GiliGold/VAD_KnessetCorpus huggingface dataset:
מרב מיכאלי: במלוא הכנות אשמח להבין גברתי, שנצא מהדיון הזה בוועדה בהבנה איפה הכשלים.
מרב מיכאלי: בואו, תנו לנו לעזור לכם.
מרב מיכאלי: למה זה לא קורה?
מרב מיכאלי: למה מטה הסייבר שנמצא תחת אחריותו של ראש הממשלה – לא תגידי לי שזה נמצא לדוגמה במשרד הרווחה: משרד חלש, רזה מדי, מורחב, בסדר – זה נמצא במשרד ראש הממשלה, איך נאמר:
מרב מיכאלי: המעצמה התוך מדינתית, יש שיטענו גם בין מדינתית.
מרב מיכאלי: למה הוא לא מצליח להשתלט על האירוע הזה?
מרב מיכאלי: אני יכולה לקבל תשובה לדבר הזה?
עינב קאבלה: בהמשך הדיון נגיע לכל הנציגים שהוזמנו פה לדבר.
עינב קאבלה: אגב, לגבי מה ניתן לעשות:
עינב קאבלה: אם אני לוקחת רק את מה ששמעתי עד כה, מבלי להתייחס למה שאת אמרת – כבודם של הדברים במקומם וראוי שיתייחסו לזה הדוברים הבאים – אבל לגבי מה שאני שמעתי עד כה מהרשות להגנת הפרטיות, יש חסר עצם בנושא של הסנקציות שיכולה הרשות להגנת הפרטיות להטיל על גופים.
עינב קאבלה: ומכאן בעיני מובן גם שהגופים מתייחסים לזה אולי בחלק מהמקרים – פחות ברצינות, פחות חוששים, פחות נותנים לזה את תשומת הלב הראויה.
עינב קאבלה: אין ספק שזה שינוי שצריך להגיע גם מהממשלה וגם מבית המחוקקים.
עינב קאבלה: ובעיקר לקדם דברים שנוגעים להגנת הפרטיות ולא לעצור אותם.
מרב מיכאלי: ברשותך גברתי, יש דברים שנוגעים לפרטיות, כלומר, זכויות הפרט.
מרב מיכאלי: אני כאזרחית, עשיתי ביטוח בחברת ביטוח מסוימת וזכותי שהפרטים שלי יהיו מוגנים.
מרב מיכאלי: אבל יש לזה לחלוטין אספקטים של ביטחון לאומי, למה מטה הסייבר אמור להיות גורם מעורב?
עינב קאבלה: לכן אמרתי – אני רק התייחסתי למה שנאמר עד כה.
מרב מיכאלי: זה לא יכול להיות שכשמדובר באספקטים של ביטחון לאומי, זה יהיה רק בין הרשות להגנת הפרטיות ובין הגופים ברמת איזה סנקציות יש או אין עליהם.
מרב מיכאלי: סליחה, זה לא מספיק טוב.
עינב קאבלה: אם את לוקחת ממה שאמרתי ולוקחת מזה מסקנה שזה מה שצריך לעשות ואז אפשר ללכת הביתה – אז לא.
עינב קאבלה: אבל, היות שזה מה שהספקנו לשמוע עד עכשיו, הנה נקודה שבוודאי צריכה להתקדם ולהיות מטופלת בצורה מאוד רצינית ובצורה בעיני מאוד מהירה וחבל שלא נעשה קודם.
עינב קאבלה: תודה, חברת הכנסת מרב מיכאלי.
מרב מיכאלי: לא פתחתי ואמרתי: תודה רבה גברתי על הדיון, קשה להפריז בחשיבותו.
עינב קאבלה: מסכימה איתך, תודה רבה.
עינב קאבלה: נמשיך עם הרגולטור של כל תחום שוק ההון, ביטוח וחיסכון.
עינב קאבלה: עמית גל נמצא איתנו, סגן בכיר לממונה על שוק ההון.
<< אורח >> עמית גל: תודה רבה, אני מצטרף לברכות על הדיון הזה, אנחנו כמובן כמו שאתם יכולים לתאר, נמצאים בטיפול באירוע הזה בצורה אינטנסיבית.
<< אורח >> עמית גל: תכף אתאר את הפעילות שלנו, במצב עניינים רגיל.
<< אורח >> עמית גל: אני מסכים בהחלט עם החשיבות של הדיון בעניין הזה, וגם בפורום הזה.
<< אורח >> עמית גל: אני מגיע מרשות שוק ההון, ביטוח וחיסכון.
עינב קאבלה: ברשותך, עמית גל, חברי חבר הכנסת קוז'ינוב, רוצה שאלה מקדימה, תתייחס אליה בהמשך דבריך.
אנדרי קוז'ינוב: עמית, כשאתה מתייחס לכלל הפעילות, האם באירועים כאלה כמו של חברת ביטוח מסוימת.
אנדרי קוז'ינוב: האם אתם גם בתמונה מבחינת ניהול משא ומתן מול אותם התוקפים?
אנדרי קוז'ינוב: כי בסוף יש פרטי מידע רגישים מאוד, דרישת כופר, יש פה אינטרס של הציבור.
אנדרי קוז'ינוב: תשלום מול חשיפת פרטים – האם אתם שם בניהול המשא ומתן ומה עמדתכם בדרך בכלל?
