GiliGold/VAD_KnessetCorpus huggingface dataset:
יורם הכהן: אחת הבעיות של עם חובתו של כשל אבטחת מידע – דרך אגב, זה כלי חשוב מאוד שאני בהחלט בעדו – זה שאנשים מתחילים לקבל עשרות ומאות דוחות.
יורם הכהן: בסופו של דבר, הזאב-זאב גורם לזה שאנשים מתעלמים מזה.
יורם הכהן: אם אתה צריך לדווח גם על כל סיטואציה שבה מחשב נייד נגנב, ואתה מתחיל לקבל דוח אחרי דוח אחרי דוח אחרי דוח, אתה מאבד את האמון בכלל בכל המערכת.
יורם הכהן: לכן, לתרגם באופן אוטומטי את החוק האמריקאי זה ממש ממש אבל לא הפתרון הנכון.
יורם הכהן: כל העולם היום מתעסק בבחינת השאלה מה קו הגבול הנכון של חובה של דיווח.
נמרוד קוזלובסקי: אני חייב לומר שאני קראתי בחודשיים האחרונים דוחות של כמעט כל חברות המחקר שעוסקות בתחום הזה שמהללות את תוצאתו של החוק האמריקאי.
נמרוד קוזלובסקי: אגב, להערתך, החוק האמריקאי קבע את קו הגבול בצורה מאוד מאוד מדויקת.
נמרוד קוזלובסקי: הוא קבע שרק אם אתה שמרת מידע אישי רגיש באופן שאינו מוצפן, וידוע לך שהמידע האישי הרגיש שאינו מוצפן דולף ממך, compromised.
נמרוד קוזלובסקי: ולכן, הרף הזה גרם לכך שבארצות-הברית כרגע נעשה סקר מה קרה ב-2003 לפני חקיקתו, ומה קורה היום.
נמרוד קוזלובסקי: היום אין אתר אינטרנט שעולה בקליפורניה או שומר נתונים על קליפורנים שלא מיידית הולך ועושה את בדיקת אבטחת המידע והצפנת הנתונים, כי הוא יודע את התוצאה הנוראית שלו.
נמרוד קוזלובסקי: במקרה והוא יצטרך לדווח, יהיה מושא לתביעה ייצוגית.
נמרוד קוזלובסקי: אגב, הטיוטא של רמו"ט היא טובה בנושא הזה.
נמרוד קוזלובסקי: אבל, אני חושב שצריך לנצל את שעת הכושר.
נמרוד קוזלובסקי: רמו"ט קמה בשעת כושר, אחרי פרשת הסוס הטרויאני, עם רשימת מטרות מה צריך לעשות.
נמרוד קוזלובסקי: יש לנו שעת כושר נוספת.
נמרוד קוזלובסקי: הגיעה העת שאנחנו נתרגם את ההצעות האלה לחוק.
נמרוד קוזלובסקי: כרגע יש בעיה אמיתית במבנה התמריצים.
נמרוד קוזלובסקי: אין עוולה נזיקית מפורשת בשל התרשלות בקיום אבטחות מידע.
נמרוד קוזלובסקי: יותר מזה, יש מצב שבו אני ביודעין לא עשיתי שום אבטחה, האתר שלי לא נבדק ולא כלום, התרשלתי כלפי כל האזרחים לחשוף אותם לגניבת זהות.
נמרוד קוזלובסקי: אין שום סנקציה פלילית או אחריות למנהל או לדירקטור.
נמרוד קוזלובסקי: אחריות למנהל ולדירקטור גורמת להם להשקיע כמה מאות דולרים ב - - -.
נמרוד קוזלובסקי: יש תפקיד מאוד חשוב לרמו"ט, ואני חושב שהוא שונה מהתפקיד שהוצע כאן.
נמרוד קוזלובסקי: רמו"ט לא צריכה להתחיל לבדוק את כל האתרים.
נמרוד קוזלובסקי: זה לא ישים, זה רק יגרום לכשל.
נמרוד קוזלובסקי: אבל, רמו"ט כן צריכה להיות מונחית בחוק להתחיל לעשות בדיקות אבטחה מדגמות יזומות לאתרים.
נמרוד קוזלובסקי: כלומר, בדיקת חדירות יזומה שמתבצעת לאתר - אגב, ללא הודעה מראש – כאשר אתה מייד מיידע אותו בדוח.
נמרוד קוזלובסקי: וכל פעם שאתה כראש הרשות תמצא שיש כשל אמיתי באבטחה, והצלחת אתה למצוא פרטים אישיים של אדם או סיסמאות, אתה תשתמש בסנקציות שיוקנו לך.
נמרוד קוזלובסקי: מאותו רגע ואילך יבינו שיש פה שיניים אמיתיות לאכיפה המינהלית.
נמרוד קוזלובסקי: אבל, היא תהיה מניעתית, לא בדיעבד.
נמרוד קוזלובסקי: הדבר החשוב – יהיו כמו מנגנוני הלשנה לרמו"ט.
נמרוד קוזלובסקי: יהיה: אני מדווח ש-, אני יודע שהמידע שלי מאתר מסוים כרגע דלף.
נמרוד קוזלובסקי: זה יחייב את רמו"ט לעשות את בדיקת היזימות.
נמרוד קוזלובסקי: במקרה הזה כיוון שיש הרבה פעמים בעלי אינטרסים להודיע לך על הכשל, אתה תעשה בדיקה יזומה.
