תחום אבטחת המידע והגנת הפרטיות עובר בשנים האחרונות טלטלה דרמטית. השילוב בין פריצות דרך טכנולוגיות מבוססות בינה מלאכותית לבין שינויים רגולטוריים חסרי תקדים, ובראשם כניסתו לתוקף של תיקון 13 לחוק הגנת הפרטיות, יוצרים מציאות חדשה ומורכבת עבור מנהלים בארגונים מכל המגזרים. אליהם מצטרפת ההתפתחות המואצת של הבינה המלאכותית שמציבה אתגרים לא פשוטים, ובראשם קיצור דרמטי של לוחות הזמנים של התוקפים. "אנחנו רואים ברבעון האחרון שהבינה המלאכותית משמשת ככלי מתקפה. אם בעבר היה לנו זמן אוויר בין פרסום עדכון אבטחה לבין התקנתו בארגון, הרי שה-AI קיצר את לוחות הזמנים והתוקפים מנצלים חולשות במהירות שיא", מסביר עו"ד אור לביא (50), מנכ"ל פריימסק, מהחברות המובילות בישראל במתן שירותי ייעוץ בתחום אבטחת המידע, הגנת סייבר, טכנולוגיות מידע והגנת הפרטיות.
אור לביא
(צילום: יאיר ולר)
עד כמה המתקפות נגד הלקוחות שכיחות? מנכ"ל פריימסק מסביר כי מנהלים ועובדים עם גישה לנתונים משתמשים בכלי AI לצורך עיבוד נתונים, ומצד שני אנשי פיתוח משתמשים ב-AI בשביל לתכנת קוד שאף אחד לא בודק. ללא מדיניות או כלים לניטור, נוצרת סיטואציה של הוצאת נתוני ארגון רגישים למנועי חיפוש וכלים בענן, והשילוב הזה מהווה אתגר משמעותי מאוד בתקופה הנוכחית. "כתוצאה מהפעילות שלנו המתקפות האלו נמנעות ברובן", הוא מחדד. "אבל רק לאחרונה היה לנו אירוע שבו התוקפים ניצלו חולשה בוורדפרס (WordPress) שעליה בנוי אתר האינטרנט של לקוח החברה, ודרך החולשה הזו הם גנבו מפתחות הזדהות פרסומיים. במקרה הזה ההשלכה הייתה מינורית יחסית, אבל במקרים אחרים זה עלול להיגמר בריגול תעשייתי, גניבות מידע או גניבת כסף".
איך אתם מתמודדים עם זה?
"קודם כול מפסיקים להתייחס ל-AI כאל כלי שעובדים פשוט התחילו להשתמש בו", אומר לביא. "מבחינת הנהלה, זה צריך להיות עוד שירות טכנולוגי שמנוהל כמו כל מערכת מהותית אחרת. ההתמודדות עם הסיכונים דורשת למפות אילו כלי AI הארגון צריך, להגדיר מדיניות, לסייע בבחירת הכלים ולתת אמצעי אכיפה. זה כולל מניעת גישה לכלים שלא אישרנו, ייעוץ לגבי רישוי נכון כדי שהנתונים יישארו בתוך הארגון, וניהול הטוקנים ברמת ה-IT והתקציב. לפעמים ארגון משלם אלפי דולרים על רישוי שלא תוכנן רק בגלל הרשאה לא מבוקרת".
