GiliGold/VAD_KnessetCorpus huggingface dataset:
דורון רונן: צריך גם לבדוק מה הכתובת שמופיעה כשאנחנו עומדים עם הסמן על הלינק באתר.
דורון רונן: האם היא זהה למה שרשום בלינק, או שמא היא כתובת אחרת לגמרי.
דורון רונן: אבל, הבעיה היא שהאזרח הפשוט לא יודע, ולא יכול לדעת האם באמת האתר של הספק מאובטח ולא דולף משם מידע.
דורון רונן: כאן אני מגיע לרובד הרביעי לחוליה החסרה.
דורון רונן: בגלל מורכבות המצב, אני חושב שכן צריך להטיל על גוף ממשלתי, קיים או חדש, לקחת על עצמו את התפקיד של הסמכת אתרים בהיבט של אבטחת מידע.
דורון רונן: הגוף הזה יהיה אחראי גם לאישור המהימנות ולרמת האבטחה של אתרים.
דורון רונן: כמובן שההסמכה הזאת צריכה להתבצע לא כמבצע חד-פעמי, אלא באופן שוטף.
דורון רונן: הגורם הזה יפרסם את ההסמכות באתר שלו, באתר הממשלתי המאובטח, וכך אזרחי ישראל ידעו אלו אתרים הם מהיותר מאובטחים, ויחליטו האם הם רוצים לבצע את הרכישות.
רונית תירוש: זה נראה הכי פשוט וקל.
רונית תירוש: אבל, מי יעשה את זה?
יורם הכהן: אנחנו נותנים רישיונות לשני גורמים במשק שפועלים באינטרנט.
יורם הכהן: הם עוברים אצלנו מבחני אבטחת מידע לפני שהם מקבלים את הרישיון.
יורם הכהן: האחד הוא שירותי נתוני אשראי והשני הוא חתימה אלקטרונית.
יורם הכהן: רמת אבטחת המידע שאנחנו דורשים מהם היא כמעט מהגבוהות שנדרשות במגזר האזרחי בישראל.
יורם הכהן: אבל, זה תהליך מאוד מאוד יקר וארוך.
יורם הכהן: יש לזה השלכות כספיות דרמטיות על האתרים.
יורם הכהן: אני אמרתי קודם, אני לא פוסל את זה רעיונית.
יורם הכהן: אבל, צריך להבין מה המשמעות של זה.
רונית תירוש: למי זה עולה כסף?
רונית תירוש: לכם?
דורון רונן: לא.
דורון רונן: לדעתי, יש לגלגל את זה לעסק.
דורון רונן: כמו שעסק מאבטח את עצמו אבטחה פיזית, הוא צריך גם לאבטח אבטחה לוגית את האתרים שלו, והוא צריך לקבל אישור לכך שהוא מוסמך.
רונית תירוש: אני לגמרי מסכימה איתך.
דורון רונן: בהחלט גורמים כמו רמו"ט או הסייבר וכו' הם גורמים שצריכים לטפל בנושא הזה.
דורון רונן: רעיון דומה יש בחוק שירות נתוני אשראי, כל אלה שמבצעים את הסליקה.
דורון רונן: זה חוק משנת 2004.
דורון רונן: יש שם תקנה 64(7) האומרת שעל מבקש רישיון למתן שירות נתוני אשראי להציג חוות דעת של מבקר בדבר נאותות מערכות המידע, מערכות הבקרה, ואמצעי האבטחה, ובאמת העלות היא עליו.
דורון רונן: מה שאמרתי עד עכשיו הוא לגבי עסקים בארץ.
דורון רונן: מה עושים לגבי עסקים בחו"ל?
דורון רונן: דיברנו על זה בשבוע שעבר בוועדה הזאת.
דורון רונן: אם ישראל תחתום על אמנת בודפשט מ-2001 שחתומות עליה 46 מדינות, היא תאפשר לבצע את אותו שיתוף מידע בין-מדינתי, והיא אולי תוכל לתת פתרון גם לאתרים שהם בחוץ.
דורון רונן: האחריות על כך היא על משרד המשפטים ומשרד החוץ לחתום על האמנה.
דורון רונן: לסיום, למרות מה שנאמר או ייאמר כאן, אין חסינות או הגנה מוחלטת מפני דלף מידע.
דורון רונן: אפשר רק לצמצם את זה למינימום האפשרי.
רונית תירוש: מייד ארצה לראות סדרת שקפים של ד"ר קוזלובסקי.
רונית תירוש: אבל, לפני זה אבי וייסמן יו"ר הפורום הישראלי לאבטחת מידע, ממש בקצרה.
רונית תירוש: אני גם רוצה להפנות אליך שאלה.
רונית תירוש: אולי תגיד לנו איזה מידע הוא לגיטימי, כי פה די מחזירים לנו, לאזרח, את הכדור לעשות חושבים, ולשאול את עצמו למה מבקשים ממנו זה וזה.
רונית תירוש: כנראה שאני לא אתן את הקוד הסודי לבנק שלי, וזה כבר הוטמע.
רונית תירוש: איזה דברים אסור לנו לתת לעולם, או לחלופין אלו דברים כן אפשר לתת יותר.
אבי ויסמן: לשאלה השנייה – יש מומחים יותר גדולים ממני כדי לענות.
אבי ויסמן: את שואלת: מה יכול האזרח לעשות.
אבי ויסמן: האזרח הזה משול לילד קטן שיושב בבית-ספר בעת התקפת טילים.
אבי ויסמן: זה לא ממש תלוי בו.
