ועדת החוקה, חוק ומשפט, כנסת 20, פרוטוקול מספר 346, 2017-02-28 10:00

רויטל סויד: אנחנו ממשיכים את הישיבה בנושא תקנות הגנת הפרטיות (אבטחת מידע).

רויטל סויד: בדיון האחרון, לאחר שכל אחד הביע את עמדתו, התחלנו בקריאת התקנות.

רויטל סויד: סיימנו את תקנת ההגדרות, את הסעיף הראשון.

אלעזר שטרן: בכפוף לכך שאמרנו שיש שתי הגדרות שנחזור אליהן בהמשך.

אלעזר שטרן: 2.

אלעזר שטרן: מסמך הגדרות המאגר.

אלעזר שטרן: (א) בעל מאגר מידע יגדיר במסמך הגדרות מאגר (להלן – מסמך הגדרות המאגר), את כל העניינים האלה לפחות: (1) תיאור כללי של פעולות האיסור והשימוש במידע; (2) תיאור מטרות השימוש במידע; (3) סוגי המידע השונים הכלולים במאגר המידע, בשים לב לרשימת סוגי המידע שבפרט 1(3) בתוספת הראשונה; (4) פרטים על העברת מאגר המידע, או חלק מהותי ממנו אל מחוץ לגבולות המדינה או שימוש במידע מחוץ לגבולות המדינה, מטרת העברה, ארץ היעד, אופן העברה וזהות הנעבר; (5) עיבוד מידע באמצעות מחזיק; (6) הסיכונים העיקריים של פגיעה באבטחת המידע, ואופן ההתמודדות עמם; (7) שמו של מנהל מאגר המידע, של מחזיק המאגר ושל הממונה על אבטחת מידע בו, אם מונה כזה.

אלעזר שטרן: (ב) בעל מאגר מידע יעדכן את מסמך הגדרות המאגר בכל עת שנעשה שינוי משמעותי בנושאים המפורטים בתקנת משנה (א), ויבחן את הצורך בעדכון כאמור, בשל שינויים טכנולוגיים ארגונים או אירועי אבטחה כאמור בתקנה 11, בכל שנה עד ה-31 בדצמבר.

אלעזר שטרן: (ג) בעל מאגר מידע יבחן, אחת לשנה, אם אין המידע שהוא שומר במאגר רב מן הנדרש למטרות המאגר.

<ליאת בן מאיר שלום: מדובר במסמך היסודי.

<ליאת בן מאיר שלום: זו החשיבה של בעל המאגר על מה הוא אוסף, לאיזה מטרות, מה הן הפעולות המרכזיות שהוא הולך לעשות עם המאגר.

<ליאת בן מאיר שלום: אם אמרנו בישיבת הפתיחה שהתקנות האלו מסדירות היבטים פיזיים, היבטים לוגיים וגם היבטים של תהליכים בתוך הארגון, אז זה תהליך יסודי של גיבוש איזה שהוא תהליך עבודה של בעל מאגר המידע על מה הוא אוסף, לאלו תכליות, מה הסיכונים שנגזרים מזה.

<ליאת בן מאיר שלום: זה אחר כך בסיס למסמך האבטחה וליתר הפעולות שלו בהמשך לפי התקנות.

רויטל סויד: את המסמך הזה אתם רוצים להחיל על כל המאגרים?

רויטל סויד: כל בעל מאגר בכל אחת מרמות האבטחה חייב להכין את המסמך הזה?

<ליאת בן מאיר שלום: נכון, כי אנחנו חושבים שזאת חשיבה בסיסית שצריכה להתקיים.

רויטל סויד: בואו ניקח כדוגמה קוסמטיקאית, עורך דין, רואה חשבון.

רויטל סויד: הם צריכים להכין את המסמך ולהשאיר אותו במגירה אצלם?

<ליאת בן מאיר שלום: נכון.

<ליאת בן מאיר שלום: זה תהליך חשיבה שממנו נגזרת פעולה בהתאם לתקנות וגיבוש מסמך האבטחה.

<ניר יעקב גרסון: המסמך הוא רק תוצר.

<ניר יעקב גרסון: הוא מחייב אותו לבדוק, לראות מה הוא עושה.

ענת ברקו: למה לא ליצור תקינת אבטחה?

<ליאת בן מאיר שלום: אלו תקנות אבטחת מידע.

<גילי בסמן-ריינגולד: זה המסמך הבסיסי, כדי להבין לאיזו תקנה הוא צריך להיות מחויב.

<גילי בסמן-ריינגולד: הוא צריך לשבת ולראות מה בכלל הוא עושה, למה הוא אוסף, אם צריך או לא צריך, ואיך הוא שומר את זה.

<גילי בסמן-ריינגולד: כמו שאמרה חברת הכנסת סויד, יש מי שישים את זה במגירה.

<גילי בסמן-ריינגולד: ככל שהמאגר מורכב יותר, כך השימוש של המסמך הזה יהיה אחר, עם השלכות אחרות.

ענת ברקו: באיזה אופן ייבדק היישום?

<גילי בסמן-ריינגולד: זה יכול להיבדק בפעולות פיקוח של רמו"ט.

<גילי בסמן-ריינגולד: כרגע אנחנו מדברים על הסדרה וניהול עצמי.

רויטל סויד: אין ספק שכשאנחנו באים ומדברים על תקנות, על התמודדות ראשונה עם נושא של אבטחת מידע, צריך ליצור סטנדרטים.

רויטל סויד: הסטנדרטים האלה, כמו שאתם אומרים, זה חשיבה של כל אחד עם עצמו לגבי מה הוא עושה עם המאגר, איזה עקרונות הוא מציב לעצמו, מה הסטנדרטים וכיוצא בזה.

רויטל סויד: זה חשוב מאוד.

רויטל סויד: השאלה מה המשמעות של זה על מאגרי יחיד, בעיקר אצל אנשים שזה המחשב שלהם, הבית שלהם, לפעמים גם חדר השינה שלהם.

רויטל סויד: איזו חובה אנחנו מטילים עליהם?

רויטל סויד: החובה היא חובה, אבל אם חס וחלילה קורה משהו, מה תהיה ההשלכה לכך שהמסמך היה תקין ואם כן בחנו את הכל, לא בחנו את הכל?

אלעזר שטרן: בעל מאגר יחיד לא ידע מה לכתוב בהרבה מאוד מהמקרים.

אלעזר שטרן: אדם שזה לא תחום הפעילות שלו, יתקשה מאוד לדעת מה הוא צריך לכתוב.

אלעזר שטרן: הוא יצטרך לפנות למומחים.

ענת ברקו: גם אין יכולת בקרה.

אלעזר שטרן: יש דברים שהוא יוכל לכתוב.

אלעזר שטרן: מרבית בעלי המקצוע הפרטיים שאין להם מומחיות באבטחת מידע לא ידעו מה לכתוב שם, מה הם צריכים לעשות עם זה.

<גילי בסמן-ריינגולד: בהקשר הזה צריך לקרוא את התקנה עם ההקלות הרבות שנעשו על בעל מאגר יחיד, כולל ההגדרה של בעל מאגר יחיד שהורחבה.

רויטל סויד: לאיזו תקנה את מפנה?

<ליאת בן מאיר שלום: זה עדיין בשלבי גיבוש.

<ליאת בן מאיר שלום: בעקבות ההערות שקיבלנו בדיון הקודם בוועדה עשינו שינויים נוספים.

<ליאת בן מאיר שלום: הם עדיין בליבון מול הלשכה המשפטית של הוועדה.

<ליאת בן מאיר שלום: אנחנו בהחלט מודעים.

<ליאת בן מאיר שלום: צמצמנו את החובות שחלות על בעל מאגר יחיד.

<ליאת בן מאיר שלום: התהליך המחשבתי הזה הוא תהליך יסודי שאנחנו חושבים שהוא מאוד מאוד חשוב, כדי להעלות למודעות מה אני בכלל עושה כאן, מה אני אוסף, לאיזה צורך אני אוסף את המידע הזה, מה אני עושה איתו.

<גילי בסמן-ריינגולד: הסיכון במאגר יחיד הוא דליפה של מידע.

<גילי בסמן-ריינגולד: הסעיף הזה הוא אחד הסעיפים היותר ברורים בתקנות.

<גילי בסמן-ריינגולד: אותו בעל מאגר יחיד צריך לשבת ולעשות את עבודת החשיבה הזאת.

<גילי בסמן-ריינגולד: זו עבודה מאוד בסיסית.

<גילי בסמן-ריינגולד: הוא צריך לדעת מה יש לו, מה הוא עושה עם זה, האם הוא מעביר את זה הלאה, לא מעביר את זה הלאה.

<גילי בסמן-ריינגולד: הוא צריך להבין שהוא מתעסק במידע.

<גילי בסמן-ריינגולד: הוא צריך להבין שיש לזה רגישות.

<ליאת בן מאיר שלום: רמו"ט יוציאו מסמך של סוגי סיכונים עיקריים.

<גילי בסמן-ריינגולד: אנחנו נוציא הנחיות לציבור, במיוחד לאותו ציבור פחות מקצוען שפחות נעזר בבעלי מקצוע, כדי להבין מה השינוי התפישתי שהוא צריך לחוות עכשיו בעקבות התקנות החדשות.

ענת ברקו: יש הרבה אנשים שמבינים שזה עלול לפגוע בפרטיותם של אנשים אחרים.

ענת ברקו: כשאני מדברת על תקינה, אני מדברת על רף מינימום שנדרש כדי לאבטח את המידע, את המאגר.

ענת ברקו: השאלה אם יש דרך לבקר את זה, האם יש איזו שהיא דרך לוודא שזה קורה.

ענת ברקו: אם לא תהיה דרך כזו, זה לא יקרה.

<ליאת בן מאיר שלום: בשביל זה לרגולטור יש סמכויות פיקוח.

ענת ברקו: זה יבוא לידי ביטוי בתקנות?

<ליאת בן מאיר שלום: בחוק הגנת הפרטיות.

<ניר יעקב גרסון: תקינה מטילה יותר מעמסה על היחיד, היא מחייבת אותו לקבל הסמכה.

רויטל סויד: יש את זה בהמשך.

ענת ברקו: אני לא יודעת אם התקן אינו מחייב אותו לקבל יותר הסדרה.

ענת ברקו: כמו שכעצמאי אתה צריך להיעזר במנהל חשבונות או ברואה חשבון, כך אני חושבת שלהפיל את זה על הקוסמטיקאית נראה לי לא רציני.

ענת ברקו: זה לא יקרה.

ענת ברקו: אם אנחנו רוצים להבטיח שהמאגר לא ידלוף, צריך באיזה שהוא אופן ייעוץ של גורמים מקצועיים שיגידו שהמאגר נבנה כמשהו בטוח.

ענת ברקו: אני לא מדברת על משהו ברמה עליונה, אבל לפחות משהו סביר, משהו שלא כל אחד יוכל להיכנס ולשלוף נתונים.

<גילי בסמן-ריינגולד: יהיו הנחיות של רמו"ט בהקשר הזה.

אלעזר שטרן: מעבר למה שדיברנו עכשיו על הנושא של יחיד, יש חוסר בהירות לגבי כל הנושא של העברה לחו"ל.

אלעזר שטרן: מה המשמעות של זה?

אלעזר שטרן: ניקח את הקוסמטיקאית שיש לה את מאגר הלקוחות שלה.

אלעזר שטרן: המידע יושב על ענן שהשרתים שלו נמצאים בקליפורניה.

אלעזר שטרן: האם זו העברה לחו"ל?

אלעזר שטרן: בגלל שחלק מהאמצעים המחשוביים הם כאלה שהם חוצים גבול, המונחים פה הם עמומים.

אלעזר שטרן: השאלה מה נחשב העברה לחו"ל, מתי משהו נחשב שהוא פה בארץ.

<יהונתן קלינגר: היא שומרת את זה על קובץ אקסל בג'י-מייל שלה.

אלעזר שטרן: האם זה נחשב העברה לחו"ל?

<דן חי: יש תקנות שעוסקות בזה.

<דן חי: יש תקנות העברת מידע לחו"ל.

<דן חי: אם ההגדרה לא ברורה, שם צריך לתקן.

רויטל סויד: למה אתם התכוונתם?

<ליאת בן מאיר שלום: התכוונו לחוק הגנת הפרטיות.

<ליאת בן מאיר שלום: בסעיף 9 לחוק הגנת הפרטיות כתוב שבקשה לרישום מאגר מידע תפרט, בין היתר, פרטים בדבר העברת מידע מחוץ לגבולות המדינה.

<אייל זנדברג: התקנות פה עושות סדר, הן לאו דווקא קובעות מחדש.

אלעזר שטרן: אבל פה אתה בא ומחיל את זה על גורמים פרטיים וקטנים.

<ליאת בן מאיר שלום: היום זה מוחל גם על גורמים פרטיים.

<ליאת בן מאיר שלום: גם הבקשה לרישום מאגר מידע חלה.

ענת ברקו: מה קורה עם זה?

אלעזר שטרן: אני חושב שיש הבדל בין חובה כללית בחוק, לבין מצב שאתה פורט את הדברים לפרוטות.

אלעזר שטרן: גם היום יש חובת אבטחת מידע מכוח סעיף 17 לחוק.

אלעזר שטרן: אני מנסה להבין מה אני אמור לכתוב בתור בעל מאגר.

אלעזר שטרן: נניח שהדברים שלי נמצאים בענן, האם זה נחשב העברת מידע?

<גילי בסמן-ריינגולד: זה קודם כל אמור לעורר לך את המחשבה שיש לך מידע לא מאוחסן.

אלעזר שטרן: מה התשובה שאני אמור לתת?

<גילי בסמן-ריינגולד: אתה אמור לאחסן אותו במקום מספיק מאובטח, במקום שיהיה בהתאם להנחיות של רמו"ט.

רויטל סויד: אולי צריך לציין את זה.

אלעזר שטרן: מה אני צריך לכתוב?

אלעזר שטרן: אני לא יודע מה לכתוב.

<גילי בסמן-ריינגולד: אתה קודם כל צריך לדעת ולבדוק לאן אתה מעביר את המידע שלך.

<גילי בסמן-ריינגולד: אחרי שתדע באיזו מדינה המידע שלך נמצא, תוכל לגשת לאתר של רמו"ט, לראות את ההנחיות שרמו"ט הוציאה, ואולי לבחור בספק אחר שמאחסן במדינה אחרת שדיני הגנת הפרטיות בה יותר מתאימים.

רויטל סויד: בהנחה שאני קוסמטיקאית, עורכת דין, רואת חשבון, אני אמורה לבדוק איפה הענן שלי יושב, איפה השרת?

רויטל סויד: אין לי שום יכולת לעשות את זה.

<גילי בסמן-ריינגולד: אנחנו לא מצפים שתלכי לבדוק.

<גילי בסמן-ריינגולד: את תראי באיזה ספק שירותים את משתמשת.

<גילי בסמן-ריינגולד: רמו"ט תפרסם עם איזה ספקים לפי דעתה ניתן לעבוד, עם איזה ספקים הגיעו להסדרים, איזה ספקים מיישמים את התקנות.

<גילי בסמן-ריינגולד: אנחנו קופצים לתקנה 20, ששם אנחנו יכולים להגדיר כמסמכי ייחוס מחזיקים שעומדים בתקנים או בתקנות שאנחנו דורשים.

<גילי בסמן-ריינגולד: זה חלק מההתפתחות שתהיה.

<גילי בסמן-ריינגולד: תידרש קפיצת מדרגה וקפיצת מחשבה ממי שמחזיק מידע אישי.

<גילי בסמן-ריינגולד: זו המטרה של התקנות האלו.

<ליאת בן מאיר שלום: אל תחשבו רק על קוסמטיקאית.

<ליאת בן מאיר שלום: התקנות האלו חלות לגבי כלל המאגרים.

רויטל סויד: יכול להיות שצריך לסייג את הנקודה הספציפית הזאת לגבי מאגרי יחיד.

<גילי בסמן-ריינגולד: כבר היום יש תקנות העברת מידע לחו"ל שמתייחסות לכל המאגרים ולכל המידעים.

<גילי בסמן-ריינגולד: נורא קל לתת את הדוגמה של הקוסמטיקאית, אבל יש גם פסיכיאטר שמחזיק מידע מאוד מאוד רגיש.

<יהונתן קלינגר: פסיכיאטר לא מוגדר מאגר יחיד לפי ההגדרות.

<גילי בסמן-ריינגולד: במהות הוא אותו יחיד.

אלעזר שטרן: זה נכון, יש היום חובה בחוק לאבטחת מידע ותקנות על העברת מידע לחו"ל, אבל אנחנו לא יכולים להתעלם מכך שאל"ף, הרוב המכריע של הגורמים שהם מאגרי מידע לפי החוק לא רשום, ובי"ת, ספק אם הם מודעים לזה שהם צריכים להיות רשומים.

אלעזר שטרן: זה נכון שיש היום חובה כללית, אבל זה נראה שברובה המכריע היא לא מיושמת.

<גילי בסמן-ריינגולד: כל המאגרים הרשומים מודעים לזה.

אלעזר שטרן: הרשומים כן, אבל כמה לא רשומים?

<ניר יעקב גרסון: הרישום הוא רק חובה אחת פרוצדוראלית.

<ניר יעקב גרסון: גם מי שלא מקיים אותה חייב בחובת אבטחת מידע.

<ניר יעקב גרסון: גם מי שלא מכיר את המונח "חוק הגנת הפרטיות" יודע שהוא צריך לאבטח את המידע שלו, יודע שיש עליו חובה.

אלעזר שטרן: זה קל מאוד להיתלות בעובדה שמבחינה נורמטיבית קיים חיקוק.

אלעזר שטרן: הוועדה לא יכולה להתעלם ממציאות שבה הרוב המכריע של המאגרים לא רשום.

אלעזר שטרן: אם אנשים לא מודעים לזה שהם צריכים להירשם, ספק אם הם יהיו מודעים לעובדה שחלים עליהם סטנדרטים כאלה ואחרים.

<ליאת בן מאיר שלום: דווקא התקנה הספציפית הזאת אמורה להעלות את הדבר לרמת מודעות.

<ליאת בן מאיר שלום: הוועדה לא יכולה להתעלם מזה שברגע שיש העברת מידע למחזיק שנמצא בחו"ל יש סיכון של אבטחה.

<ליאת בן מאיר שלום: גם מזה אי אפשר להתעלם.

<אייל זנדברג: מה המענה?

<אייל זנדברג: האם המענה הוא לא להחיל את הנורמה הזאת על מאגרים כאלה?

אלעזר שטרן: ההנחה שלכם היא שיהיה אפשר לקיים את התקנה הזאת רק אחרי שרמו"ט יוציאו הנחיות?

<אייל זנדברג: לא.

<אייל זנדברג: לא כל גורם בהכרח עושה את הפעולות.

רויטל סויד: איך אנשים ידעו מזה?

<גילי בסמן-ריינגולד: איך יודעים על כל חקיקה חדשה?

<גילי בסמן-ריינגולד: איך אני יודעת שבתור אזרחית אמריקאית אני צריכה למלא טפסי מס כי החליטו שבארצות הברית אני צריכה לשלם מיסים?

רויטל סויד: זה לא אותו.

רויטל סויד: כשאני צריכה לשלם משהו אני עושה איזו שהיא פעולה.

רויטל סויד: פה את מטילה חובה על אדם שהיא בינו לבין לעצמו.

רויטל סויד: המסמך הזה נשאר אצלי במגירה.

<דן חי: זה לא מדויק.

<יהונתן קלינגר: אם את פונה אלי לבקשת מידע לפי סעיף 11, את חייבת להודיע לי אם יש חובה חוקית למסור לך את המידע, מה השימושים שייעשו במידע.

רויטל סויד: אני לא מדברת על המאגרים הגדולים, אני מדברת על מאגרי היחיד הקטנים.

