ועדת המדע והטכנולוגיה, כנסת 20, פרוטוקול מספר 161, 2018-02-20 13:00

אורי מקלב: נפתח, ברשותכם, ישיבה של ועדת המדע והטכנולוגיה.

אורי מקלב: היום יום שלישי, שנכפל בו פעמיים כי טוב, ה' באדר תשע"ח, ה-20.2.2018.

אורי מקלב: על סדר יומנו ליקויי אבטחה בגופים האחראיים על המאגר הביומטרי.

אורי מקלב: זה בעצם דיון מהיר של חברת הכנסת מלינובסקי, שהיא לא נמצאת פה ובאמת היא לא מרגישה טוב, אנחנו מאחלים לה רפואה שלמה.

אורי מקלב: הנושא הזה מאוד חשוב לה, היא הציעה את זה ויזמה את הדיון יחד עם חברת הכנסת יעל כהן-פארן וחברת הכנסת שרן השכל, שבהמשך תיכנס.

אורי מקלב: אז באין אף אחת מהמציעות זה התפקיד שלך להציג, חברת הכנסת יעל כהן-פארן.

אורי מקלב: אני רק רוצה לתת את המתכונת של הדיון, כך אני מרגיש בדיון הזה, שהוא לא דיון של עריפת ראשים וגם לא טענות שיש לכם צורך להתגונן.

אורי מקלב: אנחנו בעצם, מה שאני מבין, רוצים להגיע לבירור העובדות, כדי שנדע לתקן, אם צריך לתקן, ואם צריך הפקת לקחים.

אורי מקלב: לפעמים אני מרגיש שאנשים נבהלים וכשמתגוננים אומרים משהו אחר וכשמסבירים את העובדות זו צורה אחרת של דיון.

אורי מקלב: המתכונת של הדיון שאני מבקש באמת היום שאנחנו נשתמש בה, או נדון בה, זו מתכונת כזו של בירור העובדות.

אורי מקלב: חשוב לנו להגיע לבירור העובדות וחשוב לנו גם שאם יש תקלות נתקן אותן , אם לא תיקנו, וגם הפקת לקחים לגבי העתיד.

אורי מקלב: בבקשה.

יעל כהן-פארן: תודה.

יעל כהן-פארן: אז קודם כל תודה, אדוני היושב ראש, על קיום הדיון, באמת בלוח זמנים מאוד ראוי להערכה.

יעל כהן-פארן: אני יודעת שהוועדה עמוסה.

אורי מקלב: את חלק מאלה שמעמיסים, את שותפה ל - - -

יעל כהן-פארן: כן, לעומס.

אורי מקלב: שיידעו, כיושבת ראש של ועדת המשנה של הוועדה את פעילה מאוד וגם טובה מאוד, יעילה מאוד.

יעל כהן-פארן: תודה.

יעל כהן-פארן: אז לפני כחודש וחצי, משהו כזה, נחשף ליקוי משמעותי באבטחת שרתי מערכת זימון התורים של מינהל האוכלוסין.

יעל כהן-פארן: כל אדם היום שרוצה להגיע ולהנפיק תעודת זהות או דרכון צריך להזמין תור מראש, אגב, משהו שבאופן אישי חוויתי אותו כמשימה בלתי אפשרית, אבל נשים את החוויה האישית שלי בצד.

יעל כהן-פארן: אז מי שזימן את התור הזין את המספרים, תעודת זהות, שם, טלפון, ובעצם פושעי סייבר, בוא נגיד ככה, לא עשו עבודה חוקית, אבל בקלות רבה נכנסו למאגר הזה וקיבלו את כל הרשימות של כל האנשים שנרשמו כדי לקבוע תור ומספרי הטלפונים שלהם וכנראה פרטים נוספים.

יעל כהן-פארן: זו הייתה כתבה שנחשפה בכלכליסט לפני, כמו שאמרתי, כחודש, בתחילת ינואר, ובעצם מזמיני התורים של רשות האוכלוסין וההגירה היו חשופים, כל פרטיהם האישיים, כיוון שהשרת כנראה לא היה מאובטח בכלל, אחרת איך האקרים, בוא נגיד ככה, לא מתוחכמים, לא ממשלה זרה שיכולה להפעיל גורמי ביון מתוחכמים, אלא ממש האקרים חובבנים - - - זה ממש ליקוי חמור שמעלה שאלות לגבי היכולת של רשות האוכלוסין במשרד הפנים לאבטח מאגרים.

יעל כהן-פארן: כמובן יש לה מאגרים מאוד רציניים וסודיים, כמו שאנחנו יודעים, דיברנו כאן רבות על המאגר הביומטרי, האם באמת נעשית עבודה רצינית ונכונה של פיקוח ובקרה על מערך אבטחת המידע, גם המאגר הזה וגם מאגר המידע הביומטרי.

יעל כהן-פארן: זאת שאלה אחת שעליה הדיון.

יעל כהן-פארן: והשאלה השנייה, שגם הוא נתון שפורסם בתקשורת, שהאחראית על אבטחת המידע במאגר הביומטרי, לא במזמיני התורים, הועסקה כעובדת של חברת קבלן ולמעשה זה בניגוד לחוק כי החוק קובע שמי שעוסק במאגר הביומטרי, בטח באבטחה שלו, אחראית על אבטחת המידע של המאגר הביומטרי, חייב להיות מועסק על ידי המדינה, עובד מדינה.

יעל כהן-פארן: זה בחוק, עד כמה שאני יודעת, כראש מערך האבטחה.

יעל כהן-פארן: הסוגיה הזו נידונה בבית דין לעבודה ואותה עובדת, שלא התקבלה להיות עובדת קבועה תובעת את זכויותיה ולוחמת על מקומה, אבל בזה התגלה למעשה שבמשך שלוש שנים, אם לא יותר, היא הייתה מועסקת כמנהלת אבטחת המידע כשהיא עובדת קבלן.

יעל כהן-פארן: אלה שתי הסוגיות שביחד הן נושא הדיון כאן.

יעל כהן-פארן: בעיניי הן מעלות ספקות באמת כבדים ושאלות רבות על ההתנהלות של הרשות ומשרד הפנים והיכולת לאבטח בצורה אחראית ובטוחה את המאגר הביומטרי שבו יש את הפרטים האישיים ביותר של כל אזרחי ישראל.

יעל כהן-פארן: תודה.

אורי מקלב: תודה רבה.

אורי מקלב: הצגת את זה קצר וממוקד בעניין.

אורי מקלב: חשוב לנו לדעת איזה פרטים נחשפו, אנחנו יודעים שממספרי טלפון, מה עוד הפרטים שנחשפו.

אורי מקלב: אני רק רוצה לציין, זה גם נכון, לתת את הקרדיט, אתם גם כותבים בפנייה שלכם בדברי ההסבר שזו כתבה שפורסמה בכלכליסט.

יעל כהן-פארן: כן, ובדה-מרקר הכתבה השנייה.

אורי מקלב: הכתבה השנייה בדה-מרקר.

אורי מקלב: נמצא כאן מישהו מהעיתון הזה?

אורי מקלב: מי ההאקר שמצא את זה.

<ענת לוי: לא הזמנו אותו.

יעל כהן-פארן: לא נראה לי, הזמנו אותו?

אורי מקלב: לא, אבל הוא כותב כאן בתוך הכתבה, ראיתי שככה - - -

יעל כהן-פארן: השם שלו מוזכר, רן ברזיק.

אורי מקלב: הוא לא היה האקר, הוא בסך הכול השתמש בטעות, בגלל כתובת IP או - - -

<עלי קלדרון: קוראים לו רן ברזיק.

<עלי קלדרון: הוא לא פה, אבל הוא בהחלט מתעסק בתחום הזה הרבה כאיש אבטחת מידע.

אורי מקלב: הוא אומר שהוא הגיע לזה לא מתוך מטרה שלילית - - -

יעל כהן-פארן: במקרה.

יעל כהן-פארן: הוא הגיע במקרה.

