Know-IT

לאור התגובות לפוסט הקודם, הצגת אסטרטגיית אבטחת מידע להנהלת הארגון, בפוסט הזה ננסה להבין מהם האתגרים האסטרטגיים באבטחת מידע ואיך עלינו לענות עליהם. או במילים אחרות, מה כותבים באסטרטגיית אבטחת מידע.

כיוון שכמות האתגרים והשפעתן על הארגון משתנות מארגון אחד למשנהו, אשתדל לפרט אתגרים בצורה כללית יחסית, כאשר על כל אחד מכם, לעשות את ההתאמות, בהתאם לצורכי הארגון בו הוא פועל…

בסקר שפורסם ביולי האחרון, ע”י חברת ESG – חברת מחקר ואסטרטגיה בעולם הטכנולוגיה, תחת הכותרת – “שינויים באופק ניהול ותפעול אבטחת מידע“, נמצא כי האתגר הגדול ביותר של מנהלי מערכות מידע ומנהלי אבטחת מידע הוא אילוצי תקציב (כמה מפתיע, נכון?), אם כך, כיצד מתגברים על אילוצי תקציב?
לפני שנענה על האתגר הראשון, להלן ארבעת האתגרים הנוספים המרכיבים את רשימת חמשת האתגרים המשמעותיים ביותר, עפ”י הסקר, העומדים בפני מנהלי מערכות מידע ואבטחת מידע:

2. מעבר מניהול הגנתי (כמענה למקרה) לניהול אקטיבי מקדים, לרבות תכנון.

3. היעדר ידע וכישורים בתחומי אבטחת המידע במחלקת הטכנולוגיה.

4. ריבוי כלי אבטחה נקודתיים

5. היעדר ידע וכישורי אבטחה במחלקת אבטחת מידע עצמה.

אז מה ניתן לעשות? איך בונים אסטרטגיית אבטחת מידע העונה על חמשת האתגרים המובילים הללו?

ראשית, אין ספק שנושא התקציב הוא האתגר הקשה ביותר, ולא רק בתחום אבטחת המידע.
כולנו יודעים שבסופו של דבר הכל מסתכם בעלות. או בשפה הניהולית – עלות מול תועלת ובמקרים אחרים החזר השקעה (ROI).

כפי שהצגתי בפוסט הקודם, כאשר אנו מציגים צרכים להנהלה, עלינו לדבר במונחים של השקעה ולא מונחי עלות. העלייה באיומי הסייבר (בעולם בכלל ובארצנו בפרט), הנעשים מתוחכמים יותר ויותר מצד אחד והעלייה בדרישות הרגולציה מאידך, מייצרים אף הם דרישות השקעה באבטחה ובמיגון. מכאן, כאשר אנו כותבים אסטרטגיה לאבטחת מידע, עלינו לשלב שינויים אלו הן בצרכים והן בכדאיות הכלכלית של השקעות באבטחה. יש לקחת בחשבון שחברי הנהלה, שאינם בהכרח בעלי הבנה מעמיקה בטכנולוגיה, מבינים כי על מנת שהיחידות העסקיות יוכלו להמשיך ולתפקד, עליהם ליישר קו עם אותן דרישות רגולציה ואיומים טכנולוגיים משתנים. פעילות זו תתבצע בצורה אפקטיבית אך ורק באמצעות תאימות בין הצרכים העסקיים להשקעה באבטחה.

בנקודה זו אציין כי מניסיוני, אני מוצא יותר ויותר מנהלים עסקיים המבקשים נתונים ועדכונים בנושאי אבטחה באופן שוטף, מה שמגביר מודעות מצד כל המשתתפים וחשוב אף יותר, הבקרות, המדדים ובסופו של דבר העדכונים הופכים להיות יותר עסקיים ואפילו פיננסיים ופחות טכנולוגיים.

