אופיר זילביגר, SECOZ: "ארגונים נדרשים לשאלה האם הם ערוכים למתקפות סייבר"

"על שולחן השחמט הארגוני צצה ועלתה שאלה חדשה, מהותית וקריטית במהותה: 'האם הארגון מוכן וערוך לקראת מתקפת סייבר?' זו השאלה שאליה יש להידרש בעת הזו", כך אמר אופיר זילביגר, מנכ"ל SECOZ.

זילביגר התראיין במסגרת כנס C3, פורום המנמ"רים והמנכ"לים מבית אנשים ומחשבים, שהתקיים בסוף השבוע בגיאורגיה.

לדבריו, "השאלה 'האם הארגון מוכן וערוך לקראת מתקפת סייבר?' שונה מהשאלה 'האם הוא מוגן בהיבט אבטחת מידע?'. יש להבחין בין הגנה ואבטחת מידע למוכנות לסייבר. נוצר מצב בו אם יישאל מנהל האבטחה בארגון האם הוא ערוך לקראת מתקפת סייבר, הוא ישיב בחיוב, כי הוא יחשוב ששואלים אותו האם הוא מוגן בהיבט אבטחת המידע".

הוא ציין כי "בנק ישראל הוציא את הנחיה 361 של המפקח על הבנקים, אשר מחייבת הגדרת תקן חדש של מנהל הגנה בסייבר. ההנחיה זו מחייבת את הבנקים לבצע הערכה מתמשכת של סיכוני ובקרות הסייבר ולבצע מדידה של אפקטיביות הבקרות בכל סביבה בבנק. ההנחייה מנסה לקחת את הארגון קדימה בתחום ולערוך בו שינוי תפיסתי, להתייחס לסייבר בהיבטים של סיכוני סייבר ולא הגנה ואבטחת מידע. ההנחייה בעצם אומרת שיש הבדל גדול בין 'מוגן' ו-'מוכן'. על הנהלות הארגונים ומנהלי האבטחה שלהם להבין את משמעות והיקף ההשקעה שלהם בתחום, ולא פחות חשוב את המשמעות של הנזק הנובע ממתקפת סייבר".

"ארגונים נדרשים להפנים את הפרדיגמה החדשה", סיכם זילביגר, "לפיה מתקפת סייבר בוא תבוא, וכעת. לפיכך, יש לחשוב כבר היום על היקף הנזק שינבע ממתקפת הסייבר, ומהי רמת המוכנות של הארגון לקראת מתקפה שכזו. אין המדובר בקריאה להלימה לרגולציה, שהיא חשובה לכשעצמה – אלא להיערכות ולמוכנות לסייבר".