עליית קרנו של ה- CISO – מנהל אבטחת המידע הארגוני

עליית קרנו של הCISO:

כיצד הפך מנהל אבטחת המידע לדמות מפתח בהנהלה הבכירה

בעשור האחרון התרחשה תמורה משמעותית במעמדו של מנהל אבטחת מידע ארגוני (CISO – Chief Information Security Officer) . מתפקיד טכני שפעל בצל מחלקת ה-IT, הפך ה-CISO לדמות אסטרטגית מרכזית בשולחן ההנהלה הבכיר, בעלת השפעה מכרעת על החלטות עסקיות קריטיות.

כיצד השתנה תפקיד ה-CISO?

בראשית הדרך, תפקיד ה-CISO התמקד בעיקר בהיבטים טכניים של אבטחת מידע : הקשחת מערכות, טיפול באירועים והטמעת כלים בסיסיים. כיום, הפרופיל של הCISO המודרני שונה לחלוטין.

" בעבר, ה-CISO היה בעיקר 'איש – הלא' – מי שתפקידו למנוע סיכונים.

כיום, הוא שותף אסטרטגי המאפשר צמיחה עסקית תוך ניהול חכם של סיכונים", מסביר ג'ו סאליבן, אנליסט בתחום הסייבר.

מחקרים שונים מצביעים על מגמה ברורה של מעבר דיווח ה-CISO ישירות לדרג הניהולי הבכיר. נתון זה משקף היטב את השינוי המשמעותי במעמדם בהיררכיה הארגונית.

הגורמים שהובילו לעליית מעמד ה-CISO

מספר גורמים מרכזיים חברו יחד להעלאת קרנו של הCISO:

1. התגברות איומי הסייבר והעלות הכבדה של אירועים

מתקפות הסייבר הפכו לגורם מרכזי בניהול סיכונים ארגוני. מחקר של IBM Security מצא כי העלות הממוצעת של אירוע אבטחת מידע הגיעה ל-4.45 מיליון דולר ב-2023, עלייה של 15% בשלוש שנים.

2. לחץ רגולטורי מוגבר

רגולציות כמו GDPR באירופה, CCPA בקליפורניה, והנחיות רשות ניירות ערך האמריקאית (SEC) מחייבות ארגונים לאמץ פרקטיקות מתקדמות של אבטחת מידע, לנהל תהליכי זיהוי ותגובה לאירועים, ולדווח על פרצות מידע. אי-עמידה בדרישות אלו עלולה להוביל לקנסות משמעותיים, פגיעה במוניטין ואף תביעות משפטיות.

בישראל, הדרישות הרגולטוריות הולכות ומחמירות גם כן:

• חוק הגנת הפרטיות (תשמ"א-1981) מחייב כל ארגון שמנהל מאגר מידע לנקוט באמצעי אבטחה הולמים, בהתאם לרגישות המידע (בסיסי, בינוני, גבוה).
• תקנות הגנת הפרטיות (אבטחת מידע) תשע"ז-2017, שנכנסו לתוקפן ב-2018 מחייבות ארגונים בעלי מאגרים ברמת אבטחה בינונית או גבוהה לבצע סקרי סיכונים, למנות ממונה אבטחת מידע, ולקיים מדיניות אבטחת מידע כתובה.
• גופים מפוקחים (כמו בנקים, חברות ביטוח, ספקי שירותים חיוניים) כפופים גם לדרישות רגולטוריות של הפיקוח על הבנקים, הממונה על שוק ההון, וגורמי רגולציה ייעודיים (כמו מערך הסייבר הלאומי).

המגמה ברורה: רגולציה כבר אינה רק עניין בירוקרטי – היא הפכה לגורם עסקי מובהק המחייב את ההנהלה להתמודד באופן יזום עם סיכוני סייבר. כאן בדיוק נכנס ה CISO: לא עוד איש IT טכני, אלא מוביל מדיניות, קובע אסטרטגיות, מנהל סיכונים ומתווך בין עולם הטכנולוגיה לעולם העסקי.

3. אבטחת מידע כיתרון תחרותי

ארגונים רבים מגלים כי אבטחת מידע ברמה גבוהה מהווה יתרון תחרותי ומשפרת את אמון הלקוחות. מחקר של McKinsey הראה כי 87% מהצרכנים לא יעשו עסקים עם חברה שיש להם חששות לגבי פרקטיקות אבטחת המידע שלה.

