ועדת החוקה, חוק ומשפט, כנסת 20, פרוטוקול מספר 355, 2017-03-07 13:30

רויטל סויד: צהריים טובים.

רויטל סויד: ברוכים הבאים לכולם.

רויטל סויד: כל מי שמעוניין לדבר, נרשם, אני מקווה, לזכות דיבור.

רויטל סויד: אני מתכבדת לפתוח את ישיבת ועדת החוקה, חוק ומשפט בנושא: תקנות הגנת הפרטיות (אבטחת מידע), התשע"ו-2016.

רויטל סויד: אנחנו סיימנו את הדיון הקודם כשאנחנו בתקנה 11.

רויטל סויד: אנחנו הקראנו אותה, ואני מציעה שאנחנו נקריא אותה שוב מכיוון שזה היה בסוף הדיון.

רויטל סויד: נמשיך את הדברים מכאן.

אלעזר שטרן: אני אקרא שוב את תקנה 11.

אלעזר שטרן: "תיעוד של אירועי אבטחה – 11.

אלעזר שטרן: (א) בעל מאגר מידע אחראי לתיעוד כל מקרה בו התגלה אירוע המעלה חשש לפגיעה בשלמות המידע, לשימוש בו בלא הרשאה או לחריגה מהרשאה (להלן - אירועי אבטחה); ככל הניתן יבוסס התיעוד האמור על רישום אוטומטי.

אלעזר שטרן: (ב) בנוהל האבטחה יקבע בעל מאגר מידע גם הוראות לעניין התמודדות עם אירועי אבטחת מידע, לפי חומרת האירוע ומידת רגישות המידע, לרבות לעניין ביטול הרשאות וצעדים מיידים אחרים הנדרשים וכן לעניין דיווח לבעל המאגר על אירועי אבטחה ועל פעולות שננקטו בעקבותיהם.

אלעזר שטרן: (ג) במאגר מידע שחלה עליו רמת האבטחה הבינונית, יקיים בעל המאגר דיון אחת לשנה לפחות באירועי האבטחה ויבחן את הצורך בעדכונו של נוהל האבטחה.

אלעזר שטרן: במאגר מידע שחלה עליו רמת האבטחה הגבוהה, ייערך דיון כאמור אחת לרבעון לפחות".

אלעזר שטרן: "(ד) ארע אירוע אבטחה חמור – (1) יודיע על כך בעל המאגר לרשם באופן מידי, וכן ידווח לרשם על הצעדים שנקט בעקבות האירוע.

אלעזר שטרן: (2) רשאי הרשם להורות לבעל מאגר המידע, למעט לבעל מאגר מידע מן המנויים בסעיף 13(ה) לחוק, לאחר שנועץ בראש הרשות הלאומית להגנת הסייבר, להודיע על אירוע האבטחה לנושא מידע שעלול להיפגע מן האירוע".

רויטל סויד: מי מתחיל אצלכם?

רויטל סויד: איל?

רויטל סויד: משרד המשפטים?

רויטל סויד: ליאת.

<ליאת בן מאיר שלום: התקנה, כמו שהסברנו בפעם הקודמת, יוצרת זיכרון ארגוני ביחס לאירועי האבטחה שאירעו בארגון כדי להפיק מהם לקחים גם לעתיד.

<ליאת בן מאיר שלום: התדירות של הדיון שצריך להיעשות באירועי האבטחה משתנה בהתאם לרמת האבטחה של המאגר.

<ליאת בן מאיר שלום: כאשר אירע אירוע אבטחה חמור – זה מונח שמוגדר בתקנות, בתקנה 1 – נגזרים מזה שני דברים: דבר אחד הוא חובת הודעה מידית לרשם, וסמכות לרשם להורות במקרים המתאימים על הודעה לנושא המידע.

<ליאת בן מאיר שלום: מדובר במודל שקיים גם בעולם ומביא לידי ביטוי את הזכויות של נושא המידע.

<ליאת בן מאיר שלום: כמובן שהסמכות הזאת תופעל לאחר הפעלת שיקול דעת של כל ההשלכות שלה.

רויטל סויד: תרצו להוסיף?

רויטל סויד: אלעזר?

אלעזר שטרן: העלינו כמה דברים בדיון הקודם.

אלעזר שטרן: אין לי מה להוסיף.

<איה שוורץ: איה מהלשכה המשפטית במשרד האוצר.

<איה שוורץ: בהמשך להערות שהביאה רשות שוק ההון בדיון הקודם, אנחנו נבקש לציין לפרוטוקול כי אנחנו הגענו להבנות עם רמו"ט, שהגופים המפוקחים על-ידינו יכללו במנגנון לפי סעיף 20(א) וחלק מהתקנות האלה יוחרגו לגביהם.

<איה שוורץ: אנחנו נבקש לעדכן את הוועדה כשנגיע להסכמות מפורטות יותר.

רויטל סויד: אתם רוצים להסביר לנו איפה זה עומד?

רויטל סויד: במה דברים אמורים?

<ליאת בן מאיר שלום: לא ברור לי למה יש צורך לעדכן את הוועדה, זה בדיוק המנגנון של תקנה 20.

<ליאת בן מאיר שלום: תקנה 20 נותנת את המענה לא רק לסמכות הזאת, אלא למכלול ההוראות שיש בתקנות במקרים שיש רגולטור נוסף.

<גילי בסמן ריינגולד: למרות שתקנה 20 עוד לא בתוקף, כבר התחלנו לשבת כדי להיערך ליישום שלה.

רויטל סויד: אנחנו בתקנה 11.

רויטל סויד: בואו נתמקד בדיון בדברים שקשורים לתקנה 11.

רויטל סויד: תודה איה.

רויטל סויד: עורך דין גיל סלומון, איגוד חברות הביטוח.

<גיל סלומון: המשמעות של מה שנאמר פה עכשיו – יכול להיות שהנוכחות שלנו פה מתייתרת אם זה אכן כך.

<גיל סלומון: אבל אנחנו לא מדברים על זה, אנחנו מדברים על סעיף 11.

רויטל סויד: אנחנו מדברים רק על תקנה 11.

<גיל סלומון: אני אגיד את מה שהתכוונתי להגיד, בהתעלם ממה שנאמר פה עכשיו, שיכול להיות שמייתר את הנוכחות שלי פה.

<גיל סלומון: ראשית, אנחנו הגשנו בקשה לפגישה בדצמבר 2016 לרמו"ט.

<גיל סלומון: עדיין לא נענינו, אני מדבר על איגוד חברות הביטוח.

<גיל סלומון: הגשנו מכתב, אפשר להגיש אותו שוב.

<גיל סלומון: אנחנו חשבנו שיש מקום להיפגש אתכם לפני שמטילים עלינו רגולציה.

<גיל סלומון: לא הגיבו למכתב ולא נפגשנו וחבל.

<גיל סלומון: אנחנו חוזרים על הדברים שנאמרו פה עכשיו, שאנחנו נתונים לפיקוח של הרשות לפיקוח על ההון.

<גיל סלומון: יש חוזרים בנושא של הרגולטור שלנו.

<גיל סלומון: למעשה, זה יוצר רגולציה כפולה גם של רמו"ט וגם של הפיקוח, ואנחנו חושבים שיש פה יותר נזק מתועלת במידה ואנחנו נהיה תחת האחריות של רמו"ט.

<גיל סלומון: עוד פעם, אם הסייג שנאמר פה יחול עלינו, כל הדברים שאמרתי מתייתרים.

רויטל סויד: ולגבי תקנה 11, יש לך מה להעיר?

<גיל סלומון: לא, אני אומר, אנחנו עדיין לא נכנסנו לרזולוציות של - - -

רויטל סויד: אבל זה הזמן.

רויטל סויד: זה נכון שכשנגיע לתקנה 20, אנחנו נדבר על הנושא שמעסיק אותך, אבל מכיוון שאנחנו עוברים בינתיים את התקנות, במידה ויש לכם התייחסות לגבי מה שנקרא אירוע אבטחה חמור, אולי כדאי שכן תתייחס נקודתית גם לתקנה כדי שנוכל לדון בה לגופו של עניין.

<גיל סלומון: מכיוון שביקשנו להבין את זה יותר לעומק, מכיוון ביקשנו להיפגש אתכם – בסך הכול זה נושא שלא מוכר לנו ורצינו להבין אותו לעומק, ביקשנו להיפגש, ביקשנו להבין.

<גיל סלומון: לא הגענו לשם, לא זומנו, לא הגיבו למכתב שלנו בכלל.

<גילי בסמן ריינגולד: אנחנו לא מכירים את המכתב הזה, אנחנו ניפגש אתכם בשמחה, אנחנו נפגשים עם הרבה גופים.

<גילי בסמן ריינגולד: בהקשר שלכם, כמו שאיה אמרה, הרגולטור שלכם דואג לכם, להסדיר את זה ברמה של כל המגזר ולא חברה-חברה.

<גיל סלומון: בסדר גמור.

רויטל סויד: אני מבינה מכאן שמהשיח הזה תצא פגישה, נכון?

<גילי בסמן ריינגולד: בהחלט.

<גיל סלומון: אם יהיה צורך.

רויטל סויד: להשתדל שהיא תהיה לקראת הדיון הבא.

<גילי בסמן ריינגולד: אם יהיה בה צורך, כי יכול להיות שהפגישה מול הרגולטור המנחה שלהם - - -

<אלון בכר: גם שלא מוכרת לנו שום בקשה לפגישה אתם.

רויטל סויד: מכיוון שאנחנו יושבים כאן כבר דיון שלישי, וכל גוף שרציתם להיפגש אתו נפגש אתכם, אז אני מניחה שהייתה פה איזושהי אי-הבנה.

<גיל סלומון: יש מכתב, הוא לא נענה.

<גיל סלומון: בסדר, אנחנו נשלח אותו שוב.

רויטל סויד: תערכו את הפגישה הזו, במידה ויהיה בה צורך, אם היא לא תתייתר, מול רמו"ט, הם נפגשים, אין ספק.

רויטל סויד: נתן הרשקוביץ, הרשות לניירות ערך.

<נתן הרשקוביץ: לאור הדברים שנאמרו קודם, הייתי מבקש להעיר על סעיף 20.

רויטל סויד: עורכת דין חוה בינשטוק, אתם ביחד?

<חוה בינשטוק: כן.

<חוה בינשטוק: אנחנו ביחד.

רויטל סויד: סילבי חורב, התעשייה האווירית.

<סילבי חורב: אני רוצה להתייחס באופן כללי, ולא לסעיף בודד.

<סילבי חורב: זה הזמן?

רויטל סויד: לא, לא.

רויטל סויד: אז אנחנו נתקדם.

רויטל סויד: ניר יוגב, "סלקום".

<ניר יוגב: אני רוצה לחזור על מה שאמרתי בפגישה הקודמת, וזה רלוונטי לסעיף 11.

<ניר יוגב: כמובן שאני אתייחס אחר-כך גם לסעיף 20.

<ניר יוגב: ישנם אירועי אבטחה שבהם אנחנו מקבלים הנחיות מרא"מ לא לדווח ולא להעביר את הדיווח לאף גורם אחר.

<ניר יוגב: לא יתכן שבחקיקה יקבעו הוראות, ככל שהן יחולו עלינו, שבהן אנחנו נדרשים לדווח מידית לרמו"ט, וזה יעמיד אותנו במצב שבו אנחנו מפרים הוראות של רא"מ או הוראות של רמו"ט.

<ניר יוגב: זו עוד דוגמה לסתירה פוטנציאלית שנובעת מרגולציה כפולה על אותו גוף.

רויטל סויד: אתם רוצים להתייחס לזה, שיש לכאורה הפרת הוראה שהם טוענים שיכולה להיות להם?

<ניר יעקב גרסון: ראשית, יש בחוק הגנת הפרטיות סעיף הגנות.

<ניר יעקב גרסון: אם לא נגיע לזה – נניח שלא היינו מסדירים את כל הרגולציה, נדון על זה בהמשך בהרחבה.

<ניר יעקב גרסון: יש סעיף הגנות שאומר שמי שממלא חובה על-פי דין, הוא פטור מאחריות לפי החוק.

<ניר יעקב גרסון: די בזה.

רויטל סויד: זה כשכבר נדרשים לבדוק את - - -

<ניר יעקב גרסון: נכון, אבל לא נגיע לזה, כי בדיון על תקנה 20 יתברר שלא יהיה בזה צורך.

רויטל סויד: תתייחס לטענה הנקודתית שניר מעלה, על כך שיש להם פה לכאורה הוראה סותרת שיכולה להיות.

רויטל סויד: אני מבינה שאתה אומר שיש הגנות אחר-כך וכיוצא בזה, ואתה אומר שבתקנה 20 יכול להיות שיהיו החרגות.

<ליאת בן מאיר שלום: לא ידוע לנו על הוראה סותרת כזאת כי טיוטת התקנות שלפני הוועדה, שעברה כמה וכמה שימועים לציבור, וכמובן למשרדי הממשלה, הוצגה גם בפני רא"מ, ולא עלתה שום הערה בהקשר הזה.

<גילי בסמן ריינגולד: הם לא הצביעו על הבעיה הזאת, וזה מתואם עם רא"מ.

<ניר יוגב: עוד פעם, המציאות בפועל היא שמכיוון שאנחנו כפופים ל - - -

רויטל סויד: תן את הסיטואציה שבה אתה רואה שאתה עומד באופן שאתה מגיע להפרה.

<ניר יוגב: אני אסביר.

<ניר יוגב: אנחנו, ועוד הרבה מאוד גופים שנמצאים פה בחדר, וגם כאלה שלא, כפופים לחוק להסדרת הביטחון במוסדות ציבוריים.

<ניר יוגב: בחוק הזה יש הנחיות, זו חקיקה ראשית.

<ניר יוגב: יש שם הנחיות מה אנחנו עושים ואיך אנחנו עושים.

<ניר יוגב: בין היתר, באירועי אבטחה, שכבר קרו בשוק התקשורת, התקבלו הנחיות מרא"מ לא להעביר דיווח על אירוע אבטחה לאף גורם אחר משיקולי ביטחון.

רויטל סויד: סליחה שאני עוצרת אותך.

רויטל סויד: סיטואציה כזו – גילי, ליאת, אלון, ניר - -

<קריאה: סעיף 19 לחוק הגנת הפרטיות.

רויטל סויד: - - שבה הוא אומר יש לנו הוראה מרא"מ לא להעביר הלאה על זה שיש – מה הוא אמור לעשות במצב כזה?

<אלון בכר: אני אומר על זה שני משפטים.

<אלון בכר: א', זה לא יקרה.

<אלון בכר: לא תהיה סיטואציה כזאת.

<ניר יוגב: זה קרה.

<אלון בכר: לא, לא, לא.

<אלון בכר: לא יקרה שיש הוראות סותרות.

<אלון בכר: אחרי שהתקנות יעברו, הרי אחת ההסכמות שאנחנו מגיעים אליהן עם רשות הסייבר שמקבלת את האחריות מרא"מ, זה לגבי התיאומים בשאלה מה קורה כשיש אירוע.

<אלון בכר: זה משהו שנוגע לא לגוף, אלא לגופים האחרים.

<אלון בכר: יש הבדל – וזה מה שצריך לקחת בחשבון – בין השאלה האם הגוף המוסמך – לצורך העניין, - - - של רמו"ט – יודע על הדבר הזה, ובין השאלה האם הוא מעדכן את הציבור בזה?

<אלון בכר: לגבי עדכון הציבור, הרי דובר על זה מפורשות, וזה בכתב, שלא יהיה עדכון של הציבור לפני שיש היוועצות ברשות הסייבר מהטעם הפשוט הזה שידענו שיכול להיות מצב שאנחנו לא רוצים שהציבור ידע על אירוע כי הוא מטופל ברמה אחרת - -

<קריאה: כי הוא חלק מעוד מערך של אירועים.

<אלון בכר: - - שעצם העדכון יפגע בטיפול.

<אלון בכר: העניין הזה גם קיבל ביטוי בתקנות, וגם מקבל וקיבל ביטוי בשיח בין הרשויות, ולכן זה אפילו לא דיון תיאורטי.

<אלון בכר: זה לא יכול לקרות.

<ניר יוגב: אבל אדוני, אני לא מדבר רק על עדכון של הציבור, אני מדבר על כך שברגע שאנחנו מקבלים הנחיה מרא"מ לא להעביר - - -

<אלון בכר: כן, אבל אתה תקבל הנחיה מרא"מ להעביר לרמו"ט ולא להעביר לגורמים אחרים, כי רמו"ט הוא הגוף המוסמך שאמור לקבל עדכון על האירוע.

<אלון בכר: לכן לא תקבל הנחיה כזו.

רויטל סויד: אלון, בוא נאמר כך, ניר מעלה חשש, ואתם אומרים: תסמכו עלינו, זה לא יקרה.

<ליאת בן מאיר שלום: וגם הרגולטור האחר יהיה כפוף - - -

<אלון בכר: אין חשש.

<אלון בכר: אל חשש.

רויטל סויד: בהנחה והוא מקבל הוראה – והוא מקבל – אחרי שעוברות התקנות מרא"מ לא להעביר את זה הלאה, מבחינתכם, הוא לא מעביר את זה הלאה.

אלעזר שטרן: כולל לא להעביר אליכם.

<ליאת בן מאיר שלום: הוראה שהוא מקבל תהיה חייבת להיות כפופה לתקנות האלה מבחינת מדרג נורמטיבי, כאן מדובר בחיקוק, והחיקוק - - -

רויטל סויד: כן, אבל ליאת, זה במישור שביניכם לבין רא"מ, אתם מגיעים להבנות.

רויטל סויד: אבל בסוף ישב שם ניר ויצטרך לקבל החלטה.

<קריאה: גם - - - החברות הסלולריות.

רויטל סויד: סליחה.

רויטל סויד: סליחה.

רויטל סויד: סליחה.

רויטל סויד: בסוף ישב שם ניר, ויצטרך לקבל החלטה עבור "סלקום", ויודיעו לו רא"מ לא להעביר את זה הלאה.

רויטל סויד: השאלה אם כשהוא לא מעביר את זה הלאה – כי אתם כבר הסתדרתם עם רא"מ, הכול טוב ויפה, אבל ניר לא יודע את זה.

רויטל סויד: ניר צריך לקבל החלטה עבור הגוף שהוא מייצג.

רויטל סויד: בהנחה שניר מקבל הוראה כזאת, האם הוא נוהג בסדר כשהוא לא מעביר את זה הלאה?

<איל זנדברג: בתיאור העובדתי הזה ההנחה היא שהגורם של רא"מ פעל כדין או שלא פעל כדין?

<איל זנדברג: כי אני מניח שהוא פועל כדין כמובן.

רויטל סויד: ברור שהוא פעל כדין.

<איל זנדברג: אז אם הוא פעל כדין, סימן שהוא ייתן את ההוראה כדין, ואז יש הוראה מכוח גורם מוסמך, ולכן הגורם הפרטי לא צריך להעביר את המידע, או לפי מה שנאמר לו.

רויטל סויד: קיבלת תשובה, ניר?

<ניר יוגב: אבל יש תקנות שקובעות הפוך.

<איל זנדברג: אם ההנחה היא שגוף ממשלתי פועל שלא כדין, צריך לטפל בזה.

<קריאה: התקנות אומרות תעדכנו מידית.

<קריאה: אין פה - - - ואין פה כלום.

<דן חי: אני מתפלא.

<דן חי: יש הוראה בחוק שמגנה על הסיטואציה הזאת.

<דן חי: אני חושב שאנחנו סתם משחיתים זמן.

<דן חי: יש את סעיף 19(א) לחוק, ויש את סעיף 18(2), שמדבר על חובה חוקית.

<דן חי: יש מספיק הגנות.

<איל זנדברג: השאלה היא לא חשש מפני זה שהם יעמדו לאחריות על כך, אלא מפני אי-בהירות של הרגולציה, ואי-בהירות של הרגולציה מתואמת בתיאום בין הרגולטורים.

<גילי בסמן ריינגולד: אגב, זה לא חשש שלא קיים היום.

<גילי בסמן ריינגולד: גם היום רמו"ט יכולה לפנות בדיוק כשיש אירוע שרא"מ אמרו להם לא להגיד, ואני בדיוק מחליטה לפקח עליו ומבקשת ידיעות ומסמכים.

<גילי בסמן ריינגולד: זאת אומרת, הסיטואציה הזאת לא זרה, היא יומיומית, והיא לא משתנה בגלל התקנות האלה.

רויטל סויד: בכל מקרה, הדיווח הוא לא לציבור, הדיווח הוא לרשם.

<קריאה: נכון.

רויטל סויד: הרשם הוא לא הציבור, לרשם יש את האחריות שלו.

רויטל סויד: אתה גם יכול לפנות לרשם ולהודיע לו שרא"מ אמרו כך וכך.

רויטל סויד: או לפנות לרשם, ואחר-כך כשרא"מ יפנו, להגיד – יש פה אחריות, בסוף אתה לא משחרר מידע לאוויר.

<אלון בכר: יש עוד דבר בסיסי מאוד.

<אלון בכר: אחד הדברים המרכזיים שהם בדין ודברים בינינו זה עדכונים הדדיים בין - - - לביננו.

<אלון בכר: במובן הזה זו התפרצות לדלת שהיא לא פתוחה, אין אפילו דלת, זה חלל פתוח.

<דן חי: רק רציתי להגיד שיש לו הגנות ספציפיות בחוק.

<דן חי: אני מתפלא על ההערה.

<דן חי: יש הגנה מפורשת שגורם שיש לו הסמכה על-פי דין יכול להורות לא לקיים את הוראות החוק.

<דן חי: יש את סעיף 19(א), ויש את סעיף 18(2), שיש הגנה על חובה חוקית שנעשתה בתום לב.

<דן חי: לא צריכה להיות פה שום בעיה.

רויטל סויד: לבנת קופרשטיין, איגוד הבנקים.

<לבנת קופרשטיין דאש: שלום.

<לבנת קופרשטיין דאש: בסעיף הזה אנחנו רואים את סעיף הדגל, שרק מבהיר עד כמה לא נכון, לפעמים אפילו מסוכן ולא יעיל להחיל את כל התקנות על הסקטור הבנקאי, במיוחד התקנה הזו.

<לבנת קופרשטיין דאש: אני חושבת שזה נאמר בדיונים קודמים, אני לא ארחיב על הנושא יותר מדי, אבל אני חושבת שהוראות הפיקוח על הבנקים של הבנקים בתחום אבטחת מידע, שגם נוגעות להיבטים של סודיות ופרטיות – יש התייחסות ספציפית בהוראת ניהול בנקאי תקין 357, שאגב, יש לה מעמד של חקיקת משנה.

<לבנת קופרשטיין דאש: שם מדובר באופן עקיף ומפורט מאוד שמתאר את כל החובות שחלות על המערכת הבנקאית מבחינת ניהול מאגרי המידע, וגם, כמו שאמרתי, ההגנה על הפרטיות.

<לבנת קופרשטיין דאש: שם כל העולם שמדבר על מאגרי מידע ועל תקיפות ופריצות בסייבר מותאם ספציפית למערכת הבנקאית.

<לבנת קופרשטיין דאש: אנחנו למודי ניסיון כבר בעבודה מול הפיקוח על הבנקאים כשחלים אירועי אבטחת מידע ואירועי סייבר.

<לבנת קופרשטיין דאש: יש בינינו מנגנון דיווחים מפורט מאוד על כל אירוע שחושבים שהוא אירוע מהותי מספיק כדי לדווח לפיקוח על הבנקים.

