GiliGold/VAD_KnessetCorpus huggingface dataset:
ליהי פלדמן: אנחנו מדברים כרגע על סעיף הכשירות של חוק הביקורת, שבו מדובר על רשימת קריטריונים פלוס ניסיון בביקורת פנים, והוא באמת לאו דווקא רלוונטי לתחום הזה.
ליהי פלדמן: אנחנו מציעים לקחת משם את הדרישות המקבילות, שאומרות: מבקר הוא מי שמתקיימים בו כל אלה: הוא יחיד, הוא תושב ישראל, הוא לא הורשע בעבירה שיש עמה קלון, הוא בעל תואר אקדמי ממוסד להשכלה גבוהה, או שהוא רואה חשבון או שהוא עורך-דין, והדרישה המיוחדת שאנחנו מוסיפים היא שהוא בעל הסמכה מקובלת – לעניין זה, הסמכה מקובלת היא הסמכה CISSP, או WEBTRUST, או CYSTRUST או הסמכה אחרת שאישר הרשם - או שהוא בעל ניסיון של חמש שנים רצופות בביקורת במערכות מידע, או באבטחת מערכות מידע, שזאת ההכשרה הספציפית שאנחנו צריכים בתחום הזה.
מיכאל איתן: מה יש להם להגיד נגד?
ליהי פלדמן: אין להם.
מיכאל איתן: אז למי יש משהו נגד זה?
ליהי פלדמן: זה לא הנוסח המקורי.
ירון הרמן: הנוסח שהובא בפנינו היום אינו הנוסח הזה שהוצע עכשיו על-ידי ליהי.
מיכאל איתן: ועל הנוסח הזה יש הסכמה?
אליעזר כהן: אנחנו מסכימים.
יורם הכהן: לגבי הדרישה לניסיון של חמש שנים, האם זאת דרישה נוספת או דרישה חלופית?
ליהי פלדמן: הסמכה מקובלת אחת מאלה, או ניסיון של חמש שנים.
יורם הכהן: חמש שנים באבטחת מידע?
ליהי פלדמן: זה מאד רחב.
אבי שוורץ: האם בסופו של דבר הוא חייב להיות רואה חשבון או עורך דין?
אבי שוורץ: הוא יכול להיות CISSP, גם אם הוא לא רואה חשבון?
אבי שוורץ: !
טנה שפניץ: נכון.
מיכאל איתן: אותי מעניין לדעת מי הם הגופים המוסמכים להוציא הסמכות.
אבי שוורץ: אבי פרידמן אולי יענה לגבי הנושא של ה-WEBT
אבי שוורץ: RUST וה-CYSTRUST.
אבי שוורץ: CISA זה גוף בינלאומי, שמקורו באיגוד רואי החשבון האמריקאי.
אבי שוורץ: גם בישראל יש איגוד המבקרים.
אבי שוורץ: CISSP זה ארגון פרטי.
מיכאל איתן: האם להסמכות שמוציא איגוד המבקרים יש איזשהו מעמד פורמלי בחקיקה האמריקאית?
אבי שוורץ: אני לא יודע.
מיכאל איתן: אני מבקש לבדוק את זה.
מיכאל איתן: אני לא מוכן שאנחנו נקדם עסקים פרטיים וגופים וולונטריים, אם אין לזה תקדים ואין לזה הכרה.
מיכאל איתן: WEBTRUST, למיטב ידיעתי – אני לא בטוח – זה גוף מסחרי פרטי, אז למה לי להכניס אותו פה בכלל?
אבי שוורץ: גם CISSP זה גוף פרטי.
מיכאל איתן: אנחנו קובעים שגוף פרטי קובע כישורים למישהו שהחוק הישראלי נותן לו מעמד?
ליהי פלדמן: התקינה המקובלת בנושאים האלה בחקיקה במקומות שונים בעולם היא שכן יש הפניה למבחנים האלה ולהסמכות האלה.
מיכאל איתן: אם מחר תבוא איזו פירמה אחרת ותגיד שגם היא רוצה, מה תגידי לה?
ליהי פלדמן: קודם כל, השארנו את זה מאד פתוח ורחב, ולהנחת דעתו של הרשם.
ליהי פלדמן: אלה היום הגופים שהם פעילים ומקובלים, ואלה ההסמכות שמוכרות גם בחקיקה הזרה.
מיכאל איתן: אז אני מעדיף שיהיה כתוב להנחת דעתו של הרשם.
מיכאל איתן: אני לא חושב שיש הגיון שנכניס, אפילו לחקיקה משנה, שמות של גופים פרטיים.
מיכאל איתן: תאר לעצמך שאנחנו כותבים שזה צריך לעבור אישור של "אסם".
טנה שפניץ: זה אמנם מה שראינו בחקיקות בחוץ לארץ, אבל אני מסכימה.
מיכאל איתן: היא לא אמרה שזה מופיע שם.
ליהי פלדמן: יש הפניות כאלה בתקנות חתימה אלקטרונית של כל מיני מדינות.
טנה שפניץ: אבל גם הרשם יכול להסתכל בזה.
מיכאל איתן: כדאי שהרשם יסתכל ויחליט.
אבי פרידמן: הרעיון של הפניות הוא רעיון נכון.
