איום הסייבר השקט שמשאיר את מנהלי הטכנולוגיה מאחור – כבר כאן

בעשור האחרון, אחד מאתגרי הסייבר שאיתם התמודדו מנהיגים טכנולוגיים היה ה-Shadow IT, אותם עובדים שמשתמשים בשירותי ענן ומערכות פרטיות מתחת לרדאר. עם פריצת הבינה המלאכותית, האתגר שודרג ל-Shadow AI, כאשר עובדים מזינים מידע ארגוני רגיש לצ'אטבוטים חיצוניים כדי לייעל את עבודתם. אך בזמן שהארגונים עסוקים בחסימת גישה לכלים אלו או בניסוח מדיניות שימוש, מתחת לפני השטח מתפתח איום מורכב ודינמי בהרבה, והוא ה-Shadow Data.

פרדיגמת הפיתוח של אפליקציות בארגון השתנתה ללא היכר. בעבר, תהליך פיתוח של יישום עסקי עבר רק דרך המנמ"ר ומערכות המידע בארגון, החל משלב האפיון, דרך אישורי אבטחת מידע, פיתוח ובדיקות, עד להטמעה, וארך בין חצי שנה לשנה לפחות. היום, המציאות שונה לחלוטין. העובדים כבר לא מחכים ל-IT, הם מפתחים פתרונות בעצמם. בעידן של כלי No-Code, Low-Code, סוכני AI וטרנד ה-Vibe Coding, עובדים במחלקות השונות, כמו משאבי אנוש, כספים ושיווק מפתחים יישומים מורכבים בתוך דקות ספורות, בלי פגישות אפיון ובלי אישורי אבטחה.

"הפתרון אינו טמון באיסורים גורפים, אלא באימוץ פלטפורמות ארגוניות אחודות, המאפשרות פיתוח מבוזר תחת מדיניות ארגונית ברורה. פלטפורמות אלו מאפשרות למסלל את היישומים והדאטה בחזרה לתוך הארגון בצורה מאובטחת, מבלי לפגוע ביצירתיות וביעילות העובדים"

התהליך המסורתי הוחלף במצב שבו העובד מזהה צורך, מייצר לו מענה טכנולוגי באופן עצמאי ומציב בפני הנהלת הטכנולוגיה עובדה מוגמרת הנתפסת בארגון כיוזמה מבורכת ותהליך התייעלות. הם כבר לא מגיעים כדי לבקש שיפתחו עבורם, אלא כדי לקבל אישור פורמלי ליישום שכבר עובד ומייצר ערך בשטח. מה שהיה פעם צורך שהופך לפרויקט ארוך, הפך היום לצורך שהופך מיד לפתרון קיים.

כשהעובדים בארגון מפתחים אפליקציות בחמש דקות, לצד היעילות והחדשנות נוצר איום סייבר שקט עבור המנמ"ר וה-CISO. הסכנה האמיתית אינה קצב הפיתוח המהיר, אלא הזנב הארוך שלו, כלומר המידע. כאשר יישומים עצמאיים אלו קמים ומחוברים למאגרי המידע הארגוניים, לעיתים דרך ממשקים לא מפוקחים ואף דרך טעינת מידע ארגוני מתוך קבצים שיוצאו מהמערכות (כמו קובצי אקסל), נוצר מצב שבו לאף גורם בארגון אין תמונת מצב מלאה, והדבר מוביל לפגיעה חמורה ב"אמת ארגונית אחת".

במצב כזה קשה לדעת איפה המידע יושב, מכיוון שמידע רגיש משוכפל ונשמר בבסיסי נתונים זמניים או בעננים פרטיים. קשה גם לפקח מי ניגש אליו, כיוון שהרשאות הגישה מוגדרות בצורה רופפת על ידי משתמשי הקצה, אם הן מוגדרות בכלל, וללא בקרת זהויות ארגונית. בנוסף, כלי אבטחת המידע המסורתיים אינם מזהים את זרמי המידע החדשים הללו, מה שיוצר שטחים מתים קריטיים, שבהם השאלה מי שומר הסף של הדאטה נותרת ללא מענה ברור.

הפתרון: מעבר לפלטפורמות ארגוניות מנוהלות

כדי לפתור את הפרדוקס המובנה בין הצורך העסקי במהירות לבין חובת השמירה על נכסי המידע, ארגונים נדרשים לשנות חשיבה. הפתרון אינו טמון באיסורים גורפים, אלא באימוץ פלטפורמות ארגוניות אחודות, המאפשרות פיתוח מבוזר תחת מדיניות ארגונית ברורה. פלטפורמות אלו מאפשרות למסלל את היישומים והדאטה בחזרה לתוך הארגון בצורה מאובטחת, מבלי לפגוע ביצירתיות וביעילות העובדים.

במודל זה, העובדים שומרים על חופש הפיתוח המהיר שלהם, אך פועלים בתוך ארגז חול ארגוני מוגן ומנוהל. במקביל, הפלטפורמה עצמה מנטרת באופן מובנה ואוטומטי את זרימת הדאטה, אוכפת את מדיניות אבטחת המידע ומנהלת את הרשאות הגישה מאחורי הקלעים. התוצאה היא, שהמידע הרגיש נשאר תמיד בתוך גבולות הגזרה של הארגון ונגיש למערכות הניטור המרכזיות, מה שמעניק נראות מלאה ושליטה אמיתית על הנעשה.

לסיכום, התפקיד החדש של מנהיגים טכנולוגיים הוא לבנות את המסלול המהיר והבטוח שיאפשר לארגון לרוץ קדימה, תוך שמירה מלאה על הנכס הכי יקר שלו – הדאטה.

הכותב הוא CISO משרד החינוך וממקימי מערך הסייבר הלאומי.