הוועדה לענייני ביקורת המדינה, כנסת 18, פרוטוקול מספר 27, 2009-07-28 09:00

יואל חסון: בוקר טוב לכולם, אני מתכבד לפתוח את הישיבה.

יואל חסון: הנושא על סדר היום, הגנת הפרטיות, אבטחת מידע ואיכותו במאגרי מידע ממשלתיים.

יואל חסון: זה המשך הדיון מהפעם הקודמת, אשר הופסק באמצע כפי שאתם זוכרים, בין השאר מכיוון שהתחושה במהלך הדיון הייתה שגם אלה שהגיעו ונכחו בדיון, מבחינת הוועדה הם לא בדרג המספק, וגם התשובות שניתנו בדיון היו לא מספקות.

יואל חסון: אני מבקש להסביר ולהבהיר, שכיושב ראש הוועדה לביקורת המדינה, אני רואה את דוח מבקר המדינה בנושא הזה, כאחד הדוחות החשובים ביותר והעקרוניים ביותר.

יואל חסון: אני חושב שמאגרי המידע שמחזיקים גורמים ממשלתיים כגון: משרד הפנים, המוסד לביטוח לאומי, וכד', המאגרים האלה ושמירה על המאגרים האלה, מבחינתי, זה דבר חשוב הן מהבחינה הלאומית והן מהבחינה האסטרטגית.

יואל חסון: התחושה, ממה שהתרשמתי גם בדיון וגם בבדיקה שערכתי לאחר מכן, לדעתי גם בחברת תוכנה קטנה יש מערכת אבטחת מידע הרבה יותר טובה מאשר במאגרי המידע של ממשלת ישראל.

יואל חסון: זה מצטרף למה שמצוין בדוחות מבקר המדינה, וגם בעקבות מידע שזרם אלי אחר כך מאזרחים, וכן מעובדים ומכל מיני גורמים שפנו אלי באופן ישיר ובאופן עקיף, גילתי דברים באמת מאוד קשים.

יואל חסון: בדיון הזה, אני מתכוון להבין קודם כל את שורש הבעיה וגם לראות איך אנחנו מקדמים וזזים קדימה, מטפלים ומשנים את המציאות הנוכחית.

יואל חסון: למרות שזה המשך דיון, אני אבקש שנציג מבקר המדינה יציג בתמציתיות את הנקודות העיקריות.

בעז ענר: כפי שציינת, הדוח מצביע על פרצות, שלעיתים הן מהותיות בהגנת הפרטיות.

בעז ענר: יש מקרים שהדוח מדווח על זליגת מידע החוצה, יש גם בעיות באיכות הנתונים ועדכנותם של הנתונים.

בעז ענר: בשורה התחתונה, יש צורך להגביר בקרות, לערוך סקר סיכונים, ולהגביר את המודעות של העובדים.

בעז ענר: פרטים נוספים, ימסור מנהל האגף ישראל אקשטיין.

ישראל אקשטיין: בוקר טוב, הביקורת נערכה בחודשים מאי – נובמבר 2008, והנקודה הראשונה שהוצגה בביקורת בנושא רשות האוכלוסין וההגירה ומעברי משרד הפנים במשרד הפנים, היא הבעיה של אי מינוי ממונה לאבטחת מידע, לא במשרד הפנים ולא ברשות האוכלוסין, וזה בניגוד לדרישות חוק הגנת הפרטיות והתקש"ר – תקנות שירות המדינה .

ישראל אקשטיין: בשנים 2006-7 הוצעה למכירה באתר האינטרנט, על ידי אלמוני, תכנה המכילה נתונים ממרשם האוכלוסין הכוללים קשרי משפחה בין אזרחים.

ישראל אקשטיין: וועדת הפנים והגנת הסביבה של הכנסת ביקשה חקירה משטרתית בעניין.

ישראל אקשטיין: משרד הפנים הגיש תלונה במשטרה.

ישראל אקשטיין: בשנת 2008 שלח משרד הפנים למשטרה 20 לקוחות שמקבלים קובצי עדכון גדולים ממערכת "אביב", שיתכן שהמידע זלג מאחד מהם.

ישראל אקשטיין: בחודש מרץ, סגרה המשטרה את תיק החקירה בטענה שלא ניתן לחקור כל כך הרבה חשודים, ולכן העבריין לא נודע.

ישראל אקשטיין: בין המסמכים שמסר משרד הפנים למשטרה היה סיכום פגישה שבו נכללו כעשרה גופים שקיבלו עדכוני מרשם בהיקפים גדולים.

ישראל אקשטיין: אחד מהם אף זוהה כמקבל נתונים בצורה דומה למבנה המאגר שהופץ באינטרנט.

ישראל אקשטיין: אפילו גוף זה לא נחקר על ידי המשטרה.

ישראל אקשטיין: במרץ 2008, הוחל במערך המחשוב של מרשם האוכלוסין ברישום יומן שימוש "לוג" לשם מעקב אחרי שאילתות שהציגו עובדי משרד הפנים.

ישראל אקשטיין: נמצא שבתקופה מרץ-יולי 2008 הוצגו שאילתות באמצעות הרשאות של 78 משתמשי מערכת שאלה שהו בחוץ לארץ.

ישראל אקשטיין: כמו כן נמצא שהוצגו שאילתות, באמצעות הרשאות גישה של חמישה משתמשים, שלפי הרישומים במערכת "אביב" נפטרו לפני מועד ביצוע השאילתות.

יואל חסון: תוכל להגיד בנוגע לאותו מאגר שפורסם באינטרנט, לאיזה הפרופיל מאגר הוא היה דומה?

ישראל אקשטיין: למאגר של אחד המשתמשים.

יואל חסון: מי המשתמש?

ישראל אקשטיין: של אחד מהמשתמשים.

יואל חסון: איזה סוג לקוח?

ישראל אקשטיין: אנחנו יכולים לציין מי הלקוח?

אורי אריאל: היושב ראש, לפי דעתי, לאור הדוח הזה אין בעיה עם מאגר הביומטרי שעומד לפנינו, זה ישמר היטב וכל אחד יוכל לקחת אותו.

ישראל אקשטיין: באוגוסט 2008, עשר שנים מאז מוחשב מרשם האוכלוסין הוגש לראשונה לרשות האוכלוסין דוח סקר סיכונים על מערכת "אביב".

ישראל אקשטיין: בסקר הסיכונים עלו ליקויים שמצביעים על פרצות העלולות להוביל לדליפת נתונים רגישים ולשיבוש הפעילות השוטפת בעקבות ניסיונות תקיפה או טעויות אנוש שלא התגלו.

ישראל אקשטיין: מנהל מינהל האוכלוסין באילת, ניצל לרעה במשך שנה את מעמדו ואת הגישה הכמעט בלתי מוגבלת שהייתה לו למשאבי מערכת "אביב".

ישראל אקשטיין: בין השאר למעשים של הנפקת דרכונים שלא כדין ולביצוע מניפולציות בתאריכים שונים במרשם.

ישראל אקשטיין: בעקבות הדוח פותח במערכת "אביב" מנגנון בקרה בשם הרשאת מנהל שחייבה לקבל אישור ממוחשב של עובד מטה הרשות להשלמת תהליך הנפקת דרכון או עדכון רטרואקטיבי של מען.

ישראל אקשטיין: השינוי שהוחל בו ביוני 2008 גרם לעיכובים מכיוון שעובדי המטה לא תמיד היו זמינים לאשר את הפעולות.

ישראל אקשטיין: חודש לאחר מכן, ביולי 2008 הוענקו חלק מההרשאות גם למנהלי לשכות וסגניהם.

ישראל אקשטיין: הענקת הרשאת מנהל לבעלי תפקידים בלשכות רוקנה מתוכן את הבקרה וההשקעה ליישומה.

ישראל אקשטיין: במוסד לביטוח לאומי, קיים ליקוי מבני מתמשך בעניין אבטחת המידע.

ישראל אקשטיין: הממונה על אבטחת המידע כפוף ישירות לסגן המנהלת הכללית לתקשורת ולמערכות מידע.

ישראל אקשטיין: כפיפות זו פוגעת באי תלותו.

ישראל אקשטיין: נוסף על כך הוא אינו מקבל עליו את מרותו של קצין הבטחון בהתאם לכללי שירות הבטחון הכללי משנת 2004.

ישראל אקשטיין: מן הראוי שהנהלת המוסד לביטוח לאומי תגדיר מבנה יעיל לניהול אבטחת המידע במוסדה ותפעל באופן מידי ליישומו.

ישראל אקשטיין: ביוני 2005 התחייב המוסד לביטוח לאומי בפני בית הדין הגבוה לצדק לרשום את כל הפעילויות של כל משתמשי התקשרות במוסד לביטוח הלאומי.

ישראל אקשטיין: בספטמבר 2006 החליטה הוועדה העליונה לתקשורת ולמערכות מידע לרכוש את תכנת "האינטלינקס" שמאפשרת לעשות זאת.

ישראל אקשטיין: על אף שהיה ידוע למנהל החטיבה לאבטחת מידע עוד באוגוסט 2006 מהן הדרישות מהמערכת הוא לא נערך בעניין.

ישראל אקשטיין: דבר המעכב את השימוש בה.

ישראל אקשטיין: המלצות המשרד הן:- על מנת לשפר את המצב יש לנקוט את הצעדים הבאים: על רשות האוכלוסין להכין נוהל אבטחת מידע, להקפיד על יישומם ולאייש את תפקידים הנחוצים למילוי דרישות חוק הגנת הפרטיות.

ישראל אקשטיין: במוסד לביטוח לאומי יש להפעיל ולנצל את כל מערכות אבטחת המידע, אשר הפעלתן תוכננה כבר בשנת 2007.

ישראל אקשטיין: יש לערוך סקר סיכונים, להגדיר מדינות אבטחת מידע ולהסדיר את המבנה הארגוני הנחוץ לאבטחת מידע במוסד לביטוח לאומי בכלל, ואת שיתוף הפעולה בין קצין הבטחון לבין מנהל החטיבה לאבטחת מידע בפרט.

ישראל אקשטיין: מן הראוי להגביר את מודעות העובדים לחובת שמירה על נוהלי עבודה בעניין אבטחת המידע.

יואל חסון: תודה רבה, אני מודה לך על הסקירה הזאת.

יואל חסון: אבקש להתייחס בשלב הראשון, לנושא שדיברנו עליו בתחילת הדיון הקודם וזה נושא המאגר שמחזיק מנהל משרד הפנים.

יואל חסון: הייתי מבקש ממך, המנהל הכללי של משרד הפנים, אתה בטח עודכנת בדיון הקודם, לשמוע מה אתה יודע על המצב הקיים היום במשרד הפנים.

גבריאל מימון: אני מנהל כללי חדש במשרד, וממונה עוד יותר חדש בפועל על רשות האוכלוסין.

גבריאל מימון: השתדלתי להתעדכן כדי לקבל אינפורמציה.

גבריאל מימון: אדוני היושב ראש, חברי הוועדה המכובדים, ראשית מבחינתי דוח המבקר האיר את עינינו ואין ספק שהוא מחייב אותנו, ומועיל לנו בחשיפת כשלים או בחשיפת נקודות תורפה שמן הראוי שאנחנו נתקן אותם.

גבריאל מימון: מבחינתנו הדוח הוא בהחלט חשוב ובהחלט מאיר עיניים.

גבריאל מימון: לגבי מספר נקודות מרכזיות שעלו בישיבה הקודמת ושעלו מדוח המבקר בכלל.

גבריאל מימון: הסוגיה הראשונה מתייחסת לממונה על אבטחת המידע.

גבריאל מימון: אכן הייתה תקלה.

גבריאל מימון: הייתה תקלה שממונה אבטחת המידע היה בעצם ממונה על עוד כחמישים דברים נוספים.

יואל חסון: בהכשרתו הוא היה מתאים לתפקידים האלה?

גבריאל מימון: מבחינת ההכשרה הפורמלית שלו הוא מתאים, ההתאמה הספציפית לאבטחת מידע במערכות מהסוג הזה, אני שאלתי אותו במפורש והוא אמר שהוא מתאים אבל יש לו עדיין להשתלם בסוגיה הזאת.

גבריאל מימון: לעניין הזה צריך אדם במשרה מלאה.

גבריאל מימון: צריך להיות לא רק אדם אחד אלא צריכה להיות יחידה ספציפית.

גבריאל מימון: כרגע אני לומד מה צריך להיות הרכבה כדי שתכסה את כל תחום אבטחת המידע.

גבריאל מימון: ביקשתי גם שהכפיפות לא תהייה למנהל תחום מחשוב ובקרת מערכות אלא תהייה כפיפות לגורם אחר כדי שהמבוקר לא יהיה גם הממונה.

גבריאל מימון: מבחינתי היחידה הזאת תאויש בקרוב.

יואל חסון: כרגע עשית בדיקה גם בעקבות הדיון בוועדה, ובוודאי מדוח המבקר, מהן התשובות שקיבלת, למה עד עכשיו הדברים התנהלו בדרך הזאת?

גבריאל מימון: מדובר ברשות שהוקמה באופן מהיר מאוד, על ידי מר יעקב גנות שעשה עבודה מצוינת.

גבריאל מימון: בסך הכל, מדינת ישראל הטילה עליו משימה להקים בפרק זמן קצר מאוד מערכת מאוד מאוד משמעותית, שאמורה להתמודד עם סוגיות מאוד מאוד ברמה הלאומית.

גבריאל מימון: המערכת עדיין לא מאוישת באופן מלא.

גבריאל מימון: עדיין יש המון פוזיציות פתוחות.

גבריאל מימון: יש המון תקנים שעדיין לא אוישו.

גבריאל מימון: המערכת כרגע בהתהוות.

גבריאל מימון: לכן אין לי ספק שבנקודת הזמן הזאת אני לא יוכל לומר באופן ברור שיש יחידה ממונה ושהיא מסוגלת לתת מענה בתחום אבטחת המידע.

גבריאל מימון: לכן מוטלת עלינו החובה, אני גם הנחיתי את היחידה האחראית וגם את היועץ המשפטי, לוודא ולהגיש לי מבנה ארגוני של יחידה שתוכל לכסות את התחום, וכדי שאני אוכל לבקש לאייש אותה.

יואל חסון: תוך כמה זמן תוקם היחידה לאבטחת מידע, ויהיה גם ממונה?

יואל חסון: תגדיר את הזמן כי הוועדה תדרוש זמן.

גבריאל מימון: הייתי מאוד רוצה שתוך שישים יום מהיום, היחידה הזאת תאויש ותוכל לתת לנו מענה בתחום המאוד קריטי הזה.

גבריאל מימון: אני חייב לומר ואני פונה כאן ליושב ראש ולחברי הוועדה, זה תפקיד שאני לא ממלא במשרה מלאה כי יש לי עוד כמה נושאים שאני אחראי עליהם.

גבריאל מימון: אני מכיר בחשיבות, אני מכיר את הצורך ואני אעשה את הכל כדי לאייש וגם כדי לדווח לוועדה על קצב ההתקדמות באיוש היחידה הזאת.

יואל חסון: אמורים למנות מנהל כללי לרשות?

גבריאל מימון: כן בהחלט.

גבריאל מימון: אני אמור לעמוד בראש וועדת איתור ראש רשות ההגירה.

גבריאל מימון: אני מקווה שכבר בשבוע הבא, כך הייתי רוצה, יפורסם כבר על קיומה של וועדת איתור כדי שיהיה ממונה במשרה מלאה לרשות.

גבריאל מימון: לגבי ההערה על משתמשים ששהו בחוץ לארץ, ו/או על משתמשים שנפטרו זה ליקוי.

גבריאל מימון: זה ליקוי ואנחנו צריכים למנוע מצב כזה.

גבריאל מימון: אני גם אמרתי לאנשים שממונים על מערכות המחשוב, שלדעתי, ואני לא מתיימר להיות איש בעל ידע מיוחד במחשוב, אמורות להיות מערכות אוטומטיות שמסוגלות להציף רשומות על שאילתות שלא היו אמורות להיות.

גבריאל מימון: אני מקווה שבפועל יצא בכל חודש, כך הבטיח לי מר ניסים אליאסף שהוא הממונה על תחום המחשוב, כל חודש יצא דוח שינקה את כל הרשומות.

ניסים אליאסף: הליקוי הזה כבר תוקן?

גבריאל מימון: אני שמח לומר שהליקוי תוקן, ואחת לחודש נדמה לי, מתבצעת סריקה וניקוי של כל הרשומות של אנשים שנפטרו כך שלא יוכלו להיות יותר שאילתות לרשומות לא קיימות.

יואל חסון: הצטרף אלינו השר המופקד על שיפור השירות הממשלתי לציבור, אני מודה לך שהצטרפת אלינו השר מיכאל איתן.

גבריאל מימון: הייתי מבקש ממר ניסים אליאסף, להתייחס גם לנושא סקר הסיכונים וגם לגבי התקלה שנמצאה במינהל באילת.

ניסים אליאסף: המערכת היום מוגדרת כמערכת תשתית מידע קריטי, ומונחת על פי חוק של השירות הבטחון הכללי – הרשות לאבטחת מחשבים.

ניסים אליאסף: היא מבקרת אותנו ואנחנו עובדים מול "תו"ל תמר, תורת אבטחה".

ניסים אליאסף: יש לנו רפרנט שמנחה אותנו.

