GiliGold/VAD_KnessetCorpus huggingface dataset:
איה גל עד: כשאנחנו מסתכלים על הנושא הזה אז אנחנו מזהים בעצם כמה אלמנטים שהם מרכיבי מפתח להתמודדות שיאפשרו לגוף שעובר אירוע סייבר להתמודד.
איה גל עד: - - - מעורבות הנהלה בכירה ודירקטוריון באופן שוטף וניהול סיכוני סייבר; שיתוף מידע וידע; אנחנו מניחים שככול שאתה מכיר מה קורה ויודע להיערך אל הדברים מבעוד מועד כך תוכל למנוע אירוע גדל.
עינב קאבלה: יש לכם נוהל מחייב לגבי איך לנהל אירוע אם חלילה קורה?
עינב קאבלה: אירוע של פריצה, דליפה.
איה גל עד: במסגרת ההוראות שלנו אנחנו דורשים מוכנות של התאגידים הבנקאיים לאירועי סייבר, לרבות ארגונים, ארגונים בכל מיני רמות.
איה גל עד: אנחנו בעצמנו מבצעים בין תרגול אחד עד שניים בשנה של כל המערכת הבנקאית, תרגולי שולחן עגול.
איה גל עד: בנוסף בשנת 2019 ובשנת 2020, קיימנו מבחן קיצון בתרחיש של סייבר מול גופי המערכת הבנקאית.
איה גל עד: כל זה מתוך המקום של דאגה שהתאגידים הבנקאיים וחברות כרטיסי האשראי יהיו מוכנים להתמודדות עם אירוע סייבר.
עינב קאבלה: אוקיי, תודה לך איה.
נירה לאמעי רכלבסקי: רק שאלה: אתם מזהים מהחולשה למשל במיון עובדים, בכל מה שקשור לבנקים?
נירה לאמעי רכלבסקי: מיקור חוץ, מיון עובדים יש עוד משהו שאתם שמתם עליו את הדגש?
נירה לאמעי רכלבסקי: מיון עובדים זו חוליה חלושה אם אני מבינה נכון.
נירה לאמעי רכלבסקי: אתה יכול לעשות יופי של מערכות, אבל אם אתה לא ממיין את העובדים מבחינת אמינות, זה יכול להגיע מבפנים.
איה גל עד: כשאנחנו מתייחסים לאירוע יש הרבה חוליות חלשות ובאמת צריך לזהות אותם ולנהל אותם, בין אם זה היבטים של כוח אדם, בין אם זה היבטים של שרשרת האספקה.
איה גל עד: היבטים של כוח אדם זה בהחלט מקום שצריך לשים אליו את הדגש מתוך אותה אמירה שלנו שהטיפול בנושא הסייבר דורש ראייה מתכללת רחבה וחוצת ארגון.
איה גל עד: זה אומר שאתה לא יכול להסתפק רק לשים מערכות טכנולוגיות שאמורות למנוע אירועים, אלא גם צריך להסתכל על אלמנטים ברמת כלל הארגון.
איה גל עד: כמו למשל הנושא של מיון עובדים, של אמינות עובדים, מה אתה עושה כשעובד עוזב ואיך אתה מתנהל עם דברים כאלה.
איה גל עד: וההוראות שלנו נותנות לזה ביטוי.
עינב קאבלה: רציתי לשאול אם אפשר את עורך הדין קלדרון, בנוגע לשאלה ששאלתי את איה, אבל אתם בהיבט הרחב יותר.
עינב קאבלה: האם יש לכם מראש נוהל פעולה לגוף כלשהו – גם במגזר הפרטי ובעיקר בגופים שאין להם רגולטור שיכול להכווין אותם ולהכין להם כזה נוהל מפורט וברור למה צריך בקרות אירוע?
עלי קלדרון: התקנות קובעות חובות מסוימות שקשורות לסקר הסיכונים והכנה לאירוע אבטחה חמורים.
עלי קלדרון: הם לא כוללות נוהל כיוון שהנוהל הזה הוא באמת מאוד ספציפי לכל ארגון וארגון, אנחנו מפרסמים המלצות ואנחנו בוחנים כשאנחנו בוחנים גופים לגבי הנהלים הספציפיים שלהם, אבל אנחנו לא מוציאים איזה הנחיה כוללת או מחייבת בעניין הזה.
עינב קאבלה: זה משהו שאולי שווה לחשוב עליו כשמבינים שיש כל מיני גופים שמתנהגים בכל מיני התנהגויות שהם לאו דווקא ההתנהגויות הנכונות בקרות אירוע שכזה.
עינב קאבלה: דבר שני, בוודאי כשקורה אירוע שכזה שמדווח לכם – שאתם תהיו במעורבות הדוקה מאוד לגבי מה הדרך הנכונה והטובה להתנהל בה.
עינב קאבלה: בעיקר לטובת אותם אזרחים שהמידע שלהם חשוף.
עלי קלדרון: בקרות אירוע, הגוף על פי החוק מחויב לדווח לנו באופן מידי.
עלי קלדרון: אכן יש לנו נוהל פנימי שמדבר על נוהל תפעול באירוע אבטחה שבו אנחנו מגיעים לגוף ומלווים אותו ומסייעים לו במידת הצורך או לפחות מוודאים שהוא עובד לפי נהלים מסודרים ובצורה נכונה מבחינתנו.