4. התפתחות מודל העסקי הדיגיטלי

"ההגירה לענן", ה "עבודה מרחוק" , והאצת הטרנספורמציה הדיגיטלית יצרו אתגרי אבטחה חדשים, והפכו את מומחיות CISO לקריטית בתכנון והטמעת יוזמות עסקיות חדשות.

פרופיל ה-CISO החדש: מומחה טכני ואסטרטג עסקי

התמורות הללו שינו באופן דרמטי את הכישורים הנדרשים מה-CISO המודרני:

"היום, ה-CISO חייב לדבר בשפה עסקית, להבין חשיבה כלכלית, ולעבוד עם ההנהלה הבכירה כשותף שווה ערך," מסבירה ד"ר הלן פטרוביץ', מרצה בכירה לאבטחת סייבר באוניברסיטת MIT.

מחקר של ISACA (ארגון מקצועי בינלאומי בתחום אבטחת מידע) מצא כי כ-60% מה CISOs כיום מחזיקים בהשכלה פורמלית לא רק בתחומים טכניים, אלא גם במנהל עסקים, משפטים, או ניהול סיכונים.

אתגרים בתפקיד ה-CISO המודרני

למרות העלייה המטאורית במעמדו, ה-CISO ניצב בפני אתגרים משמעותיים:

1. מחסור בכוח אדם

נכון ל-2023, ישנם מעל 3.5 מיליון משרות פתוחות בתחום אבטחת הסייבר ברחבי העולם, לפי מחקר של (ISC)². ה-CISO נדרש לגייס ולשמר צוותים במציאות של תחרות אינטנסיבית על כישרונות.

2. לחץ תקציבי

למרות ההכרה בחשיבות אבטחת המידע, תקציבי אבטחה עדיין מתחרים מול יוזמות עסקיות אחרות. ה-CISO נדרש להציג ROI ברור על השקעות אבטחת מידע.

3. מאזן בין אבטחה לשימושיות

אחד האתגרים המרכזיים הוא מציאת האיזון הנכון בין דרישות אבטחה לבין חווית משתמש טובה. אמצעי אבטחה מחמירים מדי עלולים לפגוע בפרודוקטיביות.

4. אחריות מוגברת

עם עליית הפרופיל של התפקיד באה גם אחריות גדולה יותר. במקרה של אירוע אבטחה משמעותי, ה CISO עלול למצוא את עצמו בחזית האש, עם פוטנציאל לסיום קריירה במקרים קיצוניים (בחלק ממדינות ארה"ב לתפקיד זה ישנה גם אחריות משפטית/פלילית).

התגמול משקף את השינוי במעמד

השינוי במעמד ה-CISO מתבטא גם בתגמול הכספי. סקר של חברת IANS Research ו- Artico Search מצא כי השכר השנתי הממוצע של CISO בארגונים גדולים (מעל 1 מיליארד דולר הכנסות) הגיע ל-584,000 דולר ב-2023(2,160,800 ₪), עלייה של 9% משנה קודמת.

העתיד: CISO כמנהיג עסקי הוליסטי

מומחים צופים כי מגמת העלייה במעמד ה-CISO תימשך, עם התפתחות התפקיד לכיוונים חדשים:

"בשנים הקרובות נראה יותר CISOs שמובילים יוזמות עסקיות אסטרטגיות, ואף מקודמים לתפקידי “CEO לפי תחזיות של מומחים ב-PwC.

מחקר של Forrester צופה כי עד 2025, כ-25% מהארגונים הגדולים יאחדו את תפקידי ה CIO (מנהל מערכות מידע) וה-CISO למשרה אחת, המשקפת את הטשטוש בגבולות בין טכנולוגיה לאבטחה.

לסיכום ניתן לומר כי עליית קרנו של ה-CISO משקפת את השינוי הדרמטי בתפיסת אבטחת המידע: ממרכיב טכני לנכס אסטרטגי.

הדרישות מתפקיד זה ממשיכות להתפתח, והמנהלים שמצליחים לאזן בין הבנה טכנית עמוקה לחשיבה עסקית רחבה הם אלה שמובילים את התחום קדימה.

ארגונים המבינים את החשיבות האסטרטגית של ה-CISO ומעניקים לו את הסמכות והמשאבים הדרושים, מציבים את עצמם בעמדה טובה יותר להתמודד עם אתגרי האבטחה של העתיד – ולהפוך אותם להזדמנויות לצמיחה וחדשנות.

כותב המאמר: ליאור רוטשילד, מנכ"ל טי או אם לשרותך. משפטן ובעל תואר שני בטכניון, חי ונושם את עולם ה-IT ואת התפתחויותיו ב-30 השנים האחרונות.