ה-CISO החדש לא יכול להרשות לעצמו להגיד רק "לא"
במשך שנים ל-CISO היה תפקיד נוח להגדרה: להיות המבוגר האחראי בחדר. מישהו רוצה להכניס מערכת חדשה? בודקים סיכונים. כלי ענן חדש? מחכים לאישור. אפליקציה שלא עברה ביקורת? חוסמים. המודל הזה עבד כל עוד קצב השינוי היה איטי מספיק.
AI שובר אותו.
היום עובדים לא מחכים שהארגון יאשר להם איך להשתמש בבינה מלאכותית. הם כבר משתמשים בה. מנהלים רוצים להכניס סוכנים לתהליכים עסקיים, צוותי פיתוח מחברים מודלים למערכות פנימיות, וההנהלה שואלת לא האם לאמץ AI, אלא כמה מהר אפשר לעשות את זה.
במציאות הזאת, CISO שאומר ״לא״ לכל דבר לא בהכרח מגן על הארגון. לפעמים הוא פשוט גורם ל-AI להיכנס דרך הדלת האחורית.
וזה אולי השינוי הכי גדול בתפקיד.
אבטחת מידע כבר לא יכולה להיות מחלקת הבלמים של החברה. היא צריכה להפוך למערכת ההיגוי שלה.
במקום לנסות לעצור כל שימוש מסוכן, צריך להבין איפה מותר לקחת סיכון: איזה מידע יכול להגיע למודל, אילו פעולות סוכן יכול לבצע לבד, ומתי אדם חייב להיות בלולאה.
אבל ״להגיד כן״ לא אומר להתעלם מהסיכון. להפך. הדרך הנכונה היא לפרק אותו.
לפני שאומרים לא ליוזמת AI, אפשר לשאול שלוש שאלות פשוטות: לאיזה מידע היא מקבלת גישה? מה היא מסוגלת לעשות איתו? ומה הנזק המקסימלי אם היא טועה?
משם אפשר לרדד את הסיכון: להתחיל עם מידע פחות רגיש, לתת לסוכן הרשאות מוגבלות, לדרוש אישור אנושי לפני פעולה משמעותית ולפתוח בהדרגה יותר יכולות ככל שנצבר ביטחון.
כך אבטחה הופכת מ״שער״ שצריך לעבור בו, למנגנון שמאפשר לארגון להתקדם מהר בלי להמר על הכול.
כי בשנים הקרובות, החברות המצליחות לא יהיו אלה שייקחו אפס סיכון. הן יהיו אלה שילמדו לקחת סיכון בצורה חכמה יותר מהמתחרים שלהן.
ה-CISO הטוב ביותר לא יהיה זה שאומר הכי הרבה ״לא״. הוא יהיה זה שיודע להפוך ״לא״ מסוכן ל״כן״ מבוקר.
דקל לבקוביץ הוא Founder ב-Ray Security
