ועדת המדע והטכנולוגיה, כנסת 18, פרוטוקול מספר 116, 2012-01-10 11:30

רונית תירוש: בוקר טוב.

רונית תירוש: אני פותחת את הישיבה שנושאה הוא: מוכנות ישראל למתקפת הסייבר – בעקבות הפריצה לאתרי כרטיסי האשראי על-ידי האקרים למיניהם.

רונית תירוש: בפתיח דבריי אני רוצה להתייחס לכמה דברים עקרוניים.

רונית תירוש: ראשית, מאחר וישנם הרבה מאוד מוזמנים כאן, אני מבקשת מכל מי שיקבל רשות דיבור להציג את עצמו באופן מלא על מנת שהקצרנית תוכל לרשום את הפרטים.

רונית תירוש: אני מודה לכל מי שסייע לנו להביא את הדיון הזה בתקשורת בשידור חי.

רונית תירוש: זה מאוד חשוב.

רונית תירוש: אני גם רוצה להודות למי שבא לכאן זו הפעם השנייה באותו שבוע, ובהפרש של יום, לאחר שנוהלה ישיבה לכאורה דומה בוועדת הכלכלה אתמול- דבר שלא צריך להיעשות.

רונית תירוש: זאת אומרת, לא צריך להטריד אנשים פעמיים.

רונית תירוש: ועדת הכלכלה התעקשה להתייחס להיבטים הצרכניים של פריצה לאתרי כרטיסי אשראי.

רונית תירוש: קשה מאוד להפריד בין השניים.

רונית תירוש: אבל, כל מה שנוגע לצד הטכנולוגי של אותה פריצה יידון כאן היום.

רונית תירוש: אני גם מקדימה ואומרת שהדיון כאן לא יהיה רק סביב נושא כרטיסי האשראי.

רונית תירוש: אנחנו מקיימים בחודש האחרון סדרה של דיונים שהחלו בעקבות אותה נפילה של אתרי ממשלה למיניהם, כמו גם אתרים של תשתיות לאומיות אחרות במדינת ישראל.

רונית תירוש: אנחנו לא פיתחנו והרחבנו מי נפל.

רונית תירוש: אבל, ברור לחלוטין שהנפילות הללו מעידות על כשל.

רונית תירוש: יכול להיות שזה כשל מערכתי.

רונית תירוש: לכן, אני מקיימת את אותה סדרת דיונים.

רונית תירוש: אני לא מתיימרת לומר שהוועדה הזאת אכסקוטיבית.

רונית תירוש: דהיינו, יש לה יכולת ביצוע.

רונית תירוש: אבל, בהחלט, הוועדה הזאת, כמי שמפקחת על הרשות המבצעת, צריכה לוודא שכל הגורמים ברשות המבצעת – קרי, משרדי הממשלה והרשויות שנגזרות מהם – לוקחים בחשבון שיש לנו בעיה רצינית.

רונית תירוש: אני אומר בצורה הכי בוטה, אני חושבת, בעקבות סדרת דיונים שקיימנו, שהמלך הוא עירום, וצריך לקרוא לילד בשמו.

רונית תירוש: מדינת ישראל מתהדרת ביכולת טכנולוגית, ביכולת היי-טקיסטית, במוחות יהודים מצוינים מאין כמותם, ואני לא מקלה ראש בעניין.

רונית תירוש: אני לא אומרת את זה בציניות.

רונית תירוש: אבל, אותם מוחות כנראה לא מנותבים באופן האופטימאלי למקומות בהם אנחנו צריכים לגעת.

רונית תירוש: אנחנו טובים בהרבה מאוד פיתוחים.

רונית תירוש: אבל, אנחנו צריכים לעבוד.

רונית תירוש: אני אומרת את זה במידת הצניעות, כי אני בוודאי לא אשת המקצוע.

רונית תירוש: אבל, אני לומדת מהר, ואני מבינה שאנחנו צריכים להקדים תרופה מהר.

רונית תירוש: אנחנו צריכים לחפש לא ברזולוציות נמוכות כאלה ואחרות איך אנחנו עכשיו מגינים על כרטיס האשראי, איך אנחנו נגן על אתר מסוים שנפל במשרד ממשלתי כזה או אחר.

רונית תירוש: יש פה בעיה עקרונית שצריך לטפל בה.

רונית תירוש: יש פה איום לאומי על מדינת ישראל ברמת טרור קיברנטי.

רונית תירוש: זו רשת סייבר שמאפשרת בלחיצת כפתור שנעשית על-ידי אנשים מהגיל הצעיר ביותר עד הגיל המתקדם ביותר.

רונית תירוש: הם עושים את זה בתמיכה של מדינות עוינות למדינת ישראל שקל להן הרבה יותר לתקוף את ישראל מהצד הקיברנטי על-ידי לחיצת כפתור מלשלוח טנקים ומטוסים, ולהשמיד את המדינה, או לחלופין טילים כאלו או אחרים כשאנחנו מקשים עליהם, כמו באיראן.

רונית תירוש: פה הדברים הם זמינים יותר, הם מידיים יותר, והם מאיימים לא פחות מכל טיל בליסטי.

רונית תירוש: אני לא רוצה להתהדר במילים.

רונית תירוש: אבל, זה לא פחות יעיל מבחינת נזק מטיל גרעיני כזה או אחר.

רונית תירוש: אני לא מדברת על חיי אדם באופן מיידי.

רונית תירוש: אבל, כשתשתיות חיוניות, חשובות לחיים היום-יומיים שלנו נופלות, אז אנחנו יכולים למצוא את עצמנו ללא יכולת לשתות מים, וללא יכולת להגיע ממקום למקום על מנת להימלט, או כל דבר אחר.

רונית תירוש: אני לא רוצה לתת פה תסריט אימים.

רונית תירוש: אבל, אני בהחלט רוצה לשים את המשקל הנכון על הבעיה הזאת שמתפתחת בטור הנדסי מהיר מאוד, במהירות, ואני לא רואה שאנחנו ערוכים.

רונית תירוש: מעבר לרשות למשפט מידע וטכנולוגיה, ותיכף עו"ד יורם הכהן יפתח את הדיון באופן מקצועי, אני כמובן הזמנתי גם את מי שעומד בראש רשות הסייבר שהקים ראש הממשלה.

רונית תירוש: אני מכבדת את רצונו לא להופיע כרגע במפגשים כאלה.

רונית תירוש: בדעה אחת ובסיכום מקובל, החלטנו שחודשיים ימים יש מקום לתת לאותו ראש רשות חדש, מר אביתר מתניה, על מנת שיבנה לו את התוכנית שלו, וגם הרשות תפעל בהתאם.

רונית תירוש: יש פה נציגה בכל זאת של הרשות שהיא ראש מטה.

רונית תירוש: למה את יושבת מאחור?

רונית תירוש: את ממש לא רוצה לדבר אז את מאחור?

רונית תירוש: יש פה מקום.

רונית תירוש: אני מזמינה אותך כן להצטרף אלינו, בוודאי להקשיב.

רונית תירוש: אבל, אולי גם להשמיע, אם יש מה להשמיע.

רונית תירוש: אבל, אני אומרת שוב, אני מפנה את דבריי לרשות הסייבר כי היא הרשות המתכללת של כל הגורמים במשק, ולא במשק, שאמורים לעבוד על הנושא ולתת פתרונות.

רונית תירוש: אנחנו מצאנו שיש שיח בין אנשים, בין ארגונים, ובין רשויות שונות.

רונית תירוש: אבל, אני גם מצאתי שיש מי שלא מחובר, לא באופן מכוון ומודע.

רונית תירוש: אני חושבת שהמטרה הראשונה שלכם היא לתכלל את כל הגורמים הללו, ולוודא שכולם מרושתים.

רונית תירוש: אתם לא גוף ביצועי.

רונית תירוש: אבל, כגוף שצריך להבטיח שדברים יקרו, אני חושבת שהיה נכון להקים את הרשות.

רונית תירוש: אנחנו נשמח שאתם תשתתפו באופן פעיל יותר בדיוני המשך שאנחנו נקיים.

רונית תירוש: כל מה שהבטחתי עד היום בסיכום דיונים קודמים לגבי יידועו של ראש הממשלה, ביידוע בהקשר של רעידות אדמה ומוכנות העורף שגם היא קשורה לנפילה של רשתות במקרים של פגעי טבע, אבל יש גם פגעים אחרים שהם לא פגעי טבע, אני יידעתי את השר העוסקים בדבר.

רונית תירוש: אני גם כתבתי והפניתי את תשומת ליבן של הרשויות המקומיות דרך השלטון המקומי, דרך מר בוחבוט.

רונית תירוש: אני עושה את כל מה שהבטחתי.

רונית תירוש: כמו שרשות הסייבר תהיה הגורם המתכלל, ותוודא שאכן אנשים מיודעים, ומדווחים, ועושים את מה שצריך לעשות, אני גם מצידי, מבחינת הרשות המחוקקת, אדאג שכך ייעשה במסגרת דיוני הוועדה שלי.

רונית תירוש: אני מניחה שהיום אנחנו נדבר על כל מיני תקנים שצריכים להיעשות או להתבצע כדי להבטיח מוגנות על מאגרי מידע.

רונית תירוש: אני יודעת שיש הפקרות רבה מאוד באשר לאגירת נתונים שלנו, בין אם זה על-ידי גורמים שאני קונה דרכם, או גורמים אחרים שמבקשים ממני מידע כי אני מבקשת משהו מאיזשהו משרד ממשלתי.

רונית תירוש: היד קלה על ההדק, הנתונים שלנו נמצאים כמעט בכל מאגר.

רונית תירוש: אני בטוחה שהם לא מאובטחים באופן נאות.

רונית תירוש: צריך שיהיה מישהו שייאלץ אותם, וייתן תקינה –ייתן פשוט תו תקן.

רונית תירוש: כשאני הולכת למסור פרטים שלי לגורם כזה או אחר, אני רוצה שיהיה לו מין 9,820 ISO או בלי 9,000, פשוט תקן 8,200, שבו אני אדע שאני יכולה להיות שקטה, ככל שניתן להיות שקטים, כי זה חתול ועכבר.

רונית תירוש: אנחנו כל הזמן נסתובב קצת סביב הזנב של עצמנו.

רונית תירוש: אבל, לפחות אני אדע שאני בידיים מקצועיות ובטוחות שבאמת רוצות לוודא שהנתונים שמסרתי לא ילכו לגורמים אחרים.

רונית תירוש: אנחנו גם נדון בהמשך על הפיקוח על מאגרי מידע לפי חוק הגנת הפרטיות וכו', אומרת לי היועצת המשפטית של הוועדה ובצדק רב.

רונית תירוש: היה לי פתיח די ארוך, ואני אבקש מעו"ד יורם הכהן לפתוח את הדיון המקצועי.

רונית תירוש: תודה רבה.

יורם הכהן: תודה גברתי ובוקר טוב.

יורם הכהן: אני רוצה להתחיל בלהודות למישהו שלא נמצא פה, וזה אותו אחד שקוראים לו OxOmar שתרם להעלאת המודעות של הציבור הישראלי לנושא אבטחת מידע באופן שאני חושב שהרבה מאוד תקציבי פרסום שהיינו עושים בנושא הזה לא היו משיגים את אותה מודעות.

יורם הכהן: מבחינה זו, אני חושב שצלצול ההשכמה שקיבלנו בעניין הזה הוא דבר מאוד מאוד חשוב.

יורם הכהן: אפשר להודות לו.

יורם הכהן: הוא כנראה לא השיג את המטרה שהוא רצה להגיע אליה.

יורם הכהן: עם התברר פרטי האירוע הזה לפני כשבוע, הרשות למשפט וטכנולוגיה נכנסה לנושא מכיוון שהיה לנו ברור באופן מיידי שגם מדובר פה באירוע שהוא אירוע פלילי לפי חוק הגנת הפרטיות.

יורם הכהן: יש פה גם היבטים של פריצה למחשבים ככל הנראה.

יורם הכהן: אבל, ללא ספק גניבה ופרסום של מידע אישי, הוא אירוע שקשור לליבת העיסוק שלנו.

יורם הכהן: הוא גם קשור לליבת העיסוק שלנו כרגולטור בתחום הגנת הפרטיות.

יורם הכהן: לכן, במידה מסוימת אנחנו לקחנו סוג של אחריות על האירוע הזה בגלל שזה נפל במשמרת שלנו, וכך זה היה צריך להיות.

יורם הכהן: אבל, אני חושב שלמה שקרא פה יש השלכות שהן הרבה יותר רחבות למשק הישראלי.

יורם הכהן: כמובן שכל הגורמים הרלוונטיים צריכים להסיק את המסקנות שלהם בנושא זה.

יורם הכהן: בהקשר לשאלה של הסייבר או אירוע סייבר טרור – יש כמובן מאפיינים באירוע הזה שהם מאפייני אירוע סייבר טרור, מהסיבה הפשוטה שאותו האקר, או קבוצה של האקרים טענה ופרסמה את זה שהם מפרסמים את המידע הזה מתוך כוונה לגרום לישראלים לעמוד בתור ולהחליף כרטיסי אשראי, ושכרטיסי האשראי לא יהיו מקובלים במדינות העולם.

יורם הכהן: ולכן, על פניו, מדובר באיזשהו סוג של מתקפה.

יורם הכהן: לא אני הגורם המוסמך במדינת ישראל להגדיר אירוע מסוים כסייבר או לא.

יורם הכהן: זה באמת משהו שהמערכת היום מתמודדת איתו.

יורם הכהן: אני מקווה שאנשי מטה הסייבר שבהקמה שנמצאים פה יוכלו להתייחס לשאלות האלה, כי אני יודע שנעשתה עבודת מטה מאוד מאוד מסודרת בנושא הזה.

יורם הכהן: כמו שאמרתי, זה נפל במשמרת שלנו, וזה קשור למידע אישי.

יורם הכהן: לכן, אנחנו מטפלים בזה, ונמשיך לטפל בזה.

יורם הכהן: אגב, השוני באירוע הזה לעומת דברים שקורים בעולם היום-יומי הוא שהמידע הזה פורסם מתוך המטרה הזאת.

יורם הכהן: אני חושב שחברות כרטיסי האשראי, ואני מקווה שהן יתייחסו לזה אחר כך – סחר במידע אודות כרטיסי אשראי ופרטיהם הוא לחם חוקן של חברות כרטיסי אשראי, וניסיונות הונאה כאלה ואחרים נעשים על בסיס יום יומי, כולל העברה של מידע כזה.

יורם הכהן: לכן, השינוי הוא באמת בעצם הפרסום.

יורם הכהן: בדרך כלל מוכרים את המידע הזה לכל מיני גורמים שרוצים לעשות בו הטבות כלכליות.

יורם הכהן: פה עשו את זה מתוך אוריינטציה אחרת.

יורם הכהן: זה לא מפחית מחשיבות העניין מבחינתנו, כי מה לנו אם זה למטרות כלכליות או למטרות של פגיעה?

יורם הכהן: אנחנו צריכים לטפל פה בסוגיית אבטחת המידע שעולה מהסיפור הזה, וזה דבר שבהחלט חייב להיות מטופל.

יורם הכהן: אני רק רוצה להזכיר שאנחנו – הרשות – פרסמנו לפני כחודשיים פענוח של תיק שלטעמי הוא הרבה הרבה יותר חמור, וזה דליפת מרשם האוכלוסין של מדינת ישראל לרשת.

יורם הכהן: אני יודע, ואני גם מקווה שמשרדי הממשלה היום מפנימים את המסקנות שיש כתוצאה מהתהליך הזה.

יורם הכהן: חלק מזה כבר הופנם בכל מיני תהליכים.

יורם הכהן: אבל, שם היה מדובר על מאגר מידע מקיף על אודות כל אזרחי מדינת ישראל.

יורם הכהן: פה, בסופו של דבר, אנחנו מדברים על מידע שאגב הוא קצת שונה בהיבטים האלה, ואני לא מקל בו ראש.

יורם הכהן: אבל, אני חושב שצריך לשים את הדברים בפרופורציה.

יורם הכהן: ההבדל המשמעותי הוא שבאותו מקרה זה היה מידע שנאסף על-ידי גופי מדינה, ובמקרה הזה זה מידע שנאסף על-ידי גורמים פרטיים.

יורם הכהן: ולכן, גם הרגולציה היא שונה, גם הטיפול הוא שונה.

יורם הכהן: מה רמו"ט עשתה בטיפול במקרה הזה?

יורם הכהן: עם היוודעו אנחנו אספנו כמובן את המידע הרלוונטי על שני האירועים האלה של הפצת המידע.

יורם הכהן: היו שני פרקים של הפצת מידע.

יורם הכהן: לפי הבנתנו, בכל אירוע היו כמה פריצות מקבילות שנעשו לאורך שבעה חודשים.

יורם הכהן: זה לא אירוע שקרה בתחילת ינואר או בסוף דצמבר.

יורם הכהן: באופן עקרוני, המדיניות שלנו היא שאנחנו, ובוודאי מחקירות פליליות, לא מוסרים מידע שהוא מידע של החקירה.

יורם הכהן: מה שאני מוסר לכם פה הם דברים שאנחנו יכולים לומר אותם, מבחינתנו.

יורם הכהן: הפרטים נגנבו ממספר חברות שבעיקר התעסקו ב-hosting, בהחזקה של אתרים, והן מעורבות בעניין הזה.

יורם הכהן: אנחנו קיבלנו צווי חיפוש מבתי-משפט כדי להיות מסוגלים לחקור את הנושא הזה.

יורם הכהן: עשינו איסוף של התשתית הראייתית הרלוונטית.

יורם הכהן: אני רוצה להזכיר שמדובר פה, בסופו של דבר, בעבירה פלילית ככל שאפשר יהיה להעמיד לדין מישהו על הנושא הזה.

יורם הכהן: אני לא רוצה לייצר ציפיות.

יורם הכהן: אבל, אנחנו בהחלט צריכים להתייחס, ואנחנו מתייחסים לאירוע כזה בבסיסו כאירוע פלילי.

יורם הכהן: לכן, אנחנו עושים את זה ברמת הוודאות הנדרשת למשפט פלילי.

יורם הכהן: יכול להיות שבסופו של דבר זה לא יידרש, אבל כך אנחנו מתנהגים עם המידע.

רונית תירוש: ברשותך, אני רק רוצה לוודא שהבנתי נכון.

רונית תירוש: החוק של הגנת הפרטיות המדבר על מאגרי מידע מונח לפניי: לא ינהל אדם, ולא יחזיק מאגר מידע, אלא אם כן התקיימו הדברים הבאים.

רונית תירוש: המאגר נרשם בפנקס וכו' וכו'.

רונית תירוש: אתם אמורים לפקח שזה אכן קורה, ושכל התנאים האלה מקוימים?

יורם הכהן: נכון.

רונית תירוש: האם זה רק לגבי אתרים של משרדי ממשלה?

יורם הכהן: לא, בכלל לא.

רונית תירוש: האם זה גם על הבנקים, גם על - - - ?

יורם הכהן: אם את רוצה אתייחס לסוגיית רישום מאגרי מידע בהמשך, כי היא נוגעת גם לשאלה של תקנות אבטחת מידע.

יורם הכהן: אני בהחלט אתייחס לזה.

יורם הכהן: אנחנו היום חוקרים עבירות פליליות בנושא של הגנת הפרטיות מכוח הסמכה של השר לביטחון הפנים, ותזכיר האכיפה שעבר קריאה ראשונה, וגברתי מכירה אותו, ואמור להיות נדון בכנסת, מסדיר את הסמכויות שלנו בהקשר הזה בצורה הרבה הרבה יותר מודרנית ונכונה.

יורם הכהן: כרגע אנחנו פועלים מכוח הסמכה של השר לביטחון הפנים.

יורם הכהן: כמו שאתם יודעים, המידע הזה פורסם בכל מיני אתרים ברחבי העולם.

יורם הכהן: אנחנו פנינו למחלקות ה - Abuse של האתרים האלה מתוך בקשה שהם יורידו.

יורם הכהן: מי שמכיר, עבירות של מידע דיגיטלי - בדומה לרצח, אי-אפשר להחזיר לחיים את הגופה.

יורם הכהן: המידע שדלף - אי-אפשר להחזיר אותו, יש לו חיים משלו.

יורם הכהן: אנחנו מכירים את זה גם ממקרה של ה"אגרון".

יורם הכהן: לכן, כמובן שצריכים להתמקד בעתיד ולמנוע את האפשרויות האלה.

יורם הכהן: "אגרון" זה מרשם האוכלוסין.

יורם הכהן: זה אירוע מ-2006 שנחקר על-ידינו, ופוצח.

רונית תירוש: איך אתם קוראים לאירוע, אם בכלל אתם קוראים לו, לפני כחודש של נפילת אתרי הממשלה?

יורם הכהן: אנחנו לא מתעסקים בו.

יורם הכהן: זה לא בתחום האחריות שלו, כי אנחנו לא יודעים שום דבר על זה שנגנב מידע אישי שם.

יורם הכהן: אם רוצים להתייחס לשאלה הזאת, אז זה אנשי ממשל זמין ומשרד האוצר.

רונית תירוש: זה מראה את המורכבות ואת הפיזור של האחריויות.

יורם הכהן: בוא נגיד כך – מידע היום מנוהל בכל-כך הרבה מערכות, ועל-ידי כל-כך הרבה גורמים.

יורם הכהן: המידע המנוהל על-ידי המערכות הביטחוניות, מפוקח על-ידי גורמי ביטחון.

יורם הכהן: ככל שיש שם מידע אישי אז זה גם חלק מסמכויות הפיקוח שלנו.

יורם הכהן: באמת צריך להבין שזו מפה מאוד עשירה, כי כלכלת המידע של ימינו היא מבוססת מידע, והמידע הזה מעובד בהרבה מאוד מקרים.

רונית תירוש: כמה גורמים?

יורם הכהן: אין היום גורם, ואני לא יודע אם יכול להיות גורם אחד שיש לו אחריות לכל נושא של ניהול המידע במדינה.

רונית תירוש: האם אתה יכול לעשות לי סדר, ככל שאתה יכול, איך החלוקה?

רונית תירוש: זאת אומרת, מי אחראי?

יורם הכהן: כן, קצת, אני לא יודע אם היא תהיה מקיפה.

יורם הכהן: בכל מה שקשור לרשות למשפט וטכנולוגיה אני יכול להגיד שאנחנו רשות הרגולציה בנושא הגנת הפרטיות במידע.

יורם הכהן: בהקשר הזה, גם בנושא של חתימה אלקטרונית שזה אזורים קצת דומים וקשורים.

רונית תירוש: האם גם על המאגר הביומטרי?

יורם הכהן: לא.

יורם הכהן: לגבי המאגר הביומטרי - יש רשות ייעודית שהוקמה במשרד הפנים, והוא נמצא פה.

יורם הכהן: הם אחראיים.

יורם הכהן: יש כמובן קשר בין הרשות למשפט טכנולוגיה, או בין הפונקציה ברשות למשפט טכנולוגיה שנקראת רשם מאגרי המידע, כשיש חובות דיווח לפי חוק המאגר הביומטרי אלינו כיוון שמדובר במידע אישי.

יורם הכהן: אבל, לשמחתי, הוקמה רשות ייעודית עם תפיסת אבטחת מידע עצמאית, וגם כזאת שמעוגנת בחוק.

יורם הכהן: גורמים נוספים רלוונטיים זה הרגולטורים הייעודים שנמצאים פה: בנק ישראל, אגף שוק ההון.

יורם הכהן: זאת אומרת, על הגופים הגדולים מאוד יש רגולציה הרבה יותר פרטנית.

יורם הכהן: למשל, חברות כרטיסי האשראי נמצאות תחת הרגולציה של בנק ישראל כדוגמה.

יורם הכהן: מערכת הביטחון נמצאת תחת רגולציה בהיבטים של מידע ביטחוני גם של מלמ"ב וגם של שב"כ.

יורם הכהן: יש עוד גורם מאוד מאוד מאוד חשוב שזה הרשות לאבטחת מידע בשב"כ שהיא אחראית בהקשר הזה על הגנה על תשתיות קריטיות שגם הן מגזר ממשלתי.

יורם הכהן: אבל, יש לה גם זליגה לכיוון תשתיות שנמצאות במגזר האזרחי.

יורם הכהן: יש כמובן את מטה הסייבר שנמצא בהקמה, יש את משטרת ישראל.

רונית תירוש: האם הסייבר אמור להיות מעל כל הגורמים כגורם מתכלל?

יורם הכהן: אני לא יודע להגיד.

יורם הכהן: אני חושב ששני תוכל לתת איזושהי תשובה לגבי העניין הזה.

רונית תירוש: זה מעניין, תיכף נשמע אותה.

רונית תירוש: אתה מוצא שיש מקום לתכלל את כל הגורמים?

יורם הכהן: אין ספק שבתפיסה של מדינה צריך להיות גורם מתכלל את הגורמים, ואז לראות איזה גורם צריך לטפל במה, והאם יש לו את המשאבים, ואיך עושים את האינטגרציה.

יורם הכהן: אגב, כרשות למשפט וטכנולוגיה, בגלל שאנחנו so called הרגולטור הצעיר באזור, אנחנו מאוד מאוד מקפידים לייצר מנגנוני שיתוף פעולה עם המקבילים אלינו - וזה חשוב מאוד מבחינת המשק - כדי שלא יהיה מצב שבו אנשים יקבלו רגולציה סותרת, ויקבלו הנחיות מכל מיני גורמים.