נמרוד קוזלובסקי: אנחנו נמנע מבעוד מועד, והסנקציות שלך יהיו בעלות שיניים.
נמרוד קוזלובסקי: אני חייב להגיד שאת שמונת הסעיפים הראשונים שהצעתי ניתן לחוקק על-ידי מישהו שיודע לכתוב היטב הצעות חוק, שלושה סעיפי חוק בחודש.
רוברט טיבייב: האם אי-אפשר להגדיר דרגה של אבטחה לכל אתר ואתר?
נמרוד קוזלובסקי: אבל, אני אומר שתפקידה של הכנסת אינו לנתח האם PCI יותר טוב מ-ISO 27001 או מהתקן הישראלי 1799.
נמרוד קוזלובסקי: התפקיד של הכנסת הישראלית הוא לחייב ברף ולהגיד: רף שמקובל על ארגון 1, 2, 3, - - -
רוברט טיבייב: מישהו צריך לבנות את הרף.
נמרוד קוזלובסקי: יש תקנים כאלה בשפע.
נמרוד קוזלובסקי: יש בעיית עודף תקנים.
יורם הכהן: אנחנו כבר גיבשנו את אותו מודל שעושה הבדלה בין רמות שונות של רגישות של מידע, כיוון שאתה לא יכול לדרוש כמובן רמות אבטחת מידע בסדר גודל של המאגר הביומטרי מכל בעל עסק.
יורם הכהן: יש פרופורציה.
יורם הכהן: הדבר הזה נמצא במסמך שנמצא היום בטיוטת תקנות שנמצאת לפני תהליכי אישור.
יורם הכהן: זה עושה את הדבר הזה תוך התייעצות עם ISACA, וגם עם שימוע ציבורי שעשינו, מכיוון שיש פה היבטים של המשק, של עלויות.
יורם הכהן: כל הדברים האלה הופנמו.
רוברט טיבייב: כמובן שצריך לפרסם את הרף.
יורם הכהן: הרף נקבע שם.
יורם הכהן: יש חובת אבטחת מידע בסיסית שהיא מפורטת.
יורם הכהן: מעבר לזה, גופים שאוספים הרבה מאוד מידע או אוספים מידע רגיש - וכמובן שמי שאוסף הרבה מאוד מידע רגיש נמצא ברף השלישי – יחולו עליו חובות יותר מרחיקות.
יורם הכהן: הנושא עבר שימוע ציבורי.
נמרוד קוזלובסקי: אני חושב שרמו"ט כגוף מקצועי הוציאה ניירות עבודה מעולים.
נמרוד קוזלובסקי: הבעיה האמיתית היא שלא נוצלו שעות הכושר לחוקק אותן.
נמרוד קוזלובסקי: את שמונת הסעיפים הראשונים בתוכנית העבודה ניתן לחוקק.
נמרוד קוזלובסקי: הכנסת לא צריכה להבין כהוא זה באבטחת מידע ומה הם התקנים, אלא רק לבנות את מערכת התמריצים להתמגן ולדווח.
רוברט טיבייב: אל תזלזל ביכולות של הכנסת.
נמרוד קוזלובסקי: חס וחלילה.
נמרוד קוזלובסקי: אני רק אומר שהכנסת לא צריכה להיכנס לזה.
נמרוד קוזלובסקי: לא מזלזל, להיפך.
נמרוד קוזלובסקי: לגבי שלושת הדברים האחרונים – זה מה קרה אם היה כבר אירוע ואתה צריך להתמודד איתו, וזה כבר אם נכשלנו.
נמרוד קוזלובסקי: אם נכשלנו, צריכים להיות שלושה דברים.
נמרוד קוזלובסקי: אגב, הם יותר מסובכים, הם יותר דורשים זמן.
נמרוד קוזלובסקי: זה לא חקיקת בזק.
נמרוד קוזלובסקי: הראשון בהם – היום אין סמכויות מספקות לרשויות החקירה לחקור בזירה דיגיטאלית.
נמרוד קוזלובסקי: אני לא אכנס לפרטים.
נמרוד קוזלובסקי: אבל, סמכויות לשמירת המידע, להתחקות אחריו, להתגלגלות עם מצב.
נמרוד קוזלובסקי: כאן יש תזכיר סדר דין פלילי לעניין סמכויות חיפוש ותפיסה בחומרי מחשב.
נמרוד קוזלובסקי: כיוון שחלק מהסמכויות האלה חיוניות לגופי החקירה, צריך לקדם לפחות את החלק המחשבי.
נמרוד קוזלובסקי: אבל, שם כיוון שיש איזונים משמעותיים עם זכויות אדם וסמכויות, זה לא פשוט.
נמרוד קוזלובסקי: צריך להקים CERT.
נמרוד קוזלובסקי: ה-CERT הוא אותו גוף שהוא Response, שלא הוקם בישראל, אותו גוף של מה קורה אם היה אירוע - לתכלל את המענה באירוע.
נמרוד קוזלובסקי: הדבר האחרון הוא כבר דבר נדוש וחבוט.
נמרוד קוזלובסקי: אמנת בודפשט הוזכרה בכנסת עשרים פעם.
נמרוד קוזלובסקי: היא חיונית כי אחרת כל חקירת מחשבים, כפי שאמר חיים ויסמונסקי מהפרקליטות, תסוכל.
רונית תירוש: אמנת בודפשט תידון ביום רביעי הקרוב במשרד החוץ.
רונית תירוש: גונב לאוזניי שיש בעיה תקציבית.