עלי קלדרון: במקרים כאלה, כשאנחנו רואים שזה לא המצב, אנחנו גם מנחים אותו או מסייעים לו בתהליך.
עלי קלדרון: אבל זה במקרים שבהם אנחנו כבר מדווחים על אירוע כזה.
עינב קאבלה: כאמור לא כל האירועים כנראה מגיעים אליכם.
עינב קאבלה: רועי, אתה רוצה לשאול משהו?
רועי גולדשמידט: אני רוצה לשאול את מערך הסייבר, אבל אולי גם שאלה פתוחה למי שנמצא איתנו בזום.
רועי גולדשמידט: נחשפתי בטוויטר אצל אחד מחוקרי האבטחה הישראלים ה"white hats", יש מושג של כובעים לבנים וכובעים שחורים.
רועי גולדשמידט: כלומר, האקרים טובים - - -
עינב קאבלה: אנחנו לא אוהבים את השימוש בצבעים, אנחנו נגיד אלו שמסייעים.
רועי גולדשמידט: אוקיי.
רועי גולדשמידט: האקרים שמסייעים והאקרים שמחפשים לעשות סיבוב.
רועי גולדשמידט: אחד מהדברים שהחוקר הזה ציין זה שיש מודל כזה שקיים בחו"ל של תוכניות Bug bounty שמתגמלים מי שמזהה באגים במערכת ומדווח עליהם.
רועי גולדשמידט: השאלה אם למערך יש כוונה או דרך לתמרץ דבר כזה או האם כפרקטיקה, להשריש פרקטיקה כזאת בחברות שלא תייתר, אבל תצמצם את החשיפה של ארגונים ותגדיל את התמריצים לפתור חורים?
עינב קאבלה: והיא גם באמת תחשוף פרצות ותייעל.
עינב קאבלה: השאלה היא לא רק למערך הסייבר אלא לכל מי שמחזיק ארגון.
עינב קאבלה: קראת את מחשבותיי.
עינב קאבלה: תודה על השאלה.
עמית אשכנזי: אנחנו עוקבים אחרי הנושא הזה זה זמן, ויש לנו בפירוש כוונה כזו.
עמית אשכנזי: מי שמכיר את הנחית פרקליט המדינה על עבירת חדירה לחומר מחשב, רואה את תחילת העבודה שעשינו כבר עם פרקליטות המדינה בנושא הזה.
עמית אשכנזי: יש שם אינדיקציות לפעולות שלמרות שעבירת החדירה היא עבירה פלילית, יהיו שיקולים של הפרקליטות לא להעמיד לדין.
עמית אשכנזי: ובין היתר בעבודת המטה הבאנו את השיקולים של קידום הגנת הסייבר; מניעת נזק של ממש; אי הסתכלות על מידע אישי, ועוד תבחינים.
עמית אשכנזי: תבחינים שבעצם עוזרים לנו להבחין בין אותו אחד שעשה את אותה פעולה, אבל הוא טוען שהוא white hat ועכשיו הוא אומר: צריך לתת לי פרס והוקרה, לבין אחד שעושה את זה והוא בעצם מתכונן לגנוב את המידע או לסחור.
עינב קאבלה: אני מבינה שיש רק חברה ישראלית אחת – כך אמרו וכך קראתי – שעושה שימוש ב- Bug bounty.
עמית אשכנזי: אם אני לא טועה, אם גדעון קונפינו עדיין על הקו, אני חושב שממשל זמין עצמו פרסם תוכנית כזו, והוא אפילו מודל לארגונים.
עמית אשכנזי: מה שאנחנו נעשה בתוך התפקיד שלנו – נציע המלצות לקווים מנחים לתוכנית כזאת, כשבהצעה שאנחנו נקדם, נהיה סוג של מוקד הדיווח.
עמית אשכנזי: הסיבה היא כיוון שלפעמים אותם פצחנים לא מעוניינים שהארגון יקבל את הדיווח בצורה ישירה כי הם חשופים לכל מיני טענות על דברים.
עמית אשכנזי: לכן אנחנו נייצר מצב שבו אנחנו יכולים להיות אזור מבטחים, בתנאי שכל מיני תנאים מתקיימים והעברת הדיווח.
עמית אשכנזי: כמובן מבלי להיכנס חלילה למה שבאחריות התביעה הכללית והמשטרה, שזה תמיד היכולת שלהם להעמיד לדין.
עמית אשכנזי: אבל אנחנו נייצר קווים מנחים לפעולה עתידית.
עינב קאבלה: כאן אנחנו מדברים על מצב שאותם אנשים גם מקבלים תגמול על החשיפות שלהם.
עמית אשכנזי: הוקרה.
עמית אשכנזי: אנחנו מדברים על הוקרה, ארגון יכול להחליט שהוא גם נותן תגמול.
עינב קאבלה: למה לא ניתן לתגמל?
עמית אשכנזי: לא, בוודאי שניתן.
נירה לאמעי רכלבסקי: אין לך כבר ערוץ של דיווח וולנטרי אמין?
עמית אשכנזי: יש לנו ערוץ, אבל באזורים שהם יותר טריקיים, לא תמיד הדיווח הזה עובד בצורה מלאה.
עמית אשכנזי: ובמענה לשאלה של רועי, אנחנו רוצים לייצר יותר וודאות משפטית לגבי המותר והאסור.
עינב קאבלה: מר קונפינו, חזרת אלינו, רק בשביל משפט אחד: אתם משתמשים ב-Bug bounty?