<לבנת קופרשטיין דאש: אנחנו יודעים שהפיקוח על הבנקים מדווח במקרים מסוימים גם לרמו"ט ביזמה שלו.

<לבנת קופרשטיין דאש: המון הוראות פה – אני לא אומרת שהן סותרות, אבל הן כפולות.

<לבנת קופרשטיין דאש: רגולציה כפולה היא לא יעילה, היא גורמת לבזבוז לא יעיל של משאבים, וזה מיותר.

<לבנת קופרשטיין דאש: אני מכירה את המנגנון של סעיף 20(ב) - - -

רויטל סויד: את מדברת על סעיף 20.

רויטל סויד: תתייחסי לתקנה הזו.

<לבנת קופרשטיין דאש: אני אתייחס לתקנה הזו, אני רק אומרת שלדעתי המנגנון של 20(ב), שמדובר בכך שצריכים לשכנע את רמו"ט שיש לנו רשות מוסמכת שמפקחת עלינו – מנגנון מאולץ ולא נכון כשמדובר במגזר הבנקאי, שהוא מגזר שברור שהוא - - -

<איל זנדברג: התקנות לא מחדשות בעניין הזה, זה הדין היום.

<איל זנדברג: התקנות מפרטות כל מיני הוראות.

<איל זנדברג: גם היום יש סמכות לרגולטור.

<איל זנדברג: אתם תוקפים את החוק.

<איל זנדברג: התקנות היום אומרות את זה.

<איל זנדברג: היום באנו לפרט ולעדכן, ואתם תוקפים משהו שהוא מחוץ לתקנות.

<לבנת קופרשטיין דאש: לא.

<לבנת קופרשטיין דאש: אנחנו עברנו תקנה-תקנה וראינו שיש כפילות מיותרת.

<איל זנדברג: והיום אין סמכות לרשם לעשות את הדבר הזה?

<לבנת קופרשטיין דאש: בוודאי שיש סמכות.

<איל זנדברג: אין סמכות היום לרשם?

<לבנת קופרשטיין דאש: בוודאי שיש סמכות.

<איל זנדברג: ולכן זה לא חידוש בתקנות.

<איל זנדברג: לוקחים את העדכון של התקנות, ומנסים לחפור בו משהו שהוא מעבר לתקנות.

<לבנת קופרשטיין דאש: עכשיו אני אדבר על ההגדרה, מה מפריע לנו בהגדרות למשל.

<לבנת קופרשטיין דאש: אצלנו זה מוגדר אחרת בהוראות שלנו.

<לבנת קופרשטיין דאש: נכון שבהוראות הפיקוח על הבנקים ההגדרות שחלות על הבנקים מכוח 357 הן הרבה יותר נכונות מההגדרות פה.

<לבנת קופרשטיין דאש: אני רוצה לתת לכם דוגמה למה לא נכון להחיל עלינו למשל את ההגדרה של אירוע אבטחה חמור.

<לבנת קופרשטיין דאש: סעיף 11 מפנה להגדרה של אירוע אבטחה חמור.

<לבנת קופרשטיין דאש: לדוגמה.

<אפרת שחר: אפרת שחר מבנק הפועלים.

<אפרת שחר: על-פי הוראת 357 רף הדיווח כולל קריטריונים של מהות.

<אפרת שחר: ההגדרה היא של אירוע שהוא חריג, שמדובר בניסיון מהותי חדירה או תקיפה, או של חדירות בפועל למערכות מחשב.

<אפרת שחר: הרף שנמצא פה בתקנות הוא רף נמוך מאוד ומחמיר עם בעלי המאגרים.

<אפרת שחר: מחמיר אפילו יותר מהרף שקבוע בחוק להכללת אמצעי זיהוי ביומטריים, ששם הקריטריונים דומים מאוד לאלה של 357.

<אפרת שחר: הרגולציה של אבטחת המידע למוסדות הפיננסיים התפתחה במשך שנים, והיא רגולציה ייעודית שמפותחת באופן שוטף על-ידי הרגולטור, באופן מאוד אינטנסיבי.

<אפרת שחר: הכניסה והבדיקה של הקריטריונים האלה של מהותיות ושל סכנה מהותית לפגיעה במידע מתאימה יותר לביצוע על-ידי הרגולטור, שיש לו את הפיקוח האינטנסיבי, היומיומי, והוא זה שקבע את כללי אבטחת המידה.

<ליאת בן מאיר שלום: אפשר להתייחס לדברים?

רויטל סויד: כן, בוודאי.

רויטל סויד: רצוי.

<ליאת בן מאיר שלום: אני רוצה לבקש מהוועדה – אני מרגישה שכל ההערות כאן לא נוגעות לתקנה 11, שהיא מקרה פרטי של יחסים בין רגולטורים שצריכים להידון במסגרת תקנה 20.

<ליאת בן מאיר שלום: יש כאן היפוך של התמונה.

<ליאת בן מאיר שלום: חוק הגנת הפרטיות חל היום על מכלול המגזרים, לרבות על המאגרים של הבנקים.

<ליאת בן מאיר שלום: לא זו בלבד, בסעיפים שנוגעים לאבטחת מידע בחוק הגנת הפרטיות, יש אפילו חובה פרטנית בהקשר של בנק למנות ממונה על אבטחת מידע לפי חוק הגנת הפרטיות.

<ליאת בן מאיר שלום: כל מה שהתקנות האלה עושות, הן מעדכנות ומפרטות את החובות שקיימות היום מכוח החוק והתקנות.

<ליאת בן מאיר שלום: הניסיון להציג את זה כאילו יש כאן משהו חדש, רגולטור חדש שצריך להסיג את גבולו, זה פשוט היפוך של התמונה.

<ליאת בן מאיר שלום: מדובר בחוק קיים, ברגולטור קיים שפועל להגנה על זכות יסוד חוקתית.

<ליאת בן מאיר שלום: נכון, יש עוד רגולטורים ולפעמים יש ביניהם חפיפה.

<ליאת בן מאיר שלום: באופן חדשני, התקנות האלה מנסות להתמודד עם אותה חפיפה, מה שלא מוכר לי מאף רגולציה אחרת של הרגולטורים האחרים.

<ליאת בן מאיר שלום: יש כאן היפוך של התמונה.

<ליאת בן מאיר שלום: אני חושבת שכל הגורמים שמחזיקים מאגרי מידע רגישים צריכים לברך על התקנות האלה.

<ליאת בן מאיר שלום: כאמור, תקנה 20, שנגיע אליה בהמשך, במהרה, נותנת פתרון כדי שלא תהיה כפילות, כדי שלא תהיה סתירה.

רויטל סויד: אל תיכנסי לדיון על תקנה 20 כי אנחנו רוצים להתקדם.

<לבנת קופרשטיין דאש: אני אתן לכם דוגמה מסעיף 11, למה זה יכול להגיע למצבים לא סימפטיים בכלל.

רויטל סויד: תתייחסי גם לדוגמה וגם מה הייתם רוצים שיהיה בסעיף הספציפי הזה.

<לבנת קופרשטיין דאש: יש לי קצת בעיה, כי זה לא חל במיוחד על הבנקים, ואולי מה שאני אומרת לא נכון לכל המגזרים, אבל אני אדבר כאילו שזה חל עלינו.

<לבנת קופרשטיין דאש: סעיף 11(ה) אומר שאם אירע אירוע אבטחה חמור – שוב, בקריטריונים מאוד מאוד מחמירים, כלומר, כמעט על כל דבר קטן – הבנק צריך להודיע לרמו"ט על החדירה.

<לבנת קופרשטיין דאש: ואז רשאי רמו"ט, לאחר שהוא נועץ בראש הרשות הלאומית – בהיוועצות שהיא רק בין רמו"ט למול הרשות הלאומית להגנת הסייבר – ואז הם יכולים להחליט אם לפרסם את הדבר הזה לציבור.

<לבנת קופרשטיין דאש: לא יתכן ולא ישמע שבמקרה כזה, רגיש מאוד, כשמדובר על חדירה, אולי אפילו לא משמעותית, למערכות מחשב של בנקים, נעדר פה מיקומו של הפיקוח על הבנקים.

<לבנת קופרשטיין דאש: פרסום שנודע לחדירה למערכות מחשב של בנק הוא פרסום שיכולות להיות לו משמעויות הרסניות עד ל-run on the bank.

<לבנת קופרשטיין דאש: run on the bank זו תופעה שבה אנשים נבהלים ממקור, שכנראה הוא לא מוצדק, ומושכים את כל כספיהם מהבנקים.

<לבנת קופרשטיין דאש: מישהו ישמע שהייתה חדירה לאתר אינטרנט של בנק, והדבר הזה יפורסם בלי התייעצות עם הפיקוח על הבנקים, שלא יכול להעריך את החומרה של הדבר, אנשים ימשכו את כל הכספים מהבנקים.

<גילי בסמן ריינגולד: לבנת, אנחנו שוב בדיון על תקנה 20, משום שגם היום, אם רמו"ט תערוך פיקוח והיא תסבור שהייתה חדירה למאגר מידע של בנק, היא עדיין יכולה להורות לאותו בנק להודיע לכל הלקוחות שלו לשנות את הסיסמאות ולהקטין את הנזק.

<גילי בסמן ריינגולד: גם היום רמו"ט כנראה לא תעשה את זה בלי להגיע לדין ודברים עם הפיקוח על הבנקים.

<גילי בסמן ריינגולד: אבל שוב, את נוגעת לתקנה 20 ומה עושים כשיש רגולטור נוסף.

<איל זנדברג: זה הדין הקיים.

<איל זנדברג: צריך לזכור את זה שוב ושוב – זה הדין הקיים.

רויטל סויד: בואו ניקח את מה שלבנת אמרה וננסה באיזושהי דרך להרגיע את הבנקים, במירכאות.

רויטל סויד: כי אנחנו מתייחסים פה – על ההודעה המידית לרשם, ואחר-כך שהרשם רשאי להורות לבעל המאגר, למעט לבעל מאגר מידע, לאחר שנועץ בראש הרשות הלאומית להגנת הסייבר.

רויטל סויד: מה שלבנת אומרת, בשיח ביניכם – בינך, הרשם, לבין ראש המערך – אנחנו חושבים שבנק ישראל, שיכול להבין את השלכות הרוחב של פרסום מידע כזה לציבור, יוכל גם הוא לומר את דברו בפניכם.

רויטל סויד: ההחלטה היא שלכם, אתם בסופו של דבר תחליטו.

רויטל סויד: תאפשרו לבנק ישראל, לרגולטור שלנו, לומר את הדברים.

רויטל סויד: השאלה אם אי-אפשר פה להכניס כתיקון – לאחר שנועץ בראש הרשות הלאומית להגנת הסייבר ושמע את X, Y, Z.

<לבנת קופרשטיין דאש: לרגולטור הרלוונטי בתחום.

רויטל סויד: לרגולטור הרלוונטי.

רויטל סויד: לא משנה.

<גילי בסמן ריינגולד: יש אינספור רגולטורים רלוונטיים בתחום.

<גילי בסמן ריינגולד: התקנה שאמורה להסדיר את זה היא תקנה 20.

<גילי בסמן ריינגולד: יש גם את כללי מינהל תקין, רמו"ט – שהוא אולי לא גוף מאוד ותיק, אבל יש לו כבר קילומטראז'.

<גילי בסמן ריינגולד: היו מקרים, ואנחנו מתייעצים היום וולונטרית עם הגופים שאנחנו חושבים שנחוץ להתייעץ אתם.

<גילי בסמן ריינגולד: ההכנסה הזאת לא קיימת ברגולציה אחרת.

<ליאת בן מאיר שלום: זה לא קיים הפוך.

<גילי בסמן ריינגולד: זה לא קיים.

<גילי בסמן ריינגולד: לא ידוע לי שלרגולטורים אחרים זה כתוב בחיקוקים שלהם.

<ליאת בן מאיר שלום: גם לא רק בנק ישראל, יש חובת התייעצות על הפרק של פרטיות.

<לבנת קופרשטיין דאש: יש הרבה חובות התייעצות עם רגולטורים.

<דן חי: זו נראית לי תוספת מסוכנת מאוד.

<דן חי: אני חושב שצריך להיות רגולטור אחד שירכז את התחום של אבטחת מידע לגבי מידע אישי.

<דן חי: לא יכול להיות שיהיו לו כל מיני מכשולים, להתייעץ עם זה או עם ההוא.

<דן חי: אנחנו צריכים לסמוך עליו שהוא הרגולטור הנכון, הממשלה בוחרת אותו.

רויטל סויד: לא יתייעץ, ישמע.

רויטל סויד: לא התייעצות, ישמע.

<דן חי: אם הוא יחליט שהוא צריך לשמוע, הוא ישמע.

<דן חי: לפעמים הוא יחליט שהוא לא צריך לשמוע.

<דן חי: אם הוא יחשוב שצריך, צריך לתת לו לנהל את הניהול של המידע האישי.

<דן חי: לרגולטורים אחרים יש אינטרסים אחרים.

<דן חי: לפעמים הם מוכנים שמידע אישי יהיה קורבן לדברים אחרים, ולכן צריך שיהיה מי שישמור עליו.

<דן חי: הוא שומר הסף של האזרחים, על המידע האישי.

<דן חי: הוא צריך להיות האיש.

<רפאל פרנקו: גברתי יושבת-הראש, בהקשר למה נקבעה רשות הסייבר – ראשית, אנחנו מדברים פה בתקנות אבטחת מידע כאשר אנחנו מדברים על כך שרשות הסייבר היא הגורם שמתכלל את הגנת הסייבר במדינת ישראל.

<רפאל פרנקו: היא מתכללת גם רגולטורים מגזריים – מגזריים – בעולם שלהם.

<רפאל פרנקו: ולכן כאשר אנחנו שוקלים שיקול רוחב לאומי, אנחנו רגולטור שרואה את כלל הגנת הסייבר, ולכן לא נכון לגשת לכל רגולטור מגזרי ולתת לו החרגה, אלא יש רגולטור על בהגנת הסייבר.

<רפאל פרנקו: מכיוון שיש בינינו לבין רמו"ט חפיפה גבוהה מאוד, ומכיוון שיש עוד שיקולים, כמו שיקולים כלכליים, ביטחוניים, אנרגיה, ביטחון פנים, חיי אדם, כלכלה וכולי, רשות הסייבר שוקלת אותם, בין היתר, גם דרך הפיקוח על הבנקים.

<רפאל פרנקו: בנק ישראל, אגב, הוא גוף מונחה שלנו.

<רפאל פרנקו: ולכן אנחנו אלה שרואים - - -

<קריאה: לא הפיקוח, לא הבנקים.

<רפאל פרנקו: אמרתי, בנק ישראל.

<רפאל פרנקו: לא טעיתי, אמרתי בנק ישראל.

<רפאל פרנקו: אמרתי שבנק ישראל הוא גוף מונחה שלנו.

<רפאל פרנקו: קיבלנו את המנדט להגן מקצה לקצה.

<רפאל פרנקו: ראש רשות סייבר, במידה שהוא סבור – וכנראה שהוא יעשה את זה – שהוא צריך לשוחח עם הרגולטור המגזרי, הוא יעשה את זה.

<רפאל פרנקו: קל וחומר כאשר אנחנו הקמנו יחידות מגזריות כמעט בכל משרדי הממשלה, חשוב לומר.

<רפאל פרנקו: לראש רשות הסייבר יש גופים מונחים ויחידות מונחות בתוך היחידות הרגולטוריות.

רויטל סויד: שנמצאות בקשר עם - - -

<רפאל פרנקו: לדוגמה.

אלעזר שטרן: אני חושב שלא תהיה בעיה לאנשי רמו"ט ולמשרד המשפטים להצהיר בפני הוועדה שכחלק מכללי מינהל תקין ומינהל ציבורי רגיל – ודאי שהם יתייעצו וישמעו כל גוף וכל רגולטור רלוונטי, גם אם זה לא כתוב.

אלעזר שטרן: זה ברור או שזה - - -

<איל זנדברג: אין לו גם ערבות בנקאית, אלון חותם על ערבות בנקאית - - -

<אלון בכר: ערבות בנקאית אישית.

אלעזר שטרן: ברור שיכולים להצהיר את זה בלי שום בעיה, שזה חלק מהנהלים וזה מה שהם יעשו.

<ליאת בן מאיר שלום: ברור, זאת עבודת ממשלה תקינה.

<אלון בכר: אמרנו את זה וככה אנחנו גם נוהגים.

<אלון בכר: אני רוצה להגיד שני משפטים.

<אלון בכר: בהקשר הזה זה משהו שנוהג גם היום.

<אלון בכר: הרי אירועי אבטחת מידע, ואירועי אבטחת מידע חמורים בבנקים ובגורמים פיננסיים אחרים התרחשו ומתרחשים, ומטופלים גם על-ידי רמו"ט.

<אלון בכר: אני חושב שניסיון השנים האחרונות, כולל השנתיים האחרונות, מוכיח שרמו"ט לא רצה לעדכן את הציבור אם אין חובה כזאת והיא מתרשמת שזה מטופל באופן תקין ומתאים לסיטואציה.

<אלון בכר: במובן הזה אנחנו מדברים על חשש תיאורטי שהמציאות הוכיחה שלא רק שהוא לא קיים, הוא הפוך.

<אלון בכר: הדין ודברים שלנו עם הפיקוח על הבנקים הוא שוטף, הוא רצוף.

<אלון בכר: נעשו אפילו פעולות אכיפה משותפות בשנתיים האחרונות יחד עם הפיקוח על הבנקים כאשר היה אירוע חמור בגוף פיננסי.

<אלון בכר: בהקשר הזה, המציאות היא הפוכה לחלוטין.

<אלון בכר: אני מציע, גברתי יושבת-הראש, פחות להתמקד בלהרגיע את הבנקים, אני חושב שהם יכולים להיות רגועים מאוד.

<אלון בכר: אני בעד שאנחנו נרגיע את הציבור.

<אלון בכר: אני חושב שהציבור לא רגוע, ואני מציע שאנחנו נרגיע את הציבור, והתקנות האלה הן משהו שאמור להרגיע את הציבור ולתת לו מענה ושכבת הגנה נכונה יותר ומתאימה יותר ל-2017 ממה שקיימת כיום.

<לבנת קופרשטיין דאש: אני שומעת פה את הדברים – באים רמו"ט ומטה הסייבר ואומרים הדברים ממשיכים להיות כמו שהיום.

<לבנת קופרשטיין דאש: באה פה חקיקה ומדירה – כלומר, אם יש חקיקת משנה, היא החקיקה שקובעת – היא לא נותנת לפיקוח על הבנקים מקום.

<לבנת קופרשטיין דאש: יכול להיות שבסעיף 20(ב) יש משהו שמדבר על מנגנון שלא ברור לי עד עכשיו, אני לא יודעת איך זה הולך, הסכמים סודיים.

<לבנת קופרשטיין דאש: אני לא יודעת.

<לבנת קופרשטיין דאש: אבל כאן יש חקיקת משנה שלא נותנת למפקח על הבנקים מקום, עם כל הכבוד למטה הסייבר, שבוודאי מטה הסייבר הוא ספץ, בבנקאות הוא פחות מבין מהפיקוח על הבנקים.

<לבנת קופרשטיין דאש: בנקים זה לא כמו חברה ציבורית - - -

<גילי בסמן ריינגולד: ובפרטיות, הפיקוח על הבנקים פחות מבין מרמו"ט.

<לבנת קופרשטיין דאש: בנקים זה לא כמו חברת "טבע".

<לבנת קופרשטיין דאש: אף אחד לא רוצה לגרום למצב שבגלל אירוע אבטחת מידע בנק יתמוטט, או שיקרה משהו חמור, בלי לשמוע את הפיקוח על הבנקים.

<לבנת קופרשטיין דאש: וזה מספיק חשוב לעומת כל רגולטור רלוונטי אחר, ששמו המפורש של הפיקוח על הבנקים לא ייעדר.

<חן פליישר: אני רוצה לדייק את הדברים.

<חן פליישר: חן מהמחלקה המשפטית בבנק ישראל.

<חן פליישר: אנחנו לא חושבים שרשות הסייבר יכולה לייצג את עמדת הרגולטור מאחר שהיא נפרדת - - -

<איל זנדברג: אף אחד לא חושב את זה.

רויטל סויד: איל, אל תפריעו לה.

<חן פליישר: זה אחד הדברים שנאמרו.

<חן פליישר: מאחר שהיא תכיר היבטים מסוימים מאוד שלא מחליפים את ההיבטים המקצועיים שהפיקוח על הבנקים אמון עליהם.

<חן פליישר: הוא אמון על ראייה רוחבית של כל המערכת הבנקאית, של ההשלכות, מתחומים שונים, גם תחומים של פרטיות.

<חן פליישר: לכן אנחנו בהחלט חושבים שיש פה מקום למעורבות של הפיקוח על הבנקים בכל מה שקשור בהחלטות בפרסום.

<חן פליישר: עם זאת, אני אגיד שאנחנו מנסים, בהידברות עם רמו"ט, להגיע לאיזשהו הסדר שיענה על כל הצרכים האלה.

<חן פליישר: אני חושבת שזה שאנחנו דוחים את הדיון על תקנה 20, זה יוצר פגיעה בדיון בתקנות השוטפות, כי כל הגופים בכל תקנה קופצים עם תקנה 20.

<חן פליישר: אולי צריך להפוך את הסדר.

רויטל סויד: חן, נאמר כך, אני לא ראיתי שעברנו על התקנות וראינו איזושהי פגיעה בגלל שלא דנו בתקנה 20.

רויטל סויד: עד עכשיו לא עלה הצורך בכך.

רויטל סויד: עכשיו אנחנו נמצאים בתקנה 11 וזו פעם ראשונה שאנחנו רואים קורלציה.

רויטל סויד: ואני מבינה שבוער להרבה מאוד גופים פה לדון בתקנה 20 קודם כל.

רויטל סויד: אבל מה לעשות שהיא תקנה 20?

רויטל סויד: היא לא תקנה ראשונה, היא תקנה 20.

רויטל סויד: קודם כל, עד עכשיו לא ראינו שום צורך לדון בתקנה 20 לפני שדנים בסעיפים.

רויטל סויד: עכשיו, לגבי נקודה ספציפית, אנחנו מדברים על (ד)(2), האם הרשם וראש הרשות אמורים לשמוע דעה נוספת, כן או לא – אני מבינה שיש מתח בנקודה הזו.

רויטל סויד: שמענו את העמדות, הן ברורות מאוד.

רויטל סויד: אנחנו נתקדם הלאה במידה ואתם לא תגיעו להבנות עד שנגיע לתקנה 20 – ואני מקווה שנגיע עוד היום – ובמידה ונראה צורך גם בתקנה 20 לחזור בהיבט הספציפי הזה, נדון בכך בכל מה שקשור ל(ד)(2), שהוא דבר נקודתי מאוד מאוד, ואני מבינה בהחלט את הטענות שעלו כאן.

רויטל סויד: ניר, רצית להוסיף משהו?

<קריאה: אחר-כך.

<ליאת בן מאיר שלום: רק מילה אחת בהמשך למה שחן אמרה.

<ליאת בן מאיר שלום: כמו שאמרנו בדיון הקודם, ועכשיו לפני כמה רגעים, כן, במקרים המתאימים בוודאי שרשם ההגנה על המידע יתייעץ וישוחח עם הרגולטור הענפי, בדיוק כמו שהרגולטור הענפי במקרים המתאימים יעשה את זה.

