החברות הציבוריות חייבות להיות "יותר צדיקות מהאפיפיור" כשהן מותקפות במרחב הקיברניטי

מתקפת הסייבר החמורה שאירעה לאחרונה על איראן היא עדות נוספת לכך שאף אחד אינו באמת חסין מפני מתקפת סייבר - לא מוסדות מדינה, לא חברות ממשלתיות, או פרטיות ובוודאי שלא חברות ציבוריות. בואו נודה על האמת, התקפות במרחב הקיברניטי הם לא מאורע משמח עבור אף אחד, וגופים שהותקפו תמיד יעדיפו לטאטא את האירוע מתחת לשטיח ולשכוח שהוא בכלל קרה, מאשר חלילה להודות שזה קרה להם, ולמצוא את הפרשה מרוחה על דפי העיתון.

עם זאת, בכל הנוגע למתקפות סייבר על חברות ציבוריות, הנסחרות בבורסה, מדובר בסיפור אחר לגמרי. חברות אלו, מעצם היותן ציבוריות, נדרשות לאמות מידה מחמירות וקפדניות של שקיפות כלפי הרשות לניירות ערך וכלפי ציבור המשקיעים שלהן.

חברות ציבוריות נדרשות לדווח באופן מסודר לבורסה על אירועים מהותיים שקורים בחברה - עסקאות גדולות, דוחות כספיים רבעוניים, תגמולי שכר, מינויים ועוד - אך, מסתבר שבמקרים של התמודדות עם אירוע סייבר, שלעיתים תכופות מצריך תשלום כופר כדי להביא לסיומו, הדיווח לבורסה הינו בגדר המלצה בלבד. פשפוש בארכיון יעיד כי רק במקרים של אין ברירה, ידווחו החברות על ההתקפה, ויעדכנו את הלקוחות, העובדים והמשקיעים כנדרש.

נשאלת השאלה, מדוע רק במקרים של "אין ברירה" בוחרות החברות לדווח על עצם הפרשה, ולא מעדכנות באופן וולונטרי. התשובה ברורה: כל חברה תעדיף להימנע ככל הניתן מלקשור את שמה באירוע סייבר, מהחשש "המוצדק" שהמניה תיפול, ששמה יימרח על דפי העיתון, שהעובדים ייבהלו או שחלילה לקוחות יינטשו.

מניסיוני בעבודה עם חברות ציבוריות בעשור האחרון, אני סבורה, היום יותר מתמיד, כי חברות ציבוריות צריכות לשמור על אמינותן, בראש ובראשונה, ולדגול בגישה של "להיות יותר צדיקות מהאפיפיור".

לצערי, לא מעט חברות "מנצלות" את חוות הדעת של היועץ המשפטי מטעמן שמייעץ להן לא לדווח על המקרה, היות ובמקרים ספציפיים לא חלה חובה לכך, ובמקרה שכזה זה משרת את האינטרסים של החברה, שמאמינה כי מה שהמשקיע לא יודע לא יזיק, וכל עוד הפרשה לא הגיעה לאזני התקשורת יותר טוב. לא כך הדבר! חברה ציבורית צריכה לזכור כי לציבור המשקיעים שלה מגיע להיות מעודכן בזמן אמת.

ראוי שחברה זו תהיה גלויה ושקופה עד כמה שניתן דווקא כשהיא מותקפת במרחב הקיברניטי - וזאת גם במחיר שהמניה תספוג ירידות ושהפרשה תגיע לאוזני התקשורת. זו לא בושה להודות שהותקפת, ויש מקרים שזו גם כלל לא אשמתך - אך, ברגע שאתה כחברה ציבורית בוחר להסתיר את הפרשה מהמשקיעים שלך, אתה חוטא לתפקידך, פוגע באמינותך, גורר סיקור תקשורתי שמבקר את אופן התנהלותך, ועלול לשלם מחיר כואב יותר בהמשך.

זה לא חריג בנוף הישראלי לקרוא על עשרות חברות ציבוריות שמותקפות מדי שנה, ולצערנו ככל שעוברות השנים המתקפות מתגברות, ואף נעשות מתוחכמות יותר. אולם, ברגע שחברה ציבורית מוציאה דיווח מסודר המעדכן את משקעיה על עצם הפרשה - בין אם היא באה על פתרונה בשלום, ובין אם היא עדיין מנהלת מגעים למו"מ על תשלום הכופר - היא זוכה בכך להבעת אמון רבה יותר מצד המשקיעים, ולעניות דעתי גם להערכה מסוימת מצד כלי התקשורת שיסקרו את הפרשה בצורה מאוזנת יותר, מאשר אם הפרשה הייתה מגיעה לאוזניהם התקשורת מגורם אחר ובצורה עקיפה.

הכותבת היא יועצת תקשורת ואסטרטגיה