יבמ: 3 מכל 4 מנהלי אבטחה כבר יישמו שירותי אבטחה בענן
מאת: חיים חביב, 30.10.13, 07:30
 
מחקר חדש ממנף ומתעד את הידע והניסיון בתחומי האבטחה, ומציע כללים ושיטות להגדרת תפקיד מנהלי האבטחה ודפוסי עבודתם ולהעצמת מעמדם.
 
IBM חשפה את ממצאי הסקר השנתי של מנהלי אבטחת מידע בארגונים ל- 2013. הסקר התמקד בשלושה תחומים מרכזיים המשפיעים על עבודת המנהלים: תהליכים ושיטות עסקיות, בשלות הטכנולוגיה ויכולות מדידה והערכה. המחקר ממנף ומתעד את הידע והניסיון בתחומי האבטחה, ומציע כללים ושיטות להגדרת תפקיד מנהלי האבטחה ודפוסי עבודתם.
 
התרחבות השימוש בטכנולוגיות ענן מחשוב, ויישומי מובייל חוללה הזדמנויות עסקיות חדשות לצד איומים שלא הכרנו כמותם בעבר. איומים מתוחכמים מצד פורצי מערכות מציבים את מנהלי האבטחה הארגונית בעמדה אסטרטגית יותר מאי-פעם. מנהל אבטחה חייב להיות בעל שיעור קומה טכנולוגי ועסקי כאחד, ולהתמודד עם מגוון רחב של בעיות בסביבת ניהול טכנולוגית מורכבת. על מנת לסייע למנהלי האבטחה להגן טוב יותר על ארגוניהם ולהכיר במעמדם ותפקידם במסגרת ההנהלה הבכירה של הארגון, מזהה הסקר של יבמ שיטות ודפוסי התנהלות העשויים לתרום לביסוס מעמד מנהל האבטחה ולביצוע משימותיו.
 
שיטות הניהול העסקי עליהן מצביעים מנהלי האבטחה בסקר יבמ, מתמקדות בצורך בחזון עסקי, אסטרטגיה ומדיניות מקיפה בתחום ניהול הסיכונים, לצד בניית קשרים אפקטיביים המשפיעים על ביצועיהם. הבנת הנושאים המדאיגים את דרג הניהול הבכיר מהווה אף היא תנאי חיוני להצלחה. מנהלי אבטחה מנוסים יותר, נפגשים תכופות עם המנהלים הבכירים האחרים, על מנת לשפר את הקשרים במסגרת הארגון. המפגשים האלה, כוללים שיחות לזיהוי והערכת סיכונים (59%) פתרון בעיות תקציב (49%), ויישום טכנולוגיות (44%). מנהלי האבטחה מתמודדים עם אתגר הניהול המוצלח של מכלול בעיות האבטחה בארגון.
 
הטכנולוגיה הולכת ומבשילה. מנהלי אבטחה מדרגים את תחום אבטחת המשתמשים ניידים כעדכון החדש ביותר במערך עליו הם אמונים. כרבע ממנהלי האבטחה יישמו מערכות אבטחת משתמשים ניידים במהלך השנה האחרונה. למרות הדאגה הנמשכת לפרטיות ולאבטחה בסביבת ענן, 76% ממנהלי האבטחה יישמו כבר סוג כל שהוא של שירות אבטחה בענן. הפופולאריים ביותר מבין אלה הם שירותי ניטור ובקרת שימוש, ושירותי ניהול זהות והרשאות גישה. קטגוריות אלה כבר יושמו על ידי 39% מהמשיבים.
 
במקביל לתשומת הלב בתחומי ענן המחשוב והמובייל, ממקדים מנהלי אבטחה ארגונית את פעילותם בתחומים דוגמת ניהול זהות והרשאות גישה (51%), מניעת חדירה לרשת וסריקה לגילוי נקודות תורפה (39%), ואבטחת בסיסי נתונים (32%).
 
האתגר המרכזי בתחום המובייל הניצב כיום בפני מנהלי אבטחה, נוגע לצעדים הראשוניים: צמצום העיסוק בטכנולוגיה בפני עצמה, לטובת ניהול מדיניות ואסטרטגיה מקיפים. פחות מ- 40% מהארגונים יישמו מדיניות תגובה וטיפול ממוקד במכשירים הפרטיים של עובדיהם, או אסטרטגיה כלל ארגונית לעידן המכונה "הבא-איתך-את-המכשיר-הפרטי-שלך", BYOD. 39% מהמנהלים מכירים בקיום הפער הזה, ומתכננים להניח בשנה הקרובה יסודות לאסטרטגיית BYOD, ו- 27% מתכננים להגדיר מדיניות תגובה לאירועי אבטחה שמקורם במכשירים כאלה.
 
יכולות מדידה משמשות את מנהלי האבטחה ככלי להנחיית תהליכי התקצוב, ולניתוח השקעות בטכנולוגיה חדשה. במקרים מסוימים, משתמשים המנהלים בכלי המדידה על מנת להגדיר סדרי עדיפויות לארגון האבטחה בראשו הם עומדים, עם זאת, ככלל, המדידה הטכנית והעסקית מתמקדת עדיין בנושאים תפעוליים. כך, למשל, יותר מ- 90% מהמרואיינים עוקבים אחר מספר אירועי האבטחה, רשומות אבודות או גנובות, נתונים או מכשירים, ובקרה וסוגיות עמידה בהוראות חקיקה ותקינה – כולם מימדי ניתוח בסיסיים, הצפויים להיות תחת מעקב המנהלים. שיעור נמוך ביותר, 12% בלבד מהמנהלים, מזינים את נתוני מדידת האבטחה אל תהליך ניהול הסיכונים הארגוני שלהם. זאת, למרות שמנהלי האבטחה מדגישים כי השפעת האבטחה על מכלול הסיכונים הארגוניים מוערכת כגורם מכריע להצלחתם.
 
עורכי המחקר מציינים, כי התוצאות מצביעות על צורך ברור של מנהלי האבטחה להתמקד במציאת האיזון העדין שבין פיתוח תפיסה כוללת ושלמה לאבטחה וניהול סיכונים לבין יישום יכולות מתקדמות ואסטרטגיות יותר, דוגמת התמודדות עם עולם הניידות והמכשירים הפרטיים המגיעים למקום העבודה.
 
הדו"ח מבוסס על שורת ראיונות עומק עם מנהלים בכירים בתחום האבטחה, האחראים במסגרת תפקידם למכלול סוגיות האבטחה בארגוניהם. הראיונות נועדו לזהות שיטות ודפוסי התנהלות העשויים להועיל לכלל מנהלי האבטחה ולקדם את מעמדם. המרואיינים מייצגים מגוון רחב של תחומי משק ותעשיה בארבע מדינות שונות. למעלה מ- 80% מהם עובדים בארגונים גדולים, וכשליש מהם מנהלים תקציבי אבטחה בהיקף של יותר ממיליון דולרים בשנה.

לעיון בדו"ח המלא ר' כאן.