"בהגנת סייבר אנשים הם החוליה החלשה - צריך להשקיע שם את המשאבים"

"בכל הנוגע להגנת סייבר אנשים הם החוליה החלשה. יש היום כלים טכנולוגיים שמאפשרים לחנך אותם ולהכין אותם יותר מבעבר, ויש מקום להשקיע שם" – כך אמר ג'ים רות, סמנכ"ל מערכות מידע ב-Dana Foundation, במפגש מיוחד על מצב ועתיד אבטחת המידע הארגונית, שנערך במסגרת ועידת Mind the Tech של כלכליסט ובנק לאומי בניו יורק. את המפגש הנחו ירון אלעד, שותף מנהל ומנכ"ל Elron Ventures, ושי מישל, שותף מנהל ב-Merlin VC.

"מבחינת סביבת המקרו, חינוך אנשים זה אזור אחד שלא נגעו בו בצורה בוטה", המשיך רות. "הוא לא עולה הרבה כסף אבל דורש זמן רב. אחרי שנים שאני עושה מאמץ להסביר לדירקטורים איך אנחנו מונעים מאנשים להקליק על קישורי פישינג, אני מבין שצריך להבין מאיפה מגיע כל חבר דירקטוריון ולהתאים לו אישית את המידע על מה עושה צוות אבטחת הסייבר בארגון. זה לא ברור שאנחנו יחידה שמייצרת רווח, אז אני משתמש במודלי סיכון שונים. זה לא תמיד יתאים למה שהדירקטוריון מצפה, לרוב הדירקטורים יש רקע כמשקיעים".

קריסטיאן שנדלר, סמנכ"ל מערכות מידע ב-WestCap אמר: "יש לנו 40 חברות בפורטפוליו שלנו. כשחושבים על שינויים בכוח העבודה, כולן עברו למודל תעסוקה היברדי. אנחנו מנסים לעבוד איתם על ייעול עלויות, והרבה קיצוצים בתקציב מגיעים ממעבר למודל עבודה היברדי. כשחושבים על חינוך ואיך מלמדים אנשים לעבוד בסביבה לא מאובטחת, שזה יכול להיות בית, בית קפה או לובי מלון, זה דורש מהם להבין יותר את שיקולי אבטחה ויש צורך להקצות משאבים לעבודה מסביבה שיש בה אפס אמון. כולם מביאים מכשירים משלהם, עוברים בין מכשירים בקצב גבוה, אנחנו מבקשים מארגונים לקבל החלטות מודעות תקציב, אבל המקום היחיד שבו אנחנו רוצים לראות הפחתת הוצאות סביב אבטחה הוא במודיעין. יש אפשרות לרכז 20 או 30 גופים ולרכוש ביחד מידע על סיכונים אפשריים. אף אחד לא עושה פחות מבעבר, אלא מרכזים מה שעושים כיום".

לפי סת' שפרגל, שותף מנהל ב-Merlin VC: "יש היום חשש משמעותי ממתקפות שרשרת אספקה. לפני כמה זמן זה היה תחום שאנשים לא הסתכלו עליו, אבל אחרי מתקפות אחרונות זה יוצר עניין רב. העניין הזה יהפוך תוכנה להרבה יותר בטוחה. בנוסף, מדברים על כך שאי אפשר להגדיל את כוח האדם אבל אי אפשר להקטין תקציב. צריך לשאול איך לשלב בין כלים ומה אפשר לעשות כדי לקבל את אותה יעילות ממוצרים קיימים. אני לא רוצה מוצרים נפרדים לכל צורך, אלא שיהיה לי פתרון אחד שעונה על כולם. זה מאפשר חיים קלים יותר, לא צריך הרבה אנשים כדי לנהל דברים שונים וזה מונע מדברים ליפול בין הכיסאות".

ליאון לרמן, מייסד ומנכ"ל Cynerio, התייחס למחסור בכוח אדם ולפיטורים ואמר: "אם מדברים על סטארט אפים, בשנה שעברה הייתה מסיבה, יזמים גייסו הרבה כסף בהערכות שווי גבוהות והוציאו הרבה כסף על גיוס אנשים. עכשיו אנחנו רואים תיקון, וחברות שהתרחבו באגרסיביות גם מתקנות באגרסיבית. אבל יש חברות שלקחו את הכסף ב-2021 והשקיעו אותו בצמיחה יציבה, ובמקרים האלו רואים פחות פיטורים. מהניסיון שלנו בארה"ב ישראל ולונדון, הביקוש לאנשים הטובים, השחקנים דרג א', עדיין קיים. קשה לגייס אותם. מי שמפוטרים הם לא בהכרח האיכותיים ביותר, אבל אם הם בסייבר הם עדיין מוציאים בית חדש מהר מאוד".

בוריס גורין, מנכ"ל Canonic Security, הסכים: "כישרון איכותי תמיד נמצא בחסר, הלקוחות שלנו מחפשים אנשים עם כישורים מתאימים. יש מחסור באנשים".

מיטשל קלייהנדלר, שותף ב-Diffrental VC, אמר: "לאחת מחברות הסייבר שאנחנו משקיעים בהן יש קושי למצוא אנשי מכירות, והם מסתמכים יותר על משווקים חיצוניים ומתווכים. אבל זה דורש הרבה זמן מחברת סייבר, כי הם צריכים לוודא שהאנשים שמוכרים בשבילם מאומנים ומיומנים. חברות צריכות לשכור את אנשי המכירות הכי טובים שהן יכולות ולמכור את המוצרים בעצמן. מבחינת תאגדית, להרבה מנהלי אבטחת מידע אין אסטרטגיה לשלוש או לארבע שנים קדימה, והדירקטוריון גם לא מעוניין באסטרגיה כזו. זה מקשה על מנהלי אבטחת מידע לעבוד".

רועי קארו, סמנכ"ל סיכונים ואסטרטגיה ב-Fireblocks אמר: "טכנולוגיות בלוקצ'יין כבר לא משמשות רק למסחר ורווחים. אנחנו רואים יותר ויותר שימושים מעולמות נוספים: תשלומים, מוסדות שעושים טוקניזציה של נכסים כמו ניירות ערך, מטבעות ואפילו נדל"ן, וכל עולמות ה-web3, שכוללים גם שימושים אמיתיים שמתחילים לשנות את העולם. מכיוון שכך, כל מי שעוסק בהגנת סייבר צריך ללמוד את הטכנולוגיות החדשות, להבין איך הן משפיעות על הארגון שלו ובאיזה מובן הוא נמצא בסיכון כתוצאה מחשיפה לצד שלישי".

אלעד עצמו אמר: "בסביבת הצמיחה שהיינו בה ב-2020 ו-2021, העסקים גדלו והתקציבים גדלו, כוח האדם הארגוני שעסק בהגנת סייבר גדל והכל היה מושלם, כיום הדינמיקה שונה, דברים משתנים.הוצאות IT נמצאות בירידה, וכך גם הוצאות האבטחה. כתוצאה, מנהלי אבטחת מידע צריכים לחשוב על מבני עלויות ולפתח מדדי יעילות שיצדיקו רכישות של מוצרי אבטחה".

מיכאל ציין: "לקוחות קונים פתרונות אבטחה, ושנה אחר כך עולה השאלה מי יטפל בזה? אנשים לא מפטרים, אבל גם לא מגייסים אנשים חדשים. אז מי יטפל בטכנולגיות החדשות?"