שיעור 7: בניית מרשם סיכונים מקצועי
אחרי שלמדתם לזהות סיכון ולבדוק בקרה, הגיע הזמן לנהל החלטה מקצועית. תבנו מרשם סיכונים לשירות שכר מדומה: תגדירו היקף, תדרגו השפעה וסבירות, תתעדו סיכון מובנה, תבחרו טיפול, תאמתו סיכון שיורי ותחתמו בעלים ומועד בדיקה.
מודדים השפעה וסבירות כדי לדעת מה דחוף. מתעדים את הסיכון לפני הטיפול, בודקים את הבקרות, ואז מתעדים מה נשאר ומי אחראי לבדוק שוב.
- ממשל תאגידי
- מערך החוקים, הנהלים והמבנים שמגדירים כיצד הארגון מנוהל ומבוקר; בסייבר — קביעת אחריות, תפקידים וסמכויות החלטה מהדרג הבכיר.
- תיאבון סיכון
- רמת הסיכון שהארגון מוכן לקבל באופן מודע כדי להשיג את מטרותיו העסקיות.
- דרגת נזק (Impact)
- עוצמת הנזק לפי CIA בסולם 1–4: 1 זניח, 2 מוגבל, 3 חמור, 4 קטסטרופלי.
- סבירות (Likelihood)
- הערכת הסיכוי שאירוע יתרחש, על בסיס ארבעה מרכיבים: מודיעין איומים, היסטוריית אירועים, מניעי התוקף ופגיעות ארגונית.
- מטריצת סיכון
- טבלה שמשלבת עוצמת נזק (Impact) וסבירות (Likelihood) לרמת סיכון; הערכים נקבעים מראש ואינם בהכרח מכפלה מתמטית פשוטה.
- טיפול בסיכון
- ההחלטה הניהולית כיצד להתמודד עם סיכון: הפחתה, קבלה, העברה (ביטוח) או הימנעות.
- בנק הבקרות
- קטלוג מקיף של אמצעי הגנה, מיושר עם תקנים כמו NIST, המשמש לטיפול וצמצום סיכונים שזוהו ותומחרו.
- עומק יישום
- התפיסה שבקרה אינה בינארית (יש/אין) אלא מיושמת ברמות — מתהליך ידני בסיסי ועד אוטומציה מלאה.