בחודש ינואר, 2023 פרסמה רשות ניירות ערך עדכון לעמדת סגל 105-33 בנושא גילוי בתחום הסייבר הנדרש מתאגידים מדווחים ("עמדת הסגל"). העדכון שפורסם כאמור הוא בעקבות ממצאים שעלו במסגרת ביקורת רוחב שביצעה רשות ניירות ערך ("הביקורת"), אשר נועדה לבחון את תהליך הגילוי והדיווח של תאגידים מדווחים בכל הקשור לסיכוני סייבר ותקיפות סייבר.
עדכון עמדת הסגל והביקורת בוצעו נוכח הגידול במספר החברות שחוו תקיפות סייבר ולאור השינוי שחל במאפייני הסיכון של איומי הסייבר אשר הפכו בשנים האחרונות לסיכון משמעותי עבור תאגידים מדווחים רבים. בנוסף, עמדת הסגל העדכנית עולה בקנה אחד עם המגמה בשוקי הון בעולם של הגברת חשיבות הסדרת הגילוי והדיווח על סיכוני סייבר.
להלן ממצאים ותובנות מרכזיים אשר עלו במסגרת הביקורת:
- מעורבות הדירקטוריון בפיקוח על ניהול סיכוני סייבר – קיימת מעורבות מעטה יחסית של דירקטוריונים בכל הקשור לפיקוח על ניהול סיכוני אבטחת מידע. הדבר בא לידי ביטוי בחוסר מודעות לנוהל אבטחת המידע של הארגון, היעדר קבלת דיווחים עיתיים הנוגעים לסטטוס הגנת הסייבר ואבטחת המידע בחברה ואי קיום דיונים בנושאים אלו. קיימת חשיבות גדולה לכך שדירקטוריון התאגיד יקבל עדכונים שוטפים מבעלי התפקידים הרלוונטיים בתאגיד כחלק מהצורך במעורבות של הדירקטוריון ונושאי המשרה בתאגיד באיתור וניהול סיכוני סייבר ואבטחת מידע והפיקוח עליהם. מעורבות זו תסייע בבניית מערך יעיל לניהול סיכונים ולתיאום בין היעדים העסקיים לבין המערך הטכנולוגי.
- הערכת סיכוני סייבר וניהולם – במקרים רבים, מערכי אבטחת המידע בחברות אינם פועלים על בסיס תכנית עבודה שנתית, ואילו אצל חלק ניכר מאלו שכן פועלים על בסיס תכנית כזו, לא מבוצעת בקרה אחר ביצועה הלכה למעשה. כמו כן, חברות רבות לא ביצעו הערכת סיכוני סייבר בשנים האחרונות, וכמחצית מהחברות שביצעו הערכה כאמור לא הציגו את תוצאות הערכת הסיכונים לדירקטוריון. בנוסף, במספר רב של חברות לא בוצעה בחינה של היבטי אבטחת מידע וסיכוני סייבר במסגרת ביקורות הפנים בארגון בשנים האחרונות. ראוי כי מרכיבי ניהול סיכוני הסייבר יתבססו על כלים מקובלים, כגון: הערכת סיכונים באמצעות מתודולוגיה מקובלת, הפעלת מערך אבטחת מידע, קביעת תכנית עבודה תקופתית בתחום הסייבר וביצוע בקרה על בחינת אופן ניהול סיכוני הסייבר באמצעות ביקורת פנים.
- גילוי בנוגע לסיכוני סייבר ומתקפות סייבר – בבוא חברות לשקול דיווח על סיכון סייבר כגורם סיכון בחברה, מעטות מהן מתבססות על מתודולוגיה סדורה להערכת סיכונים, כאשר לרוב החברות אין מתודולוגיה סדורה ולכל היותר הערכת הסיכונים שלהן מתבססת על ידע וניסיון של ההנהלה. יישום תהליך הערכת סיכונים סדור המבוסס על מתודולוגיה מקובלת יסייע לתאגיד להבטיח מתן גילוי נאות על סיכוני סייבר ואבטחת מידע.
- היערכות מוקדמת וגילוי בדבר מתקפות סייבר בעת התרחשותן– במרבית החברות כלל לא קיימת התייחסות למתקפות סייבר במסגרת נוהל רלוונטי, כאשר חלק ניכר מהן לא הסדירו את תהליך הגילוי הנוגע לאירוע מהותי כלשהו במסגרת נהלי עבודה. היערכות מוקדמת של התאגיד להתמודדות עם תקיפת סייבר, הכוללת אימוץ נהלים ותהליכי עבודה שיטתיים לטיפול ותגובה בנוגע לאירוע סייבר, תאפשר לתאגידים לנהל ולהתמודד בצורה אפקטיבית יותר עם אירוע של מתקפת סייבר ומתן הגילוי הנאות לציבור המשקיעים.
לדוח ביקורת המלא של רשות ניירות ערך, לחץ כאן.
לעמדת הסגל העדכנית בנושא גילוי ודיווח אודות סיכוני סייבר, לחץ כאן.
סקירה זו כוללת מידע תמציתי בלבד שנמסר רק למטרות אינפורמטיביות. המידע כאמור אינו מהווה חוות דעת משפטית או ייעוץ משפטי ואין להסתמך עליו.