ועדת החוץ והביטחון, כנסת 25, פרוטוקול מספר 118, 2023-12-19 00:00

יולי יואל אדלשטיין: צוהריים טובים

יולי יואל אדלשטיין:  אני פותח את ישיבת ועדת החוץ והביטחון

יולי יואל אדלשטיין:  אנחנו עוסקים בהצעת חוק התמודדות עם תקיפות סייבר חמורות במגזר השירותים הדיגיטליים ושירותי האחסון (הוראת שעה - חרבות ברזל), התשפ"ד–2023

יולי יואל אדלשטיין:  מדובר בהצעת חוק ממשלתית, לכן אבקש ממערך הסייבר להציג את ההצעה

יולי יואל אדלשטיין:  בבקשה, מכובדיי

ליאת גורפינקל: תודה רבה על הדיון הזה

ליאת גורפינקל:  כדי להיכנס לגוף החוק, קודם כל נסביר את הצורך המבצעי שעליו אנחנו נשענים ומשם ניתן ברשותכם פירוט קצר של מה אנחנו רוצים

נאור שירי: במשך 74 יום מתמודדים עם כמות תקיפות סייבר משמעותיות במרחב הציבורי

נאור שירי:  כמות התקיפות שהתרחשה במהלך 74 הימים האלה היא בין פי 4 לפי 5 יותר מהשגרה

נאור שירי:  התקיפות האלה מכוונות לתשתיות האזרחיות, חלקן תשתיות שתומכות את מאמץ הלחימה דרך תשתיות אזרחיות כאלה ואחרות

נאור שירי:  חלקן תוקפות את המרחב האזרחי ביתר שאת

נאור שירי:       אנחנו מתמודדים עם התקיפות האלה בהכלה

נאור שירי:  אבל ממש עם תחילת ההתקפה התחיל גל תקיפה משמעותי מאוד

נאור שירי:  מספר רב של קבוצות, מעל 10 קבוצות, תוקפות אותנו בישראל במשך כל הזמן הזה

נאור שירי:  בהתחלה התקיפות היו מבוזרות מאוד ועם הזמן נהיו הרבה ממוקדות

נאור שירי:  אשמח להרחיב יותר בדיון סגור כי קשה להיכנס לתוכן המקצועי בדיון

יולי יואל אדלשטיין: בסדר

יולי יואל אדלשטיין:  נחזור להצעת החוק עצמה

ליאת גורפינקל: על רקע הצורך הזה, במהלך המלחמה במרחב הסייבר עלה הצורך להקנות סמכות

ליאת גורפינקל:  אנחנו מבקשים מתן הוראות לספקי שירותים דיגיטליים וחברות אחסון שמזוהים כמעין Hub מרכזי באמצעותו ניתן לממש את התקיפות ולהגיע למספר רב של ארגונים

ליאת גורפינקל:  הבקשה שלנו היא לתקופת הלחימה בלבד, זה גם נמצא בגוף הוראת השעה

ליאת גורפינקל:      הסמכות מוקנית כאשר מגדירים שמדובר בתקיפת סייבר חמורה

ליאת גורפינקל:  תקיפת סייבר חמורה היא תקיפה שמעלה חשש ממשי לפגיעה בביטחון המדינה, טובת הציבור והשירותים החיוניים

ליאת גורפינקל:  כאשר נכנסים לאזור של תקיפה חמורה, ניתנת הסמכות לשלושת הגופים שמטפלים במימד הזה: שב"כ, מערך הסייבר ומלמ"ב, לתת הוראות כדי לסייע לארגונים להתמודד עם התקיפה

ליאת גורפינקל:      קבענו תהליך מדורג מאוד בשיח שלנו עם החברות מכיוון שאנחנו יודעים שאין רגולציה ואין בסיס משפטי לשיח קודם ואחר עם החברות הללו

ליאת גורפינקל:  אנחנו מחויבים להציג תשתית משפטית ועובדתית לבסיס שקבענו לתקיפה חמורה

