ועדת הכלכלה, כנסת 18, פרוטוקול מספר 715, 2012-01-09 12:10

כרמל שאמה-הכהן: צהריים טובים.

כרמל שאמה-הכהן: אנחנו פותחים ישיבה שלישית של ועדת הכלכלה.

כרמל שאמה-הכהן: על סדר היום חשיפת כרטיסי אשראי ישראליים על-ידי האקרים זרים.

כרמל שאמה-הכהן: אזרחי מדינת ישראל למודים ומכוח המציאות מתרגלים להתמודד עם האיומים הביטחוניים, הפיזיים, בין אם זה פיגועי טרור או איומים שנמצאים בגבולות.

כרמל שאמה-הכהן: אבל בשבוע האחרון הופיע איום וירטואלי שנע על גבי רשת האינטרנט, ולפי הפרסומים עומד מאחוריו פשוט צעיר סעודי - -

דני דנון: עומאר.

לאה ורון: שחי במקסיקו.

כרמל שאמה-הכהן: שחי במקסיקו – זה נפלאות הכפר הגלובלי.

כרמל שאמה-הכהן: השאלות שהכנסת צריכה לשאול הן מזוויות שונות, ואני גם יודע שיהיו דיונים בוועדות אחרות.

כרמל שאמה-הכהן: אנחנו ועדת כלכלה שאחראית על תחום הצרכנות במדינת ישראל ועל פעילות תקינה של הכלכלה.

כרמל שאמה-הכהן: הרי אם אנשים לא ירגישו בטוח למסור את פרטי אמצעי התשלום שלהם באינטרנט גם הכלכלה הישראלית תיפגע.

כרמל שאמה-הכהן: ואם כאלה, מאות אלפים שעושים את זה מדי יום שמוסרים את פרטי האשראי שלהם או פרטים אישיים אחרים ומאמינים שמוסרים את זה למקום בטוח שבו הנתונים מטופלים אחר כך בצורה מקצועית, ומגלים אחרי זה שהנתונים מסתובבים באוויר, בכל העולם – יוצאים מישראל וחוזרים לישראל, ואנשים מנסים להפיק מזה רווח כלכלי כזה או אחר – זה מצב לא ראוי.

כרמל שאמה-הכהן: מן הנכון שיהיה פיקוח ותהיה רגולציה שחברה שבוחרת ומזמינה צרכנים למסור לה את הפרטים האלה תדע גם איך לטפל ולשמור עליהם.

כרמל שאמה-הכהן: לכן רצינו לשמוע מהם ממדי התופעה; מי אחרי במקרה של כשלים, מי אמור לפצות?

כרמל שאמה-הכהן: לקוחות לא עשו שום דבר רע – פשוט קנו משהו באינטרנט, מסרו את הפרטים, ומישהו שהיה צריך לשמור על זה כמו שצריך, כנראה, לא שמר על זה כמו שצריך במידה הראויה והמספקת.

כרמל שאמה-הכהן: על מי נופל הנזק במקרה הזה?

כרמל שאמה-הכהן: שנית, לדעת מה עושה המדינה – היום זה רק צעיר סעודי – יכול להיות שמחר ארגון טרור יפעל בצורה הזאת או מדינה עוינת, והנזק עלול להיות פי כמה וכמה.

כרמל שאמה-הכהן: כיצד אנחנו נערכים למצב הזה?

כרמל שאמה-הכהן: אנחנו באמת מסתכלים בסוף ומנסים להתנקז לזווית הכלכלית של העניין, פחות הביטחונית והלאומית, אלא כלכלית צרכנית.

כרמל שאמה-הכהן: זאת זווית הראייה של ועדת הכלכלה בנושא הזה.

כרמל שאמה-הכהן: חבר הכנסת דנון יפתח את הדיון אחרי, ומי שרוצה לדבר מטעם האורחים מוזמן לבקש רשות דיבור ממנהלת הוועדה.

דני דנון: תודה, אדוני היושב ראש.

דני דנון: אני מברך על עצם קיום הדיון בוועדת הכלכלה.

דני דנון: כיושב ראש ועדת משנה לבנקאות ועסקים קטנים הנושא קשור לוועדת כלכלה, ואני רוצה לבקש מאדוני היושב ראש להתייחס בדיון לנושא חברות האשראי שרובן נמצאות פה – עם מי הן מתקשרות.

דני דנון: כי בפריצה שנעשתה נגנבו נתונים רבים מעבר לכרטיסי האשראי: אימיילים, כתובות – נתונים רבים מאוד.

דני דנון: למיטב ידיעתי, חברות האשראי מתקשרות היום עם כל בעל עסק שרוצה.

דני דנון: אין שום רגולציה שמחייבת אותו על תנאי סף לגבי איכות האתר או אבטחת המידע באתר.

דני דנון: לכן אנחנו צריכים לשקול, אם לא נקבל תשובות מספקות היום, רגולציה כדי שחברות האשראי יצרכו לעשות בדיקת נאותות כזאת או אחרת או לקבוע תקן כדי להגיד עם איזה אתרים ניתן להתקשר או לא.

דני דנון: אם ל, בעצם החברות אומרות שהן לא שולטות – זה נלקח מאתרים של קופונים או אחרים; אבל החברות הן אלה ששולטות בשוק, ולכן אנחנו צריכים לצאת מפה עם אמירה של התחלת מחשבה על רגולציה, עם מי החברות הגדולות מתקשרות.

כרמל שאמה-הכהן: מישהו מחברת כרטיסי האשראי נמצא?

קריאות: כל החברות נמצאות פה.

כרמל שאמה-הכהן: ישראכרט, איפה?

כרמל שאמה-הכהן: פשוט ביקרתי במחלקת אבטחת המידע והביטחון שלכם לפני כשנה, והאמת היא שהתרשמתי שהפעילות שם היא באמת מקצועית ומעמיקה.

כרמל שאמה-הכהן: איך אתם מתייחסים לסוגיה הזאת?

כרמל שאמה-הכהן: האם יש סינון של ספקים שאתם מתקשרים איתם?

כרמל שאמה-הכהן: לא רק מהזוויות האחרות שאתם בודקים, של הונאה ודברים כאלה, אלא כיצד המידע נאגר ונשמר אצלם?

כרמל שאמה-הכהן: והנקודות האחרות שהתייחס אליהם דנון.

אמיר קושילביץ: שמי אמיר קושילביץ, אני סמנכ"ל ניהול סיכונים בישראכרט.

אמיר קושילביץ: אני אכוון בתשובה לפתיחה של הדברים שלך – דיברת בעיקר על הצד הכלכלי והצרכני שמטריד את הוועדה הזאת, ומן הסתם גם אנחנו רוצים בחיי היום-יום, מצד אחד לאפשר חיי מסחר וכלכלה תקינים, ומצד אחד למזער את הפגיעה בלקוחות ככל האפשר.

אמיר קושילביץ: אנחנו בראש ובראשונה מקיימיים מערך מאוד צפוף, הדוק, מערך שפועל 24 שעות ביממה כל השנה, לנטר רמאויות מהסוג הזה בכרטיסי אשראי.

אמיר קושילביץ: אתה היית בביקור, וראית דברים שאנחנו עושים.

אמיר קושילביץ: אני מניח שגם חברות אחרות עושות בצורה דומה.

אמיר קושילביץ: אנחנו קוראים לזה "חדר אן-ליין" שיושב כל היום ומנטר.

אמיר קושילביץ: הנקודה הראשונה שחשוב מאוד לומר, למי שלא יודע, שהצרכנים בהיבט של נזק כספי מבוטחים לחלוטין.

קריאה: לגמרי?

אמיר קושילביץ: לחלוטין.

אמיר קושילביץ: כל לקוח שיש לו איזשהו שימוש לרעה בכרטיס ויפנה אלינו, כמובן, אחרי שנבדוק ונוודא שאכן היה שימוש לרעה בכרטיסו - -

לאה ורון: מהסכום הראשון.

לאה ורון: מההוצאה הראשונה.

אמיר קושילביץ: כל לקוח שיפנה על כל פנייה – שלום, קוראים לי הגברת כהן, אני רואה 10 שקלים בכרטיס שלי שאני לא יודעת מהם – היא תצהיר על העובדה שזה לא שלה ותקבל את הכסף באופן מידי.

אמיר קושילביץ: זה אחת מנקודות החוזק של השימוש בכרטיסי אשראי.

כרמל שאמה-הכהן: גם לרכישות בארץ וגם בחו"ל.

אמיר קושילביץ: רכישות בארץ, רכישות בחו"ל, רכישות בחנות, באתר אינטרנט – כל רכישה מסוג שהיא.

אמיר קושילביץ: אנחנו כמובן נבצע בדיקה כזאת או אחרת, אבל התשובה היא כן – הלקוחות מבוטחים.

אמיר קושילביץ: אני גם אומר עוד משפט בהקשר הזה: ברוב המקרים אנחנו מספרים ללקוחות שנעשה שימוש בכרטיס שלהם, ולא הלקוחות לנו.

אמיר קושילביץ: כי המערכות שלנו הרבה פעמים מאפשרים לנו לראות את זה הרבה לפני שהסטייטמנט הגיע אליו, שלא לומר שלא כל הלקוחות מסתכלים על הסטייטמנט – אבל אנחנו מתקשרים ואומרים, שים לב – אתה נמצא כרגע בהונגריה ואתה עושה משהו?

אמיר קושילביץ: הלקוח אומר, לא, אני לא נמצא – אנחנו מודיעים לו על חסימה מיידית.

אמיר קושילביץ: יש לנו יכולות טכנולוגיות מאוד גבוהות, גם מהיכרות עם מה שקורה בעולם, לחסום ולנטר ברמה מאוד מהירה.

אמיר קושילביץ: גם באירוע הנוכחי, ולמעשה בשני המיני-אירועים שהרכיבו את השבוע האחרון, היכולת שלנו לחסום את הכרטיסים ולעצור מיידית כל אפשרות של נזק הייתה מאוד גבוהה, עשינו את זה באופן כמעט מידי.

אמיר קושילביץ: באירוע הראשון זה לקח משהו כמו פחות משעה, ובאירוע השני תוך עשר דקות מרגע שהייתה בידינו הרשימה כל הכרטיסים כבר היו חסומים.

אמיר קושילביץ: כלומר חשוב לומר שבאירוע הזה נזק כספי למעשה לא היה.

אמיר קושילביץ: גם אחרי האירוע ראינו שהיו באופן יחסי מעט מאוד ניסיונות לשימוש.

אמיר קושילביץ: כמובן, ניטרנו אותם וראינו אותם.

אמיר קושילביץ: הניסיונות היו בעיקר מכאלה שראו את הקובץ מצד שלישי, ואמרו, הנה הזדמנות, בואו ננסה להשתמש.

אמיר קושילביץ: אבל כמובן, לא הצליחו.

דני דנון: כמה מקרים כאלה היו?

דני דנון: אני מכיר מקרה אחד של הבחור מטבריה.

אמיר קושילביץ: נכון, בחברה עמיתה שלנו.

אמיר קושילביץ: אנחנו ראינו סדר גודל של כמה עשרות ניסיונות לשימוש שבמונחים שלנו זה ממש אפסי.

אמיר קושילביץ: גם בכמה עשרות, אני לא יודע את המספרים המדויקים, אני בטוח שחלק מהם ניסיונות אמיתיים של לקוחות אמיתיים שעדיין ניסו.

