תוכן העניינים
תשובה ישירה בפתיחה: מהו מודל הפעלה לאבטחת סייבר?
מודל הפעלה לאבטחת סייבר מגדיר כיצד תוכנית אבטחה בנויה – אילו פונקציות היא מבצעת, כיצד הפונקציות הללו מתייחסות זו לזו, וכיצד התוכנית כמכלול מתחברת ליעדים העסקיים ולפרופיל הסיכון של הארגון שעליו היא מגינה. בהיעדר מודל הפעלה, תוכניות אבטחה נוטות להתפתח באופן ריאקטיבי: דרישת ציות מובילה לרכישת בקרה, אירוע אבטחה מוביל לעדכון מדיניות, מחזור מכירה של ספק מוביל לאימוץ כלי. התוצאה היא אוסף של בקרות ופעילויות שחסר מבנה קוהרנטי, אינו מייצר תוצאת אבטחה מדידה, ואינו ניתן להצגה אמינה בפני הדירקטוריון. מודל 4 העמודים מחליף את ההצטברות הריאקטיבית בארכיטקטורה מכוונת.
מדוע רוב תוכניות האבטחה אינן שלמות מבחינה מבנית
אחרי 21 שנים של בנייה והובלה של תוכניות אבטחה במגוון ענפים, מצאתי שארגונים נופלים לדפוסי כשל צפוייםולא בגלל מחסור בהשקעה או בכוונות טובות, אלא משום שבתוכניות שלהם חסרה מבחינה מבנית אחת או יותר מארבע פונקציות האבטחה הבסיסיות.
תוכנית ממוקדת ציות בלבד משקיעה רבות בעמוד 3 (ציות רגולטורי) ומזניחה את האחרים. היא משיגה הסמכה אך אינה מפחיתה סיכון באופן מהותי, משום שהבקרות מיושמות כדי לספק רשימות תיוג של מבקרים ולא כדי להתמודד עם תרחישי איום ממשיים.
תוכנית עתירת כלים משקיעה בבקרות טכניות (חומות אש, EDR, SIEM) ללא המנהיגות האסטרטגית (עמוד 1) שמגדירה מפני מה הכלים מגינים, וללא מבנה הממשל שמבטיח שהם מופעלים ביעילות. הכלים קיימים; התוכנית לא.
תוכנית מוטת תגובה בונה יכולת תגובה חזקה לאירועים (עמוד 4) אך לא השקיעה בעבודת הפחתת הסיכונים (עמוד 2) שהייתה מונעת את התרחשות האירועים מלכתחילה. היא מצטיינת בניקיון אחרי פריצות.
תוכנית של אסטרטגיה ללא ביצוע מחזיקה בממשל מתוחכם, בדיווח לדירקטוריון ובמסגרות מדיניות (עמוד 1), אך חסרה את הביצוע התפעולי – הערכות, בדיקות, תוכניות מודעות, שמזיז בפועל את מחוג הסיכון.
כל אחד מאלה הוא סוג תוכנית אמיתי שנתקלנו בו בארגונים אמיתיים. מודל 4 העמודים נועד להבטיח שכל ארבע הפונקציות קיימות, מתוקצבות ומשולבות זו בזו.
