אם תשאלו סוכן ביטוח מה הנכס המרכזי של הסוכנות שלו, התשובה תהיה כמעט תמיד תיק הלקוחות. אבל תיק הלקוחות הוא לא רק רשימת שמות. הוא אוסף של המידע האישי הרגיש ביותר שאדם מוסר על עצמו: פרטי זהות מלאים, הצהרות בריאות, פוליסות פנסיוניות, שווי נכסים, הכנסות ומוטבים. זה בדיוק סוג המידע שתוקפים מחפשים. זה בדיוק סוג המידע שהרגולטור מצפה שתשמרו עליו. השילוב הזה הופך את נושא הגיבוי בסוכנות ביטוח לשונה מהותית מעסק ממוצע.
למה סוכנות ביטוח היא מטרה אטרקטיבית
תוקפים בוחרים מטרות לפי שני שיקולים: כמה שווה המידע, וכמה קל להגיע אליו. סוכנות ביטוח מדורגת גבוה בשניהם:
- ערך המידע גבוה במיוחד. תיק מבוטח מכיל מספיק פרטים כדי לבצע התחזות מלאה, לפתוח חשבונות או להפעיל לחץ אישי על הלקוח. מידע רפואי ופיננסי הוא מהיקרים ביותר בשוק השחור.
- ההגנה לרוב חלשה מזו של חברות הביטוח עצמן. חברת ביטוח גדולה מפעילה מערך אבטחה שלם. סוכנות עם חמישה עד עשרים עובדים בדרך כלל לא, והתוקפים יודעים זאת. זו הסיבה שרשות שוק ההון סימנה את אבטחת המידע אצל סוכני הביטוח כנושא שדורש טיפול, מתוך הבנה שהחוליה החלשה בשרשרת היא זו שתיפרץ.
- הסוכנות מחוברת פנימה. סוכן מחובר למערכות של כמה חברות ביטוח. פריצה לסוכנות היא לא רק פריצה למידע שנמצא אצלה, אלא גם דלת אפשרית פנימה.
מה הרגולציה מצפה שיהיה לכם
רשות שוק ההון, ביטוח וחיסכון פרסמה הוראות לניהול סיכוני סייבר אצל גופים מפוקחים ונותני שירותים פיננסיים. העיקרון המרכזי בהן פשוט: ניהול סיכוני הסייבר צריך להיות תהליך שוטף ומתועד, ולא פעולה חד פעמית. בפועל, מבחינת סוכנות, זה מתורגם לכמה דרישות מעשיות:
- למפות איזה מידע יש לכם ואיפה הוא יושב, כולל קבצים מקומיים במחשבים של עובדים.
- להגדיר מי מורשה לגשת לאיזה מידע, ולוודא שההרשאות מתעדכנות כשעובד עוזב.
- להחזיק יכולת התאוששות מאירוע, כלומר גיבוי שניתן לשחזר ממנו בפועל בזמן סביר.
- לתעד ולדעת לדווח על אירוע אבטחה כשהוא קורה.
במקביל, תיקון 13 לחוק הגנת הפרטיות, שנכנס לתוקף באוגוסט 2025, העניק לרשות להגנת הפרטיות סמכויות אכיפה ועיצומים כספיים משמעותיים, והרחיב את החשיפה גם לתביעות אזרחיות. סוכנות שמנהלת מאגר מידע רגיש נמצאת בדיוק בקטגוריה שהמחוקק כיוון אליה.
הפערים שאנחנו מוצאים כמעט בכל סוכנות
אלה החורים הנפוצים ביותר שאנחנו נתקלים בהם בבדיקות בסוכנויות ביטוח:
- קבצים על שולחן העבודה של הסוכן. הצעות, סריקות של תעודות זהות ואישורים רפואיים שנשמרו זמנית במחשב האישי ונשארו שם. אם הגיבוי מכסה רק את השרת, המידע הזה לא מגובה כלל.
- ווטסאפ כערוץ עבודה. לקוחות שולחים צילומי מסמכים בוואטסאפ, והם נשארים בטלפון של הסוכן בלבד. זה גם פער גיבוי וגם פער פרטיות.
- מערכת ניהול הסוכנות לא מגובה ברמת מסד הנתונים. העתקה של תיקיית התוכנה אינה מספיקה כדי לשחזר מערכת עובדת.
