מתקפות סייבר הן איום קטלני לעסקים - ומנוע צמיחה לחברות הביטוח

בענף הביטוח העולמי מעריכים כי הפרמיות מביטוח נגד התקפות סייבר יצמחו ל–10 מיליארד דולר ב–2020 ■ בישראל מציעות ביטוח כזה AIG ומנורה מבטחים, בעסקה שכוללת גם ייעוץ למניעת מתקפות

אסא ששון
אסא ששון

בסוף ינואר השנה דיווח בנק ירושלים לבורסה על פריצה לאתר מידע בניירות ערך שלו. מדובר באתר הנפרד מהאתר המרכזי של הבנק. בדיווח ציין הבנק כי האתר, שהכיל מידע בלבד בתחום ניירות הערך, ללא אפשרות לביצוע פעולות, הורד מרשת האינטרנט ביוזמת הבנק.

בדיווח לבורסה הבנק תיאר את הפעולות שנקט, והעריך כי הפורצים לקחו 38 אלף רשומות, ומתוכן כ–6,000 חשבונות פעילים של הבנק בתחום ניירות ערך. היתר הם לקוחות היסטוריים של חבר הבורסה, שקיבלו מידע במסגרת אתר נפרד זה.

"אחת התופעות הבולטות של מתקפות סייבר היא סחיטה באיומים"צילום: רויטרס

אחד הגורמים שהוכנסו בסוד העניינים לאחר הפריצה הוא החברה שביטחה את הבנק, AIG. למזלו של הבנק הפריצה בוצעה בידי אקטיביסטים העוינים את ישראל השייכים לארגון "אנונימוס". הפעולה בוצעה מחוץ לגבולות המדינה. מבדיקת המידע שנאסף מאז היוודע האירוע עלה, כי בחשבונות הלקוחות לא בוצעו פעולות שאינן מורשות, ולא נגרם נזק ללקוחות.

האירוע בבנק ירושלים תרם גם הוא להצפת הסוגיה של הגנת סייבר, ובכלל זאת ביטוח סייבר. מדובר בביטוח מורכב, שכן בניגוד לביטוחים הסטנדרטיים שבהם נגרם נזק וחברת הביטוח משלמת, בביטוח סייבר הפעולות של חברת הביטוח מתחילות עוד לפני שנגרם הנזק, ומתוך מטרה לנסות ולצמצם את הנזק מראש. בחברות הביטוח הבינו כי לא ניתן למנוע התקפת סייבר על ארגון. ואולם ניתן להיערך כדי להקשות ולצמצם את הפגיעה אם תבוצע התקפת סייבר.

פוליסת ביטוח סייבר כוללת למעשה שלושה נדבכים. הנדבך הראשון הוא שלב החיתום. בשלב זה חברת הביטוח בוחנת את החברה המבקשת לבצע ביטוח סייבר, ומעריכה, בין השאר, את הסיכונים העומדים בפני החברה, מהן מערכות של הגנת הסייבר שהחברה משתמשת בהן, ואיזו מדיניות סיסמה היא נוקטת. לאחר שחברת הביטוח העריכה את רמת החשיפה להתקפת סייבר, היא מייעצת לחברה באילו אמצעים עליה להשתמש כדי להיות ממוגנת יותר.

הנדבך השני הוא כשכבר מבוצעת מתקפה נגד החברה. מבחינת החברה, מדובר בשלב הקריטי ביותר בניהול המשבר. בשיחה עם שי פלדמן, מנכ"ל AIG ישראל, הוא הסביר: "בעת אירוע סייבר יש חשיבות גבוהה לאופן התגובה של החברה ב–24–72 השעות הראשונות. מדובר באירוע חירום, שבו מופעלים מומחים רבים, שמטרתם להבין מה קרה, ולפעול בכל הגזרות הרלוונטיות. למשל, בתחום הטכנולוגי, כדי להשיב את החברה לעבודה שוטפת כמה שיותר מהר; בתחום המשפטי; בתחומי הדיווח, כלומר למי צריך לדווח; ובתחומי השיווק, לדוגמה מה אומרים לתקשורת, ואיך מדברים עם הלקוחות. למעשה, צריך להפעיל חדר מלחמה".

שי פלדמן
שי פלדמן, מנכ"ל AIG ישראל: "התגובה למתקפה ב-72-24 שעות הראשונות היא קריטית"

הנדבך השלישי מבוצע לאחר שהחברה חזרה לעבוד באופן תקין. זהו השלב הסקת המסקנות, התשלומים והערכות הנזק. אחת הבעיות בתחום הסייבר היא הערכת נזק של המרכיבים הלא מוחשיים. את הנזק המוחשי, כמו השבתת קווי יצור או הפסד ימי עבודה, ניתן להעריך די בקלות. ואולם, כימות נזקים, כמו הפסד כספי בגין ירידה במוניטין קשה בהרבה לחשב.

"ביטוח סייבר הוא גם ביטוח דירקטורים"

2.5–3 מיליארד דולר פרמיות בשנה מייצר שוק ביטוח הסייבר לחברות הביטוח. על פי כמה הערכות, ב–2020 שוק זה יגלגל כ–7.5–10 מיליארד דולר פרמיות בשנה. מדובר באחד ממנועי הצמיחה החשובים של חברות הביטוח. תחום זה צפוי לצמוח ב–32% בשנה. מאחר שאלה הן פוליסות ביטוח שנתפרות באופן פרטני, גם הפרמיה שמשלמים המבוטחים משתנה - מרמה של אלפי דולרים בודדים בשנה למאות אלפי דולרים לחברה גדולה.

