סמנכ"לי כספים ואבטחת סייבר: איומים מובילים וכיצד למנוע אותם

מאחר שמתקפות סייבר מייצגות סיכון כלכלי משמעותי לרוב הארגונים, קציני הכספים הראשיים ממלאים תפקיד חשוב באבטחת סייבר. הם עובדים בשיתוף פעולה הדוק עם קציני אבטחת המידע הראשיים (CISOs) כדי לתעדף איומים פוטנציאליים על בסיס הסיכון הכלכלי שלהם, לשמור על הגנות בהתאם, ובסופו של דבר לעזור להפחית סיכונים אלה.

מדוע סמנכ"לי כספים צריכים לדאוג לאבטחת סייבר?

מתקפות סייבר יכולות לעלות לארגונים במספר דרכים. בסך הכל, העלות הממוצעת של פריצת נתונים לארגונים ברחבי העולם הייתה 4.45 מיליון דולר בשנת 2023 על פי מחקר של IBM ומכון פונימון. המטרה של כמעט 95% מההתקפות היא רווח כספי, לא מסיבות פוליטיות, חברתיות או אישיות על פי דו"ח Verizon Data Breach Investigations לשנת 2023.

נתונים סודיים, כגון מספרי כרטיס אשראי של לקוחות וסיסמאות לרשת עובדים, הם יעדים מועדפים. כך גם המזומנים הישנים והטובים שנגנבו באמצעות חשבוניות ספקים מזויפים, הונאות שכר והתקפות כופר. כמעט מחצית מהמנהלים הבכירים סבורים שהתקפות על חשבונאות ופיננסים יחמירו, כך עולה ממחקר שערך Deloitte Center for Controllership בשנת 2023. כמו כן, יש לחשוב גם על העלות הכספית של נזק למוניטין הארגון בשל הפרת אבטחה.

תקנות חדשות של הרשות לניירות ערך של ארצות הברית ימשכו גם הן את תשומת הלב של סמנכ"לי כספים. האבטחה אימצה כללים המחייבים חברות ציבוריות לתת למשקיעים מידע "שימושי להחלטות" על תקריות אבטחת סייבר, יחד עם עדכונים תקופתיים על תוכניות אבטחת הסייבר שלהם. נראה כי הכללים מחייבים את האבטחה לקבל הודעה בתוך ארבעה ימים מקביעת החברה כי תקרית אבטחת סייבר היא "חומרית", כלומר אחת שרוב המשקיעים יראו בה חשובה.

מנדט רגולטורי נוסף הוא החוק הפדרלי לניהול אבטחת מידע (FISMA), המחייב סוכנויות פדרליות בארצות הברית לפתח, לתעד וליישם אמצעי אבטחה ברחבי הסוכנות. ציות לחוק נמצא בעיקר באחריות של CISO, אבל סמנכ"לי כספים ממשלתיים צריכים להיות מודעים לדרישותיו.

מילות מפתח

• כמומחים בניהול סיכונים, סמנכ"לי כספים צריכים לעבוד עם CISOs כדי לתעדף איומי סייבר והגנה המבוססים על סיכון כספי תאגידי.
• כדי להעריך את סיכוני הסייבר, סמנכ"לי כספים חייבים לרכוש ידע מוצק בטכניקות מתקפת סייבר, כמו גם באסטרטגיות ובטכנולוגיות המשמשות למאבק בהם.
• באופן הולך וגובר, סמנכ"לי כספים תורמים לתוכניות אבטחת סייבר, בודקים את תקציבי האבטחה ומפקחים על היעילות של הכנות אבטחה.

כל מה שצריך לדעת על סמנכ"לי כספים ואבטחת סייבר

סמנכ"לי כספים אינם מומחים לאבטחת סייבר, אך הם מומחים בניהול סיכונים. כך הם הופכים לבעלי ברית טבעיים של CISO, האחראי להגנה על המערכות והנתונים של הארגון. על סמנכ"לי כספים להתייעץ בקשר לתוכניות אבטחת סייבר ולוודא שהם משקפים את הסיכון הפיננסי הכולל של החברה. האם החברה שומרת מספיק על מערכות שמעבדות ומאחסנות את הנתונים הרגישים והחשובים ביותר של הארגון? האם היא עוזרת לעובדים ברחבי הארגון לזהות הודעות דוא"ל, שיחות והונאות אחרות? כשומרים המאומנים המובילים בניהול סיכונים, סמנכ"לי הכספים חייבים להיות בטוחים שרמת סיכון הסייבר של הארגון סבירה.

