המעבר הרחב למודלי עבודה גמישים ומבוזרים בשנים האחרונות העלה באופן משמעותי את יכולות תקיפות הסייבר נגד ארגונים.

כאשר עובדים מתחברים למאגרי הנתונים מביתם, מבתי קפה או מהדרכים, גבולות ההגנה המסורתיים של המשרד הפיזי נעלמים לחלוטין.

תחכום התקפות הסייבר הגיע לרמות חסרות תקדים, במיוחד עם כניסתן של טכנולוגיות בינה מלאכותית המאפשרות להאקרים לייצר הנדסה חברתית מדויקת, הודעות פישינג מותאמות אישית ופתיונות מורכבים.

במציאות זו, מכשיר קצה בודד, לרבות לפטופ, סמארטפון או מחשב ביתי, עלול להפוך לשער כניסה קל ומהיר עבור תוקפים, אל זרם הנתונים הרגיש ביותר של החברה.

המקור המרכזי לתורפת הארגון אינו נובע בהכרח מכשל טכנולוגי, אלא דווקא מטעויות אנוש.

מסקר מקיף של חברת גאלופ עולה, כי עובדים הפועלים בסביבה היברידית ללא הנחיות ברורות ותרגול רציף בנוגע להגנת סייבר, נוטים לגלות ערנות נמוכה בהרבה לאיומי אבטחה.

במקביל, מחקרים של גרטנר מראים, כי יותר מ-60% מאירועי הסייבר והדלפות המידע בארגונים נגרמים ישירות בשל גורמים אנושיים.

החל מסיסמאות חלשות, דרך לחיצה על קישורים זדוניים ועד העברת מידע רגיש לכלי בינה מלאכותית חיצוניים ולא מאושרים.

עבור מנהלי משאבי האנוש, האתגר כפול ומכופל. מעבר לדאגה לרציפות עבודת הצוות, מחלקת משאבי האנוש מנהלת את המאגרים הרגישים ביותר בארגון: פרטים אישיים, מסמכים רפואיים, נתוני שכר, מספרי תעודות זהות ופרטי חשבונות בנק של העובדים.

מחקר של חברת PwC מצביע על כך שגניבת זהויות של עובדים ודליפת מידע אישי פוגעות אנושות באמון העובדים בארגון, מייצרות חשפה משפטית כבדה, ופוגעות קשות במותג המעסיק.

על כן, הגנה על נתונים אלו דורשת תפיסת אבטחה מחמירה הכוללת הצפנה מקצה לקצה, גיבויים תקופתיים ואסטרטגיית התאוששות מאסון, מעודכנת.

כדי לבנות חוסן קיברנטי אמיתי, מחקרים של דלויט ומקינזי מדגישים שלושה עקרונות יסוד שכל מנהל משאבי אנוש חייב ליישם.

להלן 3 העקרונות שמאפשרים לבנות הגנת סייבר איכותית, על פי דלויט ומקינזי:

1 ניהול הרשאות קפדני:

הגבלת הגישה לנתונים רגישים על בסיס צורך מוגדר בלבד. צמצום מספר בעלי ההרשאות מפחית באופן אוטומטי את הסתברות הזליגה.

2 שינוי תפיסתי מטכנולוגיה לתרבות ארגונית:

אבטחת מידע אינה מסתכמת בהתקנת אימות דו-שלבי או חומת אש. השינוי האמיתי דורש העלאת מודעות מתמדת, הטמעת נהלים ברורים ומניעה אקטיבית של טעויות אנוש.

3 הדרכה מתמשכת ובקרה:

הטמעת שיטות עבודה מומלצות כחלק מה-DNA הארגוני, כולל סימולציות פישינג תקופתיות והדרכות ייעודיות לכללי אבטחה בעבודה מרחוק.

בסיכומו של דבר, מידע הוא הנכס היקר ביותר של הארגון המודרני, אבל האנשים המשתמשים בו הם גם החוליה החלשה ביותר וגם קו ההגנה הראשון שלו.

הידוק השיתוף בין מחלקת ה-IT, מנהלי משאבי האנוש וגורמי האבטחה, בצד השקעה בחינוך טכנולוגי ותרבות של ערנות להתקפות, יבטיחו כי הגמישות התעסוקתית בעידן הנוכחי לא תבוא על חשבון הבטיחות והיציבות העסקית.

מתברר שהאיום הגדול ביותר על המידע הרגיש של החברה מגיע לעיתים קרובות דווקא מבפנים. מהעובדים. ולא מתוך כוונת זדון, אלא בשל טעויות אנוש תמימות.

במציאות זו, אבטחת מידע היא כבר לא נחלתה הבלעדית של מחלקת ה-IT, ומנהל משאבי האנוש הופך לשחקן אסטרטגי בקו ההגנה הראשון של הארגון.

השומר שבפנים – מהו תפקידו האסטרטגי של מנהל משאבי האנוש במניעת דליפות מידע בשל טעויות אנוש:

כאשר בוחנים את הגורמים לדליפות נתונים בארגונים, הנתונים של חברות המחקר המובילות מפתיעים מדי שנה.

מדו"ח הגנת המידע השנתי של חברת ווריזון וחברת המחקר גרטנר עולה, כי יותר מ-74% מכלל אירועי אבטחת המידע ודליפות הנתונים בארגונים כוללים רכיב של הגורם האנושי.

מתוכם, כ-50% מוגדרים כטעויות אנוש מובהקות ושלא במתכוון של עובדים ומנהלים (קיימים ולשעבר), בעוד שפריצות האקרים ישירות ושלא נעזרו בטעות אנוש (כמו פישינג שהצליח) מהוות את הנתח הנותר.

כשהטעות הופכת למשבר – להלן 4 דוגמאות לדליפות מידע מתוך החברה שיכולות להתרחש במגוון תרחישים יומיומיים:

1 שיתוף קבצים שגוי:

עובד המשתף קישור לענן (כמו Google Drive או OneDrive) ומגדיר אותו בטעות כפתוח לכל מי שקיבל את הקישור במקום להגבילו לעובדי החברה בלבד.

2 תכתובות דואר אלקטרוני קריטיות:

שליחת דו"ח שכר או מידע עסקי סודי לנמען שגוי בשל מנגנון ההשלמה האוטומטית בתיבת האימייל (למשל, שליחת אימייל ללקוח חיצוני בעל שם דומה לעובד פנימי).

