GiliGold/VAD_KnessetCorpus huggingface dataset:
<יובל חיו: צריך להבין ומי כמוכם יודעים, כשהתקציבים מוגבלים והאמצעים מוגבלים, ברגע שמגיע ממונה אבטחת מידע ואומר, אני צריך אל"ף, בי"ת וגימ"ל כדי להיות בסטנדרט הנכון, המנהל של המערכת כולה, המנהל של מערכות המידע לפעמים נמצא באילוצים שהוא לא יכול לספק לו את העניינים האלה.
<יובל חיו: אם המצב הזה יביא אותנו למציאות שנעשה הנחות בתחום הזה בעקבות האילוצים, אנחנו נהיה במצב לא טוב.
<יובל חיו: שמעתי פה את ההסדר, אני לא אתן התייחסות לעניין הזה, אנחנו באופן עקרוני אמרנו, חייבת להיות הפרדה, המצב שהיינו בביקורת לא היה מצב טוב, שם היתה גם כפיפות מנהלית, גם כפיפות תפעולית, הוא היה מתחת למנהל ממשל זמין לאורך כל הגזרה.
<כרמלה אבנר: צריך לחדד גם את הנושא שמעבר לעדכון, יהיה גם גוף נפרד שהוא מחוץ למערכת ההיררכית.
<כרמלה אבנר: ממשל זמין מוגדר כמערכת קריטית ונעשו ביקורות שהן לא חלק מהתהליך השוטף של ממשל זמין, ביקורות של רא"ם.
<כרמלה אבנר: כלומר, היום נתנו פתרונות להנחיה ובקרה של הפעילויות, ואני חושבת, אבי, אתה יכול להציג כאן גם את ההתכוונות המאוד משמעותית בהנחיה.
אמנון כהן: תיכף תציג, נלך לפי סעיפים ולאחר מכן תציג.
אמנון כהן: עוד כתוב: לא הופנו תכניות להמשכיות עסקית בממשל זמין, רק בנובמבר 2012 מינתה הנהלת ממשל זמין בעל תפקיד אחראי להיערכות להמשכיות עסקית.
אמנון כהן: הנושא הזה עובד? יש מישהו בעל תפקיד אחראי להיערכות?
<אופיר בן אבי: מונה בעל תפקיד, גויס מישהו ייעודי לנושא הזה של המשכיות עסקית והקמת אתר חלופי לממשל זמין ולתקשוב הממשלתי.
<אופיר בן אבי: אני חייב לציין, שלא כל התהליכים הבשילו והתקציבים לא הוקצו כדי להקים את המערך הזה במלואו.
<אופיר בן אבי: אנחנו נמצאים בתהליך אל מול אגף התקציבים במשרד האוצר כדי להשלים את המהלך הזה.
אמנון כהן: מה הלו"ז?
<אופיר בן אבי: קשה לי לציין פה לו"ז כי הדברים לא תלויים בי.
<אופיר בן אבי: מדובר בכ-40 מיליון שקלים על פני שנתיים.
אמנון כהן: ולגבי הסעיף הבא: תרגילים ותרגולים, סימולציות כאלה - - -
<אופיר בן אבי: גם פה, בוצע תרגיל במאי האחרון בתקשוב הממשלתי שתרגל את כל היחידות, כולל ממשל זמין.
אמנון כהן: כל כמה זמן אתם עושים היום תרגולת?
אמנון כהן: קבעתם איזשהו נוהל?
<אופיר בן אבי: אנחנו קבענו שאחת לשנה יתבצע תרגיל.
<אופיר בן אבי: מכיוון שבעבר לא בוצעו תרגילים מהסוג הזה, בהיקף כזה, התרגיל הזה משמש אותנו כבסיס וכתכנית עבודה לכל הפערים שעלו בתרגיל הזה והוא בעצם הפך היום לתכנית עבודה להיערכות להמשכיות עסקית.
אמנון כהן: לגבי אמנת שירות בין כל הגורמים, יש כבר?
<אופיר בן אבי: אמנת שירות פורסמה, היא פורסמה ביולי 2012, האמנה הזאת מטופלת, זה משהו שהוא דינמי ואנחנו מעדכנים אותו בשוטף, יצאו הרחבות ותוספות לאמנה הזאת וככל שיצטרפו שירותים ומערכות לממשל זמין האמנה הזאת תעודכן.
אמנון כהן: לגבי הסכמים עם הלקוחות כנדרש בחוק הגנת הפרטיות, איפה זה עומד?
אמנון כהן: איך הם מקבלים, בלי הסכמים?
<אופיר בן אבי: כשמדובר על מאגר מידע, האחריות על מאגר מידע הוא של בעל המאגר.
<אופיר בן אבי: לצורך הדוגמה, אנחנו - - -
אמנון כהן: הציוד של אזרחים, יש לכם חומרים רגישים ביותר.
<אופיר בן אבי: זה שהמאגר שנמצא באחריותנו - --
אמנון כהן: אז יש פה צנעת הפרט, חוק הגנת הפרטיות.
<אופיר בן אבי: מאגרי המידע הם בבעלות משרדי הממשלה.
<אופיר בן אבי: זאת אומרת, האחראי על המאגר, על המידע שנמצא בתוכו, הוא אותו משרד ממשלתי שמפעיל אותו ויצר אותו.
<אופיר בן אבי: מאגרי מידע שנמצאים באחריותנו כדוגמת מאגר המידע של שירות הטפסים, נרשם במאגרים ובוצע תהליך מסודר.