צמיחה של 20 אחוז בשנה
פריימסק הוקמה על ידי לביא בשנת 2010. היא מעסיקה כיום כ-60 עובדים ומעניקה שירותים ליותר מ-400 לקוחות בארץ ובחו"ל. השירות המרכזי של החברה מתמקד באבטחת מידע וסייבר לצד שירותי הגנת הפרטיות, ייעוץ המשכיות עסקית וייעוץ בתחומי ה-AI. "החברה מחולקת לשני אגפים מרכזיים", מספר לביא. "אגף אחד נותן שירותים ללקוחות הקבועים שלנו, והשני נותן שירותים מבוססי פרויקטים או שירותים משלימים לגופים שכבר מחזיקים בפונקציה פנימית של מנהל אבטחת מידע או מנהל הגנת פרטיות, אך צריכים סיוע מקצועי משלים. זה יכול להיות ביצוע ביקורות חיצוניות, ייעוץ מקצועי נקודתי, בדיקה של ספקי מיקור חוץ, וכן ליווי ארגונים בתהליכי היערכות, הסמכה ועמידה בתקנים בינלאומיים, ובהם תקני ISO רלוונטיים בתחומי אבטחת המידע והפרטיות.
בשנה האחרונה הוביל לביא שינוי ניהולי משמעותי שהוביל לצמיחתה העסקית של החברה, כאשר העביר אותה ממתן ייעוץ ברמה המקצועית בלבד למודל ניהול מובנה של לקוחות ופרויקטים. "דרך המעבר הזה שיפרנו מאוד את זמני התגובה, מגוון התוצרים ואיכותם ואת רמת שירות הלקוחות שלנו. כתוצאה מכך הגדלנו את החברה ב-20% בשנה החולפת, הן בכמות העובדים והן בכמות הלקוחות".
התחום המהותי הנוסף שבו מספקת פריימסק שירות הוא תמיכה בארגונים לצורך עמידתם בתיקון 13 לחוק הגנת הפרטיות. תיקון זה אושר בכנסת באוגוסט 2024 והוא מהווה את הרפורמה המקיפה והמשמעותית ביותר בדיני הפרטיות בישראל מזה עשורים. מטרתו המרכזית היא להתאים את החוק הישראלי המיושן (משנת 1981) לעידן הדיגיטלי, לאיומי הסייבר המודרניים ולסטנדרטים הבינלאומיים. התיקון מטיל עיצומים כספיים על חברות שלא יעמדו בהנחיות החדשות.
השינוי המשפטי מביא איתו גם אתגר אופרטיבי, במיוחד באירועים הדורשים תגובה מהירה. "אחד האלמנטים בתיקון 13 נוגע לקנסות המוטלים על אי-עמידה בחובת הדיווח", מסביר לביא. "לדוגמה, יש דרישה לדיווח מיידי על אירוע אבטחת מידע בארגונים המחזיקים מעל 100,000 לקוחות. זה דבר שדורש לזהות מהר את האירוע, לנסח את אופן הפנייה וגם לנהל את ההתנהלות מול הרשות להגנת הפרטיות, ולפעמים מול רשויות אחרות כמו שוק ההון, בנק ישראל או מערך הסייבר. פה לרקע המשפטי ולניסיון המצטבר של החברה יש יתרון גדול בניהול האירועים בצורה נכונה, והיו לנו לפחות 12-10 מקרים כאלה בשנה האחרונה".
רבע מעובדי החברה הם עורכי דין או משפטנים בהכשרתם. לביא עצמו, בעל תואר ראשון במשפטים ומדעי המחשב ותואר שני במשפטים עם התמחות בדיני מחשבים, רואה בשילוב הזה צורך חיוני. "עוד לפני תיקון 13 היו בתחום הזה אלמנטים רבים של חוק ורגולציה, בין אם זה הנחיות בנק ישראל, רשות שוק ההון או רשות ניירות ערך. כלומר, נדרשת כאן הבנה משפטית", הוא מציין. "יש כאן חוזים שצריך להכניס אליהם אלמנטים של הגנת הפרטיות ואבטחת מידע, תנאי שימוש לאתרים ומדיניות פרטיות. הרקע המשפטי מהותי להבנת הנושאים ולשירות שניתן ללקוח. אין הרבה עורכי דין שמבינים בטכנולוגיה, וזה יתרון ייחודי שאנחנו מביאים ללקוחות".