אורי מקלב: במקרה, בטעות.

אורי מקלב: צריך לשמור על בן אדם, לא סתם להפליל מישהו.

יעל כהן-פארן: לא, חס וחלילה, לא להפליל.

אורי מקלב: רבותיי, מי מתחיל אצלכם ברשות?

אורי מקלב: שם ותפקיד.

<עידו תלמי: צהריים טובים.

<עידו תלמי: שמי עידו תלמי, אני מנהל אבטחת המידע ברשות האוכלוסין וההגירה וגם אחראי וממונה הגנת הסייבר ואני אענה למה שנאמר בפתיח לגבי תקלת המסרונים.

<עידו תלמי: אז קודם כל אני אנסה טיפה לדייק בעובדות של מה שאנחנו מבינים ממה שקרה.

<עידו תלמי: דבר ראשון, מדובר על תקלה, בהחלט תקלה ותקלה תפעולית שחשפה לאותו בחור מספרי טלפון של אזרחים, שמות לשכות וכתובתן ומהות זימון התור שהאזרח ביקש.

אורי מקלב: מכיוון שחברת הכנסת יעל כהן-פארן לא הצליחה להגיע למצב כזה ששולחים לה מסרון, אני גם לא ניסיתי, איך זה עובד?

אורי מקלב: אני מטלפן - - -

<עידו תלמי: מיד אני אסביר.

אורי מקלב: אולי תסביר לנו כדי שנדע איך זה עובד.

אורי מקלב: מה המסרון בעצם אומר?

אורי מקלב: 'אתה מוזמן ביום זה וזה ללשכה זו וזו'.

<עידו תלמי: כן.

אורי מקלב: וזאת בעקבות פנייה שלי דרך הטלפון או אישית?

יעל כהן-פארן: לא, באינטרנט.

<עידו תלמי: אני אסביר את התהליך מהתחלה כדי שיהיה ברור.

אורי מקלב: כדי שיהיה יותר ברור, יש לנו גם אנשים שצופים בנו, חשוב לתת את התמונה המלאה.

<עידו תלמי: ככל שאני יכול להיכנס לפרטים, מפאת הרגישות של העניין, הרגישות הביטחונית של מערכות הרשות.

אורי מקלב: ביטחונית או אבטחתית?

יעל כהן-פארן: תציג אפילו ברמה של מה האזרח חווה, זה לא רגיש, זה כל אחד יכול לחוות.

<עידו תלמי: בהחלט.

<עידו תלמי: לאזרח ישנה אפשרות היום להגיע דרך הסלולר או דרך האינטרנט אל אתר של זימון תורים שמפורסם גם באתר gov.il, באתר הממשלה וגם במקומות אחרים.

<עידו תלמי: דרך האתר הזה הוא קובע תור, הוא מכניס את פרטיו האישיים שכוללים מספר טלפון של מבקש השירות ותעודת הזהות.

<עידו תלמי: הנתונים נעים דרך האינטרנט לממשל זמין, שהוא השער של רשות האוכלוסין לעולם ומממשל זמין זורמים לתוך המערכות הפנימיות של רשות האוכלוסין וההגירה.

<עידו תלמי: שם נקבע התור במערכות שלנו.

<עידו תלמי: בתגובה לדבר הזה המערכת מוציאה הודעה מאוד לאקונית ופשוטה שכוללת, מבחינת מידע ביוגרפי, אך ורק את מספר הטלפון של האזרח.

<עידו תלמי: לא כוללת לא שמות, לא תעודות זהות, לא כתובות ולא שום מידע אחר.

<עידו תלמי: את הטלפון הזה שהמערכת מוציאה אנחנו שולחים דרך חברה חיצונית לחלוטין שלא קשורה בשום צורה ובשום תקשורת מחשבים, בשום אופן - - -

אורי מקלב: איך אתם שולחים את זה?

<עידו תלמי: אנחנו מעבירים את זה דרך האינטרנט, מעבירים להם את ההודעה, כולל מספר הטלפון.

<עידו תלמי: אז אם אתה קבעת תור ללשכת באר שבע, לצורך השיחה - - -

אורי מקלב: אבל זה ודאי שלא דרך דו סטרית, זאת אומרת מי שנכנס לאותה חברה והתברר שנכנס בקלות הוא יכול עכשיו להיכנס - - -

<עידו תלמי: אין שום קישוריות באשר היא.

<עידו תלמי: אותה חברה, אם היא רוצה להיכנס למערכות הרשות היא כמו כל אדם בעולם שיעבור את כל מחסומי ה - - -

אורי מקלב: אוקיי.

אורי מקלב: ולה עובר מספר הטלפון עם?

<עידו תלמי: עם כתובת הלשכה, שם הלשכה והשירות שאותו הוא הזמין.

<עידו תלמי: זה יכול להיות בקשה לחידוש דרכון, בקשה לתעודת זהות, או אחד מעוד שבעה שירותים שאנחנו מאפשרים.

אורי מקלב: למה אתם עושים את זה דרך חברה ולא עושים את זה לבד?

אורי מקלב: כבר בדקתם הכול, אז מה?

אורי מקלב: טוב, ספר לנו.

<עידו תלמי: זו שאלה טובה.

<עידו תלמי: בעיקר מדובר על נושא של עלויות, הפחתת עלויות - - -

יעל כהן-פארן: פיתוח של היכולת הזאת?

<עידו תלמי: לא פיתוח.

<עידו תלמי: קיימת בממשלה יכולת לשלוח, העניין הוא שנכון להיום אנחנו מבינים שזה משהו בערך פי חמישה בעלות מאשר אם נעבוד עם חברה אזרחית.

יעל כהן-פארן: איך זה יכול להיות?

יעל כהן-פארן: סתם מעניין אותי, מי גוזר פה קופון?

יעל כהן-פארן: איפה הרווח של החברה, איפה הרווח של משרד ממשלתי ש - - -

אורי מקלב: לממשלה עולה יותר.

<עידו תלמי: זה לא עניין של - - -

אורי מקלב: אנחנו רואים את זה בכול, למה האוצר מפריט כל הזמן?

אורי מקלב: בגלל שמיקור חוץ הוא הרבה יותר זול, הוא עולה למערכת הרבה יותר זול.

<עידו תלמי: בסוף דבריי אני אתייחס גם - - - אני גם ממונה על הגנת הפרטיות, בהחלט הייתה פה פגיעה בפרטיות, אנחנו לא מתעלמים ממנה, אבל אנחנו לא חושבים שעוצמתה כעוצמת הפרסום בעיתון, אבל זה יהיה בסוף דבריי, ברשותכם.

אורי מקלב: החברה הזאת הייתה חשופה ולא היו שום אמצעי הגנה.

<עידו תלמי: בדיוק.

<עידו תלמי: הסיפור הוא, אני לא יכול להיכנס מפאת זה ש - - - יש לי את הדוח, אני עוד שנייה אספר גם מה עשינו.

<עידו תלמי: יש לי פה את הדוח, אני לא יכול להיכנס לפרטים כי בסופו של דבר זו חברה מסחרית, אבל שרתי החברה לא היו מאובטחים כראוי ואותו בחור שהזין הצליח להזין לחברה וכמובן, כמו שנאמר, ליירט את המידע.

<עידו תלמי: בעקבות התקלה הזו, וזה חשוב לציין, כבר יום אחרי שנודע לנו על התקלה, אנחנו שלחנו צוות תגובה לחברה הזאת שבדק את כל מערך החברה, את כל מערך ה-IP של החברה וכבר שם נתן להם הנחיות לביצוע.

<עידו תלמי: אנחנו בתהליכים היום של הפסקת הפעילות עם אותה חברה והעברת הפעילות שלנו לחברה מקבילה.

אורי מקלב: למה?

אורי מקלב: בגלל בעיות אבטחה, או בגלל שהחלטתם - - -

<עידו תלמי: אין לנו טולרנס לבעיות כאלה, אנחנו לא מוכנים שחברות שאנחנו עובדים איתן, גם אם זה היה בשוגג וגם אם זה היה בחוסר תשומת לב או בזדון - - -

אורי מקלב: סדר גודל של כמה, רשומות של כמה אנשים, של כמה טלפונים?