ניסים אליאסף: שיטת ההנחיה בשוטף זה פגישות עם הרפרנט מטעם רא"ם, פגישות של וועדת היגוי לאבטחת מידע שיש במשרד.

ניסים אליאסף: כעת צריך לחדש את המינוי בעקבות הקמת הרשות.

ניסים אליאסף: מבצעים ביקורות איטיות.

ניסים אליאסף: בדיוק הם היום ואתמול באמצע תהליך ביקורת אצלנו.

ניסים אליאסף: בביקורת הזו תמיד נמצאים ליקויים שיש לתקן, כי תמיד יהיו ליקויים.

ניסים אליאסף: ביצענו סקר סיכונים, אחר כך אני אתייחס אליו.

ניסים אליאסף: בצענו הדרכות למשתמשים, הכשרות לבעלי תפקיד – הם ביצעו תרגילי תקיפה מול המערכת, תרגילונים מול המשתמשים על ידי שהם זורקים להם כל מיני סימנים מחשידים והם צריכים לדווח על הסימנים האלה מבלי שהם יהיו מוכנים לכך מראש, ומפעילים כל מיני כלים לסריקת המערכת.

ניסים אליאסף: בעקבות דוח המבקר וביקורות, בוצעו במהלך השנה רשימה של פעילויות שאני יכול להציג אותן, אני לא אקריא אותם כדי שלא יכנסו לפרוטוקול ולא ידעו את פעולות ההגנה שלנו ושיוכלו על ידי כך לתקוף אותנו, אנחנו יכולים להביא רשימה של כל הפעילויות שנעשו בשנת 2009 בתוך המערכת כולל פרויקט אחד של בידוד ליבת המערכת.

ניסים אליאסף: הפרויקט הזה עלה לנו מאות אלפי שקלים.

ניסים אליאסף: נכתבו נהלים בהתאם להנחיות המבקר ועוד כל מיני פעולות, אני אשמח להעביר את זה לידי המבקר או לידי הוועדה.

ניסים אליאסף: אני לא רוצה להקריא אותן בקול מסיבות ידועות.

יואל חסון: אני רוצה להבין, אפילו אחרי הטיוטה כשהדוח פורסם, אתם כמובן ראיתם אותו עוד קודם, מה עשיתם?

יואל חסון: הקמתם וועדה או צוות?

ניסים אליאסף: הקמנו צוות עבודה מול תכנית עבודה, ואפילו תוך כדי הביקורת, איתרנו בעיות, התחלנו לטפל בהן תוך כדי הביקורת.

ניסים אליאסף: קבענו ועשינו סקר סיכונים, וגם תוך כדי הסקר ביקשנו ליידע אותנו אם אותרה בעיה ושצריך להרים דגל עוד לפני הטיוטות, אני מדבר על סקר הסיכונים, ביקשנו שידווחו לנו מיד כדי שנוכל לתקן.

ניסים אליאסף: גם בביקורות שעורכים אתמול והיום בלב המערכת שלנו ביקשנו מהשירות הכללי לדווח לנו מיד על כל תקלה או בעיה שהם נתקלים ולא להמתין עד שנקבל את הטיוטות בעוד שלושה שבועות.

ניסים אליאסף: ביקשנו להודיע לנו מיד.

יואל חסון: אין לי ספק שאתה עובד מדינה מסור ואדם הגון, אבל אתה מדבר על כל הדברים מסביב , אבל איך יכול להיות שבכל התקופה הזאת, גם לפני הדוח וגם אחרי, בין הדברים היותר חשובים שממונה על אבטחת מידע , היחידה הזאת שמדובר שעכשיו תקום, אתה לא עמדת על הרגליים האחוריות שלך ואמרת שאתה לא מוכן להמשיך בצורה הזאת.

יואל חסון: אין שום הוכחה שעשית את זה ואין שום פעולה, למה?

יואל חסון: כי חששת שזה יגביל את יכולת הניהול שלך?

ניסים אליאסף: אמרתי למי שצריך לומר.

יואל חסון: כנראה שלא מספיק חזק.

ניסים אליאסף: עשיתי את זה כמו שאני חושב שצריך לעשות את זה, אבל לא אני קובע.

יואל חסון: עשית את זה חלש מידי.

ניסים אליאסף: אני לא חושב שחלש מדי.

ניסים אליאסף: מבחינת התוצאה לא השגנו את זה, אבל היום יש מנהל כללי חדש ואתה שומע מה הוא אומר.

ניסים אליאסף: הוא אומר שהוא הולך להקים יחידה ולא רק עובד אחד.

ניסים אליאסף: זה לא תפקיד לעובד אחד.

ניסים אליאסף: כי אם יש לנו מאות משתמשים רק של משרד הפנים, ועוד מאות משתמשים של לקוחות חיצונים, מאות שירותים שאנחנו נותנים ללקוחות חיצוניים, זו לא עבודה לבנאדם אחד, והמנהל הכללי הנוכחי הבין את זה.

ניסים אליאסף: מבחינת זליגת המידע - דרך אגב הציון שקיבלנו השנה בנושא של אבטחת המידע מטעם הרשות לאבטחת מחשבים הוא 82, כלומר עלינו לציון 82 ואני מקווה שבשנה הנוכחית נעלה עוד קצת.

ניסים אליאסף: כך שהמערכת היא לא מערכת פרוצה וכל מי שרוצה להיכנס אליה יכול.

ניסים אליאסף: אני לא חושב שזה המצב.

ניסים אליאסף: הבעיה שלנו היא בעיה של זליגת המידע.

ניסים אליאסף: כאן הבעיה העיקרית שלנו.

ניסים אליאסף: מבחינת ההנחיה של שירות הבטחון הכללי, הנושא של ההגנה על הפרטיות הוא לא איום הייחוס, איום הייחוס הוא בעניינים אחרים ועל מה הוא אמור להגן.

ניסים אליאסף: עמדנו על כך שבסקר הסיכונים החברה תבצע גם סקר בנושא של זליגת מידע וקיבלנו על זה ריקושטים ואנחנו צריכים לטפל בהם.

ניסים אליאסף: בנוגע לזליגת המידע אנחנו מעבירים מידע על פי חוק, את המידע אנחנו חייבים להעבירעל פי חוק חוק למשרדי ממשלה, לגורמי בטחון, למפלגות, לגורמים פרטיים כמו שוק ההון, בנקים.

ניסים אליאסף: לכל אלה שמקבלים מאיתנו מידע.

ניסים אליאסף: יש אתר באינטרנט של משרד הפנים ובו רשום מי מקבל מידע, איזה משרדים מקבלים מידע ומהם השדות שהם מקבלים.

יואל חסון: בעניין הזה רציתי לשאול אותך, אמרתי קודם שאני בדקתי קצת והתייעצתי עם אנשי מקצוע בעניין הזה.

יואל חסון: נאמר לי לדוגמה כשרוצים להעביר דיסק עם מידע, ורוצים שהוא יהיה בשימוש אצל גורם אחד בלבד, יש היום פתרונות טכנולוגיים שלא מאפשרים העתקה, לא מאפשרים שכפול.

יואל חסון: ברגע שמתבצעת פעולת שכפול הנתונים משתבשים והמידע לא מסוגל לעבוד במקום אחר.

יואל חסון: תכנות מאוד פשוטות שיודעות לעשות ולשמור על עצמן באופן כזה.

יואל חסון: איך אצלכם לא היה שום תהליך שאמר שאם אתם מעבירים את המידע הזה אז המידע לא בר העתקה, כנראה שאין בררה וחייבים להעביר את המידע הזה, ניתן, ואני יודע שניתן כי קיבלתי הוכחות לדבר הזה, ניתן היה לשכפל דיסקים ולשכפל קבצים ולהעביר מאחד לאחד.

יואל חסון: איך לא התגברתם על הדבר באמצעות טכנולוגיות פשוטות.

ניסים אליאסף: כשאנחנו מעבירים מידע למישהו, הדבר הראשון שהוא עושה זה לשתול את הנתונים בבסיס הנתונים שלו.

ניסים אליאסף: יושבים פה חברים מהמוסד לביטוח לאומי, להם אנחנו נותנים מידע והם מקבלים אותו לצורך שתילתו בתוך המערכת שלהם.

ניסים אליאסף: לא שהם לוקחים דיסק והם עובדים איתו מרחוק.

יואל חסון: זה ברור.

יואל חסון: אני פחות מדבר על המוסד לביטוח לאומי, אני מדבר על גורמים - - -

ניסים אליאסף: אצל כל הגורמים זה כמעט אותו דבר.

ניסים אליאסף: אצל כל הגורמים זה אותו דבר.

ניסים אליאסף: אנחנו התחלנו לעשות, התחלתי לומר והפסיקו אותי בפעם הקודמת, ביוזמתנו שונה החוק בנושא של המפלגות ששם אנחנו שותלים סימנים מיוחדים בכל פנקס בוחרים שאנחנו נותנים.

ניסים אליאסף: לאחרונה אנחנו קיבלנו אישור מהלשכה המשפטית שלנו גם לסמן קבצים שאנחנו נותנים ללקוחות אחרים.

ניסים אליאסף: אנחנו נתחיל עם זה בתקופה המאוד מאוד קרובה.

ניסים אליאסף: זה אומר שהמוסד לביטוח לאומי יקבל מאיתנו נותנים שאנחנו נסמן אותם ואנחנו נודיע לו שאנחנו מסמנים, כמובן שלא נגיד מה סימנו.

ניסים אליאסף: אם חלילה אנחנו נראה בפעם הבאה דליפה נוכל לדעת בוודאות מאיפה הנתונים האלה יצאו.

ניסים אליאסף: אנחנו מדברים על קבצים גדולים של יותר ממאה אלף, אפשר גם בפחות, אבל ברגע שנתחיל לסמן את הנתונים האלה ונודיע לכלל המשתמשים, שימו לב מהיום הנתונים שאתם מקבלים מסומנים בסימון חד ערכי.

ניסים אליאסף: אני מניח שהאמצעים שהם ינקטו כדי להגן על המידע יהיו גדולים יותר.

ניסים אליאסף: להערכתי נצמצם את התופעה, אם לא נמנעה אותה לחלוטין.

ניסים אליאסף: לגבי הליקויים שנאמרו שיש במערכת "אביב" ליקוים כמו חוסר מידע על ארץ העלייה או דברים מהסוג הזה.

ניסים אליאסף: הנתונים במערכת "אביב" הם נתונים היסטוריים משנת 1948.

ניסים אליאסף: בשנות החמישים הנתונים היו על כרטיס מנוקב שסך כל התווים שהופיעו בו היו כשמונים, עשו אז כל מיני כיווצים, כלומר הנתונים היו מאוד מצומצמים.

ניסים אליאסף: בשנת 1966 עברנו לסרטים מגנטיים ואורך הרשומה גדל ל- 117, כלומר הוסיפו עוד כמה נתונים.

ניסים אליאסף: רק עם התפתחות הטכנולוגית בשנת 1976 עברנו לבסיסי נתונים שבו אין כמעט הגבלה לגבי המידע על כל אדם.

ניסים אליאסף: למשל אורך השם שלו, קשרי המשפחה שלו ועוד.

ניסים אליאסף: לא נעשתה פעולה של הסבה רטרואקטיבית, זה אסור עלינו גם כן.

ניסים אליאסף: כלומר אסור לנו לקחת נתון ולשנות אותו מבלי שהאדם יסכים על כך, גם אם מקורו בטעות.

ניסים אליאסף: , למשל אם למישהו יש טעות בשדה הלאום או בדת, ולמרות שאנחנו יודעים שזו טעות, כדי שנתקן את זה אנחנו צריכים לזמן את האדם ולבקש ממנו אישור לתיקון הטעות.

ניסים אליאסף: ואם לא ניתנה הסכמה לבקש מבית משפט אישור עבור התיקון הזה.

ניסים אליאסף: אין לנו את הפריווילגיה לעשות תיקונים אוטומטיים אפילו אם אנחנו יודעים מהי הטעות.

ניסים אליאסף: הליקויים המדוברים כאן הם למעשה חוסרים.

ניסים אליאסף: כשעברו לבסיס נתונים מתקדם יותר לא עשו הסבה על כל התושבים אחורנית.

ניסים אליאסף: , למשל נושא ארץ העלייה נכנס למערכת שלנו רק בשנת 1976, לגבי כל אלה שעלו לארץ לפני 1976 מצוין רק שדה ארץ הלידה שלהם, כי זה מה שהיה.

ניסים אליאסף: עם התפתחות הטכנולוגיה יכולנו להוסיף פרטים נוספים.

ניסים אליאסף: מטבע הדברים יש לנו אלפי רשומות בהם יש חוסרים.

ניסים אליאסף: כדי לעשות מבצע ולתקן את זה, זה ברמה אסטרטגית.

ניסים אליאסף: החלטת המשרד עד היום היא לא.

ניסים אליאסף: זה לא ברמה של מחשוב.

ניסים אליאסף: בתקופה המאוד קרובה אנחנו הולכים לסרוק את כל התיקים הפיזיים ואז לקשור את התיקים הפיזיים לתוך מערכת "אביב" ודרך זה נוכל להשלים מידע.

ניסים אליאסף: כך שכל הנושא של ליקויים מבחינת החוסרים במידע במערכת "אביב" יוכלו להתווסף למערכת "אביב" כתוצאה מהתפתחות הטכנולוגית - הנתונים שנכנסו בשלבים מאוחרים יותר וזה יבוא לידי פתרון.

ניסים אליאסף: זה מבחינת החוסרים.

ניסים אליאסף: כפי שהמנהל הכללי אמר, אנחנו מסכימים עם דוח המבקר בדברים הרבים שנאמרו.

ניסים אליאסף: ,ועשינו פעולות לתקן את הליקויים.

ניסים אליאסף: ביצענו תיקוני ליקויים שעצרו לנו תכניות פיתוח של נושאים אחרים, זה מה שצריך לעשות וזה ובסדר, וצריך לקבל החלטות כאלה.

ניסים אליאסף: בנושא של הרשאת מנהל, נמצא פה עמוס ארבל מנהל אגף מעמד ברשות והוא יסביר אותו.

יואל חסון: אנחנו נרצה לשמוע גם את היועץ המשפטי של הרשות.

ניסים אליאסף: אם ההרגשה הייתה שהמערכת הממוחשבת מאוד פרוצה וכל מי שרוצה חודר ולוקח נתונים, לדעתי זה לא כך.

ניסים אליאסף: אני לא אומר שהמערכת מושלמת, כי אין מערכות מושלמות.

ניסים אליאסף: העלו פה את הנושא של מאגר ביומטרי, אני חושב שזה משהו אחר, המאגר הזה יישב בכלל במקום אחר והוא לא ינוהל על ידנו, זה יהיה מאגר סודי ובלי פרטים אישיים.

ניסים אליאסף: הנתונים האלה רגישים הם אינם סודיים.

מיכאל איתן: מה ההבדל בין סודי לרגיש?

ניסים אליאסף: כפי שאני יודע, מידע סודי זה מבחינת סוד מדינה.

ניסים אליאסף: גם בנהלים של אבטחת מידע, ההגדרה קובעת גם את אופן ההגנה.

מיכאל איתן: ומה זה רגיש?

מיכאל איתן: מאיפה אתה לוקח את ההגדרה?

מיכאל איתן: באיזה חוק כתוב רגיש או סודי?

ניסים אליאסף: בנהלים שקיבלנו בנושא אבטחת מידע יש את ההגדרה של רגיש ולא את ההגדרה של סודי.

ניסים אליאסף: אני לא יודע אם זה בחוק הגנת הפרטיות, אבל מבחינת צנעת הפרט זה לא סודי וזה מוגדר כרגיש, זה מה שאני יודע.

ניסים אליאסף: ברגע שאתה מגדיר משהו אתה צריך לגזור מההגדרה את חליפת ההגנה.

אורי אריאל: מי מגדיר?

ניסים אליאסף: שירות הבטחון הכללי מגדיר, הוא הגדיר את המערכת שלנו כמערכת נחוצה.

מיכאל איתן: מי מגדיר על פי חוק הגנת הפרטיות, מי מגדיר את רמת האבטחה?

מיכאל איתן: עזוב כאן את בעיות הבטחון של המדינה.

מיכאל איתן: אנחנו מדברים כעת על חוק הגנת הפרטיות.

מיכאל איתן: למה זה רק רגיש?

מיכאל איתן: האם יש דרגה גבוהה יותר מרגיש?

מיכאל איתן: האם יש דרגה נמוכה מרגיש?

יואל חסון: יש למישהו עוד שאלות למר ניסים אליאסף.

יואל חסון: נציגי המבקר?

אורי אריאל: אני מציע שהשאלה תעמוד גם מול הדוברים האחרים.

אורי אריאל: כשאני שומע "בזמן הקרוב", אני מבין.

אורי אריאל: יש לוח שנה והאם אתם מוכנים, גם אתה וגם אחרים, לומר שהליקוי הזה יסתיים כבר בתאריך כזה וכזה, הליקוי הזה יסתיים בתאריך הבא.

אורי אריאל: יש לכם תכנית עבודה וזו וועדת ביקורת המדינה, מה יצא בסוף, בעזרת ה' הכל יסתדר בסוף.

אורי אריאל: הרי אם נרצה לעקוב שוב מחר, נציין שבזמן הקרוב?

אורי אריאל: איזה תאריך זה אצלכם?

ניסים אליאסף: כפי שאמרתי, בעזרת ה', יש לנו - - -

אורי אריאל: אני בדקתי, ה' רוצה וכעת נשאלת השאלה אם אנחנו רוצים?

