פרשנות | למה מודעות סייבר לא מספיקה — ואיך מדידה חכמה מצמצמת את הסיכון האנושי

מודעות אבטחת מידע היא חובה ארגונית, אך יעילותה אינה מובטחת. רק מדידה רציפה וניהול מבוסס דאטה הופכים את המודעות לתוכנית בוגרת, שמספקת יכולת ניהול אפקטיבית ומצמצמת בפועל את הסיכון האנושי.

כל ארגון שמחויב לעמוד ברגולציה משקיע במודעות סייבר: הדרכות, קמפיינים, סימולציות ומשחקים. זוהי חובה הכרחית וחלק בלתי נפרד מתרבות אבטחת המידע והפרטיות בארגון.

אבל הנה האמת הלא נוחה: בלי מדידה, כל המאמץ נשאר בגדר “קמפיין מודעות” שאיש אינו יודע בוודאות עד כמה הוא עובד. השקעתם אנרגיות רבות בהסברת חשיבות הדיווח על מייל חשוד — אבל האם אתם יודעים לומר כמה עובדים מדווחים בפועל מדי יום? וכמה התקפות פישינג נבלמו בזכות הדיווח של עובד ערני?

על מנת לענות על שאלות אלה, עלינו למדוד. מדידה היא אנליזה לוגית של דפוסי עבודה והתנהגות משתמשים מתוך המערכות הקיימות בארגון. היא אינה מחליפה קמפיינים; היא מספקת למובילי המודעות וה־GRC את היכולת לנהל את התוכנית באופן יעיל. הנתונים שאנו אוספים הם מפת האוצר שלנו: הם מכוונים אותנו היכן לרכז הדרכה ותרגול, ומוכיחים האם אותם מאמצים גרמו לשינוי התנהגותי.

לדוגמה, במאבק ב־Shadow IT: אם אנו מקדמים פעולות מודעות להגברת שימוש במערכות מורשות, עלינו למדוד האם בעקבות הקמפיין יש ירידה בהורדות לא מורשות ועלייה בשימוש במערכות החברה. הרווח הוא כפול: אבטחת מידע נהנית מצמצום הסיכון, והארגון כולו נהנה מקידום המערכות הארגוניות בקרב העובדים.

ניהול אסטרטגי של הסיכון האנושי: ציון סיכון לכל משתמש
ניהול סיכון אנושי מתחיל במיפוי הנכסים: עלינו לזהות במדויק אילו נכסים ובקרות בארגון עשויים להינזק כתוצאה מכשל אנושי. המאמץ מתמקד בנקודות שבהן נדרשת מעורבות אנושית (פעולה של אדם), כיוון שלא ניתן ליישם בהן בקרה טכנולוגית מלאה.

לאחר איסוף נתוני התנהגות המשתמשים (מדידה), השלב הבא הוא גיבוש ציון סיכון פרסונלי (User Risk Score) לכל עובד. חובה להכיר בכך שלא כל משתמש מייצג סיכון זהה. לדוגמה: משתמשים ותפקידים רגישים — כמו סופר־אדמינים, בעלי הרשאות רחבות, כספים ומשאבי אנוש — הם בעלי פוטנציאל נזק אקספוננציאלי גבוה יותר.

הארגון חייב לספק להם מודעות ממוקדת ובקרות מותאמות רמה. שילוב ציון הסיכון (המבוסס על תפקיד + התנהגות בפועל) מאפשר להפעיל בקרות דיפרנציאליות ולהפנות משאבים באופן מדויק לנקודות התורפה הקריטיות ביותר.

לרוב, לא העובד הוא הבעיה
הגיע הזמן להפסיק להאשים את המשתמש. האמת היא שברוב המקרים, לא העובד הוא הבעיה — אלא הבקרה שכשלה. הסיכון האמיתי נולד כתוצאה מהתנגשות יומיומית: כאשר דרישות האבטחה מתנגשות עם היכולת לעמוד ביעדים, אבטחת המידע נדחקת הצדה וכך הסיכון נולד.

כיום, הארגון פחות סלחן לתהליכי אבטחה מסורבלים: נהלים שאינם ברורים מייצרים פרצות ביוזמת העובד, ומערכת איטית דוחפת באופן אקטיבי לפתרון עוקף.

אז איך מנהלים סיכון בקרב הגורם האנושי?
ראשית, יש להפסיק לנהל הערכות בלתי מבוססות: חובה לחבר את המודעות לסנסורים הקיימים במרחב הארגוני ולמדוד התנהגות באופן עקבי. המדידה היא הבסיס לכל החלטה ניהולית.

שנית, יש לעבור לשיטת חינוך ממוקד: במקום הדרכות שנתיות מייגעות, יש להשקיע בהדרכות קצרות המועברות באופן מיידי במדיה המתאימה. גישה זו הופכת את המודעות לכלי אישי ורלוונטי יותר עבור העובד — בדיוק ברגע שבו הוא צריך אותה.

לבסוף, הגיע הזמן להוציא את הקריאייטיב מהמגירה: נהלים לא אמורים להיות מסמכי וורד משעממים. יש לתרגם כל נוהל באמצעות גיימיפיקציה, שיווק פנים־ארגוני חכם וכלים ויזואליים. כאשר אבטחה קלה להבנה ויישום, העקיפות יורדות דרמטית, והציות הופך לטבעי.

לסיכום, ניהול סיכון אפקטיבי הוא אינו תיאוריה, אלא עניין של יישום חכם. רק שילוב סינרגי בין הדרכה ומודעות לבין מדידה ונתוני ביצוע מאפשר לנו להבין איפה הפערים ולתקן אותם. זו הדרך היחידה ליצור תוכנית יעילה.

מאת: איתמר שלו — יועץ סייבר, מומחה לניהול השינוי, מודעות, הדרכה ותרגול