אם כך, בתוכנית האסטרטגית אנו רוצים להראות את התאימות בין הדרישות העסקיות לפעילות האבטחה. אחת הדרכים האפקטיביות ביותר ליישום התאימות היא באמצעות תכנון מודולרי של הקמת גופי חשיבה ופעולה משותפים, כגון: ועדות היגוי משותפות (עסקי, טכנולוגי ואבטחה) וצוותי פעולה משותפים, הכוללים עשייה משותפת, מדדים ודיווחים שוטפים למנהלים הבכירים יותר. הקמת ועדת היגוי עליונה, אפילו לשם אשרור התוכנית האסטרטגית, תניע את הארגון ליישום של קבוצות עבודה וחשיבה רחבות יותר ותיישם הלכה למעשה את האינטגרציה והתאימות בין היחידות העסקיות לפעילות אבטחת המידע.

דבר נוסף הנדרש מאסטרטגיית אבטחת מידע הוא התקדמות ולימוד מוכווני צרכים עסקיים. כאמור, האיומים והסיכונים מתקדמים ועלינו להתאים את צוות האבטחה לשינויים המתרחשים. על אסטרטגיית אבטחת המידע לכלול תוכנית התקדמות טכנולוגית לעובדים המכילה קידום מקצועי של העוסקים במלאכת אבטחת המידע באמצעות: הסמכות מקצועיות, הדרכות פנימיות, ובמידת הצורך שמירת תקציב לייעוץ חיצוני של בעלי ידע וכישורים  החסרים בארגון. תוכנית אסטרטגית יכולה אף לכלול תקציב למנטור מקצועי שילמד ויכוון את העובדים הקיימים בתחילת דרכם עם טכנולוגיות חדשות.
בדיוק לשם כך, האיגוד הישראלי לאבטחת מערכות מידע (ISSA), מקיים מפגש מקצועי בנושא הסמכות בעולם אבטחת המידע. המפגש יתקיים ב- 27.11.12, בקריה האקדמית אונו, בקרית אונו, אתם יותר ממוזמנים להגיע ולנסות לבנות אסטרטגיית לימוד בארגונכם (גילוי נאות, אני חבר באיגוד. כמו כן, תמכתי והמלצתי לקיים כנס שכזה. אני מאמין כי השירות הזה הוא בעל חשיבות עצומה לעוסקים באבטחת מידע בכלל ולחברי האיגוד בפרט).

סקר נוסף, הפעם מטעם חברת RH Technology , מראה כי למעלה מ- 70% ממנהלי הטכנולוגיה, בצפון אמריקה, התקשו למצוא אנשי מקצוע מוכשרים במהלך הרבעון השלישי של 2012 (מתקשר בעיקר לאתגרים השלישי והחמישי). מכאן ניתן להסיק כי במקרים רבים יותר קל, ובטח יותר נכון, להרחיב את הידע לעובדים קיימים מאשר למצוא עובדים מתאימים לטכנולוגיות חדשות (מעבר ללויאליות שנקבל מהעובדים המתקדמים מקצועית).

וכמובן בנוסף לעיל, יש להציג תוכנית פעולה כללית המציגה איך אבטחת המידע מאפשרת את השגת המטרות העסקיות של הארגון, תוך שמירה על תאימות לחוק ולתקנות ודרישות בעלי העניין.

לגבי אתגרי אבטחת מידע בנושא מענה לבעיות במקום תכנון מראש, וריבוי כלי אבטחה נקודתיים, הרי שמדובר בבעיות פרטניות של כל ארגון וארגון. בהקשר זה אני תמיד ממליץ ללקוחותיי לחשוב יחד עם המנהלים העסקיים ולהבין את הצרכים של הארגון.
ככל שנבין טוב יותר את הארגון, צרכיו ומטרותיו, יקל עלינו לתכנן פעילות מראש, כולל בחירת פלטפורמות עבודה וכלים אחידים ומקיפים. לצערי, יש כל כך הרבה מנהלי אבטחת מידע או אפילו מנמ”רים הרואים בכלי זה או אחר פתרון לבעיה נקודתית ומחליטים לרכוש את הפתרון. בסופו של דבר הם מוצאים עצמם משקיעים משאבים אדירים (ומשלמים תקורות מיותרות) בתפעול הכלים השונים ובסיטואציה קשה לניהול.

לנהל מערכת אינטגרטיבית פלוס מערכות לוויין תומכות קל הרבה יותר מאשר מערכות שונות המחוברות בקשרים ניהוליים בלבד. תוכנית אסטרטגית טובה, תכלול תכנון ובחירה של פלטפורמת אבטחת מידע אחת והרחבתה במהלך התקופה.