מיכאל איתן: אבל יש הבדל בין אדם שאומר שהוא צריך לספק את רצונו של הרשם, לענות על דרישותיו ולעשות עליו רושם טוב, ואז הוא מביא את כל האישורים ואת כל התעודות, והוא גם יכול להביא תעודות מבית-ספר פרטי ומחברה פרטית, ולכן הרשם יאמר: התרשמתי באופן כללי ולכן אני נותן אישור, לבין מצב שבו אני כותב בתקנה בישראל שאיזה עסק פרטי נתן אישור, וזה מחייב אותי להכיר בו.
אליעזר כהן: ברגע זה נוח לנו להסתמך על ההסמכות שלו, אבל יותר מאוחר אתה עלול להשתעבד לו.
אליעזר כהן: זו הערה נכונה.
מיכאל איתן: גם יבואו פירמות אחרות.
מיכאל איתן: למה אני צריך להיכנס לעסקים פרטיים?
ירון הרמן: ישנם דברי חקיקת משנה גם בארץ, שמכירים בגופים שהם לאו דווקא גופים פרטיים מסחריים, אבל גם כאלה, למשל: כל ההכרה לצורך תארים אקדמיים, מוסדות להשכלה גבוהה כאלה ואחרים.
ירון הרמן: לא תמיד אלה גופים ממשלתיים, לפעמים אלה גופים פרטיים.
מיכאל איתן: לפני שאלה "זכו", אתה יודע איזה בדיקות הם עברו?
ירון הרמן: הגופים האלה הם גופים בינלאומיים, שזכו להכרה של הממשל האמריקאי והאירופי.
מיכאל איתן: זה לא כל-כך חשוב, זה באמת עסק שולי.
אליעזר כהן: זה גם ברור.
מיכאל איתן: אף אחד מאתנו לא בדק את זה, אני לא מכיר את האותיות האלה.
ירון הרמן: אנחנו העברנו לוועדה חומר רב בנושא הזה, כולל סקירה ודברים של הממשל האמריקאי, שמבססים את ההכרה הבינלאומית, כולל ההסכמים הבינלאומיים שנחתמו בנושא.
ירון הרמן: זה נמצא בפני הוועדה, היא תעיין בהם, ואם נצטרך, נספק חומר נוסף.
אליעזר כהן: אין שום רע שיבדקו את זה עוד פעם.
ירון הרמן: אני רק מזכיר, שכל נושא האינטרנט, בסופו של דבר לא מוסדר בחקיקה בכלל.
ירון הרמן: כל הסטנדרטיזציה של התחומים האלה, כולל שמות הדומיינים ו-1,001 נושאים אחרים בתחום הזה הוא מאד ייחודי מבחינת המטריה שלו לעומת דברי חקיקה אחרים.
מיכאל איתן: אני אומר עוד פעם, שבכל מקום שאני לא חייב מבחינת העניין, אני מעדיף שלא.
מיכאל איתן: אני יכול להשאיר את זה לרשם כהתרשמות כללית, אבל אני לא בעד להכניס את זה לכאן.
אבי פרידמן: במקום הפירוט של האותיות, יופיע "מי שיניח את דעתו של הרשם", או משהו כזה.
טנה שפניץ: שהוא בעל מומחיות בתחום הזה והזה.
אסתר סקורניק: בניסוח היה כתוב: בעל תואר אקדמאי, או עורך-דין, או רואה חשבון, מה הרבותא?
מיכאל איתן: היום יש רואי חשבון שהם לא אקדמאים.
מיכאל איתן: נשארו עוד כאלה משרידי העבר.
אסתר סקורניק: ועורכי דין?
מיכאל איתן: אני לא חושב.
אסתר סקורניק: אין שום רבותא לזה שאתה עורך-דין.
אבי פרידמן: יש, כללי הרישוי שנקבעו בדין.
אבי פרידמן: יש כללי רישוי שנקבעו בדין, נבחנו ונבדקו והוכחו למחוקק.
חנה אזולאי: רציתי להעיר לעניין הסיפא של התקנה.
חנה אזולאי: כתוב: "בדבר התאמת מערכותיו של מבקש הרישום לתקני בקרה ואבטחה מקובלים", ואז מופיעה ההגדרה שלהם, שעליה דיברנו עכשיו.
חנה אזולאי: בסעיף 5 לתקנות הקודמות של הוועדה לענייני פיתוח ומחקר מדעי וטכנולוגי, כתוב באיזו רמת אבטחה צריכים לעמוד מרכיבי מערכת המחשב של הגורם המאשר, שמשמשים לזיהוי המבקש, להנפקת התעודה ולביטולה, שאלה רוב הפעולות.
חנה אזולאי: למה לא להפנות פשוט לתקנים המפורטים בתקנות חתימה אלקטרונית (חתימה אלקטרונית מאובטחת, מערכות חומרה ותוכנה ובדיקת בקשות)?
חנה אזולאי: יש כאן איזושהי סתירה.
ליהי פלדמן: הסעיף הזה עוסק בנהלי ביקורת, בכללים המקובלים בתחום הביקורת, שהבסיס לרמת הסטנדרט יהיה באמת מה שקבוע בתקנות חומרה ותוכנה.
יהושע פרייס: רציתי להגיד משהו לגבי העומס שעלול להיות על גורם מאשר עם כל מיני תקנות ותקנים שיוטלו עליו, כמו הנושא של ה-WEBT
יהושע פרייס: RUST לעומת הת"י 7799 ו-ISO 9000 שעלה כאן.
יהושע פרייס: אני חושב ש-ISO 9000 יחד עם ת"י 7799 נותנים כיסוי מלא לכל מה שהגורם המאשר צריך לעניין האבטחה בנושא אבטחת המידע ולעניין האיכות שהוא צריך לתת.