לסמנכ"לי כספים יש גם חובות דיווח רגולטורי הכוללות אבטחת סייבר. הם מעורבים באופן הדוק בציות לכללים שקבעה הרשות לניירות ערך של ארצות הברית, התקנה הכללית להגנה על נתונים של האיחוד האירופי וחוק הפרטיות לצרכן של קליפורניה, בין היתר. סמנכ"לי כספים משתפים פעולה עם יועצים כלליים, מבקרים פנימיים, CISO ואחרים כדי להבטיח ציות לכללים. הם מתמודדים עם שאלות מהדירקטוריון לגבי גילויים של תקריות סייבר כלשהן, יחד עם גילויים שנתיים של ניהול סיכוני סייבר, אסטרטגיה ופיקוח.

במסגרת אכיפת הציות לכללים, סמנכ"לי כספים חייבים לאזן כמה גורמי מפתח. לדוגמה, האבטחה דורשת גילוי של כל "אירוע מהותי" שהמשקיעים עשויים להחשיב חשוב. כמובן, סמנכ"לי כספים משתמשים באמצעים פיננסיים כדי להחליט מה מהותי ומכאן הם מחליטים מה לחשוף, אבל הם צריכים גם לשקול גורמים איכותניים יותר כגון ההשפעה התדמיתית של אפילו ההתקפה הקטנה ביותר על נתוני הלקוחות.

חמשת סיכוני אבטחת הסייבר המהותיים ביותר עבור סמנכ"לי כספים

בעולם העסקי המקוון הראשון הזה "וקטור האיומים" הזמין להתקפות סייבר מתרחב כשחברות מוציאות יישומים מהר יותר וליותר משתמשים מאי פעם. חברות גם משלבות יותר ויותר יישומים במערכות מספקים, שותפים וגורמים חיצוניים אחרים.

ללא קשר לסביבות שבהן הם מתמקדים, תוקפים תמיד בודקים דרכים חדשות להתחמק מהגנות סייבר. סמנכ"לי כספים אינם צריכים להבין כל הבדל טכני דק, אבל הם חייבים להכיר את הטכניקות היעילות ביותר של התוקפים. התקפות רבות מחדשות את אחד מחמשת סוגי ההתקפות הבאים.

תפקיד סמנכ"ל הכספים באבטחת סייבר

מעבר לעבודה עם CISOs למתן עדיפות לסיכוני סייבר, סמנכ"לי כספים עוזרים להם יותר ויותר ליצור תוכנית אבטחה, לפתח תקציב אבטחה ולנטר את הביצועים וההכנות של האבטחה.

הכרת הסיכונים באבטחת סייבר

כדי להכיר את הסיכונים באבטחת סייבר, סמנכ"לי כספים נותנים להם עדיפות על סמך סיכונים פיננסיים. משמעות הדבר היא, למשל, עבודה עם CISOs כדי להבטיח כי יישומי מפתח - כאלה שמנהלים נתונים רגישים ותשלומים - מוגנים כראוי. האם תפקידים שונים דורשים רמות שונות של הרשאה לגשת לנתונים ולבצע תנועות, מה שנקרא עקרון ההרשאה המינימלית? לדוגמה, מנהל שרשרת אספקה עשוי להזדקק להרשאה כדי להזין מערכת רכש ולבצע או לאשר תנועות. ייתכן שמומחה חשבונאות לא יזדקק להרשאה כדי לעבוד במערכת זו, אך יזדקק להרשאה כדי לגשת ולבצע עסקים במערכות חשבונאות ומערכות פיננסיות. כמו כן, רק עובדים מורשים צריכים להקים תשלומי ספקים.