3 שימוש בכלי בינה מלאכותית חיצוניים:

עובדים המזינים קוד מקור סודי, נתונים פיננסיים או מידע אישי של לקוחות לתוך מודלי בינה מלאכותית ציבוריים לצורך ניתוח, בלי לדעת שהמידע הופך לחלק ממאגר האימון של המערכת.

4 עובדים לשעבר (חשבונות רפאים):

עובד שעזב את החברה אבל תהליך הניתוק שלו מהמערכות הארגוניות לא הושלם באופן מלא, מה שמאפשר לו גישה אקראית (בטעות או מתוך הרגל) למידע פנימי רגיש.

תפקידו האסטרטגי של מנהל משאבי האנוש:

כדי למנוע תקלות אלה, למנהל משאבי האנוש יש תפקיד מפתח שחורג מהדרכה שגרתית.

חברת המחקר דלויט מדגישה, כי מנהל משאבי האנוש אחראי על עיצוב תרבות אבטחת המידע בארגון בשלושה צירים מרכזיים:

1 ניהול מחזור חיי העובד וניתוק בעת עזיבה:

מנהל משאבי האנוש הוא הגוף המסנכרן את תהליך העזיבה. עליו לוודא קיומו של פרוטוקול קשיח מול מחלקת ה-IT, המבטיח חסימה מיידית ואוטומטית של כלל הרשאות הגישה של העובד ביום עזיבתו, כולל קבוצות ווטסאפ, תיבות אימייל ומערכות ענן.

2 הדרכות מבוססות התנהגות:

במקום לקיים מבדק אבטחה משעמם פעם בשנה, על מנהל משאבי האנוש להוביל סדנאות חווייתיות המדמות טעויות נפוצות (כמו למשל שימוש לא בטוח בבינה מלאכותית), במטרה להעלות את המודעות הדיגיטלית והאוריינות הדיגיטלית של העובדים ביומיום.

3 יצירת תרבות של שקיפות בלי להאשים את הטועה:

אם עובד ביצע טעות ושלח קובץ שגוי, עליו להרגיש בטוח לדווח על כך מיד למשאבי האנוש ול-IT, בלי לחשוש מפיטורים.

דיווח מהיר מאפשר לטפל באירוע בתוך דקות ולמזער את הנזק, בעוד שהסתרה מחשש לעונש רק מחמירה את הדליפה.

בסיכומו של דבר, אבטחת המידע כיום כבר לא מבוססת רק על חומות אש טכנולוגיות, אלא על החוסן והמודעות של ההון האנושי.

מנהל משאבי אנוש המבין את תפקידו האסטרטגי, פועל לצמצום חסמי המיומנות, יוצר סביבת עבודה אחראית, ומספק לארגון את ההגנה הטובה ביותר מפני הטעויות הבלתי נמנעות של בני האנוש המפעילים אותו.

השינוי המשמעותי חל למעשה בתחילת משבר הקורונה כאשר כל העובדים שיכלו לעבוד מהבית עברו לעבוד מהבית בבת אחת, לאחר שנים רבות שאופציה זו ניתנה רק למעטים וגם זה למספר ימים בודד בשבוע.

מאז, העבודה מהבית, לפחות כמה ימים בשבוע, הפכה כמעט לסטנדרט, ויחד איתה הולכים וגוברים כל הזמן איומי הסייבר שמסתמכים על העובדים מהבית כנקודות תורפה לפריצה לרשת הארגונית.  

אבטחת מידע בעבודה מרחוק – המעבר מהגנה פסיבית לאבטחה אוטונומית.

אם ניקח לדוגמה את שנת 2022, במהלכה, העבודה מהבית נתפסה כאתגר לוגיסטי לאנשי אבטחת הסייבר, הרי שכיום (2026) היא מהווה את 'קו החזית' של אבטחת הסייבר הארגונית.

ממחקר של גרטנר עולה כי כיום, כ-60% מפריצות הסייבר לארגונים מתחילות בנקודות קצה ביתיות של עובדים.

בעידן הבינה המלאכותית היוצרת (GenAI), הסיכונים הפכו למתוחכמים יותר, אבל גם הכלים העומדים לרשות הארגונים השתכללו לאין שיעור.

איומים חדשים בעידן הבינה המלאכותית – מעבר לפישינג המסורתי:

כיום (בשנת 2026), הסכנה הגדולה ביותר לעובד מהבית היא כבר לא אימייל עם לינק חשוד, אלא מתקפות Deepfake מבוססות בינה מלאכותית.

ממחקר של מקינזי עולה, כי חלה עלייה של 300% בניסיונות התחזות למנהלים בשיחות וידאו או הודעות קוליות (Voice Cloning) כדי לגרום לעובדים להעביר מידע רגיש.

בנוסף, האקרים משתמשים בבינה מלאכותית כדי לסרוק רשתות Wi-Fi ביתיות ולזהות פרצות בנתבים תוך שניות.

אם כן, איך הבינה המלאכותית משנה את ההגנה מהבית. מסתבר שהבינה המלאכותית היא לא רק האיום, היא גם הפתרון.

להלן 3 יכולות מפתח שאבטחת התקשורת מהבית לארגון מתבססת עליהן:

1 ניתוח התנהגותי:

במקום להסתמך רק על סיסמה, מערכות הבינה המלאכותית לומדות את דפוסי העבודה של העובד, לרבות שעות התחברות, מהירות הקלדה, מיקום גיאוגרפי וכדומה.

אם מערכת הבינה המלאכותית מזהה חריגה, היא חוסמת את הגישה באופן אוטומטי עוד לפני שנגרם נזק.

2 מודל אפס אמון מבוסס בינה מלאכותית:

ממחקר של דלויט עולה, כי כ-70% מהארגונים הגלובליים עברו למודל של אפס אמון.

המערכת בודקת כל בקשת גישה של עובד מהבית בזמן אמת, תוך הערכת סיכונים דינמית המבוצעת על ידי אלגוריתמים.

