סייבר ב-2026: בלי GRC, אין באמת אבטחת מידע

ארגונים משקיעים יותר מאי פעם ב-EDR, SIEM, SOC, MFA, Cloud Security, Zero Trust וכלי AI.
אלה שכבות הגנה חיוניות, אבל בשנת 2026 כבר ברור שטכנולוגיה לבדה אינה מייצרת תוכנית אבטחת מידע.

השאלה החשובה יותר היא האם הארגון יודע מה הוא מגן עליו, מה הסיכון העסקי, מי אחראי לקבל החלטות, אילו דרישות רגולטוריות חלות עליו, אילו פערים קיימים ומה נעשה כדי לטפל בהם.

כאן נכנס GRC – Governance, Risk & Compliance.

GRC הוא מעיין “מערכת ההפעלה” של הסייבר המודרני: השכבה שמחברת בין הנהלה, סיכונים עסקיים, בקרות אבטחת מידע, רגולציה ומדידה.
זו נקודת מוצא נכונה, והיא מקבלת כיום חיזוק משמעותי גם ממסגרות רשמיות כמו NIST CSF 2.0, DORA ודרישות רגולטוריות בישראל.

GRC הוא לא עוד שכבה מעל מערכות האבטחה

קל לחשוב על GRC כעולם של מסמכים, נהלים, ביקורות וטבלאות Excel.
בפועל, GRC אמור לענות על שאלה הרבה יותר בסיסית:

איך הארגון מקבל החלטות נכונות בנושא סיכון סייבר?

לדוגמה, נניח שסקר אבטחה מזהה עשרות או מאות חולשות. בלי תהליך מסודר של Risk Management, קשה לדעת מה צריך לטפל בו קודם. חומרה טכנית היא רק חלק מהתמונה. צריך להבין גם איזו מערכת מושפעת, איזה מידע נמצא בה, מה חשיבותה לפעילות העסקית, מהן הבקרות הקיימות ומה יקרה לארגון אם המערכת תושבת או תיפגע.

זו בדיוק ההבחנה בין “אוסף כלים” לבין אסטרטגיית אבטחת מידע: בלי שכבת ממשל וניהול סיכונים, קל מאוד להשקיע הרבה כסף באבטחה בלי להיות מסוגלים להוכיח שהסיכונים החשובים באמת ירדו.

גם מערך הסייבר הלאומי הישראלי מבסס את תורת ההגנה שלו על תהליך דומה:
הגדרת יעדי ההגנה, קביעת קריטיות, בחינת רמת ההגנה הקיימת ובניית תוכנית עבודה לצמצום הפערים. כלומר, הטכנולוגיה מגיעה כחלק מתהליך ניהול סיכונים, לא במקום התהליך.

גם NIST שם את ה-Governance בחזית

אחד הסימנים הברורים לשינוי בתפיסה הגיע עם NIST Cybersecurity Framework 2.0.

בגרסה החדשה NIST הוסיף פונקציה שישית למסגרת הסייבר שלו: Govern, לצד Identify, Protect, Detect, Respond ו-Recover. מטרת Govern היא לוודא שאסטרטגיית ניהול סיכוני הסייבר, הציפיות והמדיניות של הארגון מוגדרות, מתקשרות ומנוטרות.

זו אינה תוספת סמנטית בלבד.

תחת Govern נמצאים נושאים כמו הקשר עסקי, דרישות חוקיות ורגולטוריות, ניהול סיכונים, אחריות ותפקידים, מדיניות וגם סיכוני שרשרת אספקה. NIST אף העביר אל פונקציית Govern נושאים שבגרסה הקודמת היו חלק מ-Identify – ביטוי לכך שממשל סייבר הוא בסיס שעליו נשענות יתר פעילויות ההגנה.

במילים פשוטות: לפני ששואלים איזה פתרון לקנות, צריך לדעת איזה סיכון אנחנו מנסים להפחית ולמה.

ב-2026 הנהלה ודירקטוריון כבר נמצאים בתוך הסיפור

עוד שינוי משמעותי הוא שהסייבר אינו נשאר באחריות ה־IT או ה-CISO בלבד.

DORA, שחלה באיחוד האירופי על גופים פיננסיים מאז ינואר 2025, קובעת במפורש שהגוף המנהל של הארגון נדרש להגדיר, לאשר ולפקח על מסגרת ניהול סיכוני ה-ICT ואף נושא באחריות הכוללת לניהול הסיכון. היא דורשת מסגרת מתועדת הכוללת אסטרטגיות, מדיניות, נהלים ובקרות, ולא רק הטמעת מוצרים טכנולוגיים.