אמנון כהן: אז על מה מדבר המבקר, אין הסכם עם לקוחות?
<אופיר בן אבי: פה לא ברור לי איזה הסכם אנחנו צריכים לעשות מול לקוחות, אבל משרד שמחזיק מאגר הוא זה שצריך לפעול מול רשם - - -
<ערן צדוק: חוק הגנת הפרטיות קובע גם הלכות לגבי מחזיק במאגר מידע וממשל זמין שמחזיק במאגר מידע, צריך שיהיה לו הסכם מי יכול לגשת, מי יכול לראות וכו'.
<אריה סיקסק-דוויק: כן, אבל זה צריך להיות בעזרתו של המשרד, ממשל זמין לא צריך לגשת למשרד ולהגיד לו בוא נחתום על ההסכם.
<יובל חיו: לא קבוע בחוק מי ניגש למי, ההלכה קבועה גם למחזיק.
<יובל חיו: האחריות היא הדדית.
<ערן צדוק: מאחר והגישה שלנו היא גישה מערכתית ונמצאת פה ראש מטה התקשוב הכלל ממשלתית, אנחנו כרגע לא ניכנס האם המשרד צריך לבוא אליכם או אתם למשרד, אנחנו סבורים שהדבר הזה צריך להיות מוסדר, לא משנה מי יבוא למי בסופו של דבר אבל ההסכם צריך להגדיר את המרכיבים האלה כי זה נדרש על פי הסרגלים שעבדנו מולם.
אמנון כהן: בוועדה הזאת לא פעם אני נתקל שכל אחד זורק על השני, בסוף המידע זורם לאן שהוא לא צריך לזרום ויש גם גופים שמאוד רוצים את האינפורמציה הזאת ובסוף יגידו, בדיון בוועדה לביקורת המדינה זה זרק על זה וכך זה נגמר.
אמנון כהן: אני חייב לקבל פה היום אחריות מי עושה מה, אנחנו צריכים לסגור את הסיפור הזה כי זה דברים רגישים.
אמנון כהן: בהסתכלות שלכם אתם יכולים להגיד זה התחום שלו הוא צריך לסגור את זה, אבל יש את משרד ראש הממשלה שהוא מתכלל ודואג לכול.
אמנון כהן: אתם כאחראים על הגוף, אתם יכולים להוציא הנחיות, לפחות ליידע אותם שיש לכם את הדבר הזה לעשות מיגון כזה או אחר כדי שזה לא יזלוג למקום שלא היינו רוצים להגיע.
אמנון כהן: ולא לזרוק את זה עליו, להגיד זה עניין שלו וזהו, אני לא מקבל את הגישה הזאת.
אמנון כהן: לכן זה נראה כך, אין נהלים, לא מתכנסים.
<כרמלה אבנר: בואו נעשה את ההבחנה ואנחנו מקבלים את זה ויושב פה גדעון קונפינו, שהוא בעצם הגיוס החדש למטה התקשוב שאמור להסתכל - - -
<כרמלה אבנר: הוא מנהל האבטחה - - -
אמנון כהן: אני דורש ממך, לא מאף אחד אחד, מצדי את האחראית.
<כרמלה אבנר: אני אחראית באמצעות אנשים ומה שאני מנסה להגיד, שגם מבנית אנחנו גייסנו אדם חדש שיסתכל וייתן את ההנחיות ואת הרגולציות האלה במשרדי הממשלה - - -
אמנון כהן: אז מי יהיה אחראי על ההסכם בין כל הלקוחות?
<כרמלה אבנר: הדוח הזה מתייחס לממשל זמין ספציפית רק כאן, חשוב שאנחנו נבהיר, המטרה והמגמה של ממשל זמין הוא לא להחזיק את מאגרי המידע כדי לא ליצור כפילויות, בדיוק כדי לא לייצר את אותו פוטנציאל של נזקים שקיימים.
<כרמלה אבנר: אנחנו מקבלים את ההערה, שאנחנו במטה התקשוב, לא ממשל זמין, נוציא שוב ריענון למשרדי הממשלה כדי לעשות את אותם הסכמים ואת ההסתכלות של רישום המאגרים.
אמנון כהן: אתה מקבל את זה אדוני?
<יובל חיו: כן, בהחלט, נראה לי ענייני ובונה קדימה.
אמנון כהן: סקר הנהלה - - -
<אופיר בן אבי: ברשותכם, בנושא הזה ישבנו עם רמו"ט – רשות משפט וטכנולוגיה – כדי לפרוט את הדברים על מנת שנוכל ליישם את זה בצורה הטובה ביותר.
אמנון כהן: מי נמצא כאן ממשרד המשפטים?
אמנון כהן: לגבי סקרי הנהלה.
<אופיר בן אבי: בדומה לוועדת ההיגוי של אבטחת מידע, גם פה מתבצע סקר הנהלה אחת לשנה בצורה מסודרת.
<אופיר בן אבי: גם הפער הזה נסגר אל מול שנים קודמות.
אמנון כהן: יש מי שעוקב אחר הדברים, אחר יישום ההחלטות?
<אופיר בן אבי: כן, בוודאי, כמנהל היחידה אני זה שעושה את המעקב.
<אופיר בן אבי: ביחידה יש בעל תפקיד שהוא זה שמרכז גם את ועדת אבטחת המידע וגם את סקר ההנהלה, תפקידו לעקוב אחר המשימות ולוודא ביצוע.
