ביטוח סייבר לעסקים: מה מכסה, כמה עולה ומה חשוב לבדוק

למה דווקא עסקים קטנים הם המטרה המועדפת של תוקפים

אנשים אומרים לי בפגישות: "מעיין, מי יתקוף אותי? אני מנהל חנות, לא בנק".

אבל הנתונים מספרים סיפור הפוך: רוב מוחלט של התקיפות מכוונות דווקא לעסקים קטנים ובינוניים. למה?

• פחות הגנות - לבנק יש מערך אבטחה שלם. לחנות יש אנטיווירוס מלפני שלוש שנים.
• החלטות מהירות - עסק קטן שמושבת לא יכול להרשות לעצמו לחכות. תוקפים יודעים שהלחץ עובד לטובתם.
• אין איש מקצוע - כשהמתקפה קורה בחברה גדולה, יש צוות שמגיב תוך דקות. בעסק קטן - מתקשרים לאחיין של המחשבים, ומאבדים ימים יקרים.

ויש עוד נקודה שחשוב להגיד ביושר: מאז שנכנס לתוקף תיקון 13 לחוק הגנת הפרטיות, החשיפה המשפטית של עסקים שמחזיקים מידע אישי על לקוחות גדלה מאוד. גם רשימת תפוצה פשוטה של לקוחות היא מאגר מידע - ודליפה שלו יכולה לגרור תביעות.

ועוד משהו שכדאי לדעת: בשנים האחרונות חלה עלייה חדה במספר מתקפות הסייבר על עסקים בישראל, ובמקביל חברות הביטוח החמירו את הדרישות והעלו מחירים. המשמעות המעשית פשוטה: כל שנה שמחכים, הפוליסה מתייקרת והדרישות מחמירות. עסק שמסדיר את ההגנות הבסיסיות היום ונכנס לפוליסה מסודרת - נמצא בעמדה טובה בהרבה ממי שיגיע לשם רק אחרי האירוע הראשון.

מה מכסה פוליסת ביטוח סייבר - שני הפרקים שחובה להבין

כל פוליסת סייבר מתחלקת לשניים:

פרק ראשון: הנזקים שלך (First Party)

• שחזור נתונים ומערכות אחרי מתקפת כופרה
• אובדן הכנסות בתקופת ההשבתה
• חקירה פורנזית - מומחים שמאתרים איך נכנסו ומה נלקח
• תשלום כופר (בכפוף לתנאי הפוליסה ולדין)
• ניהול משבר ויחסי ציבור
• עלות הודעה ללקוחות שהמידע שלהם נחשף

פרק שני: תביעות נגדך (Third Party)

• תביעות לקוחות שהמידע האישי שלהם דלף
• קנסות רגולטוריים מהרשות להגנת הפרטיות
• הוצאות הגנה משפטית ופיצויים
• תביעות של ספקים ושותפים עסקיים שנפגעו דרך המערכות שלך

נקודה שחשוב לי שתדע: פוליסת ביטוח עסק רגילה (מבנה, תכולה, אש) לא מכסה מתקפות סייבר. גם ביטוח אחריות מקצועית מחריג ברוב המקרים נזקי סייבר במפורש. זו בדיוק הסיבה שקיימת פוליסה נפרדת.

כמה עולה ביטוח סייבר לעסק - מספרים על השולחן

* טווחי מחירים מקובלים בשוק הישראלי. המחיר הסופי נקבע לפי העסק הספציפי, סוג המידע שהוא מחזיק ורמת האבטחה הקיימת.

מה משפיע על המחיר? בעיקר חמישה דברים: מחזור העסק, סוג המידע (מידע רפואי ופיננסי מייקרים את הפוליסה), כמות הלקוחות במאגר, היסטוריית אירועים קודמים, ורמת האבטחה הקיימת. על האחרון יש לך שליטה מלאה - וזה בדיוק הסעיף הבא.

מה חברות הביטוח דורשות ממך לפני שהן בכלל מוכרות פוליסה

זה משהו שמפתיע הרבה בעלי עסקים: חברת הביטוח לא סתם מוכרת לך פוליסה. היא בודקת קודם שיש לך הגנות בסיסיות. אלה הדרישות המקובלות היום:

מה שאני אומרת ללקוחות שלי: אל תראו בדרישות האלה מטרד. גם בלי קשר לביטוח, אלה דברים שכל עסק צריך. הביטוח רק נותן לך סיבה טובה לעשות אותם סוף סוף.

