ועדת המדע והטכנולוגיה, כנסת 16, פרוטוקול מספר 120, 2005-03-02 00:00

מל פולישוק-בלוך: אנחנו נחלק את הישיבה לשני חלקים, בחלק הראשון נעסוק בפריצה למחשבי הבנקים ובחלק השני נעסוק בתופעת הפדופילים באינטרנט.

מל פולישוק-בלוך: שני פשעים שכדאי שלא יהיו במקומותינו ומתפקידנו בכנסת לראות איך הגורמים האחראים לנושא דואגים ופועלים כדי ששני הדברים האלה לא יתרחשו.

מל פולישוק-בלוך: זו הישיבה השניה שלנו בחודשים האחרונים, אנחנו כבר נפגשנו עם האנשים אשר על האכיפה.

מל פולישוק-בלוך: כדי להתחבר לישיבה הקודמת אני רוצה לומר שני דברים שקשורים לענייננו היום, אנחנו דיברנו על פשעים באמצעות האינטרנט, זה מתחבר לשני הנושאים שלנו היום ואנחנו ביקשנו ממשרד התקשורת, הגשתי הצעת חוק ושר התקשורת פנה אלי והציע שבמקום לתקן את הטעון תיקון בחקיקה אנחנו נפעל לשינוי תנאי הרשיון של חברות האינטרנט וזה מה שאנחנו פועלים.

מל פולישוק-בלוך: המטרה היא ליידע לגבי היבט חשוב לציבור בבית שישמע, ליידע את מי שרוכש אינטרנט לביתו ובמיוחד לילדיו, שידע במה זה כרוך, איזה סכנות מחכות לילד כשהוא נכנס לאינטרנט.

מל פולישוק-בלוך: הסכנות הן ללא גבול.

מל פולישוק-בלוך: אנחנו היום נתמקד בשתיים אבל כל פשע שאתם חושבים עליו שקיים בפועל, קיים וירטואלית והתוצר הוא לא וירטואלי בכלל, הפשע הוא פשע אמיתי.

מל פולישוק-בלוך: אנחנו דיברנו כאן בישיבה הקודמת על הקמת משמר אזרחי או קבוצה של מתנדבים, ואני אשמח לשמוע איך זה מתקדם.

מל פולישוק-בלוך: אנחנו פנינו למשטרת ישראל, לשר לבטחון פנים בבקשה להקים משמר אזרחי, להשתמש במאגר הכוחות החיוביים שיש למדינת ישראל, הכוחות הטובים במחשב, כדי שיעזרו לכוחות המשטרה שכוחם כל כך דל, יעזרו להם בהתנדבות בדיוק כפי שזה קיים בתחום המאבק בתאונות הדרכים.

מל פולישוק-בלוך: אנחנו פנינו לכל האוניברסיטאות ולבתי ספר גבוהים שמלמדים מחשבים ונענינו בתגובות מאוד חיוביות ובתגובה להסכמתה של המשטרה להקים כזאת יחידה אנחנו הפנינו את כל מי שפנה אלינו ואת האוניברסיטאות אליכם, אני אשמח לדעת בהמשך האם משהו קורם עור וגידים.

אייל אדר: איסיפ זה פרוייקט של הנציבות האירופאית שתפקידו לכתוב את כל תוכנית העבודה של המחקר האירופאי בנושא הגנה על תשתיות קריטיות ואנחנו חברים במיזם הזה וגם חברים בצוות המשותף לאירופה וארה"ב בתחום של הגנה על תשתיות קריטיות.

אייל אדר: אחד הדברים המרכזיים שממנו יצאה הסקירה הקצרה שלי, שאנחנו הגענו אליהם ואחת המסקנות המרכזיות זה החשיבות של כל הנושא של security assessment, של בחינת מצב האבטחה.

אייל אדר: אם אתה לא יכול למדוד את זה אתה לא יכול לתקן את זה.

אייל אדר: הצעד הראשון המרכזי בכל תחום אבטחת המידע שעליו מתבססת כלל הפעילות וזה גם נוגע להיבטים עיסקיים, כי כל עולם הבנקאות בעיקר אם באזל 2 אומר לנושא של אבטחת מידע שנובעת מסיכונים עיסקיים ותהליכים עיסקיים ואנחנו כאנשי מיחשוב אמורים לדעת לענות נכון על כל הנושא של סיכון עיסקי וסקר סיכונים הוא הכלי המרכזי לנתח את הסיכונים העיסקיים.

