GiliGold/VAD_KnessetCorpus huggingface dataset:
גלעד קהת: כל שאר הנתונים האלה יהיו בבית העסק, אני לא יכול למנוע ממנו, זה לא התפקיד שלי למנוע ממנו – הגנב לא יוכל לעשות שום פעולות בכרטיס אשראי, אבל כל הפרטים הפרטיים של האזרחים יהיו שם.
כרמל שאמה-הכהן: אה, רגע, אני רוצה להבין, PCI לא מונע פריצה, הוא רק מונע הישארות של פרטי כרטיס אשראי?
גלעד קהת: כן, זה הרעיון.
גלעד קהת: הוא מבקש שני דברים: הוא מבקש קודם כול למחוק פרטים שקשורים לכרטיס אשראי – מספר הכרטיס, נתוני פס מגנטי – והוא תקן שמגדיר סטנדרטים של אבטחת מידע.
גלעד קהת: בית העסק צריך לעשות סקר שבודק את רמת האבטחה, צריך אנטי וירוס, צריך בדיקות רשת וכן הלאה.
גלעד קהת: אבל כל שאר הנתונים שלא קשורים לכרטיס אשראי, לא רלוונטיים.
גלעד קהת: בגלל זה מה שמטריד אותי זה אכן רגולציה, כמו שאמרתם.
גלעד קהת: אבל לא רגולציה עלינו.
גלעד קהת: עלינו יש רגולציה.
גלעד קהת: ויזה מגדירה לנו.
גלעד קהת: יושבים פה נציגי הפיקוח על הבנקים – תאמינו לי, המפקח על הבנקים והמנכ"לית שלי היו בטלפון באמצע הלילה, ואני ורוחה דיברנו ביום שישי – יש לי רגולטור שדואג לי.
גלעד קהת: ואני עושה מה שהרגולטור אומר לי, ואפשר להיות רגועים בהקשר שלנו.
גלעד קהת: אי אפשר להיות רגועים בנושא הזה, אבל אפשר לדעת שאנחנו מטפלים בנושא הכי טוב שאפשר, בארץ.
גלעד קהת: לדעתי, נמצא פה נציג הרשות למשפט, טכנולוגיה ומידע, נכון?
לאה ורון: עורך דין עמית אשכנזי.
גלעד קהת: יפה.
גלעד קהת: הם עשו עבודה מאוד טובה בעניין הזה.
גלעד קהת: מה שחשוב שייצא מהוועדה פה זה לקרוא למדינה לתת עוד משאבים לנושא הזה.
גלעד קהת: בסדר, זה נושא מטריד ברמה הצרכנית, כרטיסי אשראי – זה לא הבעיה המהותית שעלתה בפרשה הזאת של הסעודי.
כרמל שאמה-הכהן: אני רוצה פשוט כדי שנבין – PCI פותר את האבטחה של פרטי כרטיס אשראי.
כרמל שאמה-הכהן: כל הפרטים הפרטיים האחרים כמו שם, תעודת זהות, כתובת, טלפון – עדיין פרוץ.
גלעד קהת: לא קשור לכרטיסי אשראי.
כרמל שאמה-הכהן: אין לזה פתרון בעולם?
כרמל שאמה-הכהן: ד"ר נמרוד קוזלובסקי, מומחה בתחום האינטרנט מאוניברסיטת תל-אביב.
נמרוד קוזלובסקי: רק לגילוי נאות, גם מחברת חוקי האינטרנט, לא רק מהאוניברסיטה.
נמרוד קוזלובסקי: חברות כרטיסי האשראי הישראליות נקטו בצורה ראויה להערצה בהתמודדות שלהן בפרשה הזאת.
נמרוד קוזלובסקי: הן צודקות לחלוטין בכל מילה שהם אמרו כאן.
נמרוד קוזלובסקי: זה נכון מבחינת מיגור ההתמודדות של הצרכנים, אבל הנזק הוא אדיר עשרות מונים ממה שמתואר כאן בשל העובדה שהדרך שבה פועלת כרגע חסימת כרטיסים, לא על-ידיהם, שיש גופים שכל מה שהם עושים, לוקחים רשומות של אתרי אינטרנט פרוצים, דואר אלקטרוני פרוץ, תעודות זהות שנמצאות במאגרים, ומציפות אותם לאתרי מסחר אלקטרוני בעולם, דוגמת ebay, amazon ודומיו שקונים את הרשימות כאמצעי מיגון וחוסמים בעצם טרנזקציות מהחשבונות האלה שהם חושבים שהם חשודים.
נמרוד קוזלובסקי: יוצא מצב שגם אם חברות כרטיסי אשראי פעלו בצורה מושלמת להתמודד עם 15 אלף כרטיסים שהיו בתוקף ושלקוחותיהם היו עלולים להיפגע, יצא מצב שבתוך הרשומות האלה – ומי שניתח אותן לעומק – היו הרבה יותר כרטיסי אשראי שאינם עוד בתוקף.
נמרוד קוזלובסקי: זאת לא בעיה רק של כרטיסי אשראי כי אני לא יכול לעשות עסקה תרמיתית, אבל ניסו להזין אותם באתרי מסחר אלקטרוני או הוזנו מהרשומות, ולאחר מכן אתה נחסם, אתה נחשב חשבון בעייתי.
