כשמדברים על אבטחת סייבר, התמונה שעולה בראש היא לרוב של התקפות סייבר מורכבות, מערכות טכנולוגיות ואלגוריתמים מתקדמים. אבל מה קורה כשאתגר האבטחה אינו רק טכנולוגי, אלא תפעולי-תרבותי?

האתגר של חברת 'אלפא-טק' היה בדיוק כזה: תהליכים לא אחידים, היעדר תקשורת בין צוותים וחוסר בשיטות עבודה סדורות. זה יצר עומס מתמיד על הצוותים ותחושת דריכות שפגעה גם בתפוקה וגם במוטיבציה. היה ברור שפתרון יסודי מחייב התייחסות מערכתית.

במקום לרדוף אחרי בעיות, החלטנו ליישם את מתודולוגיות המצוינות התפעולית כדי לבנות מנגנון שיפור קבוע.

הנה עיקרי התהליך:

1. מיפוי VSM (Value Stream Mapping) וניתוח RCA (Root Cause Analysis) 🗺️ התחלנו במיפוי מפורט של תהליכי פיתוח המוצר והטיפול בתקלות אבטחה. המיפוי חשף חולשות משמעותיות וצווארי בקבוק שאישרו את תחושות הסטרס של הצוותים. במקביל, בכל פעם שזוהתה תקלה, ביצענו RCA כדי להבין לעומק את הגורם השורשי שלה (ולא רק לטפל בסימפטום).

2. Daily Stand-ups 👥 הטמענו תהליך של Daily Stand-ups קצרים, של 10-15 דקות. המפגשים הללו לא נועדו לפתור בעיות, אלא לספק שקיפות, לזהות חסמים ולבנות תמונת מצב יומית של התקדמות. זה אפשר לכל אחד מהצוותים להרגיש חלק מהמנגנון המתמיד.

3. Gemba Walks 🚶 המנהלים והמנהלות יצאו לסיורים קצרים במקומות העבודה (Gemba), כדי להבין את התהליכים בזמן אמת. המטרה לא הייתה לבקר או לפקח, אלא לשאול שאלות שמטרתן שיפור (למשל, "מה אתה יכול לשפר כדי להפוך את העבודה לפשוטה יותר?"). סיורים אלו אפשרו לזהות בעיות קטנות לפני שהפכו לגדולות.

4. הגדרת מדדים (Metrics) 📊 הגדרנו מדדים ברורים, כמו MTTR (Mean Time To Resolution), ואחוז עדכוני האבטחה (Patching). ניטור קבוע של המדדים יצר פוקוס ואיפשר לכולם לראות באופן שקוף ויומיומי את התוצאות של עבודתם.

הגישה הזו לא רק יצרה שגרות עבודה חדשות, אלא שינתה את הגישה המחשבתית: מטיפול בתקלות לשיפור מתמיד. התוצאות לא איחרו להגיע: רמת הלחץ בצוות ירדה משמעותית, וזמן התגובה לאירועים התקצר בצורה דרמטית.

אבטחת סייבר, כמו כל תהליך אחר, היא לא רק עניין של כלים – היא גם עניין של תרבות. יישום מתודולוגיות תפעוליות מוכחות יכול ליצור הבדל משמעותי.

אני מזמין אתכם לדון איתי על איך ניתן ליישם את העקרונות הללו גם בארגון שלכם.

ארז מימון, דירקטור, ראש תחום בטיחות וגהות בפאהן קנה (לשעבר מפקח עבודה ראשי וחוקר תאונות עבודה ראשי במשרד הכלכלה).

פסק דין תקדימי שניתן לאחרונה נגד חברת דלק תעשיות מהווה קריאת השכמה למנהלים בדגש על מנכ"לים וסמנכ"לי תפעול, אשר אינם ערניים לשינוי המגמה במאמצי המדינה למצות את הדין עם מנהלים ותאגידים אשר מפרים את חובתם בדיני הבטיחות בעבודה.

בסוף חודש ינואר השנה, ניתן פסק דין בו הורשע בפלילים מערך הניהול הבכיר בחברת דלק תעשיות- מנכ"ל וסמנכ"ל החברה, זאת לאור תאונת עבודה קשה שהתרחשה לעובד קבלן שהועסק במפעל. פסק הדין עצמו ממחיש, באופן תקדימי את אחריותם של בעלי מישרה בכירים ושל התאגיד עצמו לבטיחותם של עובדיהם, זאת ללא קשר לגודלו של הארגון, מורכבות ומוטת השליטה של מנהליו.