ליאת גורפינקל:  אנחנו נותנים לספקים אפשרות להתמודד עם התקיפה בדרך שהם יכולים להציע בזמן סביר או לחילופין הם יכולים להצהיר שהם עומדים בתקנית אבטחה שמצמצמת את היכולת להתרחבות התקיפה

ליאת גורפינקל:      מאותו רעיון מסדר ממנו הגענו אל החוק ולאותו מגזר, שכרגע הוא לא מחויב, אבל יש אפשרות להתפשטות רחבה מאוד ולעלייה אקספוננציאלית של מספר התקיפות, אנחנו מאפשרים לגופים שדאגו מבעוד מועד שרמת האבטחה שלהם בהתאם לתקינה מצמצמת את היכולת להתרחב ומאפשרת להתמודד עם תקיפות סייבר, להתנהל בהתאם לשיקול דעתם

ליאת גורפינקל:      אם עברנו את כל התהליך הזה והספק עדיין לא מצליח להתמודד עם התקיפה באופן הולם, אז ניתנת סמכות למתן הנחיות

ליאת גורפינקל:  כאן אנחנו נכנסים לגוף החוק

ליאת גורפינקל:  הסמכות למתן הנחיות לספקים כיצד להתמודד עם התקיפה, בין אם בפעולות בחומר מחשב ובין אם בדרישת ידיעות ומסמכים

ליאת גורפינקל:  באותו זמן אנחנו צריכים להתחשב הן בשיקולים של עלות כלכלית, הן בשיקולים של מידתיות, לנקוט באמצעי שפגיעתו פחותה והן בהיבטי פרטיות

ליאת גורפינקל:      קבענו גם סעיפי סודיות ומחיקת מידע שהם סעיפים אוחרים

ליאת גורפינקל:  גם יש מנגנונים לפיקוח: אפשר להשיג על ההחלטה המינהלית בבית משפט לעניינים מינהליים וכמובן שאנחנו נדווח כל שבועיים ליועצת המשפטית לממשלה ולוועדה המכובדת הזו

יולי יואל אדלשטיין: תודה לכם

יולי יואל אדלשטיין:  יש עוד גורמים מטעם הממשלה שרוצים להתייחס? בשלב זה אין

דרור גרנית: - - -     

יולי יואל אדלשטיין: ברור, ברור

יולי יואל אדלשטיין:  למערך הסייבר אני אומר שאם אתם רוצים את התמיכה שלי, תמצאו פטנט להתמודד עם הקמפיין הפרו פלסטיני על הטלפן שלי בימים האחרונים שהשבית לי לגמרי את הטלפון, ולא רק לי, אני מבין

רם בן ברק: גם אני מתנה את ההצבעה שלי בזה

יולי יואל אדלשטיין: מצאנו קונצנזוס

ליאת גורפינקל: צריך לעשות את זה בהתאם למדרג

יולי יואל אדלשטיין: אנחנו נשמע נציגי מספר גופים שהוזמנו

יולי יואל אדלשטיין:  ליאור פרנקל, בבקשה

ליאור פרנקל: תודה רבה

ליאור פרנקל:  אני יושב-ראש פורום הסייבר של איגוד ההייטק

ליאור פרנקל:  אנחנו חלק מהתאחדות התעשיינים

ליאור פרנקל:  בנוסף לכך, אני יזם ומנכ"ל של חברת Waterfall Security שהיא חברת סייבר ישראלית

ליאור פרנקל:       בשגרה פורום הסייבר עובד על חיזוק החוסן של המגזר היצרני בישראל ולסייע לחברות הסייבר הישראליות כסקטור

ליאור פרנקל:  אנחנו כמובן עובדים בשת"פ בונה ופורה עם מערך הסייבר באופן קבוע, מכירים ומבינים את השיקולים

ליאור פרנקל:  אנחנו כמובן בעד החיזוק של יכולות המדינה להתמודד עם תקיפות סייבר משמעותיות וקל וחומר תוך כדי המלחמה אנו תומכים ומחזקים

