GiliGold/VAD_KnessetCorpus huggingface dataset:
יוליה שמאלוב-ברקוביץ: בסיכום שלך הייתי רוצה לדעת האם אני יכולה להיות רגועה, מעבר לבטן הרכה עליה הוא מדבר, לגבי ביטחונה של מדינת ישראל?
יוליה שמאלוב-ברקוביץ: האם בקטע הזה אני יכולה להיות רגועה?
רונית תירוש: הדבר היחיד בו את יכולה להיות בטוחה הוא שמכל אומות העולם יש פה ריכוז של מוח יהודי הי-טקיסטי ברמה גבוהה.
רונית תירוש: אנחנו צריכים להיות מנותב למקומות הנכונים.
יוליה שמאלוב-ברקוביץ: ועדיין סעודי פרץ.
יוליה שמאלוב-ברקוביץ: הוא בטח יהודי.
רונית תירוש: רק עכשיו מסרו לי כי פורסם היום ש"אנונימוס" פרסמה אלפי כתובות מייל, סיסמאות מוצפנות ומידע אישי של בכירים בצבא ארצות-הברית, בריטניה ונאט"ו.
רונית תירוש: אז עדיף לחיות פה.
רונית תירוש: אבל, אנחנו לקראת סיום ואני לא רוצה לפספס, גיל ארתר מחברת סליקה גדולה.
גיל ארתר: שלום, אני סמנכ"ל בחברת סליקה גדולה.
גיל ארתר: אני מייצג את ספק השבא.
גיל ארתר: יש 140 כאלה בישראל לפחות.
גיל ארתר: אנחנו אחד מהם, אנחנו גדולים.
רונית תירוש: החלטת לדבר כשאמרתי שלא נעשה מסחר אלקטרוני.
גיל ארתר: לא, לא.
גיל ארתר: אנחנו מעבירים מיליוני עסקאות.
גיל ארתר: אני מדבר על הפתרון.
גיל ארתר: הפתרון החל כבר לפני מספר שנים.
גיל ארתר: הפתרון הוא תקן PCI.
גיל ארתר: התקן ברמה הכי גבוהה שלו הוא תקן שלוקח את האחריות על אחסון הנתונים על חברות הסליקה.
גיל ארתר: כרגע יש מספר חברות סליקה שעומדות בתקן הזה.
גיל ארתר: אם נתמקד באתר האינטרנט, דף הסליקה של אתר האינטרנט הוא של חברות הסליקה.
גיל טופז: איך היית פותר את החדירה ל-ONE?
גיל טופז: הוא לא סולק.
יורם הכהן: והשאלה היא האם זה חל גם על מידע אישי, מעבר לפרטי כרטיסי אשראי?
קריאה: ה-PCI לא מתאים למידע אישי.
גיל ארתר: בואו נתמקד כרגע באשראי, ונוכל לדבר גם על הפרטים אישיים.
קריאה: - - -פה יש פתרון, וחברות האשראי עושות את הפתרון.
גיל ארתר: בנוגע לדף האבטחה, הדף הזה הוא של חברות הסליקה.
גיל ארתר: אני מציע שיהיה שם אייקון קבוע של תקן.
גיל ארתר: האייקון הזה יוביל למסמיך, לשרת של המסמיך עצמו.
גיל ארתר: בעבר שתאריך ההסמכה עבר, תקפוץ הודעה וזה יועבר במסגרת החוק לרגולטור, והוא יורשה לעשות מה שצריך לעשות במסגרת החוק.
גיל ארתר: לצרכן – יכולים לפרסם איזושהי שיקופית כמה דקות, ויסבירו על האייקון הזה שנמצא בכל אתר.
גיל ארתר: הצרכן ילמד את זה לאט לאט.
גיל ארתר: בנוגע לפרטים הרגישים, ובנוגע לאתר שלא סולק – אתר שלא סולק, חברת האשראי תפקח עליו ותראה שהוא לא - - -
קריאה: אתר שהוא לא סולק.
קריאה: ילד יחליט להרים אתר ולאסוף כתובות, אני צריך ל - - -
גיל ארתר: שוב, הוא צריך לעמוד בתקן.
גיל ארתר: אם הוא לא עומד בתקן - - -
קריאה: אתה מציע שחברות האשראי יפקחו על אתר להיכרויות?
גיל ארתר: יש לך שתי אפשרויות של עמידה בתקן: או שזה חברת סליקה שכאלו יש במספר גדול בישראל, או שזה בתי עסק גדולים.
גיל ארתר: ברגע שזה בית עסק גדול שרוצה לעמוד בתקן, אם הוא לא עומד בתקן הוא לא יורשה להחזיק פרטים אישיים.
גיל ארתר: יש תקן נוסף שאפשר להוציא אותו במקביל, אותה דרך בדיוק עם מסמיך, שזה תקן לפרטים לרגישים – אייקון.
גיל ארתר: אותו אייקון נמצא באותו מקום שנותן אפשרות לרגולציה לפקח על הפרטים הרגישים שמאוחסנים באתר.
גיל ארתר: האתר לא מאחסן את הנתונים הרגישים.
גיל ארתר: מי שמאחסן את הנתונים הרגישים היא החברה שמוסמכת לאפסן את הנתונים הרגישים - זה הכול.
גיל ארתר: אם זה חברה גדולה אז החברה צריכה לעמוד בתקן עצמו ולאחסן את הנתונים הרגישים.
רונית תירוש: אני רוצה להבין.
