GiliGold/VAD_KnessetCorpus huggingface dataset:
<לימור שמרלינג מגזניק: יש חובה לעשות סקרי סיכונים, פעם ב-18 חודש לפחות – הסקר הזה, חלק מהסיכונים שהוא עשוי להעלות זה למשל: יש לנו פה עמדות מחשב שיש בהן גישה רחבה מידי למידע לעובדים שלא צריכים את המידע הזה, בואו נצמצם, בואו נסגור, בואו נקשיח את עמדות הקצה וככה נמנע שימושים לרעה או לפחות את חלקם.
<לימור שמרלינג מגזניק: עוד דבר חדש וחשוב בתקנות הוא שיש חובה לדווח על אירועים של גישות לא מורשות למידע אלינו – לרשם ההגנה על המידע שברמות, כדי שאנחנו נוכל במקרים המתאימים לממש את סמכויות האכיפה שלנו, ולנקוט בהליכי אכיפה מנהליים או פליליים, מה שמתאים במקרה.
<לימור שמרלינג מגזניק: החובה הזאת נכנסת לתוקף במאי 2018 ולכן כרגע, אנחנו מעת לעת מקבלים ידיעות כאלה מגופים ציבוריים או בדרכים אחרות, אבל אין חובה כוללת על כלל המשק לדווח, היא מתחילה במאי 2018 ואז יהיו לנו הכלים לאכיפה.
אורי מקלב: כולל משרדים ממשלתיים?
<לימור שמרלינג מגזניק: כולל גם משרדים ממשלתיים, כן.
אורי מקלב: בכל תחום של שימוש, גם אם זה רק עילה פנימית, לא פלילית, גם לא תחת הסמכות.
<לימור שמרלינג מגזניק: גם אם זה לא פלילי, עדיין זה יכול להיות במסגרת הפעילות המנהלית שלנו של הפיקוח, אם יש אירוע אבטחה בגוף ציבורי – אירוע אבטחה מוגדר בתקנות, אירוע שבו יש גישות לא מורשות למידע או הוצאה גדולה של מידע שהיא לא מורשית - יהיה חייב בדיווח אלינו לרשות.
תמר זנדברג: זה הכל טוב ויפה, אבל מה קורה עם זה בפועל, כי אחד הדברים שאנחנו יודעים זה שיש- - -
אורי מקלב: זה בעתיד.
תמר זנדברג: לא, זה בעתיד, אבל מה שאמרת קודם זה כבר קיים.
<לימור שמרלינג מגזניק: אני אגיד מה קיים היום.
תמר זנדברג: יש דוח שאתם כותבים שאמור להיות מונח על שולחן ועדת החוקה, אם אני לא טועה, כל שנה.
<לימור שמרלינג מגזניק: - - - התכניות החדשות.
<לימור שמרלינג מגזניק: יש דוח רשם מאגרי מידע שמוגש לוועדת חוקה כל שנה על פעילות הפיקוח והאכיפה ובכלל, על כל הפעילות שלנו.
תמר זנדברג: השנה לא הוגש.
<לימור שמרלינג מגזניק: עדיין לא.
תמר זנדברג: גם שנה קודמת, האחרון זה 2015?
<לימור שמרלינג מגזניק: הוגש, לא, 2016.
<לימור שמרלינג מגזניק: סליחה, 2015 הוגש ב-2016 ועכשיו בקרוב אנחנו מגישים את הדוח של 2016.
אורי מקלב: מי אחראי על הפיקוח?
אורי מקלב: המנהל הכללי או שזה אותו ממונה שיש לנו על מאגרי מידע?
<לימור שמרלינג מגזניק: זה גם וגם, משום שזה באמת עניין של תרבות ארגונית וההיקפים הם עצומים.
<לימור שמרלינג מגזניק: כמות הגופים הציבוריים ובכלל, כמות הארגונים במשק שמנהלים מידע אישי היא עצומה, זה ברור שהעבודה קודם כל צריכה להיות הטמעה של הכללים ושל העקרונות של מערכות הניטור והזיהוי בתוך הארגונים עצמם.
<לימור שמרלינג מגזניק: הרבה מהעבודה שאנחנו עושים – ותהיה גם בשנה הקרובה בעקבות התקנות – היא הטמעה והדרכה כדי שגופים יפעלו בהתאם לתקנות.
<לימור שמרלינג מגזניק: העבודה הזו לא יכולה להתבצע רק על ידי זה שנאכוף את ההפרות, אלא היא צריכה להתבצע בצורה סיסטמתית לאורך כל הזמן.
אורי מקלב: רק לפני שאת עוברת לשקף האחרון, בדיקת מהימנות לעובדים, כולל קיימים.
אורי מקלב: את זה הבנו, אבל באיזה רמות, יש לזה הגבלה?
אורי מקלב: אנחנו היום – הצעת חוק שמתקיימת בכנסת, היום גם במשטרה, לבכירים ביותר כולל ניצבים, בדיקות כאלה ואחרות, אנחנו מבינים שהיום זה הדרך, האלה היא כשאתם אומרים לעובדים – זה גם מנהלים או שרק עובדים?
<לימור שמרלינג מגזניק: גם מנהלים הם עובדים, הקביעה איזה סוג של בדיקה צריכה להיעשות היא תלוית מקרה.