תרחיש מספרי: משרד רואי חשבון עם 8 עובדים

בוא נעשה חשבון אמיתי, על בסיס מקרים שקרו בשוק הישראלי. משרד רואי חשבון שספג מתקפת כופרה יום לפני מועד הגשת דוחות:

עלות פוליסת סייבר למשרד כזה: כ-3,000 עד 5,000 שח בשנה. כלומר, אירוע אחד שווה למעלה מ-40 שנות פרמיה. זה לא אומר שכל עסק חייב לרוץ לקנות - זה כן אומר ששווה לעצור ולחשב.

אילו מתקפות הכי נפוצות אצל עסקים בישראל

1. מתקפת כופרה - מצפינים לך את הקבצים ודורשים תשלום. הנזק האמיתי הוא בדרך כלל ההשבתה, לא הכופר עצמו.
2. פישינג והשתלטות על חשבון - עובד מקיש סיסמה באתר מזויף, ומשם התוקף שולח חשבוניות מזויפות ללקוחות שלך.
3. דליפת מידע - פרטי לקוחות זולגים החוצה, ואיתם מגיעות חובות דיווח לרשות להגנת הפרטיות וחשיפה לתביעות.
4. הונאת מנכ"ל (CEO Fraud) - מייל שנראה כאילו הגיע מהמנהל, עם בקשה דחופה להעביר כסף. עובדים נופלים בזה יותר ממה שנדמה לך.
5. השבתת אתר או מערכת הזמנות - לעסק שמוכר אונליין, כל יום השבתה הוא יום בלי הכנסות.

טעויות נפוצות שאני פוגשת אצל בעלי עסקים

• "יש לי ביטוח עסק, אני מכוסה" - לא. פוליסת עסק רגילה מחריגה נזקי סייבר כמעט תמיד.
• קונים פוליסה זולה בלי לקרוא חריגים - פוליסות זולות מחריגות לפעמים בדיוק את מה שתצטרך: כופר, אובדן הכנסות או תביעות ייצוגיות.
• מצהירים הצהרה לא מדויקת בטופס ההצטרפות - אם הצהרת שיש לך MFA ואין, החברה יכולה לדחות תביעה בדיוק ברגע האמת.
• לא מעדכנים את הפוליסה כשהעסק גדל - הוספת חנות אונליין? מאגר לקוחות חדש? הפוליסה צריכה להתעדכן איתך.
• משלמים כופר בלי לערב את חברת הביטוח - ברוב הפוליסות, תשלום כופר ללא אישור מראש מבטל את הכיסוי.

מתי דווקא לא צריך למהר לקנות ביטוח סייבר

אני לא מוכרת פחד. אם אתה עצמאי שעובד בלי מאגר לקוחות ממוחשב, בלי סליקת אשראי באתר, וכל העבודה שלך מגובה בענן אצל ספקים גדולים - ייתכן שהסיכון שלך נמוך ואפשר לחכות. גם עסק שעובד רק במזומן ובלי מאגר לקוחות דיגיטלי - הצורך פחות דחוף. מה שאני כן אומרת: לפני שרצים לקנות פוליסה, שווה למפות את הסיכון האמיתי. לפעמים הצעד הראשון הנכון הוא בכלל לשפר גיבויים והרשאות - ורק אז לבטח.

איך ביטוח סייבר משתלב עם שאר הביטוחים העסקיים

ביטוח סייבר הוא חלק אחד מתמונה רחבה יותר של הגנה על העסק:

• ביטוח עסק - הבסיס: מבנה, תכולה, אובדן הכנסות מנזקים פיזיים
• אחריות מקצועית - טעויות מקצועיות שגרמו נזק ללקוח
• חבות מעבידים - פגיעות של עובדים במסגרת העבודה
• ביטוח ציוד אלקטרוני - נזק פיזי למחשבים ושרתים
• ביטוח צד ג' לעסקים - נזקים לצד שלישי בפעילות השוטפת

הטעות הנפוצה היא לקנות כל פוליסה בנפרד, מסוכן אחר, בלי שמישהו מסתכל על התמונה המלאה. ככה נוצרים חורים בכיסוי מצד אחד, וכפילויות מיותרות מצד שני.