גדעון קונפינו: באתר הממשלתי GOV.IL ישנו מקום לדווח על הימצאות של פרצות ואנחנו מטפלים בכל מי שפונה אלינו ומתייחסים.
גדעון קונפינו: הדבר הזה פתוח לציבור, כל אחד יכול להעיר על פרצות אם קיימות אצלנו ברשות התקשוב, באתרים הממשלתיים שנמצאים אצלנו ב-GOV.IL.
גדעון קונפינו: הדף הזה הוא דף פתוח.
גדעון קונפינו: כל אזרח יכול להעיר לנו במקרה והוא רואה פרצה או אירוע ואנחנו מטפלים במזה במידי.
עינב קאבלה: תודה רבה, נעבור לעורך דין גיל סלומון, סמנכ"ל רגולציה באיגוד חברות הביטוח.
עינב קאבלה: אגב, רק אגיד שלא מדובר רק בחברות ביטוח, יש המון מידע בהמון גופים.
עינב קאבלה: ברור שהמנעד שלנו היום קצת אולי מתחדד יותר על חברות ביטוח, בנקים וכרטיסי אשראי כי אי אפשר להתפרס על הכול.
עינב קאבלה: החשיבות הוא גם בדיון הכללי וההטמעה של הדברים שצריכים להיות גם בתוך הגופים האחרים ולא רק בחברות ביטוח וכיוצא בזה.
עינב קאבלה: בבקשה, עורך הדין סלומון, שתיים-שלוש דקות לרשותך.
גיל סלומון: שלום לכולם, גברתי היושב-ראש זה באמת דיון חשוב, ורוב הדברים שנוגעים לחברות הביטוח נאמרו לפני כמה דקות על ידי הממונה על הפיקוח, הגוף שמפקח על חברות הביטוח.
גיל סלומון: בכמה מילים אגיד שזה ברור שכל עניין הסייבר וניהול האבטחה הפך להיות פה תופעה עולמית שחברות הביטוח – לא רק – אבל חברות הביטוח מתעסקות בזה באופן יום-יומי ועושות מעל ומעבר.
גיל סלומון: ובהנחיה של המפקח ושל הרגולטורים השונים, וגם שמענו אותם בדיון פה, הם מנחים אותנו כיצד לעבוד.
גיל סלומון: חברות הביטוח משקיעות משאבים עצומים במערך הסייבר שלהם כדי לשמור על הפרטיות של המבוטחים.
גיל סלומון: לא חוסכים בכלום, כל דבר עושות, לא חוסכות – לא בכסף, לא במשאבים, לא בגיוס מוחות ולא בשום דבר אחר כדי להתמודד עם הדבר הזה.
גיל סלומון: יש בקרות, יש פיקוח, אנחנו בקשר עם מערך הסייבר ועושים כל מה שניתן כדי למנוע אירועים מהסוג הזה.
גיל סלומון: אני כמובן לא יכול להתייחס לאירוע שקרה בחברת שירביט.
גיל סלומון: אגב, זוהי אחת החברות הבודדות שהיא לא חלק מאיגוד חברות הביטוח.
גיל סלומון: אני מקווה מאוד שהאירוע הזה ייפתר במהרה.
גיל סלומון: אנחנו נעשה כל מה שאנחנו צריכים לעשות, לפי ההנחיות, וכמו שאמרתי – אנחנו לא חוסכים משאבים.
עינב קאבלה: תודה, עורך הדין סלומון.
עינב קאבלה: נעבור לעורך דין יהונתן קלינגר, מהתנועה לזכויות דיגיטליות.
עינב קאבלה: אני מניחה שיש לו דברים חשובים להגיד בנושא שאנחנו דנים בו.
יהונתן קלינגר: תודה רבה, אני מודה לכם.
יהונתן קלינגר: לא אחזור על מה שאמרו חבריי יורם הכהן ונעמה מטרסו, בנוגע למזעור מידע.
יהונתן קלינגר: אני רק רוצה להצביע על כמה חסרים שיש שהוועדה פה יכולה לתת יחסית בקלות ובמהירות ואגב בזול אם אנחנו מסתכלים על המשאב החקיקתי, כדי לתת לנו יותר כוח.
יהונתן קלינגר: לנו הכוונה לאזרחים.
יהונתן קלינגר: הדבר הראשון זה להוסיף את זכות המחיקה של מידע.
יהונתן קלינגר: בחוק הישראלי אין לך זכות לפנות לגוף ששומר עליך מידע ולהגיד לו: גוף נכבד, המידע הזה לא דרוש יותר אצלך, אנחנו מבקשים שתמחוק אותו.
יהונתן קלינגר: סביר להניח שאם חברות ביטוח היו מוחקות מידע על אנשים שכבר לא מבוטחים אצלם מעבר לתקופת ההתיישנות אז עותק המידע שדלף היה נמוך יותר.
עינב קאבלה: רק כדי להבין: אתה מדבר על מצבים שכבר מבוטח או משתמש או תושב כבר לא לקוח.
יהונתן קלינגר: את לא לקוחה של שירביט.
יהונתן קלינגר: עברה תקופת ההתיישנות, לא יכולים לתבוע אותם יותר – שימחקו אוטומטית את המידע או שיאפשרו לך לפנות ולמחוק.
