CISO במיקור חוץ: היקף השירות, תוצרים ושיקולי בחירה
לקוח מבקש תשובות לשאלון אבטחה, ההנהלה רוצה לדעת אילו סיכונים דורשים תקציב, וצוות המחשוב ממתין להחלטה על סדר העדיפויות. שירות CISO במיקור חוץ יכול לתת למשימות האלה כתובת ניהולית קבועה, בהיקף שמותאם לארגון. כדי לבחור שירות מתאים, כדאי להגדיר מראש מי מוביל את העבודה, מה יימסר לאורך ההתקשרות ואילו החלטות יישארו בידי ההנהלה.
מה כולל הליווי החודשי בפועל?
מנהל אבטחת מידע, CISO, ראשי תיבות של Chief Information Security Officer, מחבר בין הסיכונים הטכנולוגיים לבין הפעילות העסקית. במסגרת ליווי חודשי אפשר להגדיר עבודה על תוכנית האבטחה, מעקב אחר משימות, בחינת שינויים במערכות ודיון בנושאים שמחייבים החלטת הנהלה. התכולה צריכה להופיע בהסכם ולהתאים ליכולת הביצוע של הצוותים. אין להניח שכל פעילות שקשורה לסייבר נכללת אוטומטית בשירות.
בתחילת ההתקשרות כדאי למפות את המצב הקיים: מערכות מרכזיות, מידע רגיש, ספקים, בעלי תפקידים ופערים שכבר ידועים. בהמשך, הליווי יכול להתבסס על תוכנית מתועדפת ועל פגישות עבודה בתדירות מוסכמת. בכל פגישה רצוי לברר מה התקדם, מה מעכב את העבודה ומי צריך להחליט. משימה שנדחתה צריכה לקבל הסבר ועדכון של המועד, במקום להישאר ברשימה בלי גורם שמטפל בה.
לצד הפעילות המתוכננת, הגדירו איך מטפלים בבקשות חדשות. שאלון של לקוח, החלפת ספק או מערכת שעולה לאוויר עשויים לשנות את סדר העדיפויות. כדאי להסכים מי רשאי לבקש שינוי, איך הוא משפיע על העבודה שכבר נקבעה ומתי נדרשת הרחבת ההתקשרות. כך גם ההנהלה וגם נותן השירות יודעים למה התחייבו ואילו נושאים ממתינים להחלטה נוספת.
אילו תוצרים כדאי להגדיר מראש?
בקשו לראות כיצד ייראה המעקב אחר תוכנית העבודה. תוצר שימושי יכול להיות רשימת משימות שבה לכל פער יש אחראי, מועד יעד ומצב טיפול, לצד הסבר על המשמעות העסקית. דוח להנהלה יכול להציג החלטות נדרשות, חסמים ושינויים בסיכון. התדירות והפורמט תלויים בהתקשרות; אין הכרח להפיק מחדש בכל חודש מסמכים שלא השתנו, אבל צריך להיות אפשר להבין מה קרה מאז העדכון הקודם.
תרחיש להמחשה, שאינו מתאר לקוח מסוים: חברה מקבלת שאלון אבטחה מלקוח עסקי. מנהל אבטחת המידע מרכז תשובות מהגורמים הרלוונטיים ובודק אם קיימים מסמכים או ראיות שתומכים בהן. אם מתברר שבדיקת הרשאות הגישה אינה מתועדת, הוא יכול להגדיר עם הצוות תהליך בדיקה, אחראי ומועד לביצוע. המענה ללקוח צריך לשקף את המצב בפועל, בלי להציג פעולה מתוכננת כאילו כבר בוצעה.
בסיום הטיפול כדאי שיישארו בארגון המענה שאושר, המסמכים התומכים ורשימת הפערים להמשך עבודה. אלו תוצרים אפשריים שיש להסכים עליהם, ולא התחייבות לתוצאה מסחרית או לאישור מצד הלקוח. באותה רוח, גם כשמטפלים במדיניות אבטחה או בסיכון של ספק, הגדירו מה נחשב להשלמת המשימה, מי מאשר אותה והיכן נשמר התיעוד לעבודה הבאה.