ליאור פרנקל:      עם זאת, דעתנו היא שהחוק המוצע הוא מוגזם, הוא נראה לנו ככלי לא מידתי ויש לו פוטנציאל נזק די גדול לחברות במגזר ההייטק במיוחד וגם בחברות בינלאומיות ששוקלות להיכנס לפה וצריכות להבין את המצב החוקי

ליאור פרנקל:      לדעתנו היה עדיף להשתמש באחת מתשתיות הרגולציה הקיימות של - - - או של מלמ"ב שב"כ, להרחיב ולשפר אותה

ליאור פרנקל:  זו גם המלצתנו גם עכשיו

ליאור פרנקל:  אנחנו מוטרדים מכך שאין נושא של שיפוי בחוק הזה

ליאור פרנקל:  כשמגיע גוף מדינתי על-פי חוק ומייצר השפעה והתערבות על תשתיות של חברה פרטית שהוא אינו מכיר אותה – זו הרי ההגדרה פה, אלה חברות שאנחנו לא מכירים ולא מפקחים עליהן ביום יום – ההשפעות של זה יכולות להיות הרסניות לחברה: מניעת פעילות, נזקים למידע של לקוחות, תביעות מלקוחות וכולי

ליאור פרנקל:  הנושא של שיפוי צדדים שלישיים על נזק שקרה חייב להיות מטופל בחוק – כל הנושא הזה נמצא בערפל

ליאור פרנקל:      אנחנו חשים שההגדרה של חברות בתחולת החוק – אני לא עורך דין, אני מקווה שאני אומר את זה בצורה נכונה – רחבה ועמומה ומישהו עם גמישות מחשבתית יכול להגדיר כמעט כל חברת הייטק שיש מערכות מחשוב ומידע ולקוחות כנמצאת תחת החוק הזה, נראה לי שזו לא המטרה

ליאור פרנקל:  היינו ממליצים לצמצם ולהגדיר ממש בצורה מדויקת את ההגדרה של התחולה מבחינת החברות

ליאור פרנקל:      בנוסף, אותו עובד מוסמך אשר מטעם הגופים שבחוק הוא זה שנמצא בקשר עם החברות ומפעיל אותן ואומר להן מה לעשות, בגלל פוטנציאל הנזק ובגלל ההשפעה, אנחנו חושבים שצריכה להיות לו הגדרה למינימום הסמכה ויכולות

ליאור פרנקל:  כרגע הן לא מוגדרות

ליאור פרנקל:  מישהו שמתקשר או מגיע מטעם מערך הסייבר, מטעם השב"כ, לארגון קיים שיכול להיות חברה מורכבת עם המון השפעות – אנחנו מניחים כך, לחברה קטנה שלא מעניינת אף אחד לא היו מגיעים

ליאור פרנקל:      אדם כזה חייב להיות עם מינימום שנות ניסיון, עם הכשרה רלוונטית, אולי עם יידע בתחום העיסוק השל החברה

ליאור פרנקל:  כשהיא חברה בתחום data centers, אז שיהיה מישהו שמכיר את זה ואם זו חברה יצרנית של תרופות, לדוגמה, שיהיה מישהו שמכיר את התחום, אחרת איך הוא יידע לעשות את העבודה שלו בצורה רצינית? זה נושא מהותי

ליאור פרנקל:      אלה עיקרי ההערות הספציפיות שלנו

ליאור פרנקל:  כפי שאמרתי, לדעתי, היה נכון לקחת חוק קיים ולהרחיב אותו

ליאור פרנקל:  אני מבין שזה כנראה לא יהיה המצב, אבל אלה עיקר ההערות שלנו

ליאור פרנקל:  שלחנו רשימה מפורטת יותר ואנחנו מקווים שייקחו אותן בחשבון

יולי יואל אדלשטיין: תודה, ליאור

יולי יואל אדלשטיין:  כמוך, אני לא עורך דין, אבל בנוסף לזה אני גם לא בא מתחום הייטק אבל אני רוצה להבין