איך רוכשים ביטוח סייבר נכון - 5 שלבים

1. מיפוי סיכונים - מה יש לעסק להפסיד? מאגר לקוחות, אתר מכירות, מערכת הנהלת חשבונות, מידע רפואי או פיננסי. כל אחד מאלה משנה את סוג הכיסוי שצריך.
2. סידור ההגנות הבסיסיות - אימות דו-שלבי, גיבויים, עדכונים. זה מוריד את המחיר ובעיקר מונע את האירוע מלכתחילה.
3. השוואת הצעות - לא רק מחיר. גם החרגות, גם השתתפות עצמית, וגם איכות מוקד התגובה. ההפרש בין הצעות על אותו כיסוי יכול להגיע לעשרות אחוזים.
4. מילוי מדויק של טופס ההצטרפות - כל הצהרה שלך נבדקת ביום התביעה. הצהרה לא מדויקת = סיכון לדחיית תביעה.
5. עדכון שנתי - העסק משתנה, והפוליסה צריכה להשתנות איתו.

איך נראה תהליך העבודה איתי

אני לא שולחת הצעת מחיר בלי להבין את העסק. בשיחה הראשונה נעבור על מה יש לך היום: אילו מערכות, איזה מידע, מי הלקוחות שלך ומה יקרה לעסק אם מחר בבוקר המחשבים לא נדלקים. אחר כך אני בודקת מה כבר מכוסה בפוליסות הקיימות שלך (כדי שלא תשלם פעמיים), משווה בין כמה חברות ביטוח, ומציגה לך המלצה מסודרת עם הסבר פשוט של מה מכוסה ומה מוחרג. וביום שקורה משהו - אני זו שמנהלת את התביעה מול חברת הביטוח, לא אתה לבד מול מוקדן.

עוד דבר שחשוב לי לומר: אני לא אשת מקצוע בתחום אבטחת מידע, ואני לא מתיימרת להיות. כשצריך, אני מפנה לאנשי מקצוע בתחום. התפקיד שלי הוא לוודא שהכיסוי הביטוחי שלך מתאים לסיכון האמיתי - ולא משאיר אותך חשוף בדיוק איפה שכואב.

מונחון קצר - שלא יבלבלו אותך במונחים

• כופרה (Ransomware) - תוכנה זדונית שמצפינה את הקבצים שלך עד לתשלום כופר.
• פישינג - ניסיון לגנוב סיסמאות דרך מיילים ואתרים מזויפים.
• השבתה (Business Interruption) - התקופה שבה העסק לא מתפקד ומפסיד הכנסות - והפוליסה מפצה עליה.
• חקירה פורנזית - בדיקה של מומחים שמאתרת איך קרתה המתקפה ומה נפגע.
• השתתפות עצמית - הסכום שאתה משלם מכיסך בכל תביעה לפני שהביטוח נכנס לפעולה.
• תיקון 13 - עדכון לחוק הגנת הפרטיות שמחמיר את דרישות אבטחת המידע מעסקים ומגדיל את החשיפה המשפטית.

מה עושים ביום שאחרי - כשהמתקפה כבר קרתה

הרבה בעלי עסקים עושים ברגע האמת בדיוק את הדבר הלא נכון: מכבים את המחשב, מנסים לתקן לבד, או גרוע מכך - משלמים כופר מיד בלי לדבר עם אף אחד. הסדר הנכון הוא אחר: מנתקים את המחשב הנגוע מהרשת אבל לא מכבים אותו (הזיכרון שלו חשוב לחוקרים), מתקשרים למוקד התגובה של חברת הביטוח (זו בדיוק הסיבה ששילמת), מדווחים לרשות להגנת הפרטיות תוך 72 שעות אם יש חשש לדליפת מידע אישי, ומתעדים כל צעד. התיעוד הזה הוא מה שיקבע אם התביעה שלך תאושר במלואה או תיתקל בקשיים. מוקד תגובה זמין הוא אחד הדברים הכי שווים בפוליסה - ודווקא עליו הרבה בעלי עסקים מוותרים כשהם מחפשים את ההצעה הכי זולה.

צ'קליסט לפני שפונים לקבל הצעת מחיר

• יש לך רשימה מסודרת של המערכות והמידע שהעסק מחזיק?
• אתה יודע כמה יעלה לך יום השבתה אחד בהכנסות?
• יש אימות דו-שלבי על המייל והמערכות החשובות?
• יש גיבוי שנשמר גם מחוץ לעסק (ענן או דיסק נפרד)?
• העובדים שלך יודעים לזהות מייל חשוד?
• בדקת מה הפוליסה מחריגה - ולא רק מה היא מכסה?
• יש לך מוקד תגובה זמין 24/7 במסגרת הפוליסה?