<לימור שמרלינג מגזניק: זה תלוי בסוג המידע בארגון והרגישות שלו, זה תלוי במה העובד מורשה לעשות ובדיקות המהימנות צריכות להיות מותאמות, אבל הן חלות על כלל העובדים בארגון.
<לימור שמרלינג מגזניק: כלומר כלל העובדים שיש להם נגישות למידע, שהוא מידע אישי, שצריך להגן עליו.
<לימור שמרלינג מגזניק: אם יש עובד שהפעילות שלו היא אחרת- - -
אורי מקלב: מי קובע את הכללים?
<לימור שמרלינג מגזניק: אין לזה כללים מפורטים בתקנות, זה משתנה מארגון לארגון.
אורי מקלב: אנחנו ישבנו לפי החוק הביומטרי וגם תמר היתה אתנו ביחד, שמה לעובדים שאחראיים על המאגר הביומטרי יש בדיקת מהימנות, בדיקה ברף הגבוה ומפעם לפעם ועוד סדרת בדיקות ששם נמצא דברים ביטחוניים מסווגים מאד, אבל אנחנו מדברים בשוטף, לאו דווקא בנושא הביומטרי שהוא תחת הפוקוס, אנחנו מדברים על עוד מאגרי מידע גדולים – מי קובע באיזו רמה, מה החשש, איזה מנהלים?
<לימור שמרלינג מגזניק: אני חושבת שיש כאן עוד כמה אנשי מקצוע בתחום הזה שאחראיים על הנושא בממשלה, אז אנחנו ניתן להם גם להמשיך.
<לימור שמרלינג מגזניק: אני רק אגיד שבשנה האחרונה הקמנו, אצלנו ברמות, פורום הגנה על פרטיות במגזר הציבורי, חברים בו כבר למעלה מ-130 עובדי מגזר ציבורי, גם משפטנים וגם אנשי מערכות מידע שבהתכנסויות שלו ובתקשורת המקוונת שלו אנחנו מדריכים, מסבירים, מעבירים הנחיות, מעבירים מסמכי הכוונה – כדי שהגופים הציבוריים ילמדו יותר על הגנת הפרטיות, ידעו יותר טוב איך ליישם את החובות של חוק הגנת הפרטיות, יכירו את תקנות אבטחת מידע בצורה יותר מעמיקה.
<לימור שמרלינג מגזניק: אנחנו חושבים שזאת הדרך הראשונה שצריך לנקוט בה, עוד לפני שמדברים על אכיפה.
<לימור שמרלינג מגזניק: אכיפה מתאימה למקרים חמורים, אבל בפירוש צריך קודם כל ליידע אנשים.
<לימור שמרלינג מגזניק: אני גם חושבת שהעובדה שארגונים, כמו שצוין כאן, בודקים את עצמם, מאתרים עובדים שפעלו שלא כדין, מממשים דין משמעתי או ארגוני או דין משמעתי באמצעות נציבות שירות המדינה, זה חלק מהמערך הכולל של הטמעה של הכללים האלה בארגונים.
אורי מקלב: גדעון קונפינו מרשות התקשוב הממשלתי, בבקשה.
<גדעון קונפינו: שלום אדוני היושב ראש וחברי הכנסת, שמי גדעון קונפינו, אני מנהל היחידה להגנת הסייבר בממשלה ברשות התקשוב הממשלתי.
<גדעון קונפינו: אני קצת ארחיב על מה שלימור אמרה לפני, התהליכים בממשלה הם תהליכים ארוכי טווח, אבל הגענו לכל משרדי הממשלה כדי להטמיע אותם.
<גדעון קונפינו: כלומר, כל משרדי הממשלה- - -
אורי מקלב: היחידה להגנת הסייבר היא לא רק חיצונית, היא גם בשימושים פנימיים?
אורי מקלב: לא, לא מחשש של זליגת מידע, זאת אומרת אתם גם אמונים על הנחיות, כגוף מנחה גם על שימושים בתוך המשרדים, בלי חשש שזה יזלוג, שמישהו יכנס מבחוץ – אלא עובד שמורשה, מתי הוא מורשה ומתי הוא לא מורשה, במסגרת העבודה ולא מחשש שיצא החוצה, בסמכות שלו, לא מעבר לזה?
<גדעון קונפינו: אתה מדייק, אדוני יושב הראש, הגנת הסייבר היא בעצם הרחבה של תחום אבטחת המידע.
<גדעון קונפינו: אבטחת המידע מדברת על שכבות הגנה והגנת הסייבר רואה את זה בצורה קצת יותר רחבה.
<גדעון קונפינו: היא גם מסתכלת על מודיעין בתחום הזה, מסתכלת גם על מערכות שהן לא מערכות מידע, אבל כשאנחנו מדברים על הגנת הסייבר אנחנו מסתכלים על תחום אבטחת המידע גם בתוך הארגון וגם מחוץ לארגון.
<גדעון קונפינו: אם אנחנו מדברים על האמצעים שצריכים להעשות ומשרדי הממשלה – עוד מעט אני ארחיב קצת – הם לא מקשה אחת, הממשלה היא כמו חברת אחזקות שיש בה משרדים ברמה גבוהה של הגנה, בגלל שהם צריכים את זה ומשרדים שהם קצת פחות.