אמיר קושילביץ: אבל ממש ניסיונות מינוריים שנחסמו.

אמיר קושילביץ: דיברתי על יכולת הניטור, דיברתי על יכולת חסימה.

אמיר קושילביץ: כמובן, יש לנו יכולת בקצב מהיר יחסית להנפיק ללקוח כרטיס חדש, לתת לו את הכרטיס.

אמיר קושילביץ: מעבר לזה, ברמת הצרכן, יש שירותים נוספים, שירותי ערך מוסף.

אמיר קושילביץ: החל משירותי SMS שאנחנו מציעים ללקוחות על כל קנייה, ואז הלקוח יכול לראות אם בוצעה קנייה שהיא לא שלו – הוא יכול לפנות אלינו; שירותים של קנייה בטוחה בכרטיסי web למיניהם; לישראכרט יש כרטיס שנקרא ישראכרט web, כרטיס לא מזוהה, מעין כרטיס וירטואלי שאינו מקושר לחשבון הבנק.

אמיר קושילביץ: אני מניח שלחברות האחרות יש מוצרים דומים, ואפשר דרך הכרטיס הזה.

אמיר קושילביץ: כלומר המסר שלנו לצרכנים הוא שהקניות האלה הן קניות בטוחות שלא יכולות לגרום לנזק וגם אם קורה משהו אנחנו עומדים מאחוריהם בצורה מלאה.

כרמל שאמה-הכהן: האם עומאר הוא הראשון והחלוץ או שהיו מקרים דומים בעבר שפשוט לא קיבלו פרסום או יותר קטנים בהיקפם של אנשים שחדרו לתוך מאגרי המידע של עסקים ושלפו נתונים של כרטיסי אשראי?

אמיר קושילביץ: זה לא המקרה הראשון, זה כנראה לא החלוץ.

אמיר קושילביץ: בהיקף הזה אני לא זוכר מקרה כזה.

אמיר קושילביץ: בעולם, דרך אגב, אירוע בהיקף הזה נחשב אירוע די מינורי.

אמיר קושילביץ: בעולם אנחנו מכירים אירועים בהיקף של עשרות מיליונים.

אמיר קושילביץ: אולי אתם זוכרים, לפני כמה חודשים היה אירוע גדול של חברת "סוני".

אמיר קושילביץ: אבל אלה לא אירועים נדירים.

אמיר קושילביץ: היינו גם בקשר צמוד מאוד עם חברות האשראי הבינלאומיות: מאסטרכרד, ויזה העולמית, "אמריקן אקספרס".

אמיר קושילביץ: יש לנו מערך שלם של דיווחים מולם, וגם שם אנחנו יודעים שהאירוע הזה הוא אירוע יחסית גדול במונחים ישראליים – במונחים גלובליים הוא אירוע יחסית קטן.

אמיר קושילביץ: אנשים כדוגמת עומאר שעושים את זה פעם ב-, so called, כמובן, קיימים.

אמיר קושילביץ: אני גם לא חושב שהאירוע הספציפי הזה לא היה בכלל אירוע כלכלי.

אמיר קושילביץ: זאת אומרת הוא לא עשה את זה למטרת גניבה.

אמיר קושילביץ: כמו שאנחנו מפרשים את האירוע היה פה ניסיון להביך את מדינת ישראל.

אמיר קושילביץ: אבל כמו שאמרתי – אם הוא היה כל כך רוצה לגרום נזק כלכלי הוא היה שומר את הרשימות לעצמו ולא מפרסם אותן באינטרנט.

כרמל שאמה-הכהן: זה האירוע הגדול ביותר שחווינו בתחום הזה?

אמיר קושילביץ: אני לא מכיר אירוע אחד המוני בסדר הגודל הזה.

אמיר קושילביץ: ההיסטוריה שלי לא מאוד ארוכה אחורה, אבל התשובה היא כן.

אמיר קושילביץ: זה אירוע יוצא דופן בגודלו יחסית.

כרמל שאמה-הכהן: תודה.

כרמל שאמה-הכהן: גיל טופז, בבקשה.

גיל טופז: אני סמנכ"ל סיכונים בכ.א.ל.

גיל טופז: מבחינתנו האירוע הוא של דליפת מידע ולא אירוע של כרטיסי אשראי.

גיל טופז: כמו שאמר אמיר מרגע שהדבר הזה פורסם – שעה אחר כך כבר לא היה אף כרטיס אשראי רלוונטי ברשת.

גיל טופז: מה שכן נשאר שם זה תעודות זהות של מאות אלפי אזרחים.

גיל טופז: היו שם 400 אלף רשומות בקובץ, ומתוכם, כמו שראינו בעיתון – 15-14 אלף כרטיסי אשראי, ושאר הרשומות הכילו מידע.

גיל טופז: אני ראיתי את המידע הזה בעיניים – היו שם המון כתובות אימיילים, שמות, תעודות זהות, סיסמאות – דברים שאם מישהו היה רוצה להנפיק דרכון עם תעודת הזהות, כתובת האימייל והתמונות שיש שם הוא יודע להנפיק דרכון ישראלי – פה נראה הרבה כאלה.

גיל טופז: מהיבט חברות כרטיסי האשראי אנחנו כבר עובדים באבטחת מידע הרבה מאוד זמן, זה חלק מהותי מהעסק שלנו.

גיל טופז: אני יכול להגיד שמספטמבר שנה שעברה, מי שלא עומד בתקן מינימלי עם אתר אינטרנט – לא מגיע אלינו.

גיל טופז: אבל הנקודה, אם אתם באמת רוצים להתייחס לזה – אתם חייבים להסתכל על האתרים שקיימים במדינת ישראל - -

כרמל שאמה-הכהן: אבל מה היה קורה אם עומאר לא היה מפרסם את הרשימה?

כרמל שאמה-הכהן: אם לעומאר היו מניעים אחרים, לא להביך את מדינת ישראל, אלא לעשות רווח כספי בדרך של הונאה.

כרמל שאמה-הכהן: הקלות שבה אפשר לשלוף את הנתונים האלה היא הדבר שמטריד אותנו.

כרמל שאמה-הכהן: איך אנחנו מתמודדים?

גיל טופז: התופעה הזאת היא לחלוטין רגילה בעולם כרטיסי האשראי.

גיל טופז: המקרים האלה מתרחשים כדבר סטנדרטי, יומיומי.

גיל טופז: ברחבי העולם כל הזמן נפרצים אתרים, ה-FBI מעורב בזה.

גיל טופז: בוועידה לפני שנתיים בברצלונה דובר על חשיפה של רשת רוסית שהיו בידיה מיליוני כרטיסי אשראי תקפים, לא כמו אצלנו, 14 אלף כרטיסים בודדים, אלא באמת הרבה.

גיל טופז: חשוב להבין שהרשויות בעולם מתמודדות עם זה ברמת הרשות האוכפת ולא משאירות לחברות המסחריות להתמודד.

גיל טופז: כמו שאמרתי, ראינו הרצאות של נציגי ה-FBI, נציגי האינטרפול.

גיל טופז: יש רשות אירופית שהוקמה כדי להילחם בתופעה הזאת כי היא חוצה גבולות.

גיל טופז: אתם רואים שיש מישהו שישב במקסיקו או בכל מקום מחוץ למדינת ישראל, ופרץ אלינו- ושוב, לא היה לו אינטרס ספציפי דווקא נגד ישראל, אבל הפושע הממוצע, לא מעניין אותו באמת מי בעל הכרטיס – הוא מעוניין להשיג כרטיס.

גיל טופז: בואו נזכור שבארץ יש עשרות אלפי אתרים שכשאנחנו מסתכלים כמה אתרים באמת סולקים עובדים עם חברות כרטיסי האשראי אנחנו מדברים על אלפים בודדים – פחות מעשרת אלפים, זה בטוח.

גיל טופז: בוודאות יש עשרות אלפי אתרים אחרים שמכילים הרבה מידע רגיש.

גיל טופז: לצורך העניין אתר One ששם התפרסם הכול הוא לא סולק ויש שם עשרות אלפי רשומות.

כרמל שאמה-הכהן: רמת האבטחה שאתם דורשים מעסקים שאתם מתקשרים איתם, זהה לפחות במינימום למקובל בארצות הברית או באירופה?

גיל טופז: הסטנדרט שאנחנו עובדים לפיו נקרא PCI; זה סטנדרט שחיברו אותו חברות כרטיסי האשראי, והוא סטנדרט שמחילים על כל הסולקים בעולם.

כרמל שאמה-הכהן: יש מקומות אחרים בעולם שמחילים רמת אבטחה גבוהה יותר?

גיל טופז: אני לא מכיר את כל העולם.

גיל טופז: אני יכול להגיד שלמיטב ידיעתי, התקן הזה מחמיר.

גיל טופז: אני בספק אם מישהו מוסיף עליו.

גיל טופז: גם התקן הזה די קשה ליישום.

גיל טופז: אנחנו עובדים כבר כמה שנים בארץ כדי לנסות להחיל אותו.

גיל טופז: זה עובד קשה - -

כרמל שאמה-הכהן: אז עומאר פיצח את ה-PCI או איפה שהוא נגע לא היה PCI?

גיל טופז: לא היה שם.

דני דנון: באנגליה אני יודע שהחוק יותר מחמיר.

דני דנון: זה לא הסדרה עצמית כמו פה שאתם עושים מה שאתם רוצים, אלא שהחוק מחייב סטנדרטים מסוימים.

גיל טופז: אני לא בקי בחוק האנגלי, אבל למיטב ידיעתי, וזה מה שאני קיבלתי מחברת ויזה, זה שבאנגליה החוק מחייב כל אחד להחיל אבטחת מידע על מאגר מידע שהוא שומר, ואם הוא מאמץ את תקן ה-PCI שחברות כרטיסי האשראי פרסמו, חזקה שהוא עומד באבטחה.

כרמל שאמה-הכהן: למה המקום שנפרץ לא היה מאובטח ברמת PCI?

כרמל שאמה-הכהן: אנחנו יודעים לומר?

קריאה: כי אין רגולציה.

כרמל שאמה-הכהן: האם חברות כרטיסי האשראי דורשות מינימום PCI, כן או לא?

כרמל שאמה-הכהן: זה לא ברור לי כרגע.

גיל טופז: התשובה היא כן, אבל חשוב לומר - -

דני דנון: אתם דורשים מעצמכם, לא ממי שאתם עובדיים איתו.

גיל טופז: אנחנו דורשים גם מבתי העסק.

גיל טופז: יש לנו אנשים שעובדים בזה כבר הרבה מאוד זמן, כולל מתן ייעוץ לבתי העסק.

גיל טופז: חשוב לומר שלא תמיד טריוויאלי בשביל בית העסק להבין את הדרישה שלנו.

גיל טופז: הדרישה היא דרישה טכנולוגית.

גיל טופז: לא כל בתי העסק- -

כרמל שאמה-הכהן: השאלה היא האם זאת המלצה או דרישה.

כרמל שאמה-הכהן: אם זאת המלצה בית העסק יכול להבין או לא להבין; אם זאת דרישה אין לו ברירה, אלא להבין.

כרמל שאמה-הכהן: השאלה באיזו רמה הנורמה הזאת נתפסת על ידכם.

