הרגע שבו החוקים השתנו
מייל חידוש מגיע מהברוקר לביטוח סייבר. השאלון שפעם היה עמוד של תיבות סימון הוא עכשיו כמה עמודים. הוא שואל אם MFA מופעל בכל תיבת דואר, אם הגיבויים בלתי ניתנים לשינוי, אם יש מדיניות מתועדת לניהול עדכונים, ומתי בוצע מבחן שחזור אחרון.
עונים בכנות, והברוקר חוזר עם אחת משלוש תוצאות: עלייה משמעותית בפרמיה, החרגת כיסוי לתקיפות כופר, או סירוב מוחלט לחדש.
זה כבר לא תרחיש שולי. מבטחי סייבר בילו כמה שנים בתשלום כבד על תביעות כופר, והם הגיבו בדרך שכל מבטח מגיב ליחס הפסדים גרוע: הידוק מה שהם מכסים ובדיקה קפדנית יותר לפני שהם משלמים. המספרים של המבטחים עצמם מסבירים את זה: דוח התביעות השנתי של Coalition ממקם פריצה לדואר עסקי וכופר בראש תביעות העסקים הקטנים[1], והניתוח של Marsh על שוק הסייבר מתאר את אותן ציפיות לבקרות שמתהדקות לרוחב השוק ולא אצל מבטח אחד[2][3]. השאלון הארוך יותר הוא התוצאה הישירה של זה - כל שורה נוספת בו קיימת כי חברת ביטוח נשרפה פעם על משהו שהעסק הצהיר שיש לו ולא באמת היה שם.
בחידושים שליווינו עסקים קטנים דרכם, העסקים שעוברים אינם הגדולים יותר או הממומנים טוב יותר. הם אלה שהתייחסו לשאלון כרשימת בדיקה והתכוננו אליו מראש, לא בשבוע שהוא נחת. ההבדל בין השתיים הוא כמעט תמיד תזמון, לא תקציב.
מה מבטחים בעצם בודקים היום
הניסוח המדויק משתנה לפי חברת הביטוח, אבל הדפוס עקבי לרוחב השוק. אלה גם לא המצאה של חברות הביטוח - אותו מערך קרוב לבסיס Cyber Essentials של CISA לארגונים קטנים[4][5], ולכן הכנה לאחד בדרך כלל מספקת גם את השני. שישה בקרות עולות כמעט בכל שאלון רציני:
- MFA בכל תיבת דואר, כל חשבון מנהל, וכל נתיב גישה מרחוק - לא רוב החשבונות, כולם. המחקר של Microsoft עצמה על חשבונות Entra ID מצא ש-MFA מקטין את סיכון הפריצה ב-99.22% על פני האוכלוסייה הכללית, וב-98.56% אפילו בחשבונות שהסיסמה שלהם כבר דלפה[6]. זו הסיבה שמבטחים מתייחסים לזה כמעט כלא-משא-ומתן ולא כ"נחמד שיהיה". נתוני הפריצות של Verizon מראים את אותו הדבר מצד התוקף: ניצול פרטי התחברות נותר הטכניקה הנפוצה ביותר בשרשראות תקיפה[7][8].
- זיהוי ותגובה בנקודות קצה (EDR), לא רק אנטי-וירוס. אנטי-וירוס חוסם איומים ידועים לפי חתימה. EDR עוקב אחרי התנהגות ותופס איומים שאף אחד עוד לא ראה - מזהה, חוקר ומתקן אירועים אוטומטית במקום רק לסמן קובץ[9].
- גיבויים בלתי ניתנים לשינוי, מחוץ לאתר, עם שחזור עדכני ונבדק. גיבוי שמנהל מערכת, או תוקף עם הרשאות מנהל, יכול למחוק אינו הגיבוי שמבטח חותם עליו. המחקר השנתי של Sophos על כופר הוא הסיבה שמבחן השחזור חשוב יותר ממשימת הגיבוי: התאוששות, לא תשלום, היא מה שגיבוי עובד קונה לכם[10].