ההבנה המשפטית הזו באה לידי ביטוי גם בליווי מורכב ובמתן חוות דעת מומחה לבתי המשפט. הביקוש העצום לידע מקצועי בתפר שבין משפט וטכנולוגיה הוביל את פריימסק לפתוח קורס מקצועי להכשרת ממוני הגנת פרטיות (DPO), הפתוח לקהל הרחב ומיועד לאנשי מקצוע המבקשים לרכוש התמחות עדכנית ובעלת ערך בתחום שהופך מרכזי יותר ויותר בארגונים. כאשר קורס אחד נערך ברבעון האחרון וקורס נוסף עתיד להיפתח מיד אחרי החגים.
איומים לצד טכנולוגיה
כאשר מביטים עשר שנים קדימה, לביא חוזה שינוי תפיסתי עמוק בדרך שבה ארגונים יגנו על הנכסים הדיגיטליים שלהם. "האיומים תמיד ילכו בקו אחד עם ההתפתחות של הטכנולוגיה", הוא מבהיר. "האתגר המרכזי של היועצים והמומחים בתחום שלנו יהיה לזהות את הטכנולוגיות החדשות שנכנסות לשימוש ולבנות מראש את המענים הנכונים כדי להגן על השימוש בהן. אך מעבר לפתרונות הטכנולוגיים, האתגר הגדול יהיה להרחיב את המודעות של העובדים ושל ההנהלות בארגונים לסיכונים האמיתיים, כדי שיקצו את המשאבים הנכונים. המענה אינו טמון רק באמצעים טכנולוגיים גרידא, אלא בעיקר בהנחיות, נהלים ובקרות שיוטלו על העובדים ועל הספקים החיצוניים".
הסיבה לכך, לדבריו, היא האופן שבו ארגונים מבוזרים כיום. "אנחנו נמצאים כיום בתהליך מעבר מואץ מאוד לשירותים המבוססים על מספר רב של ספקי ענן חיצוניים, והרבה פחות מבוססים על דאטה סנטר מקומי של הארגון", הוא אומר. "במצב כזה, האתגר המהותי ביותר בשנים הבאות יהיה למפות ולזהות את זרימת המידע בתוך הארגון ומחוצה לו, ובין שרותי הענן והבינה המלאכותית השונים, ולהחיל בקרות אפקטיביות במהלך הזרימה והאחסון של המידע. ההגנה כבר לא תתמקד בשמירה על רשת פיזית ספציפית וסגורה, אלא בליווי המידע עצמו בכל מקום שבו הוא נמצא. זהו האתגר המרכזי שעומד בפנינו בשנים הבאות".
"המטרה היא לא רק לתת לארגונים מענה לאיום הבא, אלא לעזור להם להיות מוכנים אליו עוד לפני שהוא מגיע", אומר לביא. בדיוק סביב השאלה הזו תקיים פריימסק באוקטובר את NEXT-GEN 2026, כנס הלקוחות השנתי שלה, שיפגיש מנהלים ומומחים לדיון באתגרים שמעצבים מחדש את עולם הסייבר והפרטיות - מ-AI וטכנולוגיות חדשות ועד רגולציה משתנה והיערכות ארגונית לעתיד".
מה החזון העסקי שלך עבור החברה?
"המטרה שלנו היא להמשיך בשני ערוצים מקבילים. מצד אחד, ללמוד ללא הרף ולתת שירות נכון ומדויק יותר לטכנולוגיות ולרגולציות החדשות, ומצד שני, להרחיב ולהעמיק את ההכשרות הפנימיות של העובדים שלנו כדי להקנות להם יותר מיומנויות ויכולות. אנחנו מאמינים בצמיחה פנימית ובהרחבת היכולות של החברה לתחומים חדשים כמו AI ופרטיות כדי לתת את המעטפת הרחבה ביותר. במקביל, אנו שואפים להרחיב את הפעילות שלנו בחו"ל, שהיא כרגע יחסית מצומצמת, אך המיקוד המרכזי נותר המשך ההתרחבות והצמיחה בארץ".