מודל 4 העמודים: סקירה כללית
| עמוד | מה הוא מכסה | תוצרים מרכזיים | מסגרות עבודה רלוונטיות |
|---|---|---|---|
| 1. מנהיגות אסטרטגית | ממשל אבטחה, מסגרת מדיניות, דיווח לדירקטוריון, אסטרטגיית אבטחה, תיאבון סיכון, פונקציית vCISO | מסמך אסטרטגיית אבטחה, מחזוריות דיווח לדירקטוריון, ספריית מדיניות, מבנה ממשל, הצהרת תיאבון סיכון | ISO 27001 סעיפים 5-6, פונקציית Govern ב-NIST CSF, CIS Controls 1–2 |
| 2. הפחתת סיכונים | מבדקי חדירה, סקירות אבטחת ענן, סקירות ארכיטקטורת AI, סקרי סיכוני סייבר, ניהול פגיעויות, סיכוני צד שלישי | דוחות מבדקי חדירה, מרשם סיכונים, תוכנית תיקון פגיעויות, הערכות סיכוני צד שלישי, דוח תנוחת אבטחת ענן | ISO 27001 סעיפים 6-8, Identify + Protect ב-NIST CSF, CIS Controls 3-18 |
| 3. ציות רגולטורי | ISO 27001, NIS2, DORA, GDPR, SOC 2, NIST CSF, CIS Controls — יישום, מוכנות לביקורת, ליווי להסמכה | ניתוח פערים, מפת דרכים לציות, יישום בקרות, איסוף ראיות, הכנה לביקורת, ליווי להסמכה | ISO 27001, NIS2, DORA, GDPR, SOC 2, NIST CSF |
| 4. חוסן סייבר | תכנון תגובה לאירועים, תוכניות מודעות אבטחה, תרגילי שולחן, המשכיות עסקית, יכולת התאוששות | תוכנית IR, תוצאות תרגילי שולחן, תוכנית מודעות, תיעוד BCP, ספרי הפעלה להתאוששות | ISO 27001 סעיף 10, Detect + Respond + Recover ב-NIST CSF, NIS2 סעיף 21 |
עמוד 1: מנהיגות אסטרטגית
מנהיגות אסטרטגית היא שכבת הממשל שמאפשרת את כל השאר. בלעדיה, פעילויות האבטחה מנותקות מהיעדים העסקיים, אינן נושאות באחריותיות מול הדירקטוריון, ואינן מסוגלות למשוך את המשאבים הנדרשים להן.
ממשל אבטחה הממשל מגדיר מי אחראי להחלטות אבטחה, באיזו רמה ובאיזו סמכות. זה כולל את מבנה ועדת האבטחה (מי חבר בה, באיזו תדירות היא מתכנסת, מה היא מחליטה), נתיבי הסלמה מאירועי אבטחה תפעוליים ועד למודעות ההנהלה הבכירה, ואת תפקיד הדירקטוריון בפיקוח. ממשל אינו בירוקרטיה, הוא המנגנון שדרכו מתקבלות החלטות אבטחה ונשמרת אחריותיות.
מסגרת מדיניות שכבת המדיניות מתרגמת החלטות ממשל לדרישות תפעוליות. מסגרת מדיניות שלמה מכסה: מדיניות אבטחת מידע (מסמך העל), שימוש נאות, בקרת גישה, ניהול אירועים, ניהול שינויים, אבטחת ספקים, סיווג מידע והמשכיות עסקית. המדיניות חייבת להיות עדכנית, מותאמת לתפקידים ומקושרת לבקרות המיישמות אותה ולא מסמכים סטטיים שאיש אינו קורא.
דיווח ותקשורת לדירקטוריון פונקציית ה-CISO או ה-vCISO חייבת לקיים מערכת דיווח מובנית מול הדירקטוריון וההנהלה הבכירה. משמעות הדבר: תדרוכים רבעוניים עם מדדים עקביים כגון מגמת תנוחת האבטחה, סטטוס ציות, סיכונים מובילים וסיכום אירועים בשפה עסקית. CISOteria Cyber OS™ מפיקה דוחות אלה ישירות מנתוני תוכנית האבטחה החיים.
אסטרטגיית אבטחה ומפת דרכים האסטרטגיה מתרגמת את מפת האיומים של הארגון, את יעדיו העסקיים ואת חובותיו הרגולטוריות למפת דרכים רב-שנתית להשקעה באבטחה. היא מגדירה את מצב האבטחה הרצוי, את המצב הנוכחי, את הפער ביניהם ואת המסלול המתועדף מהאחד לשני. אסטרטגיה ללא מפת דרכים היא שאיפה; מפת דרכים ללא אסטרטגיה היא פעלתנות.
תיאבון הסיכון של הארגון, כלומר רמת וסוגי הסיכונים שהארגון מוכן לקבל לצורך מימוש יעדיו העסקיים, חייב להיות מוגדר ברמת הדירקטוריון, מתועד ומוטמע בתהליכי קבלת ההחלטות. תיאבון הסיכון משמש כמנגנון הכיול המרכזי של מדיניות אבטחת המידע וניהול הסיכונים. הוא מגדיר אילו סיכונים ניתן לקבל ללא פעולת הפחתה, אילו סיכונים מחייבים טיפול ובקרה, ואילו סיכונים מצדיקים השקעה משמעותית לצמצום החשיפה ולשמירה על המשכיות עסקית.
