תוכן העניינים
תשובה ישירה בפתיחה: מדוע המצב השתנה
ממשל תאגידי בסייבר ברמת הדירקטוריון הפך מהמלצת Best Practice לדרישה משפטית מחייבת. תחת NIS2, DORA, כלל הגילוי בנושא סייבר של ה-SEC ופונקציית ה-Govern החדשה של NIST CSF 2.0, עידן ההאצלה המלאה של אבטחת הסייבר למחלקת ה-IT, בעוד הדירקטוריון נותר בלתי מעודכן, הסתיים. דירקטוריונים שאינם יכולים להוכיח פיקוח פעיל ומיודע על מצב הסייבר של הארגון חשופים כיום לאחריות אישית בגין כשלי ניהול, לחובות גילוי פומביות ולנזק המוניטיני של היתפסות לא מוכנים כאשר מתרחש אירוע.
מדוע דירקטוריונים נושאים כיום באחריות משפטית
המעבר מממשל תאגידי וולונטרי לאחריותיות משפטית הונע על ידי ארבע התפתחויות רגולטוריות החלות ישירות על דירקטוריונים של ארגונים בישראל ובאיחוד האירופי.
דירקטיבת NIS2 – אחריות אישית של גוף הניהול סעיף 20 ל-NIS2 הוא הוראת הממשל התאגידי המשמעותית ביותר בדירקטיבה. הוא מחייב שגופי הניהול יאשרו, יפקחו וייטלו אחריות אישית על אמצעי אבטחת הסייבר שהארגונים שלהם מיישמים. סעיף 20 מרחיק לכת יותר מרוב מסגרות הממשל התאגידי: הוא קובע אחריות אישית של חברי גוף הניהול כיחידים בגין כשלים ביישום אמצעי אבטחה נאותים, ומחייב שחברי גוף הניהול יעברו הכשרת סייבר כדי לשמר ידע מספק המאפשר לזהות סיכונים ולהעריך את פרקטיקות ניהול הסיכונים.
אין מדובר בסיכון תיאורטי. לרשויות המוסמכות הלאומיות המיישמות את NIS2 יש סמכות מפורשת להטיל אחריות אישית על חברי גוף הניהול ולא רק קנסות תאגידיים על הארגון.
DORA – אחריותיות גוף הניהול בשירותים פיננסיים עבור ישויות פיננסיות הכפופות ל-DORA, גוף הניהול נושא באחריות ישירה למסגרת ניהול סיכוני ה-ICT, מכלול המדיניות, הנהלים והבקרות המסדירים את החוסן התפעולי הדיגיטלי. DORA מחייבת שגוף הניהול יגדיר ויאשר את סבולת הסיכון לסיכוני ICT, יאשר את אסטרטגיית ניהול סיכוני ה-ICT, יאשר את מדיניות ההמשכיות העסקית בתחום ה-ICT ויבטיח משאבים נאותים לניהול סיכוני ICT. חברי גוף הניהול מצופים לשמור על עדכניות הידע והמיומנויות שלהם. תקנים טכניים רגולטוריים מגדירים דרישות הכשרה מינימליות.
כלל הגילוי בנושא סייבר של ה-SEC (Rule 33-11216, דצמבר 2023) עבור חברות הנסחרות בארה”ב עם פעילות ישראלית או ישויות דואליות, כלל ה-SEC מחייב גילוי אירוע סייבר מהותי בתוך ארבעה ימי עסקים ממועד קביעת המהותיות וכן גילוי שנתי של תפקיד הפיקוח של הדירקטוריון על ניהול סיכוני הסייבר. כך נוצר תיעוד אחריותיות פומבי: ה-SEC והמשקיעים יכולים לראות האם הדירקטוריון גילה מבנה ממשל תאגידי בעל משמעות, או שהפיקוח על הסייבר קיים על הנייר בלבד.