רונית תירוש: אני מקווה שזה באמת לא יהיה נימוק, ושאנחנו נתבשר שאכן אנחנו חותמים על האמנה.
רונית תירוש: שני, ראש המטה להקמת רשות הסייבר, בבקשה.
שני שרביט: ראש מינהלת ההקמה של מטה הסייבר הלאומי, מטה הקיברנטי הלאומי.
שני שרביט: מטה, לא רשות.
שני שרביט: ראשית, חשוב לנו מאוד להדגיש שאנחנו מצטרפים למה שנאמר כאן על-ידי סגן החשכ"ל לגבי זה שאירועים כאלה קורים בעולם.
רונית תירוש: זה אומר שהרשות תהיה קיימת לעולם ועד.
שני שרביט: לא לשם זה אמרתי את זה, בוודאי לא לטובת איזושהי צפירת הרגעה.
שני שרביט: כמה אנשים דיברו על המודעות הציבורית.
שני שרביט: היא בהחלט איזשהו פרודקט של האירוע הזה.
שני שרביט: חשוב להדגיש - בסוף בסוף, מי שמבין בהגנה יודע להגיד שלא שמים קו הגנה אחד.
שני שרביט: אף אחד לא מטיל על האזרחים את כל האחריות לכל מה שקורה, ואומר: איך לא עשיתם עד עכשיו מבלי שאף אחד הסביר לכם?
שני שרביט: ברור שאחד התפקידים של המטה הוא שהוא הולך לעסוק גם בהסברה וגם בהעלאת המודעות הציבורית ובמתן כלים לאזרחים איך באמת נכון להתגונן כחלק מאותם כלים שצריך כדי להצליח להגן על מדינת ישראל ברמה טובה יותר.
שני שרביט: לא תהיה הגנה מקסימאלית.
שני שרביט: אנחנו יודעים, האירועים האלה יקרו.
שני שרביט: אי-אפשר למנוע בצורה טוטאלית את הקיום שלהם.
שני שרביט: המטה הוא גוף מטה לצד ראש הממשלה, הממשלה והוועדות שלה.
שני שרביט: זה לא גוף ביצוע.
שני שרביט: התפקיד שלו לא יהיה לחקור אירועים מהסוג הזה.
שני שרביט: יש גופים שזה התפקיד שלהם, והם צוינו כאן.
שני שרביט: ביקשת להדגיש האם זה גוף שהוא מעל הגופים האחרים.
שני שרביט: כדי לנסות להסדיר קצת את השאלה מי אחראי על מה, אתן כמה מילים על כך.
שני שרביט: כמו כל התפקידים של משרד ראש הממשלה, הוא לא מעל משרדים אחרים.
שני שרביט: אבל, הוא כן גוף שמייעץ לממשלה על המדיניות הקיברנטית הנדרשת במדינת ישראל.
שני שרביט: ואחר כך, באמצעות מה שהממשלה מחליטה, מוודא שאכן החלטות הממשלה מיושמות, ושאכן הגופים פועלים כנדרש על מנת לקדם את ישראל למקום הנכון יותר.
שני שרביט: אחד התפקידים המרכזיים של המטה, וזה מה שנעשה בחודשים הקרובים – אגב, בלי יום חסד אחד – זה הסדרה של התחום הזה במדינת ישראל.
שני שרביט: יש היום תשתיות קריטיות לאומיות במדינת ישראל שהן מטופלות, וכפי שצוין פה, על-ידי הרשות הממלכתית לאבטחת מידע, הן מונחות.
שני שרביט: יש הנחייה של תחום אבטחת המידע והסייבר בגופים האלה.
שני שרביט: יש חלקים שלמים במדינת ישראל שצריכים לראות כיצד, איזה גוף ובאיזה שיטה הולכים לטפל גם בהם.
רונית תירוש: בעיקר האזרחי.
שני שרביט: בדיוק, החלקים האזרחיים, החלקים שקשורים יותר במגזר הפרטי.
שני שרביט: צריך לראות כיצד מדינת ישראל הולכת לטפל גם בהם.
שני שרביט: כשאני אומרת "טיפול", זה לא אומר שהם יקבלו את אותה רמת טיפול שמקבלות אותן תשתיות קריטיות במדינת ישראל, עיין ערך: חשמל ומים, אלא עלו כאן מגוון של אפשרויות שקשורות בחקיקה, בתקינה, בהסדרה, במתן כלים שהם לאו דווקא הכלים שניתנים היום בחלקים האחרים.
שני שרביט: עלו כאן הרבה רעיונות.
שני שרביט: אבל, בסוף המטה הזה הולך לעשות בחינה מעמיקה של מה נכון לקדם, באיזה שיטה נכון לקדם, באיזה חלק במדינת ישראל מה נכון לעשות.
שני שרביט: וכן, בהחלט לפעול בשיטה של שיתוף פעולה מתקדמת שמשלבת גם את האקדמיה, גם את התעשייה, גם את הממשלה, גם את משרדי הממשלה, וגופי הביטחון הנדרשים, כדי להצעיד את מדינת ישראל למקום טוב יותר בטווח של כמה שנים, כך שהיא תהיה בקדמת הבמה.
שני שרביט: ברמה הבין-לאומית היא נמצאת כבר במקום טוב, ונכון שהיה תהיה במקום נכון, מתקדם יותר.
שני שרביט: לגבי שיתופי פעולה – אין ספק שזו הולכת להיות שיטת פעולה של המטה, כך הוא הולך לעבוד.