גיל טופז: אנחנו מנסים להבהיר להם שזאת דרישה.

גיל טופז: הייתי אומר שזאת מלחמה בלתי פוסקת במגרש הזה.

גיל טופז: זה לא טריוויאלי, ואנחנו לא יכולים ביום בהיר אחד להחליט שכל האתרים במדינת ישראל, שזה כמעט המצב – מנותקים כי הם לא עובדים עם PCI.

כרמל שאמה-הכהן: מה העלות של עסק בינוני שמתעסק בתחום הזה לעבור לרמת אבטחה של PCI?

גיל טופז: בעסקים קטנים עד בינוניים אנחנו מדברים על אלפי שקלים – לא משהו גרנדיוזי; לעסקים מורכבים יותר זה יכול להיות גם עשרות אלפי שקלים.

כרמל שאמה-הכהן: כלומר כדי לחסום אפשרויות של עומאר נוסף צריך אולי חקיקה שתחייב את הנורמה הזאת.

כרמל שאמה-הכהן: חברת כרטיסי אשראי לא תתקשר עם בית עסק, אלא אם הוא נוקט אבטחה מינימלית של PCI.

כרמל שאמה-הכהן: כי זאת לא הוצאה בשמים.

גיל טופז: שוב, אתר One לא סולק איתנו.

גיל טופז: זה לא היה עוזר לך החקיקה הזאת - -

כרמל שאמה-הכהן: עם מי הוא סולק?

גיל טופז: הוא לא סולק, הוא לא מקבל כרטיסי אשראי.

כרמל שאמה-הכהן: מאיפה היו לו הפרטים האלה?

גיל טופז: אתה רואה שהיה לו.

ישי ורטהיימר: סליחה, טור כרטיסי האשראי בקובץ היה מפוברק.

ישי ורטהיימר: קובץ של 400 אלף שורות – אנחנו פתחנו אותו - -

לאה ורון: סליחה, רק תציג את עצמך.

ישי ורטהיימר: ישי, מנהל סיכוני הונאה בכ.א.ל.

ישי ורטהיימר: התקשורת רצה, והסיפור התפוצץ בגלל מאות אלפי שורות מקובץ שהיה שייך ל-One.

ישי ורטהיימר: כרטיסי אשראי שהיו בקובץ הזה – בכל שורה היו כרטיסי אשראי, שכולם היו מפוברקים.

ישי ורטהיימר: למעשה, אותו האקר שם שם כרטיסי אשראי מזויפים כדי להפחיד את הציבור.

ישי ורטהיימר: בקבצים האחרים היו כרטיסי אשראי אמיתיים.

כרמל שאמה-הכהן: איזה קבצים?

ישי ורטהיימר: היו כמה קבצים - -

כרמל שאמה-הכהן: מאין הוא השיג אותם?

ישי ורטהיימר: היו קבצים מאתרי מסחר אלקטרוני שבהם היו אכן כרטיסי אשראי – אלה שנחסמו מיד ולא נגרם מהם נזק.

כרמל שאמה-הכהן: איזה אתרים נפרצו?

ישי ורטהיימר: אנחנו לא סולקים, אז קשה לנו לומר, אבל לפי מה שפורסם מדובר באתרי קופונים.

ישי ורטהיימר: אבל החברה שסולקת צריכה להתייחס, ולא אנחנו.

כרמל שאמה-הכהן: מי מתקשר עם אתרי הקופונים האלה?

כרמל שאמה-הכהן: ישראכרט, כ.א.ל- -

ישי ורטהיימר: מתקשרות חברות כרטיסי האשראי.

ישי ורטהיימר: חשוב לומר שהנזק לפרטיות הגדול היה מאות אלפי רשומות.

ישי ורטהיימר: השאלה ששאלת – האם אנחנו יכולים לדרוש אבטחת מידע מאתר האינטרנט?

ישי ורטהיימר: פה מדובר באתרים שאין להם קשר איתנו, והם לא סולקים איתנו - -

כרמל שאמה-הכהן: לאתרי הקופונים יש קשר איתכם?

ישי ורטהיימר: לאתרי קופונים, כן.

ישי ורטהיימר: אני אומר שוב, מתוך 400 אלף רשומות מאות אלפי רשומות לא היו קשורות לכרטיסי אשראי.

כרמל שאמה-הכהן: אם עומאר מזייף פרטי כרטיסי אשראי זה לא מעניין אותנו בכלל - -

ישי ורטהיימר: מעניין מאוד אותנו.

קריאה: אבל הוא לא זייף את תעודות הזהות שם, והוא לא זייף את האימיילים שם - -

כרמל שאמה-הכהן: אז אימיילים ותעודות זהות הוא גנב מ-One?

ישי ורטהיימר: הוא גנב אי מיילים, והוא גנב סיסמאות.

ישי ורטהיימר: יש שם מאות עובדי ממשלה ועשרות עובדי תעשיות ביטחוניות על הסיסמה שלהם, האימייל והפרטים שלהם בבית והטלפון שלהם, ואין לזה קשר לכרטיסי אשראי.

ישי ורטהיימר: יש פה פרשת כרטיסי אשראי – אנחנו טיפלנו בה מהר, והנזק הכלכלי הוא אפס; הנזק לפרטיות הוא גדול יותר.

כרמל שאמה-הכהן: למה מבחינת

כרמל שאמה-הכהן: כם רמת PCI לא חייבת להיות חובה באתרי קופונים?

ישי ורטהיימר: אנחנו דורשים אבטחת מידע.

ישי ורטהיימר: כבר יותר משנה לא מצטרף אף אתר לסליקה אינטרנטית ללא עמידה ב-PCI.

כרמל שאמה-הכהן: כלומר בשנה האחרונה אתם לא מצרפים אף אחד - -

ישי ורטהיימר: בשנה וחצי האחרונות חברת כ.א.ל לא מקבלת לסליקה אתרים שלא עומדים ב-PCI.

כרמל שאמה-הכהן: וכמה אתרים שסולקים לא עומדים ברמת PCI?

ישי ורטהיימר: יש כמה אתרים שעדיין לא סולקים - -

כרמל שאמה-הכהן: זה עשרות, זה בודדים?

ישי ורטהיימר: אני אסביר.

ישי ורטהיימר: לוחות הזמנים שאנחנו עובדים לפיהם הם לוחות הזמנים של ויזה.

ישי ורטהיימר: התקן הזה יותר הוחל על-ידי ויזה, עלינו.

ישי ורטהיימר: לוחות הזמנים הם כאלה.

ישי ורטהיימר: הרגולציה בישראל שהיא וולונטרית שלנו אומרת שעד מרס יעמדו כל בתי העסק האינטרנטיים ב-PCI.

ישי ורטהיימר: כך ויזה קבעה לנו.

כרמל שאמה-הכהן: עד מרס השנה?

ישי ורטהיימר: מרס השנה.

ישי ורטהיימר: זה מה שויזה קבעה לנו.

ישי ורטהיימר: אנחנו מנהלים את הסיכונים שלנו.

ישי ורטהיימר: צריך לזכור שזה ניהול סיכונים שלנו.

כרמל שאמה-הכהן: כלומר בית עסק שלא יעבור ל-PCI, אתם לא תיתנו לו שירות.

קריאה: הבעיה היא שאין חובה - -

כרמל שאמה-הכהן: רגע, אבל הוא לא ענה.

ישי ורטהיימר: התשובה היא – מה שויזה קבעה לנו הוא שעד מרס לא סולק בישראל אתר מסחר אלקטרוני - -

גלעד קהת: אבל חשוב להבין שזה לא פותר את הבעיה.

כרמל שאמה-הכהן: אני הבנתי שזה כן פותר את הבעיה.

ישי ורטהיימר: אין לזה קשר לדיון על פרטיות, אין לזה קשר לנתונים שדלפו.

גלעד קהת: אני אסביר למה זה לא פותר את הבעיה.

גלעד קהת: אני גלעד קהת מלאומי כארד, סמנכ"ל ניהול סיכונים ורגולציה.

גלעד קהת: זה לא פותר את הבעיה משתי סיבות: קודם כול האינטרנט הוא עולם בינלאומי אוניברסאלי.

גלעד קהת: כמו שלאומי כארד, כ.א.ל וישראכרט יכולות לסלוק בית עסק כך גם בנק קפריסאי יכול לסלוק את אותו בית עסק ישראלי.

גלעד קהת: אין משמעות.

גלעד קהת: חברות כרטיסי האשראי הישראליות יכולות לסלוק אתרים בחו"ל, ובנקים בחו"ל יכולים לסלוק אתרים ישראליים.

גלעד קהת: גם אם החלטנו שאני לא סולק בית עסק אינטרנטי שלא עומד בסטנדרטים, מחר תבוא חברת כרטיסי אשראי מיוון, מקפריסין או מאיי קיימן, ותסלוק אותו.

גלעד קהת: ועדיין ישראלים יעשו עסקאות באתרים האלה, ועדיין אם אבטחת בית העסק לא מספיק טובה, אני לא מספיק כי אני לא הגוף היחידי שמפקח.

כרמל שאמה-הכהן: השאלה היא האם מחוקק יכול להטיל גם הגבלה על בית העסק?

גלעד קהת: זאת הנקודה.

גלעד קהת: ביום חמישי בלילה כשהקובץ השני התפרסם – חשכו עיניי, ופחות כמנהל סיכונים בלאומי כארד, כי היו שם 48 כרטיסים של לאומי כארד מתוך 11 אלף הכרטיסים.

גלעד קהת: יותר כאזרח.

גלעד קהת: הסתכלתי על הרשימה, והיה שם קובץ אקסל מסודר מאוד: שם פרטי, שם משפחה, כתובת, טלפון, סלולרי, אימייל.

גלעד קהת: אם אני עושה PCI אני מוודא שאין כרטיס אשראי בבית העסק – אין שום נתון שקשור לכרטיס אשראי.

גלעד קהת: כל שאר הנתונים האלה יהיו בבית העסק, אני לא יכול למנוע ממנו, זה לא התפקיד שלי למנוע ממנו – הגנב לא יוכל לעשות שום פעולות בכרטיס אשראי, אבל כל הפרטים הפרטיים של האזרחים יהיו שם.

כרמל שאמה-הכהן: אה, רגע, אני רוצה להבין, PCI לא מונע פריצה, הוא רק מונע הישארות של פרטי כרטיס אשראי?

גלעד קהת: כן, זה הרעיון.

גלעד קהת: הוא מבקש שני דברים: הוא מבקש קודם כול למחוק פרטים שקשורים לכרטיס אשראי – מספר הכרטיס, נתוני פס מגנטי – והוא תקן שמגדיר סטנדרטים של אבטחת מידע.

גלעד קהת: בית העסק צריך לעשות סקר שבודק את רמת האבטחה, צריך אנטי וירוס, צריך בדיקות רשת וכן הלאה.

גלעד קהת: אבל כל שאר הנתונים שלא קשורים לכרטיס אשראי, לא רלוונטיים.

גלעד קהת: בגלל זה מה שמטריד אותי זה אכן רגולציה, כמו שאמרתם.

גלעד קהת: אבל לא רגולציה עלינו.

גלעד קהת: עלינו יש רגולציה.

גלעד קהת: ויזה מגדירה לנו.