3 תיקון עצמי:

סוכני אבטחה המותקנים על המחשב הביתי מסוגלים כיום לזהות ניסיון חדירה ולבודד את המחשב מהרשת הארגונית באופן אוטונומי, ללא צורך בהתערבות ידנית של איש ה-IT.

איך מתבצעת אבטחת התקשורת:

הצפנת קצה לקצה: ממחקר של חברת גרטנר עולה, כי כ-92% מתעבורת המידע מהבית לארגון עוברת כיום דרך פתרונות SASE (Secure Access Service Edge), המשלבים אבטחת ענן עם יכולות רשת מתקדמות.

פער המיומנויות: ממחקר של מכון גאלופ עולה, כי למרות הטכנולוגיה, כ-42% מהעובדים מרגישים שאין להם מספיק ידע כדי לזהות הונאות בינה מלאכותית מתוחכמות.

לכן, היעד המרכזי של מנהלי משאבי אנוש הוא הכשרת חוסן סייבר אנושי.

עלות הפריצה: ממחקר של מקינזי עולה, כי עלות ממוצעת של פריצת האקרים שמקורה בעבודה מרחוק גבוהה בכ-20% לעומת פריצה בתוך המשרד, בעיקר בשל הזמן שלוקח לזהות את החדירה ברשת ביתית לא מאובטחת.

בשורה התחתונה, אבטחת מידע בעבודה מהבית בימים אלה היא כבר לא רק עניין טכני של מחלקת המחשוב.

היא דורשת שילוב בין טכנולוגיה אוטונומית מבוססת בינה מלאכותית לבין תרבות ארגונית של ערנות.

ארגון שישכיל לצייד את עובדיו לא רק במחשב חזק, אלא גם במערכות הגנה חכמות ובהדרכה רלוונטית, יהיה זה שיוכל ליהנות מהגמישות של העבודה מרחוק, בלי לשלם את המחיר הכבד של פריצות סייבר.

בעידן שבו העבודה מרחוק מטשטשת את הגבולות הפיזיים בין הארגון לעובד, העובד בביתו הופך להיות קו ההגנה הראשון, או החוליה החלשה ביותר, בכל הנוגע למאבק בתקיפות סייבר.

מנהל משאבי אנוש חדש שזה עתה נכנס לתפקידו, חייב להבין שביטחון המידע הוא חלק בלתי נפרד מניהול האנשים.

להלן 3 צעדים קריטיים שעל מנהל משאבי אנוש חדש ליישם ב-3 החודשים הראשונים לעבודתו בחברה, כדי לוודא עמידה בכללי אבטחת מידע מחמירים, בדגש על סביבת עבודה היברידית ומרוחקת:

צעד 1 – חודש ראשון: יישור קו אסטרטגי ועדכון החוזה הפסיכולוגי:

ב-30 הימים הראשונים לעבודתו בחברה, על מנהל משאבי האנוש החדש לשתף פעולה באופן הדוק עם מנהל אבטחת המידע בחברה ואף עם מנכ"ל החברה.

המטרה היא להבין היכן נמצאות נקודות התורפה האנושיות בעבודה מרחוק: האם מדובר בשימוש ברשתות Wi-Fi ציבוריות, שיתוף סיסמאות, חוסר מודעות לפישינג וכדומה.

לאחר מיפוי נקודות התורפה, יש לעדכן את נספחי העבודה מרחוק בחוזי ההעסקה. זהו לא רק צעד משפטי, אלא הצהרת כוונות: אבטחת מידע היא תנאי להעסקה.

יש להגדיר בבירור את הציפיות, החל בחובת השימוש ב-VPN ובאימות דו-שלבי, ועד לאיסור מוחלט על עבודה ממחשבים אישיים או שיתוף מכשירי קצה עם בני משפחה. זהו הבסיס למחויבות העובד.

צעד 2 – חודש שני: בניית ה'חומה האנושית' דרך למידה חווייתית:

בחודש השני לעבודתו של מנהל משאבי האנוש החדש בחברה, הדגש עובר ממילים למעשים.

שליחת קובץ PDF עם נהלי אבטחה לא תסייע כאן, שכן זו הדרך הבטוחה לכך שאף אחד לא יקרא אותם.

במקום זאת, על מנהל משאבי האנוש ליצור תוכנית הכשרה אקטיבית המותאמת לעבודה מרחוק.

יש לבצע סימולציות של פישינג המדמות סיטואציות יומיומיות של עובד מהבית, כמו למשל  הודעה מזויפת משירות המשלוחים או מהנהלת החשבונות.

המפתח הוא להפוך את אבטחת המידע לערך תרבותי ולא לנטל בירוקרטי.

לאחר מכן, במקום להעניש את העובדים שנכשלו בסימולציה, יש להשתמש בזה כהזדמנות למידה.

יש למנות 'שגרירי אבטחה' בכל צוות שיעזרו להטמיע את הכללים בצורה אורגנית בשיחות הווידאו השבועיות.

צעד 3 – חודש שלישי: הטמעת אחריות אישית ומנגנוני דיווח:

בחודש השלישי לעבודתו של מנהל משאבי האנוש החדש עליו לוודא שהכללים הופכים להרגל.

הדרך לעשות זאת היא באמצעות קישור ישיר בין עמידה בנהלי אבטחה לבין הערכת הביצועים של העובד.

מנהל משאבי אנוש מוצלח יטמיע מדדי אבטחה, כמו לדוגמה השלמת הדרכות בזמן, או אפס אירועי אבטחה רשלניים, כחלק מהמדדים לבונוס או לקידום.

בו זמנית, על מנהל משאבי האנוש החדש ליצור תרבות של דיווח ללא אשמה.

בעבודה מרחוק, עובד עלול לחשוש לדווח על אובדן מחשב או על לחיצה על לינק חשוד מחשש לפיטורים.

תפקידו של מנהל משאבי האנוש החדש הוא לוודא שהעובדים מרגישים בטוחים לדווח מייד על כל תקלה.

דיווח מהיר הוא ההבדל בין תקרית קטנה לאסון ארגוני. בסוף שלושה החודשים הראשונים לעבודתו של מנהל משאבי האנוש החדש בחברה, אבטחת המידע צריכה להיות חלק מה-DNA של הארגון, בדיוק כמו עמידה ביעדי המכירות.

