עו``ד טמיר עמיקם
עורך דין טמיר עמיקם
06/12/2020
ביום שלישי האחרון, בהודעה חריגה של מערך הסייבר הלאומי, נמסר כי קבוצת האקרים בשם BlackShadow פרצה למאגרי המידע של חברת הביטוח "שירביט" בדרישת כופר של מיליוני דולרים, תחת אולטימטום של 24 שעות, אחרת יופץ וייעשה שימוש במידע אודות תביעות ופרטי לקוחות החברה.
האיום מפני מתקפות סייבר על גורמים עסקיים וארגונים שונים הוא כה ממשי עד שבחמש שנים האחרונות הוקמו מאות חברות לפיתוח אמצעי אבטחה מפני סיכוני סייבר. בישראל לבדה, נאמדת ההשקעה בחברות אלה בלמעלה מ2 מיליארד דולר. סיכון זה מאיים מאוד גם על חברות השקעה המנהלות תיקי לקוחות תחת מעטה סודיות.
אירועי השנים האחרונות הוכיחו כי תקיפות הסייבר מהוות סיכון כלכלי ממשי ומתגבר בקרב ארגונים, גם מהמאובטחים ביותר בעולם:
בשנת 2014- הותקפה חברת SONY ונחשף מידע מסווג מאוד שכלל תכניות עסקיות, מידע אישי של עובדי החברה, תעודות זהות וכרטיסי אשראי, וכן מערך ההפקות והמחשוב של החברה הושבת. כתוצאה מהתקיפה, מניית סוני צנחה בלמעלה מ10% בשבוע והנזק שנגרם הוערך בכ-100 מיליון דולר.
באותה שנה, הותקפה חברת eBay כאשר נגנבו מעל 145 מיליון סיסמאות ופרטי אשראי של משתמשים.
ביוני 2017, חברת הספנותMaersk וחברת התרופות Merck שפעילותן העסקית שובשה בתקיפת סייבר, גררה את חברות הענק לנזקים פיננסים בסך מאות מיליוני דולרים.
בשנת 2018- חברת הביגוד העולמית UNDER ARMOUR הותקפה ונתונים של מעל 150 מיליון משתמשים נחשפו. באותה שנה ארעה מתקפה על רשת המלונות Marriot, שבמהלכה נגנבו פרטי 500 מיליון אורחים.
אחד הכלים האופציונליים והחשובים למתן הגנה ושיפוי במקרה תקיפת חברות וארגונים בעלי מידע רגיש רב, הינו פוליסת ביטוח הסייבר, שבנויה על בסיסClaims made וכוללת שלושה פרקי כיסוי מרכזיים:
נזקים הנגרמים למבוטח כתוצאה מאירוע הסייבר, קרי נזק לצד א': נזקים למערכות המידע, נזקי אבדן רווחים (DDos ונזקים פיננסיים טהורים), תשלומים בגין סחיטה או כופר, מעילות כספים תוך התחזות לאדם מתוך הארגון, אבדן מוניטין, שחזור מידע (נזק ישיר בלבד וללא שיפוי תוכנה), עלויות חקירה וביצוע אדפטציות על מנת למנוע הישנותו ועוד.
נזקים הנגרמים לצדדים שלישיים כתוצאה מאירוע הסייבר אצל המבוטח, שכוללים בין היתר: הוצאות בגין הליכים משפטיים והטלת קנסות רגולטוריים מנהליים ברי שיפוי, פיצוי אותם צדדי ג' שנתוניהם נחשפו עקב גניבה/ מחיקה/ שינוי/ הפצת מידע שלהם אצל המבוטח, הפצת תוכנות זדוניות/וירוסים ועוד.
עלויות הוצאות שונות הכוללות: כיסוי עלויות מתן הודעה לגורמים שנתוניהם הודלפו, עלויות חקירת האירוע, עלויות שחזור מערכות ומסדי נתונים (דאטה), עלויות העסקת יועצים ומומחים לצורך הקטנת הסיכון לאחר המתקפה ועוד.