יורם הכהן: הסנכרון הזה צריך, קודם כל, להיעשות ברמה בילטראלית, בין רגולטורים לבין עצמם.

יורם הכהן: צריכה להיות איזושהי ראייה מקיפה של הנושא הזה.

יורם הכהן: זה לא אנחנו לצורך העניין.

יורם הכהן: כן, בהחלט – אני חושב שמדינת ישראל הבינה, ואנחנו מתקדמים לעניין הזה.

יורם הכהן: כמו שאמרתי, האירוע הזה הוא בית-ספר מצוין לכולם.

יורם הכהן: אני רוצה להשלים את התמונה לגבי השאלה מה אנחנו יודעים ומה נעשה.

יורם הכהן: יש עניין אחד מאוד מאוד חשוב.

יורם הכהן: אנחנו ברשות למשפט וטכנולוגיה יחד עם ממשל זמין, משרד האוצר, מנסים היום להקים אתר אינטרנט שיאפשר לאזרחי מדינת ישראל לדעת איזה סוגי מידע אישי על אודותם נחשף בקבוצה הזאת.

יורם הכהן: גיבשנו מודל טכנולוגי מאוד מאוד נכון לעשות את זה שמצד אחד לא יגרום לכשל אבטחת מידע לכשעצמו.

יורם הכהן: לצורך העניין, נניח שהמידע הזה היה מפורסם מחדש באתר ממשלתי.

יורם הכהן: זה כמובן לא רעיון מאוד מאוד טוב.

יורם הכהן: אבל, אנחנו מאוד מאוד קרובים להעלות את זה.

יורם הכהן: כל אזרח יוכל להיכנס ועל סמך פרטי הזיהוי שלו עצמו לדעת איזה סוגי מידע דלפו לגביו.

יורם הכהן: כמובן לא מה המידע הספציפי.

יורם הכהן: הוא יוכל לדעת שכתובת האי-מייל שלו דלפה.

יורם הכהן: זה משהו שאנחנו עובדים עליו עם ממשל זמין בשבוע האחרון.

יורם הכהן: יש לזה כמובן שאלות טכנולוגיות ומשפטיות לא טריוויאליות.

יורם הכהן: אבל, אני מקווה מאוד שזה יעלה בימים הקרובים.

יורם הכהן: יש לנו היום תמונה טובה, טובה מאוד אפילו, לגבי השאלה איך הפריצה הזאת נעשתה.

יורם הכהן: אני חייב להגיד שברוב המקרים רמת אבטחת המידע שנצפתה היא נמוכה מאוד, עד בלתי קיימת.

יורם הכהן: זאת אומרת, לא צריך היה להיות האקר מאוד מאוד מוצלח ומיומן בכדי לעשות את זה.

יורם הכהן: אפרופו תרבות של אבטחת מידע, זה כמובן נושא שצריך לדבר עליו.

רונית תירוש: האם מותר לי להסיק שהרגולציה של בנק ישראל לא קיימת או קיימת במידה מאוד לא רצינית?

יורם הכהן: לא, אני לא חושב שזה קשור לבנק ישראל.

רונית תירוש: אבל, אני הבנתי קודם שמי שאחראי על נושא הבנקים וכרטיסי אשראי זה בנק ישראל.

רונית תירוש: לכן, שאלתי מי אחראי על מה?

רונית תירוש: מישהו פה צריך להיות אחראי.

רחל יעקבי: שמי רחל (רוחה) יעקבי, הפיקוח על הבנקים.

רחל יעקבי: בנק ישראל או הפיקוח על הבנקים – המוסדות הכפופים לו הם הבנקים כמובן.

רחל יעקבי: בנק ישראל או הפיקוח על הבנקים מפקח על הבנקים ותאגידי העזר מסוג של חברות כרטיס אשראי.

רחל יעקבי: הוא לא מפקח על בתי העסק.

רחל יעקבי: זה כדי לתת ההבהרה.

רונית תירוש: אבל, בית עסק מתקשר עם חברת אשראי, ואז מתאפשרת כל הפעולה.

רונית תירוש: חברת כרטיסי אשראי לא מוודאת שבית העסק מגן על המאגרים שנצברים אצלו?

רונית תירוש: זה הרי שרשור, אחרת מי יהיה אחראי על בתי העסק במדינת ישראל?

רחל יעקבי: זאת שאלה.

רחל יעקבי: קודם כל, אני אומרת את העובדה.

רחל יעקבי: הפיקוח על הבנקים לא בדק ולא מפקח על בתי העסק.

רחל יעקבי: יש תקן, ואני מניחה שהוא עוד יעלה גם על-ידי נציגי חברות כרטיסי האשראי.

רחל יעקבי: זה תקן של גוף של חברות כרטיסי האשראי הבין-לאומיות שנקרא PCI DSS, והוא מדבר על היבטים של אבטחת מידע.

רחל יעקבי: הוא גם מתייחס לשאלה איך צריכה להתנהל אבטחת מידע בבתי עסק, איזה סוגי מידע רגישים לשמור או לא לשמור.

רחל יעקבי: אנחנו מצפים לפחות שחברות כרטיסי האשראי יאכפו את התקן הזה על בתי העסק.

רונית תירוש: מה זה "מצפים"?

רחל יעקבי: לשאלתך מה אנחנו מצפים – כמו שאמרתי, עד עכשיו אנחנו לא אכפנו על חברות כרטיסי האשראי לאכוף את התקן.

רחל יעקבי: צריך להבין שבאירוע הנוכחי מיעוט הפרטים שדלפו – ושוב, אני לא רוצה לדבר בשמו של יורם הכהן, או בשמן של חברות כרטיסי האשראי – נגעו לכרטיסי האשראי.

רחל יעקבי: רוב הפרטים שדלפו, סדר גודל, אם אינני טועה, של מאות אלפי רשומות נגעו לפרטים אחרים שבכלל לא היו קשורים לכרטיסי אשראי.

רחל יעקבי: הם באמת נוגעים לנושא של הגנת הפרטיות.

רחל יעקבי: יחד עם זאת, אירוע כזה אנחנו בוחנים כמו כל אירוע חריג שמתרחש במערכת הבנקאית, ומתרחשים מעת לעת.

רחל יעקבי: אנחנו מסיקים את המסקנות.

רחל יעקבי: ואם באמת נגיע למסקנה שצריכים לאכוף את התקן על חברות כרטיסי האשראי נאכוף.

רחל יעקבי: אנחנו לא יודעים, צריכים גם לברר.

רחל יעקבי: צריך גם בתיאום עם רמו"ט.

רחל יעקבי: יכול להיות שהם בחקיקה יאכפו את זה, אני לא יודעת.

רחל יעקבי: אלו סוגיות שצריך ללבן אותן.

רחל יעקבי: מהמעט שבדקנו מול רשויות פיקוח מקבילות אלינו - דהיינו, רשויות פיקוח על בנקים בעולם - לפחות, לעת עתה, אני לא ראיתי רשויות פיקוח שמחייבות בנקים שנמצאים תחת הפיקוח שלהן לאכוף את התקן.

רחל יעקבי: אנחנו בדרך כלל פועלים על-פי סטנדרטים בין-לאומיים, ואנחנו תמיד מסתכלים מה קורה בעולם.

רונית תירוש: אני לא מאלה שחושבות שצריך לחוקק את עצמנו לדעת.

רונית תירוש: יכול להיות שצריכה לבוא חקיקה, ואז לוודא שיש אחריות מבחינה שרשורית.

רונית תירוש: זאת אומרת, שבנק ישראל יוודא וחברות האשראי מוודאות שכל התקשרות אל מול בית עסק תהיה תחת תקינה מסוימת.

רונית תירוש: אני חושבת שאת זה הייתם צריכים לדעת כבר לפני שלוש שנים.

רונית תירוש: למשל, כשהגשתי הצעת חוק - והזכרתי את זה בהזדמנות אחרת - לגבי הימורים בלתי חוקיים באינטרנט.

רונית תירוש: הפטנט שלי דרך חקיקה היה להפסיק סליקה, לדרוש הפסקת סליקה של חברות אשראי אל מול אתרים שאני יודעת שיש בהם הימורים שהם בלתי חוקיים.

רונית תירוש: החקיקה הזאת לא צלחה דווקא בגלל משרד המשפטים משום מה.

רונית תירוש: אבל, לפחות אפשר היה להסיק מסקנה.

רונית תירוש: זאת אומרת, אחריות בנק ישראל לא נגמרת אל מול הבנקים.

רונית תירוש: הבנקים האלה עושים פעולות מול אנשים פרטיים ומול בתי עסק פרטיים.

רונית תירוש: ואם יש תקינה, אז התקינה צריכה להיות לאורך כל הדרך, וזה מתפקידכם.

רונית תירוש: אם אתם רוצים שאני או חבריי נחוקק חוק, וזה מה שייאלץ את הבנק, נעשה את זה.

רונית תירוש: אבל, אני חושבת שזה מיותר.

רונית תירוש: זה עניין של תקנה שאתם צריכים להחליט עליה.

רונית תירוש: הייתי שמחה במהלך הדיון הזה לדעת האם אתם מתכוונים להחיל תקנה כזאת כי היא מתבקשת, או שהתשובה תהיה לא, ואז אני אדע שאני יוצאת מהדיון הזה ושיש לי הצעת חוק בדרך.

רחל יעקבי: כמו שאמרתי לך, הנושא עדיין נמצא על שולחננו.

רחל יעקבי: אנחנו בוחנים את הנושא על כל ההיבטים שלו.

רונית תירוש: האם יש לך טווח זמן?

רונית תירוש: מה זה "עדיין?

רונית תירוש: דברים קורים.

רחל יעקבי: דברים קורים, נכון.

רחל יעקבי: אנחנו בינתיים נמצאים עדיין בבדיקה של הנושא.

רחל יעקבי: יש לו הרבה זוויות.

רחל יעקבי: כמו שאמרתי לך, אם וכאשר תהיה החלטה אז כמובן שידעו על כך.

רונית תירוש: אני לא חושבת שזה מה שמרגיע את עם ישראל.

רחל יעקבי: אין לי תשובה.

רחל יעקבי: שוב, צריך לראות את האירוע, מה היה כאן האירוע האמיתי, ואולי עדיף שנציגי חברות כרטיסי האשראי ידברו במקומי.

רונית תירוש: בסדר, אני מתייחסת לזה.

רונית תירוש: אבל, אני מתייחסת יותר ברמה העקרונית.

רחל יעקבי: אני לא מייצגת את הגנת הפרטיות.

רחל יעקבי: אנחנו לא מזלזלים בשום אירוע שמתרחש.

רחל יעקבי: כל אירוע חריג שמתרחש במערכת הבנקאית, אפילו כשאתר מתחזה שזה תופעה מאוד נפוצה, בטח בחו"ל חדשות לבקרים, כל אירוע כזה מדווח לנו.

רחל יעקבי: זאת אומרת, אין זלזול בשום אירוע שאפילו עומד להתרחש.

רחל יעקבי: אנחנו מאוד בעניינים, ומאוד בקשר עם הבנקים וגם פועלים – זה דבר אחד.

רחל יעקבי: אגב, אני חושבת שעמיתי אולי ידברו.

רחל יעקבי: אבל, חייבים לזכור, וממה שאני יודעת, התקן הזה מבחינת לוחות זמנים הוא לא פשוט ליישום.

רחל יעקבי: זה תקן לא פשוט.

רחל יעקבי: אני לא רוצה לייצג אף אחד.

רונית תירוש: קודם כל, בוא נדרוש אותו.

רונית תירוש: לא דורשים.

רחל יעקבי: כאשר דורשים תקן צריך באמת לוודא את הישימות שלו, ובאיזה פרק זמן.

רחל יעקבי: התקן הוא תקן מורכב.

רחל יעקבי: ממה שאני יודעת, לא כל חברות האשראי הבין-לאומיות אפילו קבעו לוחות זמנים ליישומו.

רחל יעקבי: לכן, אני אומרת לך שהנושא מחייב בחינה.

רחל יעקבי: מבחינתנו, כרגולטור אין בעיה להוציא תקנה, אין בעיה לשלוח מכתב לחברות כרטיסי האשראי ולחייב אותן.

רחל יעקבי: יחד עם זאת, צריך ללמוד את הנושא על כל ההיבטים והזוויות שלו, ולראות באמת מה אנחנו מחליטים בעניין הזה.

רונית תירוש: אני מודה לך על הכנות.

רונית תירוש: אבל, אני לא רגועה בכלל.

יורם הכהן: ראשית, אני מסכים עם רחל שהאירוע בהיבט של כרטיסי האשראי בו, הוא לא אירוע שבו נגרם נזק ממשי למשק הישראלי בהיבט הכספי שלו, וחברות כרטיסי האשראי יגידו.

יורם הכהן: מבחינתנו, האירוע הוא אירוע שהתוצאה שלו היא פגיעה בפרטיות.

יורם הכהן: אחת השאלות בהקשר של תקן PCI, ואנחנו בהחלט כבר בחנו אותו בהקשר של עזרה שלו בהגנת פרטיות, זה מי יהיה הגוף היעיל בנושא הזה.

יורם הכהן: יכול בהחלט להיות שאפשר דרך תקן PCI לייצר אכיפה יעילה על נושא של שמירת מידע אישי.

יורם הכהן: אבל, אם אינני טועה, התקן עצמו מתעסק, מכיוון שהוא בא מכיוון של חברות כרטיסי האשראי, במידע של כרטיס האשראי.

יורם הכהן: אנחנו פה מתמודדים עם דליפה של מידע, או גניבה של מידע אישי, שהתוצאה של זה היא פגיעה בפרטיות וגניבת זהות ועבירות נוספות שיכולות להיות על בסיס זה.

יורם הכהן: יכול להיות שאפשר בפלטפורמה של PCI או תקנים דומים כאלה לעשות שימוש.

יורם הכהן: אבל, בהחלט צריך לבדוק את הנושא הזה.

יורם הכהן: אני באמת רוצה לדבר על אכיפה.

רחל יעקבי: סליחה, אני מקווה שהבנת מה יורם אמר כאן.

רחל יעקבי: כלומר, גם אכיפת התקן היא לא בהכרח תמנע אירוע מהסוג הזה.

רונית תירוש: אני בכלל מאמינה שכל תקן לכשיקבע, יכול להיפרץ ביום מן הימים וימציאו תקן חדש מחמיר יותר.

רונית תירוש: אני לא יודעת, אבל לפחות צריך לעשות מעשה.

רחל יעקבי: לא רק בגלל זה, משום שבאירוע הזה דלפו המון נתונים שאינם קשורים בהכרח לתקן.

יורם הכהן: אני רוצה להגיד משהו כלפי העתיד.

יורם הכהן: ראשית, לו תזכיר האכיפה שנמצא היום על שולחנה של הכנסת היה בתוקף, אנחנו היינו יכולים להטיל קנסות על הפרה של תקנות אבטחת מידע בשיעור של בין 160,000 ל-1,600,000 שקל – תלוי בגודל האירוע ומידת רגישות המידע.

רונית תירוש: האם עשיתם את זה?

יורם הכהן: לא.

רונית תירוש: יכולת למנוע קיצוץ רוחבי בממשלה אם היית מביא את הכסף ממקור אחר.

רונית תירוש: היה לנו חינוך חינם לגילאי 3.

יורם הכהן: הדעה הזאת נותנת, אני יודע.

יורם הכהן: אבל, לצערי, זה נמצא כרגע על שולחנה.

יורם הכהן: זה באמת כתוצאה של תהליך חשיבה שאנחנו עשינו.

יורם הכהן: אני מקווה שהכנסת תקבל את תזכיר האכיפה מהר ככל האפשר.

יורם הכהן: ואז מתוך ההנחה שהציבור מפנים את הסיכון של קבלת העיצום הכספי, והוא מעריך את עצמו עכשיו שיש לו סיכון לקבל קנס של 160,000, והוא מועמד להשקיע במקרים האלה אבטחת מידע ב-30,000, נניח, אז אני מקווה שהוא יעשה את זה.

יורם הכהן: הכלים האלה הם מאוד מאוד חשובים.

רונית תירוש: זה לא רק עניין הקנסות.

רונית תירוש: גם אם יינתן פרסום לציבור שיש תקינה מסוימת, וככל שאתה עושה התקשרות מול כל גורם מסוים, תבדוק שיש לו תקינה – היום הציבור ער לכך.

רונית תירוש: אני שמחה שמה שקרה קרה במינימום נזקים.

רונית תירוש: אבל, מצד שני, לא נתנו כלים לציבור להתמודד מנגד, ואפילו לא קו טלפון שאני יכולה או לשאול או להתלונן.

רונית תירוש: זה גם דברים שאני רוצה ללבן פה.

יורם הכהן: אגב, קו טלפון – ממשל זמין הרים Call Center לאירוע הספציפי הזה.

יורם הכהן: אני חייב להגיד שהאירוע הזה מאוד מאוד הטריד את הציבור משום שביום הראשון שה - Call Center הזה נפתח הגיעו תוך שעתיים 3,800 פניות.

יורם הכהן: זה אומר שהנושא הזה בהחלט מטריד את הציבור.

יורם הכהן: השאלה של ביקורות של צד שלישי, או איזשהו חותם – זה בהחלט דבר שצריך לחשוב GK לקדם אותו.

יורם הכהן: זה יכול להיות דרך PCI או דברים אחרים.

יורם הכהן: יש תקן אבטחת מידע ישראלי שנקרא 17799, ויכול להיות שיש גרסה מסוימת שלו.

יורם הכהן: אני חושב שיש אפילו גרסה של מכון התקנים אליו.

יורם הכהן: זה גם עניין של מודעות הציבור, הציבור צריך לדעת שהוא צריך - - -

רונית תירוש: הייתי רוצה ללכת עוד צעד קדימה.

רונית תירוש: אני הייתי רוצה לראות מצב שרישיון עסק לא יינתן אם אתה לא מוכיח שיש לך תקינה שנקבעה כמחייבת.

רונית תירוש: זה עולם חדש, צריך להבין את זה.

יורם הכהן: רעיונית אני מסכים לרעיון הזה.

יורם הכהן: אבל, אני לא יודע מי אותו זה שייתן את רישיון העסק.

רונית תירוש: עסקים היום מחויבים ברישיון, בין אם זה על-ידי העירייה או כל גורם אחר.

יורם הכהן: אין היום שום מנגנון רישוי של הקמת אתר סחר אלקטרוני שזה המקרה הספציפי הזה.

יורם הכהן: ככל שבונים מנגנון – ואגב, יש היום איזשהו תהליך סותר בממשלה שנובע מהכניסה ל-OECD של צמצום הנטל הבירוקראטי ו-doing business, וכל מיני דברים כאלה שמנסים להוריד – אז יכול להיות שבסיטואציה הזאת אולי נכון כן קצת להקשות על העניין הזה.

יורם הכהן: אבל, זה בהחלט דבר שצריך להיבחן.

יורם הכהן: אני לא פוסל אותו.

יורם הכהן: ככל שאנחנו כרשות של הגנת פרטיות נצטרך להיות מעורבים בזה, זה כמובן לא נמצא במשאבים שלנו היום כרשות ככל שאנחנו נצטרך להעביר אנשים אצלנו לתת אישורים כאלה ואחרים.

יורם הכהן: עוד שני דברים חשובים ובזה אסיים.

יורם הכהן: ראשית, אחריות הנהלה.

יורם הכהן: אני חייב להגיד שלקרוא להנהלה באתרים הספציפיים שאנחנו מדברים עליהם זה קצת תפיסה מרחיקת לכת.

יורם הכהן: אני חושב שיכול להיות שההנהלה, המנהל והעובד, זה אותו בן-אדם.

יורם הכהן: גם זה מקודם במסגרת תזכיר אכיפה.

יורם הכהן: הגופים צריכים להבין שיש עליהם חובה.

יורם הכהן: אגב, אני מעריך שאתרי המסחר האלקטרוני הגדולים שפועלים בארץ יש להם אבטחת מידע ברמה כזאת או אחרת.

יורם הכהן: אני לא יכול לקבוע קטגורית לגבי כל אחד מהם.

יורם הכהן: אבל, מי שהוא רציני הוא יודע להפנים והוא מבין את הסיכון.

יורם הכהן: אנשים צריכים להבין שלהקים פעילות באינטרנט שאוספת מידע בלי ליישם אבטחת מידע זה כמו לבנות בית בלי לשים ברזל בקירות.

רונית תירוש: מי שמקים, זה לא מעניין אותו.

רונית תירוש: הוא רוצה כסף מהיר וקל.

רונית תירוש: לסיום, אני רוצה עכשיו להתקשר באינטרנט לביצוע עסקה מסוימת, מה אני צריכה לחפש?

יורם הכהן: קודם כל, את צריכה לשאול עצמך את השאלה למה אוספים ממך את המידע הזה.

יורם הכהן: לאנשים יש נטייה היום למסור מאוד מאוד בקלות פרטי מידע על עצמם מבלי לשאול את השאלה הזאת, וזה משהו שאנחנו קוראים לציבור מזמן.

יורם הכהן: אם אתה עושה עסקה בכרטיס אשראי יכול להיות שאתה צריך למסור את כרטיס האשראי.

יורם הכהן: למה אתה מוסר את כל המידע הזה?

יורם הכהן: זה דבר אחד.

יורם הכהן: לגבי להסתכל – אז כן.

יורם הכהן: תשאל את עצמך את השאלות: האם אני במקום ראוי?

יורם הכהן: כמו שלא היית נכנס לעסק מפוקפק וקונה ממנו משהו.

רונית תירוש: אני רוצה לשלוח עכשיו את הפרטים של כרטיסי האשראי ולרכוש לי מוצר מסוים.

רונית תירוש: מה אני צריכה לחפש בחברה שמציעה לי את המוצר שאני מאוד רוצה אותו?

רונית תירוש: האם יש שם איזושהי תקינה?

יורם הכהן: אין היום משהו שאפשר להגיד שאתה יכול לחפש כאזרח הפשוט.

רונית תירוש: אז רק לשאול את עצמי ולתת לעצמי תשובות.

רונית תירוש: בעצם אנחנו אומרים: בואו לא נעשה שום סחר אלקטרוני.

יורם הכהן: לא, לא.

יורם הכהן: אני לא רוצה שהתוצאה של הדיון הזה תהיה שסחר אלקטרוני לא יתקיים, כי סחר אלקטרוני זה דבר מאוד מאוד חשוב.

יורם הכהן: זו נקודה חשובה.

יורם הכהן: אני חושב שיש פה איזשהו תהליך - - -

רונית תירוש: תן כלים.

רונית תירוש: האזרחים שצופים בנו עכשיו רוצים כלים לדעת מתי לעשות את העסקה ומתי לא לעשות, ועם מי לעשות ועם מי לא לעשות.

יורם הכהן: אם הם צריכים רק למסור את פרטי כרטיס האשראי, ובהנחה שאיסוף פרטי כרטיסי האשראי נעשה בפרוטוקול מאובטח שנקרא SSL, אז זה - - -

רונית תירוש: אני אזרח פשוט, אני לא מבינה בפרוטוקול.

יורם הכהן: זו הבעיה בעולם הזה, אנשים לא יודעים.

רונית תירוש: אז מה המסקנה שלי?

רונית תירוש: אני לא אעיז לעשות.

יורם הכהן: גם אם היה לנו תו תקן כזה שהיה מוטמע באתר – ואגב, אותו SSL יש בו היבט של תו תקן שמוטמע בתוך האתר – אז האזרח שמגיע לשם, והיו שמים לו איזושהי תמונה שלאתר הזה יש תו תקן, תו תקן הזה יכול להיות מזויף באותה מידה.

רונית תירוש: אז איזה כלים אתה נותן?

יורם הכהן: אני חושב שמנקודת מבט של הרגולציה, אנחנו נצטרך לפתח מודל יותר עשיר שיגרום לעסקים האלה להפנים את הסיכון בעניין הזה.

יורם הכהן: יכול להיות שהאוכף היעיל במקרה של סחר אלקטרוני זה חברות כרטיסי האשראי, ודרכן להגיד: אם אתה לא מראה לי משהו, אני לא עושה את הפעילות.

רונית תירוש: זה מביא אותי לשאלה הקודמת האם חברות האשראי מוודאות שכל ההתקשרויות מול בתי העסק הן אכן התקשרויות מאובטחות, וקיבלתי תשובה שלא.

רונית תירוש: והמסקנה שלי היא לא לעשות סחר אלקטרוני.

רונית תירוש: הנה הבהלתי את כולם, בואו נשמע איך כן עושים.

רונית תירוש: אני מודה לך לעת הזאת.

רונית תירוש: טל הרמתי, סגן בכיר לחשב הכללי, אני יודעת שלא ביקשת רשות דיבור.

רונית תירוש: אבל, בכל זאת אם אתה רוצה להוסיף משהו בעניין אתרי ממשלה וכו'.

רונית תירוש: אולי כן לעשות עסקים באתרי ממשלה, לשלם מסים בכרטיס אשראי?

טל הרמתי: קודם כל, כן לעשות עסקים עם משרדי ממשלה, אנחנו נשמח.

טל הרמתי: לפני שאני מגיע לנושא של משרדי ממשלה, אני רוצה לומר דברי רקע.

טל הרמתי: קודם כל, אנחנו כבר מזמן חיים בעולם וירטואלי.

טל הרמתי: מי שמשלה את עצמו כיום שההתקפה הזאת שהתגלתה היא התקפה היחידה שקיימת בכל נקודת זמן אז הוא פשוט טועה.

