"ארגונים ציבוריים חייבים רגולציה כדי לשפר יכולתם בסייבר"

"אני מאמין שארגונים וגופים במגזר הציבורי חייבים לפעול תחת רגולציה, על מנת להגדיל ולשפר את הכשירות שלהם בהתמודדות עם אירועי סייבר", כך אמר אופיר זילביגר, שותף ומנהל מרכז הגנת הסייבר של SECOZ, קבוצת הייעוץ BDO ישראל.

זילביגר השתתף ברב-שיח בנושא אבטחת מידע והגנת הסייבר, שנערך באחרונה בבית אנשים ומחשבים. רב השיח התקיים לקראת כנס InfoSec 2017. הכנס ייערך ביום ג', ה-23 במאי, באולם אירועים אווניו, קריית שדה התעופה. את רב השיח הנחה יהודה קונפורטס, העורך הראשי אנשים ומחשבים.

לדברי זילביגר, "ארגונים במגזר הפרטי נוטים יותר להבין את חשיבות הנושא ולתקצב אותו בהתאם. כך למשל המצב אצל מגזרים מסוימים הנמצאים בשוק הפרטי – והם תחת רגולציה, ובראשם המגזר הפיננסי".

בהקשר לפרסום הטיוטה לתורת הגנת הסייבר, שפורסמה באחרונה, זילביגר ציין כי "המעורבות של המדינה צריכה לבוא בראש ובראשונה, בסיוע עם מתודולוגיה ועם היבטים שקשה ליישם אותם ברמת הארגון הבינוני. כך למשל הגדרת מתאר האיום וסיוע עם מתארי איום מדינתיים. זאת, כאשר מדינה מפעילה מתקפת סייבר, ולא משנה אם המוטיבציה היא טרור, הפחדה, איסוף מודיעין – או ריגול תעשייתי".

אין מספיק מודעות לנושא הגנת הסייבר

על פי זילביגר, "בתחילה, יש להסביר ולהגדיר כי בדברנו על 'כשירות' להתמודדות עם אירוע סייבר, הכוונה היא לחוסן, Resilience. החוסן הזה כולל כמה מימדים: ניטור – SIEM-SOC, ניהול אירוע – Incident Response, וכן טיפול בהיבט של תכנית ההמשכיות העסקית – ה-BCP של הארגון".

"חשוב שתהיה רמת בשלות גבוהה בתחום הגנת הסייבר", אמר זילביגר. "היום ברור שאין ברירה – אלא להשקיע בתחום זה. השאלה אינה האם יצליחו לתקוף אותנו – אלא מתי. ארגונים חייבים שתהיה להם רמות מוכנות וכשירות גבוהות להתמודדות עם אירוע סייבר".

זילביגר ציין כי "יש לחלק את ההתייחסות לארגונים בין כאלה שרמת המוכנות שלהם גבוהה ואלה שלא. מבין שלל המשימות המוטלות על מנהל האבטחה בארגון, אחד החשובים עבור ארגונים שמרגישים שיש להם רמת כשירות גבוהה, הוא לבדוק אותה באמצעות הפעלת 'צוות אדום'. משמע – בדיקת הכשירות באמצעות הדמיה של תקיפה מהותית".

"לארגונים שאין בהם רמת כשירות גבוהה להתמודדות עם אירוע סייבר, אני ממליץ לשקול לקנות שירות מנוהל, שמכסה את ההיבטים החשובים בתחום זה".

הוא סיים באומרו כי "הייתי ממליץ למטה הסייבר ולרשות הסייבר להתחיל בחינוך לתחום. הנושא אינו ברור דיו, ובחלק מהארגונים הבינוניים והקטנים, אין מספיק מודעות לנושא הגנת הסייבר".