אמנון כהן: טיוטת נוהל שלא אושרה, לא על ידי מנהל אבטחת מידע ולא על ידי ועדת ההיגוי של ממשל זמין, מה קרה, איך יצאה טיוטה בלי שאתם תעברו על זה מבחינה מקצועית, לאשר, לא לאשר?
<אברהם זרוק: כבוד היושב ראש, אתה רוצה להתייחס לסעיף 10?
אמנון כהן: אני מבין שטיפלתם ב-10, לא?
<אברהם זרוק: טיפלנו בכל הליקויים.
אמנון כהן: אני יודע, אתה רואה.
<אברהם זרוק: במקביל לקחנו את כל הדוחות שנכתבו ואנחנו פורטים אחד לאחד האם טופל גם על דוחות אחרים בצורה מסודרת ומה שנדרש תיקון מקבל תיקון.
<אברהם זרוק: מה עוד שמבחינתנו אנחנו הגדרנו את זה כסטופר, אם לא תוקנו כל הליקויים עד רמה נמוכה, אנחנו לא מאפשרים למערכת לעלות לאוויר.
<אופיר בן אבי: אני רוצה להתייחס ל-11, ברשותך, אני טיפה ארחיב כאן.
<אופיר בן אבי: הנושא הזה עולה לאורך כל הדוח, אני בהחלט לא מקל בעניין הזה.
<אופיר בן אבי: אני חייב לציין, שאני לא מכיר גוף אזרחי שמתייחס לנושא אבטחת המידע כמו שאנחנו מתייחסים אליו ופועלים ביום יום.
<אופיר בן אבי: כל אתר אינטרנט וכל מערכת מידע שמתארחת אצלנו עוברת בדיקות קפדניות ולא מעט אנחנו מוצאים את עצמנו, שמשרדי ממשלה בוחרים לא להגיע בגלל שהסטנדרטים הם גבוהים.
<אופיר בן אבי: אני אציין רק דוגמה אחת, הבוקר אני בשיחה עם שירות בתי הסוהר שבחרו לקחת את אתר האינטרנט שלהם כי יותר נוח לשים אותו בחוות שרתים מסחרית כי שם אין סטנדרטים של אבטחת מידע.
<אופיר בן אבי: בוודאי אבטחת המידע באה על חשבון הנוחות והנוחות פה, המשרדים מעדיפים לפעמים לבחור בנוחות ולא באבטחת מידע.
<אופיר בן אבי: אז עשינו פעולה מאוד מעמיקה, כל נושא הנהלים והפרוטוקולים, זה צוין בהתחלה, ממשל זמין מוסמך היום לתקן תמר 3, פרק זמן של עשרה חודשים ממצב של תת הסכמה, אנחנו מוסמכים היום על תקן תמר 3, אנחנו השקענו זמן ומשאבים רבים כדי לעמוד בתקן הזה שבין היתר גם מגדיר את הדברים שעולים כאן, המעקב, הפערים וסגירת הפערים, זה חלק גדול מאותו תקן של שירות הביטחון הכללי.
אמנון כהן: לגבי טיוטות?
<אופיר בן אבי: כל הסיפור הזה היה כדי שלא ייווצר מצב שיש טיוטות שלא מאושרות.
אמנון כהן: מי הכין את הטיוטות?
<אופיר בן אבי: בדרך כלל מי שמכין אותה זה אנשי אבטחת מידע.
<אופיר בן אבי: אנחנו הגדרנו תהליך מסודר - - -
אמנון כהן: איך מוודאים שזה לא יקרה בפעם הבאה?
<אופיר בן אבי: הכנסנו מערכת מידע שבעצם כל התהליכים והפערים מוזנים אליה וכל מי שיש לו משימה ופער קיים הוא מקבל משימה אליו לדואר האלקטרוני ומוודא שהיא מטופלת.
אמנון כהן: אתה הבנת את זה?
<יובל חיו: אני הבנתי.
<אברהם זרוק: המערכת עצמה לוקחת את הנוהל עצמו ומפרקת אותו לבקרה.
אמנון כהן: מישהו צריך לעבור עליו לפני שהוא מופץ.
<אברהם זרוק: זה ברור.
<אברהם זרוק: בוודאי.
אמנון כהן: מה בוודאי.
אמנון כהן: כתוב פה שלא.
<אברהם זרוק: אז התשובה היא שכן.
אמנון כהן: כל אחד יכול לכתוב נוהל וישלח, השאלה, מישהו שנמצא בפירמידה למעלה מסתכל?
אמנון כהן: נלקחו כל ההיבטים בנוהל הזה?
אמנון כהן: אולי יש דברים שצריך להוסיף, להוריד, רגישות, מישהו מלמעלה מסתכל?
אמנון כהן: מי בודק מלמעלה לפני שזה יורד למטה?
<אופיר בן אבי: יש את כותב הנוהל, לאחר מכן יש אישור של מנהל אבטחת המידע בארגון ולאחר מכן אישור שלי כמנהל היחידה.
<אופיר בן אבי: רק לאחר מכן זה נכנס - - -
אמנון כהן: זה הוסדר עכשיו?
<אופיר בן אבי: כן, בהחלט.
<יובל חיו: כרמלה אישרה נוהל כזה?
<יובל חיו: כלומר, זה מגיע אלייך לאישור?
<כרמלה אבנר: עד היום לא, אבל אנחנו - - -
אמנון כהן: ואת סומכת עליהם כל הזמן?
