רק 17% ממגזר הפיננסים דאג לעצמו לביטוח לאירוע סייבר

לפני שנה וחצי ביצע מערך הסייבר הלאומי סקר בקרב 300 חברות במשק שגילה כי רק ל־13% מהן היה ביטוח שמגן עליהן מאירוע סייבר.

מערך הסייבר נמנע אז מלפרסם את הנתונים לפי חלוקה סקטוריאלית אולם מנתונים שהגיעו לידי "כלכליסט" ומתפרסמים לראשונה כעת, לאחר תקיפת הסיייבר נגד חברת הביטוח שירביט, עולה כי רק ל־17.4% מכלל החברות במגזר הפיננסי היה ביטוח סייבר במועד הסקר. נתון נמוך זה משקף מציאות עגומה שבה אחד הסקטורים החשופים ביותר לתקיפות סייבר משקיע מעט מאוד בביטוחי סייבר.

מהנתונים עולה עוד כי 28.6% מכלל החברות בתחום התשתיות והאנרגיה, 25% מהחברות בתחום הבריאות והרווחה, 25% מהחברות בתחום החינוך ו־20% בתחום התקשורת מחזיקות בביטוח שכזה. האם גם הפעם הסנדלר הולך יחף?

מנכ"ל שירביט צביקה ליבושור ומיכל שלמה סמנכ"לית AIG | צילום: יוטיוב, יעל צור

אירוע הסייבר מהשבוע האחרון שהשבית את שירביט, הקורונה שחשפה את הארגונים בעקבות הגברת העבודה מהבית, וכמה אירועי תקיפה מהותיים פחות אך שהפחידו את ראשי החברות במשק, גרמו למספרים הללו לעלות. שני שרביט סמנכ"לית מדיניות במערך הסייבר מעריכה כי "כיום לרוב הארגונים הגדולים והבינוניים יש ביטוח סייבר או שהם עושים אותו ברגעים אלו".

בארבע השנים האחרונות שוק ביטוח הסייבר העולמי חווה צמיחה אדירה והוכפל, משוק של 3.5 מיליארד דולר ב־2016 ל־7 מיליארד דולר ־ב2020. לעומת זאת השוק בארץ עומד על מאות מיליוני שקלים בלבד.

פוליסת סייבר: נזקי מחשבים, צד ג' ושירותי ניהול אירוע

בעוד שירביט מסרבת למסור פרטים על היקף ביטוח הסייבר שרכשה, כמו גם מי החברה המבטחת שלה, כדאי להתעכב על המבנה של פוליסות אלה שמטרתן לא רק לשפות על נזק, אלא גם לספק דרכי התמודדות עם המשבר. "בעולמות הסייבר, 48 השעות הראשונות לאירוע הן הקריטיות ביותר", אומרת מיכל שלמה, סמנכ"לית ביטוח מסחרי ב־AIG, החברה שמובילה את תחום ביטוחי הסייבר בארץ ועל פי ההערכות חולשת על כ־30% מהשוק.

פוליסת ביטוח הסייבר נותנת שלושה סוגים של כיסוי: כיסוי נזקי העסק המבוטח שכולל אובדן הכנסות של העסק, פגיעה במוניטין, עלות השבת מערכות המחשב לפעולה, וכן טיפול באירועי כופר; כיסוי נזק צד ג' שכולל נזק בשל דליפת מידע של לקוחות או פיצוי במסגרת תביעות ייצוגיות, וגם שירותי ניהול אירוע הכוללים ליווי על ידי צוות של מומחי סייבר, ייעוץ משפטי ויחסי ציבור.

"אני, כמי שמשלמת את הנזקים רוצה להיות באירוע מהיום הראשון כדי למזער אותם", אומרת שלמה. "חוץ מזה, למבוטח יש אינטרס גדול שיהיו לצידו מומחים לניהול משברים בתחומי הטכנולוגיה והיח"צ".

זה אכן קצת מוזר שחברת ביטוח תתעסק במתן שירותי יח"צ למבוטחיה, אולם לתקיפות סייבר יש הד תקשורתי משמעותי מה שיכול להשפיע מאוד על אמון הציבור בחברה. במקרה של שירביט אפשר לראות שהנזק התקשורתי לחברה גדול מאוד – שמה לא יורד מהכותרות כבר למעלה משבוע והוגשו נגדה ארבע תביעות ייצוגיות על ידי לקוחות זועמים שפרטיהם דלפו או הועמדו בסכנת דליפה.

עם זאת, גורמים המתמחים בביטוחי סייבר מתקשים להעריך את הנזק כיוון שזה מקרה ראשון מסוגו בישראל. "דעת הקהל והאופן שבו אירועים כאלה משפיעים עליה משתנה ממקום למקום, אי אפשר לדעת איך הקהל הישראלי יגיב והאם שירביט תצליח לצאת מהמשבר הזה", הם אומרים.

אחת מהשאלות המרכזיות שעולות באירוע תקיפה דוגמת זה שחוותה שריביט היא האם לשלם את הכופר או להחליט שלא. "קודם כל זה לא תמיד חוקי לשלם כופר – זה תלוי מי הארגון שמבקש את הכופר (הכוונה שלארגון טרור אסור לשלם — נ"צ)", אומרת שלמה.

תת ביטוח נגד תקיפות סייבר

"ביטוח יקר שהמון גופים נמנעים מלעשות אותו"

"בנוסף, הרבה פעמים אפשר לדעת מי הארגון שאתה מתנהל מולו ואם זה ארגון עם 'מוניטין טוב', כלומר כזה שברגע שמשלמים לו לוקח את הכסף ונעלם ולא חוזר עם עוד דרישות אחרי חודש", מוסיפה שלמה. "אנחנו תמיד מנסים לפתוח במו"מ עם הצד השני שהמטרה שלו כפולה: להרוויח זמן ולנסות להבין מי עומד מולנו. לאחרונה היתה חברה באירופה שדרשו ממנה כופר של 10 מיליון דולר שהיא החליטה לא לשלם, ובסוף מצאה עצמה משלמת 80 מיליון דולר על שחזור המידע וניהול הנזק, יש פה הרבה שיקולים שצריך לקחת בחשבון".

"עלות של הגנת סייבר היא עלות מאוד כבדה שאין לה תועלת כלכלית מיידית, זה משהו שבעיקר מכביד על הארגון בתקווה שביום הדין זה יעזור", אמר ל"כלכליסט" בכיר בענף הביטוח. "זה כמו לעשות ביטוח נגד רעידות אדמה – אתה משלם עשרות מיליוני דולרים בשנה בשביל זה שיש רעידת אדמה פעם ב-100 שנה. בשורה התחתונה זו השקעה יקרה מאוד שעד שאין אירוע אין שכר בצידה ולכן המון גופים נמנעים מזה. כשאנחנו מדברים על חברה כמו שירביט שבשנה טובה מרוויחה 10 מיליון שקל, כמה היא כבר יכולה להשקיע במערכי הגנה מתוחכמים ומתקדמים?".

ככל הידוע, שירביט השקיעה בשנה החולפת כמה מיליוני שקלים במערכי הגנת הסייבר שלה, בעוד שחברות הביטוח הגדולות משקיעות כ־15 מיליון שקל בשנה בנושא.

יחידת הסייבר בלהב 433 במשטרה זימנה אתמול לעדות פתוחה שניים מבכירי שירביט במסגרת החקירה שהיא מנהלת מאז הגישה החברה התלונה ביום חמישי: המנכ"ל צביקה ליבושור ובכיר במערך הסייבר בחברה. אתמול החלו ההאקרים להציע למכירה מידע שהשיגו בפריצה.