החיסון שמגיע אחרי שהמגפה כבר פרצה

למה עולם הסייבר יושב על כשל כלכלי שאסור להשאיר לשוק החופשי

תארו לעצמכם שחברת תרופות מגלה סימנים מוקדמים למגפה חדשה.

היא מבינה שהמחלה מתחילה להתפשט. היא מזהה את הדפוס. היא יודעת שאם המידע יעבור מהר לבתי חולים, ממשלות, קופות חולים וחברות תרופות אחרות — אפשר יהיה למנוע נזק עצום. אולי אפילו להציל חיים.

אבל יש בעיה.

בשלב הזה הציבור עוד לא בפאניקה. התקשורת עוד לא מדברת. אין ביקוש גדול. אין שוק. אין חוזים. אין מוצר בשל. אין כותרות. אין לחץ.

אז מבחינת כלכלת שוק פשוטה, לחברה יש תמריץ לחכות.

לא בהכרח מרוע. לא מתוך רצון לפגוע. אלא כי כך עובד השוק: כאשר הציבור עוד לא מבין את גודל הסכנה, קשה למכור לו פתרון יקר. כשהמשבר מתפרץ, כשהפחד עולה, כשההנהלות נלחצות, כשהרגולטורים מתעוררים — אז נוצר ביקוש. ואז אפשר למכור דוחות, שירותי ייעוץ, מערכות ניטור, חבילות הגנה, הרצאות, רישיונות ותוכניות חירום.

עכשיו החליפו את המילה “מגפה” במילה “מתקפת סייבר”.

וזו בדיוק הבעיה.

הסייבר כבר אינו עניין של מחשבים

פעם, כשהיינו אומרים “סייבר”, אנשים חשבו על מחשבים, סיסמאות ואולי וירוס במחשב הביתי. היום זה כבר משהו אחר לגמרי.

סייבר הוא בנקים. סייבר הוא בתי חולים. סייבר הוא חשמל, מים, תחבורה, תקשורת, תשלומים, רשויות מקומיות, מערכות ביטחוניות, שרשראות אספקה, מידע רפואי, זהות דיגיטלית ואמון ציבורי.

כאשר מערכת סייבר נופלת, לא נופל רק שרת. לפעמים נופלת יכולת לטפל בחולים, לשלם משכורות, להפעיל שירותים חיוניים, להזרים מים, להעביר מידע ביטחוני, או לנהל משק בזמן חירום.

וזו הסיבה שהשאלה כבר אינה טכנית. היא שאלה של ביטחון לאומי. לפעמים גם של חיים ומוות.

הצעת חוק הגנת הסייבר הלאומית בישראל, למשל, מתארת את מרחב הסייבר כתשתית אסטרטגית לפעילות אנושית, כלכלית וחברתית, ומציעה חובות על ארגונים חיוניים, כולל חובת דיווח על תקיפות סייבר משמעותיות. כלומר, גם המחוקק הישראלי כבר מבין שסייבר אינו “עוד תחום טכנולוגי”, אלא שכבת יסוד של המדינה המודרנית. (כנסת ישראל⁠)

אבל החוק עדיין חושב בעיקר על מי שנפגע

כאן מתחילה הבעיה האמיתית.

ברוב המדינות המתקדמות כבר קיימות חובות דיווח על אירועי סייבר. באירופה, דירקטיבת NIS2 מייצרת מסגרת אבטחת סייבר ל־18 מגזרים קריטיים ודורשת מהמדינות החברות לבנות אסטרטגיות לאומיות ושיתוף פעולה חוצה גבולות. (digital-strategy.ec.europa.eu⁠) בארצות הברית, CIRCIA נועד לחייב גופים בתשתיות קריטיות לדווח ל־CISA על אירועים משמעותיים ועל תשלומי כופר. (cisa.gov⁠) באוסטרליה, אירוע סייבר קריטי בתשתית חיונית מחייב דיווח בתוך 12 שעות, ואירועים אחרים בתוך 72 שעות. (cisc.gov.au⁠) בהודו, הוראות CERT-In מחייבות ספקי שירות, גופי ביניים, מרכזי נתונים, חברות וגופים ממשלתיים לדווח על אירועי סייבר מסוימים בתוך 6 שעות מרגע הזיהוי או הידיעה. (cert-in.org.in⁠)

כל זה חשוב. אפילו חשוב מאוד.