גלעד קהת: יושבים פה נציגי הפיקוח על הבנקים – תאמינו לי, המפקח על הבנקים והמנכ"לית שלי היו בטלפון באמצע הלילה, ואני ורוחה דיברנו ביום שישי – יש לי רגולטור שדואג לי.

גלעד קהת: ואני עושה מה שהרגולטור אומר לי, ואפשר להיות רגועים בהקשר שלנו.

גלעד קהת: אי אפשר להיות רגועים בנושא הזה, אבל אפשר לדעת שאנחנו מטפלים בנושא הכי טוב שאפשר, בארץ.

גלעד קהת: לדעתי, נמצא פה נציג הרשות למשפט, טכנולוגיה ומידע, נכון?

לאה ורון: עורך דין עמית אשכנזי.

גלעד קהת: יפה.

גלעד קהת: הם עשו עבודה מאוד טובה בעניין הזה.

גלעד קהת: מה שחשוב שייצא מהוועדה פה זה לקרוא למדינה לתת עוד משאבים לנושא הזה.

גלעד קהת: בסדר, זה נושא מטריד ברמה הצרכנית, כרטיסי אשראי – זה לא הבעיה המהותית שעלתה בפרשה הזאת של הסעודי.

כרמל שאמה-הכהן: אני רוצה פשוט כדי שנבין – PCI פותר את האבטחה של פרטי כרטיס אשראי.

כרמל שאמה-הכהן: כל הפרטים הפרטיים האחרים כמו שם, תעודת זהות, כתובת, טלפון – עדיין פרוץ.

גלעד קהת: לא קשור לכרטיסי אשראי.

כרמל שאמה-הכהן: אין לזה פתרון בעולם?

כרמל שאמה-הכהן: ד"ר נמרוד קוזלובסקי, מומחה בתחום האינטרנט מאוניברסיטת תל-אביב.

נמרוד קוזלובסקי: רק לגילוי נאות, גם מחברת חוקי האינטרנט, לא רק מהאוניברסיטה.

נמרוד קוזלובסקי: חברות כרטיסי האשראי הישראליות נקטו בצורה ראויה להערצה בהתמודדות שלהן בפרשה הזאת.

נמרוד קוזלובסקי: הן צודקות לחלוטין בכל מילה שהם אמרו כאן.

נמרוד קוזלובסקי: זה נכון מבחינת מיגור ההתמודדות של הצרכנים, אבל הנזק הוא אדיר עשרות מונים ממה שמתואר כאן בשל העובדה שהדרך שבה פועלת כרגע חסימת כרטיסים, לא על-ידיהם, שיש גופים שכל מה שהם עושים, לוקחים רשומות של אתרי אינטרנט פרוצים, דואר אלקטרוני פרוץ, תעודות זהות שנמצאות במאגרים, ומציפות אותם לאתרי מסחר אלקטרוני בעולם, דוגמת ebay, amazon ודומיו שקונים את הרשימות כאמצעי מיגון וחוסמים בעצם טרנזקציות מהחשבונות האלה שהם חושבים שהם חשודים.

נמרוד קוזלובסקי: יוצא מצב שגם אם חברות כרטיסי אשראי פעלו בצורה מושלמת להתמודד עם 15 אלף כרטיסים שהיו בתוקף ושלקוחותיהם היו עלולים להיפגע, יצא מצב שבתוך הרשומות האלה – ומי שניתח אותן לעומק – היו הרבה יותר כרטיסי אשראי שאינם עוד בתוקף.

נמרוד קוזלובסקי: זאת לא בעיה רק של כרטיסי אשראי כי אני לא יכול לעשות עסקה תרמיתית, אבל ניסו להזין אותם באתרי מסחר אלקטרוני או הוזנו מהרשומות, ולאחר מכן אתה נחסם, אתה נחשב חשבון בעייתי.

נמרוד קוזלובסקי: הרבה מאוד ישראלים מוצאים את עצמם שהפרשה הזאת תלווה אותם עוד תקופה ארוכה כי מכיוון שהמזהים החד-ערכיים שלהם נגנבו, אפשר להתחזות להם, וכתוצאה מכך הם ייחשבו חשבונות בעייתיים.

נמרוד קוזלובסקי: יתרה מכך, חברות כרטיסי האשראי אומרות לנו את האמירה האמיתית: זאת פרשה אדירה של גניבת זהות.

נמרוד קוזלובסקי: בואו נשים את הדברים על השולחן: פרשת כרטיסי האשראי היא פרשה מינורית גם בקנה מידה עולמי וגם בשל העובדה שהטכנולוגיה של כרטיסי האשראי בשלה לעצור דרך אלגוריתמים מתמטיים עסקאות שנראות חשודות.

נמרוד קוזלובסקי: אבל גניבת זהות – בוא נבין מה המשמעות – אדם שתעודת הזהות שלו, הדואר האלקטרוני שלו, הסיסמה שלו, הפרטים שמשמשים אותו: הכתובת שלו, הטלפון שלו – כולם בעצם רשומה ציבורית לכל אין דורש – כרגע כפוף לכך שינסו לחדור לדואר האלקטרוני שלו גורמים עוינים – זה קרה לאחר פרשת המרמרה שגנבו 144 אלף רשומות של אזרחים ישראלים, והם סיפרו שהחיים של חלקם הפכו לסיוט – נכנסו לדואר האלקטרוני, מחקו תכתובות, שלחו בשמם פורנוגרפיית קטינים, מחקו להם אתרים, ניסו להתחזות להם באתרים, עשו עסקאות תרמיתיות בשמם.

נמרוד קוזלובסקי: דבר נוסף הוא שהישראלים האלה, שעכשיו הזהות שלהם חשופה נמצאים במצב שכל הזמן הם צריכים להיות בבקרה מתמדת מה קורה עם החיים הדיגיטליים שלהם.

נמרוד קוזלובסקי: וזה לא קשור לחברות כרטיסי האשראי.

נמרוד קוזלובסקי: תקן PCI לא יפתור את זה.

נמרוד קוזלובסקי: תקן PCI הוא תקן נכון.

נמרוד קוזלובסקי: אגב, אני מצטרף לחברות כרטיסי האשראי – זה לא טוב שהם יהיו האוכף הפנימי, כי כמו ששמענו כאן, לפעמים יש להם אינטרס נוגד, הם לא רוצים לאבד אתר שעוד לא עומד ב-PCI, אז נותנים לו משך שירות.

נמרוד קוזלובסקי: אני קורא למחוקק – זה צריך להיות הוראה מפורשת שמי שלא עומד בסטנדרט מינימום לא שומר פרטי כרטיסי אשראי וסולק.

נמרוד קוזלובסקי: זה במישור הכלכלי שמעניין את הוועדה.

נמרוד קוזלובסקי: אבל נדבר על הבעיה האמיתית – הבעיה של זליגת הפרטים האישיים והזהות.

נמרוד קוזלובסקי: יש לנו כרגע תשתית מחוררת בחוק במדינת ישראל שלא מתאימה.

נמרוד קוזלובסקי: חוק הגנת הפרטיות במדינת ישראל הניח שהפגיעה בפרטיות הוא באיסוף מידע אודות אנשים – שאני אבקש ממך פרטים ואז קיומם של הפרטים יפגע בפרטיות.

נמרוד קוזלובסקי: הוא לא הניח שאבטחת מידע היא המגן האמיתי להגנת הפרטיות של אנשים ולהגנה מפני גניבת זהות, והוא לא עודכן בהתאם.

נמרוד קוזלובסקי: לכן הדבר הבסיסי שנעשה במדינות מתקדמות, כמו לדוגמה החוק בקליפורניה מ-2003 שהפך לתקן, או חקיקה דומה – קובע כללים מאוד ברורים.

נמרוד קוזלובסקי: בעצם בארבעה פתרונות שאתה יכול לחוקק בחודש אתה פותר את הבעיה הזאת.

נמרוד קוזלובסקי: אתה אומר, לא ניתן לאסוף מידע מזהה מאנשים אם אתה לא עומד ברף אבטחה מינימלי, וכמובן, מצמיד לזה חבויות, אם לא עמדת בו; הוא קובע שמי שאוסף מידע מזהה רגיש חייב לעמוד בהוראות מסוימות לגבי איסוף מידע רגיש, וההוראות הן לעניין הצפנה או גיבוב של המידע – זאת פונקציה שהופכת אותה ללא קריא; ולעניין הפרדת רשומות מזהות זו מזו – וקובע לצדן חובה למניעה מוקדמת.

נמרוד קוזלובסקי: איך נוקטים מניעה מוקדמת במדינות עולם מתקדמות?

נמרוד קוזלובסקי: אומרים לך שאתה חייב לקחת חברה שתפקידה "לשחק" את ההאקר, לנסות לחדור אליך לאתר בבדיקת חדירות ולראות אם היא יכולה.

נמרוד קוזלובסקי: כל מה שעומאר הזה עשה זה להשתמש זה להשתמש בכלים אוטומטיים מהרשת למצוא אתרים "מחוררים".

נמרוד קוזלובסקי: אין פה שום גאונות, אין פה שום תחכום.

נמרוד קוזלובסקי: כל ילד שהיו לו הכלים היה לוחץ "אנטר" ועושה את זה.

נמרוד קוזלובסקי: אבל אף אחד לא עשה את הבדיקה לאתרים האלה.

נמרוד קוזלובסקי: פה המציאות האמיתית היא שדווקא הבעיה היא לא עם האתרים שסולקים, כי חברות כרטיסי האשראי משמשות להן שוטר, אלא כל האתרים שמניחים שאיסוף מידע פרטי מאזרחים משרת אותם, שאולי הם יעשו ביזנס מהפרטים האלה ולא נוקטים שום רף אבטחה.

נמרוד קוזלובסקי: אבל אוספים פרטים הכי רגישים שמאפשרים לבד זהות.

נמרוד קוזלובסקי: לגביהם צריך לחייב תקן מינימלי – הוא יכול להיות בעקרונות בחוק, בדיקת חדירות תקופתית; כאשר פה אתה יוצר מנגנון תמריצים אמיתי כי א', הם חייבים לבדוק בדיקת חדירות – הגוף שבודק אותם הוא כמו רואה חשבון, אם הוא כשל בבדיקה שלו, לאחר מכן יבואו אליו בטענות.

נמרוד קוזלובסקי: אחרי בדיקת החדירות התקופתית אתה עובר לשלב הבא.

נמרוד קוזלובסקי: אם כבר קרה אירוע, ומשהו נכשל, המודל בקליפורניה אומר שהדבר המרכזי הוא להודיע מוקדם ככל שניתן לאנשים ולחקור את האירוע.

נמרוד קוזלובסקי: א', לדעת אם הוא אירוע שיטתי שהרבה מאוד היו חשופים לו, ושנית, להודיע לנפגע הפוטנציאלי – להודיע לאדם שהשם שלו ברשומה להחליף את הסיסמה שלו, להפסיק להשתמש באותו מייל וכדומה.

נמרוד קוזלובסקי: הדבר הזה בחוק בקליפורניה עובד מושלם.

נמרוד קוזלובסקי: למי שבעצם מצא שהייתה פרצה אצלו ומידע חולל – חובת דיווח לנשואי המידע.

נמרוד קוזלובסקי: כיוון שהוא גם מצמיד לזה חבויות פליליות ואזרחיות למי שמנהל את המאגר, היום בקליפורניה לא יעלה על הדעת שאתר שמחזיק פרטים של אדם מקליפורניה לא ינקוט רף אבטחה מינימלי – זאת התאבדות כלכלית מבחינתו.