<< אורח >> עמית גל: אתייחס בהמשך.
<< אורח >> עמית גל: אתאר רגע את מסגרת הפעילות של הרשות והפעולות שמבצעת הרשות.
<< אורח >> עמית גל: רשות שוק ההון היא הרגולטור הפיננסי שמפקח על כל חברות הביטוח והגופים המוסדיים ובהם: קופות גמל, קרנות פנסיה.
<< אורח >> עמית גל: תחת הפיקוח של הרשות נמצאות מעל 120 חברות ביטוח ומעל 80 חברות מנהלות.
<< אורח >> עמית גל: הפיקוח של רשות שוק ההון מתבצע מתוקף כמה חוקים: שני העיקריים שבהם הם חוק הפיקוח על שירותים פיננסיים (ביטוח) וחוק הפיקוח על שירותים פיננסיים (קופות גמל).
<< אורח >> עמית גל: במקרה של פיקוח על חברות ביטוח, מתפקידי הרשות הם גם אבטחה של יציבות חברות הביטוח, אבל גם כמובן שמירה על עניינם של המבוטחים.
<< אורח >> עמית גל: במקרה הזה עניינם של המבוטחים נוגע לכל ההיבט הרחב של שמירה על כספם, וגם שמירה על פרטיותם.
<< אורח >> עמית גל: גם בהיבט הזה מפקחת הרשות.
<< אורח >> עמית גל: רשות שוק ההון כרגולטור פיננסי מתמקדת ובוחנת את התחומים שבהם היא מתמקדת בפיקוח על בסיס תמונה של ניהול סיכונים.
<< אורח >> עמית גל: נושא של סיכון הסייבר עולה ברגולטורים פיננסיים בעולם וגם בארץ בשנים האחרונות כאחד מהסיכונים הבולטים.
<< אורח >> עמית גל: בשנה החולפת עוד לפני התפרצות משבר הקורונה ואירועים נוספים שהיו בסביבה, הוא הפך לסיכון מספר אחת.
<< אורח >> עמית גל: ולכן רשות שוק ההון מקצה משאבים גדלים והולכים ומתייחסת לסיכון הזה גם בצורה שוטפת כאחד הסיכונים הבולטים על חברות ביטוח ועל גופים מוסדיים.
<< אורח >> עמית גל: בהקשר הזה, אתאר בקצרה את תחומי הפיקוח של רשות שוק ההון, אבל לפני כן אשלים את האמירות של הנציג של הרשות להגנת הפרטיות.
<< אורח >> עמית גל: התמונה של הפיקוח של רשות שוק ההון היא אף רחבה יותר בעייננו מבחינת העניינים של המבוטחים שעליהם אנחנו רוצים לשמור.
<< אורח >> עמית גל: וכמובן, גם ברמה המערכתית וברמת היציבות של הגופים הפיננסיים.
<< אורח >> עמית גל: בנושא הזה אנחנו מקפידים מאוד לשמור על זכויות המבוטחים ועל משאבי הפיקוח.
<< אורח >> עמית גל: בהקשר הזה צריך להבהיר שחלות עדיין גם על גוף מוסדי תקנות הגנת הפרטיות, אבל חלות בנוסף לכך על הגוף הפיננסי כל ההוראות שלנו והם משמעותיות.
<< אורח >> עמית גל: והם לא הוראות – נקרא לזה – שסותמות כמה פינות, הן הנחיות מאוד מפורטות ומאוד מתקדמות.
<< אורח >> עמית גל: אני לא אהיה זה שאעיד על עצמנו, אבל הם מהמתקדמות ביותר שיש במשק, והם מסתכלות גם על נושאים של הגנת הפרטיות, על נושאים של יציבות פיננסית, ועל נושאים של הסטנדרט המקובל ברגולטורים פיננסיים בעולם.
<< אורח >> עמית גל: הדרישות הללו התפתחו – לא צריך לספר פה לפורום שנמצא – ואיומי הסייבר מתפתחים בקצב גבוה מאוד.
<< אורח >> עמית גל: ואחריהם אנחנו גם עוקבים.
<< אורח >> עמית גל: הרגולציה הפיננסית, ובכלל בתחום הגנת סייבר ושמירה על הפרטיות מתקדמת בקצב מאוד מהיר.
<< אורח >> עמית גל: בנושא הזה, ההנחיות שלנו מתעדכנות, הן התעדכנו כבר כמה פעמים בשנים האחרונות.
<< אורח >> עמית גל: וכשאני אומר התעדכנו, יש לנו הוראות מאוד מקיפות.
<< אורח >> עמית גל: חוזר שנקרא: ניהול סיכוני סייבר בגופים מוסדיים.
<< אורח >> עמית גל: חוזר שהעלויות והמורכבות של הגופים המוסדיים לאמץ אותו היו כבדות מאוד.
עינב קאבלה: הוא לא המלצה, הוא מחייב?
<< אורח >> עמית גל: הוא מחייב את כל הגופים שפועלים אצלנו בלי הקלות ובלי הנחות.
<< אורח >> עמית גל: כל הגופים מחויבים לעמוד בו.
<< אורח >> עמית גל: ההיערכות שלו הייתה מאוד מורכבת.
<< אורח >> עמית גל: אנחנו לא השארנו אותו כמו שהוא, את ההטמעה שלו אנחנו לוונו גם במסגרת תהליך שלווה על ידי שאלון.