נמרוד קוזלובסקי: הרבה מאוד ישראלים מוצאים את עצמם שהפרשה הזאת תלווה אותם עוד תקופה ארוכה כי מכיוון שהמזהים החד-ערכיים שלהם נגנבו, אפשר להתחזות להם, וכתוצאה מכך הם ייחשבו חשבונות בעייתיים.
נמרוד קוזלובסקי: יתרה מכך, חברות כרטיסי האשראי אומרות לנו את האמירה האמיתית: זאת פרשה אדירה של גניבת זהות.
נמרוד קוזלובסקי: בואו נשים את הדברים על השולחן: פרשת כרטיסי האשראי היא פרשה מינורית גם בקנה מידה עולמי וגם בשל העובדה שהטכנולוגיה של כרטיסי האשראי בשלה לעצור דרך אלגוריתמים מתמטיים עסקאות שנראות חשודות.
נמרוד קוזלובסקי: אבל גניבת זהות – בוא נבין מה המשמעות – אדם שתעודת הזהות שלו, הדואר האלקטרוני שלו, הסיסמה שלו, הפרטים שמשמשים אותו: הכתובת שלו, הטלפון שלו – כולם בעצם רשומה ציבורית לכל אין דורש – כרגע כפוף לכך שינסו לחדור לדואר האלקטרוני שלו גורמים עוינים – זה קרה לאחר פרשת המרמרה שגנבו 144 אלף רשומות של אזרחים ישראלים, והם סיפרו שהחיים של חלקם הפכו לסיוט – נכנסו לדואר האלקטרוני, מחקו תכתובות, שלחו בשמם פורנוגרפיית קטינים, מחקו להם אתרים, ניסו להתחזות להם באתרים, עשו עסקאות תרמיתיות בשמם.
נמרוד קוזלובסקי: דבר נוסף הוא שהישראלים האלה, שעכשיו הזהות שלהם חשופה נמצאים במצב שכל הזמן הם צריכים להיות בבקרה מתמדת מה קורה עם החיים הדיגיטליים שלהם.
נמרוד קוזלובסקי: וזה לא קשור לחברות כרטיסי האשראי.
נמרוד קוזלובסקי: תקן PCI לא יפתור את זה.
נמרוד קוזלובסקי: תקן PCI הוא תקן נכון.
נמרוד קוזלובסקי: אגב, אני מצטרף לחברות כרטיסי האשראי – זה לא טוב שהם יהיו האוכף הפנימי, כי כמו ששמענו כאן, לפעמים יש להם אינטרס נוגד, הם לא רוצים לאבד אתר שעוד לא עומד ב-PCI, אז נותנים לו משך שירות.
נמרוד קוזלובסקי: אני קורא למחוקק – זה צריך להיות הוראה מפורשת שמי שלא עומד בסטנדרט מינימום לא שומר פרטי כרטיסי אשראי וסולק.
נמרוד קוזלובסקי: זה במישור הכלכלי שמעניין את הוועדה.
נמרוד קוזלובסקי: אבל נדבר על הבעיה האמיתית – הבעיה של זליגת הפרטים האישיים והזהות.
נמרוד קוזלובסקי: יש לנו כרגע תשתית מחוררת בחוק במדינת ישראל שלא מתאימה.
נמרוד קוזלובסקי: חוק הגנת הפרטיות במדינת ישראל הניח שהפגיעה בפרטיות הוא באיסוף מידע אודות אנשים – שאני אבקש ממך פרטים ואז קיומם של הפרטים יפגע בפרטיות.
נמרוד קוזלובסקי: הוא לא הניח שאבטחת מידע היא המגן האמיתי להגנת הפרטיות של אנשים ולהגנה מפני גניבת זהות, והוא לא עודכן בהתאם.
נמרוד קוזלובסקי: לכן הדבר הבסיסי שנעשה במדינות מתקדמות, כמו לדוגמה החוק בקליפורניה מ-2003 שהפך לתקן, או חקיקה דומה – קובע כללים מאוד ברורים.
נמרוד קוזלובסקי: בעצם בארבעה פתרונות שאתה יכול לחוקק בחודש אתה פותר את הבעיה הזאת.
נמרוד קוזלובסקי: אתה אומר, לא ניתן לאסוף מידע מזהה מאנשים אם אתה לא עומד ברף אבטחה מינימלי, וכמובן, מצמיד לזה חבויות, אם לא עמדת בו; הוא קובע שמי שאוסף מידע מזהה רגיש חייב לעמוד בהוראות מסוימות לגבי איסוף מידע רגיש, וההוראות הן לעניין הצפנה או גיבוב של המידע – זאת פונקציה שהופכת אותה ללא קריא; ולעניין הפרדת רשומות מזהות זו מזו – וקובע לצדן חובה למניעה מוקדמת.
נמרוד קוזלובסקי: איך נוקטים מניעה מוקדמת במדינות עולם מתקדמות?
נמרוד קוזלובסקי: אומרים לך שאתה חייב לקחת חברה שתפקידה "לשחק" את ההאקר, לנסות לחדור אליך לאתר בבדיקת חדירות ולראות אם היא יכולה.
נמרוד קוזלובסקי: כל מה שעומאר הזה עשה זה להשתמש זה להשתמש בכלים אוטומטיים מהרשת למצוא אתרים "מחוררים".
נמרוד קוזלובסקי: אין פה שום גאונות, אין פה שום תחכום.
נמרוד קוזלובסקי: כל ילד שהיו לו הכלים היה לוחץ "אנטר" ועושה את זה.
נמרוד קוזלובסקי: אבל אף אחד לא עשה את הבדיקה לאתרים האלה.