שני שרביט: מי שהגה את המטה על-פי בקשת ראש הממשלה - ראש הממשלה הטיל על פרופסור איציק בן-ישראל לעשות עבודה בנושא הזה, והוא זה שהקים את המיזם הקיברנטי.
שני שרביט: אני יודעת שהוא הציג את זה כאן בפני הוועדה.
שני שרביט: חשוב להגיד בסוף שהצמא שהוצג כאן סביב השולחן הוא צמא שאנחנו מכירים אותו.
שני שרביט: הוא בא לידי ביטוי גם באותה ועדת המיזם הקיברנטי שאני מניחה שעמיתיי כאן ירצו להדגיש לגביה.
שני שרביט: זהו צמא שאנחנו מודעים לו.
שני שרביט: אנחנו לא לוקחים לעצמנו יום חסד אחד – חשוב להגיד את זה.
שני שרביט: אנחנו עכשיו בשלבי הקמה.
שני שרביט: ד"ר אביתר מתניה אמור להציג כאן בעוד זמן כשיהיו לנו תוכניות קורקטיות, זה לא אומר שאנחנו לא נמצאים כבר עכשיו בשלב שבו אנחנו מנסים להבין לאן אנחנו הולכים עם הדברים.
רונית תירוש: זה יהיה בעוד חודשיים.
רונית תירוש: הייתי מעוניינת לשמוע נציג של חברות האשראי.
רונית תירוש: אתם לא נרשמתם.
רונית תירוש: השיטה פה היא להירשם אם רוצים.
רונית תירוש: אבל, אני בכל זאת אשמח לשמוע.
גיל טופז: גיל טופז, סמנכ"ל סיכום ב-כ.א.ל.
גיל טופז: האתרים שנפרצו לא היו אתרים של חברות כרטיסי האשראי או של בנקים, אלא הם היו אתרים רגילים.
גיל טופז: נפרצו אתרי קופונים, נפרץ אתרONE שהוא בכלל לא אתר שמוכר משהו.
גיל טופז: כלומר, הוא לא סולק עם אף אחת מחברות כרטיסי האשראי.
גיל טופז: לא היינו איתו בשום חוזה, ולמיטב ידיעתי גם חברות כרטיסי האשראי האחרות לא.
גיל טופז: כלומר, לא היה לנו שום מגע איתו כדי לוודא שהוא נמצא באיזשהו תקן של אבטחת מידע.
יוליה שמאלוב-ברקוביץ: אבל, השתמשו באתר.
גיל טופז: לא, לא השתמשו בו.
גיל טופז: הוא אסף מידע כי הוא החליט לאסוף מידע.
גיל טופז: אני לא יודע למה, אני לא מכיר את השיקולים שלו.
גיל טופז: מעבר לזה, כאשר ניתחנו את הקובץ, ראינו שמתוך 400,000 רשומות בקובץ, 15,000 כרטיסי אשראי.
גיל טופז: מעבר לזה, היו שם תעודות זהות, כתובות אי-מייל ודברים אחרים שלטעמי הם יותר חמורים, הואיל ושעתיים לאחר שהמקרה הזה פורסם כל כרטיסי האשראי היו לא רלוונטיים.
גיל טופז: אנחנו חסמנו אותם, ואי-אפשר היה לעשות בהם יותר שום שימוש.
רונית תירוש: אני רוצה לברך על המהלך המאוד מהיר ומרגיע שעשיתם.
רונית תירוש: חסמתם, אבל גם הודעתם ששום נזק כספי לא ייפול על מי שנפגע.
רונית תירוש: מבחינה זו, אני חושבת שפעלתם מאוד נכון.
רונית תירוש: מהבחינות האחרות של לומר: הנה, עכשיו אנחנו מחפשים את אותו האקר סעודי – אנחנו חיים בריאליטי.
רונית תירוש: הסיפור הזה הוא אסון טבע.
רונית תירוש: אנחנו יוצאים למלחמה עם פלזמה.
רוברט טיבייב: השאלה היא האם נגרם נזק או לא לבעלי כרטיסי האשראי?
גיל טופז: אפס.
יורם הכהן: לא נגרם נזק כספי, נגרם נזק גדול מאוד לפרטיות עם פוטנציאל של גניבת זהות, ועבירות פליליות אחרות.
יורם הכהן: אבל, במובן הכספי לא נגרם נזק.
גיל טופז: אני מסכים עם מה שאומר יושב-ראש הרשות.
גיל טופז: הנזק הגדול הוא לפרטיות.
גיל טופז: מספר כרטיס האשראי פה הוא לא נושא בכלל.
גיל טופז: אני חושב שמי שמספר תעודת הזהות שלו נחשף צריך להיות הרבה יותר חרד.
רונית תירוש: תעודת זהות אי-אפשר להחליף, ביומטרי אי-אפשר.
רונית תירוש: כרטיס אפשר.
גיל טופז: נכון.
גיל טופז: אגב, גם נושא כתובות המייל, שאחר כך אפשר להיכנס לאתרי הפייסבוק, וכולנו יודעים מה יש שם.
גיל טופז: למעשה, לא נגרם כאן שום נזק פיננסי במובן הזה מהאספקט של כרטיסי האשראי.
גיל טופז: לגבי הבהלה, או אולי התקשורת בחרה להציג את זה כך כי זה יותר סקסי, ואנחנו עכשיו התכנסנו לדיון על ההאקר הסעודי, וגם פתחת שנפרצו אתרי כרטיסי אשראי.