רונית תירוש: זאת אומרת, היו עוד התקפות שלא סיפרתם עליהן.

טל הרמתי: לא, אני אדייק.

טל הרמתי: בכל נקודת זמן, עוד אנחנו מדברים, מתקיימות התקפות מסוגים שונים על אתרים שונים.

טל הרמתי: אני תיכף אדבר על התקפות על אתרי הממשלה.

טל הרמתי: אבל, התקפות, פשע כזה או אחר בתחום הסייבר, בתחום הווירטואלי, קיימות כל הזמן.

טל הרמתי: ההבדל בין ההתקפות שאנחנו חווים כל הזמן לבין ההתקפה הזאת הוא שלמתקיף היה אינטרס כלשהו ליידע את הציבור על כך שהיתה התקפה.

טל הרמתי: אבל, התקפות מהסוג הזה אנחנו חווים כל הזמן.

טל הרמתי: יושבים פה הגורמים הבכירים בממשל זמין שהם אמונים על הגנה על אתרי ממשלה, והם יכולים לספר שהתקפות כאלה יש מאות או אלפים ביום, ובתקופות יותר בוערות, בטח בפאן הפוליטי, אז מדובר על עשרות אלפים.

רונית תירוש: הפחדת אותנו, יופי.

רונית תירוש: מה הכלים שאתה נותן לנו להתגונן?

טל הרמתי: אני רוצה לומר כמה דברים בנושא הזה.

טל הרמתי: קודם כל, הממשלה השקיעה בעבר ומשקיעה בעתיד בכל נקודת זמן, וגם תשקיע ככל שיידרש, להגן הגנה, לטעמי לפחות – ויושבים פה גם מומחים מחוץ לממשלה ואולי גם הם יוכלו להעיד – שהיא באופן יחסי טובה על אתרי הממשלה.

רונית תירוש: זה מה שקשור לממשל זמין?

טל הרמתי: בדיוק, זה בנושא של ממשל זמין.

רונית תירוש: האם המאגר הביומטרי לא קשור למרות שהוא משרד ממשלתי?

טל הרמתי: לא, הוא לא קשור.

טל הרמתי: אבל, יושב פה גם מנהל הרשות הביומטרית.

טל הרמתי: אם נרצה להעביר אחר כך את הדיון לפסים האלה אז נוכל.

טל הרמתי: אנחנו משקיעים הרבה מאוד משאבים.

טל הרמתי: אנחנו גם יודעים שגופים שהם הגופים האסטרטגיים במשק – בין אם זה בנקים, בין אם זה גופים שהוגדרו כתשתיות קריטיות של מדינת ישראל – משקיעים - --

רחל יעקבי: סליחה, בנקים עוד לא הוגדרו כתשתיות קריטיות.

טל הרמתי: אמרתי גם בנקים וגם גופים שהוגדרו.

טל הרמתי: אבל, את צודקת.

טל הרמתי: התהליך הזה נמצא כרגע בתהליך.

טל הרמתי: אבל, גם גופים שהוגדרו כתשתיות קריטיות - יש ארבעה גופי ממשלה כאלה, ועוד הרבה גופים מחוץ לממשלה, כמו: חברת החשמל, מים וכן הלאה - משקיעים הרבה מאוד משאבים, וגם מונחים על-ידי אותו גוף שהוזכר פה, על-ידי הרשות לאבטחת מידע, בהיבטים של איך לשמור על המידע שלהם, ואיזה מאמצים לעשות.

טל הרמתי: למה התחלתי ואמרתי שאנחנו חיים בעולם וירטואלי?

טל הרמתי: משום שהמתח הזה שאנחנו חווים בין הרצון, מצד אחד, של הגופים לתת שירותים, בין אם זה שירותי מסחר או אחרים, ולעשות עסקים, לבין הצורך להגן על התהליכים האלה ועל המידע הזה, הוא מתח מתמיד.

טל הרמתי: הדוגמה הקלאסית של המתח הזה זה ממשל זמין בעצמו.

טל הרמתי: ממשל זמין – אחריותו, מצד אחד, לאבטח ולשמור 24/7 על כל אתרי הממשלה.

טל הרמתי: מצד שני, המנדט שלו הוא לספק שירותים זמינים, טובים, ושקופים ככל האפשר לכל אזרחי מדינת ישראל בכל נקודת זמן.

טל הרמתי: המתח הזה קיים תמיד.

טל הרמתי: הוא גם קיים אצל אותם גופים שהקימו בצורה פחות מאובטחת, או יותר מאובטחת, פתרונות של עסקים שבסופו של דבר נותנים שירות תמורת כסף של הציבור.

רונית תירוש: טל, לסיום אני לא רוצה להישאר ברמה אקדמית.

טל הרמתי: אני מייד מגיע לרמה הפרקטית.

טל הרמתי: קודם כל, לשאלתך, מה הציבור צריך לעשות.

טל הרמתי: אני מצטרף פה לברכות של יורם.

טל הרמתי: אני חושב שדווקא האירוע האחרון עשה שני דברים.

טל הרמתי: ראשית, הוא הגביר בצורה משמעותית את המודעות.

טל הרמתי: שנית, התפרסמו בשבוע האחרון על-ידי הרבה מאוד גופים – גם על-ידי ממשל זמין, אבל לא רק – הרבה מאוד הנחיות והוראות של עשה ואל תעשה.

טל הרמתי: באופן אישי, אני מכיר פה מספר אנשים שמשתתפים פה בדיון שפרסמו בעיתונות הנחיות כאלה או אחרות לאזרחים.

טל הרמתי: האירוע הזה יצר הגדלה מאוד גבוהה של רמת המודעות, וגם איזשהו צלצול אזהרה שלנו האומר: הנושא הזה קיים ברקע כל הזמן - אנחנו יודעים את זה - עשו בבקשה את המאמצים כדי להגן ככל האפשר על הציבור.

רונית תירוש: אני אסטה לכיוון אחר, לגורמים שמתמחים באבטחת מידע כדי שיאתגרו אותנו על מנת שנצא מהזחיחות שלנו, ואני אומר באופן בוטה, שאנחנו עובדים ומגבשים ומסדרים לעצמנו את החיים באופן הכי מאובטח.

רונית תירוש: אני אפנה לאראל מרגלית יושב-ראש הון סיכון JVP.

אראל מרגלית: שלום ותודה שהזמנתם אותי.

אראל מרגלית: מאוד עודד אותי לשמוע את טל מהחשב הכללי כי הוא אמר את הדבר הבא: אנחנו בכל רגע נמצאים בעולם וירטואלי.

אראל מרגלית: עניין כרטיסי האשראי הוא לא מקרה חריג בכלל.

אראל מרגלית: הרי עכשיו ב-Apple כולם משתמשים עכשיו באפליקציות הענן, וכולם שמים מידע ברשת.

אראל מרגלית: רבותי, רשומות רפואיות, מידע פיננסים, ואפשרות לעשות העברות פיננסיות של החשבונות שלכם, דברים שהם הדברים העדינים ביותר והקרובים ביותר לליבכם, היום נמצאים במצב שבו הם חשופים.

אראל מרגלית: אני מדבר ברמה מטפורית כדי שתהיה איזושהי תמונה בראש לאנשים שהם לא טכנולוגיים.

אראל מרגלית: עד לא מזמן עיקר ההגנה בעולם היתה מין תפיסה של קו בר-לב, Fire Wall, קו מז'ינו.

אראל מרגלית: אתם זוכרים מה קרה לקו בר-לב ב-73', ומה קרה לקו מז'ינו ב-40'.

אראל מרגלית: הוא נפרץ.

אראל מרגלית: רוב הפרדיגמות של הגנת הסייבר בעולם נפרצות חדשות לבקרים.

אראל מרגלית: אנחנו ב-JVP נמצאים פה בירושלים.

אראל מרגלית: אגב, יושבים בתחנת הרכבת, אתם מוזמנים לראות.

אראל מרגלית: יש שם הרבה יזמים.

אראל מרגלית: הישראלים מתעסקים בזה כל הזמן.

רונית תירוש: אנחנו לא עושים עכשיו - - -.

רונית תירוש: פתחתי ואמרתי שהמוח היהודי הוא משהו מיוחד.

אראל מרגלית: כן.

אראל מרגלית: יש לנו שלוש חברות עכשוויות שמתעסקות בזה, וכמה מהן מגינות על הבנקים הגדולים בארצות-הברית ובמקומות אחרים בעולם כל הזמן.

אראל מרגלית: כן הכניסו שם כמה סטנדרטים חדשים שכדאי לאמץ, גם הבנקים גם במערכת המשפט האמריקאי, גם ה-CIA.

רונית תירוש: האם אתה מוכן לדבר על העקרונות ולא על המוצרים?

אראל מרגלית: אני לא מדבר על מוצרים, אני מדבר על זה שמתעסקים בדברים האלה בכל מיני מקומות בעולם.

אראל מרגלית: יש כיום על השולחן מוצרים של חברות ישראליות כאלה ואחרות, וגם חברות לא ישראליות, שמסוגלים להתמודד עם הבעיות במערכת הפיננסית, במשאבים הלאומיים, ובפרטיות.

רונית תירוש: האם אתה אומר שלא פונים אליהן?

אראל מרגלית: אני אומר שצריך להתעורר ברמה אחרת.

אראל מרגלית: ועדת הסייבר שהקים ראש הממשלה לפני שנה – זה דבר חשוב.

אראל מרגלית: אבל, חייבים להכניס אותה להילוך שני, שלישי ורביעי.

אראל מרגלית: זה אומר את הדבר הבא.

אראל מרגלית: ראשית, צריך לעשות ועדה משותפת לממשלה, לכוחות הביטחון, ולסקטור ההי-טק שמתעסק בנושאים האלה יום יום, ומשרת את הלקוחות הרגישים ביותר בעולם, ולקבוע את הסטנדרטים להגן על הישראלי ולהגן על ישראל.

אראל מרגלית: הישראלי זה פרטיות, ישראל זה המשאבים הלאומיים.

אראל מרגלית: צריך להגיד מה הסטנדרטים אותם אנחנו רוצים ליישם כ-Wish list לאומי.

אראל מרגלית: זה לא דבר כל-כך ארוך.

אראל מרגלית: המוצרים ברובם קיימים ומוגדרים, וצריך להגדיר את הסטנדרט שאנחנו בוחרים לעצמנו בכל נושא.

יורם הכהן: הבעיה - זה לא רק מוצרים, זה גם תרבות.

אראל מרגלית: אבל, קודם כל תגדיר את הסטנדרט לכל תעשייה ולכל סקטור.

אראל מרגלית: אני אומר לך שאנשים ירוצו כדי לראות מה קורה, ויאמצו חלק מהדברים האלה.

אראל מרגלית: אבל, קודם שתהיה הגדרה ברורה, גם אם ייקח שלוש שנים להגיע אליה.

אראל מרגלית: שנית, יש כמות גדולה מאוד של חברות ישראליות שמספקות היום את הפתרונות הרגישים ביותר בעולם.

אראל מרגלית: והיה ואנחנו נשב ונדע מה רוצים, אפשר לשים את הדברים על השולחן ולספק אותם היום.

אראל מרגלית: שלישית, יש בערך 50 - 70 נושאים שלמים שלא מוגנים היום ושצריכים לפתח.

אראל מרגלית: תסלחו לי, אני יזם, אבל אני אומר לכם שזוהי הזדמנות לחבר בין צורך ובעיה לבין הזדמנות בלתי רגילה.

אראל מרגלית: לישראל יש היום את הכוחות להפוך למרכז המצוינות העולמי בהגנת הסייבר.

אראל מרגלית: אגב, מי שיודע להגן על סייבר, יודע גם להתקיף בסייבר.

אראל מרגלית: משרד האוצר, משרד התמ"ת, דרך המדען הראשי, משרד ראש הממשלה והגופים, צריכים להגדיר את המטרות הלאומיות.

אראל מרגלית: כלומר, לאן עוד לא מגיעים.

אראל מרגלית: אני אומר לכם שבין החברות הקיימות לבין 20 – 50 חברות חדשות, יכולות לקום ולענות על זה.

אראל מרגלית: הדבר הזה ישלם את עצמו.

אראל מרגלית: לא הממשלה צריכה להשקיע בזה.

אראל מרגלית: אבל, הממשלה צריכה להגיד מה היא רוצה, ומה היא רוצה ליישם.

אראל מרגלית: הכסף יהיה.

אראל מרגלית: למה?

אראל מרגלית: כי ברגע שיש לבנק הישראלי את הבעיה, היום אנחנו פותרים לו את הבעיה.

אראל מרגלית: גם הבנק השוויצרי את אותו פתרון.

אראל מרגלית: לכן, הדבר הזה הוא גם כדאי מבחינה לאומית, והוא גם כדאי לאותם יזמים מבחינה כלכלית.

אראל מרגלית: אלו אותם אנשים ששירתו במערכות הביטחון, והיום הם הולכים לעשות את הדבר הגדול הבא.

אראל מרגלית: הדבר הזה של השותפות הזאת גם בהגדרת הצרכים שאנחנו רואים בכל העולם, וגם בהגדרת המשימות שאפשר לבצע, זאת הדרך להביא במהירות הגדולה ביותר את הפתרונות עכשיו לפרטיות ולהגנה על משאבים לאומיים.

אראל מרגלית: אבל, זה עוד דבר.

אראל מרגלית: זה הדרך להתחיל לבנות היום את הפתרונות שיצטרכו מחר, כי זאת המלחמה הבאה – שלא יהיה פה ספק לאף אחד.

אראל מרגלית: תודה.

רונית תירוש: תודה רבה.

רונית תירוש: אני רק אומר בשורה אחת שהמסקנה שלי מדבריך היא שאתה בעצם דורש שרשות הסייבר – אני מתרגמת את זה כך – תפרסם סטנדרטים לאבטחת מידע, ובעקבות זה חברות הי-טק ישראליות ייצרו את המוצרים.

רונית תירוש: ואז ככל שהמודעות תהיה גבוהה, או ככל שאנחנו במסגרת חקיקה או כל תקנה אחרת, נאלץ כל מיני גורמים שעוסקים באגירה של מידע פרטי, בתי עסק, לעמוד בסטנדרטים האלה.

רונית תירוש: זאת אומרת, שניצור איזשהו מסחר שנע בין חברות הי-טק שמייצרות מוצרים לבין בתי עסק, למרות שזה לא רק בתי עסק.

רונית תירוש: מי שיאתגר אתכם - חברות ההי-טק – לייצר זה אותה רשימת סטנדרטים שתפורסם.

רונית תירוש: מי שיאתגר את בתי העסק לרכוש את הפתרונות זוהי אותה מודעות שניצור כלפי אזרחים.

רונית תירוש: כשאני ארצה לקנות מוצר, אני ארצה באמת לראות שאתה מאובטח כך או אחרת.

רונית תירוש: אני באמת מצפה גם לרשימת סטנדרטים שתפורסם, וגם לאיזושהי תקינה או תו תקן כך שאזרח פשוט שלא מבין טכנולוגיה יוכל להגיד: אני רוצה לראות בצד את אותו עיגול שמתקן – 8200.

אראל מרגלית: אני מציע לרשות הסייבר היום להזמין אליה חמישה עד עשרה מהמובילים ושנגדיר את ההמלצות ביחד.

רונית תירוש: נכון.

רונית תירוש: אני כבר כתבתי לי את זה במסגרת ההמלצות.

רונית תירוש: לא צריך להמציא את הגלגל מחדש.

רונית תירוש: היתרון שראיתי ברשות מתכללת הוא שלא ייתנו לכל משרד להתמודד לבד מול משהו שמשרד אחר כבר קיבל את המוצר מוכן כי הוא כבר התמודד עם זה.

רונית תירוש: לא צריך להמציא את הגלגל מחדש בכל יחידה.

יורם הכהן: למיטב זכרוני מההצגה של פרופסור בן-ישראל בוועדה הזאת לפני מספר חודשים, זה בדיוק התהליך שהיה בתהליך של הקמת מטה הסייבר.

יורם הכהן: זה התפרצות לדלת פתוח,ה משום שאותה רשימת יעדים ואותה חשיבה על השקעה שבעצם הרבה מאוד מהפעילות תיעשה על-ידי המגזר היזמי בישראל, היא כבר מגולמת בהמלצות של מטה הסייבר, ככה שזה בפנים.

רונית תירוש: בסדר גמור.

רונית תירוש: אני מודה לך על הדברים הממוקדים.

רונית תירוש: אני רוצה, בבקשה, לשמוע את נשיא האיגוד הישראלי לאבטחת מידע רו"ח דורון רונן.

דורון רונן: שלום.

דורון רונן: האיגוד הישראלי מסונף ל-ISACA הבין-לאומי שיש לו 195 סניפים ב-160 מדינות בעולם.

דורון רונן: הוא מאגד 100,000 אנשי מקצוע בתחומים של טכנולוגית המידע: גם הביקורת, גם האבטחה, גם הממשל, וגם ניהול הסיכונים.

דורון רונן: אני אבקש להתייחס לנושא בארבעה רבדים: חברות כרטיסי האשראי, עסקים, הצרכנים, והחוליה החסרה שתיכף אני אדבר עליה.

דורון רונן: ראשית, מנקודת מבט האזרח, האחריות הראשונה היא על חברות כרטיסי האשראי ולא על הצרכן עצמו.

דורון רונן: ברור לכולנו וגם לחברות כרטיסי האשראי שלפני שחברת כרטיסי האשראי מאשרת עסקה, היא צריכה לבדוק את המהימנות שלה.

דורון רונן: הרובד השני הוא העסקים עצמם.

דורון רונן: עסק שמונה למכור מוצר או שירות באמצעות האינטרנט חייב לוודא שהאתר שלו מאובטח.

דורון רונן: אף אחד הרי לא ירצה לעבוד עם עסק שהוא לא מאובטח.

דורון רונן: לכן, רצוי שהוא ישתמש באנשי מקצוע, מומחי אבטחת מידע.

דורון רונן: כמובן שהיקף אבטחת המידע מושפע מגודל ומורכבות העסק.

דורון רונן: הממד השלישי – ופה אני רוצה קצת להרחיב – לגבי הצרכן, מעבר למודעות שדובר עליה כאן זה הערנות.

דורון רונן: לא אחת אזרחים תמימים נכנסים לאתרים שרמת האבטחה שלהם והם עלולים להינזק מזה.

דורון רונן: השאלה, איך גברת כהן מחדרה יודעת שהיא נכנסת לאתר מאובטח?

דורון רונן: אם אדם רוכש ברשת הוא צריך להיות מודע לכך שייתכן שהאתר בו הוא מבצע את הרכישה הוא לא מאובטח.

דורון רונן: אם היינו שואלים את הגברת כהן מחדרה מה הקוד הסודי של הכספומט שלה, סביר להניח שבימינו היא כבר לא היתה מוסרת לנו אותו.

דורון רונן: אותו הדבר לגבי פרטי כרטיסי האשראי.

דורון רונן: אני לא בא להגיד שאין להשתמש – מה שנרמז כאן – באינטרנט לביצוע עסקאות.

דורון רונן: זה חלק חשוב מעולם העסקים, וזה אפילו מוזיל בחלק גדול מהמקרים את עלות העסקאות.

דורון רונן: אני בסך-הכול אומר: להיות מודעים לסיכונים.

דורון רונן: הצרכן צריך להיות מודע איך הוא בכלל הגיע לאתר.

דורון רונן: האם הוא הגיע ישירות דרך הפניה מחבר, או שזה אתר שהוא גלש בו בעבר.

דורון רונן: האם הוא ביצע בו רכישות בעבר או שהכניסה נעשתה בכלל דרך הפניה מאיזשהו מייל שהוא קיבל, או דרך לינק מאתר אחר.

דורון רונן: ואז הוא צריך לחשוב פעמיים ולחשוד.

דורון רונן: אנחנו זוכרים את המקרה שקרה של אתר מתחזה: בנק פועלים ובנק הפועלים שהיה אתר שהוא דומה.

דורון רונן: אנחנו גם מודעים לעוקף הניגרי שעושה את העבודה שלו דרך מיילים.

דורון רונן: נקודה נוספת – בגלל שחיוב כרטיס האשראי, במיוחד כאשר מדובר בספק מחו"ל, הוא לא מיידי, אז אפשר לבדוק בחלק מהמקרים את האמינות.

דורון רונן: אתן דוגמה אישית.

דורון רונן: אשתי ואני הזמנו חופשה במלון בפריז.

דורון רונן: לפני ההזמנה בדקנו באתר המלון עצמו, וערכנו גם השוואת מחירים מול ספק שנותן שירותים לא ישירות מול המלון.

דורון רונן: מצאנו ספק שירותים שהוא יותר זול, והחלטנו לרכוש דרכו לאחר שקיבלנו המלצות לגבי הספק הזה מחברים.

דורון רונן: אבל, בזה לא הסתפקנו.

דורון רונן: בגלל שהחיוב נעשה עתידית וקרוב יותר למועד החופשה, שלחנו מייל למלון וביקשנו לוודא האם הספק מוכר להם, האם ההזמנה בוצעה, והאם היא שולמה כהתחייבות של הספק כלפיהם, וכך ארגנו את עצמנו פחות או יותר לגבי אמינות הספק.

דורון רונן: המלצה נוספת לאזרח הפשוט.

דורון רונן: צריך גם לבדוק מה הכתובת שמופיעה כשאנחנו עומדים עם הסמן על הלינק באתר.

דורון רונן: האם היא זהה למה שרשום בלינק, או שמא היא כתובת אחרת לגמרי.

דורון רונן: אבל, הבעיה היא שהאזרח הפשוט לא יודע, ולא יכול לדעת האם באמת האתר של הספק מאובטח ולא דולף משם מידע.

דורון רונן: כאן אני מגיע לרובד הרביעי לחוליה החסרה.

דורון רונן: בגלל מורכבות המצב, אני חושב שכן צריך להטיל על גוף ממשלתי, קיים או חדש, לקחת על עצמו את התפקיד של הסמכת אתרים בהיבט של אבטחת מידע.

דורון רונן: הגוף הזה יהיה אחראי גם לאישור המהימנות ולרמת האבטחה של אתרים.

דורון רונן: כמובן שההסמכה הזאת צריכה להתבצע לא כמבצע חד-פעמי, אלא באופן שוטף.

דורון רונן: הגורם הזה יפרסם את ההסמכות באתר שלו, באתר הממשלתי המאובטח, וכך אזרחי ישראל ידעו אלו אתרים הם מהיותר מאובטחים, ויחליטו האם הם רוצים לבצע את הרכישות.

רונית תירוש: זה נראה הכי פשוט וקל.

רונית תירוש: אבל, מי יעשה את זה?

יורם הכהן: אנחנו נותנים רישיונות לשני גורמים במשק שפועלים באינטרנט.

יורם הכהן: הם עוברים אצלנו מבחני אבטחת מידע לפני שהם מקבלים את הרישיון.

יורם הכהן: האחד הוא שירותי נתוני אשראי והשני הוא חתימה אלקטרונית.

יורם הכהן: רמת אבטחת המידע שאנחנו דורשים מהם היא כמעט מהגבוהות שנדרשות במגזר האזרחי בישראל.

יורם הכהן: אבל, זה תהליך מאוד מאוד יקר וארוך.

יורם הכהן: יש לזה השלכות כספיות דרמטיות על האתרים.

יורם הכהן: אני אמרתי קודם, אני לא פוסל את זה רעיונית.

יורם הכהן: אבל, צריך להבין מה המשמעות של זה.

רונית תירוש: למי זה עולה כסף?

רונית תירוש: לכם?

דורון רונן: לא.

דורון רונן: לדעתי, יש לגלגל את זה לעסק.

דורון רונן: כמו שעסק מאבטח את עצמו אבטחה פיזית, הוא צריך גם לאבטח אבטחה לוגית את האתרים שלו, והוא צריך לקבל אישור לכך שהוא מוסמך.

רונית תירוש: אני לגמרי מסכימה איתך.

דורון רונן: בהחלט גורמים כמו רמו"ט או הסייבר וכו' הם גורמים שצריכים לטפל בנושא הזה.

דורון רונן: רעיון דומה יש בחוק שירות נתוני אשראי, כל אלה שמבצעים את הסליקה.

דורון רונן: זה חוק משנת 2004.

דורון רונן: יש שם תקנה 64(7) האומרת שעל מבקש רישיון למתן שירות נתוני אשראי להציג חוות דעת של מבקר בדבר נאותות מערכות המידע, מערכות הבקרה, ואמצעי האבטחה, ובאמת העלות היא עליו.

דורון רונן: מה שאמרתי עד עכשיו הוא לגבי עסקים בארץ.

דורון רונן: מה עושים לגבי עסקים בחו"ל?

דורון רונן: דיברנו על זה בשבוע שעבר בוועדה הזאת.

דורון רונן: אם ישראל תחתום על אמנת בודפשט מ-2001 שחתומות עליה 46 מדינות, היא תאפשר לבצע את אותו שיתוף מידע בין-מדינתי, והיא אולי תוכל לתת פתרון גם לאתרים שהם בחוץ.

דורון רונן: האחריות על כך היא על משרד המשפטים ומשרד החוץ לחתום על האמנה.

דורון רונן: לסיום, למרות מה שנאמר או ייאמר כאן, אין חסינות או הגנה מוחלטת מפני דלף מידע.

דורון רונן: אפשר רק לצמצם את זה למינימום האפשרי.

רונית תירוש: ברור.

רונית תירוש: מייד ארצה לראות סדרת שקפים של ד"ר קוזלובסקי.