<ליאת בן מאיר שלום: גם אם זה לא קבוע בחוק.

רויטל סויד: בסדר.

רויטל סויד: בואו נתקדם הלאה, תקנה 12.

אלעזר שטרן: "התקנים ניידים – 12.

אלעזר שטרן: בעל המאגר יגביל או ימנע אפשרות לחיבור התקנים ניידים למערכות המאגר במתכונת ההולמת את רמת אבטחת המידע שחלה על המאגר, את רגישות המידע, את הסיכונים המיוחדים למערכות המאגר או למידע הנובעים מחיבור ההתקן הנייד ואת קיומם של אמצעי הגנה מתאימים מפני סיכונים אלה; בעל מאגר מידע המאפשר שימוש במידע מהמאגר בהתקן נייד או העתקה שלו להתקן נייד ינקוט אמצעי הגנה בשים לב לסיכונים המיוחדים הקשורים לשימוש בהתקן נייד באותו מאגר מידע; לעניין זה יראו שימוש בשיטות הצפנה מקובלות כנקיטת אמצעים סבירים".

<גילי בסמן ריינגולד: מה שהתקנה אומרת זה שהתקנים ניידים – אם זה טלפונים שמתחברים דרכם למחשב המרכזי, אם זה דיסק און-קי, אמצעים מסוג זה, דורשים התייחסות מיוחדת, ולכן צריך לנקוט באמצעים – גם כדי להגן עליהם עצמם כי הם יותר נגישים וניתנים לגניבה או עלולים להיאבד, וגם כדי למנוע החדרה של נוזקות לתוך המערכת באמצעות השימוש בהם.

אלעזר שטרן: מה זה אומר מבחינתכם?

<גילי בסמן ריינגולד: זה אומר הצפנה, הסיפה שמתייחסת להצפנה סבירה.

<גילי בסמן ריינגולד: זה אומר לשים סיסמאות, זה אומר שיש מקומות מסוימים – נתנו כדוגמה - - -

ענת ברקו: לא תסגרו את היציאה להתקנים ניידים?

<גילי בסמן ריינגולד: אנחנו לא אומרים בכל מאגר, בשים לב לרמת הסיכון של המאגר ולשימושים בו.

<גילי בסמן ריינגולד: כן, נכון, בבנקים למשל אתה לא יכול להכניס דיסק און-קי למחשב.

רויטל סויד: יש מאגרי יחיד.

אלעזר שטרן: מה קורה במאגר יחיד?

אלעזר שטרן: לפעמים זה המחשב האישי שלך.

<אלון בכר: לא נמנע הכנסת דיסק און-קי.

<גילי בסמן ריינגולד: מתכונת ההולמת את רמת אבטחת המידע שחלה על המאגר, את רגישות המידע ואת הסיכונים המיוחדים לו.

אלעזר שטרן: מה תהיה ההנחיה שלכם במצב כזה לאותה קוסמטיקאית, או לאותו גוף שזה המחשב שלו בבית?

<גילי בסמן ריינגולד: פשוט לשים סיסמה לקובץ שהיא הורידה, זה הכול.

<גילי בסמן ריינגולד: ואם היא מכניסה דיסק און-קי, שיהיה לה אנטי-וירוס ו"פיירוול", דברים שממילא בשימוש היומיומי, גם אצל הקוסמטיקאית כנראה, בטח במאגרים הגדולים והרגישים יותר.

<סילבי חורב: סילבי חורב, התעשייה האווירית.

<סילבי חורב: את מדברת על התווך.

<סילבי חורב: את מדברת על התווך ומה יקרה כשזה יגיע במקום מסוים, אבל את לא מדברת על מה יוצא.

<סילבי חורב: ויש חשיבות גדולה מאוד לדעת איזה חומרים יצאו.

<סילבי חורב: בהינתן שהוא מוצפן, אי-אפשר לדעת מה יצא, כי התווך מוצפן.

<סילבי חורב: דבר שני, אתם רוצים לדעת כל מה שיצא החוצה, כי אם זה הלך לאיבוד, את צריכה לדעת מה החומר שיצא.

<גילי בסמן ריינגולד: אבל על זה מדברים סעיפים אחרים שמתייחסים לגישה, ואיזה שימוש נעשה במידע.

<גילי בסמן ריינגולד: כרגע אנחנו מדברים ברמה הכי בסיסית על האמצעי – איך לאפשר אותו.

<גילי בסמן ריינגולד: אם משרד המשפטים מאפשר לי להתחבר לעבודה דרך הנייד, אני חייבת שתהיה לי סיסמה והנייד לא יהיה פרוץ לכל אחד שיפגוש בו, שהוא יוכל להיכנס לכל המערכת.

<גילי בסמן ריינגולד: ברמה הכי בסיסית שאפשר.

<גילי בסמן ריינגולד: החל מהרמה הכי בסיסית.

<ניר יעקב גרסון: מעבר לזה, התקנה אומרת ימנע – שוב, לפי מידת הסיכונים – או יגביל שימוש בהתקנים.

<ניר יעקב גרסון: יגביל זה יתיר, לא יקשיח, רק אם יהיה מעקב.

<ניר יעקב גרסון: הכול בהתאם לרמת הסיכונים וסוג המידע.

<ניר יעקב גרסון: אז התקנה כן מדברת על החששות שאת מעלה.

<סילבי חורב: אני מדברת על התייחסות לדליפת מידע.

<סילבי חורב: ואני לא רואה פה התייחסות.

<גילי בסמן ריינגולד: זה מופיע בתקנות הקודמות.

<גילי בסמן ריינגולד: עברנו על זה.

רויטל סויד: סילבי, תחדדי למה את מתכוונת.

<סילבי חורב: אני מתכוונת שבהינתן שמישהו הכניס התקן שהוא לא תקין, ונגיד שכל ההתראות יגידו זיהינו שיש פה התקן, עדיין לא נדע מה הועתק לתוך ההתקן הזה, וזה משהו שכל בעל מאגר חייב לדעת לעצמו איזה סוג של מידע עבר למקום שהוא לא מורשה.

<סילבי חורב: אני לא ראיתי התייחסות.

רויטל סויד: מה את רואה בתקנה הזו?

<סילבי חורב: יש המון תכנות שיודעות להתייחס לנושא של דליפת מידע, ואין פה אזכור לזה.

<סילבי חורב: בכל המסמך הזה אין אזכור.

רויטל סויד: מה את חושבת שצריך היה להיות פה?

<סילבי חורב: שצריך התייחסות קודם כל.

רויטל סויד: באיזה מובן?

<סילבי חורב: של דליפת מידע.

<סילבי חורב: בגלל שכל ההתייחסות שיש פה היא לגבי התווך המוצפן, אם לחבר או לא לחבר.

<סילבי חורב: אבל אף אחד לא מדבר על מה יקרה כשנחבר את ההתקן, כשנחבר משהו לא תקין והלך המידע.

<סילבי חורב: איך אנחנו יודעים איזה סוג של מידע הלך?

<גילי בסמן ריינגולד: את לא מוצאת שתקנה 10(א) מתייחסת לזה, שמדברת על בקרה ותיעוד גישה ומתייחסת לסוג הגישה, היקפה?

<גילי בסמן ריינגולד: לדעתי היא מכסה את זה.

<קריאה: לא לגמרי.

אלעזר שטרן: גילי, זה בעיקר על מי ניגש, זה לא על התוכן.

רויטל סויד: יודעים מי ניגש ומתי, לא יודעים איזה מידע הוא לקח?

<גילי בסמן ריינגולד: זה גם איזה שימושים הוא עשה.

<גילי בסמן ריינגולד: שוב, התקנות האלה הן רף מינימום.

<גילי בסמן ריינגולד: בוודאי שהתעשייה האווירית יכולה להפעיל את אמצעי הבקרה הנוספים.

<גילי בסמן ריינגולד: אנחנו נשמח להקשיח את התקנות.

רויטל סויד: בדיוק.

רויטל סויד: אני רוצה להבין אם הבנתי נכון – תודה גילי.

רויטל סויד: את אומרת שזה לא מספיק קשיח מה שיש פה?

<סילבי חורב: נכון.

<סילבי חורב: כן, כי חשוב לך מאוד לדעת איזה מידע - - -

רויטל סויד: יוגב, אתה מבין מה קורה פה?

<אלון בכר: דרך אגב, אמרנו מההתחלה, ואנחנו חוזרים ואומרים את זה, זה רף המינימום לאבטחה לפי סוגי המידה וההיקפים שלו, זה לא המקסימום.

רויטל סויד: אני מציעה שהתעשייה האווירית ישבו עם בנק ישראל ונדבר אחר-כך.

<בובי פנדריך: בובי פנדריך, המוסד לביטוח לאומי.

<בובי פנדריך: המשפט האחרון: לעניין זה יראו שימוש בשיטות הצפנה מקובלות כנקיטת אמצעים סבירים, הוא מטעה.

<בובי פנדריך: אני חושב שאם יעצרו לפני זה – ינקטו באמצעי הגנה בשים לב לסיכונים, זה מצוין וזהו, פה לעצור.

<בובי פנדריך: ברגע שמפנים לאמצעי הצפנה – לדעתי המקצועית זה לא בדיוק נכון.

<בובי פנדריך: אם כבר, היה צריך לדבר על תכנות הגנה הנוהגות בשוק.

<בובי פנדריך: הצפנה זה הגנה לכיוון אחר לגמרי, לא נגד אמצעי נייד שמחובר או מותקן ברקע.

רויטל סויד: אני רוצה לומר לכם משהו.

רויטל סויד: אני שומעת גם את בובי וגם את סילבי, והם מבקשים מכם - - -

<קריאה: להחמיר.

רויטל סויד: כן.

<איל זנדברג: אפשר לשקול את זה.

<גילי בסמן ריינגולד: שוב, בגלל שהתקנות מתייחסות לכלל השוק, אני חושבת שאותם גופים שרוצים להחמיר יוכלו להחמיר.

אלעזר שטרן: כי מדברים פה גופים שהם גופים כבדים, רציניים, ואנחנו צריכים לשמור ש - - -

רויטל סויד: שמחזיקים מידע - - -

אלעזר שטרן: התקנות האלה חלות על מנעד רחב מאוד של מאגרים.

אלעזר שטרן: לא כולם המוסד לביטוח לאומי, אלא חלקם גם מאגרים של יחיד.

אלעזר שטרן: צריך איזשהו רף מינימום, אתה לא יכול שהרף יהיה זהה לכולם.

אלעזר שטרן: ברור שאין מניעה שאתם תחמירו את הרף אצלכם, אבל מצד שני, התקנה הזאת היא דוגמה לאחת מהתקנות שכן חלה על מאגרים של יחיד.

רויטל סויד: אז יכול להיות שאת המשפט שבובי התכוון אליו, במאגר יחיד יראו שימוש בשיטות הצפנה מקובלות כנקיטת אמצעים סבירים.

<גילי בסמן ריינגולד: אני חושבת שזו דוגמה אחת להחמרה שאפשר.

<גילי בסמן ריינגולד: יש עוד החמרות.

<ניר יעקב גרסון: למשל הקשחה, מניעה מוחלטת.

<ניר יעקב גרסון: זה בתוך התקנה.

<ניר יעקב גרסון: אפשר להחליט שמונעים לחלוטין את האפשרות להכניס התקנים ניידים.

<ניר יעקב גרסון: לארגונים הרגישים יותר זאת התשובה.

ענת ברקו: - - - אוטומטי, נראה לי הכי הגיוני לעשות את זה.

<גילי בסמן ריינגולד: לא הייתי מקשיחה בשלב הזה את התקנות.

<גילי בסמן ריינגולד: זה לא מונע מאותם גופים לנקוט באמצעים חמורים יותר.

ענת ברקו: אז למה לא לעשות הפרדה?

אלעזר שטרן: אנחנו נראה את זה בתקנה 21, התקנות כן יוצרות ריבוד, שלא כל תקנה חלה על כל סוג של מאגר.

אלעזר שטרן: אבל יש תקנות שכן חלות על כל המאגרים.

אלעזר שטרן: היא צריכה להיות מספיק רחבה וגמישה מצד אחד שיהיה אפשר להחיל אותה על כולם.

ענת ברקו: מתוקף זה שאנחנו לא מסווגים את המאגרים הללו בסיווגים כאלה ואחרים בדרגת חשיבות או רגישות מבחינת פרטיות, קשה מאוד לעשות את זה.

אלעזר שטרן: התקנות כן מציעות ארבע רמות שונות של מאגרים.

אלעזר שטרן: אבל התקנה הזאת חלה על כולם.

<אלון בכר: לא רוצים להעמיס מעמסה כבדה מדי על חלק מהציבור, שלא צריך להעמיס אותו באמצעים כבדים מדי.

<אלון בכר: זה חלק מהעניין באיזון.

<איל זנדברג: אני רוצה להגיד משהו על התהליך שעברנו.

<איל זנדברג: אנחנו הגענו לתקנות אחרי עבודות מפורטות מאוד, וגם השיח הפנימי, בהרבה נקודות שאתם רואים כאן, הייתה התלבטות כמה להקשיח, כי אנחנו רואים את הגנת הפרטיות כאותה זכות יסוד שאנחנו מגנים עליה.

<איל זנדברג: מצד שני, כמשרד משפטים אנחנו מסתכלים גם על האופן הכללי ורוצים לעשות איזון בין כל האינטרסים.

<איל זנדברג: בסוף, האיזון בתקנה הזאת משתקף כמו שזה כתוב.

<איל זנדברג: יכול להיות שבתוך השיח של הוועדה גם אתם – אולי התגובה הראשונית היא רגע, אולי לא החמרתם מספיק, ועם הימשך הדיון, אנחנו נחזור כמטוטלת לנקודה שבה התקנות נמצאות.

<איל זנדברג: אנחנו הכרנו את הקושי הזה ובסוף עצרנו בנקודה מסוימת.

<בובי פנדריך: אני חושב שפה לא הובנתי נכון.

<בובי פנדריך: אני שוב אומר, המשפט האחרון, להבנתי, שולח אותנו לשגיאה.

<בובי פנדריך: הוא צריך לרדת, זה הכול.

<בובי פנדריך: כל השאר מקובל עלי לחלוטין.

<איל זנדברג: בגלל ההצפנה, זאת הכוונה?

<בובי פנדריך: כן.

<בובי פנדריך: כן.

<בובי פנדריך: הצפנה היא לא אמצעי סביר כהגנה מפני התקן חיצוני.

<איל זנדברג: זו מחלוקת מקצועית ממש.

<קריאה: אתה רוצה התקנים ניידים לא מוצפנים?

<נתן הרשקוביץ: נתן הרשקוביץ, רשות ניירות ערך.

<נתן הרשקוביץ: אני מצטרף בחום לאמירה הזו.

<נתן הרשקוביץ: השורה של ההצפנה לא רלוונטית, היא לא פותרת - - -

רויטל סויד: תסבירו למה שמתם את הדגש על ההצפנה.

<נתן הרשקוביץ: הצפנה הוא סוג של פתרון הגנה.

<נתן הרשקוביץ: יש סוגים רבים אחרים למנוע הוצאת מידע, לא רק הצפנה, יש סוגים אחרים, ודווקא בקטע של התקנים חיצוניים הוא לא הפתרון.

<נתן הרשקוביץ: הוא לא הפתרון, והוא מכוון לתחום מאוד מסוים מבין שלל תחומים.

<נתן הרשקוביץ: לא ברור למה הצפנה נמצא פה.

רויטל סויד: תתייחסו לזה, רמו"ט.

<עומר פרידמן: עומר פרידמן, רמו"ט.

<עומר פרידמן: אני חושב שאתם לא מבינים את הקונטקסט.

<עומר פרידמן: מדובר על כך שאם כבר מחברים, ואם כבר צריך להוציא מידע בהתקן נייד, שלעתים אין ברירה, כשמעבירים מידע ממקום למקום או לגיבויים, המידע הזה יהיה מוצפן.

<עומר פרידמן: המידע שיושב במנוחה על אותו התקן נייד – בין אם זו קלטת, או דיסק, או כל מדיה אחרת, או לפטופ שאתה מסתובב אתו בשטח – במידה ואותו מידע נגנב, או מדיה נגנבת, שהמידע עליו יהיה מוצפן.

<עומר פרידמן: זאת הכוונה.

<עומר פרידמן: אתם פשוט לא מפרשים את זה נכון.

<קריאה: לא.

<קריאה: זה לא פתרון.

<קריאה: זה לא פתרון.

<קריאה: זה לא פתרון.

<עומר פרידמן: אז צריך לכתוב את זה בצורה ברורה יותר.

<עומר פרידמן: אם כבר, נאלצים לחבר ומעבירים מידע, המידע חייב להיות מוצפן.

<נתן הרשקוביץ: הצפנה הוא תהליך מסורבל, הוא תהליך ארוך.

<עומר פרידמן: אני לא רואה פתרון אחר.

<גילי בסמן ריינגולד: אני חייבת להגיד שהתקנה לא מחייבת להצפין.

<גילי בסמן ריינגולד: התקנה נועדה להקל ולהגיד אם אתה מסתפק בהצפנה, זה ייחשב כאמצעי סביר.

<גילי בסמן ריינגולד: היא לא מחייבת להשתמש בהצפנה, וגופים יכולים להחליט להשתמש באמצעים אחרים.

<גילי בסמן ריינגולד: אין לנו שום בעיה להוריד את זה, אנחנו חשבנו שזה מקל על אותם גופים שכנראה כל האמצעים שלהם הם הצפנה.

<גילי בסמן ריינגולד: זה בשום אופן לא מחייב את זה כאמצעי יחיד.

אלעזר שטרן: יש לי הצעה טכנית שיכולה להבהיר את זה.

אלעזר שטרן: אולי במשפט הקודם, שכתוב: ינקוט אמצעי הגנה, ככל שמה שעומר אמר זו הכוונה, אפשר לכתוב: ינקוט אמצעי הגנה להגנה על המידע שהועתק להתקן הנייד.

אלעזר שטרן: ואז זה יבהיר למה התכוונתם.

<איל זנדברג: אבל הכוונה הייתה לרמוז לשוק, להסביר לשוק, שמי שבוחר בדרך של הצפנה, די בכך.

<איל זנדברג: זו אופציה אחת.

אלעזר שטרן: איל, בסדר.

אלעזר שטרן: חוסר ההבנה שהיה פה בין מה שנאמר לבין מה שאמר עומר היה על מה בדיוק אתה מגן.

אלעזר שטרן: עומר אמר שההגנה היא על אותו מידע אחרי - - -

<גילי בסמן ריינגולד: להגנה באמצעות הצפנה - -

אלעזר שטרן: כן, כן, כן, ההגנה באמצעות ההצפנה היא על אותו מידע – נכון.

<גילי בסמן ריינגולד: - - - למה ההצפנה מתייחסת, אבל עדיין צריך לנקוט אמצעי הגנה כקונספט על השימוש בהתקנים ניידים, שזה מה שאמרה חברת הכנסת ברקו.

<קריאה: זה מה שאלעזר מציע.

<גילי בסמן ריינגולד: אנחנו מעדיפים להוריד את ההקלה ששמנו:

<גילי בסמן ריינגולד: לעניין זה יראו שימוש בשיטת הצפנה מקובלת כאמצעי סביר, שאני לא מבינה מדוע היא מטרידה את מי שלא משתמש בהצפנה.

<גילי בסמן ריינגולד: שוב, היא אופציונלית והיא - - -

אלעזר שטרן: אני מציע משהו אחר שייתן מענה לכל מה שנאמר פה.

אלעזר שטרן: אם את כותבת במשפט הקודם, לפני המילים בשים לב: ינקוט אמצעי הגנה להגנה על המידע שהועתק להתקן הנייד - - -

<גילי בסמן ריינגולד: זה לא רק על המידע שהועתק, זה גם על המידע - -

אלעזר שטרן: זה מה שעומר אמר.

<גילי בסמן ריינגולד: לא, עומר אמר שההתייחסות בהצפנה היא לאותו מידע שמועתק, אבל ינקוט אמצעי גם ביחס לנוזקות שיכולות לחדור דרך אותו - - -

אלעזר שטרן: זה גם בסדר.

אלעזר שטרן: בסדר גמור.

אלעזר שטרן: אז את יכולה להוסיף את המילים האלה בסוף: לעניין זה יראו שימוש בשיטות הצפנה מקובלות כנקיטת אמצעים סבירים להגנה על מידע שהועתק להתקן הנייד.

<איל זנדברג: נכון, אנחנו מקבלים את ההצעה שלך, אלעזר.

<איל זנדברג: כן, אולי שם אפשר להוסיף את זה.

אלעזר שטרן: להוסיף את זה בסיפה.

אלעזר שטרן: ההצפנה מתייחסת למידע שהועתק.

רויטל סויד: עורך דין דן חי.

<דן חי: אני חושב שהדיון הזה הוא קצת מיותר, כי פה מדובר רק על עניין של נטלים.

<דן חי: אדם שיצפין את המידע לא יצטרך לשכנע שהוא עשה הגנה מספקת.

<דן חי: מי שיחליט שהוא רוצה לנקוט בהגנה אחרת, יהיה עליו נטל, במקרה שמידע ידלוף, להראות שההגנה שהוא עשה הייתה מספקת.

<דן חי: זה כל העניין.

<דן חי: זה משפט שנועד להקל על מי שיבחר בדרך של ההצפנה, ומי שלא יבחר, יהיה עליו נטל.

<דן חי: אם נוריד את המשפט הזה, גם למי שיבחר בדרך ההצפנה יהיה נטל לשכנע שהוא נקט באמצעים סבירים, ולכן אני חושב שיהיה חבל להוריד את זה.

<דן חי: לגבי התוספות, אני חושב שצריך להבין שכשמחברים התקן נייד למערכת, יכולים להיות עוד הרבה נזקים שלא קשורים למידע שירד.

<דן חי: יכול להתווסף מידע, וירוסים, כל מיני דברים אחרים.

אלעזר שטרן: לכן שכללתי את ההצעה.

<דן חי: סוס טרויאני, המון דברים שיודעים להיכנס.

<דן חי: כבר חווינו את זה, רמו"ט קמה בזכות זה – לא נעים להגיד – בזכות הסוס הטרויאני.

<דן חי: לכן אני חושב שלצמצם את ההגדרה זה מסוכן, כי אז צריך להתחיל לחשוב על כל הדברים - - -

רויטל סויד: זה לא לצמצם אותה.

רויטל סויד: זה לא.

רויטל סויד: דיברנו בהתחלה על צמצום, ואחר-כך חידדנו את זה יותר.

רויטל סויד: זה לא היה צמצום, זה היה להכוונה, שמדובר רק על המידע שכבר נלקח, הוצא, נשאב, אני לא יודעת איך לקרוא לזה.

<דן חי: אני חושב שמהנוסח ברור מאוד שזו הכוונה.

<דן חי: אני לא חושב שמישהו העיר לגבי כך שהכוונה היא למידע הזה.

<דן חי: ההערה הייתה לגבי השיטה - - -

רויטל סויד: אבל עובדה שכן.

רויטל סויד: עובדה שכן.

<דן חי: ההערה הייתה לגבי שיטת ההגנה, שאמרו הצפנה.

<דן חי: אני מסכים שהצפנה היא אחת השיטות, ולא תמיד הייתי ממליץ לבחור בה כי היא מורכבת ויקרה.

<דן חי: יש מידע שיוצא שהוא לא מידע רגיש מאוד, ולפעמים אפשר לנקוט בדרכי הגנה אחרות.