עמוד 2: הפחתת סיכונים
הפחתת סיכונים היא המנוע התפעולי של תוכנית האבטחה, העבודה שמזיזה בפועל את מחוג הסיכון. היא מזהה היכן הארגון חשוף וסוגרת חשיפות אלה באופן שיטתי.
מבדקי חדירה בדיקה יריבתית מובנית של ההיקף החיצוני של הארגון, הרשת הפנימית, יישומי Web ורגישות להנדסה חברתית. מבדקי חדירה מייצרים ממצאים ספציפיים ומדורגים המוזנים ישירות למרשם הסיכונים ולמעקב התיקון. התדירות וההיקף נקבעים לפי תיאבון הסיכון שהוגדר בעמוד 1 והדרישות הרגולטוריות שהוגדרו בעמוד 3.
סקירות אבטחת ענן סביבות ענן דורשות מתודולוגיית הערכה ייעודית: תצורת ניהול זהויות והרשאות, אבטחת אחסון, סגמנטציית רשת, כיסוי לוגים וניטור, הגנה על עומסי עבודה, ותאימות ל-benchmarks של אבטחת ענן (CIS AWS, CIS Azure, CIS GCP). סקירות אבטחת ענן מפיקות ציון תנוחה מול ה-benchmark ורשימת תיקונים מתועדפת.
סקירות ארכיטקטורת AI עבור ארגונים המטמיעים מערכות AI ובפרט כלים מבוססי LLM, סקירת אבטחה מובנית של ארכיטקטורת ה-AI מתמודדת עם סיכוני prompt injection, שלמות נתוני האימון, בקרת גישה למודלים ונתיבי דלף מידע דרך ממשקי AI. עם האצת אימוץ ה-AI, סקירת ארכיטקטורת AI הופכת לרכיב סטנדרטי בתוכניות הפחתת סיכונים.
סקרי סיכוני סייבר סקר סיכוני הסייבר של IPV Security, המכסה 18 תחומים, מספק הערכה מובנית של תנוחת האבטחה של הארגון על פני מלוא משטח האיום: ממשל, ניהול זהויות, הגנת נקודות קצה, אבטחת רשת, אבטחת ענן, הגנת מידע, סיכוני צד שלישי, תגובה לאירועים, המשכיות עסקית וציות רגולטורי, בין היתר. הסקר מכונן את מרשם הסיכונים הבסיסי שממנו פועלת התוכנית כולה.
ניהול פגיעויות זיהוי, תעדוף ותיקון שוטפים של פגיעויות טכניות במערכות הארגון. ניהול פגיעויות אפקטיבי אינו פונקציה של סריקה ודיווח אלא הוא תהליך מתמשך של זיהוי חשיפה, טריאז’ לפי השפעת הסיכון (לא רק ציון CVSS), מעקב אחר תיקון ואימות שהתיקונים אפקטיביים.
ניהול סיכוני צד שלישי סיכוני שרשרת אספקה וצד שלישי הם מווקטורי התקיפה הצומחים ביותר. עמוד 2 כולל גישה שיטתית להערכת תנוחת האבטחה של ספקים ושותפים בעלי גישה למערכות או לנתוני הארגון, להגדרת דרישות אבטחה מינימליות מספקים, ולניטור אירועי אבטחה אצל צדדים שלישיים המשפיעים על הארגון.
עמוד 3: ציות רגולטורי
ציות רגולטורי הוא שכבת מסגרות העבודה, הבטחה שתוכנית האבטחה עומדת בחובות החוקיות והחוזיות החלות על הארגון, ושהיא מסוגלת להוכיח עמידה זו בפני מבקרים, רגולטורים וצדדים נגדיים.