רונית תירוש: תקומנה מספר חברות שהוסמכו להוות מאגר של נתונים.
גיל ארתר: חברות סליקה, ספקי שבא.
רונית תירוש: חברות סליקה זה חברות אשראי, לא?
נמרוד קוזלובסקי: יושבת-ראש הוועדה, יש פה ערבוב בין דברים.
נמרוד קוזלובסקי: ההצעה היא מאוד נכונה לגבי סליקה, ואני חושב שההצעה המוצעת פה לחייב ב-PCI בשביל לאבטח ברמת הסליקה היא הצעה חכמה ונבונה.
נמרוד קוזלובסקי: היא לא פתרון לפרטים האישיים.
נמרוד קוזלובסקי: חס וחלילה שנקבע לנו שיהיו מספר גופים במשק שרק הם הופכים להיות מאגרי מידע ענקיים שבהם אוספים את כל הפרטים של האתרים.
נמרוד קוזלובסקי: אולי ההצעה לכנסת היא שרמו"ט תוסמך לא רק להגנה על הפרטיות, אלא להגנת אבטחת מידע בכלל בסקטור הפרטי.
נמרוד קוזלובסקי: יש גוף מקצועי שיכול לעשות את זה.
גיל ארתר: החוק עוטף את שני הנושאים האלה: אייקון אחד לאשראי, אייקון אחד לפרטים אישיים.
רונית תירוש: אתם תעזרו לי בסיכום אם פספסתי התייחסות.
אסף ויסברג: אני חייב להתייחס פה.
אסף ויסברג: אני אסף ויסברג, סגן נשיא ISACA.
אסף ויסברג: ההתייחסות תהיה קצרה מאוד.
אסף ויסברג: כל הזמן נעים פה בין הצד של פרטים אישיים לצד של כרטיסי האשראי.
אסף ויסברג: אם מסתכלים על חוק הגנת הפרטיות, להבנתי לפחות, חוק שנחקק ב-1981, אם אני זוכר, ויש לו עוד תיקון ב-1986, הוא מדבר על סוגים שונים של נתונים שנחשבים כרגישים.
אסף ויסברג: הוא לא מדבר, למשל, על כרטיסי האשראי, מספרי כרטיסי האשראי ככאלה.
קריאה: מספר אשראי כשלעצמו הוא לא מידע רגיש.
אסף ויסברג: אני לא יכול להוסיף מה המשמעות של זה ברגע שאתה משלב את מספר כרטיס האשראי יחד עם שאר דברים.
גיל טופז: אין לזה שום משמעות.
גיל טופז: אני יכול להקריא עכשיו את מספר כרטיס האשראי שלי, ועוד שלוש שניות לא תהיה לו משמעות.
אסף ויסברג: כרטיס האשראי שלך אולי לא, שלי כן.
גיל טופז: גם לא.
רונית תירוש: אני לא יכולה לרכוש באמצעות הכרטיס?
רונית תירוש: אה, ברגע שמבטלים.
רונית תירוש: הוא לא יודע שגנבו לו, אז הוא לא מבטל.
אסף ויסברג: עם כל הכבוד לחברות האשראי שאתן גדולות וחסונות, יש פה ניסיון להסיט את הפוקוס מהמקום.
אסף ויסברג: יש כאן בעיה גלובאלית.
אסף ויסברג: הבעיה מדברת גם על נושא של מידע אישי, וגם על נושא של כרטיסי אשראי שיכול לייצר נזק.
אסף ויסברג: לכולנו ברור המקרה הספציפי של הבחור הספק סעודי הזה, שכולם החליטו שהוא סעודי, זה שהוא ניסה לעשות פה טרור.
אסף ויסברג: הוא לא ניסה להשתמש בכרטיסים.
אסף ויסברג: אתם בזריזות רבה חסמתם - תודה רבה וכל הכבוד – גם את של אשתי.
אסף ויסברג: הנקודה הזאת לא פוטרת אף אחד.
אסף ויסברג: עד שלא ישימו את כל התהליך הזה כדבר הזה כדבר אחד עם אחריות אחת ולהגיד שמידע רגיש הוא כולל סט ארוך יותר של פרמטרים, ולא רק את מה שנוח לכם להגדיר כסט של פרמטרים רגישים, הדבר הזה לא ייפתר.
אסף ויסברג: במקרה הספציפי הזה מאחר ויש פה את כל הסיפור הזה שיצא לתקשורת, כי המטרה היתה לצאת לתקשורת, רצתם וסגרתם.
אסף ויסברג: מה קורה עם כל אותם מקרים שכולנו מבינים שקורים כל הזמן שלא מודעים לזה ונעשה שימוש כזה?
רונית תירוש: אנחנו לא פותחים עכשיו ישיבה על זה.
גיל טופז: נאמרים פה דברים מתוך חוסר הבנה, וחשוב לתקן אותם.
גיל טופז: אין אזרח בישראל שפרטי כרטיס האשראי שלו דלפו בחמש השנים האחרונות – אני לא יודע להגיד לפני כן, אני מניח שהמצב הוא אותו דבר – והוא ניזוק כספית מזה.
גיל טופז: כל מי שבוצע הונאה בכרטיס האשראי שלו עקב דליפה, קיבל חזרה את הכסף - אפס נזק.
רונית תירוש: האמת היא שהסיפור הזה ממש לא מטריד אותי כי אתם נותנים.
רונית תירוש: איך אמר לי אתמול נמרוד?
רונית תירוש: יש לכם תמריץ לאבטח את עצמכם.