אלעזר שטרן: מה שעומר הבהיר, שהכוונה שלהם בעניין ההצפנה – זה נכון, צריך להפריד בין אמצעי ההגנה שהם לא רק מפני העתקה, אלא, כמו שאמרת, לגבי כל מיני סיכונים.

אלעזר שטרן: אבל ספציפית, ההקלה הזאת שהם הציעו לגבי אמצעי ההצפנה התכוונה – לפי מה שהבנתי מעומר – לאותו מקרה של העתקה של מידע, זאת אומרת, ההצפנה של המידע שהועתק.

<דן חי: זה ברור מהנוסח.

<דן חי: אני לא חושב שזה לא ברור.

אלעזר שטרן: מסתבר שזה לא היה ברור.

<דן חי: לא, הטרוניה הייתה על המילה הצפנה, לא על הנוסח של המשפט.

<גילי בסמן ריינגולד: על זה שיש שיטות מתקדמות יותר.

<דן חי: על זה שזו שיטת הצפנה, אבל זו שיטה אלטרנטיבית.

<דן חי: אפשר להגיד שאולי היה מקום להוסיף עוד שיטות, וכבר לא נצא מזה.

<דן חי: זו הקלה.

<דן חי: זה עניין של נטל, הרי צריך לזכור, בעולם של דליפת מידע כולנו צופים וחוששים מאותו סעיף בפקודת הנזיקין שמדבר על רשלנות, שהוא יכול להיות מקור לתביעות ולהרבה בעיות אחרות לארגונים.

<דן חי: ארגונים לא רוצים להיתפס כרשלנים.

<דן חי: ארגון שיצפין מידע יכול להגיד רבותי, אני עשיתי את מה שהתקנות אומרות, ודאי וודאי שלא הייתי רשלן.

<דן חי: לשם כולנו מסתכלים.

<דן חי: ארגון שינקוט באמצעים אחרים לוקח על עצמו את הסיכון שיכול להיות שהוא לא יצליח לשכנע שהאמצעי שהוא נקט בו היה מספיק.

<דן חי: בסדר, זו המציאות, יש עוד דרכים ואי-אפשר לפרט את כולן בתקנות.

<דן חי: לכן אני חושב שהאינטרס של גופים – אם אני מסתכל על זה בעין של גופים – הוא שהמשפט הזה כן יישאר, כי אז תמיד יהיה להם מוצא לנקוט באמצעי שהוא יוכל להגיד אחר-כך – עשיתי מה שהתקנות אומרות, זאת אומרת, עשיתי מה שצריך, אני לא הייתי רשלן.

<דן חי: זו דעתי.

<יורם ביטון: יורם ביטון, מביטוח לאומי בתחום הסייבר.

<יורם ביטון: אני נוגע שוב פעם בהצפנה.

<יורם ביטון: אין להצפנה שום רלוונטיות אם אנחנו רוצים למנוע הכנסה של איזושהי נוזקה.

<יורם ביטון: ברגע שניקח דיסק און-קי, אם הוא מוצפן ויש עליו וירוס וחיברתי אותו למחשב שעליו יושב מאגר, זה לא שינה כלום, אותו וירוס יחדור.

<יורם ביטון: אם הכוונה היא להגן על המידע עצמו, על המאגר, בהנחה שחלק מהמאגר, או המאגר כולו, עובר לדיסק און-קי, אז יש משמעות להצפנה.

<יורם ביטון: שוב פעם, זה משהו מינימלי מקל בתחום הזה.

<גילי בסמן ריינגולד: אז אפשר לקבל את ההצעה של אלעזר ולהוסיף את ההבהרה בסוף – להגנה על המידע.

רויטל סויד: אוקיי, נעבור הלאה.

רויטל סויד: בבקשה.

רויטל סויד: תקנה 13.

אלעזר שטרן: "ניהול מאובטח ומעודכן של מערכות המאגר – 13.

אלעזר שטרן: (א) בעל מאגר מידע יקפיד על ניהול ותפעול תקין של מערכות המאגר, לפי המקובל בהפעלת מערכות כאלה.

אלעזר שטרן: (ב) בעל מאגר מידע יפריד, בהיקף ובמידה הסבירים האפשריים, בין מערכות המאגר אשר ניתן לגשת מהן למידע, לבין מערכות מחשוב אחרות המשמשות את בעל המאגר.

אלעזר שטרן: (ג) בעל מאגר מידע ידאג לכך שייערכו עדכונים שוטפים של מערכות המאגר, לרבות חומר המחשב הנדרש לפעולתן; לא ייעשה שימוש במערכות שהיצרן לא תומך בהיבטי אבטחה שלהן אלא אם כן ניתן מענה אבטחתי מתאים".

<גילי בסמן ריינגולד: התקנה מדברת על ניהול ותפעול תקין של המערכות.

<גילי בסמן ריינגולד: תקנת משנה (ב) ממשיכה ומתייחסת לאבטחה הלוגית מעבר לאבטחה הפיזית שנדרשת, במיוחד כאשר המחשב מחובר לרשת מחשבים ולתחנות קצה, שאז הסיכונים גדלים לחדירה למערכות באמצעות הרשת.

<גילי בסמן ריינגולד: היא מתייחסת לשיטות להפרדה, השיטות שקיימות ואנחנו מכירים, והן נגישות בשוק – "פיירוול", חלוקה לרשתות ודברים כאלה שברורים מאוד לאנשי מערכות המחשוב.

<גילי בסמן ריינגולד: תקנת משנה (ג) מדברת על הצורך בעדכון שוטף של מערכות ההגנה, שזה גם דבר בסיסי, היות והאיומים כל הזמן משתנים.

אלעזר שטרן: רציתי לשאול – אני שואל את זה לגבי כל תקנה רלוונטית – איך אתם רואים את ההפעלה של התקנה הזאת, במיוחד תקנת משנה (ב) לגבי בעל מאגר יחיד?

אלעזר שטרן: מה המשמעות של זה?

אלעזר שטרן: שוב, אם מדובר על מחשב אישי או משהו כזה, מה המשמעות של הפרדה כזו?

אלעזר שטרן: איך אתם רואים את זה?

<גילי בסמן ריינגולד: ההתייחסות פה היא לתווך, ששיטות ההצפנה צריכות לנגוע בתווך.

<גילי בסמן ריינגולד: אתה רוצה לפרט יותר, עומר?

אלעזר שטרן: ניקח את הדוגמה של הקוסמטיקאית, יש לי מחשב, והמחשב הזה הוא המחשב האישי שלי בבית.

אלעזר שטרן: מה המשמעות של הפרדה בין המערכות?

אלעזר שטרן: הרי זה אותו מחשב, לא מדובר פה על רשת מורכבת.

<עומר פרידמן: בעיקרון, אם אותה קוסמטיקאית פותחת נתב אלחוטי ופותחת אותו לכל הבניין, רצוי שזה לא יקרה כי המחשב שלה גולש לאינטרנט דרך אותו נתב, וגם השכנים יוכלו לגלוש דרך אותו נתב, וגם אולי לגלוש למחשב עם כל המידע.

אלעזר שטרן: מה אתה מצפה ממנה לעשות?

<גילי בסמן ריינגולד: סיסמה.

<עומר פרידמן: הפרדה.

<עומר פרידמן: הפרדה יכולה להיות עם "פיירוול" שמגיע ב-Windows, או אם איזו תכנה אחרת, או בכלל לנתק את הנתב האלחוטי או לחסום אותו מגישה.

<עומר פרידמן: אם זה בארגון גדול שיש לו מאגר מידע שיושב באינטרנט, אז כמובן שאותו מאגר מידע אמור להיות מוגן ומופרד ממערכות אחרות.

<עומר פרידמן: ואם יש כמה רשתות, אין שום סיבה שעובדי מנהלה יוכלו לגשת למאגר המידע, או שאנשי פיקוח ותחזוקה יוכלו לגשת למאגר שמכיל מידע אמתי, אלא רק למידע דמה.

<עומר פרידמן: יש הרבה שיטות הפרדה, אי-אפשר להיכנס אליהן.

<עומר פרידמן: צריך לדבר על הפרדה במידה סבירה.

אלעזר שטרן: אני שאלתי במיוחד על גורמים יחידים.

<גילי בסמן ריינגולד: על אותם גופים קטנים אלו אמצעים שמגיעים בדרך כלל עם מערכות ההפעלה, כמו שעומר אמר.

<עומר פרידמן: זה אומר שרגל אחת של הנתב תהיה לעצמך, ואם אתה רוצה לתת לאורחים גישה, תעשה הפרדה בנתב.

<עומר פרידמן: כמובן שלא כל בן אדם רגיל יודע לעשות את זה, אז רצוי שטכנאי המחשבים שלך יעשה את זה.

<עומר פרידמן: תדע שאתה יכול לעשות הפרדה בין רשת של אורחים לרשת הרגישה שלך, גם אם זה בבית.

<עומר פרידמן: אתה לא רוצה לתת לשכנים גישה לנתב שלך, אז תפריד עם סיסמה, תפריד עם כל מיני שיטות הגנה אחרות.

<עומר פרידמן: שוב, מדברים על הפרדה, להפרדה יש הרבה שיטות.

<עומר פרידמן: קשה להיכנס.

<נתן הרשקוביץ: שאלה.

<נתן הרשקוביץ: לא ברור לי – יש ברשות לניירות ערך כמה וכמה מאגרים.

<נתן הרשקוביץ: אני מהרשות לניירות ערך, יש לנו כמה מאגרים.

<נתן הרשקוביץ: לא ברור לי סעיף (א), כמי שאחראי על תפעול המאגרים האלה.

<נתן הרשקוביץ: מתי זה תפעול תקין לפי המקובל במערכות האלה?

<נתן הרשקוביץ: מה פירוש ההגדרה הזאת?

<נתן הרשקוביץ: מתי אני עומד בדרישות התקנות ומתי לא?

<גילי בסמן ריינגולד: תסביר שוב את השאלה שלך בבקשה.

<נתן הרשקוביץ: לא הבנתי – אם אפשר לקבל הסבר, אני אשמח – את סעיף (א).

<נתן הרשקוביץ: כמי שמנהל מאגרים ברשות לניירות ערך, לא ברור לי מה הפירוש או מה כוונת

<נתן הרשקוביץ: כם בניהול ותפעול תקין של המערכות לפי המקובל בהפעלת מערכות.

<נתן הרשקוביץ: כלומר, מתי אני עומד בדרישות התקנות ומתי לא?

<נתן הרשקוביץ: מה כוונת

<נתן הרשקוביץ: כם בתפעול תקין בהיבט של הגנת הפרטיות?

<רונית פרל: אני יכולה להוסיף לזה?

<רונית פרל: אני רונית פרל, אני היועצת המשפטית של התאחדות התעשיינים.

<רונית פרל: בדיוק לאותה משמעות שהתכוון נתן, גם בסעיף (ב) משתמשים במונח בהיקף ובמידה סבירים אפשריים.

<רונית פרל: מתי אני יודעת שאני עומדת - - -

<קריאה: אלו שתי שאלות נפרדות.

<קריאה: אולי נתחיל בראשונה?

<רונית פרל: הפרשנות היא שלכם.

רויטל סויד: רונית, בואי ניתן להם לענות גם על השאלה שלך וגם על השאלה של נתן.

<עומר פרידמן: ניהול תקין ותפעול תקין זה משהו שנוצר לאורך שנים.

<עומר פרידמן: תקראי באינטרנט, יש את חמשת הדברות, עשרת הדברות להגנה על המידע שלך, או על המחשב שלך, או על הטלפון שלך.

<עומר פרידמן: היום אנשים יודעים מה הוא הסטנדרט.

<עומר פרידמן: סטנדרט הוא אנטי-וירוס, סטנדרט זה "פיירוול", סטנדרט זה לעדכן את המחשב או את הטלפון.

<עומר פרידמן: זה משהו שנוצר לאורך השנים, ובכל פעם יש נדבכים שנוספים, אז בארגונים גדולים יודעים שיש מערכות שנקראות CM, שמנטרות, אוספות מידע ומתריעות על אבטחת מידע.

<עומר פרידמן: קשה מאוד להגיד מה הסטנדרט, כל אחד צריך לקבוע את הסטנדרט שלו.

<עומר פרידמן: יש גם תקנים – ברפואה יש תקן HIPAA בתחום הבנקאות יש - - -, בכרטיסי אשראי יש PCI DSS.

<נתן הרשקוביץ: זה לא ברור.

<נתן הרשקוביץ: אני רוצה לעמוד בדרישות התקנות, ואני לא מבין אם אני עומד בהן.

רויטל סויד: עומר, מה שאתה אומר, כל גוף יודע מה זה ניהול תקין אצלו.

רויטל סויד: מצופה ממנו שיעמוד בסטנדרטים של הניהול שלו.

רויטל סויד: כל אחד מכם יודע למה מתייחסים.

<נתן הרשקוביץ: מה הם מאשרים?

<נתן הרשקוביץ: לי יש את הסטנדרטים, מה הם מאשרים?

<ניר יעקב גרסון: זה לפי מה שמקובל.

<ניר יעקב גרסון: בהמשך למה שאמר עומר.

<ניר יעקב גרסון: ניהול תקין יכול להיות לא לגלוש באתרים חריגים, לכבות את המחשב בסוף היום, דברים שהם שגרת ניהול מעבר, בנוסף על עדכון התכנה, שזו תקנה בהמשך, תקנה (ג).

<ניר יעקב גרסון: הדברים האלה שהם מקובלים.

<נתן הרשקוביץ: השאלה אם גלישה באינטרנט למשל, באיזו צורה יכולה לפגום בהגנת הפרטיות של מאגר מסוים?

<נתן הרשקוביץ: מישהו אצלי בארגון גולש הרבה.

<נתן הרשקוביץ: אפשר לגלוש באינטרנט?

<ניר יעקב גרסון: אם זה פוגע באבטחת המידע - - -

<גילי בסמן ריינגולד: לפעמים עצם החיבור לרשת האינטרנט הוא מסוכן.

<נתן הרשקוביץ: זה מה שאני שואל, מה לטעמכם זה תפעול תקין?

<גילי בסמן ריינגולד: כל החלטה כזאת תלויה בטיב המאגר.

<גילי בסמן ריינגולד: שוב, אלו תקנות שפונות לשוק רחב מאוד, לסוגים שונים מאוד של מאגרים.

<גילי בסמן ריינגולד: יש פה ניסיון לבצע חשיבה ולקבוע את הניהול הזה לא סתם כך במקרה, אלא להקדיש לו את המחשבה איך אני צריך לנהל ולתפעל את המערכות שלי.

רויטל סויד: אם נוכל לשמוע את פרנקו.

רויטל סויד: בבקשה.

<רפאל פרנקו: זו הנקודה שבה אני רוצה לומר שככל שאנחנו נסכים, בתורת ההגנה, בתורת האבטחה הלאומית, אנחנו יורדים בדיוק לרזולוציות שמדברים עליהן כאן אנשים.

<רפאל פרנקו: זה אומר איך מפרידים, אילו מערכות צריך לשים, איזה מערכות SIM, שהן מערכות אבטחה, מקובלות, כאשר הן נבדקו במעבדות אצלנו, כחול לבן.

<רפאל פרנקו: איזה אנטי-וירוס אנחנו מאשרים שנבדקו או נבחנו, איזה סוגי הצפנה אנחנו מקבלים, יש תקנים – יש הצפנות חלשות יותר.

<רפאל פרנקו: כל הנושאים והנקודות האלה, בדיוק בפרטים הקטנים, שם אנחנו נמצאים.

<רפאל פרנקו: רשות הסייבר מוציאה לגביהם הנחיות.

<רפאל פרנקו: ככל שאנחנו, או רמו"ט בהמשך, יאמצו חלק מהדברים האלה – אני מניח שהם לא ירדו לרזולוציות של פירוט כאלה – אנחנו נוכל בשגרה להסתנכרן ולהיות רגל מסיימת, כך נקרא לזה, ברמת הפרטים.

<אלון בכר: אני רוצה להגיד, זה הרי לא מקרי שאין ירידה לפרטי פרטים, כי התקנות האלה אמורות לחול על כל המשק, ואמורות להיות נגישות ולהתאים לסוגי המידע וסוגי מאגרים ומערכות שונים בתכלית.

<אלון בכר: אפילו אם לא היינו כותבים את התקנה הזאת בכלל, אני חושב שהיה ברור שכל אחד צריך לנהל את המערכת שלו באופן תקין, באופן סביר, לעדכן אותה, לעשות בה את השימוש הנכון והראוי, כמו שעושה כל גוף גם היום.

<אלון בכר: גם היום, כשהתקנות שנוגעות לאבטחת מידע הן מיושנות מאוד ולא מפורטות, אותה חובה חלה, וכל גוף יודע על עצמו איזה מידע הוא מנהל, איזה רגישויות, למה הוא חשוף, והוא מתאים את המערכות שלו לאותם דברים.

<אלון בכר: במובן הזה לא השתנה שום דבר.

<אלון בכר: אם היינו מפרטים, היינו צריכים לפרט אולי 100 רמות של דברים לפרטי פרטים, וזה לא משהו שהתקנות יודעות לקבל.

<נתן הרשקוביץ: התכוונתי לשאול על קווים מנחים.

<נתן הרשקוביץ: חברה ציבורית למשל, או רשות ממשלתית רוצה לעמוד בדרישה, וזה לא כל כך ברור, לדעתי, מה צריך לעשות כדי לעמוד בהן.

<עומר פרידמן: אם תסתכל, אתה יכול לראות שאפשר לפנות לגוף דומה אליך במדינה אחרת ולשאול מה הם ממליצים, מה הם עושים.

<עומר פרידמן: בדרך כלל בבנקים כבר 20 שנה מפרידים רשתות וגלישה באינטרנט נעשית דרך חוות שרתים.

<עומר פרידמן: זה סטנדרט שהם טיפחו לעצמם במהלך השנים.

<עומר פרידמן: אם אתה לא יודע ואנשי האבטחה שלך או היועצים שלך - - -

<נתן הרשקוביץ: לא, אני שואל מה לדעתך סביר.

רויטל סויד: אני רוצה לשאול אתכם.

רויטל סויד: רמו"ט, אתם תוציאו הנחיות, בין היתר, גם לתקנה הזו כדי שחברים יוכלו להיות יותר רגועים שהם עומדים בניהול התקין לא רק של עצמם, אלא גם של איך שאתם תופסים אותו?

אלעזר שטרן: קווים מנחים, לא חייב להיות ברזולוציה כמו שפרנקו דיבר עליה.

אלעזר שטרן: קווים מנחים.

<אלון בכר: קווים מנחים כן, הנחיות מפורטות לכל סוגי המידע בכל סוגי הארגונים לא.

<אלון בכר: גם מי שיתיימר לעשות כזה דבר לא יוכל לעשות את זה, ובוודאי אי-אפשר לעשות משהו כזה שצריך לעדכן אותו על בסיס קבוע.

רויטל סויד: תאמר לי אלון, יש לי שאלה – בוא נניח שעכשיו נתן יושב, התקנות האלה עברו והוא אומר אני חושב שאני עושה ניהול תקין, אבל אני לא בטוח במאת האחוזים שאני עומד בסטנדרטים.

רויטל סויד: אני רוצה לפנות לרמו"ט ולשאול אותם האם הסטנדרטים שאני נוקט בהם נחשבים בעיניכם ניהול תקין?

רויטל סויד: זה דבר שאתם תקבלו אותו?

<אלון בכר: אחרי שהוא עשה את הבדיקות שלו עם עצמו - - -

<דן חי: שיפנה לייעוץ משפטי.

<אלון בכר: דרך אגב, זה נכון.

<אלון בכר: גברתי, התשובה פשוטה מאוד.

<אלון בכר: יש לנו הרי מוסד של פרה-רולינג, יש לנו נוהל פרה-רולינג ברשות לגבי כל מיני שאלות, כולל משפטיות.

<אלון בכר: גם בשאלות משפטיות אנחנו מבקשים מהגוף שימצה את הבדיקה עם עצמו קודם כל, כי אנחנו לא יועצים משפטיים, אנחנו מסדירים.

<אלון בכר: אחרי שהוא בודק את זה בכלים שעומדים לרשותו, אם עדיין התשובה היא לא ברורה, אנחנו בהחלט נותנים מענה.

<אלון בכר: זה בדיוק מוסד הפרה-רולינג שלנו, הוא לא שונה בתחום אבטחת המידע.

<אלון בכר: אם הרשות לניירות ערך – במקרה אני מכיר אותה לא רע – תחשוב שהיא לא בטוחה שהיא עומדת בסטנדרט הראוי והנכון, אחרי שהיא מיצתה את הבדיקה עם אנשי אבטחת מידע ואנשי המערכות שלה בפנים ובחוץ, היא תפנה לרמו"ט והיא תקבל מענה.

<אלון בכר: אבל אני די בטוח שלא יהיה בזה צורך.

<נתן הרשקוביץ: אתה צודק.

<נתן הרשקוביץ: השאלה הייתה מכוונת בעיקר לגופים שאנחנו מפקחים עליהם, חברה ציבורית כזו או אחרת שאין לה את - - -

<אלון בכר: זה בדיוק אותו דבר.

<אלון בכר: התשובה בעיני היא אותה תשובה בדיוק.

<אלון בכר: גם לחברה ציבורית שיש לה מערכות מידע יש אנשים שמטפלים בה, יש לה יועצים שהיא מעסיקה, היא תקבל מהם מענה כי הסטנדרטים הם מקובלים והם בין-לאומיים, והם מתעדכנים.

<אלון בכר: אם היא לא תקבל מענה ראוי, או שהיא לא תדע מה התשובה הנכונה ברמה שמישהו יגיד לה זה הסטנדרט, אבל אני לא בטוח שזה עומד בסטנדרט שכתוב בתקנה 13, מה שאני מתקשה להאמין, אז תוכל לבוא פניה לרמו"ט בפרה-רולינג, ואנחנו נתייחס אליה.

<אלון בכר: זה הרי נכון לגבי כל אחת מהסמכויות שכל רגולטור מפעיל, כולל רמו"ט.

רויטל סויד: נתן, אני חושבת שזה מוצה, וגם די ברור, עם הבהרה, אפשר גם לפנות.

רויטל סויד: גם שמענו שיש עורכי דין, שחכנו את זה.

<אלון בכר: יש אנשי אבטחת מידע.

<אלון בכר: ותקנים בין-לאומיים.

<סילבי חורב: אני רוצה להתייחס להערה על הקוסמטיקאית.

<סילבי חורב: זו דוגמה טובה, כי אתם מדברים על גופים גדולים, אבל יש גם גופים קטנים.

<סילבי חורב: יש פה סעיף שלא בטוח שהציבור יכול לעמוד בו, שהוא לא יעשה שימוש במערכות שהיצרן לא תומך בהיבטי האבטחה שלהם, אלא אם כן ייתן מענה אבטחתי מתאים.

<סילבי חורב: גברתי, אני רוצה להסביר את מה שאני מבינה.

<סילבי חורב: יש מערכות הפעלה שלא מקבלות את התמיכה ממי שייצר את מערכת ההפעלה כי הם נותנים תמיכה בנושא אבטחת מידע בערך שלוש שנים אחורה.

<סילבי חורב: אותה קוסמטיקאית, כל העסק שלה מבוסס על הדבר הזה, וכבר אין עדכוני אבטחת מידע.

<סילבי חורב: אז מאותו הרגע המאגר כבר לא עומד ברגולציות?