<< אורח >> עמית גל: לא זרקנו את ההנחיות ונתנו לגופים למלא אותם.
<< אורח >> עמית גל: כאמור, לוונו אותו בשאלון, ביקשנו לראות את רמת העמידה בכל סעיף וסעיף מתוכו.
<< אורח >> עמית גל: במקומות שבהם לא הייתה עמידה, וידאנו סגירה של הפערים האלה.
<< אורח >> עמית גל: ובעניין הזה, אנחנו ממשיכים גם לעקוב אחרי הצורך לעדכן אותו.
<< אורח >> עמית גל: אציין שגם בתחום הזה – ותכף אדבר על פעולות הביקורת ובאכיפה השוטפות שלנו – את החוזר הזה אנחנו משלימים בעמדות ממונה שמתפרסמות.
<< אורח >> עמית גל: הליכים שאנחנו עושים, לדוגמה: סקרים ספציפיים או מבדקי חדירה שאנחנו עושים בגופים ובעקבות כך אנחנו מוציאים גם עמדות ממונה שמדברות על כשלים ספציפיים שהתגלו.
<< אורח >> עמית גל: נהגים שהיו טובים יותר או טובים פחות, והציפייה הסבירה או הציפייה של הממונה איפה צריכים לעמוד הגופים.
<< אורח >> עמית גל: פרסמנו כמה וכמה כאלה, גם בעקבות תרגילי המשכיות עסקית, שתרגלו מתאר של תקיפת סייבר, שכמובן עולים ממצאים ואת הדברים האלה אנחנו מלווים את הסגירה.
עינב קאבלה: אתם מקיימים תיאום גם עם הרגולטורים המקבילים שלכם?
<< אורח >> עמית גל: מיד אגיע לזה, לא אקח את המקום של מערך הסייבר.
<< אורח >> עמית גל: תפיסת הפיקוח שלנו היא שאנחנו הרגולטור שפועל מכוח החוקים שלנו.
<< אורח >> עמית גל: אנחנו בעלי הסמכות המלאה והאחריות המלאה לשמירה על הוראות הרגולציה בגופים שלנו.
<< אורח >> עמית גל: בהתאם להחלטת ממשלה אנחנו פועלים גם בתיאום עם מערך הסייבר הלאומי, שמשמש כגוף הכוונה.
<< אורח >> עמית גל: גוף הכוונה שנותן לנו עמדות מקצועיות ודגשים אל מול האיומים, אל מול ההתפתחויות הטכנולוגיות.
עינב קאבלה: גם בשוטף וגם בקרות אירועים?
<< אורח >> עמית גל: כמובן.
<< אורח >> עמית גל: בשוטף יש פעילות הכוונה שוטפת.
<< אורח >> עמית גל: ממשק על בסיס יום-יומי ובו אנחנו מתאמים ומחזיקים את תמונת המצב של הענף אצלנו ושל המפוקחים, ושומרים על קשב מאוד קרוב לדברים האלה.
<< אורח >> עמית גל: כדוגמה לפעולות, ביצענו בשלוש-ארבע השנים האחרונות, רשות שוק ההון ביצעה מבדקי חדירה.
<< אורח >> עמית גל: על אף שהגופים המפוקחים חווים במבדקי חדירה על בסיס הרגולציה באופן עצמאי, כולל כללים שלנו לגבי הסקת מסקנות, הטמעת המסקנות האלה בגופים, אנחנו ביצענו מבדקי חדירה עצמאיים כביקורת חיצונית על הגופים.
<< אורח >> עמית גל: מעל 20 מבדקי חדירה בגופים שונים.
<< אורח >> עמית גל: מבדקי החדירה האלה הביאו למסקנות.
<< אורח >> עמית גל: לוונו את התיקון של המסקנות האלה באותם גופים שהתבצעו.
<< אורח >> עמית גל: כמובן שהאחריות על הגופים, אבל אנחנו לוונו את הדבר הזה במעקב אחר תיקון הליקויים האלה.
<< אורח >> עמית גל: הדברים האלה התפרסמו בעמדות של הממונה כדי שגופים שבהם לא התבצעו מבדקי החדירה, יוכלו להסיק את המסקנות.
<< אורח >> עמית גל: אנחנו מבצעים מעבר למבדקי החדירה ביקורות נוספות בתחום היותר רחב של הגנת הסייבר.
<< אורח >> עמית גל: הגנת הסייבר היא לא הרגולציה הרלוונטית היחידה שלנו – יש גם רגולציות בנושא המשכיות עסקית, במיקור חוץ ועבודה של שרשרת אספקה של הגופים המוסדיים והיכולת שלהם להגן על המידע שעובר דרכם ובכלל במובן הרחב היותר – ניהול טכנולוגיות המידע.
<< אורח >> עמית גל: בשנים האחרונות ביצענו ביקורות במעל 20 גופים גם בתחומים האלה.
<< אורח >> עמית גל: ביקורות מתבצעות בתחום הגנת הסייבר באופן שוטף, גם בשנת 2020 התבצעו כמה ביקורות בגופים.
<< אורח >> עמית גל: בתוכנית העבודה לשנת 2021, הונעו ביקורות בגופים נוספים.
<< אורח >> עמית גל: מטבע הדברים אנחנו לא יכולים להתייחס להליכים ולביקורות ספציפיות שנמצאות בגופים.