מתי מתאים מיקור חוץ לעומת גיוס?
הבחירה מתחילה באופי העבודה ובזמינות הנדרשת. מיקור חוץ עשוי להתאים לארגון שזקוק להובלה מקצועית מתמשכת, אך היקף העבודה אינו מחייב מנהל פנימי במשרה מלאה. הוא עשוי להתאים גם לחיזוק צוות קיים או לתקופת מעבר. כדי שהמודל יעבוד, צריך להיות בארגון גורם שמקדם החלטות ומאפשר גישה לאנשים ולמידע הנחוצים לביצוע התפקיד.
גיוס פנימי עשוי להתאים כאשר נדרשת מעורבות יומיומית עמוקה, ניהול ישיר של צוות או השתתפות רציפה בהחלטות מוצר ותפעול. מספר העובדים לבדו אינו מכריע. כדאי לבחון את מורכבות המערכות, קצב השינויים, רגישות המידע ועומס העבודה הניהולי. גם מנהל פנימי עשוי להזדקק למומחים חיצוניים למשימות מוגדרות, ולכן אפשר לשלב בין המודלים במקום לבחור מסגרת אחת לכל צורך.
לפני החלטה, כתבו אילו פעולות דורשות נוכחות יומיומית ואילו אפשר לתכנן במחזור עבודה קבוע. בדקו מי מחליף את בעל התפקיד בהיעדרו ואיך נשמר הידע. אם מתוכנן גיוס בהמשך, הגדירו מראש כיצד יועברו התיעוד, הקשרים ותוכנית העבודה. המעבר צריך לאפשר למנהל הנכנס להבין את ההחלטות שכבר התקבלו ואת הנושאים שנותרו פתוחים, בלי להתחיל מחדש את המיפוי.
מה משפיע על עלות השירות?
הצעת מחיר צריכה להתבסס על היקף עבודה מוגדר. בין הנושאים שכדאי לברר: מספר המערכות והאתרים, סוגי המידע, היקף הפעילות מול ספקים, תדירות הפגישות והדיווחים והזמינות המבוקשת. גם דרישות אבטחה מצד לקוחות והיערכות לביקורות עשויות להשפיע על העבודה. אם יש דרישות רגולטוריות רלוונטיות, צריך לברר אותן עם הגורמים המתאימים לפני קביעת התכולה, בלי להניח שכל מסגרת חלה על כל ארגון.
מצב התוכנית הקיימת משפיע גם הוא. בארגון שיש בו תיעוד מסודר ובעלי אחריות ברורים, נקודת הפתיחה שונה מזו של ארגון שצריך לבנות תשתית ניהולית. שאלו אם המיפוי הראשוני נכלל בליווי או מתומחר בנפרד, ומה קורה כאשר מתגלה עבודה שלא נלקחה בחשבון. הפרידו בין פעילות שוטפת לבין פרויקט מוגדר, כדי להבין על מה משלמים בכל מסגרת.
בהשוואת הצעות, בדקו גם מה מוחרג. מבדקי חדירה, רכישת כלים, יישום טכני או חקירת אירוע אינם בהכרח חלק מליווי ניהולי. הגדירו את שעות המענה, אופן הפנייה במצב דחוף והדרך לאישור עבודה נוספת. השוואה כספית מועילה רק כשברור שההצעות מכסות צרכים דומים; מחיר חודשי לבדו אינו מתאר את זמינות בעל התפקיד או את המשאבים שהארגון עדיין יצטרך להקצות.
איך בוחרים ספק ומגדירים אחריות?
