GiliGold/VAD_KnessetCorpus huggingface dataset:
ישי וקנין: במונחים של מערכות מידע וסייבר, גם דוחות שנשים אותם מחר בבוקר, לדעתי מבחינת השינויים והתמורות שחלים בעולם הזה כנראה לא נצליח אף פעם להדביק את הקצב.
ישי וקנין: עם זאת, אני חושב שבשני הדוחות האלה ישנם דברים מערכתיים ששווה להסתכל עליהם, והזמן הוא זמן ששם אותם במקום של רלוונטיות גם לאחר שחלף זמן רב, ולכן לדעתי חשוב היה שנקבע הדיון בנושא הזה ואני חושב שיש ערך מוסף בכלל במשמעות לזה שוועדת ביקורת המדינה דנה בנושא שהפך להיות משמעותי.
ישי וקנין: אני אומר שני משפטים נוספים לא קשורים לדיון, שחשוב לי לומר בוועדה הזאת.
ישי וקנין: בהחלט, כפי שהצגנו בפניך בשבוע שעבר, מבקר המדינה ואני, הנושא של מערכות מידע וסייבר, שמנו את זה לנגד עינינו כאחד מיעדים מאוד מרכזיים שאנחנו עוסקים בהם בביקורת המדינה.
ישי וקנין: זה בא לידי ביטוי בכך שאנחנו עסוקים בימים אלה בהקמת אגף נוסף בביקורת המדינה שעוסק במערכות מידע וסייבר, בהכשרת האנשים שלנו ובתוכנית העבודה שלנו הנוכחית שאנחנו עוסקים דגשים רבים וביקורות שעוסקות בנושא הזה.
ישי וקנין: אנחנו מבינים שהסוגיה של מערכות מידע וסייבר הפכה להיות נושא שהוא אבן דרך משמעותית, גם מבחינת האיומים המשמעותיים במדינת ישראל וגם מכיוון שהמגזר הציבורי נמצא בתהליכים מאוד מאוד משמעותיים למעבר למערכות מידע, אז לצד היתרונות הרבים ישנם סיכונים רבים, הן מבחינת סיכוני סייבר ואבטחת מידע והן מבחינת ביצוע תהליכים.
ישי וקנין: בעתיד, בהמשך אני מאמין, חלק מהדוחות – שגם הוצגו ב-70ב – אנחנו מתעסקים בנושא של ניהול פרויקטים במערכות מידע שמושקעים בהם סכומי עתק, גם בהיבט שהיום כל השירות לציבור מתבסס הרבה על נושא של שירותים מקוונים, ולכן מאוד חשוב לנו לבחון לצד היתרונות את הסיכונים, בדגש על הנגשת המידע לציבור ולראות שהוא גם מותאם לאוכלוסיות מגוונות וגם לאוכלוסיות מוגבלות, ולכן הדבר זה הופך להיות תחום מאוד מאוד משמעותי שגם אנחנו מתעסקים בו.
ישי וקנין: אני אעביר את רשות הדיבור למנהלי החטיבות.
ישי וקנין: נמצאים איתנו: יובל חיו, מנהל חטיבת משרדי ממשלה; צחי, מנהל החטיבה הכלכלית, ומאחור נציגי האגפים שביצעו את הביקורות כך שאם יהיה דגש או נקודה משמעותית, הם גם יוכלו להתייחס.
ישי וקנין: תודה רבה.
עפר שלח: בבקשה, יובל.
יובל חיו: אני אתייחס, גם במגבלות הדיון הגלוי וגם לנקודות נבחרות מתוך הדוח בכללותו.
יובל חיו: משרד מבקר המדינה בשנת 2014 ו-2015 למעשה החל להתבונן על האופן שבו נערכת מדינת ישראל להגנת המרחב הקיברנטי.
יובל חיו: אנחנו נכנסנו לביקורת בגופים במטה הקיברנטי הלאומי, הגוף שהוביל את הנושא הזה בשעתו במשרד ראש הממשלה, מה שעם הזמן הפך לרשות הסייבר ומאוחר יותר מערך הסייבר.
יובל חיו: ערכנו את הביקורת בשירות הביטחון הכללי וביקרנו במספר משרדי ממשלה.
יובל חיו: (שקף: היבטים בהיערכות המדינה להגנת המרחב הקיברנטי).
יובל חיו: במסגרת הביקורת הזו עסקנו בארבעה תחומים עיקריים.
יובל חיו: התחום הראשון הוא גיבוש תפיסת ההגנה הכוללת על המרחב הקיברנטי; התחום השני, האסדרה של שוק הסייבר, אסדרה שמתחייבת כדי לבנות תשתית עבודה מדינתית בנושא הזה; התחום השלישי זה הגדרה של הגופים והמערכות שיש להגן עליהם במדינת ישראל; התחום האחרון הוא מצב ההגנה על מערכות מחשוב שמכונות תמ"ק – תשתיות מדינה קריטיות – וגם על מערכות מחשוב שהן מחוץ למעגל התשתיות הקריטיות.
יובל חיו: (שקף: רקע).
יובל חיו: חשוב לומר ששני עוגנים מרכזיים ויסודיים עומדים ביסוד הפעולה הממשלתית בתחום הסייבר.
יובל חיו: אחד זה החלטת ממשלה משנת 2011 שבה הוחלט על הקמת מטה הסייבר במשרד רוה"מ.