כיסוי מסגרות עבודה ממודל 4 העמודים תומך בניהול ויישום דרישות של מגוון רחב של מסגרות עבודה ורגולציות, ובהן ISO 27001, תקן להסמכת מערכת ניהול אבטחת מידע; NIS2, דירקטיבת האיחוד האירופי לאבטחת רשתות ומידע החלה על מגוון רחב של ישויות חיוניות וחשובות; DORA, רגולציית החוסן התפעולי הדיגיטלי של האיחוד האירופי החלה על גופים פיננסיים ועל ספקי ה־ICT שלהם; GDPR, רגולציית הגנת המידע של האיחוד האירופי החלה על כל ארגון המעבד מידע אישי של תושבי האיחוד; SOC 2, מסגרת קריטריוני Trust Services הרלוונטית לספקי טכנולוגיה ושירותים מול לקוחות אמריקאיים; NIST CSF, מסגרת לניהול סיכוני סייבר הנמצאת בשימוש נרחב בארה״ב והולכת ומתרחבת בישראל ובאירופה; וכן CIS Controls, מסגרת בקרות אבטחה ממוקדת יישום.
ניתוח פערים ומפת דרכים לציות כל התקשרות ציות מתחילה בניתוח פערים: היכן תוכנית האבטחה הנוכחית אינה עומדת בדרישות מסגרות העבודה הרלוונטיות? ניתוח הפערים מפיק מפת דרכים מתועדפת לציות כולל מה יש ליישם, באיזה סדר, עד איזה תאריך, כדי להגיע למצב ציות מוגדר.
יישום בקרות ציות למסגרות עבודה מושג באמצעות יישום בקרות – האמצעים הטכניים והארגוניים הספציפיים העונים על דרישות כל מסגרת. מכיוון שמודל 4 העמודים משתמש בספריית בקרות אחודה הממופה בין מסגרות, יישום בקרה עבור ISO 27001 מקדם בו-זמנית את הציות ל-NIS2, ל-NIST CSF ול-CIS Controls בכל מקום שבו מסגרות אלה עוסקות באותו תחום.
מוכנות לביקורת וליווי להסמכה מוכנות לביקורת אינה ספרינט טרום-ביקורת אלא היא מצב מתמשך המתוחזק באמצעות מודולי איסוף הראיות ומעקב הציות של פלטפורמת CISOteria. כאשר מתקיימת ביקורת הסמכה ל-ISO 27001 או סקירה פיקוחית של NIS2, חבילת הראיות מורכבת מהפלטפורמה תוך שעות במקום שבועות.
עמוד 4: חוסן סייבר
חוסן סייבר מכיר באמת בסיסית: אף תוכנית אבטחה אינה מבטלת את כל הסיכון. חוסן הוא היכולת לזהות אירועים, להגיב ביעילות, לשקם את הפעילות וללמוד מאירועים כדי לשפר ביצועים עתידיים.
תכנון תגובה לאירועים תוכנית תגובה לאירועים (IRP) מתועדת ונבדקת מגדירה כיצד הארגון מגיב לאירועי אבטחה לאורך מחזור החיים המלא בן 6 השלבים: היערכות, זיהוי, בלימה, מיגור, התאוששות וסקירה שלאחר האירוע. התוכנית כוללת סמכויות הסלמה, תבניות תקשורת, לוחות זמנים לדיווח רגולטורי (NIS2, GDPR, DORA) ותיאום עם יועצים משפטיים ומבטחי סייבר.
תוכניות מודעות אבטחה התנהגות אנושית היא וקטור התקיפה המנוצל בתדירות הגבוהה ביותר. עמוד 4 כולל תוכנית מודעות מתמשכת ומובחנת לפי תפקידים, החורגת מהדרכות ציות ובונה את תרבות המודעות לאבטחה שמפחיתה עם הזמן את הסיכון בגורם האנושי. סימולציות פישינג, הדרכות ייעודיות לתפקידים ומדדים התנהגותיים הם כולם רכיבים בתוכנית זו.
תרגילי שולחן תרגילי שולחן בוחנים את יכולת התגובה לאירועים של הארגון מול תרחישים ריאליסטיים, ללא השיבוש התפעולי של אירוע אמיתי. הם מאמתים את הנחות התוכנית, מזהים פערים בסמכויות ההחלטה, חושפים כשלי תקשורת ובונים את “זיכרון השרירים” שהופך תגובה אמיתית לאירוע לאפקטיבית. ארגונים המחויבים ל-NIS2 נדרשים להוכיח שיכולת ה-IR שלהם נבדקה.