אמנון כהן: כי ראיתי שלא הכול עובד שם יפה.
<יובל חיו: על פניו זה נראה לי נוהל די קריטי: פעולות לביצוע בעת מתקפת מניעת שירות הוא לא נוהל שולי, הוא נוהל שעומד בשדרה המרכזית של הפעילות.
<כרמלה אבנר: גוף ממשל זמין הוא הגוף המקצועי שזאת האחריות שלו להוציא נהלים.
<כרמלה אבנר: גם היום כשאנחנו בונים את התקשוב הממשלתי, ישנם נהלים וסטנדרטים שיוצאים מהתקשוב הממשלתי רוחבית לכל משרדי הממשלה וישנם נהלים שבעצם יבואו מהגוף המקצועי של ממשל זמין והם יהיו אותם הסטנדרטים ונהלים טכנולוגיים שייצאו הלאה.
<כרמלה אבנר: אנחנו נמצאים היום בתהליך של הגדרות, לבנות מה כן ומה לא, איפה נרצה חתימות נוספות ואיפה נרצה חתימות אחרות, אנחנו נבחן את הדבר הזה.
<כרמלה אבנר: נכון להיום, ממשל זמין הוא הגוף המקצועי, יש שם גם את ההיררכיה הפנימית של הגוף המקצועי שמובל על ידי אבי זרוק וגם את הגוף הניהולי שמונחה על ידי אופיר, שהם אלה שמוסמכים וחותמים על הנהלים.
אמנון כהן: את תהיי רגועה?
אמנון כהן: מישהו צריך לפקח על זה בסוף.
<כרמלה אבנר: אמרתי, שאנחנו כרגע בוחנים מחדש אם יש צרכים נוספים - - -
אמנון כהן: כמה זמן לוקח לבחון את הנושא הזה?
<כרמלה אבנר: אני חושבת שזה ייקח לנו מספר חודשים.
<כרמלה אבנר: צריך גם לזכור, כמו שכבר אמרנו – והיה לנו דיון על כך בדיוק השבוע - - -
אמנון כהן: לקראת הדיון שלנו.
<כרמלה אבנר: לא לקראת הדיון שלכם.
<כרמלה אבנר: כפי שאמרתי, אחד הדברים שכל הזמן אנחנו סביבם זה נושאים של אבטחת מידע, זה לא משהו שאנחנו יכולים לשים אותו בצד, אנחנו טוענים שזה אורח חיים, זה אורח החיים שלנו.
<כרמלה אבנר: היה לנו דיון, ברגע שבנינו את הפונקציה החדשה בתקשוב הממשלתי שמסתכלת רוחבית וההנחיה שלנו את מול משרדי הממשלה ואת הגוף שנמצא באגף הביטחון, בעצם מהם ממשקי עבודה ואיך אנחנו עובדים, כולל גם גוף מטה הסייבר שנוצר שהוא גוף חדש בממשלה וגם רא"ם.
<כרמלה אבנר: כלומר, כל התהליכים האלה של הסדרת הסמכויות והשינוי, זה שינויים.
<כרמלה אבנר: תסתכלו בשנה וחצי האחרונות כמה גופים חדשים קמו וצריך לבוא ולראות אותם.
<כרמלה אבנר: ממשל זמין היה הגוף המקצועי הבלעדי שעשה את זה, אנחנו חושבים היום להגדיר מהם גופי ההנחיה, מהי הרגולציה ומהם הנושאים.
<כרמלה אבנר: בשלב זה ההנחיות המקצועיות והטכנולוגיות יגיעו מממשל זמין.
אמנון כהן: לגבי הדרכות, איך זה עובד, כל פעם במשרד אחר?
<אופיר בן אבי: לא, זה לא משרד אחר, זה הדרכות של אנשים שפועלים ביחידת ממשל זמין.
<אופיר בן אבי: אחת לשנה מתבצעת הדרכה, יש כאן גם את התאריכים שביצענו את זה.
<אופיר בן אבי: מעבר לזה, כל עובד חדש שמצטרף לארגון, יש טופס מסודר שבו מנהל אבטחת המידע הוא זה שחותם על הטופס המגדיר את רמת ההרשאות שאותו עובד מקבל.
<אופיר בן אבי: אחת לשלושה חודשים אנחנו אוספים את כל העובדים החדשים והם מקבלים הדרכה פרטנית בנושא של אבטחת מידע.
אמנון כהן: נחזור לסעיף 3: מנהל אבטחת מידע וממשל זמין לא מילא חלק מהתפקידים שהוגדרו לו בנוהל מדיניות אבטחת מידע.
אמנון כהן: מדובר בין היתר בקביעת רמת האבטחה הנדרשת לכל סיווג וכו' וכו'.
אמנון כהן: אני לא יודע מה הוא מילא, תענה לי, מה עשית שם?
אמנון כהן: זו העבודה שלו, הוא לא מילא את התפקיד, קיבל משכורת ככה ב"חאווה".
<יובל חיו: בעניין הזה, סעיף 3 הוא די יסודי כי מצאנו, לקחנו בדיוק את רשימת התפקידים שהוגדרה מלכתחילה לממלא התפקיד הזה וניסינו לעבור תפקיד תפקיד ולראות אם הדברים האלה נעשו.