ניסים אליאסף: אני רגיל לומר בעזרת ה', אמרתי שאני מוכן להעביר דיווח על כל מה שביצענו במהלך כל השנה, ומה שהולך להתבצע במהלך השנה הקרובה.

יואל חסון: יועבר לוועדה.

יואל חסון: חבר הכנסת אורי אריאל, אנחנו בוועדה נגדיר גם את לוחות הזמנים, גם אם הם לא יחליטו אנחנו נציע להם לוחות זמנים.

עמוס ארבל: בעקבות דוח המבקר והפעילות הפלילית שהייתה בלשכה באילת, עליה עלו דרך המשטרה, עלינו בעקבות הדוח הזה על ארבעה תהליכים שהם בעיתיים וצריך לטפל בהם בצורה שונה ממה שהיה עד אז.

עמוס ארבל: לשם כך ניתחנו את ארבעת התהליכים שעיקרם ועניינים בהנפקת דרכונים לאנשים שאינם זכאים לכך.

עמוס ארבל: באילת תרגמו את זה לפעילות פלילית ובמקרים אחרים זה היה "שלא בסמכות" אבל זה התבצע דרך הלשכות של הרשויות.

עמוס ארבל: הוחלט אז על ידי ראש הרשות על תהליך שנקרא "הרשאת מנהל", שהפעילות עצמה תתחיל על ידי פקידים בלשכה, אבל לא יהיה ניתן להשלים אותה ולנפק את הדרכון ואת התיעוד הנדרש, אלא על יד גורם מוסמך במטה שייתן את ההרשאה וילחץ על Enter, וישחרר את אותה פעולה ואז יהיה ניתן לבצע את הפעילות בלשכה.

עמוס ארבל: כמובן שלאחר בירור על ידי אותו סמכות ובעל תפקיד במטה בירושלים שידע מתוקף סמכותו והמקצועיות שלו לטפל במקרה ולתת את המענה הרלוונטי.

עמוס ארבל: על ידי כך המענה המקצועי מול הלשכות יהיה הרבה יותר טוב.

עמוס ארבל: במקרים, חלילה, שהם פליליים או לא ענייניים יהיה אפשר לחסום את זה דרך המטה.

עמוס ארבל: היו ארבעה תהליכים כאלה.

עמוס ארבל: לאחר החלתם ותחילת הפעילות הזאת של "הרשאת המנהל", עלתה זעקה מהשטח, גם מהפקידים ועובדי הרשות בשלושים הלשכות ברחבי הארץ, וגם על ידי הציבור עצמו שטען שהפעילות הזו היא מסובכת יותר ובירוקרטית יותר.

עמוס ארבל: העברת המשך הטיפול למטה, למרות שזה במחשבים, זמינות אנשי המטה היא לא זמינות מידית כמו בלשכה עצמה.

עמוס ארבל: העניין צף בזעקה מול ראש הרשות בטענה שקשה מאוד להתמודד עם הסוגיה של "הרשאת המנהל" במטה בירושלים.

עמוס ארבל: העניין הזה עלה שנית לראש הרשות לבדיקה והוא החליט שאחד מתוך הארבעה בלבד תשוחרר על ידי המנהל או סגן בלשכה עצמה וכל יתר השלושה יישארו כמו שהיה בהחלטה הראשונה ושהם יבוצעו דרך המטה.

עמוס ארבל: כאשר הפשוט והקל ביותר מתוך הארבעה שוחרר, מדובר כאשר שאדם בא ללשכה ומבקש למשל את הדרכון בלשכה ובמערכת "אביב" רשום שהוא נמצא בחוץ לארץ, אבל הוא נמצא פיזית בתוך הלשכה.

עמוס ארבל: הבעיה רק במערכת רישום הגבולות שלא עדכנה את מערכת "אביב", מפאת תקלה טכנית או הזמן.

עמוס ארבל: אבל האדם נמצא בלשכה ואי אפשר לבצע לו שום פעילות היות והוא רשום שהוא נמצא בחוץ לארץ.

עמוס ארבל: במקרה כזה כשיש זיהוי וודאי שזה האדם וזיהו אותו, רק אז הפקיד יכול לקבל את הבקשה ומנהל הלשכה יכול לתת את ההרשאה.

עמוס ארבל: גם כאן שני אנשים צריכים לעשות את זה וזו הגבלה שלא הייתה קיימת בעבר שאדם אחד קיבל את הבקשה והוא זה שגם יכול לבצע את כל התהליך עד תומו.

עמוס ארבל: החידוש הוא ששני אנשים צריכים לאשר.

עמוס ארבל: כך מצאנו את הפתרון לבירוקרטיה ולקצר את כל התהליכים וגם לסגור את כל המערכת.

ברכה פלאוט: המבקרת הפנימית של משרד הפנים.

ברכה פלאוט: אני מבקשת רק להבהיר שהאחריות למינוי ממונה אבטחת מידע, היא על הנהלת המשרד ולא על מנהל אגף המחשוב.

ברכה פלאוט: לצערי, לא הצלחתי במשך שנים לשכנע את המשרד למנות ממונה אבטחת מידע.

ברכה פלאוט: בעבר זה אפילו הוטל על מנהל אגף המחשוב כדי לחסוך במשאבים.

ברכה פלאוט: לדעתי הנושא הזה אינו מוסדר ואני בררתי בכמה משרדי ממשלה, נכון שלהם יש מאגרים פחות רגישים אבל בכל המשרדים שבררתי, ממונה אבטחת מידע כפוף למנהל מאגר המידע או שמנהל מאגר המידע מבצע את זה תוך כדי עבודתו.

ברכה פלאוט: מנהל האגף לביקורת המדינה במשרד ראש הממשלה הוציא אומנם נוהלי מסגרת לאבטחת מידע, אבל הם לא מחייבים אף אחד.

ברכה פלאוט: מה שנעשה בצורה וולונטרית מתייחסים אליו כך.

ברכה פלאוט: אני חושבת שצריך להסדיר את העניין ולהבהיר מה מעמדו של מנהל אבטחת מידע, ומה הכישורים הדרושים.

ברכה פלאוט: לדעתי הנושא לא מוסדר וזאת ההזדמנות לתקן.

יואל חסון: מה לדעתך ברמה הכלל משרדית, האם אפשר לעשות כדי לקדם את זה, ומי לדעתך צריך?

ברכה פלאוט: משרד המשפטים צריך לקבוע את הכללים.

מיכאל איתן: יש רשות לאבטחת מידע.

יואל חסון: אנחנו נתייחס לזה.

יואל חסון: אני מודה לך על התוספת החשובה הזאת.

יואל חסון: אני מבקש לשאול אותך מר דניאל סולומון, היועץ המשפטי של הרשות, כמה זמן אתה יועץ משפטי?

דניאל סולומון: פורמלית מ- 1 בינואר, אבל הייתי עוד במשרד הפנים.

יואל חסון: אתה יודע שנושא אבטחת מידע זה בחוק?

יואל חסון: למעשה זה תחת קורת גגך, הייתה הפרת חוק ואתה אפילו לא התרעת בעניין.

דניאל סולומון: אני מתחבר לדברים שנאמרו כאן.

דניאל סולומון: ראשית הרשות הוקמה לפני כשנה, באמצע יולי 2008.

יואל חסון: היועץ המשפטי, תתייחס לנושא של משרד הפנים כי אנחנו מתייחסים לדוח על משרד הפנים, ואני אומר לך שוב, אני לא צריך הסברים כי כולנו קראנו וכולנו מבינים, שאלתי שאלה מאוד ברורה, ואל תחזור על מה שאנשים כבר אמרו, שהרשות חדשה ושהיא הוקמה מהר.

יואל חסון: אני שואל, אתה היית גם לפני תקופת הרשות, הרי זה לא מאגר חדש, גם עוד לפני הקמת הרשות יש הנחיה בחוק למנות את התפקידים האלה.

יואל חסון: החוק לא קוים ואתה יועץ משפטי, איך אתה נתת לזה לקרות?

דניאל סולומון: אם אנחנו מדברים לפני תקופת הקמת הרשות, בחיבור שלנו בשוטף בעניין מאגר הממוחשב זה בהעברת מידע לגופים חיצוניים.

דניאל סולומון: לפי חוק הגנת הפרטיות ולפי התיקון של חוק מרשם האוכלוסין, יש טופס ברור איך מעבירים את המידע ומי צריך לאשר?

יואל חסון: לא מדברים על העברת המידע.

דניאל סולומון: זה הקשר שלי לנושא ואני תכף אתייחס.

יואל חסון: הקשר שלך לנושא זה שקודם כל שתקופתך הופר החוק, זה הקשר המרכזי שלך.

יואל חסון: אתה יועץ משפטי.

יואל חסון: אם אזרח, ואני אמרתי את זה בפעם הקודמת, אם אזרח היה עומד מולך ועובר על החוק בהקשר שלכם הייתם רודפים אותו עד קץ הימים.

יואל חסון: כל האנשים סביבך עברו על החוק ואתה היית בסדר עם זה ואפילו לא הוצאת נייר על כך.

דניאל סולומון: אני מתמקד, עוד שני משפטים אני שם.

דניאל סולומון: הקשר הישיר שלנו לנושא זה דרך העברת המידע.

דניאל סולומון: יש שם טפסים ברורים עליהם חותמים.

דניאל סולומון: אחד מהחותמים על הטופס לפני שמעבירים מידע, לצד היועץ המשפטי, ויש לנו שתי עורכות דין שעסקו בזה בשוטף, הוא הממונה על אבטחת המידע במאגר.

דניאל סולומון: כל הטפסים בשנים האחרונות נחתמו על ידי מר ניסים אליאסף כממונה על אבטחת מידע .

יואל חסון: הוא לא היה ממונה על אבטחת מידע.

דניאל סולומון: מסתבר שהוא לא היה ממונה על אבטחת מידע, וזה נכון.

דניאל סולומון: אני אומר שלולא הוא היה חותם זה היה נעצר והמידע לא היה מועבר וכנראה הנושא היה מתפוצץ באיזו צורה.

דניאל סולומון: ציינה כאן קודם הגברת ברכה פלאוט, היו דברים שאני גיליתי בדיעבד, שכבר לפני שנים הנושא עלה במשרד הפנים ונדון, ביקשו למנות ולא מינו.

דניאל סולומון: אבל בתקופה שאני עוסק בנושא הזה אנחנו לא היינו מודעים לכך שמר ניסים אליאסף לא היה מוסמך לחתום כממונה על מאגר מידע.

דניאל סולומון: המנהל הכללי גם דיבר על כך שמונה מישהו אחר בשלב כלשהו עם הקמת הרשות, והוא עסק גם בדברים אחרים.

דניאל סולומון: אבל לנו לא הייתה שום מודעות לכך, הרי החוק לא מדבר על מינוי ששר הפנים או משהו דומה.

דניאל סולומון: צריך שזה יהיה אדם שזה תפקידו.

דניאל סולומון: ומי שחתם כממונה היה ניסים אליאסף והוא גם תיאר כאן שהוא נבדק שוב ושוב על ידי השירות, על ידי שירות הבטחון בכללי, והוא קיבל מינוי של ממונה תשתית קרדיט וכדומה, לכן ההבנה הייתה, גם כשראינו שהוא עוסק בנושא שהוא הממונה על התחום.

דניאל סולומון: זו הייתה ההבנה שלנו ומסתבר בדיעבד שלא כך.

יואל חסון: מצאת דרך לסתום את החור, וסתמת אותו.

דניאל סולומון: לא חיפשתי דרך, זה לא הוצג בעיניי כבעיה.

דניאל סולומון: ההבנה שלי הייתה שיש ממונה לאבטחת מידע.

דניאל סולומון: זו לא בעיה שחיפשתי והתעלמתי, לא הייתה בעיה בכל מה שקשור אלי, לידיעתי לא הייתה בעיה.

יואל חסון: ליבי ליבי למר ניסים אליאסף.

יואל חסון: אתה יודע שכדי שאתם תשנו בשקט, הוא נאלץ לקורא לעצמו בתפקידים שהוא לא ממונה.

יואל חסון: הוא נאלץ להתחזות והוא סוג של מתחזה, בגלל שאתה רוצה להיות רגוע ושיהיה מי שיחתום על הטופס, אחרת הכל היה תקוע.

דניאל סולומון: הדבר האחרון שאני רוצה להיות, זה רגוע.

דניאל סולומון: שוב אני אומר, הנושא לא הוצג בפניי כבעיה מעולם.

יואל חסון: אני רוצה לשאול שאלה אחרת.

יואל חסון: מה עשית מרגע שגילית?

דניאל סולומון: מהרגע שהנושא הוצף, העלו כאן בדיון, שצריך למנות מישהו.

יואל חסון: מתי תעשו את זה?

יואל חסון: עכשיו הוא דיבר על כך, אבל כשבאתם בפעם הקודמת לא היו תשובות על זה.

יואל חסון: מאז ישיבת הוועדה פתאום נכנסו למסלול של ממונה אבטחת מידע.

יואל חסון: מה קרה קודם?

יואל חסון: הטיוטה אצלכם בוודאי תקופה מאוד ארוכה.

יואל חסון: שום פעולה בעניין הזה לא נעשתה לא על ידך ולא על ידי אף אחד אחר במשרד הפנים.

דניאל סולומון: כפי שאמר, המנהל הכללי מונה - - -

יואל חסון: אל תגיד לי מה שהמנהל הכללי אמר, המנהל הכללי חדש.

דניאל סולומון: אני מתאר את העובדות.

דניאל סולומון: מונה אדם, וכמו שציין המנהל הכללי כנראה לא עסק בזה בפועל, בתחום.

דניאל סולומון: אבל מונה אדם.

יואל חסון: מר ניסים אליאסף, אתה מונית לממונה אבטחת מידע.

יואל חסון: יש לך מינוי כזה?

ניסים אליאסף: של תשתית מידע קריטי, לא של אבטחת מידע.

תומר רוזנר: מאז שהגיע טיוטת המבקר שאומרת, שמתבצעת לכאורה עבירה פלילית.

יואל חסון: מספטמבר מה נעשה?

דניאל סולומון: כפי שאני אומר, מונה אדם אחר לתפקיד הזה, הוא מונה עוד קודם לכן וכפי שציין המנהל הכללי הוא לא עסק בזה.

יואל חסון: מי זה האדם הזה?

דניאל סולומון: הוא נמצא כאן ושמו דוד פאר.

יואל חסון: דוד פאר, אתה מונת למה, ומתי?

דוד פאר: לפי מיטב ידיעתי ועל פי המכתב שראיתי מה- 1 ביולי.

גבריאל מימון: אני מוכרח להתייחס כבוד היושב ראש, אין ספק, ואני ציינתי את זה ולא ניתן לטייח, היה כאן כשל.

גבריאל מימון: היה אדם שמונה, אני לא יודע אם הוא ידע שהוא מונה, רבותיי אני קיימתי ישיבה.

מיכאל איתן: אולי זה קשור לצנעת הפרט שלו.

גבריאל מימון: השר מיכאל איתן, אני באמת מנסה לענות רצינית.

גבריאל מימון: אני אומנם פחות משבוע בפוזיציה הזאת, אבל מיד כשנודע לי, אמרתי שזאת בעיה.

גבריאל מימון: זאת בעיה שאין כתב מינוי לאדם באופן ברור ושהוא מבין את התפקיד ושהוא קשור לתפקיד ושיש לו כישורים.

יואל חסון: הוא מתעקש על כך שהאדם קיבל מינוי.

גבריאל מימון: האדם קיבל מינוי לאחרונה ביולי, כשהתעורר העניין הזה.

יואל חסון: אתה מתווכח על כך?

דניאל סולומון: כן אני מתווכח.

דניאל סולומון: אין בחוק הגדרה של כתב מינוי.

דניאל סולומון: צריך אדם שזה יהיה תפקידו.

דניאל סולומון: אני מציע.

דניאל סולומון: השאלה מה היה תפקידו כשהוא הגיע למשרד.

דניאל סולומון: האיש הגיע באוגוסט 2008 כמה שבועות לאחר שהוקמה הרשות.

דניאל סולומון: השאלה מה היה תפקידו.

יואל חסון: אבל הוא לא מילא אותו.

דניאל סולומון: על זה אני לא יכול לענות לך.

דניאל סולומון: באמת אני לא יכול לענות לך.

יואל חסון: אני מבקש שהשר מיכאל איתן יתייחס.

מיכאל איתן: אני לא רוצה להתייחס, אני גם לא מתמצא בפרטים.

מיכאל איתן: בגדול, אנחנו מבינים את הסיטואציה.

מיכאל איתן: אנחנו מסתכלים על כך כתופעה.

מיכאל איתן: יש טכנולוגיה, והטכנולוגיה מסייעת ויכולה להשיג מטרות חיוביות.

מיכאל איתן: אז באופן טבעי לגמרי בני אדם משתמשים בה ומנצלים אותה.

מיכאל איתן: יש בה גם סיכונים, הצד של הסיכונים נדחק ונגרר תמיד אחורה.

מיכאל איתן: מדינת ישראל וממשלת ישראל לא ערוכה לטפל איפה שצריך לשלם עבור השימוש.

מיכאל איתן: כשמקבלים את השימוש בטכנולוגיה וכולם נהנים ומריצים אותה אז הכל בסדר.