רונית תירוש: אבל, לפני זה אבי וייסמן יו"ר הפורום הישראלי לאבטחת מידע, ממש בקצרה.

רונית תירוש: אני גם רוצה להפנות אליך שאלה.

רונית תירוש: אולי תגיד לנו איזה מידע הוא לגיטימי, כי פה די מחזירים לנו, לאזרח, את הכדור לעשות חושבים, ולשאול את עצמו למה מבקשים ממנו זה וזה.

רונית תירוש: כנראה שאני לא אתן את הקוד הסודי לבנק שלי, וזה כבר הוטמע.

רונית תירוש: איזה דברים אסור לנו לתת לעולם, או לחלופין אלו דברים כן אפשר לתת יותר.

אבי ויסמן: לשאלה השנייה – יש מומחים יותר גדולים ממני כדי לענות.

אבי ויסמן: את שואלת: מה יכול האזרח לעשות.

אבי ויסמן: האזרח הזה משול לילד קטן שיושב בבית-ספר בעת התקפת טילים.

אבי ויסמן: זה לא ממש תלוי בו.

אבי ויסמן: אני עומד לעבור את ה-100%: 20% מהעניין הוא יתרום, 20% המורה שלו, 20% הנהלת בית-הספר, 20% העירייה, ו-20% המדינה.

אבי ויסמן: אנחנו יושבים רק על 20%-10%.

אבי ויסמן: זה לא ממש הנושא העיקרי.

אבי ויסמן: הוא לא יכול לעשות כלום.

אבי ויסמן: אם אני רוצה ללמד מה צריך לעשות כדי להגיע ל-60% ביטחון, אני צריך קורס בלתי אפשרי של עשר שעות לכל אדם מ-7 מיליון אנשים במדינת ישראל.

אבי ויסמן: זה לא ניתן לביצוע.

אבי ויסמן: לכן, אני מציע להתמקד במה שהרשויות יכולות לעשות על מנת להגן על האזרח ברחוב בעת התקפת טילים, כי האזרח הוא באמת חסר אונים.

אבי ויסמן: צריך לזכור את הבעיה, זה לא מפתח, זה לא מנעול פיזי, וזה לא שרשראות.

אבי ויסמן: העולם הווירטואלי נמצא בחסרון, בבעיה טכנולוגית.

אבי ויסמן: נכון להיום, לתוקף יש יתרון עצום טכנולוגי על פני המגן.

אבי ויסמן: לכן, אם אנחנו רוצים אבטחה טובה של גוף קטן עם שלושה עובדים שמשווק באינטרנט, הוא לא יכול לספק יותר מ-98% ביטחון במחיר שהוא יותר קטן מפשיטת רגל.

אבי ויסמן: יש כאן דילמה עצומה, הטכנולוגיה נגדנו.

רוברט טיבייב: הגדרת את זה יפה.

רונית תירוש: אז מה אתה מציע?

רונית תירוש: כרגע הציעה לנו הרשות שאנחנו, האזרחים, נשאל את עצמנו שאלות.

רונית תירוש: עכשיו אתה אומר: אל תשאלו שאלות, חבל על הזמן.

רונית תירוש: לכו לקורס.

אבי ויסמן: לא בנושא של האזרח.

אבי ויסמן: לא, גם קורס לא.

רונית תירוש: אני יודעת, בציניות.

רונית תירוש: אז מה בכל זאת?

אנסטסיה מיכאלי: את יכולה לתאר כמה זמן צריך ללמוד מחשבים?

אבי ויסמן: את התשובות ליקטתי מכמה דוברים כאן.

אבי ויסמן: האחת מהן היא רגולציה, השנייה היא אכיפה, השלישית היא מודעות של הציבור, כי זה לא בא במקום, לסדרת פעולות.

אבי ויסמן: כמו שלמדנו לא לקטוף פרחים ולחצות מעבר חצייה, יש סדרת פעולות שמלמדים גם ילד וגם מבוגר.

רונית תירוש: מי ילמד?

אבי ויסמן: גיא, אתה מוכן, בבקשה, לענות לחברת הכנסת, או ג'קי?

רונית תירוש: בסדר, אני מבקש לפני סוף הדיון.

רונית תירוש: לא סתם ביקשתי שהישיבה תהיה משודרת.

רונית תירוש: אני רוצה לתת מינימום של כלים לפחות להתחלה להתמודדות.

רונית תירוש: זה לא כמו להגיד למישהו: יש רעידת אדמה, תיכנס תחת המשקוף, או אם יש טיל תשפוך אקונומיקה על השטיח – עד היום יש לי כתם מעיראק.

רונית תירוש: אחר כך מגלים שזה לא עוזר וזה לא עוזר.

רונית תירוש: תנו כלים בסיסים.

רונית תירוש: אני גם רוצה לדעת מה הרשויות יכולות או צריכות לעשות.

רונית תירוש: ואם זה דרך רגולציה אז הנה אנחנו פה, נשמח לשמוע.

רונית תירוש: לנו אין הרבה עבודה, אנחנו נשמח לקדם חקיקה.

רונית תירוש: האם יש לך תשובות?

גיא מזרחי: קוראים לי גיא מזרחי, ואני מנכ"ל של חברת סייבריה שעוסקת בתחום הסייבר הביטחוני.

גיא מזרחי: יש לי תשובות, אבל יש לי גם כמה הערות.

גיא מזרחי: קודם כל, נאמר פה הרבה על איומים.

גיא מזרחי: הגדירו פה סייבר טרור, וצריך לשים את הדברים על השולחן.

גיא מזרחי: כל אחד מהאנשים המקצועיים כאן יגיד את האמת.

גיא מזרחי: אבטחת האתרים האלה היתה פשוט ביזיון.

גיא מזרחי: לא מדובר בסייבר טרור, מדובר פה באירוע אבטחת מידע מאוד מינורי שגרם לבעיות מאוד רציניות.

גיא מזרחי: זה לא טרור קיברנטי, זה לא אירוע סייבר.

גיא מזרחי: זה פשוט פשיעה של בעלי אתרים ובוני אתרים שבנו את האתרים האלה ברשלנות.

רונית תירוש: ואי-אפשר להעניש אותם.

גיא מזרחי: אני לא פה כדי להעניש.

גיא מזרחי: אני כאן כדי להעריך מבחינה מקצועית מה קרה, ומה שקרה הוא פשוט מזעזע.

רונית תירוש: איך יכולתי לדעת שאני עושה עסקים עם פושעים?

גיא מזרחי: בעיה, אני אתייחס לזה עוד שנייה אחת.

גיא מזרחי: דיברתם קודם על תו תקן שרוצים לתת לאתרים.

גיא מזרחי: יש שתי בעיות עיקריות.

גיא מזרחי: האחת, יש תו תקן כזה והוא לא מיושם.

גיא מזרחי: יש תקן שהוא תקן אבטחת מידע, וברוב המקרים הוא לא מיושם.

גיא מזרחי: בחו"ל כשניסו לעשות דברים כאלה, חברת - -- הוציאה איזשהו מוצר שקוראים לו Hacker Proof, ועוד כל מיני מקומות אחרים ניסו פלומבה על אתר אינטרנט שאומר: האתר הזה הוא אתר מאובטח.

גיא מזרחי: אני מודיע חד-משמעית: אתר שחתום בפלומבה כזאת של Hacker Proof הוא אתר פריץ כמו כל אתר אחר.

רונית תירוש: אז אני חוזרת להמלצה האחרת שיהיה גורם אחד שמסמיך, ואני אפנה לגורם המסמיך לשאול האם הוא מאובטח.

רונית תירוש: לא אשאל את בעל העניין: האם אתה מאובטח.

רונית תירוש: הוא בטח ישקר לי.

גיא מזרחי: ודאי.

גיא מזרחי: יש כאן עוד בעיה אחת רצינית שאני ראיתי.

גיא מזרחי: במהלך האירועים האחרונים פשוט לא היה לבעלי האתרים את מי לשאול מה עושים.

גיא מזרחי: זאת אומרת, אנשים התקשרו אליי בהיסטריה כי כשעושים האקר בגוגל מגיעים אליי ממש מהר.

גיא מזרחי: הם אמרו לי: רגע, מה אנחנו עושים עכשיו עם האתר שלנו אם יפרצו לנו?

גיא מזרחי: אין הנחיות מדויקות של מה קורה ומה הדקה שאחרי פריצה לאתר, וזו בעיה.

גיא מזרחי: זו גם בעיה שמונעת מאיתנו יכולת חקירה מדויקת, וגם בעיה משום שגם בעל לאתר שכן רוצה לעמוד בסטנדרטים הנכונים ולהיות הוגן עם הלקוחות שלו, אין לו את הדרך לעשות את זה.

יורם הכהן: אם מישהו מודאג עכשיו, והוא פונה למומחה לאבטחת מידע ברמה שמסתובבת פה בחדר, באמת הם לא יגידו ואין להם מה להגיד לו מיידית לעשות?

גיא מזרחי: שים לב שאתה אומר:

גיא מזרחי: במידה והוא פונה למישהו ברמה של החבר'ה שמסתובבים כאן.

גיא מזרחי: נכתבו כבר הרבה מאמרים על שוק אבטחת המידע כשוק של לימונים שאין לך דרך באמת להבין אם הלימון הזה תקין או בעייתי בתוך השק הגדול הזה.

גיא מזרחי: יש המון חברות.

גיא מזרחי: אני לא מנסה להשמיץ, אבל כל חברה יכולה לכתוב על עצמה שהיא חברת אבטחת מידע.

גיא מזרחי: גם אחת החברות שבנתה את האתרים הפגיעים, מגדירה את עצמה כחברת אבטחת מידע.

גיא מזרחי: יש גם בעיה עם הסיפור הזה.

יורם הכהן: האם אתה חושב שהמקצוע הזה צריך להיות מקצוע מורשה?

גיא מזרחי: בוודאי.

יהונתן קלינגר: על-ידי המדינה או על-ידי השוק?

יהונתן קלינגר: זאת אומרת, האם אתה צריך הסמכות של כל מיני גופים כמו מייקרוסופט וכד', או שאתה רוצה שמדינת ישראל שתכריז על זה כמקצוע כמו רואה חשבון או עורך דין וכד'?

גיא מזרחי: הייתי מעדיף שמדינת ישראל תטפל בזה.

גיא מזרחי: ההגדרות ברמת הגורמים הטכנולוגיים הן בסוף הולכות ומובלות על-ידי חברות בעלות אינטרס.

גיא מזרחי: MCP אוMCSE , או כל הגדרה אחרת שפעם היתה במייקרוסופט, נחשבה חודש-חודשיים כמשהו טוב, ואחר כך נהיה זילות של המושג.

גיא מזרחי: לצורך העניין, מהנדס מייקרוסופטי זה משהו שהיום כל ילד שעושה - - -

אבי ויסמן: גברתי, הפורום עוסק בזה כבר שלוש או ארבע שנים יחד עם מנהלי אבטחת המידע בישראל, וזו בעיה נוראית.

גיא מזרחי: אני רוצה להוסיף לשאלה איך אזרח יכול להגן על עצמו.

גיא מזרחי: קודם כל, יש לו בעיה כי מבקשים ממנו הרבה פעמים פרטים שלא אמורים לבקש אותם.

גיא מזרחי: רק עכשיו נרשמתי לכנס אבטחת מידע ואחד הפרטים שנאלצתי לספק היה מספר תעודת זהות כשאין לי שום הבנה למה צריך לבקש את הדבר הזה ממני.

גיא מזרחי: אפשר להשתמש בכרטיסי אשראי חד-פעמיים שאפשר לקנות בדואר.

גיא מזרחי: אפשר לעשות שיקול לגבי השאלה איזה פרטים נותנים.

רונית תירוש: זה מה ששאלתי קודם והבטחתם לומר לי.

רונית תירוש: מה לגיטימי לתת?

רונית תירוש: אני אשאל שאלות תם.

רונית תירוש: אומרים לי: תני לי את שלוש הספרות שמופיע מאחורי כרטיס האשראי.

רונית תירוש: אם לא, אין עסקה.

גיא מזרחי: לגיטימי לתת – זו שאלה קשה.

גיא מזרחי: נאלצים לתת את זה.

גיא מזרחי: אני מניח שהחבר'ה מכרטיסי האשראי ידעו יותר טוב ממני לענות על מה הן צריכות כדי לחייב את הלקוח.

גיא מזרחי: כל מה שצריך כדי לחייב לקוח צריך לתת.

גיא מזרחי: הבעיה היא שאני כלקוח לא יודע האם הפרטים שנתתי יישמרו בצורה מוצפנת, או לא יישמרו.

גיא מזרחי: אין לי דרך לדעת את זה.

גיא מזרחי: השקיפות של בעל האתר זה משהו שהייתי רוצה לדעת.

רונית תירוש: אני עדיין לא קיבלתי מה כן אפשר.

גיא מזרחי: אם תעבדי עם כרטיס אשראי שהוא לא כרטיס האשראי העיקרי שלך, כרטיס אשראי חד-פעמי מהסוג שאפשר לקנות בדואר ישראל, אין לך פה באמת בעיה של כרטיס אשראי.

גיא מזרחי: גם אם הוא ייגנב, ייגנב סכום מאוד מוגבל של כסף.

גיא מזרחי: הבעיה פה היא לא כרטיס האשראי, הבעיה פה היא תעודת הזהות שלי שאני לא יכול לגרום לזה שיחליפו לי אותה אם מישהו גנב את הפרטים האלה.

גיא מזרחי: הצמדה לכתובת שלי, לדברים שקניתי שיכולים להגדיר מה תחומי העניין שלי, ואולי גם דברים מביכים עליי.

גיא מזרחי: יש הרבה סיבות למה אנשים קונים דברים באינטרנט.

גיא מזרחי: אחת הסיבות היא שהם לא רוצים ללכת לחנות לקנות.

גיא מזרחי: אף אחד לא יכול לדעת האם האתר בו הוא קנה באמת ממסך אותו.

רונית תירוש: זאת אומרת, ההמלצה המיידית כרגע היא לעבוד מול כרטיסי האשראי חד-פעמיים כאלה.

גיא מזרחי: חברות כרטיסי האשראי לא יאהבו את זה.

רונית תירוש: זה רק מראה כמה העסק מסובך.

רונית תירוש: ד"ר קוזלובסקי, תשתדל לדבר ממוקד.

רונית תירוש: אתה תוזמן לכל הדיונים הבאים שלנו גם כן, ואני מודה לך על כך שאתה מגיע.

נמרוד קוזלובסקי: ראשית, אני חושב שמה שנעשה פה הוא מהלך חשוב מאוד.

נמרוד קוזלובסקי: ועדת המדע ויושב-ראש הוועדה הרימו את הכפפה להגיד שיש פה בעיה מערכתית, זה לא אירוע נקודתי שאנחנו מתעסקים בו.

נמרוד קוזלובסקי: ועדת המדע לבדה ראתה פריצות סייבר לאתרי ממשלה ולאתרים פרטיים.

נמרוד קוזלובסקי: היא ראתה את בעיית הריגול העסקי והשימוש בסוסים הטרויאניים והיא דנה בה בעבר.

נמרוד קוזלובסקי: לאחרונה היא דנה בבעיית מרשם האוכלוסין, דנה לאחרונה בבעיית ה-Darknet של הפשע המאורגן' וכיום בכרטיסי האשראי.

נמרוד קוזלובסקי: אבל, אני חושב שצריך להבין משהו מאוד משמעותי.

נמרוד קוזלובסקי: הפגישות שאנחנו עושים כאן – אם בסופן הן יהיו קצת פורקן, וכל אחד יספר את הפרספקטיבה שלו, הן יהיו שיעור חברה נחמד.

נמרוד קוזלובסקי: שיעור החברה הזה לא יוביל, בסופו של דבר, לשינוי בחיי המעשה.

נמרוד קוזלובסקי: אני קורא כאן: תפקידה של הכנסת הוא לחוקק, תפקידה לפקח על הרשויות שפועלות, בין אם להקצות להן תקציבים, ובין אם לבקר את פעולתן.

נמרוד קוזלובסקי: אני חייב לומר שאנחנו נרדמנו בשמירה.

נמרוד קוזלובסקי: אני רחוק מלהסכים לכל הטפיחות על השכם שהיו פה בישיבה.

נמרוד קוזלובסקי: אנחנו נרדמנו בשמירה, אנחנו יודעים את מצבו העגום של אבטחת המידע בסייבר הישראלי מזה שנים ארוכות.

נמרוד קוזלובסקי: כל מי שעוסק בתחום יאמר לך בצורה ברורה מאוד שרוב רובם של אתרי האינטרנט הישראלים – ואני מדבר פה רק על המגזר האזרחי, אני לא נוגע לבעיית הסייבר הממשלתית – לא חושבים על אבטחת מידע, אינם מתייעצים באיש אבטחת מידע, ואבטחת המידע שלהם היא יד המקרה.

נמרוד קוזלובסקי: אני אומר לך יותר מזה.

נמרוד קוזלובסקי: לקראת הדיון הזה עברתי על כמה תקציבים של אתרי אינטרנט על מנת לראות כיצד התקציב שלהם נבנה.

נמרוד קוזלובסקי: יש שם תקציב לעורך-דין שזה דבר נפלא, יש שם תקציב לרואה-חשבון, יש שם תקציב לניקיונות.

נמרוד קוזלובסקי: תקציב לאיש אבטחת מידע לא מצאתי בהם, או תקציב אמיתי להתמודדות עם בעיית אבטחת המידע.

נמרוד קוזלובסקי: רובם נבנים בלי שום היוועצות עם אבטחת מידע בסיסית.

נמרוד קוזלובסקי: לכן, אני מסכים עם מה שגיא מזרחי אמר לפני רגע.

נמרוד קוזלובסקי: לאירוע הזה יש שתי פנים.

נמרוד קוזלובסקי: תקף את מדינת ישראל גורם עוין, כפי הנראה גורם שרצה לפגוע באזרחי ישראל, בבטן הרכה שלהם, במידע האישי שלהם, באמצעי התשלום שלהם.

נמרוד קוזלובסקי: אין פה ספק שהגורם הזה ביצע פעולה שהיא פעולה זדונית ואפקטיבית.

נמרוד קוזלובסקי: בהיבט של מה שקרה עם הנתקף, הקורבן זה פשוט אתר אינטרנט שהתרשל ולא עשה אפס באבטחת המידע שלו לדאוג כאשר הוא לוקח פרטים.

נמרוד קוזלובסקי: אם אנחנו רוצים לעבור לפסים פרקטיים, וכך ביקשה יושבת-ראש הוועדה, אני חושב שבסופה של ישיבת הוועדה הזאת צריכה לצאת הצעת חקיקה מסודרת, ופה הבשורה שאני רוצה להציע.

נמרוד קוזלובסקי: אני סבור שבמספר סעיפי חקיקה שניתן להעביר אותם תוך שבועות ספורים, לא יותר מזה, אנחנו נרים בקפיצת מדרגה, אקספוננציאלית, את רף האבטחה בסקטור האזרחי הישראלי שזו הבטן הרכה.

נמרוד קוזלובסקי: הכול ביכולתה של הכנסת לעשות.

נמרוד קוזלובסקי: מי שמאמין באמונה של התמריץ של האתר לאבטח את עצמו, המציאות מוכיחה אחרת.

נמרוד קוזלובסקי: יתרה מזאת, לאתר ממש אין אינטרס לאבטח את עצמו בשל העובדה שלא הוא הניזוק מפריצת הפרטים, והמבנה החוקי גם לא מטיל עליו את האחריות.

נמרוד קוזלובסקי: ולכן, יש פה בעיה כלכלית פשוטה.

נמרוד קוזלובסקי: הוא מחצין את הסיכון של הנזק, של גניבת הזהות, של הפגיעה בפרטיות, על המשתמש שלו.

נמרוד קוזלובסקי: איך פותרים את זה?

נמרוד קוזלובסקי: בתור התחלה רציתי להיות קצת פרובוקטיבי.

נמרוד קוזלובסקי: יש לי את כל הפתרונות.

נמרוד קוזלובסקי: זה היה יכול להיות גם סיכום מצוין לישיבה כאן.

נמרוד קוזלובסקי: במרץ 1998 היתה ישיבה בוועדת המדע, וחברת הכנסת דליה איציק היתה אז יושבת-ראש הוועדה.

נמרוד קוזלובסקי: הגיעו כל הטייפ-קסטינג.

נמרוד קוזלובסקי: הגיע האקר, והגיע איש משטרה והגיע איש אבטחת מידע, והגיע איש הרשויות.

נמרוד קוזלובסקי: בדיוק כפי שאנחנו יושבים בחדר הזה, כולם סיפרו.

נמרוד קוזלובסקי: הנער הדגים במחשב נישא איך הוא פורץ לאתר וגונב ממנו את הפרטים.

נמרוד קוזלובסקי: לאחר מכן הוא התרברב ואמר: אני לא מתוחכם מידיי.

נמרוד קוזלובסקי: אבל, אני יכול להגיע גם לאתרים של כרטיסי אשראי ולקבל שמות ומספרים, ולא תאמינו כמה קל אפילו לשלוח מכתבים בשם שרי הממשלה.

נמרוד קוזלובסקי: לאחר מכן הציעה המשטרה שיתגברו אותה בתקציבים ובכוחות, ואולי יהיה אפילו משמר אזרחי וולונטרי שיעזור לה.

נמרוד קוזלובסקי: ראש אגף חקירות אמר ש-50 חוקרים מיוחדים התמנו והוכשרו עוד 25 נוספים, ויש עוד קורסים רבים בדרך.

נמרוד קוזלובסקי: היא גם רכשה ציוד מחשב מתוחכם כדי להתמודד עם התופעה.

נמרוד קוזלובסקי: מי שישב אז בכסא של מנהל ממשל זמין אמר שיש תקיפות באלפים על בסיס יום-יומי.

נמרוד קוזלובסקי: אזכרו את הפריצה באותו שבוע לביטוח הלאומי בכפר-סבא, ולמע"מ בנתניה, ואמרו שיש בעיה כי כל דיון כזה יוצר תהודה לאנשים לפרוץ לעוד אתרים ממשלתיים.

נמרוד קוזלובסקי: מנהל האבטחה למשרד רגיש אמר אז שצריך לקבוע תקנים ויש את התקנים, והדרך היחידה היא אם יעמדו בתקנים.

נמרוד קוזלובסקי: אהוד אבנר, שאינני יודע מי הוא, אמר שצריך תקני רשות לאבטחת מידע, ולהפסיק לעמוד במערכת בשיטת ה"סמוך".

נמרוד קוזלובסקי: עברו 13 שנה, ההמלצות הן אותן המלצות.

נמרוד קוזלובסקי: הכנסת אותה כנסת, והגיע הזמן לחוקק.

נמרוד קוזלובסקי: אפשר לעשות את זה בכמה שלבים קצרים.

רונית תירוש: נשמח.

נמרוד קוזלובסקי: הרעיון – יש כמה עקרונות פשוטים, ולאחר מכן תוכנית עבודה.

נמרוד קוזלובסקי: אגב, אני חלקתי עם כמה חברי כנסת, יושב-ראש הוועדה, גם מסמך מפורט שהוא לא ברמת מצגת, ממש איך הסעיפים האלה צריכים להיראות.

נמרוד קוזלובסקי: הדבר הוא כזה.

נמרוד קוזלובסקי: בתור התחלה – תפיסת הפרטיות שמציגים לנו כרגע היא תפיסת הסכמה.

נמרוד קוזלובסקי: איזה מידע אתה מסכים לתת, וההנחה היא שההגנה על פרטיות היא שאני שומר על איזה מידע אני נותן, ומסכים לתת.

נמרוד קוזלובסקי: התפיסה הזאת קלוקלת.

נמרוד קוזלובסקי: בפועל מי שלא רוצה לחזור ולגור במערות החשוכות ולהסתובב כפרימיטיבי, חייב למסור כל הזמן את פרטיו האישיים.

נמרוד קוזלובסקי: תבינו איזה דינאמיקה מוזרה היתה פה.

נמרוד קוזלובסקי: יש פה את הרשויות האמונות לכך, יש פה את המחוקק, יש את משרדי הממשלה שאמורים היו לטפל בנושא, ובסוף חוזרים לאזרח הקטן ואומרים לו: את היית צריך להיות מודע ולהתמגן, פוי, פוי, פוי.

נמרוד קוזלובסקי: זה שטות, הוא לא היה יכול לעשות שום דבר.

נמרוד קוזלובסקי: התפיסה האמיתית היא תפיסה למעבר לאבטחת מידע.

נמרוד קוזלובסקי: הדרך להגן על פרטיות היא בדרך של לחייב אבטחת מידע אישי שאנחנו מוסרים.

יורם הכהן: ד"ר קוזלובסקי, מי אמר את הדבר הזה שאתה אמרת?

נמרוד קוזלובסקי: אני שמעתי הרבה אנשים שאמרו: המודעות.

נמרוד קוזלובסקי: המילה מודעות עולה הרבה.

רונית תירוש: כן דיברו על כך שאזרח צריך לדעת שלא בקלות הוא צריך למסור פרטים.

רונית תירוש: ולכן, זה הוביל אותי לשאלה אלו פרטים נכון למסור, ואלו פרטים לא נכון למסור.

רונית תירוש: אתה אומר: עזבו את האזרח.

רונית תירוש: אני הבנתי את זה מהחבר אבי וייסמן.