אבל זה עדיין לא עונה על השאלה המרכזית.

החוק שואל בעיקר: מי נפגע? מי הותקף? מי חייב לדווח אחרי שאירוע קרה?

השאלה שאנחנו צריכים לשאול היא אחרת:

מי ידע לפני כולם?

מי זיהה את האיום כשהוא עוד היה קטן?

מי הבין שיש כאן מתקפה מתפתחת?

מי החזיק את המידע בזמן שבו הוא היה יכול למנוע את הנזק הגדול ביותר?

ומי אולי חיכה עד שהשוק יבשיל?

הסיפור שאף אחד לא רוצה לספר בקול

נניח שחברת אבטחת מידע גדולה מזהה מתקפה חדשה. לא תקלה קטנה. לא אירוע נקודתי. אלא דפוס מתפתח: קבוצת תוקפים מתחילה לחדור דרך ספקים קטנים אל ארגונים גדולים, אולי אפילו למגזרים רגישים.

החברה רואה את הסימנים. יש לה חוקרים. יש לה מערכות ניטור. יש לה מודיעין. היא מבינה לפני כולם שמשהו גדול מתחיל לזוז.

בשלב הזה יש לה שתי אפשרויות.

האפשרות הראשונה: לשתף מיד, בעומק מספק, עם גורמי מדינה, חברות אחרות, לקוחות, מגזרים חיוניים, ואולי גם ציבור רחב יותר.

האפשרות השנייה: לעדכן קודם את מוצריה, להזהיר לקוחות פרימיום, לבנות דוח, לאסוף עוד דוגמאות, לארוז את המידע, להכין קמפיין, לחכות שהשוק יבין שיש בעיה — ואז לצאת עם פתרון.

האפשרות השנייה אינה נשמעת יפה. לכן היא לא תוצג כך.

היא תוצג בשפה מקצועית:

“אנחנו עדיין מאמתים את הממצאים.”

“פרסום מוקדם עלול לסייע לתוקפים.”

“צריך למנוע פאניקה.”

“אנחנו משתפים עם הגורמים הרלוונטיים.”

כל המשפטים האלה יכולים להיות נכונים. לפעמים באמת מסוכן לפרסם מידע מוקדם מדי. לפעמים חייבים לאמת. לפעמים אסור לחשוף פרטים שיעזרו לתוקפים.

אבל בתוך האמת הזו יכולה להסתתר אמת נוספת: החברה גם שומרת על נכס מסחרי.

היא לא בהכרח משקרת. היא פשוט משתפת מספיק כדי להיראות אחראית — ולא בהכרח מספיק מוקדם, מספיק רחב או מספיק עמוק כדי למקסם את טובת הציבור.

הזמן הוא לב הבעיה

במודיעין סייבר, זמן הוא הכול.

מידע על מתקפה חדשה שווה הכי הרבה לציבור כשהוא טרי. כאשר התקיפה עוד בתחילת הדרך, כאשר ארגונים עדיין יכולים להיערך, כאשר התוקפים עוד לא התפשטו, כאשר הנזק עדיין ניתן לבלימה.

אבל מבחינת החברה שמחזיקה במידע, זה בדיוק הזמן שבו המידע הכי יקר.

כי הוא עדיין בלעדי. המתחרים עוד לא יודעים. הלקוחות עוד לא קיבלו פתרון. הדוח עוד לא פורסם. המותג עוד לא קיבל תהילה. השוק עוד לא נבהל. המוצר עוד לא הגיע לשיא הביקוש.

כלומר, הרגע שבו המידע הכי חשוב לציבור — הוא גם הרגע שבו הכי משתלם מסחרית לשמור אותו קרוב לחזה.

זו לא תקלה מוסרית של אדם רע. זה כשל מבני.

גם מערכות ההגנה הן שוק

אנחנו רגילים לחשוב על עולם הסייבר כמלחמה בין טובים לרעים: מצד אחד תוקפים, מצד שני חברות אבטחה.

אבל חברות אבטחה אינן רק “הטובים”. הן גם עסקים. הן מוכרות תוכנות, מנויים, דוחות, שירותי ניטור, שירותי תגובה, ייעוץ, ביטוחי משנה, מוניטין ותחושת ביטחון.