נמרוד קוזלובסקי: פה המציאות האמיתית היא שדווקא הבעיה היא לא עם האתרים שסולקים, כי חברות כרטיסי האשראי משמשות להן שוטר, אלא כל האתרים שמניחים שאיסוף מידע פרטי מאזרחים משרת אותם, שאולי הם יעשו ביזנס מהפרטים האלה ולא נוקטים שום רף אבטחה.
נמרוד קוזלובסקי: אבל אוספים פרטים הכי רגישים שמאפשרים לבד זהות.
נמרוד קוזלובסקי: לגביהם צריך לחייב תקן מינימלי – הוא יכול להיות בעקרונות בחוק, בדיקת חדירות תקופתית; כאשר פה אתה יוצר מנגנון תמריצים אמיתי כי א', הם חייבים לבדוק בדיקת חדירות – הגוף שבודק אותם הוא כמו רואה חשבון, אם הוא כשל בבדיקה שלו, לאחר מכן יבואו אליו בטענות.
נמרוד קוזלובסקי: אחרי בדיקת החדירות התקופתית אתה עובר לשלב הבא.
נמרוד קוזלובסקי: אם כבר קרה אירוע, ומשהו נכשל, המודל בקליפורניה אומר שהדבר המרכזי הוא להודיע מוקדם ככל שניתן לאנשים ולחקור את האירוע.
נמרוד קוזלובסקי: א', לדעת אם הוא אירוע שיטתי שהרבה מאוד היו חשופים לו, ושנית, להודיע לנפגע הפוטנציאלי – להודיע לאדם שהשם שלו ברשומה להחליף את הסיסמה שלו, להפסיק להשתמש באותו מייל וכדומה.
נמרוד קוזלובסקי: הדבר הזה בחוק בקליפורניה עובד מושלם.
נמרוד קוזלובסקי: למי שבעצם מצא שהייתה פרצה אצלו ומידע חולל – חובת דיווח לנשואי המידע.
נמרוד קוזלובסקי: כיוון שהוא גם מצמיד לזה חבויות פליליות ואזרחיות למי שמנהל את המאגר, היום בקליפורניה לא יעלה על הדעת שאתר שמחזיק פרטים של אדם מקליפורניה לא ינקוט רף אבטחה מינימלי – זאת התאבדות כלכלית מבחינתו.
נמרוד קוזלובסקי: הדבר האחרון שנוגע בדבר הזה: אתה פשוט בונה בחוק מנגנון תמריצים: מצד אחד חבויות ומצד שני חסינות מחבות למי שעמד ברף אבטחה.
נמרוד קוזלובסקי: ואם כבר קרה אירוע, ואתה רואה שיש לך אירוע כמו שחווינו בארץ – ופה אני לא מסכים לקריאות ההרגעה מצד חברות כרטיסי האשראי – זה אירוע נוראי; זה אירוע שילווה ישראלים עוד הרבה שנים, והוא הוכיח לנו, זאת קריאת השכמה לציבור הישראלי על רמת האבטחה שהייתה לנו ועל הפרצות בחוק.
נמרוד קוזלובסקי: אם כבר קרה אירוע – מה שקרה פה בחקירה הוא פארסה, זאת בדיחה לא מוצלחת.
נמרוד קוזלובסקי: אנחנו מקבלים בערוץ 2 את תוצאות החקירה של איזשהו אדם פרטי שאם התוצאות נכונות הוא סיכל חקירה, כי כרגע כבר אי אפשר לתפוס את הראיות, ואדם ייצר לעצמו אליבי אינטרנטי.
נמרוד קוזלובסקי: חקירה צריכה להיות מלווה בשלושה דברים: דבר ראשון כמו בכל מדינה מתוקנת – CERT – Computer emergency response team- זה גוף שאחראי לתכלל את הטיפול באירוע.
נמרוד קוזלובסקי: זה גוף שבשיתוף פעולה בין הגופים הציבוריים לבין הגופים האזרחיים ומתכלל טיפול גם באירועי אבטחה שגרתיים וגם בניהול אירוע.
נמרוד קוזלובסקי: שנית, אתה חייב סמכויות חקירה לגופים.
נמרוד קוזלובסקי: ידידי מאיר חיון ואנשי המשטרה היום לא מצוידים בכלי החקירה ובסמכויות האכיפה.
נמרוד קוזלובסקי: תזכיר חוק חיפוש ותפיסה יושב על שולחן הכנסת כבר תקופה ארוכה.
נמרוד קוזלובסקי: יש בו סמכויות לעניין חיפוש דיגיטלי, הם - - - בזה.
נמרוד קוזלובסקי: דבר אחרון – המישור הבינלאומי.
נמרוד קוזלובסקי: אין חקירת מחשבים שהיא לא חקירה בינלאומית.
נמרוד קוזלובסקי: עומאר הסעודי יכול להיות גם מלצרית משבדיה וגם נער זב חוטם מפינלנד, כי הוא מתכסה מאחורי כתובת IP שבעצם יכולה להיות מזויפת, והוא יכול להמציא אותה בכל התחברות מחדש.
נמרוד קוזלובסקי: אגב, עומאר עצמו התחבר בשלוש זהויות שונות עד כה: מסינגפור, מרוסיה ומערב הסעודית.
נמרוד קוזלובסקי: אין לו בעיה, הוא יכול בכל לחיצת כפתור לשנות את הזהות כי הפרוטוקול לא מגן על זה.