יולי יואל אדלשטיין:  מה שמדאיג אותך כנציג החברות האלה בדיון זה לאו דווקא הוצאות שנגרמות, אם יש כאלה, לחברה מעצם ההתערבות, זאת אומרת, אם אני בא אליך בתור נציג מערך הסייבר או השב"כ ואומר: תעשה כך וכך

יולי יואל אדלשטיין:  ובשביל זה אתה צריך אולי לקחת מומחה נוסף או שעות ייעוץ, זה פחות מדאיג אותך

יולי יואל אדלשטיין:  מדאיג אותך שיכול היווצר מצב שאם נתת שירות לחברת תרופות, לצורך העניין, ועד שתתארגן מחדש אתה לא מסוגל לתת שירות נאות, יכולה החברה להפסיק איתך את החוזה או לתבוע אותך אפילו

יולי יואל אדלשטיין:  אני מבין נכון? זאת אומרת, לא הוצאות מיידיות אלא נזק אגבי או עתידי יכול להיגרם

ליאור פרנקל: כן

רם בן ברק: אם לא היו ניגשים אליך ולא מנסים למנוע, היה נגרם נזק גדול יותר, אפילו אולי פי 10

ליאור פרנקל: את זה אי-אפשר לדעת

רם בן ברק: אפשר לדעת

ליאור פרנקל: יכול להיות שהיה נגרם נזק יותר גדול, יכול להיות שהנזק שנגרם בגלל השינויים

ליאור פרנקל:  אותו מנחה שמבקש את השינויים לא מכיר את הארגון

ליאור פרנקל:  יכול להיות שהנזק הפוטנציאלי של זה גדול יותר

ליאור פרנקל:  יכול להיות שהוא יפתור את הבעיה אבל חברות לקוחות שלי יתבעו אותי כי הפסקתי לתת להן שירות

ליאור פרנקל:  אומנם מנעתי את תקיפת הסייבר, אבל יש לי חוזה עסקי איתם

ליאור פרנקל:  הייתי צריך לתת להם שירות אבל לא יכולתי לתת

רם בן ברק: אבל לא רק מנעת את התקפת הסייבר עליך, אתה גם מנעת את האפשרות שדרכך יגיעו אליהם

ליאור פרנקל: לא לכל תקיפת סייבר הנזק - - -     

רם בן ברק: אנחנו מדברים על תקיפות סייבר שיכולות לגרום לנו נזק

רם בן ברק:  אתה אומר שאנחנו ניכנס אליך למחשב ובגלל שנעשה את זה בצורה לא מקצועית נגרום לנזק במחשוב שלך

רם בן ברק:  אני חושב שאם זה ורה, צריך לפצות אותך, נגיע לזה

רם בן ברק:  צריך להבין שכאשר יש תקיפת סייבר שלא מטופלת הנזק הוא פי כמה

ליאור פרנקל: פי מאה

ליאור פרנקל:  אני מסכים 

ליאור פרנקל:  אני חושב שהשורה התחתונה היא שהנושא הזה מורכב מאוד

ליאור פרנקל:  כמו שאמרתי, נכון היה לעבוד על תשתית קיימת שכבר יש בה את האיזונים האלה ויש בה את המחשבה הזו מראש

ליאור פרנקל:  אם נגרם נזק בגלל ההנחיות האלה, צריך להיות שיפוי בחוק

ליאור פרנקל:  כמובן שיש מקרי קצה וכל מיני נושאים וקשה לחשוב על הכול מלמעלה

יולי יואל אדלשטיין: תודה

יולי יואל אדלשטיין:  משרד המשפטים, דרור, אתה רוצה להתייחס בשלב זה?     

