פתרונות
התחילו מהמקום
שבו אתם באמת נמצאים.
אף אחד לא קם בבוקר בתשוקה לניהול סיכוני צד שלישי. קמים כי לקוח שלח שאלון, או כי חוזה דורש תעודה, או כי משהו קרה אתמול בלילה. מצאו את המצב שלכם.
לקוח שלח לנו שאלון אבטחה עם 300 שאלות.
מישהו בחברה שלכם יושב עכשיו מול גיליון אלקטרוני ומנחש. השאלות מניחות שיש לכם מדיניות, בעלים, מלאי נכסים, סקירת הרשאות, תוכנית תגובה לאירועים: תוצרים, לא כוונות. אתם יכולים לענות עליו בכנות ולהפסיד את העסקה, או לענות עליו באופטימיות ולחתום על משהו שלא תוכלו להגן עליו מאוחר יותר.
קראו עודאנחנו צריכים ISO 27001 כדי לסגור את העסקה הזאת.
לא קמתם בבוקר בתשוקה למערכת ניהול. לקוח הכניס הסמכה לחוזה, ועכשיו תקן שנכתב לארגונים גדולים נחת על חברה שאין לה צוות אבטחה. השאלה שאתם שואלים אינה "איך מקבלים הסמכה"; היא "מהי הדרך הכנה הקצרה ביותר לחתימה".
קראו עודהלקוח האמריקאי שלנו לא יחתום בלי SOC 2.
הקונה האמריקאי ביקש דוח, לא תעודה, ואלה שני דברים שונים. SOC 2 הוא אישרור (attestation) של חברת רואי חשבון אמריקאית לגבי בקרות שהפעלתם על פני תקופת זמן, כלומר הדוח לא יכול להיות מופק מהר יותר מהתקופה שהוא מתאר. עובדה אחת זו מסדרת מחדש את כל התוכנית שלכם.
קראו עודתיקון 13 דורש DPO. מעולם לא מינינו אחד.
חוק הגנת הפרטיות בישראל מחייב כעת ארגונים רבים למנות ממונה על הגנת הפרטיות (DPO) וממונה אבטחת מידע: תפקידים אמיתיים, מוגדרים בשם, מוסמכים, עם חובות, לא שורה במדיניות. לרוב חברות השוק הבינוני הישראליות אין אף אחד מהם, הן לא שמו לב, והן אינן ציותיות בנקודה הזאת בלבד עוד לפני שמישהו בכלל מסתכל על מאגרי המידע שלהן. החוק יצר שני תפקידים; השאלה היא מי מבצע אותם בחברה שלכם היום.
קראו עודשילבנו פיצ'ר AI ולקוחות שואלים מי מפקח עליו.
המודל נכנס למוצר כי הוא שיפר את המוצר. אף אחד לא כתב על אילו נתונים הוא אומן, מי סוקר את הפלטים שלו, מה קורה כשהוא טועה, או לגבי אילו מהמשתמשים של הלקוחות שלכם הוא מחליט משהו. עכשיו קונה ארגוני רוצה את מדיניות ממשל ה-AI שלכם, ול-EU AI Act יש חובות שתלויות בתשובות שמעולם לא נדרשתם לתת.
קראו עודאף אחד כאן לא באמת אחראי על האבטחה.
אין CISO. האבטחה הגיעה בסופו של דבר למי שהיה טכני מספיק כדי לקבל את השאלון, בדרך כלל ה-CTO או סמנכ"ל המו"פ, שעכשיו מבזבז את השבוע שלו על סקירות ספקים וגיליונות הרשאות במקום על המוצר. הוא מוכשר מספיק כדי לעשות את זה רע ועסוק מספיק כדי לא לעשות את זה אף פעם, וכל העניין מוחזק יחד על ידי הזיכרון שלו.
קראו עודיש לנו ממצאים ואין תוכנית.
הדוח חזר (מביקורת, ממבחן חדירה, ממעריך של לקוח) והוא יושב בתיקייה. אף אחד לא חולק על הממצאים; פשוט אין בעלים, אין תוכנית ואין תאריך. אתם עכשיו במצב הגרוע ביותר האפשרי: יש לכם הוכחה כתובה שידעתם, ואין הוכחה שפעלתם.
קראו עודמשהו קורה עכשיו. למי מתקשרים?
מערכות מתנהגות בצורה מוזרה, הופיע מכתב כופר, עובד לחץ על משהו, או שלקוח אמר לכם שהנתונים שלכם נמצאים במקום שהם לא אמורים להיות בו. השעות הראשונות מכריעות עד כמה זה יהיה גרוע: מה נבלם, אילו ראיות שורדות, והאם ההודעה שאתם חייבים ללקוחות ולרגולטור נמסרת נכון ובזמן.
קראו עוד