נמרוד קוזלובסקי: מה אתה צריך?
נמרוד קוזלובסקי: שיתוף פעולה בינלאומי.
נמרוד קוזלובסקי: פה ישראל כשלה.
נמרוד קוזלובסקי: מ-2001 יש אמנה שהמדינות המתוקנות חברות בה, נהנות גם לשיתוף מודיעין וגם לסיוע בחקירה בזמן אמת.
נמרוד קוזלובסקי: גישה לרשות השופטת דורשת 24/7 לתפוס ראיות ולהעביר אותן.
כרמל שאמה-הכהן: למה אנחנו לא שותפים?
נמרוד קוזלובסקי: ישראל בהתחלה סברה שיש מגבלה חוקית להצטרף בגלל תנאי כשירות.
נמרוד קוזלובסקי: פרשנותי המשפטית היא שזה לא היה מגבלת כשירות, אבל נניח שצודק מי שפירש כך – מ-2007 פגם הכשירות הזה הוסר – חוקקנו את חוק זכויות יוצרים.
נמרוד קוזלובסקי: חייבים הבוקר להצטרף לאמנה הזאת.
נמרוד קוזלובסקי: זאת חתימה, ולאשר אותה פנימה.
כרמל שאמה-הכהן: עורך דין עמית אשכנזי, יועץ משפטי של הרשות למשפט, לטכנולוגיה ולמידע במשרד המשפטים.
עמית אשכנזי: תודה רבה, אדוני.
עמית אשכנזי: קודם כול אנחנו מאוד שמחים על הדיון.
עמית אשכנזי: הוא באמת בנסיבות מצערות, אבל כמו שכבר נטבעה המטבעה הזאת – קריאת השכמה.
עמית אשכנזי: הדברים הם חשובים.
עמית אשכנזי: צריך להגיד שברמה המשפטית, למען לא ייצא הפרוטוקול חסר וחס וחלילה אף אחד לא יטעה – חוק הגנת הפרטיות שחל על איסוף המידע קובע בסעיף 17 חובת אבטחת מידע.
עמית אשכנזי: יש בהתאם לתקנות הוראות שקשורות לאבטחת מידע.
עמית אשכנזי: אז ברמה המשפטית אין היום ואקום, אין היום לקונה, ואנחנו פועלים בהתאם לנורמה הזאת גם בצעדים מידיים שנדרשים כדי לטפל נושא.
עמית אשכנזי: צריך להגיד עוד דבר שאולי לא נעים להגיד כשהרוחות מאוד סוערות ומגיעים אנשים עם המלצות מהירות לטיפול – ארבע נקודות לעושר, 9 נקודות לאבטחה.
עמית אשכנזי: רגולציה זה מקצוע, ואדוני מכיר את זה, אני מניח, מנושא התכנון והבנייה.
עמית אשכנזי: רגולציה זה מקצוע, זאת אמירה אחת שצריך להגיד אותה – וגם אבטחת מידע זה מקצוע.
עמית אשכנזי: מי שמתעסק במקצועות יודע שאין תרופות פלא.
עמית אשכנזי: ברשות ראינו את הבעיה של המודעות לאבטחת המידע במדינת ישראל ואנחנו מטפלים החל משנת 2010, כי קודם כול אנחנו מניחים, אולי בשונה מהנחה אחרת, שיש עסקים שרוצים לעשות את הדבר הנכון.
עמית אשכנזי: הם רוצים פעם אחת לפתוח עסק באינטרנט כי זה טוב, פעם שנייה הם רוצים להגן על עצמם מפני סיכונים.
עמית אשכנזי: דבר שלישי שצריך לומר פה, והוא קשור באבטחת מידע, ושוכחים אותו כל הזמן זה הגורם האנושי.
עמית אשכנזי: אחד הממצאים שאני יכול להזכיר כאן מהממצאים הראשונים שלנו הוא שבאחד העסקים לא הפעילו אנטי וירוס.
עמית אשכנזי: רגולציה, PCI, תקנות – הבן אדם החליט לא להפעיל את האנטי וירוס, זה הכביד עליו.
עמית אשכנזי: ואז אתה שואל את עצמך, מה עושים במצב כזה?
עמית אשכנזי: איזה רגולציה בדיוק בסל הכלים שיש ברשותנו שאפשר להתמודד?
עמית אשכנזי: אני לא מבטל את הדברים שאמר ד"ר קוזלובסקי.
עמית אשכנזי: חלק מהדברים האלה כתבנו עלי ספר כבר קודם, וצריך לקדם את הדברים האלה במקביל, רק צריך לשים לב לא לשפוך את התינוק עם המים ולא להביא למצב שבו כל פעולה משקית מרימה נטל רגולטורי לא סביר.
עמית אשכנזי: אחרי הדברים האלה אנחנו מקדמים את שני הדברים שדיברנו עליהם עכשיו: א', תקנות בנושא אבטחת מידע לפי חוק הגנת הפרטיות.
עמית אשכנזי: לשמחתי, האירוע הזה גרם לכך ששר המשפטים זימן ישיבה דחופה עכשיו.
עמית אשכנזי: לכן ראש הרשות לא נמצא פה.
עמית אשכנזי: אנחנו מקווים שבתקופה הקרובה מאוד יהיו תקנות ברמה הנורמטיבית.
עמית אשכנזי: מי שירצה להיות בסדר, מי שירצה להגן על עצמו יהיה לו סל כלים לעשות את זה.