אבי ויסמן: אני עומד לעבור את ה-100%: 20% מהעניין הוא יתרום, 20% המורה שלו, 20% הנהלת בית-הספר, 20% העירייה, ו-20% המדינה.
אבי ויסמן: אנחנו יושבים רק על 20%-10%.
אבי ויסמן: זה לא ממש הנושא העיקרי.
אבי ויסמן: הוא לא יכול לעשות כלום.
אבי ויסמן: אם אני רוצה ללמד מה צריך לעשות כדי להגיע ל-60% ביטחון, אני צריך קורס בלתי אפשרי של עשר שעות לכל אדם מ-7 מיליון אנשים במדינת ישראל.
אבי ויסמן: זה לא ניתן לביצוע.
אבי ויסמן: לכן, אני מציע להתמקד במה שהרשויות יכולות לעשות על מנת להגן על האזרח ברחוב בעת התקפת טילים, כי האזרח הוא באמת חסר אונים.
אבי ויסמן: צריך לזכור את הבעיה, זה לא מפתח, זה לא מנעול פיזי, וזה לא שרשראות.
אבי ויסמן: העולם הווירטואלי נמצא בחסרון, בבעיה טכנולוגית.
אבי ויסמן: נכון להיום, לתוקף יש יתרון עצום טכנולוגי על פני המגן.
אבי ויסמן: לכן, אם אנחנו רוצים אבטחה טובה של גוף קטן עם שלושה עובדים שמשווק באינטרנט, הוא לא יכול לספק יותר מ-98% ביטחון במחיר שהוא יותר קטן מפשיטת רגל.
אבי ויסמן: יש כאן דילמה עצומה, הטכנולוגיה נגדנו.
רוברט טיבייב: הגדרת את זה יפה.
רונית תירוש: כרגע הציעה לנו הרשות שאנחנו, האזרחים, נשאל את עצמנו שאלות.
רונית תירוש: עכשיו אתה אומר: אל תשאלו שאלות, חבל על הזמן.
רונית תירוש: לכו לקורס.
אבי ויסמן: לא בנושא של האזרח.
אבי ויסמן: לא, גם קורס לא.
רונית תירוש: אני יודעת, בציניות.
רונית תירוש: אז מה בכל זאת?
אנסטסיה מיכאלי: את יכולה לתאר כמה זמן צריך ללמוד מחשבים?
אבי ויסמן: את התשובות ליקטתי מכמה דוברים כאן.
אבי ויסמן: האחת מהן היא רגולציה, השנייה היא אכיפה, השלישית היא מודעות של הציבור, כי זה לא בא במקום, לסדרת פעולות.
אבי ויסמן: כמו שלמדנו לא לקטוף פרחים ולחצות מעבר חצייה, יש סדרת פעולות שמלמדים גם ילד וגם מבוגר.
רונית תירוש: מי ילמד?
אבי ויסמן: גיא, אתה מוכן, בבקשה, לענות לחברת הכנסת, או ג'קי?
רונית תירוש: בסדר, אני מבקש לפני סוף הדיון.
רונית תירוש: לא סתם ביקשתי שהישיבה תהיה משודרת.
רונית תירוש: אני רוצה לתת מינימום של כלים לפחות להתחלה להתמודדות.
רונית תירוש: זה לא כמו להגיד למישהו: יש רעידת אדמה, תיכנס תחת המשקוף, או אם יש טיל תשפוך אקונומיקה על השטיח – עד היום יש לי כתם מעיראק.
רונית תירוש: אחר כך מגלים שזה לא עוזר וזה לא עוזר.
רונית תירוש: תנו כלים בסיסים.
רונית תירוש: אני גם רוצה לדעת מה הרשויות יכולות או צריכות לעשות.
רונית תירוש: ואם זה דרך רגולציה אז הנה אנחנו פה, נשמח לשמוע.
רונית תירוש: לנו אין הרבה עבודה, אנחנו נשמח לקדם חקיקה.
רונית תירוש: האם יש לך תשובות?
גיא מזרחי: קוראים לי גיא מזרחי, ואני מנכ"ל של חברת סייבריה שעוסקת בתחום הסייבר הביטחוני.
גיא מזרחי: יש לי תשובות, אבל יש לי גם כמה הערות.
גיא מזרחי: קודם כל, נאמר פה הרבה על איומים.
גיא מזרחי: הגדירו פה סייבר טרור, וצריך לשים את הדברים על השולחן.
גיא מזרחי: כל אחד מהאנשים המקצועיים כאן יגיד את האמת.
גיא מזרחי: אבטחת האתרים האלה היתה פשוט ביזיון.
גיא מזרחי: לא מדובר בסייבר טרור, מדובר פה באירוע אבטחת מידע מאוד מינורי שגרם לבעיות מאוד רציניות.
גיא מזרחי: זה לא טרור קיברנטי, זה לא אירוע סייבר.
גיא מזרחי: זה פשוט פשיעה של בעלי אתרים ובוני אתרים שבנו את האתרים האלה ברשלנות.
רונית תירוש: ואי-אפשר להעניש אותם.
גיא מזרחי: אני לא פה כדי להעניש.
גיא מזרחי: אני כאן כדי להעריך מבחינה מקצועית מה קרה, ומה שקרה הוא פשוט מזעזע.
רונית תירוש: איך יכולתי לדעת שאני עושה עסקים עם פושעים?
גיא מזרחי: בעיה, אני אתייחס לזה עוד שנייה אחת.