- תיבות דואר לא מגובות. הצוות מנהל חלק גדול מהתיעוד מול הלקוח וחברת הביטוח בדוא"ל בלבד.
- הרשאות של עובדים שעזבו. חשבונות פעילים של אנשים שכבר לא עובדים בסוכנות הם אחת מנקודות החדירה הפשוטות ביותר.
איך נראה גיבוי נכון בסוכנות ביטוח
המבנה שאנחנו ממליצים עליו לסוכנויות בנוי על שלושה עקרונות פשוטים:
- שלושה עותקים, שני סוגי מדיה, אחד מחוץ למשרד. העיקרון הוותיק הזה עדיין עובד. עותק העבודה, עותק מקומי מהיר לשחזור, ועותק מרוחק שלא מושפע מאירוע פיזי במשרד.
- עותק אחד שאי אפשר לשנות או למחוק. כופרה מודרנית מחפשת קודם כל את הגיבויים. גיבוי בלתי ניתן לשינוי הוא מה שמבטיח שיישאר לאן לחזור.
- הצפנה של המידע גם בגיבוי. אם עותק גיבוי דולף, מידע מוצפן הופך אירוע חמור לאירוע נשלט.
ומעל הכל, יעד זמן שחזור מוגדר מראש. סוכנות שיודעת שהיא חוזרת לעבוד תוך ארבע שעות מנהלת סיכון. סוכנות שלא יודעת כמה זמן זה ייקח פשוט מקווה לטוב.
מה עושים עכשיו, צ'קליסט לסוכנות
- למפות איפה יושב מידע של מבוטחים. כולל מחשבים אישיים, טלפונים, כוננים חיצוניים ותיבות דואר.
- לוודא שמערכת ניהול הסוכנות מגובה נכון. ברמת מסד הנתונים, ולא רק העתקת תיקיות.
- לבדוק את אפשרויות השמירה והשחזור של תיבות Microsoft 365 ואת מגבלותיהן. Microsoft 365 Backup הוא שירות נפרד; ניתן לבחון גם פתרון אחר לפי היקף הכיסוי, זמני השמירה ובדיקות השחזור.
- לבטל הרשאות של עובדים שעזבו. ולבנות נוהל קבוע שזה קורה ביום העזיבה.
- להפעיל אימות חזק למשתמשים ולמנהלים. MFA מסייע מול שימוש בסיסמה גנובה, אך דורש גם ניהול הרשאות, בקרה על התחברויות ותגובה לפישינג.
- להעביר את שיתוף המסמכים לערוץ מאובטח. במקום שצילומי תעודות זהות יסתובבו בוואטסאפ ובמייל.
- לבצע תרגיל שחזור ולתעד אותו. התיעוד הזה שווה גם מול הרגולטור וגם מול המבטח שלכם.
סיכום
סוכנות ביטוח מחזיקה מידע שרמת הרגישות שלו גבוהה מזו של רוב העסקים בישראל, ובמקביל מתמודדת עם רגולטור שמצפה לתהליך מסודר ועם חוק פרטיות שקיבל שיניים. הנקודה החשובה היא שהמרחק בין סוכנות מוגנת לסוכנות חשופה אינו תקציב גדול, אלא כמה החלטות ברורות: מה מגובה, לאן, כל כמה זמן, ומי בדק לאחרונה שזה באמת עובד. לקריאה נוספת: גיבוי מידע במשרד עורכי דין וגם ההבדל בין גיבוי להעתקת קבצים. לפרטי השירות: גיבויים והתאוששות מאסון.
איך זה פוגש את העסק שלך בפועל
ב-Hot PC אנחנו מלווים סוכנויות ביטוח בבניית מערך גיבוי והגנה. תחילה ממפים מידע רגיש והרשאות גישה. לאחר מכן בודקים שהגיבוי מכסה את מערכת ניהול הסוכנות ואת תיבות Microsoft 365. התוכנית כוללת גם עותק מחוץ למשרד עם הגנה מפני מחיקה ואימות דו-שלבי למשתמשים. בנוסף, מתרגלים שחזור ומתעדים את התוצאות. כך הסוכנות יכולה לזהות פערים טכניים ולתכנן את הטיפול בהם. את ההתאמה לדרישות המשפטיות יש לבדוק עם הגורם המוסמך.