המשכיות עסקית והתאוששות חוסן מחייב יכולת לקיים פעילות עסקית קריטית במהלך אירוע אבטחה ולאחריו. תכנון המשכיות עסקית (BCP) והתאוששות מאסון (DRP) מגדירים כיצד הארגון ממשיך לתפקד כאשר מערכות נפגעות, את סדר העדיפויות לשיקום מערכות קריטיות, את יעדי זמן ההתאוששות (RTO) ויעדי נקודת ההתאוששות (RPO) לכל אחת מהן, ואת הנהלים המעבירים מבלימת האירוע להתאוששות עסקית.
כיצד מודל 4 העמודים ממופה ל-NIST CSF 2.0 ול-ISO 27001
מודל 4 העמודים אגנוסטי למסגרות עבודה, הוא מספק את ארכיטקטורת ההפעלה שבתוכה ניתן ליישם כל מסגרת. המיפוי שלהלן מראה כיצד העמודים מתיישרים עם המסגרות המרכזיות, ומדגים שהמודל מכסה את מלוא ההיקף של שתיהן.
התאמה ל-NIST CSF 2.0
| פונקציית NIST CSF 2.0 | עמוד עיקרי | עמוד תומך |
|---|---|---|
| Govern | עמוד 1: מנהיגות אסטרטגית | עמוד 3: ציות רגולטורי |
| Identify | עמוד 2: הפחתת סיכונים | עמוד 1: מנהיגות אסטרטגית |
| Protect | עמוד 2: הפחתת סיכונים | עמוד 3: ציות רגולטורי |
| Detect | עמוד 4: חוסן סייבר | עמוד 2: הפחתת סיכונים |
| Respond | עמוד 4: חוסן סייבר | עמוד 1: מנהיגות אסטרטגית |
| Recover | עמוד 4: חוסן סייבר | עמוד 2: הפחתת סיכונים |
התאמה ל-ISO 27001
| סעיף ISO 27001 | עמוד עיקרי |
|---|---|
| סעיף 4: הקשר הארגון | עמוד 1: מנהיגות אסטרטגית |
| סעיף 5: מנהיגות | עמוד 1: מנהיגות אסטרטגית |
| סעיף 6: תכנון | עמוד 1 + עמוד 2 |
| סעיף 7: תמיכה | עמוד 1 + עמוד 4 |
| סעיף 8: תפעול | עמוד 2 + עמוד 3 |
| סעיף 9: הערכת ביצועים | עמוד 1 + עמוד 3 |
| סעיף 10: שיפור | עמוד 4 (סקירה שלאחר אירוע) |
| בקרות נספח A | עמוד 2 + עמוד 3 |
יישום המודל בקני מידה שונים
מודל 4 העמודים אינו תבנית אחידה לכולם. הוא נבנה בהתאמה לגודל הארגון, לבשלותו, לחשיפתו הרגולטורית ולפרופיל הסיכון שלו. ארבע הפונקציות אוניברסליות; עומק היישום שלהן משתנה.
סטארטאפ (50–150 עובדים) בקנה מידה של סטארטאפ, העדיפות היא ביסוס היסודות של כל עמוד מבלי לבנות תשתית שהארגון אינו מסוגל לקיים. עמוד 1 מספק מבנה ממשל רזה, סט מדיניות ליבה ותיעוד תיאבון סיכון. עמוד 2 מספק סקר סיכוני סייבר ראשוני לכינון קו הבסיס ומבדק חדירה חיצוני שנתי אחד. עמוד 3 מספק ניתוח פערי ציות מול המסגרת הדחופה ביותר (לרוב ISO 27001 או GDPR) ומפת דרכים להסמכה. עמוד 4 מספק תוכנית IR בסיסית מתועדת ותרגיל שולחן שנתי. ה-vCISO מספק את המנהיגות האסטרטגית על פני כל ארבעת העמודים בהיקף חלקי.