<גילי בסמן ריינגולד: אבל את מערבבת, כי במערכות המורכבות, שהיצרנים שלהם תומכים עד שלוש שנים אחורה, בדרך כלל משתמשים גופים גדולים, כמו הגוף שאת מייצגת.

<גילי בסמן ריינגולד: במערכות הקטנות, אותם גופים קטנים, הקוסמטיקאית, לא משתמשת במערכות כאלה עם הסכמי תחזוקה כאלה.

<גילי בסמן ריינגולד: יש לה Windows, יש "פיירוול".

<סילבי חורב: - - - זו דוגמה מצוינת.

<גילי בסמן ריינגולד: אם יש לה Windows בלי אנטי-וירוס, אז היא תרכוש אנטי-וירוס נפרד.

<סילבי חורב: אני רוצה להסביר.

<סילבי חורב: Windows XP כבר לא מתעדכן.

<אלון בכר: יכול להיות שתצטרכו להחליף את מערכת ההפעלה ל-Windows אחר.

<גילי בסמן ריינגולד: אז היא צריכה - - - אחר.

<גילי בסמן ריינגולד: לא אומרים לא להשתמש במערכת - - -

<ניר יעקב גרסון: בדיוק.

<ניר יעקב גרסון: אנחנו לא אוסרים קטגורית, לכן זה עוד דוגמה לכך שהתקנות הן על קרקע המציאות וקורות בשטח.

<ניר יעקב גרסון: לא אומרים קטגורית אסור מרגע שלא ניתן - - -, אלא צריך לתת מענה אחר – להתקין אנטי-וירוס אחר, לעשות משהו אחר שיפצה על הבעיה.

<ניר יעקב גרסון: אני חושב שכל אנשי המקצוע פה יסכימו שזה כשל מרגע שהיצרן לא - - -

<קריאה: אין ספק.

<ליאת בן מאיר שלום: בגלל זה כתבנו – מענה אבטחתי מתאים חלופי.

<ליאת בן מאיר שלום: רק שלא יהיה מצב שאין שום מענה אבטחתי.

<ליאת בן מאיר שלום: זה מה שהתקנה אומרת.

<סילבי חורב: צריך לחדד את זה.

<ליאת בן מאיר שלום: זה כתוב מפורשות בסיפה – אלא אם כן ניתן מענה אבטחתי - - -

רויטל סויד: אנחנו נעבור הלאה, לתקנה 14.

אלעזר שטרן: "אבטחת תקשורת – 14.

אלעזר שטרן: (א) בעל מאגר מידע לא יחבר את מערכות המאגר לרשת האינטרנט או לרשת ציבורית אחרת, בלא התקנת אמצעי הגנה מתאימים מפני חדירה לא מורשית או מפני תוכנות המסוגלות לגרום נזק או שיבוש למחשב או לחומר מחשב.

אלעזר שטרן: (ב) העברת מידע ממאגר המידע, ברשת ציבורית או באינטרנט, תיעשה תוך שימוש בשיטות הצפנה מקובלות.

אלעזר שטרן: (ג) במאגר מידע שניתן לגשת אליו מרחוק, באמצעות רשת האינטרנט או רשת ציבורית אחרת, ייעשה שימוש נוסף על אמצעי אבטחה כאמור בתקנות משנה (א) ו-(ב), באמצעים שמטרתם לזהות את המתקשר והמאמתים את הרשאתו לביצוע הפעילות מרחוק ואת היקפה; לעניין גישה של בעל הרשאה למאגר מידע ברמת האבטחה הבינונית והגבוהה ייעשה שימוש באמצעי פיזי הנתון לשליטתו הבלעדית של בעל ההרשאה".

<גילי בסמן ריינגולד: בהמשך לסכנות שנמנו קודם, כשהמערכות מחוברות לרשת האינטרנט, או לרשת ציבורית אחרת, יש חשש מגישה חיצונית לא מורשית.

<גילי בסמן ריינגולד: כדי להקטין למינימום את הסיכונים האלה, התקנה מחייבת שימוש באמצעי הגנה מתאימים.

<גילי בסמן ריינגולד: שוב, אנחנו נזכיר את האנטי-וירוס, את "פיירוול", חומת אש פיזית גם.

<גילי בסמן ריינגולד: תקנת משנה (ב) מדברת על התווך, להצפין בשיטות הצפנה מקובלות את המידע שנשלח באמצעות האינטרנט או באמצעות רשת ציבורית אחרת.

<גילי בסמן ריינגולד: והתקנה השלישית מדברת על זה שצריך לוודא שיימצא פתרון לסיכונים האלה באמצעות הפעלת מנגנונים שיבטיחו שבנוגע למאגרים שמוזכרים בתקנה רק למורשים תהיה גישה.

<גילי בסמן ריינגולד: זה אותו כרטיס עובד שאנחנו רגילים אליו, הכרטיס החכם שאנחנו רגילים להתחבר אתו ואמצעים פיזיים דומים לזה.

רויטל סויד: מישהו רוצה להתייחס?

רויטל סויד: הלאה, 15.

אלעזר שטרן: "מיקור חוץ – 15.

אלעזר שטרן: (א) בעל מאגר המתקשר עם גורם חיצוני לצורך קבלת שירות, הכרוך במתן גישה למאגר המידע - (1) יבחן, לפני ביצוע ההתקשרות עם הגורם החיצוני המסוים כאמור, את סיכוני אבטחת המידע הכרוכים בהתקשרות; (2) יקבע במפורש בהסכם עם הגורם החיצוני (בתקנה זו - ההסכם) את כל אלה, בשים לב לסיכונים לפי פסקה (1): (א) המידע שהגורם החיצוני רשאי לעבד ומטרות השימוש המותרות בו לצורכי ההתקשרות; (ב) מערכות המאגר שהגורם החיצוני רשאי לגשת אליהן; (ג) סוג העיבוד או הפעולה שהגורם החיצוני רשאי לעשות; (ד) משך ההתקשרות, אופן השבת המידע לידי הבעלים בסיום ההתקשרות, השמדתו מרשותו של הגורם החיצוני ודיווח על כך לבעל מאגר המידע; (ה) אופן יישום החובות בתחום אבטחת המידע שהמחזיק חייב בהן לפי תקנות אלה, וכן הנחיות נוספות לעניין אמצעי אבטחת מידע שקבע בעל מאגר המידע, אם קבע".

אלעזר שטרן: "(ו) חובתו של הגורם החיצוני להחתים את בעלי ההרשאות שלו על התחייבות לשמור על סודיות המידע, להשתמש במידע רק לפי האמור בהסכם, וליישם את אמצעי האבטחה הקבועים בהסכם כאמור בפסקת משנה (ה); (ז) התיר בעל מאגר מידע לגורם החיצוני לתת את השירות באמצעות גורם נוסף - חובתו של הגורם החיצוני לכלול בהסכם עם הגורם הנוסף את כל הנושאים המפורטים בתקנה זו; (ח) חובתו של הגורם החיצוני לדווח, אחת לשנה לפחות, לבעל מאגר המידע אודות אופן ביצוע חובותיו לפי תקנות אלה וההסכם ולהודיע לבעל המאגר במקרה של אירוע אבטחה".

אלעזר שטרן: "(3) יפרט בנוהל האבטחה של המאגר גם את העניינים המנויים בפסקה (2)(א) עד (ה), וכן יפנה בו במפורש להסכם עם הגורם החיצוני ולנוהל האבטחה שלו; (4) ינקוט אמצעי בקרה ופיקוח על עמידתו של הגורם החיצוני בהוראות ההסכם ובהוראות תקנות אלה, בהיקף הנדרש בשים לב לסיכונים האמורים בפסקה (1).

אלעזר שטרן: (ב) ארגון שהוא בעל כמה מאגרי מידע, המתקשר עם גורם חיצוני לצורך מתן שירות הכרוך בגישה אליהם בידי הגורם החיצוני, רשאי לקיים את הוראות תקנת משנה (א)(2) בהסכם אחד לעניין כל מאגרי המידע ובלבד שהם באותה רמת אבטחה.

אלעזר שטרן: (ג) תקנה זו לא תחול על התקשרות של בעל מאגר עם יחיד".

<גילי בסמן ריינגולד: התקנה הזו מונה שורה של היבטים שחשוב להתייחס אליהם כדי שבעל המאגר ימשיך למלא את החובות שלו בתקנות גם כשמשתמשים במיקור חוץ ויש מישהו אחר שמחזיק את המאגר.

<גילי בסמן ריינגולד: זה בעיקר נוגע לסוג המידע, הרשאות גישה, מטרות השימוש, באילו מערכות זה ייעשה.

<גילי בסמן ריינגולד: אותו מיפוי שבעל המאגר עשה אצלו וראינו בתקנות הקודמות, עכשיו הוא צריך ליישם בהסכם עם מיקור חוץ.

<ליאת בן מאיר שלום: לפני כן יש תהליך חשיבה, כי עצם השימוש במיקור חוץ מייצר כשלעצמו סיכונים.

<ליאת בן מאיר שלום: אז קודם כל, הוא עושה את תהליך החשיבה הזה ומזהה את אותם סיכונים שאחרי-כן הוא צריך לתת להם מענה גם בהסכם ולשמר את אותה מעטפת אבטחה שקיימת אצלנו גם מול הגורם החיצוני.

<בובי פנדריך: אני הולך פה על קרח דק, אבל חסר לי דבר אחד בכל התקנות האלה.

<בובי פנדריך: אני מסכים לכל מה שכתוב פה, אבל מישהו שנותן שירותי מיקור חוץ יכול שייתן ליותר מגורם אחד.

<בובי פנדריך: בשום מקום לא ראיתי התייחסות להפרדת המידע של גורם א' מגורם ב'.

<בובי פנדריך: הרי אני עלול להימצא במצב שבו אני נותן את זה לגורם שנותן שירותי מיקור חוץ, והוא יערבב את כל המידע – שלך, שלי, של התעשייה האווירית.

<בובי פנדריך: אין פה שום התייחסות לנושא הזה, וחבל.

<גילי בסמן ריינגולד: התקנות חלות גם על מחזיק.

<גילי בסמן ריינגולד: אותן הוראות של מיפוי והפרדה והרשאות גישה חלות על אותו ממקר חוץ, שהוא בדרך כלל מחזיק.

<קריאה: יש חובה כזאת בחוק עצמו, בובי.

<ניר יעקב גרסון: אתה מצביע על בעיה מהותית, או אכיפה של זה?

<ניר יעקב גרסון: כי מהותית, משפטית יש לזה - - -

<בובי פנדריך: לציין את זה, להזכיר את זה.

<קריאה: בובי, החובה הזאת כתובה בסעיף 17ב לחוק עצמו.

<איל זנדברג: ככה בונים תקנות אתה לא חוזר על דברים שכתובים בחוק.

אלעזר שטרן: אני רק מוסיף על מה שנאמר פה מקודם.

אלעזר שטרן: מעבר לזה שהחובה על המחזיק קבועה בחוק, גם פה אנחנו נראה בהמשך, בתקנה 19 שכל ההוראות שחלות על בעל המאגר יחולו גם על המחזיק.

אלעזר שטרן: הדוגמה שאתה נתת מוגדרת כמחזיק.

אלעזר שטרן: אותן הוראות שחלות על בעל המאגר יחולו עליו כמחזיק, ואז הוא יצטרך לעשות את כל ההפרדות האלה שדיברת עליהן.

<ליאת בן מאיר שלום: בנוסף לדברים של אלעזר, חוק הגנת הפרטיות, סעיף 17א קובע: המחזיק במאגרי מידע של בעלים שונים יבטיח כי אפשרות הגישה לכל מאגר תהיה נתונה רק למי שאושרו לכך במפורש בהסכם בכתב בינו לבין בעליו של אותו מאגר.

<ליאת בן מאיר שלום: אני חושבת שיש לכך מענה.

אלעזר שטרן: אני רציתי לשאול אתכם שני דברים.

אלעזר שטרן: נקודה אחת שאני אשמח אם תחדדו, אולי תסבירו לוועדה, תקנת משנה (ג), שזה לא יחול על התקשרות עם יחיד.

אלעזר שטרן: תסבירו לוועדה על מה זה כן חל ועל מה זה לא חל, שזה יהיה ברור יותר.

אלעזר שטרן: נקודה שנייה, איך אתם רואים בתקנת משנה (א)(4) אותם אמצעי בקרה ופיקוח – איך אתם מצפים או רואים שזה אמור להתנהל בפועל?

אלעזר שטרן: זאת אומרת, כאשר הוצאתי למיקור חוץ, מה אתם מצפים שיהיה אמצעי פיקוח?

אלעזר שטרן: האם צריך להתחיל לבדוק אותו?

אלעזר שטרן: איך אני בודק אותו, מה הוא עשה?

אלעזר שטרן: תבהירו לוועדה, מבחינת היקף התחולה של תקנת משנה (ג), ו-(ב), איך אתם רואים את אמצעי הפיקוח ואת היחס שבין בעל המאגר לבין המחזיק.

<ליאת בן מאיר שלום: לגבי השאלה הראשונה, לגבי תקנת משנה (ג), זה קשור להגדרה שעוד לא דיברנו עליה.

<ליאת בן מאיר שלום: הבהרנו שהתקנה הזאת לא חלה על מי שהוא בעל הרשאה בתוך ארגון.

<ליאת בן מאיר שלום: זה לא משנה כרגע קיומם של יחסי עובד-מעביד, אבל כאן, אפילו למען הפשטות, אמרנו שהתקשרות של בעל מאגר עם יחיד לא תחול עליה התקנה.

<ליאת בן מאיר שלום: זאת אומרת, גם אם הוא מחזיק, זה חל רק על הסיטואציה של קבלת שירות על-ידי גוף חיצוני אחר.

אלעזר שטרן: זאת אומרת שיחיד שיש לו הרשאה, הוא לא ייכנס לתקנה 15, אבל יחולו עליו התקנות מכוח העובדה שהוא בעל הרשאה.

<ליאת בן מאיר שלום: יחולו עליו החובות דרך בעל המאגר.

אלעזר שטרן: דרך בעל המאגר, שהוא ייחשב כבעל הרשאה.

<ליאת בן מאיר שלום: אמת.

<ליאת בן מאיר שלום: אמת.

<ליאת בן מאיר שלום: אין ריק.

<ליאת בן מאיר שלום: יש חובות של בעל המאגר שהן חובות שקשורות לבעלי ההרשאה שלו, ואותו יחיד ייחשב כבעל הרשאה שלו.

<ליאת בן מאיר שלום: החובה בהתקשרות עם אותו גוף חיצוני במיקור חוץ באה לידי ביטוי בתקנה 15.

<ליאת בן מאיר שלום: כמובן שמעבר לזה החובות של אבטחת המידע – זה קבוע כבר בחוק עצמו – חלות גם על המחזיק ולא רק על בעל המאגר.

<ליאת בן מאיר שלום: זה לגבי השאלה הראשונה.

<ליאת בן מאיר שלום: לגבי השאלה השנייה - - -

<גילי בסמן ריינגולד: אני אתחיל.

<גילי בסמן ריינגולד: אמצעי בקרה ופיקוח – שוב, זה בהיקף הנדרש בשים לב לסיכונים.

<גילי בסמן ריינגולד: יש אמצעים שונים, החל מהצהרות משפטיות וכלים הסכמיים, ועד בקרות בשטח, ולפעמים דרישה שממש ישבו אצלך פיזית, למרות שזה מיקור חוץ.

<עומר פרידמן: יש גם כלים טכנולוגיים.

<גילי בסמן ריינגולד: אתה רוצה לפרט את הכלים הטכנולוגיים?

<עומר פרידמן: יש גם כלים טכנולוגיים שאוספים מידע מהשטח ומנתחים אותו, ואם קרה משהו, הם יכולים להתריע.

<עומר פרידמן: שוב, עד כמה שאתה מוכן להשקיע - - -

אלעזר שטרן: אתה מדבר ממש על אמצעי מעקב.

<גילי בסמן ריינגולד: אתה מוכן להשקיע עד כמה שנחוץ, בשים לב לרגישות של המידע.

אלעזר שטרן: אתה מדבר ממש על אמצעי מעקב שלבעל המאגר תהיה ביקורת און-גואינג.

<עומר פרידמן: בארגונים הגדולים יש היום מערכות שהם יכולים לשים אצלו איזו תכנה, או אפילו חומרה שתאסוף אינפורמציה מהשטח.

<עומר פרידמן: כי אם לאותו גורם שבמיקור חוץ אין משאבים טכנולוגיים – פשוט לאסוף אליהם את המידע ולנתח אותו אצלם, או לחילופין לצאת לביקורות בשטח, או לחייב אותם לקבל דוחות שבועיים, חודשיים.

<ליאת בן מאיר שלום: יכול להיות מגוון גדול מאוד.

<ליאת בן מאיר שלום: כמו שאתם רואים, זה בהיקף הנדרש בשים לב לסיכונים האמורים.

<ליאת בן מאיר שלום: זאת אומרת, זו פונקציה של היקף המידע שניתנת אליו גישה שמועבר, מידת הרגישות שלו, סוג הגישה שניתנת, וכולי.

<ליאת בן מאיר שלום: כל הדברים האלה מאפיינים את היקף הסיכון, ובהתאם לזה, מה שנדרש.

<ליאת בן מאיר שלום: לפעמים ידרשו על דיווחים על אירועים – יכול להיות מגוון שלם של - - -

אלעזר שטרן: אני אחדד את השאלה שלי.

אלעזר שטרן: ככל שמדובר על גורם – בעל המאגר הוא לא גורם מקצועי.

אלעזר שטרן: נניח שהסיבה שבגינה הוא מוציא את העניין החוצה למיקור חוץ - - -

<ליאת בן מאיר שלום: אבל מהמקרים הגדולים – דווקא התופעה שאנחנו רואים - - -

אלעזר שטרן: שנייה.

אלעזר שטרן: נניח שאני בעל חברה למזון כלבים ויש לי מאגרי מידע.

אלעזר שטרן: אני לא מבין בזה שום דבר ואני יוצא למיקור חוץ, אני פונה לחברת אבטחת מידע שתיתן לי שירות, שתתפעל את זה לפי התקנות וכולי.

אלעזר שטרן: איך אתם רואים שאני אמור לפקח על אותו גורם?

אלעזר שטרן: הרי אין לי את הידע המקצועי.

אלעזר שטרן: לכן פניתי אליו, כי אין לי את הידע המקצועי.

אלעזר שטרן: איך אתם מצפים שאני אפקח אחריו?

<עומר פרידמן: אני חברה, ואני מוציא את המשכורות שלי ל"חילן" כי אני לא יודע לעשות משכורות חודשיות.

<עומר פרידמן: אני לא מדבר על אנשי אבטחת המידע שאני צריך לפקח עליהם.

<עומר פרידמן: אני לא אפקח על מי שאמור לבדוק אותי.

<עומר פרידמן: אבל כמו שאני בנק ויש לי 300 סניפים ואני שולח נציגי אבטחת מידע לסניפים לבדוק את אבטחת המידע.

<עומר פרידמן: מבחינתי, מי שהוצאתי אליו את המידע שלי למיקור חוץ הוא כמו סניף, והאחריות שלי היא כמו העובדים שלי בסניף והמערכות בפנים.

אלעזר שטרן: אבל אני לא יודע לבדוק אותו.

אלעזר שטרן: הוצאתי את זה אליו כי אין לי את המידע.

רויטל סויד: נכון.

רויטל סויד: איזה יכולת יש לך לפקח עליו?

<עומר פרידמן: אז אני אשלח יועץ אבטחת מידע מטעמי, אפילו פרילנס, לביקורת פעם בשנה.

<רפאל פרנקו: אגף האסדרה ברשות בדיוק אמון על אסדרה של מספר נותני שירותים – מיהו יועץ אבטחת מידע, מיהו מומחה אבטחת מידע, מי רשאי לתת שירותים, מיהו ספק ונותן שירותים, איזה שירותים המדינה נותנת להם.

<רפאל פרנקו: זה בדיוק מה שאגף האסדרה ברשות הסייבר אמור לעשות כדי שכשאתה תלך לגורם שלישי לקבל שירותים, תוכל לדעת בצורה טובה שהוא נותן את השירות באיכות שאתה מצפה לקבל, כי אין לך היום את היכולת לבדוק.

<רפאל פרנקו: זה בדיוק מה שעושה אגף אסדרה ברשות הסייבר.

אלעזר שטרן: בסדר, אבל זה נותן לי את כרטיס הכניסה הראשוני במובן שאני אומר אני יודע שהגורם אמין.

<רפאל פרנקו: וגם השירות.

<רפאל פרנקו: גם הספק וגם השירות.

אלעזר שטרן: נכון, אבל מבחינת אלמנט הפיקוח שמדובר עליו בתקנות, איך אני אמור לפקח עליו?

<רפאל פרנקו: אתה האזרח?

<רפאל פרנקו: אתה מקבל השירות?

אלעזר שטרן: אני בעל המאגר מקבל השירות.

אלעזר שטרן: אני קיבלתי מכם תו תקן חותמת שהוא גורם אמין ורציני, ולכן הלכתי אליו.

אלעזר שטרן: אבל עכשיו איך אני אמור לפקח עליו?

<רפאל פרנקו: אתה לא אמור לפקח עליו.

<רפאל פרנקו: המדינה מבצעת את ההנחיה ואת הפיקוח.

אלעזר שטרן: בתקנות כן כתוב שאני צריך לפקח.

<גילי בסמן ריינגולד: אתה תנקוט אמצעי בקרה ופיקוח שיכולים להיות - - -

<רפאל פרנקו: הרי אתה לא באמת יכול לפקח על מומחה אבטחת מידע שנותן לך שירות.

<רפאל פרנקו: הרי אם היית מבין - - -

<גילי בסמן ריינגולד: לא נכון.

<גילי בסמן ריינגולד: זה לא נכון.

<גילי בסמן ריינגולד: זה תלוי בגוף ובסוג מיקור החוץ.

<גילי בסמן ריינגולד: אני אתן דוגמה.

<גילי בסמן ריינגולד: למשל דווקא הגורמים הגדולים שעושים מיקור חוץ להרבה מאוד גופים במשק, בין אם הם גדולים ובין אם קטנים, והיות שהם יודעים, עוד לפני התקנות, שיש הרבה מאוד גופים שרוצים לבוא ולפקח עליהם, לא מתאים להם שיבואו 20,000 גופים לפקח.

<גילי בסמן ריינגולד: אז למשל הם מודיעים ללקוחות שלהם, אלה שמשתמשים בשירותי מיקור חוץ, אני ממנה בודק חיצוני, את X, Y, Z, לעשות לי בדיקות תקופתיות, ואני מפרסם לכם את החלק בדוח שנוגע לכם.

<גילי בסמן ריינגולד: הם מבינים מעצמם שהם צריכים, כחלק מהחבילה שהם נותנים, לתת גם את השירותים של הדיווח ושל הבקרה, ובמקרה הזה מתהפך הנטל והגוף עצמו מראש מכסה לך על הצורך הזה.

<גילי בסמן ריינגולד: אם אתה מתאר את אותו גוף קטן, יכול להיות - - -

אלעזר שטרן: במקרים שזה קורה.

<גילי בסמן ריינגולד: בסדר, זה לא משנה מי קנה את מיקור החוץ, הגוף שנותן את מיקור החוץ מספק להרבה מאוד לקוחות במשק.

<גילי בסמן ריינגולד: אבל בכל מקרה, אם אתה אותו גוף קטן, או אותה חנות לממכר מזון, כנראה שהסיכונים האלה פחותים יותר.