מיכאל איתן: איפה שצריך לשלם, כלומר להשקיע בשמירה ובאבטחה ובדברים קשים שלא רואים מהם כרגע איזה יתרון, הם עושים רק מניעה מפני פריצה, וזה הדבר האחרון שעליו מוצאים את הכסף.

מיכאל איתן: כשפקיד מקבל הוראה מהמנהל הכללי "נא להביא לי מידע שאני אוכל לתכנן את הפעילות שלי", אז יש תקציב והכל בסדר.

מיכאל איתן: כשבאים למנהל הכללי ואומרים לו שיכולה להיות פריצת מידע.

מיכאל איתן: התשובה היא שזה לא הכי דחוף ושיש עוד זמן.

מיכאל איתן: מטילים את זה על פלוני ועל אלמוני וזה מתדרדר עוד ועוד.

מיכאל איתן: יש כאן בעיות של ניגוד אינטרסים בין בעלי תפקידים, שאחד מהם צריך להביא את המידע והשני היה צריך להיות זה שמגביל את היעילות תמורת אבטחת המידע.

מיכאל איתן: אבל זה לא הולך.

מיכאל איתן: בעיניי מה שעולה מהדוח הזה, זה לאו דווקא משרד הפנים, ואני גם לא רוצה לדבר רק על משרד הפנים כי מזווית הראיה שלי ההתבוננות על ממשלת ישראל ברמה הלאומית.

מיכאל איתן: הקימו רשות לאבטחת מידע, רשות הגנת הפרטיות וטכנולוגיות המידע.

מיכאל איתן: זה הגוף המרכזי של ממשלת ישראל שנמצא במקום שבו גם צריכה להיות מודעות יותר חזקה לנושאים של ההגנה על כל זכויות האדם, ופרטיות היא אחת מהם.

מיכאל איתן: נראה לי שההערכות בנוגע לאבטחת המידע ושמירת הפרטיות הייתה צריכה להגיע משם.

מיכאל איתן: אם היה להם מספיק כוח הם היו צריכים להיות הגוף המפקח על כל משרדי הממשלה, ולוודא שהדברים האלה נעשים.

מיכאל איתן: הם כגוף עצמאי פחות כפופים, אני רואה את היועץ המשפטי מתפתל, אני מבין למה הוא מתפתל.

מיכאל איתן: לו לא היה מספיק כוח לעמוד מול האינטרסים של המשרד שאומרים בואו נתקתק את זה, באו נריץ, בואו נעשה.

מיכאל איתן: אני הייתי מצפה שיהיה גוף מרכזי שזה יהיה תפקידו והוא זה שיעשה את הבקרות השוטפות שבכל המשרדים אכן ממלאים אחר ההוראות והתקנות.

מיכאל איתן: אני חושב שבשביל זה הם קמו וזה הפתרון שאני חושב שצריך להיות.

יואל חסון: אנחנו נקבל את ההתייחסות של חברי הכנסת, דב חנין בבקשה.

דב חנין: שוב אני רוצה לפתוח בתודה למבקר המדינה ולצוותו על הביקורת שחושפת בפנינו ליקויים שאנחנו צריכים להידרש להם ולטפל בהם.

דב חנין: כמו השר מיכאל איתן אני לא רוצה להתייחס למקרה הקונקרטי שאני באמת לא מכיר אותו עד הסוף ואני לא השתתפתי גם בדיון מתחילתו.

דב חנין: אני מניח שניתנו הסברים והגורמים המבוקרים מנסים לטפל בבעיה.

דב חנין: אני רוצה לדבר על ההשלכות הרוחביות ממה שאנחנו רואים בממצאי מבקר המדינה.

דב חנין: עוד משנת 1981, עמיתיי חבריי הכנסת, יש לנו במדינת ישראל את חוק הגנת הפרטיות שמגן באופן משפטי ברור על המידע הפרטי והאישי שלנו, כל הנתונים על האישיות שלנו, על המעמד האישי שלנו, צנעת הפרט, מצב הבריאות, מצב כלכלי, הכשרה מקצועית, דעות, אמונות, כל זה מוגן מכוח חוק הגנת הפרטיות מ-1981.

דב חנין: במשרדי הממשלה השונים, אני יודע, נקבעו נהלים והיו גם נהלים בשני המשרדים הרלוונטיים, גם במשרד הפנים היו נהלים וגם במוסד לביטוח לאומי היו נהלים.

דב חנין: אבל מסתבר, שכמו שיש נהלים יש גם ליקויים ופרצות.

דב חנין: דוח מבקר מגלה כמה מהליקויים האלה.

דב חנין: אנחנו מחלקם יכולים מאוד להתרגז כי בנובמבר 2003 מבקרת הפנים מתריעה על מחדלים באבטחת המידע בפני הנהלת המוסד לביטוח לאומי ולא קורה שום דבר במשך כמה שנים זה באמת מרתיח.

דב חנין: אבל באמת זה לא מקרה בודד.

דב חנין: כי באוגוסט 2006 מנהל החטיבה לאבטחת מידע יודע שצריך לרכוש חומרה מסוימת והוא אף יודע איזו חומרה צריך לרכוש כדי שהתכנה שמטפלת באבטחת מידע תפעל, ובכל זאת הוא לא נערך בהתאם.

דב חנין: יש ליקויים שהם רוחביים, והם לא נוגעים רק לפעולה לקויה של הנהלת המוסד לביטוח לאומי אלא זה נוגע גם למשרדים אחרים.

דב חנין: אנחנו רואים את זה גם במשרד הפנים.

דב חנין: אני אומר בצער שמן המפורסמות שבמדינת ישראל סוחרים בנתונים שאמורים להיות נתונים ששמורים בידי משרד הפנים.

דב חנין: סוחרים בהם.

דב חנין: מבקר המדינה בודק שני משרדים, הוא לא בודק עוד הרבה משרדים אחרים שבידיהם יש נתונים שלנו.

דב חנין: אני אומר בצער, בחשש, שסביר להניח שאם במשרדים אחרים היו בודקים היו רואים, אולי לא אותם הליקויים, אבל ליקויים כאלה ואחרים קיימים ושמאפשרים בהחלט דליפה של המידע האישי שלנו האזרחים לידים שאינן מורשות ואינן ראויות.

דב חנין: השאלה הגדולה היא, מהו הלקח מהדברים האלה?

דב חנין: מבחינתי הלקח העקרוני הוא לקח של הבחנה בין שני סוגי מידע.

דב חנין: יש מידע שהוא מידע חיוני.

דב חנין: הרשויות חיבות אותו ובלעדיו הן אינן יכולות לתפקד, את המידע הזה הן צריכות כנראה לצורך התפקוד שלהן ולכן הוא צריך להיות בידהן.

דב חנין: אבל על המידע הזה הרשויות צריכות להגן מכל משמר.

דב חנין: אני אומר את זה מתוך הנחה שגם המידע החיוני הזה לא בטוח, אבל אין בררה כי הרשויות לא יכולות לתפקד בלי שהמידע הזה יהיה בידהן.

דב חנין: לכן אנחנו כחברה, מוכנים לשלם את המחיר שיהיו לנו תקלות, והיו לנו תקלות כי כל רשת שבונים אותה, ושמתכננים אותה יש בה פרצות.

דב חנין: אם אין בה פרצות אז יש מי שמחורר אותה.

דב חנין: כל מערכת לאבטחה, כך למדתי, ניתנת לפריצה במקודם או במאוחר באופן כזה או אחר.

דב חנין: מידע חיוני שהרשויות לא יכולות בלעדיו, אין לנו מנוס, ניתן אותו בידיהן ונקווה לטוב, ונשתדל שמבקר המדינה הנמרץ יחשוף ליקויים ושהרשויות יתקנו בזמן.

דב חנין: ככל האפשר נשמור על המידע הזה מפני ידיים שאינן מורשות.

דב חנין: לעומת זאת, ישנו מידע שאיננו חיוני, שאפשר לחיות בלעדיו.

דב חנין: יש גם מידע כזה ומידע כזה ראוי לא לרכז בידי הרשות.

דב חנין: מטבען של רשויות שהן אוהבות לרכז בידיהן גם כוח וגם מידע, וגם נתונים.

דב חנין: בשעה 12:30 היום אנחנו מגיעים לישיבה גורלית בנושא חוק המידע הביומטרי שהוא לפי טעמי מידע שהרשות לא צריכה אותו.

דב חנין: היא באמת לא צריכה אותו והיא יכולה להסתדר נהדר בלעדיו.

דב חנין: אבל הנה אנחנו מחוקקים, ונמצא איתנו השר מיכאל איתן שהוא אחד המובילים את ההתנגדות למהלך הזה, זה מהלך חפוז ומסוכן.

דב חנין: אנחנו מובילים מהלך של יצירת מאגר אדיר של מידע שהוא לא באמת חיוני, הוא לא באמת דרוש.

דב חנין: הרשויות יכולות להסתדר בלעדיו היטב.

דב חנין: , גם תעודות זהות חכמות יכולות להיות בלעדי מאגר המידע הביומטרי הזה.

דב חנין: אבל אנחנו עושים את זה וזה מאוד מאוד מצער וגם מאוד מאוד מדאיג.

דב חנין: אני רוצה לסיים בכך אדוני היושב ראש.

דב חנין: אנחנו לא לומדים את הלקחים הרוחביים.

דב חנין: אנחנו קוראים את דוח מבקר המדינה, מזמנים ישיבה.

דב חנין: שואלים את הגופים המבוקרים והגורמים המבוקרים כבר קיבלו ביקורת.

דב חנין: הם יתקנו, אם הם לא יתקנו מחר אז מחרתיים.

דב חנין: השאלה הגדולה היא לא להסתכל על אותו דבר שנמצא מתחת לפנס שמבקר המדינה כבר הדליק, שם כבר יש אור וזה כבר מטופל.

דב חנין: השאלה הגדולה היא, מהו הלקח הרוחבי שאנחנו כחברה, שאנחנו כמדינה, שאנחנו כמערכת לוקחים מתוך האור הזה למקומות שנמצאים היום בחושך.

דב חנין: איזה לקח רוחבי אנחנו לוקחים, איזה לקח רוחבי אנחנו מיישמים, מה אנחנו לומדים מהליקויים האלה באבטחת המידע, ועל הצורך להגן על עצמנו כחברה מפני צבירה של מידע לא חיוני.

דב חנין: מבחינתי זה הלקח החשוב ביותר של הדוח הזה.

דב חנין: לכן אני רוצה לחזור ולהודות למבקר על העבודה החשובה שהוא עושה.

יואל חסון: בדיוק בגלל זה , ובעניין הזה אנחנו ניגע גם בעקבות מה שאמרה מבקרת הפנים לגבי המשרדים האחרים.

יואל חסון: הוועדה תתייחס גם לזה.

יואל חסון: הוועדה רוצה לשמוע את עורכת דין אורית קורן, המשנה ליועץ המשפטי לממשלה.

יואל חסון: תתייחסי גם לעובדה הזאת שהחוק הזה, כמו שנאמר, זו עבירה פלילית כשאין ממונה אבטחת מידע, ולמעשה הייתה עבירה או לא קוים החוק.

יואל חסון: ואולי זה קורה במשרדים אחרים.

יואל חסון: הייתי רוצה לדעת מה אתם עושים בעניין הזה וכיצד אתם מפקחים ומוודאים שהדברים האלה אכן מקוימים.

אורית קורן: באופן עקרוני אנחנו כיועץ משפטי לממשלה לא מפקחים באופן אקטיבי בכל הנוגע בכלל למילוי החוק ועל הדרך בה מתנהלים המשרדים.

יואל חסון: מי צריך לבצע את זה?

אורית קורן: לא בכל דבר יש גורם כזה.

אורית קורן: פה באופן עקרוני, קיימת הרשות להגנת הפרטיות ויש לה היום סמכויות פיקוח ואכיפה מוגבלות.

אורית קורן: כאשר יש הבנה בקרב הרשות וגם אצלנו שיש מקום לתגבר את הסמכויות גם של הפיקוח וגם של האכיפה.

אורית קורן: גם כלפי גורמים חיצוניים וגם כלפי גורמי ממשלה.

אורית קורן: הנושא הזה נמצא בתהליך של הכנה של תזכיר לתיקון החוק.

יואל חסון: מי מכין את זה?

אורית קורן: הרשות, ביחד עם מחלקת ייעוץ וחקיקה במשרד המשפטים.

אורית קורן: זה נמצא כבר בשלבים מתקדמים של הכנה.

אורית קורן: כדי שבאמת יהיה אפשר לשפר את יכולת הפיקוח, כי באמת תפקיד הפיקוח צריך להיות בידי - - -

יואל חסון: מה לוח הזמנים לתזכיר החקיקה הזה?

אורית קורן: אנחנו מאוד מקווים ומשתדלים שנוכל להגיש אותו לכנסת כבר במושב הבא.

יואל חסון: שלושה, ארבעה חודשים.

אורית קורן: זאת השאיפה שלנו.

אורית קורן: אנחנו עובדים על זה במרץ.

אורית קורן: רק השבוע הזה אנחנו מקיימים שתי ישיבות בנושא ויש עוד כמה ישיבות.

אורית קורן: אנחנו עובדים על זה במרץ ואנחנו רואים בזה אינטרס חיוני.

אורית קורן: יש פה גם צורך להקדיש מחשבה איך נכון לבנות את כל הנושא של הממונה על הגנת הפרטיות.

אורית קורן: אבטחת מידע היא לא אחד לאחד עם הגנת פרטיות.

אורית קורן: הגנת מידע משרתת, במידה מסוימת, את הגנת הפרטיות, אבל היא גם משרתת אינטרסים אחרים, וזה עלה גם פה, כמו אבחנה בין מידע סודי, מידע רגיש.

אורית קורן: מידע רגיש זה מונח מתחום הגנת הפרטיות.

אורית קורן: מידע סודי, הוא מתחום הגנה על בטחון המדינה.

אורית קורן: לפעמים יש חפיפה בין שני הדברים.

אורית קורן: אותם צעדים שננקטים על פי ההנחיות שירות הבטחון הכללי גם מגינים על הפרטיות, אבל ברור שצריכה להיות מודעות לאינטרס לשמירת בטחון המדינה וגם על הפרטיות ולעשות לפעמים פעולות שאינן חופפות.

אורית קורן: לרוב הן לא מתנגשות אבל לפעמים צריך לעשות פעולות נוספות כדי להגן על הפרטיות ולא להסתפק רק על ההנחיה של שירות הבטחון הכללי לגבי אבטחת מידע מטעמי בטחון המדינה.

אורית קורן: זה נושא שאנחנו מקדישים לו מחשבה, אנחנו נקדיש לזה מחשבה גם במסגרת תיקונים, זה לא התיקון היחידי שנמצא על הפרק מבחינתנו לחוק הגנת הפרטיות.

אורית קורן: אני לא בטוחה שנכון לעסוק בזה דווקא בקונטקסט של התזכיר הנוכחי של התמקדות על פיקוח ואכיפה.

אורית קורן: זה נושא שבפתחינו.

אורית קורן: עכשיו שזה נושא שמתחדד.

אורית קורן: אפשר גם לקיים תהליכי חשיבה ולראות עד כמה, על יסוד החוק הקיים, אפשר לתת איזה אמות מידה בנושא הזה.

אורית קורן: ואם לא לבחון איך אפשר לשפר את החקיקה.

יואל חסון: תיקון חקיקה זו הזדמנות מעולה להתיישר לתוך הכיוון.

יואל חסון: גם מתוך הפקת הלקחים.

אורית קורן: לטעמנו, ישנם הרבה נושאים בתחום של הגנת הפרטיות שאפשר לשפר אותם.

אורית קורן: אנחנו רוצים להתקדם.

אורית קורן: הכי טוב היה להכין מערך של חקיקה שלם בנושא הזה, אבל תמיד יש איזה מתח בין הרצון להסדיר מהר את הדברים הדחופים לבין הרצון לעשות הסדר כולל חדש.

אורית קורן: , בתוך המתח הזה אנחנו מתנהלים ויתכן באמת שאנחנו נפריד, כמו שכרגע אנחנו באמת נוטים, איזה תזכיר בנושא של פיקוח ואכיפה ובמקביל אנחנו עובדים על תיקון רחב יותר של חוק הגנת הפרטיות.

מיכאל איתן: אתם תופסים את עצמכם כיחידת מטה של הממשלה כולה, עם הערכות מול הרשות?

אורית קורן: הרשות בהחלט תופסת.

מיכאל איתן: הרשות היא יחידה בתוך משרד המשפטים.

אורית קורן: אני משנה ליועץ המשפטי לממשלה, ומחלקת ייעוץ וחקיקה של משרד המשפטים ולא ברשות.

מיכאל איתן: את אחראית תחום הפרטיות?

אורית קורן: בוודאי.

מיכאל איתן: היא אחראית על תחום הפרטיות.

מיכאל איתן: זאת אומרת, שאם אינטרסים שונים במשרד המשפטים, היא הכתובת לנושא הפרטיות כמשנה ליועץ המשפטי לממשלה.

אורית קורן: זה לא בדיוק נכון.

מיכאל איתן: זה לא מדויק במאה אחוז?

אורית קורן: נכון.

מיכאל איתן: השאלה מופנית אל שניכם.

מיכאל איתן: העניין הבירוקרטי לא משנה.

