היכונו למשבר הבלתי נמנע

אירוע קיברנטי הוא מצב בלתי נמנע במאה ה-21. הוא יתרחש בחייו של כל ארגון למרות מאמצים בלתי נגמרים והשקעות עתק במניעתו. ההסתברות להתרחשות אירוע קיברנטי הולכת וגדלה כל הזמן. השאלה אינה אם יתרחש, אלא מתי.

ישנה היום הבנה גוברת, כי המניעה לעולם תהיה מוגבלת ובעידן שבו הפעילות במרחב הדיגיטלי היא עובדה מוגמרת, בעידן ה-IOT, שבו הדומם מחובר אל החי - התובנה העמוקה ביותר היא זו המקבלת על עצמה את הסיכון הבלתי נמנע למתקפה. מרבית האירועים הקיברנטיים אינם מחוללי מצב משבר. חלק מהם מתרחשים היום וזורעים את זרעי הפורענות של המחר. מאיימים להפוך למשבר בעיתוי שהוכתב מראש או ממתין להזדמנות.

כגודל ההזדמנות המצויה במרחב הדיגיטלי כך גם גודל האיום, האימה והסכנה. זוהי זירה שמזינה וניזונה מהפחד. ההיערכות למשבר הזה, זה הוודאי והמוגמר, היא אחת המיומנויות ההכרחיות בעידן של ימינו. היא כוללת את כל הדיסציפלינות המוכרות מניהול סיכונים, היערכות רגולטורית, ניהול מוניטין, יתירות ושרידות. היא חסרה תמיד את מרכיב העיתוי ויכולת המניעה האבסולוטית אך היא נהנית מוודאות גמורה בהיתכנותה. היא מחייבת רמת מוכנות גבוהה ויכולת ניוד של תוכניות אופרטיביות שהוכנו מבעוד מועד, אבל יותר מכל היא תלויה בהבנת הסיכון הנובע מהפחד המובנה של הצרכן מפני הבלתי ידוע.

גישת המניעה של אירוע קיברנטי הוחלפה זה מכבר בגישת ההכלה. במקרה דנן לא רק מדובר בגישה מקצועית להתמודדות עם תוצאות מתקפת סייבר, אלא לא פחות מכך בהבנה של המשמעות הפסיכולוגית של המתקפה והצלחתה לפגוע בבסיס האמון של הצרכן והצורך של ניהול המשבר להתמודד עם תחושה בלתי נמנעת זו. גישת ההכלה מחייבת להכיר במוגבלות שלנו למנוע את התרחשות המשבר. יש בזה משהו פטליסטי שעלול לייצר תובנה לא נכונה של ניהול סיכונים. אירוע של משבר סייבר הוא אירוע רב-תחומי שמחייב אינטגרציה של דיסציפלינות שונות. מנהל המשבר חייב להיות גורם בכיר מאוד, שמסוגל לא רק לנהל את הסיכון, אלא גם לקבל הכרעות הכרחיות בניגוד לעיתים להמלצות חד משמעיות של גורמי משפט ורגולציה.

כל ארגון חייב להגדיר את הפרמטרים לאירוע סייבר בארגון שלו. על הארגון להגדיר את מרחבי האירוע הפוטנציאלי בהתאם לרמת המידע שנחשף, להיקף הפגיעה המערכתית, למידת היתירות והפגיעה בבסיס האמון הפנים ארגוני וכלפי הארגון החוצה.

לכל משבר קיברנטי השלכות משפטיות מובנות הקשורות לניהול, תפעול והשגחה על מאגרי מידע, על ניהול הסיכונים, על הפגיעה האפשרית במוניטין וכיוצא באלה. ישנן חבויות משפטיות שנכנסות לתוקף מרגע הגדרת המשבר והן קשורות לניהול המשבר, להקטנת פוטנציאל הסיכון, ניהול השקיפות, עדכון הרגולטור ומעורבות גורמים הממונים על הגנה קיברנטית בקרב רשויות האכיפה.

מרגע התרחשות המשבר ישנם כלים הכרחיים להפעלה בתחום התודעה הן במישור הפנים ארגוני והן מתוך הארגון החוצה. קיימת חשיבות רבה להכנת נהלי עבודה מראש ולפעולה סדורה על פי תוכנית מושכלת, שהניחה את אבני הבניין הארגוניים לצורך ניהול מערכה תודעתית מקצועית שתכליתה להגן על הארגון, לסייע בניהול הסיכונים ובעיקר להגן על ערכים צרכניים החיוניים לשיקום עתידי של הארגון מהמשבר.

קיים לכאורה מתח מובנה בין חובות הדיווח במישור המשפטי והרגולטורי לבין שמירה על ערכים חיוניים של שקיפות וניהול יחסים מבוססי אמון עם כלל בעלי הזיקות לארגון. ככלל, אנחנו ממליצים במקרים אלה לתת העדפה לשקיפות מוגברת ולקבוע קו מנחה ההולך מעבר לחובות הרגולטוריות הבסיסיות. במקרים יוצאי דופן של מערכה מתמשכת, יש לשקלל שיקולי סיכול בטווח הקצר על פני שקיפות בטווח הבינוני.

המוכנות הזו לא צריכה להישאר בגדר יכולת ארגונית בלבד. על כל ארגון להכין את לקוחותיו ובעלי הזיקות השונות בתוכו או לצידו לרגע המשבר. מודעות, תיאום ציפיות והבנה של הסיכונים הבסיסיים במאה ה-21 יגבירו לא רק את היתירות הארגונית בפרוץ משבר הסייבר, אלא ישמשו זרז חשוב לשיקום בטווח המיידי.

■ הכותב הוא יועץ אסטרטגי ויו"ר גולדפינגר תקשורת ואסטרטגיה.