רבות נכתב בשבועיים האחרונים על מתקפת הסייבר אשר אירעה בחברת הביטוח שירביט.
מתקפת הסייבר נגד שירביט מסתמנת כאירוע מכונן עבור תעשיית הביטוח.
לפי מילון הרשת 'רב מילים', אירוע מכונן הוא : 'חוויה בעלת עוצמה רבה בחייו של פרט שיש לה השפעה מכרעת על עיצוב אישיותו, תודעתו או התנהגותו; אירוע בתולדותיה של קבוצה חברתית, תרבותית או אחרת, שיש לו השפעה יוצאת דופן על עיצוב התודעה, ההתנהגות, הנורמות או הזיכרון הקולקטיביים, וגורם להגדרתם מחדש'.
בעולם הביטוח, ב-30-40 השנים האחרונות חווינו כמה אירועים מכוננים בענף הביטוח בישראל. אירועים אלו שינו את תפישות המבוטחים והמבטחים ביחס לביטוח מסויים, נחיצותו, חשיבותו, תנאיו וכו' וגרמו להגדרת תחום ביטוח מסויים מחדש. קל להיזכר בשני אירועים מהותיים:
ב 1985 התמוטט בנק צפון אמריקה. לאחר ההתמוטטות נחשפו מעשי מירמה וזיוף של מנהלי הבנק. במאי 1989 הגיש הכונס של הבנק תביעה נגד 24 נושאי משרה, כולל 11 דירקטורים שלא הורשעו פלילית. הכונס דרש כי המנהלים יחזירו לבנק 150 מליון $. בשנת 94 קבע בית המשפט המחוזי כי הדירקטורים לא עמדו בסטנדרט הנדרש מנושא משרה סביר וחייב את הדירקטורים לשאת את חלקם בנזקי הבנק. בסך הכל חויבו הדירקטורים לשלם יחד כ-515 מיליון שקל, כערכם בשנת 96.
תוך כדי ניהול התיק, בשנת 1992 תוקן חוק החברות הישן ואיפשר לתבוע אישית נושאי משרה, לשפות ולבטח.
שינוי החוק ביחד עם הפסיקה החמורה והחשיפה הגדולה בתקשורת הביא לביקוש חסר תקדים למוצר הביטוח החדש הוצע אז בשוק הביטוח – ביטוח אחריות נושאי משרה. תחום ביטוח אחריות נושאי משרה בישראל גדל בין השנים 1992 ל-1997 בהיקף הפרמיות מ-0 לעשרות מיליוני ₪ בשנה.
בין השנים 1997-2002 מעלה עובדת הבנק למסחר, אתי אלון, בכספי הבנק על ידי פתיחת חשבונות פיקטיביים ומשיכת כספים מחשבונות אלו. כספי המעילה התגלגלו באמצעות אחיה של אתי אלון לארגוני פשע. גילוי המעילה שנמשכה זמן רב ולא אותרה על ידי בקרות הבנק, הביאה לשינויים עמוקים בנהלים הנדרשים מבנקים ביחס לניהול סיכוני מעילה. בעקבות פרשה זו עלה באופן דרמטי הביקוש לביטוחי פשיעה ומעילה, אשר עד אז נתפשו במקרה הטוב כרכיב זניח במערך הביטוח של החברה העסקית ובמקרה הרע כסיכון שאין צורך לבטחו. בנוסף, גם רשות שוק ההון הביטוח והחיסכון קבעה רגולציות מחמירות ביחס לניהול סיכוני מעילה בגופים מוסדיים.
בפרספקטיבה של הזמן שחלף מאז אירועים כאלו אנחנו מכירים בקלות בהיותם אירועים מכוננים אשר שינו את תפישת המבוטחים ביחס לניהול הסיכון וביחס למידת החשיבות של רכישת הביטוח ואף שינו את הביקוש למוצר הביטוחי. אירועים אלו מוזכרים כאבן דרך משמעותית בתחומי הביטוח הרלוונטיים בכל הרצאה או שיעור המתקיים בנושא.
מתקפת הסייבר אירעה רק לפני כשבועיים וטרם ניתן לשפוט את חשיבותו בפרספקטיבה של זמן, אך יחד עם זאת, אני משוכנעת שמדובר באירוע מכונן מהסיבות הבאות:
ב-10-15 השנים האחרונות סיכון הסייבר גדל באופן הדרגתי ככל שחברות עסקיות עברו לבסס את המודלים העסקיים שלהם ואת השירותים שלהם על בסיס טכנולוגיה וככל שהחשיפה לרשת עלתה. קיימת מודעות ארוכת שנים לסיכון שהלך וגדל. חברות משקיעות תקציבים ניכרים להגנה על מערכות המידע כבר הרבה שנים ועל אף שידוע כי יש ביטוח, הנחיצות בו לא הייתה ברורה.