<עידו תלמי: בזמן החשיפה אנחנו מדברים על בסביבות 150,000 אס.

<עידו תלמי: אמ.

<עידו תלמי: אסים שנשלחו בזמן החשיפה, שהיא מתחילת דצמבר 17' ועד - - -

אורי מקלב: כמה אס.

אורי מקלב: אמ.

אורי מקלב: אסים הרשות שולחת בחודש?

אורי מקלב: לקבל אינדיקציות.

<עידו תלמי: קצת קשה לי לענות על השאלה הזאת, כי אנחנו עובדים עם עוד ספק בנושא הזה.

<עידו תלמי: אין לי את הנתון ה - - -

יעל כהן-פארן: אבל ה-150,000 זה בערך חודש?

יעל כהן-פארן: זה המספר של האס.

יעל כהן-פארן: אמ.

יעל כהן-פארן: אסים - - -

<עידו תלמי: התקלה להבנתנו התחילה ב-11.12.17 והסתיימה ב-3.1.18, סדר גודל של 20 יום.

יעל כהן-פארן: למה אתה מתייחס כתקלה?

יעל כהן-פארן: שמישהו נכנס או ש - - - השאלה שלי היא כזאת, אתם התחלתם את המהלך ביוני, ב-1 ביוני אפשר היה להתחיל להזמין תורים, אז במשך כל חצי השנה הזו הייתם מודעים לבעיית אבטחה בחברה הזאת או שפשוט לא הייתם מודעים לה?

<עידו תלמי: לא, לא היינו - - -

יעל כהן-פארן: המצב היה אותו מצב.

יעל כהן-פארן: למה הוא מתייחס לתקלה?

יעל כהן-פארן: התקלה היא עצם זה שמישהו נכנס.

אורי מקלב: תקלה זה שהיה אפשר להיכנס.

<עידו תלמי: התקלה לא נבעה מתחילת ההתקשרות עם החברה, אני רק אומר - - -

יעל כהן-פארן: איך אתה יודע?

<עידו תלמי: יש לי פה את הדוח.

יעל כהן-פארן: הדוח שהם עשו?

יעל כהן-פארן: על מי נכנס אליהם?

<עידו תלמי: הדוח שאני עשיתי.

יעל כהן-פארן: לא, אתה יודע מי נכנס ומתי?

<עידו תלמי: לא, אני יודע מתי הם העלו את השרת הבעייתי שיצר את התקלה.

<עידו תלמי: יום אחרי האירוע שפורסם אנחנו שלחנו צוות מטעמנו שהיה שם - - -

אורי מקלב: כמה זמן השרת היה בשימוש?

<עידו תלמי: זה מה שאמרתי, מ-11.12.17 ועד 3.1, כלומר סדר גודל של 20 יום.

אורי מקלב: ב-20 יום יש לכם 150,000 מסרונים רק בחברה אחת?

<עידו תלמי: 150,000 מסרונים.

אורי מקלב: זאת אומרת אנחנו מדברים על כמויות גדולות מאוד.

<עידו תלמי: כן.

<עידו תלמי: חשוב לציין שזה לא רק מסרונים שאנחנו מודיעים לאנשים על התור, אלא זה גם מסרונים שאנחנו מדברים על זה ש'התור שלך הוקדם', 'התור שלך התאחר', 'אתה ממש קרוב' - - -

אורי מקלב: לאותו אחד יכול להיות כמה מסרונים, זה לא חייב להיות 150,000 איש.

<עידו תלמי: אמת.

אורי מקלב: בהוראות העתידיות, או לחברות אחרות, איך אתם מקבלים, כל כמה זמן שומרים?

אורי מקלב: כמה זמן ההוראה שלכם לשמור על אותם - - -

<עידו תלמי: הם מוחקים מיד.

<עידו תלמי: גם הסתכלנו ובדקנו את זה, המידע בחברה, המידע שנשלח לאחר שהוא יצא כאס.

<עידו תלמי: אמ.

<עידו תלמי: אס נמחק משרתי החברה.

<עידו תלמי: אין כזה דבר לאגור מידע בשרתי החברה.

אורי מקלב: איך אתם יודעים את זה?

<עידו תלמי: אנחנו יודעים את זה כי בדקנו את זה.

<עידו תלמי: ביום ששלחנו - - -

אורי מקלב: איך אתם היום מפקחים על חברות אחרות שהם לא לוקחים את מספרי הטלפון האלה ומשתמשים לצרכים אחרים, צרכים מסחריים, יכול להיות?

אורי מקלב: האנשים האלה, נניח אם זה דרכונים, האנשים יודעים שהם רוצים לנסוע לחוץ לארץ - - -

יעל כהן-פארן: חברת תיירות.

אורי מקלב: ואז חברת תיירות, ואז מלונות ובדיוטי פרי, הם לוקחים את המאגר הזה ומציעים הצעות מסחריות.

יעל כהן-פארן: חברות שמציעות הלוואות, צריך כסף לנסוע לחו"ל.

יעל כהן-פארן: כמה אנחנו מופצצים מהחברות האלה.

יעל כהן-פארן: מאיפה הם מקבלים את הטלפונים שלנו?

<עידו תלמי: בסמוך לתקלה, חוץ מזה שטיפלנו בחברה שעשתה את התקלה, שלחתי גם צוות מטעמי, צוות אבטחת מידע גם לחברה המקבילה וגם שם וידאנו שאין פערים שיכולים לגרום לאותה תקלה או תקלה דומה ואנחנו עכשיו בקשר מתמיד עם אותה חברה ונותנים להם הנחיות לשיפור במספר נושאים שמצאנו שקיימים אצלם ואנחנו מבצעים על זה מעקב והם התחילו כבר ליישם את זה.

אורי מקלב: הם צריכים כבר לשלם לכם, לא אתם להם, לפי איך שאתם מחכימים אותם.

<עידו תלמי: זה טיבו של אירוע אבטחת מידע, לצערי, זה שאחרי שהוא קורה אתה עסוק בלטפל ב - - -

אורי מקלב: אוקיי.

אורי מקלב: אז אנחנו בסופו של דבר לא מדברים על שמות ולא מדברים על מספר זהות, אנחנו מדברים על מספרי טלפון של אנשים ואתם היום יכולים להגיד שהאירוע נגמר והפקת הלקחים לגבי העתיד?

אורי מקלב: איך אתם יודעים ששרת לא טוב ייכנס?

<עידו תלמי: אז עשינו מספר פעולות.

<עידו תלמי: קודם כל בתוך הבית, חידדנו נהלים אצלנו בכל הנושא של התקשרויות, גם עם חברות כאלה.

<עידו תלמי: אנחנו נבצע בקרה חצי שנתית מול החברות שנותנות לנו אס.

<עידו תלמי: אמ.אס.

<עידו תלמי: אגב, אנחנו עובדים עם עוד חברות שנותנות לנו שירותים בנושאים אחרים.

<עידו תלמי: זה לא הדיון, אבל אנחנו היום מבצעים בקרות גם אצל גורמים אחרים שעושים שימוש במערכות הרשות.

<עידו תלמי: התחלנו את זה בשנה האחרונה, אנחנו בתהליך מאוד מאוד רחב של בקרה על כל מי שעושה שימוש בנתונים של רשות האוכלוסין וההגירה.

אורי מקלב: יפה.

אורי מקלב: ממשל זמין, מישהו נמצא פה?

<עידו תלמי: אני לא רואה.

<גדעון קונפינו: אני יכול לענות בתור רשות התקשוב.

אורי מקלב: השאלה אם האירוע הזה, אני מאוד מעריך את השקיפות שהדברים נאמרים, הייתה כאן תקלה, האירוע הוא לא עוצמתי והוא לא עם נזק לטווח ארוך מאוד, והוא גם מצומצם וגם לא נתונים, אבל מטפלים בו, השאלה היא האם משרדים אחרים מפיקים לקחים?