תפקידו של מנהל משאבי אנוש פרואקטיבי הוא קריטי בגישור הפער בין דרישות ה-IT הטכניות לבין הבנת העובדים את אחריותם להגנת הרשת הארגונית, תוך הבטחת תרבות אבטחה איתנה.

הדרכת אבטחה מקיפה שתועבר בצורה מרתקת:

האחריות העיקרית של מנהל משאבי אנוש היא להקים ולאכוף תוכנית הדרכה חובה ורציפה, למודעות לאבטחה המותאמת לכוח העבודה המודרני והמבוזר.

מדובר בתוכנית שהיא הרבה מעבר למצגות שנתיות. ההדרכה חייבת להיות חוזרת, בתדירות גבוהה, ורלוונטית לזרימת העבודה היומיומית מרחוק.

יש להשתמש בדוגמאות אנונימיות מהעולם האמיתי של התקפות מוצלחות נגד חברות דומות, כדי להמחיש את ההשפעה הפיננסית והתדמיתית ואת השפעתה של הפריצה על הביטחון התעסוקתי.

מיקרו-למידה:

יש לפרק נושאים מורכבים למודולים קצרים וקלים ללמידה, כגון סרטונים בני חמש דקות או חידונים אינטראקטיביים, שהעובדים יכולים להשלים אותם באופן קבוע ושטף. זה עוזר לחזק את הידע בלי לגרום לעייפות הדרכה ויציאה מריכוז.

התמקדות בקשר מרחוק:

מודולי הדרכה ספציפיים חייבים להתייחס לנקודות תורפה שהן ייחודיות לעבודה מהבית, כגון אבטחת רשתות Wi-Fi ביתיות, שימוש במכשירים שהונפקו על ידי החברה אך ורק לעבודה, הסיכונים של Wi-Fi ציבורי ואבטחה פיזית של מכשירים במרחב מגורים משותף.

הסבר הסכנות – פענוח סוגי פריצות:

כדי להבין באמת את חומרת האיום, העובדים חייבים להבין כיצד האקרים פועלים ואת הסכנה הספציפית הנשקפת מכל וקטור התקפה.

על מנהלי משאבי האנוש לשתף פעולה עם מחלקת ה-IT כדי לתרגם את השפה הטכנית והמונחים, למונחים ברורים וניתנים ליישום:

פישינג:

דואר אלקטרוני או הודעה מטעה שנועדו להיראות לגיטימיים (למשל, כאלה שנראים כאילו הגיעו מ-IT, ממשאבי אנוש או מספק) שמנסים להערים על העובדים כדי שילחצו על קישור זדוני או כדי שימסרו פרטי כניסה למערכת.

הפישינג מאפשר גניבת אישורים מיידית, דבר שמעניק להאקר מפתח תקף לרשת החברה, מה שמוביל לגניבת נתונים או להתקפות נוספות.

סוס טרויאני:

תוכנה מזיקה במסווה של יישום שימושי או תמים (למשל, משחק חינמי, קורא מסמכים, תיקון שנראה לגיטימי, אגרת ברכה דיגיטלית) שהמשתמש (העובד) מוריד למחשב מרצונו.

סוס טרויאני יוצר גישה סמויה למערכת. כלומר הוא יוצר 'דלת אחורית' במחשב של העובד, דרכה הההאקר יכול לגנוב נתונים, לנטר פעילות או להתקין תוכנת כופר (שנועלת קבצים לצורך דרישת כופר).

הנדסה חברתית:

מניפולציה של עובדים שישברו את פרוטוקולי האבטחה. לעיתים קרובות זה מתבצע על ידי משחק על אמון, פחד או תחושת דחיפות (למשל, שיחה ממישהו שמתחזה למנכ"ל הדורש העברה בנקאית מיידית).

האקרים שמשתמשים בהנדסה החברתית עוקפים בכך את האבטחה הטכנית. שיטה זו מנצלת את הגורם האנושי, מה שמוביל לעיתים קרובות להפסד כספי משמעותי או לחשיפת מידע רגיש ביותר.

טיפוח תרבות ארגונית של דיווח ללא אשמה:

חשוב לציין, שמנהל משאבי אנוש חייב לפעול כדי לחסל את הפחד של העובדים מפני מעונש, כאשר עובד לוחץ בטעות על משהו חשוד.

תרבות ארגונית של "אי אשמה" הינה חיונית לדיווח בזמן אמת, שכן ככל שמחלקת ה-IT תדע מהר יותר על בעיה, כך היא תוכל לבלום את האיום מהר יותר.

על משאבי אנוש להעביר בבירור את נוהל דיווח האירועים המפרט את הדברים הללו: למי לפנות אם התרחשה טעות שגרמה לפריצה, כיצד ליצור איתו קשר (לא דרך הדואר האלקטרוני שעלול להיות פרוץ), ואילו צעדים יש לנקוט באופן מיידי (למשל, ניתוק מהרשת).

קידום עקבי של גישה פרואקטיבית זו מאפשר למנהל משאבי האנוש להפוך עובדים מרוחקים הפגיעים לפריצות, לצוות אבטחה עירני, ולהפוך טעויות אנוש להזדמנות לחינוך ולא לכישלון קטסטרופלי.

השיטות הנדרשות לאבטחת מידע בחברות שיותר ממחצית עובדיהן עובדים מהבית שונות באופן משמעותי ממצב שבו יותר מ-75 אחוזים מהעובדים, עובדים במשרד (או באתר החברה).

ההבדלים מתמקדים בעיקר בנושא אבטחת הרשת הארגונית, ניהול נקודות קצה (מחשבים וטלפונים חכמים) ומודעות והכשרת עובדים.

להלן 3 הבדלים בין דרישות אבטחת הסייבר בחברה שלפחות 50% מעובדיה עובדים מהבית, לבין דרישות אבטחת הסייבר בחברה שכ-75% או יותר מעובדיה, עובדים במשרד:

1 אבטחת רשת – הגנות היקפיות לעומת הגנות מבוזרות:

בסביבת משרד מסורתית, שבה רוב העובדים עובדים במשרד, אבטחת המידע של חברה מסתמכת במידה רבה על אבטחת רשת חזקה.

זה בדרך כלל כרוך בחומות אש חזקות, מערכות זיהוי פריצות לרשת ומניעתן, ורשתות פנימיות מאובטחות.