גיל טופז: אנחנו היחידים שפועלים בשוק, אז לבוא ולהגיד שכרטיסי האשראי מהווים כאן איזשהו סיכון?
יורם הכהן: - - -מכיוון שלכם יש אינטרס בשימוש כרטיס אשראי במסחר אלקטרוני, ושבמה
יורם הכהן: לך השימוש בכרטיס האשראי בתהליך אלקטרוני יש איסוף מסיבי של מידע, השאלה היא האם לא צריך את ההגנה הזאת גם על הפעילות הזאת?
גיל טופז: שוב, ברגע שאתר ONE נפרץ פעם והיו שם עשרות אלפי כתובות מייל ותעודות זהות, הוא לא סולק כרטיסי אשראי, הוא לא מקבל כרטיסי אשראי.
גיל טופז: הוא לא בא במגע עם כרטיסי אשראי, והוא עדיין ייצר כזה נזק של עשרות אלפי פרטים.
גיל טופז: אגב, תקן ה-PCI לא נוגע לדברים אחרים, מלבד פרטי כרטיסי האשראי.
גיל טופז: ה-PCI לא יפתור את איסוף כתובות המיילים ותעודות הזהות, ורשימת הקניות שעשית, והתלונות שהתלוננת.
יורם הכהן: אבל, אם הוא מחייב הצפנה של פרטים - - -
נמרוד קוזלובסקי: עו"ד יורם הכהן, אני חושב שההצעה הזאת היא מצוינת.
נמרוד קוזלובסקי: אם תהיה חובת הצפנה של פרטים שהם פרטים רגישים או ריבוב שלהם – וכולנו יודעים, פונקצית הש – אין ספק שהנזק ייעלם אם המידע ידלוף.
יוליה שמאלוב-ברקוביץ: מה זה "פונקצית הש"?
יוליה שמאלוב-ברקוביץ: גם הצופים לא יודעים מה זה פונקצית הש?
קריאה: פונקציה שמצפינה את המידע ושומרת אותו בצורה שהיא לא קריאה בתוך בסיס הנתונים או בתוך קובץ.
קריאה: היא לא מצפינה, היא ממזערת.
יוליה שמאלוב-ברקוביץ: הבנתם?
רונית תירוש: הבנו, הבנו.
יוליה שמאלוב-ברקוביץ: אני פונה לצופים.
רונית תירוש: הם הבינו את זה כבר באמצע הדיון.
נירה לאמעי-רכלבסקי: אני חושבת שאחת נקודות המבט הבסיסיות שלנו צריכה להיות מניעת מאגרי המידע.
נירה לאמעי-רכלבסקי: אחד הדברים שהקפדנו לעשות בחוק הביומטרי, בהנחה שאותו מאגר שניתנה לנו חוות דעת משפטית שהוא אכן בעייתי, אבל החוק עבר יחד עם המאגר הביומטרי, היא בכל הנקודות בדרך לא לאפשר את אגירת המידע.
נירה לאמעי-רכלבסקי: כלומר, כל נקודה בדרך שבה אגירת המידע היא אפשרית, היא אסורה.
נירה לאמעי-רכלבסקי: אנחנו נראה במבחן הזמן אם באמת יקפידו על זה או לא.
נירה לאמעי-רכלבסקי: אבל, אחת הנקודות המבט החשובות היא לאסור את אגירת המידע.
נירה לאמעי-רכלבסקי: לכן, אנחנו צריכים לראות מראש איפה אגירת מידע מחויבת או לא מחויבת, לפני האיסוף.
נמרוד קוזלובסקי: אני חייב לומר כמה מילים להצעה הזאת.
נמרוד קוזלובסקי: היא הועלתה כמה פעמים גם לגבי רשומות רפואיות ולגבי רשומות אחרות.
נמרוד קוזלובסקי: יש איזושהי הנחה שאני יכול לאחר שהמידע נמסר לסכל את היכולת לאגור אותו.
נמרוד קוזלובסקי: אין דבר כזה, אין חיה כזאת.
רונית תירוש: לא, אני רוצה לחוקק.
נמרוד קוזלובסקי: לכן, מה שבעייתי זה או ללכת להצעות כמו הצעות של עו"ד קלינגר שאומר: יש פרטי מידע שאסור לך לדרוש כמו תעודת זהות, או חובה כמו שאומר ראש הרשות עו"ד יורם הכהן שאתה מחויב בהצפנה או בריבוב של המידע - מה שנקרא הש – כדי שגם אם הוא יתפרץ הוא לא יהיה שמיש.
יורם הכהן: זה חלק מתקנות אבטחת המידע.
רונית תירוש: אני יודעת שיש חוקים ויש תקנות.
רונית תירוש: השאלה היא כמה אנחנו אוכפים.
רונית תירוש: האם יש מישהו מציבור המשתתפים כאן שמעוניין להגיד כמה דברים קצרים?
רונית תירוש: יש לי עוד חמישה דוברים, נסגרה הרשימה.
רונית תירוש: תציגו את עצמכם, בבקשה.
ג'קי אלטל: ג'קי אלטל, יועץ אבטחת מידע.
ג'קי אלטל: אני רוצה להתייחס לכמה נקודות.
ג'קי אלטל: הנקודה הראשונה היא נושא המודעות שהעלה אותה מר אבי ויסמן, ומר ארז מטולה.
ג'קי אלטל: אם ארז התייחס לפיתוח מאובטח וכיצד צריך לפתח אפליקציות, אבי התייחס להדרכות.