- מדיניות מתועדת לניהול עדכונים, לא "אנחנו מעדכנים כשנזכרים."
- הדרכת אבטחה שנתית עם תוצאות סימולציית פישינג בתיק, לא סרטון בודד שהוצג ביום הראשון של מישהו.
- תוכנית תגובה לאירועים כתובה וסקורה שאומרת למי מתקשרים, מה סוגרים, ואיך העסק מתקשר.
כמה זה עולה לתקן, לעסק של 10 אנשים
הפער בין מה שמבטחים רוצים למה שיש לרוב העסקים הקטנים לרוב אינו יקר לסגירה. זה עניין של לדעת מה להגדיר ולעשות את זה לפני החידוש, לא אחריו.
אם העסק כבר מריץ Microsoft 365 Business Premium, רוב הבקרות הטכניות כבר משולמות ויושבות לא מוגדרות:
- MFA בכל מקום - כלול ב-Business Premium דרך ניהול הזהות והגישה של Entra ID[11]. בלי עלות נוספת.
- EDR - Microsoft Defender for Business ארוז בתוך Business Premium[9]. בלי עלות נוספת, אבל צריך להפעיל ולהגדיר אותו, לא רק לרשום אותו.
- ניהול עדכונים ומדיניות מכשירים - Microsoft Intune מטפל בטבעות עדכון, מדיניות תאימות ואכיפת הצפנה על פני הצי[12], וזה חלק מאותו רישיון Premium. בלי עלות נוספת.
- גיבוי בלתי ניתן לשינוי ונבדק - זה יושב מחוץ לרישיון M365. תקצבו בערך 100-200 יורו בחודש לעסק של 10 אנשים, בתוספת הזמן למבחן שחזור רבעוני, לפי מה שאנחנו רואים בהרצת זה עבור לקוחות.
- הדרכת אבטחה עם סימולציית פישינג - בערך 50-150 יורו בחודש לצוות קטן.
- תוכנית תגובה לאירועים - עלות חד-פעמית לכתוב ולסקור אותה כמו שצריך, בדרך כלל כמה מאות יורו עד בערך 1,500 יורו, תלוי כמה מתהליך העסק היא צריכה ללכוד.
מחברים את זה ועסק של 10 אנשים שכבר על Business Premium בדרך כלל מסתכל על משהו בטווח 150-350 יורו בחודש מעבר לרישיון, בעיקר עבור גיבוי והדרכה, לא עבור משהו חדש לקנות.
חמש הסיבות שעסקים בעצם נכשלים
MFA ברוב החשבונות, לא בכולם. זו הכשלה הנפוצה ביותר שאנחנו רואים. מבטחים בודקים כל חשבון מנהל וכל נתיב גישה מרחוק בדיוק כי שם זה הכי נפוץ שמדלגים. חשבון מנהל אחד לא מאובטח מספיק כדי להכשיל את הביקורת גם אם לכולם האחרים יש MFA מופעל.
גיבויים שקיימים אבל מעולם לא נבדקו. מבטחים מבקשים את תאריך מבחן השחזור האחרון, לא אם גיבויים רצים. "יש לנו גיבויים" לא עונה על השאלה הזו, וגיבוי שאף אחד לא שחזר ממנו מטופל, לצורכי חיתום, כגיבוי שלא עובד.
אין מדיניות מתועדת. להרבה עסקים קטנים יש נהלים טובים באמת בלי כלום כתוב. הביקורת היא באותה מידה תרגיל ניירת כמו טכני - מדיניות שקיימת רק כהרגל בראש של מישהו לא קיימת לצורכי הטופס.
אנטי-וירוס בטעות במקום EDR. אנטי-וירוס חינמי או בסיסי כבר לא מה שמבטחים מתכוונים בהגנת נקודות קצה. Microsoft Defender for Business, כלול ב-Business Premium, כן עומד בדרישה[9] - אבל רק ברגע שהוא בפועל מופעל ומוגדר, וזה השלב שמדלגים עליו כשקונים רישיון ומשאירים אותו לבד.