גם בארה"ב ה-SEC דורש מחברות ציבוריות גילוי בנוגע לתהליכים שלהן להערכה, זיהוי וניהול של סיכוני סייבר מהותיים, לתפקיד ההנהלה בניהול אותם סיכונים ולפיקוח הדירקטוריון.

המגמה ברורה: ארגון נדרש יותר ויותר להיות מסוגל לענות לא רק על השאלה “האם הותקן פתרון אבטחה?”, אלא על שאלות כמו:

• האם הסיכון זוהה?
• האם הוא הוערך?
• מי קיבל החלטה לגביו?
• אילו בקרות יושמו?
• מהו הסיכון השיורי?
• האם קיימת תוכנית טיפול?
• האם ההנהלה קיבלה תמונת מצב?
• האם כל זה מתועד?

אלה שאלות GRC מובהקות.

גם בישראל הרגולציה הופכת את ה-Accountability למעשית יותר

עבור ארגונים בישראל, 2026 מדגישה את אותה מגמה גם בתחום הפרטיות.

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף באוגוסט 2025 והרחיב בין היתר את מנגנוני האכיפה ואת החובות החלות על ארגונים. ביולי 2026 פרסמה הרשות להגנת הפרטיות גילוי דעת סופי בנושא מינוי ממונה הגנת פרטיות, שבו היא מדגישה את עקרון ה־Accountability ואת הצורך בקידום פרטיות ואבטחת מידע כחלק מהתנהלות הארגון.

זה כבר אינו דיון תאורטי בלבד. ביולי 2026 הודיעה הרשות להגנת הפרטיות על קנס כספי שהוטל על קופת חולים מאוחדת בגין אי־דיווח מיידי על אירוע אבטחה חמור – מקרה שהרשות תיארה כראשון מסוגו מאז כניסת תיקון 13 לתוקף.

לארגון ישראלי המשמעות ברורה:
אבטחת מידע צריכה להתחבר לתהליכי אחריות, תיעוד, דיווח, פרטיות וציות. Firewall טוב אינו יכול לבצע את העבודה הזו.

מסקר סיכונים שנתי לניהול סיכונים רציף

אחת הנקודות החשובות היא המעבר מ־Risk Assessment סטטי ל־Continuous Risk Management.

המודל הישן היה פשוט יחסית:
פעם בשנה מבצעים סקר סיכונים, מפיקים דוח, קובעים תוכנית עבודה וחוזרים למסמך בשנה הבאה.

אבל ארגון מודרני אינו נשאר באותו מצב במשך שנה.

מערכות ענן מתווספות, ספקי SaaS נכנסים, עובדים עוזבים ומצטרפים, אפליקציות משתנות, מידע עובר בין פלטפורמות חדשות, חולשות מתגלות ודרישות רגולטוריות מתעדכנות.

לכן GRC ב-2026 צריך להיות תהליך חי.

ארגון בוגר צריך לדעת מהי תמונת הסיכון הנוכחית שלו, אילו שינויים מהותיים התרחשו, אילו בקרות עדיין אפקטיביות ואיפה נוצר פער חדש.

גם NIST מתאר את ה־CSF ככלי שמאפשר לארגונים להעריך ולתעדף תוצאות אבטחה בהתאם ליעדים העסקיים, לציפיות בעלי עניין, לאיומים ולדרישות – ולמדוד לאורך זמן את ההתקדמות בין המצב הנוכחי למצב היעד.

Vendor Risk הוא כבר חלק בלתי נפרד מ-GRC

עוד תחום שקשה לנהל ללא GRC הוא שרשרת האספקה.

כמעט כל ארגון מסתמך היום על ספקי ענן, SaaS, מערכות שכר, CRM, ספקי פיתוח, מוקדים, שירותי IT וספקים המחזיקים או מעבדים מידע בשמו.

הארגון יכול להיות מאובטח מאוד, ועדיין להיפגע דרך ספק.

DORA מדגישה במפורש את ניהול סיכוני צד שלישי בתחום ה־ICT, כולל אחריות של הגוף הפיננסי גם כאשר השירות מבוצע בידי ספק חיצוני.