NIST CSF 2.0 – פונקציית ה-Govern החדשה NIST CSF 2.0 (פורסם בפברואר 2024) הציג פונקציית יסוד חדשה: Govern. פונקציה זו מכסה את ההקשר הארגוני, אסטרטגיית ניהול הסיכונים, תפקידים ותחומי אחריות, מדיניות ופיקוח – כולם תחומי אחריות ברמת דירקטוריון. מיקומה כפונקציה הראשונה במסגרת מאותת על שינוי מהותי: ממשל תאגידי בסייבר אינו פעילות תומכת, אלא היסוד שעליו נבנה כל השאר.
מסגרת האחריותיות הרגולטורית
| מסגרת | מי נושא באחריות | דרישה | סנקציה |
|---|---|---|---|
| NIS2 סעיף 20 | חברי גוף הניהול באופן אישי | אישור אמצעי אבטחה; השלמת הכשרת סייבר; אחריות אישית לכשלים | עד €10M / 2% מהמחזור הגלובלי (ישויות חיוניות); €7M / 1.4% (ישויות חשובות) + אחריות אישית |
| DORA סעיף 5 | גוף הניהול של ישויות פיננסיות | אישור מסגרת סיכוני ICT; הגדרת סבולת סיכון; הבטחת משאבים נאותים | אמצעי פיקוח; עד €5M ליחידים שהפרו את חובתם |
| SEC Rule 33-11216 | הדירקטוריון (חברות הנסחרות בארה”ב) | גילוי שנתי של מבנה הפיקוח של הדירקטוריון; גילוי אירוע מהותי בתוך 4 ימים | אכיפת SEC; סיכון לתביעות משקיעים |
| GDPR סעיף 83 | בעלי שליטה במידע (ברמת הארגון) | אמצעים טכניים וארגוניים נאותים; ציות בר-הוכחה | עד €20M / 4% מהמחזור השנתי הגלובלי |
| ISO 27001 סעיף 5 | ההנהלה הבכירה | מחויבות מנהיגותית; בעלות על מדיניות; הקצאת משאבים | אובדן הסמכה; כשל בביקורת |
3 השאלות שכל דירקטוריון חייב להיות מסוגל לענות עליהן
ממשל תאגידי טוב אינו מחייב שחברי הדירקטוריון יבינו תצורות של חומות אש או שיטות דירוג חולשות. הוא מחייב שיבינו שלושה דברים יסודיים על מצב האבטחה של הארגון שלהם:
שאלה 1: האם אנו מוגנים כראוי מפני האיומים הצפויים ביותר לפגוע בארגון כמו שלנו?
מענה על שאלה זו מחייב הבנה של נוף האיומים הרלוונטי לענף, לגיאוגרפיה ולגודל של הארגון ולא בפירוט טכני, אלא במונחי סיכון.
מהם וקטורי התקיפה הסבירים ביותר? מהי חשיפת הארגון לכופרה, להונאות דוא”ל עסקי (BEC), למתקפות שרשרת אספקה? הדירקטוריון צריך לקבל תשובה לשאלה זו בשפה של סיכון עסקי, לא בז’רגון אבטחתי.
שאלה 2: האם אנו עומדים בחובות הרגולטוריות שלנו, והאם אנו יודעים על פערים לפני שהמבקרים שלנו מוצאים אותם?
עבור ארגונים הכפופים ל-NIS2, ל-DORA, ל-GDPR, ל-ISO 27001 או לכל מסגרת אחרת, הדירקטוריון זקוק לנראות בזמן אמת של מצב הציות ולא לדוח מוכנות לביקורת פעם בשנה. פערים צריכים לעלות לדירקטוריון כסיכונים, בצירוף תוכניות תיקון ולוחות זמנים.
דירקטוריונים שלומדים על פערי ציות רק כאשר המבקרים מוצאים אותם, נכשלו במבחן הממשל התאגידי.
שאלה 3: אם נותקף הלילה – מה קורה?