עינב קאבלה: לא לתקופה שכן יש קשר אלא לתקופה שאין קשר.
יהונתן קלינגר: הסתיימה התקופה.
יהונתן קלינגר: הבעיה שלנו היא שחברות כאלה מחזיקות מידע גם בשביל חיתום, גם בשביל עניינים שלהם עצמם, סיכונים וכדומה וגם בגלל הוראות של הרגולטור – הרבה פעמים יותר מדי זמן.
יהונתן קלינגר: דבר שני זאת תקנה 20 לתקנות אבטחת מידע שבעצם הוציאה מהרשות להגנת הפרטיות את הסמכויות בנוגע לגופים שמפוקחים אחרת.
יהונתן קלינגר: בתקנה 20 לתקנות כתוב שאם יש גוף אחר שמאסדר אחרי אותם גופים כמו בנקים, חברות ביטוח וכדומה, אז הנחיות אבטחת המידע של אותם גופים, הרגולטור או הרשות להגנת הפרטיות יכולה להגיד: שהם מחליפות את תקנות אבטחת מידע.
עינב קאבלה: רגע יהונתן.
נירה לאמעי רכלבסקי: זאת תקנה 25?
יהונתן קלינגר: זו תקנה 20 אם אני לא טועה.
עינב קאבלה: תכף נבדוק, אבל לגבי המהות: תחדד שוב פעם.
יהונתן קלינגר: בעצם הרשות להגנת הפרטיות יכולה להגיד: הוראות אבטחת המידע של רשות שוק ההון הן מספקות.
יהונתן קלינגר: וחברת ביטוח שעומדת בהוראות האבטחה של רשות שוק ההון לא חייבת לעמוד בהוראות תקנות הגנת הפרטיות, כי ההנחיות של רשות שוק הן מספקות.
עינב קאבלה: מייצרים פה מנגנון חלופי ותכף נשאל את עורך הדין קלדרון אם אתם עושים בזה שימוש.
יהונתן קלינגר: לי ברור שהרשות להגנת הפרטיות צריכה עוד כוח.
יהונתן קלינגר: הדבר הנוסף זה כמובן הקנסות המגוחכים שהופכים את ההפרה להפרה מאוד יעילה.
יהונתן קלינגר: אם אני יודע שהקנס הוא מזערי – 25,000 שקלים בהליך של הרשות.
יהונתן קלינגר: בנוסף לכל זה, זה הערבוב של אבטחת מידע והגנת הפרטיות.
יהונתן קלינגר: אנחנו במדינה שבה מערבבים את שני הדברים, כי על אבטחת מידע קל לשפוך כסף.
יהונתן קלינגר: אפשר לקנות עוד firewall, להוציא עוד ציוד, להביא עוד כוח אדם, אבל כשמתכננים את המערכות לא יושב איש פרטיות ואומר: חברים, בואו לא נשמור את פרט המידע הזה.
יהונתן קלינגר: ויכול להיות שגופים – בגלל האירוע שקרה לנו היום – צריכים לשבת ולעשות חשיבה מחדש על כל מה שיש במאגרי המידע שלהם.
יהונתן קלינגר: האם הם באמת צריכים לשמור הקלטות של כל השיחות?
יהונתן קלינגר: דברים שראינו בדליפות של שירביט.
יהונתן קלינגר: האם חייבים לשמור את צילום תעודת הזהות או שאפשר להסתפק רק באימות של הזהות ואחר כך למחוק את המידע.
יהונתן קלינגר: האם באמת צריך להשתמש במספר הזהות כאמצעי הזדהות, לא רק בשמירה על צילום של עותק.
יהונתן קלינגר: והחשיבה הזאת, התהליך הזה צריך לבוא מהקדקוד, מכאן מהוועדה.
יהונתן קלינגר: השוק הפרטי לא מכוון את עצמו מספיק לשם, יש מעט גופים שמתחילים עם התהליכים האלה, ואצל שאר הגופים הרגולטורים מבקשים שישמרו יותר ויותר מידע, כי חלק מהעבודה שלהם זה לשמור על היציבות.
יהונתן קלינגר: שמענו פה גם את הפיקוח על הבנקים, גם את רשות שוק ההון, ושומעים, המשמעות שלהם זה יציבות.
יהונתן קלינגר: גם כשהיינו בדיונים על תקנות אבטחת מידע ונאבקתי ואמרתי: אני רוצה שכשיש אירוע אבטחת מידע יהיה דיווח לאזרחים – עמדו על הרגליים האחוריות כמה גופים ואמרו: לא.
יהונתן קלינגר: דיווח כזה יכול לפגוע ביציבות של המערכת הבנקאית, ולכן אנחנו נקפיא את זה והדיווח יהיה רק לרגולטור.
יהונתן קלינגר: העובדה שהיום אין חובת דיווח לאזרחים, והאזרחים שמעו על הדליפה משירביט רק מהתקשורת ולא משירביט בזמן אמת ולא דרך הרגולטורים האלה ככל האפשר – היא בעיה.
יהונתן קלינגר: במיוחד שיכול להיות – ואני לא יודע אם זה המצב – שקורים אירועים, הם מדווחים לרגולטור, והם לא מגיעים לאזרחים, כי הם לא משמעותיים מספיק.
יהונתן קלינגר: יתכן גם שהם אפילו לא מדווחים וראינו מקרים כאלה גם כן, שאירועים היו ולא דווחו, עד שהתקשורת שמעה על זה ורק אז התחיל הדיווח.