<גדעון קונפינו: יש שתי רמות להסתכל ברמת אבטחת המידע, קודם כל בפריבנשן- מניעה, כלומר מניעה להגעה למידע והחלק השני הוא בעצם הדיטקשן – הגילוי, הגילוי של שימוש לא נאות.
<גדעון קונפינו: מה שעלה כאן בשאילתה זה על אנשים שיש להם הרשאות והם עושים שימוש לא נאות בהרשאות שניתנו להם.
<גדעון קונפינו: כתוצאה מזה, גם הקמנו תשתיות מרכזיות שהן בהתהוות, למשל משרד האוצר כבר מחובר לניטור מרכזי של אירועי אבטחת מידע כדי שנוכל לראות את האירועים כשהם קורים ולהתריע בפני האנשים הרלוונטיים בארגון.
<גדעון קונפינו: הכוונה שלנו יהא לחבר בצורה הדרגתית את כל משרדי הממשלה למערכות טכנולוגיות כאלה ובנוסף לזה, עשינו תשתית ארגונית ככה שיש ממונה על התחום – הבאנו את זה לישיבת מנכ"ל, כלומר יש ועדת היגוי בכל משרד שדנה בתחום הסייבר ואבטחת המידע- - -
אורי מקלב: יש תקנים יעודיים לאבטחת מידע, אנחנו רוצים להתמקד עכשיו, סליחה, בישיבה הזו יותר לשימושים פנימיים, האם יש כללים גם בנושא הזה?
אורי מקלב: איך מגדירים סמכות, מה צריכה להיות הסמכות ושהיא לא גולשת, איך בודקים את הדברים, איך מפקחים על הדברים האלה, איך יודעים שמישהו גולש?
אורי מקלב: האם יש לכם הנחיה כוללת, קביעת כללים?
<גדעון קונפינו: כל גוף מגדיר לעובדים שלו את הרשאות הגישה לפי צורך העבודה שלהם.
<גדעון קונפינו: עכשיו, הבעיה היא באמת באנשים שצרכי העבודה שלהם מאפשרים להם גישה רחבה- - -
אורי מקלב: הגוף עצמו קובע?
<גדעון קונפינו: הגוף עצמו, המנהל העסקי בגוף קובע איזה אנשים צריכים לגשת למידע.
אורי מקלב: איזה אנשים ומה המידע שצריך.
<גדעון קונפינו: לשם העבודה.
אורי מקלב: זאת אומרת יכול להיות שהייתי בא להתווכח אתו או גוף מקצועי – תשמע, למה אתה מאפשר כל כך הרבה, בשביל מה לצורך העבודה הוא צריך גם זה וגם זה?
אורי מקלב: אם ירצה משהו באופן חורג שיקבל אישור ממך, אין מי שעושה את זה – כל מנהל קובע לעצמו את השפה שלו ואת האזור שלו לפי חשיבה שלו.
<גדעון קונפינו: קודם כל ההרשאות ניתנות על ידי המנהל.
<גדעון קונפינו: הבקרה נעשית על ידי סקר סיכונים שנעשה על ידי גוף אבטחת מידע בארגון, ויכול לבדוק תוך כדי תהליך הסקר אם יש הרשאות עודפות או שימוש לא נאות או הליכים כאלה.
אורי מקלב: עושים את זה?
<גדעון קונפינו: כן, משרדי ממשלה עושים סקרי סיכונים.
אורי מקלב: מי יענה על זה, אתה?
<גדעון קונפינו: יש משרדי ממשלה שלא רק שעושים סקרי סיכונים, אלא גם עומדים בתקן של מכון התקנים הישראלי בנושא אבטחת המידע, כלומר גם גוף חיצוני, חוץ ממשלתי, בודק אותם כדי לוודא שהתהליכים מתקיימים.
אורי מקלב: אחרי זה נשמע על רשות המיסים, זה בא מתוך בקרה פנימית?
<גדעון קונפינו: שם זה בקרה פנימית.
<גדעון קונפינו: ברשות הגבייה והאכיפה למשל הם עומדים בתקן של מכון התקנים, רשות התקשוב- - -
אורי מקלב: גדעון, תכף נשוב אליך, אבל אני רוצה לתת לפרנקו ואחרי זה עוד כדי שיהיה זמן ואולי בסוף נוציא סיכום.
<רפאל פרנקו: רפאל פרנקו, ראש אגף בכיר להסדרה והכשרת המשק, הרשות הלאומית להגנת הסייבר, צהרים טובים.
<רפאל פרנקו: כשאנחנו מסתכלים על ארגון ואנחנו סוקרים את כל הסיכונים שבו, החל מבחוץ וכלה מבפנים ואנחנו רוגע רוצים, היום ספציפית, להתמקד בעובד שיכול לעשות נזק, אז הוא כמובן יכול לעשות נזק לפרטיות, אבל הוא יכול לעשות עוד המון סוגי נזק, החל מריגול, המשך במידע שהוא מידע לא פרטי – מידע על תכניות עסקיות, ציבוריות וכו' וכו' וכו'.
<רפאל פרנקו: אז אנחנו מזהים כמה סוגים של הגנות, רגע לפני זה אני יכול להגיד שרק פרסמנו לפני כשבועיים את תורת ההגנה בסייבר לארגון, אני הבאתי את המסמך ואפשר להעבר לחברת הכנסת וליושב הראש, לעניין ולהבין עד כמה הוא באמת יורד לרזולוציה של כללי "עשה".
