יומן אבטחה

לא בדיוק הסבר מדעי ולא בהכרח מדויק, אבל מספר אבחנות מהיומיום.

היעדר תחום לימוד מקצועי

• נכון להיום אין תואר אקדמי באבטחת מידע בישראל והמודעות להסמכות בינלאומיות עדיין נמוכה. למרות שקיימים קורסים בתחום אבטחת המידע, אין היום תעודה רשמית ישראלית שמהווה כרטיס ביקור בתחום אבטחת המידע. בנוגע להסמכות בינלאומיות יש לנו את ה-CISSP, אך גם הוא לא תופס תאוצה. התוצאה היא שאין שפה משותפת ואין מתודולוגיה סדורה. במצב כזה, כל אחד יכול להצהיר על עצמו מומחה ואין קנה מידה להשוואה. לא רק להשוואה בין אנשי אבטחה, אלא גם בין תוצרי אבטחה.

ביקושים בלבד

• אחת הבעיות המרכזיות היא שאנו נמצאים בשוק תעסוקה של ביקושים בלבד. כל מי שהתקין firewall על המחשב האישי הוא מומחה תקשורת, כל מי שהריץ חיפוש על המלה "סיסמא" ב-kazaa הוא פורץ וכל מי שהיה מש"ק בטחון שדה בצבא הוא מנהל אבטחת מידע. כיוון שזה המצב, לארגונים קשה מאוד לבוא בדרישות להסמכות פורמליות (גם כי אין וגם כי אין אנשים). התוצאה המיידית היא שקשה לארגונים לגייס אנשים שבאמת מבינים באבטחת מידע והתחום נשאר לא מקצועי. כשהביקושים יירדו נראה שהרציניים שורדים ואז אולי יתחיל להווצר איזשהו איזון שיוביל גם לבשלות.

זלזול עצמי

• אחד הדברים שמאפיינים את תחום אבטחת המידע זה היעדר יכולת ביקורת. ברוב התחומים ניתן לראות די בבירור את רמת המקצועיות. באבטחת מידע יותר קשה. סיבה אחת היא היעדר תחום ידע מקצועי על בסיסו ניתן לבחון תוצרי אבטחה. סיבה אחרת קשורה לאופי העיסוק. באבטחה מאוד קשה לדעת אם לא נפגעת כיוון שפתרון האבטחה שלך טוב או כיוון שהתוקפים לא מוצלחים. הרוב המוחלט יעדיפו להניח שפתרון האבטחה המושלם שלהם הוא הוא הסיבה לכך שלא נגרם נזק. לעתים זה נכון ולעתים לא. כאשר משלבים את זה עם העובדה שרוב העוסקים בתחום אינם אנשי מקצוע בעל ידע סדור ותהליך התפתחות מקצועי שיטתי מתקבעת התפיסה שלא צריך ידע כדי לספק פתרונות אבטחה טובים. וכך, כשאנשי אבטחה חושבים זאת על תחום עיסוקם, אין סיבה שמישהו אחר בארגון יחשוב משהו אחר.

היעדר בשלות ארגונית

• ניהול סיכונים הוא תהליך שיטתי בו מתייחסים למרכיבים לא וודאיים שעלולים לגרום נזק  ומכניסים אותם לתוך השיקולים העסקיים. מדובר במקצוע שהעיסוק שלו הוא לא איך להכניס כסף (שאת זה כולם אוהבים לראות) אלא במה עלול למנוע מאיתנו כסף (שמזה כולם אוהבים להתעלם). אבטחת מידע הוא תחום של ניהול סיכונים וניהול סיכונים הוא לא משהו שמאוד בולט בארץ (למעט גופים פיננסיים, בהם מדובר בתחום פעילות ענף).