ג'קי אלטל: אני חושב שצריך להתמקד בזה הרבה הרבה יותר ברמה הארגונית גם כתקן, איזה סוגי הדרכות צריך להעביר את העובדים.
ג'קי אלטל: ברמה של האזרח הפשוט, אני לא חושב שאזרח יכול להתייחס לאיזשהו אייקון כזה או אחר שיופיע.
ג'קי אלטל: בהנחה שהוא יודע שיש את האייקון הזה, מבחינתו הכול מוגן והכול תקין.
ג'קי אלטל: כי אם אותו אזרח יתחבר לרשת שהיא לא מאובטחת, בכל בית-קפה היום ניתן להאזין ולקבל את הפרטים האישיים שלו רק באמצעות כלים בסיסיים שנמצאים באינטרנט.
ג'קי אלטל: לגבי ההתקפות שדיברנו עליהן, או OxOmar שהוא באמת נהיה כוכב גדול – הבחור בסך-הכול Script Kiddie.
ג'קי אלטל: אנחנו מדברים על האקר ברמה הנמוכה ביותר.
ג'קי אלטל: הוא ממש ממש לא מתוחכם.
ג'קי אלטל: אני חושב שהוא אפילו לא השתמש בכלים שהם כל-כך מתוחכמים.
ג'קי אלטל: אלו כלים שניתן להוריד מהאינטרנט.
ג'קי אלטל: כל אחד יכול להפוך ל- OxOmarבקלילות מבלי להתאמץ ומבלי לדעת יותר מידיי מה הטכנולוגיות שאתה עובר.
ג'קי אלטל: מבחינת החברות – שמו של אחד האתרים שנפרצו הופיע ברשימה של אתרים שידוע שהם פגיעים להתקפות מסוימות, למעלה משלוש שנים באינטרנט.
רונית תירוש: איזה אתר?
ג'קי אלטל: אחד מהאתרים.
רונית תירוש: תגיד.
ג'קי אלטל: 365.
ג'קי אלטל: לדוגמא, זה אתר שהיה ידוע כאתר פגיע, לפחות שלוש שנים.
רונית תירוש: זה היה כתוב בעיתון.
ג'קי אלטל: כן, אני חושב שאני ציינתי את זה שם.
ג'קי אלטל: מעבר לזה, דיברו על המוח הישראלי.
ג'קי אלטל: אני רוצה לבצע הפרדה בין תקיפה להגנה.
ג'קי אלטל: אני אקח אנלוגיה של משחק כדורגל כדי שכולם יבינו בדך הפשוטה.
ג'קי אלטל: אי-אפשר לקחת חלוץ ולהגיד לו לשחק עכשיו כבלם, ולקחת בלם ולהגיד לו להיות חלוץ.
רונית תירוש: אפשר, אבל אחר כך מפטרים את המאמן.
ג'קי אלטל: עוד לפני שמפטרים אצלנו במדינה.
ג'קי אלטל: זה לא עובד כך.
ג'קי אלטל: יש אנשים שמתעסקים בתקיפה, ויש אנשים שמתעסקים בהגנה.
ג'קי אלטל: יש כמובן אנשים שעושים את שניהם.
ג'קי אלטל: אבל, זה חייב להיות ברור שללא מודעות של הציבור הרחב, שום תקן לא יעזור.
ג'קי אלטל: תקן יכול למנוע התקפות כאלה?
ג'קי אלטל: אני לא חושב.
ג'קי אלטל: לא הייתי אומר שהוא יכול למנוע.
רונית תירוש: או לצמצם נזקים.
ג'קי אלטל: כן, הוא יכול לסכל.
ג'קי אלטל: הוא יכול לתת את האפשרות או את הכלים לאנשים שעומדים בחברות ובארגונים לזהות את ההתקפות האלה מבעוד מועד ולהתמודד מולן.
יעל גורן-חזקיה: שמי יעל, ואני נציגת המועצה הלאומית למחקר ופיתוח.
יעל גורן-חזקיה: בראש המועצה עומד היום פרופסור יצחק בן-ישראל.
יעל גורן-חזקיה: שני דיברה על המטה הלאומי, ואני רוצה לדבר קצת על המיזם.
יעל גורן-חזקיה: המיזם הקיברנטי הלאומי עבד בערך כשנה, שנה פלוס, עם מנדט מראש הממשלה לבחון את כל הסוגיה הזאת.
יעל גורן-חזקיה: אני רוצה לתת מענה לכמה סוגיות שעלו פה: חקיקה ותקינה, אקדמיה, הגנה, ניטור ובקרה וכו' וכו'.
יעל גורן-חזקיה: חשוב לציין שעבודת מטה הסייבר הלאומי נעשית על סמך רוב ההמלצות שעלו מהמיזם הקיברנטי שאותו הצגנו בעבר כאשר חבר הכנסת שטרית היה יושב-ראש הוועדה.
יעל גורן-חזקיה: חשוב לציין שהוועדה נתנה מענה לכל מה שעלה פה, אם זה אקדמיה, אם זה הקמת חוגים לסייבר וכו' וכו', ועניין חקיקה ותקינה.
יעל גורן-חזקיה: היא נתנה המלצות בכל תחום.
יעל גורן-חזקיה: היו שמונה תתי-ועדות בתחומים הללו.
יעל גורן-חזקיה: ניתנו המלצות בתחום הזה.
יעל גורן-חזקיה: על-פי ההמלצות הללו מטה הסייבר הולך לפעול.