גיל טופז: אני חושב שכרטיסי האשראי - ואני לא אומר את זה מהמקום האינטרסנטי, אלא מהמקום של האזרח שחי פה - זה באמת לא הנושא.
גיל טופז: כמו שאמרתי, שעתיים אחר כך כרטיסי האשראי היו לא רלוונטיים.
גיל טופז: בפועל, אף אחד ממחזיקי כרטיסי האשראי לא קיבל נזק.
גיל טופז: אמרתי, ואני רוצה להדגיש שוב, יש אלפי אתרים בארץ שלא מקבלים פרטי כרטיסי אשראי, והם עדיין שומרים מידע.
גיל טופז: הם שומרים תעודות זהות, הם שומרים כתובות אי-מייל, והם שומרים כל מיני דברים אחרים.
רונית תירוש: אנחנו חוזרים כל הזמן לאותה בעיה של שמירה על פרטים מזהים שלנו שהנזק או האיום בצידם הוא מאוד מאוד גדול.
גיל טופז: אני רוצה לומר דבר נוסף.
גיל טופז: נושא פריצת אתרים הוא נושא שקיים בעולם כל הזמן, כל יום.
גיל טופז: אני השתתפתי בכמה סדנאות בין-לאומיות של חברות כרטיסי אשראי שמדברות על נושא של גניבות כרטיסי אשראי.
גיל טופז: אנחנו עוסקים בזה כבר שנים.
גיל טופז: אני יכול להגיד שרוב רובם של המקרים – אגב, בעולם, לא רק בארץ – למעלה, מ-90% מהמקרים שבהם האתרים נפרצים, הם נפרצים בגלל שאין שם אבטחת מידע.
גיל טופז: חשוב לומר שמי שמנסה להגיע לפרטי מידע רגישים כדי לעשות בהם איזשהו שימוש לתועלתו, הוא לא מחפש דווקא את האתגר הטכנולוגי.
גיל טופז: הוא מחפש את המידע, והוא ילך לאתרים הלא מאובטחים.
גיל טופז: לכן, אנחנו צריכים לטפל בהעלאת הסטנדרט פה בארץ של אבטחת המידע.
גיל טופז: אולי אי-אפשר יהיה להגיע ל-100% של הגנה, אבל אם אנחנו נגיע ל-90% או 95% הגנה, כפי הנראה הוא ילך לדלת של השכן.
גיל טופז: ואם זה לא יהיה בארץ אז זה טוב.
רונית תירוש: גיל, תודה רבה.
רונית תירוש: חבר הכנסת רוברט טיבייב.
רוברט טיבייב: תודה רבה, גברתי היושבת-ראש.
רוברט טיבייב: שאלה לי אלייך, כמה ניסיונות פריצה היו לחברה שלך, באיזה סדרי גודל?
רוברט טיבייב: האם הפריצות הן בשבוע, בחודש?
גיל טופז: אתה מדבר על ניסיונות הפריצה ל-כ.א.ל?
גיל טופז: לכ.א.ל, אני לא יודע.
גיל טופז: מעולם לא נפרץ לנו.
גיל טופז: אין לי את הנתון להגיד כזה דבר.
רוברט טיבייב: היו ניסיונות?
גיל טופז: אני לא עוקב אחרי ניסיונות הפריצה לחברה שלי.
רוברט טיבייב: זאת אומרת, כמו שאני מבין מהתשובה שלך, לא היו ניסיונות בכלל של פריצה בחברת כ.א.ל.
גיל טופז: אני מעריך שהיו.
גיל טופז: אבל, אני לא יודע לתת לך מספר כזה.
גיל טופז: בפועל, לא - - -
רונית תירוש: אם נעשה חקיקה שחברות תחויבנה להודיע על פריצות לאתרים שלהן אז נדע.
גיל טופז: לא.
גיל טופז: אני יודע שלא היתה לנו פריצה, לא היתה אלינו פריצה.
גיל טופז: אתה שואל על ניסיונות פריצה.
גיל טופז: אין לי מושג לגבי הניסיונות.
גיל טופז: אבל, פריצות בפועל מעולם לא היו לנו.
רונית תירוש: אני לא רוצה למשוך את הדיון מעבר ל-13:30 - לפחות לשאוף לכך - ויש לנו עוד כמה דוברים.
רונית תירוש: אני ממש מבקשת למקד ולנסות לדבר פרקטית.
רונית תירוש: הדיון היה חשוב, והבנתי כמה דברים שחזרו על עצמם, ובסוף אסכם את זה.
רונית תירוש: אם יש להוסיף על זה דברים פרקטיים, אני אשמח.
רונית תירוש: אנחנו נשמע קודם את עו"ד יהונתן קלינגר.
רונית תירוש: לאחר מכן את ארז מטולה, ויש לי עוד ארבעה לפחות, שי חיימוביץ מייד.
יהונתן קלינגר: אני רוצה להגיד שני דברים שעד עכשיו לא נאמרו.
יהונתן קלינגר: אני כמובן חוזר על כל הדברים הטובים שאמרו עד עכשיו.
יהונתן קלינגר: דיברנו רק על אבטחת מידע באינטרנט, ועל מאגרים ממוחשבים.
יהונתן קלינגר: אף אחד לא שאל: מה קורה עם הפיצרייה השכונתית שלה אנחנו נותנים בטלפון גם כרטיס אשראי, איך אנחנו אוכפים את היכולת שלנו לדעת שהבחור בפיצרייה לא לוקח את הכרטיס גם כן, וששם יש נהלים של אבטחת מידע.