גיא מזרחי: דיברתם קודם על תו תקן שרוצים לתת לאתרים.
גיא מזרחי: יש שתי בעיות עיקריות.
גיא מזרחי: האחת, יש תו תקן כזה והוא לא מיושם.
גיא מזרחי: יש תקן שהוא תקן אבטחת מידע, וברוב המקרים הוא לא מיושם.
גיא מזרחי: בחו"ל כשניסו לעשות דברים כאלה, חברת - -- הוציאה איזשהו מוצר שקוראים לו Hacker Proof, ועוד כל מיני מקומות אחרים ניסו פלומבה על אתר אינטרנט שאומר: האתר הזה הוא אתר מאובטח.
גיא מזרחי: אני מודיע חד-משמעית: אתר שחתום בפלומבה כזאת של Hacker Proof הוא אתר פריץ כמו כל אתר אחר.
רונית תירוש: אז אני חוזרת להמלצה האחרת שיהיה גורם אחד שמסמיך, ואני אפנה לגורם המסמיך לשאול האם הוא מאובטח.
רונית תירוש: לא אשאל את בעל העניין: האם אתה מאובטח.
רונית תירוש: הוא בטח ישקר לי.
גיא מזרחי: ודאי.
גיא מזרחי: יש כאן עוד בעיה אחת רצינית שאני ראיתי.
גיא מזרחי: במהלך האירועים האחרונים פשוט לא היה לבעלי האתרים את מי לשאול מה עושים.
גיא מזרחי: זאת אומרת, אנשים התקשרו אליי בהיסטריה כי כשעושים האקר בגוגל מגיעים אליי ממש מהר.
גיא מזרחי: הם אמרו לי: רגע, מה אנחנו עושים עכשיו עם האתר שלנו אם יפרצו לנו?
גיא מזרחי: אין הנחיות מדויקות של מה קורה ומה הדקה שאחרי פריצה לאתר, וזו בעיה.
גיא מזרחי: זו גם בעיה שמונעת מאיתנו יכולת חקירה מדויקת, וגם בעיה משום שגם בעל לאתר שכן רוצה לעמוד בסטנדרטים הנכונים ולהיות הוגן עם הלקוחות שלו, אין לו את הדרך לעשות את זה.
יורם הכהן: אם מישהו מודאג עכשיו, והוא פונה למומחה לאבטחת מידע ברמה שמסתובבת פה בחדר, באמת הם לא יגידו ואין להם מה להגיד לו מיידית לעשות?
גיא מזרחי: שים לב שאתה אומר:
גיא מזרחי: במידה והוא פונה למישהו ברמה של החבר'ה שמסתובבים כאן.
גיא מזרחי: נכתבו כבר הרבה מאמרים על שוק אבטחת המידע כשוק של לימונים שאין לך דרך באמת להבין אם הלימון הזה תקין או בעייתי בתוך השק הגדול הזה.
גיא מזרחי: יש המון חברות.
גיא מזרחי: אני לא מנסה להשמיץ, אבל כל חברה יכולה לכתוב על עצמה שהיא חברת אבטחת מידע.
גיא מזרחי: גם אחת החברות שבנתה את האתרים הפגיעים, מגדירה את עצמה כחברת אבטחת מידע.
גיא מזרחי: יש גם בעיה עם הסיפור הזה.
יורם הכהן: האם אתה חושב שהמקצוע הזה צריך להיות מקצוע מורשה?
גיא מזרחי: בוודאי.
יהונתן קלינגר: על-ידי המדינה או על-ידי השוק?
יהונתן קלינגר: זאת אומרת, האם אתה צריך הסמכות של כל מיני גופים כמו מייקרוסופט וכד', או שאתה רוצה שמדינת ישראל שתכריז על זה כמקצוע כמו רואה חשבון או עורך דין וכד'?
גיא מזרחי: הייתי מעדיף שמדינת ישראל תטפל בזה.
גיא מזרחי: ההגדרות ברמת הגורמים הטכנולוגיים הן בסוף הולכות ומובלות על-ידי חברות בעלות אינטרס.
גיא מזרחי: MCP אוMCSE , או כל הגדרה אחרת שפעם היתה במייקרוסופט, נחשבה חודש-חודשיים כמשהו טוב, ואחר כך נהיה זילות של המושג.
גיא מזרחי: לצורך העניין, מהנדס מייקרוסופטי זה משהו שהיום כל ילד שעושה - - -
אבי ויסמן: גברתי, הפורום עוסק בזה כבר שלוש או ארבע שנים יחד עם מנהלי אבטחת המידע בישראל, וזו בעיה נוראית.
גיא מזרחי: אני רוצה להוסיף לשאלה איך אזרח יכול להגן על עצמו.
גיא מזרחי: קודם כל, יש לו בעיה כי מבקשים ממנו הרבה פעמים פרטים שלא אמורים לבקש אותם.
גיא מזרחי: רק עכשיו נרשמתי לכנס אבטחת מידע ואחד הפרטים שנאלצתי לספק היה מספר תעודת זהות כשאין לי שום הבנה למה צריך לבקש את הדבר הזה ממני.
גיא מזרחי: אפשר להשתמש בכרטיסי אשראי חד-פעמיים שאפשר לקנות בדואר.
גיא מזרחי: אפשר לעשות שיקול לגבי השאלה איזה פרטים נותנים.
רונית תירוש: זה מה ששאלתי קודם והבטחתם לומר לי.
רונית תירוש: מה לגיטימי לתת?
רונית תירוש: אני אשאל שאלות תם.