הדירקטוריון צריך להבין את יכולת התגובה לאירועים של הארגון – האם קיימת תוכנית, האם היא נבדקה, מי אחראי להוביל את התגובה, מהן חובות ההיוודעות הרגולטוריות, וכיצד נראה מצב ההמשכיות העסקית. זו אינה שאלה טכנית; זו שאלת מוכנות שכל חבר דירקטוריון צריך להיות מסוגל לשאול ולקבל עליה תשובה אמינה.
שלוש השאלות הללו מגדירות את רף המינימום של פיקוח מיודע. אם הדירקטוריון אינו מסוגל לענות עליהן, אם לא קיים מבנה מידע ההופך את התשובות הללו לזמינות, מבנה הממשל התאגידי אינו נאות ואין זה משנה מה כתוב בפרוטוקולי ישיבות הדירקטוריון.
כיצד בונים מבנה דיווח סייבר לדירקטוריון
מבנה דיווח סייבר לדירקטוריון מורכב מארבעה רכיבים:
1. הגדרה פורמלית של אחריות הפיקוח בדירקטוריון על הדירקטוריון להקצות באופן פורמלי את אחריות הפיקוח על הסייבר למליאת הדירקטוריון, לוועדת הביקורת או לוועדת סיכונים ואבטחה ייעודית. ההקצאה חייבת להיות מתועדת בכתבי המינוי של ועדות הדירקטוריון ובמסגרת הממשל התאגידי של הארגון. זהו המבנה שה-SEC מחייב לגלות בפומבי ושמבקרי NIS2 יבחנו.
2. קו דיווח ישיר מהנהגת האבטחה אל הדירקטוריון ל-CISO או ל-vCISO חייבת להיות מערכת דיווח מובנית וסדירה מול הדירקטוריון, לא כזו המתווכת במלואה דרך המנכ”ל או סמנכ”ל הטכנולוגיות. משמעות הדבר: לפחות שני תדריכי אבטחה פורמליים ברמת דירקטוריון בשנה, כשמוביל האבטחה מציג ישירות ולא באמצעות תקציר מואצל. מבנה זה מבטיח שהדירקטוריון ישמע הערכת אבטחה בלתי מסוננת, ולא גרסה שעוצבה על ידי סדרי עדיפויות ארגוניים מתחרים.
3. פורמט דיווח סטנדרטי ומותאם לדירקטוריון דוחות לדירקטוריון חייבים להיות מעוצבים עבור קהל היעד שלהם. פרטים טכניים מקומם בדוחות תפעוליים; דוחות לדירקטוריון צריכים לכלול: מגמת מצב האבטחה הכוללת (משתפרת, יציבה, מידרדרת), הסיכונים המובילים לפי השפעה עסקית, סטטוס ציות לפי מסגרת, סיכום אירועים לתקופה, משימות פתוחות עם אחריותיות וסטטוס, ונרטיב של השקעה מול הפחתת סיכון. CISOteria Cyber OS™ מפיקה דוחות אלה ישירות מהנתונים החיים של תוכנית האבטחה, ומייתרת את תהליך ההרכבה הידני.
4. פרוטוקולי הסלמה ברורים הדירקטוריון חייב לדעת מתי יקבל התראה מחוץ למחזורי הדיווח הסדירים ובאופן ספציפי, איזו חומרת אירוע מפעילה התראה מיידית לדירקטוריון, מי מבצע את ההתראה ובאיזה ערוץ. תחת NIS2, יש ליידע את גוף הניהול על אירועים משמעותיים באופן מיידי. פרוטוקול ההסלמה חייב להיות מתועד ולהיבחן לפני שיידרש בפועל.
כך נראים מדדים ברמת דירקטוריון
מדדים לדירקטוריון חייבים להיות משמעותיים, עקביים ומוכווני מגמה. המדדים הבאים מתאימים לדיווח ברמת דירקטוריון, הם משקפים את פרופיל הסיכון מבלי לדרוש פרשנות טכנית.