אורי מקלב: אנחנו הרי לא באים עכשיו, אנחנו רוצים לראות, האם יש משרדים שממשל זמין לומד את האירוע הזה ובעקבות כך מנחה חברות.

אורי מקלב: הרי אם אתה אומר ש - - - משתמש, אין לי ספק שמשרדים אחרים גם מרבים בשימושים כאלה או אחרים עם חברות חיצוניות ושהם מקבלים שירותים כאלה ויכול להיות שהתקלה תחזור, לא רק אצלכם, גם במשרדים אחרים.

<גדעון קונפינו: שלום, אדוני היושב ראש.

<גדעון קונפינו: שמי גדעון קונפינו, אני מנהל יה"ב ברשות התקשוב הממשלתי.

<גדעון קונפינו: ממשל זמין שייך לרשות התקשוב הממשלתי.

<גדעון קונפינו: ממשל זמין הוא גוף ביצוע, היחידה שאני אחראי עליה היא גוף מנחה למשרדי הממשלה.

<גדעון קונפינו: כמובן שאנחנו עושים שיתוף מידע בכל אירוע אבטחת מידע.

<גדעון קונפינו: יש לנו תהליכים, לא רק לתהליך הזה, תהליכים של שיתוף מידע כדי שאירוע אחד לא יישנה במשרד אחר.

אורי מקלב: אוקיי.

אורי מקלב: יש מישהו שרוצה להוסיף בנושא הזה?

אורי מקלב: בנושא השני, אני רוצה יותר להרחיב בו.

<עלי קלדרון: כן.

<עלי קלדרון: כבוד היושב ראש, אני עלי קלדרון מהרשות להגנת הפרטיות.

<עלי קלדרון: קודם כל אני רוצה לומר שלמרות שהמידע שנחשף הוא לכאורה לא מידע אישי עדיין החוק מגדיר בהחלט שמידע כזה צריך להיות מוגן על ידי רשות שמחזיקה אותו ברשות או בהסכמה במקרה הזה.

<עלי קלדרון: צריך גם להבין שבמידה שהאקר שיושב על המידע הזה ויכול להשתמש במידע הזה, זה לא רק לצורך יצירה של מאגר לצרכים מסחריים, כמו שאמרתם, יכול לשבת האקר על המידע הזה ולדעת שעכשיו הוא פונה לאחד האנשים שהמספר הזה הגיע אליו ולהגיד לו 'כן, אני עכשיו מרשות האוכלוסין, תעביר לי פרטים נוספים', מה שנקרא social engineering, זה כלי ש - - -

אורי מקלב: ברור.

<עלי קלדרון: אל"ף, אנחנו עובדים באופן ישיר יחד עם רשות האוכלוסין ובנושא הזה אני רוצה להגיד שבמאי 2018 נכנסות תקנות חדשות של אבטחת מידע, כל הנושא של דלפי מידע מטופל גם במסגרת של התקנות האלה שמסדירות את נושא אבטחת המידע בצורה יותר מפורטת, מחייבות - - -

אורי מקלב: מה התפקיד שלך היום?

<עלי קלדרון: אני הממונה על האכיפה המנהלית ברשות להגנת הפרטיות, שנקרא לשעבר רמו"ט, הרשות למשפט, טכנולוגיה ומידע.

אורי מקלב: למה כתוב לך מנהל יה"ב?

<עלי קלדרון: לא, זה היה גדעון קונפינו שדיבר לפניי.

יעל כהן-פארן: רמו"ט היה הנושא של הטכנולוגיה, נכון?

<עלי קלדרון: רמו"ט זה השם הקודם, רמו"ט היה רשות למידע, משפט וטכנולוגיה, היום אנחנו נקראים הרשות להגנת הפרטיות.

יעל כהן-פארן: מדהים אותי שינוי השם הזה, להשאיר את אותו מנגנון - - -

אורי מקלב: קיימנו דיון מיוחד בשם.

<עלי קלדרון: המטרה הייתה לעשות פוקוס ולהתעסק בתחום הפרטיות.

<עלי קלדרון: כמובן שטכנולוגיה היום זה חלק מ - - -

יעל כהן-פארן: ברור.

<עלי קלדרון: מה שרציתי להוסיף, במאי 2018 נכנסות לתוקף תקנות אבטחת מידע של הגנת הפרטיות שכוללות חובת דיווח על דלפי מידע לא רק לגופים ציבוריים אלא גם לכל מי שנמצא במשק ומחזיק מאגרי מידע.

<עלי קלדרון: כמו שאמרתי, המקרה הספציפי הזה הוא בהחלט פגיעה, פגיעה בחוק מבחינתנו, פגיעה בפרטיות של אותם אנשים.

<עלי קלדרון: ברור שהנושא פה ספציפית לכאורה נתפס כקטן, אבל החשיבות שלו מובנת על ידי הגוף.

אורי מקלב: טוב שזה קרה על משהו קטן ומצומצם וצריך באמת להודות בעניין הזה, אבל הפקת הלקחים צריכה להיות הרבה יותר רחבה.

<עלי קלדרון: ורק אולי מילה אחרונה, לגבי השימוש בגופים במיקור חוץ.

<עלי קלדרון: העובדה שמשתמשים בגוף במיקור חוץ, שזה לפעמים משיקולי עלויות או שיקולים אחרים, לא מייתרת כמובן את האחריות של בעלי המאגר ובעצם מייצרת אחריות נוספת על אותו מחזיק, על אותו גוף במיקור חוץ וכמובן האחריות הראשית נשארת על הבעלים, במקרה הזה על הרשות.

אורי מקלב: אנחנו גם מודים לחברת הכנסת שרן השכל, אחת מהמציעות.

אורי מקלב: הזכרנו אותך בדברי הפתיחה, כפי שכתבתם בהצעה לדיון מהיר, יש שני חלקים לבקשה, חלק אחד זה האירוע שהיה, שאנחנו קיבלנו הסברים, אנחנו חושבים שהם מספקים, הנושא השני זה הנושא של העסקה של מנהלת אבטחת מידע ברשות לניהול המאגר הביומטרי.

אורי מקלב: איך אתם רוצים להציג את זה?

<מאיר גופשטיין: אני אשיב, ברשותך.

<מאיר גופשטיין: מאיר גופשטיין, מנהל אגף הגנת הפרטיות ברשות הביומטרית.

אורי מקלב: מר מינס, מתי שתרצה להתערב, אנחנו משתדלים גם בהיררכיה, אבל אם - - -

<מאיר גופשטיין: ברשותכם, אני אפתח בדיוק העובדות.

<מאיר גופשטיין: ראשית, לא מדובר ב - - -

אורי מקלב: הרשות להגנת הפרטיות?

אורי מקלב: לא, מהמאגר הביומטרי.

<עצמון מינס: הוא אחראי על הגנת הפרטיות במאגר.

אורי מקלב: אתה עובד מדינה.

<מאיר גופשטיין: עובד מדינה, כן.

<מאיר גופשטיין: ראשית, מדובר בעובדת שהיא חלק מצוות - - -

אורי מקלב: אני רוצה להגיד מראש בעניין הזה, אני מבין שזה בהליך משפטי, כפי שאמרו חברות הכנסת.

אורי מקלב: מה שלא נוגע להליך המשפטי, ביקשתם את זה ואני אאפשר לכם, מה שקשור למשפט אתה לא צריך להתייחס, זאת אומרת הנתונים שאין לזה שום זיקה למשפט, מה שקשור למשפט אתה יכול להגיד שאתה לא יכול בגלל דיון שמתנהל בעניין.

<מאיר גופשטיין: כן, מדובר בדיון ערעור שלה על מכרז שהיא השתתפה בו.

אורי מקלב: מה התפקיד שלה?

אורי מקלב: מה היה?

אורי מקלב: יש לזה השלכה.

<מאיר גופשטיין: אז אני אסביר.