יובל חיו: ההחלטה הזאת כוללת גם החלטה בדבר הצורך בהמלצה על מדיניות לאומית בתחום הסייבר והאופן שבה היא תקודם, וההחלטה הזאת גם באה להסדיר את כל מערך האחריות לטיפול בתחום הזה ולקדם את היכולות על ההגנה על מרחב הסייבר.
יובל חיו: שלוש שנים מאוחר יותר הגיעה החלטת ממשלה יסודית נרחבת נוספת, החלטה בשנת 2015, שבה הוחלט להקים רשות לאומית להגנת הסייבר ולהקים גופים נוספים לטיפול באסדרה של שוק הסייבר.
יובל חיו: אלה למעשה עד היום מהוות החלטות הבסיס לכל התחום הזה.
יובל חיו: אני חושב שגם היום נכון לבחון את הפעולה הממשלתית למול שני העוגנים הללו.
יובל חיו: (שקף: הסדרת האחריות לטיפול בתחום הסייבר).
יובל חיו: אנחנו למעשה ליווינו את הפעולה הממשלתית אחרי החלטת 2011 ולקראת החלטת 2015.
יובל חיו: אני כבר אומר שעיקר הממצאים שהועלו בפרק הזה הם רלוונטיים לשנים הללו ורלוונטיים למעשה לתקופה שבה הממשלה נערכה, אבל נכון יהיה לקחת מהממצאים שהובאו שם לצורך הפקת לקחים על פעילות הממשלה בכלל, וגם לצורך הפקת הלקחים בפעילות תחום הסייבר בעתיד, ואני מניח שעוד יידרשו פעולות כאלה בהמשך.
יובל חיו: מספר נקודות עיקריות שהעלינו בפרק הזה.
יובל חיו: אנחנו העלינו ממצאים שנוגעים להליך שבאמצעותו גובש מסמך תפיסת ההגנה והאופן שבו הוא אושר בממשלה.
יובל חיו: כללנו בדוח ממצאים שנוגעים לעבודת המטה של הממשלה בנושא הזה וציינו שהעבודה הזו לא כללה עלות של החלופות שהובאו בנושא.
יובל חיו: בחומר שהוצג לשרים לפני ישיבת הממשלה למעשה לא הוצגו החלופות.
יובל חיו: צריך לומר שהחלופות האלה היוו בסיס לשיח פנים-ממשלתי נוקב ומורכב שנמשך שלוש שנים.
יובל חיו: כשהם הגיעו לקו הסיום אנחנו בביקורת המדינה סברנו שעיקרי המחלוקות בעניין הזה צריכים להיות מוצגים לשרים על מנת שהחלטתם תהיה בתוך מודעות מלאה למורכבות.
עפר שלח: היות ואני מכיר את זה, וחלק מהוויכוחים אפילו הוסדרו פה בחדרים הסמוכים בוועדת המשנה של ועדת החוץ והביטחון, לא מתוך סמכות שיש לנו אבל מתוך זה שזה היה איזשהו חדר שאפשר היה לשבת ולדון בו, מדובר – ובאמת אם אתה יכול להכליל את זה באיזושהי צורה כי זה מעניין – מדובר באמת על מהלך ממשלתי גדול, על תחום מאוד גדול שבעצם מתחילים ליצור אותו.
עפר שלח: וצריך להגיד, כל העולם עוסק בזה אבל אין הרבה ניסיון עולמי להסתמך עליו כשעושים אותו, וישראל אגב נמצאת במקום טוב יחסית בהסדרה של הדבר הזה, וכולל כמובן דריכה על בהונות של ארגונים, כולל ארגונים מאוד חזקים, העברה של סמכויות.
עפר שלח: אם אתה יכול להגיד אפילו באופן לא מסודר – זאת אומרת, לא מתוך העבודה שלכם – מה התהליך הנכון באמת למהלך כזה.
עפר שלח: האם הסקתם מזה מסקנות מערכתיות והמלצתם המלצות מערכתיות לתהליך נכון למהלך בסדר גודל כזה?
עפר שלח: כי באמת כמו שאתה אומר, זה התעכב הרבה מאוד שנים כתוצאה מזה שהדברים האלה לא הוסדרו לפני.
יובל חיו: מדובר למעשה במתודולוגיה שלמה של הבאת דברים בפני הממשלה.
יובל חיו: אנחנו נמצאים בדילמה מסוימת.
יובל חיו: כשאתה מביא סוגיה מורכבת בפני הממשלה אתה צריך להביא את הרובד האלמנטרי לצורך קבלת החלטה, אתה לא יכול להיכנס לרמת פירוט גבוהה מדי כי זה מצב הדברים.
יובל חיו: נקודת האיזון הזו, בטח כשאתה עוסק בתחום שנמשך שלוש שנים באי הסכמות יסודיות, חייבת לקיים רובד בסיסי של עיקרי אי ההסכמות, עיקרי הדילמות, ההתלבטויות העיקריות שעמדו ביסוד התהליך.
יובל חיו: אני צריך לומר שגם מהגופים המבוקרים אנחנו שמענו שהאנשים הכירו את פני הדברים.
יובל חיו: אנחנו חושבים שמהלך ממשלתי חייב גם לקיים את הצד הפורמלי והסדור של תהליך קבלת ההחלטה.