המוקד הוא על הגנה על גבול מוגדר, כאשר תעבורת המידע זורמת ברובה דרך ערוצים מבוקרים.

העובדים מתחברים לרשת הארגונית באמצעות חיבורים קוויים או Wi-Fi מאובטח, והנתונים נמצאים בעיקר בשרתים מקומיים או בסביבות ענן מבוקרות היטב.

מנגד, במצב בו יותר מ-50% מהעובדים עובדים מהבית, אבטחת המידע חייבת להיות שונה לחלוטין.

הרשת הביתית של כל עובד מרוחק הופכת לנקודת כניסה פוטנציאלית לתוקפים. במקרים אלה, הדגש עובר לאמצעי אבטחה מבוזרים.

חברות מסוג זה חייבות ליישם רשתות פרטיות וירטואליות (VPN) או, ליתר דיוק, גישה לרשת אפס אמון (ZTNA).

זאת, כדי להצפין את כל התעבורה ולאמת כל משתמש ומכשיר לפני מתן גישה למשאבי החברה, ללא קשר למיקומם.

זה כולל הצפנה חזקה לנתונים בעת שהם עוברים וגם בעת שאין מעבר נתונים, כמו גם אבטחת יישומי ענן ושירותים שעובדים מרוחקים מסתמכים עליהם במידה רבה.

שימוש ב-Wi-Fi ציבורי, הנפוץ בקרב עובדים מרוחקים, מחייב אכיפה קפדנית של VPN כדי למנוע התקפות דרך "מתווך".

2 ניהול נקודות קצה – שליטה מרכזית לעומת מכשירים מגוונים:

במקרים בהם 75 אחוז מהעובדים (או יותר) עובדים במשרד, ניתן ליישם שליטה מרכזית על מכשירים בבעלות החברה.

מחלקות ה-IT של החברה יכולות לפרוס, לתקן ולנטר בקלות את כל נקודות הקצה, לרבות מחשבים ניידים, מחשבים שולחניים, ומכשירים ניידים אחרים, בעזרת תוכנת אבטחה אחידה, אנטי-וירוס וכלי מניעת אובדן נתונים (DLP).

במקרים אלה, גם אמצעי אבטחה פיזיים עבור מכשירים אלה הינם קלים יותר ליישום.

מנגד, בחברות בהן יותר מ-50 אחוזים מהעובדים הם עובדים מרוחקים, נדרשת התמודדות עם מגוון רחב של אתגרים בנקודות הקצה.

עובדים משתמשים לעתים קרובות במכשירים האישיים שלהם, או במכשירים שסופקו להם על ידי החברה והם מתחברים לרשתות ביתיות לא מאובטחות.

עובדה זו מחייבת מעבר לפתרונות מתקדמים לזיהוי ותגובה של נקודות קצה (EDR) ומדיניות ניהול מכשירים ניידים (MDM).

כלים אלה מאפשרים למחלקת ה-IT לנהל, לנטר ולאכוף מרחוק מדיניות אבטחה על מכשירים מגוונים, ללא קשר לבעליהם או למיקומם.

ניהול עדכוני אבטחה הופך קריטי ומורכב יותר, ודורש פתרונות אוטומטיים כדי להבטיח שכל המכשירים מעודכנים בעדכוני האבטחה העדכניים ביותר.

יתר על כן, במקרים אלה, הסיכון לגניבה או אובדן של מכשירים פיזיים עולה, מה שהופך את יכולות הצפנת דיסק מלאה ומחיקה מרחוק לחיוניות.

3 מודעות והדרכת עובדים – סביבה מבוקרת לעומת אחריות אישית:

במקרים בהם 75 אחוזים או יותר מהעובדים עובדים במשרד, הדרכתם להגברת מודעות לאבטחה יכולה להיות ישירה יותר ומחוזקת באמצעות נוכחות פיזית ותמיכת IT מיידית.

במקרים אלה, עובדים נוטים פחות ליפול קורבן להתקפות סייבר כאשר עמיתים או אנשי IT זמינים בקלות לאימות.

מנגד, כאשר יותר מ-50 אחוזים מהעובדים עובדים מרחוק, 'חומת האש האנושית' הופכת קריטית עוד יותר.

עובדים מרוחקים הם לעיתים קרובות מבודדים מעמיתיהם ולכן רגישים יותר להתקפות פישינג, תוכנות כופר והתקפות מתוחכמות של הנדסה חברתית, המנצלות את היעדר אימות עמיתים או סיוע IT מיידי.

לכן, במקרים אלה, יש חשיבות עליונה להכשרה מתמשכת ומותאמת אישית בתחום אבטחת הסייבר.

הכשרה זו לעובדים המרוחקים חייבת להיות הרבה מעבר למודעות בסיסית. עליה לכסות נושאים כמו תצורות רשת ביתית מאובטחות, זיהוי טכניקות פישינג מתקדמות, שימוש בטוח בכלי שיתוף פעולה וחשיבות הדיווח על פעילות חשודה.

תרגילי פישינג מדומים ותקשורת קבועה לגבי איומים מתעוררים, הינם קריטיים לבניית עמידות בפני התקפות סייבר, של כוח העבודה שמבין את תפקידו בשמירה על רמת האבטחה הכוללת של החברה.

עם זאת, מודל מבוזר זה, מציב גם אתגרי אבטחת מידע משמעותיים, וכתוצאה מכך מציב את מנהלי משאבי אנוש בחזית ההגנה על נתוני הארגון.

למעורבותם המכרעת של מנהלי משאבי האנוש במדיניות, בהכשרה ובפריסה אסטרטגית של טכנולוגיות מתקדמות יש חשיבות רבה ביותר.

להלן 3 אתגרים ופתרונות בנושא אבטחת מידע בארגונים שמעסיקים עובדים מהבית במדינות שונות:

1 הגורם האנושי ומודעות סייבר משתנה:

האתגר: עבודה מרחוק, במיוחד בתרבויות מגוונות, מגבירה את הסיכון לטעויות אנוש. עובדים הפועלים מסביבות בית שונות, ומשתמשים באופן פוטנציאלי במכשירים אישיים וברשתות פחות מאובטחות, הופכים למטרות עיקריות להתקפות פישינג, ריגול ותוכנות זדוניות אחרות.