יהונתן קלינגר: צריך לזכור, גם שם יכולים לגנוב, וגם שם יכולים לפרוץ.
יהונתן קלינגר: אולי לא האקרים סעודים, אבל ארגוני פשע ישראלים.
יהונתן קלינגר: אני לא מדבר על זה שהלקוח לא ניזוק.
יהונתן קלינגר: אבל, יש נזק.
יהונתן קלינגר: הדבר השני הוא על מה שאנחנו קוראים לו מספר תעודת זהות.
רונית תירוש: לא צריך לתת תעודת זהות כשאני קונה פיצה.
יהונתן קלינגר: לא צריך לתת תעודת זהות בשביל להעביר את עסקת האשראי בכלל.
קריאה: בתחנת דלק אנחנו משתמשים בתעודת זהות.
יהונתן קלינגר: לא מדויק?
יהונתן קלינגר: השאלה היא האם אפשר לאסור, לא על חברות האשראי, אלא על גורמים אחרים לבקש מידע שהוא לא ניתן להחלפה?
רונית תירוש: שאלה מצוינת.
רונית תירוש: לא ניתן תשובה כרגע.
רונית תירוש: אבל, אני בסיכום אבקש תשובה.
רונית תירוש: זה הפרט הכי מזהה.
יהונתן קלינגר: ברור, וזו השאלה שצריכה לעלות כאן:
יהונתן קלינגר: האם אפשר לאסור על אגירה של מידע מסוים שהוא מיותר?
רונית תירוש: כדרכך, אתה ממוקד מאוד.
רונית תירוש: ארז, בבקשה.
ארז מטולה: תודה רבה.
ארז מטולה: שמי ארז מטולה, ואני מומחה אבטחת אפליקציות.
ארז מטולה: הייתי רוצה לחשוף קצת מהכיוון שלי כיצד אני רואה את הדברים.
ארז מטולה: קודם כל, אני חושב שאנחנו מתמקדים יותר מידיי ברטוריקה של עכשיו, ומה אנחנו צריכים לעשות, ואיך לגלגל את זה לחברות עצמן, ומה האזרח צריך לעשות וכו'.
ארז מטולה: אני חושב שאנחנו צריכים להסתכל קצת יותר קדימה.
ארז מטולה: אני חושב שצריכים להסתכל לא עוד חודש קדימה ולא עוד שנה קדימה, אלא אנחנו צריכים להסתכל עוד שלוש-ארבע שנים קדימה.
ארז מטולה: צריך גם לראות היכן הבעיה מתחילה.
ארז מטולה: לדעתי, הבעיה מתחילה מאלה שבונים את האתרים האלו, בסופו של דבר, ואת אותן מערכות, כי כאן הבעיה נולדת.
ארז מטולה: הבעיה נולדת מאותו אדם שעכשיו כותב את הקוד, ועכשיו מרים את המערכת, ושעכשיו הוא אחראי על אתר מסוים, והוא פשוט לא יודע מה הוא צריך לעשות.
ארז מטולה: כמובן שאי-הידיעה מה הוא צריך לעשות, במקרים מסוימים היא פשע.
ארז מטולה: אבל, אני בא מכיוון אחר.
ארז מטולה: אני מסתכל על זה ברמה האקדמית.
ארז מטולה: היום כל בוגר אקדמאי תואר ראשון במדעי המחשב, בין אם הוא למד באקדמיה, ובין אם הוא למד במכללה, או בכל מקום אחר – אין לו בקוריקולום אבטחת מידע, ומפה מתחילה הבעיה.
ארז מטולה: הבעיה מתחילה בכך שכאשר אדם הולך להקים את המערכת שלו, הוא יודע לכתוב כך שהיא תהיה יעילה, והוא יודע לכתוב אותה מבחינת Software Engineering הכי טוב שיהיה, ואנחנו ידועים כאנשים טובים בתחום.
ארז מטולה: אבל, מבחינת אבטחה, אם הוא לא בחר את הקורס הזה כקורס בחירה, לא יהיה לו את הידע הזה.
ארז מטולה: אולי הפתרון הוא לא כאן בכנסת, אלא הפתרון מתחיל מהאקדמיה, או במוסד להשכלה גבוהה, או מל גוף אחר שצריך לדאוג לכך בתוכניות הלימוד יהיה קורס חובה באבטחת מידע.
ארז מטולה: אני מסתכל על זה כמו שאני מסתכל על כל אזרח היום.
ארז מטולה: גם אם הוא לא עוסק באבטחה יום יום, הוא עבר צבא, מכיר את המונחים הכי בסיסיים.
ארז מטולה: הוא עבר בטירונות הכי בסיסית, והוא יודע להחזיק נשק.
ארז מטולה: כישראלים יש לנו את הידע הזה באבטחה פיזית.
ארז מטולה: אני חושב שכל אזרח צריך לדעת את הדברים הבסיסיים באבטחת מידע מחשובי.
ארז מטולה: תודה.
רונית תירוש: אני מודה לך מאוד.
רונית תירוש: שי חימוביץ מהמלמ"ב.
רונית תירוש: מה זה מלמ"ב?
שלי יחימוביץ': הממונה על הביטחון במערכת הביטחון במשרד הביטחון.
שלי יחימוביץ': הוזכרה פה מערכת הביטחון בכמה משפטים על-ידי חלק מהדוברים.
