מה קדם למה הביטוח או האבטחה?

מאת שי סימקין

עם התקדמות המסחר האלקטרוני, תבטח תעשיית הביטוח את מרבית אתרי האינטרנט, המסחר האלקטרוני ואף תמכור לכולנו פוליסות ביטוח כנגד חדירת האקרים וסיכונים אחרים היכולים להיגרם מפעילות ברשת האינטרנט.

כמו כן, במוקדם או במאוחר תהפוך תעשיית אבטחת המחשבים ומערכות המידע לחלק מתעשיית הביטוח. למה הכוונה? חברות הביטוח לא יחלו כמובן במכירתם ושיווקם של מוצרי אבטחה שונים, אך חברות האבטחה ומוצריה יהיו מושפעים מתכתיבים שונים של תעשיית הביטוח העולמית.

הנחת היסוד היא שעסקים בעולם ה"אמיתי" מעולם לא התקינו מערכות אזעקה מתוחכמות או מערכות הזלפה על מנת להרגיש בטוחים, אלא על מנת להפחית את תשלום הפרמיה לחברות הביטוח ו/או להיענות לדרישתן. וכל זאת, משום שהחלטות בדבר מערכות מניעת אש וגניבות הינן החלטות הקשורות בניהול סיכונים, כאשר הנושאת בעול הסיכון היא לבסוף חברת הביטוח המבטחת את הנכס.

אנשי המחשבים שתוכנתו על ידי תעשיית אבטחת מערכות המידע לחשוב שמוצרי האבטחה יפתרו את כל בעיותיהם, מתקשים להבין את התפיסה, לפיה תיאחז תעשיית הבטוח במושכות. אולם, כל אשר עליהם לעשות הוא להזכר בימים בהם התקנת Firewall גרמה לכולנו להרגיש בטוחים... כמה מים עברו מאז בעולם האבטחה.

העולם האמיתי, כך יודעים הכל, אינו פועל כך. עסקים משיגים אבטחה ובטחון דרך הביטוח. הדבר נעשה על ידי לקיחת הסיכון אותו אין הם מוכנים לשאת על גבם ולהעבירו לגורם אחר, על מנת שידאג לכך עבורם. בעל נכס אשר מבוטח כראוי, אינו דואג שמא יישרף הנכס, שכן הוא מכוסה על ידי חברת הביטוח. אם הוא דואג הרי שהוא אינו מבוטח כראוי!

באופן דומה, ינהג בעל אתר מסחר אלקטרוני אם ירכוש ביטוח ראוי.

גם חברות החוששות מפני מצבים של Denail of Service, פריצה למערכות המידע של הארגון או אף תביעות בגין דיבה והשמצה (בשל דברים אשר פורסמו באתר החברה), יכולות כיום לרכוש ביטוח כנגד חשיפות וסיכונים אלו וזאת במסגרת תהליך ניהול הסיכונים הפנימי של החברה. למעשה, ארגונים אשר לא ירכשו ביטוח סיכוני אינטרנט, ינהגו ברשלנות ויחשפו את הארגון לתביעות משפטיות כנגדו.

טענה החוזרת ועולה בדיוני אבטחת מידע וביטוח, נוגעת בדבר הקושי לחשב את הפרמיה לביטוח. אולם, כשם שתעשיית הביטוח מבטחת את שיגורם של לוויינים ואת רגליהם של שחקני כדורגל, כך ניתן לחשב את הפרמייה לביטוח אתרי מסחר אלקטרוניים על פי קריטריונים מסויימים.

על מנת לחשב את הפרמיה אשר תיגבה מהעסק, יידרש הלקוח לעבור על רשימה מובנית מטעם חברה הביטוח לגבי פרטי מערכת האבטחה של הארגון (האם יש בארגון Firewall?, אם כן מאיזה סוג?, האם קיימת בארגון מערכת PKI, אם כן מאיזה סוג?…וכו'), כאשר ההחלטה בדבר רכישת מערכות האבטחה לארגון, תחדל מלהיות החלטה טכנית גרידא, אלא תכלול אף שיקולים ביטוחיים פיננסיים.

חברות הביטוח יכתיבו תנאים לאתרים

כל זאת יביא לכך שחברות האבטחה ייחשבו בעיני תעשיית הביטוח כיצרניות וספקיות של מערכות הגנה. וזאת כשם שחברות הביטוח מכתיבות את התנאים הבסיסיים שצריכים להתקיים לשם מתן כיסוי לביטוח הרכב, הדירה או העסק, כך תכתיב תעשיית הביטוח את תנאי האבטחה הבסיסיים אשר אמורים להתקיים באתרי אינטרנט לשם קבלת הכיסוי הביטוחי.

אין משמעות הדבר שחברות הביטוח ימליצו חד משמעית על Firewall מסוג מסויים, של חברות כמו צ'קפוינט או סיסקו דווקא, או התקנה של אנטי וירוס מסוג אחר, המשמעות היא הכתבה של תקנים בסיסיים לאתרים, החפצים בכיסוי ביטוחי לסיכוני האינטרנט.

מקרה חברת איתוראן הינו הדוגמא המושלמת לכך. חברות הביטוח הישראליות הן אשר דרשו את יישום המוצר, וזאת עקב גניבות רכב רבות לרשות הפלשתינית, דבר אשר הפך ל"מכת מדינה" וגרם לחברות הביטוח הפסדים ניכרים.

לפני התערבות חברות הביטוח, ניסתה איתוראן לשווק את הטכנולוגיה שפיתחה בצינורות שיווק רבים ושונים, אך רק לאחר שחברות הביטוח החלו לחייב את בעלי הרכבים בהתקנת המוצר, הגיעה איתוראן למימדיה הנוכחיים. כיום, מוצרי איתוראן וחברות דומות מהווים תנאי בסיסי למתן כיסוי ביטוחי לרכבים משווי מסוים.

מקרה איתוראן

אם ניקח את מקרה איתוראן כדוגמא, ונקיש מכך לעולם הווירטואלי, הרי שגם בעולם החדש קיימות חברות אבטחה רבות המנסות לשווק מוצרים רבים, אשר עלותם לצרכן גבוהה ביותר. למעשה, בנייתה של מערכת אבטחה ברמה טובה מוערכת בעשרות ומאות אלפים של דולרים.

חברות תקשורת ואינטרנט אשר הוציאו ויוציאו בעתיד סכומים נכבדים אלו, ירצו להיות בטוחות שמערכות אלו עומדות בסטנדרטיים של חברות הביטוח ושכתוצאה מהטמאת אותם המוצרים במערכותיהן, יזכו החברות להנחה כלשהי בפרמיה הביטוחית.

המסקנה המתבקשת ממאמר זה וה"אני מאמין" הפרטי שלי, הוא שמוצרי האבטחה יהפכו למוצרי חובה בכל עסק אינטרנטי, בד בבד עם הכתבת הנורמות מחברות הביטוח. רק אז ימהרו הלקוחות לרכוש את מוצרי האבטחה משום שאלו יהוו תנאי לרכישת הכיסוי הביטוחי.

שי סימקין הינו מנכ"ל חברת אינשורטק.