היקף ההגנה המסורתי מת, ברוכים הבאים לעידן הענן: מדריך ההישרדות החדש של הדירקטוריון

25.03.2026

מאת: אורן יגר | מנהל אבטחת מידע ראשי גלובלי, וסמנכ"ל אבטחת סייבר

---

מבוא

במשך עשרות שנים, אבטחת הסייבר הארגונית התבססה על תפיסה הדומה לביצור טירה מימי הביניים: חפיר, חומות גבוהות, ושרתים המאוחסנים בתוך המתחם המוגן. כיום, מודל זה חדל מלהיות רלוונטי. הנתונים הארגוניים מאוחסנים בשירותי AWS, היישומים פועלים ב-Azure, והעובדים ניגשים למשאבים הארגוניים מכל מקום, לעיתים גם באמצעות מכשירים אישיים.

המעבר לענן לא ביטל את סיכוני הסייבר, אלא שינה את אופיים. עבור הנהלות ודירקטוריונים, המשמעות היא עלייה ניכרת ברמת האחריות, בפוטנציאל החשיפה, ובחובה לפקח באופן ישיר על החוסן הדיגיטלי של הארגון.

בעידן מחשוב הענן, הדירקטוריון אינו רק גוף מייעץ. הוא נדרש לשמש גורם מפקח, מכוון ומוודא, ביחס לאימפריה דיגיטלית חסרת גבולות פיזיים.

מנדט הדירקטוריון בעידן מחשוב הענן

1.     האדריכל: גיבוש אסטרטגיה חכמה לענן

הצהרה כגון "אנחנו עוברים לענן" אינה מהווה אסטרטגיית אבטחה.

יש לקבוע מסגרת סדורה לקבלת החלטות, הכוללת את הרכיבים הבאים:

• הגדרה מחודשת של תיאבון הסיכון: על הדירקטוריון להגדיר מחדש את רמת הסיכון המקובלת בסביבה שבה התשתית מאוחסנת ומנוהלת בחלקה על ידי צד שלישי. אבטחה מוחלטת אינה יעד ריאלי, היעד הוא חוסן, רציפות תפקודית ויכולת התאוששות מהירה.

• הגנה על נכסי המידע הקריטיים: על הארגון לדעת במדויק היכן מאוחסנים הנתונים הרגישים ביותר שלו, באיזה ספק ענן, באיזה אזור גיאוגרפי, ובאילו מנגנוני הצפנה והגנה הם נשמרים..

2.     המושל: שליטה במודל האחריות המשותפת

אבטחת סייבר בענן אינה "בעיית טכנולוגיית מידע" שניתן להעביר במלואה לאחריות ספק הענן.

על הדירקטוריון לוודא כי הנהלת הארגון מבינה לעומק את חלוקת האחריות:

• חלוקת תחומי האחריות: ספק הענן מאבטח בדרך כלל את התשתית הבסיסית, אך הארגון עצמו אחראי לאבטחת הנתונים, ההרשאות, התצורות, היישומים וממשקי הגישה.

• חיזוק מעמד מנהל אבטחת המידע הראשי: מנהל אבטחת המידע הראשי (CISO) זקוק לסמכות, לעצמאות ארגונית ולמשאבים מתאימים, כדי לנהל סביבות מרובות עננים ולמנוע מצבים שבהם שיקולי מהירות פיתוח עוקפים את בקרות האבטחה.

3.     המממן: הקצאת משאבים לקווי ההגנה המודרניים

מדיניות אבטחת ענן ללא מימון מספק אינה יותר מהצהרת כוונות.

הדירקטוריון נדרש לוודא הקצאה תקציבית מספקת עבור:

• כלים ייעודיים לענן: מנגנוני הגנה מדור קודם אינם נותנים מענה מספק בסביבות ענן. יש להשקיע בפתרונות כגון ניהול מצב אבטחת ענן (CSPM), וניהול זהויות והרשאות (IAM).

• פיתוח הון אנושי מקצועי: לא ניתן לאבטח סביבת ענן באמצעות תפיסות עבודה מקומיות ומיושנות. יש לתקצב הכשרה מקצועית מתמשכת, ממוקדת ענן, עבור צוותי האבטחה, התשתיות והפיתוח.

4.     המבקר: פיקוח על בקרות ענן ועל תצורות שגויות

חלק ניכר מאירועי האבטחה בענן אינו נובע מתקיפות מתוחכמות במיוחד, אלא מתצורות שגויות פשוטות, כגון חשיפת מאגר אחסון לציבור.

לכן, נדרש פיקוח הדוק ורציף:

• ניטור ובקרה מתמשכים: על הדירקטוריון לדרוש קיום בקרה מתמשכת על תצורות, הרשאות, חשיפות ושינויים בסביבות הענן. מבחני חדירה שנתיים בלבד אינם מספקים בסביבה דינמית המשתנה בתדירות גבוהה.

• אימוץ ארכיטקטורת אפס אמון: יש לוודא כי הארגון בוחן את מערכי ההגנה שלו בהתאם לעקרונות ארכיטקטורת אפס אמון (Zero Trust), כלומר, אין להעניק אמון כברירת מחדל, ויש לאמת כל משתמש, מכשיר ובקשה, ללא תלות במיקום הגישה.