לאה ורון: התקנות יהיו וולונטריות?
עמית אשכנזי: התקנות לא יהיו וולונטריות, אבל למה אני אומר שרגולציה זה מקצוע?
עמית אשכנזי: רגולציה זה מקצוע כי גם היום יש נורמה ויש תקנות.
עמית אשכנזי: אבל אם כל עסק קטן צריך עכשיו לקחת חוות דעת או מד"ר קוזלובסקי או מעורך דין רביה או מהאנשים האחרים שיושבים פה כדי להפעיל את העסק שלו, אז הוא יפשוט רגל.
עמית אשכנזי: אז אנחנו רוצים שהדברים יהיו ברורים.
חיים רביה: אנחנו לא כל כך יקרים.
עמית אשכנזי: בסדר.
נמרוד קוזלובסקי: אני כן, אני חייב לציין לפרוטוקול.
עמית אשכנזי: רגע, לא הפרעתי לך.
קריאה: הצפנה וגיבוב עולים אפס.
קריאה: מאה אחוז, הצפנה וגיבוב.
קריאה: אז בואו נדבר עוד מילה אחת בנושא האכיפה.
קריאה: אנחנו גיבשנו הצעת חוק שעברה קריאה ראשונה, שיושבת עכשיו בוועדת הכנסת ומחכה לה – אולי ועדת הכלכלה תרצה אותה עכשיו – הצעת חוק בעניין סמכויות אכיפה לפי חוק הגנת פרטיות, שיש בה עיצומים כספיים משמעותיים, כולל הפרות של חובות אבטחת מידע, שזהו המקל.
קריאה: אני יכול להיכנס להצעות פה, אני לא בטוח שזאת הרזולוציה שאתה רוצה להיכנס בעניין הצפנות או לא הצפנות, מה המשמעות של זה לעסק קטן לייצר הצפנות.
קריאה: אני קצת מבין בהצפנות כי הייתי רשם חתימה אלקטרונית.
קריאה: דבר אחרון שאני רוצה להגיד לעניין שיתוף הפעולה עם חברות כרטיסי האשראי – והדברים שהם אמרו פה הם מאוד חשובים.
קריאה: בכובע של ה"גזר" אנחנו רוצים לקדם את המודעות ואת קלות ציות לחוק, והסתכלנו בסבלנות רבה על התהליך שעשו חברות כרטיסי האשראי; הסתכלנו איך הן שמתקשרות חוזית עם בית עסק, מתקשות ביישום הנורמות, איזה צעדים הם עשו כדי להטמיע, ואתה שומע גם מהצד שלהם את ההתלבטות האם מרס 2012, אולי בתנאי הארץ ותושביה, כמו שראינו בהקשרים אחרים – יהפוך לאפריל, ואז יש פסח, ופתאום יהיה דצמבר, ואנחנו חיים בחברה שרוצה לקיים חיי כלכלה ומסחר.
קריאה: אבל כדי לתת תמריצים לציית לנורמה אחת, ומתוך המציאות הפרקטית שמי שמשקיע באבטחת מידע ומתייעץ לא יגביל את אבטחת המידע למספרי כרטיסי האשראי, אלא הוא רוצה להיות בסדר באופן כללי, ויפעל ככה שמי שיציית לתקן ה-PCI יקבל גם הקלות לפי חוק הגנת הפרטיות.
קריאה: כדי להקל את הנטל הרגולטורי, בתנאי שהוא יישם את אותם אמצעים גם לגבי אותו מידע אישי שהוא אוסף.
קריאה: בהקשר הזה יש לנו אחדות מטרה, ואפשר להצדיק אותה בכך שביטחון, כידוע, הוא מוצר ציבורי.
קריאה: אני אסיים בזה, אדוני.
כרמל שאמה-הכהן: ד"ר טל פבל, המרכז הבינתחומי, הרצליה.
טל פבל: תודה רבה, אדוני.
טל פבל: רציתי להתייחס לכמה דברים: דבר ראשון, לגבי מה שדובר כאן במידה מסוימת על מזעור בנושא של כרטיסי אשראי, כבר דובר על כך שהבעיה העיקרית היא גניבת הנתונים שהייתה פה.
טל פבל: אכן, כ-400 אלף רשומות מפריצה לשישה אתרים שונים פחות או יותר, לפחות בגל הראשון, כפי שפורסם.
טל פבל: נכון שזה לא 400 אלף כרטיסי אשראי, אלא רק 15 אלף, אבל גם 15 אלף אזרחים שעכשיו נקלעו לבעיה זאת בעיה נקודתית עכשיו שיהיו לה השלכות בעתיד.
טל פבל: דבר נוסף עלתה פה טענה שלא היה אינטרס לפגוע בישראל.
טל פבל: בתור מי שקרא את ההודעות המקוריות של אותו עומאר, הוא בהחלט ציין שהיה לו אינטרס לפגוע; הוא אמר שהמטרה שלו היא להשיג כמיליון כרטיסים מתוך הנחה של 6 מיליון תושבים כי המטרה שלו היא להשיג שישית מכלל כרטיסי האשראי של התושבים.
טל פבל: הוא ציין אפילו שהם השתמשו בכרטיסים האלה; הוא התגאה בכך שחלק מהציוד שהוא רכש היה באמצעות הכרטיסים הללו, וכתב מה הסיבות שעשה את זה.