הידע שלהן הוא מוצר. המהירות שלהן היא מוצר. הבלעדיות שלהן היא מוצר. היכולת שלהן לומר “אנחנו ראינו את זה לפני כולם” היא מוצר.

וכאן נוצר הפרדוקס: התוקפים משתפים פעולה בשוק שחור מהיר וגמיש, בזמן שהמגינים פועלים בשוק תחרותי, מפוצל ומדורג.

יש כמובן מנגנוני שיתוף חשובים. בארצות הברית, למשל, CISA מפעילה את AIS, שירות שמאפשר החלפה בזמן אמת של אינדיקטורים טכניים לאיומי סייבר בפורמט קריא למכונה. (cisa.gov⁠) Cyber Threat Alliance, ארגון של חברות אבטחה, מאפשר לחברים לשתף מודיעין איומים עדכני, מעשי ובהקשר רחב, כדי לשפר מוצרים ושירותים ולהגן טוב יותר על האקוסיסטם הדיגיטלי. (Cyber Threat Alliance⁠)

אבל עצם קיומם של מנגנוני שיתוף אינו פותר את השאלה.

כי אינדיקטור טכני אינו תמיד כל המודיעין. שיתוף עם חברים אינו בהכרח שיתוף עם כלל הציבור. דוח מאוחר אינו התרעה מוקדמת. ושיתוף חלקי אינו זהה לשיתוף של שכבת הזהב: ההקשר, ההבנה, ההערכה, המגזרים בסיכון, חלון הזמן, והמשמעות האסטרטגית.

“אבל יש חובת דיווח”

נכון. יש.

אבל צריך לדייק.

יש חובת דיווח על אירוע.

יש חובת דיווח על פגיעה.

יש חובת דיווח על דליפת מידע.

יש חובת דיווח על כופרה.

יש חובת דיווח על תקיפה בתשתית קריטית.

יש במקומות מסוימים חובות על ספקי שירותים דיגיטליים, ספקי ענן וספקי אבטחה מנוהלים.

אבל השאלה כאן אינה רק “מי חייב לדווח אחרי שנפגע”.

השאלה היא:

האם חברת אבטחת מידע שגילתה מוקדם מתקפה מתפתחת, עוד לפני שהשוק כולו הבין, חייבת לשתף את המידע בזמן שבו הוא יכול למנוע את הנזק הגדול ביותר?

ברוב המודלים המשפטיים, התשובה עדיין לא מספקת.

הרגולציה העולמית מתחילה לחייב דיווח על נזק. היא עדיין מתקשה לחייב שיתוף של ידע שהיה יכול למנוע את הנזק.

כלכלת השוק הפשוטה — והמסוכנת

כאן צריך לומר את הדברים בפשטות.

אם חברת אבטחה מגלה מתקפה מוקדם מדי, לפני שהציבור מבין את האיום, אין עדיין ביקוש גדול. אם אין ביקוש, אין שוק. אם אין שוק, קשה למכור.

כאשר האיום מתפשט, נוצר פחד. כאשר נוצר פחד, נוצר ביקוש. כאשר נוצר ביקוש, נוצר כסף.

זו כלכלת שוק פשוטה.

אבל כאשר מדובר בנעליים, טלוויזיות או אפליקציות בידור — זה אולי בסדר. כאשר מדובר בבתי חולים, תשתיות, ביטחון לאומי וחיי אדם — זה כבר לא מוצר רגיל.

אי אפשר להשאיר את תזמון החיסון בידי מי שמרוויח מכך שהמגפה תובן מאוחר.

אז מה צריך לשאול?

לא צריך להתחיל מהאשמות. צריך להתחיל משאלות.

מתי החברה ידעה?

מתי היא שיתפה?

עם מי היא שיתפה?

באיזו רמת פירוט?

מה היא שמרה לעצמה?

האם היא הזהירה בזמן את מי שהיה עלול להיפגע?

האם המידע הועבר לגוף ציבורי מוסמך?

האם היה מנגנון שמתגמל שיתוף מוקדם?

האם היה מנגנון שמונע מכירת מודיעין רגיש לגורמים לא מתאימים?