יהונתן קלינגר: רק לא מזמן נסגרה תביעה ייצוגית באיזושהי הסתלקות מתוגמלת נגד אחד הגופים ואולי עלי קלדרון מהרשות להגנת הפרטיות ירחיב על זה אם הוא ירצה לתת את הפידבק שלו.
יהונתן קלינגר: בגדול אלה הנקודות שיש לנו להגיד, אשמח כמובן לעזור איך שצריך מבחינת ניסוח של הרגולציה.
עינב קאבלה: תודה לך, עורך הדין קלינגר, גם בעקבות דברים שאמרת באחת הוועדות המאוד ראשונות התפתח הנושא של הצעת החוק שהזכרתי בתחילת הדברים.
עינב קאבלה: זה צעד אחד, נדרשים עוד לא מעט צעדים, זה צעד חשוב אבל צעד אחד, ואני גם מודעת לזה ואני מקווה שהדברים האלה יתקדמו בקצב מהיר.
עינב קאבלה: א' – יתקדמו וב' – בקצב מהיר.
עינב קאבלה: תודה לך, ואני רוצה לקבל את התייחסות עורך הדין קלדרון לדברים.
עלי קלדרון: תקנה 20 לתקנות הגנת הפרטיות (אבטחת מידע) מאפשרת לרשם אם הוא בוחר בכך ואחרי שהוא ניהל בחינה משמעותית מאוד, לתת פטור מהחובות או מחלק מהחובות שכלולות בחוק ביחס למסמך מנחה שקשור בנושא אבטחת המידע, ואכן הרשות את זה ביחס לכמה וכמה מסמכים.
עלי קלדרון: לדוגמה לגבי תקן ISO 27001 שהוא תקן ISO בנושא אבטחת מידע, ואכן עשה את זה גם עם רגולטורים אחרים כמו שוק ההון, הבורסה.
עינב קאבלה: לא הבנתי, אז כל מי שתחת שוק ההון - - -
עלי קלדרון: לא בדיוק.
עלי קלדרון: אותו מסמך שמפורסם באתר הרשות, מקנה לגופים שתחת אותה רגולציה הנחה מסוימת ואנחנו מפרטים איזה סעיפים, איזה תקנות עליהם הן חלות.
עינב קאבלה: אבל למה?
עינב קאבלה: למה שלא יהיה גם וגם?
עינב קאבלה: זה לא שאנחנו במרגישים "סופר" מוגנים מבחינת הפרטיות שלנו.
עלי קלדרון: הדרך שבה אנחנו נותנים את אותו אישור הוא רק אחרי שאנחנו מוודאים שאותו גוף נותן הגנה מספקת – אם לגוף מסוים יש כבר הנחיה שהיא מפורטת מספיק, והיא כוללת הנחיה שהיא מבחינתנו טובה.
עינב קאבלה: הרי אם היא חופפת אז ממילא עומד בשתי ההוראות המחייבות.
עינב קאבלה: אז מה העניין לפטור?
עלי קלדרון: מתוך רצון לחסוך בעודף רגולציה.
עלי קלדרון: גופים שבכל זאת נדרשים לעשות.
עינב קאבלה: יש כל כך הרבה מקומות אחרים לחסוך בהם.
עלי קלדרון: השיקול הוא בהחלט שיקול של עודף רגולציה, ומבחינת אבטחת המידע אנחנו בשום מקום לא נאשר מצב שבו החפיפה הזאת תגרום לכך שיהיה חסר באבטחת המידע.
עלי קלדרון: אנחנו מוודאים שאותו גוף שתחת אותה רגולציה יהיה מוגן מבחינתנו, מבחינת ההנחיות של התקנות וההנחיות של אותו רגולטור ספציפי.
עלי קלדרון: אם אנחנו מרגישים שלא, שיש מקומות שלא – אנחנו מציינים שתקנות כאלה וכאלה או שאנחנו לא מאשרים.
עלי קלדרון: וגופים רבים באו אלינו ורצו לקבל את אותה הנחיה או פטור ולא קיבלו בגלל שהנחיות שלהם לא היו ספציפיות מספיק.
עלי קלדרון: אבל גם כשאנחנו נותנים אותו, אנחנו מגדירים לגבי איזה תקנות היא יכולה להתאים.
עלי קלדרון: יכול להיות מצב שבו אם גוף מדווח לרגולטור בצורה מספקת מבחינתנו, שדורש ממנה לדוגמה לבנות תוכנית עבודה מסוימת, בצורה שיכול להיות שהיא שונה מהמתואר בתקנות, אבל היא עדיין מספקת – אז מבחינתנו זה יכול להיות מספיק.
עינב קאבלה: אגיד כמי שחושבת שאתם כרשות להגנת הפרטיות צריכים לקבל הרבה יותר כוח, הרבה יותר יכולת להטיל סנקציות, והרבה יותר יכולת אכיפתית.
עינב קאבלה: אולי שווה שתמתינו עם האפשרות הזאת של מתן פטורים לשלב שבו תהיו מספיק חזקים, עם מספיק סמכויות אכיפה ומספיק סנקציות כדי שגם אנחנו נרגיש מספיק בטוחים לאקטים האלה – לא שאני חלילה מערערת על המקצועיות שבה אתם בוחנים את הדברים, אבל עדיין יש משמעות גם למה עושים באיזה שלב.
