"מדי שנה מתרחשות בישראל עשרות מתקפות כופר"

"מתקפת הסייבר שפקדה את העולם בסוף השבוע היא אולי חריגה בהיקפה, אבל היא לא חדשה ומתרחשת כל הזמן. בישראל בלבד היו מאז תחילת השנה עשרות מתקפות כופר על חברות ישראליות", כך אמרה עו"ד נעמי אסיא ממשרד עורכי הדין ועורכי הפטנטים היועצים על שמה. משרדה משמש כיועץ המשפטי של AIG בנושא ניהול משברים כתוצאה מסייבר.

"ללא קשר ישיר למה שקרה בסוף השבוע", ציינה, "רק מתחילת החודש היו ארבע מתקפות על חברות שטיפלנו בהן, והצלחנו לסיים את הטיפול ללא נזקים משמעותיים ומבלי לשלם כופר". אולם היא הוסיפה כי "לעתים, גובה הכופר הוא לא משמעותי, וחברות, שבדרך כלל אינן מבוטחות, משלמות אותו בביטקוין. עצם התשלום בביטקוין הוא תעשיה בפני עצמה".

אשר להיקף התופעה, עו"ד אסיא ציינה שכבר לפני שלוש שנים היא הזהירה מפני תסריטים כמו אלה שקרו בסוף השבוע האחרון. "אבל לצערי, רבים לא הפנימו את זה, ורק באחרונה המודעות גוברת – עקב האירועים הרבים", אמרה.

קצת על ביטוחי סייבר

ביטוחי סייבר הם תחום חדש יחסית בישראל. מעבר לנזק הכספי המבוטח, מעניקות חברות כמו AIG סיוע מיידי לארגון שהותקף. הסיוע כולל צוותים של אנשי מקצוע מתחום המחשוב, יועצים משפטיים, אנשי יחסי ציבור וגורמים נוספים. המטרה היא קודם כל לוודא שפעילות הארגון לא נפגעת ולנסות בדרכים שונות להימנע מתשלום כופר. הצוותים מקבלים את האחריות לניהול האירוע ב-24-72 השעות הראשונות, שהן הקריטיות ביותר.

עו"ד אסיא ציינה שכאשר ארגון מנהל את הסיכונים והסיכויים שלו בכל הנוגע לרכישת ביטוח או היערכות אחרת מפני מתקפות סייבר, עליו לקחת בחשבון גם תקנות חדשות, שייכנסו בשנה הבאה באירופה. "התקנות האלה יחייבו כל גוף שמערכות המידע שלו נפרצו ושנגנב ממנו מידע אישי להודיע לכל אחד מנשואי המידע על הפריצה ולהנחות אותו מה לעשות. כיום אין הנחיות כאלה", אמרה.

לדבריה, "ארגון שמשרת מאות אלפי לקוחות יצטרך להשקיע לא מעט משאבים בעדכון הלקוחות וזו הוצאה שצריכה להילקח בחשבון, שלא לדבר על הנזק התדמיתי". היא מעריכה שהתקנה הזו צפויה להיות מיושמת גם בישראל, בצורה זו או אחרת.

"חברות עם תוכנות חוקיות מגנות על עצמן טוב יותר"

היבט אחר אותו ציינה הוא התוכנות הפיראטיות. עו"ד אסיא היא היועצת המשפטית של הסניף הישראלי של BSA, ארגון שנלחם בתוכנות הלא חוקיות, ולדבריה, "יש התאמה ברורה בין היקף הארגונים בעולם שנפגעים מסייבר לאלה שמחזיקים בתוכנות ללא רישיון. הסיבה לכך ברורה: חברות שיש להן תוכנות חוקיות מקבלות עדכוני אבטחה שוטפים ומגנות על עצמן טוב יותר".

עו"ד אסיא שותפה להערכה שמדינת ישראל ערוכה היטב למתקפות סייבר, בין היתר בגלל הפעילות של גופים כמו מטה הסייבר ורשות הסייבר, וכן החלטות ממשלה. היא ציינה גם את התיקון לחוק הסדרת הביטחון, שנכנס לתוקף רק באחרונה. התיקון מחייב שורה של גופים ציבוריים וממשלתיים למנות ממונה ביטחון ברמה בכירה, שיהיה אחראי על כלל אבטחת המידע בארגון. על הגופים האלה נמנים, בין היתר, חברת החשמל, רשות שדות התעופה ומשרדי ממשלה. תקנה דומה כבר פועלת בבנקים, שמחויבים למנות אחראי על סייבר.

כמו כן, היא ציינה את הפעילות של רמו"ט (הרשות למשפט, טכנולוגיה ומידע במשרד המשפטים), שעוקבת אחר אירועי אבטחה שקורים בארגונים ומידת השפעתם על הפרטיות והגנת המידע.

מתעניינים באבטחת מידע ובסייבר? רוצים לדעת מהן ההתפתחויות העדכניות בנושא? הירשמו לכנס Infosec 2017 של אנשים ומחשבים.