<יהונתן קלינגר: סעיף 11 חל גם על מאגר יחיד.

<יהונתן קלינגר: את מתקשרת אלי בתור סוכן ביטוח.

<יהונתן קלינגר: את אומרת לי: יהונתן, אני רוצה לתת לך הצעה, תגיד לי מה גודל הדירה שלך.

<יהונתן קלינגר: אני אומר לך שאני אתן לך את המידע, רק תגידי למי את מעבירה, מה את עושה עם המידע.

<יהונתן קלינגר: את פשוט מוציאה את המסמך הזה.

רויטל סויד: אני מצטערת שאני הולכת לדוגמה של הקוסמטיקאית.

רויטל סויד: זה אפילו לא עורך דין ולא רואה חשבון.

רויטל סויד: לסוכן ביטוח יש יותר מידע, יש יותר מודעות.

רויטל סויד: איך הקוסמטיקאית אמורה לדעת?

<יהונתן קלינגר: התפישה הנכונה צריכה להיות שהקוסמטיקאית, גם אם היא מאגר יחיד, תלך לשירותי צד ג', היא לא תאחסן אצלה.

<יהונתן קלינגר: היא תדע שיש "כספות" שמספקות שירותי מאגר מידע ליחיד ומאבטחות את זה במחיר סמלי.

<יהונתן קלינגר: זה האופטימאלי.

<יהונתן קלינגר: ברור לי שזה לא יקרה, כי אצל רוב הקוסמטיקאיות - -

<ליאת בן מאיר שלום: היא לא לוקחת היום טכנאי מחשבים בשביל להתקין?

<ליאת בן מאיר שלום: מה חדש בזה?

<ליאת בן מאיר שלום: היא לא לוקחת מנהל חשבונות?

<אייל זנדברג: זה עולם שבו צריך לקבל שירותים.

<ליאת בן מאיר שלום: גם היום היא צריכה לעשות את זה לפי התקנות הקיימות.

<ליאת בן מאיר שלום: התקנות האלו מחדדות, הן נותנות משהו מאוד מאוד בסיסי שחל על היחיד.

<יהונתן קלינגר: הקוסמטיקאית צריכה מודעות.

<יהונתן קלינגר: הייתי שמח אם רשות משפט וטכנולוגיה תכין מסמך המלצות לבעל מאגר יחיד.

<דן חי: אני חושב שהתקנה הזאת מאוד נכונה וחשובה.

<דן חי: אם מדברים על בנקים וחברות ביטוח, אז הדברים מסודרים, הם לא צריכים את התקנה כדי לעשות מסמך כזה.

<דן חי: ככל שיורדים לגופים יותר קטנים, למשל הקוסמטיקאית, רואים חוסר סדר, אפילו הפקרות בכל מה שקשור למידע האישי.

<דן חי: צריכה להיות הסדרה מאוד ברורה.

<דן חי: אני לקוסמטיקאית יכול להגיד אם היו לי ניתוחים פלסטיים, אם אני רגיש באיזה מקום, או אם באיזה מקום אני רוצה כך ולא אחרת.

<דן חי: זה מידע שאני לא רוצה שידלוף החוצה.

<דן חי: אם אצלה תהיה הפקרות, אז יכול לבוא חבר כנסת ולספר לה דברים שיגחכו עליהם בכל מיני מקומות.

<דן חי: אני רוצה שהיא תעשה לעצמה סדר, שהיא תשב ותחשוב מה יש לה במאגר, מה היא עושה בו, איפה היא שומרת אותו.

<דן חי: היא צריכה להיות מודעת לזה.

<דן חי: אם היא לא יכולה להיות מודעת, שתלך ליועץ אבטחת מידע שיסביר לה.

<דן חי: המסמך הזה מאוד חשוב בהליכים משפטיים, לא רק בפיקוח של רמו"ט.

<דן חי: אם מחר יתבעו אותה, היא תוכל להראות את המסמך שהיא הגדירה לעצמה.

רויטל סויד: והפוך.

<דן חי: למה הפוך?

רויטל סויד: כי התביעה הזאת יכולה להיות גם במידה והיא לא הבינה.

<דן חי: אם יגידו לה שהיא בכוונה עשתה 1,2, ו-3, אז היא תגיד שזה לא היה בכוונה.

<דן חי: אני חושב שבתובענות ייצוגיות זה יכול להיות מאוד רלוונטי לחברות.

<דן חי: אני חושב שזאת תקנה מאוד חשובה.

<דן חי: בעל מאגר מידע צריך לעשות לעצמו סדר, אפילו אם מדובר בקוסמטיקאית.

<דן חי: היא צריכה להבין שזה שהיא שומרת מידע, לפעמים מידע שהוא מאוד רגיש, זה דורש ממנה.

<דן חי: אם לא, שתשמור רק את השם והטלפון כך שזה לא יהיה מאגר מידע.

<ניר יוגב: מדובר בתקנות שדיברו עליהן בשנת 2010, אחר כך בשנת 2012.

<ניר יוגב: ב-5 השנים האחרונות לא התקיים איזה שהוא דיאלוג, לפחות לא איתנו, בנושא הזה.

<ניר יוגב: 5 שנים בעולם אבטחת מידע ומערכות מידע זה המון זמן.

<ניר יוגב: חברות רוכשות חברות, מערכות יורדות, מערכות מוספות.

<ניר יוגב: אנחנו חושבים שהיה נכון, עוד לפני שמעלים את הנושא להצבעה פה בוועדה, לקיים סבב נוסף, לנער את האבק מעל הנושא הזה ,להבין אם מה שכתוב נכון, אם אפשר ליישם אותו.

רויטל סויד: זה מה שאנחנו עושים עכשיו.

<ניר יוגב: יש חברות תקשורת וגופים נוספים במשק שכפופים להנחיות של רא"ם.

<ניר יוגב: רא"ם מיישמים תכנית הגנה על תשתיות קריטיות.

<ניר יוגב: הם אומרים לנו מה לעשות, איך לעשות, מתי לעשות.

<ניר יוגב: הם מבקרים את הביצוע של מה שהם מגדירים.

<ניר יוגב: תכנית העבודה שאנחנו מייצרים בכל מה שקשור לאבטחת מידע עם רא"ם נקבעת על בסיס הערכות האיומים הקונקרטיים כפי שרא"ם רואים אותם.

<ניר יוגב: הם נפגשים עם הארגונים, הם מכירים את הארגונים ואת המערכות שיש לנו ולאחרים באופן מעמיק.

<ניר יוגב: הם מייצרים סדרי עדיפויות.

<ניר יוגב: גם הם מבינים שהמשאבים שיש לפיתוח של ההנחיות שלהם הם משאבים מוגבלים.

<ניר יוגב: התקנות שמובאות לפה לא נעשות על בסיס ההיכרות של רמו"ט עם כל חברה וחברה בשוק הישראלי.

<ניר יוגב: גם אי אפשר לצפות שזה מה שיקרה.

<ניר יוגב: יש איזו שהיא התנגשות בהיבט של סדרי העדיפויות, כי רא"ם באים ואומרים לנו לעשות א', ב', ג', ופתאום אנחנו מקבלים תקנות שמדברות על לעשות דברים אחרים, עם לוחות זמנים אחרים.

<ניר יוגב: אנחנו חושבים שבעניין הזה נכון היה לקבוע שגופים שכפופים לרא"ם, שפועלים על פי הנחיותיהם, לא יהיו כפופים לתקנות האלו.

<ניר יוגב: דבר נוסף, וזו טענה חלופית, שהתקנות האלו, כמו שאנחנו רואים אותן על גוף כמו חברת תקשורת גדולה, הן הנחיות שמחייבות השקעת משאבים עצומה.

רויטל סויד: התקנות הבאות מתייחסות לכך.

אלעזר שטרן: זו סוגיית רוחב שהזכרנו בדיון הקודם, היא לא קשורה רק אליכם.

אלעזר שטרן: בדיון הקודם היו גורמים נוספים שהעלו את זה.

אלעזר שטרן: זה סביב תקנה 20, ששם יש סמכויות לרשם לפטור או לא לפטור.

אלעזר שטרן: שם זה המקום המתאים יותר לדון בשאלת הרגולציות המקבילות לרגולציה הזאת.

<מרגלית לוי: אני רוצה להתייחס לעניין הסמכויות.

<מרגלית לוי: יש איזו שהיא בעייתיות בתקנות בהיבט של הסמכויות, כאשר אני מדברת על המאגר הביומטרי שנמצא אצלנו.

<מרגלית לוי: אנחנו מדברים על כך שאת ההנחיות לעניין אבטחת מידע אנחנו מקבלים מרא"ם, מרשות הסייבר.

<מרגלית לוי: הם הרגולטור לעניין מאגר המידע הביומטרי, לרבות הסיכונים, הדיווחים וכל מה שנדרש.

<ליאת בן מאיר שלום: איך זה קשור לתקנה 2?

<מרגלית לוי: לאורך כל התקנות יש הנחיות שאתם מחילים עלינו.

<מרגלית לוי: יש הנחיות שהרשם צריך להחיל עלינו.

<מרגלית לוי: יש סעיפים שאנחנו לא רואים מקום להכניס בתקנות האלו.

<מרגלית לוי: לנו יש את החוק הפרטי שלנו.

<מרגלית לוי: הוא די מפורט, הוא די מביא לידי ביטוי את כל הנושא של אבטחת המידע והגנת הפרטיות.

<ליאת בן מאיר שלום: כפי שאלעזר אמר, הנושאים האלה יידונו במסגרת הדיון בתקנה 20.

<ליאת בן מאיר שלום: איך מה שאת אומרת קשור לתקנה 2?

<מרגלית לוי: אני מניחה שאתם מבינים שכאשר מדובר במאגר מידע , הסיכונים והתמודדות עימם לא נמצאים באותו מסמך, הם נמצאים מסווגים במקום אחר, נפרד מהמסמך הזה.

<מרגלית לוי: הם לא נמצאים בתוך הדיווח הזה.

רויטל סויד: מה את מציעה?

<מרגלית לוי: אנחנו לא יכולים להיות כפופים להנחיות האלו.

<מרגלית לוי: לנו יש הנחיות מפורטות.

רויטל סויד: בהנחה שאתם כפופים, מה את מציעה לניסוח?

<מרגלית לוי: יש סעיפים שאנחנו חייבים להחריג.

רויטל סויד: האם ההפרדה בין מסמך הסיכונים למסמך בדבר אופן ההתמודדות זה משהו שיכול לתת את המענה ואת הפתרון לחשש הדי הגיוני שאת מעלה?

<מרגלית לוי: צריך להכיר בזה שיש מאגרי מידע שמונחים על ידי גופים אחרים.

<מרגלית לוי: הם אלה שמנחים איך לנהל את מאגרי המידע.

<מרגלית לוי: אם יש הנחיות של גוף אחר, אנחנו לא יכולים להיות כפופים לשני גופים בו זמנית.

ענת ברקו: ההנחיות של גופי הביטחון גוברות על הכל.

<מרגלית לוי: אם אנחנו מסתכלים על ההנחיות וההוראות שמוסדרת בחוק להסדרת הביטחון, ששם יש את ההנחיות שלנו מכוח הרגולטור, איך אנחנו עומדים בהנחיות הסותרות האלו?

<מרגלית לוי: חוק המאגר הביומטרי הוא אחד החוקים המפורטים ביותר.

רויטל סויד: אני לא חושבת שאת רוצה לפתוח את נושא הביומטרי, בטח לא איתי.

רויטל סויד: דוגמה רעה מאוד.

<אלון בכר: הסמכות שלנו לא השתנתה בעקבות התקנות האלו, רק מפורט בהן הסטנדרט באופן שיהיה יותר קל לגורמים להבין מה הם צריכים לעשות.

<אלון בכר: גם בנושא של רא"ם והרשות הלאומית להגנת הסייבר אין שום שינוי.

<אלון בכר: גם היום יש גוף שמנחה את הגופים בתשתיות קריטיות.

<אלון בכר: הוא עובד במקביל לרמו"ט, אין התנגשויות.

<אלון בכר: כל אחד אחראי על התחום שלו.

<אלון בכר: רמו"ט מנחה, אוכפת וקובעת את הסטנדרט במקום של הניהול האישי, של השימושים בו.

<אלון בכר: אבטחה זה רק אחד מהדברים.

<אלון בכר: יש הרבה מאוד דברים נוספים שקשורים למידע אישי שרמו"ט אמונה עליהם.

<אלון בכר: בהקשר הזה לא השתנה שום דבר.

<מרגלית לוי: אני לא מסכימה איתך.

<אלון בכר: מה שהיה נשאר אותו דבר בדיוק.

<אלון בכר: זה שסמכות הועברה משירות ביטחון כללי לרשות הלאומית להגנת הסייבר עדיין לא אומר שאנחנו לא עובדים איתם בשיתוף פעולה הדוק.

<אלון בכר: אני יכול להגיד שאנחנו עובדים איתם בשיתוף פעולה אפילו יותר הדוק, כיוון שאנחנו בדין ודברים יום יומי על הסטנדרטים החדשים שנקבעים במקומות אחרים.

<אלון בכר: חוץ מאשר לנסות לעשות מקצה שיפורים בלהוריד רגולציה של הזכות להגנה על מידע אישי ופרטיות, אני לא רואה פה שום דבר אחר.

<אלון בכר: גם אם יגידו את הדברים 10 פעמים, אני מציע שאף אחד מאיתנו לא יתבלבל.

<אלון בכר: רמו"ט לא מגינה על תשתיות קריטיות, היא לא נכנסת לסמכויות של גופי הביטחון.

<אלון בכר: מצד שני, יש הרבה מאוד דברים שרמו"ט אמונה עליהם שגופי הביטחון בכלל לא נכנסים אליהם.

<אלון בכר: גם על זה אין ויכוח.

רויטל סויד: מה יקרה כשתהיה סתירה בין החובות שמוטלות עליהם היום לחובות שבתקנות?

<אלון בכר: אין סתירות.

<אלון בכר: אנחנו עושים כל מה שאנחנו יכולים כדי שלא יהיו סתירות.

<אלון בכר: גם היום הגופים מקבלים הנחיות משירות ביטחון כללי - תיכף הם יקבלו את ההנחיות מגוף חדש - וביקורת והנחיות מרמו"ט.

<אלון בכר: אנחנו פועלים כבר 10 שנים במקביל.

<אלון בכר: יש תיאום הדוק.

<אלון בכר: אף אחד מאיתנו גם לא רוצה לתת הנחיות סותרות.

<אלון בכר: רמו"ט רוצה לתת הנחיה שסותרת הנחיה של גוף אחר?

<אלון בכר: לא.

<אלון בכר: אנחנו יושבים איתם, אנחנו מתואמים איתם.

<אלון בכר: התחייבנו זה לזה שלא ניתן שתהיה רגולציה הפוכה.

<אלון בכר: זה לא האינטרס שלנו, שלהם ושל אף אחד אחר.

<אלון בכר: אין סיבה להעלות איזה חשש תיאורטי כדי להוריד מעצמך איזה עול רגולטורי שבנוי על זכות יסוד חוקתית.

<אלון בכר: אני מציע שנזכור שעל זה אנחנו מדברים.

<אלון בכר: הרבה מאוד מהדברים יידונו בתקנה 20.

<אלון בכר: תקנה 20 באה להסדיר את המקומות שבהם לא תהיה סתירה תיאורטית שלא מתממשת, או רגולציה שתהיה עודפת על מה שכתוב ברגולציה הכללית הזאת.

<אלון בכר: ברור שאם אתה מקבל רגולציה מחמירה יותר, רמו"ט לא תגיד לך: תעשה את הרגולציה שכתבתי בתקנות.

<אלון בכר: לא יהיה כזה דבר.

<אייל זנדברג: צריך לשים לב שמה שבנינו בתקנה 20 הוא מודל משוכלל.

<אייל זנדברג: הסוגיה הזאת של כפילות רגולטורים קיימת כבר היום, היא לא רק בהגנת הפרטיות.

<אייל זנדברג: בנינו כאן מודל שנותן לזה ביטוי.

<אייל זנדברג: במקום להבין כמה זה מקדם אותנו, כמה זה מבהיר את העניינים, נתפסים לזה שזה מקור הבעיה.

<אייל זנדברג: זה מציף קושי שיש לו פתרון אמיתי.

<אייל זנדברג: אם היינו שומעים קודם את ההערות של משרד הפנים, שרת המשפטים יכולה הייתה להתייחס להערות.

<יהונתן קלינגר: אומרת כאן יועצת משפטית ממשרד הפנים שבמאגר הביומטרי הם לא מסוגלים לעמוד בהוראות הנחיית אבטחת המידע שמשרד המשפטים מציע למאגרים.

<יהונתן קלינגר: צריך לזכור, המאגר שהם הולכים להקים הרבה יותר רגיש מכל מאגר שההוראות האלו אמורות לחול עליו.

<יהונתן קלינגר: הם אומרים שהם לא יהיו מסוגלים לעמוד בהוראות האלו.

<מרגלית לוי: זה לא מה שאמרתי.

<מרגלית לוי: אמרתי שיש סתירה.

<יהונתן קלינגר: הרשות הביומטרית לא רשמה את מאגר המידע במשרד המשפטים עד שנת 2015.

<יהונתן קלינגר: היא איחרה ברישום, היא לא מינתה ממונה אבטחת מידע בתקופה מסוימת, היא לא עמדה בהנחיות.

<יהונתן קלינגר: כל הדברים האלה הם סיבה דווקא למה כן להחיל עליהם את התקנות.

<יהונתן קלינגר: תקנה 2 היא תקנה מצוינת.

<יהונתן קלינגר: כמובן שצריך לעשות את האיזונים בכל הנוגע למחזיק מאגר יחיד.

<יהונתן קלינגר: בסעיף קטן (ג) צריך להוסיף את המילים "סוגי מידע".

<יהונתן קלינגר: חברת תקשורת יכולה להחליט שלגבי הלקוחות שכבר אינם לקוחות שלה למעלה מ-7 שנים היא משמיטה את המידע.

<יהונתן קלינגר: היא גם יכולה להחליט שהיא שומרת סוג מידע מסוים, למשל אם האדם הזה מבקר באופן תדיר במרכזי השירות שלה.

<יהונתן קלינגר: מחר היא תעשה בחינה אם להשמיט לא רק את המידע, גם את סוג המידע - נתונים גיאוגרפים, נתונים דמוגרפיים, העדפה מינית.

<יהונתן קלינגר: אני חושב שבחינת ההשמטה צריכה להיות למידע ולסוגי מידע.

<רפאל פרנקו: הרשות הלאומית לסייבר, בשונה מרא"ם, מחילה את ההגנה מהאזרח ברחוב עד התשתיות הקריטיות.

<רפאל פרנקו: היא לא מסתכלת רק על תשתיות קריטיות.

<רפאל פרנקו: זו הבשורה שאני חושב שהרשות מביאה לאזרחי ישראל.

<רפאל פרנקו: כבר היום מתקבלות פניות מהאזרח הבודד, דרך חברות קטנות ובינוניות, על-מנת לקבל מענה.

<רפאל פרנקו: כשאתם שואלים איפה האזרח נפגש עם העולם הזה של ההגנה, אז זה מתחיל קודם כל באיך הוא שומר על הנכסים הפרטיים שלו, איך הוא מגבה את המידע על הפנסיה שלו, איך הוא מגבה את המידע על ביטוח החיים שלו, איך הוא מגבה את התעודות המקצועיות שהוא צבר במהלך החיים.

<רפאל פרנקו: רשות הסייבר נכנסת מהרמה הבסיסית הזאת של האזרח.

<רפאל פרנקו: אפשר להגיע לדברים יותר בנאליים וטריוויאליים – תמונות של סוף השבוע, חגיגת בר מצווה.