בררו מי יבצע בפועל את הליווי ומה הניסיון שלו בסביבה שדומה לשלכם. בקשו דוגמה נקייה מפרטים מזהים של תוכנית עבודה או דוח ניהולי. בדקו אם אפשר להבין מהמסמך מה דורש טיפול, מי אחראי ומה מצריך החלטה. שיחה על תוצר ממשי יכולה לעזור יותר מהשוואה של רשימות שירותים כלליות, במיוחד כשכמה הצעות משתמשות באותם מונחים מקצועיים.
הגדירו את חלוקת העבודה בין בעל התפקיד החיצוני, צוות המחשוב, ההנהלה והספקים. מי ממליץ על שינוי, מי מאשר תקציב ומי מבצע אותו? מינוי גורם חיצוני אינו קובע לבדו את סמכויותיו בארגון. כדאי לתעד קווי דיווח ואופן הסלמה של מחלוקות או עיכובים, כדי שנושא מהותי לא יישאר בין כמה בעלי תפקידים בלי החלטה.
לבסוף, קבעו כיצד תבחנו את ההתקשרות לאורך זמן. אפשר לעקוב אחר התקדמות משימות בעדיפות גבוהה, טיפול בחסמים ועדכון תמונת הסיכון. הימנעו מהסתמכות על מספר המסמכים שנכתבו כמדד יחיד. הגדירו גם היכן נשמרים התוצרים וכיצד יימסרו בסיום העבודה. אלו שאלות שכדאי לפתור בתחילת הקשר, כשהמטרה המשותפת היא לבנות רצף עבודה שהארגון מסוגל להמשיך ולנהל.
כיצד Cybecs מסייעת בניהול האבטחה?
שירות CISO במיקור חוץ של Cybecs כולל הובלת אבטחת מידע מול ההנהלה והצוותים, מיפוי סיכונים, בניית תוכנית עבודה, מעקב אחר היישום ודיווח ניהולי. היקף הליווי נקבע לפי צורכי הארגון. בשיחת ההתאמה אפשר להתחיל מהמשימות שממתינות כרגע להחלטה ומהיכולת של הצוותים לבצע אותן.
כדאי להגיע עם תיאור של המערכות המרכזיות, בעלי התפקידים, דרישות הלקוחות והעבודה שכבר נעשתה. המידע הזה מאפשר לדון בתוצרים הרצויים, בתדירות הליווי ובחלוקת האחריות. אם צורך מסוים מחייב עבודה מקצועית נוספת, יש להגדיר אותו בנפרד ולא להניח שהוא כלול רק משום שההתקשרות עוסקת באבטחת מידע.
שאלות נפוצות על היקף ההתקשרות
מה כולל הליווי החודשי?
התכולה נקבעת בהסכם ויכולה לכלול ניהול תוכנית עבודה, מעקב אחר סיכונים, פגישות עם הצוותים ודיווח להנהלה. כדאי להגדיר גם תוצרים, זמינות והחרגות, ולבחון אותם כשצורכי הארגון משתנים.
מתי מתאים מיקור חוץ לעומת גיוס?
מיקור חוץ עשוי להתאים לצורך ניהולי מתמשך בהיקף חלקי או לחיזוק צוות קיים. גיוס עשוי להתאים כאשר נדרשים ניהול פנימי ומעורבות יומיומית רחבה. ההחלטה תלויה בעבודה הנדרשת ובסמכויות התפקיד.
מה משפיע על העלות?
היקף העבודה, מורכבות הסביבה, מצב התיעוד, הזמינות והפעילות מול לקוחות וספקים משפיעים על התמחור. בקשו פירוט של הפעילות השוטפת, עבודת ההקמה והמשימות שמחייבות הצעה נפרדת.
לפני שמבקשים הצעת מחיר
רשמו אילו החלטות אבטחה ממתינות אצלכם, מי מטפל בהן כיום ואילו תוצרים יעזרו לקדם אותן. השתמשו ברשימה כדי להשוות בין הצעות ולבחון את חלוקת האחריות. כך תוכלו לבחור היקף ליווי שמתאים לעבודה הנדרשת, עם ציפיות ברורות לגבי זמינות, דיווח, ביצוע והמשך טיפול בפערים.