<< אורח >> עמית גל: מבחינת הסמכויות שלנו, קיימת סמכות להטלת עיצומים כספיים.
<< אורח >> עמית גל: בשנים האחרונות על נושא של כשלים טכנולוגיים בחברות ביטוח גדולות הוטלו עיצומים משמעותיים מאוד, בסדרי גודל של מיליוני שקלים.
<< אורח >> עמית גל: הדבר הזה הוא כמובן כלי אחד, אבל כלי שאנחנו משתמשים בו יחד עם פעולות הבקרה השוטפת, האכיפה השוטפת ותיקון הממצאים.
<< אורח >> עמית גל: אנחנו עושים בנושא הזה של טכנולוגיות המידע לכל אחת מחברות הביטוח, תהליך הערכה שנתי שבו אנחנו מסתכלים על החשיפה.
<< אורח >> עמית גל: נבהיר שאנחנו מודעים לכל תמונת הגנת הסייבר בגופים המוסדיים, ומבצעים פעולות על מנת להגביר את הציות להוראות ומשתמשים בסמכויות שלנו בעניין הזה.
עינב קאבלה: גם עכשיו בתקופה הזו?
עינב קאבלה: כי כן אשמח לשמוע ממך אם המבוטחים והחברים בגופים המוסדיים יכולים להרגיש רגועים במציאות כזו, חשוב לי לשמוע ממך על כך.
<< אורח >> עמית גל: בדבר הזה אגיד כך: נושא הגנת הסייבר תופס מקום הולך וגובר, ואני יכול להגיד שההנחיות שלנו הן הנחיות מהמפורטות והמתקדמות שיש בתחום הזה.
<< אורח >> עמית גל: כמו שאמרתי קודם:
<< אורח >> עמית גל: אנחנו לא משאירים את ההנחיות ועוזבים, אנחנו נמצאים בפוקוס מאוד שוטף על העניין הזה.
<< אורח >> עמית גל: ככל שישנם כשלים, אנחנו מבררים אותם.
<< אורח >> עמית גל: אנחנו נמצאים כרגע – וכמובן לא נתייחס לפרטים – גם בתוך התהליך הזה בנושא של בירור.
<< אורח >> עמית גל: הבירור מתייחס גם לנושא פרטי האירוע עצמו וגם להיבט של רמת הציות של הגוף עצמו.
<< אורח >> עמית גל: לא אכנס מעבר לכך.
אנדרי קוז'ינוב: רמת הציות או הציוד?
<< אורח >> עמית גל: הציות להוראות.
<< אורח >> עמית גל: בנושא הזה, מעבר לנושא הציות להוראות, אנחנו זוכרים שאנחנו נמצאים פה בתוך אירוע, שבאירוע יש חשש משמעותי לדלף של מידע של מבוטחים.
<< אורח >> עמית גל: והסיכון שבו פעולות שתבצע החברה מכאן והלאה, ישפיעו על ביטחונם ועל עניינם של המבוטחים, ולכן אנחנו מלווים את הפעולות שמבצעת החברה מקרוב.
אנדרי קוז'ינוב: היית עכשיו מאוד כללי בתיאור.
<< אורח >> עמית גל: אנחנו מלווים, לא אכנס לפרטים בעניין הזה.
<< אורח >> עמית גל: בנושא תשלום כופר – זה נושא שהוא אולי סוגיה רחבה יותר.
<< אורח >> עמית גל: תשלום הכופר זה נושא שעלה ונידון, זו סוגיה ששווה לדון בה ברמה המשפטית, וברמה של מוטיבציה של תוקפים.
אנדרי קוז'ינוב: כם, האם יש מדיניות סדורה של הרשות איך מתנהלים באירוע כזה כשיש דרישת כופר?
אנדרי קוז'ינוב: מצד אחד יש חשש רוחבי, שאם אתה משלם – זה גם יחזור על עצמו, ומצד שני אם אתה לא משלם – אז פרטים של מאות אלפי אנשים ידלפו.
אנדרי קוז'ינוב: גם כך דלפו.
<< אורח >> עמית גל: נכון.
אנדרי קוז'ינוב: האם יש מדיניות?
<< אורח >> עמית גל: לא.
<< אורח >> עמית גל: בנושא הזה אין מדיניות, לא שלנו, ולמיטב ידיעתי לא מדיניות ממשלתית בנושא תשלום כופר.
<< אורח >> עמית גל: בנושא הזה אנחנו כן עוקבים מקרוב על פעילויות החברה.
<< אורח >> עמית גל: הנושא הזה של ההתנהלות, כולל משא-ומתן ותשלום כופר, הוא נושא שהוא באחריות החברה, ככל שלא מזוהה על ידנו נושא שיכול לגרום לאיזושהי חשיפה מערכתית.
אנדרי קוז'ינוב: שוב, אם תוכל לצאת מהמסגרת הכללית ולדייק טיפה יותר.
אנדרי קוז'ינוב: מה הכוונה במשפט האחרון שלך: פעילויות שיכולות לחסוך – המידע גם כך נחשף.
אנדרי קוז'ינוב: כל מי שנכנס לערוץ הטלגרם של אותם ההאקרים רואה את המידע הזה, וכנראה שגם מקבל גישה לסך כל המידע.
אנדרי קוז'ינוב: לכן מה הכוונה בליווי?