רונית תירוש: אומרים לי: תני לי את שלוש הספרות שמופיע מאחורי כרטיס האשראי.
רונית תירוש: אם לא, אין עסקה.
גיא מזרחי: לגיטימי לתת – זו שאלה קשה.
גיא מזרחי: נאלצים לתת את זה.
גיא מזרחי: אני מניח שהחבר'ה מכרטיסי האשראי ידעו יותר טוב ממני לענות על מה הן צריכות כדי לחייב את הלקוח.
גיא מזרחי: כל מה שצריך כדי לחייב לקוח צריך לתת.
גיא מזרחי: הבעיה היא שאני כלקוח לא יודע האם הפרטים שנתתי יישמרו בצורה מוצפנת, או לא יישמרו.
גיא מזרחי: אין לי דרך לדעת את זה.
גיא מזרחי: השקיפות של בעל האתר זה משהו שהייתי רוצה לדעת.
רונית תירוש: אני עדיין לא קיבלתי מה כן אפשר.
גיא מזרחי: אם תעבדי עם כרטיס אשראי שהוא לא כרטיס האשראי העיקרי שלך, כרטיס אשראי חד-פעמי מהסוג שאפשר לקנות בדואר ישראל, אין לך פה באמת בעיה של כרטיס אשראי.
גיא מזרחי: גם אם הוא ייגנב, ייגנב סכום מאוד מוגבל של כסף.
גיא מזרחי: הבעיה פה היא לא כרטיס האשראי, הבעיה פה היא תעודת הזהות שלי שאני לא יכול לגרום לזה שיחליפו לי אותה אם מישהו גנב את הפרטים האלה.
גיא מזרחי: הצמדה לכתובת שלי, לדברים שקניתי שיכולים להגדיר מה תחומי העניין שלי, ואולי גם דברים מביכים עליי.
גיא מזרחי: יש הרבה סיבות למה אנשים קונים דברים באינטרנט.
גיא מזרחי: אחת הסיבות היא שהם לא רוצים ללכת לחנות לקנות.
גיא מזרחי: אף אחד לא יכול לדעת האם האתר בו הוא קנה באמת ממסך אותו.
רונית תירוש: זאת אומרת, ההמלצה המיידית כרגע היא לעבוד מול כרטיסי האשראי חד-פעמיים כאלה.
גיא מזרחי: חברות כרטיסי האשראי לא יאהבו את זה.
רונית תירוש: זה רק מראה כמה העסק מסובך.
רונית תירוש: ד"ר קוזלובסקי, תשתדל לדבר ממוקד.
רונית תירוש: אתה תוזמן לכל הדיונים הבאים שלנו גם כן, ואני מודה לך על כך שאתה מגיע.
נמרוד קוזלובסקי: ראשית, אני חושב שמה שנעשה פה הוא מהלך חשוב מאוד.
נמרוד קוזלובסקי: ועדת המדע ויושב-ראש הוועדה הרימו את הכפפה להגיד שיש פה בעיה מערכתית, זה לא אירוע נקודתי שאנחנו מתעסקים בו.
נמרוד קוזלובסקי: ועדת המדע לבדה ראתה פריצות סייבר לאתרי ממשלה ולאתרים פרטיים.
נמרוד קוזלובסקי: היא ראתה את בעיית הריגול העסקי והשימוש בסוסים הטרויאניים והיא דנה בה בעבר.
נמרוד קוזלובסקי: לאחרונה היא דנה בבעיית מרשם האוכלוסין, דנה לאחרונה בבעיית ה-Darknet של הפשע המאורגן' וכיום בכרטיסי האשראי.
נמרוד קוזלובסקי: אבל, אני חושב שצריך להבין משהו מאוד משמעותי.
נמרוד קוזלובסקי: הפגישות שאנחנו עושים כאן – אם בסופן הן יהיו קצת פורקן, וכל אחד יספר את הפרספקטיבה שלו, הן יהיו שיעור חברה נחמד.
נמרוד קוזלובסקי: שיעור החברה הזה לא יוביל, בסופו של דבר, לשינוי בחיי המעשה.
נמרוד קוזלובסקי: אני קורא כאן: תפקידה של הכנסת הוא לחוקק, תפקידה לפקח על הרשויות שפועלות, בין אם להקצות להן תקציבים, ובין אם לבקר את פעולתן.
נמרוד קוזלובסקי: אני חייב לומר שאנחנו נרדמנו בשמירה.
נמרוד קוזלובסקי: אני רחוק מלהסכים לכל הטפיחות על השכם שהיו פה בישיבה.
נמרוד קוזלובסקי: אנחנו נרדמנו בשמירה, אנחנו יודעים את מצבו העגום של אבטחת המידע בסייבר הישראלי מזה שנים ארוכות.
נמרוד קוזלובסקי: כל מי שעוסק בתחום יאמר לך בצורה ברורה מאוד שרוב רובם של אתרי האינטרנט הישראלים – ואני מדבר פה רק על המגזר האזרחי, אני לא נוגע לבעיית הסייבר הממשלתית – לא חושבים על אבטחת מידע, אינם מתייעצים באיש אבטחת מידע, ואבטחת המידע שלהם היא יד המקרה.
נמרוד קוזלובסקי: אני אומר לך יותר מזה.
נמרוד קוזלובסקי: לקראת הדיון הזה עברתי על כמה תקציבים של אתרי אינטרנט על מנת לראות כיצד התקציב שלהם נבנה.
נמרוד קוזלובסקי: יש שם תקציב לעורך-דין שזה דבר נפלא, יש שם תקציב לרואה-חשבון, יש שם תקציב לניקיונות.