גם הבדלים תרבותיים יכולים להשפיע על האופן שבו נתפסות או פועלות על פיהן אזהרות אבטחת המידע.

הפתרון: הכשרה יסודית ומעמיקה המותאמת תרבותית לעובדים, בנושא מודעות לחשיבותה של אבטחת המידע.

על מנהלי משאבי אנוש, בשיתוף פעולה עם מחלקת ה-IT, להתקדם מעבר למודולים שנתיים גנריים.

ההכשרה צריכה להיות רציפה, מעניינת ומותאמת במידת האפשר לתרבות במדינה בה מתגורר העובד.

כל זאת, תוך התייחסות לאיומים ספציפיים הרלוונטיים לאזורים שונים.

יש לבצע קמפיינים מדומים של פישינג, כולל תחקירים סדירים, כדי לבנות את הזיכרון של העובדים בכל הנוגע לזיהוי תקשורת חשודה.

זאת ועוד, יש לפתח תרבות ארגונית שבה העובדים מרגישים בנוח לדווח על פעילות חשודה ללא חשש מכעס מצד הממונים עליהם.

למנהלי משאבי אנוש יש תפקיד מפתח בלתקשר את הסיבות מאחורי מדיניות אבטחת המידע, ולהעביר מסר ברור ובהיר שאבטחת מידע היא אחריות משותפת של כל העובדים והמנהלים, לא רק עניין של מחלקת ה- IT.

2 התמודדות עם מבוך של חוקי פרטיות נתונים במישור הבינלאומי:

האתגר: העסקת עובדים במספר מדינות פירושה עמידה במערך מורכב, ולעיתים סותר, של תקנות פרטיות נתונים, כגון GDPR באירופה, CCPA בקליפורניה וחוקים לאומיים אחרים.

ניהול לקוי של נתונים אישיים ונתונים של החברה מעבר לגבולות המדינה, עלול להוביל לעונשים חמורים, נזק למוניטין ואובדן אמון.

הפתרון: למנהלי משאבי אנוש יש תפקיד מרכזי בפיתוח ואכיפה של מדיניות אבטחת מידע מקיפה התואמת את החוק בכל התחומים הרלוונטיים.

זה כרוך בשיתוף פעולה הדוק עם צוות משפטי וצוותי IT כדי להבין את דרישות הטיפול בנתונים, אחסונם, העברתם והגישה אליהם, באופן ספציפי עבור כל מדינה.

המדיניות חייבת להגדיר בבירור לאילו נתונים ניתן לגשת, על ידי מי, מאיפה ואיך יש להגן עליהם.

מנהלי משאבי אנוש אחראים לתקשר ביעילות את המדיניות הזו לכל העובדים המרוחקים, תוך הבטחה שהם מבינים את חובותיהם בנוגע לפרטיות ואבטחת נתונים.

ביקורות וסקירות סדירות של מדיניות זו הן קריטיות כדי להסתגל לחוקים משפטיים מתפתחים ולאיומים המתעוררים.

3 אבטחת נקודות קצה ורשתות מגוונות:

האתגר: עובדים מרוחקים משתמשים לעתים קרובות בשילוב של מכשירים אישיים ומכשירים שקיבלו מהחברה, ומתחברים לסביבות רשת שונות, החל ברשת Wi-Fi ביתית מאובטחת ועד לרשתות וויפי ציבוריות שעלולות להיות פגיעות.

זה מרחיב באופן דרמטי את סיכון התקפת הסייבר על הרשת של הארגון, מה שמקשה על שמירה על פרוטוקולי אבטחה עקביים ומעקב אחר איומים.

הפתרון: מחלקת ה-IT אמנם מטמיעה את כלי האבטחה, אבל תפקידו של מנהל משאבי האנוש טמון באכיפת מדיניות ואימוץ על ידי המשתמשים, של טכנולוגיות אבטחה מתקדמות.

זה כולל חובת שימוש ברשתות פרטיות וירטואליות (VPN) עבור כל הפעילויות הקשורות לחברה, כדי להצפין נתונים שעוברים ברשת.

מדיניות משאבי אנוש צריכה להתייחס גם לניהול המכשירים, ולדרוש מהעובדים להתקין מערכות הפעלה עדכניות, תוכנת אנטי-וירוס ואימות רב-שלבי עבור כל הגישה הקשורה לעבודה.

במקרים של שילוב מכשירים פרטיים ומכשירים של החברה, מנהלי משאבי אנוש יכולים להנחות מדיניות מחמירה המתווה שימוש מקובל ודרישות אבטחת מידע, במכשירים אישיים, לרבות יכולתה של מחלקת ה-IT למחוק מרחוק נתוני חברה במקרה של אובדן או גניבה.

על מנהלי משאבי אנוש גם לוודא שהעובדים מבינים את החשיבות של דיווח מיידי במקרה של אובדן או פגיעה במכשיר.

דיווח מיידי מאפשר פעולה מהירה באמצעות טכנולוגיות, לרבות טכנולוגיות של זיהוי ותגובה לנקודות קצה, ומערכות ניהול מידע ואירועי אבטחה המנוהלות על ידי מחלקת ה-IT.

בסיכומו של דבר, נקיטת גישה פרואקטיבית ומשולבת לפיתוח מדיניות אבטחת מידע, הכשרה מתמשכת וקידום אימוץ טכנולוגיות אבטחה מתקדמות, מאפשרת למנהלי משאבי אנוש לפעול לבניית מדיניות אבטחת מידע עמידה עבור כוח אדם מרוחק המפוזר ברחבי העולם.

היא מציידת את העובדים בידע ובכישורים הדרושים כדי לזהות ולהגיב לאיומים פוטנציאליים, ובכך מחזקת את מצב אבטחת המידע הכולל של הארגון.

במילים אחרות, הדרכה למודעות לאבטחת סייבר היא השקעה חיונית עבור כל ארגון המבקש להגן על עצמו מפני איומי סייבר.

צמצום טעויות אנוש, שיפור זיהוי ותגובה לאירועים תוך טיפוח תרבות ארגונית של שמירה את אבטחת מידע חזקה, מספקים יתרונות מיידיים וארוכי טווח כאחד.