<< אורח >> עמית גל: המידע שנחשף כולו וכבר דלף – הוא לא מידע שהוא חשוף לתוצאה של הדיון על תשלום הכופר או לא בהכרח, כי זה מידע שכבר דלף.
<< אורח >> עמית גל: תשלום הכופר נובע מהסיכון שמידע נוסף ידלוף, אבל מפאת הרגישות של הנושא, אני לא חושב שאנחנו צריכים בפורום הזה להתייחס לפרטים של אותו משא-ומתן מכיוון שהנושא עדיין בבירור ולא כל הפרטים שלו התבררו.
עינב קאבלה: תודה רבה לחבר הכנסת קוז'ינוב.
עינב קאבלה: עמית, יש משהו נוסף שרצית להוסיף?
עינב קאבלה: אני אשמח לדעת – ואם תרצה משפט סיום כדי שנוכל להמשיך ליתר הדוברים – החיוב של גוף הוא לדווח לכם במידי מרגע שייודע לו האירוע?
עינב קאבלה: זאת אומרת, זה הפורמאט.
עינב קאבלה: תודה לך עמית גל, סגן בכיר לממונה על שוק ההון.
עינב קאבלה: אני מבקשת עכשיו לפנות אל מי שהיה בעבר בתפקידים בתוך הממשלה ובעל ידע רב בתחום הגנת הפרטיות ובכלל בתחומים משיקים.
עינב קאבלה: עורך דין, יורם הכהן, שהיה אצלנו בוועדה בישיבות אחרות, בנושאים אחרים, מנכ"ל איגוד האינטרנט הישראלי ומצוות המייסדים של עמותת פרטיות ישראל.
יורם הכהן: תודה רבה גברתי, ותודה על ההזמנה לדבר פה, האירוע הזה בשבילי יש בו למען האמת קצת מן דז'ה-וו – בשנת 2012 בתפקידי כשאני הייתי רגולטור, היה אירוע שנקרא ההאקר הסעודי, שמזכיר מאוד במאפיינים שלו.
עינב קאבלה: אולי רק תגיד למי שלא יודע, באילו תפקידים כיהנת?
יורם הכהן: בניתי והקמתי את הרשות, מה שנקראת היום הרשות להגנת הפרטיות, ונקראה אז הרשות למשפט וטכנולוגיה.
יורם הכהן: בשנת 2012 היה אירוע שבו פרץ האקר או קבוצה של האקרים, למאגרי מידע ופרסם אותם מתוך מטרה – ואני חייב להגיד שאנחנו לא יודעים לגבי זה - - - מתוך מטרה לגרום לתושבי מדינת ישראל ללכת ולהחליף את כרטיסי האשראי שלהם.
יורם הכהן: בעניין הזה אני רוצה להגיד – אנחנו ניסינו אז לדחוף – ואגב התקנות לאבטחת מידע והגנת הפרטיות הם תוצאה של אותו אירוע.
יורם הכהן: הם קיבלו פוש אז, ולצערי הם בסוף תוקנו רק בשנת 2018.
יורם הכהן: הכנסת צריכה – וזה ממשיך את ההערה שלך – לשאול את עצמה את השאלה האם היא כגוף המחוקק מספקת את הכלים הנכונים כדי להגן על הפרטיות במקרה הזה?
יורם הכהן: הציבור מציית בסופו של דבר, רוב הציבור מציית לחוקים, והוא מסתכל על הסיכון המשפטי שלו.
יורם הכהן: ברגע שלרגולטור אין כלים מספקים כדי לאכוף את התקנות המצוינות של הגנת הפרטיות – אני חושב שכל מומחה אבטחת מידע ואני רואה שבזום יש הרבה מהם, כל מומחה יחשוב שהתקנות האלה הן תקנות טובות, הם מודרניות.
יורם הכהן: גם בראייה השוואתית עולמית, התקנות לאבטחת מידע של הגנת הפרטיות בישראל נחשבות די מתקדמות.
יורם הכהן: אבל אם אין אכיפה שלהן, ואם אין כלים – לא לרגולטור – ואין הפנמה בשוק, אז אנשים בסופו של דבר עושים את ההערכות שלהם.
יורם הכהן: למרבה הצער, הם עושים את זה בדיעבד.
יורם הכהן: אחרי אירוע כזה אני בטוח שיש הרבה אנשים שבודקים האם זה קורה.
יורם הכהן: זה לגבי העניין של אכיפה ואבטחת מידע.
יורם הכהן: חוק הגנת הפרטיות, ובמקרה הזה לפחות מהמידע שהתפרסם כבר לגבי התקיפה הזו, אפשר לראות בהחלט תופעה של עודף מידע.
יורם הכהן: זה עיקרון חשוב באבטחת מידע.
יורם הכהן: הוא לא נחשב הכי חשוב כי אנשי אבטחת מידע אומרים: אוקיי, יש לי משימה, יש לי מידע ואני צריך להגן עליו.
יורם הכהן: כשאתה מסתכל על העקרונות של הגנת הפרטיות שמסתכלות על מינימיזציה של מידע, הם בעצם עקרונות מעבר לזה שהם עקרונות פרטיות, הם עקרונות אבטחת מידע.
יורם הכהן: הסתכלתי על האירוע הזה שבו מפורסמים צילומים של תעודת זהות.
יורם הכהן: בשביל מה ארגון צריך לשמור צילומים של תעודת זהות?