אייל אדר: אם אנחנו מסתכלים על הסקר של CSI מאוד מעניין לראות לפי הסקר הזה דווקא את המיקוד של האירועים של שנת 2003 ש36%- זה ונדאליזם, 35% זה התקפות של מניעת שירות ורק לאחר מכן זה גניבה ופעילות שקשורה במידה של טרנז

אייל אדר: קציות ורק 4% זה הנושא של הונאה כלכלית.

אייל אדר: חלק גדול מהתקיפות זה תקיפות למניעת שירות וגם בראייה של עולם בנקאות צריך כל הזמן לחשוב מה יותר משמעותי, האם הנושא של נתינת שירות ללקוחות בעיני זה אחד הנושאים הכי מרכזיים, הנושא של היכולת תמיד לספק את המשימות שאתה אמור לבצע ושהם המשימות המרכזיות של הארגון.

אייל אדר: הנושא השני הוא, בעבר הגנו בעיקר על ההיקף, אבל ההגנה ההיקפית היא לא מספקת, חלק משמעותי מהאירועים הם פנימיים, אז יש מעבר מתפיסה שלא רק שאנחנו לא יכולים להגן רק על ההיקף, אנחנו חייבים להגן גם על המערכות הפנימיות וגם על אירועים בין אם בזדון, בין אם בשוגג שנוצרים ע"י אנשים פנימיים.

אייל אדר: וזה גם אומר להגן על הסביבה אבל גם להגן על המערכות החדשות.

אייל אדר: היום כשמפתחים פרוייקטים בנקאיים חדשים אבטחת מידע זה חלק מרכזי מתכנון הפרוייקט כחלק מארכיטקטורת הפרוייקט.

אייל אדר: מהיום הראשון של הפרוייקט עד האישור.

מל פולישוק-בלוך: תהיה ספציפי, איך אתה מונע, הוא דיבר על מעגלים נוספים שאחד מבקר את השני.

קריאה: אני אתן דוגמה למספר מנגנונים שבנק לאומי מיישם כפי שגם גופים אחרים מיישמים על מנת למנוע את הדברים האלה, על מנת לבקר, על מנת להציף כאשר הם קורים.

קריאה: הפרדת סביבות עבודה, יש סביבות עבודה מחשביות שמורשים לגשת אליהם רק אנשים מסויימים מתוקף תפקידם, וגם האנשים שמורשים לגשת הם מורשים לגשת לעשות סוג פעולה מסויים, או קריאה של האינפורמציה או כתיבה של אינפורמציה או משהו משולב.

קריאה: להגיע לאינפורמציה לא מגיעים בצורה ישירה, יש מספר מנגנונים שבודקים מעבר לנושא של האם בן אדם מורשה או לא מורשה, אם בכלל הפעולה הזאת מורשית, אם הפעולה הזאת חוקית, אם בכלל אפשר לעשות את הפעולה הזאת, כי פעולה בנקאית היא בדרך כלל פעולה דו צדדית, מעבירים מצד א' לצד ב', הפעולה צריכה להיות שלמה וסגורה.

קריאה: יש לנו מנגוני איתור שתוך כדי פעילות בזמן אמת אנחנו עולים על דברים שלא נראים סבירים שמראש הגדרנו אותם מבחינת החוקים שהם לא יכולים להיעשות וזה מאותת לכל מיני עובדים במערכת שמתבצעת פעילות בלתי סבירה כפי שהבנק הגדיר אותה.

אייל אדר: הנושא הבא זה מעבר מאבטחת מידע להגנה על תשתיות קריטיות.

אייל אדר: התפיסות העכשוויות בנושא הגנה על תשתיות קריטיות מדברות שבכל ארגון יש שלוש שכבות, השכבה הפיזית, שכבת הסייבר והשכבה האנושית.

אייל אדר: ניתן להזיק למערכת של ארגון או לתפקוד שלו ע"י תקיפה בכל אחת מהרמות האלה והשאלה המרכזית איך אנחנו מצליחים להגן מכל ההיבטים.

אייל אדר: גם אם פגעו באדם אחד או שניים, גם אם פגעו במערכת מידע מסויימת וגם אם ברמה הפיזית חדרו ואותו סיפור של בנק הדואר זה שילוב של חדירה פיזית ותקיפה לוגית.