IT צללים שהבעלים לא יודע עליו. אחסון ענן אישי, אפליקציות לא מאושרות, או מייל אישי לתקשורת עסקית. הסריקה של חברת הביטוח מוצאת את אלה בלי קשר למה שהבעלים מאמין שנכון, ואם הבעלים לא ידע עליהם, הביקורת נכשלת בדיוק לפני שהיא נכשלת באבטחה. זה גם הסיבה שהצהרה כנה כל כך חשובה - עסק שמגלה IT צללים במהלך הביקורת עצמה נמצא במצב הרבה יותר טוב מעסק שהתוקף מגלה אותם במקומו.
ציר הזמן: מתי בעצם להתחיל
רוב העסקים מתחילים להתכונן 30 יום לפני החידוש. זה מאוחר מדי - מבטחים רוצים לראות בקרות שהיו במקום ומתועדות זמן מה, לא הופעלו בשבוע שלפני שהשאלון נכנס.
לעסק שמחדש בינואר, ריצה ריאלית נראית ככה:
- שלושה חודשים לפני - ביקורת בקרות נוכחיות מול השאלון של המבטח ורשימת כל פער.
- חודשיים לפני - סגירת הפערים: MFA בכל מקום, EDR מוגדר, גיבויים בלתי ניתנים לשינוי חיים, מדיניות כתובה.
- חודש לפני - בדיקת שחזור גיבוי, הרצת סימולציית פישינג, ובניית תיק ראיות: צילום מסך, מסמך מדיניות או יומן בדיקה מאחורי כל "כן" בטופס.
- חודש החידוש - הגשה עם ראיות מוכנות במקום מובטחות.
לעסק של 10 אנשים עם הרישיון הנכון כבר במקום, זו באמת עבודה ממוקדת של 2-3 שבועות בתוספת תחזוקה שוטפת, לא פרויקט גדול. החלופה היא פוליסה שנראית טוב על נייר ולא משלמת כשבאמת צריך אותה.
מחוץ לשווקים הגדולים ביותר, הניירת נראית קצת אחרת
שש הבקרות למעלה עקביות בכל מקום, אבל שכבת הציות מסביב משתנה. בישראל, חלק מחברות הביטוח הבינלאומיות פחות מכירות את הדרישות הרגולטוריות המקומיות, מה שיכול להאט את החיתום גם כשהבקרות הטכניות תקינות. באיחוד האירופי, עסק שכבר עושה עבודת תיעוד מונעת NIS2 בדרך כלל מגלה שזה מספק את רוב מה שהשאלון של המבטח שואל בכתב, כי שניהם מצביעים על אותן מדיניות כתובה. בספרד ספציפית, עסקים שמטפלים בנתוני אזרחי האיחוד בקנה מידה משמעותי נוטים לראות סעיפי שאלון נוספים על סיווג נתונים והליכי הודעה על פריצה, שמשקפים את שכבת האכיפה הנפרדת של AEPD מעל הבדיקות של המבטח עצמו.
שום דבר מזה לא משנה את שש הבקרות למעלה. זה משנה כמה תיעוד נוסף יושב לצידן, ובאיזו שפה ומול איזו רשות הוא צריך להיות כתוב. עסק שפועל ביותר משוק אחד כדאי שיבדוק את שתי השכבות בנפרד ולא יניח שמה שעובד מול מבטח אחד יספיק אוטומטית מול מבטח אחר.
מה זה בעצם אומר לעסק שלכם
פוליסת ביטוח סייבר שלא ניתן לתבוע נגדה בהצלחה גרועה מאין פוליסה בכלל - זו האמונה שאתם מכוסים, עד הרגע שמגלים שלא. התיקון לא מסובך או יקר אם אתם כבר על רישיון Microsoft 365 הנכון. זה לוודא שהבקרות שאתם כבר משלמים עליהן באמת מופעלות, מתועדות ונבדקות לפני החידוש, לא אחרי תביעה.