מאז תחילת משבר הקורונה הואץ המעבר לדיגיטציה בכל הסקטורים העסקיים ובחברות עסקיות מכל הגדלים. השימוש באינטרנט עלה ב-60% מתחילת המשבר והסיכון גדל באופן משמעותי. כלומר, קיימות חברות רבות החשופות לסיכון זה רק מהשנה האחרונה ואינן מכירות או ערוכות לא כיאות בשל הצורך להתארגנות מהירה בזמן המשבר. בנוסף, מספר החברות העסקיות שהמשך הישרדותם העסקית תלוי באינטרנט עלה באופן דרמטי בשנה האחרונה, מה שמגדיל את כמות הלקוחות הפוטנציאליים.
מתקפות סייבר רבות בישראל אינן מתפרסמות כלל ומידע עליהן לא מגיע לידי הציבור. מדובר במתקפות קשות שגרמו נזקים כספיים נרחבים, אבל אם אינן מתפרסמות, אינן משאירות רושם של סיכון כלשהוא על החברות העסקיות. במתקפת שירביט, התוקפים משתמשים ב'טלגרם' כדי לפרסם בעצמם את המידע שהצליחו להוציא. בנוסף, בשל הפרופיל הייחודי של הלקוחות שהמידע שלהם נגנב, מעורבים באירוע גורמים רבים ומידע רב, חלקו נכון וחלקו מוטעה, מגיע לציבור הכללי.
במובן זה, אם עד היום חברות עסקיות לא ראו במו עיניהן התמודדות של חברה במתקפת סייבר, הצפייה של כל הציבור בישראל באירוע זה מעלה את המודעות באופן משמעותי.
האירוע נמשך כבר למעלה משבועיים ומטרת התוקפים אינה ברורה. בשל סיבות רבות החברה טרם חזרה למהלך עסקים רגיל וכל חברה עסקית יכולה בקלות לתרגם את ההשלכות הכספיות של אירוע מסוג זה על תוצאותיה היא. הקלות הבלתי נסבלת בה ארוע סייבר הופך לנזק כספי עצום לחברה מומחשת לנגד עינינו. חוסר השליטה שיש לחברה עסקית על מצב עסקיה במקרה של מתקפת סייבר מומחש ומעלה את רמת החרדה מהיקלעות לסיטואציה דומה.
בשל הנסיבות הספציפיות של אירוע זה, הרגישות של שמירה על פרטיות המידע בחברת הביטוח מקבלת משנה חשיבות גם בעיני הלקוחות וגם בעיני חברות הביטוח. ברור כמה אירוע מסוג זה עשוי להיות טראומטי לחיי החברה העסקית ומעתה ואילך כל חברה עסקית בישראל אשר שומרת פרטים אישיים של לקוחות תתייחס אחרת לאופן שבו היא אחראית לשמור על מידע זה. אין ספק שדירקטוריונים יידרשו למשנה מעורבות והבנה בנושאים אלו ופיקוח עליון ברמה גבוהה על סיכון זה.
גם פרטיים וגופים המוסרים מידע לגופים אחרים עשויים לגבש דרישות ביחס לאמצעים שהם דורשים שינקטו הגופים בהגנה על מידע זה.
הרגולטורים השונים יחמירו את הנחיותיהם ואולי אף את רמת הביקורת שהם מבצעים על גופים מפוקחים והחמרה זו, ביחד עם עלייה מהותית במודעות סיכון ולמחוייבות לנהלו בזהירות, ישנו את האופן שבו חברות עסקיות מנהלות את סיכון הסייבר.
לסיכום – על בסיס מודעות מצטברת הקיימת שנים רבות לסיכון, נוצרה כעת מודעות גדולה למשמעות הסיכון, חומרת הסיכון והקושי להתמודד עימו. כל אלו מעלים את סף החרדה ולכן זהו אירוע מכונן אשר לו השפעה רבה על אנשים וגופים רבים.
כמו בכל תחום סיכון ואף באופן מודגש בתחום סיכוני סייבר – יש לנהל את הסיכון לפני רכישת הביטוח. עד עכשיו חברות עסקיות ניהלו את הסיכון בעיקר על ידי רכישת אמצעים והגנות לאבטחת מידע. מעכשיו בכל חברה עסקית יתנהל דיון אסטרטגי בשאלות אבטחת מידע, תכנית לשעת חרום והיערכות למצב חירום כזה וגם רכישת ביטוח אשר יתן הגנה כלשהיא לחשיפות הכספיות שיש לחברה במקרה של מתקפת סייבר.
לקוחות PIL נהנים באופן שוטף משירות עדכוני רגולציה עדכני, ידידותי ונוח בהתאם לצרכיהם.