פסק דין זה הינו ביטוי מוחשי ל"מהפכת הבטיחות השקטה" שמרחשת במדינה בעשור האחרון, מהפכה אשר יצרה מצב חדש בו רשויות האכיפה והחוק מחמירים עם מערך המנהלים בארגון בכדי שזה יממש את חובותיו בדיני הבטיחות בעבודה, חובות שחלים מרמת הדירקטור ועד רמת המנהל הזוטר בארגון.

אחד השינויים הגדולים שהתרחשו בתחום זה, הוא הקמת יחידת פל"ס בלהב 433 בינואר 2019, שייעודה המרכזי חקירת תאונות עבודה. הקמת היחידה היא תולדה של לחץ ציבורי רחב שבא לשיאו ב2018 עם איומי ההשבתה של ההסתדרות לאור ריבוי תאונות העבודה במשק. הדבר הוביל בשנים האחרונות לחקיקה חדשה וענפה שמאפשרת לרשויות החוק והאכיפה למצות את הדין באופן מהיר ויעיל יותר מול התאגיד ומנהליו, במקרה של הפרות בתחום דיני הבטיחות בעבודה.

במישור מקביל, עודכנו בסוף שנת 2019 מדרג עבירות המתה, בהובלת פרקליט המדינה דאז שי ניצן. הוסף מדרג של "המתה בקלות דעת" – שמתאים מאוד לסוג העבירות בחוקי הבטיחות בעבודה ומאפשר ענישה של עד 12 שנות מאסר.

אין ספק ששילוב של תודעה ציבורית גוברת לתחום הבטיחות, יצירת יכולות חקירה משופרות ופלטפורמה שיפוטית טובה יותר מייצרות מצב בו ליושבים בכס השיפוט קל יותר למצות את הדין עם מערך הניהול בארגון, ועקב כך לייצר הרתעה כבדה הרבה יותר מאשר הייתה בעבר.

יחד עם זאת, מתברר, מסיקורי בטיחות רבים שערכנו, כי גם ארגונים שמשקיעים משאבים בתחום הבטיחות (כמו חברת דלק תעשיות ..)יכולים למצוא עצמם חשופים בדין, כשהסיבה המרכזית לכך הינה חוסר בפלטפורמה ניהולית, שתחבר בין מערך הבטיחות בארגון לבין מנהליו הבכירים בדגש על מנכ"ל החברה וסמנכ"ל התפעול שבד"כ תחום הבטיחות הינו בניהולו. פלטפורמה זו לא הוגדרה דייה בחקיקה הראשית אך מופיעה בהנחיה שפרסם פרקליט המדינה לשעבר שי ניצן. על פיה, קיומה ומימושה של תוכנית אכיפה אפקטיבית בארגון ישקלו לזכותו של התאגיד ומנהליו במארג השיקולים להעמדתו לדין. מדובר בבשורה גדולה. שכן קיומה של תוכנית אכיפה משפרת את תרבות הבטיחות בארגון ועמידתו בחוק וכעת נוספה הטבה, שתוכנית האכיפה תספק שכבת הגנה נוספת לרובד ההנהלה הבכיר ולחברה מפני העמדה לדין.

נכון להיום, הרגולטור בתחום הבטיחות, בניגוד לרגולטורים אחרים כמו בתחום ניירות הערך, טרם גיבש מתווה מומלץ מטעמו לבניית תוכנית אכיפה בתחום הבטיחות, שיוכל לעזור לארגונים לבנות תוכנית אכיפה רלוונטית ואפקטיבית. למרות זאת, אני ממליץ בחום לכל ארגון להקדים ולבנות תוכנית אכיפה המתאימה לארגונו בהתאם לקווים אותם הגדיר פרקליט המדינה. במקביל על סמנכ"ל התפעול לבחון שמערך הבטיחות שתחת אחריותו, פועל באופן כזה, שגם מגן טוב על הנהלת הארגון מהדין הפלילי במקביל לשמירה על בטיחות העובדים.