נמרוד קוזלובסקי: אני אומר יותר מזה, חס וחלילה שיצא מסר מוועדה בכנסת בוועדה המתקדמת הטכנולוגית שאנחנו לא נשתמש בסייבר.

רונית תירוש: נמרוד, כדי לא ליצור אנטגוניזם למצגת שלך, תהיה פחות מיליטנטי.

רונית תירוש: בוא נעשה את זה ברוח חיובית.

רונית תירוש: אתה אומר: בואו לא נפיל את זה על האזרח.

רונית תירוש: מה עוד?

נמרוד קוזלובסקי: דבר נוסף - חקירה בדיעבד אין לה שום משמעות.

נמרוד קוזלובסקי: אני יכול לספר את סופה של החקירה במקרה של האקר הסעודי.

נמרוד קוזלובסקי: קראתי את הפרק האחרון של הספר.

נמרוד קוזלובסקי: סופה של החקירה הוא שיגיעו ל-IP במדינה זרה שהוא כנראה IP מומצא.

נמרוד קוזלובסקי: חקירה בדיעבד זה אחרי שהנזק קרה.

נמרוד קוזלובסקי: המידע על האזרחים מתגלגל, ועכשיו מחפשים איזה מישהו כדי להוציא פורקן ציבורי.

נמרוד קוזלובסקי: הדרך לאבטחת מידע היא במניעה מוקדמת, לא בחקירה בדיעבד.

נמרוד קוזלובסקי: דבר נוסף - הבעיה הגדולה באבטחת מידע היא שהקורבן האמיתי הוא זה שהפרטים שלו כרגע נחשפו, והוא קורבן לגניבת זהות ולפוטנציאל שלה, לא האתר שנפרץ.

נמרוד קוזלובסקי: האתר אומנם היה שער הכניסה, אבל הנפגע זה אנחנו.

נמרוד קוזלובסקי: ואם הנפגע זה אנחנו, מה שחייבים לעשות זה לחייב אותם באיתור מוקדם, ולחייב אותם לדווח מרגע שהם גילו את זה.

נמרוד קוזלובסקי: פה אנחנו לא צריכים להמציא את הגלגל.

נמרוד קוזלובסקי: כך פעלו מדינות אחרות, כמו קליפורניה, שהחקיקה שלהן הביאה להגברת רף אבטחת המידע בצורה דרמטית.

נמרוד קוזלובסקי: דבר נוסף - יש לנו פה בעיה כלכלית.

נמרוד קוזלובסקי: אני חושב שכל הדיון שמדבר על תקנים ממסך את הדיון.

נמרוד קוזלובסקי: כמו שכנסת ישראל לא תתעסק בקביעת מהו תקן המיגון הנכון לרכב בכל נקודת זמן בפני החלקה.

נמרוד קוזלובסקי: היא קובעת את מערכת התמריצים לבעל הרכב לבדוק את הרכב, היא קובעת את מערכת התמריצים לחברת הביטוח לבדוק שהוא עשה את המיגון, והיא קובעת את האחריויות שלו אם הוא לא יתמגן במקרה תאונה.

נמרוד קוזלובסקי: יש פה בעיה כלכלית פשוטה.

נמרוד קוזלובסקי: היום אין מבנה תמריצים נכון.

נמרוד קוזלובסקי: השחקנים שבמשחק הזה שהם: האתר, הלקוח שלו, הרשות הממשלתית, חברת אבטחת המידע שיודעת לבדוק את זה, וגם רשויות החקירה, לא נבנו להם התמריצים ומבנה של אחריות וחסינות.

נמרוד קוזלובסקי: בכמה צעדים אפשר לבנות מערכת של תמריצים.

נמרוד קוזלובסקי: כל עבודתה של הכנסת צריכה להיות בבנייה בכמה סעיפים את התמריצים לאבטח בצורה נכונה, ולאחר מכן לעזוב את זה מכיוון שהתקינה תגיע לכך שנגיע לתקן הוולונטרי.

נמרוד קוזלובסקי: כך קורה עם רואה-חשבון.

נמרוד קוזלובסקי: אנחנו אומרים: אתה צריך להגיש דין-וחשבון שנתי, ורואה-חשבון יאמת אותו.

נמרוד קוזלובסקי: אנחנו לא נכנסים לבדוק לרואה-חשבון האם בתקן X או תקן Y. לכך יש את הגופים המקצועיים שלו שמאמצים את התקנים.

נמרוד קוזלובסקי: דבר נוסף – אם כבר נכשלנו והמניעה המוקדמת לא הצליחה ומגיעים לחקירה, אם יש משהו ללמוד מהפרשה הזאת, התנהלנו איום ונורא בחקר האירוע הזה ובניהול האירוע הזה.

נמרוד קוזלובסקי: כל אחד זרק המלצות, כל אחד חקר.

נמרוד קוזלובסקי: בערוץ 2 התגלה לנו הפיצוח הגדול.

יורם הכהן: מי זה "אנחנו התנהלנו"?

נמרוד קוזלובסקי: מדינת ישראל ורשויותיה התנהלו גרוע בחקירת האירוע בשל העובדה שאם אנחנו רואים פיצוח בערוץ 2, זה נקרא סיכול חקירה.

נמרוד קוזלובסקי: זה אומר שאם כרגע האקר – בין אם הוא סעודי או מקסיקני – יושב בבית שלו ומבין שהוא היעד, הוא כרגע מוחק את הראיות, הוא מעלים כרגע את ה-IP, והוא כרגע גם יוצר אליבי.

נמרוד קוזלובסקי: יתרה מזאת, לא היה לנו גוף אחד, שמקובל במדינות אחרות, שהוא גוף מתכלל של אירוע, ושל איך מטפלים באירוע כזה.

רונית תירוש: אנחנו חיים בריאליטי.

נמרוד קוזלובסקי: בואו ניכנס להמלצות.

נמרוד קוזלובסקי: בצורה מאוד פשוטה אתה אומר לאתר: בתור התחלה, אין עליך שום חובה.

נמרוד קוזלובסקי: אם אתה רוצה לפעול, אתה לא צריך לא רישוי, לא תקן, כלום, כל עוד אתה לא אוסף מידע אישי מזוהה אודות אנשים.

נמרוד קוזלובסקי: כי רק ברגע שהתחלת לאסוף מידע אישי מזוהה אודות אנשים אתה מגלגל עליהם סיכון משמעותי להיות קורבנות גניבת זהות ושימוש בפרטים שלהם.

נמרוד קוזלובסקי: באותו רגע שהחלטת, וזו החלטה עסקית, שאתה רוצה לאסוף ולשמור מידע אישי מזהה אודות אנשים, שזו החלטה עסקית משמעותית, אז אתה צריך לעבוד ברף אבטחה מינימאלי.

נמרוד קוזלובסקי: זה לא תפקידו של המחוקק לקבוע את רף האבטחה הזה, אם כי אני חושב שרמו"ט כגוף המקצועי יכול לאמץ מעת לעת תקני אבטחה כתקנים שייחשבו כסבירים.

נמרוד קוזלובסקי: אגב, בהמלצה המפורטת, אני אפרט מהו רף אבטחה מינימאלי בהתאם לסוג המידע והפגיעות שלו.

יורם הכהן: קראת את המסמך שרמו"ט הפיצה לפני שנה בנושא הזה?

נמרוד קוזלובסקי: אני חושב שרמו"ט עשתה עבודה טובה מאוד באותו מסמך, רק הבעיה האמיתית היא שעד שלא היתה לנו שעת הכושר כאן, המסמך הזה נדחק לתחתית המגירה.

נמרוד קוזלובסקי: אני חושב שיש לחזק את העבודה החשובה של רמו"ט ולהעמיד את העבודה שלה כרגע בהבנה שזה עדיפות לאומית בשל העובדה שאנחנו 13 שנה מדברים על הליקוי, אבל לא מחוקקים אותו.

נמרוד קוזלובסקי: הדבר הנוסף - איסוף ושמירת מידע אישי יתאפשרו רק לאחר שמנהל המאגר מקבל אישור מחברה מוסמכת בדין.

נמרוד קוזלובסקי: כן, את החברות שעושות את הסקרים צריך להסמיך.

נמרוד קוזלובסקי: רמו"ט הוא הגוף המתאים.

נמרוד קוזלובסקי: אנחנו לא תמיד יודעים מה משקפות ההסמכות האזרחיות.

נמרוד קוזלובסקי: רמו"ט צריך לבדוק.

נמרוד קוזלובסקי: יש בישראל עשרות חברות אבטחת מידע מעולות שיכולות לעשות את הבדיקה הפשוטה הזאת.

נמרוד קוזלובסקי: טענת הנטל הכלכלי היא טענה שגויה.

נמרוד קוזלובסקי: הבדיקה הבסיסית הזאת עולה כמה מאות דולרים במקרה הטוב.

נמרוד קוזלובסקי: לאחר מכן אתה אומר לו: אתה צריך כבעל האתר לעשות סקר סיכונים תקופתי ובדיקת חדירות.

נמרוד קוזלובסקי: בואו נסביר מה זה בדיקת חדירות למי שיושב בחדר והוא לא מהתחום.

נמרוד קוזלובסקי: אנחנו היום בעצם מחכים שיבוא האקר סעודי ויתקוף את האתר שלנו, ויספר לנו שהוא פרוץ.

נמרוד קוזלובסקי: אבל, הדרך האמיתית לעשות את זה היא שאנחנו נתקוף את האתר שלנו ונראה האם הוא פרוץ.

נמרוד קוזלובסקי: כך חברות עובדות.

נמרוד קוזלובסקי: אגב, באותו סט כלים.

נמרוד קוזלובסקי: ההאקר הסעודי השתמש בסט כלים שהוא סטנדרטי ברשת.

נמרוד קוזלובסקי: אתה תוקף את האתר, ואם אתה מוצא שהאתר פרוץ אחרי הסקר הזה, אסור לו להמשיך לאסוף ולשמור מידע אישי עד שהוא לא מתקן אותו.

רונית תירוש: נדמה לי שאתה אמרת קודם שתהיה שקיפות, שהוא יודיע שהאתר שלו נפרץ.

נמרוד קוזלובסקי: ודאי.

נמרוד קוזלובסקי: אגב, יש פה שתי נקודות קטנות האומרות - ואני חושב שפה אני מאמץ את דבריו של ראש הרשות בעניין הזה - ששמירת מידע האישי היום נעשית בתצורה שהיא הרבה פעמים בלי הצדקה.

נמרוד קוזלובסקי: אין לי סיבה, בשביל להשלים טרנזקציה מסוימת, לקבל את כל הפרטים, כולל הסיסמא, כולל הדואר האלקטרוני.

נמרוד קוזלובסקי: פה צריך לומר: אם אתה רוצה לשמור מידע אישי מעבר לנדרש, מידע עודף, אתה חייב את ההסכמה ואת המודעות של האדם.

נמרוד קוזלובסקי: ופה החולשה האמיתית.

נמרוד קוזלובסקי: כל הצרה הזאת שנפלה עכשיו על ישראלים שהם הקורבן של גניבת זהות – והפרשה רחוקה מלהסתיים, היא תלווה אותם תקופה ארוכה.

נמרוד קוזלובסקי: הם יצטרכו כל הזמן לבדוק מי משתמש באמצעים שלהם, האם מישהו חדר לדואר האלקטרוני או אם מישהו התחזה אליהם - הדרך היחידה היא שבסיסמאות גישה או אמצעי אימות, אין דבר כזה לשמור אותם בתצורתם המזוהה.

נמרוד קוזלובסקי: סטנדרט אבטחת המידע הבסיסי אומר: אם קיבלתי כתובת דואר אלקטרוני או סיסמא, אני מיידית מרבב אותה - מה שנקרא "פונקצית הש".

נמרוד קוזלובסקי: אני בחיים לא שומר אותה בתצורה שניתן להשיג אותה.

נמרוד קוזלובסקי: נעבור לשלב הבא.

נמרוד קוזלובסקי: אם כבר היה אירוע אבטחת מידע, ואתה כבעל אתר יודע שהאתר שלך כרגע נפרץ, או שאתה יודע מה שנקרא compromised, שהנתונים של הלקוחות שלך כרגע בסכנה, אין לך את הזכות, כמו שקרה כאן שבעלי האתרים האלה ידעו תקופה ארוכה שהאתר שלהם פרוץ.

נמרוד קוזלובסקי: חלק מהאתרים ידעו משך חודשים ארוכים שהאתר שלהם פרוץ ולא עשו כלום.

נמרוד קוזלובסקי: אפילו חברות אבטחת מידע מסוימות הוציאו דוחות עליהם, ולא נעשה כלום.

רונית תירוש: מה אתה מצפה?

נמרוד קוזלובסקי: יש חוק בקליפורניה.

נמרוד קוזלובסקי: ההמלצה שלי, הכנסת תיכנס לאחר מכן ל-Google Translate ותתרגם את החוק מקליפורניה.

נמרוד קוזלובסקי: אני מוכן לקבל אותו, כולל שגיאות הכתיב שיש ב- Google Translate .

יורם הכהן: האם אתה יודע מה התוצאה של ה-Bridge Notification האמריקאי?

נמרוד קוזלובסקי: כן, אני יודע אותה מצוין.

יורם הכהן: קודם כל, אנחנו בוחנים את כל הנושא של חקיקתו של חובת כשל אבטחת מידע.

יורם הכהן: אחת הבעיות של עם חובתו של כשל אבטחת מידע – דרך אגב, זה כלי חשוב מאוד שאני בהחלט בעדו – זה שאנשים מתחילים לקבל עשרות ומאות דוחות.

יורם הכהן: בסופו של דבר, הזאב-זאב גורם לזה שאנשים מתעלמים מזה.

יורם הכהן: אם אתה צריך לדווח גם על כל סיטואציה שבה מחשב נייד נגנב, ואתה מתחיל לקבל דוח אחרי דוח אחרי דוח אחרי דוח, אתה מאבד את האמון בכלל בכל המערכת.

יורם הכהן: לכן, לתרגם באופן אוטומטי את החוק האמריקאי זה ממש ממש אבל לא הפתרון הנכון.

יורם הכהן: כל העולם היום מתעסק בבחינת השאלה מה קו הגבול הנכון של חובה של דיווח.

נמרוד קוזלובסקי: אני חייב לומר שאני קראתי בחודשיים האחרונים דוחות של כמעט כל חברות המחקר שעוסקות בתחום הזה שמהללות את תוצאתו של החוק האמריקאי.

נמרוד קוזלובסקי: אגב, להערתך, החוק האמריקאי קבע את קו הגבול בצורה מאוד מאוד מדויקת.

נמרוד קוזלובסקי: הוא קבע שרק אם אתה שמרת מידע אישי רגיש באופן שאינו מוצפן, וידוע לך שהמידע האישי הרגיש שאינו מוצפן דולף ממך, compromised.

נמרוד קוזלובסקי: ולכן, הרף הזה גרם לכך שבארצות-הברית כרגע נעשה סקר מה קרה ב-2003 לפני חקיקתו, ומה קורה היום.

נמרוד קוזלובסקי: היום אין אתר אינטרנט שעולה בקליפורניה או שומר נתונים על קליפורנים שלא מיידית הולך ועושה את בדיקת אבטחת המידע והצפנת הנתונים, כי הוא יודע את התוצאה הנוראית שלו.

נמרוד קוזלובסקי: במקרה והוא יצטרך לדווח, יהיה מושא לתביעה ייצוגית.

נמרוד קוזלובסקי: אגב, הטיוטא של רמו"ט היא טובה בנושא הזה.

נמרוד קוזלובסקי: אבל, אני חושב שצריך לנצל את שעת הכושר.

נמרוד קוזלובסקי: רמו"ט קמה בשעת כושר, אחרי פרשת הסוס הטרויאני, עם רשימת מטרות מה צריך לעשות.

נמרוד קוזלובסקי: יש לנו שעת כושר נוספת.

נמרוד קוזלובסקי: הגיעה העת שאנחנו נתרגם את ההצעות האלה לחוק.

נמרוד קוזלובסקי: כרגע יש בעיה אמיתית במבנה התמריצים.

נמרוד קוזלובסקי: אין עוולה נזיקית מפורשת בשל התרשלות בקיום אבטחות מידע.

נמרוד קוזלובסקי: יותר מזה, יש מצב שבו אני ביודעין לא עשיתי שום אבטחה, האתר שלי לא נבדק ולא כלום, התרשלתי כלפי כל האזרחים לחשוף אותם לגניבת זהות.

נמרוד קוזלובסקי: אין שום סנקציה פלילית או אחריות למנהל או לדירקטור.

נמרוד קוזלובסקי: אחריות למנהל ולדירקטור גורמת להם להשקיע כמה מאות דולרים ב - - -.

נמרוד קוזלובסקי: יש תפקיד מאוד חשוב לרמו"ט, ואני חושב שהוא שונה מהתפקיד שהוצע כאן.

נמרוד קוזלובסקי: רמו"ט לא צריכה להתחיל לבדוק את כל האתרים.

נמרוד קוזלובסקי: זה לא ישים, זה רק יגרום לכשל.

נמרוד קוזלובסקי: אבל, רמו"ט כן צריכה להיות מונחית בחוק להתחיל לעשות בדיקות אבטחה מדגמות יזומות לאתרים.

נמרוד קוזלובסקי: כלומר, בדיקת חדירות יזומה שמתבצעת לאתר - אגב, ללא הודעה מראש – כאשר אתה מייד מיידע אותו בדוח.

נמרוד קוזלובסקי: וכל פעם שאתה כראש הרשות תמצא שיש כשל אמיתי באבטחה, והצלחת אתה למצוא פרטים אישיים של אדם או סיסמאות, אתה תשתמש בסנקציות שיוקנו לך.

נמרוד קוזלובסקי: מאותו רגע ואילך יבינו שיש פה שיניים אמיתיות לאכיפה המינהלית.

נמרוד קוזלובסקי: אבל, היא תהיה מניעתית, לא בדיעבד.

נמרוד קוזלובסקי: הדבר החשוב – יהיו כמו מנגנוני הלשנה לרמו"ט.

נמרוד קוזלובסקי: יהיה: אני מדווח ש-, אני יודע שהמידע שלי מאתר מסוים כרגע דלף.

נמרוד קוזלובסקי: זה יחייב את רמו"ט לעשות את בדיקת היזימות.

נמרוד קוזלובסקי: במקרה הזה כיוון שיש הרבה פעמים בעלי אינטרסים להודיע לך על הכשל, אתה תעשה בדיקה יזומה.

נמרוד קוזלובסקי: אנחנו נמנע מבעוד מועד, והסנקציות שלך יהיו בעלות שיניים.

נמרוד קוזלובסקי: אני חייב להגיד שאת שמונת הסעיפים הראשונים שהצעתי ניתן לחוקק על-ידי מישהו שיודע לכתוב היטב הצעות חוק, שלושה סעיפי חוק בחודש.

רוברט טיבייב: האם אי-אפשר להגדיר דרגה של אבטחה לכל אתר ואתר?

נמרוד קוזלובסקי: בוודאי.

נמרוד קוזלובסקי: אבל, אני אומר שתפקידה של הכנסת אינו לנתח האם PCI יותר טוב מ-ISO 27001 או מהתקן הישראלי 1799.

נמרוד קוזלובסקי: התפקיד של הכנסת הישראלית הוא לחייב ברף ולהגיד: רף שמקובל על ארגון 1, 2, 3, - - -

רוברט טיבייב: מישהו צריך לבנות את הרף.

נמרוד קוזלובסקי: יש תקנים כאלה בשפע.

נמרוד קוזלובסקי: יש בעיית עודף תקנים.

יורם הכהן: אנחנו כבר גיבשנו את אותו מודל שעושה הבדלה בין רמות שונות של רגישות של מידע, כיוון שאתה לא יכול לדרוש כמובן רמות אבטחת מידע בסדר גודל של המאגר הביומטרי מכל בעל עסק.

יורם הכהן: יש פרופורציה.

יורם הכהן: הדבר הזה נמצא במסמך שנמצא היום בטיוטת תקנות שנמצאת לפני תהליכי אישור.

יורם הכהן: זה עושה את הדבר הזה תוך התייעצות עם ISACA, וגם עם שימוע ציבורי שעשינו, מכיוון שיש פה היבטים של המשק, של עלויות.

יורם הכהן: כל הדברים האלה הופנמו.

רוברט טיבייב: כמובן שצריך לפרסם את הרף.

יורם הכהן: כן.

יורם הכהן: הרף נקבע שם.

יורם הכהן: יש חובת אבטחת מידע בסיסית שהיא מפורטת.

יורם הכהן: מעבר לזה, גופים שאוספים הרבה מאוד מידע או אוספים מידע רגיש - וכמובן שמי שאוסף הרבה מאוד מידע רגיש נמצא ברף השלישי – יחולו עליו חובות יותר מרחיקות.

יורם הכהן: הנושא עבר שימוע ציבורי.

נמרוד קוזלובסקי: אני חושב שרמו"ט כגוף מקצועי הוציאה ניירות עבודה מעולים.

נמרוד קוזלובסקי: הבעיה האמיתית היא שלא נוצלו שעות הכושר לחוקק אותן.

נמרוד קוזלובסקי: את שמונת הסעיפים הראשונים בתוכנית העבודה ניתן לחוקק.

נמרוד קוזלובסקי: הכנסת לא צריכה להבין כהוא זה באבטחת מידע ומה הם התקנים, אלא רק לבנות את מערכת התמריצים להתמגן ולדווח.

רוברט טיבייב: אל תזלזל ביכולות של הכנסת.

נמרוד קוזלובסקי: חס וחלילה.

נמרוד קוזלובסקי: אני רק אומר שהכנסת לא צריכה להיכנס לזה.

נמרוד קוזלובסקי: לא מזלזל, להיפך.

נמרוד קוזלובסקי: לגבי שלושת הדברים האחרונים – זה מה קרה אם היה כבר אירוע ואתה צריך להתמודד איתו, וזה כבר אם נכשלנו.

נמרוד קוזלובסקי: אם נכשלנו, צריכים להיות שלושה דברים.

נמרוד קוזלובסקי: אגב, הם יותר מסובכים, הם יותר דורשים זמן.

נמרוד קוזלובסקי: זה לא חקיקת בזק.

נמרוד קוזלובסקי: הראשון בהם – היום אין סמכויות מספקות לרשויות החקירה לחקור בזירה דיגיטאלית.

נמרוד קוזלובסקי: אני לא אכנס לפרטים.

נמרוד קוזלובסקי: אבל, סמכויות לשמירת המידע, להתחקות אחריו, להתגלגלות עם מצב.

נמרוד קוזלובסקי: כאן יש תזכיר סדר דין פלילי לעניין סמכויות חיפוש ותפיסה בחומרי מחשב.

נמרוד קוזלובסקי: כיוון שחלק מהסמכויות האלה חיוניות לגופי החקירה, צריך לקדם לפחות את החלק המחשבי.

נמרוד קוזלובסקי: אבל, שם כיוון שיש איזונים משמעותיים עם זכויות אדם וסמכויות, זה לא פשוט.

נמרוד קוזלובסקי: צריך להקים CERT.

נמרוד קוזלובסקי: ה-CERT הוא אותו גוף שהוא Response, שלא הוקם בישראל, אותו גוף של מה קורה אם היה אירוע - לתכלל את המענה באירוע.

נמרוד קוזלובסקי: הדבר האחרון הוא כבר דבר נדוש וחבוט.

נמרוד קוזלובסקי: אמנת בודפשט הוזכרה בכנסת עשרים פעם.

נמרוד קוזלובסקי: היא חיונית כי אחרת כל חקירת מחשבים, כפי שאמר חיים ויסמונסקי מהפרקליטות, תסוכל.

רונית תירוש: תודה רבה.

רונית תירוש: אמנת בודפשט תידון ביום רביעי הקרוב במשרד החוץ.

רונית תירוש: גונב לאוזניי שיש בעיה תקציבית.

רונית תירוש: אני מקווה שזה באמת לא יהיה נימוק, ושאנחנו נתבשר שאכן אנחנו חותמים על האמנה.

רונית תירוש: שני, ראש המטה להקמת רשות הסייבר, בבקשה.

שני שרביט: ראש מינהלת ההקמה של מטה הסייבר הלאומי, מטה הקיברנטי הלאומי.

שני שרביט: מטה, לא רשות.

שני שרביט: ראשית, חשוב לנו מאוד להדגיש שאנחנו מצטרפים למה שנאמר כאן על-ידי סגן החשכ"ל לגבי זה שאירועים כאלה קורים בעולם.

רונית תירוש: זה אומר שהרשות תהיה קיימת לעולם ועד.

שני שרביט: לא לשם זה אמרתי את זה, בוודאי לא לטובת איזושהי צפירת הרגעה.

שני שרביט: כמה אנשים דיברו על המודעות הציבורית.

שני שרביט: היא בהחלט איזשהו פרודקט של האירוע הזה.

שני שרביט: חשוב להדגיש - בסוף בסוף, מי שמבין בהגנה יודע להגיד שלא שמים קו הגנה אחד.

שני שרביט: אף אחד לא מטיל על האזרחים את כל האחריות לכל מה שקורה, ואומר: איך לא עשיתם עד עכשיו מבלי שאף אחד הסביר לכם?

שני שרביט: ברור שאחד התפקידים של המטה הוא שהוא הולך לעסוק גם בהסברה וגם בהעלאת המודעות הציבורית ובמתן כלים לאזרחים איך באמת נכון להתגונן כחלק מאותם כלים שצריך כדי להצליח להגן על מדינת ישראל ברמה טובה יותר.

שני שרביט: לא תהיה הגנה מקסימאלית.