.

מי שרוצה דוגמא לתוכן עניינים מפורט יותר, מוזמן להגיב או לפנות אלי במייל

Hadar.oren@know-it.co.il, ואשמח לעזור ככל שאוכל.

בימים אלו אני מייעץ בפרויקט בניית אסטרטגיית אבטחת מידע בארגון גדול, אסטרטגיה אותה נציג להנהלה הבכירה. במקביל, קראתי מאמר על איך מתקשרים אסטרטגיית אבטחת מידע לדירקטוריון (ולהנהלה הבכירה), מפי אחד מבכירי המנהלים של הארגון ללא מטרות רווח, בעל מספר החברים הגדול ביותר בעולם בתחום אבטחת מידע ומסמיך הסכמת CISSP – ארגון 2(ISC).

להלן תובונותי:

הצגת אסטרטגיית אבטחת מידע בפני מנהלים עסקיים היא אחת הפעולות הקשות ביותר עבור אנשי אבטחת מידע. אם מדובר בדרישות חוק או רגולציה, סביר להניח שנקבל כל מה שיידרש על מנת לעמוד בדרישות. אם מדובר בפעילות מתקנת אחרי בעיה שהתעוררה או פריצה, קרי האירוע מאחורינו, ואנו מבקשים למנוע את התקיימות האירוע בשנית – גם אין בעיה.
יחד עם זאת, אם מדובר בבקשה לתקציב עבור תשתיות ו/או כלי אבטחה, זה כבר סיפור אחר לחלוטין.

במקרים בהם אנו מבקשים תקציב עבור תשתיות, החזר על השקעה הוא המוטיב הראשון שברצוננו להציג. עלינו להבין כי המנהלים העומדים מולנו, חושבים אחרת מאיתנו. הם חושבים על הכסף שייצא ועליהם לראות מה הם מקבלים בתמורה. לכן, חשוב מאוד להדגיש את התמורה העסקית שההשקעה בתשתיות תתן. במידה וניתן לכמת את התמורה בכסף, אנחנו בהחלט מתקדמים בנושא. במידה ולא, עלינו לשים דגש על התמורה המעשית ולא פחות חשוב על התרומה העקיפה של ההשקעה מבחינה עסקית.

אגב, אם אנחנו לא יודעים לומר מה נקבל בתמורה, הסיכויים שלנו לקבל תקציב נמוכים מאוד. יתרה מזאת, אני ממליץ בחום לבדוק שוב האם אנו צריכים את ההשקעה הזו מלכתחילה.

בעולם בו הסיכונים גדלים ומשתנים כל הזמן, כדאי לבדוק את סיכוני אבטחת המידע באופן תקופתי, על מנת לוודא כי אנחנו מעודכנים הן בסיכונים ובמיוחד בהשלכות העסקיות אותן יכול הסיכון לממש נגדנו. בדיקה תקופתית תאפשר מגע קבוע של תחום אבטחת המידע עם ההנהלה ותיצור תחושת שותפות בדרך להשגת המטרות העסקיות תוך כדי הגנה עליהן.

גם במצגת עצמה, זו שתראו למנהלים, הטקטיקה היא השורה התחתונה. מה אני מבקש ומה אני נותן.

יש הדוגלים בפתיח בסגנון “תנו לי לספר לכם איך אני הולך לחסוך לארגון כסף”.
פתיח הצהרתי שכזה, מושך תשומת לב ומסקרן, מה שגורם למנהלים להקשיב ולא רק להיות נוכחים בדיון. ועדיין, אני מאמין בקצת יותר רוך, וממליץ על פתיח בסגנון:
“אבטחת מידע כמאפשרת השגת יעדים עסקיים”. ואם בכל זאת רוצים לייצר פרובוקציה שתמשוך תשומת לב, אפשר לומר את אותו דבר, בדרך השלילה. משהו בסגנון:
“העדר אבטחת מידע כגורם לכישלון עסקי” (אישית, יותר אוהב את החיובי).