<יובל חיו: לאורך כל השורה הזאת למעשה ראינו שהפעולות האלה, לא בקביעת רמת אבטחה הנדרשת לכל סיווג, לא בהגדרת אמצעי טיפול ותהליכי טיפול באבטחת רשומות, התוויית רמת האבטחה הלוגית, בהגדרה ובהענקה של הרשאות גישה למשתמשים ובקיום ביקורות על הפעילויות הנערכות במידע.
אמנון כהן: זה התפקיד למעשה.
<יובל חיו: אני חוזר לדברים הראשונים, זו מטריה שחייבים לעבוד לפי פרוטוקולים מאוד ברורים ופה חשוב מאוד לשמוע על הסעיף הזה, לאן שהיושב ראש מכוון, איזה פעולות תיקון נעשו כי זה עומד ביסוד העניין.
אמנון כהן: קודם כל, מי היה מנהל אבטחת המידע בתקופת הדוח?
<אופיר בן אבי: שוקי פלג, הוא כבר לא עובד בממשל זמין.
<אופיר בן אבי: הוא מחוץ לממשלה.
אמנון כהן: זה אחד שקיבל שכר מבלי שעשה את העבודה.
אמנון כהן: יש תפקיד, המדינה אומרת, התפקיד חשוב, מגייסת עבורו אדם והאדם לא ממלא את תפקידו.
<אברהם זרוק: מתחילת השנה אני נכנסתי לתפקיד, לאחר שהדוח הזה פורסם, לקחנו גם את הדוחות של מבקר המדינה וגם את דוחות הביקורת של רא"ם, התחלנו לעבור סעיף סעיף ולתקן את הדברים, בין אם זה ברמת הנהלים וכל מה שנדרש ובין אם זה ברמה הטכנולוגית, לקחת ולפרוט את הדברים על מנת שהם יבוצעו כנגזרת מתוך הנהלים עצמם.
<אברהם זרוק: במקביל, לקחנו והתקדמנו בכל מה שקשור - - -
אמנון כהן: אז תגיד לי, יש נוהל ברור בקביעת רמת האבטחה הנדרשת לכל סיווג?
<אברהם זרוק: יש נוהל ברור, אנחנו החלטנו לאמץ בצורה מסודרת את הנהלים של רא"ם על כל המערכות של ממשל זמין.
אמנון כהן: מה עם תהליכים לטיפול באבטחת רשומות?
<אברהם זרוק: בכל מה שנדרש, אם זה טיפול באבטחת רשומות, אם זה טיפול - - -
אמנון כהן: אתם יכולים לבדוק את זה ולהגיד לי שהכול בסדר?
<יובל חיו: אם מבקר המדינה יאשר ביקורת מעקב, אנחנו ניכנס.
<יובל חיו: אני רק אומר לך, שסיימנו את הביקורת הזאת, לא עצרנו, המשכנו ישר לבדוק את ההיבטים של אבטחת פיזית בממשל זמין.
<יובל חיו: לא מן הנמנע כשאנחנו נסיים את זה, ניכנס ישר למעקב על הנושא הזה.
אמנון כהן: אברהם ישלח לך, על פי התייחסות לדוח, את כל הליקויים שאתה מצביע עליהם ואתה תעבור על זה.
אמנון כהן: אני צריך לדעת אם לקיים דיון נוסף בעניין או לא לקיים דיון נוסף, לא ברמה של חקירה, אלא ברמה שהצבעת על ליקוי, הוא מדווח לך שהליקוי טופל.
<חנה פריידין: יש נציגה במשרד ראש הממשלה, שהם מקבלים את זה.
אמנון כהן: אני לא יודע, משרד ראש הממשלה נותן דוח לראש הממשלה, אני כיושב ראש הוועדה מקבל מכם או שתעבירו לי, אני צריך לדעת, מדובר בנושאים חשובים, נושאים שלא כולם עוסקים בהם, זה מקצועי ברמה הכי גבוהה ואנחנו סומכים עליכם אבל אנחנו לא נסכים לאף אחד שלא יעשה את עבודתו, לשם כך אנחנו עושים ביקורת ומי שעשה וטעה, צריך לתקן, אומרים מי שעובד טועה, אז טעה ואנחנו רוצים לתקן, לא רוצים חלילה להירדם בשמירה, פה אם אתה נרדם בשמירה זה יכול להיות אסון כבד מאוד לא פחות ממלחמה.
אמנון כהן: לכן אנחנו לא ניתן לזה לחמוק, אנחנו חייבים לעקוב אחרי זה.
אמנון כהן: אני מתרשם שיש לכם רצינות, באתם לכאן ואתם מציגים את זה, אני מתרשם שלקחתם את זה ברצינות כתכנית עבודה אחר דוח מבקר המדינה, אבל בסוף אני צריך לדעת, למרות שיישמנו, מישהו צריך לבדוק את היישום הזה ברמת ביצוע ליקויים.
אמנון כהן: משרד ראש הממשלה, אתם תבדקו את הדברים האלה כי אני צריך לקבל החלטה אם לקיים דיון נוסף.
אמנון כהן: אני לא מסתפק במה שנאמר כאן אלא צריך לבדוק את הדברים.
אמנון כהן: אני רואה רצינות, הפאזה השתנתה, החשיבה והראייה השתנתה, כרמלה שכנעת אותי שזה משתנה ושאתם לוקחים את זה ברצינות אבל אני צריך לבדוק גם לאחר תיקון הליקויים.
<ויקטוריה רביץ: שלום, אני מאגף המפקח הכללי לענייני ביקורת המדינה, אנחנו בעצם עושים מעקב אחר תיקון הליקויים.