יובל חיו: ולכן, כן אנחנו חושבים שגם במציאויות מורכבות כאלה נכון שיהיו מסמכים יסודיים שיונחו בפני הממשלה, שמביאים לפני ההחלטה את ההתלבטויות שעמדו ביסוד עבודת המטה, את ההכרעה שהגיעו אליה.
יובל חיו: כמובן בהערות נוספות אנחנו מדברים על ההיבטים התקציביים של הנושא הזה, וגם ככל שיש מסמכים של לרבות ראשי מערכות שבאים ערב ההחלטה כדי להצביע על פער כזה או אחר, נכון לשקף את זה בפני השרים.
יובל חיו: ושוב, סמכותה של הממשלה לקבל את ההחלטות האלה, זה תפקידה והיא נדרשת בסופו של יום להכריע בנושאים האלה.
יובל חיו: באמת, ההערות האלה הן הערות מתודולוגיות כלליות.
יובל חיו: נכון, הנושא התקציבי הוא בהחלט נושא חשוב להבנתנו.
יובל חיו: אני חושב שגם בתקנון הממשלה וגם בעבודת הממשלה, התובנות האלה הלכו והתחזקו במהלך השנים והיום אנחנו רואים שהממשלה, כשהיא מביאה לשולחנה סוגיות לדיון, הנושא התקציבי נוכח שם בצורה הרבה יותר משמעותית מבעבר.
יובל חיו: אנחנו הצבענו על כך שעד תחילת 2016 לא הוכן תזכיר חוק הגנת הסייבר, שלפי החלטת הממשלה היה צריך להיות מוגש לראש הממשלה עד אוגוסט 2015.
יובל חיו: אנחנו הצבענו – אני אומר באופן כללי – על הצורך לקדם את הכנת התזכיר הזה.
יובל חיו: קידומו כרוך באופן ישיר במוכנות ובהיערכות, היכולת לקיים את הפעולות להיערכות כוללת מדינתית בנושא הזה.
יובל חיו: צריך לומר שתזכיר החוק פורסם ביוני 2018, וזוהי הנקודה שבה אנחנו נמצאים כיום.
יובל חיו: (שקף: אסדרה של שוק הסייבר).
יובל חיו: התחומים האחרים נכנסים כבר יותר למעגלי פעילות מקצועיים בתוך המטה והרשות מאוחר יותר.
יובל חיו: לנגד עינינו אנחנו כן שמנו את נושא קצב ההתקדמות, סוגיה מאוד משמעותית למול התפתחות האיום.
יובל חיו: לכן, הצבענו על מספר דברים שביסודם פיגור בלו"ז.
יובל חיו: דיברנו על בחינה וקידום של מיסוד מנגנונים לאישור ולהסמכה של מוצרי הגנת סייבר בישראל.
יובל חיו: בתקופת הביקורת היה פיגור בלוח הזמנים בנושא הזה, אני מניח שמאז כבר צומצמו הפערים והגיעו ליעד.
יובל חיו: עד למועד סיום הביקורת לא הוגדר מנגנון למדרוג שירותי הגנת הסייבר.
יובל חיו: במצב דברים זה הצבענו על כך שחל עיכוב באסדרת מקצועות הסייבר העוסקים בתחום הזה.
יובל חיו: שוב, צריך להבהיר פה בדיון הזה שאנחנו מדברים על הנחת תשתיות בכל עולם כזה שאנחנו מדברים.
יובל חיו: הגדרה של המקצועות היא תשתית להתחלת פיתוח כל הנושא ברמה המדינתית, הגדרת מוצרים היא תשתית לפיתוח כל הנושא הזה ברמה המדינתית.
יובל חיו: אנחנו המלצנו למטה לבחון איך הוא קובע מסגרת עבודה מפורטת ומחייבת למילוי המשימות האלה עם אבני דרך שאפשר לעקוב אחריהן, וגם ציינו שתוכניות העבודה של המטה צריכות לכלול מועדים.
עפר שלח: גם בגלל מצוקת הזמן, אם אתה יכול לדלג על דברים שאנחנו יודעים שכבר קרו כי המטה שאתם מדברים עליו כבר לא קיים אפילו.
יובל חיו: (שקף: קביעת הגופים והמערכות שיש להגן עליהם).
יובל חיו: חשוב מאוד לראות באיזה מקומות, אם יש תהליך סדור לאיתור גופים שצריכים לקבל את ההנחיה ואת הרגולציה.
יובל חיו: התהליך הזה חייב להיות תהליך שיטתי, סורק, אחרת מתפספסים גופים.
יובל חיו: אנחנו הצבענו בדוח על מספר גופים שפוספסו ואני חושב שגם במהלך השנים מעת לעת נתקלים במקרה הזה, ונכון שיהיה הליך סדור.
יובל חיו: הנקודה הבאה נוגעת לסוגיה של המאסדרים המגזריים בתחום הסייבר.
יובל חיו: זה תחום שחייב להיות, הוא נמצא במעגל הרחב יותר, אנחנו מדברים על עולמות של רשויות מקומיות וגופים אחרים, מערכות בריאות וכו'.
יובל חיו: אני מניח שמאז כבר נעשתה פעולה נרחבת בנושא הזה.
יובל חיו: במועד הביקורת היה פער בהתפתחות הנושא למול תוכניות העבודה והחלטות הממשלה.
