CISO חיצוני או מנהל אבטחת מידע בבית: איך מחליטים

בקצרהCISO חיצוני, או vCISO, הוא מנהל אבטחת מידע שעובד עם הארגון בהיקף חלקי ומוביל את המדיניות, את תוכנית העבודה ואת ההיערכות לרגולציה. הוא מתאים לארגון צעיר או לארגון שהסיכון בו מוגדר ומוגבל. כשהמערכות מתרבות, כשהרגולטור מצפה לבעל תפקיד בתוך הארגון או כשההחלטות היומיות דורשות נוכחות רציפה, מגיע הזמן לגייס מנהל אבטחת מידע פנימי.

מה עושה CISO חיצוני ומה נשאר אצלכם

CISO חיצוני, שנקרא גם vCISO או מנהל אבטחת מידע כשירות, עובד עם הארגון בהיקף חלקי ומחזיק את התחום ברמה הניהולית. הוא כותב את המדיניות, מגדיר תוכנית עבודה לפי הסיכונים, מציג אותה להנהלה ועונה לשאלוני האבטחה של לקוחות ושל חברות הביטוח.

מה שהוא אינו מחליף הוא האחריות. ההנהלה נשארת אחראית לאבטחת המידע מול הלקוחות ומול הרגולטור, והצוות הטכני עדיין מבצע את רוב העבודה בפועל. השירות החיצוני נותן כיוון וידע, אבל מישהו בבית צריך לקבל את ההחלטות ולהוביל את הביצוע ביום יום.

כדאי גם לברר מראש מה בדיוק נכלל בהתקשרות. יש שירותים שמסתפקים בפגישה חודשית ובמסמכים, ויש כאלה שכוללים זמינות בזמן אירוע, השתתפות בישיבות הנהלה וליווי של פרויקטים טכניים. ההבדל בין השניים מתגלה בדרך כלל בדיוק ברגע שבו צריך אותו.

היקף העבודה קובע יותר מגודל החברה

נהוג לחשוב שההחלטה תלויה במספר העובדים, אבל השאלה האמיתית היא כמה החלטות אבטחה הארגון מייצר בכל שבוע. חברה קטנה שמפתחת מוצר ענן לבנקים מתמודדת עם יותר שאלות מחברה גדולה שעובדת עם מערכות מדף ומעט נתונים רגישים.

כשהעבודה מורכבת מסקירה תקופתית, עדכון מדיניות ומענה לשאלונים, שירות חיצוני עונה עליה היטב. במצב כזה גם קל יותר לבחון את השירות לאורך זמן ולהחליף ספק אם הוא אינו מתאים. כשכל שינוי בתשתית, כל ספק חדש וכל פיצ’ר דורשים בדיקה, נוצר תור של החלטות שמחכות ליום שבו ה-CISO זמין, והתור הזה הוא סיכון בפני עצמו.

אותה שאלה עולה גם בניטור ובתגובה לאירועים. כדאי לבחון אותה יחד עם ההחלטה אם לקנות ניטור מספק או לבנות צוות, כי ארגון שמוציא החוצה גם את הניהול וגם את הניטור עלול לגלות שאין אצלו אף אחד שמכיר את התמונה המלאה.

מה הרגולציה מצפה לראות

התיקון לחוק הגנת הפרטיות ותקנות אבטחת המידע מטילים על הארגון חובות של תיעוד, ניהול הרשאות, בקרה על ספקים ודיווח על אירועים. ברוב המקרים הן אינן מחייבות מודל מסוים, אבל הן מצפות שתהיה כתובת ברורה לאחריות, ושהיא תוכל להציג מה נעשה בפועל.

בגופים בפיקוח הדרישה מחמירה. הוראת בנק ישראל לניהול הגנת הסייבר וחוזרי רשות שוק ההון מצפים לפונקציה מוגדרת בתוך הארגון, עם דיווח להנהלה ולדירקטוריון. לגוף כזה שירות חיצוני יכול לשמש כתוספת מקצועית, אבל לרוב אינו מחליף בעל תפקיד פנימי.

גם ארגון שאינו בפיקוח ישיר מרגיש את הרגולציה דרך הלקוחות שלו. בנק, חברת ביטוח או גוף ממשלתי שעובדים עם ספק טכנולוגיה דורשים ממנו לעמוד בדרישות דומות, ולעיתים שואלים במפורש מי מנהל אצלו את אבטחת המידע ובאיזה היקף.

התקציב והאחריות: מה באמת משווים

ההשוואה הנפוצה היא בין דמי השירות לבין עלות המשרה, אבל היא חלקית. בצד של השירות החיצוני יש להוסיף את הזמן של המנהלים שמתאמים מולו, את הידע שיוצא מהארגון כשההתקשרות נגמרת ואת ההחלטות שמתעכבות. בצד של המשרה הפנימית יש להוסיף את הזמן שלוקח לגייס, את הכלים ואת הגיבוי בזמן היעדרות.

יש גם מודלים ביניים. חלק מהארגונים ממנים ממונה אבטחת מידע פנימי שמבצע ומתאם, ולצידו CISO חיצוני שמכוון את האסטרטגיה ופוגש את ההנהלה. השילוב הזה מתאים במיוחד לארגון שגדל ועדיין אינו בטוח בהיקף שיידרש בעוד כמה שנים.

מה שחשוב בכל מודל הוא שהאחריות תהיה כתובה. מי מאשר חריגה ממדיניות, מי מחליט לנתק מערכת באירוע ומי מדווח להנהלה ולרגולטור. כשהתשובות האלה ברורות, ההחלטה בין חיצוני לפנימי הופכת לשאלה מעשית ולא לוויכוח.

איך עוברים מ-CISO חיצוני למנהל אבטחת מידע פנימי

מתחילים בסיכום של מה שה-CISO החיצוני בנה: מדיניות, מפת סיכונים, תוכנית עבודה, ספקים ופערים פתוחים. המסמך הזה הופך לבסיס של הגדרת התפקיד, והוא מראה למועמדים בדיוק לאן הם נכנסים ומה מחכה להם בחודשים הראשונים.

בשלב הבא מגדירים את הבכירות. ארגון שהתשתית שלו כבר מסודרת יכול לגייס מנהל שיתחזק וירחיב, וארגון עם פערים גדולים צריך מישהו שכבר בנה תחום מאפס. כדאי לשתף את ה-vCISO בשיחה המקצועית עם המועמדים, בשיחת וידאו, כי הוא יודע אילו שאלות יחשפו פער בניסיון.

לבסוף מתכננים חפיפה. תקופה שבה השניים עובדים במקביל מאפשרת להעביר את הקשרים עם הספקים, עם הצוותים ועם ההנהלה, ומונעת מצב שבו הידע שנצבר יוצא עם ההתקשרות.

AI האנטרס: גיוס מנהל אבטחת מידע בזמן הנכון

ב-AI האנטרס אנחנו מגייסים מנהלי אבטחת מידע, ממוני אבטחת מידע ואנשי ניהול סיכונים וציות, ומכירים את ההבדל בין מי שתחזק תחום קיים לבין מי שבנה אותו מאפס. אנחנו עוזרים להגדיר את הבכירות הנכונה לפני שמתחילים לחפש, ומגיעים גם למועמדים שאינם מחפשים באופן פעיל.

ההיכרות עם הארגון נעשית בשיחת וידאו, ובדיקת הרקע בשיחות עם ממליצים. אם אתם עדיין בוחנים מודלים, כדאי לקרוא גם מה לבדוק בשותף לגיוס בתחום, ואם ההחלטה כבר התקבלה, ספרו לנו מה הארגון צריך ונתחיל משם.