גבי גרינשטיין: CISA זה תואר של לשכת מבקרי ענ"א בארצות-הברית.
גבי גרינשטיין: אנשים שלומדים בארץ קורס מבקרי ענ"א - -
מיכאל איתן: אני מתנצל אם היה איזה שמץ של ביקורת כלפי איזשהו תואר מהתארים שדיברנו עליהם.
מיכאל איתן: אני רק אמרתי את הדברים ברמה העקרונית.
אליעזר כהן: צריך רק לבדוק את זה.
ירון הרמן: האם הכוונה היא שגם בסעיף 2(2) יהיה תיקון, ושזה גם יעבור לסמכות הגורם המאשר?
ירון הרמן: אמר חבר-הכנסת איתן, שכל נושא ההתאמה לדרישות הסטנדרטים ייקבע על-ידי הרשם.
מיכאל איתן: לא, התייחסתי לפסקה (7).
ירון הרמן: בהתייחס להערה של מכון התקנים, אם קובעים את כל הסטנדרטיזציה במסגרת הסמכות של הרשם, אני מבין שתקן 7799 כלל עוד לא קיים, והוא בהכנה.
מיכאל איתן: הוא קיים, אבל אנחנו לא מתייחסים לזה כעת.
ירון הרמן: אני מבחין בין הנושא של הכשירות של הגורם המאשר לבין הסטנדרט שהוא צריך לבדוק.
ירון הרמן: סעיף (7) מתייחס לכשירות של הגורם המאשר.
מיכאל איתן: לזה התייחסנו, ותו לא.
צבי אילן: אגב, זה לא מדויק.
צבי אילן: כתוב שזה בדבר התאמת מערכותיו של המבקש.
אליעזר כהן: אנחנו נחזור לעניין שהעלה עופר ישי מהאוצר.
אליעזר כהן: הוא מבקש להוסיף סעיף נוסף על ISO 9000 ואבטחת איכות בשני מקומות.
טנה שפניץ: אנחנו חשבנו שתקן 7799 צריך להספיק.
טנה שפניץ: האם אתם אומרים ש-ISO 9000 זה דבר נוסף?
עופר עגור: 7799 זה תקן לניהול אבטחת מידע, ו-ISO 9000 אלה תקני איכות.
עופר עגור: אלה דברים אחרים, ואין חפיפה בין הדברים.
טנה שפניץ: שניהם דרושים?
עופר עגור: כן.
אבי פרידמן: גם לזה יש ריח מסחרי לחלוטין, עובדה שמשרדי הממשלה אינם אוכפים את ה-ISO.
אבי פרידמן: אני לא מתנגד ל-ISO, זה דבר נהדר, אבל מפעילים אותו גופים פרטיים.
אבי פרידמן: ISO 9000
אבי פרידמן: מבוצע על-ידי גופים פרטיים בשוק, שזה אחד ממקורות ההכנסה שלהם.
אבי פרידמן: זה לא מייחד רק את מכון התקנים, ויש לו ריח מסחרי, בדיוק כמו לכל דבר אחר.
ירון הרמן: בדיוק כמו סטנדרט של WEBTRUST, או כל סטנדרט של CYSTRUST.
עופר ישי: אני קודם כל מצהיר, שהמטרה שלנו היא לוודא שאותו CA יעבוד לפי תקנים של אבטחת איכות.
עופר ישי: הדבר הזה משמעותי.
עופר ישי: מי שהתעסק במערכות מידע, בעיקר בערכות מידע מורכבות, יודע עד כמה זה קריטי.
עופר ישי: אני לא מאחל לאף אחד לעבוד עם גוף שלא השקיע והטמיע את הנושא של מדיניות האיכות, כי זה באמת בנפשנו.
עופר ישי: אין לזה שום קשר לנושא מסחרי.
עופר ישי: גם ההסמכה של זה לא רק נעשית על-ידי גוף אחד.
עופר ישי: אנחנו רוצים בין היתר להביא לכך שיתאימו בחוץ לארץ חתימות אלקטרוניות שהונפקו בישראל.
עופר ישי: זה גם איזשהו שידור כלפי חוץ, כי היתרון הוא שזה דבר מבוסס וידוע, שגם חברות לא בתחום המחשוב עושות את זה, כי הן מבינות כמה שזה חשוב.
עופר ישי: מדובר על גוף שמלבד הטכנולוגיה יש לו הרבה נהלים בנושאים שעונים על שאלות, כמו: איך מזמינים, איך רושמים, מי ישמור על השומרים?
עופר ישי: אנחנו צריכים מישהו, כמו: מנהל אבטחת איכות בארגון, שיבדוק שמבצעים את הדברים.
עופר ישי: אני אומר לכם שאין לזה שום קשר לנושא מסחרי, וחבל שמעלים את זה, כי זה לא לעניין.
עופר ישי: זה דבר מהותי ונדרש.
יורם הכהן: אנחנו חושבים שהרעיון הוא רעיון טוב, לא מדובר באיזושהי פעילות עלומה.
יורם הכהן: אנחנו מבקשים שזה לא יהיה תנאי הכרחי לרישום, מכיוון שלמיטב ידיעתנו, אף אחד מהגורמים שמתעתדים בטווח הקרוב להיות גורמים מאשרים לא עומד בתקן הזה.