שלי יחימוביץ': אני לא רואה פה כרגע עמיתים שלי מגופי ביטחון אחרים.
שלי יחימוביץ': אבל, מערכת הביטחון יודעת להגן על עצמה.
שלי יחימוביץ': למערכת הביטחון יש אמצעים ייחודיים ואמצעים אקטיביים, ואפשר לדבר מפה ועד הודעה חדשה על הדברים ועל ההשקעה.
שלי יחימוביץ': ראשית, אני לא חושב שההשקעה שמבצעת רפא"ל בהגנה על עצמה, נכון להטיל אותה על "הריבוע הכחול", או על כל מיני גופים אחרים.
שלי יחימוביץ': שנית, האירוע הזה הוא לא אירוע ביטחוני, אלא הוא אירוע פלילי.
שלי יחימוביץ': אם יהיה אירוע כזה ביטחוני אז יש גופי ביטחון.
שלי יחימוביץ': אני לא זיהיתי פה את עמיתיי שאמורים לעשות את זה.
שלי יחימוביץ': אבל, יש גופי ביטחון שאמורים להגן על המדינה בפני אירועים כאלה, והם מתעסקים בגופים קריטיים.
שלי יחימוביץ': אם יוחלט שיהיה איזה גוף במדינה – וזה לא משנה אם זו תהיה המשטרה, או השב"כ, אבל מישהו שצריך להגן על אזרחי המדינה בפני אירוע כזה – אז זה מייצר בעיה של פרטיות.
שלי יחימוביץ': אף אחד לא חושב שהמשטרה צריכה להגן עלינו ביום יום, בלי שום קשר לסייבר, בלי להיות נוכחת ברחוב.
שלי יחימוביץ': אם ירצו שאיזשהו גוף יגן עלינו מהסייבר, הוא יצטרך להיות שם.
שלי יחימוביץ': אני לא יודע אם כולנו היינו שמחים ששירות הביטחון או המשטרה ישבו לנו על החוט, ויראו מה אנחנו עושים במטרה להגן עלינו.
יוליה שמאלוב-ברקוביץ: לא הבנתי מה אתה אומר.
יוליה שמאלוב-ברקוביץ: אתה בעצמך אמרת שהשוטרים מסתובבים ולא בהכרח עשינו משהו.
שלי יחימוביץ': אני אומר שזה עניין של השקעה.
שלי יחימוביץ': השוטרים מסתובבים ביום יום ושומרים שלא יגנבו אותנו, ושלא יעשו לנו רע.
שלי יחימוביץ': אבל, הם לא יושבים לנו על החוט ורואים מה אנחנו עושים באינטרנט.
יוליה שמאלוב-ברקוביץ: האם עדיף שסעודי יראה מה אנחנו עושים?
יוליה שמאלוב-ברקוביץ: תסביר לי את האיזונים.
שלי יחימוביץ': אני לא חושב שעדיף שסעודי יראה.
יוליה שמאלוב-ברקוביץ: לפחות שהמשטרה שלנו תסתכל, לא סעודי.
שלי יחימוביץ': אם הציבור יקבל את זה שזה בסדר שהמשטרה יושבת על החוט ורואה מה כל אחד עושה באינטרנט או מה מגיע לו באינטרנט, אז זו החלטה ציבורית.
נמרוד קוזלובסקי: למה צריך את זה?
נמרוד קוזלובסקי: מאיפה מישהו הציע פה לשבת על החוט?
נמרוד קוזלובסקי: אף הצעה פה לא דיברה על ישיבה על החוט, היא לא נדרשת.
נמרוד קוזלובסקי: אתה צודק בוודאי שאם המשטרה היתה יושבת על החוט היינו הראשונים לקפוץ לגבי האיזונים לזכויות אדם והבקרות.
נמרוד קוזלובסקי: אף אחת מההמלצות פה לא דיברה לשבת על החוט.
נמרוד קוזלובסקי: כמו שאמר בצדק ארז מטולה, כשבונים אתרים בלי רמת אבטחה בסיסית, ובלי להכניס בהם את זה, ואף אחד לא עושה על זה בדיקה.
נמרוד קוזלובסקי: לאחר מכן מגלגלים את הסיכון על הציבור שהמידע שלו שם חשוף.
נמרוד קוזלובסקי: אנחנו לא מדברים על ישיבה של המשטרה על החוט, ולא לבצע שום האזנות כתוצאה מכך.
נמרוד קוזלובסקי: בסך הכול, מבנה תמריצים בסיסי.
נמרוד קוזלובסקי: להיפך, זו חקיקה מאפשרת פרטיות כי היא חקיקה שמגדירה את רמת האבטחה שתהיה על פרטיותנו.
נמרוד קוזלובסקי: אני לא ישיבה מאיפה הישיבה על החוט הזה הגיעה לכאן.
שלי יחימוביץ': הבנתי, אבהיר.
שלי יחימוביץ': אם אחזור לדבריו של אבי וייסמן – יש כמה גופים שצריכים לשאת בנטל.
שלי יחימוביץ': זה יתחיל באזרח הקטן שצריך להיזהר, הגופים שצריכים לשמור על מה שיושב אצלם, ובאיזשהו מקום גם המדינה.
שלי יחימוביץ': הגופים ישמרו על מה שנמצא אצלם – זה בסדר.
שלי יחימוביץ': אבל, השמירה הזאת היא מוגבלת.