יעל גורן-חזקיה: הם כמובן ירחיבו את ההמלצות.
יעל גורן-חזקיה: אבל, זה פחות או יותר הדברים.
יעל גורן-חזקיה: לשאלתה של חברת הכנסת יוליה שמאלוב ברקוביץ, וגם במענה למה שאמרת – היתה המלצה להרחיב את סמכויות הרשות לאבטחת המידע בשב"כ כגוף ביצוע לטיפול במרחב האזרחי גם.
יעל גורן-חזקיה: מהסוגיה הקטנה מאוד של אבטחת כרטיסי האשראי, צריך להסתכל על סך-כל המרחב.
יעל גורן-חזקיה: בסופו של דבר, זה טרור.
יעל גורן-חזקיה: זה המענה שהמיזם רצה לתת – הגנה על כל המרחב הקיברנטי ברמה המאוד לאומית הזאת של ניתוק אספקת החשמל, לדוגמה, או ניתוק הכבל הימי וכו' וכו'.
יעל גורן-חזקיה: רם הוא יועץ לתחום הסייבר במועצה הלאומית למחקר ופיתוח, והוא קצת ירחיב את דבריי בתחום היותר מקצועי.
יעל גורן-חזקיה: רק רציתי לתת מענה שהדברים האלה כן נעשו.
יעל גורן-חזקיה: היה פה בחור שהלך.
יעל גורן-חזקיה: אבל, כן נעשתה אינטגרציה בין מיטב המוחות, מיטב הגופים, נשיאת האקדמיה למדעים, מפא"ת.
רונית תירוש: האם ההמלצות של ועדת בן-ישראל מפורסמות באיזשהו אתר?
רונית תירוש: תאמרו איפה.
יעל גורן-חזקיה: שוב, נעשתה אינטגרציה, גם בתחום הביטחוני עם מפקד יחידת 8200, - - -
רונית תירוש: יעל, אני לא רוצה לרדת לפרטים התיאורטיים האלה.
רונית תירוש: אני שמחה שאת מרגיעה.
רונית תירוש: אני רק מזמינה אותך לעשות לי בוחן פתע.
רונית תירוש: אני אסכם בסוף, וכל מה שתחשבי שהוא כאילו כפילות של המלצה שממילא ניתנה, תעירי.
רונית תירוש: בואי נראה שסגרנו את כל החורים.
רם לוי: שמי רם לוי, יועץ סייבר של המולמ"פ.
רם לוי: אני שימשתי כמזכיר של המיזם הקיברנטי.
רם לוי: קודם כל, אני כן רוצה להעביר מסר מרגיע.
רם לוי: מהבחינה שאנחנו עשינו שכללה את כל הגופים דווקא גילינו שמצבנו לא כל-כך רע, לפחות לא בתחום של ההגנה של מה שנחשב אצלנו כחיוני לתפקוד המדינה.
רם לוי: אני חושב שהאירוע הזה, מעבר לזה שאנחנו מסתכלים עליו כאירוע של אבטחת מידע ואירוע של הגנה על הפרטיות, צריך להסתכל עליו גם במסגרת משפחה של אירועים אחרים לגמרי, משפחת האירועים של פגיעה בתפקוד המדינה.
רם לוי: למה אני אומר את זה?
רם לוי: קודם כל, בגלל שזה מה שאמר ההאקר בעצמו, שזו היתה מטרתו.
רם לוי: וכן, כי כשאנחנו באים לבחון אלו מענים אנחנו נותנים לאירוע הזה, אנחנו צריכים לתת מענים שהם רלוונטיים לבעיות הרבה יותר גדולות.
רם לוי: הסיבה לזה היא שגם אם ניתן עכשיו מענים שהם רלוונטיים לאבטחת מידע, לא בטוח שנפתור את בעיית אבטחת המידע של הבקרים של המזון בחברת "אוסם", או של רכבים שיש להם בקרים ממוחשבים, או של חברת החשמל, או של המון המון תשתיות לאומיות שנשלטות על-ידי מחשבים, וצריך לזכור את זה.
רונית תירוש: אמרת שאתה רוצה להרגיע, אבל אתה לא מרגיע.
רונית תירוש: אני חשבתי ששם אני מסודרת, ושאת המזון שלי אני אקבל בזמן גם אם תהיה מתקפה קיברנטית.
רונית תירוש: חשבתי שהבטן הרכה שלי היא בקטע האזרחי שלי כאשר אני קונה שמלה או טסה לפריז.
רם לוי: הבטן הרכה היא, וזו לדעתי השורה התחתונה, היא שיותר ויותר מערכות חיוניות נשלטות על-ידי מחשבים.
רם לוי: כמעט כל המערכות האלה נשלטות על-ידי מחשבים, ולכן גם אפשר לפגוע בהן.
רם לוי: זה אומר שאנחנו צריכים להשקיע מחשבה בשאלה איך אנחנו מגינים עליהן.
רם לוי: איפה אנחנו רגועים?
רם לוי: במקומות שהרשות הממלכתית לאבטחת מידע ותהיל"ה כבר עושים עבודה למעלה מעשר שנים.
יוליה שמאלוב-ברקוביץ: אז איך פורצים כל יומיים מחשב של משרד ממשלתי זה או אחר?
יוליה שמאלוב-ברקוביץ: לא כל יומיים, אבל מספיק שזה קורה פעם אחת.
רם לוי: הסיבה לכך שזה קורה היא כי יש בעיות אבטחת מידע שהן אינהרנטיות כי בני אדם מפתחים אותן.
