כל עוד חינוך לאבטחת סייבר היה קיים, ערכו התקבל יותר על סמך אמונה מאשר מדידה. "אימנו את הצוות" הפך למילה נרדפת ל"צמצמנו סיכון". אבל אמונה אינה ביטחון, והדרכה ללא מדידה אינה ניתנת להבחנה מהדרכה ללא השפעה.
דירקטוריונים אישרו תקציבים כי איומי סייבר היו בכותרות. ממשלות מימנו תוכניות כי העתיד דרש כוח אדם מיומן. ארגונים השקיעו כי לא לאמן נראה מסוכן יותר מאשר לאמן.
אבל עכשיו הציפיות השתנו - ובצדק.
הדרכת סייבר לא יכולה להיות עוד שורת תקציב המוצדקת בשכנוע. היא חייבת להיות השקעה המוצדקת בראיות.
ה-KPI הישן: השלמה
במשך עשרות שנים, מדד ההצלחה הנפוץ ביותר בחינוך סייבר היה שיעור ההשלמה.
האם העובד סיים את הקורס? האם המחזור סיים? האם המועמד קיבל את התעודה?
השלמה הייתה קלה לספירה, קלה להצגה וקלה לאי-הבנה.
קורס שהושלם מודד סיבולת - לא מוכנות.
הערכה שהושלמה מודדת זיכרון - לא יכולת.
תעודה מודדת התאמה לתוכנית לימודים - לא התאמה לאיום.
העולם דורש עכשיו יותר. דירקטוריונים דורשים יותר. ממשלות דורשות יותר.
ונוף האיומים לא משאיר מקום להנחות.
השינוי: ROI מתחיל היכן שחינוך פוגש תפעול
הדרכת סייבר חייבת כעת לענות על שאלות שחשובות מחוץ לכיתה:
- האם זה הפחית את הסיכון לפריצה?
- האם זה שיפר את היכולת שלנו להגיב?
- האם זה קיצר את הזמן להכלת אירוע?
- האם זה יצר יכולת שלא הייתה לנו קודם?
- האם זה משך או שימר כישרון בשוק תחרותי?
ה-ROI של הדרכת סייבר לא יכול להיות מוגדר על ידי פעילות. הוא חייב להיות מוגדר על ידי תוצאה.
ותוצאות הן מדידות.
המדדים שבאמת חשובים - יכולת, לא נוכחות
ROI מודרני בסייבר החל להתכנס סביב חמישה עמודים מדידים:
זמן ליכולת - כמה מהר לומד יכול לבצע באופן עצמאי?
ביצועים תחת לחץ - האם המיומנות מחזיקה מעמד כשזה חשוב?
עקביות תפעולית - האם ניתן לחזור על המיומנות באופן אמין לאורך זמן?
שימור מיומנות - חצי שנה אחרי, האם הם עדיין יכולים לעשות את העבודה?
תפעוליות בינית של צוות - כשהתרחיש משתרע על פני מספר תפקידים, האם הם פועלים כיחידה?
מדדים אלו מגלים אם ההדרכה מייצרת ביטחון - או פשוט מייצרת תעודות.
משוואת הפחתת הסיכון - השפה החדשה של הדירקטוריון
דירקטוריונים ומשרדים לא רוצים לשמוע על מודולים שהושלמו. הם רוצים לתרגם מיומנות להשפעה.
גילוי מהיר יותר = זמן שהייה (dwell time) נמוך יותר. זמן שהייה נמוך יותר = עלות אירוע נמוכה יותר. שימור גבוה יותר = הוצאות גיוס נמוכות יותר. תיאום טוב יותר = רדיוס פיצוץ קטן יותר.
הדרכת סייבר היא ניהול סיכונים. לניהול סיכונים יש ROI.
כשיוכלת עולה, סיכון יורד.
המתמטיקה אינה רעיונית עוד - היא מעשית.
מדוע הדרכה מבוססת סימולציה והתאמה אישית מייצרת ROI מדיד
הדרכה מסורתית מייצרת נתונים על למידה. הדרכה מסתגלת מייצרת נתונים על ביצועים.
במקום ציונים, היא מייצרת ראיות:
- איך לומדים חוקרים
- איך הם מתקשרים
- כמה זמן לוקח להם
- איך הם מורידים הסלמה
- איך הם מסתגלים
סימולציה הופכת מיומנויות מופשטות לתוצאות נצפות - AI הופכת תצפיות אלו לאנליטיקה.
התוצאה היא תוכנית הדרכה שלא רק טוענת לערך - היא מוכיחה אותו.
מדד ה-ROI המוזנח ביותר: שימור כישרונות
אבטחת סייבר סובלת משיעור השחיקה הגבוה ביותר בהיסטוריה שלה.
הסוכנויות והחברות שמאבדות אנשים לא מאבדות רק משכורות. הן מאבדות ניסיון, הקשר והמשכיות.
הדרכה שבונה ביטחון בונה שימור.
ביטחון לא נלמד - הוא נרכש. נרכש דרך חזרתיות. נרכש דרך ניסיון. נרכש דרך כישלון בסימולציה שבעקבותיו הצלחה אמיתית.
יכולת שומרת על אנשים. שימור מגן על השקעה.
זהו ROI.
עתיד דוחות הדרכת הסייבר ייראה יותר כמו דוחות תפעול
מנהיגים לא ישאלו:
"כמה אנשים עברו?"
הם ישאלו:
"כמה אנשים יכולים להגן?"
ההבדל הוא עמוק - אך הגיע הזמן.
ארגונים שימדדו יכולת יבנו אותה. ארגונים שיתגמלו אותה ישמרו אותה. ארגונים שישקיעו בה ירוויחו ממנה.
העתיד של חינוך סייבר אינו בלדעת יותר. הוא בלהוכיח יותר.
התעשייה לא מממנת עוד פעילות. היא מממנת מוכנות.
ומוכנות - סוף סוף - היא מדידה.