יישומים בעדיפות גבוהה נמצאים בחשבונאות ובתחום הכספים (חשבונות חייבים וזכאים), פעולות שרשרת אספקה (רכש) ומשאבי אנוש (גיליון שכר). בתעשיות מסוימות, כמו שירותים פיננסיים ושירותי בריאות, הגנה על יישומים המנהלים נתוני לקוחות או מטופלים היא חשובה במיוחד.

"אבטחת סייבר היא לא אחידה לכולם", אומר אמן דסוזה, מנהל מוצר בכיר ב-Oracle שניהל בעבר אסטרטגיות פיקוח, סיכונים ותאימות לחברת הטכנולוגיה הפיננסית העולמית Broadridge Financial Solutions. "חלק מהיישומים חשובים הרבה יותר מאחרים. CISO צריכה לעבוד עם סמנכ"לי כספים, ולפעמים מנהלים אחרים, כדי לתעדף את הסיכון הארגוני ולהגן על תכשיטי הכתר. ולפעמים סמנכ"ל הכספים צריך להיות מוכן לאתגר את החשיבה של CISO".

בעת הערכת ההשפעה הפוטנציאלית של התקפות, סמנכ"לי כספים צריכים להסתכל מעבר לנזק כספי מיידי. הם חייבים גם לשקול את ההשפעות המתמשכות על פרודוקטיביות, תדמית המותג, קשרי לקוחות וציות משפטי.

פיתוח תוכנית לאבטחת סייבר

לכל חברה מבנה שונה, אך תכנון אבטחת סייבר הוא מאמץ חוצה-תפקידים שבדרך כלל נופל בעיקר על CISO. אבל בגלל התקפות סייבר יש סיכונים חמורים לשורה התחתונה שמובילים את CISOs להתייעץ עם סמנכ"לי כספים בעת פיתוח תוכניות. עם כללי האבטחה החדשים, סמנכ"לי כספים בחברות הנסחרות באופן ציבורי בארה"ב נדרשים לכלול גם אסטרטגיה לניהול סיכונים ומידע על פיקוח בדוחות השנתיים שלהם, כך שהם צריכים לעבוד בשיתוף פעולה הדוק עם CISOs.

כל התוכניות צריכות לכלול הערכה של סיכוני אבטחת סייבר. סמנכ"לי כספים מודדים את סיכוני הסייבר בהתבסס על הערך של נתונים שונים, בתוספת העלויות המשפטיות והתדימתיות הפוטנציאליות של תקריות אבטחה. סמנכ"לי כספים שוקלים גם את הסיכונים של מיקור חוץ לצד שלישי כדי לאחסן נתונים רגישים, בייחוד את ההשלכות על כיסוי ביטוחי לאבטחת סייבר ואת הסיכונים של אי-תאימות לאבטחה או לכללים אחרים.

היבט חשוב נוסף של תכנון: הערכה של כלי האבטחה והתהליכים הנוכחיים. CISOs מעריך כלים לפי היכולות הטכניות שלהם. סמנכ"לי כספים רוצים לדעת שכלים ותהליכים קשורים יכולים להגן על נכסים בעלי ערך גבוה, בפרט יישומים פיננסיים ותשלומים. באמצעות ניתוח עלות לעומת תועלת, סמנכ"לי כספים יכולים גם להעריך השקעות טכנולוגיות באבטחה, פרספקטיבה המסייעת CISOs כאשר מגיע הזמן להציג את תקציב האבטחה למנכ"לים ולמנהלים.

התוכניות הטובות ביותר הן גמישות, ובכך הן מאפשרות לחברות להסתגל לסיכונים מתפתחים כגון טכנולוגיות דיפ-פייק המופעלות על ידי בינה מלאכותית שיכולות להתחזות באופן ריאליסטי למנהלים בכירים. התקפה אחת השתמשה בסרטון מזויף בעזרת בינה מלאכותית בשיחת ועידה כדי לפתות עובד במחלקת הכספים לשלוח 25.6 מיליון דולר לחשבונות הבנק של התוקף, כך דיווח CNN. תוכניות שניתן להתאים משאירות מקום לכלי האבטחה העדכניים ביותר, וחלקם משתמשים, כן, כן, בבינה המלאכותית הגנרטיבית כדי לזהות חריגות ברשת ופעילות זדונית מהר יותר.