תמר זנדברג: זה לרשות ציבורית?
<רפאל פרנקו: זה ממשלתית, כן, יחידות סמך וכל השאר כמובן וולונטרי.
<רפאל פרנקו: אנחנו מסתכלים ורואים כבר כמה חובות שקיימים למספר ארגונים, עוד רגע לפני תורת ההגנה הארגונית.
<רפאל פרנקו: אז קודם כל, כל ארגון במדינת ישראל ודגש על ממשלת ישראל שהוא תמ"ק – תשתית מדינה קריטית – חייב לעבור גם רמת מהימנות לעובדים שלו.
תמר זנדברג: מה זו תשתית מדינה קריטית?
<רפאל פרנקו: תשתית מדינה קריטית זה תמ"ק, תשתית שבלעדיה המדינה לצורך העניין לא תשרוד.
<רפאל פרנקו: חברת חשמל, מים, גז טבעי.
<קריאה: אנרגיה, גז.
<רפאל פרנקו: עד משרדי ממשלה שהשירות החיוני שלהם הוא חיוני לציבור, למשל גביית מיסים שאחרי זה גם יגעו בנושא הזה, מן הסתם חשוב, רשות האוכלוסין- - -
תמר זנדברג: זאת אומרת זו השדרה המרכזית של- - -
<רפאל פרנקו: שדרה כבדה, רשות האוכלוסין למשל שדיברנו עליה קודם.
<רפאל פרנקו: זה חשוב כי הגופים האלה, מן הסתם, אוצרים מידע מתוקף תפקידם כנותני שירות, אפשר לומר לכל אזרח במדינת ישראל.
<רפאל פרנקו: לכל השאר היום, אלה שלא מחזיקים מידע מסווג או שהוא אינו ארגון תמ"ק, עידן לא ניתן להחיל עליו סינון בטחוני על פי הוראות נציבות שירות המדינה.
<רפאל פרנקו: לכן אנחנו בוחרים, בהקשר הזה, טכנולוגיה ואנחנו בוחרים בכמה מאגרי אבטחה.
<רפאל פרנקו: הדבר הראשון, ברשותכם, זה משאבי אנוש, כל עובד שנקלט לארגון היום בשירות המדינה חייב לעשות שני תהליכים.
<רפאל פרנקו: אחד, מעבר לזה שהוא חותם על כל נושא של שמירת סודיות, גם התפקיד שלו מחויב להיות בעל הערכה עד כמה הוא רגיש וחשוף למידע.
<רפאל פרנקו: כלומר, אם אני בתפקיד רגיש כבר מחילים עלי כללים שהם כללים נוספים.
אורי מקלב: יש מידע שהוא לא מסווג?
<רפאל פרנקו: כן.
אורי מקלב: השאלה אם אתם- - -
<רפאל פרנקו: בטח.
אורי מקלב: יש מידע שנמצא- - -
<רפאל פרנקו: בטח, רוב המידע הממשלתי הוא לא מסווג.
אורי מקלב: אני לא מדבר עכשיו על השירות של המידע הזה, אני לא מדבר על מידע שנותנים לציבור, אני מדבר אתך על מידע שיש על הציבור.
<רפאל פרנקו: רוב המידע הממשלתי בשירות המדינה הוא לא מסווג, אדוני.
אורי מקלב: שאני אבין, המידע שיש בביטוח לאומי, לדוגמה- - -
<רפאל פרנקו: הוא רגיש.
אורי מקלב: אולי מבחינתך הוא לא- - -
<גדעון קונפינו: לא, הוא לא מסווג בטחונית, אני אעזור לפרנקו.
אורי מקלב: רשימת ניצולי שואה, הוא אולי לא מסווג בטחונית ומבחינתך זה אולי לא חומר שידלוף למישהו ויעשו בזה דבר, אבל יכול להיות מידע שהוא מידע שאנחנו מאד רוצים להגן עליו.
<קריאה: כן, בוודאי זה מידע רגיש לפי חוק הגנת הפרטיות וזה גם יכול להיות מידע חסוי, לפי הסיווג האזרחי הממשלתי.
<קריאה: פרנקו מדבר על הסיווג הביטחוני.
אורי מקלב: רשימת ההורים ששולחים למשפחתונים, אני רוצה להגיד לך דוגמה של נושא, קשה לי עכשיו, אני מבין שרישיון נהיגה זה גם, אבל מאגרים שהם גם פרטיים, אבל גם יכולים להיות להם שימושים, השאלה אם אתם אצלכם גם מסתכלים על הדבר הזה.
<רפאל פרנקו: וודאי, אמרתי, אנחנו מתואמים עם רמות באמת בצורה טובה וגם החוברת שהעברתי מתואמת בצורה טובה ומעלה עם שאר הגופים.
אורי מקלב: אבל אני שואל אותך, תגיד שזה לא דברים בטחוניים, למה אתה צריך את זה?
אורי מקלב: יש קצת סתירה בעיני בין מה שאמר גדעון לבין מה שאתה אומר, להרגשתי.
אורי מקלב: גדעון אומר: לי יש הכל, גם הנחיה על דברים, כל הפרטיות אני מגדיר הכל ולא מתעסק רק בהגנה על הסייבר, הכל צריך להיות.
