לאחרונה נפל דבר בישראל. בפעם הראשונה, גוף רגולטורי, הרשות לניירות ערך, השית עיצום כספי בהיקף של 300,000 ש''ח על חברת הנדל"ן הגשמה, שבאפקליציה שלה זוהתה פרצת אבטחת מידע, שהובילה לחשיפת מידע אישי.

באוקטובר 18 פרסמה הרשות לניירות ערך מזכר קצר (105-33) המדבר על הרחבת גורמי הסיכון כפי שמפורטים בתקנה 36א להגדרת אירועי סייבר והצורך לדווח עליהם. המזכר לא מוצג כרגולציה מחייבת או כזו שפטיש אכיפה מרחף מעליה. המזכר גם אינו מעמיק בשאלת סיכוני הסייבר כפי שהן מנחות את השוק הפיננסי ב-15 השנה האחרונות, באמצעות רגולציית 357 ולאחריה 361 של בנק ישראל.

והנה, כאילו משום מקום, בפעם הראשונה, אכיפה משמעותית, כואבת ומדויקת, מצד רגולטור שעד כה לא עסק בסיכוני הסייבר באופן מובהק. בטח לא גלוי.

למרות הסיכון המידי לשרידות העסקית, נראה כי חברי הדירקטוריון בחברות ציבוריות הם כמעט האחרונים להיחשף לסיכון הסייבר, באופן שיגרום להם לתהות בישיבת הדירקטוריון על מנגנוני ההגנה שמפעיל הארגון כדי להקטין את הסיכון העסקי. במרבית המקרים, כמו כל אדם שזהו אינו המקצוע שלו, הם אינם יודעים תמיד מה לדרוש או לשאול באותה ישיבה רבעונית כשעיקרה מוקדש לדיון על תקציב ומניות ושאלת רווח והפסד.

החדשות הרעות לאותם חברי דירקטוריון הן שעם הבנה או בלעדיה, הרגולטור לא עוצר ומחכה להם. בעולם כבר מושתים קנסות עתק בשווי מאות מיליוני דולרים על הפרות של חוקי הגנה הפרטיות ואבטחת מידע ומנהלים רבים אפילו שילמו בכיסא שלהם בזמן שהארגון מתמודד במקביל גם עם תביעות משפטיות נרחבות.

כיום, מצופה מחבר דירקטוריון שידע מה עליו לבקש ממנכ"ל החברה על מנת להבין לעומק את סוגיית סיכוני הסייבר. יוטב אם יבקש לשמוע את מנהל/ת אבטחת המידע שסוקר את האירועים איתם מתמודד הארגון ואת תכולת העשייה שלו, כדי לצמצם ולמנוע פגיעה שלהם בהמשכיות העסקית, כך יוכל למלא את תפקידו מהימנה, מבלי לסכן את הארגון ואת עצמו. ובמקומות שאיננו ייודע, עליו כאמור לשאול.

סיכון הסייבר הוא כנראה אחד הסיכונים העסקים הגדולים אתם מתמודד הארגון, בשל גורם ההפתעה שבו, היקף הנזק הנרחב - פיננסי, משפטי, רגולטורי, רציפות תפקודית, פגיעה במוניטין - ובעיקר, העדר שליטה מוחלטת בקצב ההתפתחות שלו בשל העובדה שהכדור נמצא בידיים של התוקף.

כשנחשף דבר העיצום על חברת הגשמה, נעשתה פנייה לבנק ישראל בשאלה האם למרות הרגולציה הוותיקה, המובילה בתחומה, מומשו עד כה עיצומים כספיים על הפרות בגופים הפיננסיים הכפופים לה.

התשובה שהתקבלה הנה:
"לא הוטלו עיצומים ע"י בנק ישראל. הסיבה היא שהדגש העיקרי הוא על שימוש בכלים אחרים כגון הטמעת תהליכי עבודה נכונים, על מנת טייב את ההתמודדות של הגופים עם תחום אירועי הסייבר ואבטחת המידע.
אציין שהנושא נמצא בדיון ובמעקב מתמשכים ע"י בנק ישראל, והיבטים רבים כגון המקרים הספציפיים שיגררו הטלת עיצומים, סכומי הקנסות, שמירה על כלי העיצומים ככלי הרתעתי ואפקטיבי נלקחים בחשבון".

נראה שהרשות לניירות ערך סימנה קו פרשת מים גם עבור הרגולטור הוותיק בארץ.

*יש לציין כי מדובר בדעתה של כותבה המאמר.