שירביט נקנסה ב-10 מיליון שקל לאחר הפריצה לשרתיה והדלפת המידע

רשות שוק ההון, ביטוח וחיסכון הטילה עיצום כספי בסך של 10.72 מיליון שקל על חברת הביטוח שירביט.

הממונה על שוק ההון, ביטוח וחיסכון, ד"ר משה ברקת, החליט על הטלת העיצום הכספי הכבד בעקבות הפרות משמעותיות ונרחבות של הוראות הממונה בתחום ניהול סיכוני הסייבר. לחברה נערך הליך שימוע שלאחריו החליט הממונה כי בשל ממצאי הביקורת יוטל על החברה העיצום.

ההפרות התגלו בביקורת מקיפה בתחום ניהול סיכוני הסייבר שערכה הרשות במהלך שנת 2020. בביקורת, שבחנה בצורה מקיפה את עמידת החברה בהוראות ניהול סיכוני סייבר בגופים מוסדיים, נמצא כי בשנים 2018-2020 היא הפרה רבות מהוראות הממונה הן בהיבטים טכנולוגיים והן בהיבטי ממשל תאגידי וניהול שוטף.

בין היתר, נמצא כי החברה לא הקצתה משאבים נאותים לתחום מערכות המידע והגנת הסייבר, כי לא התקיימו מנגנוני בקרה ופיקוח נאותים בתחום ניהול סיכוני סייבר וכי החברה לא פעלה בהתאם לנהלים, תוכניות העבודה ותוכניות סקרי הסיכונים, לרבות אלו אותם הגדירה בעצמה.

כמו כן, בביקורת עלה כי מערכות טכנולוגיות מרכזיות ומהותיות לניהול סיכוני הסייבר לא הופעלו בצורה נאותה, לא עודכנו, לא טויבו, או לא הותקנו כלל. אי העמידה בהוראות הממונה הביאה לכך שהחברה הייתה מצויה בחשיפה מהותית לסיכוני סייבר וכי רמת הניהול של סיכונים אלה לא עלתה בקנה אחד עם רמה ההולמת גוף מוסדי.

לפני כשבועיים קבוצת הפורצים המיוחסת לאיראן, BlackShadow, שחזרה את הערוץ ואת האתר שלה ופרסמה היקף גדול של נתונים ומסמכים מהפריצה לפני מספר חודשים לשירביט. על פי חברת אבטחת המידע צ'ק פוינט, התוקפים שיחררו 15 אלף מסמכים, בהם תצלומי ת"ז ורישיונות נהיגה, כרטיסי עובד, פוליסת ביטוחים, עבר ביטוחי, ומכתבים שונים שנשלחו ללקוחות או שלקוחות שלחו עם מידע מגוון הכולל שם, מספרי ת.ז., כתובת, אי-מייל, מספר טלפון, רכוש (רכב, דירה, כו') או תאריכי נסיעה לחו"ל ועוד. 

"הטלת העיצום נעשית בסופו של תהליך ביקורת מקיף ומקצועי על מערך ניהול סיכוני הסייבר בשירביט חברה לביטוח", הסביר ברקת עם פרסום ההודעה על העיצום. "הביקורת משדרת מסר ברור לפיו הרשות מצפה כי גופים מוסדיים ינהלו את סיכוני הסייבר ברמה גבוהה, וכי היא תמשיך לפעול בנחישות ובעקביות להבטיח טיפול נאות בסיכונים אלה".