זמן ממוצע לגילוי (MTTD) הזמן הממוצע בין התרחשות אירוע אבטחה לבין המועד שבו הארגון נעשה מודע לו. MTTD יורד מעיד על שיפור ביכולת הגילוי. MTTD הנמדד בשבועות או בחודשים (IBM מדווחת על ממוצע ענפי של 194 ימים) מעיד על פער גילוי שצריך להטריד גם ברמת הדירקטוריון.
זמן ממוצע לתגובה (MTTR) הזמן הממוצע מגילוי האירוע ועד לבלימתו. MTTR מודד את אפקטיביות התגובה. MTTR גבוה בשילוב עם תדירות פריצות גבוהה הוא איתות ברור לכך שיכולת התגובה לאירועים זקוקה להשקעה.
מצב ציות לפי מסגרת מבוטא כאחוז הבקרות הנדרשות שיושמו במלואן, בצירוף קו מגמה. הדירקטוריון אינו צריך לדעת אילו בקרות ISO 27001 ספציפיות יושמו חלקית, הוא צריך לדעת האם מצב הציות משתפר או מידרדר ומהו אחוז המוכנות לביקורת לקראת מחזור ההסמכה הבא.
מגמת סיכונים מספר הסיכונים הפתוחים במרשם הסיכונים, מסווגים לפי חומרה, בצירוף קו מגמה על פני ארבעת הרבעונים האחרונים. הדירקטוריון צריך לראות האם פרופיל הסיכון הכולל משתפר (סיכונים נסגרים באמצעות תיקון), יציב, או גדל (סיכונים חדשים מצטברים מהר יותר מקצב הטיפול בהם).
השקעה באבטחה מול הפחתת סיכון מדד נרטיבי המחבר בין הוצאות האבטחה לתוצאות בסיכון – מה מצאה וסגרה ההשקעה במבדקי חדירה? מה השיגה תוכנית המודעות בהפחתת שיעור ההקלקות על פישינג? דירקטוריונים מאשרים תקציבים; עליהם לראות מה התקציבים הללו הניבו.
תדירות וחומרת אירועים מספר אירועי האבטחה בתקופת הדיווח, מסווגים לפי חומרה, בהשוואה לתקופות קודמות. על הדירקטוריון להבין האם נפח האירועים עולה, האם החומרה מסלימה והאם סוגי האירועים משתנים.
באיזו תדירות על הדירקטוריון לקבל תדריכי סייבר
מינימום: פעמיים בשנה – תדריך מקיף על מצב האבטחה, הכולל את כל ששת המדדים לעיל, את תמונת הציות ואת סדרי העדיפויות לתקופה הקרובה. תדריכים חצי-שנתיים הם קו הבסיס הנדרש כדי להוכיח ממשל תאגידי משמעותי ולא פיקוח למראית עין.
מומלץ: רבעוני – תדריך מלא עם מערך המדדים המלא, מסונכרן עם מחזורי הדיווח הכספי, כך שמצב האבטחה יהיה סעיף שגרתי בסדר היום של הדירקטוריון לצד הביצועים הפיננסיים והתפעוליים.
לפי דרישה (בעת הצורך): התראה מיידית על אירועים משמעותיים (כמוגדר בפרוטוקול ההסלמה), שינויי ציות מהותיים, או תמורות משמעותיות בנוף האיומים המשפיעות על פרופיל הסיכון של הארגון. חברי דירקטוריון לא צריכים ללמוד על אירוע משמעותי מסיקור תקשורתי.
הפורמט חשוב לא פחות מהתדירות. צלילת עומק של 60 דקות פעם בשנה אפקטיבית פחות מארבעה תדריכים ממוקדים של 20 דקות השומרים על התמצאות רציפה של חברי הדירקטוריון. המטרה היא שחברי הדירקטוריון יפתחו הבנת בסיס של מצב האבטחה, ההופכת כל תדריך עוקב למובן במקום להתחיל מאפס בכל פעם.