יורם הכהן: זה תהליך לא פשוט ולא קצר, ולדרוש את זה כדרישת הכרח לרישום, משמעותו דחייה בעצם הפעלת החוק.
יורם הכהן: לכן, גם במשרדי הממשלה מוכר הסטטוס של ISO 9000 בתהליך, זאת אומרת: שארגון נכנס לתהליך של ISO 9000.
יוסי אבני: בהתייחס לתקן ISO 9000, קודם כל תקן ISO 9000 מסווג ומפריד בין חברה יצרנית לחברה שנותנת שירות.
יהושע פרייס: כבר לא.
יוסי אבני: הגורם המאשר הוא נותן שירות.
יוסי אבני: נניח ניקח חברה שמייצגת חברה בחוץ לארץ שתהיה גורם מאשר, והיא תשווק מוצר.
יוסי אבני: השאלה היא האם הוא צריך להיות בהתאם לתקנים של ISO 9000, והאם התקן יחייב את היצרן לעמוד בתקן ISO 9000.
יוסי אבני: צריך להתייחס לכל הנקודות האלה.
יהושע פרייס: בהמשך למה שנאמר כאן, ובגלל הגודש של התהליכים שגוף מאשר יצטרך לעבור, אני בהחלט מקבל, גם כמייצג את מכון התקנים, שארגון שירצה להירשם כגורם מאשר, ייכנס לתהליכים של הסמכה ל-ISO 9000, ויצטרך תוך שנה מיום הרישום שלו לעבור את ההסמכה.
יהושע פרייס: בצורה כזאת יינתן לו פרק הזמן המספיק, כדי להטמיע את הנהלים ולעשות כל מה שנדרש.
ליהי פלדמן: אני ממשיכה לקרוא: "פרק ג': ערבות, ערובה אחרת וביטוח ערבות בנקאית 6. (א) קבע הרשם כי גורם מאשר יפקיד בידיו ערבות בנקאית, תהיה הערבות וערובה אחרת בסכום של 400,000 שקלים חדשים, לטובת הרשם.
ליהי פלדמן: (ב) הערבות תהיה בלתי מותנית, ולא תהיה ניתנת לביטול, שיעבוד או עיקול, אלא לפי תקנות אלה.
ליהי פלדמן: (ג) נוסח כתב הערבות יהיה להנחת דעתו של הרשם.
ליהי פלדמן: (ד) הרשם רשאי לשנות את סכום הערבות הבנקאית, אם ראה כי נסיבות העניין מצדיקות זאת, מטעמים שיירשמו.
ליהי פלדמן: (ה) גורם מאשר יבטיח כי בכל עת לא יפחת סכום הערבות מהסכום האמור בתקנת משנה (א) או מהסכום שקבע הרשם.
ליהי פלדמן: (ו) הרשם רשאי להורות כי במקום ערבות בנקאית, כאמור בתקנת משנה (א), תופקד ערובה אחרת לטובתו; על ערובה אחרת כאמור יחולו הוראות תקנות משנה (ב) עד (ה), בשינויים המחויבים.
אמיר שרף: בקשר לערבות ובקשר לביטוח, סעיף 19(א)(8) לחוק קובע שניתן להתנות בתעודה האלקטרונית סוגי עסקאות שניתן להסתמך עליהן לצורך התעודה וסכומים של עסקאות.
אמיר שרף: סעיף 21 לחוק קובע שהגורם המאשר פטור מחבות לנזק שנגרם לצד שלישי.
אמיר שרף: התקנות שלפנינו - גם הערבות וגם הביטוח - לא מתייחסות בכלל לסוגי העסקאות ולהיקפים שלהן לצורך קביעת גובה הערובה וגובה הביטוח.
אמיר שרף: נראה לי שייווצר מצב שתעודה אלקטרונית, שלמשל משמשת לעסקאות קטנות בסכומים מאד קטנים, שוות ערך לתעודה אלקטרונית בסכומים מאד גבוהים, או אפילו לעסקאות שאין להן שום מגבלה, כמו: חתימה אלקטרונית על דו"חות כספיים, כשאז היקף החשיפה הוא בלתי ידוע בכלל.
אמיר שרף: לכן אני חושב שצריך לקבוע מגבלות של שלבים פר סוגי עסקאות ופר היקפים שלהן, הן בערבות והן בביטוח.
מיכאל איתן: אני חשבתי על זה, אבל לדעתי, זה יגרום לסרבול גדול, כי אתה יכול לקחת חברה שחייבת להוציא תעודות נגיד עד גובה מסוים, אבל ההיקפים יכולים להיות - -
טנה שפניץ: ומחר היא גם משנה.
אמיר שרף: זאת יכולה להיות מכפלה.
מיכאל איתן: אז נמנה עכשיו עוד פקיד שגם יערוך בדיקה, ומישהו שיעשה ביקורת, ואז לא נגמור עם זה.
אמיר שרף: השאלה היא מה המטרה של הערובה והביטוח.
אמיר שרף: כמו שהבנתי, המטרה שלהן היא להגן על צדדים שלישיים, במקרה שיש כשל במנגנון של הנפקת התעודה או של הביטול שלה כלפי צדדים שלישיים, שהסתמכו על התעודה.
מיכאל איתן: זה כמו חברות ביטוח.
אמיר שרף: הן קובעות את הפרמיה בהתאם לסיכון.
מיכאל איתן: כן, אבל הן נותנות איזושהי ערובה אחת, ועל סמך זה הן עושות ביטוחים קטנים וגדולים.