עלי קלדרון: הם נעשים מאוד במשורה ואחרי בחינה מעמיקה מאוד ומקצועית של אנשים טכנולוגיים.
עינב קאבלה: לא חשבתי שלא.
עינב קאבלה: אבל עדיין, קחו את הדברים לתשומת לב.
<< אורח >> עמית גל: לא אכנס למקום של הגנת הפרטיות, אבל התפיסה שעומדת מאחורי הדבר הזה, כמובן שהדבר נעשה במשורה וכמובן ביחס לשוק ההון.
<< אורח >> עמית גל: והרעיון הוא להוריד בסך הכול מגבלות טכניות של תדיריות של בדיקות.
<< אורח >> עמית גל: אלה הכפילויות המרכזיות.
<< אורח >> עמית גל: כמו שאנחנו יכולים במבחן התוצאה, זה לא פוטר אף גוף, כולל האירוע שאנחנו בו מעמידה גם בתקנות האלה וגם בהוראות שלנו.
<< אורח >> עמית גל: ולכן אפשר לראות שגם במקרה הספציפי יש מעורבות של שני הרגולטורים בהיבטי הבירור.
עינב קאבלה: בעניין הזה ברור לי שהגוף שאתה מייצג בעל אינטרס שכן יהיו פטורים.
<< אורח >> עמית גל: זה נכון.
<< אורח >> עמית גל: אבל גם בדבר הזה צריך לזכור שגם משאבי הגנת סייבר הם משאבים יקרים מאוד, ואנחנו מעדיפים כתמונה כוללת, שיקצו אותם לא לכפילויות, אלא לתוספת.
<< אורח >> עמית גל: כך שנהיה במצב שבכל הנחיה נהיה במקסימום מבניהם ולא כפילויות.
עינב קאבלה: הבנתי מה שאתה אומר, אני עדיין חושבת שדברים שאמרתי לעורך הדין קלדרון - - -
נעמה מטרסו: אפשר הערה אחרונה לגבי הנושא של חובת הדיווח?
עינב קאבלה: משפט אחד.
עינב קאבלה: רק אגיד לאנשים בזום, אנחנו נעבור אחר כך לצחי שלום ממרכז השלטון המקומי, ונשמע גם חברה אחת מתחום הגנת הסייבר, את סייבר זון.
נעמה מטרסו: הרגולטורים פה התייחסו לנושא של דיווח לנושא המידע, אם רגולטורים באים ונכנסים לתוך אירוע ועוזרים לארגון להגיב, מן הראוי שכשמדווחים לנושא המידע על כך שהמידע שלהם דלף או נגנב, שיתנו גם כלים מה לעשות עם זה.
נעמה מטרסו: הזכרת את זה בתחילת הוועדה, אני חושבת שזה מאוד חשוב, שהאזרחים היום מבולבלים ולא יודעים מה אפשר לעשות עם המידע הזה.
נעמה מטרסו: הם לא יודעים על הר הכסף או הר הביטוח באופן ספציפי שתאריך ההנפקה שלהם יכול לסכן אותם.
נעמה מטרסו: וחשוב לתת להם כלים – אם הם רוצים שיבחרו לנקוט באותם כלים כדי להגן על המידע שלהם.
עינב קאבלה: עורך הדין קלדרון, זה מאוד חשוב, אתה רוצה להגיד על זה מילה?
עלי קלדרון: במקרה הנדון חברת שירביט הוציאה הודעה לנושאי המידע בדבר קרות האירוע.
עלי קלדרון: הרשות להגנת הפרטיות חשבה שהדיווח הזה היה לא מספק, ולכן היא הוציאה לה הנחיה שבמסגרתו היא נדרשה לפרט ללקוחות שהמידע שלהם דלף ולעדכן את הלקוחות, ואכן לפרט בפניהם איזה אמצעים יש בפניהם כדי לצמצם את הנזק.
עלי קלדרון: החברה עשתה זאת.
עלי קלדרון: אני לא יכול לפרט יותר מדי, אבל ההנחיה בוצעה על ידי החברה.
עלי קלדרון: במקביל אגיד שאנחנו מנהלים כרגע תהליכים גם כדי לעשות מה שנקרא בקרות מפצות בכל מיני מנגנונים שיש לנו יכולת או שליטה עליהם.
עלי קלדרון: לגבי המידע שכבר דלף – לייצר מנגנונים מפצים כדי שבכל זאת אותם אזרחים, בלי קשר לעובדה שהם מודעים לכך או לא, יהיו מוגנים יותר.
עינב קאבלה: וגם במקרים אחרים ובאופן כללי אתם דואגים להביא מידע או שיובא מידע לידי האזרחים?
עינב קאבלה: בסוף, אנחנו מדברים פה על הציבור ועל הצורך להגן עליו.
עלי קלדרון: ככל שמתקיים הליך אכיפה אנחנו כמובן מנועים מלפרט לגביו כי הוא מתקיים ואנחנו לא יכולים לדווח עליו.
עינב קאבלה: לא, אני לא מדברת דווקא על מקרה הספציפי.
עלי קלדרון: אני גם לא מדבר על המקרה הספציפי.
עלי קלדרון: אני אומר שבמהלך חייו של תיק אכיפה, אנחנו לא יכולים לדווח עליו לתקשורת, או לפרט פעולות כאלה ואחרות.