אורי מקלב: אתה בא ואומר, מחשש, שלך יש חשיבה, היעד שלך, אלו דברים שהם לא צריכים לדלוף, אבל יכול להיות שמבחינתך דברים שהם מידע או נניח הרי שרשימה של הורים שנמצאים במשפחתונים וצהרונים.
אורי מקלב: אתה לא רוצה שהמידע הזה יזלוג החוצה – אז לזה אתה עושה הגנה, אבל בתוך המשרד יכולים 200 איש לגעת במידע.
<רפאל פרנקו: אני רשמתי לי, הבנתי לאן אדוני מכוון.
אורי מקלב: מי יענה לי על מרכבה?
<רפאל פרנקו: אני אענה לך על מרכבה, זו תשתית קריטית.
אורי מקלב: אחר כך תענה על הכל, מרכבה אני חושב שזה אחד ממאגרי המידע שיש שהם הרבה דברים, היא מכילה בתוכה המון המון מידע.
אורי מקלב: אם אתה שואל אותי, עובד ממשלתי שאני מכיר מכיוון שיש לו גישה לדבר הזה והוא, בשיחה כשאני שאלתי אותו בעניין הזה בגלל שזה תחום שאני מתעסק אתו, אתה יודע כמה עובדים וכל מה יש להם גישה מרכבה – כשהוא צריך להכין משהו יש לו כבר כבר גישה גדולה מאד בכל המשרד והרבה מעבר לזה בגלל שהוא ממונה על משהו, הוא צריך להכין, יש לו חשבוניות, אבל מכאן הוא קיבל גישה ואף אחד לא מגביל אותו, ככה ההרגשה בכל אופן.
<רפאל פרנקו: אני בכוונה, כיוון ששאלת ואני מבין לאן אתה מכוון ראשית אני אגיד ככה, גדעון והרשות מתואמים, אגב, גדעון זה גוף מונחה על ידי הרשות ולכן אנחנו מתואמים באופן מלא.
<רפאל פרנקו: אני רוצה לגעת ברשותך בכמה מעגלים וככל שתאשר לי ותאפשר לי אני אצלול פנימה.
<רפאל פרנקו: אחד זה כל נושאי משאבי האנוש – אמרתי, קליטת עובד.
<רפאל פרנקו: השני זה שיהוי, איך אתה מזהה גישה להוצאה של מידע רגיש, למשל סתם לדוגמה, האם עובד שיש לו הרשאה, אם הוא מדפיס 50 עותקים אם מקבל התראה.
<רפאל פרנקו: למה?
<רפאל פרנקו: כי 50 עותקים זה לא משהו בפעולה הסבירה שלו.
<רפאל פרנקו: אני ממשיך הלאה, האם יש יש לו גישה כפולה מאובטחת, כך שמישהו אחר לא יכול, אם הוא עזב רגע את החדר, להתחבר לו לעמדה.
<רפאל פרנקו: זאת אומרת לא מספיק רק סיסמה אלא הוא צריך למשל גם תג.
<רפאל פרנקו: האם למשל יש לי הפרדה בין תחומים – למשל, אני עובד משאבי אנוש, למרות שיש לי גישה ואתה עובד בתפעול, אנחנו נפריד את ההרשאות שלנו.
<רפאל פרנקו: גם בהנחיות, אנחנו נותנים את ההרשאות המצומצמות ביותר לצורך העיסוק של העובד.
<רפאל פרנקו: אנחנו מנטרים את המשתמש, למשל מחוץ לשעות העבודה.
<רפאל פרנקו: אם אדוני פתאום רוצה להתחבר ב-7, 8 בערב – למה?
<רפאל פרנקו: כלומר, קודם כל אנחנו מנסים לייצר דרך המערכות את המדפס הקבוע הארגוני ואחרי זה התשתיתי של אותו תפקיד.
<רפאל פרנקו: כמובן שכל הנושא של תיעוד וניטור, באזורים שבהם – יוכלו לעמוד על זה אחרי זה גופים ממשלתיים אחרים – שבו יש גם חשש לכל הנושא של הונאה, יש גם גופים במשק הישראלי, בממשלה, שהטמיעו מערכות למניעת הונאה.
<רפאל פרנקו: כלומר, הם מזהים חריגות מדפוסים שהגדיר להם מנהל הגנת הסייבר, יוכל לגעת בזה אחרי זה אורן מרשות המיסים, סך הכל הפעולה שהם עשו זו בדיוק הפעולה המצופה.
<רפאל פרנקו: כשקופץ משהו, אתה תופס, כי טבע האדם מתקשה לשנות, אבל בוודאי באמצעות מערכים טכנולוגיים וההוכחה שמעגלי ההגנה האלה שתארתי, במקרה דנן, היו פעילים.
אורי מקלב: אורן, אתה רוצה להרחיב?
<אורן בן שבת: כשנגיע אלי, אין בעיה.
אורי מקלב: הוא אחריך.
<רפאל פרנקו: מעולה.
<רפאל פרנקו: בהמשך כמובן ביקורות, גם ביקורות חיצוניות של הרשות- - -
אורי מקלב: אוקיי, אתה רגוע?
<רפאל פרנקו: אני אף פעם לא רגוע, משלמים לי כדי לא להיות רגוע.