שני שרביט: אנחנו יודעים, האירועים האלה יקרו.

שני שרביט: אי-אפשר למנוע בצורה טוטאלית את הקיום שלהם.

רונית תירוש: זה ברור.

שני שרביט: המטה הוא גוף מטה לצד ראש הממשלה, הממשלה והוועדות שלה.

שני שרביט: זה לא גוף ביצוע.

שני שרביט: התפקיד שלו לא יהיה לחקור אירועים מהסוג הזה.

שני שרביט: יש גופים שזה התפקיד שלהם, והם צוינו כאן.

שני שרביט: ביקשת להדגיש האם זה גוף שהוא מעל הגופים האחרים.

שני שרביט: כדי לנסות להסדיר קצת את השאלה מי אחראי על מה, אתן כמה מילים על כך.

שני שרביט: כמו כל התפקידים של משרד ראש הממשלה, הוא לא מעל משרדים אחרים.

שני שרביט: אבל, הוא כן גוף שמייעץ לממשלה על המדיניות הקיברנטית הנדרשת במדינת ישראל.

שני שרביט: ואחר כך, באמצעות מה שהממשלה מחליטה, מוודא שאכן החלטות הממשלה מיושמות, ושאכן הגופים פועלים כנדרש על מנת לקדם את ישראל למקום הנכון יותר.

שני שרביט: אחד התפקידים המרכזיים של המטה, וזה מה שנעשה בחודשים הקרובים – אגב, בלי יום חסד אחד – זה הסדרה של התחום הזה במדינת ישראל.

שני שרביט: יש היום תשתיות קריטיות לאומיות במדינת ישראל שהן מטופלות, וכפי שצוין פה, על-ידי הרשות הממלכתית לאבטחת מידע, הן מונחות.

שני שרביט: יש הנחייה של תחום אבטחת המידע והסייבר בגופים האלה.

שני שרביט: יש חלקים שלמים במדינת ישראל שצריכים לראות כיצד, איזה גוף ובאיזה שיטה הולכים לטפל גם בהם.

רונית תירוש: בעיקר האזרחי.

שני שרביט: בדיוק, החלקים האזרחיים, החלקים שקשורים יותר במגזר הפרטי.

שני שרביט: צריך לראות כיצד מדינת ישראל הולכת לטפל גם בהם.

שני שרביט: כשאני אומרת "טיפול", זה לא אומר שהם יקבלו את אותה רמת טיפול שמקבלות אותן תשתיות קריטיות במדינת ישראל, עיין ערך: חשמל ומים, אלא עלו כאן מגוון של אפשרויות שקשורות בחקיקה, בתקינה, בהסדרה, במתן כלים שהם לאו דווקא הכלים שניתנים היום בחלקים האחרים.

שני שרביט: עלו כאן הרבה רעיונות.

שני שרביט: אבל, בסוף המטה הזה הולך לעשות בחינה מעמיקה של מה נכון לקדם, באיזה שיטה נכון לקדם, באיזה חלק במדינת ישראל מה נכון לעשות.

שני שרביט: וכן, בהחלט לפעול בשיטה של שיתוף פעולה מתקדמת שמשלבת גם את האקדמיה, גם את התעשייה, גם את הממשלה, גם את משרדי הממשלה, וגופי הביטחון הנדרשים, כדי להצעיד את מדינת ישראל למקום טוב יותר בטווח של כמה שנים, כך שהיא תהיה בקדמת הבמה.

שני שרביט: ברמה הבין-לאומית היא נמצאת כבר במקום טוב, ונכון שהיה תהיה במקום נכון, מתקדם יותר.

שני שרביט: לגבי שיתופי פעולה – אין ספק שזו הולכת להיות שיטת פעולה של המטה, כך הוא הולך לעבוד.

שני שרביט: מי שהגה את המטה על-פי בקשת ראש הממשלה - ראש הממשלה הטיל על פרופסור איציק בן-ישראל לעשות עבודה בנושא הזה, והוא זה שהקים את המיזם הקיברנטי.

שני שרביט: אני יודעת שהוא הציג את זה כאן בפני הוועדה.

שני שרביט: חשוב להגיד בסוף שהצמא שהוצג כאן סביב השולחן הוא צמא שאנחנו מכירים אותו.

שני שרביט: הוא בא לידי ביטוי גם באותה ועדת המיזם הקיברנטי שאני מניחה שעמיתיי כאן ירצו להדגיש לגביה.

שני שרביט: זהו צמא שאנחנו מודעים לו.

שני שרביט: אנחנו לא לוקחים לעצמנו יום חסד אחד – חשוב להגיד את זה.

שני שרביט: אנחנו עכשיו בשלבי הקמה.

שני שרביט: ד"ר אביתר מתניה אמור להציג כאן בעוד זמן כשיהיו לנו תוכניות קורקטיות, זה לא אומר שאנחנו לא נמצאים כבר עכשיו בשלב שבו אנחנו מנסים להבין לאן אנחנו הולכים עם הדברים.

רונית תירוש: זה יהיה בעוד חודשיים.

רונית תירוש: תודה רבה.

רונית תירוש: הייתי מעוניינת לשמוע נציג של חברות האשראי.

רונית תירוש: אתם לא נרשמתם.

רונית תירוש: השיטה פה היא להירשם אם רוצים.

רונית תירוש: אבל, אני בכל זאת אשמח לשמוע.

גיל טופז: גיל טופז, סמנכ"ל סיכום ב-כ.א.ל.

גיל טופז: האתרים שנפרצו לא היו אתרים של חברות כרטיסי האשראי או של בנקים, אלא הם היו אתרים רגילים.

גיל טופז: נפרצו אתרי קופונים, נפרץ אתרONE שהוא בכלל לא אתר שמוכר משהו.

גיל טופז: כלומר, הוא לא סולק עם אף אחת מחברות כרטיסי האשראי.

גיל טופז: לא היינו איתו בשום חוזה, ולמיטב ידיעתי גם חברות כרטיסי האשראי האחרות לא.

גיל טופז: כלומר, לא היה לנו שום מגע איתו כדי לוודא שהוא נמצא באיזשהו תקן של אבטחת מידע.

יוליה שמאלוב-ברקוביץ: אבל, השתמשו באתר.

גיל טופז: לא, לא השתמשו בו.

גיל טופז: הוא אסף מידע כי הוא החליט לאסוף מידע.

גיל טופז: אני לא יודע למה, אני לא מכיר את השיקולים שלו.

גיל טופז: מעבר לזה, כאשר ניתחנו את הקובץ, ראינו שמתוך 400,000 רשומות בקובץ, 15,000 כרטיסי אשראי.

גיל טופז: מעבר לזה, היו שם תעודות זהות, כתובות אי-מייל ודברים אחרים שלטעמי הם יותר חמורים, הואיל ושעתיים לאחר שהמקרה הזה פורסם כל כרטיסי האשראי היו לא רלוונטיים.

גיל טופז: אנחנו חסמנו אותם, ואי-אפשר היה לעשות בהם יותר שום שימוש.

רונית תירוש: אני רוצה לברך על המהלך המאוד מהיר ומרגיע שעשיתם.

רונית תירוש: חסמתם, אבל גם הודעתם ששום נזק כספי לא ייפול על מי שנפגע.

רונית תירוש: מבחינה זו, אני חושבת שפעלתם מאוד נכון.

רונית תירוש: מהבחינות האחרות של לומר: הנה, עכשיו אנחנו מחפשים את אותו האקר סעודי – אנחנו חיים בריאליטי.

רונית תירוש: הסיפור הזה הוא אסון טבע.

רונית תירוש: אנחנו יוצאים למלחמה עם פלזמה.

רוברט טיבייב: השאלה היא האם נגרם נזק או לא לבעלי כרטיסי האשראי?

גיל טופז: אפס.

יורם הכהן: לא נגרם נזק כספי, נגרם נזק גדול מאוד לפרטיות עם פוטנציאל של גניבת זהות, ועבירות פליליות אחרות.

יורם הכהן: אבל, במובן הכספי לא נגרם נזק.

גיל טופז: אני מסכים עם מה שאומר יושב-ראש הרשות.

גיל טופז: הנזק הגדול הוא לפרטיות.

גיל טופז: מספר כרטיס האשראי פה הוא לא נושא בכלל.

גיל טופז: אני חושב שמי שמספר תעודת הזהות שלו נחשף צריך להיות הרבה יותר חרד.

רונית תירוש: תעודת זהות אי-אפשר להחליף, ביומטרי אי-אפשר.

רונית תירוש: כרטיס אפשר.

גיל טופז: נכון.

גיל טופז: אגב, גם נושא כתובות המייל, שאחר כך אפשר להיכנס לאתרי הפייסבוק, וכולנו יודעים מה יש שם.

גיל טופז: למעשה, לא נגרם כאן שום נזק פיננסי במובן הזה מהאספקט של כרטיסי האשראי.

גיל טופז: לגבי הבהלה, או אולי התקשורת בחרה להציג את זה כך כי זה יותר סקסי, ואנחנו עכשיו התכנסנו לדיון על ההאקר הסעודי, וגם פתחת שנפרצו אתרי כרטיסי אשראי.

גיל טופז: אני חושב שכרטיסי האשראי - ואני לא אומר את זה מהמקום האינטרסנטי, אלא מהמקום של האזרח שחי פה - זה באמת לא הנושא.

גיל טופז: כמו שאמרתי, שעתיים אחר כך כרטיסי האשראי היו לא רלוונטיים.

גיל טופז: בפועל, אף אחד ממחזיקי כרטיסי האשראי לא קיבל נזק.

גיל טופז: אמרתי, ואני רוצה להדגיש שוב, יש אלפי אתרים בארץ שלא מקבלים פרטי כרטיסי אשראי, והם עדיין שומרים מידע.

גיל טופז: הם שומרים תעודות זהות, הם שומרים כתובות אי-מייל, והם שומרים כל מיני דברים אחרים.

רונית תירוש: אנחנו חוזרים כל הזמן לאותה בעיה של שמירה על פרטים מזהים שלנו שהנזק או האיום בצידם הוא מאוד מאוד גדול.

גיל טופז: נכון.

גיל טופז: אני רוצה לומר דבר נוסף.

גיל טופז: נושא פריצת אתרים הוא נושא שקיים בעולם כל הזמן, כל יום.

גיל טופז: אני השתתפתי בכמה סדנאות בין-לאומיות של חברות כרטיסי אשראי שמדברות על נושא של גניבות כרטיסי אשראי.

גיל טופז: אנחנו עוסקים בזה כבר שנים.

גיל טופז: אני יכול להגיד שרוב רובם של המקרים – אגב, בעולם, לא רק בארץ – למעלה, מ-90% מהמקרים שבהם האתרים נפרצים, הם נפרצים בגלל שאין שם אבטחת מידע.

גיל טופז: חשוב לומר שמי שמנסה להגיע לפרטי מידע רגישים כדי לעשות בהם איזשהו שימוש לתועלתו, הוא לא מחפש דווקא את האתגר הטכנולוגי.

גיל טופז: הוא מחפש את המידע, והוא ילך לאתרים הלא מאובטחים.

גיל טופז: לכן, אנחנו צריכים לטפל בהעלאת הסטנדרט פה בארץ של אבטחת המידע.

גיל טופז: אולי אי-אפשר יהיה להגיע ל-100% של הגנה, אבל אם אנחנו נגיע ל-90% או 95% הגנה, כפי הנראה הוא ילך לדלת של השכן.

גיל טופז: ואם זה לא יהיה בארץ אז זה טוב.

רונית תירוש: גיל, תודה רבה.

רונית תירוש: חבר הכנסת רוברט טיבייב.

רוברט טיבייב: תודה רבה, גברתי היושבת-ראש.

רוברט טיבייב: שאלה לי אלייך, כמה ניסיונות פריצה היו לחברה שלך, באיזה סדרי גודל?

רוברט טיבייב: האם הפריצות הן בשבוע, בחודש?

גיל טופז: אתה מדבר על ניסיונות הפריצה ל-כ.א.ל?

רוברט טיבייב: כן.

גיל טופז: לכ.א.ל, אני לא יודע.

גיל טופז: מעולם לא נפרץ לנו.

גיל טופז: אין לי את הנתון להגיד כזה דבר.

רוברט טיבייב: היו ניסיונות?

גיל טופז: אני לא עוקב אחרי ניסיונות הפריצה לחברה שלי.

רוברט טיבייב: זאת אומרת, כמו שאני מבין מהתשובה שלך, לא היו ניסיונות בכלל של פריצה בחברת כ.א.ל.

גיל טופז: אני מעריך שהיו.

גיל טופז: אבל, אני לא יודע לתת לך מספר כזה.

גיל טופז: בפועל, לא - - -

רונית תירוש: אם נעשה חקיקה שחברות תחויבנה להודיע על פריצות לאתרים שלהן אז נדע.

גיל טופז: לא.

גיל טופז: אני יודע שלא היתה לנו פריצה, לא היתה אלינו פריצה.

גיל טופז: אתה שואל על ניסיונות פריצה.

גיל טופז: אין לי מושג לגבי הניסיונות.

גיל טופז: אבל, פריצות בפועל מעולם לא היו לנו.

רונית תירוש: אני לא רוצה למשוך את הדיון מעבר ל-13:30 - לפחות לשאוף לכך - ויש לנו עוד כמה דוברים.

רונית תירוש: אני ממש מבקשת למקד ולנסות לדבר פרקטית.

רונית תירוש: הדיון היה חשוב, והבנתי כמה דברים שחזרו על עצמם, ובסוף אסכם את זה.

רונית תירוש: אם יש להוסיף על זה דברים פרקטיים, אני אשמח.

רונית תירוש: אנחנו נשמע קודם את עו"ד יהונתן קלינגר.

רונית תירוש: לאחר מכן את ארז מטולה, ויש לי עוד ארבעה לפחות, שי חיימוביץ מייד.

יהונתן קלינגר: אני רוצה להגיד שני דברים שעד עכשיו לא נאמרו.

יהונתן קלינגר: אני כמובן חוזר על כל הדברים הטובים שאמרו עד עכשיו.

יהונתן קלינגר: דיברנו רק על אבטחת מידע באינטרנט, ועל מאגרים ממוחשבים.

יהונתן קלינגר: אף אחד לא שאל: מה קורה עם הפיצרייה השכונתית שלה אנחנו נותנים בטלפון גם כרטיס אשראי, איך אנחנו אוכפים את היכולת שלנו לדעת שהבחור בפיצרייה לא לוקח את הכרטיס גם כן, וששם יש נהלים של אבטחת מידע.

יהונתן קלינגר: צריך לזכור, גם שם יכולים לגנוב, וגם שם יכולים לפרוץ.

יהונתן קלינגר: אולי לא האקרים סעודים, אבל ארגוני פשע ישראלים.

יהונתן קלינגר: אני לא מדבר על זה שהלקוח לא ניזוק.

יהונתן קלינגר: אבל, יש נזק.

יהונתן קלינגר: הדבר השני הוא על מה שאנחנו קוראים לו מספר תעודת זהות.

רונית תירוש: לא צריך לתת תעודת זהות כשאני קונה פיצה.

יהונתן קלינגר: לא צריך לתת תעודת זהות בשביל להעביר את עסקת האשראי בכלל.

קריאה: לא, זה לא מדויק.

קריאה: בתחנת דלק אנחנו משתמשים בתעודת זהות.

יהונתן קלינגר: לא מדויק?

יהונתן קלינגר: השאלה היא האם אפשר לאסור, לא על חברות האשראי, אלא על גורמים אחרים לבקש מידע שהוא לא ניתן להחלפה?

רונית תירוש: שאלה מצוינת.

רונית תירוש: לא ניתן תשובה כרגע.

רונית תירוש: אבל, אני בסיכום אבקש תשובה.

רונית תירוש: זה הפרט הכי מזהה.

יהונתן קלינגר: ברור, וזו השאלה שצריכה לעלות כאן:

יהונתן קלינגר: האם אפשר לאסור על אגירה של מידע מסוים שהוא מיותר?

רונית תירוש: אני מודה לך.

רונית תירוש: כדרכך, אתה ממוקד מאוד.

רונית תירוש: ארז, בבקשה.

ארז מטולה: תודה רבה.

ארז מטולה: שמי ארז מטולה, ואני מומחה אבטחת אפליקציות.

ארז מטולה: הייתי רוצה לחשוף קצת מהכיוון שלי כיצד אני רואה את הדברים.

ארז מטולה: קודם כל, אני חושב שאנחנו מתמקדים יותר מידיי ברטוריקה של עכשיו, ומה אנחנו צריכים לעשות, ואיך לגלגל את זה לחברות עצמן, ומה האזרח צריך לעשות וכו'.

ארז מטולה: אני חושב שאנחנו צריכים להסתכל קצת יותר קדימה.

ארז מטולה: אני חושב שצריכים להסתכל לא עוד חודש קדימה ולא עוד שנה קדימה, אלא אנחנו צריכים להסתכל עוד שלוש-ארבע שנים קדימה.

ארז מטולה: צריך גם לראות היכן הבעיה מתחילה.

ארז מטולה: לדעתי, הבעיה מתחילה מאלה שבונים את האתרים האלו, בסופו של דבר, ואת אותן מערכות, כי כאן הבעיה נולדת.

ארז מטולה: הבעיה נולדת מאותו אדם שעכשיו כותב את הקוד, ועכשיו מרים את המערכת, ושעכשיו הוא אחראי על אתר מסוים, והוא פשוט לא יודע מה הוא צריך לעשות.

ארז מטולה: כמובן שאי-הידיעה מה הוא צריך לעשות, במקרים מסוימים היא פשע.

ארז מטולה: אבל, אני בא מכיוון אחר.

ארז מטולה: אני מסתכל על זה ברמה האקדמית.

ארז מטולה: היום כל בוגר אקדמאי תואר ראשון במדעי המחשב, בין אם הוא למד באקדמיה, ובין אם הוא למד במכללה, או בכל מקום אחר – אין לו בקוריקולום אבטחת מידע, ומפה מתחילה הבעיה.

ארז מטולה: הבעיה מתחילה בכך שכאשר אדם הולך להקים את המערכת שלו, הוא יודע לכתוב כך שהיא תהיה יעילה, והוא יודע לכתוב אותה מבחינת Software Engineering הכי טוב שיהיה, ואנחנו ידועים כאנשים טובים בתחום.

ארז מטולה: אבל, מבחינת אבטחה, אם הוא לא בחר את הקורס הזה כקורס בחירה, לא יהיה לו את הידע הזה.

ארז מטולה: אולי הפתרון הוא לא כאן בכנסת, אלא הפתרון מתחיל מהאקדמיה, או במוסד להשכלה גבוהה, או מל גוף אחר שצריך לדאוג לכך בתוכניות הלימוד יהיה קורס חובה באבטחת מידע.

ארז מטולה: אני מסתכל על זה כמו שאני מסתכל על כל אזרח היום.

ארז מטולה: גם אם הוא לא עוסק באבטחה יום יום, הוא עבר צבא, מכיר את המונחים הכי בסיסיים.

ארז מטולה: הוא עבר בטירונות הכי בסיסית, והוא יודע להחזיק נשק.

ארז מטולה: כישראלים יש לנו את הידע הזה באבטחה פיזית.

ארז מטולה: אני חושב שכל אזרח צריך לדעת את הדברים הבסיסיים באבטחת מידע מחשובי.

ארז מטולה: תודה.

רונית תירוש: אני מודה לך מאוד.

רונית תירוש: שי חימוביץ מהמלמ"ב.

רונית תירוש: מה זה מלמ"ב?

שלי יחימוביץ': הממונה על הביטחון במערכת הביטחון במשרד הביטחון.

שלי יחימוביץ': הוזכרה פה מערכת הביטחון בכמה משפטים על-ידי חלק מהדוברים.

שלי יחימוביץ': אני לא רואה פה כרגע עמיתים שלי מגופי ביטחון אחרים.

שלי יחימוביץ': אבל, מערכת הביטחון יודעת להגן על עצמה.

שלי יחימוביץ': למערכת הביטחון יש אמצעים ייחודיים ואמצעים אקטיביים, ואפשר לדבר מפה ועד הודעה חדשה על הדברים ועל ההשקעה.

שלי יחימוביץ': ראשית, אני לא חושב שההשקעה שמבצעת רפא"ל בהגנה על עצמה, נכון להטיל אותה על "הריבוע הכחול", או על כל מיני גופים אחרים.

שלי יחימוביץ': שנית, האירוע הזה הוא לא אירוע ביטחוני, אלא הוא אירוע פלילי.

שלי יחימוביץ': אם יהיה אירוע כזה ביטחוני אז יש גופי ביטחון.

שלי יחימוביץ': אני לא זיהיתי פה את עמיתיי שאמורים לעשות את זה.

שלי יחימוביץ': אבל, יש גופי ביטחון שאמורים להגן על המדינה בפני אירועים כאלה, והם מתעסקים בגופים קריטיים.

שלי יחימוביץ': אם יוחלט שיהיה איזה גוף במדינה – וזה לא משנה אם זו תהיה המשטרה, או השב"כ, אבל מישהו שצריך להגן על אזרחי המדינה בפני אירוע כזה – אז זה מייצר בעיה של פרטיות.

שלי יחימוביץ': אף אחד לא חושב שהמשטרה צריכה להגן עלינו ביום יום, בלי שום קשר לסייבר, בלי להיות נוכחת ברחוב.

שלי יחימוביץ': אם ירצו שאיזשהו גוף יגן עלינו מהסייבר, הוא יצטרך להיות שם.

שלי יחימוביץ': אני לא יודע אם כולנו היינו שמחים ששירות הביטחון או המשטרה ישבו לנו על החוט, ויראו מה אנחנו עושים במטרה להגן עלינו.

יוליה שמאלוב-ברקוביץ: לא הבנתי מה אתה אומר.

יוליה שמאלוב-ברקוביץ: אתה בעצמך אמרת שהשוטרים מסתובבים ולא בהכרח עשינו משהו.

שלי יחימוביץ': אני אומר שזה עניין של השקעה.

שלי יחימוביץ': השוטרים מסתובבים ביום יום ושומרים שלא יגנבו אותנו, ושלא יעשו לנו רע.

שלי יחימוביץ': אבל, הם לא יושבים לנו על החוט ורואים מה אנחנו עושים באינטרנט.

יוליה שמאלוב-ברקוביץ: האם עדיף שסעודי יראה מה אנחנו עושים?

יוליה שמאלוב-ברקוביץ: תסביר לי את האיזונים.

שלי יחימוביץ': אני לא חושב שעדיף שסעודי יראה.

יוליה שמאלוב-ברקוביץ: לפחות שהמשטרה שלנו תסתכל, לא סעודי.

שלי יחימוביץ': מאה אחוז.

שלי יחימוביץ': אם הציבור יקבל את זה שזה בסדר שהמשטרה יושבת על החוט ורואה מה כל אחד עושה באינטרנט או מה מגיע לו באינטרנט, אז זו החלטה ציבורית.

נמרוד קוזלובסקי: למה צריך את זה?

נמרוד קוזלובסקי: מאיפה מישהו הציע פה לשבת על החוט?

נמרוד קוזלובסקי: אף הצעה פה לא דיברה על ישיבה על החוט, היא לא נדרשת.

נמרוד קוזלובסקי: אתה צודק בוודאי שאם המשטרה היתה יושבת על החוט היינו הראשונים לקפוץ לגבי האיזונים לזכויות אדם והבקרות.

נמרוד קוזלובסקי: אף אחת מההמלצות פה לא דיברה לשבת על החוט.

נמרוד קוזלובסקי: כמו שאמר בצדק ארז מטולה, כשבונים אתרים בלי רמת אבטחה בסיסית, ובלי להכניס בהם את זה, ואף אחד לא עושה על זה בדיקה.

נמרוד קוזלובסקי: לאחר מכן מגלגלים את הסיכון על הציבור שהמידע שלו שם חשוף.

נמרוד קוזלובסקי: אנחנו לא מדברים על ישיבה של המשטרה על החוט, ולא לבצע שום האזנות כתוצאה מכך.

נמרוד קוזלובסקי: בסך הכול, מבנה תמריצים בסיסי.

נמרוד קוזלובסקי: להיפך, זו חקיקה מאפשרת פרטיות כי היא חקיקה שמגדירה את רמת האבטחה שתהיה על פרטיותנו.

נמרוד קוזלובסקי: אני לא ישיבה מאיפה הישיבה על החוט הזה הגיעה לכאן.

שלי יחימוביץ': הבנתי, אבהיר.

שלי יחימוביץ': אם אחזור לדבריו של אבי וייסמן – יש כמה גופים שצריכים לשאת בנטל.

שלי יחימוביץ': זה יתחיל באזרח הקטן שצריך להיזהר, הגופים שצריכים לשמור על מה שיושב אצלם, ובאיזשהו מקום גם המדינה.

שלי יחימוביץ': הגופים ישמרו על מה שנמצא אצלם – זה בסדר.

שלי יחימוביץ': אבל, השמירה הזאת היא מוגבלת.

שלי יחימוביץ': זה שהאדם ייזהר במה שהוא עושה, גם זה בסדר.

שלי יחימוביץ': אבל, גם זה מוגבל.

שלי יחימוביץ': בסופו של דבר, אם יחשבו שזה דבר שנצרך, אז שאיזשהו גוף ממשלתי יסייע, וייקח את השכבה שלו בדבר הזה.

שלי יחימוביץ': לגבי זה שגופים יעשו אבטחת מידע ראויה – אפשר לשאול מה זה אבטחת מידע ראויה?