מובן שלתחום זה נדרשת התמחות ייחודית שנמצאת בקרב גופים בודדים המתמחים בביטוחים מסוג זה. אסכם ואבהיר, כי חשוב שכל ארגון שיש ברשותו מידע חשוב ורגיש, יידע לאמוד את החשיפה ולבחון האם הוא ו/או צדדים שלישיים המתקשרים עמו נמצאים בסיכון מהותי ובלתי הפיך בקרות מתקפת הסייבר הבאה.
האיום מפני מתקפות סייבר על גורמים עסקיים וארגונים שונים הוא כה ממשי עד שבחמש שנים האחרונות הוקמו מאות חברות לפיתוח אמצעי אבטחה מפני סיכוני סייבר. בישראל לבדה, נאמדת ההשקעה בחברות אלה בלמעלה מ2 מיליארד דולר. סיכון זה מאיים מאוד גם על חברות השקעה המנהלות תיקי לקוחות תחת מעטה סודיות.
אירועי השנים האחרונות הוכיחו כי תקיפות הסייבר מהוות סיכון כלכלי ממשי ומתגבר בקרב ארגונים, גם מהמאובטחים ביותר בעולם:
בשנת 2014- הותקפה חברת SONY ונחשף מידע מסווג מאוד שכלל תכניות עסקיות, מידע אישי של עובדי החברה, תעודות זהות וכרטיסי אשראי, וכן מערך ההפקות והמחשוב של החברה הושבת. כתוצאה מהתקיפה, מניית סוני צנחה בלמעלה מ10% בשבוע והנזק שנגרם הוערך בכ-100 מיליון דולר.
באותה שנה, הותקפה חברת eBay כאשר נגנבו מעל 145 מיליון סיסמאות ופרטי אשראי של משתמשים.
ביוני 2017, חברת הספנותMaersk וחברת התרופות Merck שפעילותן העסקית שובשה בתקיפת סייבר, גררה את חברות הענק לנזקים פיננסים בסך מאות מיליוני דולרים.
בשנת 2018- חברת הביגוד העולמית UNDER ARMOUR הותקפה ונתונים של מעל 150 מיליון משתמשים נחשפו. באותה שנה ארעה מתקפה על רשת המלונות Marriot, שבמהלכה נגנבו פרטי 500 מיליון אורחים.
אחד הכלים האופציונליים והחשובים למתן הגנה ושיפוי במקרה תקיפת חברות וארגונים בעלי מידע רגיש רב, הינו פוליסת ביטוח הסייבר, שבנויה על בסיסClaims made וכוללת שלושה פרקי כיסוי מרכזיים:
נזקים הנגרמים למבוטח כתוצאה מאירוע הסייבר, קרי נזק לצד א': נזקים למערכות המידע, נזקי אבדן רווחים (DDos ונזקים פיננסיים טהורים), תשלומים בגין סחיטה או כופר, מעילות כספים תוך התחזות לאדם מתוך הארגון, אבדן מוניטין, שחזור מידע (נזק ישיר בלבד וללא שיפוי תוכנה), עלויות חקירה וביצוע אדפטציות על מנת למנוע הישנותו ועוד.
נזקים הנגרמים לצדדים שלישיים כתוצאה מאירוע הסייבר אצל המבוטח, שכוללים בין היתר: הוצאות בגין הליכים משפטיים והטלת קנסות רגולטוריים מנהליים ברי שיפוי, פיצוי אותם צדדי ג' שנתוניהם נחשפו עקב גניבה/ מחיקה/ שינוי/ הפצת מידע שלהם אצל המבוטח, הפצת תוכנות זדוניות/וירוסים ועוד.
עלויות הוצאות שונות הכוללות: כיסוי עלויות מתן הודעה לגורמים שנתוניהם הודלפו, עלויות חקירת האירוע, עלויות שחזור מערכות ומסדי נתונים (דאטה), עלויות העסקת יועצים ומומחים לצורך הקטנת הסיכון לאחר המתקפה ועוד.
מובן שלתחום זה נדרשת התמחות ייחודית שנמצאת בקרב גופים בודדים המתמחים בביטוחים מסוג זה. אסכם ואבהיר, כי חשוב שכל ארגון שיש ברשותו מידע חשוב ורגיש, יידע לאמוד את החשיפה ולבחון האם הוא ו/או צדדים שלישיים המתקשרים עמו נמצאים בסיכון מהותי ובלתי הפיך בקרות מתקפת הסייבר הבאה.