מוטיב קריטי נוסף הוא השפה. בל נשכח, הנהלת הארגון, ובטח חברי הדירקטוריון, אינם (בד”כ) אנשי טכנולוגיה ו/או אבטחה. הם בהגדרה מומחים לעסקים. לכן, הסברים מפורטים על הטכנולוגיה לא רק שלא ישרתו את המטרה, אלא להיפך, הדברים ירדימו אותם ויגרמו להם לאבד אותנו, עלינו לדבר בשפה העסקית.
נכון, אתם צודקים. לא כל סיכון הנובע מאבטחת מידע אפשרי לתיאור בשפה עסקית. אי אפשר להסביר התקפות קוד על מסדי נתונים (כגון: SQL Injuction) בשפה עסקית…. מה שכן אפשר לעשות הוא להשתמש באנלוגיות מהחיים או מעולם העסקים על מנת להסביר. במקרה של הזרקת SQL, להסביר את חשיבות בדיקות הקלט ואפילו להשתמש בדוגמא של קלט מספר תעודת זהות, במבנה של תשע ספרות לרבות ספרת ביקורת המוודא כי אכן המספר חוקי ודוגמאות נוספות לבדיקת הקלט. אלה דוגמאות שכל הדיוט מבין, על אחת כמה וכמה הדיוט מנוסה המשמש מנהל בכיר או חבר דירקטוריון.

אותו מנהל בכיר, מר הורד טיפטון, משתמש במאמרו בדוגמא של תוכנית אבטחת מידע כבניה של בית.
לא מספיק שיש תוכנית לשלד המבנה, אלא עלינו להתאימה לעמידה בדרישות חוקי העזר העירוניים כתנאי סף לביצוע הבניה (אנלוגיה לתאימות רגולציה כמובן). אנלוגיה נוספת היא השימוש בחיווט חשמל במקום כבלי סאונד ייעודיים. שימוש זה יחסוך כמה דולרים במהלך הבניה, אך מה ההשלכות בטווח הרחוק? מה ההשלכות של שימוש בחלונות זכוכית דו שכבתית או תלת שכבתית כאשר מתייחסים לחיסכון באנרגיה וטכנולוגיה ירוקה?

בסופו של דבר, הצגה למנהלים בכירים ולחברי דירקטוריון דורשת תרגול.
על מנת להצליח להעביר מסר ולקבל תקציב ראוי, עלינו לזכור מיהו הקהל היושב מולנו, עלינו לפרק כל נושא מורכב לפיסות מידע קליטות ומובנות ע”י קהל המטרה ועלינו תמיד לסכם במונחים של התמורה.

בבואנו להציג למנהלים בכירים את אסטרטגיית אבטחת המידע, עלינו לנסות לראות את פני הדברים מנקודת מבטם. נסו להיכנס לנעליהם ולהבין מה מניע אותם ומה חשוב להם.

כיוון שמדובר במשאבים מוגבלים, עלינו להדגיש מדוע אבטחת מידע חשובה לפעילות העסקית תוך דגש על הסיכונים הכרוכים סביב העדר אבטחה נאותה.

טיפ אחרון: נסו להיות ויזואליים. לא סתם אומרים שתמונה אחת שווה אלף מילים.

לסיכום:

1. אנחנו לא מבקשים תקציב על בסיס עלות, אלא על בסיס השקעה, לרבות הצגת החזר בגין ההשקעה (ROI).

2. עלינו לייצור אינטראקציה בין מנהל/י אבטחת המידע וההנהלה הבכירה על בסיס קבוע. גרמו להנהלה להיפגש עמכם באופן תדיר ולא רק בעת צורך בתקציב נוסף.

3. דברו בשפה עסקית ולא טכנולוגית. השתמשו באנלוגיות מחיי היום יום על מנת לוודא הבנה של מטרות אבטחת המידע.

4. בצעו תיאום ציפיות. לא יעלה על הדעת שמנהלים יחשבו שבעקבות מתן תקציב גבוה יותר הארגון יהיה 100% מוגן, מהסיבה הפשוטה שהוא לא.
תיאום ציפיות היא הסכמה או לפחות ההבנה כי שימוש בבקרות אלה ואחרות, יפחיתו את הסיכונים.

.

חושבים שיש לכם מה להוסיף? אשמח מאוד לשמוע את דעתכם.