<רפאל פרנקו: כבר ברמה הזאת יש הנחיות שעברו טיוטה ראשונה, עברו בסיס של היוועצות.

<רפאל פרנקו: זה מתחיל שם ונגמר בתשתיות הקריטיות.

<רפאל פרנקו: 15 תשתיות קריטיות מתוך 25 של מדינת ישראל עוברות לאחריות אבטחתית והנחיית רשות הסייבר ב-1 במרץ.

<רפאל פרנקו: רשות הסייבר רואה את עצמה אחראית על תחום הגנת הסייבר במדינת ישראל.

<רפאל פרנקו: ככל שאנחנו מדברים על פרטיות שמתממשקת לסייבר, כך אנחנו מנסים לייצר כמה דברים.

<רפאל פרנקו: אחד, שלא תהיה כפילות.

<רפאל פרנקו: שתיים, שלא יהיה כפל רגולציה ופיקוח על תשתיות מונחות.

<רפאל פרנקו: על זה אנחנו עובדים.

<רפאל פרנקו: כשאני אומר להטמיע כדוגמת firewall, ברור שאנחנו לא רוצים שיטמיעו שני firewall, ברור שאנחנו לא רוצים שיביאו שתי בקרות.

<רפאל פרנקו: על האירוע הזה אנחנו עובדים.

<רפאל פרנקו: כמו שהתחייב אלון, ראש רמו"ט, לא יהיה כאן כפל רגולציה.

<רפאל פרנקו: מאוד חשוב לנו להימנע מבלבול האזרחים והמשק.

<רפאל פרנקו: את ההוראות ואת ההנחיות בעולם הגנת הסייבר נותנת רשות הסייבר.

<רפאל פרנקו: ככל שהדבר שונה בפרטיות, עולם הפרטיות סוברני להחליט בעצמו.

אלעזר שטרן: האם הערה לעניין הוספת המילים "סוג המידע" מקובלת על משרד המשפטים?

<ליאת בן מאיר שלום: מידע כולל סוג והיקף מידע.

<ליאת בן מאיר שלום: מידע זה הכל, אין צורך להוסיף.

רויטל סויד: זה לא סותר את מה שהתכוונתם אליו.

<ליאת בן מאיר שלום: זה לא נדרש.

<יהונתן קלינגר: כיוון שאת ואני לא נהיה האנשים שכותבים את מסמך ההנחיות לקוסמטיקאית, אני רוצה שהיא תדע שהיא יכולה לגרוע לקוחות שהם לא הלקוחות שלה כבר 5 שנים.

<גילי בסמן-ריינגולד: שלא יהיה מצב שבחקיקה שלא מופיע בה סוג מידע יחשבו שהתכוונו ללקוחות.

<דן חי: אני גם חושב שזה מיותר.

<יהונתן קלינגר: להבדיל מבדיקת הנחיצות הכללית של סיכונים ותיאור השימושים, יש סוגי מידע בסעיף (3).

רויטל סויד: השאלה אם זה יהיה קריטי אם יהיה תיקון שכזה, אם יהיה חידוד שכזה.

<ליאת בן מאיר שלום: מדוע האחידות נדרשת?

<יהונתן קלינגר: תסתכלי על סעיף קטן (3) ב-2(א).

<יהונתן קלינגר: את מדברת על סוגי מידע בהגדרות.

<ליאת בן מאיר שלום: ואם זה לא סוג מידע?

<ליאת בן מאיר שלום: אני רוצה שהיא תחשוב על הכל.

<ליאת בן מאיר שלום: אני רוצה שהיא תחשוב על היקף הזמן שהיא שומרת, על סוגי המידע.

<יהונתן קלינגר: היקף הזמן זה לא המידע.

<אייל זנדברג: זה מידע.

<ליאת בן מאיר שלום: מידע חובק הכל.

<יורם ביטון: איך אתם מתייחסים למאגר מידע יחיד שנמצא על טלפון סלולרי ויוצא מידי פעם לחו"ל?

<יורם ביטון: זה יכול להיות על מחשב נייד.

<ניר יעקב גרסון: מכשיר נייד הוא מחשב.

<ניר יעקב גרסון: אם הוא נכנס להגדרה של מאגר מידע, צריך לאבטח אותו.

<ניר יעקב גרסון: יכול להיות שם מידע מאוד רגיש.

<אייל זנדברג: יש תקנות שמסדירות יציאה לחו"ל.

<ניר יעקב גרסון: יש גם תקנה שמסדירה התקנים ניידים.

<ניר יעקב גרסון: אולי שם תהיה תשובה לשאלה שלך.

אלעזר שטרן: 3.

אלעזר שטרן: ממונה על אבטחת מידע.

אלעזר שטרן: חלה חובה למנות ממונה על אבטחת מידע, או מונה ממונה על אבטחת מידע במאגר המידע יחולו הוראות אלה: (1) ממונה אבטחה יהיה כפוף ישירות למנהל מאגר המידע או למנהל פעיל של בעל המאגר או המחזיק בו, לפי העניין, או לנושא משרה בכירה אחר הכפוף ישירות למנהל המאגר; (2) הממונה על אבטחה כיין נוהל אבטחת מידע ויביאו לאישור בעל המאגר; (3) הממונה יכין תכנית לבקרה שוטפת על העמידה בדרישות תקנות אלה, יבצע אותה ויודיע לבעל מאגר המידע ולמנהל המאגר על ממצאיו; (4) הממונה על אבטחה לא ימלא תפקיד נוסף שעלול להעמידו בחשש לניגוד עניינים במילוי תפקידו לפי תקנות אלה; (5) הטיל בעל מאגר המידע על ממונה על אבטחה משימות נוספות על החובות המנויות בפסקאות (2) ו-(3), לשם ביצוע תקנות אלה, יגדירן בצורה ברורה; בעל מאגר המידע יקצה לממונה את המשאבים הדרושים לו לשם מילוי תפקידו.

<ליאת בן מאיר שלום: התקנה לא מקימה בעצמה חובה למנות ממונה אבטחת מידע, אלא היא חלה במקום שבו חלה חובה לפי חוק הגנת הפרטיות.

<ליאת בן מאיר שלום: סעיף 17ב קובע חובות למינוי ממונה אבטחת מידע בכמה מקרים.

<ליאת בן מאיר שלום: מדובר בכמה עקרונות יסודיים שיאפשרו לו פעולה עצמאית, יכולת למלא את תפקידו, איסור ניגודי עניינים, הקצאת המשאבים שדרושים לו.

<ליאת בן מאיר שלום: הצורך בחידוד הזה עלה במסגרת העבודה של רמו"ט.

<ליאת בן מאיר שלום: הצורך בחידוד של הדברים עלה במינוי של ממונים שהיה להם ניגוד עניינים או שלא יכלו לבצע את תפקידם.

אלעזר שטרן: ניגוד עניינים מקצועי, לא אישי.

<ליאת בן מאיר שלום: כמובן.

<ליאת בן מאיר שלום: חובת אבטחת המידע חלה גם על ממונה אבטחת המידע.

<ליאת בן מאיר שלום: הצורך לחדד את הדברים עלה מדברים שנמצאו בעבודת רמו"ט.

<ניר יעקב גרסון: בארגונים שונים ההיררכיה הארגונית שונה.

<ניר יעקב גרסון: נתקלים לפעמים במקרים שבהם ממונה אבטחת המידע כפוף למנהל מערכות המידע, שזה מצב שיכול להציג ניגוד עניינים כי האחראי על מערכות המידע נמדד בעיקר לפי הביצועים.

<ניר יעקב גרסון: הוא רוצה שהמערכת תעבוד מהר, ביעילות.

<ניר יעקב גרסון: אמצעי אבטחת מידע, וזה לא סוד, מאיטים פעמים רבות את קצב המערכת.

<ניר יעקב גרסון: זה המחיר שמשלמים.

<ניר יעקב גרסון: אם נכפיף את ממונה אבטחת המידע למי שנמדד לפי ביצועי המערכת, הוא לא יוכל למלא את תפקידו באופן נאות.

<ניר יעקב גרסון: זה מבחינת ניגוד העניינים.

<ניר יעקב גרסון: ממונה אבטחת המידע צריך להיות בעל מעמד מינימאלי מבחינת הבכירות בארגון, כדי שיוכל לקדם את האג'נדה של אבטחת המידע, כדי שיוכל לוודא שהארגון נוהג לפיה, כמובן במגבלות של זה שהוא עובד בארגון היררכי וכפוף למנכ"ל.

<גילי בסמן-ריינגולד: הציג את זה יפה מאוד הממונה על אבטחת מידע בקופת חולים כללית.

<גילי בסמן-ריינגולד: הוא הציג כמה הדבר הזה נדרש בכדי לחזק את אותם אנשים שאחראים על אבטחת מידע בארגונים כלפי ההנהלה שלהם.

אלעזר שטרן: אולי כדאי לפצל את פסקה (5) לשתיים.

<ליאת בן מאיר שלום: בסדר.

<יהונתן קלינגר: רק הערה אחת לגבי הממונה שלא יהיה בניגוד עניינים.

<יהונתן קלינגר: רופאים ובעלי מקצוע שיש להם חובה על פי חוק, הם לא בעלי מאגר מידע יחיד, לכן הסעיף הזה חל עליהם במלואו.

<יהונתן קלינגר: תחשבו על רופא עם קליניקה פרטית.

<יהונתן קלינגר: הוא גם בעל המאגר, גם מנהל מערכות מחשוב וגם מנהל אבטחת המידע.

רויטל סויד: השאלה אם הוא נכנס בהגדרה של 17ב לחוק.

<ליאת בן מאיר שלום: לא חלה חובה למנות ממונה אבטחת מידע.

<יהונתן קלינגר: למה?

<יהונתן קלינגר: הוא לא יחיד.

<ליאת בן מאיר שלום: לא ייצרנו חובה חדשה למנות ממונה אבטחת מידע.

אלעזר שטרן: 4.

אלעזר שטרן: נוהל אבטחה.

אלעזר שטרן: (א) בעל מאגר המידע יקבע במסמך נוהל אבטחת מידע (להלן – נוהל האבטחה) בהתאם למסמך הגדרות המאגר ותקנות אלה, אשר יחייב את כל בעלי ההרשאה בהתאם לפרטים מהנוהל שאליו הוא חשוף לפי תקנת משנה (ב). (ב) בעל מאגר מידע ישמור את נוהל האבטחה כך שפרטים ממנו יימסרו לבעלי הרשאה רק בהיקף הנדרש לצורך ביצוע תפקידיהם.

אלעזר שטרן: (ג) נוהל האבטחה יכלול, בין היתר, את כל אלה: (1) הוראות בעניין האבטחה הפיזית והסביבתית של אתרי המאגר כאמור בתקנה 6.

אלעזר שטרן: (2) הרשאות גישה למאגר המידע, ולמערכות המאגר בהתאם לתקנה 8; (3) תיאור של אמצעים שמטרתם הגנה על מערכות המאגר ואופן הפעלתם לצורך כך; (4) הוראות למורשי הגישה למאגר המידע, ולמערכות המאגר לצורך הגנה על המידע במאגר; (5) הסיכונים שחשוף להם המידע שבמאגר במסגרת הפעילות השוטפת של בעל מאגר המידע, לרבות אלה הנובעים ממבנה מערכות המאגר כמפורט בתקנה 5(א), אופן קביעת סיכונים אלה, ואופן הטיפול בהם, לרבות על ידי מנגנוני הצפנה מקובלים להגנה על המידע השמור במאגר או במערכות המאגר; (6) אופן ההתמודדות עם אירועי אבטחת מידע כאמור בתקנה 11, לפי חומרת האירוע ומידת רגישות המידע; (7) הוראות לעניין ניהול של התקנים ניידים ושימוש בהם כאמור בתקנה 12; (ד) במאגר מידע שחלה עליו רמת האבטחה הבינונית או הגבוהה, יכלול נוהל האבטחה, בנוסף לאמור בתקנת משנה (ג), התייחסות גם לכל אלה: (1) אמצעי הזיהוי והאימות לגישה למאגר ולמערכות המאגר, בהתאם לתקנה 9; (2) אופן הבקרה על השימוש במאגר המידע, ובכלל זה תיעוד הגישה למערכות המאגר כאמור בתקנה 10; (3) הוראות לעניין עריכת ביקורות תקופתיות לוידוא קיומם ותקינותם של אמצעי האבטחה לפי נוהל האבטחה ולפי תקנות אלה כאמור בתקנה 16; (4) הוראות לעניין גיבוי הנתונים האמורים בתקנה 18(א)(1); (5) הוראות לעניין אופן ביצוע פעולות פיתוח במאגר ותיעודן, ובכלל אלה אופן הגישה של אנשי הפיתוח לנתונים במאגר.

אלעזר שטרן: (ה) בעל מאגר מידע יבחן, אחת לשנה, את הצורך בעדכון הנוהל, ובל לגרוע מן האמור, יבחן אם יש צורך בעדכונו של הנוהל במקרים אלה: (1) נעשים שינויים מהותיים במערכות המאגר או בתהליכי עיבוד מידע; (2) נודע על סיכונים טכנולוגים חדשים הנוגעים למערכות המאגר.

אלעזר שטרן: (ו) ארגון שהוא בעל כמה מאגרי מידע, רשאי לקבוע נוהל אבטחה כאמור בתקנה זו, במסמך אחד לעניין כל מאגרי המידע שברשותו, המצויים באותה רמת אבטחה.

<גילי בסמן-ריינגולד: אחרי שעברנו את השלב הראשון של המיפוי במסגרת זה שהתקנות בנויות בצורה מודולרית, אנחנו עוברים לשלב השני, שזה לקבוע את נוהל האבטחה עצמו.

<גילי בסמן-ריינגולד: אנחנו יורדים לרזולוציה יותר נמוכה.

<גילי בסמן-ריינגולד: לפני שאנחנו נכנסים לרזולוציה הזאת, פה כבר יוצאים אותם מאגרי מידע יחידים.

<גילי בסמן-ריינגולד: הם כבר לא צריכים להגיע לשלב יותר רציני.

<גילי בסמן-ריינגולד: התקנה הזאת בנויה משני שלבים.

<גילי בסמן-ריינגולד: שלב אחד הוא ראשוני.

<גילי בסמן-ריינגולד: כדי לא לקבוע איזו שהיא תקנה שמדברת על נוהל אבטחה, כן ניסינו לפרוט לפרוטות את ראשי הפרקים שאליהם צריך להיכנס בנוהל הזה - סיכונים, הרשאות, דרכי התמודדות שצריך לחשוב עליהם מראש.

<גילי בסמן-ריינגולד: אז קופצים לאותם מאגרי מידע של הרמה הבינונית והגבוהה, כאשר מהם נדרשות עוד התחייבויות.

<גילי בסמן-ריינגולד: אני לא חושבת שצריך לפרט אחד לאחד.

<גילי בסמן-ריינגולד: מדובר בראשי פרקים לבניית מסמך כזה.

<גילי בסמן-ריינגולד: בשוק המקצועי מפרטים את המובן מאליו, את הדברים הבסיסיים שנדרשים באבטחת מידע.

<ליאת בן מאיר שלום: החובות האלו מפורטות בתקנות הפרטניות.

<גילי בסמן-ריינגולד: תקנה (ו) נועדה להקל, לא להעמיס.

<גילי בסמן-ריינגולד: אם אתה מחזיק בכמה מאגרי מידע שהם באותה רמת אבטחה, אנחנו לא מצפים שיהיה נוהל נפרד לכל מאגר, אפשר לעשות נוהל מרוכז.

<ליאת בן מאיר שלום: וזה לא חל על יחיד.

רויטל סויד: במה אתה מגדירים שונה את המאגרים שנכנסים בתקנת משנה (ד) לעומת תקנת משנה (ג)?

<ליאת בן מאיר שלום: יש תקנות פרטניות שהתחולה שלהן משתנה לפי רמות האבטחה.

<ליאת בן מאיר שלום: כשמדובר ברמת אבטחה בינונית או גבוהה, יש דרישות נוספות בתקנות.

<ליאת בן מאיר שלום: אם תיקחי את (ד)(1), אז יש הפנייה לתקנה 9 בהקשר של רמת האבטחה הבינונית והגבוהה.

רויטל סויד: ואם אנחנו מסתכלים על (2) שמפנה לתקנה 10.

<ליאת בן מאיר שלום: זה ריכוז של החובות המהותיות.

<ליאת בן מאיר שלום: התוצרים במסמך מדיניות האבטחה הארגונית עולים בקנה אחד עם הדרישות המהותיות בתקנות.

<ליאת בן מאיר שלום: אותו מסמך מחייב את כל בעלי ההרשאה בארגון.

<ליאת בן מאיר שלום: כל אחד יודע בהתאם לתפקיד שלו.

<ליאת בן מאיר שלום: זה ריכוז התוצרים של מילוי החובות המהותיות שמופיעות.

רויטל סויד: נניח שאנחנו נמצאים במאגר ברמת אבטחה בינונית.

רויטל סויד: אנחנו מדברים פה על אופן בקרה, על השימוש ועל תיעוד הגישה למערכות.

רויטל סויד: בוא נניח שאנחנו מדברים על מאגר שנמצא במחשב שמשתמש בו אדם שהוא לא בעל המאגר, הוא לא קשור אליו במקום העבודה שלו.

<ליאת בן מאיר שלום: בשביל זה יש סיסמת כניסה.

<אייל זנדברג: הסעיף הזה מפנה, הוא אומר נוהל כולל.

<אייל זנדברג: כל תקנה ותקנה נותנת תוכן שאולי נותן מענה לשאלה שלך.

<אייל זנדברג: צריך להסתכל בתקנה 10, לראות אם זה נותן מענה על השאלה שלך.

<ניר יעקב גרסון: תקנה 4 קובעת את הנוהל.

<ניר יעקב גרסון: זה מן מדריך למשתמש לגבי איזה נושאים צריך בעל המאגר להתייחס בנוהל.

<אלון בכר: גם במחשב ביתי אנשים נכנסים עם שם משתמש נפרד כשהם הולכים לאזורים אחרים.

<אלון בכר: יש לך מייל שלך, יש לך שם משתמש שלך.

<אלון בכר: לכל אחד יש את הפרופיל שלו.

אלעזר שטרן: האם יש מחשבה לפרסם סוג של תקנון מצוי, נוהל מצוי, איזו שהיא טיוטה או דוגמה, כדי שאדם מן היישוב, שהוא לאו דווקא מהגורמים הגדולים, ידע איך עושים דבר כזה?

<ניר יעקב גרסון: בוודאי שכן.

אלעזר שטרן: 5.

אלעזר שטרן: מיפוי מערכות המאגר וביצוע סקר סיכונים.

אלעזר שטרן: (א) בעל מאגר מידע יחזיק מסמך מעודכן של מבנה מאגר המידע וכן רשימת מצאי מעודכנת של מערכות המאגר, ובכלל אלה: (1) תשתיות ומערכות חומרה, סוגי רכיבי תקשורת ואבטחת מידע; (2) מערכות התוכנה המשמשות להפעלת מאגר המידע, לניהול המאגר ולתחזוקתו, לתמיכה בפעילותו, לניטור שלו ולאבטחתו; (3) תוכנות וממשקים המשמשים לתקשורת אל מערכות המאגר ומהן; (4) תרשים הרשת שפועל בה המאגר, הכולל תיאור הקשרים בין רכיבי המערכת השונים ומיקומם הפיזי של רכיבים אלה; (5) תאריך העדכון האחרון של המסמך ושל רשימת המצאי.

אלעזר שטרן: (ב) המסמך המעודכן של מבנה מאגר המידע ורשימת המצאי יישמר כך שפרטים מהם יימסרו לבעלי הרשאה רק בהיקף הנדרש לצורך ביצוע תפקידיהם.

