#1 מיומנו של CISO

בקצרה

תפקיד ה־CISO רחוק מלהיות טכנולוגי בלבד, והוא כולל מערכת מורכבת של ציפיות מצד גורמים שונים בארגון. מצד אחד הוא נתפס כשומר הסף שמגביל פעולות, מצד שני עליו לתרגם סיכוני סייבר לשפה עסקית עבור ההנהלה. במקביל, הוא משמש כמתווך בין צוותי פיתוח ואבטחה וכגורם שמנהל דיאלוג מול רגולטורים בתנאים לא תמיד אידיאליים. לב התפקיד הוא ניהול סיכונים מושכל – איזון בין הגנה לבין המשך פעילות עסקית. מעבר לכך, הצלחתו תלויה גם בבניית תרבות ארגונית מודעת לאבטחת מידע, שכן הטכנולוגיה לבדה אינה מספיקה. בסופו של דבר, CISO אפקטיבי הוא כזה שמחבר בין טכנולוגיה, אנשים ועסק, ותורם ליכולת הארגון לפעול בביטחון גם תחת איומי סייבר.

מה באמת מצופה מתפקיד ה-CISO?

כשהציעו לי בפעם הראשונה את תפקיד ה-CISO, הסתכלתי על התיאור הרשמי והנהנתי לעצמי. בסופו של דבר מדובר באבטחת מידע, טכנולוגיה, ניהול צוות, מדיניות והגנות, תחומים שמי שמגיע מעולם הסייבר מכיר היטב. לכאורה זה נשמע כמו המשך טבעי לקריירה מקצועית. אלא שמאוד מהר הבנתי שהתיאור הרשמי של התפקיד מספר רק חלק קטן מהסיפור. בפועל, לא קיבלתי תפקיד אחד ברור, אלא מערכת שלמה של ציפיות שונות, לעיתים אפילו סותרות מצד אנשים שונים בארגון.
 

השומר בכניסה של הארגון

עבור עובדים רבים בארגון, ה-CISO נתפס כמו השומר בכניסה לדיסקוטק. זה שמחליט מי נכנס, מי נשאר בחוץ, ואיזה כללים חייבים לכבד לפני שעוברים את הדלת. פתאום אתה זה שאומר שאי אפשר לחבר דיסק-און-קי למחשב הארגוני, שאסור להעביר קבצים מסוימים דרך WhatsApp, או שאין אפשרות לפתוח גישה מסוימת "רק לכמה ימים". מבחינת העובדים, אתה לא בהכרח מגן על הארגון אתה פשוט האדם שתפקידו להגיד “לא”. זה תפקיד שלא תמיד זוכה לפופולריות במסדרונות, אבל הוא חלק בלתי נפרד מהאחריות לשמור על גבולות ברורים.
 

המתורגמן בין טכנולוגיה לעסק

ההנהלה, לעומת זאת, מצפה למשהו אחר לחלוטין. מנהלים בדרך כלל אינם מעוניינים לשמוע על פרטי פרוטוקולים, על CVE חדש או על סוג מסוים של מתקפה. הם רוצים להבין מה המשמעות העסקית של הסיכון. כאן נכנס אחד התפקידים המרכזיים של ה-CISO — תרגום. לקחת מונחים טכנולוגיים מורכבים ולהסביר אותם בשפה שמחוברת לעולם העסקי: מה ההשפעה האפשרית על פעילות החברה, מה המשמעות מבחינת מוניטין ולקוחות, ומהו הסיכון הכלכלי. היכולת לבצע את התרגום הזה בצורה מדויקת היא אחת המיומנויות החשובות ביותר בתפקיד, ולעיתים גם אחת המאתגרות ביותר.
 

המטפל הזוגי של הארגון

בין צוותי ה-IT, הפיתוח והאבטחה, ה-CISO מוצא את עצמו פעמים רבות בתפקיד נוסף — מתווך. מצד אחד נמצאים מפתחים שמנסים לשמור על קצב פיתוח גבוה ועל גמישות טכנולוגית. מצד שני עומדים אנשי אבטחת המידע שמבקשים להוסיף שכבות הגנה, בקרות ותהליכים. המתח בין שני העולמות האלו טבעי לחלוטין, אך הוא דורש מישהו שמסוגל לחבר ביניהם. במקרים רבים, תפקיד ה-CISO הוא לא רק טכנולוגי אלא גם אנושי: להבין את הצרכים של כל צד, לגשר על פערים, ולעזור לארגון להגיע לפתרון שמאזן בין חדשנות לבין הגנה.
 

