"ביטוחי הסייבר הם שוק הביטוח הצומח ביותר בעולם היום"

"בחצי השנה האחרונה, מאז המעבר לעבודה מרחוק, עלתה מאוד שכיחות אירועי הסייבר, וגם החומרה שלהם התגברה. אנחנו רואים מתקפות חדשות שלא ראינו קודם", מגלה מיכל שלמה, סמנכ"לית הביטוח המסחרי ב-AIG, בשיחה עם כתב גלובס, אופיר דור, במסגרת כנס הסייבר "חומר למחשבה". "אם בעבר היו מתקפות אקסטורשיין (סחיטה), שבהן האקרים תקפו את המערכות של הארגון ולא הסכימו לשחרר אותן ללא כופר, היום אנחנו רואים מתקפות שנקראות 'דאבל אקסטורשיין' - לא רק שאנחנו מצפינים לך את המערכות וכדי לשחרר אנחנו דורשים ממך כופר, אנחנו גם מספרים לך שגנבנו ממך מידע בעל ערך, ואם לא תשלם לנו - נפיץ אותו ברשת".

שלמה מתארת למעשה את המציאות שמובילה, בין היתר, לגידול בביקושים ובהתעניינות בביטוחי סייבר - מוצר שמוכר בעולם כבר עשרות שנים, אך עד לאחרונה היה פחות פופולרי בארץ.

מהניסיון שסוכל לבצע מתקפת סייבר כנגד תעשיות ביטחוניות בישראל, באמצעות הרשת החברתית לינקדאין, דרך פריצת האבטחה של חברת הביטוח שירביט וכלה במתקפת הסייבר על ספקית התוכנה "עמיטל דאטה", שמאיימת לפגוע בעשרות מלקוחותיה - כל אלה מסמנים את איומי התקופה, איומי הסייבר נגד ארגונים והמערכות שלהם.

משבר הקורונה כמובן תורם את חלקו ומסייע לגידול בתופעה, שכן העולם עבר לעבוד מרחוק, מהבית, ותוך שימוש רב יותר ברשת. במציאות הזאת, הארגונים השונים מסתכלים לצדדים ומחפשים הגנות, ובמקביל, תחום הביטוח עובר שינויים. "ביטוחי הסייבר הם שוק הביטוח הצומח ביותר בעולם, בשיעורים שלא נתקלנו בהם בשום מוצר. הוא מוערך כיום ב-7 מיליארד דולר בפרמיות, וצפוי להגיע ב-2025 ל-20 מיליארד דולר.

"על פי סקר גלובלי, 50% מהמבוטחים בעולם רוכשים ביטוחי סייבר, אך על פי סקר שנערך בארץ ב-2019 רק 13% מהנשאלים ענו שהם רוכשים ביטוח סייבר. עם זאת, מאז התקיפות האחרונות אנחנו רואים עלייה גדולה בביקושים גם בארץ".

המודעות ברחבי העולם גבוהה יותר?
"כן, אבל זו לא רק המודעות, אלא גם הרגולציה. מבוטחים לא רוכשים ביטוחי סייבר מכמה סיבות לא רק כי הם לא מכירים את המוצר הזה, אל גם כי הם מאמינים שלא יקרה כלום. הם אומרים לעצמם: למה שיקרה לי משהו, אני לא מספיק חשוב, למה שמישהו ירצה לתקוף אותי. העניין השלישי זה הרצון לחסוך בעלויות".

בישראל לא רוצים לדווח על מתקפות סייבר

לדברי שלמה, בעיה נוספת של הישראלים היא הרצון להסתיר אירועי סייבר. "אנחנו רואים מתקפות בסדרי גודל מאוד גדולים, והמתקפות האלה יותר מתוקשרות. בעולם, כתוצאה מרגולציה במדינות שונות, שומעים יותר על מתקפות כופר. בארה"ב, למשל, יש חובת דיווח על מתקפה. אם אני גוף בארה"ב ודלפו ממני פרטים של צדדים שלישיים, אני צריך ליצור קשר עם כל אחד מהם, ולדווח להם שהמידע שלהם דלף.

"באירופה יש את ה-GDPR, שבמסגרתו נקבעו קנסות לארגונים שלא עומדים ברגולציה, והקנסות הללו מתפרסמים. בישראל כולם מנסים להסתיר את האירועים האלה מתחת לרדאר. בכנסים שבהם השתתפתי בעבר יועצים משפטיים דיברו על כך שמה שמטריד את החברה הרבה פעמים זה איך אני לא מדווח על זה, איך אני שומר את זה סודי. הם אומרים: אני לא רוצה לדווח לרגולטור, אלא אם אני חייב. הרגולציה בישראל מפגרת בעולמות האלה אחרי העולם".

אבל לא תמיד יש אפשרות להימנע מדיווח, וכשהמידע על מתקפת סייבר יוצא החוצה, הפחד מתחיל לחלחל אצל כולם. "בתקופה האחרונה היו פה כמה אירועים מתוקשרים שבהם המידע יצא החוצה, בדרך כלל לא מהארגונים עצמם, אלא דווקא מההאקרים, ואז פתאום כולם יותר מודעים ויותר חוששים", אומרת שלמה.