אמיר שרף: אני רוצה לקחת דוגמה מתחום קצת שונה, למשל: מנהלי תיקים, שצריכים להפקיד ערבות בנקאית, ביטוח, או הון עצמי.
אמיר שרף: זה נקבע ביחס להיקף הנכסים שהם מנהלים, זאת אומרת: ככל שהם מנהלים סכומים קטנים יותר, היקף הנזק שהם יכולים לגרום, תיאורטית קטן יותר.
אמיר שרף: ככל שהסכום גדול יותר, היקף הנזק גדול יותר.
טנה שפניץ: אמיר, אבל איך זה יהיה בחיים?
טנה שפניץ: היום הוא אומר שהוא עושה עסקאות קטנות, וגם נתנו לרשם איזשהו שיקול דעת לרדת, או לשנות את סכום הערובה בסעיף.
טנה שפניץ: מחר הוא ייכנס לתחומים אחרים, אז האם הוא יצטרך לחזור אליי, ואני אעשה לו התאמה של הערבות?
טנה שפניץ: זה לא מעשי.
טנה שפניץ: אני לא יכולה לעקוב אחריו, ולבדוק האם מחר הוא יעשה עסקאות יותר גדולות.
ליהי פלדמן: קבענו נקודת מוצא עם סמכות לסגת.
טנה שפניץ: אני לא יכולה לשמור עליו כל הזמן.
אליעזר כהן: זו באמת שאלה, איך אפשר יהיה לעקוב אחרי זה.
אמיר שרף: לפי הגישה הזאת של טנה, אני מציע בכלל לוותר על זה, כי זה בעצם לא נועד לפתור איזושהי בעיה.
מיכאל איתן: אני קראתי השגה של רואי החשבון.
מיכאל איתן: הם רוצים להגיע למצב, שגם רואי חשבון במשרדים קטנים יוכלו להיות גורם מאשר.
מיכאל איתן: באופן טבעי, כדי לעודד את הציבור שלהם, הם רוצים להוריד את הסכום עוד יותר, כי גם הסכום שנקבע הוא גבוה.
מיכאל איתן: חשבתי אולי ש-400,000 שקל הם דמי רצינות.
מיכאל איתן: אם אתה רוצה לפתוח עסק, תביא ערבות של 400,000 שקל, ואם אתה לא מסוגל לקחת ערבות של 400,000 שקל או 100,000 דולר, אל תתעסק בעסק הזה.
מיכאל איתן: זה לא מתחיל מדוכן פלאפל.
טנה שפניץ: מה מטריד אותך?
טנה שפניץ: על מי אתה מגן?
אמיר שרף: מה שמטריד אותי פה זה צדדים שלישיים, שהסתמכו על אותן תעודות אלקטרוניות, ובסופו של דבר, יבואו לתבוע בצדק, ובית-משפט יכריע שהם ניזוקו כתוצאה מההסתמכות הזאת, אבל הכסף שיהיה לכסות עליהם הוא זניח ואפסי, למשל: אם מדובר בגורם מאשר שהנפיק תעודות מאשרות על עסקאות אדירות, או על סוגי עסקאות שאי אפשר בכלל לכמת את החשיפה שלהן, ובעצם מה שיש להם זה 400,000 שקל או מיליון שקל, שזה סכום עלוב, כשאנחנו מדברים במונחים של חשיפות אפשריות.
אמיר שרף: אני חושב שמה שנכון לעשות זה איזשהו מנגנון מתעדכן כל חצי שנה או שנה, שבו הגורם המאשר צריך לדווח על היקף החשיפה שלו.
אמיר שרף: היקף החשיפה יהיה המכפלה של מספר התעודות כפול היקף העסקאות שהוא הגביל.
מיכאל איתן: אבל איך הוא יידע?
אמיר שרף: לגורמים המאשרים יש חובה לדווח לרשם.
מיכאל איתן: אני לא מבין, איך הוא יידע מה היקף העסקה?
אמיר שרף: בואו נחזור רגע לחוק.
אמיר שרף: החוק קובע שגורם מאשר יכול לקבוע בתעודה האלקטרונית - -
מיכאל איתן: הוא יכול, אבל הוא לא חייב.
אמיר שרף: אבל אם הוא לא חייב, הוא יהיה ברמה הגבוהה ביותר, אבל מכיוון שסעיף 21 לחוק אומר: קבע גורם מאשר הגבלות על סוגי השימוש בתעודה, או על סכום העסקאות שלגביהן ניתן לעשות שימוש בתעודה, לא יהיה הגורם המאשר אחראי לנזק שנגרם עקב שימוש החורג מההגבלה, ובלבד שההגבלה הזאת תפורט בתעודה.
אמיר שרף: משמעות הדבר היא שגורם מאשר ישאל את האדם שיבוא אליו: מה אתה רוצה לעשות עם זה?
אמיר שרף: אם הוא רוצה בלי מגבלה, הסכום שאותו לקוח ישלם לגורם מאשר יהיה בהתאם.
אמיר שרף: אם הוא יגיד לו שהוא רוצה עסקאות רק עד 1,000 שקלים כל פעם, הסכום שהגורם המאשר יגבה יהיה בהתאם לחשיפה שיש לו.
אבי נגר: יש פה בעיה בהבנה של תפקידו של הגורם המאשר, כי בסופו של דבר, הגורם המאשר הנפיק את התעודה הדיגיטלית, ובעזרתה מתבצעות חתימות על עסקאות או על צ'קים, כשלא בטוח שלגורם המאשר יש פיקוח מלא על הסכומים עליהם חתמו.
