אם תשאלו את סלו (סלומון) פומרנץ מהי הבעיה הגדולה ביותר של ארגונים כיום בעידן הבינה המלאכותית, הוא לא יצביע על האקרים מתוחכמים ממדינות אויב, אלא דווקא על העובדים המורשים בתוך החברה. אלה שרוצים לייעל את עבודתם, פותחים את הדפדפן, ומזינים לתוך כלי AI כמו ChatGPT, ג'מיני או קלוד, מסמכים סודיים, נתונים פיננסיים או שאלות רגישות.
"אנחנו נמצאים כיום במצב של 'Shadow AI' שרץ במהירות שיא וללא כל פיקוח", מסביר פומרנץ, מייסד, בעלים ומנכ"ל של חברת DataFence (דאטהפנס). "עובדים לא מבינים כי המידע שהם מעלים עלול לזלוג החוצה או לשמש לאימון מודלים ציבוריים ואת המשמעויות הנובעות מכך. מעבר לכך, התשובות של ה-AI אינן תמיד אמינות וסובלות מהזיות והטיות, אך העובדים עושים בתוצרים אלה שימוש עסקי ללא בקרה. המצב מקצין עוד יותר כשמשתמשים מתקדמים מפעילים 'סוכנים' (Agents) שמתממשקים ישירות למערכות הליבה הארגוניות - למיילים, ליומנים ולקבצים. העובדים גם הופכים ל-'Citizen Developers' שמפתחים אפליקציות עצמאיות ללא בדיקות איכות (QA) וללא מעורבות של מחלקת ה-IT. הארגון, למעשה, נשאר עיוור לחלוטין".
בימים אלה, אגב, במקביל לעבודתו ב-DataFence, פומרנץ מקים סטארט-אפ חדש בשם Gibson (גיבסון), שאמור לתת מענה אבטחתי בדיוק לבעיה זו של "Citizen Developers".
מענה לצרכים הרגולטוריים של הארגונים
המסלול של פומרנץ אל חזית הייעוץ באבטחת מידע וסייבר אינו סטנדרטי. הוא נולד במקסיקו, למד מערכות מחשב באוניברסיטה הטכנולוגית המקומית ושימש כמנהל בסניף האו"ם במקסיקו. בשנת 2000 עלה לישראל, למד באולפן לאקדמאים והשתלב במהירות בחברת המידע הפיננסי רויטרס. משם התגלגל לתפקידי מפתח בחדרי עסקאות, בנקים ומערכות מסחר בזמן אמת, תוך שהוא מתמחה בהטמעת תשתיות IT מורכבות לדילרים ולמסחר במט"ח.
בהמשך דרכו שימש כמנהל תשתיות בסוכנות הביטוח הפנסיוני "תמורה" וכמנהל אבטחת מידע ראשי (CISO) של חברת המידע BDI במשך חמש שנים. לאחר מספר שנים כיועץ עצמאי, הוא החליט להקים את DataFence - חברת בוטיק המונה כיום שמונה מומחים סניורים המעניקה מעטפת היקפית לתחומי הציות והאכיפה (Compliance), בכל הקשור לאבטחת מידע, הגנת הפרטיות והפעלת כלי AI.
כשבאמתחתו כ-30 שנות ניסיון מעשי, פומרנץ בנה את החברה סביב שלושה תחומי פעילות: ביקורת והטמעת תקנים, הגנת הפרטיות וייעוץ וניהול אבטחת מידע במיקור-חוץ. בתחום הביקורת (Audit), פומרנץ פועל כקבלן משנה מוסמך של מכון התקנים הישראלי לביצוע ביקורות לבדיקת עמידת הארגונים בתקן אבטחת המידע הבין-לאומי ISO 27001 ולמתן הסמכה לעומדים בתקן. עד היום הסמיך כ-500 ארגונים מכל המגזרים - החל מסטארט-אפים של אדם אחד, דרך חברות ענק של אלפי עובדים, ועד לגופים פיננסיים, חברות ביטוח והמגזר הממשלתי.
ניסיונו בתחום ה-Audit אפשר לו להבין לעומק לא רק איך לבדוק ארגון, אלא איך לסייע לו ליישם ולהטמיע בפועל תקנים נלווים, בהם תקן SOC 2 (החיוני לחברות המוכרות בשוק האמריקאי) ותקן ה-AI החדש, ISO/IEC 42001, שבו חברתו כבר מבצעת פרויקטים משמעותיים. כיום הוא ממנף ניסיון זה בסיוע לחברות וארגונים לעמוד בתקנים הללו ולקבל הסמכה.