שלי יחימוביץ': אם מישהו הזמין בדיקת חדירות, ובדיקת החדירות יצאה תקינה שלא היתה חדירה, כדאי שיחליף את מי שעשה לו בדיקת חדירות.

שלי יחימוביץ': כל אתר שיאובטח באמצעים סבירים ייפרץ באמצעים שהם קצת גדולים מהסביר.

שלי יחימוביץ': כולם צריכים לשאת בשכבות שלהם.

שלי יחימוביץ': כל עוד לא תהיה הגנה בכל השכבות, אז אנחנו נישאר עם אירועים כאלה.

יוליה שמאלוב-ברקוביץ: אני מבינה שאתה מייצג פה את השב"כ.

שלי יחימוביץ': לא, לחלוטין לא.

שלי יחימוביץ': מלמ"ב - אבטחת מערכת הביטחון.

שלי יחימוביץ': האירוע לא בטחוני.

יוליה שמאלוב-ברקוביץ: אני לא הבנתי את ההצעה שלך.

יוליה שמאלוב-ברקוביץ: האם אתה ממליץ שאתם תטפלו בזה?

שלי יחימוביץ': לא, לא.

שלי יחימוביץ': לחלוטין לא.

יוליה שמאלוב-ברקוביץ: האם אתה כבר אומר: עלינו אל תבנו?

יוליה שמאלוב-ברקוביץ: לא הבנתי.

שלי יחימוביץ': קודם כל, עלינו אל תבנו.

שלי יחימוביץ': זה לא בתחום האחריות שלנו לחלוטין.

יוליה שמאלוב-ברקוביץ: ואם הכנסת תחוקק חוק שאתם תעשו את זה?

יוליה שמאלוב-ברקוביץ: לפי מה שאני שומעת כרגע, אתה אומר: עליי אל תבנו.

שלי יחימוביץ': זה לא בתחום האחריות שלנו.

שלי יחימוביץ': אנחנו מאבטחים את מערכת הביטחון.

יוליה שמאלוב-ברקוביץ: גברתי היושבת-ראש, מה שאת עושה מאוד מבורך וגם השידור הזה.

יוליה שמאלוב-ברקוביץ: כנציגת ציבור, מאוד מטריד אותי נושא הפרטיות של בני אדם.

יוליה שמאלוב-ברקוביץ: אבל, יותר מטריד אותי הביטחון האישי שלנו, ביטחון באופן כללי.

יוליה שמאלוב-ברקוביץ: מחר מישהו יכול להיכנס ולכבות לנו את כל החשמל, ויכול להיות שייזרקו פצצות מהאחד לשני.

יוליה שמאלוב-ברקוביץ: כשאני שומעת אותך, נראה לי שאנחנו צריכים אולי ללכת כמה צעדים קצת קדימה, כי בעיקר מטריד אותי שאני מחר לא אשלח איזושהי פצצה על עצמי דרך איזשהו האקר.

יוליה שמאלוב-ברקוביץ: לכן, כשאתה בא ואומר: עליי אל תבנו, אני קצת מודאגת.

יוליה שמאלוב-ברקוביץ: אולי צריך לעשות ישיבה נוספת, אולי צריך לפתוח את זה.

יוליה שמאלוב-ברקוביץ: אבל, זה מה שקצת מדאיג אותי.

רונית תירוש: איך אני אגיד את זה בעדינות?

רונית תירוש: תלווי אותי מתחילת הישיבה אז תהיי קצת יותר רגועה, או יותר מבולבלת.

רונית תירוש: אנחנו בהחלט דנו בזה.

רונית תירוש: גם בדברי הסיכום אדבר על הדברים.

רונית תירוש: יש פה הרבה מאוד גורמים ציבוריים שהם מאובטחים לטוב או לרע - אני לא יודעת באיזה מידה.

רונית תירוש: אבל, יש מי שמטפל בהם.

רונית תירוש: ד"ר קוזלובסקי מדבר על הבטן הרכה האזרחית, ושם אנחנו פחות מאובטחים.

רונית תירוש: אני כל הזמן מנסה להבין מי ייקח עלינו את האחריות ברזולוציות הרבה יותר נמוכות, ואיזה טלפון אדום יהיה לי כך שאני אוכל לחייג אליו במידה ותהיה לי שאלה לגבי טיסה לפריס או לגבי קנייה של שמלה, האם האתר הזה מאובטח, או האם אני צריכה לתת תעודת זהות או קוד סודי כזה או אחר, או מספר נעליים.

רונית תירוש: כל הדברים האלה הם בדיוק הדברים שאנחנו התייחסנו אליהם במהלך הישיבה המאוד הארוכה הזאת, ונמשיך להתייחס.

רונית תירוש: אני בסוף אסכם.

רונית תירוש: אני ממש עושה לי פירמידה פה, ואנסה מכל המכלול לצאת עם איזושהי מסקנה ועם איזשהן החלטות.

רונית תירוש: מה שברור הוא שיש פה מקום לחקיקה, ואנחנו בוודאי נשתף פעולה בעניין.

יוליה שמאלוב-ברקוביץ: בסיכום שלך הייתי רוצה לדעת האם אני יכולה להיות רגועה, מעבר לבטן הרכה עליה הוא מדבר, לגבי ביטחונה של מדינת ישראל?

יוליה שמאלוב-ברקוביץ: האם בקטע הזה אני יכולה להיות רגועה?

רונית תירוש: לא.

רונית תירוש: הדבר היחיד בו את יכולה להיות בטוחה הוא שמכל אומות העולם יש פה ריכוז של מוח יהודי הי-טקיסטי ברמה גבוהה.

רונית תירוש: אנחנו צריכים להיות מנותב למקומות הנכונים.

יוליה שמאלוב-ברקוביץ: ועדיין סעודי פרץ.

יוליה שמאלוב-ברקוביץ: הוא בטח יהודי.

רונית תירוש: רק עכשיו מסרו לי כי פורסם היום ש"אנונימוס" פרסמה אלפי כתובות מייל, סיסמאות מוצפנות ומידע אישי של בכירים בצבא ארצות-הברית, בריטניה ונאט"ו.

רונית תירוש: אז עדיף לחיות פה.

רונית תירוש: אבל, אנחנו לקראת סיום ואני לא רוצה לפספס, גיל ארתר מחברת סליקה גדולה.

גיל ארתר: שלום, אני סמנכ"ל בחברת סליקה גדולה.

גיל ארתר: אני מייצג את ספק השבא.

גיל ארתר: יש 140 כאלה בישראל לפחות.

גיל ארתר: אנחנו אחד מהם, אנחנו גדולים.

רונית תירוש: החלטת לדבר כשאמרתי שלא נעשה מסחר אלקטרוני.

גיל ארתר: לא, לא.

גיל ארתר: אנחנו מעבירים מיליוני עסקאות.

גיל ארתר: אני מדבר על הפתרון.

גיל ארתר: הפתרון החל כבר לפני מספר שנים.

גיל ארתר: הפתרון הוא תקן PCI.

גיל ארתר: התקן ברמה הכי גבוהה שלו הוא תקן שלוקח את האחריות על אחסון הנתונים על חברות הסליקה.

גיל ארתר: כרגע יש מספר חברות סליקה שעומדות בתקן הזה.

גיל ארתר: אם נתמקד באתר האינטרנט, דף הסליקה של אתר האינטרנט הוא של חברות הסליקה.

גיל טופז: איך היית פותר את החדירה ל-ONE?

גיל טופז: הוא לא סולק.

יורם הכהן: והשאלה היא האם זה חל גם על מידע אישי, מעבר לפרטי כרטיסי אשראי?

קריאה: ה-PCI לא מתאים למידע אישי.

גיל ארתר: בואו נתמקד כרגע באשראי, ונוכל לדבר גם על הפרטים אישיים.

קריאה: - - -פה יש פתרון, וחברות האשראי עושות את הפתרון.

גיל ארתר: בנוגע לדף האבטחה, הדף הזה הוא של חברות הסליקה.

גיל ארתר: אני מציע שיהיה שם אייקון קבוע של תקן.

גיל ארתר: האייקון הזה יוביל למסמיך, לשרת של המסמיך עצמו.

גיל ארתר: בעבר שתאריך ההסמכה עבר, תקפוץ הודעה וזה יועבר במסגרת החוק לרגולטור, והוא יורשה לעשות מה שצריך לעשות במסגרת החוק.

גיל ארתר: לצרכן – יכולים לפרסם איזושהי שיקופית כמה דקות, ויסבירו על האייקון הזה שנמצא בכל אתר.

גיל ארתר: הצרכן ילמד את זה לאט לאט.

גיל ארתר: בנוגע לפרטים הרגישים, ובנוגע לאתר שלא סולק – אתר שלא סולק, חברת האשראי תפקח עליו ותראה שהוא לא - - -

קריאה: אתר שהוא לא סולק.

קריאה: ילד יחליט להרים אתר ולאסוף כתובות, אני צריך ל - - -

גיל ארתר: שוב, הוא צריך לעמוד בתקן.

גיל ארתר: אם הוא לא עומד בתקן - - -

קריאה: אתה מציע שחברות האשראי יפקחו על אתר להיכרויות?

גיל ארתר: יש לך שתי אפשרויות של עמידה בתקן: או שזה חברת סליקה שכאלו יש במספר גדול בישראל, או שזה בתי עסק גדולים.

גיל ארתר: ברגע שזה בית עסק גדול שרוצה לעמוד בתקן, אם הוא לא עומד בתקן הוא לא יורשה להחזיק פרטים אישיים.

גיל ארתר: יש תקן נוסף שאפשר להוציא אותו במקביל, אותה דרך בדיוק עם מסמיך, שזה תקן לפרטים לרגישים – אייקון.

גיל ארתר: אותו אייקון נמצא באותו מקום שנותן אפשרות לרגולציה לפקח על הפרטים הרגישים שמאוחסנים באתר.

גיל ארתר: האתר לא מאחסן את הנתונים הרגישים.

גיל ארתר: מי שמאחסן את הנתונים הרגישים היא החברה שמוסמכת לאפסן את הנתונים הרגישים - זה הכול.

גיל ארתר: אם זה חברה גדולה אז החברה צריכה לעמוד בתקן עצמו ולאחסן את הנתונים הרגישים.

רונית תירוש: אני רוצה להבין.

רונית תירוש: תקומנה מספר חברות שהוסמכו להוות מאגר של נתונים.

גיל ארתר: חברות סליקה, ספקי שבא.

רונית תירוש: חברות סליקה זה חברות אשראי, לא?

נמרוד קוזלובסקי: יושבת-ראש הוועדה, יש פה ערבוב בין דברים.

נמרוד קוזלובסקי: ההצעה היא מאוד נכונה לגבי סליקה, ואני חושב שההצעה המוצעת פה לחייב ב-PCI בשביל לאבטח ברמת הסליקה היא הצעה חכמה ונבונה.

נמרוד קוזלובסקי: היא לא פתרון לפרטים האישיים.

נמרוד קוזלובסקי: חס וחלילה שנקבע לנו שיהיו מספר גופים במשק שרק הם הופכים להיות מאגרי מידע ענקיים שבהם אוספים את כל הפרטים של האתרים.

נמרוד קוזלובסקי: אולי ההצעה לכנסת היא שרמו"ט תוסמך לא רק להגנה על הפרטיות, אלא להגנת אבטחת מידע בכלל בסקטור הפרטי.

נמרוד קוזלובסקי: יש גוף מקצועי שיכול לעשות את זה.

גיל ארתר: החוק עוטף את שני הנושאים האלה: אייקון אחד לאשראי, אייקון אחד לפרטים אישיים.

רונית תירוש: אתם תעזרו לי בסיכום אם פספסתי התייחסות.

אסף ויסברג: אני חייב להתייחס פה.

אסף ויסברג: אני אסף ויסברג, סגן נשיא ISACA.

אסף ויסברג: ההתייחסות תהיה קצרה מאוד.

אסף ויסברג: כל הזמן נעים פה בין הצד של פרטים אישיים לצד של כרטיסי האשראי.

אסף ויסברג: אם מסתכלים על חוק הגנת הפרטיות, להבנתי לפחות, חוק שנחקק ב-1981, אם אני זוכר, ויש לו עוד תיקון ב-1986, הוא מדבר על סוגים שונים של נתונים שנחשבים כרגישים.

אסף ויסברג: הוא לא מדבר, למשל, על כרטיסי האשראי, מספרי כרטיסי האשראי ככאלה.

קריאה: מספר אשראי כשלעצמו הוא לא מידע רגיש.

אסף ויסברג: אני לא יכול להוסיף מה המשמעות של זה ברגע שאתה משלב את מספר כרטיס האשראי יחד עם שאר דברים.

גיל טופז: אין לזה שום משמעות.

גיל טופז: אני יכול להקריא עכשיו את מספר כרטיס האשראי שלי, ועוד שלוש שניות לא תהיה לו משמעות.

אסף ויסברג: כרטיס האשראי שלך אולי לא, שלי כן.

גיל טופז: גם לא.

רונית תירוש: אני לא יכולה לרכוש באמצעות הכרטיס?

רונית תירוש: אה, ברגע שמבטלים.

רונית תירוש: הוא לא יודע שגנבו לו, אז הוא לא מבטל.

אסף ויסברג: עם כל הכבוד לחברות האשראי שאתן גדולות וחסונות, יש פה ניסיון להסיט את הפוקוס מהמקום.

אסף ויסברג: יש כאן בעיה גלובאלית.

אסף ויסברג: הבעיה מדברת גם על נושא של מידע אישי, וגם על נושא של כרטיסי אשראי שיכול לייצר נזק.

אסף ויסברג: לכולנו ברור המקרה הספציפי של הבחור הספק סעודי הזה, שכולם החליטו שהוא סעודי, זה שהוא ניסה לעשות פה טרור.

אסף ויסברג: הוא לא ניסה להשתמש בכרטיסים.

אסף ויסברג: אתם בזריזות רבה חסמתם - תודה רבה וכל הכבוד – גם את של אשתי.

אסף ויסברג: הנקודה הזאת לא פוטרת אף אחד.

אסף ויסברג: עד שלא ישימו את כל התהליך הזה כדבר הזה כדבר אחד עם אחריות אחת ולהגיד שמידע רגיש הוא כולל סט ארוך יותר של פרמטרים, ולא רק את מה שנוח לכם להגדיר כסט של פרמטרים רגישים, הדבר הזה לא ייפתר.

אסף ויסברג: במקרה הספציפי הזה מאחר ויש פה את כל הסיפור הזה שיצא לתקשורת, כי המטרה היתה לצאת לתקשורת, רצתם וסגרתם.

אסף ויסברג: מה קורה עם כל אותם מקרים שכולנו מבינים שקורים כל הזמן שלא מודעים לזה ונעשה שימוש כזה?

רונית תירוש: אנחנו לא פותחים עכשיו ישיבה על זה.

גיל טופז: נאמרים פה דברים מתוך חוסר הבנה, וחשוב לתקן אותם.

גיל טופז: אין אזרח בישראל שפרטי כרטיס האשראי שלו דלפו בחמש השנים האחרונות – אני לא יודע להגיד לפני כן, אני מניח שהמצב הוא אותו דבר – והוא ניזוק כספית מזה.

גיל טופז: כל מי שבוצע הונאה בכרטיס האשראי שלו עקב דליפה, קיבל חזרה את הכסף - אפס נזק.

רונית תירוש: האמת היא שהסיפור הזה ממש לא מטריד אותי כי אתם נותנים.

רונית תירוש: איך אמר לי אתמול נמרוד?

רונית תירוש: יש לכם תמריץ לאבטח את עצמכם.

גיל טופז: אנחנו היחידים שפועלים בשוק, אז לבוא ולהגיד שכרטיסי האשראי מהווים כאן איזשהו סיכון?

יורם הכהן: - - -מכיוון שלכם יש אינטרס בשימוש כרטיס אשראי במסחר אלקטרוני, ושבמה

יורם הכהן: לך השימוש בכרטיס האשראי בתהליך אלקטרוני יש איסוף מסיבי של מידע, השאלה היא האם לא צריך את ההגנה הזאת גם על הפעילות הזאת?

גיל טופז: שוב, ברגע שאתר ONE נפרץ פעם והיו שם עשרות אלפי כתובות מייל ותעודות זהות, הוא לא סולק כרטיסי אשראי, הוא לא מקבל כרטיסי אשראי.

גיל טופז: הוא לא בא במגע עם כרטיסי אשראי, והוא עדיין ייצר כזה נזק של עשרות אלפי פרטים.

גיל טופז: אגב, תקן ה-PCI לא נוגע לדברים אחרים, מלבד פרטי כרטיסי האשראי.

גיל טופז: ה-PCI לא יפתור את איסוף כתובות המיילים ותעודות הזהות, ורשימת הקניות שעשית, והתלונות שהתלוננת.

יורם הכהן: אבל, אם הוא מחייב הצפנה של פרטים - - -

קריאות: לא, הוא לא מחייב.

נמרוד קוזלובסקי: עו"ד יורם הכהן, אני חושב שההצעה הזאת היא מצוינת.

נמרוד קוזלובסקי: אם תהיה חובת הצפנה של פרטים שהם פרטים רגישים או ריבוב שלהם – וכולנו יודעים, פונקצית הש – אין ספק שהנזק ייעלם אם המידע ידלוף.

יוליה שמאלוב-ברקוביץ: מה זה "פונקצית הש"?

יוליה שמאלוב-ברקוביץ: גם הצופים לא יודעים מה זה פונקצית הש?

קריאה: פונקציה שמצפינה את המידע ושומרת אותו בצורה שהיא לא קריאה בתוך בסיס הנתונים או בתוך קובץ.

קריאה: היא לא מצפינה, היא ממזערת.

יוליה שמאלוב-ברקוביץ: הבנתם?

רונית תירוש: הבנו, הבנו.

יוליה שמאלוב-ברקוביץ: אני פונה לצופים.

רונית תירוש: הבנו.

רונית תירוש: הם הבינו את זה כבר באמצע הדיון.

נירה לאמעי-רכלבסקי: אני חושבת שאחת נקודות המבט הבסיסיות שלנו צריכה להיות מניעת מאגרי המידע.

נירה לאמעי-רכלבסקי: אחד הדברים שהקפדנו לעשות בחוק הביומטרי, בהנחה שאותו מאגר שניתנה לנו חוות דעת משפטית שהוא אכן בעייתי, אבל החוק עבר יחד עם המאגר הביומטרי, היא בכל הנקודות בדרך לא לאפשר את אגירת המידע.

נירה לאמעי-רכלבסקי: כלומר, כל נקודה בדרך שבה אגירת המידע היא אפשרית, היא אסורה.

נירה לאמעי-רכלבסקי: אנחנו נראה במבחן הזמן אם באמת יקפידו על זה או לא.

נירה לאמעי-רכלבסקי: אבל, אחת הנקודות המבט החשובות היא לאסור את אגירת המידע.

נירה לאמעי-רכלבסקי: לכן, אנחנו צריכים לראות מראש איפה אגירת מידע מחויבת או לא מחויבת, לפני האיסוף.

נמרוד קוזלובסקי: אני חייב לומר כמה מילים להצעה הזאת.

נמרוד קוזלובסקי: היא הועלתה כמה פעמים גם לגבי רשומות רפואיות ולגבי רשומות אחרות.

נמרוד קוזלובסקי: יש איזושהי הנחה שאני יכול לאחר שהמידע נמסר לסכל את היכולת לאגור אותו.

נמרוד קוזלובסקי: אין דבר כזה, אין חיה כזאת.

רונית תירוש: לא, אני רוצה לחוקק.

נמרוד קוזלובסקי: לכן, מה שבעייתי זה או ללכת להצעות כמו הצעות של עו"ד קלינגר שאומר: יש פרטי מידע שאסור לך לדרוש כמו תעודת זהות, או חובה כמו שאומר ראש הרשות עו"ד יורם הכהן שאתה מחויב בהצפנה או בריבוב של המידע - מה שנקרא הש – כדי שגם אם הוא יתפרץ הוא לא יהיה שמיש.

יורם הכהן: זה חלק מתקנות אבטחת המידע.

רונית תירוש: אני יודעת שיש חוקים ויש תקנות.

רונית תירוש: השאלה היא כמה אנחנו אוכפים.

רונית תירוש: האם יש מישהו מציבור המשתתפים כאן שמעוניין להגיד כמה דברים קצרים?

רונית תירוש: יש לי עוד חמישה דוברים, נסגרה הרשימה.

רונית תירוש: תציגו את עצמכם, בבקשה.

ג'קי אלטל: ג'קי אלטל, יועץ אבטחת מידע.

ג'קי אלטל: אני רוצה להתייחס לכמה נקודות.

ג'קי אלטל: הנקודה הראשונה היא נושא המודעות שהעלה אותה מר אבי ויסמן, ומר ארז מטולה.

ג'קי אלטל: אם ארז התייחס לפיתוח מאובטח וכיצד צריך לפתח אפליקציות, אבי התייחס להדרכות.

ג'קי אלטל: אני חושב שצריך להתמקד בזה הרבה הרבה יותר ברמה הארגונית גם כתקן, איזה סוגי הדרכות צריך להעביר את העובדים.

ג'קי אלטל: ברמה של האזרח הפשוט, אני לא חושב שאזרח יכול להתייחס לאיזשהו אייקון כזה או אחר שיופיע.

ג'קי אלטל: בהנחה שהוא יודע שיש את האייקון הזה, מבחינתו הכול מוגן והכול תקין.

ג'קי אלטל: כי אם אותו אזרח יתחבר לרשת שהיא לא מאובטחת, בכל בית-קפה היום ניתן להאזין ולקבל את הפרטים האישיים שלו רק באמצעות כלים בסיסיים שנמצאים באינטרנט.

ג'קי אלטל: לגבי ההתקפות שדיברנו עליהן, או OxOmar שהוא באמת נהיה כוכב גדול – הבחור בסך-הכול Script Kiddie.

ג'קי אלטל: אנחנו מדברים על האקר ברמה הנמוכה ביותר.

ג'קי אלטל: הוא ממש ממש לא מתוחכם.

ג'קי אלטל: אני חושב שהוא אפילו לא השתמש בכלים שהם כל-כך מתוחכמים.

ג'קי אלטל: אלו כלים שניתן להוריד מהאינטרנט.

ג'קי אלטל: כל אחד יכול להפוך ל- OxOmarבקלילות מבלי להתאמץ ומבלי לדעת יותר מידיי מה הטכנולוגיות שאתה עובר.

ג'קי אלטל: מבחינת החברות – שמו של אחד האתרים שנפרצו הופיע ברשימה של אתרים שידוע שהם פגיעים להתקפות מסוימות, למעלה משלוש שנים באינטרנט.

רונית תירוש: איזה אתר?

ג'קי אלטל: אחד מהאתרים.

רונית תירוש: תגיד.

ג'קי אלטל: 365.

ג'קי אלטל: לדוגמא, זה אתר שהיה ידוע כאתר פגיע, לפחות שלוש שנים.

רונית תירוש: זה היה כתוב בעיתון.

ג'קי אלטל: כן, אני חושב שאני ציינתי את זה שם.

ג'קי אלטל: מעבר לזה, דיברו על המוח הישראלי.

ג'קי אלטל: אני רוצה לבצע הפרדה בין תקיפה להגנה.

ג'קי אלטל: אני אקח אנלוגיה של משחק כדורגל כדי שכולם יבינו בדך הפשוטה.

ג'קי אלטל: אי-אפשר לקחת חלוץ ולהגיד לו לשחק עכשיו כבלם, ולקחת בלם ולהגיד לו להיות חלוץ.

רונית תירוש: אפשר, אבל אחר כך מפטרים את המאמן.

ג'קי אלטל: עוד לפני שמפטרים אצלנו במדינה.

ג'קי אלטל: זה לא עובד כך.

ג'קי אלטל: יש אנשים שמתעסקים בתקיפה, ויש אנשים שמתעסקים בהגנה.

ג'קי אלטל: יש כמובן אנשים שעושים את שניהם.

ג'קי אלטל: אבל, זה חייב להיות ברור שללא מודעות של הציבור הרחב, שום תקן לא יעזור.

ג'קי אלטל: תקן יכול למנוע התקפות כאלה?

ג'קי אלטל: אני לא חושב.

ג'קי אלטל: לא הייתי אומר שהוא יכול למנוע.

רונית תירוש: או לצמצם נזקים.

ג'קי אלטל: כן, הוא יכול לסכל.

ג'קי אלטל: הוא יכול לתת את האפשרות או את הכלים לאנשים שעומדים בחברות ובארגונים לזהות את ההתקפות האלה מבעוד מועד ולהתמודד מולן.

רונית תירוש: תודה רבה.

יעל גורן-חזקיה: שמי יעל, ואני נציגת המועצה הלאומית למחקר ופיתוח.

יעל גורן-חזקיה: בראש המועצה עומד היום פרופסור יצחק בן-ישראל.

יעל גורן-חזקיה: שני דיברה על המטה הלאומי, ואני רוצה לדבר קצת על המיזם.

יעל גורן-חזקיה: המיזם הקיברנטי הלאומי עבד בערך כשנה, שנה פלוס, עם מנדט מראש הממשלה לבחון את כל הסוגיה הזאת.

יעל גורן-חזקיה: אני רוצה לתת מענה לכמה סוגיות שעלו פה: חקיקה ותקינה, אקדמיה, הגנה, ניטור ובקרה וכו' וכו'.