<מאיר גופשטיין: הגברת המדוברת היא חלק מצוות האבטחה, מ', היא איננה אחראית אבטחת המידע, היא לא מנהלת אבטחת המידע, היא מעולם לא הייתה ושימשה בתפקיד הזה, היא כפופה למנהל אבטחת המידע של הרשות הביומטרית, בחור בשם אבי, הוא עובד מדינה, משמש בתפקיד מנובמבר 2014.

<מאיר גופשטיין: הסיבה שהיא חתומה על אחד המסמכים כאחראית אבטחת המידע, מכיוון שזה התואר שנתן החשב הכללי במסגרת תארי תפקידים שהמדינה יכולה לפנות לבתי תוכנה ולהשתמש בשירותים שלהם.

<מאיר גופשטיין: זה תואר התפקיד כפי שהוא הוגדר על ידי חשכ"ל, לכן הגברת השתמשה בתואר הזה.

יעל כהן-פארן: אז מה אתה אומר לנו?

יעל כהן-פארן: שזה תואר התפקיד, אבל זה לא התואר שלה?

<מאיר גופשטיין: אמת.

יעל כהן-פארן: זה ישראבלוף?

יעל כהן-פארן: מה זה?

<מאיר גופשטיין: לא, זה ממש לא ישראבלוף.

<מאיר גופשטיין: הוא גויסה על התואר הזה, דרך בתי תוכנה, אבל היא משמשת כחלק מצוות אבטחה.

<מאיר גופשטיין: התפקיד שלה הוא לא תפקיד שהוא בעל סמכות, הוא לא תפקיד שהוא בעל אחריות.

<מאיר גופשטיין: כמו שאני אומר, יש לה מנהל, מנהל אבטחת המידע של הרשות הביומטרית, הוא עובד מדינה, הוא משמש בתפקיד הזה מנובמבר 2014.

<מאיר גופשטיין: זה התפקיד שלו, הוא לא עובד קבלן, הוא עובד מדינה, אני מדגיש.

<מאיר גופשטיין: היא חלק מהצוות הזה, היא מטפלת בנושאים כמו תיאומי תדרוכים, נושאים שקשורים לרכש, נושאים שקשורים להצעות מחיר בתחום שבו היא עוסקת, בתחום אבטחת המידע, אבל בשום נקודת זמן היא לא הייתה אחראית על אבטחת המידע במאגר, או שניהלה את אבטחת המידע במאגר.

<מאיר גופשטיין: וכמו שאני אומר, התפקיד שלה הוא ללא סמכות או אחריות כלשהי בנוגע למדיניות אבטחת המידע או קבלת החלטות בתחום.

<מאיר גופשטיין: יש לה בוס, יש לה מנהל שהוא עובד מדינה, הוא זה שמנחה אותה, הוא זה שנותן לה את המשימות והיא מדווחת לו.

יעל כהן-פארן: עדיין תמוה בעיניי שכן יש לה הגדרה מטעם החשכ"ל, כמו שאמרת - - -

<מאיר גופשטיין: אין לנו שליטה על ההגדרות האלה.

יעל כהן-פארן: מה זה 'אין לנו שליטה'?

יעל כהן-פארן: מה הייתה ההגדרה לפי החשכ"ל?

יעל כהן-פארן: אולי תדייק.

<מאיר גופשטיין: עוד פעם, יש מספר הגדרות לפי החשכ"ל, יש הגדרה אחת שהיא יכולה להיות עובד אבטחת מידע או אחראי אבטחת מידע כאשר התעריפים השעתיים של אותן הגדרות משתנים.

<מאיר גופשטיין: אם אתה רוצה בן אדם שהוא איכותי אז אתה מגייס את זה עם התעריף הגבוה יותר, אבל השליטה על תואר התפקיד, אין לנו.

<מאיר גופשטיין: זה מה שהם הגדירו, לא מה שאנחנו הגדרנו.

<מאיר גופשטיין: ואני שוב מדגיש ואומר, מנהל אבטחת המידע או האחראי על אבטחת המידע ברשות הביומטרית זה לא היא, מדובר בעובדות שגויות.

יעל כהן-פארן: אבל עדיין היה לה תפקיד כאחראית גם אם זה בדרג נמוך?

<מאיר גופשטיין: לא אחראית.

יעל כהן-פארן: אוקיי, אז עובדת אבטחת מידע.

<מאיר גופשטיין: בדיוק.

<מאיר גופשטיין: עובדת בצוות אבטחת המידע של הרשות, כן.

יעל כהן-פארן: אוקיי, והאם לפי החוק כל הצוות יכול להיות קבלן חיצוני?

יעל כהן-פארן: אין מחויבות שגם אנשי הצוות - - - הרי אנחנו מדברים על מידע כל כך רגיש, האם מותר לכם לקחת - - -

<מאיר גופשטיין: לא, עוד פעם, אין לגברת או לעובדת הזאת שום גישה למידע הרגיש - - -

יעל כהן-פארן: אני מדברת עכשיו לא על העובדת הספציפית, אנחנו מדברים על כל המערך של העובדים בצוות שעובד על אבטחת המידע של המאגר הביומטרי.

יעל כהן-פארן: על זה אנחנו מדברים, נכון?

<מאיר גופשטיין: נכון.

יעל כהן-פארן: דיברנו בתחילת הדיון על המאגר הממשלתי המשטרתי, תאר לך שהמאגר המשטרתי הביומטרי לא היה מנוהל על ידי אנשי המשטרה, זה יעלה על דעתך?

יעל כהן-פארן: בעיניי זה לא יעלה על הדעת.

יעל כהן-פארן: אז אני שואלת עכשיו, כל העובדים במערך אבטחת המידע של המאגר הביומטרי, הם לא צריכים להיות עובדי מדינה?

<מאיר גופשטיין: אני אומר, ההעסקה של עובדים - - -

אורי מקלב: מה החוק?

אורי מקלב: יש חקיקה בעניין הזה?

יעל כהן-פארן: בדיוק, יש כאן יועץ משפטי?

אורי מקלב: אני חושב ש - - - נמצאת פה - - - חוק ועל זה תוסיף את הדברים.

אורי מקלב: קודם נלמד - - - כן צריך או לא צריך, אני יכול להגיד שכן צריך.

יעל כהן-פארן: הוא אמר שלפי החשכ"ל לפי הגדרת התמחורים היה צריך להגדיר אותה כאחראית אבטחת מידע, כי זה כאילו כוח אדם יותר איכותי שהוא יותר יקר, אז זה שתי הגדרות, עובד ואחראי, בגלל זה הבלבול.

<מאיר גופשטיין: לא אמרתי שיש בלבול.

יעל כהן-פארן: לא, הבלבול הוא בהגדרה.

יעל כהן-פארן: כאילו היא כן הייתה חתומה - - -

<מאיר גופשטיין: מה שהגדיר החשכ"ל - - -

יעל כהן-פארן: היא כן הייתה חתומה במסמכים מסוימים או לפחות לפי החשכ"ל היא הייתה מוגדרת כאחראית, אבל היא לא אחראית.

יעל כהן-פארן: זה מה שהוא אומר כאן, אם הבנתי נכון.

<עצמון מינס: יש מעליה מנהל.

<עצמון מינס: חברת הכנסת, מאיר הדגיש את זה.

יעל כהן-פארן: שמישהו מעליה מנהל אותה.

<עצמון מינס: מנהל אבטחת מידע ברשות הביומטרית הוא עובד מדינה.

אורי מקלב: השאלה היא אחרת, אבל אם היא הייתה אחראית היא הייתה צריכה להיות עובדת מדינה?

<עצמון מינס: בוודאי.

יעל כהן-פארן: כל הצוות לא צריך להיות - - -

<מאיר גופשטיין: אני אדגיש שכל בעלי התפקידים שיש להם סמכות ואחריות בדרג של מקבלי החלטות או קובעי מדיניות ברשות הביומטרית הם עובדי מדינה, חד וחלק.

אורי מקלב: עורכת דין מרגלית לוי.