אבי נגר: הנושא של הערבות חוזר לשאלה ששאלת, למה אנחנו שמים פה את הערבות?
אבי נגר: אם הערבות היא איזשהו חסם רצינות, יש לה איזשהו הגיון מסוים.
אבי נגר: אם הערבות היא ערבות על העסקאות שהתבצעו בעזרת הגורם המאשר, אני קצת בספק, כי בואו ניקח אולי גם את כמות העסקאות שמתבצעות.
מיכאל איתן: הוא לא יכול לדעת.
אבי נגר: יש פה איזשהו אלמנט שהוא לא הגיוני.
מיכאל איתן: כל חוזה שפלוני יעשה עם פלמוני על גרגר של פלפל, או על חצי האי מנהטן – איך הוא יידע מה לעשות עם זה, והם חתמו?
אמיר שרף: בשביל זה קיים סעיף שאומר: מידע בדבר קיומן של הגבלות על השימושים המותרים בתעודה, אם על סכום או על סוג עסקה, יופיע בתעודה.
אמיר שרף: אם אין שום מגבלה, כמובן שאי אפשר לדעת, ואז אנחנו צריכים לקחת, לפי דעתי, סכום גבוה בהרבה.
מיכאל איתן: כמה?
אמיר שרף: אני לא יודע כמה, אבל מדובר בהרבה.
אמיר שרף: אני מאמין שכדי להקטין את החשיפה של הגורמים המאשרים - כי כך הם שומרים על עצמם – יקבעו מגבלות, אם הם יכולים, בהתאם להסכם שלהם עם אותו לקוח, ולכן יהיה להם מידע על היקף החשיפה התיאורטי שלהם.
אמיר שרף: כמובן שסכום הביטוח לא צריך להיות בגובה סכום העסקאות, אלא איזושהי נגזרת.
יורם הכהן: הגורם המאשר אחראי רק לנכונות תהליך הזיהוי, וזה אולי מחזיר אותנו לדיון שקיימנו בשבוע שעבר בעניין של משרד הפנים כן או לא.
יורם הכהן: תעודה שזוהתה תוך הסתמכות על משרד הפנים - המעמד שלה יותר גבוה, ולכן לצורך העניין זאת תהיה תעודת ג'וקר, שאתה יכול לעשות איתה כל מה שאתה רוצה, כי מבחינת החשיפה שלי, אני יודע שתהליך הזיהוי שעשיתי הוא המקסימלי האפשרי, ויכול להיות שאני אעשה גם תהליך נוסף, שהוא לא קשור לרשויות ממשלתיות.
יורם הכהן: אני אעשה בדיקה בדן אנד ברדסטריט לצורך העניין, אם זאת תעודה לתאגיד, אבל אין זיקה ישירה לעסקה.
אמיר שרף: אז מה המשמעות של סעיף 21(ב) שפוטר את הגורם המאשר מאחריות, אם הוא הגביל את סכום העסקאות?
ליהי פלדמן: יש אופציה כזאת, והיא מתייחסת לדירקטיבה האירופית.
מיכאל איתן: בתחום שבו הוא אחראי, יש לו גם שם אחריות מופחתת, אם הוא הגביל את סכום העסקאות.
אמיר שרף: אם הוא הגביל.
מיכאל איתן: נראה לי שאנחנו קצת מקדימים את זמננו.
מיכאל איתן: השאלה שהעלית היא שאלה סופר רצינית, אבל היא תלויה בהתפתחות של הענף הזה.
מיכאל איתן: אנחנו עוד לא יודעים בדיוק איך זה יהיה, כי אתה יוצר קשר בין הגורם המאשר לבין העסקה עצמה.
אבי פרידמן: אתה הופך אותו למעריך סיכונים כלכליים.
מיכאל איתן: בקונספט שלך היקף האחריות שלו מתייחס כעת למה שיעשו האנשים, שהוא נותן להם את האפשרות להנפיק את התעודות.
מיכאל איתן: אנחנו לא עבדנו כך, אבל יכול להיות שכן צריך לעבוד כך.
אמיר שרף: יכול להיות שלא הסברתי את עצמי טוב.
טנה שפניץ: אמיר, סליחה שאני מפסיקה אותך, כי אני חושבת שהסברת מצוין.
טנה שפניץ: אני לא דורשת מהגורם המאשר להגביל את עצמו.
טנה שפניץ: אני לא דורשת ממנו להגיד לי בתור רשם, איזה תעודות הוא מנפיק, איזו הגבלת אחריות הוא יעשה, ואני לא דורשת ממנו לשמור על הרמה הזאת חצי שנה.
טנה שפניץ: אם הוא מבחינה עסקית פתאום רוצה להיכנס לעסקאות הרבה יותר גדולות, הוא יכול לעשות את זה.
טנה שפניץ: לכן אתה אומר שכל חצי שנה הוא ידווח לי?
טנה שפניץ: מה שהוא יעשה בחודש הרביעי של חצי שנה זאת, יכול להיות מעל ומעבר.
מיכאל איתן: אני רוצה להגן על מה שהוא אומר.
מיכאל איתן: הוא אומר שזה בכלל לא עניין שהוא צריך לדווח או לא.
מיכאל איתן: זאת בעיה שלו, כי הוא חושף את עצמו לאחריות כזאת או אחרת.