וטיפ אחרון ממני: תעשו את הבדיקה הזו פעם בשנה, רצוי לפני מועד חידוש הפוליסה. עסק שמגיע לחידוש מוכן, עם תיעוד מסודר של ההגנות שלו, מקבל כמעט תמיד תנאים טובים יותר מעסק שמגלה ברגע האחרון שחסרים לו שלושה דברים בסיסיים. זה לוקח שעה בשנה, וחוסך הרבה מאוד כסף ועוגמת נפש.

על הכותבת

אני מעיין מלה אהרון, סוכנת ביטוח ומתכננת פנסיונית, בעלת סוכנות "חיבור". אני מלווה בעלי עסקים, עצמאים וחברות בבניית מערך ביטוחי שלם - מהעסק ועד המשפחה. הגישה שלי פשוטה: קודם מבינים מה הסיכונים האמיתיים של העסק שלך, ורק אז בונים פתרון. ואני שם גם ביום שצריך לתבוע - כי זה בדיוק הרגע שבו סוכן נמדד.

שאלות נפוצות על ביטוח סייבר לעסקים

ביטוח סייבר לעסק: מה לבדוק בפוליסה לפני שחותמים

רוב בעלי העסקים שפוגשים אותי שואלים אותי קודם כל כמה זה עולה. זו שאלה הוגנת, אבל היא לא השאלה שקובעת אם תקבלו כסף ביום שאחרי מתקפה. את זה קובעים שלושה סעיפים קטנים שרוב האתרים מדלגים עליהם.

פוליסה על בסיס תביעות: מה זה אומר בפועל

פוליסות סייבר רבות כתובות על בסיס תביעות (claims-made). המשמעות: הפוליסה מגיבה לתביעה או לאירוע שדווחו לחברת הביטוח בזמן שהפוליסה בתוקף, ולא לכל מה שקרה אי פעם. אם מתקפה נחשפה אחרי שהפוליסה פגה ולא חידשתם, אין למי לדווח.

שני דברים נגזרים מכאן. הראשון הוא התאריך הרטרואקטיבי: אירוע שהתחיל לפני התאריך הזה לא מכוסה, גם אם גיליתם אותו רק היום. פורצים נוהגים לשבת ברשת חודשים לפני שמישהו שם לב, ולכן בחידוש פוליסה חשוב לשמור את התאריך הרטרואקטיבי המקורי ולא להתחיל מחדש. השני הוא תקופת הדיווח המורחבת: אם אתם מבטלים או לא מחדשים, כדאי לבדוק מראש אם אפשר להרחיב את חלון הדיווח.

תרחיש להמחשה בלבד

נניח משרד עם שישה עובדים. ביום ראשון בבוקר המערכת נעולה. מתברר שהפורץ נכנס לפני שלושה חודשים דרך סיסמה של ספק חיצוני. אם הפוליסה נחתמה רק לפני חודשיים וכתאריך רטרואקטיבי נקבע יום החתימה, החברה יכולה לטעון שהאירוע התחיל לפני תחילת הביטוח. זה בדיוק המקום שבו אני מבקשת לראות את הסעיף בכתב לפני החתימה ולא אחרי. המספרים והסיפור כאן הם דוגמה להמחשה בלבד ואינם מקרה אמיתי.

שלוש שאלות שאני שואלת כל לקוח לפני שאני שולחת הצעה

האם יש גיבוי שמנותק מהרשת? האם הכניסה למייל ולמערכות הכספים מוגנת בקוד נוסף? ומי הספקים שיש להם גישה לנתונים שלכם? החברות שואלות את זה בשאלון, ותשובה שלא משקפת את המצב עלולה לשמש נגדכם בתביעה. אני מעדיפה שתדעו את התשובה האמיתית לפני כן, גם אם היא לא נוחה.

הפוליסה הזאת היא רק חלק מהתמונה. אם אתם מנהלים עסק קטן, כדאי לראות גם את המדריך לביטוח עסק קטן, את ביטוח ציוד אלקטרוני ואת ביטוח אחריות מקצועית. ואם כבר קיבלתם תשובת דחייה מחברה, יש הסבר על ערעור על דחיית תביעה וגם מאגר הטפסים שאספתי.

גילוי נאות: אני סוכנת ביטוח, לא עורכת דין ולא יועצת אבטחת מידע. תנאי הכיסוי המחייבים הם אלה שכתובים בפוליסה עצמה, והתרחיש לעיל להמחשה בלבד.