אלעזר שטרן: (ג) במאגר מידע שחלה עליו רמת האבטחה הגבוהה, בעל המאגר אחראי לכך שייערך סקר לאיתור סיכוני אבטחת מידע (להלן – סקר סיכונים); בעל מאגר המידע ידון בתוצאות סקר הסיכונים שיועברו לו, יבחן את הצורך בעדכון מסמך הגדרות המאגר או נוהל האבטחה בעקבותיהן, ויפעל לתיקון הליקויים שנתגלו במסגרת הסקר, כלל שנתגלו; סקר סיכונים כאמור ייערך אחת לשמונה עשר חודשים לפחות.

אלעזר שטרן: (ד) במאגר מידע שחלה עליו רמת האבטחה הגבוהה, בעל המאגר אחראי לכך שייערכו מבדקי חדירות למערכות המאגר לבחינת עמידותן בפני סיכונים פנימיים וחיצוניים, אחת לשמונה עשר חודשים לפחות; בעל המאגר ידון בתוצאות מבדקי החדירות ויפעל לתיקון הליקויים נתגלו, כלל שנתגלו.

אלעזר שטרן: (ה) ארגון שהוא בעל כמה מאגרי מידע, רשאי לקבוע את רשימת המצאי כאמור בתקנת משנה (א) במסמך אחד לעניין כל מאגרי המידע שברשותו, המצויים באותה רמת אבטחה וכן רשאי לקיים את החובות הקבועות בתקנות משנה (ב) ו-(ג) בסקר סיכונים או במבדק חדירות, לפי העניין, אחד לעניין כל מאגרי המידע שברשותו, המצויים באותה רמת האבטחה.

<גילי בסמן-ריינגולד: אחרי שבעל המאגר מיפה את המידע שיש לו, את סוגי המידע, את השימושים שהוא מתכנן לעשות, עכשיו אנחנו עוברים למיפוי של החומרה והתוכנה שיש לו, להבין מה יש לו, עם מה הוא עובד.

<גילי בסמן-ריינגולד: כמו שאמרנו לגבי המידע שנדרש לעשות סדר ולהבין מה יש אצלו, זה בוודאי נכון גם לגבי מערכות חומרה ותוכנה.

<גילי בסמן-ריינגולד: רק אז אפשר להעריך את הסיכונים, לראות איזה מערכות מיותרות יש, איזה מערכות מסכנות יש.

<גילי בסמן-ריינגולד: ממי שנכלל בתקנת משנה (ב) אנחנו דורשים לא להסתפק במיפוי הזה, אנחנו דורשים לעשות סקר סיכונים.

<גילי בסמן-ריינגולד: סקר סיכונים זה כלי מקצועי מוכר, ידוע, שבודק את הסיכונים הקיימים במאגרי המידע שלו, כאשר אחר כך הוא מבצע את העיבוד ולמידת הלקחים מהסקר הזה.

<גילי בסמן-ריינגולד: זה דבר שבמערכות מידע הוא מאוד בסיסי.

<גילי בסמן-ריינגולד: אפילו קיבלנו ביקורות שלוחות הזמנים שקבענו רחבים מידי, שצריך לצמצם אותם.

<גילי בסמן-ריינגולד: כאן זה דרישות מינימום.

<ליאת בן מאיר שלום: הן חלות רק לגבי רמת האבטחה.

אלעזר שטרן: דיברת על תדירות של אחת לשמונה עשר חודשים.

אלעזר שטרן: מה מקובל מבחינה מקצועית לגבי העניין של התדירות?

אלעזר שטרן: מה סדרי הגודל של העלויות של דבר כזה?

אלעזר שטרן: האם סקר סיכונים צריך להיות משהו שמקיף כל פעם את הכל?

אלעזר שטרן: ניקח גורם כמו בנק, כמו חברת ביטוח, שהמחשוב שלהם בהיקפים עצומים.

אלעזר שטרן: האם סדרי הגודל האלה מאפשרים לעשות סקר סיכונים מלא לכל המאגרים שברשותם, או שהכוונה שלכם בתקנה הזאת שיהיה מדובר בסקר מקדמי?

אלעזר שטרן: מה הכוונה שלכם בתקנה הזאת?

<עומר פרידמן: כשעבדתי בבנק דיסקונט כיועץ חיצוני, שזה היה לפני 10 שנים.

<עומר פרידמן: הייתי אחראי על תקציב של 10 מיליון שקלים בשנה לביצוע סקרי סיכונים, מבדקי חדירות.

<עומר פרידמן: אם אנחנו פורסים את זה על שנתיים או על 18 חודשים, יש לך תקציב של 15 מיליון שקלים להוציא לחברות חיצוניות שיבצעו את הפעילות הזאת.

<עומר פרידמן: ארגונים קטנים מבקשים הצעות מחיר באזור של עשרות אלפי שקלים בודדים.

<עומר פרידמן: זה לפי כמות המערכות, סיבוך המערכות.

<עומר פרידמן: סקר רוחבי לארגונים מאוד גדולים יכול להגיע למאות אלפי שקלים, אפילו למיליוני שקלים.

<עומר פרידמן: אם לא היו שינויים במהלך השנה האחרונה או השנתיים האחרונות במערכות, כמובן שעלות הבדיקה תהיה קטנה וזניחה.

<עומר פרידמן: אם התבצעו שינויים רבים, צריך לעשות בדיקה מקיפה.

<עומר פרידמן: אם אף פעם לא עשית את הבדיקה, תצטרך לעשות בדיקה רוחבית.

<עומר פרידמן: אחרי שנה או שנתיים אתה עושה רק דלתא, אתה לא חושף את הכל מחדש, שאז עלות הבדיקה יותר קטנה.

<עומר פרידמן: אם אתה מתחזק כל השנה, עלויות הבדיקה מתכווצות.

אלעזר שטרן: נניח שעשיתי סקר מקיף שבדק את הכל.

אלעזר שטרן: האם הפרשנות היא ששנה וחצי לאחר מכן אני אצטרך לעשות רק את הדלתא?

<גילי בסמן-ריינגולד: הדלתא זה שני דברים.

<גילי בסמן-ריינגולד: זה המערכות שהוספת וגם הסיכונים החדשים שיודעים עליהם בשוק.

אלעזר שטרן: הניסוח הזה הוא ניסוח שמחייב מחדש את הכל.

<ליאת בן מאיר שלום: זה מסתמך על התורה המקצועית של סקר סיכונים.

<דן חי: אני חושב שכל גוף צריך להחליט לעצמו אם הוא צריך לעשות או לא.

<דן חי: זו אחריות שלו.

רויטל סויד: אנחנו לא רוצים שזה יהיה פתוח.

<דן חי: אם רק יהיה צריך לעשות את הדלתא, זה יהיה אחר כך פתח לתירוצים.

אלעזר שטרן: איך הם יפרשו את זה אחרי זה?

<גילי בסמן-ריינגולד: בהרבה מקרים הפרשנות הזאת תהיה סבירה.

<גילי בסמן-ריינגולד: כל מאגר לגופו, כמובן בשים לב לסיכונים שלו, בשים לב להיקף השימוש שלו, אם הוא עלה או ירד.

אלעזר שטרן: זה מבוסס על הסיכון המקצועי.

<ליאת בן מאיר שלום: כל שנה וחצי חובה לעשות משהו.

<ליאת בן מאיר שלום: ההיקף של המשהו הזה הוא פרי של תובנות מקצועיות של מה נדרש אל מול מה שעשית לפני כן, אל מול הדברים שהשתנו מאז.

רויטל סויד: זה לא ברור מהנוסח.

<יהונתן קלינגר: יש לי הערה לגבי כך שהמסמך יימסר רק לבעלי הרשאה.

<יהונתן קלינגר: אני רואה את התמונה בדיוק הפוכה.

<יהונתן קלינגר: ברור שבגופים ציבוריים יש צורך להשקיף את המידע הזה כך שנהלי האבטחה לא רק שיהיו שקופים כלפי כל הארגון, שיהיו שקופים כלפי כולם.

<יהונתן קלינגר: למה שהמסמך המעודכן של מבנה מאגר המידע ורשימת המצאי יימסרו רק לבעלי הרשאה?

<עומר פרידמן: כי אז תאפשר לתוקף - -

רויטל סויד: השאלה אם זה לא חושף ליותר סיכונים.

<יהונתן קלינגר: Security Through Obscurity זה אנשים שמניחים שאם הם יסתירו מידע הם יוכלו לאבטח, אבל ההיפך.

רויטל סויד: לא בבחינה של הסתרה, בבחינה של חשיפת הסיכון.

<יהונתן קלינגר: אם אתה שקוף, אנשים יכולים לשתף פעולה איתך, לעזור לך למנוע סיכונים עתידים.

<דן חי: אבל אז ידעו איפה הבטן הרכה שלך.

<יהונתן קלינגר: זה בדיוק העניין.

<יהונתן קלינגר: אם יש לך בטן רכה, אנשים יכולים לעזור לך להשתפר ולתקן את זה.

<ניר יעקב גרסון: אם אתה חושף את מבנה המערכות, את הקשר ביניהן - -

<יהונתן קלינגר: נניח שאני חברה שמספקת שירותי אבטחת מידע לקוסמטיקאיות.

<יהונתן קלינגר: אני חב בחובה הכי חמורה.

<יהונתן קלינגר: אני רוצה לבוא ולהציע לציבור תכנית שבה מתגמלים אנשים על זה שהם יחפשו אצלי פרצות אבטחה.

<יהונתן קלינגר: הסעיף הזה מונע ממני.

<עומר פרידמן: יש את זה היום בפייסבוק.

<יהונתן קלינגר: פייסבוק עושה את זה, גוגל עושה את זה.

<ניר יעקב גרסון: זה לא מונע ממך.

<יהונתן קלינגר: זה מונע ממני להעביר את המערכות.

<ניר יעקב גרסון: אם אתה פותח חופשי לגמרי ולא אוסר מראש את שיתוף המידע למי שעלול להזיק, אתה יוצר פריצה מאוד גדולה.

<ניר יעקב גרסון: את מה שאתה אומר הנוסח לא מונע.

<יהונתן קלינגר: הוא כן מונע, כי הוא קובע שהמידע יימסר רק לבעלי הרשאה בהיקף הנדרש לביצוע תפקידם.

<גילי בסמן-ריינגולד: אם אני לוקחת יועץ - -

<יהונתן קלינגר: יועץ כן, אבל אם פייסבוק עושה תחרות - -

<עומר פרידמן: פה מדובר בבדיקות שהן black box, כשאין לך שום ידע מוקדם על המערכות שנמצאות מאחורה.

<יהונתן קלינגר: לא בהכרח.

<עומר פרידמן: היה לנו אירוע מול משרד הפנים.

<עומר פרידמן: מחובתם היה לפרסם את השדות שיש להם במאגר, לפרסם איזה שאילתות כל ארגון יכול לבצע.

<עומר פרידמן: הם פרסמו מסמך מפורט מידי.

<עומר פרידמן: הוא איפשר לתוקפים לדעת איזה שאילתות ניתן להריץ מול המאגר של משרד הפנים.

<עומר פרידמן: ביקשנו מהם להסיר שם שדות.

<עומר פרידמן: השדות שהם פרסמו היו עודפים.

<עומר פרידמן: הם גם ביצעו את זה.

<יהונתן קלינגר: אני חושב שלהגדיר איסור על העברה זה פוגע.

<יהונתן קלינגר: יכול להיות שצריך את זה במאגרים מסווגים, ביטחוניים וכדומה.

<יהונתן קלינגר: אני חושב שלא לאפשר לבעל המאגר להעביר את המידע הזה אם הוא רוצה להעביר, זה ללכת יותר מידי.

<ניר יוגב: בחברות גדולות מדובר במיפוי תשתיות ומערכות חומרה, סוגי רכיבי תקשורת, מערכות תוכנה, תחזוקה וכו'.

<ניר יוגב: אנחנו מעריכים שהעבודה הזאת אצלנו תיערך שנה.

רויטל סויד: האם יש לכם היום איזה סקר שאתם עושים?

<ניר יוגב: המיפוי שנדרש מאיתנו פה לא קיים היום.

<ניר יוגב: אנחנו עושים סקר.

<עומר פרידמן: דרך אגב, כשאתה עושה ספירת מלאי, אתה סופר את הרכיבים האלקטרוניים עד לרמת הכבל.

<עומר פרידמן: אני לא חושב שזה פחות מספירת מלאי שאתה אמור לעשות כל שנה.

<עומר פרידמן: אתה אמור לדעת מה יש לך.

רויטל סויד: בואו נפריד את זה מספירת המלאי.

רויטל סויד: באיזה תדירות אתם עושים את סקר הסיכונים הזה?

<ניר יוגב: סקר סיכונים זה מיפוי של מערכות.

<ניר יוגב: מיפוי של מערכות בתצורה שבה אנחנו נדרשים פה עדיין לא קיים.

<ניר יוגב: לא מדובר על טבלה אחת של מאגרי מידע, גם לא על 10 או 20, מדובר על מאות רבות של טבלאות.

<ניר יוגב: חלקן נמצאות במערכות חדשות יותר, חלקן במערכות ישנות יותר.

<ניר יוגב: התהליך של המיפוי כפי שנדרש פה בתקנות הוא תהליך מאוד מאוד ארוך.

<ניר יוגב: אפשר לבצע את זה, אבל ברגע שקובעים 18 חודשים לעבודה שלפחות תיקח שנה, זה נשמע לנו - -

אלעזר שטרן: 18 חודשים זה לגבי סקר סיכונים, לא לגבי רשימת המצאי.

<ניר יוגב: מיפוי מערכות וביצוע סקר סיכונים מתבצעים יחד.

אלעזר שטרן: מה שאתה אומר עכשיו קשור לסעיף התחילה, לגבי כמה זמן צריך לתת לגורמים ליישם את התקנות האלו.

אלעזר שטרן: 18 חודשים זה לגבי סקר הסיכונים, זה לא קשור לרשימת המצאי.

רויטל סויד: ואם אתה מתייחס רק לסקר סיכונים, לא למיפוי, כמה זמן זה לוקח?

<ניר יוגב: יכול להיות שכשהמיפוי הראשוני יסתיים ונצטרך לעשות רק את הדלתאות, 18 חודשים יספיקו.

<ליאת בן מאיר שלום: היום אתם עורכים סקרי סיכונים, נכון?

<ניר יוגב: כן.

<ליאת בן מאיר שלום: באיזו תדירות?

<ניר יוגב: אני לא יודע לענות על זה.

<ליאת בן מאיר שלום: אתה מדבר על שני דברים שונים.

רויטל סויד: ניר מעלה איזו שהיא נקודה.

רויטל סויד: האם אפשר שאחרי המיפוי הראשוני לא נבקש מיד שיהיה סקר?

<עומר פרידמן: כדי לבצע סקר את צריכה קודם למפות.

רויטל סויד: זה מה שאני אומרת.

אלעזר שטרן: אני חושב שנצטרך לתת את הדעת על הדברים האלה כשנגיע לסעיף התחילה.

אלעזר שטרן: אז נראה מתי כל אחת מהתקנות האלו תיכנס לתוקפה, כמה זמן יצטרכו הגופים השונים להיערך לכל אחד מהדברים האלה.

<דן חי: האם גברתי מתכוונת רק לפעם הראשונה?

רויטל סויד: אני מדברת רק על הפעם הראשונה.

<גילי בסמן-ריינגולד: זה מאוד מטריד שיש חברות גדולות שלא יודעות למפות את כל מה שיש להן.

<ניר יוגב: לא אמרנו שאנחנו לא יודעים.

<ניר יוגב: זה שזה לא ממופה עדיין לא אומר שזה לא מאובטח.

<ניר יוגב: זה מאובטח ברמה הכי גבוהה שיש.

<ניר יוגב: אם את שואלת אותי אם יש לי טבלה מסודרת שמארגנת את הכל בדיוק כפי שאתה רוצים בתקנות, התשובה היא לא.

<ניר יעקב גרסון: אני לא בטוח שאין לכם.

<ניר יוגב: אני בטוח שאין.

<ניר יוגב: זה לא קיים באופן שבו אתם מבקשים בתקנות.

<ליאת בן מאיר שלום: אפשר לדבר על זה בתקנה של התחילה.

<דן חי: בסעיף (ג) הייתי כותב שהסקר ייעשה על ידי גורם חיצוני, לא הגוף עצמו.

<דן חי: בתקנה (ד) הייתי כותב שמדובר בחדירה פיזית וחדירה טכנולוגית.

<דן חי: אני מפנה למכתב שהגשנו לוועדה לפני שהתחילו לדון בתקנות.

<דן חי: פירטנו את הכל בסעיף 9 למכתב.

<רחל יעקובי: הבנקים נתונים לרגולציה של הפיקוח על הבנקים.

<רחל יעקובי: ההנחיות שלנו הרבה יותר מחמירות.

<רחל יעקובי: אנחנו עושים הבחנה בין סקר הערכת סיכונים, לבין סקר סיכונים שהוא מבחינתנו סקר בטיחות או סקר פגיעויות.

<רחל יעקובי: סקר הערכת הסיכון זה להעריך את הסיכון של התהליך, של המערכת, של מאגר המידע וכו'.

<רחל יעקובי: אגב, הערכת הסיכונים הזאת נסמכת, בין היתר, על תוצאות סקר הבטיחות שאני מניחה שהתקנה מכוונת אליו.

<רחל יעקובי: יש סקר של סיכוני סייבר כל שנה.

<רחל יעקובי: הסקרים שמוזכרים כאן הם סקרים שנועדו לבדוק את אפקטיביות הבקרות, לראות אם הבנק מטמיע בקרות, אמצעי אבטחה.

<רחל יעקובי: לזה נועדו הסקרים האלה.

<רחל יעקובי: לגבי ההיבטים של מבדקי חדירה.

<רחל יעקובי: אנחנו לא אמרנו לבנק 18 חודש.

<רחל יעקובי: 18 חודש לעשות מבדקי חדירה, לדעתי זאת תדירות מאוד נמוכה.

<רחל יעקובי: אם יש מאגר מידע שבו יש סיכון מאוד חמור, התדירות צריכה להיות הרבה יותר גבוהה.

<רחל יעקובי: הבנקים עושים את זה מידי מספר שבועות, לפעמים כמה מבדקי חדירה במהלך חודש ימים.

<רחל יעקובי: ההוראות שלנו מחייבות לעשות את הסקרים האלה לא רק באופן תדיר או לפי תדירות שנקבעה, אלא גם באירועים, גם כאשר יש שינויים מהותיים, כאשר שינויים טכנולוגים.

<רחל יעקובי: אנחנו מדברים על מערכת טכנולוגיית המידע, שזאת מערכת מאוד דינאמית, שזאת מערכת שיש בה שינויים ארגוניים.

<רחל יעקובי: הסקרים האלה, על פי הנחיות שלנו, מחייבים את הבנקים להיערך במצב של שינויים, למשל במערכת חדשה, או אם חלו שינויים מהותיים במערכת וכן הלאה.

<רפאל פרנקו: יש בלבול בין המושגים.

<רפאל פרנקו: סקר סיכונים בודק את הסיכונים על הנכסים הקריטיים כפי שמגדיר הארגון.

<רפאל פרנקו: כל ארגון יכול להגדיר אותם בצורה שונה.

<רפאל פרנקו: הוא מגדיר את הסיכונים הקריטיים.

<רפאל פרנקו: הוא מנסה לתת להם מענים באמצעות בקרות ומה שסביב.

<רפאל פרנקו: במבדק חדירה אתה לוקח דרך פעולה אפשרית של תוקף, אתה מנסה להיכנס דרך הנתיב הזה כדי לסגור אותו.

<רפאל פרנקו: 18 חודשים זה באזור הגבולי.

<רפאל פרנקו: עצם הביצוע של סקר סיכונים יכול להיערך כמעט שנה.

