עשר דקות בלבד הספיקו לעו"ד זיו און כדי להמחיש להנהלת חברה בינלאומית כיצד הפורמולה המסחרית הסודית שלה זולגת לענן ציבורי. "ההדגמה נערכה מול ההנהלה והדירקטוריון, ובאותו ערב המנכ"ל כבר לא נרדם", מספר און. "נכנסנו לתהליך של חודשיים שבו גידרנו את נתיבי המידע ושימוש העובדים בכלי AI. התהליך חסך לחברה חשיפה לקנסות רגולטוריים ולתביעות ייצוגיות בהיקף של מיליוני שקלים".
עו"ד און, בעל 20 שנות ניסיון בעולם הביטוח, מחזיק בשילוב נדיר בארץ של הסמכות טכנולוגיות לרבות מנהל אבטחת מידע CISO, ממונה הגנת פרטיות (DPO) והסמכת חתם ביטוחי סייבר מלונדון (CCIS). הוא עומד מאחורי CyberSure (סייברשור) – חברה המחברת בין משפט, אבטחת מידע, פרטיות וביטוח סייבר. השילוב הזה מאפשר לו לבחון את החשיפה המשפטית של התאגיד, לתרגם את הדרישות הטכנולוגיות ולהסתכל עליהן דרך עיני המבטח.
במקרים רבים, הפרצה מתגלה רק כשהשרתים מושבתים ועל המסך מופיעה דרישת כופר. אז שולחת חברת הביטוח צוות פורנזי, שמגלה שרתים שפעלו ללא אימות רב-שלבי (MFA). "בתוך שעות חברת הביטוח מוציאה מכתב דחייה וביטול רטרואקטיבי של הפוליסה בטענה להפרת חובת הגילוי והטעיה בהצהרת החיתום", מתאר און. "מבחינת חוק חוזה הביטוח זו עילה לשלילת כיסוי מוחלטת. התוצאה היא שלמעלה מ-40% מתביעות הסייבר נדחות כיום – כמעט כל תביעה שנייה".
נזק שנתי של 12 מיליארד שקל
לפי דו"ח של מיקרוסופט, ישראל היא המדינה השנייה המותקפת ביותר בעולם. מערך הסייבר מעריך את הנזק למשק ב-12 מיליארד שקל בשנה, אך לדברי און זו הערכת חסר: "חברות רבות מסתירות אירועים מחשש לפגיעה במוניטין ובשווי השוק. "זה כמו להשקיע בדלת פלדה שעולה הון ולהשאיר אותה פתוחה"
מנכ"ל יכול לטעון שיש לו מנהל IT וסוכן ביטוח. איפה הערך המוסף שלכם?
"איש המחשוב מתמקד בטכנולוגיה, וסוכן הביטוח רוצה למכור פוליסה. סוכן יכול להבטיח 'אתם מכוסים', בלי להבין שהחברה כלל אינה עומדת בתנאי המיגון ההכרחיים בעת אירוע אמת. ב-CyberSure אנחנו רואים את התמונה השלמה: טכנולוגית, רגולטורית וביטוחית. אנו מזהים את הפערים מראש ומביאים את החברה למצב שבו הפוליסה באמת תשלם ברגע האמת".
התהליך ב-CyberSure נפתח במיפוי שאלון החיתום וביצירת "מפת חום" המשקפת להנהלה את הפערים מול דרישות החוק והמבטח, ומשם מתקדמים להטמעת בקרות והכנה לחיתום. "בקרות בסיסיות כמו MFA לבדן מונעות עשרות אחוזים מאירועי הסייבר, ועדיין חברות רבות פועלות בלעדיהן".
אירוע סייבר חושף כיום גם את הדירקטוריון והמנכ"ל לאחריות אישית?
"חד-משמעית. סייבר כבר אינו אירוע טכני של אנשי המחשוב, אלא סוגיית ממשל תאגידי מהמעלה הראשונה. הרשות להגנת הפרטיות כבר מפעילה סמכויות אכיפה מוגברות ועיצומים כספיים אישיים כבדים, ובמקרים של רשלנות חמורה הנושא עלול לגלוש למישור הפלילי. מעבר לכך, תזכיר חוק הסייבר שכבר פורסם מציב חובות דיווח קשיחות עם סנקציות מרחיקות לכת. מנכ"ל שלא יפעל בשקיפות עלול למצוא את עצמו חשוף אישית – משפטית וביטוחית, כולל סכנה ממשית לשלילת פוליסת ה-D&O וחשיפה לתביעות נגזרות של בעלי מניות".
מה מעניק ליווי משפטי שיועץ אבטחה לא יכול לתת?
"ראיה גלובלית וחיסיון עורך דין-לקוח. לספק ה-IT יש אינטרס למכור שרתים ולסוכן יש אינטרס לגזור עמלה, אך איש מהם אינו נושא באחריות משפטית כשהתביעה נדחית. מנכ"ל שחותם באופן עיוור על שאלון חיתום של עשרות עמודים מסכן כיסוי של 10 מיליון דולר וחשוף לתביעות אישיות".
מה הצעד הראשון למנכ"ל שרוצה לוודא שהחברה מוגנת?
"שיחת היכרות קצרה וממוקדת. בתוך זמן קצר אנו ממפים את תמונת המצב ומגבשים סדר פעולות ברור. כיום גם סוכנויות ביטוח מובילות פונות אל CyberSure ומפנות אלינו לקוחות, כדי להביא אותם לבשלות שמאפשרת לחברות הביטוח להנפיק כיסוי מלא – בלי 'אותיות קטנות' שיפילו אותם בעת משבר".
בשיתוף עו"ד זיו און, מנכ"ל ובעלים של CYBERSURE – Underwriting Readiness & Insurance GRC