נמרוד קוזלובסקי: הדבר האחרון שנוגע בדבר הזה: אתה פשוט בונה בחוק מנגנון תמריצים: מצד אחד חבויות ומצד שני חסינות מחבות למי שעמד ברף אבטחה.

נמרוד קוזלובסקי: ואם כבר קרה אירוע, ואתה רואה שיש לך אירוע כמו שחווינו בארץ – ופה אני לא מסכים לקריאות ההרגעה מצד חברות כרטיסי האשראי – זה אירוע נוראי; זה אירוע שילווה ישראלים עוד הרבה שנים, והוא הוכיח לנו, זאת קריאת השכמה לציבור הישראלי על רמת האבטחה שהייתה לנו ועל הפרצות בחוק.

כרמל שאמה-הכהן: נא לסכם.

נמרוד קוזלובסקי: אם כבר קרה אירוע – מה שקרה פה בחקירה הוא פארסה, זאת בדיחה לא מוצלחת.

נמרוד קוזלובסקי: אנחנו מקבלים בערוץ 2 את תוצאות החקירה של איזשהו אדם פרטי שאם התוצאות נכונות הוא סיכל חקירה, כי כרגע כבר אי אפשר לתפוס את הראיות, ואדם ייצר לעצמו אליבי אינטרנטי.

נמרוד קוזלובסקי: חקירה צריכה להיות מלווה בשלושה דברים: דבר ראשון כמו בכל מדינה מתוקנת – CERT – Computer emergency response team- זה גוף שאחראי לתכלל את הטיפול באירוע.

נמרוד קוזלובסקי: זה גוף שבשיתוף פעולה בין הגופים הציבוריים לבין הגופים האזרחיים ומתכלל טיפול גם באירועי אבטחה שגרתיים וגם בניהול אירוע.

נמרוד קוזלובסקי: שנית, אתה חייב סמכויות חקירה לגופים.

נמרוד קוזלובסקי: ידידי מאיר חיון ואנשי המשטרה היום לא מצוידים בכלי החקירה ובסמכויות האכיפה.

נמרוד קוזלובסקי: תזכיר חוק חיפוש ותפיסה יושב על שולחן הכנסת כבר תקופה ארוכה.

נמרוד קוזלובסקי: יש בו סמכויות לעניין חיפוש דיגיטלי, הם - - - בזה.

נמרוד קוזלובסקי: דבר אחרון – המישור הבינלאומי.

נמרוד קוזלובסקי: אין חקירת מחשבים שהיא לא חקירה בינלאומית.

נמרוד קוזלובסקי: עומאר הסעודי יכול להיות גם מלצרית משבדיה וגם נער זב חוטם מפינלנד, כי הוא מתכסה מאחורי כתובת IP שבעצם יכולה להיות מזויפת, והוא יכול להמציא אותה בכל התחברות מחדש.

נמרוד קוזלובסקי: אגב, עומאר עצמו התחבר בשלוש זהויות שונות עד כה: מסינגפור, מרוסיה ומערב הסעודית.

נמרוד קוזלובסקי: אין לו בעיה, הוא יכול בכל לחיצת כפתור לשנות את הזהות כי הפרוטוקול לא מגן על זה.

נמרוד קוזלובסקי: מה אתה צריך?

נמרוד קוזלובסקי: שיתוף פעולה בינלאומי.

נמרוד קוזלובסקי: פה ישראל כשלה.

נמרוד קוזלובסקי: מ-2001 יש אמנה שהמדינות המתוקנות חברות בה, נהנות גם לשיתוף מודיעין וגם לסיוע בחקירה בזמן אמת.

נמרוד קוזלובסקי: גישה לרשות השופטת דורשת 24/7 לתפוס ראיות ולהעביר אותן.

כרמל שאמה-הכהן: למה אנחנו לא שותפים?

נמרוד קוזלובסקי: ישראל בהתחלה סברה שיש מגבלה חוקית להצטרף בגלל תנאי כשירות.

נמרוד קוזלובסקי: פרשנותי המשפטית היא שזה לא היה מגבלת כשירות, אבל נניח שצודק מי שפירש כך – מ-2007 פגם הכשירות הזה הוסר – חוקקנו את חוק זכויות יוצרים.

כרמל שאמה-הכהן: תודה.

נמרוד קוזלובסקי: חייבים הבוקר להצטרף לאמנה הזאת.

נמרוד קוזלובסקי: זאת חתימה, ולאשר אותה פנימה.

כרמל שאמה-הכהן: תודה רבה.

כרמל שאמה-הכהן: עורך דין עמית אשכנזי, יועץ משפטי של הרשות למשפט, לטכנולוגיה ולמידע במשרד המשפטים.

עמית אשכנזי: תודה רבה, אדוני.

עמית אשכנזי: קודם כול אנחנו מאוד שמחים על הדיון.

עמית אשכנזי: הוא באמת בנסיבות מצערות, אבל כמו שכבר נטבעה המטבעה הזאת – קריאת השכמה.

עמית אשכנזי: הדברים הם חשובים.

עמית אשכנזי: צריך להגיד שברמה המשפטית, למען לא ייצא הפרוטוקול חסר וחס וחלילה אף אחד לא יטעה – חוק הגנת הפרטיות שחל על איסוף המידע קובע בסעיף 17 חובת אבטחת מידע.

עמית אשכנזי: יש בהתאם לתקנות הוראות שקשורות לאבטחת מידע.

עמית אשכנזי: אז ברמה המשפטית אין היום ואקום, אין היום לקונה, ואנחנו פועלים בהתאם לנורמה הזאת גם בצעדים מידיים שנדרשים כדי לטפל נושא.

עמית אשכנזי: צריך להגיד עוד דבר שאולי לא נעים להגיד כשהרוחות מאוד סוערות ומגיעים אנשים עם המלצות מהירות לטיפול – ארבע נקודות לעושר, 9 נקודות לאבטחה.

עמית אשכנזי: רגולציה זה מקצוע, ואדוני מכיר את זה, אני מניח, מנושא התכנון והבנייה.

עמית אשכנזי: רגולציה זה מקצוע, זאת אמירה אחת שצריך להגיד אותה – וגם אבטחת מידע זה מקצוע.

עמית אשכנזי: מי שמתעסק במקצועות יודע שאין תרופות פלא.

עמית אשכנזי: ברשות ראינו את הבעיה של המודעות לאבטחת המידע במדינת ישראל ואנחנו מטפלים החל משנת 2010, כי קודם כול אנחנו מניחים, אולי בשונה מהנחה אחרת, שיש עסקים שרוצים לעשות את הדבר הנכון.

עמית אשכנזי: הם רוצים פעם אחת לפתוח עסק באינטרנט כי זה טוב, פעם שנייה הם רוצים להגן על עצמם מפני סיכונים.

עמית אשכנזי: דבר שלישי שצריך לומר פה, והוא קשור באבטחת מידע, ושוכחים אותו כל הזמן זה הגורם האנושי.

עמית אשכנזי: אחד הממצאים שאני יכול להזכיר כאן מהממצאים הראשונים שלנו הוא שבאחד העסקים לא הפעילו אנטי וירוס.

עמית אשכנזי: רגולציה, PCI, תקנות – הבן אדם החליט לא להפעיל את האנטי וירוס, זה הכביד עליו.

עמית אשכנזי: ואז אתה שואל את עצמך, מה עושים במצב כזה?

עמית אשכנזי: איזה רגולציה בדיוק בסל הכלים שיש ברשותנו שאפשר להתמודד?

עמית אשכנזי: אני לא מבטל את הדברים שאמר ד"ר קוזלובסקי.

עמית אשכנזי: חלק מהדברים האלה כתבנו עלי ספר כבר קודם, וצריך לקדם את הדברים האלה במקביל, רק צריך לשים לב לא לשפוך את התינוק עם המים ולא להביא למצב שבו כל פעולה משקית מרימה נטל רגולטורי לא סביר.

עמית אשכנזי: אחרי הדברים האלה אנחנו מקדמים את שני הדברים שדיברנו עליהם עכשיו: א', תקנות בנושא אבטחת מידע לפי חוק הגנת הפרטיות.

עמית אשכנזי: לשמחתי, האירוע הזה גרם לכך ששר המשפטים זימן ישיבה דחופה עכשיו.

עמית אשכנזי: לכן ראש הרשות לא נמצא פה.

עמית אשכנזי: אנחנו מקווים שבתקופה הקרובה מאוד יהיו תקנות ברמה הנורמטיבית.

עמית אשכנזי: מי שירצה להיות בסדר, מי שירצה להגן על עצמו יהיה לו סל כלים לעשות את זה.

לאה ורון: התקנות יהיו וולונטריות?

עמית אשכנזי: התקנות לא יהיו וולונטריות, אבל למה אני אומר שרגולציה זה מקצוע?

עמית אשכנזי: רגולציה זה מקצוע כי גם היום יש נורמה ויש תקנות.

עמית אשכנזי: אבל אם כל עסק קטן צריך עכשיו לקחת חוות דעת או מד"ר קוזלובסקי או מעורך דין רביה או מהאנשים האחרים שיושבים פה כדי להפעיל את העסק שלו, אז הוא יפשוט רגל.

עמית אשכנזי: אז אנחנו רוצים שהדברים יהיו ברורים.

חיים רביה: אנחנו לא כל כך יקרים.

עמית אשכנזי: בסדר.

נמרוד קוזלובסקי: אני כן, אני חייב לציין לפרוטוקול.

קריאות: - - -

עמית אשכנזי: רגע, לא הפרעתי לך.

קריאה: הצפנה וגיבוב עולים אפס.

קריאה: מאה אחוז, הצפנה וגיבוב.

קריאה: אז בואו נדבר עוד מילה אחת בנושא האכיפה.

קריאה: אנחנו גיבשנו הצעת חוק שעברה קריאה ראשונה, שיושבת עכשיו בוועדת הכנסת ומחכה לה – אולי ועדת הכלכלה תרצה אותה עכשיו – הצעת חוק בעניין סמכויות אכיפה לפי חוק הגנת פרטיות, שיש בה עיצומים כספיים משמעותיים, כולל הפרות של חובות אבטחת מידע, שזהו המקל.

קריאה: אני יכול להיכנס להצעות פה, אני לא בטוח שזאת הרזולוציה שאתה רוצה להיכנס בעניין הצפנות או לא הצפנות, מה המשמעות של זה לעסק קטן לייצר הצפנות.

קריאה: אני קצת מבין בהצפנות כי הייתי רשם חתימה אלקטרונית.

קריאה: דבר אחרון שאני רוצה להגיד לעניין שיתוף הפעולה עם חברות כרטיסי האשראי – והדברים שהם אמרו פה הם מאוד חשובים.

קריאה: בכובע של ה"גזר" אנחנו רוצים לקדם את המודעות ואת קלות ציות לחוק, והסתכלנו בסבלנות רבה על התהליך שעשו חברות כרטיסי האשראי; הסתכלנו איך הן שמתקשרות חוזית עם בית עסק, מתקשות ביישום הנורמות, איזה צעדים הם עשו כדי להטמיע, ואתה שומע גם מהצד שלהם את ההתלבטות האם מרס 2012, אולי בתנאי הארץ ותושביה, כמו שראינו בהקשרים אחרים – יהפוך לאפריל, ואז יש פסח, ופתאום יהיה דצמבר, ואנחנו חיים בחברה שרוצה לקיים חיי כלכלה ומסחר.