אורי מקלב: אני חוזר ואומר, אני רוצה לשמוע את התשובה שבעצם אין מידע היום שאתם חושבים שהוא לא צריך להיות מוגן.
<רפאל פרנקו: אני אומר ככה- - -
אורי מקלב: חוץ ממידע שהוא באמת לציבור, במקורו.
אורי מקלב: מידע שצריך כמו זמני קבלת קהל, מסמכים, טפסים, אנחנו רוצים שיהיה כמה שיותר, אבל מידע שהוא מאגר מידע אישי, פרטי, גם לפעמים מחקרים כאלה או אחרים- - -
<רפאל פרנקו: אני אומר בזהירות הראויה, גם רמות וגם הרשות הניחו תשתית מקצועית שניתן בעטיה להגן על האדם שרוצה לייצר הונאה או להדליף מידע.
<רפאל פרנקו: זה תהליך, תהליך של הממשלה, יותר ויותר ארגונים ויותר ויותר יחידות רוכשות את הטכנולוגיות.
<רפאל פרנקו: בגופים עתירי מידע כבר יש את הטכנולוגיות.
אורי מקלב: אוקיי, אני חושב שאחרי שניתן לגופים אחרים לדבר יכול להיות שנרצה לחזור אליך, נציג רשות המיסים לא רשום לי שם ותפקיד.
<אורן בן שבת: צהרים טובים, אורן בן שבת, מנהל אגף בכיר – חירום, ביטחון, מידע וסייבר ברשות המיסים.
אורי מקלב: אתה רוצה גם להתייחס למה שחברת הכנסת זנדברג העלתה?
אורי מקלב: אתה מכיר את המקרה שזה אולי המחולל של הדיון שלנו?
<אורן בן שבת: כן, אני מכיר היטב בתור מי שהיה בין צוות החוקרים באירוע הזה.
<אורן בן שבת: אני אתחיל בזה שבאופן כללי נושא השמירה על המידע ברשות המיסים מורכב מכמה רבדים, הראשון הוא המשפטי – כל המסגרת החוקית של העשייה בתחום הזה, החל מחוק הגנת הפרטיות וחוק המחשבים וחוקי המיסים השונים שמטילים חובת סודיות על הרשות בשימוש במידע, תקנות שונות וכמובן התקשיר ומתחת לכל זה יש נהלי עבודה שנובעים מתוך מדיניות ארגונית, מדיניות אבטחת המידע של רשות המיסים וכל הדברים האלה מוטמעים דרך סדרה שלמה של כלים – ניגע לפחות בחלק מהם.
<אורן בן שבת: רובד נוסף הוא רובד טכנולוגי, הרובד השלישי הוא רובד נהלי והאחרון הוא אכיפתי, שכשקורה אירוע – איך הוא מטופל.
<אורן בן שבת: באופן ספציפי, האירוע שחברת הכנסת זנדברג תארה בפתיחה, הוא אירוע שהתחיל בבקרה פנימית של רשות המיסים- - -
תמר זנדברג: שגרתית או בגלל מידע שהיה לכם?
<אורן בן שבת: לא בגלל מידע, כחלק מתכניות העבודה.
תמר זנדברג: כלומר שגרתי.
<אורן בן שבת: כן, זה חלק משגרת העבודה, יש סדרה שלמה של בקרות ואני אוכל גם להרחיב קצת יותר, איך אנחנו עושים את הדברים.
<אורן בן שבת: אני ארצה להתייחס לכמה שאלות ששאלתם בפתיחה- - -
אורי מקלב: בבקשה, חשוב לנו מאד.
<אורן בן שבת: האם יש כללים בנושא?
<אורן בן שבת: קודם כל יש כללים, סקרתי ממש בקצרה את המסגרת החוקית של העבודה והפעילות בתחום הזה ואנחנו מפרסמים את כל נהלי אבטחת המידע וכללי השימוש במאגרים לכל העובדים ברשות.
<אורן בן שבת: הפרסום מתבצע גם בתוך השימוש במערכות המידע, כל עובד שמזדהה מחדש לתוך מערכת המידע התפעולית רואה מול עיניו מסך אזהרה – שאם תרצו יש לנו פה דוגמה איך הוא נראה – שמזהיר אותו שהשימוש במידע חייב להתבצע לפי החוק, בהתאם לכללים ואם לא הוא צפוי לסנקציות וכן הלאה.
אורי מקלב: מה היה שנדבר עליו, רק שנבין את התהליך או מה קרה.
אורי מקלב: היה שימוש של עובדים במידע שלצורך העבודה או למשהו חיצוני?
<אורן בן שבת: הבקרה העלתה אכן כמות, מבחינתנו, לא קטנה של עובדים שנכנסו בתוך המסגרת המותרת להם לצורך העבודה, לישויות וביצעו את אותן שאילתות על ישויות שאסור היה להם לבצע.
<אורן בן שבת: צריך לומר שבאותה עת טרם הטמענו מערכת מובנית טכנולוגית, כמו שפרנקו הזכיר- - -
אורי מקלב: לא לצורך חיצוני, אלא לצורך קידום העבודה שלהם.
<אורן בן שבת: אנחנו היינו בתהליך הטמעה של מערכת ניטור ובקרה שבתקופת הבקרה עוד לא פעלה.
