הלחץ להציג ממשל סייבר מגיע הרבה לפני שהחברה מגיעה לגודל ארגוני. הוא מגיע בשאלון הספק הראשון של לקוח גדול, ומיד אחריו בטופס ההצעה הראשון לביטוח סייבר עם גבול אחריות רציני. סטארטאפ שדחה את הנושא ל״כשנגדל״ פוגש את הפער ברגע שבו יש עסקה על השולחן ולוח הזמנים לחתימה קצר, וכל שבוע של השלמות נמדד בהכנסה.
הערכות תעשייה מ-2025 מעמידות את שוק ביטוח הסייבר העולמי על כ-15 מיליארד דולר בפרמיות, והפיזור הגאוגרפי של הסכום הזה מסביר את רוב הפערים שחברה ישראלית פוגשת בשטח. חברה שמוכרת בו זמנית ללקוח בניו יורק, לבנק בפרנקפורט ולפינטק בסינגפור נתקלת בשלוש סביבות רגולציה, בשלוש גישות חיתום ובשלוש רמות ציפייה לתיעוד.
דירקטוריון שמאשר תקציב אבטחה בלי לדעת מי ניגש היום לקוד הייצור מפקח על מספר במקום על סיכון. חמש שאלות קצרות מספיקות כדי להעביר את הדיון מרמת ה-IT לרמת הממשל: מי מחזיק גישה לקוד הייצור, מתי בוצעה סקירת ההרשאות האחרונה, האם תוכנית התגובה לאירוע נבדקה בתרגיל, האם תוכנית הביטוח תואמת את פרופיל הסיכון בפועל, וכיצד מנוהלים ספקים חיצוניים עם גישה לסביבות.
רוב אירועי הסייבר בחברות טכנולוגיה מתחילים בפער ממשל פשוט, כמו חשבון בלי אימות רב-שלבי, מאגר שהיה אמור להיות פרטי או מפתח גישה שנשאר בקומיט. הרשימה שלהלן מתרגמת את הפערים האלה לבקרות שאפשר להפעיל בסטארטאפ קטן, בלי מחלקת אבטחה ובלי תקציב ארגוני. כל סעיף נבחר לפי שני מבחנים: האם חתם שואל עליו בשאלון החידוש, והאם אפשר להוכיח אותו במסמך. מי שעובר את שני המבחנים מגיע לחיתום עם תיק שמחזיק, וגם לשיחת רכש עם לקוח ארגוני בלי להיתקע.
שאלון החיתום לביטוח סייבר הפסיק להיות טופס מנהלי והפך לבדיקה טכנית. חתם שבוחן חברת תוכנה שואל היום היכן בדיוק נאכף אימות רב-שלבי, מתי בוצע שחזור אמיתי מגיבוי, מי מוגדר כאחראי אירוע ומה קורה להכנסות אם ספק הענן הראשי יורד ליומיים. התשובה הקצרה לחברת תוכנה שנערכת לחידוש: תנאי הפוליסה נקבעים לפי מה שאפשר להוכיח בתיעוד, ולא לפי מה שנרשם בטופס. חברה שמגיעה עם ראיות תפעוליות מתומחרת כסיכון מדוד, וחברה שמגיעה עם כוונות מתומחרת כאי-ודאות.
אישור קיום ביטוחים הוא מסמך תמצית שמונפק על גבי נוסח אחיד מחייב, ומעיד שלמבוטח יש פוליסות בתוקף בהיקף שהוגדר בחוזה או במכרז. הכיסוי עצמו נקבע בפוליסה, ולא באישור. ההבחנה הזאת נשמעת פורמלית עד לרגע שבו מתעורר פער בין מה שהחוזה דרש, מה שהאישור מציג ומה שהפוליסה מכסה בפועל, ואז היא הופכת לשאלה כספית. העמוד הזה מסביר מה האישור מאשר, מה נותר מחוץ לו, מהם שלושת סוגי האישור, איך עובדים קודי הכיסוי, ומה כדאי לבדוק לפני שמאשרים ספק או חותמים על חוזה.
הבחירה בין מבטחים אינה בחירה בין מחירים. שתי הצעות באותה פרמיה ובאותו גבול אחריות יכולות להתנהג אחרת לגמרי ביום התביעה לפי בסיס הכיסוי, לפי השאלה מי נושא את הוצאות ההגנה המשפטית, לפי אופן צבירת התביעות, ולפי השאלה הבסיסית אם המבטח מורשה בכלל לשלם תביעה במדינה שבה נמצא הסיכון. העמוד הזה מסביר מה באמת מבדיל בין מבטח למבטח בביטוח עסקי, אילו נתונים ציבוריים בישראל אפשר לבדוק בפועל, ואיך בונים השוואה מסודרת במקום להעמיד שתי שורות מחיר זו מול זו.
סטארטאפ בישראל לא צריך לשאול רק “כמה עולה ביטוח עסק”, אלא בעיקר “מה בדיוק אני משווה”. מחיר ביטוח עסק לסטארטאפ מושפע מסוג הפעילות, שלב החברה, סוג הלקוחות, מדינות הפעילות, מבנה החוזים, החשיפה לסייבר, גבולות האחריות, ההשתתפות העצמית ונוסח הפוליסה.
ביטוח דירקטורים ונושאי משרה (D&O) אינו ביטוח המיועד רק לחברות גדולות או ציבוריות. למעשה, אפילו חברה פרטית או סטארטאפ עשויים להזדקק לביטוח כזה כשהם נמצאים במצבים מסוימים. כדאי לשקול ביטוח D&O כאשר בחברה קיימים דירקטורים חיצוניים או משקיעים חיצוניים (קרנות הון סיכון) שמציבים דרישות כיסוי, וכאשר קיים פוטנציאל לחוזים משמעותיים, גיוסי הון או פעילות בינלאומית.
בינה מלאכותית אינה עוד “רכיב טכנולוגי” בתוך פעילות החברה. במקרים רבים היא משפיעה על המוצר, על השירות, על החלטות עסקיות, על מידע רגיש, על לקוחות, על עובדים ולעיתים גם על העולם הפיזי.
התשובה הקצרה היא שלא תמיד. במקרים מסוימים, גנבת זהות או פריצה לחשבון בנק עשויות לגעת בכיסוי ביטוחי, אך לא כל אירוע כזה מכוסה אוטומטית בפוליסת Cyber Insurance, ולא כל אובדן כספי הוא בכלל שאלה ביטוחית. לעיתים המסלול הראשון הוא מול הבנק, לעיתים מדובר בכיסוי לשיקום זהות, ולעיתים הכיסוי הרלוונטי הוא דווקא Crime Insurance, הרחבת Social Engineering Fraud או Funds Transfer Fraud.
ביטוח סייבר לא מכסה באופן אוטומטי כל הונאה בכרטיס אשראי. במקרים מסוימים, כאשר ההונאה נובעת מפריצה למערכות החברה, גניבת מידע, אירוע Data Breach, שימוש בלתי מורשה במערכות או פגיעה במערכת תשלומים פוליסת סייבר עשויה לכלול רכיבים רלוונטיים.