אורי מקלב: לא רגילים כאן, אני כבר מכיר אותך שאת מגיעה לעוד ועדות, את לא כאן נציגת הצבא, ראיתי שיעל לא כל כך מבינה איפה היועצת המשפטית.

יעל כהן-פארן: זהו, אני לא הבנתי.

אורי מקלב: אז זה מילואים וקיבלת שחרור בשביל הוועדה הזאת.

<מרגלית לוי: אני אכן במילואים, היה תרגיל מוסדות חינוך היום והייתי ב - - -

<עצמון מינס: תגידי שהיית מנהלת התרגיל, לא תרגיל.

אורי מקלב: אני מקווה שלא פגמנו באיכות.

אורי מקלב: אחראית אמיתית, לא אחראית רק לצורך תשלום.

<מרגלית לוי: בהגדרה אני מפקדת יחידת הקישור של עיריית ירושלים של ניר ברקת.

אורי מקלב: הייתי מחזיק תיק החינוך החרדי בעיריית ירושלים.

<מרגלית לוי: רק לעניין המשפטי, להבהיר את הנקודה.

<מרגלית לוי: יש שני סעיפים בחוק שמדברים על עובדים ברשות הביומטרית.

<מרגלית לוי: הסעיף הראשון מדבר על הכלל.

<מרגלית לוי: הכלל הוא שכל עובד ברשות יהיה עובד מדינה ולא ימלא שום תפקיד אחר מלבד תפקידו זה.

<מרגלית לוי: בעצם בתהליך עצמו של חקיקת החוק, הרעיון שבבסיס החקיקה או בסעיף הזה היה שלא יהיו עובדי מדינה ממשרדים אחרים שמתניידים ממשרד אחד לשני ועוברים דרך הרשות הביומטרית ולכן מוגדר באופן חד משמעי שעובד בתוך הרשות, הוא יהיה עובד מדינה ולא ימלא תפקיד אחר מלבד התפקיד הזה.

<מרגלית לוי: זה הכלל.

<מרגלית לוי: החריג לכלל הוא בעצם סעיף 13 שמדבר על צוות עובדים שתהיה להם הרשאת גישה למאגר הביומטרי.

<מרגלית לוי: המחוקק הכיר בעובדה שבתנאים מסוימים לא ניתן, יש מגבלה או אין יכולת, גם בתנאי השירות הציבורי, להעסיק אנשי מחשוב ברמה כזאת או אחרת שנדרשים לתפעול שוטף של המאגר הביומטרי, קיימת אפשרות להעסיק עובדים שאינם עובדי הרשות ושהם חיוניים לרשות ושלא נמצא להם שום מחליף אחר מבין עובדי הרשות ובתנאי שיחולו עליו כל התנאים שחלים על עובד מדינה, לרבות כל התהליך שהוא נדרש לאבטחת המידע, הסיווג הביטחוני, האישור הנדרש וכמובן ליווי.

<מרגלית לוי: גם כשהוא נכנס למאגר הביומטרי הוא חייב להיות מלווה בעובד מדינה.

אורי מקלב: יש הגבלה באיזה תפקיד, או בתפקיד שיש גישה למאגר?

<מרגלית לוי: אנחנו מדברים על גישה למאגר.

<מרגלית לוי: המחוקק אפשר בתהליך הזה לגייס עובדים מן החוץ ובתנאי שהם עוברים את כל מנגנוני הפיקוח והבקרה לרבות חתימה, אישור מפורש של השר ושל ראש הממשלה.

<מרגלית לוי: זאת אומרת כל אחד כזה חדש שאנחנו צריכים, גם אם הוא עובד מדינה, אנחנו חייבים לעבור את התהליך הזה של החתמת השר, להסביר את הנימוקים, להחתים את ראש הממשלה באופן אישי, ורק אז הם מקבלים את האישור אחרי כל התהליך הזה.

אורי מקלב: זאת החקיקה החדשה שעכשיו עברנו, לפני שנה.

<מרגלית לוי: כן.

<מאיר גופשטיין: אני חייב להדגיש, שיהיה ברור, יש פה לפעמים בלבול בין הרשות הביומטרית, מאגר ביומטרי.

<מאיר גופשטיין: כשאנחנו מדברים על המאגר הביומטרי אנחנו מתכוונים לצבר הנתונים, לליבה, הנתונים הרגישים ביותר שעליהם אנחנו מדברים כבר שנים.

<מאיר גופשטיין: גישה לנתונים המסוימים האלה מתאפשרת לעשרה עובדים בלבד כאשר כל העובדים האלה הם עובדי מדינה ללא יוצא דופן.

<מרגלית לוי: למרות שהחוק מאפשר להעסיק עובדים חיוניים שאינם עובדי מדינה עובדתית, נכון להיום, אין עובדים שהם עובדי חוץ שיש להם הרשאת גישה למאגר.

<מרגלית לוי: עובדתית, למרות שקיימת אפשרות כזאת.

יעל כהן-פארן: אבל מי שאחראי על אבטחת המידע, יש לו - - -

<מאיר גופשטיין: אין לה גישה לנתונים הביומטריים.

יעל כהן-פארן: אין לו גישה לנתונים, אני מבינה, אבל יש לו אחריות לאבטח אותם, ופה אני מעלה את החשש שאתה נותן לעובדים חיצוניים, לחברה חיצונית, להיות אחראית על בניית החומה שלך, אולי יגיע מישהו שיש לו אינטרס להשאיר איזה לבנה רופפת והם ידאגו לכך.

אורי מקלב: את צודקת, אבל החוק מאפשר היום.

יעל כהן-פארן: אז זה מאוד בעייתי.

אורי מקלב: יכול להיות שיש לאקונה, אבל החוק אומר ככה, לגישה למאגר - - -

יעל כהן-פארן: אין להם גישה, יש להם רק גישה לאבטחה.

אורי מקלב: לא, אבל גישה למאגר יכול להיות עובד חוץ ובתנאי שהוא עומד ב - - -

<מאיר גופשטיין: אני חייב לומר שגם בגופים אחרים - - -

יעל כהן-פארן: לא, הם אומרים שלא.

אורי מקלב: באופן המעשי הפרקטי כולם עובדי מדינה, זה מה שהוא אומר, הוא מוסר הודעה, עשרה עובדים, לעשרה יש אפשרות ל - - -

<מרגלית לוי: עובדתית.

<מאיר גופשטיין: אני חייב לציין - - -

אורי מקלב: אתה לא חייב, אתה חייב כדי שאנחנו נבין.

<מאיר גופשטיין: אני אומר שגם - - -

יעל כהן-פארן: רק שנייה, אנחנו מנסים להבין.

אורי מקלב: אבל רק שנייה, אין סערה פה, לא דרמה, בוא נבין את זה.

אורי מקלב: אתה יודע דברים, אנחנו רוצים להבין.

אורי מקלב: אנחנו בשלב ההבנה, אנחנו עוד לא רוצים תגובה, אנחנו רוצים להבין את הדברים.

אורי מקלב: מה שאנחנו אומרים עכשיו זה רק לראות אם הבנו.

אורי מקלב: אנחנו ככה אומרים, הגישה, שזה נניח הרף הכי גבוה, שצריך סיווג הכי גבוה, ששם גם הליבה של החשש שלנו.

אורי מקלב: אני רוצה להגיד במאמר מוסגר, כשאנחנו דיברנו בדיונים, אנחנו ליווינו את החוק הזה, אני עמדתי בראש הוועדה כשניסן ביקש ממני לנהל את החוק הביומטרי - - -

<ענת לוי: זו הייתה ועדה משותפת.

יעל כהן-פארן: נכון, מדע, פנים וחוקה.

אורי מקלב: בזכות זה אני ניהלתי את זה, ואנחנו אז דיברנו על כך שהחשש שלנו לא על פריצה למערכות המאגר, החשש היותר גדול שלנו היה זליגה של המאגר.

אורי מקלב: יש הבדל בין פריצה למאגר לבין זליגה של מאגר.