טנה שפניץ: אבל הוא כותב לי 400,000 שקל, ואני עושה עסקאות קטנות.
טנה שפניץ: מחר הוא ירצה להיכנס לעסקאות יותר גדולות, והוא עדיין ב-400,000 שקל.
אמיר שרף: פר תעודה, לא פר עסקה.
אמיר שרף: התעודה מגבילה את הסכומים שלה.
מיכאל איתן: הוא אומר שכשהוא נתן ערבות של 400,000 שקל, הוא עובר עבירה פלילית, אם הוא מאפשר הוצאת תעודות - -
אמיר שרף: או שהוא מייד צריך להגדיל את הערבות, בהתאם לתעודות שהוא מנפיק.
טנה שפניץ: מי יבדוק את זה?
טנה שפניץ: ולמה לי להיכנס לו לקרביים?
אמיר שרף: רשם הגורמים המאשרים צריך לקחת את הדיווח מהגורם המאשר.
מיכאל איתן: מבעל אמצעי החתימה.
אמיר שרף: לא, הגורם המאשר יכול להגיד: אני מנפיק רק תעודות לא מוגבלות בסכום.
אמיר שרף: הוא יכול להגיד: אני מנפיק תעודות רק לעסקאות עד 1,000 שקלים, ותיקבע לו ערבות נמוכה יותר.
אמיר שרף: רשם הגורמים המאשרים רק יאמר לו: זאת החשיפה שלך, וזה הסכום שאתה צריך להפקיד.
אמיר שרף: סעיף 11(א)(3) אומר את מטרת הערבות:
אמיר שרף: הגורם המאשר הפקיד ערבות בנקאית או ערובה מתאימה אחרת...
אמיר שרף: הכל לפי קביעת הרשם, לשם הבטחת פיצויו של מי שנפגע עקב מעשה או מחדל של הגורם המאשר.
אמיר שרף: לא מדובר על אחריות לעסקאות עצמן, אלא לפעילות של הגורם המאשר, למשל: הוא לא בדק את האדם ונתן לו תעודה אלקטרונית, בלי הגבלה של סכום.
אמיר שרף: מי שהסתמך על זה, נפגע.
אמיר שרף: זאת מטרת הביטוח, ולכן היקף הביטוח צריך להיות בהתאמה להיקף החשיפה שעשויה להיגרם לצדדים שלישיים.
מיכאל איתן: מה אומרים אנשי הביזנס?
יורם הכהן: צריך לזכור שגם תעודה עם הגבלה של 1,000 דולר או 1,000 שקל – אפשר להשתמש בה מיליון פעם, ואני לא אדע מזה שום דבר.
יורם הכהן: אם למשל כולם סומכים על התעודה שאני מנפיק, כי היא נחשבת תעודה טובה, אנשים לא ילכו לבדוק בכלל האם התעודה תקפה או לא, כי זה 1,000 שקל ולא שווה לי את עלות הבדיקה.
יורם הכהן: אז יכול להיות מצב שיש עסקה בהיקף של מיליארד שקל, שאני בכלל לא יודע עליה.
מיכאל איתן: אני אמרתי את הטיעון הזה כבר לפני רבע שעה.
מיכאל איתן: בסדר, אתה צודק, אבל האם אין כאן הגנה, כאשר אנחנו מדברים על עסקאות בודדות, שהן בסכומים יותר גבוהים, לעומת הרבה עסקאות, שבהן יכולה להיות רשלנות של הגורם המאשר?
מיכאל איתן: הסיכון שייגרם נזק לאותו גורם שלישי תמים הוא יותר קטן, כאשר זה יתבצע על-ידי הרבה עסקאות בודדות, מאשר כאשר זה תתבצע עסקה אחת, ואז אני יכול לפחות להגן עליו במידה מסוימת, כלומר: אם אני הולך בשיטה הזאת, נכון שלא פתרתי את הבעיה של הרבה עסקאות בודדות, אבל כן פתרתי את הבעיה, כשאין כיסוי מספיק להגן על אותו נפגע, כאשר היתה עסקה אחת, הגורם המאשר פעל ברשלנות, ואין לו כסף וגם אין מי שיפצה אותו.
יורם הכהן: ראשית, הפתרון הזה הוא באמת פתרון ביטוחי של רשלנות מקצועית.
יורם הכהן: זה המודל הביטוחי שנמצא, כי אנחנו רק מדברים על סיטואציה של רשלנות מקצועית.
יורם הכהן: צריך לזכור שהצד המסת
יורם הכהן: מך הוא לא מסתמך בעלמא.
מיכאל איתן: אנחנו מדברים על מצב שהגורם המאשר היה או פלילי, או פעל ברשלנות וחייב לשלם פיצוי למי שהוא גרם לו נזק.
מיכאל איתן: אז בא האדם אלינו ואומר: אני הפסדתי פה 10,000,000 דולר, ויש פה ערבות על סך 400,000 שקל, מה אתם עשיתם?
יורם הכהן: אבל יש פה גם ביטוח.
מיכאל איתן: בסדר, גם הביטוח לא מותנה בגדלים.
טנה שפניץ: התשובה היא שאחד כזה יודע שבחוק זאת הגבלת האחריות.
אמיר שרף: זאת אומרת שאין הגנה.
טנה שפניץ: אם הוא הולך לעשות עסקה מאד גדולה, שיעשה ביטוח נוסף.