<ויקטוריה רביץ: התשובות הראשונות פורסמו בהערות בחודש יולי ואנחנו ממשיכים במעקב.
<ויקטוריה רביץ: מה שרציתי להגיד, זה לא דיון ראשון בנושא אבטחת מידע שאני משתתפת בו, בשנת 2009, כלומר לפני ארבע שנים התקיים כאן דיון שנגע להגנת הפרטיות ושמירה על כל המידע במאגרי מידע ממשלתיים.
<ויקטוריה רביץ: בעקבות הדוח הזה, בספר של מעקב אחר תיקון הליקויים שפורסם בנובמבר 2010, בסיוע הרשות המשפטית לטכנולוגיה ומידע, יחד אתם גיבשנו שאלון לבדיקת היבטים שונים של אבטחת מידע בכל משרדי הממשלה והממצאים פורסמו.
<ויקטוריה רביץ: מה שרציתי להגיד, שממשל זמין, עם כל הכבוד, זה גוף על, יש לו את התפקידים שלו אבל מתחתיו יש כ-30 משרדי ממשלה שהם בעצם האחראים על אבטחת המידע בתוך עצמם.
<ויקטוריה רביץ: עם כל הכבוד למשרד האוצר, הוא לא יכול לבוא ולהגיד למשרד כלשהו תעשה זה וזה כי אם המנכ"ל יעצור אותם זה לא יהיה.
<ויקטוריה רביץ: הממצאים שפורסמו פה ב-2010 הם מדאיגים מאוד כי 20%-30% מהממצאים זה לא תקין.
אמנון כהן: הוא זה שאמרתי, כי זה נושא מקצועי ביותר, אני לא בטוח שכל מנכ"ל משרד מבין בזה עמוק.
אמנון כהן: יש גוף שהוא מקצוען, משרד ראש הממשלה, שמרכז את זה.
אמנון כהן: לכן לא מן הנמנע ליידע את המנכ"ל של אותו משרד או האחראי.
אמנון כהן: בנושא הזה, נושא של סייבר, כל נושא המחשוב, נושא של ממשל זמין, צריך להיות גוף מלמעלה שמנחה מקצועית, לא אומר לו מה לעשות אבל מנחה, להיזהר ממשהו, למגן, אחרת הוא יבוא ויגיד לא ידעתי.
אמנון כהן: זה נושא מקצועי, זה לא נושא ניהולי, הפונקציה הזאת שיושבת במשרד צריכה לטפל בדברים האלה, לכן כאן חייבת לרדת מלמעלה הנחיה כי הוא לא יודע.
<כרמלה אבנר: המבנה הנכון להיום, יש את גוף הביצוע של ממשל זמין - - -
אמנון כהן: איך עובד ממשל זמין במשרד הרווחה?
<כרמלה אבנר: אין ממשל זמין במשרד הרווחה.
אמנון כהן: הוא קיים רק במשרד ראש הממשלה, ומה לגבי 30 משרדי הממשלה?
<אופיר בן אבי: יש להם דפי מערכות מידע.
אמנון כהן: מה הסכנות שם?
<כרמלה אבנר: הסכנות, שכל אחד תלוי במשרד עצמו.
אמנון כהן: מי בודק שלא ינצלו את המידע לרעה?
אמנון כהן: מי יודע להגיד - - -
<כרמלה אבנר: היום ישנם מספר רגולטורים שמטפלים כל אחד--
אמנון כהן: מספר רגולטורים זה לא טוב.
<כרמלה אבנר: --והאחריות היא על המשרד.
<כרמלה אבנר: זה מה שניסינו להגיד קודם לכן, לממשל זמין יש את הכובע שהוא מעביר תעבורת אינטרנט ומארח אתרי ממשלה שבחרו להתארח בממשל זמין.
<כרמלה אבנר: מה שויקטוריה מציינת כאן וזה נכון, בכל משרד ממשלתי יש את גוף מערך המידע שלו, חלקם מנהלים את זה בעצמם, חלקם מוציאים את זה למיקור חוץ, חלקם מתארחים בממשל זמין וחלקם פר פעילות האינטרנט שלהם וחלקם בכלל עושים את זה במקומות אחרים.
<כרמלה אבנר: השינוי שאנחנו מדברים עליו היום זה שאנחנו כן נבוא ונסתכל למשרדי הממשלה, אנחנו לא יכולים להנחות, אנחנו לא יכולים לחייב את משרדי הממשלה, התקציבים הם באחריות משרדית, אנחנו יכולים לבוא ולחדד להם מחדש את הרגולציות ואת התפקידים של מה שהם צריכים לעשות.
<כרמלה אבנר: זה פן רוחבי אל מול משרדי הממשלה שאנחנו יכולים באמצעותו להסתכל על כל הדרישות, אנחנו גם נחדד את כל הדרישות של אבטחת המידע והפרטיות בתחום של ניהול מאגרי מידע, נעשה את זה בשיתוף עם הרגולטור.
<כרמלה אבנר: יחד עם זאת, משרד ממשל זמין הוא גוף הביצוע שיש לו גם אחריות תפעולית, יש חדר מחשב גדול ומכובד, שנעשתה עליו ביקורת פיזית, שעליו נעשית עבודה נפרדת ועבודה נוספת.
<כרמלה אבנר: לגבי האחריות, האחריות היא משרדית.