שלי יחימוביץ': זה שהאדם ייזהר במה שהוא עושה, גם זה בסדר.
שלי יחימוביץ': אבל, גם זה מוגבל.
שלי יחימוביץ': בסופו של דבר, אם יחשבו שזה דבר שנצרך, אז שאיזשהו גוף ממשלתי יסייע, וייקח את השכבה שלו בדבר הזה.
שלי יחימוביץ': לגבי זה שגופים יעשו אבטחת מידע ראויה – אפשר לשאול מה זה אבטחת מידע ראויה?
שלי יחימוביץ': אם מישהו הזמין בדיקת חדירות, ובדיקת החדירות יצאה תקינה שלא היתה חדירה, כדאי שיחליף את מי שעשה לו בדיקת חדירות.
שלי יחימוביץ': כל אתר שיאובטח באמצעים סבירים ייפרץ באמצעים שהם קצת גדולים מהסביר.
שלי יחימוביץ': כולם צריכים לשאת בשכבות שלהם.
שלי יחימוביץ': כל עוד לא תהיה הגנה בכל השכבות, אז אנחנו נישאר עם אירועים כאלה.
יוליה שמאלוב-ברקוביץ: אני מבינה שאתה מייצג פה את השב"כ.
שלי יחימוביץ': לא, לחלוטין לא.
שלי יחימוביץ': מלמ"ב - אבטחת מערכת הביטחון.
שלי יחימוביץ': האירוע לא בטחוני.
יוליה שמאלוב-ברקוביץ: אני לא הבנתי את ההצעה שלך.
יוליה שמאלוב-ברקוביץ: האם אתה ממליץ שאתם תטפלו בזה?
שלי יחימוביץ': לחלוטין לא.
יוליה שמאלוב-ברקוביץ: האם אתה כבר אומר: עלינו אל תבנו?
שלי יחימוביץ': קודם כל, עלינו אל תבנו.
שלי יחימוביץ': זה לא בתחום האחריות שלנו לחלוטין.
יוליה שמאלוב-ברקוביץ: ואם הכנסת תחוקק חוק שאתם תעשו את זה?
יוליה שמאלוב-ברקוביץ: לפי מה שאני שומעת כרגע, אתה אומר: עליי אל תבנו.
שלי יחימוביץ': זה לא בתחום האחריות שלנו.
שלי יחימוביץ': אנחנו מאבטחים את מערכת הביטחון.
יוליה שמאלוב-ברקוביץ: גברתי היושבת-ראש, מה שאת עושה מאוד מבורך וגם השידור הזה.
יוליה שמאלוב-ברקוביץ: כנציגת ציבור, מאוד מטריד אותי נושא הפרטיות של בני אדם.
יוליה שמאלוב-ברקוביץ: אבל, יותר מטריד אותי הביטחון האישי שלנו, ביטחון באופן כללי.
יוליה שמאלוב-ברקוביץ: מחר מישהו יכול להיכנס ולכבות לנו את כל החשמל, ויכול להיות שייזרקו פצצות מהאחד לשני.
יוליה שמאלוב-ברקוביץ: כשאני שומעת אותך, נראה לי שאנחנו צריכים אולי ללכת כמה צעדים קצת קדימה, כי בעיקר מטריד אותי שאני מחר לא אשלח איזושהי פצצה על עצמי דרך איזשהו האקר.
יוליה שמאלוב-ברקוביץ: לכן, כשאתה בא ואומר: עליי אל תבנו, אני קצת מודאגת.
יוליה שמאלוב-ברקוביץ: אולי צריך לעשות ישיבה נוספת, אולי צריך לפתוח את זה.
יוליה שמאלוב-ברקוביץ: אבל, זה מה שקצת מדאיג אותי.
רונית תירוש: איך אני אגיד את זה בעדינות?
רונית תירוש: תלווי אותי מתחילת הישיבה אז תהיי קצת יותר רגועה, או יותר מבולבלת.
רונית תירוש: אנחנו בהחלט דנו בזה.
רונית תירוש: גם בדברי הסיכום אדבר על הדברים.
רונית תירוש: יש פה הרבה מאוד גורמים ציבוריים שהם מאובטחים לטוב או לרע - אני לא יודעת באיזה מידה.
רונית תירוש: אבל, יש מי שמטפל בהם.
רונית תירוש: ד"ר קוזלובסקי מדבר על הבטן הרכה האזרחית, ושם אנחנו פחות מאובטחים.
רונית תירוש: אני כל הזמן מנסה להבין מי ייקח עלינו את האחריות ברזולוציות הרבה יותר נמוכות, ואיזה טלפון אדום יהיה לי כך שאני אוכל לחייג אליו במידה ותהיה לי שאלה לגבי טיסה לפריס או לגבי קנייה של שמלה, האם האתר הזה מאובטח, או האם אני צריכה לתת תעודת זהות או קוד סודי כזה או אחר, או מספר נעליים.
רונית תירוש: כל הדברים האלה הם בדיוק הדברים שאנחנו התייחסנו אליהם במהלך הישיבה המאוד הארוכה הזאת, ונמשיך להתייחס.
רונית תירוש: אני בסוף אסכם.
רונית תירוש: אני ממש עושה לי פירמידה פה, ואנסה מכל המכלול לצאת עם איזושהי מסקנה ועם איזשהן החלטות.
רונית תירוש: מה שברור הוא שיש פה מקום לחקיקה, ואנחנו בוודאי נשתף פעולה בעניין.