טל פבל: אחת המטרות הייתה שהוא רוצה לראות את הלחץ בבנקים ובחברות האשראי ולראות את המשתמשים עומדים בתור להחליף אותם.
טל פבל: בהחלט היה כאן אינטרס.
טל פבל: מבחינת הניתוח של המקרה עצמו – הסיפור התפרסם ביום שני בלילה.
טל פבל: במהלך הלילה בין שני לשלישי הורדתי את הקובץ הראשוני הזה, 32 מגה-בייט, ניתחתי אותו במידה מסוימת.
טל פבל: עולה שהייתה פריצה לכמה וכמה אתרים, לא רק לאתר One.
טל פבל: באתר One הייתה פריצה שבה 260 אלף רשומות של לקוחות נגנבו.
טל פבל: כלומר הקובץ שאני נחשפתי אליו היה של 260 אלף רשומות.
טל פבל: ניתן היה לדעת שזה של אתר One מהסיבה הפשוטה שכשמפעילים תיבת דואר שלהם עם סיומת @
טל פבל: co.il וכשאתה ממיין, ראיתי שיש 50 אלף רשומות כאלה.
טל פבל: הואיל ויש שם עמודה של 0 או 1, דגל כזה – האם הרשומה שייכת לעובד One אז עכשיו יש לי פרטים של 208 עובדים של חברת One.
טל פבל: פריצה נוספת הייתה של שני אתרי קופונים.
טל פבל: אני מודה שעד היום לא שמעתי עליהם, ועשיתי אי אלו רכישות כאלה – אחד זה sale365 והשני זה קבוצתי.
טל פבל: אני זיהיתי שמדובר באתרים הללו כיוון שהקובץ שנפרץ היה, לפחות לפי מה שהבנתי, כנראה, סוג של התקשרות למול חברת כרטיס האשראי של "אושר", "לא אושר".
טל פבל: אחד השדות ברשומות האלה היה supplier – נקודה, ואז היה או sale365 או קבוצתי.
טל פבל: ניתן היה לראות שלפחות באחד מהמקרים זה היה משהו מאוד פשוט, אפשר היה לראות את שאילתת ה-SQL שהורצה על בסיס הנתונים – select-x from, מהטבלה.
טל פבל: מאוד פשוט.
טל פבל: פריצה נוספת הייתה גם לאתר שעוסק במכירת משחקי מחשב.
טל פבל: שם הנתונים נגנבו בין מרס 2006 עד ינואר 2010.
טל פבל: מספר של מאות אלפי רשומות, כולל הנחיות למשלוח, כולל מספר משלוח בדואר ישראל.
טל פבל: כשנחשפים לנתונים האלה זה נתונים מדהימים.
טל פבל: אחד הקבצים היה אתר תרומות שככל הנראה שייך לחב"ד – 1,600 רשומות.
טל פבל: הנתונים באמת מדהימים כיוון שזה לא רק מספר כרטיס האשראי ותעודת זהות ושם בעל הכרטיס, אלא קוד הזיהוי מאחור, שמות משתמש, סיסמאות.
טל פבל: באחד המקרים גם מצאתי את שמי ואת פרטיי באחד הקבצים הללו.
טל פבל: למזלי ולמזלו של בעל העסק הוא לא שמר את פרטי כרטיס האשראי שם.
טל פבל: הוא לא ידע מהסיפור הזה.
טל פבל: התקשרתי אליו ב-24:30 בלילה ועדכנתי אותו שפרצו לו את האתר וגנבו לו 22 אלף רשומות.
טל פבל: הוא אמר שהוא פשוט למד מניסיון ולא שומר על מספרי כרטיסי אשראי.
טל פבל: בשורה התחתונה זה גם אירוע של כרטיסי אשראי, אבל מעל ומעבר זה אירוע של דליפת מידע.
טל פבל: חשוב לקחת את הדברים בפרופורציות, כיוון שנכון שהיה לנו האירוע הזה, אבל כמו שנחשף – והפרשה הזאת הסתיימה – היה לנו במשך שנים קובץ אחד שישב באינטרנט בשם "אגרון" שהיו שם נתונים לא על 400 אלף משתמשים, אלא למיטב ידיעתי, על כל תושבי המדינה.
טל פבל: אני יודע על מקומות עבודה שכשהיו צריכים לבדוק נתונים על לקוחות לצורך הפעולה השוטפת שלהם, השתמשו במאגר הזה בלי לדעת שהמאגר הזה גנוב.
טל פבל: מידע של אנשים שהשתמשו בזה הבנתי שהמידע שהיה שם היה משהו קטסטרופלי.
טל פבל: זה לא רק מספר תעודת זהות, כתובת, שם וכדומה, אלא גם סטטוס וקרובי משפחה ויכולת ליצור לינקייג' בין אנשים לבין נתונים ברמה מאוד מפחידה.
טל פבל: אז נכון, האירוע הזה הוא בהחלט תמרור אזהרה, אבל צריכים לקחת הכול בפרספקטיבה רחבה יותר, ואפילו העניין הזה של "אגרון" – ואני בטוח שיש עוד "חורים" כאלה – צריך להתייחס אליהם בהיבט הרחב יותר.
טל פבל: תודה, אדוני.
כרמל שאמה-הכהן: עורך דין חיים רביה, מומחה משפטי בתחום האינטרנט.
חיים רביה: תודה, אדוני.