5.     המפקד: חשיבה מחודשת על תגובה לאירועים

בסביבת ענן, תקיפות מתפתחות במהירות גבוהה, לעיתים בקצב של תהליכי אוטומציה וקוד.

בהתאם לכך, גם מערך התגובה חייב להיות מותאם:

• תוכנית תגובה לאירועי סייבר בענן: תוכנית התגובה לאירועים (IRP) חייבת להיות מותאמת במפורש לסביבות ענן. יש להגדיר מראש בעלי תפקידים, נהלי הסלמה, מנגנוני התקשרות עם ספק הענן, ותרחישים אופרטיביים ברורים.

• הקשחת ההיבט האנושי: הזהות הדיגיטלית הפכה לגבול האבטחה המרכזי. לכן, על ההנהלה והדירקטוריון לוודא יישום קפדני של אימות רב-גורמי (MFA), בקרות מחמירות על עבודה מרחוק, והפעלת תרגילי מודעות וסימולציות דיוג (Phishing) באופן שוטף.

6.     הדיפלומט: ניווט במורכבות התאימות בענן

ריבונות נתונים הפכה לאתגר ממשי בעידן הענן.

כאשר נתוני לקוחות, עובדים או פעילות עסקית מאוחסנים במדינות שונות, הארגון עשוי להיות כפוף לדינים מקומיים ולחובות רגולטוריות מצטברות.

על הדירקטוריון להבטיח:

• שליטה במיקום הנתונים: יש להבין במדויק היכן נמצאים הנתונים בענן, באילו אזורי שירות, ובאילו מסגרות חוזיות ורגולטוריות.

• עמידה בדרישות פרטיות ורגולציה: על הארגון לפעול בהתאמה מלאה לחוקי הגנת פרטיות רלוונטיים, כגון התקנה הכללית להגנה על מידע (GDPR) וחוק פרטיות הצרכן של קליפורניה (CCPA), וכן לכל רגולציה ענפית או טריטוריאלית נוספת החלה עליו.

• 
  

7.     הנאמן: קיום חובת הפיקוח העליונה

ההגנה המסורתית של אנונימיות תאגידית והתרחקות מאחריות אישית הולכת ומצטמצמת.

המשמעות עבור דירקטורים ברורה:

• מחיר הרשלנות: דירקטורים מחויבים משפטית לפקח באופן פעיל על מוכנות הסייבר של הארגון. הימנעות משאילת השאלות הנכונות ביחס לאבטחת הענן עלולה להוביל לתביעות בגין רשלנות ניהולית, להטלת קנסות משמעותיים ולנזק תדמיתי קשה.

• תדירות ועומק הפיקוח: דיוני סייבר אינם יכולים להיות נושא משני. עליהם להיות תכופים, שקופים, מבוססי נתונים, ומעוגנים בתמונת מצב עדכנית של הסיכונים והפערים.

הובלה מתוך אחריות

המנהל המודרני נדרש לבחון את אבטחת הענן דרך עדשת האחריות התאגידית. באמצעות ממשל נחוש, הבנה מעמיקה של מודל האחריות המשותפת, והקצאת משאבים נכונה, יכול הדירקטוריון להפוך את סיכון הענן מאיום מתהווה למנוף אסטרטגי משמעותי.

השאלה הקריטית שכל דירקטור צריך לשאול

חברי דירקטוריון ומנהלי מערכות מידע נשאלים לעיתים קרובות מהי השאלה החשובה ביותר שדירקטור יכול להפנות להנהלה בנושא אבטחת ענן.

אחת השאלות החזקות והחושפניות ביותר היא:

"אם סביבת הענן הרגישה ביותר שלנו תיפגע הלילה, כיצד נדע על כך, ומה יתרחש במהלך שש השעות הראשונות?"

שאלה זו בוחנת בו-זמנית כמה רכיבים מהותיים:

• יכולת גילוי וזיהוי מוקדם.

• מוכנות לתגובה לאירועים.

• נתיבי הסלמה מול ספק הענן.

• פרוטוקולי תקשורת פנימיים.

• מידת המוכנות של הדירקטוריון עצמו לקבלת דיווח בזמן, לצורך מילוי חובותיו המשפטיות והפיקוחיות.

אין זו שאלה טכנית בלבד. זוהי שאלה מובהקת של ממשל תאגידי. איכות התשובה עליה חושפת במהירות את רמת הבשלות האמיתית של הארגון, ואת הפערים המחייבים טיפול.

סיכום

אבטחת ענן אינה עוד סוגיה טכנולוגית מצומצמת. מדובר בנושא ליבה של ממשל תאגידי, ניהול סיכונים, רציפות עסקית ואחריות משפטית. דירקטוריון שמבין את תפקידו בעידן הענן, שואל את השאלות הנכונות, ומקצה משאבים באופן ממוקד, מחזק לא רק את מערך האבטחה, אלא גם את יכולתו של הארגון לצמוח, לפעול ולהתאושש בעולם דיגיטלי מורכב ודינמי.