עינב קאבלה: רק אגיד, סליחה עורך הדין הכהן, שבעניין הזה נגעת ממש בנקודה שעסקתי בה והגשתי הצעת חוק פרטית.
עינב קאבלה: אני מקווה שזה יקודם בכל זאת אולי בזמן שנותר לנו בכל מקרה, לא משנה מה יהיה משך חייה של הכנסת הזו, שהיא תקודם לחוק מחייב.
עינב קאבלה: ההצעה קובעת שגוף שאיננו ממשלתי, לא יכול להחזיק אצלו העתק של תעודת זהות או פרטים מתוך תעודת הזהות.
עינב קאבלה: בדיוק בגלל הסיבה הזו שאתה אומר, של עודף המידע.
עינב קאבלה: וסליחה שקטעתי אותך, בבקשה.
יורם הכהן: אני שמח מאוד.
יורם הכהן: אני מקווה שיקדמו.
יורם הכהן: התפיסה הזאת של מינימליזציה של מידע שהיא תפיסה יסודית בפרטיות, היא משהו שצריך לקדם אותו, גם בהקשר של תעודות זהות.
יורם הכהן: אגב, הסיפור הזה עם תעודות הזהות, זו חשיפת אבטחת מידע מאוד גדולה, בגלל היעדרה של תעודת זהות חכמה במדינת ישראל, אז אנחנו מסתמכים היום בתהליכי זיהוי מרחוק על תאריך הנפקת תעודת הזהות.
יורם הכהן: ברגע שמחזיקים מאגרי מידע עם כל התמונות האלה, אז אפשר לגשת אליהם והמידע הזה הוא מידע שיתחילו לסחור בו.
יורם הכהן: אני חושב שצריך לעשות תהליך, ואני מקווה מאוד שגופי המדינה הרלוונטיים עושים את זה, הם עשו את זה בעבר ועושים את זה עכשיו.
יורם הכהן: באיזשהו ניתוח – כי אני מכיר את זה מפרשת דליפת מרשם האוכלוסין, שבהתחלה ההתייחסות אליה בקרב הגופים הביטחוניים הייתה: אהה, בסדר, אז דלף פה פנקס הבוחרים.
יורם הכהן: וכשאתה עושה ניתוח מעמיק של המשמעות של דליפות מידע כאלה אתה מבין שהבעיות פה הם לא רק בעיות של פרטיות.
יורם הכהן: הבעיות הם בעיות של ביטחון המדינה, שבמקרה הזה כבר מדובר על זה ששירביט מבטחת את עובדי המדינה, זה לא דבר מסווג.
יורם הכהן: וכשאתה מסתכל לעומק, למידע, אתה מתחיל להבין שיש לו מופעים בכל מיני מקומות, ולכן צריך תפיסת ניהול מידע כללית, מדינתית.
יורם הכהן: יכול להיות שמגיעות בכלל דרישות לשמור מידע מכיוון של הוראות רגולציה מסוימות שדורשות ממך לשמור או הוראות כלליות למשל של דיני הראיות, של רשומה מוסדית, שמחייבות אותך להיות מסוגל להוכיח כל מיני דברים אחר כך.
יורם הכהן: ואז הגוף כשהוא עושה לעצמו את ניתוח הסיכונים, אז הוא אומר: אהה, אז אשמור את זה כי אני צריך משהו מתישהו בעתיד.
יורם הכהן: מדינת ישראל צריכה לגבש אסטרטגיה בעניין הזה והדבר הזה לא נעשה.
מרב מיכאלי: רק ברשותך גברתי הערה – כשניהלנו פה מאבק על המאגר הביומטרי, בדיוק מהדברים האלה חששנו.
מרב מיכאלי: אדוני אומר כל זמן שאין תעודות זהות חכמות – אבל אנחנו חוששות ממה שיש כשכן יש דרכונים ביומטריים היום, ומי ערב שמצב האבטחה שלהם טוב יותר?
נירה לאמעי רכלבסקי: מהמאגר.
מרב מיכאלי: כן, כן, מהמאגר.
מרב מיכאלי: את זה אמרתי, כשנאבקנו נגד המאגר הביומטרי, אחד הדברים המרכזיים שחששנו ממנו.
עינב קאבלה: אני חושבת שזה עדיין מאבק שמתנהל על טביעות האצבע, אבל זה דיון אחר, בחדר אחר, ביחד גם איתם.
מרב מיכאלי: זאת בעיה לכשעצמה.
מרב מיכאלי: פשוט בגלל ההערה שלך שאין תעודות זהות חכמות, אני אומרת גם מה שיש חכם, אז מפחיד פחד מוות כשזאת רמת האבטחה.
יורם הכהן: מכיוון שאני הובלתי את התנגדות הפנים של תיק המאגר הביומטרי: אין תעודות חכמות בגלל המאגר הביומטרי, כי התעקשו על מאגר ביומטרי ולא קידמו את התעודות החכמות.
יורם הכהן: זה המצב שלנו.
נירה למעאי רכלבסקי: כי המדינה הבינה את הסכנה והורידה את החומרה.
נירה למעאי רכלבסקי: אנחנו מקווים שבקרוב תוריד לגמרי את החובה לטביעות אצבע.
מרב מיכאלי: כן, בסדר גמור.