חיים רביה: ראשית, למען הגילוי הנאות בכשירותי כעורך דין פרטי אני מייעץ לחברות בתחומים של הגנת הפרטיות ואבטחת מידע, אבל אינני נמצא כאן כנציגה של חברה כלשהי.
חיים רביה: בעברי אני חבר המועצה הציבורית להגנת הפרטיות, והייתי חבר בצוות שבחן במשרד המשפטים את הוראות החוק בנושא מאגרי מידע ואבטחתם והמליץ לשנות אותו.
חיים רביה: אני רוצה לומר כמה דברים: ראשית, אנחנו חייבים תודה להאקר הזה בין אם הוא סעודי ובין אם הוא מקסיקני.
חיים רביה: באירוע שנזקיו הממשיים לעת עתה הם מוגבלים, הוא העיר את תשומת לבנו לסוגיה שהיא מאוד לא סקסית, אבל בכלכלה שנשענת כולה על מידע זה נושא שאין ערוך לחשיבותו.
חיים רביה: הנושא הזה הוא קצת כמו ביטוח.
חיים רביה: אנחנו שונאים לעסוק בביטוח, אנחנו שונאים לשלם דמי ביטוח, אנחנו מקטרים כל שנה למה אנחנו עושים את זה, אבל כאשר יש אירוע מתברר שעשינו דבר-מה חשוב מאוד.
חיים רביה: אנחנו, אדוני, נמצאים בפתחה של שנה שיש המבטיחים לנו שתהיה שנה של חלילה מלחמה עם איראן.
חיים רביה: בשנה כזאת חובה עלינו לשים לב למה שקורה בתחום אבטחת המידע במדינת ישראל, לא רק בגורמים שנמצאים בדרך כלל מתחת לפנס וזכוכית המגדלת שלנו – לא רק לחברות סלולר ולחברות של שירותים פיננסיים, אלא לגורמים רבים אחרים שהתפקוד התקין של המשק הישראלי תלוי גם בהם, בין אם זה חברות שמספקות מזון, בין אם זה גורמים בתחום הבריאות וכיוצא בזה.
חיים רביה: התשתית החוקית במדינת ישראל בכל הנוגע לאבטחת מידע היא מיושנת, חסרה, פרימיטיבית וגרוע מכול – משרד המשפטים מודע לזה.
חיים רביה: אותה הוראה שעורך דין אשכנזי ציין בצדק מחוק הגנת הפרטיות שמחייבת אבטחת מידע היא הוראה שאפילו אינה אומרת מהי אבטחת מידע.
חיים רביה: התקנות שהוא מציין שקיימות הן כמדומני משנת 86', בימים שרשת האינטרנט לא הייתה; הן תקנות שאין בהן אפילו התחלה של תשובה לצורכי הזמן הזה.
חיים רביה: בשנת 2007, כאמור, אני הייתי חבר בצוות במשרד המשפטים שבדק את הסוגיות האלה, צוות בראשותו של המשנה דאז ליועץ המשפטי לממשלה יהושע שופמן שכיום הוא ראש המועצה להגנת הפרטיות.
חיים רביה: הצוות הזה המליץ על רביזיה בהוראות החוק שעניינן מאגרי מידע, בין השאר גם בסוגיה של אבטחת מידע הוא המליץ על רביזיה.
חיים רביה: שלושה ראשים לאותה רביזיה: ראשית לקבוע בחוק סטנדרט של אבטחת מידע – לא ברמה של תקן מפני שהתקנים משתנים, תהליך הגיבוש שלהם הוא איטי וכבד, ואילו האיומים משתנים לעיתים קרובות יותר; הוא המליץ לתת לרשם סמכויות להורות לאבטח מאגרים; והוא המליץ לחוקק בחוק הישראלי הוראת חוק כמו זו שבקליפורניה, שמחייבת בעלי מאגרים שלא הצפינו את נתוניהם לתת דיווח במקרה של פריצה למאגר.
חיים רביה: מה נעשה עם המלצות דוח שופמן?
חיים רביה: ובכן, בתחילה הייתה אופטימיות גדולה, ועו"ד שופמן סבר שבתוך חודשים תוגש הצעת חוק.
חיים רביה: אלא שלא כך היה.
חיים רביה: הוקמה הרשות למשפט, טכנולוגיה ומידע; היא ישבה על המדוכה, בדקה את ההמלצות, סברה שאין די בהם, ובמאי 2009 הגישה למשרד המשפטים למחלקת ייעוץ וחקיקה, תזכיר חוק מפורט בנושאי הגנת מידע אישי.
חיים רביה: ומאז ועד עתה – אפס מעשה – לא קרה דבר וחצי דבר עד אשר בנובמבר משרד המשפטים באופן מוזר מאוד קרא מתזכיר החוק הזה את אותן הוראות שעניינן אכיפה וסמכויות הרשם, והוא מבקש לתקן את החוק המיושן שחובותיו עתיקות יומין ואינן ברורות, על-ידי הוספת סמכויות אכיפה חדשות.
חיים רביה: זוהי גישה שגויה לגמרי.
חיים רביה: אני מקווה שמהוועדה הזאת תצא קריאה למשרד המשפטים להגיש בכל המהירות הצעת חוק חדשה שעניינה באבטחת מידע והגנת מידע אישית.
חיים רביה: יותר מזה, אני קורא לאדוני להקים במסגרת הוועדה הזאת, ועדת משנה שתעסוק בתחום אבטחת המידע במשק הישראלי ותגלה בכך את דעתה של הכנסת שאבטחת מידע היא נושא שעוסקים בו לא רק כאשר האקר סעודי גורם לכך שעיתונים יוצאים בכותרות ראשיות, אלא גם ביום-יום.