שוק הביניים (150–2,000 עובדים) בקנה מידה של שוק הביניים, התוכנית מעמיקה בכל ארבעת העמודים. עמוד 1 מוסיף ועדת אבטחה פורמלית, דיווח רבעוני לדירקטוריון ומפת דרכים אסטרטגית רב-שנתית. עמוד 2 מוסיף ניהול פגיעויות רבעוני, סקירות אבטחת ענן ותוכנית סיכוני צד שלישי. עמוד 3 מוסיף ניהול ציות רב-מסגרתי בו-זמני (בדרך כלל ISO 27001 + NIS2 או GDPR + SOC 2). עמוד 4 מוסיף תוכנית מודעות מתמשכת עם סימולציות פישינג ותכנון המשכיות עסקית.
ארגון גדול (2,000+ עובדים) תוכניות ארגוניות מפעילות את כל ארבעת העמודים בעומק מלא: מבנה ממשל מתוחכם עם ועדת אבטחה ייעודית ומחזוריות דיווח לדירקטוריון, מבדקי חדירה מתמשכים ותרגילי red team, ציות רב-מסגרתי מלא הכולל את DORA היכן שרלוונטי, ותוכניות חוסן בשלות הכוללות תרגילי שולחן סדירים ותוכניות המשכיות עסקית שנבדקו. בקנה מידה זה, ה-vCISO פועל לרוב לצד צוות אבטחה פנימי, ומספק מנהיגות אסטרטגית וממשק לדירקטוריון בעוד הצוות הפנימי מנהל את הביצוע התפעולי.
כיצד CISOteria תומכת בכל עמוד
CISOteria Cyber OS™ מספקת את התשתית התפעולית שהופכת את מודל 4 העמודים לבר-קיימא בכל קנה מידה. ללא פלטפורמה למעקב, מדידה ודיווח על פעילות התוכנית, תוכנית אבטחה בת ארבעה עמודים מייצרת נטל עצום של תיעוד ודיווח. עם CISOteria, נטל זה הופך לתהליך מובנה ואוטומטי.
תמיכה בעמוד 1: הדשבורד מספק נראות בזמן אמת של תנוחת האבטחה. מודול הדיווח לדירקטוריון מפיק דוחות מוכנים להנהלה לפי דרישה. ספריית המדיניות מתחזקת את מסגרת מדיניות הממשל עם ניהול גרסאות ומעקב אישורים.
תמיכה בעמוד 2: מרשם הסיכונים עוקב אחר כל הממצאים ממבדקי חדירה, סקירות ענן וסקרי סיכוני סייבר. מודול ניהול המשימות עוקב אחר פעולות תיקון עד לסגירה. הערכות סיכוני צד שלישי נשמרות ומקושרות לרשומות הספקים.
תמיכה בעמוד 3: מודול מעקב הציות מספק סטטוס רב-מסגרתי בו-זמני על פני ISO 27001, NIS2, DORA, GDPR, SOC 2, NIST CSF ו-CIS Controls. מודול איסוף הראיות מארגן ממצאי ביקורת מקושרים לבקרות שהם תומכים בהן, ומצמצם את ההכנה לביקורת משבועות לשעות.
תמיכה בעמוד 4: מודול ניהול האירועים עוקב אחר מחזור החיים המלא של האירוע ומפיק תיעוד לדיווח רגולטורי. רשומות השלמת הדרכות ותוצאות סימולציות פישינג משמשות כראיות ציות לתוכנית המודעות. ממצאי תרגילי שולחן מוזנים ישירות למרשם הסיכונים ולתהליך עדכון תוכנית ה-IR.
כיצד IPV Security מיישמת את המודל בפועל
כל התקשרות של IPV Security מתחילה עם מודל ההפעלה בן 4 העמודים כמסגרת המארגנת. הצעד הראשון הוא הערכת המצב הנוכחי של הלקוח בכל ארבעת העמודים, באמצעות סקר סיכוני הסייבר שלנו בן 18 התחומים וסקירת ממשל, והפקת ניתוח פערים המציג את תמונת המצב הנוכחי מול המצב הרצוי בכל ארבעת הממדים.