<כרמלה אבנר: אנחנו צריכים להבין, נכון להיום ישנם מספר גופים שמנחים, ישנם גופים כמו רא"ם שמנחים מערכות קריטיות - - -
אמנון כהן: מישהו עושה את העבודה הזאת?
אמנון כהן: יש מישהו שמפקח שהמידע לא יזלוג למקום לא רצוי?
אמנון כהן: אם בכל הרגולטורים האלה מישהו אמון על זה, בסדר, פתרנו את הבעיה, אבל אם אין, צריך למצוא.
<כרמלה אבנר: היום זה באחריות משרדית.
אמנון כהן: אין גוף רוחבי שעושה את זה?
<כרמלה אבנר: לא.
<אריה סיקסק-דוויק: מה שקורה בעצם, שמשרדי הממשלה, כל אבטחת המידע במשרדי הממשלה לא מוסדר.
<אריה סיקסק-דוויק: כל התחום של אבטחת המידע במשרדי הממשלה אינו מוסדר.
<אריה סיקסק-דוויק: זאת אומרת, יכול להיות משרד שיש לו מנהל אבטחת מידע, יכול להיות משרד שהמלמ"ר הוא מנהל אבטחת מידע ונתקלתי בדברים האלה.
<אריה סיקסק-דוויק: נתקלתי אפילו במשרד שהחליט, בגלל קיצוצים, לבטל את תפקיד מנהל אבטחת המידע.
<אריה סיקסק-דוויק: זאת אומרת, זה מתחיל פה.
<אריה סיקסק-דוויק: למשרדים אין כלים מינימאליים לעשות את עבודתם.
<אריה סיקסק-דוויק: אנחנו צריכים להתחיל מהבסיס וזה לא מוסדר.
אמנון כהן: אתה איש המקצוע, העלית את הנושא הזה בפני מישהו, שזה לא מוסדר?
<אריה סיקסק-דוויק: אנחנו דיברנו, גדעון הרי נכנס לתפקיד, זה בדיוק אחד הדברים שהוא צריך להוביל - - -
אמנון כהן: אבל אם אין לו סמכות, הוא לא יכול להוביל.
<כרמלה אבנר: מישהו צריך להוביל את הדיון הזה, עד היום לא היה מישהו שיאפיין ויגדיר את הדיון הזה.
<כרמלה אבנר: היום פעם ראשונה יש מישהו שצריך לראות את הבעיה ולהעלות אותה לדיון.
<כרמלה אבנר: זה גדעון.
<כרמלה אבנר: גדעון יצטרך - - -
אמנון כהן: הוא קיבל סמכות?
אמנון כהן: זרקתם עליו אחריות, סמכות יש?
<כרמלה אבנר: הסמכות שלו כרגע היא לצייר את הבעיה.
אמנון כהן: בפני מי?
<כרמלה אבנר: בפני התקשוב הממשלתי, שאנחנו נעשה על זה עבודה ביחד עם מטה הסייבר במשרד ראש הממשלה, ביחד עם רמו"ט, שנמצא במשרד המשפטים, ביחד עם רא"ם שנמצא במשרד ראש הממשלה תחת הגופים הביטחוניים.
<כרמלה אבנר: ישנם גם הגופים האזרחיים שגם הם מנחים מבחינת סטנדרטים שונים.
אמנון כהן: אני מוטרד מאוד מהדוח הזה, אני קודם כל מוטרד כאזרח וכנבחר ציבור.
אמנון כהן: כל אחד בתחומו מבין ועושה ורוצה לתקן את הליקויים, כך אני מתרשם, אבל אין פה ראייה מערכתית, אין פה ראייה שמישהו מתכלל, בודק את הדברים ומנחה כל משרד ממשלתי כזה או אחר כי אלה נושאים מקצועיים שצריכים להבין בו.
אמנון כהן: לא כל מנכ"ל משרד, מוכשר ככל שיהיה, מתעסק בנושאים ניהוליים והוצאת המדיניות לפועל של אותו שר.
אמנון כהן: אז נושא של אבטחת מידע הוא נושא מקצועי ברמה הגבוהה ביותר.
אמנון כהן: לכן, כאשר אין גוף מתכלל, אין גוף שנותן למישהו אחריות, אם לא ניתן לו את הסמכות שהוא יידע להעביר את המסר, להעלות את זה לסדר היום, להביא את זה לדיון בממשלה שיש בעיה אמתית ולכן צריך לעשות אל"ף, בי"ת, גימ"ל, מישהו שמסתכל מלמעלה, כל משרד עושה מה שהוא מבין, לפעמים הוא טועה, לפעמים מידע יכול לזלוג כי כל אחד אחראי ובסוף אף אחד לא אחראי.
אמנון כהן: אולי משרד המשפטים יעשה משהו או שיחשוב אם צריך לתת סמכויות עם אחריות.
אמנון כהן: נותנים לו אחריות אבל אני לא יודע אם יש לו את הסמכות.
אמנון כהן: איך אתה מסתכל על זה, אתה לא מוטרד?
<עמית אשכנזי: אני אענה לאדוני וסליחה על האיחור.
<עמית אשכנזי: הדיון הזה חשוב מאוד כי בעצם הדיון הזה מצביע אצבע כלפי הדרגים הבכירים ביותר.
<עמית אשכנזי: נקודת המוצא היא, שאחריות מתחילה במודעות.