<רפאל פרנקו: עד שאתה לוקח את הליקויים, מכין אותם, מביא אותם חזרה, רוכש את מה שאתה רוצה, מטמיע את זה בארגון, זה תהליך שב-18 חודשים לחלק גדול מהארגונים עשוי להיות על הסקאלה של סקר סיכונים.

<רפאל פרנקו: המילה "דלתא" תיתן מענה.

<רחל יעקובי: הדלתא זה לא רק מה שלא נבדק.

<רחל יעקובי: יכול להיות שנבדק, רק הסיכונים השתנו.

<רפאל פרנקו: או בתנאי שלא השתנה.

<ליאת בן מאיר שלום: זה בדיוק הפוך ממה שנאמר לפני רגע.

<רפאל פרנקו: רחל דיברה על מבדקי חדירה.

רויטל סויד: זה מה שהיא עושה.

<רפאל פרנקו: רחל מדברת על מבדקי חדירה, לא על סקרי סיכונים.

<רפאל פרנקו: מבדקי חדירה נעשים כל הזמן.

<רפאל פרנקו: אתה בא כתוקף, מנסה לעשות סימולציה איך אתה נכנס לבנק או לארגון.

<רפאל פרנקו: זה לא קשור לסקר סיכונים.

<רפאל פרנקו: סקר סיכונים הוא אירוע הרבה יותר תשתיתי.

<רפאל פרנקו: אם נישאר בסקר הסיכונים שרמו"ט דרשה, צריך לכתוב את המילה "דלתא" ואת המילים "לא השתנה".

<רפאל פרנקו: זה נותן מענה יפהפה לסעיף הזה.

<אלון בכר: אני לא חושב שיש כאן ויכוח.

<אלון בכר: אנחנו מדברים פה על רף מינימום.

<אלון בכר: ברור שבמקומות עם מידע מאוד מאוד קריטי, אישי ורגיש המינימום הזה לא מספיק.

<אלון בכר: אף אחד מאיתנו לא רוצה שהארגון יעשה את זה בלופ.

רויטל סויד: השאלה אם ההערה של רפאל פרנקו, שהיא קצת מתכתבת עם מה שניר מסלקום אמר ועם מה שאלעזר אמר, יכולה לעשות איזה שהוא חידוד בתקנות.

<ליאת בן מאיר שלום: השאלה איך תגדירו את זה.

<ליאת בן מאיר שלום: צריך הגדרה למה זה דלתא, כי דלתא זה לא רק רכיבים חדשים שנכנסו, זה אולי שינוי בתצורה, סיכונים חדשים.

<ליאת בן מאיר שלום: נצטרך הגדרה נוספת.

<גילי בסמן-ריינגולד: יש את הארגונים שירצו לעשות רק את הדלתא, יש ארגונים שלא.

<גילי בסמן-ריינגולד: אני לא חושבת שזה נחוץ.

<גילי בסמן-ריינגולד: גם התדירות של 18 חודש היא תדירות סבירה.

<יורם ביטון: עשינו את ההפרדה בין מבדקי חוסן לסקרי סיכונים.

<יורם ביטון: אני מתייחס לבדיקות החוסן.

<יורם ביטון: ביטוח לאומי עושה בדיקות חוסן כל הזמן.

רויטל סויד: שזה החדירות.

<יורם ביטון: נכון.

<יורם ביטון: חוזק של מערכת תלוי בנקודה החלשה שלה.

<יורם ביטון: אם אנחנו בודקים את בסיס הנתונים עצמו, יכול להיות שהוא יהיה מוגן בצורה מצוינת, אבל אם אפשר יהיה לחדור מאיזה שהוא מחשב בפינה שיהיה לו חיבור לאותו מאגר מידע, אז לא עשינו כלום.

<יורם ביטון: צריך להגדיר מה בודקים - האם בודקים רק את המאגר, או בודקים את המערכת כולה.

<יורם ביטון: חייבים לעשות את ההפרדה בין מבדקי חוסן לסקרי סיכונים.

<ליאת בן מאיר שלום: יש הבחנה.

<ליאת בן מאיר שלום: תקנה (ג) ותקנה (ד) הן שתי תקנות שונות.

<יורם ביטון: במיוחד בזמני הבדיקות.

<יורם ביטון: אלה שני דברים שונים לגמרי.

<ליאת בן מאיר שלום: יש פה שתי תקנות שונות.

<גילי בסמן-ריינגולד: כל אחד יוכל לעשות מבדקי חוסן בתדירות הרבה יותר גבוהה.

<ליאת בן מאיר שלום: אולי נגיד שזה יהיה בדרך מקובלת.

<ליאת בן מאיר שלום: הדרך המקובלת מכניסה את אותן תובנות מקצועיות.

<דן חי: אני חושב שהמילים "דרך מקובלת" מיותרות, כי ברור שהוא צריך לעשות את זה בדרך מקובלת.

<דן חי: זה רק יכול להטעות, כי יהיה ויכוח מה זו דרך מקובלת.

<דן חי: זה פתח לגורמים לצמצם דברים, להתחמק מבדיקות.

אלעזר שטרן: סקר הסיכונים הוא הדרך המקובלת.

<דן חי: דרך מקובלת זה פתח לוויכוח על פרשנות.

<דן חי: לא הייתי מוסיף מילים כאלו בחקיקה.

<ליאת בן מאיר שלום: השתמשנו בתיבה הזאת בהקשרים נוספים, אתם תראו בהמשך התקנות.

<דן חי: זה הקשרים שמסבירים למה הכוונה, זה לא סתם בעלמא.

<ליאת בן מאיר שלום: אנחנו לא חושבים שזה דבר חיוני.

<ליאת בן מאיר שלום: אני מנסה לתת מענה לקושי או לחשש שהעלתה חברת הכנסת סויד.

רויטל סויד: נעשה על זה חשיבה נוספת.

אלעזר שטרן: 6.

אלעזר שטרן: אבטחה פיזית וסביבתית.

אלעזר שטרן: (א) בעל מאגר מידע יבטיח כי המערכות המפורטות בתקנה 5(א)(1) יישמרו במקום מוגן, המונע חדירה וכניסה אליו בלא הרשאה, והתואם את אופי פעילות המאגר ורגישות המידע בו.

אלעזר שטרן: (ב) בעל מאגר מידע שחלה עליו רמת האבטחה הבינונית או הגבוהה, ינקוט אמצעים לבקרה ולתיעוד של הכניסה והיציאה מאתרים שבהם מצויות המערכות המפורטות בתקנה 5(א)(1) ושל הכנסה והוצאה של ציוד אל מערכות המאגר ומהם.

<גילי בסמן-ריינגולד: אנחנו מדברים על אבטחה פיזית, על איפה המערכות יושבות.

<גילי בסמן-ריינגולד: צריך לוודא שזה יהיה במקום מוגן, לבדוק שיש כניסה לעובדים מורשים.

<גילי בסמן-ריינגולד: אחר כך, כשאנחנו עוברים לרמה הבינונית והגבוהה, גם לנקוט באמצעי בקרה ותיעוד.

<גילי בסמן-ריינגולד: הסעיף הזה לא חל על אותו מאגר יחיד.

אלעזר שטרן: 6(א) חל על מאגר יחיד.

אלעזר שטרן: מה המשמעות של 6(א) לגבי בעל מאגר יחיד?

אלעזר שטרן: אם מדובר על מידע שנמצא בפלאפון שלי, אסור לי לתת לילדים שלי לשחק בפלאפון?

<אייל זנדברג: נכון.

<גילי בסמן-ריינגולד: אם יש לי מחשב ביתי שהילדים משחקים עליו, את אותו קובץ של המאגר אני אשמור בסיסמא.

<ניר יעקב גרסון: תלוי ברגישות שלו.

<ניר יעקב גרסון: אם יש לך מידע מאוד רגיש, אתה לא תיתן לשחק.

רויטל סויד: מה אם זה מחשב ביתי שנמצא בבית?

<ניר יעקב גרסון: אם אתה פסיכיאטר, אתה לא תיתן לילדים.

רויטל סויד: אני חושבת שהקוסמטיקאית יכולה.

<ניר יעקב גרסון: יכול להיות שהקוסמטיקאית יכולה.

<ניר יעקב גרסון: צריך לנתח את רגישות המידע.

<ליאת בן מאיר שלום: השאלה מה רגישות המאגר הזה.

<עומר פרידמן: אם יש שם תמונות של לקוחות לא לבושים, אולי לא כדאי.

<אלון בכר: אנחנו לא מדברים על המידע שלך.

<אלון בכר: אנחנו לא מכתיבים לבן אדם איך לשמור על המידע שלו, איך להתעסק עם המידע שלו.

<אלון בכר: אנחנו מדברים על אדם שמחזיק מידע של אחרים.

<אלון בכר: אם הוא מחזיק מידע של אחרים, אז יש מגבלות.

<אלון בכר: אם הקוסמטיקאית שומרת תמונות, שומרת מידע רגיש, שומרת תיעוד מאוד אינטימי, אולי החברים של הילדים שלה לא יכולים להיכנס למחשב בו נשמר הקובץ הזה.

אלעזר שטרן: אני חושב שאין מחלוקת סביב השולחן על החשיבות של שמירת המידע.

אלעזר שטרן: האם אתם חושבים שמבחינה מעשית זה יקרה, או שמא זה יהיה אות מתה?

אלעזר שטרן: האם אותה קוסמטיקאית תדע שהיא צריכה לעשות את זה?

אלעזר שטרן: הדבר הזה הולך לחול על מגוון מאוד רחב של גורמים.

אלעזר שטרן: מה המשמעות?

<אלון בכר: ברור שזה תהליך.

<אלון בכר: ההטמעה של התקנות האלו, ההסברה סביבן, המדריכים שנפרסם, ההנחיות שנפרסם, הכל זה תהליך שייקח זמן.

<אלון בכר: המצב הוא לא טוב בארץ בהקשרים אלה.

<אלון בכר: אנחנו מנסים להביא אותו למצב יותר טוב מכל הבחינות.

<אלון בכר: זה ייקח זמן.

<אלון בכר: אנחנו נסביר, נפרט, ניתן כלים, כאשר בסוף גם נאכוף.

<אלון בכר: לא נתחיל לאכוף על הקוסמטיקאית את התקנה לפני שהבאנו לידיעת הציבור בכל דרך אפשרית, כולל הסברה לא משפטנית ולא מאוד טכנולוגית, איך לעשות את הדברים ומה צריך.

<אלון בכר: יהיה על זה פרסום, יהיו על זה ימי עיון, תהיה על זה תקשורת, יופצו הנחיות, הדברים יעלו באתרים הנכונים.

<אלון בכר: זה ייקח זמן.

<אלון בכר: בסופו של דבר יהיה פיקוח, תהיה אכיפה שלנו שתתבצע במסגרת תכנית עבודה.

<דן חי: מי שיש לו מידע אישי צריך לשמור עליו, אין ויכוח על זה.

<ליאת בן מאיר שלום: אם כל העסק שלה נבנה על המחשב הזה, אז היא רוצה לשמור עליו בלי קשר לפרטיות.

<ליאת בן מאיר שלום: חשוב לה לשמור על המידע הזה, זה העסק שלה.

<ליאת בן מאיר שלום: אם יקרה משהו למידע, גם בהיבט של ניהול העסק תהיה בעיה.

<ליאת בן מאיר שלום: הדברים משתלבים, לא סותרים.

<רפאל פרנקו: מה שאלעזר ניסה לכוון אליו זה רמות ההגנה.

<רפאל פרנקו: אני מסכים עם אלון שזה אחר כך יהיה בהנחיות ספציפיות ומפורטות.

<רפאל פרנקו: אחרי זה נצטרך לפרט את רמת האמצעים, את התחולה שלהם.

<יהונתן קלינגר: מניעת חדירה היא רק על הפרטים ב-5(א)(1), רק על תשתית ומערכות חומרה, סוג רכיבי תקשורת ואבטחת מידע, לא על מערכות התוכנה המשמשות להפעלת המידע.

<יהונתן קלינגר: למה?

רויטל סויד: למה חשוב לחדד את זה?

<יהונתן קלינגר: אני רוצה להבין מה עמד מאחורי זה.

<יהונתן קלינגר: צריך להבטיח שזה לא ימנע מצב שבו יש גישה למאגר מהרשת.

<יהונתן קלינגר: אם יש לי מערכת לניהול לקוחות, שלא ימנע מלקוחות שרוצים להזמין תור אצל רופא למלא פרטים באתר אינטרנט.

<יהונתן קלינגר: זו גישת כתיבה למאגר, לא גישת קריאה.

אלעזר שטרן: יהונתן, אתה מתבלבל בין שני מישורים.

אלעזר שטרן: תקנה 6 מדברת על אבטחה פיזית, היא מתייחסת ל-5(א)(1).

אלעזר שטרן: הדוגמה שנתת מתאימה יותר לתקנה 14, שמדברת על אבטחת תקשורת מרחוק, לא כשאתה ניגש לכונן הפיזי שיושב במקום מסוים.

<יהונתן קלינגר: לא בהכרח.

<יהונתן קלינגר: אם אני מאחסן בענן, אין לי שרת "פיזי".

<עומר פרידמן: אתה עדיין מאבטח את תשתית התקשורת.

<ניר יעקב גרסון: אתה צריך לקנות ממי שמוודא.

אלעזר שטרן: 7.

אלעזר שטרן: אבטחת מידע בניהול כוח אדם.

אלעזר שטרן: (א) לא ייתן בעל מאגר מידע גישה למידע המצוי במאגר ולא ישנה היקף הרשאה שניתנה, אלא אם נקט אמצעים סבירים ,המקובלים בהליכי מיון עובדים ושיבוצם, כדי לברר שאין חשש כי בעל ההרשאה אינו מתאים לקבלת גישה למיד המצוי במאגר; אמצעים כאמור יינקטו בשים לב לרגישות המידע שבמאגר ולהיקף הרשאות הגישה לתפקיד שמיועד לו הנוגע בדבר, כאמור בתקנה 8.

אלעזר שטרן: (ב) בטרם יקבלו גישה למידע ממאגר המידע או לפני שינוי היקף הרשאותיהם יקיים בעל מאגר מידע הדרכות לבעלי הרשאות בנושא החובות לפי החוק ותקנות אלה, וימסור להם מידע אודות חובותיהם לפי החוק ונוהל האבטחה.

אלעזר שטרן: (ג) במאגר מידע שחלה עליו רמת האבטחה הבינונית או הגבוהה ,יקים בעל המאגר פעילות הדרכה תקופתית לבעלי הרשאות שלו, בדבר מסמך הגדרות המאגר, נוהל האבטחה והוראות אבטחת המידע לפי החוק ולפי תקנות אלה, בהיקף הנדרש לצורך ביצוע תפקידיהם, ובדבר חובות בעלי ההרשאות לפיהם; הדרכה כאמור תיערך אחת לשנתיים לפחות, ולגבי הסמכה של בעל הרשאה לתפקיד חדש – סמוך ככל האפשר למועד תחילת הסמכתו.

<ליאת בן מאיר שלום: התקנה הזאת עוסקת בגורם האנושי.

<ליאת בן מאיר שלום: בהרבה אירועים של אבטחת מידע רואים שהבעיה או הקושי נבעו מהעבודה של עובדי הארגון.

<ליאת בן מאיר שלום: החובות שקבועות נוגעות למי שאתה נותן לו הרשאה.

<ליאת בן מאיר שלום: אחר כך יש את הנושא של הדרכות.

<ליאת בן מאיר שלום: התקנה מבקשת לקבוע שלפני שנותנים הרשאת גישה לעובד או לגורם בארגון, בעל ההרשאה יבדוק בדרך המקובלת שהעובד מתאים למתן גישה.

<ליאת בן מאיר שלום: זו פונקציה של רמת הרגישות של זה.

<ליאת בן מאיר שלום: לפעמים בודקים המלצות, לפעמים משוחחים עם מעסיקים קודמים, לפעמים יותר מזה, תלוי באיזה סוג מאגר מדובר.

<ליאת בן מאיר שלום: נוסף לכך הרכיב של הדרכות, שזה גם לגבי החובות לפי התקנות וגם לגבי היכרות נוהל האבטחה.

אלעזר שטרן: מבחינה מעשית לא כל כך ברור לי מה המשמעות של התקנה הזאת.

<ליאת בן מאיר שלום: שכחתי לציין שיש הוראת מעבר לגבי עובדים קיימים בתקנה 23.

אלעזר שטרן: כשאתה מראיין אדם לתפקיד, איך בדיוק תבדוק את התאמתו מבחינת היכולת שלו לקבל הרשאה או לא?

אלעזר שטרן: זה משהו קצת אמורפי.

אלעזר שטרן: אתה בודק באופן כללי את הבן אדם.

אלעזר שטרן: הנקודה של היכולת קצת עמומה בעיני.

אלעזר שטרן: הדבר מתחדד עוד יותר כשמדובר בעובדים קיימים.

אלעזר שטרן: אם יש לך עובד שעובד בארגון 10 שנים, מה אתם מצפים שיבדקו?

אלעזר שטרן: נניח שרוצים להרחיב לו את ההרשאה, או לתת לו הרשאה שלא הייתה לו.

אלעזר שטרן: מה אתם מצפים שיבדקו אצל בן אדם כזה?

אלעזר שטרן: לא מדובר על אדם חדש שאתה מקבל לעבודה, שאז אתה יכול להתקשר למעביד הקודם שלו.

אלעזר שטרן: מדובר באדם שעובד אצלך במערכת 20 שנה.

אלעזר שטרן: השאלות שלי לא נובעות מערעור על הקונספט, אלא לנסות להבין מה המשמעות המעשית שלו, איך מפעילים דבר כזה.

<ניר יוגב: יש נהלים, אנשי ביטחון ואנשי אבטחת מידע שיודעים לעשות את הבדיקות לכל מי שמבקש או נדרש מתוקף תפקידו לגשת למאגרי מידע.

<ניר יוגב: אני חושב שהנוסח הקודם היה בסדר.

<ניר יוגב: הנוסח הנוכחי שמשנה מעובדים לבעלי הרשאה לא ישים בעליל.

<ניר יוגב: נניח חברה בוחרת להציב מאגר נתונים שלה בחברה הכי טובה בעולם לאבטחת מידע.

<ניר יוגב: מה מצפים?

<ניר יוגב: נניח שאותה קוסמטיקאית בחרה לשים את מאגר המידע שלה בחברה מאוד מוכרת וידועה בחו"ל.

<ניר יוגב: מה מצפים, שאותו גוף יעשה הדרכות לעובדים של אותה חברה בחו"ל?

<ניר יוגב: זה לא ישים.

<ניר יעקב גרסון: לא מדובר פה על העובדים של המחזיק.

אלעזר שטרן: הזכרתי בתחילת הדיון שיש שתי הגדרות שחלפנו על פניהן.

אלעזר שטרן: אחת, הגדרה של מאגר יחיד, והשנייה, הגדרה של מי שהיה עובד והפך להיות בעל הרשאה.

אלעזר שטרן: לא ליבנו את זה עד הסוף.

אלעזר שטרן: יש שינויים בהגדרה שאמורים לתת מענה למה שדיברת.

<ליאת בן מאיר שלום: העובדים של המחזיק הם לא העובדים של בעל המאגר.

<ליאת בן מאיר שלום: בעל המאגר לא אמור להדריך את עובדי המחזיק.

אלעזר שטרן: זה נאמר בהגדרה של בעל הרשאה.

<ניר יעקב גרסון: העיר אלעזר שלפעמים יש אדם שעובד שנים רבות בארגון.

<ניר יעקב גרסון: יכול להיות שלא בדקת את האמינות שלו לאורך כל השנים האלו.

<ניר יעקב גרסון: זה היה בסדר אם התפקיד שלו היה פעוט, או אם התפקיד שלו היה כרוך בגישה מועטה למידע רגיש.

