דוח ריכוז ממצאי ביקורת רוחב בנושא היבטים טכנולוגיים בפעילות זירות הסוחר

פעילות הזירות אף הוסדרה במסגרת תקנות ניירות ערך (זירת סוחר לחשבונו העצמי), התשע"ה- 2014 (להלן: "התקנות"). תקנה 2(א)(8)(יט) לתקנות מחייבת את זירת הסוחר לצרף לבקשה לרישיון תיאור של המערכת הטכנולוגית שבאמצעותה תספק את שירותיה, ובכלל זה תיאור גורמים חיצוניים לזירה המתפעלים את המערכת הטכנולוגית או חלק ממנה ותחומי אחריותם, ממשקים של המערכת הטכנולוגית עם גורמים חיצוניים לזירה, מערך שמירת הנתונים, גיבוי, אבטחת מידע ומנגנוני בקרה, בצירוף חוות דעת מומחה המאשרת כי המערכת פועלת בהתאם לתקנים מקובלים. בנוסף, תקנה 34 לתקנות קובעת כי "חברה תסדיר בנהלים את אופן שמירת המסמכים כדי להבטיח את קיומם, הגנתם מפני נזקים, הגישה אליהם, סודיות כלפי הלקוח, אפשרות גיבוי המידע, אחזור המידע ואיתור מסמכים במידת הצורך".

בחודשים פברואר-יולי 2021 נערכה על ידי סגל מחלקת ביקורת והערכה ברשות ני"ע ביקורת רוחב אצל זירות הסוחר, בנושא 'היבטים טכנולוגיים בפעילות הזירות'. מטרת הביקורת הייתה לוודא, בין היתר, כי ניהול הסיכונים הטכנולוגיים על ידי זירות הסוחר, מבוצע באופן נאות.

חוזר זה נועד לשקף את עמדת סגל הרשות במספר סוגיות אשר התגבשו במהלך הביקורת ויפורטו להלן. מצופה כי הזירות יפעלו ליישום התובנות המוצגות במסמך זה, ככל שהן רלוונטיות לגביהן.

קבלת שירותים במיקור חוץ

זירות הסוחר מתבססות על קבלת שירותים במיקור חוץ ביחס לפלטפורמות המסחר המשמשות את הלקוחות. לרוב, שירותים אלו מתקבלים באמצעות חברות אחרות בקבוצה אליה משתייכת הזירה, בין אם מדובר בפלטפורמת מסחר שהיא פרי פיתוחה של הקבוצה או כזו שנרכשה מספק חיצוני על ידי אחת מחברות הקבוצה. מסגרת התקשרות דומה קיימת גם ביחס לשאר מערכות המחשוב התומכות בפעילות העסקית של זירות הסוחר.

מסקירת דפוסי הפעילות בזירות הסוחר ומעיון במסמכי ההתקשרות של הזירות מול ספקי המערכות עולה, כי חלק מהזירות אינן מבצעות בחינה עצמאית של נאותות הספק, קביעת רמת שירות נדרשת (SLA) וכן בקרה על עמידתו בתנאי החוזה והערכת טיב ההתקשרות עמו. לצורך כך, מסתמכות הזירות על בדיקת נאותות של הספק המבוצעת על ידי חברות אחרות בקבוצה, כאשר בדיקות אלו נערכות לרוב מנקודת ראות החברה המתקשרת בלבד, ועל כן אינן מבטיחות בהכרח את התאמת רמת השירות המתקבלת לצרכיה הפרטניים של הזירה ולדפוסי עיסוקה. נציין כי אמירה זו רלוונטית גם בכל הקשור לרמת המומחיות והניסיון של אנשי המקצוע המספקים שירותי מיקור חוץ לחברות בקבוצה, וכן ביחס לבחינת הלימת מדיניות ההמשכיות העסקית של ספקי החוץ למדיניות הזירה ולצרכיה בעניין זה.

בכל הקשור לשירותי מחשוב ואבטחת מידע, מומלץ לקבוע קריטריונים לגבי מומחיות וניסיון של אנשי מקצוע המספקים שירותים אלה בפועל, ולוודא עמידתם בקריטריונים אלה. כמו כן, על זירות הסוחר לוודא כי ספקי מערכות המחשוב הקריטיות מקיימים מדיניות המשכיות עסקית ומדיניות אבטחת מידע התואמות את מדיניות הזירה וצרכיה.