יובל חיו: בסופו של דבר אני אסכם את הדברים בכך שאנחנו חושבים שצריך לראות את קצב ההתקדמות בכל אחת מגזרות הפעולה של המערך, חייבים לתת דגש לקצב הזה לאור הקצב של התפתחות האיום בתחום הסייבר.
עפר שלח: שני שרביט, מערך הסייבר הלאומי.
עפר שלח: ראשית, אם יש לך הערות כלליות לדברים שאמר יובל חיו, ואחר כך ניכנס לתוך הנושאים הספציפיים שאליהם ביקשתי מכם להתייחס.
שני שרביט: הדוח הזה הוא באמת דוח ותיק במונחים של סייבר וגם במונחים של ממשלה, אני מקווה.
שני שרביט: אנחנו רואים התקדמות משמעותית בכל המדדים שדיברת עליהם – בכל המדדים, בכל הנושאים שהיו בדוח הזה.
שני שרביט: למעשה הוא כבר בדק החלטה שהתקבלה והתייחס אליה, וגם בדק – הייתה תקופה קצרה שאפשר היה לראות כבר איך אנחנו עולים על פסים של מעשה, אנחנו וכל שאר הממשלה, כדי לממש הלכה למעשה את ההחלטה הזאת, וכבר אז היה אפשר לראות שיש שיפור משמעותי.
שני שרביט: כשמסתכלים על הדוח היום, בכל המדדים, בכל הנושאים אפשר לראות שיפור.
שני שרביט: ראשית, אני רוצה ממש במשפט להתייחס לנושא ההחלטה שדיברת עליו, למרות שזו לא באמת הערה שאפשר עכשיו לעבוד איתה אבל אני כן רוצה להגיד משהו על אז.
שני שרביט: הייתה עבודת מטה מקיפה מאוד על ההחלטה על הקמת הרשות אז, ב-2015, היא הייתה כשנתיים.
שני שרביט: היו מספר גורמים, גם בכירים מאוד וגם גופים, שנתנו את דעתם על ההצעה של מטה הסייבר דאז, ואנחנו הבאנו לממשלה או ראש הממשלה הוא זה שהביא לממשלה החלטה שבמהלך הדיון עצמו – גם נכחתי בדיון וגם אחרי כן קראתי שוב חזור וקרוא את הסטנוגרמות – גם מביאים לידי ביטוי בדיונים עצמם איפה היו המחלוקות, בוודאי של הרגעים שלפני ההחלטה, זאת אומרת דברים שעוד נשארו פתוחים והיה צריך לחלוט אותם, וגם את הדרך הארוכה שנעשתה, וגם, אחת ולתמיד העלו על נס את חשיבות הנושא הזה והביאו את זה לידי ביטוי בקרב השרים.
שני שרביט: כל הדיונים שהיו לפני כן התנקזו להחלטה אחת משמעותית, למעשה לשתי החלטות משמעותיות, שאלה שתי ההחלטות שהקימו את שלל הפעילויות שעל פיהן אנחנו עובדים היום.
שני שרביט: אני רוצה להגיד משהו על הממשלה ועל היכולת שלה להחיל שינויים.
שני שרביט: למעשה, בשנים שלפני היינו עוד בלי הסמכויות למול הממשלה, גם למול הממשלה בשבתה כמשרדי ממשלה וגם אלה של מגזרי הממשלה, אלה שמנחים את המשק, וסימנו לעצמנו מהם אלה מבין משרדי הממשלה, וממצב של אין היום אנחנו נמצאים בהרבה הרבה יותר.
שני שרביט: יש תהליך מתמיד של שיפור, אנחנו רואים אותו לאורך זמן הולך, מתגבר, משתנה לנגד עינינו.
שני שרביט: מנהלי המשרדים – גם המנכ"לים, גם השרים, גם מקבלי ההחלטות – ניכר שרמת המודעות שלהם לנושא הזה, ההבנה שלהם בנושא הזה ורמת הטירדה שלהם מנושא הסייבר והגנת הסייבר עולה בצורה שיטתית ומתמדת.
שני שרביט: אנחנו עדיין רוצים לראות קצב יותר גדול, ללא ספק.
שני שרביט: אנחנו עובדים בכל המקומות שבהם אנחנו מזהים שזה עדיין לא כך, ואנחנו עובדים יחד עם משרדי הממשלה.
שני שרביט: בכל מה שקשור במגזרים אנחנו עובדים עם היחידות המגזריות, שגם הן, בתקופת הדוח הזה וגם הדוח השני – שתדברו עליו, אני מניחה – היו תחילה של בנייה.
שני שרביט: אנחנו היינו מופקדים בין השאר על לעזור לבניין הכוח של היחידות האלה, גם להקים אותן, ממש הלכה למעשה להביא את האנשים, לעזור לזה לקרות, לתקצב את זה יחד עם המשרדים, לגרום למשרדים לקחת אחריות – מעבר להחלטת ממשלה שהתקבלה – וגם להזין את זה בתוכן, להכניס את הידע הנדרש, להנחות את המשרדים האלה, לכוון אותם לכדי מיפוי.
שני שרביט: דיברת על מיפוי, אז נעשה מיפוי בהרבה מאוד מהמגזרים האלה.
