למה השאלון הוא מסמך מחייב ולא פורמליות

חברת הביטוח לא מגיעה לבקר במשרד. היא מתמחרת את הסיכון לפי מה שכתבתם בשאלון. לכן חוק חוזה הביטוח מחייב את המבוטח להשיב תשובה מלאה וכנה לשאלות בעניין מהותי, כלומר עניין שמשפיע על נכונותו של מבטח סביר לבטח אתכם או על התנאים שבהם יבטח.

אם מתברר בדיעבד שתשובה בעניין מהותי לא הייתה נכונה, החוק מאפשר למבטח לבטל את החוזה. ואם אירוע הביטוח כבר קרה, תגמולי הביטוח עלולים להיות מופחתים באופן יחסי, ובמקרים מסוימים המבטח פטור לחלוטין.

זה ההבדל בין שאלון הביטוח לכל טופס אחר שמילאתם השנה: אף אחד לא בודק את התשובות בזמן שאתם עונים. בודקים אותן אחרי אירוע, כשיש נזק, כשאתם צריכים את הכסף, וכשלמבטח יש אינטרס מובהק לבדוק לעומק.

מה בעצם שואלים בשאלון

הנוסח משתנה מחברה לחברה, אבל הליבה חוזרת. אלה הנושאים שכמעט תמיד נשאלים, ומה שבאמת מנסים לברר דרכם:

1. מי נכנס למערכות ואיך

האם יש אימות דו-שלבי, על מה הוא מוגדר, ומי מוגדר כמנהל מערכת. השאלה נראית טכנית, אבל היא הראשונה שבודקים אחרי אירוע, כי רוב החדירות מתחילות בחשבון של מישהו ולא בפריצה מתוחכמת.

2. הגנת קצה

האם מותקנת הגנה על העמדות והשרתים, ואם כן, האם מישהו מסתכל על ההתראות שלה. אנטי וירוס שמותקן ואיש לא קורא את ההתראות שלו הוא לא אותו דבר כמו הגנה מנוטרת, ובשאלון שתי התשובות נראות אותו הדבר.

3. גיבוי

לא רק אם יש גיבוי, אלא באיזו תדירות, האם עותק אחד מנותק מהרשת, ומתי בפעם האחרונה ביצעתם בדיקת שחזור בפועל. על השאלה הזו הכי הרבה עסקים עונים בביטחון, ובטעות. מה מבדיל גיבוי אמיתי מגיבוי שנראה טוב על הנייר מפורט בעמוד נפרד.

4. דואר אלקטרוני והתחזות

האם הדומיין שלכם מוגן מפני שליחת מיילים בשמכם, והאם יש סינון לתוכן נכנס. זו גם הבדיקה היחידה ברשימה שאפשר לאמת מבחוץ, בלי גישה לשום מערכת שלכם.

5. עדכוני אבטחה

האם מותקנים עדכונים, באיזו מדיניות, ותוך כמה זמן. השאלה מחפשת את הפער שבין "יש לנו עדכונים אוטומטיים" לבין "מישהו ווידא שהם באמת הותקנו בכל המחשבים".

6. נהלים ואירועי עבר

האם יש נוהל כתוב לטיפול באירוע, מי אחראי, והאם היה אצלכם אירוע בשנים האחרונות. אירוע שלא דווח והתגלה אחר כך הוא בדיוק המקרה שהחוק מתייחס אליו.

איפה עסקים נופלים, וזה כמעט תמיד אותו מקום

הטעות הנפוצה היא לא שקר אלא הנחה. מי שממלא את השאלון הוא בדרך כלל בעל המשרד או מנהלת המשרד, לא מי שמתחזק את המערכות, והוא עונה לפי מה שהוא מאמין שקיים.

אף אחת מהתשובות האלה לא ניתנה מתוך כוונה להטעות. בשאלון הן נראות בדיוק כמו תשובה מדויקת, ואת ההבדל מגלים רק אחרי אירוע.

ואם עוד אין לכם פוליסה

בדיוק אותן שאלות קובעות אם בכלל אפשר לבטח אתכם, ובאיזה מחיר. מבטחים בישראל מתייחסים היום לחלק מההגנות כאל תנאי סף ולא כאל יתרון, ומשרד שאין לו אימות דו-שלבי או גיבוי מנותק עלול לגלות שההצעה שקיבל יקרה, מוגבלת בכיסוי, או שלא ניתנה כלל.

המשמעות המעשית: השאלון הוא רשימת המשימות, לא המבחן. אם תסדרו את מה שהוא שואל עליו לפני שתמלאו אותו, גם תקבלו תנאים טובים יותר וגם תוכלו לענות עליו נכון.

איך עונים בלי לנחש

לא צריך פרויקט. צריך לוודא ארבעה דברים לפני שמסמנים וי, ולתעד את התשובה:

• מי מוגדר מנהל מערכת, וכמה כאלה יש. אם התשובה לא ידועה, זו התשובה.
• מתי בוצעה בדיקת השחזור האחרונה, ומה בדיוק שוחזר. "יש גיבוי" אינה תשובה לשאלה הזו.
• מי מקבל את ההתראות מהגנת הקצה. אם אף אחד, ההגנה מותקנת ולא מנוטרת.
• למי יש היום גישה מבחוץ. כולל ספקים, יועצים ועובדים שעזבו.

שתיים מהן אפשר לבדוק מבחוץ בלי לגעת בכלום. השאר דורשות מבט מבפנים, ואפשר לסגור אותן לפני מועד החידוש.

שאלות נפוצות

Why the questionnaire binds you

The insurer does not visit your office. It prices the risk from what you wrote. Israeli insurance contract law requires the insured to answer fully and honestly on material matters, meaning matters that affect whether a reasonable insurer would cover you at all, or on what terms.

If a material answer later turns out to be untrue, the insurer may cancel the contract. If the insured event already happened, payment can be reduced proportionally, and in certain cases the insurer is released entirely.

That is what separates this form from every other form you filled in this year: nobody checks your answers while you write them. They are checked after an incident, when there is damage, when you need the money, and when the insurer has every reason to look closely.

What the questionnaire asks

Wording differs between insurers, but the core repeats. These categories appear almost every time:

• Who gets into your systems, and how. Multi-factor authentication, what it covers, and who holds administrator rights.
• Endpoint protection. Not only whether it is installed, but whether anyone reads its alerts.
• Backup. Frequency, whether one copy is disconnected from the network, and when you last performed a test restore. See what separates a real backup from one that only looks good on paper.
• Email and impersonation. Whether your domain is protected against mail sent in your name. This is the only item on the list that can be verified from outside, with no access to your systems.
• Security updates. Policy, and how quickly they are actually applied.
• Procedures and past incidents. Whether a written incident procedure exists, and whether you have had an incident.

Where businesses trip, and it is nearly always the same place

The common mistake is not a lie. It is an assumption. The questionnaire is usually filled in by the owner or the office manager, not by whoever maintains the systems, and they answer according to what they believe exists.

The four riskiest boxes to tick without checking: "we have MFA" (usually partial, and rarely on admin interfaces), "we have backup" (nobody has restored from it, or it is network-connected so ransomware reaches it too), "we have antivirus" (installed, but nobody reads the alerts), and "only we access the data" (until you remember the software vendor, the accountant, and the employee who left a year ago).

And if you are not insured yet

The same questions decide whether you can be insured at all, and at what price. Some protections are treated today as a precondition rather than an advantage. In practice, the questionnaire is the task list, not the exam. Fix what it asks about before you fill it in and you get both better terms and an accurate answer.