כשלי ממשל תאגידי נפוצים וכיצד להימנע מהם
כשל 1: האבטחה מואצלת במלואה כלפי מטה ללא נראות לדירקטוריון דפוס הכשל הנפוץ ביותר: הדירקטוריון ממנה את “ה-IT” כאחראי לאבטחת הסייבר ואינו מקבל שום דיווח נוסף אלא אם מתרחש אירוע. זהו ממשל תאגידי על הנייר בלבד. התיקון: הקימו מבנה דיווח פורמלי עם בעל אחריות פיקוח מוגדר ברמת הדירקטוריון וקו דיווח ישיר וסדיר מה-CISO או ה-vCISO.
כשל 2: דוחות לדירקטוריון עמוסים במדדים טכניים שהדירקטוריון אינו יכול לפרש דירקטוריון המקבל גרפים של ספירת חולשות וציוני CVSS אינו יכול לקיים פיקוח משמעותי. דירקטוריונים מעבדים סיכון במונחים עסקיים. התיקון: עצבו את הדוחות לדירקטוריון מתוך התחשבות ביכולת הפרשנות שלו – סיכון, השפעה, מגמה, אחריותיות.
כשל 3: התייחסות לציות כאל תוכנית האבטחה עצמה ארגונים הממקדים את השקעת האבטחה בהשגת הסמכה במקום בהפחתת סיכון עוברים לעיתים קרובות את הביקורות בעודם פגיעים תפעולית. מבקרי NIS2 נעשים מתוחכמים יותר ויותר בהבחנה זו. התיקון: בנו תוכנית אבטחה המעוגנת בהפחתת סיכון, כשהציות הוא תוצר ולא המטרה.
כשל 4: אי-עמידה בדרישות ההכשרה לדירקטוריון תחת NIS2 סעיף 20 ל-NIS2 מחייב שחברי גוף הניהול יקבלו הכשרה מספקת להבנת סיכוני סייבר. ארגונים רבים טרם יישמו דרישה זו. התיקון: קבעו תדריכי סייבר מחייבים להנהלה ולדירקטוריון כתוכנית מתועדת ומחזורית, ושמרו תיעוד.
כשל 5: תוכנית התגובה לאירועים אינה נסקרת ברמת הדירקטוריון דירקטוריונים מאשרים לעיתים קרובות את עצם קיומה של תוכנית IR מבלי לסקור את תוכנה או לבחון את הנחותיה. כשמתרחש אירוע, הדירקטוריון מגלה בדיעבד שהתוכנית אינה מספקת. התיקון: כללו את סטטוס תוכנית ה-IR ואת תוצאות תרגילי השולחן (Tabletop) בדיווח השנתי לדירקטוריון, וודאו שהדירקטוריון מבין את פרוטוקול ההסלמה שיופעל בעת אירוע.
הגישה של IPV Security לממשל תאגידי בדירקטוריון
שירותי הייעוץ להנהלה הבכירה של IPV Security נועדו במפורש לסגור את הפער בין ניהול אבטחה טכני לבין ממשל תאגידי ברמת הדירקטוריון. הגישה שלנו בנויה סביב הפיכת האבטחה לנראית בכל רמה, מהפירוט התפעולי שה-vCISO מנהל ועד לדיווח מותאם-דירקטוריון שמנהלים ודירקטורים יכולים להשתמש בו כדי לעמוד בחובות הממשל התאגידי שלהם.
CISOteria Cyber OS™ מספקת את התשתית המאפשרת להפוך ממשל תאגידי ברמת הדירקטוריון לתהליך מתמשך, סדור ובר קיימא, ולא לאירוע חד פעמי. תצוגת הדירקטוריון בפלטפורמה מעניקה לחברי הדירקטוריון תמונת מצב עדכנית וישירה של רמת האבטחה בארגון, הכוללת מצב אבטחה כללי, סטטוס ציות, מגמות סיכון וסיכום אירועים. המידע זמין בכל עת ולא רק במסגרת תדריכים רבעוניים. כאשר חברי הדירקטוריון מעלים שאלות בין ישיבות, המענה זמין בפלטפורמה ללא צורך באיסוף נתונים ידני ובהכנת תמונת מצב מחדש על ידי צוות האבטחה.