שני שרביט: וגם התמ"ק – אני רגע פותחת סוגריים כי זו הייתה הערה קונקרטית – יש בכל מה שקשור לתשתיות הקריטיות שיטה חדשה של תבחינים שהתקבלה בצורה מסודרת בוועדה הזאת ועל פיה אנחנו עובדים במיפוי של הגופים, דואגים להכניס ולהוציא על פי הצורך גופים, לא מקדשים רגולציה באשר היא אם אין צורך בה יותר, אנחנו דואגים גם להוציא גופים, ואנחנו עובדים שם בצורה סדירה.
שני שרביט: נתנו בדיון המסווג דיווח מסודר איפה אנחנו עומדים בדברים האלה.
שני שרביט: חזור למגזרים.
עפר שלח: שני, ברשותך, אנחנו טיפה קצרים בזמן ויש לנו הרבה נושאים.
עפר שלח: אני מאוד מבקש להיכנס לדברים שעומדים על הפרק עכשיו, ואני רוצה להתחיל אחד אחד גם לפי המסמך ששלחתי לך, תכף אנחנו נשאל את משרד המשפטים על הסטטוס של חקיקת חוק הסייבר.
עפר שלח: את יכולה בקצרה להגיד איזה סמכויות חסרות לכם עכשיו שצריכות להיות בחקיקה?
עפר שלח: איזה תשתית חקיקתית אמור לתת לכם חוק הסייבר, בשפה שגם חובבנים כמונו יבינו, מה אתם לא יכולים לעשות או מתקשים לעשות עכשיו, וחוק הסייבר יאפשר לכם לעשות אותו?
שני שרביט: אני אבקש מעורך דין עמית אשכנזי, היועץ המשפטי, להשיב.
עפר שלח: בבקשה, עמית.
עמית אשכנזי: הפרויקט שלנו בחוק הסייבר הוא בעצם פרויקט מורכב כי הוא מתעסק עם חקיקה ביטחונית טכנולוגית, ומחוקקים ברחבי העולם - בגלל תהליך החקיקה, הקצב, האופי ושינויי הטכנולוגיה, וגם האתגרים הביטחוניים - נתקלים באתגר הזה חדשות לבקרים ואנחנו רוצים להביא לבית המחוקקים את המוצר המעודכן ביותר, במגבלות הדד-ליינים השונים.
עמית אשכנזי: במובן הזה, הקולגות שלנו במגזר הפרטי, יש להם יתרון ענק כי הם בעצם פועלים לפי דיני החוזים או דיני החוזים האחידים או מה שאני קורא לו בביקורת מסוימת "דיני תנאי השימוש", כי כשאתה מתקין מוצרים טכנולוגיים אתה תמיד מסכים לכל מיני תנאים.
עמית אשכנזי: אני אחזור לזה מייד כשאני אסביר איפה אנחנו נמצאים.
עמית אשכנזי: לכן, בעצם האתגר שלנו כמחוקקים או כמי שמביאים לבית המחוקקים חוק, הוא לאזן בין הצרכים הטכנולוגיים, וטכנולוגיות ההגנה וההתקפה השתנו בחמש שנים האחרונות האלה כמה פעמים וגם האתגרים הביטחוניים כי דרכי הפעולה של תוקפים שמולם אנחנו צריכים להגן על האזרחים גם השתנו.
עמית אשכנזי: כשכותבים חוק צריך לקחת בחשבון מסגרת שהיא מצד אחד מספיק יציבה כדי שהכנסת תדע איזה מנדט היא נותנת לגוף ברשות המבצעת, בהתאם לעיקרון החוקיות, וזאת מגבלה שאין לגוף פרטי שפועל במימד הטכנולוגי כי הוא יכול לתקן את החוזה שלו בכל רגע נתון, ומצד שני צריך שזה יהיה מספיק גמיש כדי להתמודד עם המציאות שאנחנו מדברים עליה.
עמית אשכנזי: להשלמה של סקירת נציגי מבקר המדינה צריך לציין עוד מסמך מאוד משמעותי בפעילות שלנו כרגע, מסמך שנקרא עקרונות ה-Cert הלאומי.
עמית אשכנזי: זה מסמך שבהתאם להחלטת הממשלה תואם עם משרד המשפטים.
עמית אשכנזי: הוא בעצם תקנון זכויות היסוד של מערך הסייבר הלאומי והוא מדגיש את העובדה שאנחנו פועלים לגבי חומר בשפה קריאת מחשב ולא עוסקים בתוכן, בשונה ממה שהמותג סייבר לפעמים משמיע.
עמית אשכנזי: קונקרטית, בהתאם למסמך עקרונות ה-Cert, הפעולה שלנו מול המרחב האזרחי היא פעולה מהסכמה מדעת חופשית ומרצון.
עמית אשכנזי: אנחנו מגיעים לארגון, מציעים לו עסקת סיוע שבתוכה אנחנו מסבירים מה הפעולות שאנחנו עושים, אנחנו משכנעים את הגוף ובאים איתו בדברים, כולל משא ומתן אם צריך, ולפעמים לקצב המשא ומתן יש משמעות על היכולת שלנו לבצע את משימותינו, ולעולם הפעולה מסתיימת בטופסיאדה – טופס שבו נציג של הארגון מסכים לפעולה כמו שמסכימים לטיפול רפואי, ובהמשך לזה כל פעולה נוספת שאנחנו עושים יש לה טופס נפרד, בהתאם למה שאומר המנהל המבצעי.