אייל אדר: התחומים שאופיינו כתחומים המרכזיים זה הנושא של קביעת מדיניות ובחינת תאימות למדיניות ופה אנחנו רואים חשיבות מאוד גדולה לתקן 357, ביצוע סקרי סיכונים.

אייל אדר: יש את הנושא של הסכמי שירות בנושא אבטחת מידע שזה ענין מאוד לא פשוט, איך בתהליכי חוץ אתה דואג לקבל את השירות ברמה המתאימה ואיך אתה מגן על עצמך לאורך שנים כשאתה לא יודע איך הטכנולוגיה תשתנה וזה תחום מאוד מעניין של בחינה ומחקר ובחינת הקשר בין פעילות עיסקית לאבטחת מידע.

אייל אדר: חלק מבעיות אבטחת מידע זה שאתה אמור להגן על אנשים שאתה מדבר שפה שונה מאותם אנשים שאתה אמור להגן עליהם.

אייל אדר: כאיש אבטחת מידע וכאיש מיחשוב, יש היום פער גדול מדי בין השפה והעולם של אנשי אבטחת המידע לבין השפה והעולם של אנשי העסקים.

אייל אדר: איש אבטחת מידע הרבה פעמים הוא מתלהב מנושאים טכניים, הוא לא תמיד מבין כמה זה משמעותי לארגון, הוא עסוק הרבה פעמים בלכסות את עצמו.

אריק אורלב: לגבי ההתמודדות עם נושא סיכוני אבטחת מידע.

אריק אורלב: מעגלי אבטחת המידע מאובטחים במספר מעגלים, יש מעגל של הגנה פיזית, יש מעגל של הגנות לוגיות שמאפשרות רק ללקוחות מורשים להתחבר למערכת כולל בדיקה של הרשאות כולל בדיקה של סוגי הפעילויות שאותם לקוחות מורשים לעשות.

אריק אורלב: גם בהתאם להוראות של בנק ישראל הרשת הפנים בנקאית, רשת התקשורת הפנימית של הבנק שמשרתת את כל מערך הסניפים והמטה, אסור לה להיות מחוברת לרשת התקשורת החיצונית.

אריק אורלב: חייבת להיות הפרדה מוחלטת בין שתי הרשתות כדי למנוע מצב של חדירות או התקפות על הרשת הפנימית של הבנק.

אריק אורלב: הבנקים כולם פועלים בהתאם לזה.

אריק אורלב: למשל לצורך קישור לרשת האינטרנט מתוך הבנק הקמנו מערך תקשורת נפרד שונה מהרשת הפנימית כדי למנוע אפשרות של חיבור בין שתי הרשתות.

אריק אורלב: זה דוגמה של הגנה שהיא בהיבט הפיזי ומעבר לזה יש את נושא ההגנה הלוגית שזה הרשאות, לא כל אחד יכול לעשות כל דבר.

אריק אורלב: למשל סניף יכול לגשת אך ורק לנתונים של אותו סניף, הוא לא יכול לגשת לנתונים של חשבונות בסניף אחר, זה דוגמה של מידור פנימי שקיים בתוך הבנק עצמו, כמובן שלקוח יכול להיכנס אך ורק לחשבונות שלו.

רחל יעקובי: אריק אורלב אמר שבבנק למסחר אחד הליקויים בבקרה היה היעדר בקרה נאותה ללקוח בדמות עמדת שירות או אינטרנט ללקוחות הבנק.

רחל יעקובי: באוגוסט הפצנו הוראה שמחייבת את כל הבנקים להקים עמדות שירות בסניפים שלהם.

רחל יעקובי: יש לזה חשיבות שהלקוח ביוזמתו בזמן שהוא מוצא לנכון וללא התערבות המערכת ידע מה קורה בחשבון שלו.

מתי רם: בדרך כלל התהליך הזה, המחזור הזה של ניהול אבטחת מידע אורכו כשנה וחצי שנתיים.

מתי רם: אם ניקח את התדירות בין סקר סיכונים אחד למשנהו זה פחות או יותר המצב בשוק.

מתי רם: זה גורר אחריו חוסר אופטימיזציה רב גם בהשקעות באבטחת מידע וגם בתמונת הסיכונים, כי אם בצעתי סקר סיכונים לפני שנה אני לא בטוח שבגלל הדינמיות של השוק ובגלל הדינמיות של הארגון הוא נותן את תמונת המצב שלי היום.

