבר מכוונות כיום לעסקים קטנים ובינוניים בדיוק מפני בגלל ההנחה השגויה: "אנחנו לא גדולים מספיק בשביל לעניין האקרים".
ארגונים גדולים כבר מזמן מבינים שמנהל אבטחת מידע (CISO) הוא לא מותרות. אבל מה קורה כשהמשכורת השנתית של CISO מנוסה מסתכמת במאות אלפי שקלים בשנה? לא מעט חברות מוותרות וזה בדיוק הרגע שבו הם הופכים למטרה קלה.
כאן נכנס לתמונה מודל שצובר תאוצה בשוק הסייבר הישראלי ובעולם כולו.
מה זה בעצם CISO as a Service?
שירות מנהל אבטחת מידע הוא מודל שבו ארגון מקבל את כל הערך המקצועי של CISO בכיר, אבל במסגרת חוזה שירות גמיש ולא כעובד שכיר במשרה מלאה. במקום לגייס, להכשיר ולשמר בכיר יקר, הארגון עובד מול צוות מומחים חיצוני שמכיר את הנוף הרגולטורי, את האיומים העדכניים ואת הכלים הנדרשים.
VCISO (Virtual Chief Information Security Officer) הוא לא יועץ שמגיע פעם בשנה ומציג להנהלה מצגת, אלא מי שמרכז שמנהל את אבטחת המידע של הארגון באופן שוטף ובתיאום עם ההנהלה והגורמים שאחראיים לניהול סיכון הסייבר.
מה השירות כולל בפועל?
שירות CISO מגוון יכלול בדרך כלל את הפריטים הבאים:
מדיניות ונהלים: הגדרת מדיניות אבטחת מידע ארגונית, נהלי עבודה, הרשאות גישה ותקנות פנימיות.
ניהול סיכונים: מיפוי האיומים הרלוונטיים לתעשייה ולארגון, הערכת חשיפות וסדרי עדיפויות לטיפול בהן.
ציות ורגולציה: בחינה והתאמות לתקנים כגון ISO 27001, SOC 2, GDPR, תקנות הגנת הפרטיות הישראליות ודרישות ספציפיות לענף (בנקאות, בריאות, ממשל).
תגובה לאירועים: בניית תכנית מוכנות למתקפה, הגדרת נהלי תגובה, ניהול אירוע בזמן אמת אם וכאשר נדרש.
ממשק מול הנהלה ודירקטוריון: דיווח מובנה לבעלי עניין בכירים והנגשת הסיכונים בשפה עסקית ולא טכנית.
מי צריך את השירות הזה?
ההנחה הנפוצה היא ש- CISO as a Service מיועד רק לסטארטאפים, אך בפועל, המודל רלוונטי למגוון רחב הרבה יותר של ארגונים:
● חברות שצברו נתוני לקוחות ונתונים רגישים, אבל עדיין לא הגיעו להיקף פעילות שמצדיק גיוס CISO פנימי.
● חברות הנדרשות לעמוד ברגולציה (כמו תקנות הגנת הפרטיות בישראל) כאשר בחלק מהמקרים אף מחויבות במינוי מנהל אבטחת מידע.
● קבוצות חברות ועסקים עם מספר ישויות משפטיות אשר מעדיפות ניהול אבטחה אחיד ומרכזי.
● חברות בוגרות שרוצות לחזק את הצוות הפנימי הקיים עם מומחיות חיצונית ומנקודת מבט עצמאית.
CISO as a Service מול CISO פנימי: השוואה ישירה
| קריטריון | CISO פנימי | CISO as a Service |
| עלות שנתית | 350,000 שקל ומעלה | נמוכה משמעותית, לפי הצורך |
| זמן אספקה | גיוס של 2-6 חודשים | כניסה לתפקיד תוך זמן קצר |
| עדכניות ידע | תלויה בהכשרה שוטפת | אנשי מקצוע החשופים לאיומים ממגוון לקוחות |
| גמישות | מודל קשיח של עובד מן המניין | ניתן להתאמה לצרכים משתנים |
| רציפות | חשיפה בזמן מחלה, חופשה, עזיבה | כיסוי מובנה של צוות |
ההשוואה לא קובעת ש-CISO פנימי הוא פתרון לא טוב לארגונים וחברות, אלא שכשחברות צריכות לנהל את סיכון הסייבר שלהן, הן צריכות למצוא את הפתרון המתאים ביותר עבורן. עבור רוב הארגונים בישראל, שמעסיקים בין עשרות למאות בודדות של עובדים, המשוואה הכלכלית והמקצועית נוטה בבירור לכיוון מנהל אבטחת מידע כשירות.
איך בוחרים ספק?
לא כל מי שמציע CISO as a Service אכן מעניק ניהול אמיתי ושוטף. כשמעריכים ספק, כדאי לשאול כמה שאלות מפתח.
ניסיון ענפי: האם הצוות מכיר את הרגולציה הספציפית לתעשייה שלכם?
הגדרת SLA: מה זמן התגובה לאירוע? מי זמין בשעת לילה? (חשוב לציין שלא בכל חוזה VCISO ישנו כיסוי לטיפול של צוות תגובה לאירועי סייבר)
שקיפות בדיווח: איך נראה הדיווח השוטף להנהלה? האם קיים ממשק ניהול שמאפשר נראות?
יכולת הרחבה: האם הספק יכול ללוות אתכם גם אם הארגון יצמח באופן משמעותי?
קהילת ידע: האם הספק מחובר למידע על איומים עדכניים, או שהוא מכיר את סיכון הסייבר בעיקר מזוויות תיאורטיות?
הגנה חכמה לא חייבת להיות יקרה
איום הסייבר רק הולך וגדל – מתקפות וירוס כופר, פישינג ממוקד ומשודרג ביכולות AI ופרצות בשרשרת אספקה הפכו לחלק מהמציאות של כל עסק שפועל באמצעות מערכות מידע (נשאר כזה שלא חוץ מהסנדלר באלנבי?), בכל מקום בעולם – ובוודאי בישראל שמהווה יעד מועדף למתקפות סייבר. השאלה היא לא אם הארגון שלכם יהיה מטרה, אלא אם הוא יהיה מוכן.
CISO as a Service הוא לא קיצור דרך ולא פתרון זמני. הוא מודל שמאפשר לארגונים בכל גודל לקבל ניהול אבטחת מידע ברמה שהיתה שמורה בעבר רק לתאגידים.
אם אתם שוקלים לאמץ את המודל, חברת פורס מאז'ור מציעה שירות CISO מקצועי ומותאם לארגונים בישראל. הצוות שלהם מביא ניסיון מעשי עמוק בניהול אבטחת מידע, ציות לרגולציה ותגובה לאירועים, ויכול לבנות עבורכם תכנית אבטחה שמתאימה לצרכים ולגודל הארגון.
לפרטים נוספים על שירות מנהל אבטחת מידע של פורס מאז'ור