מקו בסיס זה, אנו מעצבים התקשרות המטפלת תחילה בפערים הדחופים ביותר (הנקבעים בדרך כלל לפי לוח זמנים רגולטורי, חשיפה לאיומים או סיכון עסקי) תוך בנייה לקראת ארכיטקטורת תוכנית שלמה. פלטפורמת CISOteria Cyber OS™ מופעלת בתחילת ההתקשרות כדי לספק את התשתית שהופכת את תוכנית ארבעת העמודים לניתנת לניהול, למדידה ולנראית להנהלת הלקוח.
המודל נבנה בהתאמה לקנה המידה – מההתקשרות הראשונה שלנו עם סטארטאפ בן 60 עובדים בדרכו להסמכת ISO 27001 ראשונה, ועד תוכנית מלאה לישות מפוקחת בת 3,000 עובדים המנהלת בו-זמנית חובות NIS2, DORA ו-ISO 27001. הארכיטקטורה זהה. העומק משתנה.
למבט מעמיק על האופן שבו שירותים בודדים ממופים למודל, עיינו במדריך תוכנית ה-vCISO שלנו ובמאמר הסקירה על vCISO.
על המחבר
עידו גנור הוא המייסד והמנכ”ל של IPV Security ויוצר CISOteria Cyber OS™ ומודל ההפעלה בן 4 העמודים לאבטחת סייבר. עם ניסיון של 21+ שנים כ-CISO ארגוני בשירותים פיננסיים, תשתיות קריטיות ומגזרי טכנולוגיה, עידו עיצב וסיפק תוכניות אבטחה לארגונים בטווח של 50 עד 50,000 עובדים בישראל ובאיחוד האירופי. מודל 4 העמודים הוא זיקוק הניסיון הזה למסגרת מובנית וסקיילבילית שכל ארגון יכול ליישם.
התחברו עם עידו ב-LinkedIn | צוות ההנהלה של IPV Security
מאמרים קשורים
- מהי תוכנית vCISO? המדריך המלא
- מהי CISOteria? פלטפורמת הניהול ל-CISO — המדריך המלא
- ממשל אבטחת סייבר ברמת הדירקטוריון: המדריך המלא למנהלים
מוכנים לבנות את תוכנית האבטחה שלכם על מודל 4 העמודים?
IPV Security מעצבת ומספקת תוכניות אבטחה הבנויות על מודל ההפעלה בן 4 העמודים – מהערכת סיכונים ראשונית, דרך ממשל ברמת הדירקטוריון וציות רב-מסגרתי, ועד חוסן סייבר. דברו עם הצוות שלנו על המצב של הארגון שלכם בכל אחד מארבעת העמודים ועל האופן שבו תיראה אצלכם תוכנית מובנית.
שאלות נפוצות
האם מודל 4 העמודים זהה למסגרת אבטחת סייבר כמו ISO 27001 או NIST CSF?
לא, וההבחנה חשובה. ISO 27001, NIST CSF ו-CIS Controls הם תקנים המגדירים אילו בקרות על הארגון ליישם ואילו תוצאות עליו להשיג. מודל 4 העמודים הוא מודל הפעלה המגדיר כיצד תוכנית אבטחה בנויה וכיצד היא מתפקדת כמכלול משולב. חשבו על מסגרת עבודה כעל תקן בנייה ועל מודל ההפעלה כעל התוכנית האדריכלית. מודל 4 העמודים אומר לכם כיצד לארגן את התוכנית; המסגרות אומרות לכם אילו בקרות לשים בתוכה. IPV Security משתמשת במודל כדי ליישם מסגרות עבודה, לא במקומן.
כמה זמן לוקח ליישם את מודל 4 העמודים?
המודל אינו מיושם בפרויקט בודד, הוא ארכיטקטורת הפעלה מתמשכת. את היסודות של כל ארבעת העמודים ניתן בדרך כלל לבסס בתוך 90 הימים הראשונים של ההתקשרות: הערכת סיכונים ראשונית, מבנה ממשל, מסגרת מדיניות, ניתוח פערי ציות ותוכנית IR. תוכנית הפועלת בכל ארבעת העמודים בעומק משמעותי מבשילה בדרך כלל לאורך 12 עד 24 חודשים, עם שיפור מתמיד המובנה בעמוד 4. אבן הדרך הראשונה אינה השלמה, היא כינון המבנה שמאפשר שיפור מתמיד.