מתי רם: כך שהמערכת שלנו מנסה לאפשר ניהול סיכונים דינמי על בסיס מדיד שאותו קבע הארגון.

מתי רם: המערכת נמכרה בישראל לגופים פיננסיים, לחברות אשראי וגם באירופה.

מל פולישוק-בלוך: אנחנו רוצים להכריז ולהקים ועדת משנה לענייני הי-טק כדי לשים את הדגש ולא להרפות מנושא ההי-טק במדינת ישראל כי זה מה שיכול להוביל את מדינת ישראל לעתיד טוב יותר, כי זה העתיד שלנו.

מל פולישוק-בלוך: אנחנו נכריז בזאת על הקמת ועדת משנה לנושא ההי-טק שאני אעמוד בראשה מפני שאני כל כולי חיה את הנושא הזה ומנסה לקדם אותו.

מל פולישוק-בלוך: מי בעד? אושר.

בועז דולב: אני חושב שאפשר לסווג את הבעיה בצורה טיפה שונה.

בועז דולב: כשאנחנו מדברים היום על אבטחת מידע באינטרנט זה מצויין, כרגע מה שמאוד מפחיד אותי לפחות זה איך אנחנו מגנים על המידע בתוך הארגון וזה מה שקרה שם.

בועז דולב: זה שהם הצליחו לבדוק ולמצוא שגנבו להם מידע מתוך הארגון זה כבר הישג גדול.

בועז דולב: אני לא בטוח שאם נסתכל על כל אחד מהארגונים נוכל לדעת אם הם יודעים אם עשו להם משהו בתוך הארגון או לא, כי הם בכלל לא נמצאים שם.

בועז דולב: מדובר היום על רוב הארגונים במשק.

בועז דולב: צריך לדעת שיש כאן בעיה קשה ולא צריך לקחת את מה שבנק ישראל אומר בתור משהו, צריך לדעת שהיום יש בעיה כללית וכל מי שיש לו עסק או ארגון או חברה וגם במשרדי ממשלה, לא מוכנים היום ולא יודעים איך להגן על עצמם בתוך הרשת וזה בעיה מאוד קשה והמודעות צריכה להיות מאוד גבוהה.

בועז דולב: בבנקים יש מודעות יותר גבוהה מאשר במקומות אחרים.

ניסים בראל: צריך להסתכל במישור יותר רחב ולראות האם בגדול התשתיות הלאומיות של מדינת ישראל אינן פגיעות.

ניסים בראל: לא המערכת הספציפית של בנק זה או אחר ויש דיון על זה בכינוס האינטרנט השנתי שבו אנחנו ננסה להציג האם מדינת ישראל ערוכה להתקפות על מערכות המחשב הקריטיות שלה.

ניסים בראל: אז יש החלטת ממשלה והיא הקימה איזה רשות לאבטחת מידע על המערכות התשתיתיות, לא מערכות בטחוניות, ושם לא בהכרח יש מענה לכל הדברים האלה כי שם גם נושא הקוסטרפורמנטס מקבל מימדים אחרים.

בובי פנדריך: לפני כשנתיים נעצרו מספר עובדים שמעלו באמון ע"י זה שניצלו לרעה את הרשות שניתנה להם והסמכות שניתנה להם ומכרו מידע.

בובי פנדריך: הם הוציאו מידע ממחשב המוסד לביטוח לאומי ומכרו אותו לחוקרים פרטיים.

בובי פנדריך: זה מידע מאוד מבוקש היום.

בובי פנדריך: הם נתפסו בגלל יוזמה שלנו, יוזמה שאנחנו נוקטים בה כל הזמן למצוא מה נעשה בתוך המחשב, בתוך הרשת.

יוסי אבני: אני חושב שהבעיה של הבנקים היא יותר מבפנים מאשר מבחוץ.

יוסי אבני: אני חושב שאחת הבעיות היא היצמדות לסיסמה.

יוסי אבני: אני רואה מורשה חתימה שלוקח את הכרטיס שלו ומעביר, לוקח כרטיס של מישהו אחר ומעביר וכך הוא יודע את הסיסמה שלו, ורמת הפיקוח והבקרה על זה לא מספיק טובה.

אריה אופנר: בהיבט הזה אני רוצה להציע שיתוף פעולה ברמה של מרכזי בקרה שעסוקים כל אחד במגזר ספציפי.

