הכנת העסק לקראת תקנות בתחום הפרטיות ואבטחת הסייבר

מחקר של Canon גילה שבחמש השנים האחרונות, מנהלי IT מדרגים בקביעות את אבטחת המידע כאחד משלושת האתגרים העיקריים ותחומי האחריות שגוזלים הכי הרבה זמן עבורם.

למעשה, אבטחת מידע (33%) דורגה כאתגר הכי גדול, ואחריה בפער קטן השמירה על תאימות (25%). על כן, אבטחת מידע הייתה ונותרה חשש בלתי פוסק מכיוון שמחויבויות רגולטוריות ומורכבויות טכנולוגיות משתנות ללא הרף.

הרגולציה ממשיכה להתרחב, בזמן שהאיחוד האירופי כקבוצה וכל ממשלה בנפרד ממשיכים לחזק את הנחיות אבטחת הסייבר ולהרחיב את היקף המגזרים המושפעים. משמעות הדבר היא שכעת מצופה מארגונים רבים יותר להוכיח ניהול סיכונים יעיל, תגובה לתקריות, פיקוח על שרשרת האספקה ותכנון חוסן.

בשנת 2026, השינוי הרגולטורי הזה עובר משלב ההכנה לשלב היישום המעשי. תקנות DORA נכנסו לתוקף כבר בינואר 2025, ובמסגרתן ישויות פיננסיות נדרשות לחזק את ניהול איומי ה-ICT, בדיקות החוסן, הדיווח על תקריות והפיקוח על ספקי צד שלישי קריטיים. חוק עמידות הסייבר (Cyber Resilience Act) עובר גם הוא לשלב תפעולי חשוב: החל מספטמבר 2026, יצרנים של מוצרים עם רכיבים דיגיטליים חייבים לדווח על חולשות שנוצלו בצורה פעילה ותקריות אבטחה חמורות, לפני היישום המורחב של החוק החל מדצמבר 2027. המשמעות של ציוני דרך אלה היא שתאימות תמשיך להיות עדיפות ארגונית ברמת ההנהלה הבכירה גם בשנים הבאות.

גם תקן NIS2 הוא חלק מרכזי מהשינוי הזה. בתור תקן שנועד לחזק את חוסן הסייבר ברחבי האיחוד האירופי, הוא מרחיב את ההיקף של התקן מהדור הקודם על ידי הקשחת ההתחייבויות בתחומי ניהול הסיכונים והדיווח על תקריות, החמרת הפיקוח הרגולטורי והטלת אחריות בהיקף גדול יותר על ההנהלה הבכירה. בזמן שהמדינות החברות ממשיכות ליישם ולאכוף חקיקה ברמה הלאומית, ארגונים פעילים בהיקף בינלאומי יצטרכו לעקוב אחרי הדרישות המקומיות בקפידה.

כדי לעמוד בהתחייבויות שכבר קיימות כיום ולהסתגל לתחום אבטחת המידע של עולם המחר ההולך ומתפתח, חשוב יותר מאי פעם לעבוד עם שותף בעל הניסיון הנדרש, שמציע שירותים ופתרונות שיכולים להכין את הפעילות של הארגון לקראת העתיד. כדי להתכונן לקראת פתרונות חדשים ומתפתחים, להימנע משינויים שעלולים להוביל לעלויות משמעותיות קרוב לתאריכי המועד של הטמעות ולאמץ גישה פרואקטיבית בתחום אבטחת המידע, לעסקים מומלץ לבחון את התחומים הבאים.

לעסקים חייבת להיות הבנה ברורה של החקיקה שחלה על הארגון, על התעשייה ועל אזורי התפעול שלהם. האלה כוללים התייעצות עם מומחים בתחומי המשפט, התאימות והאבטחה כדי להבין לא רק את ההתחייבויות הישירות אלא גם את ההשפעה רחבת ההיקף על המוצרים, השירותים, הספקים והתהליכים הפנימיים.

עוד מרכיב חשוב הוא הטמעת תהליך לניטור רציף של חקיקות מתוכננות, לוחות זמנים ליישומן ברמה הלאומית והדרכה רגולטורית. אפשר לנהל את כל אלה באמצעות צוות פנימי ייעודי או על ידי פנייה לספק מומחה חיצוני, כדי לאפשר לארגונים לחזות דרישות עתידיות ולהסתגל אליהן עוד טרם כניסתן לתוקף.

כדי להתמודד עם השינויים וההתפתחויות בתחום הרגולציה, ייתכן שצוותי אבטחה יצטרכו להרחיב את המומחיות שלהם, על ידי שכירת מומחים או הדרכת עובדים קיימים בנוגע לתאימות לדרישות האבטחה, לפרשנות בענייני חקיקה, לניהול סיכונים וליישום בקרות אבטחה. אלה עשויים להשפיע על המשאבים, על האיוש והתקציבים, בהתאם לקנה המידה ולהיקף הנדרש של השינויים.

צוותי IT חייבים להגדיר תהליכים ברורים לניהול חולשות, לתיקונים, לתגובה לתקריות, לבדיקות חוסן ולדיווח על פריצות נתונים. יש לתעד את התהליכים האלו, לבחון אותם ולבדוק אותם בצורה סדירה כדי לעמוד בדרישות של תקנים כמו NIS, ‏DORA וחוק עמידות הסייבר (Cyber Resilience Act). במקרים שבהם יש צורך לעשות זאת, ארגונים יצטרכו להשקיע בתוספת של תוכנה, יכולות ניטור ושירותים מנוהלים שתומכים בתהליכים האלו לאורך זמן.

גם כאשר ספקים הם חיצוניים לארגון, עדיין למתכונת האבטחה, לתהליכי הדיווח ולמוכנות שלהם לתאימות יכולה להיות השפעה ישירה על החשיפה של הארגון לסיכונים. חשוב לפנות אל הספקים, להבין את נוהלי האבטחה שלהם, לעבור על ההתחייבויות החוזיות ולבצע ביקורות או הערכות כדי להבטיח שהם עומדים בסטנדרטים הארגוניים בתחום התאימות.

לתקריות אבטחה מסוימות עלולה להיות השפעה משמעותית על העסק, לכן חשוב שעובדים ידווחו על סיכונים בהקדם האפשרי, וכן לעודד תרבות של דיווח חופשי. דרכים ברורות להעביר טיפול לדרג גבוה, מודעות בקרב העובדים ודיווחים שקופים עוזרים לארגונים להפיק לקחים מתקריות, לעמוד בלוחות זמנים שקשורים לדיווח ולחזק את הבקרות בלי ליצור תרבות של אשמה.

רגולציה חדשה ומתפתחת היא כוח חיובי מבחינת הצרכנים ומבחינת תעשיית האבטחה באופן כללי. בסופו של דבר היא תסייע ליצור מרחב דיגיטלי יותר בטוח, עמיד ושקוף עבור ארגונים. ייתכן שיהיה צורך בהשקעה ובמאמץ תפעולי בטווח הקצר, אבל היתרונות ארוכי הטווח של הסתגלות בשלב מוקדם ואימוץ גישה פרואקטיבית לחקיקה גוברים בצורה משמעותית על האתגרים.