<ניר יעקב גרסון: לפעמים אתה נותן הרשאת גישה למישהו שיש לו בעיות של אופי, יש לו עבר פלילי.

<ניר יעקב גרסון: אלה לא קריטריונים שאתה בודק כשאתה מקבל אדם לעבודה.

<ניר יעקב גרסון: יכול להיות שהאדם יהיה איש מכירות מצוין אבל לא אמין.

<ניר יעקב גרסון: לפני שאתה נותן לו גישה למידע מאוד רגיש או לכמות גדולה של מידע שהרגישות נובעת מהכמות, אתה צריך לבחון את המינימום הזה.

<עומר פרידמן: היה מקרה עם עובד בחברת נתוני אשראי שבעקבות מצבו הכלכלי הוא התחיל למחוק מידע תמורת כסף.

אלעזר שטרן: האם זה אומר שאתה צריך לבדוק את המצב הכלכלי של כל אדם שאתה נותן לו גישת הרשאה?

<עומר פרידמן: אתה צריך להיות מאוד קשוב לאנשים.

אלעזר שטרן: אני לא חושב שזה נכנס לאמצעים מקובלים בקבלת עובדים לעבודה.

<ניר יעקב גרסון: השאלה איזו רמת הגדרה.

<ניר יעקב גרסון: בחוק המאגר הביומטרי צריך סיווג ברמה הכי גבוהה לגישה מסוימת.

<ניר יעקב גרסון: צריך לבדוק.

<ניר יעקב גרסון: אולי תשלח אותו למבחני אמינות אם זו הרשאת גישה מאוד רגישה.

<ניר יעקב גרסון: יש כל מיני סוגים של דברים.

<ניר יעקב גרסון: אפשר לבקש המלצות, אפשר לשאול מעבידים קודמים.

<ליאת בן מאיר שלום: לפעמים יש חפיפה בין תהליכים כאלה לתהליכים שנעשים במסגרת של סיווג.

<ליאת בן מאיר שלום: אם אני עוברת מהתפקיד הנוכחי שלי בתוך משרד המשפטים לרשות לאיסור הלבנת הון, כאשר אני מתוקף התפקיד שלי שם ניגשת למאגר המידע של הרשות לאיסור הלבנת הון, אז כן, זה רכיב שצריך לבדוק אותו לגביי.

אלעזר שטרן: אתם נותנים דוגמאות שמאוד קל להתחבר אליהן.

אלעזר שטרן: אני מכוון לדוגמאות קצת יותר פרוזאיות.

אלעזר שטרן: כשרופא שיניים מראיין מישהו כדי שיהיה מזכיר שלו, הוא צריך לבדוק את כישורי המזכירות שלו.

<ניר יוגב: תשאל את המעסיק הקודם למה פיטרו אותו.

אלעזר שטרן: אני לא מבין איך אני בוחן את ההיבט של אבטחת המידע פה.

אלעזר שטרן: אני אתקשר למעביד הקודם שלו כדי לדעת אם הוא עובד טוב, לא עובד טוב.

<אלון בכר: תבדוק גם אם הוא הוציא את מאגר המידע שלו מהמעביד הקודם.

<אלון בכר: בעת שאתה מראיין אותו אתה צריך להסביר לו שיש מידע רגיש, שהוא צריך לשים לב שזה מידע של אחרים.

אלעזר שטרן: מבחינה מעשית מאוד קשה להבין מה רוצים.

<ניר יעקב גרסון: השאלה שלך מוכיחה את הצורך להפנות זרקור על המעסיקים כדי שישאלו שאלות גם בנושא הזה.

<ניר יעקב גרסון: יכול להיות שלצור

<ניר יעקב גרסון: כי ביצוע ותפעול לא איכפת למעסיק רמת האמינות של העובד, חשובים לו הביצועים שלו, אבל אם הוא נותן גישה למידע של אחרים, הוא צריך לחשוב גם על זה.

<ניר יעקב גרסון: אם זה יהיה כתוב בתקנות, המעבידים יבינו שהם צריכים לבדוק גם את זה לפני שהם נותנים גישה למידע רגיש.

<יהונתן קלינגר: כתוב שזה בהתאם להליכים מקובלים.

<אייל זנדברג: אלעזר, האם אתה מכוון לזה שזה מיותר, שזה לא מפורט מספיק, שזה לא ניתן לאכיפה?

<אייל זנדברג: יש פה צורך להבהיר, יש פה צורך לשנות את המציאות.

<אייל זנדברג: האם אתה אומר לא לכתוב את זה כי אנשים לא יעשו את זה, כי אנשים לא יבינו?

<אייל זנדברג: מה אתה מציע שנשפר?

אלעזר שטרן: אין לי כרגע הצעה קונקרטית.

אלעזר שטרן: קשה לי לראות איך אני כמעביד מיישם את זה.

<אלון בכר: סקרים שנערכים, שאלונים שנערכים, גם פנימיים וגם חיצוניים, מגלים שאנשים שעובדים בכל מיני ארגונים וחשופים למידע אישי שהוא לא שלהם, עושים שימוש אישי לרעה במידע שהם יכולים להגיע אליו.

<אלון בכר: זו תופעה שכל מי שבודק את האזורים האלה מודע שהיא קיימת.

<אלון בכר: האם זה לא מאוד מאוד חשוב שמעסיק יביא לתשומת לב העובדים שזה דבר שהוא עבירה על החוק, שזה דבר שהוא אסור?

<אלון בכר: האם לא צריך שבהכשרה, בקליטה, בהדרכה יהיה ברור שכשאתה מתעסק עם מאגר מידע אישי של אנשים אחרים אסור לך לעשות בו שימוש, אסור לך להוציא ממנו דברים, אסור לך למכור אותו לחוקרים פרטיים?

<אלון בכר: זה די בסיסי.

<אלון בכר: לא להגיד את זה זה לא לדבר על הבסיס.

<אלון בכר: אם אתה שואל איך זה יקרה בפועל, איך זה יקרה בדיוק, אז כפי שכשאתה מקבל אדם לעבודה אתה בודק שיש לו כישורי ניהול ומזכירות, כך אתה בודק שהוא איש ישר ואמין, כך אתה בודק שאין לו אישיות בעייתית או רקע בעיתי אם תיתן לו גישה למידע.

<אלון בכר: זה ככה בכל דבר.

<אלון בכר: אי אפשר ברמה של תקנות להגיד עד הסוף מה תבדוק, אבל ברור מה רוח הדברים.

<אלון בכר: כשאתה מתעסק במידע של אחרים, בכסף של אחרים, אז יש רגישויות מיוחדות, לכן אתה תדאג שהעובדים שנוגעים בזה יהיו האנשים שמתאימים לגעת בדברים האלה.

אלעזר שטרן: נניח שתפקח על גוף כזה.

אלעזר שטרן: מה תבדוק אצלו?

<גילי בסמן-ריינגולד: את תהליך המיון.

<אייל זנדברג: אם הוא נתן את הדעת לדבר הזה.

<אייל זנדברג: כמו שהוא בודק שלא יגנבו ממנו, כך הוא צריך לבדוק - -

אלעזר שטרן: הוא בודק אם הוא איש אמין באופן כללי.

אלעזר שטרן: זה לא קשור להיבטי אבטחת מידע.

אלעזר שטרן: אני בודק אם אדם אמין או לא אמין.

<יהונתן קלינגר: יכול להיות שבמוסך יבקשו מכתב המלצה מהמעביד הקודם, במשרד עורכי דין יבקשו משהו אחר, ובגוף כמו בנק יבקשו פוליגרף.

<יהונתן קלינגר: התהליכים פה, גם אם הם לא מושלמים, מייצרים תהליך מחשבתי שישנה את כל הדרך שבה מתעסקים במידע.

<יהונתן קלינגר: מספיק שיהיו את התהליכים האלה כדי להגביר את הידע הציבורי.

<יהונתן קלינגר: אם זה סביר, זה סביר.

<יהונתן קלינגר: רק שמחר לא יגידו לנו שצריך לשלוח את כל העובדים לפוליגרף כי התקנה הזאת יותר מידי ספציפית.

<אלון בכר: אף אחד לא יגיד את זה.

<דן חי: צריך לזכור ש-85% מהמקרים שמידע דלף היה בגלל שעובדים הדליפו אותו, אם בכוונה או בגלל טעויות שהם עשו.

<דן חי: התקנה הזאת מאוד אקוטית.

<דן חי: אני חושב שהיא במקום.

<דן חי: אם מעביד מעסיק אנשים עם גישה למידע, צריך שתחול עליו חובה למיין אותם נכון.

<דן חי: ככל שהמידע יהיה יותר רגיש, כך החובה תהיה יותר חזקה.

<ניר יוגב: אם יש הסכמה בין כל האנשים שיושבים סביב השולחן שארגון שמחזיק במאגר מידע לא צריך לעשות הדרכות לצד ג' שהנתונים נמצאים אצלו, למה לא מוציאים נוסח שמבהיר את זה?

<ליאת בן מאיר שלום: הנוסח הקיים מבהיר את זה.

<ליאת בן מאיר שלום: בעלי הרשאה של מחזיק לא נחשבים בעלי הרשאה של בעל המאגר.

<ניר יעקב גרסון: מי שמזמין צריך לוודא שהוא מתקשר עם ארגון שעוסק בזה.

<ליאת בן מאיר שלום: החובה חלה לגבי ההרשאות שלו.

אלעזר שטרן: 8.

אלעזר שטרן: ניהול הרשאות גישה.

אלעזר שטרן: (א) בעל מאגר מידע יקבע הרשאות גישה של בעלי הרשאות למאגר המידע ולמערכות המאגר, בהתאם להגדרות תפקיד; הרשאת הגישה לכל תפקיד תהיה במידה הנדרשת לביצוע התפקיד בלבד.

אלעזר שטרן: (ב) בעל מאגר מידע ינהל רישום מעודכן של תפקידים, הרשאות הגישה שניתנו להם, ושל בעלי ההרשאות הממלאים תפקידים אלה (להלן – רשימת ההרשאות התקפות).

<גילי בסמן-ריינגולד: זה שיש מאגר עם אפשרות גישה אליו לא אומר שכל אחד צריך את הגישה לכל המאגר, אלא כל אחד לפי ההיקף שדרוש לו לצורך התפקיד.

<גילי בסמן-ריינגולד: התקנה הזאת קיימת כבר היום במסגרת תקנה 3 לתקנות הגנת הפרטיות (תנאי החזקת המידע, שמירתו וסדרי העברת מידע בין גופים ציבוריים).

<גילי בסמן-ריינגולד: יש חובה בהקשר של הרשאת גישה והארכת הרשימה המעודכנת של מורשי הגישה לפי הרשאות הכניסה השונות.

<גילי בסמן-ריינגולד: אין בזה שום חידוש.

<יהונתן קלינגר: אני לא רואה פה גריעה של הרשאות גישה כשאדם חדל להיות בעל גישה.

<ליאת בן מאיר שלום: זה נמצא בתקנה 9(ג).

אלעזר שטרן: 9.

אלעזר שטרן: זיהוי ואימות.

אלעזר שטרן: (א) בעל מאגר מידע ינקוט אמצעים מקובלים בנסיבות העניין ובהתאם לאופי המאגר וטיבו, כדי לוודא כי הגישה למאגר ולמערכות המאגר נעשית בידי בעל הרשאה המורשה לכך בלבד לפי רשימת ההרשאות התקפות.

אלעזר שטרן: (ב) במאגר מידע שחלה עליו רמת האבטחה הבינוני תאו הגבוהה – (1) אופן הזיהוי, ייעשה ככל הניתן על בסיס אמצעי פיזי הנתון לשליטתו הבלעדית של המורשה; היה אופן הזיהוי מבוסס על סיסמאות, יתייחס הנוהל גם לחוזק הסיסמה, מספר הניסיונות השגויים, ותדירות החלפת הסיסמאות שתיעשה בהתאם לתפקיד מורשה הגישה ,ובכל מקרה לתקופה שלא תעלה על שישה חודשים; (2) ייקבעו בנוהל האבטחה גם הוראות לעניין האמצעים כאמור בתקנת משנה (א), ובכללן בנושאים אלה: (א) אופן הזיהוי; (ב) ניתוק אוטומטי לאחר פרק זמן של אי פעילות; (ג) אופן הטיפול בתקלות הקשורות באימות זהות.

אלעזר שטרן: (ג) בעל מאגר מידע ידאג לביטול ההרשאות של בעל הרשאה שסיים את תפקידו ובמידת האפשר לשינוי סיסמאות למאגר ולמערכות המאגר, שבעל ההרשאה עדוי היה לדעת, מיד עם סיום תפקידו של בעל ההרשאה.

<ליאת בן מאיר שלום: 9(ג) זאת תקנה בהקשר של ביטול הרשאות.

<ליאת בן מאיר שלום: 9(א) אומרת משהו מאוד בסיסי לגבי נקיטת אמצעים, לראות שהגישה היא של מישהו מורשה גישה.

<ליאת בן מאיר שלום: יש כל מיני דרכים לעשות את זה.

<ליאת בן מאיר שלום: כשמדובר במאגר מידע שהוא ברמת האבטחה הבינונית או הגבוהה, יש דרישה מחמירה יותר שבאה לידי ביטוי ב-9(ב)(1).

<ליאת בן מאיר שלום: אם זה על סיסמאות, יש התייחסות לסיסמא חזקה ולתדירות החלפתה.

<ניר יעקב גרסון: כמו הרבה דברים אחרים בתקנות, גם הדרישות המחמירות האלו הן לגמרי סטנדרט, הן לא מחדשות כלום.

אלעזר שטרן: 10.

אלעזר שטרן: בקרה ותיעוד גישה.

אלעזר שטרן: (א) במערכות של מאגר מידע אשר חלה עליו רמת האבטחה הבינונית או הגבוהה ינוהל מנגנון תיעוד אוטומטי שיאפשר ביקורת על הגישה למערכות המאגר (בתקנה זו - מנגנון הבקרה), ובכלל זה נתונים אלה: זהות המשתמש, התאריך והשעה של ניסיון הגישה, רכיב המערכת שאליו בוצע ניסיון הגישה, סוג הגישה, היקפה, ואם הגישה אושרה או נדחתה.

אלעזר שטרן: (ב) מנגנון הבקרה לא יאפשר, ככל הניתן, ביטול או שינוי של הפעלתו; מנגנון הבקרה יאתר שינויים או ביטולים בהפעלתו ויפיץ התראות לאחראים.

אלעזר שטרן: (ג) בעל מאגר מידע יקבע נוהל בדיקה שגרתי של נתוני התיעוד של מנגנון הבקרה, ויערוך דו"ח של הבעיות שהתגלו וצעדים שננקטו בעקבותיהן.

אלעזר שטרן: (ד) נתוני התיעוד של מנגנון הבקרה יישמרו למשך 24 חודשים לפחות.

אלעזר שטרן: (ה) בעל מאגר מידע יידע את בעלי ההרשאות במאגר בדבר קיום מנגנון הבקרה למערכות המאגר.

<ליאת בן מאיר שלום: מדובר במנגנון תיעוד אוטומטי.

<ליאת בן מאיר שלום: בהרבה מאוד מקרים הוא חלק ממערכת ההפעלה.

<ליאת בן מאיר שלום: לא מדובר בהכרח במשהו שצריך להוסיף או לרכוש.

<ליאת בן מאיר שלום: הרעיון זה שאפשר כל העת לעקוב אחר כניסות לא מורשות, אחר ניסיונות שנדחו, אחר כניסות שצלחו, הכל כדי לבדוק אם היו כשלים.

<ליאת בן מאיר שלום: 10(ה) זה יידוע בעלי הרשאות על עצם זה שזה קיים.

<עומר פרידמן: ברוב המערכות מגיע תיעוד אוטומטי.

<עומר פרידמן: לפעמים אני רוצה לראות מי נכנס, מתי נכנס.

<עומר פרידמן: זה תיעוד שבדרך כלל לא מופיע, הוא לא מופעל במערכות.

אלעזר שטרן: הוא קיים במערכות windows?

<עומר פרידמן: הוא קיים ב-windows.

<עומר פרידמן: הוא לא מופעל.

אלעזר שטרן: זה לא דורש לרכוש תוכנות?

<עומר פרידמן: זה לא דורש לרכוש.

<עומר פרידמן: קשה לנו מאוד לתחקר את האירוע אם לא היה את המידע הזה.

<עומר פרידמן: אין פה דרישה שדורשת עלות כלכלית.

<עומר פרידמן: העלות הכספית היא אם רוצים להפעיל מערכת שאוספת את כל המידע הזה למקום מרכזי, מנתחת אותו ומתריעה אחרי זה אם חל איזה אירוע חריג, איזה אירוע אבטחתי בחוץ או בפנים.

<עומר פרידמן: שם העלות.

<עומר פרידמן: התיעוד לא אמור לעלות.

<ניר יוגב: יש מצבים שבהם בסיסי נתונים מסוימים סגורים לגישה של משתמשים, למעט אדמיניסטרטורים וכו', אבל הם פתוחים לגישה של יישומים.

<ניר יוגב: אנחנו חושבים שנכון להוסיף את המילים "או היישום" אחרי המילים "זהות המשתמש" בסעיף 10(א).

<עומר פרידמן: היישום נמצא תחת שם משתמש כלשהו.

<ניר יוגב: לא נכון.

<ניר יוגב: לבסיסי הנתונים יש חומה סביבם.

רויטל סויד: תן דוגמה לבסיסי נתונים.

<ניר יוגב: בסיס הנתונים של כרטיסי האשראי של הלקוחות.

<ניר יוגב: יש שם שער.

<ניר יוגב: בשער הזה יכולים להיכנס אדמיניסטרטורים, שלהם יש הרשאות גבוהות ומיוחדות להיכנס לבסיס הנתונים, או מערכת הבילינג של החברה.

<ניר יוגב: אלו שתי מערכות נפרדות.

<ניר יוגב: לנציג שירות שמבצע זיכוי ללקוח אין אפשרות גישה לבסיס הנתונים הזה.

<ניר יוגב: כשהוא נכנס למערכת הבילינג, יש סט שלם של הרשאות מאוד מצומצמות של מה הוא יכול לעשות במערכת הבילינג, כמו לזכות לקוח, להתקין שירות, לא להתקין שירות.

<ניר יוגב: מערכת הבילינג היא היחידה שיכולה לגשת לבסיס הנתונים.

רויטל סויד: איזה חידוד אתה רוצה שיהיה?

<ניר יוגב: יש מקרים שבהם זה משתמש או יישום מערכתי, כמו היישום של מערכת הבילינג שניגשת למאגר הנתונים.

<ניר יוגב: אנחנו לא יודעים, אנחנו לא יכולים וגם זה לא סביר בעליל לצפות שכשכל נציג שירות מבצע זיכוי במערכת הבילינג יתחילו להיווצר רשימות של לוגים של מערכת הבילינג שנכנסה למאגר המידע וביצעה את הזיכוי הזה.

<ניר יוגב: זה נשמע לא סביר.

<עומר פרידמן: בדרך כלל החקירה היא קורלציה של כמה מערכות.

<עומר פרידמן: תהיה קורלציה בין המערכת של הבילינג ל-Database.

<עומר פרידמן: אנחנו לא מסתמכים רק על הרישום שנעשה ב-Database, או רק על הרישום שנעשה במערכת הבילינג.

<ניר יוגב: אני חושב שמה שכתבתם פה הוא בסדר גמור, אבל בגלל שיש מצבים שבהם היישום נכנס למאגר המידע, צריך להוסיף גם את היישום.

רויטל סויד: השאלה אם אנחנו לא יכולים לכתוב גם יישום.

רויטל סויד: האנשים שנכנסים גם מתחלפים.

<ליאת בן מאיר שלום: איך אפשר יהיה לדעת מי?

רויטל סויד: הם יחויבו לציין מי נמצא בתוך היישום, בתוך המחלקה הספציפית הזאת.