האם ניתן ליישם את מודל 4 העמודים ללא vCISO?
ארגונים עם CISO פנימי מנוסה בהחלט יכולים ליישם את מודל 4 העמודים במשאבים פנימיים – זו מסגרת, לא שירות. עם זאת, רוב הארגונים שירוויחו ממודל הפעלה מובנה הם בדיוק אלה שחסרה להם המומחיות הבכירה הפנימית באבטחה לעצב וליישם אותו. הדפוס הנפוץ ביותר: מודל 4 העמודים מוטמע דרך התקשרות vCISO, התוכנית מכוננת ומתועדת, ויכולת פנימית נבנית עם הזמן כדי לקיים אותה. בחלק מההתקשרויות, תפקיד ה-vCISO עובר לפונקציה ייעוצית תומכת לאחר שהתוכנית מבשילה.
כיצד המודל מטפל בסיכוני אבטחת AI?
אבטחת AI משולבת במסגרת עמוד 2, העוסק בהפחתת סיכונים. סקירות ארכיטקטורת AI בוחנות סיכונים ייחודיים כגון Prompt Injection, שלמות נתוני אימון, פרטיות בתהליכי הסקה ובקרות גישה למערכות AI אג׳נטיות. הממצאים מתועדים ומשולבים במרשם הסיכונים הארגוני.
מדיניות שימוש ב־AI, כולל שימוש אחראי בכלים וניהול Shadow AI, מטופלת במסגרת עמוד 1, בעוד שהיבטי הציות, ובפרט דרישות ה־EU AI Act למערכות AI בסיכון גבוה, משולבים בעמוד 3. המודל אינו דורש מסלול נפרד לאבטחת AI, אלא משלב את סיכוני ה־AI במסגרת ניהול הסיכונים והבקרות הקיימת.
האם מודל 4 העמודים מתאים לחברות מחוץ לישראל ולאיחוד האירופי?
מודל אגנוסטי למסגרות עבודה ולגאוגרפיה. ארבע הפונקציות המרכזיות שלו, מנהיגות אסטרטגית, הפחתת סיכונים, ציות רגולטורי וחוסן סייבר, מהוות דרישות אוניברסליות לתוכנית אבטחה שלמה בכל סביבת פעילות.
המסגרות הספציפיות בעמוד 3 מותאמות לסביבה הרגולטורית הרלוונטית. ארגונים בארה״ב עשויים להתמקד ב־NIST CSF, SOC 2, HIPAA או CMMC, בעוד שארגונים בישראל עשויים לתת דגש לחוק הגנת הפרטיות הישראלי ולדרישות האיחוד האירופי בעת פעילות גלובלית. ארכיטקטורת המודל נשארת אחידה, בעוד תוכן הדרישות והבקרות משתנה בהתאם לסביבה העסקית והרגולטורית.
באיזה עמוד כדאי להתחיל אם התוכנית שלנו לא בשלה?
האינסטינקט הוא לרוב להתחיל בעמוד 3 (ציות), משום שמועדים רגולטוריים יוצרים דחיפות. אף שיש לכבד לוחות זמנים רגולטוריים, התחלה בציות בלבד מייצרת בדרך כלל תוכנית ציות ולא תוכנית אבטחה. המלצת IPV Security: להתחיל בעמוד 1 (מנהיגות אסטרטגית) – לכונן ממשל, תיאבון סיכון ומסגרת מדיניות בסיסית, במקביל להערכת סיכונים ראשונית של עמוד 2 המכוננת את מרשם הסיכונים הבסיסי. רצף זה מבטיח שעבודת הציות (עמוד 3) מעוגנת בהבנה של סיכון ממשי, ושהשקעות החוסן (עמוד 4) מטפלות בפערים הספציפיים שזוהו בהערכה. ציות ללא הבנת סיכון מייצר מסגרות שמספקות את המבקרים אך אינן מגינות על הארגון.