נמרוד קוזלובסקי: תקציב לאיש אבטחת מידע לא מצאתי בהם, או תקציב אמיתי להתמודדות עם בעיית אבטחת המידע.
נמרוד קוזלובסקי: רובם נבנים בלי שום היוועצות עם אבטחת מידע בסיסית.
נמרוד קוזלובסקי: לכן, אני מסכים עם מה שגיא מזרחי אמר לפני רגע.
נמרוד קוזלובסקי: לאירוע הזה יש שתי פנים.
נמרוד קוזלובסקי: תקף את מדינת ישראל גורם עוין, כפי הנראה גורם שרצה לפגוע באזרחי ישראל, בבטן הרכה שלהם, במידע האישי שלהם, באמצעי התשלום שלהם.
נמרוד קוזלובסקי: אין פה ספק שהגורם הזה ביצע פעולה שהיא פעולה זדונית ואפקטיבית.
נמרוד קוזלובסקי: בהיבט של מה שקרה עם הנתקף, הקורבן זה פשוט אתר אינטרנט שהתרשל ולא עשה אפס באבטחת המידע שלו לדאוג כאשר הוא לוקח פרטים.
נמרוד קוזלובסקי: אם אנחנו רוצים לעבור לפסים פרקטיים, וכך ביקשה יושבת-ראש הוועדה, אני חושב שבסופה של ישיבת הוועדה הזאת צריכה לצאת הצעת חקיקה מסודרת, ופה הבשורה שאני רוצה להציע.
נמרוד קוזלובסקי: אני סבור שבמספר סעיפי חקיקה שניתן להעביר אותם תוך שבועות ספורים, לא יותר מזה, אנחנו נרים בקפיצת מדרגה, אקספוננציאלית, את רף האבטחה בסקטור האזרחי הישראלי שזו הבטן הרכה.
נמרוד קוזלובסקי: הכול ביכולתה של הכנסת לעשות.
נמרוד קוזלובסקי: מי שמאמין באמונה של התמריץ של האתר לאבטח את עצמו, המציאות מוכיחה אחרת.
נמרוד קוזלובסקי: יתרה מזאת, לאתר ממש אין אינטרס לאבטח את עצמו בשל העובדה שלא הוא הניזוק מפריצת הפרטים, והמבנה החוקי גם לא מטיל עליו את האחריות.
נמרוד קוזלובסקי: ולכן, יש פה בעיה כלכלית פשוטה.
נמרוד קוזלובסקי: הוא מחצין את הסיכון של הנזק, של גניבת הזהות, של הפגיעה בפרטיות, על המשתמש שלו.
נמרוד קוזלובסקי: איך פותרים את זה?
נמרוד קוזלובסקי: בתור התחלה רציתי להיות קצת פרובוקטיבי.
נמרוד קוזלובסקי: יש לי את כל הפתרונות.
נמרוד קוזלובסקי: זה היה יכול להיות גם סיכום מצוין לישיבה כאן.
נמרוד קוזלובסקי: במרץ 1998 היתה ישיבה בוועדת המדע, וחברת הכנסת דליה איציק היתה אז יושבת-ראש הוועדה.
נמרוד קוזלובסקי: הגיעו כל הטייפ-קסטינג.
נמרוד קוזלובסקי: הגיע האקר, והגיע איש משטרה והגיע איש אבטחת מידע, והגיע איש הרשויות.
נמרוד קוזלובסקי: בדיוק כפי שאנחנו יושבים בחדר הזה, כולם סיפרו.
נמרוד קוזלובסקי: הנער הדגים במחשב נישא איך הוא פורץ לאתר וגונב ממנו את הפרטים.
נמרוד קוזלובסקי: לאחר מכן הוא התרברב ואמר: אני לא מתוחכם מידיי.
נמרוד קוזלובסקי: אבל, אני יכול להגיע גם לאתרים של כרטיסי אשראי ולקבל שמות ומספרים, ולא תאמינו כמה קל אפילו לשלוח מכתבים בשם שרי הממשלה.
נמרוד קוזלובסקי: לאחר מכן הציעה המשטרה שיתגברו אותה בתקציבים ובכוחות, ואולי יהיה אפילו משמר אזרחי וולונטרי שיעזור לה.
נמרוד קוזלובסקי: ראש אגף חקירות אמר ש-50 חוקרים מיוחדים התמנו והוכשרו עוד 25 נוספים, ויש עוד קורסים רבים בדרך.
נמרוד קוזלובסקי: היא גם רכשה ציוד מחשב מתוחכם כדי להתמודד עם התופעה.
נמרוד קוזלובסקי: מי שישב אז בכסא של מנהל ממשל זמין אמר שיש תקיפות באלפים על בסיס יום-יומי.
נמרוד קוזלובסקי: אזכרו את הפריצה באותו שבוע לביטוח הלאומי בכפר-סבא, ולמע"מ בנתניה, ואמרו שיש בעיה כי כל דיון כזה יוצר תהודה לאנשים לפרוץ לעוד אתרים ממשלתיים.
נמרוד קוזלובסקי: מנהל האבטחה למשרד רגיש אמר אז שצריך לקבוע תקנים ויש את התקנים, והדרך היחידה היא אם יעמדו בתקנים.
נמרוד קוזלובסקי: אהוד אבנר, שאינני יודע מי הוא, אמר שצריך תקני רשות לאבטחת מידע, ולהפסיק לעמוד במערכת בשיטת ה"סמוך".