רם לוי: יש דברים שאנחנו לא חושבים עליהם תוך כדי שאנחנו מפתחים אותם, ויש גם בעיות שעולות תוך כדי השימוש.
רם לוי: למשל, הגורם האנושי.
רם לוי: אדם יכול לבוא עם דיסק-און-קי ולגנוב כמות גדולה של אינפורמציה.
רם לוי: אני לא אומר שכל הבעיות הן פתירות.
רם לוי: אני רק אומר שהמדינה כבר התמודדה עם חלק מהבעיות.
רם לוי: היא יודעת להתמודד איתן בצורה לא רעה.
רם לוי: אבל, נוצרה בעיה חדשה.
רם לוי: בגלל שהתמחשבנו בקצב נורא נורא מהיר נוצרו התשתיות התת-קריטיות והן לא חברת חשמל או המפעלים פטרו-כימיים שלהם כבר אומרים מה לעשות, אלא קבוצה של המון המון תשתיות שכל אחת בנפרד היא לא חיונית, ובכל אחת אני יכול לפגוע במאמצים יחסית לא גדולים.
רם לוי: אבל, אם אני אפגע בהן ביחד אני כבר אגרום נזק תפקודי למדינה.
רם לוי: למה הבעיה הזאת נהייתה בעיה חמורה?
רם לוי: כיוון שנכנסו שחקנים חדשים שהם Nation State Actors.
רם לוי: זאת אומרת, המדינות נכנסו פנימה לתוך הסיפור הזה של הסייבר.
רונית תירוש: רם, לא הבנתי איפה אתה מרגיע אותנו.
רם לוי: אני מרגיע בזה שאני אומר כך.
רם לוי: בכל מה שקשור להגנה על תשתיות חיוניות מצבנו לא כל-כך רע.
רם לוי: יש המלצות שגיבשנו במהלך המיזם שהן רלוונטיות כמעט לכל תחום שנגענו בו.
רם לוי: אולי המסר החשוב ביותר הוא שלא ניתן לפתור את זה לבד.
רם לוי: זאת אומרת, צריכים לשבת ביחד - מטה הסייבר יחד עם ארגוני הממשלה, האקדמיה והתעשייה - כדי לפתור את הבעיות שהן רלוונטיות לכולן.
רם לוי: אנחנו הגשנו את ההמלצות, הן אומצו על-ידי ראש הממשלה.
רם לוי: מטה הסייבר יצטרך ליישם את ההמלצות האלה, וצריך לתת לו זמן.
רונית תירוש: נציגת משרד החוץ, אמנת בודפשט, בבקשה.
אסתר אפרת-סמילג: שמי אסתר אפרת-סמילג.
אסתר אפרת-סמילג: אני סגנית היועץ המשפטי ומנהלת מחלקת אמנות במשרד החוץ.
אסתר אפרת-סמילג: אני רוצה להתייחס לאמנת בודפשט שהזכירו אותה כאן.
אסתר אפרת-סמילג: ביוזמת משרד החוץ אנחנו יזמנו בדיקה של האמנה במגמה להצטרף אליה.
אסתר אפרת-סמילג: לגמרי במקרה הישיבה נקבעה למחר.
אסתר אפרת-סמילג: בכל בדיקה לפני הצטרפות לאמנה בודקים סעיף סעיף אם זה מתאים כן או לא לחוק הישראלי.
אסתר אפרת-סמילג: אם זה אנחנו מתאים, אנחנו יכולים להצטרף.
אסתר אפרת-סמילג: אם לא, צריך קודם לתקן את החוק לפני שאנחנו יכולים להצטרף אמנה.
רונית תירוש: היתה לכם הבעיה של חוק זכויות יוצרים.
רונית תירוש: ב-2007 חוקק, זה נפתר.
אסתר אפרת-סמילג: אנחנו נבדוק את הכול.
אסתר אפרת-סמילג: המגמה היא לבדוק מחר.
אסתר אפרת-סמילג: דבר נוסף, אנחנו פנינו לכל משרדי הממשלה.
אסתר אפרת-סמילג: הבדיקה היא כמובן של הממשלה, ההצטרפות לאמנה היא של הממשלה.
אסתר אפרת-סמילג: אנחנו פנינו לכל מי שאנחנו חשבנו שהוא רלוונטי.
אסתר אפרת-סמילג: אם יש איזשהו גורם - - -
רונית תירוש: כמה זמן זה ייקח להערכתך?
אסתר אפרת-סמילג: אין לנו - - -
רונית תירוש: תנדנדו למשרדי הממשלה, הם לא מבינים את האיום.
אסתר אפרת-סמילג: אני יכולה להגיד שהיתה היענות מאוד גדולה של כל משרדי הממשלה.
רונית תירוש: אנחנו נקיים דיון בוועדת המדע.
רונית תירוש: האם פרק זמן של חודשיים ימים הוא סביר?
רונית תירוש: אם כן, בעוד חודשיים, ונביך את כל משרדי הממשלה שלא ענו לך.
רונית תירוש: אני מקווה שלא נביך ותודיעי שאנחנו כבר חתומים לגזור את הסרט.
אסתר אפרת-סמילג: להיפך, ההיענות היתה גדולה מאוד.
רונית תירוש: אדוני, מילה על זה.
חיים ויסמונסקי: חיים ויסמונסקי, פרקליטות המדינה.
חיים ויסמונסקי: אנחנו באמת נפגשנו בהקשר אחר בוועדת המדע ודיברנו על האמנה.