בעידן של התקפות סייבר מתוחכמות יותר ויותר, העצמת העובדים עם הידע והכלים לפעול כקו ההגנה הראשון היא צעד קריטי לקראת הבטחת ביטחון וחוסן ארגוני.

להלן 3 יתרונות מרכזיים של הדרכת העובדים להגברת המודעות לאבטחת מידע:

1 הפחתת טעויות אנוש:

טעויות אנוש הן אחד הגורמים המובילים לפרצות מידע ואירועי אבטחת סייבר.

עובדים עלולים ללחוץ בטעות על קישורי פישינג, להוריד קבצים מצורפים זדוניים או להשתמש בסיסמאות חלשות, ולחשוף את הארגון לסיכונים משמעותיים.

הדרכת מודעות לאבטחת מידע מחנכת את העובדים לגבי איומי סייבר נפוצים ומלמדת אותם כיצד לזהות ולהימנע מפעילויות חשודות.

על ידי טיפוח תרבות ארגונית של ערנות, ההכשרה עוזרת להפחית את הסבירות לטעויות שעלולות לסכן מידע רגיש.

לאורך זמן, הדרכות אלה מובילות לפחות תקריות ועלויות נמוכות יותר הקשורות לתיקון.

2 שיפור זיהוי ותגובה של אירועים:

כוח עבודה מיומן היטב יכול לשמש כמערכת התרעה מוקדמת לאיומים פוטנציאליים.

עובדים שמבינים את הסימנים של ניסיונות דיוג וערים להם, כמו גם לנושא הדבקה בתוכנות זדוניות או סיכוני סייבר אחרים נוטים יותר לדווח על פעילויות חשודות באופן מיידי.

זה מאפשר למחלקת ה-IT או לצוות אבטחת הסייבר לטפל בבעיות לפני שהן מסלימות לאירועים גדולים.

הכשרה להגברת מודעות לאבטחת מידע מספקת לעובדים גם הדרכה מה לעשות במקרה של פרצת אבטחה, מה שמבטיח מענה מהיר ומתואם יותר.

זה ממזער את זמן ההשבתה ומפחית את הנזק הפוטנציאלי למערכות, לנתונים ולמוניטין של הארגון.

3 תרבות ארגונית של אבטחת מידע ארגונית משופרת:

אחד היתרונות המשמעותיים ביותר של הדרכה למודעות לאבטחת מידע הוא פיתוח של תרבות ארגונית חזקה ממוקדת אבטחת סייבר בארגון.

כאשר העובדים מבינים את החשיבות של אבטחת סייבר ואת תפקידם בהגנה על הארגון, הם הופכים למשתתפים פעילים בשמירה על סביבה מאובטחת.

מפגשי הכשרה קבועים, עדכונים על איומים מתעוררים, ותקשורת מתמשכת, מחזקים את המסר שאבטחת סייבר היא באחריות כולם.

תרבות ארגונית שמקדמת מודעות גבוהה לאבטחת מידע מפחיתה את הסיכון לאיומים פנימיים והופכת את הארגון לעמיד יותר בפני התקפות חיצוניות.

לכן הכשרת העובדים למודעות לגבי תקיפות סייבר הולכת והופכת למרכיב חיוני ביותר בהגנה על נתונים ומערכות רגישות של הארגון.

עם זאת, מנהלי משאבי אנוש חייבים להעריך את האפקטיביות של הכשרה כזו כדי לוודא שהיא מספקת ערך מוחשי.

הערכת הערך של הדרכת העובדים למודעות לסכנות הנובעות מהתקפות סייבר, הינה חיונית כדי לוודא שההשקעה של הארגון מניבה תוצאות חיוביות.

ניתוח תוצאות הערכה, מעקב אחר מדדי אירועים ואיסוף משוב, מאפשרים למנהלי משאבי אנוש לקבל הבנה מקיפה של השפעת ההדרכה.

הערכה יעילה עוזרת לשפר יוזמות הכשרה עתידיות ומחזקת את עמדת אבטחת הסייבר הכוללת של הארגון.

ככל שאיומי הסייבר מתפתחים, כך הערכה מתמשכת ושיפור הדרכה למודעות הם קריטיים כדי להקדים את הסיכונים הפוטנציאליים.

להלן 3 דרכים מרכזיות שמאפשרות למנהלי משאבי אנוש להעריך את ההשפעה של הדרכה  למודעות לסכנות התקפות הסייבר:

1 לנתח הערכות לפני ואחרי ההדרכה:

דרך פשוטה למדוד את האפקטיביות של ההדרכה למודעות סייבר היא באמצעות הערכות לפני ואחרי ההדרכה.

הערכות אלו עוזרות לאמוד את הידע של העובדים לפני ההכשרה ואת הבנתם לאחר מכן.

השאלות יכולות להתמקד בזיהוי ניסיונות דיוג (פישינג), זיהוי נוהלי סיסמאות מאובטחות והבנת מדיניות אבטחת הסייבר של הארגון.

על ידי השוואת התוצאות, מנהלי משאבי אנוש יכולים לקבוע האם ההדרכה הצליחה להגביר את המודעות לאבטחת הסייבר של העובדים.

שיעורי שיפור נמוכים באופן עקבי עשויים להצביע על הצורך לשנות את תוכן ההדרכה או שיטות ההגשה.

2 מעקב אחר מדדי אירוע ושינויים התנהגותיים:

שיטה נוספת להערכת הערך של אימון למודעות סייבר היא על ידי ניטור מדדי אירועי אבטחת סייבר.

מדדי מפתח עשויים לכלול את מספר ניסיונות הדיוג שדווחו, תדירות התקפות מוצלחות או הזמן שלוקח להגיב לאיומי האבטחה.

ירידה ניכרת בתקריות בעקבות יישום ההדרכה מעידה על כך שהעובדים מיישמים את מה שלמדו.

בנוסף, מנהלי משאבי אנוש יכולים לצפות בשינויים התנהגותיים, כמו למשל האם העובדים מעדכנים סיסמאות באופן יזום, שימוש באימות רב-גורמי או חיפוש הדרכה לגבי אימיילים חשודים.

שינויים התנהגותיים כאלה הם אינדיקטורים חזקים לכך שההדרכה הצליחה.