עפר שלח: גם כשיהיה חוק, זה יהיה התהליך?
עמית אשכנזי: כשיהיה חוק, זאת תהיה ברירת המחדל.
עמית אשכנזי: אחת הסוגיות המרכזיות שעולות בדיונים בחוק – והיא משקפת שאלה ערכית חשובה – מהו הרגע שבו המדינה מצפה, המחוקק מצפה מהרשות המבצעת לפעול מול גוף פרטי ללא הסכמה כי האינטרס הציבורי מחייב את הדבר הזה.
עמית אשכנזי: והתבחין הזה, השאלה מתי אנחנו אומרים – אוקיי, ניסית בהסכמה, ניסית לשכנע, הכול טוב ויפה, עכשיו צריך ללכת הלאה – זו שאלה יסודית שעומדת בדיונים ואנחנו בין התזכיר לבין הטיוטה האחרונה שנמצאת במשרד המשפטים, בניהול סיכונים שלנו צמצמנו מאוד את התבחינים על מנת לתת למחוקק ולמשרד המשפטים יותר ביטחון לגבי מתי עוברים משלב של פעולה בהסכמה בלבד לשלב של כוח.
עמית אשכנזי: בהמשך לזה, שאלה נוספת שעולה היא: בהינתן שאתה מקבל, הציבור מקבל שיש רגע שבו רוצים שהמדינה תיכנס ללא הסכמה לארגון כי יש אינטרס ציבורי חיוני שמחייב את הדבר הזה, מה מותר לאותו גוף מדינתי לבצע?
עמית אשכנזי: מהן הפעולות בפועל שמותר לעשות?
עמית אשכנזי: גם כאן, סביב פרסום התזכיר היו הרבה מאוד, נקרא לזה אי הבנות בלשון עדינה, לגבי מה עושה מערך הסייבר למול גופים אחרים, וגם על הדבר הזה יצאנו מגדרנו עד כדי שאנחנו פוגעים בחדשנות הטכנולוגית שלנו לפעול להגנה, לכתוב את הדברים בצורה ברורה בחקיקה.
עמית אשכנזי: הדבר השלישי, שהוא כמובן מאוד משמעותי זה איזה Checks and Balances מכניסים בעת הפעלת הסמכות.
עמית אשכנזי: חלק מהדברים צריכים להיות מראש וחלק מהדברים בדיעבד כדי לאפשר פעולה יעילה – דיברנו על הדברים.
עמית אשכנזי: נכון להיום, מה שאנחנו עושים, אנחנו ממקסמים עד המקסימום את היכולת שלנו לפעול באמצעות הסכמה והמגזר הפרטי, ואנחנו מצליחים אני חושב באופן יחסי בזכות זה שהמסגרת המשפטית שלנו משקפת את מה שאנחנו אומרים, והדבר השני זה הצלחה של אנשי המקצוע שלנו לשכנע את בני השיח שלהם בגופים הפרטיים שיש לנו ערך.
עמית אשכנזי: יש לנו רשת שיתוף מידע שנקראת סייברנט, שהיא בעצם נקרא לזה הרשת החברתית של אנשי האבטחה, יש בה מאות גופים מחוברים, היא רשת מאובטחת ומוצפנת, היא וולונטרית לחלוטין ואנחנו מבטיחים לשמור בה על כללי משחק כאלה שאנשים ירצו לשתף מידע.
עמית אשכנזי: בדרך הזאת אנחנו מנסים להתמודד עם האתגרים שלנו באיתור תופעות שהן קורות במרחב הסייבר והן על-ארגוניות, הן מעבר למה שהארגון עצמו רואה.
עפר שלח: אם יש לכם מידע על איזשהו סוג של איום חדש, אתם מפיצים אותו בסייברנט לטובת הגופים האלה?
עמית אשכנזי: זה דו-צידי.
עמית אשכנזי: אנחנו רוצים גם לקבל וגם לתת, וכאן חשוב להגיד, אפרופו הצורך, נקרא לזה במילה המפוצצת טקסונומיה של מידע, אנחנו משתמשים בטקסונומיה של Meteor, שנקראתMeteor Attack, זו דרך של אנשי מקצוע לתאר תקיפות סייבר כי אנחנו כרגע מעבירים אחד לשני בין הארגונים לא מידע על אנשים אלא מידע על דרכי פעולה של תוקפים ודרכי תקיפה.
עמית אשכנזי: כלומר, אלה אותם סממנים איך התוקף או התקיפה פועלת ברשת הארגונית, זה הדבר שהם יראו אם התוקף נמצא אצלם ואלה הדברים שהם ראו כשהתוקף תקף אותם.
עמית אשכנזי: לתת דוגמה קונקרטית, אם כתובת אינטרנט מסוימת משמשת לשרתי תקיפה, וגוף מסוים עם יכולת חקירת סייבר יותר טובה הבין שזאת כתובת לא טובה וחסם אותה, בוא תשתף את זה עם הקהילה באמצעות המערכת הזאת.
עמית אשכנזי: הערה אחרונה בהקשר המשפטי, פה יש לנו מחלוקת עם דוח מבקר המדינה - שצריך רגע לדבר עליה - לגבי תפיסת ההפעלה של החלטות הממשלה.