אנו בונים את מערך הדיווח לדירקטוריון סביב שלוש שאלות מרכזיות של ממשל תאגידי: האם הארגון מוגן? האם הוא עומד בדרישות הציות? האם הוא ערוך להתמודדות עם אירועי סייבר? הדיווח מוצג בפורמט ממוקד שניתן לסקור בתוך כ־15 דקות ומספק לדירקטוריון את המידע הנדרש לצורך פיקוח אפקטיבי וקבלת החלטות מבוססת סיכונים.
עבור ארגונים שטרם השלימו את דרישות ההכשרה של גוף הניהול בהתאם ל־NIS2, אנו מתכננים ומעבירים תוכניות הכשרה ייעודיות להנהלה ולדירקטוריון, העומדות בדרישות הרגולטוריות ובמקביל מחזקות את יכולת הממשל התאגידי להתמודד עם אחריותו בתחום הסייב
למידע נוסף, עיינו במדריכים המפורטים שלנו על פלטפורמת CISOteria ועל תוכנית ה-vCISO התומכת בממשל תאגידי בתחום האבטחה ברמת הדירקטוריון.
על המחבר
עידו גנור הוא המייסד והמנכ”ל של IPV Security ויוצר ה-CISOteria Cyber OS™. עם ניסיון של יותר מ-21 שנים כ-CISO בארגונים גדולים בתחומי השירותים הפיננסיים, התשתיות הקריטיות והטכנולוגיה, עידו תדרך דירקטוריונים במגוון ענפים ותחומי שיפוט בנושאי ממשל תאגידי בסייבר, אחריותיות רגולטורית וביצועי תוכניות אבטחה. הוא מייעץ לארגונים בינוניים וגדולים בישראל ובאיחוד האירופי בבניית ממשל תאגידי בסייבר ברמת דירקטוריון, העומד בדרישות NIS2, DORA וה-SEC תוך השגת הפחתת סיכון אמיתית.
התחברו עם עידו ב-LinkedIn | צוות ההנהלה של IPV Security
מאמרים קשורים
- מה זה CISOteria? פלטפורמת הניהול ל-CISO — הסבר מלא
- מה זו תוכנית vCISO? המדריך המלא
- מודל התפעול לאבטחת סייבר בן 4 העמודים — הסבר
מוכנים לבנות ממשל תאגידי בסייבר ברמת דירקטוריון?
IPV Security מעצבת מבני ממשל תאגידי המעניקים לדירקטוריון שלכם את הנראות, הדיווח וההכשרה הדרושים לעמידה בחובותיו המשפטיות תחת NIS2, DORA וכללי ה-SEC – מבלי לדרוש מחברי הדירקטוריון להפוך למומחי אבטחה.
שאלות נפוצות
מה משמעות “האחריות האישית של גוף הניהול” לפי NIS2 בפועל?
סעיף 20 ל-NIS2 קובע שגופי ניהול, דירקטוריונים, דירקטורים ומנהלים בכירים בעלי אחריות ממשל תאגידי, עשויים לשאת באחריות אישית בגין כשלים ביישום אמצעי אבטחה נאותים. בפועל, המשמעות היא שרשויות מוסמכות לאומיות יכולות לנקוט הליכי אכיפה נגד יחידים ולא רק נגד הישות המשפטית. הרגולציה המיישמת והחקיקה הלאומית המאמצת (גרמניה, הולנד ומדינות נוספות כבר השלימו את האימוץ) מגדירות את התנאים שבהם חלה אחריות אישית. הטריגר המרכזי הוא אי-מילוי חובות הממשל התאגידי שסעיף 20 מחייב: אישור אמצעי אבטחה, הבטחת הכשרה וקיום פיקוח. דירקטוריונים המסוגלים להוכיח פיקוח מתועד, פעיל ומיודע מפחיתים משמעותית את חשיפתם לאחריות אישית.
כיצד מתמודדים עם חברי דירקטוריון ללא רקע בסייבר?