<אורן בן שבת: לפחות לא פעלה כמו שצריך עדיין והבקרה העלתה שאכן היו פעולות שאנחנו אוסרים לבצע, כי מעצם ההגדרה וכל עובד עובר הדרכה גם כתובה וגם פרונטלית, לפחות אחת לשנה, כל עובד בארגון עובר את זה וגם מודגש, בין היתר, שהשימוש במאגרי המידע נועד לביצוע העבודה בלבד.
<אורן בן שבת: במקרה הזה גילינו שבאמת היתה אוכלוסייה שלא עשתה את הדברים האלה כמו שצריך והם כולם נחקרו וננקטו נגדם הליכים משמעתיים.
אורי מקלב: אני שואל, אני באמת לא בקיא בכללים, אבל נניח לדוגמה לצורך חקירה של מישהו בעבירת מס ברשות המיסים אתה רוצה להגיע למידע או להשלמת החקירה או בכלל כדי להגיע לנקודת החקירה שאתה רוצה להגיע – אתה רוצה לדעת על החברים של הנחקר כי אולי זה ייתן לך פתח לפתוח את החקירה שאתה רוצה.
אורי מקלב: אתה לא יכול לעשות את זה כי אין לך סמכות, כשאתה חוקר אותו אתה לא יכול לחקור את החברים שלו, אני סתם מניח הנחה – אם היא נכונה או לא זה לא משנה, רק לשם הדוגמה, כאילו מקרה שזה לא אותו אדם אלא אתה הולך למשהו אחר.
אורי מקלב: זה הוא יודע שאסור לו? העובד יודע?
אורי מקלב: כשהוא היום עושה את זה הוא עשוי לעמוד תחת הביקורת בגילוי שלך שהוא עשה את הדברים, הוא עלול להשאל למה עשית את זה?
אורי מקלב: איך עשית את זה?
אורי מקלב: לצורך מה עשית את זה?
אורי מקלב: באיזו סמכות עשית את זה?
<אורן בן שבת: באותו אירוע- - -
אורי מקלב: אתה יכול להביא דוגמה אחרת.
תמר זנדברג: וגם, אם אני יכולה להוסיף שאלה, בעצם כל עובד, זוטר כבכיר, חשוף כל המידע בכל תיק?
<אורן בן שבת: לא לא, ממש לא.
אורי מקלב: זה מה שאמרו קודם – שלא.
תמר זנדברג: לא, פשוט- - -
<אורן בן שבת: אני מסביר איך.
אורי מקלב: הוא אומר שאם למשל בגבול המידע שמותר לו, שחשוף לו- - -
תמר זנדברג: אז איך הוא יכול להשתמש בו, אבל עדיין אולי צריך לעשות איזו שהיא דיפרנציאציה אחרת.
אורי מקלב: גם הוא וגם רפאל דיברו על כך שאנחנו עושים רבדים של מידע.
תמר זנדברג: אבל מה הרבדים האלה?
תמר זנדברג: אולי הם לא מפולחים נכון?
אורי מקלב: כל מנהל במשרד שלו הוא קובע, אם יש מנהל שאומר- - -
תמר זנדברג: כן, אולי צריך רמות אחרות?
<אורן בן שבת: יש ברשות המיסים שיטת עבודה לפיה בעל תפקיד מקבל את אותן הרשאות אליהן הוא נדרש במסגרת התפקיד שלו.
<אורן בן שבת: הדבר הזה מוגדר בשיתוף פעולה בין היחידות המקצועיות שמכירות את מאגרי המידע ויודעות מה הערך המקצועי ומה נדרש, לבין תחום אבטחת המידע שלמעשה מנחה בתוך הארגון את הנושא הזה.
<אורן בן שבת: זה גם עובר ביקורת משפטית בתוך הארגון ובסופו של דבר, מה שאנחנו מאפשרים לעובד לגשת מגובה בצורה טכנולוגית.
<אורן בן שבת: כלומר לי, לצורך העניין, יש סדרה של שאילתות שמותר לי לבצע ומה שלא מותר לי – אני לא יכול לגשת, השאילתות פשוט חסומות.
<קריאה: מאיזו שנה זה ככה?
<אורן בן שבת: זה מאז ומתמיד.
תמר זנדברג: למשל, אתה יכול לתת לנו איזו דוגמה, עובד בדרגה של חוקר ברשות המיסים, שאמור לחקור תיקים של איזה חקירת מס.
תמר זנדברג: איזה מידע בהרשאה הנמוכה, הסטנדרטית נקרא לזה, הוא חשוף אליו?
<אורן בן שבת: אני לא רוצה להטעות פה את הנוכחים, אז אני לא רוצה להתייחס באופן ספציפי, אבל אפשר לבדוק את זה.
<אורן בן שבת: אנחנו יכולים להביא את הנתונים האלה, אבל אני אומר שוב שמדובר בתהליך עבודה שבסופו- - -
אורי מקלב: כולנו יודעים שלהרבה הרבה מידע.
אורי מקלב: הוא כמעט יכול- - -
תמר זנדברג: נשאל את זה אחרת, בין העובד הזוטר לעובד הבכיר – מה פערי המידע, מה הם הדברים הרגישים שרק עובד בכיר – ודרך אגב, מהחקירה שלכם עלה שגם עובדים בכירים מאד היו שם.
<אורן בן שבת: היו כמה בודדים.
