רק ל-46% מן הארגונים בישראל יש תוכנית שלמה ומלאה להתאוששות מאסון, כאשר מתוכם רק כמחצית מתרגלים אותה באורח שוטף, כך עולה מסקר אינפוסק השנתי שנערך על ידי חברת האבטחה SECOZ בשיתוף עם קבוצת אנשים ומחשבים. על פי הסקר, שנערך זו הפעם השביעית ברציפות, כ-64% מן הארגונים מאמינים שההשקעה הנוכחית באבטחת מידע אינה מספיקה או דורשת שיפור, בעוד ש-36% מאמינים כי ההשקעה מספיקה או אף גבוהה מדי.

סקר אינפוסק, שיוצג במלואו ביום ה' הקרוב בכנס אבטחה ייעודי שייערך במלון הילטון בתל אביב, הוא הסקר הוותיק, הרחב והמקיף ביותר המתקיים בנושא אבטחת מידע בשוק הישראלי. השנה מתמקד אינפוסק, שנערך תוך שימוש בטכנולוגיה של חברת רנסיס, בתחום ממשל אבטחת מידע (Information Security Governance), כלומר בהיבטים המנהליים והארגוניים של נושא אבטחת המידע. הסקר זכה להיענות שיא של 375 מנהלים בכירים, מנהלי IT ומנהלי אבטחת מידע ממגזרים שונים ומגוונים, לרבות תעשייה, פיננסים, טלקום, ממשלה וצבא.

"השנה מסתמנת כשנת מפנה, שבה הארגונים מתחילים לעבור תהליך התבגרות בתחום ניהול אבטחת המידע", אומר גלעד ירון, ה-CTO של חברת SECOZ. "בארגונים בוגרים מנוהלת אבטחת המידע תוך זיקה ישירה ליעדים העסקיים של הארגון, תהליכי הניהול מוגדרים היטב ומבוקרים, קיימת תשתית ארגונית תומכת, ותהליכי קבלת ההחלטות הם מובנים ומבוססים על ניהול סיכונים".

לדבריו, הארגונים אשר השתתפו בסקר נמצאים בשלבים שונים בתהליך ההתבגרות. ישנם ארגונים הרואים באבטחת מידע רע הכרחי ומשקיעים בה מעט ככל האפשר. מנגד, בארגונים אחרים מודעים כל דרגי הארגון לחשיבות הנושא, ותהליכי ניהול וקבלת החלטות בהם מתאימים ליעדים ולסיכונים הניצבים בפניו. תהליך ההתבגרות של הארגונים בעולם התקדם מאוד במהלך השנתיים האחרונות. ישראל נמצאת בתחילת הדרך.

הממצאים העיקריים

נתוניו העיקריים של הסקר מצביעים על כך שכ-70% מן המנהלים רואים את אבטחת המידע כרכיב חיוני להצלחת עסקיהם. 19% רואים בה "רע הכרחי", חלקם אינם חשופים כלל להחלטות בתחום וחלקם מבקשים להשקיע בו "מעט ככל האפשר".

ב-21% מן הארגונים אין מנהל אבטחת מידע כלל, בעוד שב-25% מן הארגונים מדווח מנהל אבטחת המידע להנהלה הבכירה.

44% מן הארגונים בישראל מקדישים יותר מ-5% מתקציב ה-IT לתחום אבטחת המידע. 10% מקדישים מעל 10%. לעומת זאת, 20% מן הארגונים מקדישים פחות מאחוז אחד מתקציב ה-IT לתחום אבטחת המידע.

במרבית הארגונים (65%) מנוהל תקציב אבטחת המידע כחלק מתקציב ה-IT, או שהוא זוכה לתקציב קבוע אשר אינו מוצג להנהלה בצורה פרטנית. רק בחלק מן הארגונים (35%) מתקבלות החלטות על השקעות בתחום אבטחת מידע על בסיס ניתוח סיכונים.

41% מן המשיבים ציינו, כי המנהלים אינם מודעים ומעורבים מספיק בתחום אבטחת המידע.

ב-43% מן הארגונים קיימים נהלי אבטחת מידע חלקיים בלבד או לא קיימים כלל. ב-15% קיימים נהלים המבוססים על התקן הבינלאומי 27001 ISO.

36% מן הארגונים מקיימים סקרי אבטחת מידע לפחות פעם בשנתיים, אחרים מקיימים סקרי אבטחה בתדירות נמוכה יותר או אינם מקיימים כלל.

משתתפי הסקר מאמינים כי מודעות לאבטחת מידע היא אחד מן הנושאים המרכזיים שבהם יש לטפל, אך רק ב-20% מן הארגונים קיימת תוכנית מסודרת ועקבית לטיפול במודעות לאבטחת מידע.