עלי קלדרון: במסגרת הסמכות שלנו – כמו שהשתמשנו פה בשירביט – אנחנו בהחלט מודיעים או מיידעים או מורים לחברה ליידע את נושאי המידע במקרה שבו יש משמעות לכזה מידע.
עינב קאבלה: עד כמה הנושא של הבאת מידע לידי הציבור, לכל הפחות לציבור הנפגע או שיש חשש שנפגע, עומדת לכם ב - - -
עלי קלדרון: זו בעצם מדיניות יחסית חדשה שהרשות הכניסה שדורשת היוועצות עם מערך הסייבר לפני פנייה ומתן הנחיה כזאת לגוף, שהרי יש לזה הרבה משמעויות, לא רק המשמעות של הגנת הפרטיות, אלא גם היציבות, ולא תמיד יודעים על האירוע ולפעמים רוצים לתכלל את האירוע כמה שיותר לפני שהם מוציאים אותו החוצה.
עלי קלדרון: ברור לכולנו שברגע שמודיעים לנושאי המידע, המידע כבר יצא.
עלי קלדרון: יש פה הרבה מאוד שיקולים, כן אגיד שזו מדיניות חדשה שאנחנו אכן מנסים לדחוף אותה קדימה כמה שיותר, כדי שבסופו של דבר, לאפשר לאנשים שנפגעו מדלף לדעת על כך ולפעול בהתאם.
עלי קלדרון: בנוסף, כמובן יש הנחיות שאנחנו נותנים לגוף כדי שיגן על הפרטיות ויצמצם את הנזקים של אותם נושאי מידע שנפגעו.
עלי קלדרון: ובסופו של דבר אנחנו מפרסמים במסגרת של טבלאות האכיפה אצלנו, כל מקרה בו אנחנו מוצאים גוף כמפר, אנחנו מפרסמים את העובדה הזאת.
עלי קלדרון: דבר שמאפשר ללקוחות של אותה חברה לדעת על כך.
עלי קלדרון: דבר שמקדם תביעות ייצוגיות ותביעות אישיות של אנשים שנפגעו.
נירה לאמעי רכלבסקי: תמיד כדאי לציין שאפשר להגיש תביעות כאלה.
עלי קלדרון: דובר על כך שיש בעיתיות מסוימת.
עינב קאבלה: אני שמעתי אחרת מנעמה.
נעמה מטרסו: אפשר דרך חוק הגנת הצרכן.
נעמה מטרסו: זה לא - - -
עינב קאבלה: לא דרך הגנת הפרטיות.
נעמה מטרסו: וגם מה שראינו, עורך הדין יהונתן קלינגר ציין, שהתובענה האחרונה שהוגשה, לא בעניין שירביט, בעניין קודם הייתה הסתלקות מתוגמלת של התובע ואני לא יודעת אם - - -
עינב קאבלה: זה מידע חשוף, לא?
נעמה מטרסו: את זה גיליתי ממקורות גלויים.
עינב קאבלה: אני מנסה להבין על איזה תביעה מדובר?
נעמה מטרסו: תביעה ייצוגית במקרה של איתוראן, שהיה שם פיקוח של הרשות.
<< אורח >> עמית גל: א
<< אורח >> עמית גל: בהיר מצדנו כיוון שהדבר עלה: אני חושב שהדבר ברור והבהרנו את זה בהתחלה, אבל נושא היציבות הוא לא הנושא הבלעדי שאנחנו נדרשים אליו.
<< אורח >> עמית גל: בטח גם נושא של זכויות המבוטחים.
<< אורח >> עמית גל: והנושא של הגילוי אל מול המבוטחים הוא גם דבר שאנחנו נותנים עליו את הדעת באופן כללי וגם במקרה הספציפי הזה.
עינב קאבלה: מתי אתם חושבים שאפשר יהיה לקבל יותר מידע על האירוע הספציפי?
עינב קאבלה: אני מבינה שעכשיו אתם לא מוסרים אותו.
<< אורח >> עמית גל: קשה להעריך.
<< אורח >> עמית גל: כשיתבררו הדברים.
עינב קאבלה: יש חשיבות ציבורית לתשומה.
עינב קאבלה: להצפת המידע בצורה פתוחה וגלויה וכל המסתוריות הזו – זה משפט שחוק, אבל זכות הציבור לדעת.
עינב קאבלה: גם משפטים שחוקים הם לפעמים נכונים.
<< אורח >> עמית גל: אנחנו מודעים לזה.
עינב קאבלה: אנא תשומת לבכם לדבר הזה, לא נכנסנו לקרביים של האירוע, אבל חשוב שברגע שניתן יהיה, שזה יצוף בצורה פתוחה וגלויה.
עינב קאבלה: וגם אתם כרגולטורים תעשו את האקט הזה – לא צריך להכריח אתכם, פשוט תבואו ותצעדו צעד קדימה אל הציבור ותאמרו את הדברים בצורה ברורה.
עינב קאבלה: ניתן את זכות הדיבור לצחי שלום, ממרכז השלטון המקומי.
עינב קאבלה: לא נשאר לנו הרבה זמן, צחי, אני מתנצלת מראש.
צחי שלום: צוהריים טובים, אנסה לעשות את זה בקצרה, אני שומע את הדיון, הדיון מעלה המון סוגיות רלוונטיות גם לרשויות.
צחי שלום: הרשויות משתדלות לעשות כל מה שהן יכולות במסגרת הגבולות והכלים שמצויים בידיהן.
