האם יש הבדלים בין נהלי אבטחת מידע בין ארגון גדול לקטן?

זה לא סוד שאנחנו חיים כיום בעידן הדיגיטלי ושמים את יהבינו במכשירים הטכנולוגיים השונים. עם זאת, כאשר מדובר באבטחת מידע יש הבדל בין ארגונים גדולים וקטנים בתחום מפתיע. דווקא ארגונים גדולים שמסתמכים על מספר מערכות אבטחה יכולים לפגוע בעצמם.  

סיבה ראשונה - כפילות

הסיבה הראשונה לכך נעוצה בעובדה שלעיתים מערכות האבטחה השונות מספקות את אותו הפתרון, כך שהן לא רק חופפות אלא מבצעות עבודה כפולה שעולה לארגון הרבה כסף. כדי למנוע אפשרות כזאת מומלץ לבצע נוהל אבטחת מידע. באופן הזה הארגון מגדיר לעצמו לא רק את האיומים שמולם עומד הארגון, אלא גם את הפתרון לכך כאשר לכל איום חייב להיות פתרון יעיל אחד בלבד.  

סיבה שנייה – חוסר יעילות

הסיבה השנייה טמונה ביחס ההפוך בין מספר מערכות האבטחה ליעילות שלהם. ממש כמו שבמכונת כביסה ביתית אנחנו לא משתמשים בכל הפונקציות האפשריות, כך גם במערכות אבטחה. המשמעות היא שאם לארגון יש 30-40 מערכות שונות בתחום אבטחת המידע, יש סיכוי שהוא מנצל רק כ-30% מהיכולות הטכנולוגיות שלהן. גם כאן כמובן מדובר בהפסד כספי ומומלץ להתקין מערכות מודולריות, כלומר כאלה שמתאימות עצמן לארגון ולא להיפך.  

סיבה שלישית – הגודל לא קובע

הסיבה השלישית היא שכמות המערכות בתחום אבטחת המידע בארגון אינה מבטיחה אבטחה טובה יותר, כך שמה שעושה את ההבדל הוא איכות המערכות ולא הגודל שלהן או כמותן. לכן, לפני שרוכשים מערכת כזו או אחרת לאבטחת מידע יש לנתח את הצרכים הארגוניים בתחום, לקבוע את המדיניות בנושא אבטחת המידע ולחפש פתרונות רלוונטיים. חשוב מאוד שהפתרונות השונים יוכלו לא רק לעבוד בו-זמנית, אלא גם לעבוד בסנכרון מלא. בארגונים גדולים מומלץ לעשות זאת באמצעות כלי מערכת ניהול אבטחת מידע ואירועים ((Security Information and Event Management-  SIEM , אבל בארגונים קטנים אפשר להסתפק במרכז אבטחת מידע (Security Operating Center - SOC)  

סיבה רביעית – הגורם האנושי

לעיתים קרובות ארגונים גדולים מכשירים צוותים פנימיים בתחום אבטחת המידע, למרות שהקשר שלהם לנושא קלוש – מה שגורם לכך שלצוותי אבטחת המידע אין את ההכשרה הרצויה, הם לא מבצעים את תפקידם כנדרש וחסרות להם מיומנויות בסיס. לעומתם ארגונים קטנים (לרוב בגלל שיקולים כספיים) מעדיפים להעביר למיקור חוץ את נושא אבטחת המידע, למשל כאשר הם מחפשים קורס סייבר המלצה מחבר אינה מספיקה והם פונים לטובים ביותר. המשמעות היא שדווקא בארגונים קטנים תחום אבטחת המידע הוא איכותי ומקצועי יותר.