יצירת תקציב לאבטחת סייבר

כמו בתוכנית אבטחת הסייבר, CISO מוביל גם בהצעת תקציב לאבטחת סייבר. ברוב החברות סמנכ"לי כספים מתייעצים בתהליך, בודקים את התקציב, שואלים שאלות וממליצים. בבדיקת הוצאות האבטחה סמנכ"לי כספים בוחנים השקעות באנשים בעלי מומחיות מיוחדת, טכנולוגיות לזיהוי ולמאבק בהתקפות, וכלים לניטור סיכוני סייבר ותאימות לאבטחה.

במחזור התקציב בין 2022 עד 2023, תקציבי אבטחת הסייבר עלו בשיעורים צנועים, כך עולה ממחקר שערכה חברת הייעוץ לאבטחה IANS Research בשנת 2023 . לדוגמה, חברות טכנולוגיה בממוצע הגדילו את תקציבי האבטחה ב-5% בלבד, לעומת גידול של יותר מ-30% במחזור 2021 עד 2022. אולם, בהשוואה לתעשיות אחרות, לחברות הטכנולוגיה יש את תקציבי האבטחה הגדולים ביותר כאחוז מסך ההוצאות על IT, ב -19.4%. תעשיית הקמעונאות, לעומת זאת, מקצה בממוצע 7.2% מתקציבי ה-IT לאבטחה.

כשאין מספיק כסף סמנכ"לי כספים שואלים את השאלות הקשות. האם התקציב המוצע תואם את מטרות החברה? האם הוא מממן כראוי את המאמצים להגן על הארגון ולהקטין את הסיכון?

הקצאת משאבים לאבטחת סייבר

לאחר קביעת תקציב אבטחת הסייבר, CISO בודק אם הוא מקצה משאבים למקום שבו הם נדרשים ביותר כדי להפחית את הסיכון, אם מדובר בגיוס אנשי מקצוע מיומנים, הרחבת תוכניות הכשרה לאבטחת עובדים, רכישת תוכנת אבטחה חדשה, או העברת הארגון למודל עסקי מאובטח יותר בענן. שוב, לסמנכ"לי כספים יש תפקיד מייעץ שמבטיח שההקצאות משקפות את סדרי העדיפויות של הסיכונים הפיננסיים. דוגמה: בהקצאת כספים לכלי אימות רב-שלבי, האם הארגון יפחית את הסיכון לחדירה ויגן על נתונים טוב יותר מהשקעת כמות דומה של כסף באנשים או בשיפורי תהליכים?

ניטור ביצועי אבטחת סייבר

תוכנית אבטחת הסייבר כוללת מדדי ניטור ביצועים, המראים אם רמות הסיכון הנוכחיות סבירות או לא. CISO בוחן מדדים כמו הזמן הממוצע לגילוי התקפות ולהגיב להן. סמנכ"ל הכספים מתמקד יותר במוכנות האבטחה לעומת ביצועי הטכנולוגיה והתהליכים. "סמנכ"לי כספים בעיקר רוצים לראות ראיות לתוכניות אבטחה בשלות", אומר דסוזה. "הם מחפשים אינדיקטורים כמו כלי ניטור אוטומטיים או הכשרת מודעות לאבטחה שמלמדת עובדים לזהות סיכונים לדוא"ל עסקי והתקפות פישינג. עבור סמנכ"ל הכספים, מדובר בהכנה יותר מכל דבר אחר".

עלות ההתעלמות מאבטחת סייבר

כאשר חברות מתעלמות (או לא מקדישות מספיק תשומת לב) מאבטחת סייבר, המחיר עלול להיות קשה ולהוביל לאובדן נתונים, כספים ו / או קניין רוחני. העלויות יכולות לכלול גם ירידה בנאמנות הלקוח, הזמנות עסקיות מבוטלות, ירידה במחיר המניה, כותרות שליליות ועונשים משפטיים. Dark Reading דיווחה כי אחת מפריצות האבטחה המפורסמות ביותר מ-2017 הובילה לירידת מחיר המניה של החברה ב-31% בתוך שבוע ושעברו שנתיים עד שהתאוששה במלואה. עם זאת, נפוץ יותר שתהיה ירידה מיידית במחיר המניה בספרות יחידות נמוכות.