עינב קאבלה: המאבק ממשיך, ואני בכל אופן הבעתי את דעתי, ואמשיך להביע אותה בתוקף, בוועדה המשותפת שמתנהלת בנושא הזה.
עינב קאבלה: המציאות מוכיחה לנו שאנחנו לצערנו צודקים.
עינב קאבלה: לצערנו לא עושים את זה מספיק מהר ומספיק בזמן.
עינב קאבלה: תודה, עורך דין יורם הכהן.
עינב קאבלה: רגע לפני שנעבור למערך הסייבר הלאומי שגם איתנו, נמצאת איתנו עורכת הדין נעמה מטרסו, מנכ"לית עמותת פרטיות לישראל, בבקשה.
נעמה מטרסו: שלום, תודה רבה על הדיון החשוב הזה, מהאירוע של שירביט והדיון שהיה בעקבותיו, אנחנו מבינים כמה מצב אבטחת המידע והפרטיות בישראל הוא כן קריטי וחשוב והוא לא מספיק עולה לדיון.
נעמה מטרסו: בטח כשאנחנו רואים שמידע, גם מהדברים פה שנאמרו, הוא לא רק נכס משמעותי-עסקי של חברות רבות, הוא גם נכס של המדינה, של רשויות מקומיות, של מצלמות אבטחה.
נעמה מטרסו: והמקום שלו בסדר העדיפויות צריך לחלוטין להשתנות.
נעמה מטרסו: אדבר בקצרה בשביל לא לגזול מזמנם של אחרים, אנחנו צריכים לשים את הנושא של פרטיות ואבטחת מידע בספקטרום שהוא לא רק רגולציה כמו דיברתם, והוא לא רק אכיפה, אלא גם כוחות שוק וגם כמו שעו"ד יורם הכהן ציין, לא רק רגולציה פרטית, אלא רגולציה אחרת שתומכת בנושא של שמירת מידע.
נעמה מטרסו: והזכרת את הנושא של שמירת תעודות זהות, ואולי זה לא מספיק.
נעמה מטרסו: אם דיברנו על תעודת זהות חכמה, ואנחנו לוקחים תעודת זהות וממנה מחלצים מידע כמו תאריך הנפקה, וזה ההזדהות שמשמשת היום בהרבה מאוד מקרים, אז זה לא מספיק.
נעמה מטרסו: צריך לשנות את ההזדהות שאיתה אזרחים ניגשים לשירותים ממשלתיים שיש בהם מידע רגיש מאוד.
נעמה מטרסו: אני רוצה לדבר על ארבע בעיות מרכזיות.
נעמה מטרסו: הבעיה הראשונה היא מה שהזכירו פה, הנושא של מינימליזציה של מידע, מידע עודף.
נעמה מטרסו: חברות רוצות להשיג כמה שיותר מידע כי גם הטכנולוגיות של "ביג דאטא" מורידות את זה ללא צורך וללא בחינה משמעותית ומהותית ולא מתעכבות למה אנחנו צריכים את המידע הזה.
נעמה מטרסו: אין גם איזשהו תהליך רוחב שמתבצע בחברות, של בדיקה מהרגע שהמידע נכנס לסיסטם עד הרגע שהוא יוצא.
נעמה מטרסו: מה עושים איתו?
נעמה מטרסו: מי ניגש אליו?
נעמה מטרסו: לא מדברים בכלל במונחים של בעלות עסקית על מידע.
נעמה מטרסו: אם אנחנו מסתכלים על מידע של משאבי אנוש, נכון שאנשי אבטחה אחראים על האבטחה שלו, אבל בסוף צריך להיות גורם בתוך החברה וצריך לתמרץ את הדבר הזה, שיהיו אנשים שיהיו אחראים על המידע ברמה המהותית שלו.
נעמה מטרסו: כלומר, מישהו שיודע מי צריך לגשת למידע.
נעמה מטרסו: האם ספקים חיצוניים צריכים לגשת למידע הזה או לא, ושינהלו אותו.
נעמה מטרסו: זה אגב תוצאה של תקנות שהן חדשניות, תקדימיות, ומעולות כמו שצוין פה לבין חוק שהוא מאוד מיושן וצריך לגשר על הפער הזה בהקדם.
נעמה מטרסו: הדבר השני זה הנושא של יכולת זיהוי ותגובה של אירועים.
נעמה מטרסו: בעולם של אבטחת מידע מבינים שמאוד קשה למנוע אירועים.
נעמה מטרסו: אירועים יקרו, ואנחנו צריכים לעשות את המקסימום כדי להגן, למנוע ולזהות בזמן.
נעמה מטרסו: הנושא של זיהוי בזמן הוא נקודה קריטית – לפני שהייתי בפרטיות לישראל, עסקתי הרבה מאוד באבטחת מידע וניהול אירועי אבטחה, גם בצד המשפטי וגם בצד הטכנולוגי ומניסיוני הנקודה של זיהוי ותגובה היא הנקודה הכי קריטית לנזק שיכול להיגרם למידע.
נעמה מטרסו: כלומר, אם אנחנו מזהים את זה בצורה מהירה כמה שיותר.
נעמה מטרסו: ואגב הממוצע העולמי עומד על 280 יום.
עינב קאבלה: מהרגע של הזיהוי?
נעמה מטרסו: של הזיהוי.
עינב קאבלה: זה נשמע לי המון זמן.
נעמה מטרסו: זה המון זמן?