<גילי בסמן ריינגולד: יכול להיות שבמקרה הזה אפשר יהיה להסתפק באמצעי בקרה ופיקוח שהם הסכמיים, ובהסכם תהיינה הצהרות ותהיה התחייבות לדווח על אירועי אבטחת מידע שנוגעים למידע שאתה ביקשת ממנו לעבד לך.

<גילי בסמן ריינגולד: אני לא רואה בזה קושי גדול יותר.

<רפאל פרנקו: גילי, הארגון רוכש את השירות מכיוון שאין לו את היכולת לעשות את זה לרוב בעצמו.

<רפאל פרנקו: אנחנו נתקלנו לא מעט – ולרוב נתקלנו בנותני שירותים שרמת השירות שלהם היא נמוכה.

<רפאל פרנקו: מדובר פה בכשל שוק שבין היתר, התפקיד של רשות הסייבר הוא לצמצם את כשל השוק.

<רפאל פרנקו: לפרוטוקול, בתפקידי הקודם-קודם, כמנהל יחידת הביקורת של רא"מ, הגענו לגופי ענק – לגופי ענק – שהיו להם יועצים טובים, וראינו שם כשלים גדולים.

<רפאל פרנקו: היום כשאני נמצא בתפקיד באגף האסדרה, התפקיד שלנו הוא לייצר סטנדרט לאומי ולמנוע את כשל השוק הזה, כך שגם האזרח, אבל גם חברות גדולות, יקבלו שירות איכותי.

<רפאל פרנקו: התפקיד שלנו הוא לתקנן אותם ולוודא שהשירות שניתן על-ידי הספקים האלו הוא באיכות טובה.

<רפאל פרנקו: זה לא סותר, להיפך, זה רק מוסיף.

<גילי בסמן ריינגולד: מצוין.

אלעזר שטרן: מבחינת

אלעזר שטרן: כם זה מספק, מה שאמר עכשיו פרקו?

אלעזר שטרן: אם אין לי מידע בזה, אני באמת לא יודע שום דבר, אני מסתכל באתר האינטרנט שלהם ואני רואה שיש שם רשימה של גופים שנבדקו על-ידם ונמצאו מצוינים, אמינים, בשירות ובאיכות וכולי?

<ליאת בן מאיר שלום: אתה תקבל מהם דיווח על אירועים חריגים, כמו שבהרבה הקשרים אחרים גם - - -

אלעזר שטרן: מעבר לזה, איך אתם - - -

<גילי בסמן ריינגולד: אני ארצה שבהסכם אתה תכתוב – כי אולי היום אתה לא כותב את זה, כי זה פחות מעניין אותך, השאיפה היא שהתקנות האלה ירימו את כל הסטנדרט של השוק ברגע שהן יהפכו לדרישות רגולציה - - - של קוני השירותים וגם של ספקי השירותים.

<גילי בסמן ריינגולד: אני אצפה שבהסכם אתה תבקש ממנו לדווח על כל אירוע חריג שקורה במידע שלך, זה משהו שלא מופיע היום בהסכמים.

אלעזר שטרן: וזה מבחינת

אלעזר שטרן: כם נחשב אמצעי בקרה ופיקוח?

<גילי בסמן ריינגולד: זה יהיה אמצעי בקרה.

<גילי בסמן ריינגולד: ברגע שאתה תדע, אתה תצטרך להחליט מה אתה עושה עם המידע שנפגע או שהופץ.

אלעזר שטרן: עומר דיבר על דברים שהם הרבה יותר משמעותיים, כמו ללכת לביקורות - - -

<ניר יעקב גרסון: שוב, השאלה היא, אלעזר, לגבי איזה סוג מאגר?

<ניר יעקב גרסון: אם אתה מחזיק מאגר ענק של ממכר רפואי - - -

אלעזר שטרן: אני מדבר על הדברים הקטנים.

<קריאה: אתה דיברת על משהו אזוטרי.

<ניר יעקב גרסון: מוכר מזון הכלבים – זה יספיק.

אלעזר שטרן: על הקטנים – בעל עסק.

<ניר יעקב גרסון: מוכר מזון לכלבים, בעיקרון זה יספיק.

<ליאת בן מאיר שלום: עצם זה שהוא קטן זה לא אומר שהמאגר שלו הוא לא רגיש.

אלעזר שטרן: את צודקת, אני אסייג את הדברים שלי.

אלעזר שטרן: הכוונה היא לגורם יחסית קטן-בינוני, שאין לו את הידע המקצועי בשביל לבדוק את מי שהוא מבקש ממנו את השירות.

<ליאת בן מאיר שלום: בסדר, אבל דיווחים למשל זה לא משהו שאתה צריך לו את הידע המקצועי.

<ליאת בן מאיר שלום: הרמה של אמצעי הבקרה והפיקוח תלויים בהיקף הסיכון.

<ליאת בן מאיר שלום: היקף הסיכון הוא נגזרת של כמה וכמה פרמטרים.

<ליאת בן מאיר שלום: היקף נושא המידע הוא רק אחד מהם.

<עומר פרידמן: אני אתן דוגמה.

<עומר פרידמן: זה לא שונה מעולם החשבונאות.

<עומר פרידמן: את כל המידע הפיננסי שלך – 90% מהאוכלוסייה, לפחות כל העוסקים הקטנים-הבינוניים, מוציאים את המידע הפיננסי שלהם הכי רגיש שלהם לרואה החשבון.

<עומר פרידמן: אתה לא רוצה שמרואה החשבון שלך המידע הזה יצא החוצה, נכון?

<עומר פרידמן: מן הסתם, זה מידע אישי.

<עומר פרידמן: זה אפילו לא חברה, והיית רוצה שלאותו רואה חשבון יהיה סטנדרט של הגנה על המשרד.

<עומר פרידמן: אני יכול להגיד שמצאנו עשרות רואי חשבון שכל המידע של כל הלקוחות שלהם חשוף לאינטרנט בחודשים האחרונים.

<עומר פרידמן: אז אני לא רואה פה איזושהי - - -

אלעזר שטרן: השאלה שלי לא הייתה על הצורך.

אלעזר שטרן: השאלה שלי היא איך בפועל הוא אמור לעשות פיקוח.

<גילי בסמן ריינגולד: במקרים האלה, כנראה באמצעות כלים הסכמיים.

<עומר פרידמן: כנראה שרצוי שתבקר שם.

רויטל סויד: איזה כלים?

<גילי בסמן ריינגולד: בהסכם, בהתחייבויות בהסכם.

<אלון בכר: אתה מוודא כשאתה קונה את השירות שהוא עומד בסטנדרט.

<אלון בכר: מה שפרנקו דיבר עליו – מצוין.

<אלון בכר: אם מישהו יסדיר את התחום ויגיד למי יש רישיון לעסוק בתחום הזה, והם אולי יעשו בקרות על ספקים נותני שירותים לאנשים פרטיים וגורמים אחרים, מצוין.

<אלון בכר: זה אומר שקנית ממישהו כזה, ובאתר של הרשות הלאומית להגנת הסייבר יהיה כתוב שנעשתה ביקורת תקופתית והם עומדים בסטנדרט הגבוה שיהיה בתורה הלאומית להגנה, מצוין.

<רפאל פרנקו: לכן אמרתי, זה משלים.

<אלון בכר: אתה כותב בהסכם שאתה מחויב לעמוד בסטנדרט ובתקנות, וזה המקצוע שלהם, מישהו אחר בודק ומחזק את זה, וגם מעדכן את הרשימה מי כן ומי לא – מצוין.

<קריאה: ויש גם אפשרות לדיווחים בנוסף.

רויטל סויד: בסדר?

רויטל סויד: טוב.

רויטל סויד: 16.

אלעזר שטרן: "ביקורות תקופתיות – 16.

אלעזר שטרן: (א) במאגר מידע שחלה עליו רמת האבטחה הבינונית או הגבוהה, בעל המאגר אחראי לכך שתיערך, אחת ל-24 חודשים לפחות, ביקורת פנימית או חיצונית, על ידי גורם בעל הכשרה מתאימה לביקורת בנושא אבטחת מידע שאינו ממונה האבטחה של המאגר, כדי לוודא את עמידתו בהוראות תקנות אלה.

אלעזר שטרן: (ב) בדוח הביקורת ידווח המבקר על התאמת אמצעי האבטחה לנוהל האבטחה ולתקנות אלה, יזהה ליקויים ויציע אמצעים הדרושים לתיקון המצב.

אלעזר שטרן: (ג) בעל מאגר המידע ידון בדוחות הביקורת שיועברו לו, ויבחן את הצורך בעדכון מסמך הגדרות המאגר או נוהל האבטחה בעקבותיהם.

אלעזר שטרן: (ד) בעל מאגר מידע שחלה עליו רמת האבטחה הגבוהה, רשאי לקיים את החובה הקבועה בתקנה זו במסגרת עריכת סקר סיכונים שמתקיים בו האמור בתקנת משנה (ב).

אלעזר שטרן: (ה) ארגון שהוא בעל כמה מאגרי מידע, רשאי לקיים את החובה הקבועה בתקנה זו במסגרת ביקורת אחת לעניין כל מאגרי המידע שברשותו, המצויים באותה רמת אבטחה".

<גילי בסמן ריינגולד: אני חושבת שהלשון של התקנה די ברורה.

<גילי בסמן ריינגולד: החובה במאגרים שהם ברמת אבטחה בינונית או גבוהה לערוך ביקורת.

<גילי בסמן ריינגולד: התדירות של הביקורת צריכה להיות אחת לשנתיים לפחות.

<גילי בסמן ריינגולד: הביקורת יכולה להיות פנימית או חיצונית, אבל אם היא פנימית, היא לא יכולה להיעשות על-ידי ממונה האבטחה של המאגר עצמו, שזה ברור, הוא לא יכול לבקר את עצמו.

<גילי בסמן ריינגולד: דרישה שמי שמבקר יהיה בעל הכשרה מתאימה.

<גילי בסמן ריינגולד: לדון ולהפיק לקחים מאותם ממצאים של הביקורת.

<גילי בסמן ריינגולד: ההקלה, כמו שעשינו בסקרי סיכונים, למי שיש לו כמה מאגרים.

<גילי בסמן ריינגולד: זה הכול.

<ליאת בן מאיר שלום: הקלה נוספת כשמדובר ברמת אבטחה גבוהה, ואז יש גם חובה לעריכת סקר סיכונים.

<ליאת בן מאיר שלום: ניתן לעשות את זה יחדיו, זה במסגרת תקנת משנה (ד).

רויטל סויד: מישהו רוצה להתייחס?

רויטל סויד: תקנה 17.

אלעזר שטרן: "שמירת נתוני האבטחה – 17.

אלעזר שטרן: (א) בעל מאגר מידע ישמור את הנתונים הנצברים במסגרת יישום הוראות תקנות 6(ב), 8 עד 11, 14, 15(א)(4) ו-16, ככל שתקנות אלה חלות עליו, באופן מאובטח למשך 24 חודשים.

אלעזר שטרן: (ב) במאגר מידע שחלה עליו רמת האבטחה הבינונית או הגבוהה, בעל המאגר יגבה את הנתונים שנשמרו כאמור בתקנת משנה (א), באופן שיבטיח שניתן יהיה, בכל עת, לשחזר את הנתונים האמורים למצבם המקורי".

<ליאת בן מאיר שלום: אגב היישום של התקנות המצוינות כאן נצבר מידע, נצברים נתונים.

<ליאת בן מאיר שלום: הצורך בשמירה שלהם הוא כפול – גם בשביל לבדוק בדיעבד ליקויים או אירועים, וגם כי הם כשלעצמם יכולים להיות רגישים מבחינה אבטחתית.

רויטל סויד: יש התייחסות?

רויטל סויד: 18.

אלעזר שטרן: "גיבוי ושחזור – 18.

אלעזר שטרן: (א) במאגר מידע שחלה עליו רמת האבטחה הבינונית או הגבוהה, יקבע בעל המאגר במסמך - (1) נהלים לביצוע גיבוי כאמור בתקנה 17(ב), באופן תקופתי שגרתי; (2) נהלים, להבטחת שחזור הנתונים כאמור בתקנה 17(ב), ובלבד שביצוע השחזור יהיה באישור מנהל המאגר; (3) כי במסגרת תיעוד אירועי אבטחה כאמור בתקנה 11, יתועדו גם הליכי שחזור המידע, ובכלל אלה – זהותו של מי שביצע את הליכי השחזור ופרטי המידע ששוחזר.

אלעזר שטרן: (ב) במאגר מידע שחלה עליו רמת האבטחה הגבוהה, בעל מאגר אחראי לכך שיישמר עותק הגיבוי של הנתונים האמורים בתקנה (א)(1) ושל הנהלים כאמור בתקנת משנה (א)(2), באופן שיבטיח את שלמות המידע ואת אפשרות השחזור של המידע במקרה של אבדן או הרס".

<ליאת בן מאיר שלום: זו ההשלמה של תקנה 17, גיבוי של אותם נתונים שדיברנו עליהם קודם, כך שגם אם תהיה התקפה או תקלה, שהנתונים הללו יישמרו.

<ליאת בן מאיר שלום: יש החמרה מבחינת הדרישה כאשר מדובר במאגר שחלה עליו רמת האבטחה הבינונית או הגבוהה.

רויטל סויד: מישהו רוצה להתייחס?

<סילבי חורב: בכל מקרה, אני מציעה שהעתק של הגיבוי לא יהיה באותו מקום.

<סילבי חורב: הוא חייב להיות במקום חיצוני לגמרי.

<ליאת בן מאיר שלום: זאת ההחמרה.

<ליאת בן מאיר שלום: זאת אחת האפשרויות.

<קריאה: זאת ההחמרה שלנו בהקשר של מאגר מידע שחלה עליו רמת האבטחה הגבוהה.

<יורם ביטון: צריך להזכיר כאן שכל הכללים שחלים על המאגר יחולו גם על הגיבוי.

<יורם ביטון: זה העתק של המאגר.

<ליאת בן מאיר שלום: זה לא העתק של המאגר.

<יורם ביטון: אז על מה אנחנו מדברים פה, על העתק נתוני האבטחה?

<ליאת בן מאיר שלום: אנחנו מדברים על נתוני האבטחה.

<ליאת בן מאיר שלום: אלו תקנות אבטחת מידע, ולכן הגיבוי שמדובר בו הוא גיבוי של הנתונים האבטחתיים ולא גיבוי של המאגר.

<יורם ביטון: זה לא כל כך ברור פה.

<ליאת בן מאיר שלום: זה ברור לגמרי.

רויטל סויד: אני גם לא הבנתי את זה.

<ליאת בן מאיר שלום: זה מפנה לתקנה 17.

אלעזר שטרן: זה מפנה לחובת הגיבוי שיש בתקנה 17(ב) ו-17(א).

<ליאת בן מאיר שלום: לכן אמרתי שזאת תקנה משלימה לתקנה 17, כי זה גיבוי של אותם נתונים שב-17 נאמר לגביהם.

אלעזר שטרן: אם תשימו לב, לכן שונה הניסוח.

אלעזר שטרן: תיקנו את הניסוח בסעיף 17(א), שמדבר על הנתונים הנצברים במסגרת יישום הוראות התקנות הספציפיות האלה, בשביל לחדד את זה שמדובר על נתונים שנצברים במסגרת היישום של אותן תקנות שעניינן אבטחת מידע.

אלעזר שטרן: לא מדובר על עותק של המאגר עצמו.

<סילבי חורב: איך מתחייבים לשחזר את זה אם זה בנפרד?

<סילבי חורב: אם עכשיו קרה כשל לוגי במערכת ויש לי גיבוי באיזשהו מקום בחוץ?

<עומר פרידמן: כשאנחנו עושים חקירות – המטרה שלנו כשאנחנו באים לפיקוח או חקירות בדיעבד – לא מעניין אותנו המערכות הפעילות, מעניין אותנו המידע שנשמר בלוגים, כך שאת לא צריכה לשחזר את המערכות שלך בשבילי, אני צריך את הלוגים.

<עומר פרידמן: הלוגים ממילא נשמרים בקבצים בנפרד ואין בעיה לשחזר אותם.

<עומר פרידמן: כל הרעיון הוא שכשנגיע לשטח או כשהחברה עצמה תרצה לנתח את האינפורמציה, שיהיה מידע ולא יגידו אבל לא הפעלנו את הלוג שישמור מידע, וגם לא מספיק שבועיים אחורה, אלא אנחנו דורשים שיהיה שנתיים אחורה.

<סילבי חורב: הסעיף הזה הוא אך ורק על הלוגים, הוא לא על הנתונים?

<עומר פרידמן: לא על הנתונים, אך ורק על הלוגים.

<סילבי חורב: זה ברור לך?

<סילבי חורב: לי זה לא היה ברור.

רויטל סויד: גם לי זה לא היה ברור.

רויטל סויד: ליאת, אולי תסבירי עוד פעם.

<ליאת בן מאיר שלום: אני אסביר שוב.

<בובי פנדריך: למה אי-אפשר לכתוב את זה?

רויטל סויד: אני גם לא הבנתי.

רויטל סויד: ליאת, תסבירי.

<גילי בסמן ריינגולד: כתבנו את זה בשפה של משפטנים.

רויטל סויד: יש גם משפטנים שלא הבינו פה.

<ליאת בן מאיר שלום: צריך לחזור אחורה תקנה אחת.

<ליאת בן מאיר שלום: תקנה 17 אומרת שכשמיישמים תקנות מסוימות, נוצרים נתונים.

<ליאת בן מאיר שלום: ניקח לדוגמה את התקנה הראשונה שמופיעה שם, את 6(ב), למשל נתוני כניסה ויציאה של העובדים.

<ליאת בן מאיר שלום: נוצרים נתונים.

<ליאת בן מאיר שלום: הנתונים האלה, הנתונים האבטחתיים - - -

<עומר פרידמן: עדיף שתקראי לזה לוגים.

<ליאת בן מאיר שלום: לא, זה לא רק לוגים.

<ליאת בן מאיר שלום: גם לוגים, לא רק.

<ליאת בן מאיר שלום: לדוגמה, יש כרטיס בכניסה לחדר, אז יש את הנתונים של כל מי שנכנסו באותו יום.

<רפאל פרנקו: זה לוג.

<ליאת בן מאיר שלום: זה גם לוג, מעולה.

<ליאת בן מאיר שלום: כל הנתונים שנוצרו אגב יישום התקנות שמנויות ב-17, תקנה 17 אומרת שצריך לשמור אותם באופן מאובטח למשך 24 חודשים.

<ליאת בן מאיר שלום: הסיבה היא כפולה – גם כדי להיות מסוגלים אחר-כך לתחקר ולבדוק בעיות, ליקויים, אירועים; וגם לפעמים כי לעצם הנתונים האלה יש רגישות אבטחתית.

<ליאת בן מאיר שלום: את אותם נתונים שאמרנו שצריך לשמור אותם ב-17, אנחנו אומרים תיצרו להם גיבוי.

<ליאת בן מאיר שלום: מכיוון שהם חשובים לנו מבחינה אבטחתית ותחקור, אנחנו רוצים שיהיה להם גיבוי.

<ליאת בן מאיר שלום: זה מה ש-18 אומר.

<עומר פרידמן: אין בכלל התלבטות לשמור את המידע, אבל יש התלבטות לשמור את הלוגים שמתעדים.

רויטל סויד: אני רוצה לשאול שתי שאלות לאור מה שחיה שאלה.

רויטל סויד: איפה הגיבוי של המאגר כולו?

רויטל סויד: שתיים - - -

<עומר פרידמן: כמו שעושים גיבוי למידע, צריך לדאוג לעשות גיבוי אודות המידע – מי ניגש למידע, מתי הוא ניגש למידע, איך הוא ניגש למידע.

<עומר פרידמן: את זה בדרך כלל לא שומרים.

<ניר יעקב גרסון: ולגבי הגיבוי של המאגר עצמו, נכון שהגדרת אבטחת המידע בחוק כוללת גם שמירת שלמות המידע.

<ניר יעקב גרסון: בתקנות האלה – בין השאר כי לא מצאנו לנכון לחייב משהו שלשוק יש אינטרס לעשות ממילא – לא התווינו דרך איך שומרים את המאגר עצמו.

<ניר יעקב גרסון: זו חובה שקיימת בחוק, ולארגונים יש אינטרס לעשות את זה מעצמם, השארנו את זה לעצמם.

<ליאת בן מאיר שלום: התמקדנו בנושאים של האבטחה של המידע, וזה דבר שהוא לא טריוויאלי בגלל שלא בהכרח יישמרו אותם נתונים, אותם לוגים.

<ליאת בן מאיר שלום: חשוב לנו שהם יישמרו.

רויטל סויד: בובי, מה לא היה ברור לכם?

<בובי פנדריך: שהם יתייחסו ללוגים.

<סילבי חורב: תראו מה יוצא מזה.

<סילבי חורב: יוצא מזה שאתם שמים את הדגש על הלוגים, ואומרים על המידע עצמו – שהוא הליבה של העניין – זה ברור לכל הדיוט.

<סילבי חורב: אז לא, בשביל זה אתם - - -

<ניר יעקב גרסון: זה כתוב בחוק.

<סילבי חורב: בשביל זה אתם הרגולטור, ואתם צריכים להגיד שכמו שאתם דורשים שאת הלוגים ישמרו בשני העתקים ל-24 חודשים, לפני כן, את המידע עצמו, בוודאי שצריך לשמור אותו בשני מקומות, ואולי יותר מ-24 חודשים.

<ניר יעקב גרסון: זאת בחירה של מתקין התקנות לא להיות במקרה הזה פטרנליסטי איפה שלא צריך, ולהשאיר את זה לשוק עצמו מהסיבות שמניתי קודם – כי החובה קבועה במפורש בחוק וכי יש לארגונים אינטרס.

רויטל סויד: אנחנו מסודרים?

<סילבי חורב: נגיד.

<בובי פנדריך: בהבנה כן, בהסכמה לא.

<סילבי חורב: בהסכמה לא, אבל בסדר.

אלעזר שטרן: "חובות בעל מאגר חלות על מנהל מאגר ומחזיק בו – 19.

אלעזר שטרן: (א) החובות החלות בתקנות אלה על בעל מאגר מידע, יחולו גם על מנהל המאגר, ולמעט החובות הקבועות בתקנות 2 ו-15(א) – הן יחולו גם על מחזיק המאגר, בשינויים המחויבים ולפי העניין.

אלעזר שטרן: (ב) מי שמוטלת עליו בתקנות אלה חובה או אחריות לביצוע פעולה שאינה יצירת מסמך, נדרש לתעד באופן סביר את אופן ביצוע הפעולה לפי העניין; הרשם רשאי לתת הוראות לעניין אופן תיעוד כאמור".

<ליאת בן מאיר שלום: יש פה שתי תקנות משנה שעוסקות בשני נושאים שונים.

<ליאת בן מאיר שלום: הראשונה אומרת את מה שהחוק אומר.

<ליאת בן מאיר שלום: חוק הגנת הפרטיות קובע את חובת אבטחת המידע על בעל מאגר מידע, על מחזיק ועל מנהל המאגר, וזה גם מה שאומרת התקנה.

<ליאת בן מאיר שלום: התקנות שהוחרגו מהמחזיק – תקנה 15(א) שהרגע דיברנו עליה, שחלה על הבעלים ביחס למחזיק.

<ליאת בן מאיר שלום: תקנה 2 כי מסמך הגדרות המאגר, אותו מסמך מכונן שדיברנו עליו בעבר – החשיבה בעל המאגר לגבי מה הוא עושה, איזה מידע הוא אוסף, לאיזה תכליות וכולי.