אורי מקלב: אמרנו, פריצה למאגר הביומטרי, אז יש לנו עוד הרבה דברים במדינה, אם מישהו יגיע למאגר הביומטרי אז הוא יגיע גם לפצצת האטום שלנו ולדברים הרבה יותר חמורים, זה כמעט באותו סיווג.

אורי מקלב: ככה ראש הממשלה הודיע, ככה שר הפנים הודיע, זה עבר ביקורת ואני חושב גם ביקורת מעשית של מי שעמד אז בראש הוועדה הביומטרית.

אורי מקלב: שבועיים הוא ניסה לפצח את זה בכל השיטות וככה נאמר, מה שהיה מותר להגיד כאן בוועדה, ולא הצליחו.

אורי מקלב: זאת אומרת זה היה המקסימלי שיש מבחינת הסיווג.

אורי מקלב: ראש הממשלה עצמו, עם הרגישות הגבוהה שיש לו בעניין הזה, הוא אמר שזה בסדר.

אורי מקלב: זה היה תהליך בשביל להניח את דעתנו בנושא הזה.

אורי מקלב: הבעיה הייתה הזליגה.

אורי מקלב: זליגה יכולה להיות גם ממאגר הכי - - - אם עובד, כמו שקרה, לוקח נתונים ושם נגמר הסיפור.

אורי מקלב: לכן שם דרישות הסף היו מאוד מאוד - - - שם, עם כל דרישות הסף, בגלל שחששו שבתוך, האוצר לא נותן ועוד כל מיני מגבלות שיש וצריך אנשים מקצוענים מאוד בעניין הזה, שלא רצו שהמגבלה של - - - תיפגע כדי לנהל את המערכת, נכון אמרו שאפשר להביא גם כאלה שהם לא עובדי מדינה, אבל בתנאי שהם עוברים ככה וככה, תנאים כאלה, עד שמי שחותם על אותו עובד צריך להיות שר הפנים וראש הממשלה.

אורי מקלב: זאת אומרת אנחנו מדברים באמת על רמה שנתנו לו את כל העיגונים המקסימליים בעניין הזה.

אורי מקלב: עכשיו, מה שאנחנו עכשיו רוצים לדון, אנחנו מבינים שאנחנו לא מדברים על הגישה, אנחנו מדברים ברף היותר נמוך, איזה ומה ההרשאה שלכם, אתם תסבירו מה ההרשאה, בכמה עובדים, המערכת שלכם היא כמה, 35 עובדים?

<מאיר גופשטיין: פלוס מינוס.

אורי מקלב: בערך, אז אנחנו מדברים בתוך ה-25 עובדים האחרים שבאו בלי הגישה, בואו תספרו לנו עכשיו מה קורה שם.

אורי מקלב: אומרת לך - - - אבטחת מידע זה תפקיד מאוד - - -

<מאיר גופשטיין: אז מה שרציתי לציין ראשית זה שהעסקה דרך בתי תוכנה - - -

שרן השכל: אני מתנצלת, יש לי את יום הקהילה הגאה, איחרתי גם בגלל הוועדות, אני מתנצלת שאני חייבת ללכת.

אורי מקלב: מאה אחוז, אנחנו נעשה את המסקנות ואנחנו נניח את זה על שולחן הכנסת.

שרן השכל: בסדר, תודה.

אורי מקלב: תודה בכל אופן על היוזמה וההצטרפות לדיון המהיר.

<מאיר גופשטיין: מה שאני אומר זה שהעסקה של עובדי חוץ דרך בתי תוכנה או כפי שמכונה עובדי קבלן היא מקובלת בגופים אחרים במדינת ישראל, בגופים הרבה יותר רגישים או מקבילים לגוף שלנו מבחינת המידע והרגישות.

יעל כהן-פארן: אני מתנצלת, אני צריכה לצאת.

אורי מקלב: במקרה של דיון מהיר הנוהל הוא שונה מוועדות אחרות, מדיונים אחרים, שיש פרוטוקול, כאן אנחנו מוציאים פרוטוקול כתוב עם סיכום ומסקנות של הוועדה שמגיעות לשר, השר צריך להגיב ובסופו של דבר זה עולה למליאת הכנסת, לידיעת חברי הכנסת.

אורי מקלב: התהליך הוא קצת אחר, לכן חשוב לנו מאוד בדיוקים ושאלה יהיו דברי הסיכום גם.

<מאיר גופשטיין: אוקיי, לסיכום אני אומר שראשית העובדת - - -

אורי מקלב: אני עדיין לא מבין.

אורי מקלב: אני עוד לא מבין איפה הבעיה.

אורי מקלב: יש לכם אישור להעסיק עובדי חוץ?

אורי מקלב: בסדר, מקובל, אני אומר ברמה היותר גבוהה, איפה עכשיו הבעיה?

<מאיר גופשטיין: הבעיה צצה מכיוון שהעובדת הזאת הייתה רשומה על אחד הטפסים כאחראית אבטחת מידע והטיעון בתקשורת, למרות שאנחנו הסברנו שלא מדובר בעובדות מדויקות, היא לא אחראית - - -

אורי מקלב: אחראית כן צריכה להיות עובדת מדינה?

<מאיר גופשטיין: בוודאי.

<מאיר גופשטיין: ברגע שאתה - - -

אורי מקלב: למה?

<מאיר גופשטיין: ברגע שאתה מדרג קובעי המדיניות, מדרג מקבלי ההחלטות ברשות - -

אורי מקלב: אוקיי, עכשיו הבנו.

<מאיר גופשטיין: - - אתה נושא בסמכות ובאחריות.

אורי מקלב: כמה בעלי תפקידים בתוך הרשות הביומטרית צריכים להיות עובדי מדינה?

אורי מקלב: כמה תפקידים אחראים כאלה יש?

<מאיר גופשטיין: משהו בסביבות 20 אנשים.

אורי מקלב: ורק חמישה הם מסוג - -

<מאיר גופשטיין: כן.

<מאיר גופשטיין: מה שאנחנו אומרים זה ראש הרשות, מנהל אגף הגנת הפרטיות, מנהל אבטחת המידע, האחראי על בסיסי הנתונים, האחראי על הסיסטם, על התשתיות.

אורי מקלב: כל אלה עובדי מדינה?

<מאיר גופשטיין: מנהל מערכות המידע.

<מאיר גופשטיין: הם עובדי מדינה, בוודאי, וגם ברוב המקרים העובדים שמתחתיהם.

אורי מקלב: וכמה עובדים לא מדינה אתם מעסיקים?

אורי מקלב: עוד חמישה?

<מאיר גופשטיין: עוד שישה.

אורי מקלב: זה כל לא עובדי המדינה בתוך המערך הזה.

אורי מקלב: ואתם אומרים שאותה מ', היא בעצם הייתה עובדת שאולי קראו לה לצורך המשכורת, לסיווג משכורת, קראו לה אחראית, אבל בעצם היא לא הייתה אחראית, היה לה מנהל מעליה שהוא היה אחראי וכשיש מנהל אין אחריות.

<מאיר גופשטיין: נכון.

<מאיר גופשטיין: ההרשאות שלה אינן שוות להרשאות שלו, הוא מפקח עליה באופן שוטף.

אורי מקלב: אוקיי.

אורי מקלב: מי רוצה להוסיף בעניין הזה?

אורי מקלב: עצמון, אתה רוצה להוסיף משהו?

<מרגלית לוי: חשוב להדגיש נקודה אחת מרכזית, שעובדים שאינם עובדי הרשות, שוב להדגיש את זה, גם לפרוטוקול, אין להם הרשאת גישה למאגר.

<מרגלית לוי: אני רוצה שזה יודגש.

<מרגלית לוי: כמובן יש פתח בחוק שמאפשר את צורת ההעסקה הזו ושלמעשה אנחנו פועלים יחד עם הממונה על היישומים הביומטריים, ברשות הביומטרית, כדי לצמצם את היקף אותם עובדים ברשות הביומטרית.

אורי מקלב: אותם חמישה-שישה?

<מרגלית לוי: נכון.