חיים ויסמונסקי: לא יצא לי אפילו ללחוץ יד לגברת ממשרד החוץ.
חיים ויסמונסקי: אני ממש מעדכן חם חם מהבוקר.
חיים ויסמונסקי: הבדיקה המשפטית לגבי ההיתכנות להצטרף לאמנה – קרי, האם יש סעיפים שצריכים לתקן אותם – הביאה אותנו למסקנה שיש סעיף אחד שאנחנו כנראה נצטרך להציע בו תיקון חקיקה.
חיים ויסמונסקי: אנחנו לוקחים את זה על עצמנו באופן מהיר ככל הניתן לפרסם את התזכיר.
חיים ויסמונסקי: אבל, צריך לזכור, זה הליך חקיקה על כל המשתמע.
נירה לאמעי-רכלבסקי: אם זה יבוא לוועדה שלנו, זה ילך מהר.
חיים ויסמונסקי: זה לא תלוי, לפחות לא בי כרגע.
חיים ויסמונסקי: זה איזשהו סעיף באמנה – ARTICALE 6.
חיים ויסמונסקי: בחוק הישראלי צריך לתקן סעיף שהוא מתכתב עם סעיף 6 לחוק המחשבים.
חיים ויסמונסקי: זה סעיף פלילי עונשי.
חיים ויסמונסקי: אני מבטיח שמשרד המשפטים יפעל מהר ככל הניתן.
חיים ויסמונסקי: אבל, עדיין מדובר על הליך חקיקה.
רונית תירוש: אנחנו נדבר עם שר המשפטים שיגיע לכאן, ואז חוקה ישים לנו מכשול, וזה ייתקע.
חיים ויסמונסקי: המכתב של גברתי יגיע לשר המשפטים.
רונית תירוש: אדוני, בבקשה בקצרה.
רונית תירוש: אני חייבת לתת את הסיכום בשידור.
ניר פסי: שמי ניר פסי, אני סגן נשיא איגוד ISSA.
ניר פסי: האיגוד עוסק או מאגד בתוכו אנשי אבטחת מערכות מידע בישראל.
ניר פסי: אני רוכש באינטרנט, בעיקר מאתרים מחו"ל.
ניר פסי: ראשית, כי שם אני לא נדרש לתת תעודת זהות שלי שזה ערך שמאוד בעייתי לתת אותו.
ניר פסי: שנית, יש איזשהו שירות שחוסם מאחרים מאותם אתרים, להכניס לתוך מאגרי המידע שלהם את נתוני האשראי שלי.
ניר פסי: הדבר הזה קיים הרבה מאוד שנים, שירות שנקרא PAYPAL.
ניר פסי: אני ממליץ לחברות האשראי הישראליות כן לפעול בתצורה הזאת כי זה העתיד, וזה הדרך באמת למנוע פריצות מידע.
ניר פסי: הנתון היחיד שיש שם זה בסך-הכול כתובת מייל ללא הסיסמא של המייל שלי, ואין עם זה בעיה.
ניר פסי: בוועדת החוק הביומטרי, כאשר גם דנו על הנושא הזה, היתה המלצה למנוע מארגונים או מחברות סחר לבקש מאנשים את תעודות הזהות שלהם.
ניר פסי: אני לא יודע איפה זה עומד היום.
ניר פסי: אבל, היתה בקשה.
ניר פסי: אנחנו רואים שהחוק הביומטרי עבר, אבל הדגש או האכיפה של הדברים האלה לא נעשית היום.
ניר פסי: לגבי שקיפות או מרכז מידע – אנחנו מאוד תומכים ומעודדים את הדבר הזה.
ניר פסי: אנחנו בעד שאנשים יגלו את אותם מקרים בהם מידע שלהם נחשף ואמצעים להתגונן בהתאם.
ניר פסי: לסיום, לגבי תקן PCI שאנחנו עוסקים בו אך ורק בנושאים פיננסיים – התקן נועד אך ורק לבקרות.
ניר פסי: חשוב להבין שכשאנחנו באים לחקירה – ופה אני מדבר מניסיוני, אני מומחה לתחום חקירות פורנזיות – ובשל כך כשאנחנו ניגשים לחקירה הבקרות הללו הן מאוד מאוד חשובות.
ניר פסי: אם כן תהיה כפייה של רגולציית PCI לכל אותם גופים במשק שעוסקים במסחר, אם זה באינטרנט, אם זה לאו, כן יהיו לנו, לגופי משטרה, או לגופים אחרים, אפשרויות לבצע את האכיפה או את החקירה שלאחר מכן.
רונית תירוש: אתה ממליץ.
רונית תירוש: תודה רבה לכולם.
רונית תירוש: אני מנסה לסכם משהו שיתכלל את מכלול המסרים כאן.
רונית תירוש: ראשית, אני קוראת לרשות הסייבר – גם אם יעל אמרה שממילא גם פרופ' בן-ישראל קרא להם - לזמן ולשתף חברות ישראליות מובילות בנושא אבטחת מידע.
רונית תירוש: גם אם תגידי שאתם עושים – נהדר.
רונית תירוש: אבל, הנה, ביקשתי, ואנחנו נבדוק.
רונית תירוש: אני קוראת לרשות הסייבר לפרסם סטנדרטים לאבטחת מידע.
רונית תירוש: אני מניחה שבעקבות פרסום הסטנדרטים ניחשף למוצרים ולפתרונות אותם יציעו חברות הי-טק ישראליות.
רונית תירוש: גם רגולציה.
