ייעוץ ופיתוח ארגוני
ניהול סיכונים ארגוניים - מודל אחד לכל סוגי הסיכון
ברוב הארגונים שאני נכנס אליהם קיימים כבר כמה סקרי סיכונים. אחד של אבטחת מידע, אחד של בטיחות, אחד שנעשה לצורך מבדק ISO. כל אחד בפורמט אחר, כל אחד אצל בעל תפקיד אחר, ואף אחד מהם לא מגיע להנהלה בצורה שאפשר להחליט לפיה.
העבודה שלי היא לבנות מודל אחד שמדבר בשפה אחת על כל סוגי הסיכון, ושההנהלה יכולה להפעיל בלעדיי.
סוגי הסיכון שהמודל מכסה
הנקודה אינה ברשימה אלא בכך שכולם נמדדים באותה סקאלה. סיכון תפעולי וסיכון רגולטורי חייבים להיות ניתנים להשוואה, אחרת ההנהלה לא יכולה לתעדף ביניהם.
מה כולל הליווי
- הטמעת מודל זיהוי, הערכה וניהול סיכונים אחיד לכל סוגי הסיכון
- ביצוע סקרי סיכונים: מטלות, סביבה, ספקים ואבטחת מידע
- ניהול נכסי המידע והמחשוב הארגוניים ומיפוי מאגרי המידע לרמות האבטחה שבדין
- בניית מפת סיכונים ותוכנית טיפול עם אחראים ומועדים
- הטמעת שיטה לניהול אירועים, כולל Playbook מבוסס סיכונים ורגולציה
- חיבור מפת הסיכונים לתוכנית העבודה ולתקציב
החיבור לתקינה
מודל הסיכונים אינו נספח לתקן אלא התשתית שעליה יושבות כמעט כל מערכות הניהול: ISO 9001 דורש חשיבה מבוססת סיכון, ISO 27001 בנוי סביב הערכת סיכוני אבטחת מידע, ISO 22301 סביב ניתוח השפעה, ו-ISO 42001 סביב הערכת השפעה של שימושי AI. מודל אחד טוב חוסך ארבע עבודות נפרדות.
שיטות העבודה נשענות על מסגרות מוכרות - ISO 31000 לניהול סיכונים, ISO 27005 לסיכוני אבטחת מידע ו-NIST SP 800-161 לסיכוני שרשרת אספקה - ולא על פורמט שהמצאתי.
שאלות נפוצות
יש לנו כבר סקר סיכונים. למה צריך עוד אחד?
בדרך כלל לא צריך עוד אחד אלא לאחד את הקיימים לשפה אחת. חלק מהעבודה הוא לקחת את מה שכבר נעשה ולחבר אותו.
מי מפעיל את המודל אחרי שאתה מסיים?
זו המטרה. המודל נבנה כדי שבעלי התפקידים בארגון יפעילו אותו, כולל עדכון תקופתי וסקר הנהלה.
זה רלוונטי גם לארגון קטן?
כן, בהיקף מתאים. ארגון קטן צריך מפת סיכונים קצרה שההנהלה באמת קוראת, לא מסמך של שמונים עמודים.
מתחילים ממה שכבר קיים אצלכם
בשיחה ראשונה אני בדרך כלל מבקש לראות את סקרי הסיכונים הקיימים. זה מספיק כדי להבין מה חסר.