<עמית אשכנזי: הרבה פעמים ראינו – זו תופעה כללית שקשורה בנושא IT בממשלה, כלומר נושא המחשוב בממשלה באופן כללי ואבטחת מידע כחלק מזה, לא תמיד היה במודעות של מקבלי ההחלטות הבכירים ביותר, זה נתפס כנושא מאוד מקצועי ושם קרו כל מיני דברים.
אמנון כהן: זו המלחמה הבאה, זו מלחמה אמתית, לא רק טנקים וטילים זה מלחמה, זה לא פחות מזה, דרך המחשבים יכולים לשבש את כל המערכות.
<עמית אשכנזי: אני מסכים.
<עמית אשכנזי: אם כך, הנקודה הראשונה שאני רוצה להגיד, טוב שיש דיון כזה, פעם אחת.
<עמית אשכנזי: פעם שנייה, הדיון הזה מתרחש בתקופה יותר טובה לנושא הזה מאשר הזדמנויות קודם שהוא התרחש משום שבצד הזה של השולחן יושבים חבורה של אנשים במשרד האוצר וגוף מטה של משרד האוצר שאמור להתעסק בממשל IT.
<עמית אשכנזי: אז במובן הזה אנחנו במצב טוב יותר ממה שהיינו לפני שלוש שנים.
<עמית אשכנזי: הדבר השלישי שאני רוצה לומר, חוק הגנת הפרטיות, סעיף 17 לחוק, שזה חוק שאנחנו כרשות פיקוח ממונים עליו, מדבר על חובת אבטחת המידע.
<עמית אשכנזי: החוק הזה מטיבו לא מסדיר בכלל את התקצוב כי תקצוב לא מסדירים בחקיקה רגולטורית, זה עניין של הממשלה לעשות, אבל אנחנו ראינו כנושא מרכזי שהטענות שעלו פה, ואני חלוק עליהן, לגבי השאלה מה זה אבטחת מידע, לשאלה מה זה אבטחת מידע, איש מקצוע רציני יכול למצוא עשר תשובות, אם לא 15.
<עמית אשכנזי: ממשל זמין עצמם תואמים תקן ישראלי לאבטחת מידע כך שאני לא חושב שבהקשר הזה יש פה איזה בעיה שלא יודעים מה זה אבטחת מידע, זה רק עניין של תשומת לב ניהולי.
<עמית אשכנזי: בלי לפגוע בדבר הזה, אנחנו כרשות למשפט וטכנולוגיה התחלנו תהליך בשנת 2009 שיצא באופן פומבי ב-2010, של קביעת תקנות חדשות לאבטחת מידע לפי חוק הגנת הפרטיות.
<עמית אשכנזי: מדוע עשינו את זה?
<עמית אשכנזי: כדי למנוע את הטענה שאין סטנדרט ברור.
<עמית אשכנזי: המלצנו למשרד המשפטים להתקין תקנות שלמות כוללות בנושא אבטחת מידע.
<עמית אשכנזי: התקנות האלה עוסקות בשיטות ותהליכים מעבר לאירועים כמו מבקר המדינה או דוח חגיגי שבהם מנהל הארגון מבין מה יש לו בחצר האחורית.
<עמית אשכנזי: כי הבעיה המרכזית היא, שהרבה מאוד מנהלים, לא רק בסקטור הציבורי אבל גם בסקטור הציבורי, בכלל לא יודעים מה הם מחזיקים, נתחיל בזה.
<עמית אשכנזי: אחרי שעושים את זה, עושים לזה תהליכי ניהול סיכונים.
<עמית אשכנזי: תהליכי ניהול סיכונים לא הומצאו במשרד המשפטים.
<עמית אשכנזי: יש תהליכי ניהול סיכונים, אנחנו עשינו להם תרגום לשפה משפטית כדי שיהיה יותר קל, בסוגריים, כדי שיהיה לנו גם יותר קל לאכוף את זה אחר כך, כשאתה מצביע על נורמה ברורה, קל לך יותר לבוא לאכיפה.
<עמית אשכנזי: התקנות האלה עברו שימוע ציבורי ב-2010 ואחר כך אמרו, רק רגע, צריך לברר - - -
אמנון כהן: מי התקין את התקנות?
<עמית אשכנזי: אנחנו הצענו טיוטת תקנות, היחידה שלנו.
<עמית אשכנזי: אבל על מנת שהתקנות האלה יותקנו נוצר עדיין צורך לייצר דיאלוג עם משרדי הממשלה.
<עמית אשכנזי: והנה באו משרד הממשלה, אדוני, ואמרו, סליחה, לתקנות האלה יש עלויות, אנחנו רוצים שמישהו יפתח פנקס צ'קים, אנחנו לא יודעים כמה זה ייקח לנו לבצע וכו' וכו', וזה דיון שבגללו התקנות האלה עדיין לא הותקנו.
אמנון כהן: מ-2010.
<עמית אשכנזי: אני מאוד מקווה שבזכות אירועים מהסוג הזה פעם אחת, ובזכות העובדה שאנחנו אכן מנהלים מלחמה באופן יום יומי על אבטחת המידע כי בזמן שאנחנו מדברים פה יש כאלף תקיפות לדקה, יש הרבה מספרים, המודעות הזאת עולה ואני מקווה שעד סוף השנה נצליח להביא את זה לוועדת חוקה כדי שתהיה נורמה.
<עמית אשכנזי: זו הפעולה של משרד המשפטים - - -
אמנון כהן: יש אומדן תקציבי לתקנות האלה לכשנאשר אותן?
אמנון כהן: מישהו יכול לאמוד את זה?