יעל גורן-חזקיה: חשוב לציין שעבודת מטה הסייבר הלאומי נעשית על סמך רוב ההמלצות שעלו מהמיזם הקיברנטי שאותו הצגנו בעבר כאשר חבר הכנסת שטרית היה יושב-ראש הוועדה.

יעל גורן-חזקיה: חשוב לציין שהוועדה נתנה מענה לכל מה שעלה פה, אם זה אקדמיה, אם זה הקמת חוגים לסייבר וכו' וכו', ועניין חקיקה ותקינה.

יעל גורן-חזקיה: היא נתנה המלצות בכל תחום.

יעל גורן-חזקיה: היו שמונה תתי-ועדות בתחומים הללו.

יעל גורן-חזקיה: ניתנו המלצות בתחום הזה.

יעל גורן-חזקיה: על-פי ההמלצות הללו מטה הסייבר הולך לפעול.

יעל גורן-חזקיה: הם כמובן ירחיבו את ההמלצות.

יעל גורן-חזקיה: אבל, זה פחות או יותר הדברים.

יעל גורן-חזקיה: לשאלתה של חברת הכנסת יוליה שמאלוב ברקוביץ, וגם במענה למה שאמרת – היתה המלצה להרחיב את סמכויות הרשות לאבטחת המידע בשב"כ כגוף ביצוע לטיפול במרחב האזרחי גם.

יעל גורן-חזקיה: מהסוגיה הקטנה מאוד של אבטחת כרטיסי האשראי, צריך להסתכל על סך-כל המרחב.

יעל גורן-חזקיה: בסופו של דבר, זה טרור.

יעל גורן-חזקיה: זה המענה שהמיזם רצה לתת – הגנה על כל המרחב הקיברנטי ברמה המאוד לאומית הזאת של ניתוק אספקת החשמל, לדוגמה, או ניתוק הכבל הימי וכו' וכו'.

יעל גורן-חזקיה: רם הוא יועץ לתחום הסייבר במועצה הלאומית למחקר ופיתוח, והוא קצת ירחיב את דבריי בתחום היותר מקצועי.

יעל גורן-חזקיה: רק רציתי לתת מענה שהדברים האלה כן נעשו.

יעל גורן-חזקיה: היה פה בחור שהלך.

יעל גורן-חזקיה: אבל, כן נעשתה אינטגרציה בין מיטב המוחות, מיטב הגופים, נשיאת האקדמיה למדעים, מפא"ת.

רונית תירוש: האם ההמלצות של ועדת בן-ישראל מפורסמות באיזשהו אתר?

קריאה: כן.

רונית תירוש: תאמרו איפה.

יעל גורן-חזקיה: שוב, נעשתה אינטגרציה, גם בתחום הביטחוני עם מפקד יחידת 8200, - - -

רונית תירוש: יעל, אני לא רוצה לרדת לפרטים התיאורטיים האלה.

רונית תירוש: אני שמחה שאת מרגיעה.

רונית תירוש: אני רק מזמינה אותך לעשות לי בוחן פתע.

רונית תירוש: אני אסכם בסוף, וכל מה שתחשבי שהוא כאילו כפילות של המלצה שממילא ניתנה, תעירי.

רונית תירוש: בואי נראה שסגרנו את כל החורים.

רם לוי: שמי רם לוי, יועץ סייבר של המולמ"פ.

רם לוי: אני שימשתי כמזכיר של המיזם הקיברנטי.

רם לוי: קודם כל, אני כן רוצה להעביר מסר מרגיע.

רם לוי: מהבחינה שאנחנו עשינו שכללה את כל הגופים דווקא גילינו שמצבנו לא כל-כך רע, לפחות לא בתחום של ההגנה של מה שנחשב אצלנו כחיוני לתפקוד המדינה.

רם לוי: אני חושב שהאירוע הזה, מעבר לזה שאנחנו מסתכלים עליו כאירוע של אבטחת מידע ואירוע של הגנה על הפרטיות, צריך להסתכל עליו גם במסגרת משפחה של אירועים אחרים לגמרי, משפחת האירועים של פגיעה בתפקוד המדינה.

רם לוי: למה אני אומר את זה?

רם לוי: קודם כל, בגלל שזה מה שאמר ההאקר בעצמו, שזו היתה מטרתו.

רם לוי: וכן, כי כשאנחנו באים לבחון אלו מענים אנחנו נותנים לאירוע הזה, אנחנו צריכים לתת מענים שהם רלוונטיים לבעיות הרבה יותר גדולות.

רם לוי: הסיבה לזה היא שגם אם ניתן עכשיו מענים שהם רלוונטיים לאבטחת מידע, לא בטוח שנפתור את בעיית אבטחת המידע של הבקרים של המזון בחברת "אוסם", או של רכבים שיש להם בקרים ממוחשבים, או של חברת החשמל, או של המון המון תשתיות לאומיות שנשלטות על-ידי מחשבים, וצריך לזכור את זה.

רונית תירוש: אמרת שאתה רוצה להרגיע, אבל אתה לא מרגיע.

רונית תירוש: אני חשבתי ששם אני מסודרת, ושאת המזון שלי אני אקבל בזמן גם אם תהיה מתקפה קיברנטית.

רונית תירוש: חשבתי שהבטן הרכה שלי היא בקטע האזרחי שלי כאשר אני קונה שמלה או טסה לפריז.

רם לוי: הבטן הרכה היא, וזו לדעתי השורה התחתונה, היא שיותר ויותר מערכות חיוניות נשלטות על-ידי מחשבים.

רם לוי: כמעט כל המערכות האלה נשלטות על-ידי מחשבים, ולכן גם אפשר לפגוע בהן.

רם לוי: זה אומר שאנחנו צריכים להשקיע מחשבה בשאלה איך אנחנו מגינים עליהן.

רם לוי: איפה אנחנו רגועים?

רם לוי: במקומות שהרשות הממלכתית לאבטחת מידע ותהיל"ה כבר עושים עבודה למעלה מעשר שנים.

יוליה שמאלוב-ברקוביץ: אז איך פורצים כל יומיים מחשב של משרד ממשלתי זה או אחר?

יוליה שמאלוב-ברקוביץ: לא כל יומיים, אבל מספיק שזה קורה פעם אחת.

רם לוי: הסיבה לכך שזה קורה היא כי יש בעיות אבטחת מידע שהן אינהרנטיות כי בני אדם מפתחים אותן.

רם לוי: יש דברים שאנחנו לא חושבים עליהם תוך כדי שאנחנו מפתחים אותם, ויש גם בעיות שעולות תוך כדי השימוש.

רם לוי: למשל, הגורם האנושי.

רם לוי: אדם יכול לבוא עם דיסק-און-קי ולגנוב כמות גדולה של אינפורמציה.

רם לוי: אני לא אומר שכל הבעיות הן פתירות.

רם לוי: אני רק אומר שהמדינה כבר התמודדה עם חלק מהבעיות.

רם לוי: היא יודעת להתמודד איתן בצורה לא רעה.

רם לוי: אבל, נוצרה בעיה חדשה.

רם לוי: בגלל שהתמחשבנו בקצב נורא נורא מהיר נוצרו התשתיות התת-קריטיות והן לא חברת חשמל או המפעלים פטרו-כימיים שלהם כבר אומרים מה לעשות, אלא קבוצה של המון המון תשתיות שכל אחת בנפרד היא לא חיונית, ובכל אחת אני יכול לפגוע במאמצים יחסית לא גדולים.

רם לוי: אבל, אם אני אפגע בהן ביחד אני כבר אגרום נזק תפקודי למדינה.

רם לוי: למה הבעיה הזאת נהייתה בעיה חמורה?

רם לוי: כיוון שנכנסו שחקנים חדשים שהם Nation State Actors.

רם לוי: זאת אומרת, המדינות נכנסו פנימה לתוך הסיפור הזה של הסייבר.

רונית תירוש: רם, לא הבנתי איפה אתה מרגיע אותנו.

רם לוי: אני מרגיע בזה שאני אומר כך.

רם לוי: בכל מה שקשור להגנה על תשתיות חיוניות מצבנו לא כל-כך רע.

רם לוי: יש המלצות שגיבשנו במהלך המיזם שהן רלוונטיות כמעט לכל תחום שנגענו בו.

רם לוי: אולי המסר החשוב ביותר הוא שלא ניתן לפתור את זה לבד.

רם לוי: זאת אומרת, צריכים לשבת ביחד - מטה הסייבר יחד עם ארגוני הממשלה, האקדמיה והתעשייה - כדי לפתור את הבעיות שהן רלוונטיות לכולן.

רם לוי: אנחנו הגשנו את ההמלצות, הן אומצו על-ידי ראש הממשלה.

רם לוי: מטה הסייבר יצטרך ליישם את ההמלצות האלה, וצריך לתת לו זמן.

רונית תירוש: תודה רבה.

רונית תירוש: נציגת משרד החוץ, אמנת בודפשט, בבקשה.

אסתר אפרת-סמילג: שמי אסתר אפרת-סמילג.

אסתר אפרת-סמילג: אני סגנית היועץ המשפטי ומנהלת מחלקת אמנות במשרד החוץ.

אסתר אפרת-סמילג: אני רוצה להתייחס לאמנת בודפשט שהזכירו אותה כאן.

אסתר אפרת-סמילג: ביוזמת משרד החוץ אנחנו יזמנו בדיקה של האמנה במגמה להצטרף אליה.

אסתר אפרת-סמילג: לגמרי במקרה הישיבה נקבעה למחר.

אסתר אפרת-סמילג: בכל בדיקה לפני הצטרפות לאמנה בודקים סעיף סעיף אם זה מתאים כן או לא לחוק הישראלי.

אסתר אפרת-סמילג: אם זה אנחנו מתאים, אנחנו יכולים להצטרף.

אסתר אפרת-סמילג: אם לא, צריך קודם לתקן את החוק לפני שאנחנו יכולים להצטרף אמנה.

רונית תירוש: היתה לכם הבעיה של חוק זכויות יוצרים.

רונית תירוש: ב-2007 חוקק, זה נפתר.

אסתר אפרת-סמילג: אנחנו נבדוק את הכול.

אסתר אפרת-סמילג: המגמה היא לבדוק מחר.

אסתר אפרת-סמילג: דבר נוסף, אנחנו פנינו לכל משרדי הממשלה.

אסתר אפרת-סמילג: הבדיקה היא כמובן של הממשלה, ההצטרפות לאמנה היא של הממשלה.

אסתר אפרת-סמילג: אנחנו פנינו לכל מי שאנחנו חשבנו שהוא רלוונטי.

אסתר אפרת-סמילג: אם יש איזשהו גורם - - -

רונית תירוש: כמה זמן זה ייקח להערכתך?

אסתר אפרת-סמילג: אין לנו - - -

רונית תירוש: תנדנדו למשרדי הממשלה, הם לא מבינים את האיום.

אסתר אפרת-סמילג: אני יכולה להגיד שהיתה היענות מאוד גדולה של כל משרדי הממשלה.

רונית תירוש: אנחנו נקיים דיון בוועדת המדע.

רונית תירוש: האם פרק זמן של חודשיים ימים הוא סביר?

רונית תירוש: אם כן, בעוד חודשיים, ונביך את כל משרדי הממשלה שלא ענו לך.

רונית תירוש: אני מקווה שלא נביך ותודיעי שאנחנו כבר חתומים לגזור את הסרט.

אסתר אפרת-סמילג: להיפך, ההיענות היתה גדולה מאוד.

רונית תירוש: תודה רבה.

רונית תירוש: אדוני, מילה על זה.

חיים ויסמונסקי: חיים ויסמונסקי, פרקליטות המדינה.

חיים ויסמונסקי: אנחנו באמת נפגשנו בהקשר אחר בוועדת המדע ודיברנו על האמנה.

חיים ויסמונסקי: לא יצא לי אפילו ללחוץ יד לגברת ממשרד החוץ.

חיים ויסמונסקי: אני ממש מעדכן חם חם מהבוקר.

חיים ויסמונסקי: הבדיקה המשפטית לגבי ההיתכנות להצטרף לאמנה – קרי, האם יש סעיפים שצריכים לתקן אותם – הביאה אותנו למסקנה שיש סעיף אחד שאנחנו כנראה נצטרך להציע בו תיקון חקיקה.

חיים ויסמונסקי: אנחנו לוקחים את זה על עצמנו באופן מהיר ככל הניתן לפרסם את התזכיר.

חיים ויסמונסקי: אבל, צריך לזכור, זה הליך חקיקה על כל המשתמע.

נירה לאמעי-רכלבסקי: אם זה יבוא לוועדה שלנו, זה ילך מהר.

חיים ויסמונסקי: זה לא תלוי, לפחות לא בי כרגע.

חיים ויסמונסקי: זה איזשהו סעיף באמנה – ARTICALE 6.

חיים ויסמונסקי: בחוק הישראלי צריך לתקן סעיף שהוא מתכתב עם סעיף 6 לחוק המחשבים.

חיים ויסמונסקי: זה סעיף פלילי עונשי.

חיים ויסמונסקי: אני מבטיח שמשרד המשפטים יפעל מהר ככל הניתן.

חיים ויסמונסקי: אבל, עדיין מדובר על הליך חקיקה.

רונית תירוש: אנחנו נדבר עם שר המשפטים שיגיע לכאן, ואז חוקה ישים לנו מכשול, וזה ייתקע.

חיים ויסמונסקי: המכתב של גברתי יגיע לשר המשפטים.

רונית תירוש: תודה רבה.

רונית תירוש: אדוני, בבקשה בקצרה.

רונית תירוש: אני חייבת לתת את הסיכום בשידור.

ניר פסי: שמי ניר פסי, אני סגן נשיא איגוד ISSA.

ניר פסי: האיגוד עוסק או מאגד בתוכו אנשי אבטחת מערכות מידע בישראל.

ניר פסי: אני רוכש באינטרנט, בעיקר מאתרים מחו"ל.

ניר פסי: ראשית, כי שם אני לא נדרש לתת תעודת זהות שלי שזה ערך שמאוד בעייתי לתת אותו.

ניר פסי: שנית, יש איזשהו שירות שחוסם מאחרים מאותם אתרים, להכניס לתוך מאגרי המידע שלהם את נתוני האשראי שלי.

ניר פסי: הדבר הזה קיים הרבה מאוד שנים, שירות שנקרא PAYPAL.

ניר פסי: אני ממליץ לחברות האשראי הישראליות כן לפעול בתצורה הזאת כי זה העתיד, וזה הדרך באמת למנוע פריצות מידע.

ניר פסי: הנתון היחיד שיש שם זה בסך-הכול כתובת מייל ללא הסיסמא של המייל שלי, ואין עם זה בעיה.

ניר פסי: בוועדת החוק הביומטרי, כאשר גם דנו על הנושא הזה, היתה המלצה למנוע מארגונים או מחברות סחר לבקש מאנשים את תעודות הזהות שלהם.

ניר פסי: אני לא יודע איפה זה עומד היום.

ניר פסי: אבל, היתה בקשה.

ניר פסי: אנחנו רואים שהחוק הביומטרי עבר, אבל הדגש או האכיפה של הדברים האלה לא נעשית היום.

ניר פסי: לגבי שקיפות או מרכז מידע – אנחנו מאוד תומכים ומעודדים את הדבר הזה.

ניר פסי: אנחנו בעד שאנשים יגלו את אותם מקרים בהם מידע שלהם נחשף ואמצעים להתגונן בהתאם.

ניר פסי: לסיום, לגבי תקן PCI שאנחנו עוסקים בו אך ורק בנושאים פיננסיים – התקן נועד אך ורק לבקרות.

ניר פסי: חשוב להבין שכשאנחנו באים לחקירה – ופה אני מדבר מניסיוני, אני מומחה לתחום חקירות פורנזיות – ובשל כך כשאנחנו ניגשים לחקירה הבקרות הללו הן מאוד מאוד חשובות.

ניר פסי: אם כן תהיה כפייה של רגולציית PCI לכל אותם גופים במשק שעוסקים במסחר, אם זה באינטרנט, אם זה לאו, כן יהיו לנו, לגופי משטרה, או לגופים אחרים, אפשרויות לבצע את האכיפה או את החקירה שלאחר מכן.

רונית תירוש: אתה ממליץ.

רונית תירוש: תודה רבה לכולם.

רונית תירוש: אני מנסה לסכם משהו שיתכלל את מכלול המסרים כאן.

רונית תירוש: ראשית, אני קוראת לרשות הסייבר – גם אם יעל אמרה שממילא גם פרופ' בן-ישראל קרא להם - לזמן ולשתף חברות ישראליות מובילות בנושא אבטחת מידע.

רונית תירוש: גם אם תגידי שאתם עושים – נהדר.

רונית תירוש: אבל, הנה, ביקשתי, ואנחנו נבדוק.

רונית תירוש: אני קוראת לרשות הסייבר לפרסם סטנדרטים לאבטחת מידע.

רונית תירוש: אני מניחה שבעקבות פרסום הסטנדרטים ניחשף למוצרים ולפתרונות אותם יציעו חברות הי-טק ישראליות.

רונית תירוש: גם רגולציה.

רונית תירוש: אני חושבת שעלו פה שתי בעיות.

רונית תירוש: האחת היא מסירת פרטים מזהים.

רונית תירוש: לכן, אני מבקשת – אני לא יודעת אם לבקש את זה מרמו"ט, נראה לי מרמו"ט – להגדיר מה זה פרטים מזהים רגישים, ובתוכם לשקול את ההצעה שעלתה פה לכלול בתוך זה גם את נושא מסירת תעודת הזהות.

רונית תירוש: על פניו נראה כי מסירת תעודת זהות היא מידע רגיש שכנראה זה לא מחויב המציאות למסור אותו.

רונית תירוש: בחו"ל לא מוסרים את זה.

רונית תירוש: בוא נראה איך אפשר לעשות סחר אלקטרוני, למשל, בלי למסור מידע כל-כך רגיש שכל-כך מזהה אותנו.

רונית תירוש: זה דבר אחד באשר לפרטים מזהים.

רונית תירוש: אני מבקשת מרמו"ט – ראשית, לפרסם סטנדרטים מה זה פרטים רגישים, ובתוכם לתת תשובה בהגדרה האם לתת מספר תעודת זהות או לא, והאם זה רגיש או לא.

רונית תירוש: הדבר השני שעליתי עליו כמוקש, יחד איתכם ובעזרתכם, הוא נושא שמירת אותם פרטים במאגרי פרטים, אגירת הפרטים.

רונית תירוש: יכול להיות שיש מקומות שנחוץ לאגור פרטים.

רונית תירוש: אני רוצה להתייחס לזה באופן הבא.

רונית תירוש: מה שבטוח הוא שכל האתרים שאוגרים פרטים חייבים להיות מאובטחים.

רונית תירוש: זאת אומרת, אבטחת מידע חייבת לחול עליהם.

רונית תירוש: לפיכך, צריך לעשות כמה מהלכים.

רונית תירוש: ראשית, לפנות לאקדמיה, למועצה להשכלה גבוהה – אנחנו נעשה את זה – לקיים קורס חובה שייכלל בתואר ראשון במדעי המחשב.

רונית תירוש: אני גם אמליץ להם להתייעץ עם חברות אבטחת מידע מובילות בשוק הישראלי כשהם קובעים קורס חובה כדי להבין מה נדרש להילמד ללמוד במסגרת הקורס.

יורם הכהן: זה אבטחת מידע ופרטיות.

רונית תירוש: אבטחת מידע ופרטיות, בסדר.

רונית תירוש: שנית, בהקשר הזה אני מבקשת – ואני לא יודעת ממי לבקש, מרשות הסייבר או מרמו"ט – את הנושא של רישוי מקצוע של אבטחת מידע.

שני שרביט: זה משהו שייבחן אצלנו.

רונית תירוש: רשות הסייבר.

רונית תירוש: זה הא בהא טליא, יחד עם האקדמיה גם כן כחלק.

אבי ויסמן: הפורום הישראלי עוסק בזה כבר שלוש-ארבע שנים, ונשמח לעזור.

קריאה: גם –ISACA עוסקת בזה כבר שנים רבות, ונשמח לעזור.

רונית תירוש: מצוין.

רונית תירוש: אם כן, רישוי המקצוע והחברה שעוסקת בכך.

רונית תירוש: אני מבקשת, וזה שוב כנראה מרשות הסייבר, סוג של גוף רגולטורי, או לא – אינני יודעת.

רונית תירוש: אבל, גוף שיסמיך אתרים בישראל.

רונית תירוש: וכמובן בהקשר הזה של אבטחת מידע יש מקום להמשיך בתהליך של חתימה על אמנת בודפשט.

רונית תירוש: אני פונה לרמו"ט.

רונית תירוש: מאחר וביקשתי שתבחנו את נושא הגדרת פרטים מזהים, תבחנו גם בתוך העניין של תעודת זהות כן או לא, את ההמלצה שהיתה - אולי ברגולציה, ואז אנחנו נעזור - שאסור יהיה לשמור נתונים רגישים במאגרי מידע.

נירה לאמעי-רכלבסקי: יש כבר הגדרה של מידע רגיש ומוגבל.

רונית תירוש: אולי אפשר לבקש פעולה חד-פעמית, אינני יודעת לומר את זה.

רונית תירוש: אני אומרת את הדברים מתוך כל מה ששמענו.

רונית תירוש: תשקלו את זה במסגרת אותה בקשה שלי שאתם תגדירו מה זה פרטים מזהים, האם לשמור אותם, האם מותר לשמור אותם.

רונית תירוש: אם אסור אז בוא נעשה חקיקה שאסור.

רונית תירוש: אם מותר רק באופן חד-פעמי לצורך עסקה אז בסדר, ומרגע זה ואילך למחוק.

רונית תירוש: כל הרזולוציות האלה או הדיפרנסאציות הפנימיות.

רונית תירוש: הדבר הבא הוא הצפנה, אותו תקן של PCI.

רונית תירוש: יש לתת את הדעת גם בעניין זה.

רונית תירוש: הדבר השלישי שאני רוצה להתייחס אליו – ואני לא יודעת מי צריך לפרסם, אולי רשות הסייבר, אולי רמו"ט, ואולי אנחנו המחוקקים, רק תגידו – חובת שקיפות ופרסום פריצה לאתר.

קריאות: זה תפקיד של המחוקק, זה חקיקה.

רונית תירוש: אז הנה לך חברת הכנסת שמאלוב, חובת פרסום לגבי אתר שנפרץ.

רונית תירוש: בעל האתר חייב לתת פרסום בשקיפות מלאה שהאתר שלו נפרץ.

יורם הכהן: יש כבר שני סעיפים בחקיקה הישראלית לפחות.

רונית תירוש: זה קיים כבר?

רונית תירוש: אנחנו נבדוק.

רונית תירוש: נעשה חקיקה, ואם המחלקה המשפטית תגיד שזה קיים אז נוותר.

נמרוד קוזלובסקי: זה לא קיים.

נמרוד קוזלובסקי: זה קיים לגבי מאגרים ספציפיים, לגבי המאגר הביומטרי, ומאגר - - -

יורם הכהן: אין חובה כללית, אבל יש חובה - - -.

יורם הכהן: אפרופו, תעודות זהות – בתיקון של סעיף 29 של חוק מרשם אוכלוסין יש חובת הודעה כזאת במסגרת התקנות כך שזה חל בהרבה מאוד באזורים של - - -.

יורם הכהן: אבל, אין חובת הליך כזה.

נמרוד קוזלובסקי: צריך חוק ספציפי על חובת דיווח על אירוע של פריצה, ולמי צריך לדווח.

נמרוד קוזלובסקי: הדיווח גם לרשויות לצורך חקירה, וגם לנשואי מידע.

יוליה שמאלוב-ברקוביץ: אם אני מוציאה כרטיס מועדון ל"משביר" והם רוצים תעודת זהות ואת הכול.

יוליה שמאלוב-ברקוביץ: האם אנחנו כוללים אותם?

רונית תירוש: כן, את מוסרת את המידע, והם שולחים לך מתי יש סוף עונה.

רונית תירוש: אני מקווה שאני התייחסתי למרבית הנושאים, לפחות, שעלו כאן.

רונית תירוש: נתנו שיעורי-בית.

רונית תירוש: אנחנו מצפים לשמוע את רשות הסייבר בעוד חודשיים, עם התייחסויות לדברים שביקשנו.

רונית תירוש: אני מניחה שבאותה ישיבה גם רמו"ט תידרש לתשובות כאלו ואחרות.

רונית תירוש: אני קוראת לכם, כבדלת פתוחה, לפנות בכל רגע נתון ובכל נקודת זמן שאתם חושבים שפה צריכה להיות רגולציה.

רונית תירוש: אנחנו נשמח לשתף פעולה עם החברים שמשתתפים בדיונים הללו.

רונית תירוש: אני אולי חייבת לומר לגבי נושא המסחר האלקטרוני שתקוע אצלנו בוועדות השונות בוויכוח איפה זה יידון.

רונית תירוש: אני אומרת לפרוטוקול שאני קוראת לשר המשפטים לעגן בחקיקה את הממסחר האלקטרוני, ולקדם את הנושא הזה.

נירה לאמעי-רכלבסקי: היתה הצעת חוק בעבר.

נירה לאמעי-רכלבסקי: היא היתה לא רלוונטית, לא מעודכנת.

נירה לאמעי-רכלבסקי: אולי יביאו אותה שוב בצורה מעודכנת.

רונית תירוש: יכול להיות שאנחנו נעשה מהלך כזה.

רונית תירוש: אני מאוד מודה לכם, הישיבה תמה.