מיכאל איתן: השאלה היא האם משרד המשפטים, המשנה ליועץ המשפטי לממשלה והיחידה לשמירת הפרטיות ביחד, רואים את עצמם כגוף שאחראי מול אזרחי ישראל מצד אחד, וכלל משרדי הממשלה מצד שני, כיחידת מטה שדואגת שכל נושא הפרטיות בכל זרועות הממשלה יפעל על פי החוק ועל פי הנורמות שאנחנו רוצים במדינה מודרנית שיודעת להשתמש בטכנולוגיה, ויודעת גם להתגונן?

מיכאל איתן: מבחינת הקונספט זה יוביל אותנו לנקודה עליה אנחנו מדברים עכשיו.

מיכאל איתן: כלומר, אם יועץ משפטי מסוים של מרשם או מאגר מידע, או יחידה באחד ממשרדי הממשלה יודע שיש לו איזו כפיפות מקצועית לגוף שלכם, ופעם באיזו תקופה הוא מקבל זימון ויש גם ימי עיון, ושואלים אותו אם הוא בודק.

מיכאל איתן: הוא לבד יודע להיות יותר ערני לבעיות של הפרטיות.

מיכאל איתן: אתם מרתיעים לכך שבחלק מהמקומות מינו סתם אנשים רק כדי לצאת לידי חובה שיהיו אחראים לנושאים האלה.

מיכאל איתן: אם זה יהיה, אני מניח שנוכל למנוע תקלות יותר ויותר.

מיכאל איתן: אם אין גוף כזה וכל אחראי להגנת הפרטיות ביחידות הממשלה הוא לנפשו, הוא תמיד יהיה גורם שולי במערכת, ולא יוכל אפילו אם הוא יבוא עם דברים צודקים וחשובים, יגידו לו אולי זה חשוב אבל זה לא דחוף.

אורית קורן: אני אתן לראש הרשות להסביר את תפיסת התפקיד של הרשות, ואני אשלים במידת הצורך לגבי התפקיד שלנו.

יואל חסון: אני דווקא הייתי רוצה שתתייחס אחרי שתשמע גם את המוסד לביטוח לאומי.

יואל חסון: אני דווקא רציתי שנשמע אותך בסוף.

ניסים אליאסף: אני חושב שברשות להגנת הפרטיות צריך גם להוסיף את הנושא של ההנחיה ולא רק את הנושא של פיקוח ובקרה.

ניסים אליאסף: כי ההנחיה זה משהו מחייב ומזה ייגזר הכל.

ניסים אליאסף: אחרת נגיע לכל מיני וועדות ונצטרך להסביר למה זה לא עבד.

יואל חסון: אני רוצה להתייחס לנושא של המוסד לביטוח לאומי שגם מופיע בדוח.

יואל חסון: נמצאת איתנו כאן המנהלת הכללית, הגברת אסתר דומיניסיני, נשמח לשמוע ממך התייחסות ואחר כך מהצוות שלך.

אסתר דומיניסיני: בוקר טוב.

אסתר דומיניסיני: אני בהחלט מצטרפת לפתיח של השר ושלך שאומר שבידי המוסד לביטוח לאומי נמצא מידע שמגודר כמידע ממשלתי רגיש.

אסתר דומיניסיני: לנו כמובן יש את האחריות והחבות לטפל בו ברגישות המתחייבת.

אסתר דומיניסיני: אני רוצה להגיד כהערת אגב, מפברואר 2007 אני בתפקידי ולכן על כל מה שהוזכר כאן לגבי 2003 ו- 2006, זה לא היה במסגרת האחריות שלי ואני צריכה לתקן את מה היה בדוחות הקודמים.

אסתר דומיניסיני: אתייחס למה שנעשה מיום הגעתי לתיקון הליקויים שעלו בדוחות הקודמים.

אסתר דומיניסיני: אני חושבת שחשוב להדגיש שלאחר מספר חודשים מכניסתי לתפקיד כבר פעלנו, המבקרת של המוסד לביטוח הלאומי הגישה דוח בעניין עוד לפני דוח המדינה.

אסתר דומיניסיני: דנו במסקנות הביקורת הפנימית בנושא של אבטחת מידע במוסד לביטוח לאומי.

אסתר דומיניסיני: במוסד לביטוח לאומי, קיימות בעצם ארבע יחידות שמטפלות בנושא ההגנה על המידע הרגיש המצוי אצלנו.

אסתר דומיניסיני: יש לנו חטיבה לאבטחת מידע, ויש לנו אחראי שהוא יודע שהוא אחראי והוא פועל, אנחנו יודעים מיהו והוא יודע מה אנחנו רוצים ממנו.

יואל חסון: כמה שנים הוא בתפקיד?

אסתר דומיניסיני: הרבה שנים, והוא עושה את עבודתו.

יואל חסון: הוא כפוף למנהל המערכת?

אסתר דומיניסיני: אני אדבר תכף על נושא הכפיפויות.

אסתר דומיניסיני: אני רק יכולה לומר לך כהערת אגב, שגם אם אני אנסה להכתיב לו להקל בנושא של אבטחת המידע אני לא אצליח.

אסתר דומיניסיני: הוא ממש ישות עצמאית ונלחמת על הגנת המידע, בעניין הזה הוא נתון לדין של עצמו.

יואל חסון: למרות זאת הייתה ביקורת בנושא.

אסתר דומיניסיני: אם אתה שואל ספציפית את השאלה.

אסתר דומיניסיני: זה נכון שעל פי החוק הנושא של אבטחת מידע צריך להיות כפוף לקצין בטחון.

אסתר דומיניסיני: אני בדקתי את זה בגופים אחרים, למרות שזה בחוק זה פשוט לא הגיוני, כי המידע הנדרש מאדם שצריך לעסוק בנושא הוא מידע טכנולוגי בתחום המחשוב, לקצין בטחון יש את הכישורים שלו, יש לנו קצין בטחון מעולה במשרד ואנחנו אחד המוסדות שיש בו בטחון מדהים, והוא גם יושב כאן.

אסתר דומיניסיני: הוא לא הדמות המקצועית שמסוגלת להבין את כל מערכות המידע, אין לו את המידע המקצועי.

יואל חסון: את זה צריך לתקן בחוק, אבל בינתיים זה החוק.

יואל חסון: יש התייחסות לכפיפות בחוק?

אורית קורן: להפך, החוק עוסק בכיוון של הפרטיות, אבטחת המידע הבטחוני היא מכוח נוהלים ממשלתיים.

יואל חסון: והכישורים שלו מוגדרים בחוק?

אורית קורן: לא מוגדרים בחוק.

בעז ענר: קצין בטחון במאה ה- 21, צריך להתמצא מאוד מאוד במערכות מידע ואבטחתן.

בעז ענר: כי זה לא רק פריצות פיזיות.

יואל חסון: אבל איפה כותב שהוא כפוף לקצין בטחון?

יואל חסון: זה חוק?

תומר רוזנר: לפי חוק הסדרת הבטחון, זה נקרא ממונה בטחון ולא קצין בטחון, יש לו אחריות גם אחריות על תחום המידע הממוחשב.

אסתר דומיניסיני: של התשתיות, של החומרה ולא של התכנה.

אסתר דומיניסיני: הוא מעורב מאוד.

אסתר דומיניסיני: בגלל העניין של הדואליות ואי הבהירות אנחנו כן צרפנו אותו לוועדה לאבטחת מידע כי הוא בהחלט אחראי על הבטחון של הברזלים, של הגישה, של המתקנים - זו גם אפשרות לפריצה למערכות מידע בדרכים שונות.

אסתר דומיניסיני: מצאנו דרכים שונות כדי לחבר בין האישיות.

אסתר דומיניסיני: אבל כפיפות ישירה של ממונה על אבטחת מידע של הנושא לראש אגף הבטחון, יש כאן אנומליה מבחינת הלוגיקה ומבחינת הכישורים.

אסתר דומיניסיני: מכל מקום, וכפי שאמרתי, יש לנו חטיבה ויש מי שעומד בראשה שנים רבות.

אסתר דומיניסיני: יש לנו באמת ראש אגף בטחון שפועל בכל נושא הבטחון של המתקנים ושל כל מערכת החומרה שלנו.

אסתר דומיניסיני: יש לנו וועדת היגוי עליונה שמטפלת בנושא של המידע, וגם סגן מנהל כללי תמ"מ, תקשוב מערכות מידע, מינה וועדה שבדיוק מתכללת גם את האישות של הבטחון וגם את האישות של הטכנולוגיה והיא עוקבת אחר הדברים האלה.

אסתר דומיניסיני: לאחר שראינו את טיוטת הדוח בנובמבר 2008, וגם את הדוח הסופי בפברואר, וכפי שאמרתי, פעלנו על פי דוח המבקרת קודם לדוח הזה.

אסתר דומיניסיני: עשינו את רוב הפעולות שנדרשו מאיתנו, גם על פי דוח המבקרת וגם על פי דוח מבקר המדינה.

אסתר דומיניסיני: חלקן הושלמו, וזה תכף יפורט, חלקן נמצאות בשלבי השלמה.

אסתר דומיניסיני: יש לנו לוחות זמנים מדויקים מתי כל הפעילות הזאת תסתיים.

אסתר דומיניסיני: תכף סגן המנהל הכללי תמ"מ, תקשוב מערכות מידע, יסקור את כל הדברים.

אסתר דומיניסיני: הייתה לנו בעיה עם חברת סיסקו בארצות הברית בקבלת ההרשאות.

אסתר דומיניסיני: הבירוקרטיה קיימת בהרבה מסדרנות שלטוניים וגם במוסד לביטוח לאומי, אנחנו מנסים לשפר את זה ונקווה שגם נצליח, וכשיגמרו העיצומים גם נצליח לקדם את המערכות האלה של תפיסת השירות ושיפור השירות לאזרח.

אסתר דומיניסיני: אנחנו פועלים, וישנה כאן מעבר לעניין של חטיבת אבטחת מידע, הוועדה וראש אגף הבטחון, גם הנושא של סגן המנהל הכללי למשאבי אנוש.

אסתר דומיניסיני: ישנה כאן אחראית על נושא שירות לציבור, והיא מונחת על ידי קצין הבטחון בכל מה שקשור לעובדים, לאלה שיש להם את הסמכות והרשאות להיכנס למערכות המידע.

יואל חסון: איפה הוא היה בתקופה של הדוח?

יואל חסון: אם את אומרת שהיו כל בעלי התפקידים האלה.

יואל חסון: בתקופת הדוח מדובר גם על כניסה לצרכי רכילות, גם מכירה, גם הסיפור שחברות פרטיות יכולות לראות כי יש את הקשת הקוד.

יואל חסון: אני לא בטוח שאלו אנשים שמוכשרים ואני לא בטוח שאתם בוחרים את המוקדנים.

יואל חסון: בסך הכל כשאני מתקשר למוסד לביטוח לאומי, או כל אדם אחר, כשהוא מקיש את הקוד כל הפרטים שלו מופיעים מול אותו מוקדן, שיכול להיות סטודנט, והוא יכול להשתמש בחומר הזה, בחומרים האחרים.

יואל חסון: העובדה שהשתמשו בחומרים האלה גם לצרכי רכילות לגבי כל מיני ידוענים ואנשים מפורסמים, אלו דברים שהוכחו.

יואל חסון: אז איפה היו כל בעלי התפקידים?

אסתר דומיניסיני: אני חושבת שדוח המבקר מכליל בנושא הזה.

אסתר דומיניסיני: בשנת 2003 או בשנת 2006 היו מספר מקרים שלצערי קיימים בכל המערכות, הם הועמדו לדין והם טופלו.

אסתר דומיניסיני: אני לא מכירה מערכת שיש לה מידע והיא גם הכי מסווגת, שמעת כעת שלא נתפס מישהו.

אסתר דומיניסיני: כאן בדיוק השאלה האם המערכת מצליחה מבעוד מועד לאתר את האנשים האלה ולטפל בהם.

אסתר דומיניסיני: אני לא מכירה מערכת שהיא חסינת מפגיעה במאה אחוז.

אסתר דומיניסיני: התפקיד של כולנו לוודא, שאנחנו במערכת בקרת סיכונים, מיצרים את כל אותן ההגנות כדי להגיע למינימום האפשרי כדי שדברים כאלה לא יקרו.

אסתר דומיניסיני: להגיד שיש מאה אחוז בטחון זה מאוד קשה.

אסתר דומיניסיני: תכף יוצג שאנחנו כבר רכשנו את המערכת ואנחנו נמצאים בכל המערכות בשלבים, בחלקן כבר הושלמו וחלקם נמצאים בשלבי סיום והם יושלמו השנה.

אסתר דומיניסיני: אנחנו נציג בוועדה את הפעולות בהתאם לנושאים שהועלו בדוח.

אסתר דומיניסיני: בבקשה סגן המנהל הכללי, תקשוב מערכות מידע יציג אחד לאחד את הנושאים.

יהודה סרוסי: הדוח הונח על שולחני בנובמבר 2008.

יהודה סרוסי: אני אפרט מה אנחנו עושים.

יהודה סרוסי: המנהלת הכללית מינתה וועדה עליונה לאבטחת מידע במוסד.

יהודה סרוסי: נציגים בה חברים מכל שכבות הארגון והיא פועלת לקבוע את מדיניות אבטחת המידע.

יהודה סרוסי: לגבי הקשר בין קצין הבטחון לבין הממונה לאבטחת מידע, סוכם בדיון אצל המנהלת הכללית שיוקם פורום בראשותי שיתכנס אחת לשבוע, כדי לתאם את כל נושא אבטחת המידע ואת הממשק בין האבטחה הפיזית לבין אבטחת מערכות מידע.

יהודה סרוסי: הפורום הזה מתכנס החל מינואר בתדירות של אחת לחודש.

יהודה סרוסי: הממונה אגף לאבטחת מידע מוזמן גם לפורום מקצועי כדי להציג את התפיסה שלו.

יהודה סרוסי: אנחנו עושים מאמץ מאוד גדול שבכל נושא של מערכות המידע אבטחת המידע יקבל את המשקל הראוי לו.

יהודה סרוסי: ההתכנסות החודשית שלנו היא כדי להתעדכן ולקבוע מדיניות וטפל באירועים שהיו.

יהודה סרוסי: תכנת "האינטלינקס", אכן כפי שכתוב בדוח זו פעילות שהתחילה עוד טרם תקופתי.

יהודה סרוסי: כשהגעתי והבנתי שיש בעיה רכשנו את הדיסקים שהיו חסרים.

יהודה סרוסי: ינואר 2009, נפחי הדיסקים היו אחד הבעיות.

יהודה סרוסי: נרכשו דיסקים ובעיית הדיסקים נפתרה.

יהודה סרוסי: הסתבר שהיה צורך לרכוש ציוד מחברת סיסקו שדרש אישור של שלטונות ארצות הברית, לצערי זה לקח שלושה ארבעה חודשים.

יהודה סרוסי: אנחנו נמצאים היום בסיטואציה שמערכת "האניטלינקס" אכן עובדת בקטע הטכנולוגי, קרי היא יודעת להקליט.

יהודה סרוסי: אנחנו כרגע בונים את קטע השליפה.

יהודה סרוסי: אני יכול להבטיח שאם הכל יעבוד כשורה, עד סוף השנה אנחנו נהייה במצב שהמערכת יודעת גם להקליט וגם לשלוף מידע.

יהודה סרוסי: היום השליפה קיימת, היא רק דורשת ההערכות טכנית שלנו, היא מורכבת ואני לא שבע רצון מהפתרון הזה.

יהודה סרוסי: זימנתי את החברה אלי, היא אמורה להגיע אלי לדיון בשבוע הבא ואנחנו מתכוונים להביא פתרון עובד.

יהודה סרוסי: שילמנו הרבה מאוד כסף ומגיע שיהיה פתרון עובד.

יהודה סרוסי: סקר סיכונים, אכן זה דבר מאוד חשוב.

יהודה סרוסי: כשנכנסתי לתפקיד הדבר הראשון שחשבתי עוד לפני שראיתי את הדוח, זה הסקר, אלא מה?

יהודה סרוסי: אנחנו עוסקים כרגע במוסד בהכנת תכנית אסטרטגית למערכות מידע.

יהודה סרוסי: מערכות המידע של המוסד לביטוח לאומי בחלקן הן מערכות מאוד ותיקות והן דורשות התחדשות.

יהודה סרוסי: בראשות המנהלת הכללית, הקמנו צוות שאחראי להגיש תכנית אסטרטגית שהטיוטה שלה תוגש בספטמבר, טיוטה ראשונה למינהלה לדיון.

יהודה סרוסי: אני חשבתי שסקר הסיכונים צריך לעסוק לא רק במה שהיה ובחינת המערכות הקיימות, אלא גם להגדיר מדיניות של אבטחת מידע, להגדיר נהלים כדי שנשלב אותם בתהליך הפיתוח של מערכות עתידיות אותם אנחנו מפתחים.

יהודה סרוסי: לכן סקר הסיכונים הוא חלק מהתכנית האסטרטגית ואנחנו נערכים כרגע למכרז אותו.

יהודה סרוסי: ברור שאנחנו רוצים לצאת החוצה.

יהודה סרוסי: במוסד אכן נעשו סקרים פנימיים, אני חושב שזה רעיון טוב אבל לא מספיק טוב וצריך לעשות יותר, כולל למערכות הקיימות וגם לאסטרטגיה מערכות המידע החדשה.

יהודה סרוסי: את זה עשינו.

