מה זה CISO? מה עושה מנהל אבטחת מידע ואיך מגיעים לתפקיד

CISO (קיצור של Chief Information Security Officer) הוא מנהל אבטחת המידע הבכיר בארגון - מי שאחראי שהמידע, המערכות והלקוחות של הארגון יהיו מוגנים מפני תקיפות, דליפות ותקלות. בפועל זה תפקיד ניהולי שמחבר בין העולם הטכני להנהלה: ה-CISO מחליט על מה מגינים קודם, כמה זה עולה ומי אחראי לכל חלק. במדריך תמצאו מה עושה מנהל אבטחת מידע ביום-יום, אילו כישורים והסמכות נדרשים, ואיך מגיעים לתפקיד.

מה זה CISO ובמה הוא שונה ממנהל IT?

בארגונים קטנים אבטחת המידע היא לפעמים חלק מהתפקיד של מנהל ה-IT. ככל שהארגון גדל, ובמיוחד כשהוא מחזיק מידע רגיש או פועל בענף מפוקח, מקובל להפריד בין התפקידים:

• מנהל IT או CIO - אחראי שהמערכות יעבדו, יהיו זמינות ויתמכו בעסק.
• CISO - אחראי שהמערכות יהיו מוגנות, ובוחן גם את מה שצוות ה-IT עושה מנקודת מבט של סיכון.

ההפרדה חשובה כי שתי המטרות מתנגשות לפעמים: הפתרון המהיר והנוח אינו תמיד הפתרון הבטוח. לכן בארגונים רבים ה-CISO מדווח למנכ"ל, להנהלה או לדירקטוריון, ולא רק למנהל ה-IT. בעברית התפקיד נקרא גם מנהל אבטחת מידע או ממונה אבטחת מידע, ובארגונים קטנים נפוץ גם CISO במיקור חוץ - יועץ חיצוני שממלא את התפקיד בהיקף חלקי.

מה עושה מנהל אבטחת מידע?

ניהול סיכונים

זה לב התפקיד. אי אפשר להגן על הכל באותה רמה, ולכן ה-CISO ממפה את נכסי המידע של הארגון, מעריך אילו איומים רלוונטיים אליהם, מה הסבירות שכל איום יתממש ומה יהיה הנזק אם יתממש. מכאן נגזרת תוכנית עבודה: מה מטפלים קודם, אילו סיכונים מקבלים במודע, ואילו מעבירים לגורם אחר, למשל באמצעות ביטוח.

מדיניות ונהלים

ה-CISO כותב או מאשר את כללי המשחק: מי מקבל אילו הרשאות, איך מנהלים סיסמאות ואימות דו-שלבי, איך מגבים מידע, מה מותר לעשות עם מכשירים אישיים, ואיך בודקים ספקים שמקבלים גישה למערכות. מדיניות טובה כתובה כך שעובדים יכולים לעמוד בה בלי לעצור את העבודה.

רגולציה ותקינה

ארגונים רבים מחויבים לדרישות חיצוניות: חוק הגנת הפרטיות והתקנות שלו בנושא אבטחת מידע, דרישות של רגולטורים ענפיים כמו בבנקאות ובביטוח, תקן ISO 27001, GDPR למי שמחזיק מידע על תושבי האיחוד האירופי, או PCI DSS למי שמעבד כרטיסי אשראי. ה-CISO מתרגם את הדרישות למשימות, מלווה מבדקים וביקורות, ומוודא שהארגון יכול להוכיח שהוא עומד בהן.

הובלת התגובה לאירועי סייבר

כשמתרחשת תקיפה, ה-CISO מוביל את התגובה: מפעיל את הצוות הטכני, מחליט אם לנתק מערכות, מתאם עם ההנהלה, עם היועצים המשפטיים ולפעמים עם רשויות, ודואג לתחקיר אחרי האירוע. העבודה הזו מתחילה הרבה לפני האירוע עצמו - בכתיבת תוכנית תגובה ובתרגולים קבועים שבהם כל אחד יודע מה תפקידו.

עבודה מול ההנהלה

ה-CISO צריך להסביר סיכונים טכניים בשפה עסקית: מה יקרה לעסק אם מערכת מסוימת תושבת, למה נדרש תקציב לכלי חדש, ומה מצב ההגנה לעומת התוכנית. מנהל שמצליח לשכנע את ההנהלה משיג משאבים, ומנהל שמדבר רק בשפה טכנית מתקשה להשיג אותם.

הדרכה ומודעות

תקיפות רבות מתחילות בעובד שלחץ על קישור או מסר סיסמה. לכן ה-CISO אחראי גם לתוכניות מודעות ולתרגולי פישינג מבוקרים לעובדים. כדי לבנות תרגול כזה צריך להבין איך הנדסה חברתית ופישינג עם אתרים מזויפים עובדים מהצד של התוקף.