לא פלא, אם כן, שחברות הביטוח רואות באפיק זה את אחד ממנועי הצמיחה החשובים שלהן. בתחום ביטוח הסייבר AIG היא מהגדולות בתחום. חברת ביטוח נוספת שהחליטה באחרונה להיכנס לתחום היא מנורה מבטחים, שכבר השיקה פוליסת ביטוח סייבר. ואולם, בניגוד ל–AIG הפוליסה של מנורה היא הרחבה לביטוח עסק, המכונה בעגת חברות הביטוח "ריידר".

בשיחה עם אלעד שלף, משנה למנכ"ל מנורה מבטחים, הוא אמר: "את ההרחבה השקנו ביולי 2014, וכיום יש לנו כ–1,000 לקוחות. מרבית הלקוחות שרכשו את ההרחבה הן עסקים וחברות קטנות ובינוניות. הביטוח יכסה את הטיפול באירוע עצמו, כולל טיפול מחשובי. ביטוח הסייבר הוא גם מוצר ביטוחי, וכולל את השירות והטיפול בצד הטכנולוגי לאותן חברות שאין להן מערכי מחשוב".

שלף ציין כי אחת התופעות החדשות והרווחות בתחום הסייבר הוא ניסיונות סחיטה בחברות שונות: "אתה מגיע בבוקר למשרד, מדליק את המחשבים, ומגלה כי יש הודעה בכל המחשבים, שאם לא תשלם 10,000 ביטקוין (כ–4.1 מיליון דולר, א"ש) ישמידו לך את כל השרתים. הסחיטה אינה חייבת לכלול רק נזק פיסי, כמו פגיעה בשרתים או פגיעה בקו ייצור, אלא היא יכולה לכלול גם הפצת רשימת לקוחות והנתונים הפיננסיים שלהם".

לדברי שלף, הסוחטים נוטים להשתמש בביטקוין, מפני שהוא מטבע שקשה מאוד לעקוב אחריו. הדבר מאפשר לאותם סחטנים 'להיפגש עם הכסף' בבטחה יחסית גדולה.

גורם נוסף שמוצא את עצמו חשוף לאירועי הסייבר הוא מנהלי החברה והדירקטוריון שלה. "רואים כיום את החשיפה שיש לדירקטורים מצד הרגולטור", ציין פלדמן, "יחד עם הגברת האחריות על הדירקטור בתחומים השונים של החברה, מגיעה גם האחריות על תחום הסייבר. שכן האחריות על התחום היא גם חלק מפעילות הדירקטוריון. הדירקטורים ימצאו את עצמם נתבעים אם הם לא יטפלו גם בתחום זה". בכיר המצוי בתחום ציין כי "ביטוח סייבר עתיד להפוך לביטוח הדירקטורים העתידי".

כיום כמעט שאין חברה שאינה חשופה לאירועי סייבר. "ברגע שעסק שומר פרטים על לקוחותיו, כמו מספר כרטיס האשראי או תעודות הזהות שלהם, הוא חשוף למתקפת סייבר. אחד הדברים שרואים בעולם הוא שהפצחנים אינם פורצים ישירות לחברות כרטיסי האשראי. זה מורכב יותר ומסובך מאוד. הם מעדיפים להשיג את המידע דרך החוליות היותר חלשות. כלומר, אותם עסקים ששומרים את פרטי הלקוחות. כך למעשה אותם עסקים חשופים יותר להתקפות סייבר ממה שהם חושבים", הוסיף שלף.

חוסר פופולריות בישראל

למרות התלות הגדולה של עסקים במחשוב, ביטוח הסייבר בישראל נמצא רק בשלבי חדירה ראשונים. הגורמים שכן מקפידים על ביטוח סייבר, ולא מעט בגלל דרישות רגולטוריות, הם הבנקים. שלף מסביר למה ביטוח הסייבר זוכה לחוסר פופולריות בישראל: "מדובר בסיכון שהוא יותר מורכב לעסק. אם ניקח, למשל, ביטוח שריפה, הרי זה ביטוח ברור. כולם מבינים איך הוא עובד. כולם גם מבינים את הסיכונים, ויודעים איך להתגונן מפני כך. לעומת זאת, סיכון סייבר הרבה יותר אמורפי. אז העסקים נוטים לחשוב - לי זה לא יקרה. אם נוסיף לכך מומחה אבטחה שלא תמיד רואה את התמונה הגדולה, ומרגיע את מנהליו - זאת עלולה להיות התוצאה".

גם פלדמן מסכים כי בישראל מדובר במוצר שנמצא רק בשלבי חייו הראשונים: "מקורן של כ–90% מהפרמיות בביטוח סייבר הוא בשוק האמריקאי, שבו גם המודעות גדולה יותר; עוד 9% מהפרמיות הן משהשוק האירופי; והאחוז הנותר הוא משאר העולם. אירוע סייבר יכול לקרות לכל חברה בעולם. הרי פצחן סיני, למשל, יכול לפגוע בחברה בצד השני של העולם מבלי לקום מהכיסא. בגלל זה חשוב מאוד ליצור מצב כי כשיש כבר אירוע סייבר - שיופעלו מומחים מקומיים. שכן אין זמן לשלוח מומחים מישראל לחברה הבת שלהם, שנפגע בארה"ב, למשל".

תגובות

הזינו שם שיוצג כמחבר התגובה
בשליחת תגובה זו הנני מצהיר שהינני מסכים/ה עם תנאי השימוש של אתר הארץ