יהודה סרוסי: בנושא הודעות לעובדים, סגן ראש מינהל משאבי אנוש מכסה מפעם לפעם, לכלל העובדים את פרטי העבירות, הייתה דרישה כזאת.

יהודה סרוסי: אגב, אנחנו מודיעים לעובדים בכניסה למערכת שאסור להם לעשות שימוש במידע שלא לצרכי העבודה אלא לצורך לו הם קיבלו את ההרשאה.

יהודה סרוסי: יתרה מכך תכנת "האינטלינקס" מאפשרת לנו בעצם להקליט את כל הפעילות שעושים.

יהודה סרוסי: אני לא חושב שיש גוף ציבורי שיש אצלו דרגת החמרה כזאת, שבו כל המידע, לא רק נשמר ב"לוג" אלא ממש כל המסכים נשמרים.

יהודה סרוסי: אנחנו יודעים כל פעולה ופעולה שנעשית ולכן נדרשו לנו נפחי דיסקים עצומים.

יואל חסון: עובד שיש לו גישה למערכת, יודע שהעבודה שלו מבוקרת?

יהודה סרוסי: ומוקלטת.

יהודה סרוסי: הוא מקבל הודעה במסך הפתיחה, "דע לך השיחה הזאת מוקלטת", הוא יודע את זה.

יואל חסון: אם עובד נכנס למידע ואין סיבה מקצועית שהוא נכנס לאותו ממשק, אפשר ללכת אחורה, הוא צריך להסביר למה הוא נכנס ולמה הוא עשה פעולה כזאת או אחרת.

יהודה סרוסי: נכון.

יהודה סרוסי: אמצעי השליפה, כפי שאמרתי עם "אינטלינקס", עדיין לא פתור ואני עוסק בזה, אבל ההקלטה מתבצעת.

יואל חסון: אתה ממונה על אבטחת מידע?

יואל חסון: אני רוצה שתסביר לי את שגרת יומך, וגם במובן שהכפיפות במובן מסוים , אתה למעשה כפוף למנהל מחלקת המחשוב.

יואל חסון: סגן מנהל תקשוב ומערכות מידע.

יואל חסון: אתה גם מבקר את עבודתו ואתה למעשה בודק אם המערכת שהוא אחראי לה עובדת מבחינת אבטחת מידע, כך אתה רואה את זה.

בובי פנדריך: כיועץ לאבטחת מידע לסגן המנהל הכללי תפקידי קודם כל להנחות את כל הגורמים המקצועיים במוסד לביטוח לאומי בכלל, ובתוך המינהל שלי בפרט בנושאים המקצועיים הקשורים לאבטחת מידע, ולצנעת הפרט.

בובי פנדריך: בינתיים אני לא רואה הבדל בין הדברים האלה.

מיכאל איתן: יש הבדל.

בובי פנדריך: יש הבדל.

בובי פנדריך: ולכן כשיהיה שינוי אנחנו כנראה נפריד את הרשויות, אבל כרגע אני עובד בשיתוף פעולה הדוק מאוד עם רפרנט הגנת הפרטיות בלשכה המשפטית של המוסד לביטוח לאומי.

יואל חסון: יש לי בעיה, עם העובדה שהגדרת את עצמך כיועץ.

יואל חסון: אתה ממונה ולא יועץ, החוק מגדיר ממונה ולא יועץ, הוא לא מייעץ והולך הביתה.

בובי פנדריך: אני גם מיישם.

יואל חסון: אתה צריך לוודא שקורה.

יואל חסון: ממונה שמוודא שהדברים אכן קורים.

יואל חסון: יש כאן בעיה בהגדרה.

בובי פנדריך: כשאמרתי יועץ, אולי ליועץ יש משמעות.

בובי פנדריך: כדי שאוכל למלא את תפקידי, דורשים לי גם משאבים, אם אני אחליט שאני עושה ואני לא אודיע מה אני חושב שצריך לעשות, ולא אקבל אישור עבור מה שאני צריך לעשות אז לא יהיו לי משאבים ולא אעשה ונדרדר מהר מאוד.

מיכאל איתן: סליחה.

מיכאל איתן: ההבחנה היא לא בתחום סמכותך אחריותך.

מיכאל איתן: אנחנו מבינים את המשמעות שאדם ממונה לנושא מסוים.

מיכאל איתן: יש לו שיקול דעת שהוא מפעיל אותו באורח עצמאי בתחום עליו הוא ממונה.

מיכאל איתן: כשאדם יועץ הוא נותן עצה למי שבידיו הסמכות לפעול.

מיכאל איתן: זו ההבחנה.

אסתר דומיניסיני: יועץ יש רק בלשכת המנהל הכללי, אין הגדרת תפקיד ואין פונקציה במוסד שהיא יועץ.

אסתר דומיניסיני: יש אדם שהוא בעל תפקיד והוא נושא באחריות להחלטה ולביצוע, והאחריות הכוללת היא של המנהל הכללי.

אסתר דומיניסיני: זה לא המונח יועץ.

אסתר דומיניסיני: הוא התנסח בעדינות כדי לא להגיד משהו אחר.

אסתר דומיניסיני: הוא ראש חטיבת המידע במוסד.

יואל חסון: זו הערה חשובה, זה גם איך שהאדם רואה את תפקידו, ליועץ יש באמת אופן התנהלות של יועץ.

מיכאל איתן: זה נכון, אבל הרבה מאוד ממונים בגלל הסיטואציה הופכים ליועצים.

יואל חסון: אתה חייב לצאת מהתחושה שאתה יועץ.

יואל חסון: זו האחריות שלך ואתה ממונה.

בובי פנדריך: זו אחריותי, וזה מופיע בהרבה מאוד מכתבים שאני כותב, שאני אחראי על מה שאני אומר ועל מה שאני עושה, זה מובן מאליו.

יואל חסון: מה עשית, מרגע שהטיוטה של מבקר המדינה ודוח מבקרת הפנים שלכם, הובאו בפניך?

יואל חסון: מהם התהליכים שאתה היית מעורב בהם?

יואל חסון: מה תיקנת?

יואל חסון: במה שאתה התעסקת ישירות?

בובי פנדריך: כאשר מדברים בדוח המבקר על תכנת "האינטלינקס", אני חייב להיות כן ולומר, מראש ידענו שיש בעיות בהטמעת התכנה הזאת.

בובי פנדריך: יש שתי אפשרויות לדעתי.

בובי פנדריך: האחת היא לפעול לפי השיטה שעד שלא נגיע למצוין לא נעשה כלום, ואז עד קץ הדורות לא יהיה לנו שום דבר.

בובי פנדריך: האפשרות השנייה היא לומר, זה האופטימלי האפשרי, אני אעשה מה שאני יכול עכשיו ותוך כדי עבודה אני אשפר.

בובי פנדריך: כך אכן היה.

בובי פנדריך: אכן, לא המתנו לדבר המושלם ולתמונת מצב מושלמת להפעלת התכנה, נתקלנו בתקלות שונות ומשונות ואת כל אחת מהבעיות שנתקלנו בהן ניסינו לפתור.

בובי פנדריך: פתרון גרם לבעיה אחרת, שינויים שעשינו לצורך פתרון בעיות גרמו לבעיות אחרות.

בובי פנדריך: נכון להיום, זה לא תהליך שהוא מהרגע לרגע, זה תהליך שנמשך לאורך זמן.

בובי פנדריך: ניסינו לפתור את כל הבעיות והתקלות שעלינו עליהן בהפעלת התכנה הזאת.

בובי פנדריך: כאשר מראש הייתה לנו מטרה לבקרה מלאה על כל הפעילות של כל העובדים במוסד לביטוח לאומי, וזאת כדי למנוע זליגת מידע החוצה.

בובי פנדריך: אם הוא קורה לאתר אותו.

יואל חסון: תתייחס כרגע לשירות המענה הטלפוני, - אתם קשורים לחברה פרטית.

יואל חסון: איך אתם מתייחסים לעניין הזה ואיך פותרים את עניין הפרטיות.

יואל חסון: דיברת על בדיקות של עובדים והשאלה, הרי אתה לא בודק את העובדים של חברה פרטית.

יואל חסון: איך בהסכם שלכם עם החברה אתם בכל זאת שומרים על הפרטיות של המבוטחים.

בובי פנדריך: ברשותך, אני אענה לך לפחות בקטע הידוע לי.

בובי פנדריך: הנושא של החברה הפרטית הוא גזרה שנגזרה על המוסד לביטוח לאומי על ידי גורמי חוץ, לדוגמה משרד האוצר.

יואל חסון: ההפרטה הזאת.

בובי פנדריך: ההפרטה הזאת.

בובי פנדריך: אני חושב שהגברת נחמה שפירא, שהיא האחראית על המוקד, תוכל לענות על הנושא הזה.

בובי פנדריך: אבל בנושא של אבטחת המידע אני יכול להגיד שמפאת דברים שאני לא יכול לעמוד על טיבם או להסביר אותם.

בובי פנדריך: בשנים עברו בטרם כניסת המנהלת הכללית לתפקידה, עוד טרם מינויה של הגברת נחמה שפירא לתפקידה, ניהלתי קרב קשה מאוד מול הנהלת המוסד לביטוח לאומי בנושא בעיות בצנעת הפרט, ביישום הנחיותיי בשטח, סרבו ליישם את הנחיותיי.

בובי פנדריך: אני חושב שזו הדוגמה המצוינת ביותר כאשר המבקר מדבר על כך שיש בעיה עם הכפיפות שלי לסגן המנהל הכללי לתקשוב מערכות מידע, כי אולי, הרי גם המנהל הכללי סרב לבצע את הוראותיי.

בובי פנדריך: כאשר איימתי בפעילות או בפעולות דרסטיות כדי למנוע, מה שלדעתי המנהל הכללי הסתכל, הוא איים עלי בחזרה ויש לי את זה בכתובים, איומים כתובים על תפקידי ועל מעמדי במוסד לביטוח לאומי.

בובי פנדריך: חבל שלא מופיע בדוח התייחסות קטנטנה ומעודנת על השינויים עם כניסתה של הגברת אסתר דומיניסיני לתפקיד.

בובי פנדריך: היא התייחסה בכובד ראש לכל ההערות.

בובי פנדריך: אני חושב שזה היה מאוד מפתיע לראות את כל התקלות והליקויים שהערתי עליהם, ושמופיעים בדוח המבקר נפתרים תוך פרק זמן של חודשיים שלושה.

בובי פנדריך: לדוגמה, היום אין אפשרות לעובד במוקד הטלפוני בצפת, לשוטט במידע הקיים במוסד לביטוח הלאומי.

בובי פנדריך: בנינו מנגנון, על פי הדרישות שלי, שגורם לכך שמבוטח שמבקש לקבל מידע מהמוסד לביטוח לאומי באמצעות המוקד בצפת, חייב להקיש את מספר תעודת הזהות שלו בטלפון, חייב לתת מענה לבעיה של מידע מרשות ממשלתית לגורם פרטי, שהוא מקבל הודעה שהמידע שלו מועבר אליו באמצעות חברה פרטית והוא מביע את הסכמתו לכך שהמידע הזה ייחשף לעיני עובד החברה הפרטית.

בובי פנדריך: רק אחרי שהוא הביע את הסכמתו הוא נדרש להקיש עוד קוד סודי שנמסר לו מראש על ידי המוסד לביטוח לאומי, ואז כהוא יגיע אל המוקדן שיענה לו יופיע המסך הראשון של אותו מבוטח לעיני המוקדן במוקד.

בובי פנדריך: המוקדן אינו יכול להקיש מספרי תעודת זהות כאוות נפשו ולראות את המידע הקיים במערכת.

בובי פנדריך: וקודם זה מה שהיה.

בובי פנדריך: שאלת, וזו תשובה לדוגמה.

אסתר דומיניסיני: אולי נחמה שפירא תסביר, לגבי בדיקת הנושא ר.פ. של האנשים האלה, ולגבי חסימות אחרות.

אסתר דומיניסיני: הרי נעשו פעולות גדולות כדי לתת הגנה מרבית מבחינת חוק הגנת הפרטיות לגבי המידע שנמסר.

אסתר דומיניסיני: אני לא דנה כרגע בנושא של מיקור חוץ, זה טכניקה מקובלת ואני לא יכולה לומר שהיא אסורה, היא צריכה להתקיים באותו אופן שאנחנו דואגים להגנה ונותנים את האינפורמציה לסוג הציבור שמספק אותה.

אסתר דומיניסיני: כי בסופו של דבר לא כולם חייבים להיות עובדי מדינה.

נחמה שפירא: אני חושבת שמרבית הדברים כבר נאמרו כאן.

נחמה שפירא: אחד הדברים הראשונים שטיפלנו בהם זה היה הנושא של אבטחת המידע.

נחמה שפירא: כי הדברים קודם היו קצת פרוצים.

נחמה שפירא: זה התחיל בתהליך עבודה מאוד פשוט.

נחמה שפירא: מגיע נציג שירות חדש, נפתח קורס חדש של נציגים נלמדים הכללים, עוד קודם שהוא מתחיל את הקורס הוא קודם עובר את בדיקות הבטחון.

יואל חסון: מה תהליך בחירת האנשים, מי בוחר אותם?

נחמה שפירא: זו החברה, מיקור חוץ.

יואל חסון: אני מבין.

יואל חסון: אבל היה מכרז, יש תנאים?

נחמה שפירא: ברור.

נחמה שפירא: זה כתוב בתנאי המכרז.

יואל חסון: מהם התנאים הנדרשים היום מאדם כדי להיות מוקדן?

יואל חסון: מהן הדרישות?

נחמה שפירא: בוגר תיכון.

נחמה שפירא: את הבדיקה הפלילית אנחנו מבצעים.

נחמה שפירא: זה התפקיד של קצין הבטחון שלנו, אני מעבירה אליו את מספרי תעודת הזהות, מי האנשים, איפה הם גרים.

נחמה שפירא: הוא מאשר את האנשים ורק לאחר הבדיקה הבטחונית שלו ואחרי שהוא אישר את האנשים האלה הם מועברים אל בובי פנדריך למתן הרשאות.

נחמה שפירא: מתן ההרשאות זה רק בסיום הקורס.

נחמה שפירא: רק מי שגמר בעצם את הקורס בהצלחה יכול לקבל הרשאה למערכת.

יואל חסון: כמו שאמרתם זה חשוב, הוא לא יכול לשוטט במערכת אלא הוא יראה רק את הפונה שפנה באופן ישיר.

נחמה שפירא: נכון.

נחמה שפירא: זה קווי טלפון, בקווי הטלפון האדם מבחוץ לא יכול להיכנס למידע ולשוטט.

נחמה שפירא: יש לנו בעיה של מתחזים וזה פוגע בשירות.

נחמה שפירא: אני מוכרחה לציין שהיו לנו פה ויכוחים רבים בנושא הזה, כי המשמעות היא שאנשים שטעו בהקשת מספר תעודת הזהות שלהם לא יכולים להגיע לנציג שירות.

נחמה שפירא: זו איזו פגיעה בשירות אבל לקחנו אותה בחשבון וזה בגלל אבטחת המידע.

נחמה שפירא: אני חושבת שאנשים התרגלו - - -

יואל חסון: זה דבר חשוב שצריך לדעת, בוודאי יש הרבה אזרחים שמתקשרים למוסד לביטוח הלאומי, הם מתקשים וגם אינם אוהבים את אין ספור השאלות בדרך, והקשות שצריך להקיש בדרך.

יואל חסון: צריך להגיד לפחות שעושים את זה לטובת השמירה על הפרטיות.

נחמה שפירא: את זה אנחנו מסבירים, זה לא תמיד מובן וזה לא תמיד פשוט כל כך להסביר כי חלק מהאנשים מתרגז.

נחמה שפירא: הכללים הם מאוד נוקשים.

נחמה שפירא: כשמתקשרת אמא כדי לברר משהו על הבן שלה ואנחנו אומרים שאנחנו לא יכולים לתת לה מידע, היא מאוד כועסת ומגיעים מכתבים לנציבות תלונות הציבור.

יואל חסון: הבעיה בשירות לקוחות, כשאתה מתקשר לחברה סולולרית שואלים אותך מיליון שאלות עד שאתה מגיע לשירות בעצמך.

יואל חסון: מזה אפשר להתרגז.

יואל חסון: אבל כשעושה את זה המוסד לביטוח לאומי זה בסדר כי בסופו של דבר זה מידע חשוב, וזה לצורך שמירה על פרטיות.

יואל חסון: זה ההבדל בינכם.

נחמה שפירא: אנחנו משתמשים בקוד הסודי, ואלו הנחיות חד משמעיות.

יואל חסון: אני גם יודע שיש אפשרות להיכנס בקוד לאתר באינטרנט.

נחמה שפירא: לא.

נחמה שפירא: יש שני קודים.

יהודה סרוסי: באינטרנט יש לנו אתר שנקרא אתר אישי, יש לנו בעצם שני אתרים, האחד הוא אתר פתוח לכל המדינה, ואתר אישי שפתוח אך ורק למי שקודם הגיע לסניף, זוהה פיזית וקיבל בסניף קוד לאתר ורק אז הוא יכול לראות מידע פרטני לגביו באתר האישי שלנו.

יואל חסון: תודה.

יואל חסון: קצין הבטחון מבקש להעיר?

ימין כנען: אני הגעתי למוסד לביטוח לאומי ביוני 2003, שירתתי בצבא והשתחררתי בדרגת אלוף משנה ואני גם אלוף משנה במילואים.