נמרוד קוזלובסקי: עברו 13 שנה, ההמלצות הן אותן המלצות.
נמרוד קוזלובסקי: הכנסת אותה כנסת, והגיע הזמן לחוקק.
נמרוד קוזלובסקי: אפשר לעשות את זה בכמה שלבים קצרים.
רונית תירוש: נשמח.
נמרוד קוזלובסקי: הרעיון – יש כמה עקרונות פשוטים, ולאחר מכן תוכנית עבודה.
נמרוד קוזלובסקי: אגב, אני חלקתי עם כמה חברי כנסת, יושב-ראש הוועדה, גם מסמך מפורט שהוא לא ברמת מצגת, ממש איך הסעיפים האלה צריכים להיראות.
נמרוד קוזלובסקי: הדבר הוא כזה.
נמרוד קוזלובסקי: בתור התחלה – תפיסת הפרטיות שמציגים לנו כרגע היא תפיסת הסכמה.
נמרוד קוזלובסקי: איזה מידע אתה מסכים לתת, וההנחה היא שההגנה על פרטיות היא שאני שומר על איזה מידע אני נותן, ומסכים לתת.
נמרוד קוזלובסקי: התפיסה הזאת קלוקלת.
נמרוד קוזלובסקי: בפועל מי שלא רוצה לחזור ולגור במערות החשוכות ולהסתובב כפרימיטיבי, חייב למסור כל הזמן את פרטיו האישיים.
נמרוד קוזלובסקי: תבינו איזה דינאמיקה מוזרה היתה פה.
נמרוד קוזלובסקי: יש פה את הרשויות האמונות לכך, יש פה את המחוקק, יש את משרדי הממשלה שאמורים היו לטפל בנושא, ובסוף חוזרים לאזרח הקטן ואומרים לו: את היית צריך להיות מודע ולהתמגן, פוי, פוי, פוי.
נמרוד קוזלובסקי: זה שטות, הוא לא היה יכול לעשות שום דבר.
נמרוד קוזלובסקי: התפיסה האמיתית היא תפיסה למעבר לאבטחת מידע.
נמרוד קוזלובסקי: הדרך להגן על פרטיות היא בדרך של לחייב אבטחת מידע אישי שאנחנו מוסרים.
יורם הכהן: ד"ר קוזלובסקי, מי אמר את הדבר הזה שאתה אמרת?
נמרוד קוזלובסקי: אני שמעתי הרבה אנשים שאמרו: המודעות.
נמרוד קוזלובסקי: המילה מודעות עולה הרבה.
רונית תירוש: כן דיברו על כך שאזרח צריך לדעת שלא בקלות הוא צריך למסור פרטים.
רונית תירוש: ולכן, זה הוביל אותי לשאלה אלו פרטים נכון למסור, ואלו פרטים לא נכון למסור.
רונית תירוש: אתה אומר: עזבו את האזרח.
רונית תירוש: אני הבנתי את זה מהחבר אבי וייסמן.
נמרוד קוזלובסקי: אני אומר יותר מזה, חס וחלילה שיצא מסר מוועדה בכנסת בוועדה המתקדמת הטכנולוגית שאנחנו לא נשתמש בסייבר.
רונית תירוש: נמרוד, כדי לא ליצור אנטגוניזם למצגת שלך, תהיה פחות מיליטנטי.
רונית תירוש: בוא נעשה את זה ברוח חיובית.
רונית תירוש: אתה אומר: בואו לא נפיל את זה על האזרח.
נמרוד קוזלובסקי: דבר נוסף - חקירה בדיעבד אין לה שום משמעות.
נמרוד קוזלובסקי: אני יכול לספר את סופה של החקירה במקרה של האקר הסעודי.
נמרוד קוזלובסקי: קראתי את הפרק האחרון של הספר.
נמרוד קוזלובסקי: סופה של החקירה הוא שיגיעו ל-IP במדינה זרה שהוא כנראה IP מומצא.
נמרוד קוזלובסקי: חקירה בדיעבד זה אחרי שהנזק קרה.
נמרוד קוזלובסקי: המידע על האזרחים מתגלגל, ועכשיו מחפשים איזה מישהו כדי להוציא פורקן ציבורי.
נמרוד קוזלובסקי: הדרך לאבטחת מידע היא במניעה מוקדמת, לא בחקירה בדיעבד.
נמרוד קוזלובסקי: דבר נוסף - הבעיה הגדולה באבטחת מידע היא שהקורבן האמיתי הוא זה שהפרטים שלו כרגע נחשפו, והוא קורבן לגניבת זהות ולפוטנציאל שלה, לא האתר שנפרץ.
נמרוד קוזלובסקי: האתר אומנם היה שער הכניסה, אבל הנפגע זה אנחנו.
נמרוד קוזלובסקי: ואם הנפגע זה אנחנו, מה שחייבים לעשות זה לחייב אותם באיתור מוקדם, ולחייב אותם לדווח מרגע שהם גילו את זה.
נמרוד קוזלובסקי: פה אנחנו לא צריכים להמציא את הגלגל.
נמרוד קוזלובסקי: כך פעלו מדינות אחרות, כמו קליפורניה, שהחקיקה שלהן הביאה להגברת רף אבטחת המידע בצורה דרמטית.
נמרוד קוזלובסקי: דבר נוסף - יש לנו פה בעיה כלכלית.
נמרוד קוזלובסקי: אני חושב שכל הדיון שמדבר על תקנים ממסך את הדיון.