<ניר יוגב: אם תוסיפו את היישום, אפשר יהיה לבצע חקירה בדיוק כמו שהוא תיאר.

<ניר יוגב: כשעובד נכנס ומבצע זיכוי, יש תיעוד של הדברים האלה במערכת הבילינג.

<עומר פרידמן: אם הפעילו את התיעוד במערכת הבילינג וגם הופעל תיעוד במערכת ה-Database, אפשר יהיה לעשות את ההצלבה.

<עומר פרידמן: שילוב של כל הסעיפים ביחד נותן את התמונה השלמה.

<ניר יוגב: אז אין לך התנגדות שזה יהיה זהות משתמש או יישום?

<ניר יעקב גרסון: יש התנגדות, כי היישום לא מתעד ב-100% את מה שאנחנו רוצים לתחקר.

<ניר יוגב: תבינו, בשוק התקשורת יש מיליוני אם לא עשרות מיליוני פעולות של כניסה למערכת, בדיקה, התקנה של שירות, הסרה של שירות.

<ניר יוגב: הפעולות האלו לא מבוצעות באופן ישיר על ידי נציגי השירות בבסיס הנתונים, הן מבוצעות על ידי סט של הרשאות במערכות הבילינג.

<אייל זנדברג: יש רישם נוסף שמאפשר לך לזהות.

<אייל זנדברג: המטרה היא שיהיה זיהוי של מי שעשה את הפעולה, לאו דווקא ברישום הראשון.

<ניר יוגב: אין לי רישום של מי שנכנס למאגר המידע באמצעות מערכת הבילינג.

<ניר יעקב גרסון: יש לך רישום לזה שמערכת הבילינג נכנסה למאגר המידע.

<אייל זנדברג: יש לך רישום של מי שהפעיל בשם מערכת הבילינג?

<ניר יוגב: יש רישומים במערכת הבילינג של מי עשה מה.

<ליאת בן מאיר שלום: אנחנו רוצים שתוכל לדעת מי השתמש.

<ליאת בן מאיר שלום: אם אתה יכול לדעת דרך זה שאתה מחבר את שני המערכים, זה עונה על דרישות התקנה.

<ניר יוגב: זה שני עיגולים שלא בהכרח חופפים.

<ניר יוגב: אני מניח שאם תבוצע חקירה, אפשר יהיה להבין מי עשה מה.

<ניר יוגב: הנוסח כמו שהוא עכשיו מחייב לבצע משהו שלא קיים וכמעט בלתי סביר.

<ניר יעקב גרסון: רק במאגרים ברמה הבינונית והגבוהה.

<ניר יוגב: בחברות תקשורת, בבנקים.

<ניר יעקב גרסון: לא כתוב פה שזה חייב להיות באותה מערכת.

<ניר יעקב גרסון: לך, כמו שציינו כאן קודם, צריכה להיות יכולת הצלבה.

<ניר יעקב גרסון: בלי זה אי אפשר לתחקר.

<אלון בכר: אתה קודם כל צריך לדעת את זה בשביל עצמך.

<בובי פנדריך: לא תמיד אבטחת המידע או רישום הפעילויות הן החשובות.

<בובי פנדריך: הרבה פעמים זה מוריד מיעילות מערכת ההפעלה.

<בובי פנדריך: צריך לתת את הדעת על כיצד מדריכים אנשים להפעיל את כל המנגנונים כדי שאפשר יהיה לגלות מי עשה מה.

רויטל סויד: תן לנו דוגמאות.

<בובי פנדריך: כאשר פונים לביצוע פעולה מסוימת במערכת שאילתות מסוימת, היא יכולה להפעיל תכנית שעובדת מאחורי הקלעים, שניגשת לבסיס הנתונים וכותבת.

<בובי פנדריך: נעשה בדיקה לוגית אם הבקשה לכתוב כך וכך בקובץ היא הגיונית, אם היא נכונה.

<אלון בכר: אתה יודע מי הפעיל אותה?

<ליאת בן מאיר שלום: בובי, האם אתה יכול לדעת מי הפעיל אותה?

<בובי פנדריך: בביטוח לאומי אני מקליט את הפעילות של כל המשתמשים כל הזמן.

<בובי פנדריך: אני מנהל את ההקלטות האלו כך שאני אוכל לבצע עליהן שאילתות.

רויטל סויד: אז אין לך בעיה עם התקנה כפי שהיא מנוסחת.

<בובי פנדריך: היא לא מספיק חדה בעיני.

<בובי פנדריך: במנגנונים מתוחכמים יותר המשתמש לא עושה פעולה, הוא גורם לדריכת סדר פעולות שלם.

רויטל סויד: איך אתה מציע לחדד את זה?

<בובי פנדריך: על ידי הפעלת מנגנוני הבקרה בכל מערכות ההפעלה.

<ניר יעקב גרסון: בובי, אתה מתכוון שלצד זהות המשתמש נוסיף תהליך, לא תהליך במקום המשתמש.

<ניר יוגב: נכון מאוד.

<ניר יוגב: הצעתי בנוסף, לא במקום.

<יורם ביטון: במאגרי מידע מסדר גודל בינוני ומעלה אין מצב שמשתמש מגיע למאגר המידע הישיר.

<עומר פרידמן: יש מצב.

<עומר פרידמן: אנשי פיתוח, מתחזקים מגיעים ישירות למאגר המידע.

<עומר פרידמן: הם גם לוקחים אותו הביתה לפעמים.

<ליאת בן מאיר שלום: התקנה מדברת על גישה למערכות המאגר.

<ליאת בן מאיר שלום: בובי, אתה אומר שבנוסף לזהות המשתמש צריך את סוג התהליך שנוצר.

<ליאת בן מאיר שלום: ניר אומר את המילה "או".

<ליאת בן מאיר שלום: לגבי ה"או" יש לנו בעיה, כי אנחנו רוצים שלפני שרמו"ט מגיעים לפקח, הארגון עצמו יוכל לדעת מי ניגש למערכות המאגר.

רויטל סויד: ניר, אתה מדבר על הגדרה יותר רחבה.

רויטל סויד: בובי, על מה אתה מדבר?

רויטל סויד: על אותו דבר?

<בובי פנדריך: על אותו דבר.

<בובי פנדריך: אני חושב שניר מציע בנוסף, לא במקום.

<ניר יוגב: עזבו רגע את האדמיניסטרטיביים שיש להם גישה.

<ניר יוגב: ברור ששם צריך תיעוד של זהות המשתמשים הספציפיים שנכנסו למאגרי המידע.

<ניר יוגב: כמו שנאמר קודם לכן, בארגונים גדולים האנשים שנותנים שירות ללקוחות, שמבצעים פעולות לא נכנסים למאגר מידע.

<ניר יוגב: יש להם מערכת אחרת שמגבילה אותם בהרשאות לגבי מה הם יכולים ולא יכולים לעשות.

<ניר יוגב: מי שנכנס למאגר המידע זו אותה מערכת בילינג.

<ניר יוגב: כשמישהו רוצה להיכנס למאגר המידע, הוא שואל את השאלות שנאמרו קודם לכן, כמו אם זאת מערכת אמדוקס.

<ניר יוגב: הוא לא שואל מי המשתמש.

<ניר יוגב: הוא לא עושה רישום של הדברים האלה.

<ניר יוגב: יש פה שתי שאלות.

<ניר יוגב: שאלה אחת, האם אפשר יהיה להיכנס, לקחת את כל הלוגים של מערכות השירות, הבילינג והמידע, לעשות איזה תחקיר כדי למצוא מי האדם.

<ניר יוגב: זו שאלה אחת.

<ניר יוגב: אם אתם שואלים כרגע אם יש בכניסה למאגר המידע מישהו שרושם את מי שנכנס, את הזהות שלו, אז אין דבר כזה.

<ניר יוגב: גם אי אפשר לעשות דבר כזה.

<ליאת בן מאיר שלום: בגישה למערכות המאגר לא בודקים את זהות המשתמש?

<ניר יוגב: כן.

<ליאת בן מאיר שלום: זה מה שהתקנה אומרת.

<ניר יעקב גרסון: כשאתה מדבר על מאגר, אתה מדבר על בסיס נתונים.

<ניר יעקב גרסון: המאגר שמופיע בתקנות הוא לא בסיס הנתונים עצמו, אלא הנגזרת שלו שפתוחה לאנשי שירות הלקוחות.

<ליאת בן מאיר שלום: גישה למערכות המאגר.

<ליאת בן מאיר שלום: יש קושי בהקשר של גישה למערכות המאגר?

רויטל סויד: ניר, אתה רואה את זה אחרת כשמדובר על גישה למערכות המאגר?

אלעזר שטרן: ליאת, מערכות המאגר לא כוללות את המאגר?

<עומר פרידמן: היישום לא מעניין אותי.

<עומר פרידמן: אני רוצה ללכת אחורה כדי להגיע לבן אדם.

<עומר פרידמן: לא מעניין אותי איך הוא הגיע לשם, מה התהליך, מעניין אותי מי האדם שהגיע למידע.

רויטל סויד: אתם יכולים להגיע לאדם שהגיע למידע.

<עומר פרידמן: אם הם לא יכולים להגיע, יש בעיה.

<יורם ביטון: לפרמטרים שיזהו אותו לכל אורך הדרך.

<ניר יעקב גרסון: הנוסח משאיר את הגמישות לבעל המאגר לנקוט באמצעים שונים שיבטיחו את המטרה.

<ניר יעקב גרסון: זאת תקנה תוצאתית, היא לא מתווה את הדרך.

<עומר פרידמן: אם כל הלוגים מכל המערכות ישבו במקום אחד מרכזי, אז יהיה מאגר חדש שבו אני יוכל לאתר מי ביצע את הפעולה.

<אלון בכר: אם מישהו נכנס לתוך המערכת ושינה את אחוזי הנכות, אתה חייב לדעת מי עשה את זה.

אלעזר שטרן: לפי ההגדרה בתקנה 1 של מערכות המאגר, מדובר במערכות שמשמשות את המאגר.

אלעזר שטרן: זה לא המאגר, זה המערכות שמשמשות את המאגר.

<ליאת בן מאיר שלום: כדי לגשת למאגר אתה צריך לעבור דרך מערכות המאגר.

<יהונתן קלינגר: מערכות המאגר זה המערכות שמשמשות וקשורות לאבטחה שלו.

אלעזר שטרן: קוד האבטחה.

אלעזר שטרן: זה לא אומר שזה המאגר.

אלעזר שטרן: אם אני מחדד את מה שאמרת, ליאת, המשמעות היא שאם ניגשתי למאגר, לא למערכות המאגר, לא צריך שיהיה תיעוד אוטומטי של מה שדרשתי.

<ניר יעקב גרסון: מספיק לנו לדעת אם אדם עומד בפתח, פותח את הדלת ומסתכל, לא צריך לדעת אם הוא נכנס פנימה.

<ליאת בן מאיר שלום: תקנה 5, התקנה שמפרטת את מערכות המאגר, מדברת גם על מערכות התוכנה שמשמשות להפעלת המאגר.

<ליאת בן מאיר שלום: זה כל הדרך שאתה עובר עד המאגר.

אלעזר שטרן: זה עד המאגר, זה לא המאגר.

אלעזר שטרן: אני מנסה לחדד מבחינת הניסוח המשפטי של זה.

אלעזר שטרן: לכאורה זה אומר שמערכות המאגר לא כוללות את המאגר, שזה נשמע קצת מצחיק.

<עומר פרידמן: קובץ אקסל עם 100 אלף רשומות של חולי איידס הוא כלי חיצוני.

<ניר יעקב גרסון: כל מה שאנחנו אומרים זה שצריך בקרת גישה ותיעוד של מי שהגיע.

<ניר יעקב גרסון: עצם זה שהוא הגיע דרך מערכות המאגר זה כבר מספיק.

<ניר יעקב גרסון: זה מה שצריך לשמר.

אלעזר שטרן: ההנחה היא שכל מי שהגיע למאגר עבר דרך מערכות המאגר.

<ניר יעקב גרסון: כן, כי מערכות זה גם תוכנה.

<ניר יעקב גרסון: זה מופיע בתקנה 5.

<יהונתן קלינגר: אם זאת הפרשנות, אני חושב שהתקנה צריכה להשתנות טיפה.

<יהונתן קלינגר: צריך להבדיל בין גישה למערכות המידע, שזה לצורך העניין המחשב הפיזי שלי או אתר ממשקי שמאפשר לי להיכנס למערכת הניהול של המאגר ולעשות פעילויות גורפות, כמו למשל למחוק טבלאות בצורה סדרתית, לבין גישה של משתמש, כמו עובד בביטוח לאומי שמגדיל או מקטין אחוזי נכות באירוע חד פעמי כחלק מהשירות שלו.

רויטל סויד: ברור שאתם מתכוונים לאירוע החד-פעמי הזה.

<יהונתן קלינגר: לא ברור.

רויטל סויד: זה מה שהם אומרים.

<אלון בכר: מה ההבדל?

<יהונתן קלינגר: אם יש לי התחברות כ-super user למערכת ואני יכול להשפיע על הארכיטקטורה, או - -

<ליאת בן מאיר שלום: לא.

<ליאת בן מאיר שלום: כל דבר פרטני.

<ניר יעקב גרסון: גם יכולת הצפייה במאגר משנה, לא רק שינוי הגדרות והעתקה, או ביצוע פעולות בניגוד לרגולטורים אחרים.

<יהונתן קלינגר: הוא נכנס בשביל לראות איך המערכת בנויה.

<ניר יעקב גרסון: אפילו צפייה במאגר.

<אלון בכר: אם מישהו ייכנס לתיק הרפואי שלך ויצפה בו, זה מאוד יעניין אותנו.

<יהונתן קלינגר: אני מסכים איתך שזה מעניין וחשוב, אבל אני חושב שצריך להבדיל בין שימוש שיש לו דרישות מסוג מסוים - אולי במאגרים רק ברמה הגבוהה, לאו דווקא ברמה הבינונית - לבין תיעוד של גישה למערכות הטכניות, תיעוד של מישהו שיכול להכניס וירוסים למאגר.

רויטל סויד: מה זה משנה מה התוצאה?

רויטל סויד: מה זה משנה אם זה וירוס או אם זה מישהו שצילם את כל התיק שלי מהמסך והעביר הלאה?

<ניר יעקב גרסון: השאלה אם יש לזה משמעות פרקטית.

<ניר יעקב גרסון: אני מבין שלא.

<ניר יעקב גרסון: אם יש תיעוד גישה, אז יש תיעוד גישה.

<אלון בכר: כשהכלים פועלים, הם פועלים על זה שיכול לעשות נזק גדול ועל זה שיכול לעשות נזק קטן.

<יהונתן קלינגר: זה נכון.

<יהונתן קלינגר: כשהם פועלים, הם פועלים.

<יהונתן קלינגר: השאלה אם צריך לנהל את זה מהכיוון של מי שפתח את קובץ האקסל שמאוחסן על השרת הארגוני, שזה מאגר המידע שלנו, או מהכיוון של האנשים שעשו לוגים לשרת עצמו ושינו רכיבים בתוכנה.

<אייל זנדברג: גם וגם.

<רפאל פרנקו: אני חושב שהבקשה פה היא לגמרי סבירה והגיונית.

<רפאל פרנקו: היא גם לא גבוהה מידי אל מול מה שיש היום במערכות הגנה.

<רפאל פרנקו: היא גם לא מכניסה את הארגון להוצאות לא סבירות.

<רפאל פרנקו: כמו שאמר פה בובי, סך הכל אתה מתבקש להפעיל אמצעים שברוב המערכות נמצאות.

<רפאל פרנקו: כל מה שצריך סך הכל זה שאיש המקצוע יהיה מודע להן, יפעיל אותן, כדי שבמידה וייגרם אירוע תוכל לגדר את הנזק, לצמצם את הנזק, אולי אפילו להתאושש לפעם הבאה.

<ניר יעקב גרסון: נראה לי שניכר שבין אנשי אבטחת המידע יש הסכמה מוחלטת.

<ניר יעקב גרסון: זו שאלה מקצועית.

<ניר יוגב: לנו יש עשרות מערכות מסוגים שונים.

<ניר יוגב: לא כל המערכות יודעות לעשות את זה.

<ניר יוגב: אם נצטרך לתעד כל גישה למערך המידע עם שמירת כל הלוגים האלה, מדובר על שמירה של מיליוני לוגים כל יום לכל חברה.

רויטל סויד: ניר, בסוף יש לכם את זה.

<עומר פרידמן: דרך אגב, סלקום היא בין הראשונות בארץ שהטמיעה מערכת כזאת עוד בתחילת שנות ה-2000.

<ניר יוגב: אני מניח שאם לא הייתה לנו בעיה עם זה, לא היו שולחים אותי.

<ניר יוגב: יש דברים שיש לגביהם שמירה של לוגים, יש דברים שלא.

<ניר יוגב: מה שאתם מבקשים פה זה כל גישה, כל דבר, כל מערכת.

<ניר יוגב: אין דבר כזה.

<ניר יוגב: זה מיליוני פעולות.

<ניר יוגב: זה המון כסף, המון השקעה.

<ניר יוגב: זה כמעט בלתי ישים, בטח לא בלוחות הזמנים שאתם מתארים פה במסמך התקנות.

<ניר יוגב: לגבי חברות שנותנות שירות למיליוני לקוחות, זה משהו מונומנטלי מבחינת ההיקפים שלו.

רויטל סויד: יש דיון מקצועי ומהותי בתקנה הזאת.

רויטל סויד: אנחנו רואים שיש כאן דרישה מחויבת מציאות.

רויטל סויד: אפשר יהיה לראות לא רק מישהו שהחדיר וירוסים, אלא גם מישהו שרק הציץ, ראה, נחשף.

<גילי בסמן-ריינגולד: לא בזמן אמת.

<גילי בסמן-ריינגולד: יהיה מנגנון תיעוד שאפשר יהיה לגשת אליו כדי לבצע תחקיר.

<אלון בכר: רק על המערכות שמנהלות מידע אישי.

<אלון בכר: יש הרבה מאוד מערכות שלא מנהלות מידע אישי שאנחנו לא עוסקים בהן בכלל.

רויטל סויד: זו דרישה מאוד לגיטימית.

רויטל סויד: אני מבינה, ניר, מה שאתה אומר.

רויטל סויד: בובי הצטרף לזה.

רויטל סויד: לא שמענו פה את בנק ישראל, מה שאומר שאין להם קושי.

רויטל סויד: זה גם גוף מאוד מאוד משמעותי, עם כניסות למקומות רגישים.

רויטל סויד: אני מאמינה שבתוך היישום הזה, בתוך המחלקה הזאת יש לכם יכולת לדעת מי אותו משתמש ספציפי, מי אותו אדם, מי אותו עובד שכן נכנס ונחשף.

רויטל סויד: קשה לי להאמין שאין לכם את יכולת המעקב הזאת.

<ניר יוגב: לא אמרתי שיש פה משהו שאי אפשר ליישם אותו.

רויטל סויד: גילי גם חידדה שזה בדיעבד.

<ניר יוגב: את כל מה שכתוב פה, למעט ההתייחסויות שהערתי, אפשר ליישם.

<ניר יוגב: זה לא קיים היום, למיטב ידיעתי, באף חברה.

<ניר יוגב: נכון שאני היחידי שנמצא פה מחברות התקשורת.

<ניר יוגב: הסיבה היחידה היא שחברות התקשורת האחרות לא ממש הכירו את התקנות, לכן הן גם לא נערכו לזה.

<ניר יוגב: אנחנו הספקנו קצת ללמוד את זה.

<ניר יוגב: ברור שאפשר ליישם את זה.

<ניר יוגב: זה לא מיושם היום, כי הארכיטקטורה של עבודה במערכות מידע היא שונה.