ימין כנען: הייתי קצין בטחון בחוץ לארץ במשך שנים רבות במדינות רבות בעולם.

ימין כנען: עברתי את בית הספר הגבוה לאבטחת מידע וקוראים לו משרד החוץ.

ימין כנען: הייתי קצין בטחון במדינות הקשות ביותר, מרוקו, רבת עמון, מדינות קשות מאוד.

ימין כנען: אני בוגר כל הקורסים של שירות הבטחון הכללי בנושא אבטחת מידע.

ימין כנען: וסיימתי אותם בהצטיינות.

ימין כנען: חוק להסדרת הבטחון אומר שמנהל אגף הבטחון אחראי על אבטחת המידע, ולא יעזור כלום, ומי שאחראי, ואני נושא באחריות.

ימין כנען: עד היום למרות הכל אני נושא באחריות.

ימין כנען: אני אומר לך שמבחינתי שירות הבטחון הכללי נותן.

ימין כנען: אני כקצין בטחון מנחה ומבקר, ואילו היישום מתבצע ביחידת המחשב.

ימין כנען: כאן צריך להיות שיתוף הפעולה ולבצע.

ימין כנען: לכן אני אומר לכם שמבחינתי יש את צנעת הפרט.

ימין כנען: לדעתי הרשות במשרד המשפטים לא מחוברת ל- 770 כמו שצריך.

ימין כנען: מישהו צריך לבוא ולהגיד להם שנכון שהמחשב ברובו צנעת הפרט, וחלק קטן, חלק המילואים שהוא מסווג ולכן המערכת כולה מסווגת, מישהו צריך לבוא ולהגדיר את האחריות בצורה מסודרת.

ימין כנען: אני נושא באחריות ואני צריך שתהייה לי גם הסמכות.

ימין כנען: אני חושב שמבחינתי, הגעתי למוסד לביטוח לאומי בשנת 2003 ראיתי את הדבר הזה.

ימין כנען: היו שתי קטסטרופות גדולות.

ימין כנען: האחד הגעתי אחרי רצח במזרח ירושלים, בתחום האבטחה הפיזית עשיתי את המהפכה הנדרשת לאבטח את העובדים קודם כל.

ימין כנען: מיד אחרי זה ב- 2004 כתבתי את המדיניות לאבטחת המידע במוסד לביטוח לאומי.

ימין כנען: יש חוברת מסודרת שכוללת את הכול.

ימין כנען: לצערי המדיניות הזו לא יושמה, לא יושמה גם עד היום.

ימין כנען: אני מאוד מקבל מה שנעשה על ידי המנהלת הכללית שהתייחסה לנושא ברצינות, היא בצעה את הישיבות הנדרשות ואמרה והתוותה את גבולות הגזרה שצריכים להיות.

ימין כנען: זה בסדר מבחינתי אבל שיגדירו את זה בחוק כי עדיין אני נושא באחריות.

ימין כנען: אני יודע שאם חלילה וחס, תהייה קטסטרופה לא אם האדם שמתקשה להקיש את מספר תעודת הזהות שלו, אלא בנאדם מכוון מטרה לחדור למחשבי המוסד לביטוח לאומי כדי לגרום לנזק שאף אחד לא ידע מאיפה זה יבוא.

ימין כנען: את אותו אדם שאני מחפש.

ימין כנען: עולם הבטחון איננו רק ההתעסקות המחשבית באיזה מחשב.

ימין כנען: זה ארבע רגלים, וזה אחד מהן, שלושת הרגלים האחרות שזה סינון בטחון.

ימין כנען: היום אנחנו מחוברים לכספת וירטואלית במשטרה ויש סיווג משרות, הכל בתחום הזה מסודר.

ימין כנען: אבטחה פיזית מתבצעת ואבטחה שנקראת אבטחת אמצעים שאנחנו מבצעים אותה.

ימין כנען: לכן מבחינתי אני אומר שגם סקר סיכונים ביצעתי - מונחה על ידי מבקרת הפנים של המוסד, ביצענו את סקר הסיכונים, וגם לאבטחת מידע.

ימין כנען: אני מקווה, ועוד מוקדם להגיד האם הסידור הזה שמתבצע כרגע במוסד לביטוח הלאומי הוא טוב או לא.

ימין כנען: צריך להמתין עוד כמה חודשים ואולי לבוא לבקר ולראות את זה.

יואל חסון: תודה רבה לך.

יוסי רגב: אני סגן מנהל הכללי למינהל במשרד החוץ.

יוסי רגב: עם דרושה תוספת בנושא הדרכונים, רק להשלים את דבריו של ימין כנען, אנחנו איננו מחוברים ישירות למערכת "אביב".

יוסי רגב: אנחנו מקבלים פעם בחודש מחברת HP ריכוז מוגבל של נתונים אותו אנחנו מפיצים לנציגויות כדי למנוע הפצה וכניסה.

יוסי רגב: אצלנו זה נכנס לתוך מערכת מאוד מוגבלת במספר מוגבל של נתונים.

יוסי רגב: גם הנציגים שלנו בחוץ לארץ המורשים להיכנס לתוך המערכות הם ישראלים בלבד שעוברים סיווג בטחוני מסוים.

יוסי רגב: יש לנו את האחראים על אבטחת מידע הן בארץ – שזה תחת חטיבת הבטחון, הן בחוץ לארץ שזה תחת קצין הבטחון.

יוסי רגב: הם מונחים במקרה וכפי שנאמר כאן קודם, גם אבטחת מידע מבחינת בטחון המדינה וגם מבחינת החיסיון האישי, כאן הם משלימים אחד את השני.

יוסי רגב: יש לנו שתי עמדות בלבד במטה בארץ שמחוברות ל"אביב" והן לא מקושרות לנציגויות בחוץ לארץ.

יוסי רגב: אנחנו איננו מאפשרים כניסה אוטומטית למידע ולהפקת תעודות.

יוסי רגב: מי שרוצה לקבל את המידע על פי החוק ושמותר לו לקבל צריך לפנות בכתב, ואת זה אנחנו מעבירים למשרד הפנים, ורק באישור משרד הפנים אנחנו מעבירים את המידע.

יוסי רגב: כפי שעלה כאן

יוסי רגב: בכל נושא המחשוב, אנחנו את כל מערכות הקונסולריות שלנו שמנו בתוך מארזים, בתוך מחשבים שנקראים "עברים" שלא יכולים להתחבר אליהם עוד מכשירים, אי אפשר להכניס דיסקטים ואמצעים אחרים, וזאת כדי למנוע אפשרות דליפת מידע.

יוסי רגב: לגבי הפער בדרכונים והעברת המידע, אחת לחודש אנחנו מקבלים את המידע ממשרד הפנים ומפיצים לנציגויות.

יוסי רגב: מדי יום אנחנו עושים ריכוז של החומר שנכנס מחוץ לארץ, מעבירים למחשבי משרד הפנים, כלומר למערכת "אביב".

יוסי רגב: קורה שיש פערים בדרכונים שהונפקו ופקיד הגבולות לא ידע עליהם.

יוסי רגב: בכל הבדיקות שעשינו במשרד הפנים הסתבר שאצלנו זה עבר וזה עובר אוטומטית.

יוסי רגב: ישנו איזה פער שאנחנו לא יודעים להסביר.

יוסי רגב: הן לגבי דרכונים והן לגבי מתן אשרות.

יוסי רגב: אלו הדברים שלמעשה נמצאים אצלנו.

יוסי רגב: לגבי הנאמר שכל המשתמשים הם אותו דבר, אנחנו לא אותו דבר ואנחנו רואים חשיבות מאוד מאוד רבה בשמירת הנושא.

יוסי רגב: עלה כאן על ידי השר מיכאל איתן גם נושא שאנחנו לפני עידן התיעוד הביומטרי שאליו צריכה להיות התייחסות אחרת גם מבחינת עבודת הנציגויות.

יוסי רגב: זה לא דבר שברגע אחד עושים אותו, תהייה לזה התייחסות רבה.

יואל חסון: תודה רבה.

יואל חסון: ברשותכם, אני מבקש לשמוע את עורך הדין יורם הכהן, תתייחס לכל מה ששמעת כאן.

יורם הכהן: הרשות למשפט טכנולוגיה ובשמה על החלטת הממשלה משנת 2006, ההחלטה על הקמתה, "הרשות המשפטית לטכנולוגית מידע והגנת פרטיות", הקמתה התחילה בספטמבר 2006.

יורם הכהן: הרשות באופן עקרוני איחדה שלוש פונקציות רגולציה בתחום של משפט וטכנולוגיה.

יורם הכהן: שתיים עוסקות בפרטיות: האחת - רשם מאגרי מידע, השנייה - רשם נתוני אשראי, שזה מקרה פרטי של הגנת פרטיות.

יורם הכהן: אנחנו יחידה שארגונית כפופה למנהל הכללי של משרד המשפטים, אבל כגוף רגולציה יש לנו עצמאות תפקודית כרגולטור.

יורם הכהן: התפקיד הזה, גם בהחלטת הממשלה שהציבה עקרונות, נכנס כאחד מהגופים שבהם גופים נדרשת עצמאות של ראש הרשות.

יורם הכהן: אני מוניתי גם כראש הרשות של מאגרי מידע וגם של רשם נתוני אשראי.

יורם הכהן: במידה מסוימת הדיון היום פה, אני חושב שאנחנו היינו אחד המאיצים שגמרו לתהליך של ביקורת המדינה בנושא הזה.

יורם הכהן: כי אנחנו התייחסנו לסוגיה במקרה של מרשם אוכלוסין.

יורם הכהן: בדוח שלנו מ- 2007 התייחסנו לסיטואציה של דליפת מידע במרשם האוכלוסין שנמצא באינטרנט.

יורם הכהן: אנחנו רואים בזה דבר חריף, כי לפעמים שואלים מה הבעיה הגדולה, נכון יש שמות ומספרי תעודת זהות, במקרה הזה יש גם קשרי משפחה שזה עוד יותר חריף.

יורם הכהן: אבל לכאורה יש מאגרי מידע הרבה יותר רגישים במדינת ישראל שהדליפה שלהם יכולה להיות יותר חריפה.

יורם הכהן: למשל מאגרי מידע רפואיים, או מאגרי מידע גנטיים.

יורם הכהן: את הסיבה לכך אפשר לשמוע דווקא בפרוצדורה ששמענו מהמוסד לביטוח לאומי.

יורם הכהן: הביטוח הלאומי, כדי לאפשר גישה למידע הפרטי של האנשים הוא שואל את מספר תעודת זהות.

יורם הכהן: אחרי שמישהו נותן מספר תעודת זהות אז הוא עבר את אותו חסם ההזדהות כדי להמשיך ולהיכנס לתוך המידע.

יואל חסון: בהנחה שהוא נתן את מספר תעודת הזהות באופן אישי.

יורם הכהן: נכון.

יורם הכהן: יש קוד סודי וזה הדברים שצריכים להקיש וזו פרקטיקה נכונה.

יורם הכהן: הבעיה במאגר הזה, וזו הסיבה שלנו זה קפץ, זה שהרבה פעמים מספר תעודת הזהות, או קשרי המשפחה ואיפה אתה גר, הם אחר כך מפתח הכניסה למידע הרבה יותר רגיש, לכן הדבר הזה כל כך חמור.

יורם הכהן: חבריי ממבקר המדינה, והיו לנו שיחות גם לפני שהם עשו את הביקורת בעניין הזה, אני חושב שזה הניע איזה תהליך.

יורם הכהן: אני מבקש לספר כאן על התוצאות שאנחנו רואים, , בדוח שלנו משנת 2008 שפורסם לפני מספר שבועות, אנחנו כגוף שמקבל תלונות מהציבור על נושא של פגיעה בפרטיות, הצבענו על מקרים בהם אנשים התחילו להתלונן שכל מיני פעולות נעשות כלפיהם, והם מבינים שיש איזה מאגר מידע שמשמש.

יורם הכהן: לדוגמה, עסק שמציע לאנשים לקנות איזה מוצר ביום ההולדת שלהם וזה על בסיס אותו מאגר מידע.

יורם הכהן: אנחנו עשינו כמה פעולות רגולציה בנושא הזה.

יורם הכהן: במובן הפרקטי למשל, גילנו מפסק דין שהתפרסם שרשות מקומית מסוימת עשתה שימוש במאגר המידע הזה לצורך גביית חובות.

יורם הכהן: חברת מיקור חוץ עשתה שימוש במאגר הזה לצורך גביית חובות.

יורם הכהן: אנחנו גרמנו לכך שהפרקטיקה הזאת תפסק ושמאגר המידע הזה ימחק מאותה חברה שנותנת מיקור חוץ.

יורם הכהן: במידה רבה זה קצת לרדוף אחרי הסוסים אחרי שהם ברחו מהאורווה.

יואל חסון: מהם הכלים שלך היום?

יורם הכהן: אחת הבעיות שחוק הגנת הפרטיות היום בכלי הרגולציה שלנו הכלים אינם מספיקים בהיבט שיש היום מנגנון של מרשם מאגרי מידע, והסמכויות של רשם מאגרי מידע שמנהל איזה מרשם, זה בגדול למחוק משהו מהמרשם.

יורם הכהן: ברגע שאתה מוחק משהו מהמרשם אז מבחינה חוקית אסור לך להפעיל את מאגר המידע.

יורם הכהן: זה לא ראלי בהקשר של המאגר של המוסד לביטוח לאומי, או מאגר משרד הפנים שאנחנו נבוא למשרד הפנים ונאמר להם שהם לא שמרו על כללי אבטחת המידע שלהם ולכן אנחנו לא מרשים להם לפעול.

יורם הכהן: זה כיום הכלל שאנחנו יכולים להפעיל.

יורם הכהן: לכן כשהבנו את העניין הזה, אגב אני מוכרח להגיד שמנקודת מבט של הגנת הפרטיות במדינת ישראל, המצב היום לעומת שנת 2006 השתפר באופן דרמטי.

יורם הכהן: כשאני הגעתי לתפקידי בערך עשרה אנשים היו ביחידה הזאת, נכון להיום הרשות למשפט ולטכנולוגיה מונה עשרים וארבעה אנשים.

יורם הכהן: כוח האדם החולף ורוב האנשים הם אנשים שתחום ההתמחות שלהם הוא משפט וטכנולוגיה.

יורם הכהן: המצב הוא טוב אבל גילנו שכלי הרגולציה שאנחנו צריכים לא מספקים, ואנחנו בתהליך, כמו שאורית קורן סיפרה עליו, על סמך הניסיון שצברנו במהלך השנתיים האחרונות של גיבוש תזכיר לסמכויות האכיפה לרשם מאגרי מידע, שייתן את הכלים שאנחנו חושבים שמהם הכלים המתאימים ברזולוציה המתאימה בהתייחס למקרים הספציפיים.

יורם הכהן: צריך להבין בעניין הזה דבר מאוד חשוב, ואני גם את אתייחס לאמירה של השר מיכאל איתן בהקשר של היחס בין אותם גומרים שאחראים על פרטיות במאגרי מידע, למשל בין הממשלתיים לבין הרשות.

יורם הכהן: אנחנו רגולטור מסוג מאוד מאוד מיוחד מכיוון שלכל המשק הוא בתחום הרגולציה שלנו.

יורם הכהן: אנחנו מפקחים על משרדי ממשלה, כלומר אנחנו אחראים על הגנת הפרטיות במשרדי ממשלה, בגופים פרטיים, במגזר השלישי.

יורם הכהן: אין היום גוף במדינה, לרבות אנשים פרטיים שיש להם בבית מאגרי מידע, אין גוף במדינה שלא מפעיל איזה מאגר מידע.

יורם הכהן: לכן התפיסה של הרגולציה צריכה לגרום לאנשים להבין שיש להם אחריות לשמור על הפרטיות.

יורם הכהן: כשאנחנו מדברים על משרדי ממשלה זה לא תלוי ברשות למשפט ולטכנולוגיה שהיא זאת שתעשה את הביקורת אחרי כל אחד מהמשרדים.

יורם הכהן: המשרדים עצמם חייבים להבין שזו אחריות שלהם.

יורם הכהן: אנחנו עושים ביקורות בצורה מדגמית, בין אם זה על פי תלונות שאנחנו מקבלים ובין אם זה על פי תכנית פיקוח.

יורם הכהן: אבל עם עשרים וארבעה אנשים, וזה באמת לא הרבה, אנחנו לא יכולים לכסות את כל המגזר הציבורי.

יורם הכהן: זו הסיבה ששמחנו מאוד שמבקר המדינה עשה את הביקורת הזאת ומסר דוח כל כך מקיף.

יורם הכהן: לדוגמה, אנחנו במשרד הפנים עשינו בחצי השנה אחרונה ביקורת בהקשר של המפקח הארצי על הבחירות, במסגרת ההערכות לבחירות בתחילת שנה זו.

יורם הכהן: עשינו שם פיקוח עם מיקוד על סוגית הבחירות.

יורם הכהן: מידע רגיש מעובד, אבל כמעט בכל משרד ממשלתי יש מידע רגיש יותר ורגיש פחות.

יואל חסון: דיברת על המגזר השלישי וברור שלמדינה שמקבלת יש בסיסי הנתונים מהמקורות שלה והמידע שלה.

יואל חסון: אבל אם עמותה מסוימת צברה נתוני מידע, כלומר אזרח בחר לתת את נתוניו לאותה עמותה, ויש לה בסיס נתונים מאוד גדול, מה הן ההגבלות שלה?