לאחרונה התפרסמה בעיתון The Marker כתבה בעלת הכותרת "מהבטחה גדולה – לאקזיט מאכזב: הסיפור של זברה מדיקל". הכותרת תפסה את תשומת ליבנו, מעניין מה גרם לסטארט אפ מצליח להגיע לעסקה שמתוארת כ"אקזיט מאכזב"?

לפי הפרסום, חברת ננוקס הישראלית רכשה את זברה מדיקל לפי שווי מניות בלבד – עסקה שנחשבת נחותה לעומת אקזיטים אחרים המוכרים לנו. כמו כן, העסקה נחשבת לא סטנדרטית היות וזברה מדיקל היא חברה עם טכנולוגיה מבוססת, מכירות ושורה של אישורי  FDA  והיא נמכרת לננוקס, חברה בלי הכנסות, ללא אישור FDA למוצר העיקרי שלה ובעצם ללא מוצר בשוק בכלל. המקרה הזה מוכיח כי גם סטארט אפ מבטיח ופורץ דרך, עם טכנולוגיה חדשנית, מייסדים מנוסים (שכבר ביצעו אקזיטים מוצלחים בעבר) ומשקיעים חזקים, לא בהכרח יתרומם מבחינה עסקית.

אז מה קרה כאן? הכתבה מתארת כיצד זברה מדיקל הייתה החלוצה בשוק, צלחה את הרגולציה המאתגרת בתחום המכשור הרפואי, רתמה את ארגוני הרפואה הגדולים ויצרה שותפויות עם חברות גדולות, השתלבה בפרויקטים ממשלתיים, נפגשה עם מנהלים בכירים מהתחום ועוד. אז איפה בעצם היה הכשל? בדיוק בפעולות האלו… הפעולות המתוארות הובילו לתהליכים איטיים שבזבזו זמן ואפשרו למתחרים לעקוף אותה.

איך הם עשו את זה? המתחרים של זברה פנו ישירות ללקוחות שלהם – לבתי החולים, הם מצאו מודלים עסקיים שאפשרו להם לתרגם את הטכנולוגיה שלהם להגדלת ההכנסות של בתי החולים (למשל קיצור אשפוזים או תוספת הליכים רפואיים בתשלום). כלומר, הם ידעו לספק את הערך שחשוב ללקוח העיקרי שלהם, שהוא לאו דווקא המטופל שיעבור את הטיפול במקרה הזה.

מה לנו ולסיפור הזה? הסיפור של זברה מתאר מקרה קלאסי של פיתוח ללא קשר ישיר ללקוחות. קשר כזה הוא קריטי בחברות סטארט אפ על מנת לאפשר את הגמישות הנדרשת בעת פיתוח המוצר. המקרה של זברה מדיקל הוא דוגמא קלאסית לארגון שפספס הזדמנויות בשוק לטובת תהליכים איטיים, מסורבלים ולא מדויקים ללקוחות שלו.

מתודולוגית ה Agile מדברת בדיוק על זה – תהליך גמיש וזריז שמתבסס על קשר עם הלקוח לפידבק מהיר ואדפטציות מהירות על מנת להישאר רלוונטי, אטרקטיבי ותחרותי ביחס לסביבה המשתנה.

מתודולוגית ה Agile היא סט של תפישות וכלים שניתן ורצוי לאמץ בארגון שמעוניין לספק ערך עבור לקוחות בסביבה משתנה. למזלנו – את התפישה והכלים ניתן ללמוד ולהטמיע בכל ארגון ובכל תהליך אם נבין היטב את העקרונות העומדים מאחוריהם.

אנו ב Lean Agile Israel מתמחים בהטמעת Agile בארגונים ותהליכים ממגוון תחומים – פיתוח, הנדסה, פרויקטים, שיווק ומכירות ועוד. לפרטים נוספים כיצד נוכל לסייע בכם בדרך לתהליך אג'ילי בעל ערך ללקוחותיכם פנו אלינו! 04-6475444

בחברת משקאות גדולה אותה ליווינו בהטמעת מצוינות, נתקלו בצורך מהותי לשיפור זמינות המכונות בקווים השונים. למרות מערך האחזקה הקיים, זמינות המכונות בחברה היה נמוך מהמצופה ולא נראה שיפור בביצועים. בקווים היו תקלות שבר ועצירות קצרות רבות אשר פגעו בתפוקת הייצור.

לצורך טיפול בבעיה, בחרנו להשתמש במתודולוגיית A3.