אריה אופנר: לדוגמה מרכז חמ"ל, מרכז בקרה בתחום הבנקאות שיתייחס לכל האיומים כפי שמתקבלים בכל אחד מהבנקים וישתף מידע ברמה של להפיץ איומים, לשתף מידע איך מתגוננים וכן הלאה, הנושא הזה בכיוון הזה הולך בארה"ב ושם למרות התחרות העיסקית בין החברות השונות יש שיתוף פעולה הדוק.

אלון גילון: אני אעבור רק על ראשי הפרקים שהוא חילק את פסק הדין כדי שתדעו למה הוא התייחס.

אלון גילון: אשמה במערך הגילוי, שיטת אמנות פרוטוקולים ופורטים, שמות מספרים הקצאות וגלישה באינטרנט, העקרונות התיאורטיים של רשת האינטרנט, חורי האבטחה קירות אש ותוכנות אבטחה, קירות אש ותוכנות פסיביות ואקטיביות, הרקע המשפטי, עבירת החדירה למחשב במשפט הישראלי, הבעייתיות בהגדרת המונחים חדירה ושלא כדין, הגישות בעולם ובישראל בנוגע לעבירת החדירה, הבעייתיות הכללית בעבירה של חדירה למחשב, הבעיה בתפיסת האתר כמקום שניתן לחדור אליו והקשים מהחוק הפלילי הרגיל, בדיקת אבטחתו של אתר איננה אסורה לכשעצמה ותלויה בנסיבות, מדוע בעל אתר אינו יכול לוותר על בדיקת הגולשים האחרים, הרצון לפרש את חוק המחשבים בצורה התואמת לרוח ולמבנה האינטרנט, יכול להיות שפה זה מתקשר עם מה שאמרת, ואז הוא עובר מהתיאוריה למעשה והוא מזכה את הנאשם לחלוטין.

אבי ויסמן: לגבי פסק הדין, בתוך פחות מעשר שעות קיבלתי כמה מיילים, יש שמחה גדולה בקרב ההאקרים, הסיבה מאוד פשוטה, בית המשפט הנכבד דואג לצדק, למינהג ולחוק, אבל יש אפקטים צדדיים שאחד מהם הוא שההאקרים אומרים לי, זה משפט שחזר על עצמו, קיבלנו הכשר אם אנחנו לא מתכוונים להרע וקראתי את כל פסק הדין על כל 31 העמודים שלו, קיבלנו הכשר להתאמן אם אנחנו לא מתכוונים להרע.

אבי ויסמן: עכשיו לכי תוכיחי.

אבי ויסמן: יש דור שלם בבתי הספר שלומד האקינג, יש להם אופיון, אני עושה הכללה אבל מותר לעשות הכללה כל עוד זוכרים שזאת הכללה, יש אופיון מאוד מובהק להאקרים, יש כאן בעיה, אנחנו צריכים לשדר לציבור משהו נוסף, לא קיבלו הכשר להתאמן ולהגן על מערכות אבטחת המידע תשאירו את זה לחברות הללו לבנקים לגופים המסחריים, או תחת רגולציה, לא תחת הציבור כי הם לא יבינו בדיוק את פסק הדין, הם רק קיבלו הכשר להאקינג זה מה שהם הבינו.

אבי ויסמן: יש בעיה עם פסק הדין מבחינת ההאקרים כי הם חושבים שהם קיבלו הכשר.

מל פולישוק-בלוך: אני פונה מפה להפעיל לחץ, לחשוב על אותם ילדים שנפגעים בגלל הקלות הבלתי נסבלת שהעבריינים יכולים לפעול באינטרנט או באמצעים של הי-טק ואנחנו כל כך נזהרים וכל כך שומרים וחושבים שזה רק כסף.

מל פולישוק-בלוך: אנחנו צריכים להתחיל לחשוב על ההי-טק בצורה חיובית אבל גם מה שזה עושה ועל הנזק שזה גורם לאנשים.

מל פולישוק-בלוך: אני עדיין מזדעזעת כשאני שומעת שיש לך רק שמונה אנשים ביחידה.

מל פולישוק-בלוך: וכמות העבירות שיש, זה לא מענה ואני פונה מפה, שהציבור קודם כל ידע בבית, שאין לו בטחון בתחום הזה, זה לא נקרא בטחון ואני פונה לשר לבטחון פנים מתוך המשאבים שיש לו לעשות את סדרי העדיפויות כי הפשעים האלה צריכים לעבור מן העולם או לפחות למזער את הנזק.