הרשות לניירות ערך מצפה מארגונים לגילוי נאות במקרי מתקפות סייבר

הרשות מסבירה בו שבגלל שסוגיית נזקי הסייבר הפכה לסיכון מהותי לפעילות הארגון וליכולתו לעמוד ביעדיו, יש צורך בשקיפות. מטרת הרשות, לדבריה, היא להגביר את מודעות המגזר התאגידי לאיומי סייבר, ולכך שיתכן שיידרש לדיווחים במקרים קיצוניים. "תקיפת סייבר יכולה להתבטא בנזקים ישירים ועקיפים ובהם – אובדן הכנסות, פגיעה ברכוש מוחשי ובלתי מוחשי (כגון במקרה של גניבת פטנטים או זכויות יוצרים), פיצוי ללקוחות נפגעים, עלויות משפטיות בשל תביעות צדי ג' שניזוקו וכדומה", נכתב במסמך.

"פגיעה במוניטין, הוצאות השיקום ובהם שחזור מידע, הגדלת פרמיות ביטוח ועלויות להגברת הגנות סייבר במקרה של נזקי סייבר עלולות אף הן להיות מהותיות .כמו כן, קיים סיכון בתקיפת סייבר למהימנות המערכות החשבונאיות בארגון, באופן שעלול לפגוע בדיווח הכספי או ביכולת הבקרה עליו", כל אלה חלק מהסיכונים שלדעת הרשות צריכים להיות מדווחים בהתאם לכללים החלים על גורמים אחרים.

מעתה, לא רק תשתיות קריטיות יתבקשו לדווח על תקריות אבטחה צילום: עמית שעל

ומה על החברות בשוק הפרטי?

ואולם, יש כמה נקודות במסמך הרשות שבולטות בהיעדרן. למשל, ההתייחסות לאירוע סייבר נקודתי - פריצה למסד נתונים, גניבת מידע או הפלת מערכות חד פעמית - היא מעורפלת: "במקרה של תקיפת סייבר, תאגיד נדרש, בין היתר, לבחון את מהותיות האירוע לצורך דיווח לציבור ולשם כך לשקלל את מכלול הנזק ופוטנציאל הנזק, הן במישרין והן בעקיפין", נאמר. במילים אחרות, הארגון יכול להחליט בעצמו אם לדווח או לא. בין היתר, הגדירה הרשות אירועים נקודתיים כמתקפת כופר, הפסקת פעילות של שירותים שונים, נזק למערכות המחשבים, ציתות, ריגול תעשייתי ומקרים בהם אותרה פרצת אבטחה במערכת שרכשה החברה, פיתחה בעצמה או סיפקה ללקוח.