זאב שטח: מתחילת הליך החקיקה, נקטנו בגישה שהחתימה לא קשורה לעסקה.
זאב שטח: אני חושב שנקטנו בגישה הזאת לכל אורך החוק.
זאב שטח: אני מבין ש-400,000 שקל, כמו שאמרו כאן ידידיי וכמו שאתה אמרת, הם דמי רצינות.
אמיר שרף: זאת בדיחה.
מיכאל איתן: תהיתי מתי תעלה את הטיעון הזה.
זאב שטח: הביטוח צריך לכסות את המקרה הזה שדובר עליו ואת הסכום הגבוה הזה, ולא הערבות.
אמיר שרף: זה אותו כסף, מה זה משנה אם זה בערובה או בביטוח?
מיכאל איתן: שברנו את העיקרון גם בעניין הביטוח, לא?
זאב שטח: יידע זה שקונה את החתימה מגורם מאשר מסוים, שפה הוא מבוטח כך ופה הוא מבוטח אחרת, ויידע שאם הוא מתקשר עם גורם מאשר א', הוא מבוטח עד סכום כזה, ואם הוא מתקשר עם גורם מאשר ב', הוא מבוטח עד סכום אחר.
זאב שטח: אם רואי חשבון רוצים להיות גורמים מאשרים, למשל, בסדר, לגבי מה שאותו רואה חשבון מבטח, יעשו עסקאות בהיקף של מה שאפשר לקבל מחברת הביטוח, אבל הסעיף הזה הוא יותר לכיוון של דמי רצינות, ולא לכיוון של סוג העסקה.
אמיר שרף: אני לא רואה הבחנה בין הערבות לביטוח, אלה פנים שונים של אותו עניין, אבל לא אכפת לי לדבר על הביטוח.
אמיר שרף: בואו נדבר על הביטוח.
אמיר שרף: הסכום צריך להיות תואם להיקף הסיכון.
אמיר שרף: איזה מן ביטוח זה שהוא אחיד לכולם ושאין שום וריאציה בין היקף החשיפה לסכום הכיסוי?
ליהי פלדמן: יש פה שני וריאנטים.
אמיר שרף: אם אנחנו הולכים על וריאנט, הווריאנט הכי נכון זה היקף החשיפות.
מיכאל איתן: מה, נתחיל לספור את התעודות?
ליהי פלדמן: יש לנו התייחסות למספר תעודות.
אבי נגר: יש חברות שיציעו היקף ביטוחי כזה ויש חברות שיציעו היקף ביטוחי אחר.
אמיר שרף: אבל כאן מדברים על דרישות מינימום.
אמיר שרף: אני חושב שדרישות המינימום פה זאת בדיחה.
יורם הכהן: כל מודל חוק החתימה האלקטרונית שותק לגבי הצד המסת
יורם הכהן: מך, כי יש איזושהי הנחה של "ייזהר הקונה", או "ייזהר המסתמך".
אמיר שרף: אם כך, אפשר לבטל בכלל את הביטוח.
אמיר שרף: אם זאת הגישה, למה ביטוח בכלל?
יורם הכהן: מכיוון שרוצים לתת איזושהי סביבת פעולה.
ליהי פלדמן: מדובר על מספר תעודות ולא עסקאות.
מיכאל איתן: מספר העסקאות והיקפן קובע את הגובה.
ליהי פלדמן: אבל את זה אנחנו לא יכולים לדעת.
ליהי פלדמן: מי שיש לו 50 תעודות, יש לו פחות סיכון לעומת מי שיש לו 200 תעודות.
מיכאל איתן: מה זה יאמר מבחינה מסחרית לגבי הסיכון הכספי?
ליהי פלדמן: זה נותן לי איזושהי אינדיקציה, כי את העסקאות אני לא יכולה לדעת.
מיכאל איתן: את סתם תספרי תעודות?
ליהי פלדמן: כן.
אמיר שרף: ספירת התעודות היא חסרת משמעות.
אמיר שרף: הרי תעודה של סכום קטן ותעודה בלי הגבלה של סוג עסקה – לא ניתן לשים אותן באותה חבילה.
שלמה שהם: קודם כל אני רוצה להזכיר לכם שסעיף 11(א)(3) הוא מקור הסמכות, ומדבר על הפקדת ערבות בנקאית, או ערובה מתאימה אחרת, או אם ביטח את עצמו אצל מבטח, זאת אומרת:
שלמה שהם: לרשם יש שיקול דעת להחליט האם זה ביטוח או ערבות בנקאית, וכשאני שואל למה באה הערבות הבנקאית, החוק אומר: לשם הבטחת פיצויו של מי שנפגע, עקב מעשה או מחדל של הגורם המאשר, שזה די אבסורד.
שלמה שהם: אם אתה מדבר על הבטחת פיצוי, צריך להיות יחס בין הערבות הבנקאית לבין החשש להיפגע.
שלמה שהם: אם אתה לא מדבר על הבטחת פיצוי, אלא רק על אלמנט של רצינות, יכול להיות שהסכום הוא גבוה מדי.
שלמה שהם: אני לא הייתי שותף להליך החקיקה, אבל החוק אומר שזה בעצם בא להבטיח פיצוי.
שלמה שהם: קודם כל, אני לא בטוח שהרשם יכול לדרוש את שניהם, כי החוק אומר "או", וזאת שאלה לא פשוטה; נניח שכן, ללא ספק, הביטוח צריך להיות זהה או קוהרנטי לעלות העסקה.