קריאה: אבל כדי לתת תמריצים לציית לנורמה אחת, ומתוך המציאות הפרקטית שמי שמשקיע באבטחת מידע ומתייעץ לא יגביל את אבטחת המידע למספרי כרטיסי האשראי, אלא הוא רוצה להיות בסדר באופן כללי, ויפעל ככה שמי שיציית לתקן ה-PCI יקבל גם הקלות לפי חוק הגנת הפרטיות.

קריאה: למה?

קריאה: כדי להקל את הנטל הרגולטורי, בתנאי שהוא יישם את אותם אמצעים גם לגבי אותו מידע אישי שהוא אוסף.

קריאה: בהקשר הזה יש לנו אחדות מטרה, ואפשר להצדיק אותה בכך שביטחון, כידוע, הוא מוצר ציבורי.

קריאה: אני אסיים בזה, אדוני.

כרמל שאמה-הכהן: תודה.

כרמל שאמה-הכהן: ד"ר טל פבל, המרכז הבינתחומי, הרצליה.

כרמל שאמה-הכהן: בבקשה.

טל פבל: תודה רבה, אדוני.

טל פבל: רציתי להתייחס לכמה דברים: דבר ראשון, לגבי מה שדובר כאן במידה מסוימת על מזעור בנושא של כרטיסי אשראי, כבר דובר על כך שהבעיה העיקרית היא גניבת הנתונים שהייתה פה.

טל פבל: אכן, כ-400 אלף רשומות מפריצה לשישה אתרים שונים פחות או יותר, לפחות בגל הראשון, כפי שפורסם.

טל פבל: נכון שזה לא 400 אלף כרטיסי אשראי, אלא רק 15 אלף, אבל גם 15 אלף אזרחים שעכשיו נקלעו לבעיה זאת בעיה נקודתית עכשיו שיהיו לה השלכות בעתיד.

טל פבל: דבר נוסף עלתה פה טענה שלא היה אינטרס לפגוע בישראל.

טל פבל: בתור מי שקרא את ההודעות המקוריות של אותו עומאר, הוא בהחלט ציין שהיה לו אינטרס לפגוע; הוא אמר שהמטרה שלו היא להשיג כמיליון כרטיסים מתוך הנחה של 6 מיליון תושבים כי המטרה שלו היא להשיג שישית מכלל כרטיסי האשראי של התושבים.

טל פבל: הוא ציין אפילו שהם השתמשו בכרטיסים האלה; הוא התגאה בכך שחלק מהציוד שהוא רכש היה באמצעות הכרטיסים הללו, וכתב מה הסיבות שעשה את זה.

טל פבל: אחת המטרות הייתה שהוא רוצה לראות את הלחץ בבנקים ובחברות האשראי ולראות את המשתמשים עומדים בתור להחליף אותם.

טל פבל: בהחלט היה כאן אינטרס.

טל פבל: מבחינת הניתוח של המקרה עצמו – הסיפור התפרסם ביום שני בלילה.

טל פבל: במהלך הלילה בין שני לשלישי הורדתי את הקובץ הראשוני הזה, 32 מגה-בייט, ניתחתי אותו במידה מסוימת.

טל פבל: עולה שהייתה פריצה לכמה וכמה אתרים, לא רק לאתר One.

טל פבל: באתר One הייתה פריצה שבה 260 אלף רשומות של לקוחות נגנבו.

טל פבל: כלומר הקובץ שאני נחשפתי אליו היה של 260 אלף רשומות.

טל פבל: ניתן היה לדעת שזה של אתר One מהסיבה הפשוטה שכשמפעילים תיבת דואר שלהם עם סיומת @

טל פבל: co.il וכשאתה ממיין, ראיתי שיש 50 אלף רשומות כאלה.

טל פבל: הואיל ויש שם עמודה של 0 או 1, דגל כזה – האם הרשומה שייכת לעובד One אז עכשיו יש לי פרטים של 208 עובדים של חברת One.

טל פבל: פריצה נוספת הייתה של שני אתרי קופונים.

טל פבל: אני מודה שעד היום לא שמעתי עליהם, ועשיתי אי אלו רכישות כאלה – אחד זה sale365 והשני זה קבוצתי.

טל פבל: אני זיהיתי שמדובר באתרים הללו כיוון שהקובץ שנפרץ היה, לפחות לפי מה שהבנתי, כנראה, סוג של התקשרות למול חברת כרטיס האשראי של "אושר", "לא אושר".

טל פבל: אחד השדות ברשומות האלה היה supplier – נקודה, ואז היה או sale365 או קבוצתי.

טל פבל: ניתן היה לראות שלפחות באחד מהמקרים זה היה משהו מאוד פשוט, אפשר היה לראות את שאילתת ה-SQL שהורצה על בסיס הנתונים – select-x from, מהטבלה.

טל פבל: מאוד פשוט.

טל פבל: פריצה נוספת הייתה גם לאתר שעוסק במכירת משחקי מחשב.

טל פבל: שם הנתונים נגנבו בין מרס 2006 עד ינואר 2010.

טל פבל: מספר של מאות אלפי רשומות, כולל הנחיות למשלוח, כולל מספר משלוח בדואר ישראל.

טל פבל: כשנחשפים לנתונים האלה זה נתונים מדהימים.

טל פבל: אחד הקבצים היה אתר תרומות שככל הנראה שייך לחב"ד – 1,600 רשומות.

טל פבל: הנתונים באמת מדהימים כיוון שזה לא רק מספר כרטיס האשראי ותעודת זהות ושם בעל הכרטיס, אלא קוד הזיהוי מאחור, שמות משתמש, סיסמאות.

טל פבל: באחד המקרים גם מצאתי את שמי ואת פרטיי באחד הקבצים הללו.

טל פבל: למזלי ולמזלו של בעל העסק הוא לא שמר את פרטי כרטיס האשראי שם.

טל פבל: הוא לא ידע מהסיפור הזה.

טל פבל: התקשרתי אליו ב-24:30 בלילה ועדכנתי אותו שפרצו לו את האתר וגנבו לו 22 אלף רשומות.

טל פבל: הוא אמר שהוא פשוט למד מניסיון ולא שומר על מספרי כרטיסי אשראי.

טל פבל: בשורה התחתונה זה גם אירוע של כרטיסי אשראי, אבל מעל ומעבר זה אירוע של דליפת מידע.

טל פבל: חשוב לקחת את הדברים בפרופורציות, כיוון שנכון שהיה לנו האירוע הזה, אבל כמו שנחשף – והפרשה הזאת הסתיימה – היה לנו במשך שנים קובץ אחד שישב באינטרנט בשם "אגרון" שהיו שם נתונים לא על 400 אלף משתמשים, אלא למיטב ידיעתי, על כל תושבי המדינה.

טל פבל: אני יודע על מקומות עבודה שכשהיו צריכים לבדוק נתונים על לקוחות לצורך הפעולה השוטפת שלהם, השתמשו במאגר הזה בלי לדעת שהמאגר הזה גנוב.

טל פבל: מידע של אנשים שהשתמשו בזה הבנתי שהמידע שהיה שם היה משהו קטסטרופלי.

טל פבל: זה לא רק מספר תעודת זהות, כתובת, שם וכדומה, אלא גם סטטוס וקרובי משפחה ויכולת ליצור לינקייג' בין אנשים לבין נתונים ברמה מאוד מפחידה.

טל פבל: אז נכון, האירוע הזה הוא בהחלט תמרור אזהרה, אבל צריכים לקחת הכול בפרספקטיבה רחבה יותר, ואפילו העניין הזה של "אגרון" – ואני בטוח שיש עוד "חורים" כאלה – צריך להתייחס אליהם בהיבט הרחב יותר.

טל פבל: תודה, אדוני.

כרמל שאמה-הכהן: תודה רבה.

כרמל שאמה-הכהן: עורך דין חיים רביה, מומחה משפטי בתחום האינטרנט.

חיים רביה: תודה, אדוני.

חיים רביה: ראשית, למען הגילוי הנאות בכשירותי כעורך דין פרטי אני מייעץ לחברות בתחומים של הגנת הפרטיות ואבטחת מידע, אבל אינני נמצא כאן כנציגה של חברה כלשהי.

חיים רביה: בעברי אני חבר המועצה הציבורית להגנת הפרטיות, והייתי חבר בצוות שבחן במשרד המשפטים את הוראות החוק בנושא מאגרי מידע ואבטחתם והמליץ לשנות אותו.

חיים רביה: אני רוצה לומר כמה דברים: ראשית, אנחנו חייבים תודה להאקר הזה בין אם הוא סעודי ובין אם הוא מקסיקני.

חיים רביה: באירוע שנזקיו הממשיים לעת עתה הם מוגבלים, הוא העיר את תשומת לבנו לסוגיה שהיא מאוד לא סקסית, אבל בכלכלה שנשענת כולה על מידע זה נושא שאין ערוך לחשיבותו.

חיים רביה: הנושא הזה הוא קצת כמו ביטוח.

חיים רביה: אנחנו שונאים לעסוק בביטוח, אנחנו שונאים לשלם דמי ביטוח, אנחנו מקטרים כל שנה למה אנחנו עושים את זה, אבל כאשר יש אירוע מתברר שעשינו דבר-מה חשוב מאוד.

חיים רביה: אנחנו, אדוני, נמצאים בפתחה של שנה שיש המבטיחים לנו שתהיה שנה של חלילה מלחמה עם איראן.

חיים רביה: בשנה כזאת חובה עלינו לשים לב למה שקורה בתחום אבטחת המידע במדינת ישראל, לא רק בגורמים שנמצאים בדרך כלל מתחת לפנס וזכוכית המגדלת שלנו – לא רק לחברות סלולר ולחברות של שירותים פיננסיים, אלא לגורמים רבים אחרים שהתפקוד התקין של המשק הישראלי תלוי גם בהם, בין אם זה חברות שמספקות מזון, בין אם זה גורמים בתחום הבריאות וכיוצא בזה.

חיים רביה: התשתית החוקית במדינת ישראל בכל הנוגע לאבטחת מידע היא מיושנת, חסרה, פרימיטיבית וגרוע מכול – משרד המשפטים מודע לזה.

חיים רביה: אותה הוראה שעורך דין אשכנזי ציין בצדק מחוק הגנת הפרטיות שמחייבת אבטחת מידע היא הוראה שאפילו אינה אומרת מהי אבטחת מידע.

חיים רביה: התקנות שהוא מציין שקיימות הן כמדומני משנת 86', בימים שרשת האינטרנט לא הייתה; הן תקנות שאין בהן אפילו התחלה של תשובה לצורכי הזמן הזה.

חיים רביה: בשנת 2007, כאמור, אני הייתי חבר בצוות במשרד המשפטים שבדק את הסוגיות האלה, צוות בראשותו של המשנה דאז ליועץ המשפטי לממשלה יהושע שופמן שכיום הוא ראש המועצה להגנת הפרטיות.

חיים רביה: הצוות הזה המליץ על רביזיה בהוראות החוק שעניינן מאגרי מידע, בין השאר גם בסוגיה של אבטחת מידע הוא המליץ על רביזיה.