התחום השני הוא הגנת הפרטיות. "בעידן שבו חוקי הפרטיות הופכים לקשוחים יותר ויותר, DataFence מספקת מענה מקיף ליישום תיקון 13 לחוק הגנת הפרטיות הישראלי, לצד רגולציות בין-לאומיות כגון ה-GDPR האירופי, ה-CCPA הקליפורני ותקן HIPAA הרפואי", הוא מפרט. "החברה מבצעת ניתוח פערים (Gap Analysis) מעמיק ומציעה שירותי DPO (Data Protection Officer) במיקור חוץ - פתרון אידיאלי לארגונים שאינם נדרשים או יכולים להחזיק משרה מלאה, אך חייבים להבטיח ציות מלא לחוק".
תחום פעילות נוסף הוא מתן שירותי CISO as a Service (מנהל אבטחת מידע במיקור-חוץ). במסגרת זו פומרנץ וצוותו מנהלים ומנחים את מערך אבטחת המידע של כ-18 ארגונים - החל מחברות הייטק וסטארט-אפים, דרך תאגידי מים ומכללות, ועד למוקדי שירות גדולים.
"ארגונים רבים, ולא רק סטארט-אפים קטנים, מבינים כיום שהכשרת CISO והעסקתו במשרה מלאה הן עניין יקר מאוד", מסביר פומרנץ. "היקף הפעילות לא תמיד מצדיק משרה מלאה, אך הצורך במומחיות ברמה הגבוהה ביותר הוא קריטי. מודל מיקור החוץ מאפשר להם להסתייע בניסיון העשיר שצברנו בעלות מותאמת".
בניית ממשל AI
אחת האזהרות החריפות של פומרנץ נוגעת לשינוי במאזן הכוחות בין התוקפים למגינים בסייבר בעידן ה-AI. "בעבר, האקר שרצה לתקוף ארגון נדרש להקדיש שבועות למיפוי המערכות, סריקת חולשות ולמידת היעד. כיום, כלי AI עושים עבור התוקף את כל העבודה השחורה בשניות. מהירות התקיפות המבוססות AI גבוהה כיום פי-1,000 מבעבר. מנגד, מודלי ההגנה מבוססי ה-AI עדיין אינם בשלים מספיק כדי להתמודד עם הקצב הזה. הפער הזה יוצר סיכון חסר תקדים.
מהו אם כן הפתרון? פומרנץ קורא לארגונים לאמץ ללא דיחוי תפיסה של ממשל AI (AI Governance). "אירופה כבר חוקקה את ה-EU AI Act, ובישראל משרד המשפטים מגבש טיוטות, אך עד שתהיה רגולציה ממשלתית יחלפו שנים. התמריץ האמיתי לאסדרה בתחום ה-AI יגיע דרך שרשרת האספקה ולא דרך המדינה. חברה ישראלית שתרצה למכור לתאגיד גדול בארה"ב או באירופה תידרש להוכיח שהיא מנהלת את ה-AI שלה באופן מבוקר לפי תקנים כמו ISO 42001. מי שלא יעמוד בכך - פשוט ייפלט מהשוק".
בניית ממשל AI נכון - תחום שגם בו פומרנץ מספק ייעוץ והכוונה - כוללת הגדרת מדיניות ארגונית, קביעת הרשאות ברורות לכל פונקציה (מה מותר ואסור לעשות), שילוב בין בקרות טכנולוגיות לאדמיניסטרטיביות, הדרכות עובדים ואכיפה פנימית.
מקפצה עסקית שמגנה על הארגון
למרות הצמיחה המהירה של DataFence, פומרנץ אינו מאמין בקמפיינים שיווקיים אגרסיביים. החברה גדלה ומתרחבת כמעט לחלוטין בשיטת "מפה לאוזן", על בסיס המלצות של לקוחות מרוצים.
"כגוף הנחייתי וייעוצי אנחנו מאוד מוכווני לקוחות. אנחנו ממוקדים 100% בצרכי הלקוח ובלהיות ארגון לומד שמתעדכן ללא הרף בחידושים הטכנולוגיים", מסכם פומרנץ. "כשאתה מביא לשולחן ניסיון שטח מעשי של שלושה עשורים, מבין לעומק גם את הרגולציה וגם את התשתיות וה-AI, הלקוחות יודעים שיש על מי לסמוך. ניהול סיכונים, קביעת מדיניות ובקרות ושימוש אחראי בטכנולוגיה רלוונטיים גם לארגונים שמשתמשים בכלי AI, ולא רק למי שמפתחים אותם. בסופו של דבר, ואת זה אני אומר ללקוחות, לעשות סדר בבלגן ה-AI זה לא עול - זו מקפצה עסקית שמגנה על הארגון ומאפשרת לו לצמוח בבטחה".
בשיתוף DataFence
