עדכון שבועי 05.11.2020

רשות שוק ההון, ביטוח וחיסכון דורשת מחברות הביטוח למפות סיכונים בפוליסות ביטוח הסייבר (״כיסוי שקט״)

הדרישה לביצוע סקרי סיכונים בפעילות ביטוחי הסייבר, המופיעה בטיוטה שפירסמה הרשות ב-29 באוקטובר, נועדה להניע את החברות לזיהוי והערכה של רמת החשיפה הכלכלית של חברות הביטוח כתוצאה מפוליסות ביטוח סייבר שהן מציעות. בין הפרמטרים שיכללו בסקר מצויים הגדרת ״אירוע סייבר״ בפוליסה, קביעת תרחישי ייחוס לאירוע סייבר משמעותי, מיפוי חשיפות כלכליות פוטנציאליות הקיימות בפוליסות שאינן כוללות כיסוי סייבר ועוד. הרשות דורשת מהחברות לדווח על ממצאיהו עד ל-31.3.2021.

סקר של הרשות להגנת הפרטיות מעלה ממצאים מדאיגים

בעקבות סקר רוחבי שביצעה בקרב חברות המספקות שירותי אחסון ועיבוד מאגרי מידע, פרסמה הרשות הבהרות והנחיות עבור גופים ממגזר זה, לשם עמידתם בהוראות החוק והתקנות. חשיבות הסקר נובעת מרגישות המידע שמאחסנים ארגונים אלה, אשר עשוי לכלול מידע רגיש של משתמשים. בעוד שמרבית הגופים עומדים היטב בהוראות חוק הגנת הפרטיות בנושא אבטחת מידע, בקרב חלק מהם נמצאו פערים משמעותיים בין הוראת החוק לבין המצב בפועל. כך, למשל, נמצאו ארגונים המחזיקים במידע רגיש של לקוחות ללא קיום סקר סיכונים ומבחני חדירה בפרקי הזמן המצופים מהם.
אנו ממליצים לחברות המחזיקות במידע רגיש של לקוחות ליישם את הוראות חוק הגנת הפרטיות והתקנות הנגזרות ממנו, זאת על מנת שיעמדו בנדרש מהן על פי חוק וימנעו מלספוג קנסות כספיים משמעותיים.

נמשך גל מתקפות כופרה בישראל -עשרות ארגונים בישראל תחת מתקפת כופרה

על פי דיווח באתר ynet, מרבית הארגונים, כ-20 במספר, הם משרדי עורכי דין ואדריכלים. עוד דווח כי לא ידוע על ארגונים חיוניים או גופי ביטחון הנתונים תחת מתקפה, וכי חלק מהחברות שהותקפו לא החזיקו בגיבויים למידע שהוצפן במכונות המעורבות, ויאלצו לשלם אלפי שקלים לתוקפים. בתוך כך, הארגונים המותקפים שכרו את שירותיהן של חברות הגנת סייבר, על מנת לחזק את ההגנה על רשתותיהם ולמזער את הסיכוי להתרחשותה של מתקפה נוספת.

אנו ממליצים לחברות ישראליות להגביר עירנות בכל הנוגע למיילים המתקבלים בחשבונות העסקיים, היות והם עלולים להכיל קבצים זדוניים, ובכלל זה קבצי כופרה. עוד אנו ממליצים לדאוג לגיבוי תדיר של מידע קריטי בסביבת ענן, על מנת שיוכל להיות משוחזר במקרה של מתקפה דומה.

דה מרקר: סטארטאפים אינם מקצים משאבים להגנת סייבר וחושפים עצמם לסיכונים משמעותיים

כתבה שפורסמה בעיתון הכלכלי מתייחסת לנקודה משמעותית באופין של חברות הזנק: הקצאת משאבים רבים לפיתוח המוצר ולעמידה בהתחייבויות כלפי המשקיעים בתחומי השיווק והגיוס, לצד דחיקת הגנת הסייבר לשוליים. בעוד שניתן להבין את ההיגיון העומד מאחורי התנהלות זו, איום הסייבר רלוונטי לכל שלבי התפתחות הסטארטפ, כאשר דווקא בשלביה ההתחלתיים חשופה החברה לדליפה של נכסיה האינטלקטואליים. אחד מווקטורי התקיפה הנפוצים המאיימים על חברות הזנק בתחילת דרכן הוא Business Email Compromise, פעולה אשר במהלכה התוקפים משיגים באמצעות פישינג גישה למשתמש דרך דומיין המייל הארגוני, ובאופן זה מנסים לגשת לנכסים הקריטיים של הארגון. ניתן להסתייע במערך הסייבר לקידום סטנדרט האבטחה של המידע בארגון ושימוש בשירותי MSSP.

אנו ממליצים לחברות סטארטאפ להשקיע משאבים, ככל הניתן, בבחינת ארכיטקטורת האפליקציה או הרשת הארגונית, זאת על מנת להבין היכן נמצאים הסיכונים. במידה והדבר אינו אפשרי כלכלית, מומלץ ביותר לשקול לבצע סקר אבטחת מידע של הארגון. זאת ועוד, לפני שבועות ספורים קיימנו Webinar בנושא, בהשתתפות פאנל מומחים. לנוחיותכם, אספנו את עיקרי הדברים במסמך מסכם, המצורף בלינק זה. ניתן גם לצפות בהקלטה המלאה של ה-Webinar.