חיים רביה: שלושה ראשים לאותה רביזיה: ראשית לקבוע בחוק סטנדרט של אבטחת מידע – לא ברמה של תקן מפני שהתקנים משתנים, תהליך הגיבוש שלהם הוא איטי וכבד, ואילו האיומים משתנים לעיתים קרובות יותר; הוא המליץ לתת לרשם סמכויות להורות לאבטח מאגרים; והוא המליץ לחוקק בחוק הישראלי הוראת חוק כמו זו שבקליפורניה, שמחייבת בעלי מאגרים שלא הצפינו את נתוניהם לתת דיווח במקרה של פריצה למאגר.

חיים רביה: מה נעשה עם המלצות דוח שופמן?

חיים רביה: ובכן, בתחילה הייתה אופטימיות גדולה, ועו"ד שופמן סבר שבתוך חודשים תוגש הצעת חוק.

חיים רביה: אלא שלא כך היה.

חיים רביה: הוקמה הרשות למשפט, טכנולוגיה ומידע; היא ישבה על המדוכה, בדקה את ההמלצות, סברה שאין די בהם, ובמאי 2009 הגישה למשרד המשפטים למחלקת ייעוץ וחקיקה, תזכיר חוק מפורט בנושאי הגנת מידע אישי.

חיים רביה: ומאז ועד עתה – אפס מעשה – לא קרה דבר וחצי דבר עד אשר בנובמבר משרד המשפטים באופן מוזר מאוד קרא מתזכיר החוק הזה את אותן הוראות שעניינן אכיפה וסמכויות הרשם, והוא מבקש לתקן את החוק המיושן שחובותיו עתיקות יומין ואינן ברורות, על-ידי הוספת סמכויות אכיפה חדשות.

חיים רביה: זוהי גישה שגויה לגמרי.

חיים רביה: אני מקווה שמהוועדה הזאת תצא קריאה למשרד המשפטים להגיש בכל המהירות הצעת חוק חדשה שעניינה באבטחת מידע והגנת מידע אישית.

חיים רביה: יותר מזה, אני קורא לאדוני להקים במסגרת הוועדה הזאת, ועדת משנה שתעסוק בתחום אבטחת המידע במשק הישראלי ותגלה בכך את דעתה של הכנסת שאבטחת מידע היא נושא שעוסקים בו לא רק כאשר האקר סעודי גורם לכך שעיתונים יוצאים בכותרות ראשיות, אלא גם ביום-יום.

חיים רביה: תודה.

כרמל שאמה-הכהן: תודה רבה על הדברים.

כרמל שאמה-הכהן: דרך אגב, התחום הזה הוא תחום קצת מורכב לניסוח הצעות חוק על-ידי חברי הכנסת.

כרמל שאמה-הכהן: אם מישהו מהמומחים פה והשותפים בדיון יכול להעביר הצעות ונוסחים שיעובדו על-ידי חברי הכנסת זאת תהיה תרומה גדולה לקידום חקיקה בעניין.

נמרוד קוזלובסקי: בציבור הישראלי יש הרבה אנשים שעוסקים בתחום שמוכנים בהתנדבות לעשות את העבודה הנדרשת ולהעמיד את הידע המקצועי ואת המומחיות לטובת הכנסת ולטובת הגורמים שעוסקים בדבר.

נמרוד קוזלובסקי: כמו שעכשיו גוף וולונטרי לחלוטין מקים CERT, גוף למענה לאירועי אבטחת מידע - - - שיש לקונה ציבורית.

נמרוד קוזלובסקי: אני, ואני חושב שגם חיים, אנחנו מוכנים לרכז צוות מומחים שוולונטרית יבוא להעמיד את המומחיות לטובת הוועדה.

נמרוד קוזלובסקי: יש פה מטרה ציבורית גדולה, שהיא באמת לא סקסית ביום-יום.

חיים רביה: ברצון רב, אבל אין צורך בזה.

חיים רביה: הרשות למשפט, טכנולוגיה ומידע הגישה למשרד המשפטים הצעה מפורטת בתחומים האלה.

חיים רביה: מדוע משרד המשפטים אינו עושה דבר וחצי דבר?

כרמל שאמה-הכהן: אולי עורך הדין אשכנזי יודע?

עמית אשכנזי: אני שמח על ההתנדבות של עורך הדין קוזלובסקי.

עמית אשכנזי: אני יכול להגיד שבינואר 2010 כשפרסמנו את - - - - אבטחת המידע זכינו בהחלט להתעניינות של הקהילה המקצועית.

עמית אשכנזי: אני רוצה לציין פה בעיקר את ארגון "ISACA" והפעילים בתוכו שהקדישו כמה ישיבות לדיון באבטחת המידע.

עמית אשכנזי: אני לא יודע כמה מהאנשים פה באמת היו שותפים לזה בתהליכים, אבל את כל הרגולציה שלנו אנחנו מנהלים באינטרנט עם טיוטות והערות.

עמית אשכנזי: אז מי שמתעניין יכול לראות.

עמית אשכנזי: כמובן, אנחנו נשמח לכל צוות חשיבה ולכל תרומה, בין אם זה עכשיו ובין אם זה גם כאשר העניינים יירגעו מעט.

עמית אשכנזי: לעניין התזכיר, אמת צריכה להיאמר שהועבר תזכיר למחלקת ייעוץ וחקיקה.

עמית אשכנזי: לצערי האמיתי, אין בו רביזיה טוטלית בפרק ב' לחוק הגנת הפרטיות משום שהדבר הזה נשאר עדיין לעבודה מקצועית מול מחלקת ייעוץ וחקיקה.

עמית אשכנזי: מה שהיה בתזכיר שהועבר למשרד המשפטים הם שלושה פרקים, שאולי עכשיו יחזרו – אחד מהם עוסק באכיפה, השני עוסק בייעול הרגולציה – צמצום רישום מאגרי המידע תמורת ניהול תקין של מאגרי מידע; ובשונה מעורך הדין רביה, לדעתי, אם אדוני יסתכל בתקנה 3 לתקנות אבטחת מידע הוא יראה שארגון נדרש לקבוע לעצמו נוהל איך הוא מטפל במידע ודיינו כמעט בזה.

עמית אשכנזי: ברגע שבעל עסק ניגש למידע – וזאת התובנה הרגולטורית בעולם – ושואל את עצמו, איזה מידע יש לו פה, ומה עלול לקרות רע אם יקרה פה משהו רע כמו פריצה – אנחנו עשינו הרבה מאוד, וכל היתר זה טכניקה.

עמית אשכנזי: הדבר השלישי שהיה, וזה אגב ההערה של ד"ר קוזלובסקי שאני התעלמתי ממנה קודם בעניין – נדמה לי שהמילה הייתה "כשל" של משרד המשפטים בעניין ההצטרפות לאמנה למניעת פשעי מחשב.

עמית אשכנזי: הרשות שלנו היא מהרשויות המובילות בצוותים של ה-OECD ושל רשויות להגנת הפרטיות בעולם.

עמית אשכנזי: אנחנו אירחנו ב-2010 את הכנס הבינלאומי של הרשויות.

עמית אשכנזי: באותו תזכיר היה פרק על שיתוף פעולה בין רשויות הגנת מידע שעניינו שיתוף פעולה מקצועי עם הקולגות שלנו.

עמית אשכנזי: הפרק הזה קיים היום בחוק ניירות ערך ומאפשר לרשות לניירות ערך לעשות פעולות כאלה.

עמית אשכנזי: אנחנו לא בטוחים שמכלול הפעולות שקשורות כאן צריכות להיעשות באמצעות הכלי של הדין הפלילי – את זה אני אומר בסוגריים – כי הוא כלי כבד.

עמית אשכנזי: יש פעולות שכן, יש פעולות שלו.

עמית אשכנזי: לגבי תוכניות העתיד של משרד המשפטים – הדברים שעורך דין רביה אומר פה הם בהחלט דברים שאי אפשר לבטל אותם.

עמית אשכנזי: מכתבים לפרוטוקול הוועדה מובאים לידיעת מקבלי ההחלטות.

עמית אשכנזי: אני מקווה שאם הוועדה תקבע עוד דיון נוכל לבוא עם תשובות יותר טובות מהתשובה הזאת.

כרמל שאמה-הכהן: תודה.

כרמל שאמה-הכהן: יש עוד מישהו שרוצה לומר משהו?

לאה ורון: אבל בכל זאת למה ישראל לא הצטרפה לאותה אמנה שהזכיר ד"ר קוזלובסקי?

עמית אשכנזי: הסיבה נעוצה בשלושה טעמים: טעם אחד, עניינו שאלות של פרשנות לגבי חיוב האמנה בנושא עבירות של קניין רוחני.

עמית אשכנזי: משום שמדובר באמנה אירופית, האירופים כשבאו לכונן את האמנה צירפו לעגלה גם עבירות מהותיות של קניין רוחני שהן בניגוד למדיניות הממשלה לגבי מה שאנשים אוכפים באמצעות דין פלילי במה שהם עושים באינטרנט.

עמית אשכנזי: הנושא הזה עדיין בסימן שאלה.

עמית אשכנזי: הסיבה השנייה היא שכאשר ישראל מצטרפת לאמנה היא מכריזה כלפי מדינות האמנה שהדין הפנימי שלה תואם אתה מה שקורה פה.

עמית אשכנזי: והדבר הזה כרגע מתבצע.

עמית אשכנזי: הדבר השלישי שלא דיברנו עליו בכלל, אבל זאת הזדמנות טובה להגיד – זה כסף.

עמית אשכנזי: האמנה מחייבת להקים מוקד פעיל 24/7 שבו לא רק מבקשים עזרה, אלא גם נותנים עזרה.

עמית אשכנזי: לזה יש משמעות תקציבית.

כרמל שאמה-הכהן: מה זה משמעות תקציבית?

כרמל שאמה-הכהן: כמה כסף זה?

עמית אשכנזי: אני לא יודע.

עמית אשכנזי: אני חושב שמתבצעת היום עבודה בנושא הזה.

עמית אשכנזי: אני לא יודע להעריך כי זה פונקציה של היקף הפעילות.

כרמל שאמה-הכהן: תודה.

כרמל שאמה-הכהן: מי שלא דיבר, בבקשה.

צבי דביר: צבי דביר, התנועה לזכויות דיגיטליות.

צבי דביר: עקרונית מה שהיה כאן תכל'ס זה האקר "צעצוע".

צבי דביר: הוא לחץ על כלים אוטומטיים, קיבל את הגישה לאתרים לא מאובטחים – הוא לא הבעיה המהותית שבפניה מדינת ישראל צריכה להתגונן.

צבי דביר: היו כבר פריצות הרבה יותר מהותיות: פרצו לחברת אבטחה שמתמחה באבטחת מידע בשם RSA, גנבו משם את הפרטים איך להתחבר בצורה בטוחה לכל מיני מערכות אינטרנט; פרצו ל"לוקהיד מרטין" – גנבו משם – אנחנו לא יודעים מה; גנבו סרטיפיקטים לחתימות על אתרים וסרטיפיקטים לחתימות על תוכנות.

צבי דביר: הדברים האלה זה דברים שגם צריך להבין שבסופו של דבר איזה אבטחות של ישימו, ניתן להגיע למידע.