רונית תירוש: אני חושבת שעלו פה שתי בעיות.
רונית תירוש: האחת היא מסירת פרטים מזהים.
רונית תירוש: לכן, אני מבקשת – אני לא יודעת אם לבקש את זה מרמו"ט, נראה לי מרמו"ט – להגדיר מה זה פרטים מזהים רגישים, ובתוכם לשקול את ההצעה שעלתה פה לכלול בתוך זה גם את נושא מסירת תעודת הזהות.
רונית תירוש: על פניו נראה כי מסירת תעודת זהות היא מידע רגיש שכנראה זה לא מחויב המציאות למסור אותו.
רונית תירוש: בחו"ל לא מוסרים את זה.
רונית תירוש: בוא נראה איך אפשר לעשות סחר אלקטרוני, למשל, בלי למסור מידע כל-כך רגיש שכל-כך מזהה אותנו.
רונית תירוש: זה דבר אחד באשר לפרטים מזהים.
רונית תירוש: אני מבקשת מרמו"ט – ראשית, לפרסם סטנדרטים מה זה פרטים רגישים, ובתוכם לתת תשובה בהגדרה האם לתת מספר תעודת זהות או לא, והאם זה רגיש או לא.
רונית תירוש: הדבר השני שעליתי עליו כמוקש, יחד איתכם ובעזרתכם, הוא נושא שמירת אותם פרטים במאגרי פרטים, אגירת הפרטים.
רונית תירוש: יכול להיות שיש מקומות שנחוץ לאגור פרטים.
רונית תירוש: אני רוצה להתייחס לזה באופן הבא.
רונית תירוש: מה שבטוח הוא שכל האתרים שאוגרים פרטים חייבים להיות מאובטחים.
רונית תירוש: זאת אומרת, אבטחת מידע חייבת לחול עליהם.
רונית תירוש: לפיכך, צריך לעשות כמה מהלכים.
רונית תירוש: ראשית, לפנות לאקדמיה, למועצה להשכלה גבוהה – אנחנו נעשה את זה – לקיים קורס חובה שייכלל בתואר ראשון במדעי המחשב.
רונית תירוש: אני גם אמליץ להם להתייעץ עם חברות אבטחת מידע מובילות בשוק הישראלי כשהם קובעים קורס חובה כדי להבין מה נדרש להילמד ללמוד במסגרת הקורס.
יורם הכהן: זה אבטחת מידע ופרטיות.
רונית תירוש: אבטחת מידע ופרטיות, בסדר.
רונית תירוש: שנית, בהקשר הזה אני מבקשת – ואני לא יודעת ממי לבקש, מרשות הסייבר או מרמו"ט – את הנושא של רישוי מקצוע של אבטחת מידע.
שני שרביט: זה משהו שייבחן אצלנו.
רונית תירוש: רשות הסייבר.
רונית תירוש: זה הא בהא טליא, יחד עם האקדמיה גם כן כחלק.
אבי ויסמן: הפורום הישראלי עוסק בזה כבר שלוש-ארבע שנים, ונשמח לעזור.
קריאה: גם –ISACA עוסקת בזה כבר שנים רבות, ונשמח לעזור.
רונית תירוש: אם כן, רישוי המקצוע והחברה שעוסקת בכך.
רונית תירוש: אני מבקשת, וזה שוב כנראה מרשות הסייבר, סוג של גוף רגולטורי, או לא – אינני יודעת.
רונית תירוש: אבל, גוף שיסמיך אתרים בישראל.
רונית תירוש: וכמובן בהקשר הזה של אבטחת מידע יש מקום להמשיך בתהליך של חתימה על אמנת בודפשט.
רונית תירוש: אני פונה לרמו"ט.
רונית תירוש: מאחר וביקשתי שתבחנו את נושא הגדרת פרטים מזהים, תבחנו גם בתוך העניין של תעודת זהות כן או לא, את ההמלצה שהיתה - אולי ברגולציה, ואז אנחנו נעזור - שאסור יהיה לשמור נתונים רגישים במאגרי מידע.
נירה לאמעי-רכלבסקי: יש כבר הגדרה של מידע רגיש ומוגבל.
רונית תירוש: אולי אפשר לבקש פעולה חד-פעמית, אינני יודעת לומר את זה.
רונית תירוש: אני אומרת את הדברים מתוך כל מה ששמענו.
רונית תירוש: תשקלו את זה במסגרת אותה בקשה שלי שאתם תגדירו מה זה פרטים מזהים, האם לשמור אותם, האם מותר לשמור אותם.
רונית תירוש: אם אסור אז בוא נעשה חקיקה שאסור.
רונית תירוש: אם מותר רק באופן חד-פעמי לצורך עסקה אז בסדר, ומרגע זה ואילך למחוק.
רונית תירוש: כל הרזולוציות האלה או הדיפרנסאציות הפנימיות.
רונית תירוש: הדבר הבא הוא הצפנה, אותו תקן של PCI.
רונית תירוש: יש לתת את הדעת גם בעניין זה.
רונית תירוש: הדבר השלישי שאני רוצה להתייחס אליו – ואני לא יודעת מי צריך לפרסם, אולי רשות הסייבר, אולי רמו"ט, ואולי אנחנו המחוקקים, רק תגידו – חובת שקיפות ופרסום פריצה לאתר.
קריאות: זה תפקיד של המחוקק, זה חקיקה.
רונית תירוש: אז הנה לך חברת הכנסת שמאלוב, חובת פרסום לגבי אתר שנפרץ.