מתודולוגית A3 מסייעת לארגונים רבים לתמוך בתרבות של פתרון בעיות מהשורש. המתודולוגיה הסדורה מסייעת בהטמעת Mind set חדש של גישה לבעיה וחשיבה סיסטמטית.

מתודולוגיית A3 לפתרון בעיות כוללת:

1. הגדרת הבעיה כפער בין מצב נוכחי למצב רצוי
2. ניתוח המצב הקיים והסימפטומים לבעיה (למשל ע"י שימוש בעצם דג)
3. הגדרת מטרות ויעדים
4. זיהוי וניתוח סיבות השורש לבעיה (ע"י שאילת "למה?" 5 פעמים)
5. גיבוש אמצעי המנע להתמודדות עם סיבות השורש
6. הכנת תכנית פעולה ומעקב אחריה
7. תכנון וקביעת סטנדרטים לפתרון

חדי העין והמנוסים בעולם המצוינות, מזהים בוודאי את תפיסת ה PDCA באה לידי ביטוי במתודולוגיה זו.

השלבים של לימוד וטיפול בבעיה, מתועדים ומוצגים על דף בגודל A3 (ומכאן השם) המאפשר לתקשר באופן ויזואלי בלתי אמצעי את עיקרי ה"סיפור" של הבעיה לארגון ומעודד התכנסות של מגוון משתתפים סביב דף אחד לשם יצירת קואליציה חזקה ומחויבת המסכימה ומשתפת פעולה בנוגע לדרך ולפתרון. תהליך מילוי ה A3 לא מתרחש ביום אחד ודורש מהמוביל והמשתתפים ללכת ל Gemba על מנת להבין את המצב הקיים לאשורו ולחזור ולעדכן את הגליון לאחר צפייה בתהליך ושיחה עם בעלי הידע והנסיון (העובדים). 

בחזרה לחברת המשקאות: התהליך החל בהגדרת הבעיה באמצעות מתודולגיית 5W2H על מנת לקבל הסכמה בצוות על הבעיה עצמה ולאחר שיצאנו לדרך, בוצע מיפוי של המצב הקיים, לדוגמא: נמצא כי אחוז אחזקת שבר מול מתוכננת עומר על 61%/39%, OEE לא לוקח באופן מלא אחזקה מתוכננת, איכות ופרמטרים נוספים, 50% מהאחזקה המתוכננת לא נכנסת לתכנית העבודה ועוד.

לאחר שבחנו את המצב הקיים, הגדיר הצוות מטרות ויעדים ויצאנו לניתוח וזיהוי סיבות השורש באמצעות מתודולוגיית 5whys. גילינו כי מנגנון המדידה והתגמול אינו מניע לפעולה ומנגנוני ניהול המלאי פוגעים באפקטיביות האחזקה. חמושים בסיבות השורש לבעיה שלנו, התחלנו לגבש אמצעי נגד להתמודדות, כגון: מיפוי מנגנון ניהול המלאי והתאמתו לאופטימיזציה של האחזקה, הגדרת R&R מפורטים ומדויקים לתהליכים מרכזיים במערך האחזקה והתאמת המדדים ועוד. נבנתה תכנית עבודה למעקב ובקרה אחר ביצוע המשימות בצוותי עבודה מוגדרים כולל נפח פעילות מוגדר למשך 6 חודשים.

הצורך לתמצת את כל השלבים הללו ולהציגם בדף A3 מחייב אותנו לזקק את הדברים החשובים ביותר ובכך ממקד את המשתמשים בכלי לזיהוי הבעיה, גורמיה והצגת פתרון כולל לבעיה ומניעתה בהמשך. עבודה עם Sensei תוביל ל A3 מקיף ויסודי ותבטיח התייחסות אמיתית לבעיות השורש.

בשבוע הבא יתקיים חלקה הפרונטלי הראשון של הסמכת מובילי המצוינות, בה תילמד, בין השאר, מתודולוגיית פתרון בעיות. 

תאריכים: 15-17.6.21

בנוסף, קורס דיגיטלי ללימוד מתודולוגיית פתרון בעיות זמין במערכת הלימוד הדיגיטלית שלנו! 

נשמח לראותכם בין המשתתפים!

לפרטים נוספים והרשמה: 04-6475444 (שלוחה 1), school@leanisrael.co.i