<ליאת בן מאיר שלום: בעל המאגר הוא זה שקובע את תכליות השימוש, ולכן זה לא רלוונטי למחזיק.

<ליאת בן מאיר שלום: תקנת משנה (ב) אומרת שכאשר יש כאן כל מיני חובות – יש חובות שסיומן הוא במסמך, אבל כאשר החובות האחרות סיומן הוא לא במסמך, אז צריך לתעד את ביצוע הפעולה, בין היתר, לצורך בקרה ופיקוח, וגם אם יש צורך להציג את זה לפני צד שלישי.

רויטל סויד: מישהו רוצה להתייחס?

רויטל סויד: הלאה.

אלעזר שטרן: קודם הייתה בקשה – האם גברתי היושבת-ראש רוצה לדון עכשיו בתקנה 20, או לחכות לישיבה הבאה, ולישיבה הבאה הם יבואו עם מזכרים, או לפחות דיווח לוועדה.

<איל זנדברג: לפחות שהדברים יבשילו, ואז כל השאלות שנשאלות פה יקבלו מענה ונחסוך את הזמן.

רויטל סויד: אני חושבת שאנחנו נתחיל, נקרא את התקנה, נשמע קצת.

<אלון בכר: יש עוד תוספות שהן מהות, ויכולות לסגור את החיבור לתקנות הקודמות.

אלעזר שטרן: יש לנו בדרך עוד כמה תקנות שצריך לעבור עליהן.

<אלון בכר: אם נדון גם בתוספות, זה ישלח אותנו חזרה גם להגדרות וגם לתקנות שכבר עברנו ולא מיצינו את כולן.

רויטל סויד: אתם רוצים שנדלג על סעיף 20, נעבור ל-21 ונחזור אליו?

<קריאה: אפשר להקדיש זמן לדיון אחד ב-20 - - -

<איל זנדברג: בסוף נצטרך להגיע לזה, ונגיע לזה מבושל יותר.

רויטל סויד: אז נדלג על 20 ונעבור ל-21.

אלעזר שטרן: "תחולה וסייגים לתחולה – 21.

אלעזר שטרן: בתקנות אלה - (1) על מאגרי מידע שחלה עליהם רמת האבטחה הגבוהה - יחולו כל הוראות התקנות; (2) על מאגרי מידע שחלה עליהם רמת האבטחה הבינונית - יחולו תקנות 1 עד 4, 5(א), (ד) ו-(ה), 6 עד 10, 11 עד 15, 16(א), (ב), (ג) ו-(ה), 17, 18(א), 19, 20, 22 ו-23; (3) על מאגרים שחלה עליהם רמת האבטחה הבסיסית - יחולו תקנות 1 עד 3, 4(א), (ב), (ג), (ה) ו-(ו), 5(א), (ד) ו-(ה), 6(א), 7(א) ו-(ב), 8, 9(א) ו-(ג), 11(א) ו-(ב), 12 עד 15, 17, 19, 20, 22 ו-23; (4) על מאגר המנוהל בידי יחיד - יחולו תקנות 11, 12, 6(א), 9(א), 11(א), 12 עד 14, 20 ו-22".

<ליאת בן מאיר שלום: זו תקנה שבסך הכול עושה סדר.

<ליאת בן מאיר שלום: בגלל שהתקנות מורכבות – יש בהן הרבה הוראות ויש חלוקה לרמות אבטחה, אז יש תקנה אחת שמסדרת על כל רמת אבטחה מהן התקנות שחלות.

<ליאת בן מאיר שלום: אין כאן מהות מעבר לזה.

רויטל סויד: תחילה.

אלעזר שטרן: "תחילה – 22.

אלעזר שטרן: (א) תחילתן של תקנות אלה, למעט כאמור בתקנות משנה (ב) עד (ד), 30 ימים מיום פרסומן.

אלעזר שטרן: (ב) תחילתן של תקנות 2, 3(1) עד (3), 10(א), 13(ב) ו-14 – 90 ימים מיום פרסומן.

אלעזר שטרן: (ג) תחילתן של תקנות 3(5), 5, 6(ב), 7(ב) ו-(ג), 10(ב) עד (ה), 11(א) עד (ד), 12, 13(ג), 15(א)(3), 17 ו-18 – שישה חודשים מיום פרסומן.

אלעזר שטרן: (ד) תחילתן של תקנות 4 ו-9(ב) – תשעה חודשים מיום פרסומן".

<גילי בסמן ריינגולד: זה עלה כאן בדיונים גם אתך וגם בדיונים בוועדה, ואנחנו חושבים לפשט ולהציע תחולה אחת ומאוחדת.

אלעזר שטרן: יש גופים שיידרש להם זמן ארוך יותר, אולי כדאי לקחת תאריך אחד לכל התקנות, במקום להיכנס לרזולוציה של התקנות האלה ואלה.

אלעזר שטרן: לקחת תאריך אחד.

<גילי בסמן ריינגולד: אנחנו מסכימים אתך ואנחנו חושבים שאפשר.

<ליאת בן מאיר שלום: אנחנו מוכנים לעשות את זה.

אלעזר שטרן: פרק זמן של תשעה חודשים, זה המקסימום שיש פה.

אלעזר שטרן: אז פרק זמן של תשעה חודשים, אולי שנה, אבל פרק זמן אחד שכל התקנות יחולו.

<גילי בסמן ריינגולד: אפשר אפילו להחליט על 12 חודשים כדי להיות קשובים לקולות שעלו כאן

<גילי בסמן ריינגולד: בנוגע לדרישות של היערכות השוק.

<ליאת בן מאיר שלום: כן, גם בדיון הראשון הייתה כאן אמירה שנדרש זמן.

<ליאת בן מאיר שלום: אומנם טיוטת התקנות הזאת בשטח כבר שנים, אבל אנחנו קשובים, שמענו את ההערה הזאת כבר בדיון הראשון, ואנחנו מוכנים גם לעשות את ההאחדה וגם להרחיב ל-12 חודשים.

<ניר יוגב: רציתי להתייחס.

<ניר יוגב: חלק מהסעיפים – כמובן שלא כולם, חלק אפשר ליישם בצורה מידית – אצלנו דורשים עבודה עצומה והשקעת משאבים גדולה מאוד.

<ניר יוגב: אני חושב ש-12 חודשים זה גבולי מאוד לגבי חלק קטן מהסעיפים.

<ניר יוגב: הייתי שמח אם היה אפשר להרחיב את זה מעט כדי - - -

רויטל סויד: על איזה סעיפים אתה מדבר?

<ניר יוגב: הסעיפים שקשים לנו ליישום באופן ספציפי – סעיף 10 ו-13.

<ניר יוגב: אם על כל השאר יחולו 12 חודשים ועל 10 ו-13 ייתנו עוד קצת זמן, זה יקל עלינו מאוד.

<איל זנדברג: הנחת העבודה הייתה שהגופים הגדולים הם כאלה שממילא, מאלף סיבות, מקיימים כבר את הסטנדרט.

<איל זנדברג: דווקא הגופים הגדולים לא אמורים להיערך, אלא לעשות התאמות.

<איל זנדברג: אני מופתע קצת מההערה.

<ליאת בן מאיר שלום: לא הבנתי, תקנה 13?

<ליאת בן מאיר שלום: באיזה הקשר תקנה 13?

אלעזר שטרן: דווקא תקנה 13 היא מאוד - - -

<ליאת בן מאיר שלום: מה נדרש להיערך?

<סילבי חורב: אמרת 10, לא?

<ליאת בן מאיר שלום: הוא אמר 10 ו-13.

<ניר יוגב: 13 באופן ספציפי זה 13(ג).

<ליאת בן מאיר שלום: 13(ג)?

<ליאת בן מאיר שלום: אתה יכול להסביר למה הכוונה?

<ליאת בן מאיר שלום: אין עדכונים של המערכות?

<ניר יוגב: יש עדכונים של המערכות, אבל ברגע שמדובר בחברות גדולות, לחלק מהחברות – כמו "סלקום" – יש הרבה מאוד מאגרי מידע שלא כולם יושבים באותו מקום.

<ניר יוגב: נדרש לבצע עבודת מיפוי גדולה מאוד.

<ניר יוגב: לפני שאנחנו מבצעים עדכון של מערכת, אנחנו נדרשים לסט גדול מאוד של בדיקות כדי לוודא שהעדכון של המערכות לא יגרום לנזק אבטחתי או אחר, ולכן כשמדובר בסדרה גדולה מאוד של מערכות וצריך למפות את כולן ולראות שכולן אכן מעודכנות, נדרש פרק זמן ארוך יותר בשביל לבצע את הדברים בצורה תקינה וכזו שלא תיצור איזשהו נזק.

רויטל סויד: ניר, אבל אם אנחנו מדברים על תחילה בעוד שנה, אפשר אולי לעשות איזשהו מאמץ, כי 12 חודשים זה מכובד, זה יפה.

רויטל סויד: בסדר?

<אלון בכר: אנחנו גם יצאנו מתוך הנחה, בהתייעצויות שלפני, שחלק גדול מאוד ממה שמפורט בתקנות האלה כבר היום קיים אצל רוב הגורמים, ומה שלא, לא נדרש לו יותר מכמה חודשים.

<אלון בכר: לכן גם היה הפירוט המודולרי הזה, שאנחנו מבינים מההערות שזה יעשה סדר אם יתחילו במועד אחד, ולכן אמרנו את מה שאמרנו.

<אלון בכר: תשעה חודשים זה היה הזמן שקיבלנו מהמומחים שלנו לכל דבר, גם אם יש דברים שאפילו לא קיימים, לא קיימים וצריך לעשות להם התאמות.

<רפאל פרנקו: דברים כאלה – סביר ומידתי.

רויטל סויד: חוה, זה השלב שאת צריכה להגיד חבר'ה, בתוך חודש אתם מתחילים.

<חוה בינשטוק: אני יודעת שמבחינה רגולטיבית, אם אתה מתחיל לתקן, זה כבר נחשב.

<חוה בינשטוק: אנחנו רוצים שאנשים יסיימו, אבל התחלתם - - -

<גילי בסמן ריינגולד: זה אפרופו התייעצויות עם עורכי דין.

<גילי בסמן ריינגולד: את זה תשאירי לייעוץ המשפטי.

<גילי בסמן ריינגולד: הדיון בהוראת המעבר מתייתר, כי גם שם התקופה הארוכה ביותר היא שנה ואנחנו מכסים את זה עם התחילה המאוחרת.

אלעזר שטרן: לגבי הוראת המעבר, רציתי לשאול לגבי מצבים של מיקור חוץ.

אלעזר שטרן: ככל שיש חוזים קיימים לתקופה ארוכה, האם אין צורך לקבוע הוראת מעבר?

אלעזר שטרן: נניח שבעל מאגר חתם על חוזה לתקופה של חמש שנים, אז גם אם התחילה תהיה בעוד שנה, מה תהיה המשמעות של זה מבחינת החוזה שהוא כבר חתם עליו, ועכשיו זה משנה לו – אם זה יחול על חוזים קיימים, לכאורה, זה ידרוש מהם לפתוח את החוזים.

<גילי בסמן ריינגולד: אני לא חושבת שזה ידרוש לפתוח את החוזים.

<גילי בסמן ריינגולד: אני לא חושבת שזה שונה מכל מצב אחר ששינוי בדין משפיע על עשרות נסיבות, ביניהן התקשרויות משפטיות.

<גילי בסמן ריינגולד: יכול להיות שיצטרכו לרענן את ההסכם.

<גילי בסמן ריינגולד: מי שמתעסק עם הרבה ספקים יצטרך למפות את המאגרים שלו ולראות איפה הוא צריך לעשות שינוי ולהכניס אותו, ויכול להיות שיהיה דין ודברים עסקי מי נושא בעלויות האלה כשאנחנו מדברים על הסכם קיים.

<גילי בסמן ריינגולד: השאיפה שלנו היא שהתקנות האלה יעלו את הסטנדרט בכל השוק, ואותם ספקים שממילא עכשיו ימצאו את עצמם צריכים לתקן לבקשת הלקוחות שלהם את ההסכמים, יציגו את הסטנדרט הזה כדי להראות שהם ספקים שעומדים בתקנות אבטחת המידע.

<אלון בכר: ההנחה שלנו היא שאיפה שזה לא מתאים, הספק ייתן הודעה ללקוחות: עשיתי התאמות ועכשיו זה מתאים.

<אלון בכר: זאת הנחת העבודה שלנו.

<אלון בכר: במידה שזה לא ייעשה, הלקוח יצטרך לבחור אם הוא פותח את ההסכם ומבקש להכניס תיקון, או מתקשר עם ספק אחר ואומר לו אתה לא עומד בסטנדרט, אני לא יכול להתקשר אתך.

אלעזר שטרן: מה זאת אומרת?

אלעזר שטרן: הוא כבר התקשר אתו.

אלעזר שטרן: הוא צריך להפר את החוזה?

<אלון בכר: כן, אבל בכל התקשרות כזו כתוב שאתה עומד בדרישות, אתה בהתאם לדין, ואתה עומד בסטנדרט המקובל.

<אלון בכר: אלו דברים שכתובים, אז אם הוא לא עומד יותר, בדרך כלל זו תהיה הפרה של ההסכם בעצם ההתנהלות שלו.

<אלון בכר: אנחנו מעריכים, מהיכרות עם השוק הזה, שיקרה בדיוק ההפך מזה.

<אלון בכר: כלומר, בעניין הזה גורמים שמספקים את השירותים יעשו את ההתאמות שלהם הרבה יותר מהר מאשר הלקוחות יבקשו מהם לעשות את ההתאמות.

<אלון בכר: זאת הנחת העבודה.

רויטל סויד: נקווה שכך יהיה.

<אלון בכר: וזה די הרבה זמן.

<אלון בכר: שנה זה לא מעט זמן לעשות הרבה דברים, בוודאי כשמה שהוא עושה, כלומר, שזה מה שהספק עושה.

<אלון בכר: שנה זה לא מעט זמן.

אלעזר שטרן: "ביטול – 24.

אלעזר שטרן: תקנות 2, 3, 9, 10, 12, 13, 14 ו-15 לתקנות הגנת הפרטיות (תנאי החזקת מידע ושמירתו וסדרי העברת מידע בין גופים ציבוריים), התשמ״ו- 1986 – בטלות".

רויטל סויד: ממתי הן בטלות?

<ליאת בן מאיר שלום: מהתחילה של התקנות הללו.

<ליאת בן מאיר שלום: אלו תקנות שעניין אבטחת מידע.

<ליאת בן מאיר שלום: אלה התקנות הקיימות.

אלעזר שטרן: "יחס לחיקוקים אחרים – 25.

אלעזר שטרן: תקנות אלה יחולו נוסף על הוראות בעניין אבטחת מידע בחיקוקים אחרים, זולת אם יש סתירה ביניהם".

<ליאת בן מאיר שלום: זו תקנה שמדברת על היחס - - -

<סילבי חורב: זה יחסים של הרגולטורים ושל - - -

<ליאת בן מאיר שלום: לא, לא, זה לא היחסים של הרגולטורים, זה היחס לחיקוקים אחרים.

<ליאת בן מאיר שלום: לפעמים יש הוראות מסוימות בתוך חוק או תקנות שעניינם אבטחת מידע.

<ליאת בן מאיר שלום: התקנה הזאת מבהירה שהתקנות הכלליות חלות בנוסף, אלא אם כן יש סתירה, ואז התקנות הפרטניות יגברו.

רויטל סויד: יש למישהו הערות על הסעיף?

אלעזר שטרן: שאלה, גברתי היושב-ראש, איך בדיוק לקרוא את זה עכשיו?

אלעזר שטרן: בעצם, מה שאנחנו קוראים עכשיו, את התוספת הראשונה והשנייה, הן קשורות גם להגדרה של בעל מאגר יחיד בתקנה הראשונה, שדילגנו עליה כי הכול שלוב אחד בשני.

אלעזר שטרן: האם את רוצה שנקרא עכשיו את התוספות?

<ליאת בן מאיר שלום: לא בדיוק.

<ליאת בן מאיר שלום: כלומר, הן מגדירות שתי רמות של - - -

אלעזר שטרן: נכון, אבל בעיני יש להסתכל כמכלול על הדרגות השונות.

רויטל סויד: מה האפשרויות?

אלעזר שטרן: אולי נקרא את זה עכשיו ואחרי זה נחזור – כדי לראות את היחס בין שלוש הרמות הגבוהות, בין הבסיסי לבינוני ובין הבינוני לגבוה.

אלעזר שטרן: אחרי זה נצטרך לחזור לתקנה הראשונה ולראות את היחס שבין היחיד לבסיסי.

רויטל סויד: טוב.

אלעזר שטרן: "תוספת ראשונה – 1 .

אלעזר שטרן: מאגרי מידע שחלה עליהם רמת האבטחה הבינונית - (1) מאגר מידע שמטרתו העיקרית היא איסוף מידע לצורך מסירתו לאחר כדרך עיסוק, לרבות שירותי דיוור ישיר; (2) מאגר מידע שבעליו הוא גוף ציבורי כמשמעותו בסעיף 23 לחוק, אף אם לא התקיימו בו הוראות פסקה (1) או (3); (3) מאגר מידע הכולל מידע שהוא אחד מאלה: (א) מידע על צנעת חייו האישיים של אדם, לרבות התנהגותו ברשות היחיד; (ב) מידע רפואי או מידע על מצבו הנפשי של אדם; (ג) מידע גנטי כהגדרתו בחוק מידע גנטי, התשס״א-2000; (ד) מידע על אודות דעותיו הפוליטיות או אמונותיו הדתיות של אדם; (ה) מידע על אודות עברו הפלילי של אדם; (ו) נתוני תקשורת כהגדרתם בחוק סדר הדין הפלילי (סמכויות אכיפה - נתוני תקשורת), התשס״ח-2007; (ז) מידע ביומטרי; (ח) מידע על נכסיו של אדם, התחייבויותיו הכלכליות, מצבו הכלכלי או שינוי בו, יכולתו לעמוד בהתחייבויותיו הכלכלית ומידת עמידתו בהם; (ט) הרגלי צריכה של אדם שיש בהם כדי ללמד על מידע לפי פרטים (א) עד (ז) או על אישיותו של אדם, אמונתו או דעותיו".

אלעזר שטרן: "2.

אלעזר שטרן: על אף האמור בפרט 1(3), על מאגר מידע המקיים אחד מאלה, לא חלה רמת האבטחה הבינונית אלא רמת האבטחה הבסיסית: (1) המאגר כולל מידע מן הסוגים המפורטים בפרט 1(3)(ב), (ה), (ו), (ז) לעניין תמונות פנים בלבד ו-(ח), אודות המועסקים או הספקים של בעל מאגר המידע, ובלבד שהמידע משמש למטרות ניהול העסק בלבד, ואינו כולל מידע מן הסוגים המפורטים בפרט1(3)(א), (ג), (ד) ו-(ז) לעניין מידע שאינו תמונות פנים; (2) מספר בעלי ההרשאה אצל בעל המאגר אינו עולה על עשרה".

אלעזר שטרן: "תוספת שנייה – מאגרי מידע שחלה עליהם רמת האבטחה הגבוהה - (1) מאגר מידע כאמור בפרט 1(1) או (3) בתוספת הראשונה, לרבות מאגר של גוף ציבורי כמשמעותו בסעיף 23(1) לחוק המקיים את האמור בפרטים (1) או (3), שיש בו מידע על אודות 100,000 אנשים ומעלה; (2) מאגר מידע כאמור בפרט 1(1) או (3) בתוספת הראשונה, לרבות מאגר של גוף ציבורי כמשמעותו בסעיף 23(1) לחוק המקיים את האמור בפרטים (1) או (3), שמספר בעלי ההרשאה בו עולה על 100".

<ליאת בן מאיר שלום: בדיון הראשון העקרוני הסברנו שניסינו לבנות את התקנות מודולריות לפי רמות אבטחה שונות.

<ליאת בן מאיר שלום: הסיכון למידע, ככל שהוא גובר, גם הדרישות מאותם בעלי מאגרים הם בהתאם.

<ליאת בן מאיר שלום: אם נפשט את זה, הפרמטרים מבוססים בעיקר על היקף נושאי המידע במאגר, מידת רגישות המידע והיקף בעלי ההרשאה.

<ליאת בן מאיר שלום: זה ברמת הפשטה נמוכה.

<ליאת בן מאיר שלום: אם ניכנס לבחון את מה שכתוב כאן, לגבי מאגר שבעליו הוא גוף ציבורי, אנחנו החמרנו, את זה אני רוצה להדגיש בהמשך לאיזושהי הערה שקיבלנו והבנו שיש כאן אי-הבנה.

<ליאת בן מאיר שלום: החמרנו במובן זה שגוף ציבורי יהיה לפחות ברמת אבטחה בינונית.

<ליאת בן מאיר שלום: אם יש ארבע רמות אבטחה, אנחנו כרגע מתמקדים בבינונית ובגבוהה, ואחר-כך, כמו שאמרת, נדבר על השאר.

<ליאת בן מאיר שלום: יש את היחיד, את הבסיסית, בינונית וגבוהה.

<ליאת בן מאיר שלום: כרגע אנחנו מדברים על הבינונית והגבוהה.

<ליאת בן מאיר שלום: מאגר מידע של גוף ציבורי יהיה לכל הפחות ברמת אבטחה בינונית, גם אם הוא לא - - -

רויטל סויד: עצם העובדה שהוא גוף ציבורי מקפיץ אותו.

<ליאת בן מאיר שלום: כן.

<ליאת בן מאיר שלום: אחרת הוא לא היה נכנס.

<ליאת בן מאיר שלום: כמובן שהוא יכול להיות גם בגבוהה.

<ליאת בן מאיר שלום: כאשר מדובר בסוחרי מידע, זאת אומרת, שהעיסוק של בעל העסק הוא לאסוף מידע כדי למסור אותו לאחר – סוחרי מידע זה כמובן משהו רגיש – גם הוא נמצא בבינונית לפחות.

רויטל סויד: ולא משנה מה.

רויטל סויד: עצם המהות של הסחר במידע.

<ליאת בן מאיר שלום: של הסחר במידע והסיכונים שנוצרים מזה.

<ליאת בן מאיר שלום: השלישי זה סוגי מידע שונים שיש בהם רגישות מיוחדת.

<ליאת בן מאיר שלום: מה שהיה כתוב קודם כמידע כלכלי בעקבות ההערות והעבודה מול הלשכה המשפטית, אנחנו הסברנו את זה.

<ליאת בן מאיר שלום: בדרך של הפירוט הזה הוצאנו דברים שהם לא באמת רגישים ואולי יכולים להיות מובנים כמידע כלכלי.

<ליאת בן מאיר שלום: כרגע הבהרנו שזה מידע שבלשון העם הוא כלכלי, זאת אומרת, של נכסים, חובות, התחייבויות וכולי; או מידע אחר, כדוגמת הרגלי צריכה שמלמד מי אני.

<ליאת בן מאיר שלום: למשל פירוט כרטיס האשראי שלי יכול ללמד מה האמונה הדתית שלי, מה הנטייה המינית שלי, מה מצבי האישי וכולי.

<ליאת בן מאיר שלום: מיעטנו מתוך מאגרי המידע שנכנסים לרמה הבינונית בגלל רגישות - - -

רויטל סויד: סליחה.

רויטל סויד: מספיק שאחד הרכיבים של סעיף קטן (3) יחולו במאגר – אחד מהם יספיק – כדי להעלות אותו למאגר עם רמת אבטחה בינונית.