איך מגיעים לתפקיד CISO?

אין מסלול אחד, אבל רוב מנהלי אבטחת המידע עברו דרך דומה:

1. בסיס טכני - תמיכה טכנית, ניהול רשתות או ניהול מערכות, שבהם לומדים איך ארגון עובד מבפנים.
2. תפקיד באבטחת מידע - אנליסט SOC, מהנדס אבטחה, בודק חוסן או יועץ אבטחה. כאן נבנית ההבנה איך תוקפים חושבים ואיך מגינים.
3. הרחבת התמונה - פרויקטים של רגולציה, ניהול סיכונים ותגובה לאירועים, שמלמדים לראות את הארגון כולו ולא רק את הצד הטכני.
4. ניהול צוות - ראש צוות אבטחה או מנהל תחום, עם אחריות על אנשים, תקציב וספקים.
5. CISO - לעתים קודם בארגון קטן או כ-CISO במיקור חוץ, ואחר כך בארגונים גדולים יותר.

המסלול הזה לוקח שנים, וזה לא מקרי: את ההחלטות של CISO אפשר לקבל היטב רק אחרי שראיתם מקרוב איך מערכות נפרצות ואיך ארגון מתמודד עם זה. יש גם מי שמגיעים מכיוון אחר, למשל מביקורת מערכות מידע, מייעוץ או מתחום המשפט והרגולציה, ומשלימים את הצד הטכני בדרך.

אילו כישורים צריך מנהל אבטחת מידע?

• הבנה טכנית רחבה - רשתות, מערכות הפעלה, ענן, אפליקציות וכלי הגנה. לא צריך להיות המומחה הגדול בכל תחום, אבל צריך להבין מה הצוות אומר ולזהות כשמשהו לא מסתדר. זה מתחיל במונחים החשובים בעולם אבטחת המידע, כמו חולשה, ניצול חולשה ו-Payload.
• הכרת עולם התקיפה - מי שמבין איך תוקף פועל יודע אילו הגנות באמת חשובות. למשל, תוכנית לניהול חולשות נשענת על סריקות קבועות בכלים כמו Nessus, וה-CISO צריך להבין מה מראה סריקת חולשות עם Nessus כדי לקבוע סדרי עדיפויות לתיקון.
• חשיבת סיכונים - לשקול נזק מול עלות ולהחליט, גם כשאין מידע מלא.
• תקשורת והשפעה - להציג להנהלה, לשכנע מנהלים אחרים ולכתוב מדיניות ברורה.
• ניהול - בניית צוות, ניהול תקציב, עבודה עם ספקים וקבלת החלטות תחת לחץ בזמן אירוע.
• ידע ברגולציה - היכרות עם החוקים והתקנים שחלים על הענף של הארגון.

אילו הסמכות מתאימות ל-CISO?

הסמכה לא הופכת אדם למנהל אבטחת מידע, אבל בתפקידים בכירים היא נפוצה ולעתים מופיעה כדרישה במודעות דרושים. שתי ההסמכות המוכרות ביותר בצד הניהולי:

• CISSP - של ארגון ISC2. מכסה תחומים רבים של אבטחת מידע, מניהול סיכונים ועד אבטחת רשתות ופיתוח תוכנה, ודורשת כמה שנות ניסיון מקצועי בתחום כדי לקבל את ההסמכה המלאה.
• CISM - של ארגון ISACA. ממוקדת בניהול: ממשל אבטחת מידע, ניהול סיכונים, בניית תוכנית אבטחה וניהול אירועים. גם היא דורשת ניסיון מקצועי מוכח.

בדרך לשם, הסמכות טכניות כמו CCNA, Security+ או OSCP מתאימות לשנים הראשונות ונותנות את הבסיס שעליו נבנה הידע הניהולי. לפני שמתכננים הסמכה כדאי לבדוק את דרישות הניסיון העדכניות באתר הארגון שמנפיק אותה.

מאיפה מתחילים אם המטרה היא CISO?

הצעד הראשון הוא לא ניהול אלא ידע טכני. רוב מנהלי אבטחת המידע התחילו בהבנה מעשית של תקיפה והגנה, ורק אחר כך עברו לניהול. קורס הסייבר למתחילים נותן את הבסיס הזה בסביבת מעבדה: מונחי היסוד של אבטחת מידע, איסוף מידע וסריקת רשת, ניצול חולשות, הנדסה חברתית, העלאת הרשאות ב-Windows ובלינוקס והכנה ל-OSCP. צפו בהרצאה שבראש העמוד ובדקו אם זה הכיוון שמתאים לכם.