דרור גרנית: נאמרו פה כמה וכמה דברים שהם לא מדויקים או מפספסים את הדיוקים שניסינו לייצר

דרור גרנית:  אולי ניגע בזה תוך כדי ההקראה ואז אפשר יהיה לדבר על זה באופן קונקרטי ביחס לטקסט

יולי יואל אדלשטיין: אני גם מציע כך

יולי יואל אדלשטיין:  אם הבנתי נכון את מר ליאור פרנקל, הוא גם אמר שהוא מבין שלא נבטל עכשיו את החוק

יולי יואל אדלשטיין:  אני מציע שבמסגרת ההקראה תתייחסו להצעות הספציפיות שעלו כאן לתיקונים אלה ואחרים

יולי יואל אדלשטיין:  עורך הדין ד"ר עומרי רחום טוויג, בבקשה

עמרי רחום טוויג: תודה

עמרי רחום טוויג:  אני שותף במשרד פישר-בכר, מרכז את תחום הסייבר וטכנולוגיות המידע במשרד וכפועל יוצא, מייצג חברות טכנולוגיה רבות שההצעה הזאת תשפיע עליהן

עמרי רחום טוויג:  בכובע אחר אני מרצה וחוקר בפקולטה למשפטים באוניברסיטת תל אביב בתחום דיני הסייבר

עמרי רחום טוויג:  לכן חשבתי שהדיון הזה הוא דיון רלוונטי להיות בו

עמרי רחום טוויג:      קודם כל, מילה טובה בפתיחה לייעוץ המשפטי של מערך הסייבר שעשה הליך שיתוף ציבור ראוי, מפרסום התזכיר ועד הצעת החוק

עמרי רחום טוויג:  לקחתי חלק בתהליך הזה

עמרי רחום טוויג:  חלק מהדאגות של התעשייה באו לידי ביטוי וזה ראוי לציון – לא תמיד זה קורה

עמרי רחום טוויג:      בכל זאת, צריך לזכור שכרעיון מארגן, שלהצעת החוק הזאת יש תכלית ספציפית מאוד שבאה לידי ביטוי בדברי ההסבר, כמו שגם הציגו מערך הסייבר

עמרי רחום טוויג:  זו הוראת שעה ספציפית ומסננות התחולה השונות שמופיעות בהצעה הן בהחלט מאפשרות קונספטואלית להפוך את הסמכות הפולשנית יחסית שניתנת לגופים מדינתיים מדתית יותר, אבל אלוהים נמצא בפרטים, בכל אחת מהמסננות האלה יש עדיין חריקות ניסוח

עמרי רחום טוויג:  אנחנו ניכנס אליהן בהקראה

עמרי רחום טוויג:      מה שצריך להנחות אותנו כשאנחנו מסתכלים על ההגדרות התחולה השונות זה, אחד, שכל אחד מהרכיבים אכן מתכתב עם תכלית החוק כפי שהיא באה לידי ביטוי בדברי ההסבר

עמרי רחום טוויג:  זה לא חוק כללי, זה חוק ספציפי כהוראת שעה למטרה ממוקדת מאוד; שתיים, לזכור שבסוף – זה מתכתב גם עם דבריו של ליאור – הסמכות האולטימטיבית שניתנת או שמוצעת בהצעת החוק הזאת היא סמכות להפקיע מעסקים פרטיים את שיקול הדעת שלהם איך לנהל אירוע סייבר

עמרי רחום טוויג:      נכון שבמצבי קצה שבהם גוף פרטי לא מתמודד בכלל עם אירוע סייבר, אז בוודאי שכל הנחיה רק תועיל ותשפר את המצב

עמרי רחום טוויג:  אבל בהחלט יכולים להיות מצבים – וזה גם עונה אולי לדבריו של חבר הכנסת – בהם יהיו מחלוקות מקצועיות

עמרי רחום טוויג:  כלומר, בהחלט יכול להיות שארגון שמכיר את עצמו ומכיר היטב את מערכות המידע שלו ומעסיק מומחי אבטחת מידע, יחשוב שנכון להתנהל באירוע אחרת מאיך שגורמים מדינתיים אחרים חושבים

עמרי רחום טוויג:  ההצעה כאן מציעה להפקיע את שיקול הדעת הזה

עמרי רחום טוויג:      יכול להיות שבנסיבות מסוימות זה מוצדק במסגרת כוחה הכופה של המדינה, אבל יש לזה השלכות וההשלכות האלה חייבות להילקח בחשבון, ככה שזה לא תמיד מצב של אפס או אחד, גם במובן ההשלכות וההשפעות השליליות או החיוביות שהתערבות כזאת יכולה לייצר