לכן Vendor Risk Management צריך להיות תהליך מובנה:
סיווג ספקים לפי רמת סיכון, בדיקות לפני התקשרות, דרישות חוזיות, מעקב תקופתי, בחינת תלויות ותוכנית פעולה במקרה של כשל אצל הספק.

בלי GRC, המידע הזה נוטה להתפזר בין רכש, משפטית, IT, אבטחת מידע והיחידה העסקית.
עם GRC, הוא הופך לחלק מתמונת הסיכון הארגונית.

ה-CISO של 2026 חייב לדבר גם את שפת העסק

השינוי בתפקיד ה-CISO מ"איש אבטחה" ל-Risk Executive. זה ניסוח חד, אבל הכיוון עצמו תואם היטב למה שרואים במסגרות הרשמיות: ניהול סייבר צריך להיות קשור ליעדים העסקיים, לסיכון, למדיניות, להנהלה ולדירקטוריון.

לכן CISO מודרני צריך להיות מסוגל להסביר לא רק כמה אירועים חסם ה-SOC, אלא:

מהם חמשת הסיכונים המרכזיים של הארגון?
איזה מהם גדל ברבעון האחרון?
מהי החשיפה שנובעת מספקים?
איזה סיכון הארגון החליט לקבל?
איפה נדרשת השקעה נוספת?
ואיך ניתן להראות שההשקעה אכן הורידה סיכון?

זו כבר אינה שיחה על מוצרים. זו שיחה על Governance ב2026.

אז איך נראה GRC אפקטיבי ב-2026?

לא צריך להפוך את הארגון למפעל של מסמכים. להפך:
GRC טוב צריך להפוך את אבטחת המידע ליותר ממוקדת.

הבסיס הוא:

• מיפוי של נכסים
• מידע ותהליכים עסקיים קריטיים
• זיהוי והערכת סיכונים; הגדרת בעלות ואחריות
• מיפוי דרישות רגולטוריות וחוזיות
• קביעת בקרות; בניית תוכניות טיפול
• מעקב אחר סיכוני ספקים
• מדדים ודיווח להנהלה
• תיעוד של החלטות וקבלת סיכון.

מעל כל אלה צריך להתקיים מנגנון שוטף של בחינה מחדש. כשנכנסת מערכת חדשה, נחתם חוזה עם ספק קריטי או חל שינוי רגולטור, תמונת הסיכון צריכה להתעדכן בהתאם.

בלי GRC, אפשר להיות מוגנים – אבל קשה לדעת מפני מה

וזו אולי הנקודה החשובה ביותר.

ארגון יכול להחזיק מוצרי אבטחה מעולים, צוות SOC מקצועי וסביבת ענן מוקשחתועדיין לא לדעת אם הוא מטפל בסיכונים הנכונים.

GRC אינו מחליף EDR, SOC, DLP, IAM או Penetration Testing. הוא גם לא אמור להפוך את הסייבר לתרגיל ציות.

התפקיד שלו הוא לחבר בין כל אלה.

לחבר בין הנכס לבין האיום, בין האיום לבין הבקרה, בין הבקרה לבין הדרישה הרגולטורית, בין הפער לבין תוכנית העבודה – ובין כל אלה לבין החלטה עסקית שהנהלה יכולה להבין ולאשר.

ב-2026, זה כבר לא Nice to Have, זה MUST HAVE!

אבטחת מידע בלי Governance, Risk & Compliance היא אוסף פעילויות הגנה. GRC הוא מה שהופך אותן לתוכנית אבטחת מידע מנוהלת.

איך אינפוגארד יכולה לסייע?

אינפוגארד מסייעת לארגונים להפוך GRC מתהליך נקודתי למסגרת עבודה ארגונית: החל מ־סקרי סיכונים וסקרי פערים, דרך בניית מדיניות ונהלים, מיפוי דרישות רגולציה ופרטיות, בחינת ספקים ובקרות, ועד ליווי הנהלה והכנת תוכניות עבודה לצמצום סיכוני אבטחת מידע.

המטרה אינה לייצר עוד מסמך שישב בתיקייה, אלא ליצור תמונת מצב ברורה: מהם הסיכונים, מה רמת החשיפה, מי אחראי לטיפול, מה סדר העדיפויות ואיך מודדים שיפור לאורך זמן.

המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי. כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים.
המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך על ידי ROY KISCH, חובב אבטחת מידע, סייבר ומנהל השיווק של קבוצת חברות עידור (Messagent, Infoguard, Idornext).