והשאלה החשובה ביותר:

כמה נזק היה יכול להימנע אילו המידע היה זורם בזמן?

לא נגד חברות האבטחה — אלא נגד התמריץ

חשוב לומר בבירור: זו אינה כתבה נגד חברות אבטחת מידע.

להפך. הן חיוניות. הן מעסיקות חוקרים מעולים. הן עוצרות מתקפות. הן מגנות על ארגונים. הן לעיתים קו ההגנה הראשון של החברה הדיגיטלית.

אבל דווקא משום שהן כל כך חיוניות, אסור להשאיר את כללי המשחק רק לשוק.

הבעיה אינה שחברות אבטחה רעות. הבעיה היא שהשוק מתגמל אותן לעיתים על בלעדיות, עיכוב, מסחור, בידול ומכירה מדורגת — בזמן שהציבור זקוק למהירות, עומק, שיתוף ואחריות.

זה ההבדל בין מוסר פרטי לבין תמריץ מערכתי.

חברה יכולה להתנהג באופן רציונלי לגמרי, חוקי לגמרי, עסקי לגמרי — ועדיין התוצאה הציבורית תהיה מסוכנת.

הגיע הזמן לומר: אבטחת סייבר היא תשתית ציבורית

העולם כבר מבין שסייבר הוא לא עוד תחום. קנדה, למשל, העבירה ביוני 2026 את Bill C-8, כשהממשלה הדגישה שהביטחון הלאומי תלוי בהגנת סייבר חזקה ובהגנה על תשתיות קריטיות ושירותים חיוניים. (Canada⁠) אוסטרליה מתייחסת בדוגמאות הרשמיות שלה לאירועי סייבר שעלולים להשבית מים, תקשורת, דלק, בנקאות וחשמל — ומחייבת דיווח מהיר בהתאם לחומרת האירוע. (cisc.gov.au⁠)

הכיוון ברור: מדינות מבינות שהסייבר הוא תשתית לאומית.

אבל עכשיו צריך ללכת צעד אחד עמוק יותר.

לא רק לחייב את הנפגע לדווח.

צריך להסדיר גם את מי שיודע.

צריך לבנות מנגנון שבו מודיעין סייבר קריטי לא נשאר רק נכס מסחרי סגור. מנגנון שבו חברה שמגלה איום מוקדם מתוגמלת על שיתוף מהיר, לא נענשת עליו. מנגנון שבו מידע רגיש מדורג, מוגן, מסונן ומופץ לגורמים הנכונים בזמן הנכון. מנגנון שבו יש חובת שיתוף מונעת, לא רק חובת דיווח אחרי הפגיעה.

לא הלאמה של חברות. לא ביטול תחרות. לא פגיעה במחקר.

אלא שינוי תמריץ.

מי שיודע ראשון ומגן על כולם — צריך להרוויח יותר ממי שיודע ראשון ומחכה שהשוק ייבהל.

השורה התחתונה

העולם הדיגיטלי יושב על פצצה מתקתקת, אבל הפצצה אינה רק מתקפת הסייבר הבאה.

הפצצה היא מודל התמריצים.

מערכת שבה מידע מציל חיים מוחזק כנכס פרטי.

מערכת שבה ידע מוקדם שווה כסף דווקא כשהוא עדיין לא שותף.

מערכת שבה חברות יכולות להיראות אחראיות באמצעות שיתוף חלקי, ועדיין לשמור לעצמן את שכבת הזהב.

מערכת שבה החוק מתעורר בעיקר אחרי שנגרם נזק, במקום לשאול מי ידע קודם.

האסון הבא לא יתחיל בהכרח בפיצוץ.

הוא יכול להתחיל בדוח שלא פורסם בזמן.

בהתרעה שנשארה אצל לקוחות פרימיום.

במודיעין שחיכה לשעת ביקוש.

בשוק שעשה בדיוק את מה ששוק יודע לעשות: להפוך פחד למוצר.

אבל כשמדובר בבתי חולים, תשתיות, ביטחון לאומי וחיי אדם — לא הכול יכול להישאר מוצר.

לפעמים ידע הוא לא רק נכס.

לפעמים ידע הוא חיסון.

וחיסון שמגיע אחרי שהמגפה כבר פרצה — הוא לא באמת חיסון. הוא חשבונית.