כאמור, תקנה 34 לתקנות קובעת כי "חברה תסדיר בנהלים את אופן שמירת המסמכים על מנת להבטיח את קיומם, הגנתם מפני נזקים, הגישה אליהם, סודיות כלפי הלקוח, אפשרות גיבוי המידע, אחזור המידע ואיתור מסמכים במידת הצורך". גישת הלקוחות לפלטפורמת המסחר ולכלל המידע הפיננסי האישי הנלווה לפעילותם, נערכת באופן מאובטח באמצעות אתרי האינטרנט של הזירות. עם זאת, חלק מממשקי הזירות מול לקוחותיהן מנוהלים באמצעות דואר אלקטרוני, בפרט במקרים בהם נשלחים לבקשת הלקוחות דוחות הכוללים מידע פיננסי רגיש. דוחות אלו מועברים באופן לא מאובטח וללא הצפנה באמצעות סיסמה, דבר המעלה את הסיכון לדליפת מידע וחשיפתו לגורם בלתי מורשה.

ממענה לשאלון הביקורת ומשיחות שהתקיימו עם הנהלת הזירות עולה, כי במרביתן לא נערכה הערכת סיכוני סייבר בשנתיים האחרונות. עניין זה מקבל משנה תוקף נוכח מעבר גורף של עובדי הזירות לעבודה מהבית באמצעות חיבור מרחוק למערכות הארגוניות, אשר התבצע ללא הערכה מקדימה של סיכוני סייבר הכרוכים בהליך זה. היעדר הערכה כאמור, עלול להקשות על הזירות לנהל את סיכון הסייבר באופן נאות ולמזער ככל הניתן את מידת התממשותו בפועל, ובכך עלול להפוך את הזירות לפגיעות יותר לאיומים מסוג זה.

מודעות עובדים לסיכוני אבטחת מידע

הגורם האנושי מהווה אחד מסיכוני אבטחת המידע הגדולים ביותר. משיחות עם נציגי זירות הסוחר ומעיון במסמכים הרלוונטיים שהועברו במסגרת הביקורת עלה, כי כל זירות הסוחר משקיעות משאבים בהעלאת מודעות עובדיהן לסיכוני סייבר, בין היתר באמצעות עריכת הדרכות מתאימות ושליחת עדכוני אבטחת מידע בדואר אלקטרוני. יחד עם זאת, שני אירועי סייבר שהתרחשו בשנה האחרונה בשתי זירות סוחר (בכל זירה אירוע אחד), וגרמו לשיבוש בתהליכים עסקיים באותן זירות, מעלים שאלות בדבר אפקטיביות תכניות העלאת מודעות העובדים הקיימות בזירות, כמפורט לעיל.

המשכיות עסקית, גיבויים ושחזורים

בשיחות שהתקיימו עם הנהלת הזירות התברר, כי תחזוקת תכנית ההמשכיות העסקית ותפעול מערך הגיבויים והשחזורים, לרבות ביצוע תרגולים של התכנית ובדיקות תקינות הגיבויים, נערכות על ידי חברות אחרות בקבוצה, כאשר עובדי הזירות כמעט ולא נוטלים בהם חלק ולעיתים אף אינם מיודעים על קיומם (וכך גם הנהלות הזירות). יודגש, כי מעורבות עובדים בתרגילי היערכות לחירום מהווה נדבך מהותי בתחזוקת תכנית ההמשכיות העסקית והצלחתה, ומאפשרת רכישה ותרגול של המיומנות הנדרשת לצורך תפקודם בעת חירום. כמו כן, קיום מערך גיבויים תקין המותאם לצרכיה העסקיים של הזירה, מהווה תנאי מתלה לרציפות פעילות הזירות הן בקרות אירוע חירום והן כחלק מתפקודן השוטף.

לעמדת סגל הרשות, על זירות הסוחר ליטול חלק פעיל בתרגולי המשכיות עסקית המבוצעים ברמת הקבוצה ולוודא כי בדיקות תקינות הגיבויים כוללות גם גיבויים של כלל מאגרי הנתונים הרלוונטיים לפעילותן.