עמית אשכנזי: החלטת המדיניות הציבורית שעמדה בבסיס החלטה 2443 דיברה על תפיסת רגולציה מבוזרת היברידית.
עמית אשכנזי: מה הכוונה?
עמית אשכנזי: אנחנו לא מחליפים את המאסדרים בגזרתם מול המגזרים שאותם הם מאסדרים, גם מתוך צניעות וגם מתוך הבנה של יתרון יחסי.
עמית אשכנזי: במילים אחרות, גם לפני מערך הסייבר, הפיקוח על הבנקים בבנק ישראל הוציא הנחיות בנושא אבטחת מידע, ואחריו רשות שוק ההון ואחריו מנכ"ל משרד הבריאות ואחריו משרד האנרגיה, כל אחד בסמכויות האורגניות שמכוחן הוא מרגלץ.
עמית אשכנזי: החלטות הממשלה דיברו על זה שמלמעלה אנחנו מבקשים שהדבר הזה יהיה אחיד, כלומר אנחנו רוצים שהתורה המונחלת למשרדים או למגזרים תהיה אותה תורה כי בסוף הארגונים פועלים באותו אופן.
עפר שלח: זאת אומרת, אתם מדריכים את הרגולטורים, והרגולטורים מנחים את הגופים.
עמית אשכנזי: ולכן, בהערה של הדוח שעוסק בחשיבות של חוק הסייבר לסמכויות, תפיסתנו היא שכנקודת מוצא חוק הסייבר איננו מוסיף סמכויות לרשויות האסדרה אלא במקרים שבהם האינטרס הציבורי הוא כזה, והפער בסמכויות הוא כזה שמצדיק סמכות אסדרה נוספת.
עמית אשכנזי: החוק בעיקרו מכוון להסדיר את מערכת היחסים שבין מערך הסייבר כגוף הידע הלאומי לבין המאסדרים השונים בתחום איך עושים הגנת סייבר, וחלק אחר שלו עוסק בטיפול בתקיפות, מה שקראנו לו השכבה השנייה.
עמית אשכנזי: גם כאן, צריך לומר, אנחנו יצאנו מגדרנו ובגלל זה החוק מאוד ארוך, להכניס בקרות מפצות מראש ובדיעבד לאורך כל תהליכי קבלת ההחלטות בתוך המערך, והדבר הזה שם אותנו, את אנשי המקצוע שלנו – איש הגנת סייבר בחברה פרטית, אני לא אגיד שמות, הזכרנו בדיון המסווג, ואיש הגנת סייבר במערך הסייבר, איש הגנת הסייבר במערך הסייבר יוצא לדרך היום עם תרמיל כי הוא יודע שהוא עובד בגוף ציבורי ויש עליו יועץ משפטי וממונה פרטיות והסתכלות נוספת, והוא מנהל את קרב ההגנה עם מגבלות יותר משמעותיות כי אנחנו מבינים את התפקיד שלנו בלנהל קרב הגנת סייבר ובמקביל גם לשמור מפני שימוש לרעה של אותה פעולה שלטונית ברשת הארגונית.
עמית אשכנזי: באיזון בין שתי הנקודות האלה יש מרחב, ובמרחב הזה יש דעות כאלה ואחרות.
עמית אשכנזי: אנחנו מקווים שנביא בקרוב את העמדה של הרשות המבצעת לגמר ונוכל להביא את זה לכנסת.
עפר שלח: אני רוצה להתעכב על הנקודה האחרונה שהעלית כי היא כמובן מטרידה הרבה מאוד אנשים.
עפר שלח: מה המגבלות שאתם משיתים על עצמכם בעבודה מול גופים פרטיים ואנשים פרטיים, גם בהיבט של פרטיות, וכמובן גוף פרטי שהוא גוף מסחרי יש לו את הסודות שלו וכן הלאה, ואיך הן עובדות?
עפר שלח: האם זה רק הנחיות שאתם נותנים לעובדים שלכם או שיש לכם מנגנון, Check list כזה שבן אדם או מישהו שמטפל מול גוף פרטי צריך לעבור?
עמית אשכנזי: אנחנו מטפלים בסיכונים לפרטיות ולמידע מסחרי, שאנחנו קוראים להם ביחד, פרטיות ומידע מסחרי נקרא אצלנו מידע מוגן בעקרונות ה-Cert, הוא מסמך פומבי.
עמית אשכנזי: אנחנו מחילים את המגבלות ואת ה-Checks and Balances על כל מחזור החיים של הטיפול במידע, בהתאם ל-Best practices של דיני פרטיות במידע, שאותם אנחנו מיישמים על עצמנו.
עמית אשכנזי: השלב הראשון הוא שלב האיסוף, איזה מידע בכלל אוספים.
עמית אשכנזי: ולכן אנחנו מכוונים את עצמנו למידע בשפת קריאת מחשב שהוא בכלל לא מידע על אנשים.
עמית אשכנזי: מלכתחילה, אנחנו לא מכניסים, אלא אם הדבר הזה הוא חיוני כדי למצוא בתוכו - - -
עפר שלח: אתם לא מסתכלים על תוכן, רק על התהליכים המחשביים שמאחוריו.
עמית אשכנזי: על התהליכים המחשביים.