נמרוד קוזלובסקי: כמו שכנסת ישראל לא תתעסק בקביעת מהו תקן המיגון הנכון לרכב בכל נקודת זמן בפני החלקה.
נמרוד קוזלובסקי: היא קובעת את מערכת התמריצים לבעל הרכב לבדוק את הרכב, היא קובעת את מערכת התמריצים לחברת הביטוח לבדוק שהוא עשה את המיגון, והיא קובעת את האחריויות שלו אם הוא לא יתמגן במקרה תאונה.
נמרוד קוזלובסקי: יש פה בעיה כלכלית פשוטה.
נמרוד קוזלובסקי: היום אין מבנה תמריצים נכון.
נמרוד קוזלובסקי: השחקנים שבמשחק הזה שהם: האתר, הלקוח שלו, הרשות הממשלתית, חברת אבטחת המידע שיודעת לבדוק את זה, וגם רשויות החקירה, לא נבנו להם התמריצים ומבנה של אחריות וחסינות.
נמרוד קוזלובסקי: בכמה צעדים אפשר לבנות מערכת של תמריצים.
נמרוד קוזלובסקי: כל עבודתה של הכנסת צריכה להיות בבנייה בכמה סעיפים את התמריצים לאבטח בצורה נכונה, ולאחר מכן לעזוב את זה מכיוון שהתקינה תגיע לכך שנגיע לתקן הוולונטרי.
נמרוד קוזלובסקי: כך קורה עם רואה-חשבון.
נמרוד קוזלובסקי: אנחנו אומרים: אתה צריך להגיש דין-וחשבון שנתי, ורואה-חשבון יאמת אותו.
נמרוד קוזלובסקי: אנחנו לא נכנסים לבדוק לרואה-חשבון האם בתקן X או תקן Y. לכך יש את הגופים המקצועיים שלו שמאמצים את התקנים.
נמרוד קוזלובסקי: דבר נוסף – אם כבר נכשלנו והמניעה המוקדמת לא הצליחה ומגיעים לחקירה, אם יש משהו ללמוד מהפרשה הזאת, התנהלנו איום ונורא בחקר האירוע הזה ובניהול האירוע הזה.
נמרוד קוזלובסקי: כל אחד זרק המלצות, כל אחד חקר.
נמרוד קוזלובסקי: בערוץ 2 התגלה לנו הפיצוח הגדול.
יורם הכהן: מי זה "אנחנו התנהלנו"?
נמרוד קוזלובסקי: מדינת ישראל ורשויותיה התנהלו גרוע בחקירת האירוע בשל העובדה שאם אנחנו רואים פיצוח בערוץ 2, זה נקרא סיכול חקירה.
נמרוד קוזלובסקי: זה אומר שאם כרגע האקר – בין אם הוא סעודי או מקסיקני – יושב בבית שלו ומבין שהוא היעד, הוא כרגע מוחק את הראיות, הוא מעלים כרגע את ה-IP, והוא כרגע גם יוצר אליבי.
נמרוד קוזלובסקי: יתרה מזאת, לא היה לנו גוף אחד, שמקובל במדינות אחרות, שהוא גוף מתכלל של אירוע, ושל איך מטפלים באירוע כזה.
רונית תירוש: אנחנו חיים בריאליטי.
נמרוד קוזלובסקי: בואו ניכנס להמלצות.
נמרוד קוזלובסקי: בצורה מאוד פשוטה אתה אומר לאתר: בתור התחלה, אין עליך שום חובה.
נמרוד קוזלובסקי: אם אתה רוצה לפעול, אתה לא צריך לא רישוי, לא תקן, כלום, כל עוד אתה לא אוסף מידע אישי מזוהה אודות אנשים.
נמרוד קוזלובסקי: כי רק ברגע שהתחלת לאסוף מידע אישי מזוהה אודות אנשים אתה מגלגל עליהם סיכון משמעותי להיות קורבנות גניבת זהות ושימוש בפרטים שלהם.
נמרוד קוזלובסקי: באותו רגע שהחלטת, וזו החלטה עסקית, שאתה רוצה לאסוף ולשמור מידע אישי מזהה אודות אנשים, שזו החלטה עסקית משמעותית, אז אתה צריך לעבוד ברף אבטחה מינימאלי.
נמרוד קוזלובסקי: זה לא תפקידו של המחוקק לקבוע את רף האבטחה הזה, אם כי אני חושב שרמו"ט כגוף המקצועי יכול לאמץ מעת לעת תקני אבטחה כתקנים שייחשבו כסבירים.
נמרוד קוזלובסקי: אגב, בהמלצה המפורטת, אני אפרט מהו רף אבטחה מינימאלי בהתאם לסוג המידע והפגיעות שלו.
יורם הכהן: קראת את המסמך שרמו"ט הפיצה לפני שנה בנושא הזה?
נמרוד קוזלובסקי: אני חושב שרמו"ט עשתה עבודה טובה מאוד באותו מסמך, רק הבעיה האמיתית היא שעד שלא היתה לנו שעת הכושר כאן, המסמך הזה נדחק לתחתית המגירה.
נמרוד קוזלובסקי: אני חושב שיש לחזק את העבודה החשובה של רמו"ט ולהעמיד את העבודה שלה כרגע בהבנה שזה עדיפות לאומית בשל העובדה שאנחנו 13 שנה מדברים על הליקוי, אבל לא מחוקקים אותו.
נמרוד קוזלובסקי: הדבר הנוסף - איסוף ושמירת מידע אישי יתאפשרו רק לאחר שמנהל המאגר מקבל אישור מחברה מוסמכת בדין.