<ליאת בן מאיר שלום: כן.

<ליאת בן מאיר שלום: אם יש בו מידע שהוא מידע רגיש, אז הוא בבינונית, למרות - - -

רויטל סויד: אם יש למשל לאיזושהי מפלגה קובץ של שמות החברים שלה, זהו, ובאופן טבעי, יש פה מידע אודות דעותיו הפוליטיות של האדם הזה, כי הוא חבר באותה מפלגה – יש רק את השם, כבר זה הופך - - -

<גילי בסמן ריינגולד: זה לא רק השם, זה גם האפיון שהוא חבר המפלגה.

<ליאת בן מאיר שלום: זה לא רק השם, זה בעצם זה שאלו הדעות הפוליטיות שלו, כן.

<סילבי חורב: גם יש מעל 100,000.

<סילבי חורב: יש מעל 100,000, זה ישר נכנס ל - - -

<ליאת בן מאיר שלום: האפיון של המאגר הוא זה ש - - -

<איל זנדברג: זה חל גם על מפלגה קטנה.

רויטל סויד: אני מכירה מפלגה אחת, שאני במקרה נמנית עליה, שלא מגיעה עדיין ל-100,000.

רויטל סויד: היא תגיע.

רויטל סויד: הייתה פעם.

<איל זנדברג: לא כל האנשים הולכים ברחוב ואומרים אני חבר מפלגה או מזוהה, ויש אנשים שרוצים לעשות את זה בדרך אחרת, זה מידע עם רגישות.

<ליאת בן מאיר שלום: כן, דעות פוליטיות זה דבר בעל רגישות, והאפיון של המאגר הוא אפיון של הדעות הפוליטיות.

<ליאת בן מאיר שלום: זה כמו שיכול להיות שבמאגר יהיו רק שמות של נשאי איידס, אבל זה שזה האפיון שלו, זה המידע הנוסף.

<ליאת בן מאיר שלום: אבל יש כוכבית על מה שאמרנו כי כן מיעטנו.

<ליאת בן מאיר שלום: בשני מקרים הורדנו לעשרה - - -

רויטל סויד: אני רוצה להבין.

רויטל סויד: התפיסה הפוליטית שלך היא אולי סוד, אבל לבית כנסת מסוים יש מאגר של החברים בקהילה.

רויטל סויד: יש את השמות של המשפחה שם, אז בין היתר, זה גם לגבי האמונה הדתית של אותו אדם.

רויטל סויד: זה הופך את זה מיד למאגר ברמת אבטחה - - -

<ליאת בן מאיר שלום: קודם כל, לא בטוח שזה יהיה בכלל מאגר מידע.

רויטל סויד: אבל לכל קהילה, לכל בית כנסת יש נתונים של החברים.

<ליאת בן מאיר שלום: השאלה לכמה יש הרשאות.

<ליאת בן מאיר שלום: יכול להיות שהם יכנסו לחריג של – בית כנסת כנראה לא יהיה פה.

<ליאת בן מאיר שלום: אם תרשי לי לפרט את הכוכבית הזאת, הורדנו חזרה לרמת האבטחה הבסיסית בשני מקרים.

<ליאת בן מאיר שלום: מקרה אחד, שהוא בטח יהיה רלוונטי למקרה שתיארת עכשיו, שמספר בעלי ההרשאה של בעל המאגר אינו עולה על עשרה.

אלעזר שטרן: אם בדוגמה שאת נתת תהיה רק לגבאי או לעוזר שלו תהיה גישה, אז הוא לא ייכלל ברמה הבינונית אלא ברמה הבסיסית.

<איל זנדברג: זה מצחיק, כי הדוגמה של בית כנסת עלתה בדיונים הפנימיים שלנו.

<ליאת בן מאיר שלום: החריג השני שמוריד חזרה לרמת האבטחה הבסיסית – הסתכלנו על סוגי מידעים שנמצאים באופן טריוויאלי בעסקים לגבי העובדים או לגבי הספקים, ומיעטנו אותם ככל שהם לא רגישים מאוד.

<ליאת בן מאיר שלום: לדוגמה, יש הרבה פעמים מידע על עבר פלילי של עובדים שלך, לא על צדדים שלישיים, תמונות פנים של העובדים וכולי.

אלעזר שטרן: אישורי מחלה.

<ליאת בן מאיר שלום: כן, אישורי מחלה.

<ליאת בן מאיר שלום: את זה מיעטנו.

<ליאת בן מאיר שלום: כשזה על המועסקים או הספקים וזה משמש למטרות ניהול העסק בלבד, מיעטנו את זה, ואז זה חוזר חזרה לרמת האבטחה הבסיסית.

<ליאת בן מאיר שלום: אשר לרמת האבטחה הגבוהה, אם דיברנו קודם על הפרמטרים של רגישות, היקף נושא מידע והיקף בעלי ההרשאה, כאשר היקף נושאי המידע הוא גבוה, 100,000 אנשים ומעלה, זה מקפיץ לרמה הגבוהה, ובאותה מידה, כאשר מספר בעלי ההרשאה עולה על 100.

רויטל סויד: זאת אומרת שגם אם ניקח את אותה מפלגה, שיש לה את המאגר עם החברים בה, מספיק שמספר בעלי ההרשאה לא יעלה על עשרה כדי שהיא תרד לרמת אבטחה בסיסית?

<ליאת בן מאיר שלום: כן.

<ליאת בן מאיר שלום: באופן ספציפי, לגבי מפלגות אני לא בטוחה.

<ליאת בן מאיר שלום: יכול להיות שיש גם הסדרה פרטנית.

<ליאת בן מאיר שלום: אני זוכרת שיש הסדרה פרטנית לגבי מסירת מידע, אבל אני צריכה לבדוק את זה.

<ליאת בן מאיר שלום: יכול להיות שיש דין פרטני לגבי הנושא הזה, אבל בהקשר של התקנות שלפנינו, כן, זאת המשמעות.

<ליאת בן מאיר שלום: אלו שתי הרמות הגבוהות.

רויטל סויד: באותה מידה, אם אני פסיכיאטר שיש לו מידע רפואי על מצבו הנפשי של האדם, מספיק שבעלי הרשאה שיכולים לגשת למידע לא יעלו על עשרה כדי להוריד אותו מרמת אבטחה בינונית לרמת אבטחה בסיסית?

<קריאה: כן.

רויטל סויד: שיש לו מידע סופר רגיש.

<ניר יעקב גרסון: כן, המידע רגיש.

<ניר יעקב גרסון: הרעיון מאחורי הוא זה שלצד הרגישות, למספר מורשי הגישה יש השלכה משמעותית על אבטחה.

<ניר יעקב גרסון: זאת אומרת, ארגון קטן מאוד – הרי אנחנו לא פוטרים אותו, גם הרמה הבסיסית היא רמה שיש בה הרבה הוראות.

<ניר יעקב גרסון: אבל עצם מספר מורשי הגישה מייצרים סיכון, כשמדובר בפסיכיאטר הבודד והמזכירה שלו, שלא נמצא.

רויטל סויד: ניר, עשינו את זה עם מאגר יחיד.

רויטל סויד: לקחנו אז את אנשי המקצועות החופשיים – מהקוסמטיקאית, עד רואה החשבון.

רויטל סויד: פה אתם אומרים המידע פה הוא כל כך רגיש, מידע על מצב נפשי של אדם הוא מידע רגיש מאוד, שלא לדבר על דברים אחרים שהם צנעת חייו האישיים של אדם.

רויטל סויד: בעצם אתם מורידים אותם חזרה לרמת אבטחה אחרת רק בגלל - - -

<גילי בסמן ריינגולד: אבל הסדרת האבטחה הזאת באה לידי ביטוי בעיקר בביקורות, בדיונים של ההנהלה.

<גילי בסמן ריינגולד: או שהתיק כבר מעל עשרה מורשים ותחזרי לבינונית ומעלה, או שהאבטחה, המיפוי, ואמצעי הבקרה – הדברים האלה מתקיימים ברמה הבסיסית.

<גילי בסמן ריינגולד: את לא באמת פוגעת פגיעה אמתית באבטחת המידע, אלא יותר בנהלי העבודה.

אלעזר שטרן: הקפיצה המרכזית ברמת החובות בין היחיד לבסיסי.

<ליאת בן מאיר שלום: למען האמת, כשהפסיכולוג היה היחיד לגמרי, זאת אומרת כאשר רק הוא ניגש למידע, מלכתחילה, בנוסח הקודם זה בכלל היה יחיד, שאז זו תחולה מצומצמת מאוד.

<ליאת בן מאיר שלום: נשמעה כאן הערה בדיון הראשון, אם אני לא טועה, על-ידי עורך דין קלינגר, בעניין הזה, ואנחנו חושבים שהיא נכונה ומוצדקת, ושינינו בהתאם.

<ליאת בן מאיר שלום: עוד קודם חשבנו שזה ביחיד.

<ליאת בן מאיר שלום: האמת היא בדיוקים, בדקדוקים, קשה לי להגיד לך שיש איזו אמת אחת.

<ליאת בן מאיר שלום: אנחנו כן עומדים מאחורי זה שאלו הפרמטרים בגדול – היקף נושאי המידע, מידת רגישות המידע והיקף המורשים בהקשר של אבטחת המידע.

<ליאת בן מאיר שלום: להגיד לך אם דווקא עשרה ולא שמונה – מתישהו צריך לשים איזשהו קו, אני לא יכולה לקדש דווקא - - -

<גילי בסמן ריינגולד: פה נכנסת תקנה 20, שמאפשרת לא רק להחריג מאגרים, כמו שעולה פה בשולחן כל הזמן, אלא גם לקבוע שמאגר מסוים, למרות שחלה עליו רמת אבטחה מסוימת, צריך לקפוץ ברמת האבטחה בדיוק באותם מקרים.

אלעזר שטרן: או לרדת.

אלעזר שטרן: לשני הצדדים.

<גילי בסמן ריינגולד: או לרדת.

<גילי בסמן ריינגולד: צריך לקבוע איזשהו קו, ונתנו אפשרות בתקנות לתת מענה למקרים הפרטניים.

<קריאה: רצינו להוסיף.

רויטל סויד: אנחנו נחזור להגדרת יחיד, אמרנו שנקרא את זה עכשיו.

<אלון בכר: אפשר שני משפטים?

<אלון בכר: אני קצת תקליט שבור, אבל אני חושב שאנחנו מדברים פה על רף מינימום.

<אלון בכר: כשמישהו מנהל מידע רגיש מאוד, אני מניח שהוא ילך לעורך דין חי או למישהו אחר, ישאל אותו מה אתה אומר?

<אלון בכר: הוא כנראה ימליץ לו לתת קצת יותר מהמינימום הנדרש, או לתת כל מיני אמצעים נוספים, כי הוא מנהל מידע רגיש מאוד, גם אם הוא לא חייב לפי התקנות לעשות את זה.

<אלון בכר: כי יש עוד שיקולים ויש עוד אינטרסים.

<אלון בכר: אנחנו מנסים לתת הגדרה מספיק רחבה כדי שלא נטיל איזה עומס בלתי נסבל על הציבור שלא רוצים להטיל עליו את העומס הזה.

<אלון בכר: זה מכניס לפינות ומקומות שבהם הם שמחים אולי להתקין תקנה ספציפית, אבל אי-אפשר להתקין תקנה ספציפית לכל מקצוע ולכל סוג מידע.

<אלון בכר: לכן זה אמור לתת מענה במובן הזה שאתה אומר לציבור זה המינימום, כשאתה מנהל מידע רגיש, אתה יכול לעשות יותר מהמינימום, ואולי גם כדאי שתעשה יותר מהמינימום.

<ליאת בן מאיר שלום: אלו הבינונית והגבוהה.

<ליאת בן מאיר שלום: הבסיסית זה כל מה שהוא לא בינונית, גבוהה או יחיד, ועכשיו נשאר לדבר על היחיד.

אלעזר שטרן: אנחנו חוזרים לתקנה 1, להגדרה של מאגר המנוהל בידי יחיד.

אלעזר שטרן: "״מאגר המנוהל בידי יחיד״ - מאגר מידע שמנהל יחיד או תאגיד בבעלות יחיד, ואשר רק היחיד ולכל היותר שני בעלי הרשאה נוספים רשאים לעשות בו שימוש ובאפשרותם לעשות בו שימוש, ולמעט מאגרי מידע כמפורט להלן: (1) מאגר מידע שמטרתו העיקרית היא איסוף מידע לצורך מסירתו לאחר כדרך עיסוק, לרבות שירותי דיוור ישיר; (2) מאגר מידע שיש בו מידע על אודות 10,000 אנשים ומעלה; (3) מאגר מידע הכולל מידע שבעל המאגר כפוף בשלו לחובת סודיות מקצועית לפי דין או לפי עקרונות של אתיקה מקצועית".

<ליאת בן מאיר שלום: אם כך, אנחנו קראנו בישיבה הראשונה הגדרה שהייתה שונה.

<ליאת בן מאיר שלום: אנחנו עשינו שינויים בעקבות הערות שעלו כאן.

<ליאת בן מאיר שלום: השינוי שעשינו עוד לפני הדיון הראשון מהנוסח שהוגש על-ידי השרה היה לכלול גם תאגיד בבעלות יחיד, זאת הייתה הרחבה אחת.

<ליאת בן מאיר שלום: זאת אומרת, שמענו כאן קולות שאמרו שצריך להקל על הנטל ככל שמדובר באותם קטנים מאוד.

<ליאת בן מאיר שלום: לכל אחד יש את הדוגמה שלו, הקוסמטיקאית – כל אחד והדוגמה שקרובה ללבו, ושצריך להקל על הנטל.

<ליאת בן מאיר שלום: שמענו את זה, ועשינו מעבר להרחבה הזאת הרחבה נוספת, שזה יחיד פלוס 2.

<ליאת בן מאיר שלום: זה משמעותי כי היקף החובות שחלות על מאגר כזה הוא בסיסי מאוד, אנחנו ערים לזה וניסינו ליצור איזון למול הנטלים – גם הנטלים בעלויות כספיות וגם הנטלים האחרים.

<ליאת בן מאיר שלום: מה שכן, מיעטנו מזה שלושה סוגים של מאגרים – אותם סוחרי מידע שדיברנו עליהם קודם; מאגר מידע גדול של 10,000 אנשים ומעלה.

<ליאת בן מאיר שלום: אנחנו חושבים שההיקף של נושאי המידע הוא כזה שלא ניתן להסתפק בדרישות של רמת האבטחה הזאת.

<ליאת בן מאיר שלום: ומה שאמרת קודם, גברתי היושבת-ראש, בהקשר של פסיכולוג, בעל מקצוע שיש לו חובת סודיות מקצועית.

<ליאת בן מאיר שלום: זאת גם ההערה שנשמעה בדיון הראשון, אנחנו חושבים שהיא מוצדקת.

<ליאת בן מאיר שלום: בהקשרים האלה, כאשר יש חובת סודיות פרטנית מקצועית, במקרים שבהם המחוקק ראה רגישות מיוחדת, אנחנו לא חושבים שניתן להסתפק בחובות בהיקף כזה.

רויטל סויד: אני רוצה לחזור למה שאת אמרת קודם, שאנחנו לא מדברים על מתמטיקה, ששמונה יכול היה להיות עשר, ופה אנחנו מדברים על שלושה, וזה יכול היה להיות אולי ארבעה או חמישה.

רויטל סויד: אבל אני חושבת שכשמדברים על מאגר יחיד, מכיוון שאין היום כמעט עסקים, גם לא באיזושהי מכולת, אם יש עוד דבר כזה בכלל – אני לא רוצה לחזור עוד פעם על עניין הקוסמטיקאית.

רויטל סויד: אתה בא למאגר, ויש לך את המזכיר או את המזכירה, ועוד מישהו שעובד שם, ולרוב תמיד גם עוד אחד, ואתה עדיין נשאר בעל מאגר היחיד.

רויטל סויד: ופה אני חושבת שהעברתם את קו הגבול כשהעברתם אותו על שלושה במקום נמוך מדי.

רויטל סויד: אני חושבת שאתם כן צריכים להעלות את הרף ליותר.

<איל זנדברג: לאיזה כיוון?

רויטל סויד: יותר בעלי הרשאה.

רויטל סויד: יותר.

רויטל סויד: שלושה זה כלום.

<ליאת בן מאיר שלום: את יכולה להסביר את הדוגמה?

<ליאת בן מאיר שלום: שלכולם יש הרשאה למאגר המידע.

רויטל סויד: כן, כן, לכולם.

רויטל סויד: כי זה מאגר קטן, כי זו מכולת, כי אנשים באים ורק רוכשים שם, זה לא מגיע ל-100,000, זה לא מידע רגיש.

רויטל סויד: גם לי, גם לאשתי, גם לבן שלי שעובד, שלושתנו, וגם לא יודעת למי.

<ניר יעקב גרסון: במכולת יש אולי הרבה עובדים, לסדרנים של המדפים לצורך הדוגמה אין הרשאה - - -

רויטל סויד: אני לא מדברת על סופר, אני מדברת על מכולת.

רויטל סויד: אתם יודעים מה, הקוסמטיקאית.

רויטל סויד: לא יודעת מה.

רויטל סויד: מינימרקט משפחתי.

<ניר יעקב גרסון: אין הרשאה.

<ניר יעקב גרסון: לכן ההדגשה פה היא על הרשאה.

<ניר יעקב גרסון: סופרים רק את מי שיש לו פוטנציה - - -

רויטל סויד: אבל בכל עסק משפחתי שיש הורים ושניים-שלושה ילדים שמנהלים את העסק, או שני ילדים ומזכירה, אתה כבר עולה על הרף הזה של השלושה.

רויטל סויד: יש לי עסק לממכר מנורות, ואנחנו עסק משפחתי קטן.

<גילי בסמן ריינגולד: אבל איזה מידע אישי?

<ליאת בן מאיר שלום: איזה מידע יהיה לך?

<ליאת בן מאיר שלום: זוהי השאלה - - -

רויטל סויד: הלקוחות, הכתובות שלהם, הטלפונים שלהם.

<קריאה: פרטי כרטיסי האשראי.

<ליאת בן מאיר שלום: איך נשמרים פרטי כרטיס האשראי?

רויטל סויד: כתובת.

רויטל סויד: כתובת.

<בובי פנדריך: כתובת מופיעה גם בספר הטלפונים.

רויטל סויד: לא משנה, אבל זה נכנס להגדרה, זה לא משנה.

רויטל סויד: החוק חל עליהם.

<איל זנדברג: כתובת – יש חריג בחוק לגבי מה זה מאגר, זה רק פרטי התקשרות.

אלעזר שטרן: זה רק אם זה לא יוצר אפיון.

<ליאת בן מאיר שלום: אבל אז השאלה אם תעשי את החישובים האלה ולא תהיה גישה לכולם.

<דן חי: לצמצם את הגישה רק לאשתו ולבן, לא למזכירה.

אלעזר שטרן: אפיון על זה שהלכת לטיפולים שאולי הם רגישים.

<דן חי: הרעיון הוא לגרום לעסקים כאלה לצמצם את מורשי הגישה.

<דן חי: אני חושב שזה רעיון טוב, כי הבעיה בדליפת מידע היא מהאנשים שעובדים בארגון.

רויטל סויד: אנחנו מדברים על העסקים המשפחתיים או העסקים הקטנים מאוד.

<דן חי: אז אם יש לה שני בנים, רק אחד יהיה מורשה גישה.

<גילי בסמן ריינגולד: לחלק של המידע האישי, לחלק של הלקוחות, לא צריך שתהיה גישה לכולם.

<גילי בסמן ריינגולד: אז שתהיה לכולם גישה לספקים ויוכלו להזמין חלב כשחסר.

<גילי בסמן ריינגולד: לא כולם צריכים, אם הם שומרים מידע על לקוחות, שתהיה גישה לכולם.

<גילי בסמן ריינגולד: וכן, הם יעשו חשיבה, גם אותם עסקים קטנים, במיוחד, כי הם פטורים מכל כך הרבה חובות לפי התקנות האלה.

<גילי בסמן ריינגולד: הם יצמצמו את הגישה.

<ליאת בן מאיר שלום: בדוגמה הספציפית של העסק לממכר מנורות, אם כל מה שיש שם זה שם, מען ודרכי התקשרות, זה בכלל לא ייחשב לפי החוק כמאגר מידע.

<קרן זאנה: ואם זה בית מרקחת שהוא עסק משפחתי ויש שם - - -

<ליאת בן מאיר שלום: בבית מרקחת יש מידע רגיש מאוד.

<קרן זאנה: נכון, אבל עדיין, זה עסק קטן ומשפחתי, ויש לך ארבעה מורשי גישה.

<קרן זאנה: זה עדיין לא מצדיק את - - -

<ליאת בן מאיר שלום: לא מצדיק?

<ליאת בן מאיר שלום: בית מרקחת זו דוגמה מובהקת למה זה מצדיק.

<גילי בסמן ריינגולד: להיפך, הדוגמה המתאימה היא בית מרקחת של רוקח אחד שרק לו יש גישה, והנה, אנחנו רואים שהוא נופל לתוך הפטור הזה, למרות שהוא מחזיק מידע כל כך רגיש.

<ליאת בן מאיר שלום: לכל דוגמה ניתן לתת את דוגמת הנגד שבה היית אומרת זה רגיש מאוד.

רויטל סויד: סליחה, אנחנו אמורים לסיים, אני רוצה גם להודיע על מועד הישיבה הבאה.

רויטל סויד: השאלה אם נעלה את זה לחמישה או ארבעה, אם זה יהיה משהו שהוא מהותי מאוד.

רויטל סויד: הרי אם יש מידע רגיש, אנחנו כבר נכנסים למקומות אחרים.

<ליאת בן מאיר שלום: אנחנו לא נכנסים.

רויטל סויד: אנחנו לא נהיה יחיד, אנחנו נהיה בסיסי.

אלעזר שטרן: אם יש חובת סודיות מקצועית.

<ליאת בן מאיר שלום: לא, אנחנו לא ניכנס לבסיסית.

<ליאת בן מאיר שלום: לא.

<ליאת בן מאיר שלום: רק אם יש חובת סודיות מקצועית אנחנו נצא מכאן.

<איל זנדברג: את מכוונת לכך שאם אין מידע רגיש, אפשר להיות גמישים יותר.

<ליאת בן מאיר שלום: הבעיה היא שעל כל דוגמה שניתן לתת – בוודאי שיכולה להיות דוגמה שזה לא מתאים, אבל על כל דוגמה ניתן לתת את הדוגמה ההפוכה, והנה, הרגע נשמעה כאן דוגמה של בית מרקחת, ולדעתי זו דוגמה חזקה למקרה שבוודאי זה לא מספיק.

<ליאת בן מאיר שלום: וצריך לזכור שגם יש את האפשרות לקבוע - - -

רויטל סויד: אנחנו חייבים לסיים מכיוון שיש לנו יכולת לדון רק עד השעה 16:00 והמליאה מתחילה.

רויטל סויד: קודם כל, תודה רבה לכולם.

רויטל סויד: אנחנו נתחיל בישיבה הבאה מתקנה 20, אז בבקשה תיפגשו לפני כן, מי שרוצה, כדי שנוכל לבוא עם כמה שיותר דברים מצומצמים.

רויטל סויד: הישיבה הבאה תתקיים ביום שלישי 21.3 בשעה 12:30.

רויטל סויד: אנחנו נסיים אז את הדיון.

רויטל סויד: תודה הישיבה נעולה.