עמית אשכנזי: הנה טכנולוגיה, הייתי רוצה להגיד לך לעולם לא נוגעים בתוכן כי טכנאי המחשבים לא מסתכל על תוכן, אבל יש כבר פרסומים פומביים על מערך תקיפה מסוים, שהוא ממדינה שאיננה דוברת ערבית, הוא שותל את הווירוס בתוך קובץ Word.
עמית אשכנזי: אז לכן, כשאני רוצה להגיד לאנשים אצלנו, לעולם אל תכניסו אלינו חזרה למעבדה את קבצי ה-Word כי מה יש לכם לעשות עם קבצי Word, היריב יותר מתוחכם מזה ולכן אנחנו צריכים להבין את המגבלה הזאת.
עפר שלח: סליחה על האנלוגיה האנלוגית, אבל כמו שגרפולוג, לא מעניין אותו התוכן של מה שאני כותב, הוא מסתכל על מה שאני כותב בהיבט הגרפולוגי, האם אתם מסוגלים להסתכל על קובץ Word בלי לקרוא אותו?
עמית אשכנזי: אנחנו בעצם מפעילים על הדבר את העקרונות של עיצוב לפרטיות.
עמית אשכנזי: זה אומר שאם יש לי מכונה שיודעת לעשות את זה באופן אוטומטי, אני אשתמש במכונה, ואם אין לי מכונה שיודעת לעשות את זה באופן אוטומטי אז אני אשים בקרה מפצה טכנולוגית, כלומר האנליסט שעושה את החקירה, מתועדת הפעילות שלו באופן כזה שאני אדע לבדוק האם הוא נכנס לתוכן או לא, ובסוף יש לי נהלים.
עמית אשכנזי: אלה שלושת הכלים שיש לנו בארגון ליישם.
עמית אשכנזי: כל כלי שאנחנו מכניסים לפעולה בארגון עובר בקרה שלי ושל הצוות שלי כדי לראות שהוא עושה את מה שאנחנו אומרים.
עמית אשכנזי: הדבר הבא, וזה אני חושב הדבר הכי משמעותי פה כי אנחנו סומכים על בקרה של הארגון, זה שאנחנו מציגים לארגון ברמת – עוד פעם, הסכמה מדעת של טיפול רפואי – איזה כלי אנחנו שמים אצלו.
עמית אשכנזי: אנחנו לא אומרים לו: יש פה איזה מזוודה, תחבר את זה לרשת, ויש לי דיאלוג קבוע עם אנשי הטכנולוגיה כי אומרים, בצד השני לא תמיד רוצים את כל הדבר הזה, הם סומכים עלינו.
עמית אשכנזי: במובן הזה, הצד השני יודע איזה כלים אנחנו מכניסים.
עמית אשכנזי: ולבסוף, כל הפעולות שלנו מבחינת מה בסוף נכנס אלינו, מפוקחות לפי עקרונות הגנת סייבר שלנו.
עמית אשכנזי: אנחנו מגינים על המידע הזה – אני אגיד את זה אולי ככה, זה יהיה הכי פשוט להבין – אנחנו מגינים על המידע שאנחנו מקבלים מהמשק כמו שאנחנו מגינים על המידע הביטחוני שאנחנו מקבלים מהקולגות שלנו הביטחוניים כי אנחנו מבינים, וגם אנשי המקצוע מבינים, שביום שפיסת מידע שקיבלנו מגוף פרטי תצא החוצה, נגמר הסיפור, לא משנה איזה חוק יהיה לנו, וזו הדרך שלנו גם להסביר את הדברים האלה פנימה.
עמית אשכנזי: אנחנו מיישמים מעטפת הגנת פרטיות מאוד מקיפה גם על מידע מסחרי.
עפר שלח: אני רוצה לעשות הפסקה ולעבור לנציגה של משרד המשפטים, עורך דין קרן דהרי בן נון, ראש אשכול סייבר, לשאול אותך בפשטות איפה נמצא חוק הסייבר, באיזה שלב ומתי נזכה לראות אותו לפנינו כחברי כנסת.
בן נון: שלום, תודה שהזמנתם אותי לדיון היום.
בן נון: היושב-ראש הנכבד דיבר על הנושא של החקיקה ועל הפלונטר הפוליטי – נדמה לי הגדרת את זה – אז באמת יש פה תהליך מאוד מאוד ממושך.
בן נון: תזכיר החוק פורסם ביוני 2018 והתקבלו הערות מהרבה מאוד גורמים, כולל גורמים פנים-ממשלתיים וגופים שהחוק עתיד לחול עליהם, מלומדים מהאקדמיה וגורמים נוספים.
בן נון: בחלק מההערות, בוודאי אדוני גם יודע שהייתה התנגדות להוראות שהוצעו בתזכיר וסמכויות כאלה ואחרות שהוצע לעגן בו, והועלו טענות שהוא מעורר קשיים משפטיים, אפילו שעולים כדי קושי חוקתי.
בן נון: ולכן, במשך תקופה מאוד ממושכת משרד המשפטים מאוד מגויס לקידום החקיקה.
בן נון: נערכו למעשה מאז הפצת התזכיר ועד התקופה האחרונה במשרד המשפטים המון ישיבות בדרגי מקצוע, הן התמקדו בעיקר בהסדרת הסמכויות לטיפול בתקיפות סייבר ובאיזונים הדרושים לנוכח הטענות לפגיעה בפרטיות, בפוטנציאל הפגיעה בעניין הזה.