נמרוד קוזלובסקי: כן, את החברות שעושות את הסקרים צריך להסמיך.
נמרוד קוזלובסקי: רמו"ט הוא הגוף המתאים.
נמרוד קוזלובסקי: אנחנו לא תמיד יודעים מה משקפות ההסמכות האזרחיות.
נמרוד קוזלובסקי: רמו"ט צריך לבדוק.
נמרוד קוזלובסקי: יש בישראל עשרות חברות אבטחת מידע מעולות שיכולות לעשות את הבדיקה הפשוטה הזאת.
נמרוד קוזלובסקי: טענת הנטל הכלכלי היא טענה שגויה.
נמרוד קוזלובסקי: הבדיקה הבסיסית הזאת עולה כמה מאות דולרים במקרה הטוב.
נמרוד קוזלובסקי: לאחר מכן אתה אומר לו: אתה צריך כבעל האתר לעשות סקר סיכונים תקופתי ובדיקת חדירות.
נמרוד קוזלובסקי: בואו נסביר מה זה בדיקת חדירות למי שיושב בחדר והוא לא מהתחום.
נמרוד קוזלובסקי: אנחנו היום בעצם מחכים שיבוא האקר סעודי ויתקוף את האתר שלנו, ויספר לנו שהוא פרוץ.
נמרוד קוזלובסקי: אבל, הדרך האמיתית לעשות את זה היא שאנחנו נתקוף את האתר שלנו ונראה האם הוא פרוץ.
נמרוד קוזלובסקי: כך חברות עובדות.
נמרוד קוזלובסקי: אגב, באותו סט כלים.
נמרוד קוזלובסקי: ההאקר הסעודי השתמש בסט כלים שהוא סטנדרטי ברשת.
נמרוד קוזלובסקי: אתה תוקף את האתר, ואם אתה מוצא שהאתר פרוץ אחרי הסקר הזה, אסור לו להמשיך לאסוף ולשמור מידע אישי עד שהוא לא מתקן אותו.
רונית תירוש: נדמה לי שאתה אמרת קודם שתהיה שקיפות, שהוא יודיע שהאתר שלו נפרץ.
נמרוד קוזלובסקי: ודאי.
נמרוד קוזלובסקי: אגב, יש פה שתי נקודות קטנות האומרות - ואני חושב שפה אני מאמץ את דבריו של ראש הרשות בעניין הזה - ששמירת מידע האישי היום נעשית בתצורה שהיא הרבה פעמים בלי הצדקה.
נמרוד קוזלובסקי: אין לי סיבה, בשביל להשלים טרנזקציה מסוימת, לקבל את כל הפרטים, כולל הסיסמא, כולל הדואר האלקטרוני.
נמרוד קוזלובסקי: פה צריך לומר: אם אתה רוצה לשמור מידע אישי מעבר לנדרש, מידע עודף, אתה חייב את ההסכמה ואת המודעות של האדם.
נמרוד קוזלובסקי: ופה החולשה האמיתית.
נמרוד קוזלובסקי: כל הצרה הזאת שנפלה עכשיו על ישראלים שהם הקורבן של גניבת זהות – והפרשה רחוקה מלהסתיים, היא תלווה אותם תקופה ארוכה.
נמרוד קוזלובסקי: הם יצטרכו כל הזמן לבדוק מי משתמש באמצעים שלהם, האם מישהו חדר לדואר האלקטרוני או אם מישהו התחזה אליהם - הדרך היחידה היא שבסיסמאות גישה או אמצעי אימות, אין דבר כזה לשמור אותם בתצורתם המזוהה.
נמרוד קוזלובסקי: סטנדרט אבטחת המידע הבסיסי אומר: אם קיבלתי כתובת דואר אלקטרוני או סיסמא, אני מיידית מרבב אותה - מה שנקרא "פונקצית הש".
נמרוד קוזלובסקי: אני בחיים לא שומר אותה בתצורה שניתן להשיג אותה.
נמרוד קוזלובסקי: נעבור לשלב הבא.
נמרוד קוזלובסקי: אם כבר היה אירוע אבטחת מידע, ואתה כבעל אתר יודע שהאתר שלך כרגע נפרץ, או שאתה יודע מה שנקרא compromised, שהנתונים של הלקוחות שלך כרגע בסכנה, אין לך את הזכות, כמו שקרה כאן שבעלי האתרים האלה ידעו תקופה ארוכה שהאתר שלהם פרוץ.
נמרוד קוזלובסקי: חלק מהאתרים ידעו משך חודשים ארוכים שהאתר שלהם פרוץ ולא עשו כלום.
נמרוד קוזלובסקי: אפילו חברות אבטחת מידע מסוימות הוציאו דוחות עליהם, ולא נעשה כלום.
רונית תירוש: מה אתה מצפה?
נמרוד קוזלובסקי: יש חוק בקליפורניה.
נמרוד קוזלובסקי: ההמלצה שלי, הכנסת תיכנס לאחר מכן ל-Google Translate ותתרגם את החוק מקליפורניה.
נמרוד קוזלובסקי: אני מוכן לקבל אותו, כולל שגיאות הכתיב שיש ב- Google Translate .
יורם הכהן: האם אתה יודע מה התוצאה של ה-Bridge Notification האמריקאי?
נמרוד קוזלובסקי: כן, אני יודע אותה מצוין.
יורם הכהן: קודם כל, אנחנו בוחנים את כל הנושא של חקיקתו של חובת כשל אבטחת מידע.