<ניר יוגב: היא אומרת שיש מאגר.

<ניר יוגב: סביב המאגר יש חומר גבוהה מאוד, כאשר השומר שעומד בשער אומר מי נכנס, מי לא נכנס.

<ניר יוגב: לפעמים מי שיכול להיכנס זו מערכת, זה לא בן אדם.

רויטל סויד: אתה יודע מי עובד במערכת הזאת.

רויטל סויד: בתוך המערכת יש תיעוד של מי שנמצא.

<ניר יוגב: לא בכל המערכות יש תיעוד לכל פעולה ופעולה שהנציגים עושים.

<ניר יוגב: זה לא קיים.

<ליאת בן מאיר שלום: אתה רוצה לומר לי שבמאגרי מידע סופר רגישים שאתם מחזיקים אתם לא יכולים לדעת מי נכנס?

<ניר יוגב: זה לא מה שאמרתי.

<ניר יוגב: יש פה ארכיטקטורה שהיא לא ייחודית לסלקום ולשוק התקשורת.

<ניר יוגב: יש פה ארכיטקטורה שונה.

<ניר יוגב: הארכיטקטורה בעולם מאגרי המידע באה ואומרת שיש אנשים ספציפיים שיש להם הרשאות לבצע פעולות, ויש יישומים שיכולים לבצע פעולות, כאשר היישומים האלה צריכים לענות על איזה שהם קריטריונים, כמו הקשת סיסמא.

<ניר יוגב: אם את שואלת אם במערכת CRM כל פעולה של כל נציג בכל נושא מתועדת ונשמר הלוג שלה, אז התשובה היא לא.

<ניר יוגב: יש פעולות מסוימות שהחברה בוחרת לשמור את הלוגים.

<ניר יעקב גרסון: משיקולים עסקיים.

רויטל סויד: הדברים ברורים, אנחנו עוברים הלאה.

אלעזר שטרן: 11.

אלעזר שטרן: תיעוד של אירועי אבטחה.

אלעזר שטרן: (א) בעל מאגר מידע אחראי לתיעוד כל מקרה בו התגלה אירוע המעלה חשש לפגיעה בשלמות המידע לשימוש בו בלא הרשאה או לחריגה מהרשאה (להלן – אירועי אבטחה); ככל הניתן יבוסס התיעוד האמור על רישום אוטומטי.

אלעזר שטרן: (ב) בנוהל האבטחה יקבע בעל מאגר מידע גם הוראות לעניין התמודדות עם אירועי אבטחת מידע, לפי חומרת האירוע ומידת רגישות המידע, לרבות לעניין ביטול הרשאות וצעדים מיידיים אחרים הנדרשים וכן לעניין דיווח לבעל המאגר על אירועי אבטחה ועל פעולות שננקטו בעקבותיהם.

אלעזר שטרן: (ג) במאגר מידע שחלה עליו רמת האבטחה הבינונית, יקיים בעל המאגר דיון אחת לשנה לפחות באירועי האבטחה ויבחן את הצורך בעדכונו של נוהל האבטחה.

אלעזר שטרן: במאגר מידע שחלה עליו רמת האבטחה הגבוהה, ייערך דיון כאמור אחת לרבעון לפחות.

אלעזר שטרן: (ד) ארע אירוע אבטחה חמור - (1) יודיע על כך בעל המאגר לרשם באופן מיידי, וכן ידווח לרשם על הצעדים שנקט בעקבות האירוע; (2) רשאי הרשם להורות לבעל מאגר המידע, למעט לבעל מאגר מידע מן המנויים בסעיף 13(ה) לחוק, לאחר שנועף בראש הרשות הלאומית להגנת הסייבר, להודיע על אירוע האבטחה לנושא מידע שעלול להיפגע מן האירוע.

<גילי בסמן-ריינגולד: התקנה הזאת נועדה ליצור איזה שהוא זיכרון ארגוני של הארגון ביחס לאירועי אבטחה, היא נועדה לאפשר הפקת לקחים בעתיד.

<גילי בסמן-ריינגולד: היא ממשיכה עם הוראות לגבי התמודדות עם אירועי האבטחה, עם הדיווח להנהלה, על מנת שזאת תוכל לקיים בקרה.

<גילי בסמן-ריינגולד: יש התייחסות לתדירות שבה ידונו על אירועי האבטחה.

<גילי בסמן-ריינגולד: היא נמוכה יותר במאגרים של האבטחה הבינונית, והיא רבעונית במאגרים שרמת האבטחה בהם גבוהה.

<גילי בסמן-ריינגולד: החלק השני של התקנה מדבר על חובה ליידע את הרשם בקרות אירוע אבטחה חמור, כאשר יש הגדרה של אירוע אבטחה חמור.

<גילי בסמן-ריינגולד: נדרש יידוע עליו שם.

<גילי בסמן-ריינגולד: הרשם רשאי להורות לבעל המאגר להודיע לנושא המידע על אירוע האבטחה.

<גילי בסמן-ריינגולד: נעשה את זה רק אחרי שניוועץ עם ראש רשות הסייבר.

<גילי בסמן-ריינגולד: במקרים כאלה נדרשת נקודת מבט יותר רחבה מרק פרטיות.

<גילי בסמן-ריינגולד: מדובר על נקודת מבט שנוגעת להגנה על הסייבר.

<אלון בכר: זה בעיקר תלוי אירוע, איזה סוג של אירוע התרחש פה.

<אלון בכר: לפעמים האירוע הזה יהיה אירוע חד, ואז חשוב מאוד שלא ננקוט באיזו שהיא פעולה שתשבש את הטיפול באירוע הסייבר.

<אלון בכר: יש הרבה אירועי אבטחה שהם לא אירועי סייבר.

רויטל סויד: מה זאת אומרת?

<אלון בכר: אירוע אבטחה יכול להיות עובד שהכניס דיסק און-קי, גנב את כל המידע ומכר אותו.

<אלון בכר: זה לא אירוע סייבר.

<אלון בכר: הרבה פעמים תהיה מתקפת סייבר, יהיה אירוע לאומי, אירוע של חדירת גורם עוין מבחוץ, שאז ברור שחייבים להיות מתואמים.

<אלון בכר: אנחנו לא נמזער את הנזק בגרימת נזק אחר.

אלעזר שטרן: האם במקרה של אירוע אבטחה חמור אין מקום להתייעץ, ככל שמדובר בגורמים שיש להם רגולטור, עם הרגולטור הרלוונטי?

אלעזר שטרן: אם אירע משהו לחברות ביטוח, אולי להבין מה המשמעות שבעל המאגר יודיע או לא יודיע לנושא המידע.

אלעזר שטרן: האם אין מקום להתייעצות?

אלעזר שטרן: זה כמו שמתייעצים עם הרשות להגנת הסייבר בהיבטים של הסייבר.

אלעזר שטרן: מה יהיה האפקט והמשמעות של פרסום המידע או העובדה שהיה אירוע אבטחה חמור?

אלעזר שטרן: יש מקום לזווית המבט של הרגולטור הרלוונטי שמצוי באותו תחום ספציפי.

אלעזר שטרן: הוא יכול להבין מה המשמעות של פרסום המידע הזה.

<שירלי אבנר: אנחנו חושבים שצריך פה הסכמה של הרגולטור.

<שירלי אבנר: יש ראייה כלל מערכתית של הרגולטור.

<שירלי אבנר: הוא זה שמכיר את השוק שבו מדובר.

<שירלי אבנר: היינו רוצים הסכמה.

<שירלי אבנר: ההודעה לא צריכה להיות באופן מידי.

<שירלי אבנר: אם רוצים תקנה שהשוק יוכל לעמוד בה, זה צריך להיות בהקדם האפשרי.

<שירלי אבנר: באופן מידי זו דרישה דווקנית מידי.

<גילי בסמן-ריינגולד: אנחנו בהחלט מסכימים עם העובדה שצריך להתייעץ עם רגולטורים אחרים.

<גילי בסמן-ריינגולד: אנחנו חושבים שזה מוסדר בתקנה 20.

אלעזר שטרן: תקנה 20 לא קשורה לפה.

אלעזר שטרן: תקנה 20 מדברת על תחולה כללית של הוראות כאלו ואחרות, היא לא מדברת על אירוע אבטחה.

<אלון בכר: שהיא תלוית רגולציה ספציפית.

אלעזר שטרן: תקנה 20 לא רלוונטית פה.

אלעזר שטרן: תקנה 20 מדברת על פטור מחובה כזאת, על התאמה.

אלעזר שטרן: זה לא קשור לאירוע ספציפי.

<גילי בסמן-ריינגולד: אנחנו לא נוציא את ההנחיה הזאת בלי להתייעץ עם הרגולטור הרלוונטי.

אלעזר שטרן: זה לא קשור להנחיה.

אלעזר שטרן: זו לא הנחיה כללית.

אלעזר שטרן: זה טיפול באירוע נקודתי שקרה עכשיו.

<גילי בסמן-ריינגולד: חלק מהעבודה של ההנחיה היא לשתף פעולה עם אותו רגולטור, להגיע להסכמות בדיוק בעניינים האלה.

אלעזר שטרן: עובדה שכתבת את הרשות להגנת הסייבר.

<ניר יוגב: היו מקרים שבהם השב"כ הנחה לא לפרט ולא להעביר דיווח לאף גורם אחר על אירוע שאירע.

<ניר יוגב: החוק פה אומר לדווח.

<ניר יוגב: מי צודק?

<ניר יוגב: למי להקשיב?

<רפאל פרנקו: רשות הסייבר אחראית על מרבית גורמי המשק.

<רפאל פרנקו: רוב הרגולטורים כפופים להנחיה של רשות הסייבר.

<רפאל פרנקו: זה פוטר את מרבית הרגולטורים.

אלעזר שטרן: לכל מגזר יש את ההיבט שלו.

אלעזר שטרן: מה המשמעות של חברת ביטוח שמפרסמת שפרצו למאגר שלה?

<אלון בכר: אלעזר, אתה רוצה שנכניס רשימה של רגולטורים?

אלעזר שטרן: אתה לא צריך להכניס רשימה.

<רפאל פרנקו: רשות הסייבר שמה צוות שמכיר את המגזר.

<שירלי אבנר: זה לא נכון בנוגע לבנקים.

<רפאל פרנקו: אני לא דיברתי על הבנקים.

<רפאל פרנקו: אמרתי שבכל המגזרים, למעט בודדים, יש רגולטורים מגזריים שכפופים לרשות הסייבר.

<רפאל פרנקו: אנחנו גוף שמיידע את כל מי שצריך.

<רפאל פרנקו: זה עושה סדר ברמה הלאומית.

אלעזר שטרן: אצלכם יש אנשים שמכירים כל מגזר ומגזר?

<רפאל פרנקו: יש בין אדם אחד ל-3 במעל 20 מגזרים שהקמנו, תלוי בגודל.

<רפאל פרנקו: זה מייצר סדר לאומי מקצה לקצה.

<רפאל פרנקו: בחריגים אפשר לדון.

אלעזר שטרן: האם האנשים שנמצאים בכל מגזר ומגזר מכירים את השוק בהיבט של הסייבר, או מכירים בהיבט התוכני שלו?

אלעזר שטרן: האם הגורמים שלך מכירים את השוק ומבינים מה המשמעות של פרסום מידע כזה, או שהם מכירים את זה במובן של איך המערכות פועלות?

<רפאל פרנקו: כל הרעיון הוא לשים אותם אצל הרגולטורים.

<רפאל פרנקו: נתתי את הדוגמה של אנרגיה.

<רפאל פרנקו: יש דוגמה בפיננסים.

<רפאל פרנקו: במשרד לביטחון פנים גם יש.

<רפאל פרנקו: הם יושבים במשרדים, מכירים את ההוויה ואת העשייה היום יומית.

<שירלי אבנר: זה לא נכון בכל הנוגע ליציבות של המערכת הבנקאית.

<שירלי אבנר: התפקיד של רשות הסייבר הוא לקחת בחשבון היבטים שנוגעים להגנת הסייבר, לא ליציבות המערכת הבנקאית, לא ליציבות המערכת הפיננסית, לא להיבטים שנוגעים ללקוחות של המערכת הבנקאית והרגישות שנדרשת בהיבטים האלה.

<שירלי אבנר: זה לא התפקיד של מטה הסייבר.

<שירלי אבנר: אני חושבת שזה יפגע בסמכויות שלה, כי היא אמורה לקחת בחשבון דברים אחרים.

<שירלי אבנר: מי שאמון על ההיבטים הרוחביים והעסקיים של המפוקחים הוא הרגולטור.

<שירלי אבנר: הוא מכיר אותם הכי טוב.

<שירלי אבנר: מטה הסייבר לא יכול להחליף את שיקול הדעת של הרגולטור בהיבטים האלה.

<גילי בסמן-ריינגולד: מה שבעיקר עולה מהדיון הזה הוא שכנראה לכל רגולטור יש את נקודת ההשקפה שלו, הוא אחראי על התחום שלו.

<גילי בסמן-ריינגולד: לא יהיה נכון לתת את המנדט של התחום של פרטיות לגופים שמה שהם צריכים לייצג זה יציבות כלכלית או הגנה.

אלעזר שטרן: לא דיברתי על לתת מנדט, דיברתי על התייעצות איתם.

<גילי בסמן-ריינגולד: אני לא חושבת שהתייעצות זה משהו שצריך להופיע בתקנות.

<פיני שחר: גם אם יש נציגים בתוך מגזר ספציפי, הנציגים האלה רואים אך ורק את נושא הסייבר, הם לא מכירים את העולם התוכני.

<פיני שחר: אני מתחבר למה ששירלי אמרה.

<פיני שחר: יש פה נושאים של מוניטין ויציבות.

<פיני שחר: צריך לזכור, גופים פיננסיים מנהלים למעלה מ-3 טריליון שקל.

<פיני שחר: מעבר לנושא של הגנת הפרטיות יש פה יציבות של המשק, יציבות של הכלכלה, מוניטין של הדברים האלה.

<אלון בכר: הרשם רשאי להורות.

<יהונתן קלינגר: כרטיסי האשראי שלנו, האזרחים, יכולים להסתובב ברשת, כאשר לנו לא יגידו כלום.

<יהונתן קלינגר: למה לא לחייב אותם?

<ליאת בן מאיר שלום: הרשם, כשהוא יפעיל את סמכותו, הוא יתייעץ עם הרגולטור הרלוונטי.

<ליאת בן מאיר שלום: לנו לא מוכר, גם לא בעולם וגם לא ברגולציה פרטנית המקבילה של הרגולטורים הענפיים, חובת התייעצות סטטוטורית.

<ליאת בן מאיר שלום: רגולטורים אמורים לעבוד בשיתוף פעולה זה עם זה.

<ליאת בן מאיר שלום: זאת רק דוגמה אחת פרטנית למגוון תחומים של חפיפה שיש בין רגולטוריים ענפיים ורוחביים שונים.

<ליאת בן מאיר שלום: הם אמורים לעבוד בשיתוף פעולה.

<ליאת בן מאיר שלום: במקרים המתאימים הרשם יתייעץ עם הרגולטור הנוסף.

<ליאת בן מאיר שלום: גם בהסתכלות על הרגולציה ההפוכה, על הרגולציה הענפית, לא ידוע לי שיש חובת היוועצות סטטוטורית עם רשם.

<אלון בכר: אין פה משהו אוטומטי.

<אלון בכר: אגב, גם כיום, כשאין חובת דיווח על אירוע כל כך חמור, אנחנו מקבלים דיווחים ומקבלים מידעים.

<אלון בכר: אנחנו רשאים להורות, אנחנו רשאים לעשות כל מיני דברים.

<אלון בכר: המציאות מראה שעוד לא מוטטנו בנק, שעוד לא הכרחנו אף גורם לעשות משהו בניגוד לאינטרס הציבורי ולמכלול השיקולים.

<אלון בכר: כבר היו אירועים בבנקים ובחברות ביטוח.

<אלון בכר: ברור שניוועץ, ברור שאנחנו שוקלים את השיקולים הרחבים, ברור שהסיבה שרשומה פה רשות הסייבר ולא גורם אחר היא כי היא הרשות שמתכללת את כל אירועי הסייבר במדינה.

<אלון בכר: היא נגישה לכל המידע.

<אלון בכר: היא אמורה להבין אם יש רגישות שאנחנו לא מודעים אליה לפני שאנחנו עושים איזה שהוא צעד.

<אלון בכר: אף אחד לא יעשה שום דבר שיכול לגרום איזה שהוא נזק גדול בלי שהוא יבדוק את זה עם מי שצריך.

<אלון בכר: אי אפשר להכפיף זכות יסוד חוקתית של כל אזרחי המדינה לאינטרס של רגולטור ספציפי.

אלעזר שטרן: זו לא הכפפה.

<אלון בכר: זו הכפפה.

<אלון בכר: להגיד הסכמה, היוועצות בתוך תקנות זה סוג של הכפפה.

<אלון בכר: יש רגולטורים שיש להם אינטרס מאוד מאוד צר, יש רגולטורים שיש להם אינטרסים אחרים.

<אלון בכר: אנחנו ניוועץ במי שמסתכל על התמונה הכוללת, שזה סטטוטורי, כדי לא לגרום נזק ברמה לאומית.

<אלון בכר: את כל הדברים האחרים נעשה בשקט, בשום שכל.

<אלון בכר: להגיד שכשקורה לך אירוע אבטחה חמור אתה לא יכול לעדכן את מי שאמור לדעת על הדבר הזה כי אתה עכשיו מטפל בו, זה לא משהו שצריך לקחת ברצינות.

<אלון בכר: העדכון הזה הוא לא משהו יוצא דופן, הוא לא מפריע לך לטפל באירוע, הוא חלק מהאירוע.

<אלון בכר: אני מניח כשיהיה אירוע סייבר משמעותי בגוף גדול וחזק כמו בנק, גם רשות הסייבר תהיה מעודכנת בו באותה שנייה שזה קרה.

<שירלי אבנר: אני לא מסכימה עם הדברים שנאמרו כאן.

<שירלי אבנר: באופן מיידי זה בעייתי.

<שירלי אבנר: עדיף שזה יהיה בהקדם האפשרי.

<שירלי אבנר: אני לא מבינה למה ההתנגדות להוסיף את הרגולטורים.

<דן חי: אני מתחבר לדברים של אלון.

<דן חי: לתת לרגולטור הרלוונטי לדאוג לענייני פרטיות, זה קצת כמו לתת לחתול לשמור על השמנת.

<דן חי: שמענו רק עכשיו שפותחים מאגר של כל מוצרי הביטוח של אזרחי מדינת ישראל מתחת לאף של כולנו.

<דן חי: מי שומר על זה?

<דן חי: איך שומרים על זה?

<דן חי: לתת לרגולטור לעשות דברים של פרטיות, שזה לא הרגולטור הרלוונטי, זו תהיה טעות.

<דן חי: אני חושבת שצריך לתת סמכות לרמו"ט.

<דן חי: הם מספיק חכמים להחליט אם צריך להתייעץ, אם לא צריך להתייעץ.

<דן חי: אף בנק לא ייפול בגלל החלטה של ראש רמו"ט.

<דן חי: הוא לא אדם שנולד אתמול.

<דן חי: כל מי שיהיה בתפקיד ידע שהוא צריך לקחת החלטות כאלו.

<אלון בכר: לכל רגולטור יש את האינטרסים שלו, יש את הייחודיות שלו.

<אלון בכר: למיידיות יש משמעות, כי הרבה פעמים צריך לנקוט בפעולות מידיות, צריך לקבל הנחיות מידיות.

<אלון בכר: העניין של להגיד שזה יהיה בהקדם האפשרי, זה בדיוק ההקשר של החתול והשמנת.

<אלון בכר: מי יקבע מה זה בהקדם האפשרי?

רויטל סויד: אנחנו נמשיך בישיבה הבאה.