זהו המצב הרגיל, לא החריג. מדירקטוריונים לא מצופה להכיל מומחי אבטחה, מצופה מהם להכיל מקבלי החלטות מיודעים, המקבלים ייעוץ מומחה הולם ומקיימים פיקוח על תוכנית האבטחה. המבנה התומך בכך: תדריכים סדירים ומעוצבים כראוי מה-CISO או ה-vCISO; מומחה תוכן מוגדר שהדירקטוריון יכול לפנות אליו בשאלות ספציפיות; ופורמט דיווח המעוצב ליכולת הפרשנות של הדירקטוריון ולא של צוות האבטחה. NIS2 מחייבת מתן הכשרה; הכשרה זו צריכה לכסות את חובות הממשל התאגידי של חברי הדירקטוריון, לא תפעול אבטחה טכני.
מה ההבדל בין פיקוח על סייבר של ועדת ביקורת לבין פיקוח של ועדת סיכונים?
שני המבנים לגיטימיים; הבחירה תלויה במבנה הוועדות הקיים של הדירקטוריון ובפרופיל הסיכון של הארגון. פיקוח של ועדת ביקורת נוטה להתמקד בממדי ציות – אפקטיביות בקרות, ממצאי ביקורת, חובות רגולטוריות. פיקוח של ועדת סיכונים נוקט מבט רחב יותר, הכולל סיכוני סייבר אסטרטגיים ותפעוליים לצד סיכוני שוק וסיכונים פיננסיים. עבור ארגונים עם חשיפה משמעותית לסיכוני סייבר (שירותים פיננסיים, תשתיות קריטיות, מעבדי נתונים גדולים), ועדת סיכונים ייעודית עם אחריות מפורשת לפיקוח על סייבר אפקטיבית בדרך כלל יותר. כלל ה-SEC מחייב גילוי של הוועדה בדירקטוריון (או מליאת הדירקטוריון) הנושאת באחריות הפיקוח על הסייבר.
כיצד על הדירקטוריון להגיב כשה-CISO מציג דוח מצב אבטחה גרוע?
התגובה הראויה היא ממשל תאגידי, לא בהלה. חדשות רעות מה-CISO הן אינדיקציה לכך שמערכת הדיווח עובדת, מובילי אבטחה המציגים רק דוחות חיוביים או מנהלים את ציפיות הדירקטוריון באופן לא ראוי, או פועלים בתוכנית שהיא אכן בשלה באמת. כשהדירקטוריון מקבל דוח מצב אבטחה מדאיג, תגובת הממשל התאגידי היא: לשאול מה נעשה בנוגע לפערים שזוהו, לוודא שהמשאבים מספיקים לטיפול בהם, להבין את לוח הזמנים לשיפור, ולוודא שהנושא מנוטר עם אחריותיות בדיווחים הבאים. תפקיד הדירקטוריון הוא פיקוח והקצאת משאבים, לא פתרון בעיות תפעולי.
האם הדירקטוריון שלנו זקוק לביטוח סייבר כדי לעמוד בחובות הממשל התאגידי שלו?
ביטוח סייבר הוא מנגנון להעברת סיכון, לא תחליף לממשל תאגידי. קיומו של ביטוח סייבר אינו ממלא את חובות הממשל התאגידי לפי NIS2 או DORA, הוא מספק הגנה פיננסית לקטגוריות מסוימות של עלויות פריצה. חובות הממשל התאגידי מחייבות פיקוח פעיל, הכשרה ואחריותיות, בין אם קיים ביטוח ובין אם לאו. עם זאת, על הדירקטוריון להבין את כיסוי ביטוח הסייבר של הארגון ולוודא שהוא הולם את פרופיל הסיכון שלו. תנאי הפוליסה מחייבים לעיתים קרובות קיום בקרות אבטחה ספציפיות, תוכניות IR שנבדקו ותוכניות לניהול עדכונים, יישור דרישות הביטוח עם תוכנית האבטחה הוא צעד ממשל תאגידי מעשי.