המתאגרף בזירת הרגולציה

ואז מגיעים הרגולטורים. הם מגיעים עם מסמכים עבים, עם דרישות מפורטות ועם ציפייה לראות ארגון שעומד בכל סטנדרט אפשרי. כאן ה-CISO נכנס לזירה מורכבת במיוחד. מצד אחד עליו להוכיח שהארגון פועל בהתאם לסטנדרטים ולנהלים המקצועיים הנדרשים. מצד שני עליו לנהל את המציאות הארגונית: תקציבים מוגבלים, מערכות מורכבות, והעובדה הפשוטה שאין ארגון שעומד במאה אחוז מכל דרישה רגולטורית בכל רגע נתון. התפקיד הופך להיות שילוב בין מקצועיות טכנולוגית, הבנה רגולטורית ויכולת לנהל דיאלוג מורכב מול גורמים חיצוניים.
 

תפקיד שהוא הרבה מעבר לטכנולוגיה

עם השנים התחדדה אצלי ההבנה שתפקיד ה-CISO איננו תפקיד טכנולוגי בלבד. נכון, ידע טכני עמוק הוא תנאי בסיסי, אך הוא רחוק מלהיות מספיק. האתגר האמיתי נמצא במפגש בין אנשים, תהליכים והקשר עסקי. CISO שמבין רק מערכות אבטחה יתקשה להשפיע על הארגון; לעומת זאת, CISO שמבין כיצד סיכוני סייבר מתחברים לפעילות העסקית, למוניטין וללקוחות הופך לחלק משמעותי ממנגנון קבלת ההחלטות הארגוני.
 

כשניהול סיכונים הופך לליבת התפקיד

בסופו של דבר, תפקיד ה-CISO אינו לייצר עולם ללא פרצות, יעד שאינו ריאלי, אלא לנהל סיכונים בצורה מושכלת. השאלה המרכזית אינה האם קיימת חולשה מסוימת במערכת, אלא מהי המשמעות של אותה חולשה עבור הארגון. אילו סיכונים ניתן לקבל כחלק מהפעילות העסקית, ואילו סיכונים מחייבים טיפול מיידי. היכולת לנהל את האיזון הזה היא מה שמגדיר CISO אפקטיבי.
 

הטכנולוגיה חשובה, אבל התרבות הארגונית חשובה יותר

עוד לקח משמעותי שחוזר שוב ושוב בארגונים הוא שהטכנולוגיה לבדה איננה מספיקה. ניתן להשקיע במערכות ההגנה המתקדמות ביותר, אך בסופו של דבר בני אדם הם חלק בלתי נפרד מהמערכת. עובד שמעביר מידע רגיש מהמייל האישי, משתמש בסיסמה חלשה או עוקף תהליך אבטחה מתוך לחץ עבודה — עלול להפוך את כל מערך ההגנה לפחות אפקטיבי. לכן, מעבר לכלים הטכנולוגיים, בניית תרבות ארגונית שמבינה את חשיבות אבטחת המידע היא מרכיב קריטי בחוסן הארגוני.

לאחר שנים בתפקיד CISO וכיום כיועץ לארגונים, אני יכול לומר בביטחון שהתפקיד רחוק מלהיות מוגבל לעולם הטכנולוגי. ה-CISO של היום הוא שילוב של מנהל סיכונים, מתווך בין עולמות מקצועיים שונים, ולעיתים גם מי שנדרש להרגיע ארגון שלם ברגעי משבר. בסופו של דבר, הצלחתו של CISO אינה נמדדת רק במספר המתקפות שנחסמו, אלא ביכולת של הארגון להמשיך לפעול, לצמוח ולשמור על אמון לקוחותיו גם בעולם שבו מתקפות סייבר הן כבר חלק בלתי נפרד מהמציאות העסקית.