במקרה של מלחמה או רעידת אדמה גם החסכונות שלכם עלולים להיקבר מתחת לקרקע

החשש מפני אירוע קטסטרופלי, כגון רעידת אדמה, מתקפת טילים או מלחמה כוללת, גרם לממונה על שוק ההון, ביטוח וחיסכון במשרד האוצר, דורית סלינגר, לדרוש מהגופים המוסדיים לבצע תרגיל המשכיות עסקית; מטרת התרגיל - לוודא כי הגוף המוסדי מסוגל להמשיך ולהתנהל גם כאשר כמה ממשרדיו ומערכותיו נפגעו באופן קשה.

באוקטובר 2015 נדרשו הגופים המוסדיים לערוך תרגיל המשכיות עסקית, ובו התבקשו לדמות התמודדות עם רעידת אדמה. התרגיל לווה בהנחיות בנוגע להיקף התרגול הנדרש, לתרחישים ולתהליכים העסקיים שאותם נדרשו הגופים המוסדיים לדמות, כגון הליכי תביעות, שינויים בשוק ההון, תקלות בתשתיות ובמערכות מידע וזמינות מוקדי השירות ללקוחות.

כחלק מהתרגיל, נדרשו הגופים המוסדיים לדמות פגיעה באתר המרכזי שלהם ולבחון את יכולתם להעתיק בפועל את האתר לאתר חלופי ולהעביר לאגף שוק ההון דיווחים הנוגעים לאירוע המתורגל, במתכונת הזהה לדיווחים שיידרשו להגיש בשעת חירום, כנדרש בחוזר.

לקראת התרגיל פורסמו אירועים נקודתיים בתחומי התשתיות, הסייבר, מערכות מידע ומבטחי משנה, שאליהם על הגופים להתייחס בזמן התרגיל. לראשונה, השתתף אגף שוק ההון בתרגיל והשיב בזמן אמת לתרחישים שונים שעלו בחברות הנבדקות, כמו זיהוי לקוחות ללא אמצעי זיהוי, חידושי פוליסות וכדומה. ממצאי דו"ח הביקורת של משרד האוצר על התנהלות הגופים המוסדיים בתרגיל הגיעו לידי TheMarker.

אחד הגורמים החשובים במצבי חירום הוא דירקטוריון החברה, שאמור לתת מענה לבעיות העולות כתוצאה מאירוע קטסטרופלי ולוודא כי החברה ממשיכה לתפקד. ואולם מתברר כי "בגופים מוסדיים רבים נמצא כי מעורבות הדירקטוריון בתרגיל לא היתה מספקת. הפנייה לדירקטוריון במהלך התרגיל נעשתה באופן מתודי בלבד, ובלי שהדירקטוריון היה מעורב בפועל בקבלת החלטות".

רק במקצת הגופים המוסדיים היה הדירקטוריון שותף פעיל בתרגיל, ומעורבותו באה לידי ביטוי בדיונים ובקבלת החלטות בסוגיות, כגון השקעות, זכויות עמיתים וניהול הון. בדו"ח האוצר לא מפורט מי מהחברות הפעיל את הדירקטוריון. עם זאת, נודע כי בחברות הגדולות הדירקטוריון היה פעיל, וכי חברת מגדל בחרה לבצע תרגול מיוחד לדירקטוריון.

תחום נוסף שנבדק הוא גיבוי ואיחזור הנתונים. על המוסדיים לוודא כי הם יוכלו לאחזר מידע בפרק זמן סביר כשהאתר הראשי שלהם נפגע, כדי להבטיח התאוששות מהירה של החברה. לשם כך על הגוף המוסדי לבחון את רכיבי הטכנולוגיה שלו הדרושים לתמיכה בתוכנית להמשכיות עסקית, לרבות בחינת תפקוד מערכות מידע קיימות. מתברר כי בכמה מהגופים המוסדיים נמצא כי לא נעשתה בשנים האחרונות בדיקה לבחינת ישימות אחזור המידע מעותקי הגיבוי הקשיחים.

גם התנהלות הגופים המוסדיים מול ספקים חיצוניים מהותיים לתפקוד החברה, כמו בזק וחברת חשמל, נבדקה. המוסדיים אמורים להסדיר את הפעילות או את קבלת השירותים מגוף חיצוני במצב חירום. מהדו"ח עולה כי "בחלק מהגופים המוסדיים התוכנית להמשכיות עסקית כוללת מיפוי חלקי בלבד של הספקים הקריטיים במצב חירום, ואין בה פתרון למקרים שבהם אותם ספקים לא יהיו זמינים.

"כמו כן, גופים אלה לא ערכו הליך תיאום ציפיות עם הספקים בנוגע ליעדי השירות של הגופים בחירום. מקצת הגופים המוסדיים לא התייחסו כלל במהלך תרגיל ההמשכיות העסקית לתלות הקיימת בספקים קריטיים". הבעיה מחריפה כאשר כמה מנותני שירותים אלה יוכפפו למשל לצבא — מה שימנע קבלת שירות מהם. לכן על המוסדיים למצוא פתרונות חלופיים.

באופן דומה נדרש הגוף המוסדי לבחון את התשתיות המשמשות אותו לתפקודו השוטף, כגון תשתיות פיזיות (מבנים, ציוד וכיוב'), תשתיות IT (תקשורת, שרתים, מערכות מידע, ממשקים לגופים חיצוניים ותשתיות אבטחת מידע) וכל תשתית קריטית אחרת לתפקודו. נוסף על כך, הגוף המוסדי נדרש לבחון חלופות לתשתיות שנפגעו, כולל יכולת השימוש בהן.

הפער הגדול ביותר נמצא בתחום הסייבר. מתברר כי מנהלים באחת החברות שנשאלו מה הם עושים במקרה של התקפת סייבר, ענו: "מנתקים את כבל התקשורת". יוסבר כי אחד היעדים בהתקפת סייבר הוא השתלטות על מאגרי המידע ונעילתם בפני החברה - הנדרשת, בין השאר, לתשלום כופר כדי להשתמש במאגרים. מבחינת חברת ביטוח, זהו ניטרול יכולת העבודה, ולפיכך יש להקים צוותים מיוחדים שאמורים לתת מענה מיידי.

"דווקא בתחום הסייבר התגלה הפער הגדול בין המצוי לרצוי", אמר בכיר באחת החברות הנבדקות. "חלק מהחברות לא הפנימו את המעבר מאבטחת מידע למתקפת סייבר. הבעיה העיקרית היא זיהוי מתקפת הסייבר, שכן מדובר בהליך מורכב המחייב מערכות שמנטרות פעילות זו, ולחלק מהחברות אין יכולות כאלה. לאחר מכן יש לבחון את צוותי ההתערבות ואת רמת המיומנות שלהם". יצוין כי עיקר הפער היה בחברות הבינוניות והקטנות, בעוד בחברות הגדולות ידעו לתת מענה לאיומי הסייבר.

ממשרד האוצר נמסר בתגובה: "תוצאות התרגיל מעידות כי המערכת הביטוחית ערוכה לשעת חירום. על החברות לתקן את הליקויים שנמצאו עד לתחילת התרגיל הבא שייערך בחודשים הקרובים".