מאת: אבנר גת
בעלי עסקים רבים מאמינים שאם רכשו ביטוח סייבר, הם מוגנים במקרה של מתקפה. בפועל, המצב מורכב יותר. פוליסת סייבר יכולה להעניק תמיכה כספית חשובה לאחר מתקפת כופרה, גניבת מידע, השבתת פעילות או חדירה למערכות המחשב. אבל הפוליסה היא רק חלק ממערך ההגנה. חברת הביטוח עשויה לדרוש מהעסק לקיים אמצעי אבטחה מסוימים – וגם להוכיח שהם היו פעילים עוד לפני האירוע.
במילים פשוטות: תשלום הפרמיה אינו מבטיח באופן אוטומטי שהנזק ישולם.
מה עשוי להיות מכוסה בפוליסת סייבר?
הכיסוי משתנה בין חברות הביטוח ובין הפוליסות, אך במקרים רבים הוא עשוי לכלול הוצאות חקירה ושיקום, אובדן הכנסה, טיפול משפטי וניהול המשבר. בין ההוצאות האפשריות:
- מומחי מחשוב וחקירה דיגיטלית שיבדקו כיצד התרחשה החדירה.
- שחזור מידע שנמחק, נפגע או הוצפן.
- אובדן הכנסות בתקופה שבה העסק אינו מסוגל לפעול.
- הודעה ללקוחות, לעובדים או לרשויות בעקבות חשיפת מידע.
- שירותי ניטור אשראי לנפגעים, כאשר הדבר נדרש.
- עורכי דין, מומחי פרטיות ואנשי תקשורת לניהול המשבר.
- סיוע בהתמודדות עם דרישת כופר או סחיטה דיגיטלית.
- תביעות מצד לקוחות, ספקים או שותפים עסקיים שנפגעו.
חלק מהפוליסות מעניקות גם גישה לרשימה מאושרת של חוקרים, עורכי דין ואנשי שיקום. עם זאת, אסור להניח שכל אירוע או כל הוצאה מכוסים באופן אוטומטי.
השאלות בבקשת הביטוח עלולות להפוך להתחייבויות
בעת הגשת בקשה לביטוח סייבר, העסק נשאל בדרך כלל על שיטות ההגנה שלו: האם קיימת הזדהות רב־שלבית? האם העובדים עוברים הדרכות? האם נשמרים גיבויים? מי מחזיק בהרשאות מנהל? והאם קיים נוהל תגובה לאירוע?
השאלות האלה אינן רק סקר כללי. חברת הביטוח עשויה להסתמך על התשובות כדי להחליט אם לבטח את העסק, באילו תנאים ובאיזה מחיר.
אם העסק הצהיר שאמצעי הגנה מסוים קיים, אך לאחר מתקפה יתברר שהוא לא הופעל או לא נשמר כראוי, חברת הביטוח עלולה לבחון מחדש את הכיסוי, להפחית את התשלום או לדחות את התביעה. לכן חשוב שהבקשה תיבדק גם על ידי מי שמכיר בפועל את מערכות המחשב של החברה.
אמצעי ההגנה שחברות הביטוח מצפות לראות
הדרישות משתנות מפוליסה לפוליסה, אך יש כמה אמצעי הגנה בסיסיים שהפכו כמעט לסטנדרט בעולם הביטוח והסייבר.
הזדהות רב־שלבית: יש להפעיל אותה בדואר האלקטרוני, בגישה מרחוק, במערכות ענן ובחשבונות מנהל. גם אם סיסמה נגנבה, התוקף עדיין יזדקק לאישור נוסף.
הדרכת עובדים: הדרכה חד־פעמית אינה מספיקה. העובדים צריכים ללמוד לזהות הודעות דיוג, קישורים חשודים, בקשות תשלום מזויפות וניסיונות של הנדסה חברתית.
גיבויים מוגנים: יש לבצע גיבויים באופן קבוע, להפריד אותם מהרשת הראשית ולבדוק שניתן באמת לשחזר מהם מידע. גיבוי שלא נבדק עלול להיכשל דווקא בשעת חירום.
ניהול הרשאות: כל עובד צריך לקבל רק את ההרשאות הנחוצות לתפקידו. יש לבטל מיד גישה של עובדים שעזבו ולפקח במיוחד על חשבונות בעלי הרשאות מנהל.
הכרת המידע: העסק חייב לדעת איזה מידע הוא מחזיק, היכן הוא נשמר ומי רשאי לראות אותו. רשומות של לקוחות, עובדים, כספים וקניין רוחני דורשות רמות הגנה שונות.
בנוסף, כלים לניטור תחנות קצה, חומות אש מודרניות, מדיניות סיסמאות, עדכוני תוכנה, הפרדת רשתות ובדיקות סיכונים תקופתיות יכולים לצמצם את הסיכוי למתקפה ואת חומרת הנזק.
למה עסקים קטנים ובינוניים נמצאים בסיכון גבוה
חברות גדולות מחזיקות בדרך כלל צוותי אבטחת מידע, עורכי דין, אנשי ציות ונהלי תגובה מסודרים. לעסקים קטנים ובינוניים אין תמיד את אותם משאבים — והעבריינים יודעים זאת.
כלים אוטומטיים מאפשרים לתוקפים לסרוק אלפי עסקים ולחפש תוכנות שלא עודכנו, חשבונות חשופים, סיסמאות חלשות ורשתות שאינן מוגנות כראוי. הם לא תמיד בוחרים בחברה הגדולה ביותר; פעמים רבות הם בוחרים במטרה שקל יותר לחדור אליה.
רגע התביעה הוא המבחן האמיתי של הפוליסה
הערך האמיתי של ביטוח סייבר מתברר רק לאחר אירוע. זה גם השלב שבו נחשפות הבעיות: חברת הביטוח עשויה לבדוק אם אמצעי ההגנה שנדרשו אכן פעלו, אם סוג המתקפה נכלל בהגדרות הפוליסה, אם נמסרה הודעה בזמן ואם ספק חיצוני היה מעורב באירוע.
עסק עלול לגלות מאוחר מדי שהאירוע מוחרג, שגבול הכיסוי נמוך מהנזק או שלהוצאה מסוימת נקבעה תקרת תשלום נפרדת. אפילו שכירת חוקר דיגיטלי, פנייה לתוקף או תשלום כופר עשויים לדרוש אישור מראש מחברת הביטוח.
שלוש שאלות שצריך לשאול לפני המשבר
1. מה בדיוק מכסה פוליסת הסייבר שלנו – ומה היא אינה מכסה?
2. האם אנחנו עומדים כיום בכל דרישות האבטחה שעליהן הצהרנו?
3. מי ינהל את האירוע, יגן על העסק ויטפל נכון בתביעת הביטוח?
ביטוח סייבר הוא כלי חשוב, אך הוא אינו תחליף לאבטחת מידע. ההגנה החזקה ביותר נוצרת משילוב של פוליסה שנבדקה היטב, מערכות הגנה מתאימות, עובדים מודרכים, גיבויים אמינים, תוכנית תגובה מסודרת וליווי מקצועי של התביעה.
כאשר משבר סייבר מתחיל, כבר מאוחר מדי לגלות מה העסק הבטיח לחברת הביטוח..