כרמל שאמה-הכהן: דרך אגב, התחום הזה הוא תחום קצת מורכב לניסוח הצעות חוק על-ידי חברי הכנסת.
כרמל שאמה-הכהן: אם מישהו מהמומחים פה והשותפים בדיון יכול להעביר הצעות ונוסחים שיעובדו על-ידי חברי הכנסת זאת תהיה תרומה גדולה לקידום חקיקה בעניין.
נמרוד קוזלובסקי: בציבור הישראלי יש הרבה אנשים שעוסקים בתחום שמוכנים בהתנדבות לעשות את העבודה הנדרשת ולהעמיד את הידע המקצועי ואת המומחיות לטובת הכנסת ולטובת הגורמים שעוסקים בדבר.
נמרוד קוזלובסקי: כמו שעכשיו גוף וולונטרי לחלוטין מקים CERT, גוף למענה לאירועי אבטחת מידע - - - שיש לקונה ציבורית.
נמרוד קוזלובסקי: אני, ואני חושב שגם חיים, אנחנו מוכנים לרכז צוות מומחים שוולונטרית יבוא להעמיד את המומחיות לטובת הוועדה.
נמרוד קוזלובסקי: יש פה מטרה ציבורית גדולה, שהיא באמת לא סקסית ביום-יום.
חיים רביה: ברצון רב, אבל אין צורך בזה.
חיים רביה: הרשות למשפט, טכנולוגיה ומידע הגישה למשרד המשפטים הצעה מפורטת בתחומים האלה.
חיים רביה: מדוע משרד המשפטים אינו עושה דבר וחצי דבר?
כרמל שאמה-הכהן: אולי עורך הדין אשכנזי יודע?
עמית אשכנזי: אני שמח על ההתנדבות של עורך הדין קוזלובסקי.
עמית אשכנזי: אני יכול להגיד שבינואר 2010 כשפרסמנו את - - - - אבטחת המידע זכינו בהחלט להתעניינות של הקהילה המקצועית.
עמית אשכנזי: אני רוצה לציין פה בעיקר את ארגון "ISACA" והפעילים בתוכו שהקדישו כמה ישיבות לדיון באבטחת המידע.
עמית אשכנזי: אני לא יודע כמה מהאנשים פה באמת היו שותפים לזה בתהליכים, אבל את כל הרגולציה שלנו אנחנו מנהלים באינטרנט עם טיוטות והערות.
עמית אשכנזי: אז מי שמתעניין יכול לראות.
עמית אשכנזי: כמובן, אנחנו נשמח לכל צוות חשיבה ולכל תרומה, בין אם זה עכשיו ובין אם זה גם כאשר העניינים יירגעו מעט.
עמית אשכנזי: לעניין התזכיר, אמת צריכה להיאמר שהועבר תזכיר למחלקת ייעוץ וחקיקה.
עמית אשכנזי: לצערי האמיתי, אין בו רביזיה טוטלית בפרק ב' לחוק הגנת הפרטיות משום שהדבר הזה נשאר עדיין לעבודה מקצועית מול מחלקת ייעוץ וחקיקה.
עמית אשכנזי: מה שהיה בתזכיר שהועבר למשרד המשפטים הם שלושה פרקים, שאולי עכשיו יחזרו – אחד מהם עוסק באכיפה, השני עוסק בייעול הרגולציה – צמצום רישום מאגרי המידע תמורת ניהול תקין של מאגרי מידע; ובשונה מעורך הדין רביה, לדעתי, אם אדוני יסתכל בתקנה 3 לתקנות אבטחת מידע הוא יראה שארגון נדרש לקבוע לעצמו נוהל איך הוא מטפל במידע ודיינו כמעט בזה.
עמית אשכנזי: ברגע שבעל עסק ניגש למידע – וזאת התובנה הרגולטורית בעולם – ושואל את עצמו, איזה מידע יש לו פה, ומה עלול לקרות רע אם יקרה פה משהו רע כמו פריצה – אנחנו עשינו הרבה מאוד, וכל היתר זה טכניקה.
עמית אשכנזי: הדבר השלישי שהיה, וזה אגב ההערה של ד"ר קוזלובסקי שאני התעלמתי ממנה קודם בעניין – נדמה לי שהמילה הייתה "כשל" של משרד המשפטים בעניין ההצטרפות לאמנה למניעת פשעי מחשב.
עמית אשכנזי: הרשות שלנו היא מהרשויות המובילות בצוותים של ה-OECD ושל רשויות להגנת הפרטיות בעולם.
עמית אשכנזי: אנחנו אירחנו ב-2010 את הכנס הבינלאומי של הרשויות.
עמית אשכנזי: באותו תזכיר היה פרק על שיתוף פעולה בין רשויות הגנת מידע שעניינו שיתוף פעולה מקצועי עם הקולגות שלנו.
עמית אשכנזי: הפרק הזה קיים היום בחוק ניירות ערך ומאפשר לרשות לניירות ערך לעשות פעולות כאלה.
עמית אשכנזי: אנחנו לא בטוחים שמכלול הפעולות שקשורות כאן צריכות להיעשות באמצעות הכלי של הדין הפלילי – את זה אני אומר בסוגריים – כי הוא כלי כבד.
עמית אשכנזי: יש פעולות שכן, יש פעולות שלו.