יואל חסון: אם אדם מסר מרצונו את פרטיו, וכך הצטברו שלושים אלף שמות, אילו הגבלות יש על העמותה הזאת?

יורם הכהן: ההגבלות הן סעיף 2.9 לחוק הגנת הפרטיות שאומר שהשימוש במידע יכול להיעשות רק למטרה שהוא נמסר.

יורם הכהן: ולצורך העניין הוא עקב ההסכמה שניתנה.

יורם הכהן: יש תיקון לחוק הגנת הפרטיות משנת 2007, שההסכמה הזאת צריכה להיות הסכמה מדעת.

יורם הכהן: אגב, אלו הנושאים המרכזיים, כשעוסקים בפרטיות ושואלים עבור מה ההסכמה ניתנה.

יורם הכהן: עשינו איזו פעולה בתחום רפורמות "בחר" שהסוגיות עלו שם.

יורם הכהן: אם העמותה הזאת למשל היא עמותה שפועלת בתחום קידום חקיקה למניעת תאונות דרכים, אמרתי שזה נורא נורא חשוב לי, והשימוש שעושים במידע הוא לצורך הזה בלבד, זה בסדר גמור.

יורם הכהן: אבל אם אותה עמותה תבוא לחברת מכוניות ותגיד לה שיש לה איזה מאגר של אנשים שהנושא של תאונות דרכים רלוונטי לגביהם.

יורם הכהן: והוא מציע להם לשווק לאנשים האלה באמצעות המאגר הזה, זה כמובן הפרה של חוק הגנת הפרטיות.

יורם הכהן: העיקרון הזה נקרא עקרון "צמידות המטרה" והוא עקרון מרכזי בחוק הגנת הפרטיות.

יואל חסון: תודה רבה.

יואל חסון: אני רוצה לומר לכם שמשרד ראש הממשלה, הגברת ויקטוריה רביץ העבירה אלי חומר גם מדיונים שהיו בנושא של אבטחת מידע.

יואל חסון: שם גם יש ציטוטים של מר ניסים אליאסף על דברים, וצריך לומר, דברים שהובאו לידיעת

יואל חסון: כם הרבה קודם בנושא של אבטחת מידע.

יואל חסון: זה מסמך מאוד מעניין ואני מודה למשרד ראש הממשלה שהעביר את זה לידיעת הוועדה.

יואל חסון: האם נציגי משרד לבטחון פנים מעוניינים להוסיף?

יואל חסון: אני רוצה את ההתייחסות שלך גברתי המשנה ליועץ המשפטי, אני רוצה להבין, התחלתם בחקירה ומשום מה גילתם שזה רחב מידי וגדול עליכם ופשוט הפסקתם.

יואל חסון: אני רוצה לדעת מדוע הפסקתם, ומה התהליך שעברתם?

עדי זלדס: אם יש צורך להיכנס יותר לפרטים, אני לא בטוח שיש צורך להיכנס לפרטי החקירה ועד איפה היא הגיעה, ואצל מי בדקנו ומה לא בדקנו.

עדי זלדס: בסופו של דבר השאלה שצריכה להישאל היא, אחרי שנערוך בדיקה וכשנפתח תיק חקירה.

עדי זלדס: בשלב מסוים אוספים מידע ונוגעים בשאלה האם יש סיכוים בתיק הזה ומהם הסיכויים שבסוף נשים את היד על בנאדם מסוים שהוא אחראי ושיהיה ניתן להגיש נגדו כתב אישום.

עדי זלדס: אחרת אין תכלית לבדיקת משטרה.

עדי זלדס: אנחנו לא רשות למשפט וטכנולוגיה שברגע שזיהנו את הפרצה אנחנו מדלקים את הנורה ומורים לתקן את הליקוי.

עדי זלדס: אנחנו לא רגולטורים בתחום הגנת הפרטיות.

עדי זלדס: וזאת השאלה.

עדי זלדס: נערכה בדיקה, בדיקה מקצועית, בדיקה רצינית של הנושא.

עדי זלדס: הגיעו למסקנה שהמשאבים שצריך להשקיע ושאולי בסוף, אם בכלל, נגיע לכיוון שהסיכוי שנגיע לבנאדם הוא קטן מאוד.

עדי זלדס: זו השאלה ועליה צריך לקבל החלטה.

עדי זלדס: ההחלטה הייתה לסגור את התיק.

עדי זלדס: וכפי שנאמר ונמסר בדוח וזה נכון.

גלעד בהט: טיפל בזה מפלג ההונאה של משטרת מחוז ירושלים.

יואל חסון: האם נחקר חשוד אחד, מה פעולות החקירה שעשיתם?

גלעד בהט: פעולות החקירה נעשו כדי לבדוק מאילו מקומות יכול לדלוף אותו מאגר מידע.

גלעד בהט: קיבלנו רשימה מאוד גדולה, וגם כאשר צומצמה הרשימה לקבוצה של כעשרים גופים, מדובר על עשרים גופים, אנחנו בחקירה פלילית צריכים להצביע על אדם.

גלעד בהט: לא די בזה שאנחנו יודעים, וגם אם אנחנו יודעים.

גלעד בהט: ההצבעה לא הייתה על שום גוף בוודאות.

גלעד בהט: התקבלה רשימה של כל הגופים שחשופים לאותה מערכת.

גלעד בהט: לאחר מכן באמצעות בדיקה צומצמה הרשימה הזאת למספר של כעשרים גופים, תוך התייחסות של אותו גוף שבדק את זה למספר גופים שעולים מהקבצים שנבדקו.

גלעד בהט: אני כמובן לא אתייחס כאן לשם של אף גוף.

גלעד בהט: אני רק אומר שאין שום אינדיקציה וודאית או בקרבה גבוהה, שאכן בוצעה דליפה מגוף מסוים.

גלעד בהט: מה שאומר, שגם לגבי אותו גוף יש עשרות ומאות אנשים שמשתמשים.

גלעד בהט: בדקנו את הגופים שהייתה סבירות גבוהה של אפשרות דליפה מהם.

גלעד בהט: עדיין אי אפשר למקד את זה לא לאדם ולא לקבוצת אנשים מסוימת שמהם המידע עלול היה לדלוף.

גלעד בהט: הדבר דומה בערך למצב שאדם מגיש תלונה שנגנבה טלוויזיה מהעיר ירושלים.

גלעד בהט: כעת בואו נחפש מי בירושלים גנב את הטלוויזיה.

גלעד בהט: זו בערך אותה רמת מיקוד.

גלעד בהט: גם אם נדע, ובהמשך לדוגמה של הטלוויזיה, שהטלוויזיה מתוצרת חברה מסוימת, עדיין זה משאיר אלפי אפשרויות.

גלעד בהט: אני מזכיר שאנחנו לא בודקים את סתימת הפרצה, אלא תפקידנו להצביע על אדם ספציפי.

גלעד בהט: את זה בנתונים הקיימים לא ניתן היה לעשות.

יואל חסון: תודה, הבנתי.

יואל חסון: הגברת אורית קורן בבקשה.

אורית קורן: באופן עקרוני, זה נושא שאנחנו נדרשנו אליו במהלך עבודתנו.

אורית קורן: הנושא לא הגיע אלינו לאחר המשטרה ולכן אין לנו עמדה לגבי תיק החקירה עצמו.

יואל חסון: בעצם נחשפת כאן חולשה שלנו כמדינה שאומרת שלמעשה בתחום הזה, גם בעתיד כמעט בלתי אפשרי לחקור, למצוא ולגלות.

אורית קורן: לא.

יואל חסון: מה ניתן לעשות בתחום הזה.

יורם הכהן: יש לזה פתרונות ברמה הטכנולוגית.

יורם הכהן: פתרונות ברמה החקירה, אחת המסקנות שלנו בעניין הזה הייתה שרשות למשפט וטכנולוגיה צריכה לפעול גם במישור החקירתי, אנחנו ביצענו מהלך, ואני שמח לבשר כאן שלפני שלושה שבועות קיבלנו אישור של השר לבטחון פנים לבצע חקירות פליליות בתחום של הגנת הפרטיות במאגרי מידע.

יואל חסון: ולמה בנושא הזה לא?

יורם הכהן: החקירה הזאת נעשתה לפני שנה וחצי, אנחנו קיבלנו את סמכויות האלה לפני שלושה שבועות.

אורית קורן: אני חושבת שחיזוק סמכויות החקירה של גוף שיש לו את המומחיות.

יואל חסון: זה גם יהיה בתזכיר המדובר?

אורית קורן: זה ממש חלק אינטגרלי מהתזכיר.

ניסים אליאסף: היו מספר פעמים שנתתי תעודת עובד ציבור לחקירה של אנשים שמצאו אצלם מאגר ביד.

ניסים אליאסף: אני לא יודע אם העמידו אותם לדין.

יואל חסון: הגשת תלונה פורמלית למשטרה?

ניסים אליאסף: לא.

ניסים אליאסף: תפסו מישהו שיש ברשותו מאגר ביד.

ניסים אליאסף: שהוא הוריד אותו מהאינטרנט או קודם שזה היה באינטרנט.

ניסים אליאסף: נמסרו כבר שמונה או עשר פעמים תעודות של עובד ציבור בנושא הזה.

יואל חסון: ומה נעשה עם זה?

עדי זלדס: הוא מדבר על מקרה קונקרטי, המשטרה לא ביקשה ממנו תעודת עובד ציבור כדי לתלות אותה על הקיר.

עדי זלדס: כנראה בוצעה איזו חקירה והיה צריך את התעודה הזאת מבחינה ראיה, זה רק אומר שחקרו ובדקו.

גלעד בהט: במקרה שיש בו הצבעה על אדם ספציפי, אלו תיקים קיימים ואין לי כאן רשימה תיקים, אנחנו מעמידים לדין.

גלעד בהט: אבל כשמדובר במשהו כללי אין לנו אפשרות להגיע לזה.

יואל חסון: זו נקודה מאוד חשובה בנוגע לכלי להילחם.

יואל חסון: כי אם לא תהייה הרתעה וענישה אז זה הכל הדיבורים באוויר.

יואל חסון: אני מתכנס לסיכום.

יואל חסון: יש מישהו שרוצה להעיר הערה, לומר משהו שלא נאמר?

יואל חסון: תודה רבה.

יואל חסון: אני מודה לכל המשתתפים על הדיון הזה.

יואל חסון: אני חושב שהדיון הזה הוא דיון חשוב.

יואל חסון: אין ספק שמטיוטת הדוח ומהדוח עצמו, וגם כינוס שתי הישיבות האלו הביאו להתקדמות בנושא של הראיה.

יואל חסון: קודם כל כיצד אתה רואה את מצב אבטחת המידע, כיצד המשרדים הרלוונטיים רואים את נושא אבטחת המידע והשמירה עליו.

יואל חסון: ומתוך התפיסה העקרונית שמדובר, קודם כל במידע חיוני שהוא נכנס אסטרטגי, נכס חשוב והוא גם נכס לאומי, והוא גם נכס פרטי של ציבור שלנו כאן.

יואל חסון: המסר החשוב שצריך לצאת מכאן זה שהציבור הישראלי צריך להרגיש בטחון בעובדה שהמידע אודותיו נמצא בידי אנשים שהוא יכול לסמוך עליהם, ובידי גופים מספיק חזקים ומספיק הגונים, והשימוש במידע הזה באמת נעשה בזהירות רבה.

יואל חסון: על ידי כך אותו אזרח ירגיש גם יותר חופשי לחשוף את המידע, אם זה מידע שנדרש ומבקשים ממנו אותו, או שהוא זה שצריך לתת את המידע הזה.

יואל חסון: שהוא ידע שהוא מוסר את המידע הזה לגוף שהוא סומך עליו, והוא סומך על המדינה שמתייחסת לגוף הזה ברצינות.

יואל חסון: זה כלל חשוב.

יואל חסון: אנחנו מבקשים שתוך שישה חודשים תוצג לוועדה, גם על ידי המוסד לביטוח לאומי, וגם על ידי משרד הפנים – רשות האוכלוסין, דוח כתוב על הפעולות שנעשו.

יואל חסון: גם על הפעולות שנאמרו היום וגם מה יקרה בחצי השנה הקרובה.

יואל חסון: בטח אתם נמצאים באמצע התהליך.

יואל חסון: תוך חצי שנה מהיום אנחנו מבקשים שיוצג ויונח על שולחן הוועדה דוח.

יואל חסון: תוכנס ישיבה והכל על פי הדוח, אם נתרשם שדוח הביצוע הוא דוח מרשים, הביצוע טוב ושנכנסנו למסלול.

יואל חסון: אנחנו נמשיך קדימה ואם נמצא שלא נכנס ישיבה נוספת.

יואל חסון: תוך חצי שנה להעמיד את הדוח הזה עם התייחסות לתיקון כל הליקויים, על כל הדברים שעלו גם בוועדה וגם בדוח מבקר המדינה.

יואל חסון: אמר המנהל הכללי של משרד הפנים שתוך שישים יום תקום יחידה וימונה מנהל אבטחת מידע.

יואל חסון: אני אהיה יותר נדיב בעניין הזה, ואני נותן מאה ועשרים ימים למשרד הפנים להקים יחידה.

יואל חסון: אני מדגיש את הנושא של היחידה לאבטחת מידע.

יואל חסון: זה מה שאמר כאן המנהל הכללי של משרד הפנים.

יואל חסון: יחידה לאבטחת מידע על כל המשתמע מכך.

יואל חסון: לדעתי מאה ועשרים ימים זה זמן מספיק לעניין הזה.

יואל חסון: נושא של תזכיר החוק, אורית קורן ציינה שבמושב הבא יונח על שולחנה של הכנסת תזכיר חוק.

יואל חסון: אפשר להגדיר שתוך ארבעה חודשים?

אורית קורן: צריך לתת לממשלה את הזמן שלה.

יואל חסון: כשאני נותן לה את הזמן היא לוקחת אותו.

אורית קורן: אנחנו בפרק הזמן הזה נסיים את התזכיר, נסיים עוד קודם.

אורית קורן: השאלה מתי הממשלה תחליט להגיש את זה לכנסת.

יואל חסון: בואי נסכים על זמן

אורית קורן: אני לא יכולה להתחייב, לא אני מחליטה להגיש לכנסת, הממשלה היא זאת שמחליטה.

יואל חסון: הוועדה מבקשת שהממשלה תוך שישה חודשים מהיום תניח את הצעת החוק על שולחן הכנסת במסלול המקובל.

יואל חסון: זה אומר שאתם צריכים להזדרז בהכנת התזכיר.

אורית קורן: אנחנו כדרג המקצועי נעשה את זה.

יואל חסון: אתם כדרג המקצועי צריכים להזדרז בהכנת תזכיר החוק והממשלה תדע שהיא צריכה להעביר את זה תוך זמן של שישה חודשים.

יואל חסון: הוועדה תפנה באופן ישיר לשירות הבטחון הכללי, כדי לקבל את חוות דעתם בנושא של אבטחת המידע.

יואל חסון: על הקשר שלהם לכל הנושא של אבטחת מידע בכלל, ברמת יידוע של הוועדה לענייני ביקורת המדינה.

יואל חסון: הוועדה כמובן מקבלת ומאמצת את מסקנות דוח מבקר המדינה ומודים לצוות מבקר המדינה על הפעילות ועל העבודה הברוכה.

יואל חסון: מכאן אני יוצא עם מסר אליכם, שכל הפעילות של מבקר המדינה, וגם של הוועדה הזאת, הם בסופו של דבר במטרה לשמור על הדבר הזה.

יואל חסון: לעשות את זה טוב יותר ולגרום לכל המערכות להתכנס לעבודה משופרת בעניין הזה.

יואל חסון: אני לא יודע איך לסכם את מה שדיברנו, כדי שניצור מצב שהליקויים שגילינו יישום בכל.

יואל חסון: סליחה מר יעקב זלצר, אתה רוצה לומר משהו?

יעקב זלצר: יש בדוח 56ב' , אבטחת מידע במשרדי ממשלה סקר.

יעקב זלצר: אנחנו מתכוונים ולבדוק את זה היום על כל משרדי משרדי הממשלה בכל נושא אבטחת המידע, כולל האנשים, על אותו מבצע של 56ב'.

יעקב זלצר: אני חושב שאנחנו יכולים בהחלט לעשות את העבודה.

יעקב זלצר: והעובדה שהיא גם נעשתה על ידנו.

יואל חסון: הבדיקה ממתי?

יעקב זלצר: משנת 2006.

יעקב זלצר: אנחנו נחזור ונערוך את הסקר בנושא של אבטחה מידע, בתוך 59ב', על אותם הגורמים, המוסד לביטוח לאומי ומשרד הפנים, במשרד החוץ הייתה בחינה בכל מקרה.

יואל חסון: בשלב הראשון אני מקבל, נראה את התוצאה שתקבל.

יואל חסון: משרד ראש הממשלה יחזור על הסקר שהוא ערך בשנת 2006 יחד עם הרשות למשפט וטכנולוגיה ומידע.

יואל חסון: אני רוצה שאתם תהיו יחד בעניין של עריכת הסקר המקיף ולהגיש אותו תוך שלושה חודשים לוועדה.

יואל חסון: אם נמצא שיש שם בעיות נקבל החלטה כיצד אנחנו מטפלים בדברים האלה.

יואל חסון: אני מודה לכולכם על ההשתתפות, הישיבה נעולה.