האם גם העסק שלכם צריך ביטוח סייבר?

המתקפה של בלאק שאדו על האתרים הישראליים העלתה שוב לכותרות נושא הסייבר עם חשיפת פרטיהם של עשרות אלפי ישראלים המגיעים ממגוון אתרים. היערכות לפני שמתקפה הופכת לממשית היא חשובה מאוד, אך גם לאחר המתקפה יש חשיבות לטיפול בעסק שנפגע.

● אל תגידו "לי זה לא יקרה": כך מגינים על העסק מפני מתקפת הסייבר הבאה

מרבית חברות הביטוח שפועלות בתחום הביטוח הכללי מציעות נכון להיום ביטוח לסיכוני סייבר, כולל חברת שירביט אשר שרתיה נפרצו במתקפת סייבר בשנה שעברה במהלכה נפרצו מחשבי החברה על-ידי האקרים, ולאחר ששירביט סירבה לשלם את הכופר הנדרש, זלגו לרשת נתונים של לקוחות החברה וכן של המנכ"ל.

נציין, כי ביטוחי סייבר אינם חלק מהפוליסות הסטנדרטיות של בתי עסק דוגמת ביטוח עסק, אחריות מקצועית או אפילו כיסוי צד ג', ויש לרכוש אותן בנפרד, כאשר גם בתוך פוליסת הסייבר אפשר לרכוש כיסויים שונים. כיסויים אלו כוללים פיצוי בגין נזקים שנגרמו בעקבות הפריצה לחברה כגון וירוסים, הפרת פרטיות, גניבת מידע וקניין רוחני, כלומר נזקים שנגרמו ישירות לחברה שעל מחשביה פרצו.

לצד זאת, החברה שנפרצה חשופה לנזקים כספיים נוספים דוגמת אובדן הכנסה בשל אי היכולת של העסק להמשיך לתפקד כליל או באופן חלקי, וכן לעלויות נוספות בעקבות המשבר שנגרם לה דוגמת הדרישה לשלם כופר או הצורך להעסיק אנשי מקצוע על מנת להתגבר על המשבר. אנשי המקצוע האלו כוללים לרוב מומחי מו"מ כדי להתמודד עם ההאקרים, אנשי יחסי ציבור, ייעוץ משפטי ועוד.

בנוסף, הכיסויים הרווחים בשוק יכולים לכסות גם תביעות המוגשות על ידי צדדים שלישיים - לקוחות החברה והספקים העובדים עמה, פגיעה אליה נחשפו הגופים שנפרצו עתה על ידי בלאק שאדו אשר פרסמה את פרטיהם של הלקוחות.

עו"ד עומר קרפט, מנהל מחלקת סיכונים מיוחדים במנורה מבטחים, אומר כי אם פעם הייתה קונספציה שרק החברות הבינלאומיות או הארגונים הגדולים צריכים לרכוש ביטוח סייבר, עכשיו רואים שדווקא המתקפה על עסקים קטנים עשויה להיות קטלנית הרבה יותר. "הם הקורבנות המועדפים על התוקפים ותהיה להם בעיה קשה מאוד אם הם יצטרכו לשאת בעלויות או לשלם את הכופר. אנחנו רואים שלא עובר שבוע אחד בלי אירוע סייבר נגד סקטורים שונים - ממפעלי מים ובתי חולים עד לאדריכל שעובד מהבית. ראינו עליה דרמטית בהיקפי ובסוגי התקיפות בתקופת הקורונה, כי להאקרים היה זמן לעבוד, ובאופן פרטני, כמו אחרי חשיפת הנתונים באטרף, אנחנו רואים עלייה של 200% עד 300% בהתעניינות ברכישת ביטוח סייבר".

עו"ד טל ארזי-נעמן, מנהלת ביטוח מסחרי ב-AIG, מסבירה כי הסייבר הוא חלק מרכזי בפעילות של החברה, הגדולה בתחום בארץ. "סך הפרמיות בשוק הביטוח העולמי מוערך ב-7 מיליארד דולר וצפוי להגיע ב-2025 ל-20 מיליארד דולר, כך שזה אחד מהתחומים עם העליות הגדולות ביותר בפרמיות. מסקר של מארש שנערך לפני כשנתיים בעולם עולה כי 50% מהחברות רוכשות כיסוי סייבר, אך בסקר של מערך הסייבר הלאומי מתחילת 2020 עלה שבישראל רק 13% מתוך 300 החברות שנבדקו רכשו כיסוי, אז אנחנו די בפיגור אחרי מה שקורה בעולם", היא אומרת ומונה שלוש סיבות שהיא שומעת מהלקוחות - לחברות אין מודעות לפוליסת הסייבר, הן בטוחות שלהן זה לא יקרה או שהן רוצות לחסוך בעלויות. "חשוב להבין כי דווקא החברות הקטנות והבינוניות, שפחות משקיעות באבטחת מידע, הן אלה שחשופות יותר", אומרת ארזי נעמן.