על הרקע הזה, היא מספרת, נרשמה עלייה בכמות הפניות לביטוחי סייבר. "אנחנו רואים התעוררות של מבוטחים שכבר יש להם ביטוח, והיום הם מנסים 'לתרגל' אותו, לראות מה עושים ביום אירוע סייבר, איזה יועצים אנחנו מספקים להם וכדומה".

מה זה בכלל ביטוח סייבר?
"מדובר במוצר ביטוחי שנותן פתרון לסיכונים של העולם החדש. אם פעם כולנו דאגנו לקירות שלנו, ושתהיה לנו שריפה או שייגנב לנו הרכוש, היום עולם האיומים כבר לא נמצא שם. כולנו מחזיקים, מעבדים ומשתמשים במידע כל הזמן, וביטוח סייבר נועד לתת פתרון בדיוק לעולמות האלה.

"פוליסת סייבר מורכבת משלושה חלקים - החלק הראשון הוא הנזק של המבוטח עצמו, שיכול להיגרם כתוצאה מאירוע סייבר. למשל, אובדן הכנסות, פגיעה במוניטין, השבתת מערכות או החלפת מערכות. בחלק הזה נמצאים גם איומי הכופר.

החלקה שני נוגע לנזקים לצדדים שלישיים שנגרמים מאירוע סייבר אצל המבוטח. למשל, אני מוסד פיננסי שמחזיק מידע או כספים של אנשים אחרים, יש אצלי אירוע סייבר והמידע דלף לרשת. יכול להיגרם נזק לאחרים, שאני אצטרך לשלם".

החלק השלישי של ביטוח סייבר הוא הנושא של הטיפול באירוע בזמן אמת, ובהוצאות שקשורות אליו. "בעולמות הביטוח הישנים, כאשר נשרף המפעל או נגנבה מכונה, בעל העסק היה זה שידע הכי טוב איך לטפל באירוע, איפה קונים את המכונה, איך מקימים את המפעל מחדש ועוד", מסבירה שלמה, "אבל בעולם הסייבר מבוטחים לא יודעים איך להתמודד עם האירוע.

"חברת הביטוח נמצאת לצדם בעיקר בשלושה דברים: ניהול המשבר בהיבט של יחסי ציבור; הצד המשפטי - האם צריכים לדווח, למי, האם יש רגולטור וכו'; ואבטחת המידע, מערכות המידע וליווי על ידי מומחי IT".

נשמע מורכב משמעותית מעולם הביטוחים הרגיל.
שלמה: "זה מורכב ומתקדם יותר. אנחנו לא רק רושמים את הצ'ק, אלא מלווים את המבוטח לאורך כל האירוע. למדנו שהביטוח בעולמות האלה מאוד קריטי כדי שנוכל לעזור בכלל, והוא מאוד קריטי גם בעולמות של כופר, שם לניהול משא ומתן עם התוקף יש משמעות גדולה של לנסות לקנות זמן, כי הזמן הוא מאוד קריטי".

העולם התחתון עבר לפעול ברשת

הגם שלא כולם מודעים לעולם ביטוחי הסייבר, AIG מוכרת בארץ את הביטוחים האלה זה שמונה שנים, ובעולם זה כ-20 שנה. מנקודת המבט שלהם, הזירה הזאת הופכת ליותר ויותר רלוונטית מדי יום. לדברי שלמה, "מומחי סייבר בעולם אומרים שאין 100% הגנה. הצליחו לפרוץ היום לארגונים הגדולים ביותר והמוגנים ביותר. יש גם מתקפות שהן לא מטורגטות (לא מכוונות לגוף ספציפי). כלומר, מפיצים מתקפות - ומישהו ישלם את הכופר מתישהו".

למי מתאים ביטוח סייבר? רק לארגונים גדולים?
"בעבר האמונה הייתה שמי שצריך את הביטוח הזה אלה הארגונים הכי גדולים - בנקים, חברות נסחרות, חברות בינלאומיות וכדומה. אבל מחקרים בעולם מראים שכל הארגונים חשופים לאירועי סייבר ברמה כזו או אחרת, ודווקא חברות קטנות ובינוניות חשופות יותר. הן בדרך כלל פחות מוגנות, יש להן פחות כסף להשקיע בהגנות, ובהרבה מקרים מתקפת סייבר יכולה להשבית ארגון כזה ולהביא לסגירתו.

"חשוב לדעת גם שהרבה פעמים ארגונים קטנים משמשים דלת אחורית לארגונים אחרים, לאירועי שרשרת. האירוע המתוקשר של חברת אמיטל, שמספקת תוכנה להרבה חברות אחרות, הראה איך אירוע סייבר אצל חברה אחת יכול לגרום נזק רחב".

אז למה לא לשפר את ההגנות? להשקיע באנטי-וירוס ובפיירוול?
"אין היום 100% הגנה. אם האקר רוצה לפרוץ לארגון, זה ייקח לו חודש-חודשיים או שנה, אבל בסוף הוא יוכל לפרוץ. מעבר לזה, מדובר בפתרון משולב. כמו בעולמות של ביטוח הרכוש, שגם אם יש לי ספרינקלרים ומטפים, אני עדיין אקנה ביטוח מפני שריפה, אז גם בעולמות הסייבר, גם אם יש לי פיירוול ואנטי-וירוס אני עדיין אקנה ביטוח, כאמצעי משלים לנהל את הסיכון הזה". 

גילוי מלא: הכנס בשיתוף סייבריזן, מיקרוסופט, Aig ונס