אורי מקלב: עצמון, אתה רוצה להוסיף משהו?

אורי מקלב: רק שם ותפקיד.

<עצמון מינס: עצמון מינס, אני ראש רשות המאגר הביומטרי.

<עצמון מינס: אני אגיד בצורה מאוד מאוד כללית שאנחנו מבינים מאוד מאוד מאוד את החשיבות של אבטחת המידע של הביטחון, גם הפיזי, גם טכנולוגי וגם הגנת הפרטיות.

<עצמון מינס: אנחנו משקיעים בזה המון תשומות, המון משאבים, המון תקציבים ולזכותם של מקבלי ההחלטות אפשר לומר שגם לא חוסכים מאיתנו שום דבר ולכן אני אישית מאוד רגוע בנושא אבטחת המידע והגנת הפרטיות של המאגר.

אורי מקלב: אוקיי.

אורי מקלב: מישהו עוד מבקש?

<רועי פרידמן: רועי פרידמן, ממלא מקום ממונה יישומים ביומטריים.

<רועי פרידמן: באופן כללי אנחנו סבורים שהרשות לניהול המאגר הביומטרי צריכה להעסיק את כוח האדם הטוב ביותר שניתן להשיג מבחינת ביומטריה, מבחינת אבטחת מידע.

<רועי פרידמן: זה אינטרס שלנו כגוף פיקוח ואינטרס של הרשות לנהל את זה היטב ואינטרס של כל תושבי המדינה שהרשות הזאת תתנהל בצורה המקצועית ביותר.

<רועי פרידמן: כמו שמרגלית ציינה אנחנו נמצאים בתהליך עבודה, בעבודת מטה, להגדיר היטב את התפקידים והתבחינים לתפקידים השונים וזה יתבצע.

אורי מקלב: יש עוד מישהו שרוצה להוסיף?

אורי מקלב: אוקיי.

אורי מקלב: אז אם ככה לדקת הסיום.

אורי מקלב: קודם כל שמענו, אנחנו מודים לאלה שהעלו את הנושא לדיון מהיר, אני חושב שחשוב שנושאים כאלה לא יהיו רק בתקשורת, אלא גם יקבלו את ההיבט הציבורי וזה השולחן המתאים לדיונים האלה.

אורי מקלב: אני חושב ששני הצדדים צריכים להיות מעוניינים בעניין הזה, גם הגוף המפקח, שזה אנחנו, וגם הגוף המבוקר.

אורי מקלב: בסך הכול יש לכם הזדמנות לענות את התשובות האמיתיות, המקצועיות, ללא הפרעה, בצורה מושלמת, שלא תמיד ניתן בתקשורת, מטבע הדברים.

אורי מקלב: חשוב מאוד שגם התקשורת כאן מילאה תפקיד חשוב, אנחנו התוודענו שוב, אנחנו יכולים להגיד שבסך הכול המערכות הממשלתיות כולן, ודאי גם הרשות הביומטרית, מקפידה ואמונה ויש מודעות, אין הפקרות בנושא של אבטחת מידע.

אורי מקלב: זה חד משמעי.

אורי מקלב: אנחנו הרבה דנים כאן, השולחן הזה שומע הרבה דברים, הממשלה נמצאת בציון מאוד מאוד טוב על שלוחותיה, יש ערנות לדברים האלה, משקיעים הרבה אמצעים, גם מקצועיים, גם כספיים, הנושא הזה נמצא בסדר היום וכשזה קרה לא היינו צריכים - - - זה תרגיל שנעשה טוב, וכמו שאמרתי בתוך דבריי, הנזק הוא לא נזק, זה העלה לנו למודעות, לחדד את הנהלים ובדברים האלה אין אפס תקלות, אין דברים שהם במאת אחוזים, תמיד, כל הזמן קורים דברים וטוב שזה לא משהו דרמטי.

אורי מקלב: אין כאן דברים דרמטיים, אבל בחלק הזה אני חושב שהאירוע היה, הסתיים בהצלחה ואני חושב שזה רק מחדד שאנחנו צריכים להמשיך לעקוב לא רק לגבי הרשות הביומטרית, אלא לגבי כל משרדי הממשלה, כפי שזה התבטא כאן שזה נעשה, חודדו הדברים ויש מעקב אחרי הבירור וחידשו, אפשר להגיד, נהלים חדשים שנעשו בעקבות כך, כך שמבחינת הנזק לא נגרם שום נזק.

אורי מקלב: והנושא הזה, ככל שהממשלה צריכה להוציא למיקור חוץ, והיא צריכה, ולא נראה שהיא תפסיק את התקשרויות החוץ, אנחנו צריכים לחדד את הדברים ולשפר אותם וללמוד תוך כדי התקשרות איך אנחנו תמיד מתייעלים יותר ויודעים להיות טובים יותר ושמורים יותר.

אורי מקלב: זה בחלק הזה.

אורי מקלב: בחלק הפרסונלי, של התפקיד.

אורי מקלב: הדברים מתבררים בבית משפט, בתביעה.

אורי מקלב: כן מכרז, לא מכרז, אני אפילו לא יודע אם לתפקיד שלה יש משמעות בתביעה שלה או לא, אבל זה לא משנה.

אורי מקלב: אנחנו קיבלנו תמונה, שיקפו את המצב החקיקתי, שזה החלק החשוב, על מה מתבססת הרשות הביומטרית באפשרות שלה להעסיק עובדים.

אורי מקלב: יש אפשרות, ניתנה בחוק אפשרות להעסיק עובדים שהם אינם עובדי מדינה, גם בתפקידים של גישה ביומטרית ובתנאי שעומדים בתנאים המחמירים ביותר והיא יכולה לתת הרשאה להיכנס למאגר הביומטרי גם לעובדים שאינם עובדי מדינה.

אורי מקלב: יצוין כי בפועל כל העובדים שיש להם הרשאה וגישה למאגר הביומטרי הם רק עובדי מדינה.

אורי מקלב: במקביל.

אורי מקלב: סך הכול השאיפה ואולי האחריות או הרצון, והרשות חותרת לכך, כפי שגם הוזכר פה, שכל עובדי הרשות הביומטרית, בגלל הרגישות שלה, יהיו כולם עובדי מדינה.

אורי מקלב: כיום מועסקים מספר קטן שהוא בעצם 20% של עובדים, פחות מ-20% של עובדים שאינם עובדים - - - כל העובדים שהם בתפקידי אחראי, שהחוק מחייב שיהיו עובדי מדינה, נמצאים, ממלאים את מקומם רק מנהלים שהם עובדי מדינה.

אורי מקלב: אם אנחנו מפרידים את האירוע, את המקרה הזה, את העובדת, אנחנו באמת יודעים ונאמר פה, וכמובן שזו דרישה שמובנת, שבתפקידים שיש להם סמכויות, שהם קובעי מדיניות וכו', כפי שהחוק הגדיר את זה, ישרתו רק עובדי מדינה וכפי שנאמר פה, הם רק עובדי מדינה.

אורי מקלב: מעבר לכך שאר העובדים, כפי שיכול להיות, להעסיק עובדי מדינה הרי זה משובח.

אורי מקלב: אנחנו ככה באופן כללי נסגנן את זה, אני אעביר את זה גם למציעים ואנחנו נניח את זה.

אורי מקלב: אני חושב שזה היה חשוב מאוד, אני רואה את הישיבה הזאת, כפי שאמרתי בהתחלה, זו לא ישיבה שבאה במתכונת של עריפת ראשים וטענות וצריך להתגונן, היו הבהרות פה, לדעת את העובדות, גם לדעת אם התקלות האלה, התגברו עליהן, ידעו אותן, זיהו אותן, יודעים איך להתמודד איתן וגם מבחינת הפקת הלקחים, אין לי ספק שהלקחים ייושמו.

אורי מקלב: אני מודה למשרדים האחרים ששותפים איתנו, משרד המדע שנמצא פה ומי שהיה שותף איתנו, שיהיה לכם המשך יום טוב.