תמר זנדברג: השימוש לרעה הוא אקרוס דה בורד, אבל אני שואלת נניח, בכל זאת ככל שעולים שהיררכיה אנחנו רוצים לחשוב שהועבד מפעיל שיקול דעת ויש לו יותר סמכויות ויותר אחריות וזה בסדר.
תמר זנדברג: מה הפער במידע בין העובד הסטנדרטי לעובד הבכיר?
תמר זנדברג: למה העובד הבכיר יוכל לגשת, לאיזה מידע רגיש שהעובד הזוטר לא?
תמר זנדברג: למשל, לא אחד לאחד.
תמר זנדברג: דוגמאות.
<אורן בן שבת: שוב, קשה לי באמת לתת כרגע דוגמאות קונקרטיות כי לשאלה הזו לא נערכתי מראש, אבל חשוב לי לציין שהאירוע שאנחנו מדברים עליו, אותו אירוע חקירה, לא נגע כלל למקרים האלה, אלא דובר בעובדים שלנו שביצעו שאילתות על רקע אישי, כלומר לעזור לקרוב משפחה, להגיש איזה דוח או דברים בסגנון הזה.
<אורן בן שבת: אנחנו אוסרים את הפעולות האלה וגם חשוב לומר שלא עלתה בשום חקירה אינדיקציה שמישהו מהעובדים האלה סחר במידע או עשה משהו כזה, אלא זה היה ממש- - -
אורי מקלב: אלה דברים שמובן מאליו, זה קיים בהרבה ארגונים- - -
תמר זנדברג: לא, עולה כאן שאלה, אם המידע מוגבל רק לרובד, אז בעצם למה, סתם לדוגמה עובד שיש לו 100 תיקים למה הוא לא מקבל בעצם הרשאה רק ל-100 תיקים האלה?
תמר זנדברג: למה הוא יכול לקבל את אותו מידע, כולל תיקים של עצמו, הרי הוא לא חוקר את עצמו.
<אורן בן שבת: זה לא מדוייק- - -
תמר זנדברג: למה בכלל יש גישה לעובד לתיקים של עצמו ושל בני משפחתו אם הוא לא חוקר, זה לא בהגדרת התפקיד שלו עכשיו לחקרו את בני המשפחה שלו?
<אורן בן שבת: קודם כל עובד לא יכול לחקור את בני המשפחה שלו.
תמר זנדברג: בדיוק, אז למה הוא יכול לגשת למידע לגבי בני המשפחה שלו?
אורי מקלב: אני אתן לך דוגמה לא מרשות המיסים, אני מכיר מקרה שהיה ואני חושב שזה טופל טוב במקרה, במשטרת התנועה.
אורי מקלב: עובד במשטרת התנועה רצה באופן טבעי לעזור, אבא שלו רצה לברר על דוח תנועה – ברור שיתכן והיה מקבל את אותו מידע אם זה לא היה אבא שלו, זה לא מידע סודי.
אורי מקלב: העובד נכנס ועובד רשאי להיכנס- - -
תמר זנדברג: זו השאלה, למה העובד רשאי?
אורי מקלב: הוא רשאי להיכנס לכל דוחות התנועה.
תמר זנדברג: זו השאלה, למה?
אורי מקלב: כי הוא פועל בכל דוחות התנועה, יתכן וצריך היום- - -
תמר זנדברג: אבל חקירה של רשות המיסים- - -
אורי מקלב: העובד הזה באמת פוטר רק בגלל שהוא עשה משהו שלא היה עבירה, אבל לקח מידע שלא היה תחת סמכות.
תמר זנדברג: אז יכול להיות שבפני עיוור לא תשים מכשול ולא צריך לאפשר.
אורי מקלב: יכול להיות, אני חושב שאת צודקת, צריך יותר ויותר בגלל שהיום יש כל כך הרבה מידע והקלות והנגישות צריך לשים יותר חסמים.
אורי מקלב: אני רוצה להספיק לתת לאנשים אחרים, אם אתה רוצה להשלים בעניין הזה, אבל מה שעולה מדבריך זה שלא היה לצורך פלילי, זה היה מידע פנימי שלצורך אישי וברירו, גם אם לפי חוק הוא לא עשה עבירה בזה שהוא הוציא את השומה או משהו, לא מידע סודי שהיה מאיזו חקירה שהייתה אמורה להתבצע.
אורי מקלב: אדם הוציא מסמך שיתכן ובעל המסמך היה מבקש ומקבל את זה, אבל התפקיד שלך הוא לא פניות ציבור- - -
<אורן בן שבת: נכון ואנחנו עדיין התייחסנו בחומרה.
אורי מקלב: אני עדיין לא שמעתי ממך ודווקא אני שואל אותך מרשות המיסים שזו רשות שבאמת יש לה הרבה מידע והאופן שיש לה להגיע למידע לצורך הבירורים שלה, וודאי לפקידים בכירים ברשות, האם היו מקרים שמישהו פעל ללא סמכות?
אורי מקלב: שאם זו היתה הלבנת הון אז מותר היה לו להגיע למידע הזה, אבל אם החקירה היא לא על הלבנת הון – אז הוא לא יכול להגיע, אבל הוא בכל מקרה רצה משהו שהוא לא יכול לקבל, זו לא עבירה אבל הוא רצה להגיע בלהט הבירור.