נעמה מטרסו: לא בטוח, הרבה פעמים - - -
עינב קאבלה: חשבתי שתגידי 280 שעות.
נעמה מטרסו: זה הממוצע העולמי.
יורם הכהן: לא מרגע שהסתבר להם שקרה, אלא מרגע שחדרו אליהם.
נעמה מטרסו: שהייתה חדירה.
נעמה מטרסו: חדירה ראשונית לא תמיד עושה נזק.
נעמה מטרסו: לפעמים זה רק בשביל לחפש מידע.
נעמה מטרסו: בכל מקרה, זה הממוצע.
נעמה מטרסו: עלות ממוצעת של אירוע נאמדת ב-3.8 מיליון דולר.
נעמה מטרסו: ובארה"ב זה מן הסתם הרבה יותר גבוה.
נעמה מטרסו: היכולת של ארגונים להגיב בצורה מהירה ויעילה – לדעתי היא מוטלת בספק במדינת ישראל ואנחנו רואים את זה בשירביט, את הניהול התקשורתי המאוד חשוף וערום שהאירוע מואר.
נעמה מטרסו: בעיני זאת נקודה שצריך להתייחס אליה: איך מגיבים לאירוע ואיך אנחנו מוודאים שחברות מגיבות טוב – לחברות יש את כל הכלים להגיב לאירוע בצורה טובה שתצמצם את הנזק לאזרח, בטח בצורה שעכשיו אנחנו ראינו איך בקבוצות וואטסאפ עוברות תעודות זהות של אנשים.
נעמה מטרסו: המידע שם נפרץ לגמרי והיה משוחרר ולא היה שום גינוי של הדבר הזה.
עינב קאבלה: אגב, יש לכם המלצה איך לזהות יותר מהר אירועים כאלה?
נעמה מטרסו: גם בהיבט של הרגולציה צריך לשים דגש יותר על איזושהי תגובה ולא רק להגנה.
נעמה מטרסו: כי אתה כל הזמן עוסק הרבה בנושא ההגנה, אבל פחות בנושא של התגובה לאירוע ותרגול של התגובה לאירוע.
נעמה מטרסו: מבחינת רגולציה אפקטיבית, דיברו פה הרבה על אכיפה, וראינו את גם באירופה ורואים את זה גם בחברות ישראליות שאוספות מידע על אירופאים והם תחת רגולציה אירופאית – יש שינוי מהותי, ועלי התייחס לזה שארגונים שהם תחת רגולציה לעומת ארגונים שהם לא תחת רגולציה – יש פער משמעותי ביניהם.
נעמה מטרסו: באירופה הפחד מהקנסות הוא מאוד משמעותי לתימרוץ של ארגונים להטמיע אמצעי אבטחה והגנת מידע.
נעמה מטרסו: ואם אנחנו מסתכלים על הנתונים, כי בישראל ובאירופה נכנסו התקנות פחות אותו יותר במקביל, במאי 2018:
נעמה מטרסו: באירופה לפי הדיווחים, דווחו 160,000 אירועים.
נעמה מטרסו: אני לא משווה את ישראל הקטנה לאירופה הגדולה, אבל בישראל דווח על 150 אירועים, זה הדיווח של הרשות להגנת הפרטיות.
נעמה מטרסו: פרסמתם את זה בינואר 2020, ואני חושבת שלכל עין ברור שזה לא כל האירועים שקרו.
נעמה מטרסו: במקביל, חברת קספרסקי בישראל פרסמה נתונים על 1,500 פרצות בארגונים, 1,500 ארגונים שהייתה להם פרצת אבטחה מוכרת, שגם דיברו על זה שזה אותה פרצה בשירביט.
נעמה מטרסו: כך שברור ש-150 אירועים שדווחו זה מעט מאוד לישראל בתקופת זמן של שנה וחצי.
נעמה מטרסו: שוב, אדגיש שהנתונים הם מינואר 2020.
נעמה מטרסו: אני לא יודעת מה הנתונים היום.
נעמה מטרסו: זה אגב מעניין.
נעמה מטרסו: לגבי הקנסות: באירופה הקנסות עמדו על סך כול של 126 מיליון דולר, גם כשמשווים את זה למדינות בסדר גודל שלנו או קטנות מאיתנו כמו לדוגמה דנמרק – היו 9,800 אירועים ו-390,000 דולר בקנסות.
נעמה מטרסו: כך שהסדר גודל הוא באמת שונה.
נעמה מטרסו: יש פה מקום להשוות כשנכנסו שני ההיבטים האלה במקביל.
נעמה מטרסו: הדבר האחרון והכי חשוב בעיני זה הנושא של מלמטה למעלה, מהחברות עצמן.
נעמה מטרסו: לחברות היום אין באמת תמריץ להתעסק בנושא של אבטחת מידע והגנה על הפרטיות.
נעמה מטרסו: בהרבה חברות אנחנו רואים שהנושא של פרטיות ואבטחת מידע נזנח לכיוון תשתיות, AT, יעוץ משפטי, אין גורם אחד שאחראי על הגנת הפרטיות.
נעמה מטרסו: ממונה על הגנת הפרטיות.
נעמה מטרסו: זה דבר ראשון.
נעמה מטרסו: דבר שני – אין לציבור היום יכולת לתבוע תביעות ייצוגיות בנושא של הפרת פרטיות.