הנזק מפשעי הסייבר העולמיים צפוי להגיע ל-10.5 טריליון דולר עד 2025, כך לפי מחקר של Cybersecurity Ventures ב-2022. ספקית האבטחה Deep Instinct דיווחה כי 75% מאנשי האבטחה היו עדים לעלייה בהתקפות מ-2022 עד 2023.

על פי כללי חשיפת הסייבר החדשים של SEC, חברות חייבות "לחשוף מידע שנתי לגבי ניהול סיכוני סייבר, אסטרטגיה ופיקוח", אמר אריק ג'רדינג, מנהל חטיבת מימון התאגידים של SEC, בהצהרה. זאת בנוסף לצורך לחשוף כל תקרית חומרית של אבטחת סייבר. בהתחשב בדרישות אלה, סמנכ"לי כספים בחברות ציבוריות חייבים להרגיש בטוחים שהם מבינים את האסטרטגיה והשיטות המתמשכות של אבטחת הסייבר של החברה. חייבים להיות להם הידע והקשרים כדי לדעת במהירות על תקריות אבטחת סייבר רלוונטיות ולהעריך את המהותיות של התקפות אלה. סמנכ"לי כספים שמתעלמים מדרישות אלו מעמידים את הארגונים שלהם בסכנה לקבלת קנסות רגולטוריים.

מניעת סיכוני אבטחת סייבר מההתחלה עם Oracle

החבילה Oracle Fusion Cloud Enterprise Resource Planning (ERP) של כספים, רכש, ניהול פרויקטים ויישומים אחרים מציעה אבטחה לפי עיצוב. בקרות גישה מרכזיות יכולות לסייע לפשט את הרשאת הרשת, ויחד עם תכונות האבטחה המוצעות כחלק מ-Oracle Cloud ERP, יכולות לסייע לארגונים לנהל את התאימות והרגולציה שלהם.

Oracle Risk Management and Compliance, חלק מחבילת Oracle Cloud ERP, הוא פתרון אבטחה וביקורת הכולל כלי בינה מלאכותית המאפשרים לשלוט בגישה לנתונים הפיננסיים של החבילה, לזהות עסקאות חשודות ולסייע לספק לארגונים תובנות חשובות כדי לסייע בציות לתקנות האבטחה.

שאלות נפוצות בנושא אבטחת סייבר של סמנכ"לי כספים

מה עושה סמנכ"ל הכספים באבטחת סייבר?
כנציג ניהול הסיכונים של הארגון, סמנכ"ל הכספים מוודא שמאמצי אבטחת הסייבר שלו משקפים אסטרטגיות ניהול סיכונים פיננסיים. סמנכ"ל הכספים מסייע ל-CISO להבין את סדרי העדיפויות של הסיכונים ברחבי הארגון וליצור תוכניות אבטחה ותקציבים בהתאם.

אילו אישורי אבטחת סייבר אמורים להיות לסמנכ"ל כספים?
אחד מהאישורים שצריכים להיות לסמנכ"ל כספים הוא האישור מיקסום מצוינות תפעולית דיגיטלית, שמציע המכון האמריקאי לרואי חשבון מוסמכים והמכון לרואי חשבון לניהול. הוא מאשר כי מנהלי כספים מעודכנים בשיטות לחיזוק הפיקוח הפיננסי, האבטחה והשליטה.

מהם תחומי האחריות העיקריים לאבטחת סייבר שעל סמנכ"ל הכספים למלא?
מלבד הבטחה כי אבטחת סייבר תואמת לסיכונים פיננסיים, סמנכ"לי כספים צריכים לסייע ל-CISO בחידוד תוכניות אבטחה ותקציבים, כמו גם מתן עדיפות להגנה על יישומים שמנהלים נתונים קריטיים ותשלומים. סמנכ"ל הכספים בחברות ציבוריות עשוי גם לקבל דרישות לגילוי רגולטורי, בהתאם למקום שבו נמצאת החברה.