 עו''ד טל ארזי נעמן / צילום: תמונה פרטית

עלית כספי, מנהלת חטיבת ביטוח כללי ומשנה למנכ"ל כלל ביטוח, אמרה כי המוצר הרווח הוא סייבר לעסקים, החל מחברות מאוד קטנות ברמת חנות מכולת, ועד לחברות פיננסיות עצומות. "בחו"ל שוקלים לבטל את האפשרות שפוליסת ביטוח תיתן מענה גם לכופר, מה שבישראל עדיין קיים וזה חשוב מאוד. עם זאת, היקפי הביקוש עדיין נמוכים משציפינו. אנחנו מטפלים קודם כל בנושא הטכני כדי להחזיר את העסק לעבודה ואחר כך בטיפול המקיף בפריצה. אבל מה שלא מדברים עליו הוא תקיפות פרטיות כמו תמונות שדלפו, גניבת זהות ושיימינג. גם לכך יש אצלנו כיסוי".

שלומי נחום, מנהל הביטוח הכללי במגדל, ציין כי נושא המודעות הוא אחד האתגרים הגדולים בתחום הסייבר. "יש תחושה שביטוח אש או אובדן רווחים יעיל יותר מביטוח סייבר. אנחנו רואים גם בעולם מגמה דומה, בעיקר לגבי חברות קטנות. חברות גדולות שוכרות יועצים שמטפלים עבורן בנושא הסייבר, אבל בחברות הקטנות, וגם בקרב סוכני הביטוח שמטפלים בהן, המוצר עוד נתפס כמורכב מאוד, ורק אחרי שקורית מתקפה מבינים את הערך שלו".

העלויות לפוליסות סייבר יכולות לנוע בטווח של בין עשרת אלפים שקל לשנה עבור פוליסות בסיסיות לבתי עסק קטנים עם כיסוי לעד מיליון דולר, לבין מאות אלפי שקלים לחברות גדולות הרוצות לבטח מאות ואלפי עובדים ומחשבים, ולהגדיל את סכום הפיצוי שלהן.

"ערוץ נוח לחברות הביטוח להגדיל את ההכנסה" 

אולם לא כולם מצדדים ברכישת ביטוחי סייבר לעסק. עינת מירון, מומחית להיערכות והתמודדות עם סיכוני סייבר בהיבטים העסקיים, טוענת כי "ביטוחי הסייבר היום הם בעיקר ערוץ נוח לחברות הביטוח להגדיל את ההכנסה שלהן".

"היכולת לשפות חברה שנפגעה באירוע סייבר היא מאוד מוגבלת כי הנזקים הם לא מיידיים כמו בתאונת דרכים. חברות הביטוח לא לוקחות עד הסוף את העלויות ההמשכיות, כי שראינו למשל באירוע בהלל יפה בו לאחר כשבועיים יצאה בקשה נרגשת מחברות במשק לתרום לבית החולים שרתי HP, כי כבר לא היה כסף לקנות שרתים, כי הביטוח יכסה שרת אחד או שניים אבל לא 20 אם יש צורך בכך", היא אומרת.

לדבריה, חברות IR - צוות תגובה מהירה (Incident Response), גובות לפעמים 500 דולר ואף יותר ליום עבור שירות של איש מקצוע אחד, כשלא פעם צריך צוות שלם שיעבוד שבועיים ויותר לטיפול במשבר סייבר. "על כך יש להוסיף מומחים נוספים כמו אנשי תקשורת ועורכי דין, כך שהסכום עשוי להגיע לרבע מיליון דולר בגין שבוע עבודה אחד. לכן, אם צריך להתמודד עם תביעות של לקוחות או ספקים, לא בטוח שיישאר כיסוי כספי מהפוליסה. שלא לדבר על כך שאחרי אירוע אחד הפרמיה תעלה בעת חידוש הביטוח, ויכולה להגיע לפי שניים או שלושה מהסכום המקורי".

אז מה הפתרון?
מירון: "לבצע היערכות אקטיבית יותר רצינית, והיא יכולה להיות מאוד מהירה. אסור לחתום עם חברה מבלי לשאול איך היא שומרת לך על האתר ואיך היא מנהלת את התחזוקה שלו. 'הכל יהיה בסדר' זו לא תשובה. צריך לדרוש לדבר עם ממונה האבטחה כדי שיענה על כל השאלות, ואם אתה לא יודע מה לשאול יש מי שיודע ללוות אותך. בעיני, כל מנכ"ל שלא מכנס את הצוות שלו לבדוק מה עושים אצלו כדי להתכונן לאירוע סייבר מתרשל בתפקידו וצריך להחזיר את המפתחות".

בתי ההשקעות והבנקים מתמודדים עם איומים יומיומיים

בגופים הפיננסיים עוקבים כמובן אחרי האירועים האחרונים, אך הם משקיעים מאות אלפי אם לא מיליוני שקלים מדי שנה באבטחת מידע. זאת בנוסף להוראות מחמירות מצד הרגולטורים בנושא אבטחת המידע ונתונות לתרגולים תכופים שקובעת הרגולציה. "כל יום אנחנו מתמודדים עם איומי פריצה, כך שאנחנו עמוק בתוך הסוגייה הזו", אומר גורם בכיר בגוף פיננסי גדול. "המלחמה שלנו היא יומיומית, וכמובן שהיועצים שלנו מעדכנים את ההנהלה על כל אירוע, כך שאנחנו לא זקוקים לאירוע כזה כדי להיות מוכנים".