3 איסוף נתוני משוב ומעורבות של עובדים:

משוב עובדים חשוב לאין ערוך בהערכת הרלוונטיות והיעילות של אימון למודעות סייבר.

מנהלי משאבי אנוש יכולים להשתמש בסקרים או בקבוצות מיקוד כדי להבין את תפיסות העובדים לגבי הבהירות, הרלוונטיות והישימות של ההדרכה לתרחישים בעולם האמיתי.

נתוני המעורבות, כגון שיעורי השתתפות, יכולים לספק תובנות לגבי מידת ההפנמה של ההכשרה בקרב העובדים.

אם ההכשרה מרתקת ומעשית, סביר יותר שהעובדים יקפידו ליישם את הלקחים שנלמדו.

עם עליית הפופולריות של העבודה מרחוק, והתרחבות השימוש בכלי תקשורת דיגיטליים ובטכנולוגיות משאבי אנוש מתקדמות, התרחב הפוטנציאל לפרצות נתונים ובעיות פרטיות.

להלן 10 אסטרטגיות שמנהלי משאבי אנוש יכולים לנקוט כדי לשמור על פרטיות העובדים:

1 להבין את חוקי הפרטיות:

מנהלי משאבי אנוש חייבים להישאר מעודכנים לגבי חוקים ותקנות הפרטיות הרלוונטיים, כגון תקנת הגנת המידע הכללית (GDPR) באירופה וחוקי הגנת מידע אחרים הרלוונטיים לעובדים בישראל.

עמידה בתקנות אלו היא חיונית כדי למנוע עונשים משפטיים ולהבטיח שנתוני עובדים יטופלו באחריות.

הכשרה סדורה ועדכונים על חוקים אלה לאנשי משאבי אנוש יכולים לעזור לשמור על ציות לדיני העבודה.

2 מדיניות הגנה חזקה על מידע:

יש לפתח ולאכוף מדיניות הגנה איתנה על מידע המתארת ​​את האופן שבו נתוני עובדים נאספים, מאוחסנים, מעובדים ומשותפים.

מדיניות זו צריכה לפרט בקרות גישה, שיטות הצפנת נתונים ופרוטוקולים לשמירה ומחיקה של נתונים. יש לקבוע הנחיות ברורות למי יכול לגשת למידע רגיש ובאילו נסיבות.

3 להשתמש בטכנולוגיית משאבי אנוש מאובטחת:

יש להשקיע בפתרונות טכנולוגיים מאובטחים של משאבי אנוש המעניקים עדיפות להגנה על נתונים.

תוכנת משאבי אנוש צריכה לכלול תכונות אבטחה מובנות כגון הצפנה, אימות רב-שלבי ועדכוני אבטחה קבועים.

עבודה עם ספקים בעלי מוניטין העומדים בתקני אבטחה בתעשייה יכולה להפחית באופן משמעותי את הסיכון לפרצות מידע.

4 עריכת ביקורת פרטיות באופן קבוע:

ביקורת פרטיות שגרתית יכולה לסייע בזיהוי נקודות תורפה אפשריות בטיפול בנתוני עובדים.

ביקורות אלו צריכות לסקור את יומני הגישה לנתונים, אמצעי אבטחה ועמידה במדיניות פנימית ותקנות חיצוניות.

יש להשתמש בממצאים מביקורות אלה כדי לשפר את נוהלי הגנת המידע באופן מתמיד.

5 ללמד את העובדים על פרטיות הנתונים:

מודעות וחינוך העובדים הם מרכיבים חיוניים באסטרטגיית פרטיות חזקה.

מנהלי משאבי אנוש צריכים לספק מפגשי הדרכה בנושא שיטות עבודה מומלצות לפרטיות נתונים, כולל החשיבות של אבטחת סיסמאות, זיהוי ניסיונות דיוג והבנת מדיניות החברה בנושא הגנת מידע.

תזכורות ועדכונים קבועים יכולים לחזק את ההכשרה הזו.

6 הגבלת איסוף הנתונים:

יש לאסוף רק את הנתונים הדרושים למטרות משאבי אנוש. יש להימנע מאיסוף מידע אישי מופרז שאינו רלוונטי ישירות לעבודה או נדרש על פי חוק.

הגבלת איסוף הנתונים ממזערת את כמות המידע הרגיש בסיכון לחשיפה.

7 שיפור בקרות הגישה:

יש להטמיע בקרות גישה קפדניות כדי לוודא שרק צוות מורשה יוכל לגשת לנתוני עובדים רגישים.

בקרות גישה מבוססות תפקידים יכולות לעזור להגביל את הגישה לנתונים בהתבסס על תחומי האחריות של התפקיד.

יש לסקור ולעדכן באופן קבוע את הרשאות הגישה כדי לשקף שינויים בתפקידים ובתחומי אחריות.

8 ליישם אנונימיזציה של נתונים:

במידת האפשר, יש להשתמש בטכניקות אנונימיזציה ומיסוך נתונים כדי להגן על זהויות העובדים.

גישה זו שימושית במיוחד בעת ניתוח נתוני משאבי אנוש עבור מגמות ותובנות, מכיוון שהיא מאפשרת שימוש בנתונים מבלי לחשוף מידע אישי.

9 סביבות עבודה מרוחקות מאובטחות:

לאור עליית הפופולריות של העבודה מרחוק, מנהלי משאבי אנוש צריכים להבטיח שמדיניות עבודה מרחוק כוללת הנחיות לחיבורי אינטרנט מאובטחים, שימוש ב-VPN ואחסון מאובטח של מסמכים פיזיים.

יש לספק לעובדים מכשירים מאובטחים. גם עדכון שוטף של תוכנת האבטחה יכול לסייע בהפחתת סיכונים.

10 הקמת ערוצי תקשורת ברורים:

יש לשמור על תקשורת פתוחה ושקופה עם העובדים לגבי נוהלי פרטיות הנתונים.

יש להודיע לעובדים על אילו נתונים נאספים, כיצד נעשה בהם שימוש ומהם האמצעים הקיימים כדי להגן על פרטיותם.

יש לאפשר קיום ערוצים ברורים לעובדים שמאפשרים לשאול שאלות או לדווח על חששות. זה יכול לשפר את האמון והציות למדיניות הפרטיות.