צחי שלום: הרשויות מתקשות מאוד לגייס כוח אדם לטובת העניין, דובר המון פה על הרגולציה – הרגולציה מדברת על הרבה דברים, אבל רגולציה ללא תקצוב ממשלתי – מקשה מאוד מאוד על הרשויות לקיים את הדברים בצורה מלאה.
צחי שלום: וכל אחת מצליחה לעשות בגבולות היכולת שלה.
צחי שלום: מרכז השלטון המקומי הרים את הסוגיה הזאת לפני כחצי שנה.
עינב קאבלה: צחי, אני רק אגיד משהו: ברור שתקצוב זה חשוב, אבל אם אין לרשויות יכולות להגן על המידע של תושביה, שלא תיקח את המידע.
עינב קאבלה: אי אפשר להשתמש בו.
צחי שלום: יש שני כובעים לסיפור הזה.
צחי שלום: פעם אחת אנחנו מקבלים מידע מטעם החוק, פעם שניה אנחנו ככול יכולתנו לתת את השירות המיטבי לתושבים.
צחי שלום: לדוגמה, ברור שמי שתפקד בתקופת הקורונה הוא השלטון המקומי שנתן מענים ויצא מגדרו, ואנשי הטכנולוגיה התפרעו בטירוף ופתחו מערכות והגנו על השירותים מבחוץ ונתנו כניסה רק כדי להמשיך ולתת שירותים לתושבים.
צחי שלום: אנחנו עושים את כל מה שאנחנו יכולים במסגרת הגבולות שאנחנו יכולים לעשות והכלים שיש לנו.
צחי שלום: מצד שני, מרכז השלטון המקומי יצא ב-RFI לפני מספר חודשים להקים כיפת הגנת סייבר עבור כל הרשויות.
צחי שלום: אני מניח ומקווה שבחודש הקרוב אנחנו נפרסם את המכרז, ובעצם נתחיל להגן על הרשויות מקצה לקצה ונאפשר ניהול מרכזי, לבצע SIEM ו-SOC עבור הרשויות ובעצם לעשות ניתוחים וביצוע הגנה אקטיבית ופאסיבית עבור כל הרשויות במקביל.
עינב קאבלה: צחי, אתם בהתייעצות עם מערך הסייבר ועם הרשות להגנת הפרטיות?
צחי שלום: אנחנו הזמנו את כל הגופים להשתתף איתנו בתהליך הזה.
צחי שלום: חלקם נענו, חלקם לא.
צחי שלום: נשמח לשתף פעולה עם כל מי שמתעניין ומוכן להצטרף אלינו למסע הזה.
עינב קאבלה: אתם יודעים על זה, חברים פה?
עמית אשכנזי: אנחנו מכירים ואנחנו מעודדים ונשמח שזה יתקדם בכל דרך שהיא.
עינב קאבלה: גם הרשות להגנת הפרטיות בעניין?
עלי קלדרון: אני באופן אישי לא מכיר, אבל אני מניח שכן.
עלי קלדרון: אנחנו בקשר טוב עם הרשויות המקומיות.
עינב קאבלה: זה מסוג הדברים שאתה שואל את עצמך – כי אם קצת הבהלת אותי שסיפרת לי על - - - זה אומר שאין הגנה אולי הכי מיטבית בעירייה.
צחי שלום: יש הגנות.
צחי שלום: אני לא רוצה שזה ישמע כך שאין הגנות.
עינב קאבלה: אבל תמיד צריך לשפר ואנחנו בעד ואנחנו מברכים על זה.
עינב קאבלה: רק חשוב שזה יתבצע כמה שיותר מהר וכמה שיותר טוב.
צחי שלום: אני מסכים ואני חושב שזה נכון.
צחי שלום: נשמח לשיתוף פעולה עם כל משרד ממשלתי או גוף אחר שיצטרף אלינו ויעזור במסע הזה.
עינב קאבלה: תודה רבה לך, תודה שהצטרפת.
עינב קאבלה: זה נושא חשוב ואני קוראת לגופים הרגולטורים ללוות ולדאוג שיעשה כמה שיותר טוב וכמה שיותר מהר.
עינב קאבלה: נשמע אתcyberizen וביקש לדבר עורך הדין ישי זילברברג מלשכת עורכי הדין, חבר בוועדת הפרטיות.
יוסי רחמן: נעים מאוד, שמי יוסי רחמן, אני מנהל את חטיבת המחקר של חברת cyberizen.
יוסי רחמן: משפט על חברת cyberizen – אנחנו חברה פרטית שהוקמה ב-2012, החברה פיתחה פלטפורמה לאיתור ותגובה באירועי אבטחת מידע.
יוסי רחמן: גייסנו עד היום 400 מיליון דולר, החברה עצמה מוערכת במעל למיליארד דולר.
יוסי רחמן: אני מנהל את חטיבת המחקר של החברה, גם במסגרת cyberizen וגם במסגרת תפקידים קודמים שביצעתי, ניהלתי קרוב ל-400 אירוע אבטחת מידע בכל העולם ובהרבה מאוד תעשיות שונות – ממכרות נחושת במערב אוסטרליה, שדות נפט מול חופי ניגריה ובים הצפוני, תעשיה כבדה בדרום מזרח אסיה וגם חברות ביטוח ובנקים באירופה, ארה"ב וישראל.