צבי דביר: לכן כמובן יש הרמה הראשונה שלא כל האקר "צעצוע" יבוא עם מספריים ויפתח את הדלת כמו מה שהיה פה, שזה כמובן בשביל שלא יהיו כל הפריצות ש"תשימו מנעול, וזה יימנע", אבל צריך להבין שבסופו של דבר כל מידע שנאסף, מי שמספיק רוצה ויש לו מספיק אינסנטיב להגיע – במדינת ישראל זה כמובן מודיעין זר שאולי ינסה לפרוץ – יצליח.

צבי דביר: הייתי קודם בדיון על כרטיסי הרב-קו – בונים מאגר מידע, ולמידע הזה ניתן להגיע בגישה לא מורשית מרחוק או מקרוב – זה לא משנה.

צבי דביר: צריך להבין שכל מידע שקיים, מאוד קשה להגן עליו.

צבי דביר: אני אסיים בדבר אחר.

צבי דביר: שאלו האם זאת הדליפה הגדולה ביותר שהייתה, וכבר בעצם נאמר שהדליפה הגדולה ביותר של גניבת זהות זה בעצם הדליפה של כל מאגר הרשומון, כל מאגר המידע של תושבי מדינת ישראל לדורותיהם.

צבי דביר: תמיד כשאתם פונים לבנק יש שאלת אבטחה – שם הנעורים של אמא.

צבי דביר: דרך המאגר הזה בשתי לחיצות כפתור אני יכול להגיע למידע הזה וקיבלתי גישה לחשבון הבנק של האזרח.

לאה ורון: יש עוד כמה שאלות: מה בית הספר היסודי שלמדת פה.

סלעית קולר: אתה בוחר על איזו שאלה אתה רוצה לענות.

צבי דביר: נכון.

צבי דביר: מה שאני אומר הוא שברגע שהמידע קיים אנשים שירצו מאוד – יגיעו אליו, ולכן צריך לחשוב תמיד בכיוון שמינימיזציה של המידע נאסף בשביל שיהיה מינימום סיכון ביטחוני וסיכון מסחרי ברגע שזה קורה.

סלעית קולר: יש עוד הערה אחת בשוליים של הדברים: המידע שנאסף על-ידי עוסקים – בדיוק יום לפני הפריצה באותו בוקר העברתי לעמית שאלה מהי רמת היכולת שלנו למנוע מלבקש אינפורמציה.

סלעית קולר: למשל, אני מתקשרת לחברת ביטוח, ומבקשת הצעת מחיר, ודורשים ממני את מספר תעודת הזהות שלי.

סלעית קולר: למה?

סלעית קולר: ככה.

סלעית קולר: למה?

סלעית קולר: כי הם יכולים לאסוף את זה.

סלעית קולר: ואם אני רוצה הצעת מחיר מהם הם יקבלו מספר תעודת זהות.

סלעית קולר: זאת אומרת כמות המידע שדורשים מאתנו היא גדולה.

סלעית קולר: היום מספר טלפון, למי שלא יודע, ואני הערתי את זה קודם, זה חשוב מאוד – לדעתי, טלפונים סלולריים צריכים לעבור תחת קו הפיקוח של הבנקים כי מדובר בכניסה לחשבון הבנק לכל דבר ועניין.

סלעית קולר: צריך להבין את זה, צריך לדעת.

סלעית קולר: לכן מספר טלפון בשילוב עם מספר תעודת זהות או בשילוב עם האימייל שלי זה כניסה לחשבון הבנק.

סלעית קולר: את המידע הזה אנחנו הצרכנים נותנים בקלות רבה מאוד.

סלעית קולר: אין פה עוררין – אנשים פשוט נותנים את זה כי הם צריכים לקבל שירות, וככה נותנים את השירות.

סלעית קולר: צריך אולי להגביל גם את הרמה הזאת של מה שאפשר לבקש ממני, ואיך שומרים את זה במאגרים נפרדים כדי שלא כל האינפורמציה תצא בפעם אחת.

כרמל שאמה-הכהן: תודה.

כרמל שאמה-הכהן: טל פבל, בבקשה.

טל פבל: רציתי להתייחס להערה האחרונה שנאמרה על המידע הרב שאנחנו נאלצים במקרים רבים למסור לחברות שונות, כמו מספר כרטיס אשראי, תעודת זהות וכדומה.

טל פבל: הבעיה רחבה יותר מכיוון שהיום בעידן הרשתות החברתיות אנחנו מוסרים מידע רב, לא בהכרח מידע שאנחנו נאלצים למסור.

טל פבל: סטטיסטיקה של פייסבוק מלפני שנה מעידה על כך שבממוצע כל משתמש פייסבוק מציב כ-90 פרטי מידע בחודש.

טל פבל: פרטי מידע זה פוסטים, לינקים, "שֶרים", תמונות, סרטי וידיאו וכדומה, כשמדובר על כך שלכל אחד היו כ-130 חברים בממוצע.

טל פבל: זה המון מידע שנאגר.

טל פבל: המון מידע בעידן הזה שלנו זה לא מידע שנאגר בהכרח על-ידי גופים לצרכים של ביצוע עסקה כמו שהיה לנו במקרה הזה, אלא אנחנו מוסרים בצורה וולונטרית לחלוטין המון מידע בפורומים, ברשתות חברתיות ובכל מיני מקומות, והמידע הזה נאגר.

טל פבל: אני תמיד אומר – האינטרנט לא שוכח, אף פעם לא.

טל פבל: גם אם מחקתי משהו בפייסבוק אין לי אף פעם מושג אם לא שמו איזשהו "דגל" שמשמעותו, אל תציג את זה.

טל פבל: מבחינתי הדברים לא נמחקים.

טל פבל: בשורה התחתונה צריך לקחת את זה בחשבון ולהיות מודעים שהרבה מאוד מידע אנחנו מוסרים מרצוננו החופשי.

נמרוד קוזלובסקי: שלוש הערות קצרות: הערה ראשונה - ישנה הנחה שמובלעת בדברים של גורמים מסוימים שאם לעסקים תהיה קצת מודעות הם יעשו את מה שראוי וטוב, ובעצם צריך ללמד אותם קצת כי יש להם אינטרס לאבטחת מידע.

נמרוד קוזלובסקי: ההנחה הזאת שגויה.

נמרוד קוזלובסקי: לכן גם הנחת חקיקה שתלך על הנחה שיש להם אינטרס היא שגויה.

נמרוד קוזלובסקי: לעסקים יש אינטרס לאסוף מידע עלינו, ככל שניתן.

נמרוד קוזלובסקי: איסוף המידע הזה משמש אותם הרבה פעמים גם במודל העסקי שלהם, איך לנצל את המידע הזה.

נמרוד קוזלובסקי: לכן הנחה וולונטרית לאבטחת מידע היא שגויה.

נמרוד קוזלובסקי: דבר נוסף - - - הוא אבטחת מידע.

נמרוד קוזלובסקי: האינטרס שלהם הוא להסתיר את אירוע אבטחת מידע ולהעלים ראיות ולא לחקור אותו ליידע את הנפגעים.

נמרוד קוזלובסקי: לכן אני מצטרף לקריאתו הנבונה מאוד של חיים רביה ללכת על חובות דיווח ודברים כאלה ומנגנונים בדומה.

נמרוד קוזלובסקי: הדבר השני נוגע לנושא של האמנה.

נמרוד קוזלובסקי: כבר עשר שנים אני שומע את הכנסת דנה למה לא מצטרפים לאמנה, וכל פעם עולות סברות, אבל מעשה לא נעשה.

נמרוד קוזלובסקי: לפחות כהבנתי, כמי שראש את החשיבות של האמנה במדינות אחרות, אני מציע אפילו שתהיה הקמה של צוות ספציפי מיידי שיבחן את ההצטרפות לאמנה.

נמרוד קוזלובסקי: כהבנתי, היא קריטית ליכולת של ישראל לחקור עבירות מחשב.

נמרוד קוזלובסקי: אם התירוץ הוא באמת כלכלי, שצריך שני תקנים בשביל מישהו שיאייש את המוקד הזה או שיש הנחה שאנחנו צריכים לעשות תיקונים מינוריים בחקיקה, נראה לי שהחסם קטן יחסית לתרומה האדירה שתהיה למדינת ישראל מההצטרפות.

כרמל שאמה-הכהן: תודה.

כרמל שאמה-הכהן: אם אין עוד דוברים אנחנו נסכם את הדיון.

כרמל שאמה-הכהן: ברור לכולם שהביטחון ברשת, בטח בערוצים הכלכליים שלה, לא פחות מהביטחון של הנכסים הפיננסיים שלנו במערכת הבנקאית ובמקומות אחרים.

כרמל שאמה-הכהן: ברור לנו גם שהמצב כרגע שבו מתנהלים אזרחי ישראל והעסקים בכלכלה הישראלית אינו אופטימלי ואינו ראוי מבחינת אבטחת המידע וניהולו.

כרמל שאמה-הכהן: הוועדה ביקשה מהמומחים שהשתתפו בדיון והעלו רעיונות שונים להעביר נוסחים בהירים להצעות חוק בנושא הזה, שייבחנו לקידום בערוץ של חקיקה פרטית.

כרמל שאמה-הכהן: בדרך כלל היוזמות האלה מקדמות גם את הממשלה ומאיצות בממשלה לקדם את החקיקות, את תזכירי החוק שנמצאים ומונחים – בין אם הם מורכבים ובין אם הם לא מגובשים מספיק – להבשיל אותם ולהגיש אותם לכנסת לאישור.

כרמל שאמה-הכהן: מסתבר שהאירוע של עומאר ההאקר הוא לא אירוע דרמטי בנזק שהוא גרם, אבל בהחלט יש לו משמעות כ"שעון מעורר" לכל מי שאמור לקבל את ההחלטות בסוגיה המורכבת הזאת.

כרמל שאמה-הכהן: ברור שגם לאזרחים לא ברור מה מידת פוטנציאל הנזק.

כרמל שאמה-הכהן: כלומר גם אני נתפסתי לעניין של כרטיסי האשראי בעיקר כי זה מאוד נגיש לכולנו, כולנו תמיד חוששים פן הכרטיס שלנו יהיה בשימוש של מישהו אחר, אבל בעצם כל הסיסמאות והפרטים האישיים יכולים להיות תשתית לנזקים הרבה יותר גדולים מאשר שימוש בכרטיס אשראי שגם ככה הפעילות שלו מאובטחת בצורה ראויה על-ידי חברות כרטיסי האשראי.

כרמל שאמה-הכהן: כמי שביקר בלי קשר לאירוע הזה במחלקת הביטחון של אחת החברות, התרשמנו מהפעילות המקצועית והמסודרת בנושא.

כרמל שאמה-הכהן: לכן מי שבא "לקלל" פה, אולי יצא "מברך" את מדינת ישראל בכך שהוא הניע תהליך של שיפור והשבחה של אבטחת המידע.

כרמל שאמה-הכהן: כרגע הוועדה מחכה לכם, כי בניגוד לתחומים אחרים, לנו חברי הכנסת – גם מי שזה מעניין אותו – קשה לנו עם התקנים ועם המושגים האלה.

כרמל שאמה-הכהן: תעזרו לנו לעזור לעם ישראל בעניין הזה.

כרמל שאמה-הכהן: תודה רבה, הישיבה נעולה.