עמרי רחום טוויג:      אנחנו נדבר על הפרטים כשנגיע להקראות הסעיפים אבל בסוף צריך לזכור עוד דבר: זו אומנם הוראת שעה, אבל זה חוק חדש באופיו במסגרת הסמכויות שניתנות לגופים – לחלק מהגופים הייתה סמכות, לשב"כ כמובן יש סמכויות מסוימות גם היום, נדבר על חוק השב"כ החדש כשנגיע אליו יום אחד – ורשויות אחרות, נציגי מלמ"ב או נציגי מערך הסייבר, מקבלים סמכויות חדשות שלא היו על השולחן עד היום

עמרי רחום טוויג:  כל מי שעוסק או מעורב בתהליכי חקיקה יודע שיש איזשהו Anchoring effect

עמרי רחום טוויג:  ברגע שעובר דבר חקיקה עם הגדרות מסוימות, עם סעיפי תחולה מסוימים, כשיעבור יום אחד חוק הסייבר הכללי יש להניח שהוא ישאב השראה מדבר החקיקה הזה

עמרי רחום טוויג:  לכן צריך להיות מדויקים על אף שמדובר בהוראת שעה שתפוג בשלב מסוים

עמרי רחום טוויג:  תודה רבה

יולי יואל אדלשטיין: טל מימרן ממכון תכלית, בבקשה

טל מימרן: תודה, אדוני היושב-ראש

טל מימרן:  ראשית, אנחנו מברכים על מהלך החקיקה הנוכחי

טל מימרן:  הוא מהלך נחוץ בעת הנוכחית במסגרת מלחמת קוממיות שמאתגרת גם את מרחב הסייבר ונכון שכל מערכות המדינה יתגייסו סביב המאמץ הזה

טל מימרן:      באותה נשימה, חשוב לזכור שהמהלך הנוכחי מהווה שינוי תפיסתי פרדיגמטי במערך היחסים שבין גופי מודיעין וביטחון לבין השוק הפרטי

טל מימרן:  אנחנו נציג שלושה צעדים קונקרטיים על מנת לוודא שהמהלך הזה יהיה גם בר יישום ובר קיימא ויהפוך למכפיל כוח שבו גם השוק הפרטי וגם גופי המודיעין והביטחון יוכלו להירתם יחד סביב המאמץ המשותף

טל מימרן:      הדבר הראשון שנציע הוא להגדיר את כללי המשחק בצורה ברורה יותר, למשל, לגבי חלוקת אחריות במהלך ההתמודדות עם התקפת סייבר וגם היבטים טכניים כמו אופן העברת הדרישה, בכתב או לא, באמצעות איזה נציג וכן הלאה

טל מימרן:      הדבר השני שאנחנו מציעים הוא למקד את העיסוק והניהול של מידע שייאסף אגב הפעלת הסמכות

טל מימרן:  חשוב להגדיר באיזה מאגרי מידע יוחזק המידע, האם ניתן להעביר אותו ממאגר מידע ממשלתי אחד לאחר ואם כן, באילו תנאים

טל מימרן:  מתי בדיוק מוגדר מועד סיום התקיפה במתקפת סייבר חמורה

טל מימרן:  כמובן, אפשר לשקול סנקציות נגד מי שלא עומד בדרישות למחוק מידע ומי שמייצר נזק כתוצאה מזה

טל מימרן:      הדבר השלישי נובע משני הדברים הראשונים

טל מימרן:  לאור העובדה שיכולות להיווצר אי-הבנות או אי-הסכמות במהלך התמודדות עם תקיפת סייבר חמורה, ראוי לשקול מנגנון ערעור שאינו שיפוטי, שיהיה נתון לרשות שלטונית אחרת ויאפשר לחברות הפרטיות להביע את עמדתן אם לגבי לקיומו של חשש ואם לגבי אופן ההתמודדות איתו

טל מימרן:      נסיים באמירה עקרונית שברור לנו שמדינת ישראל של אחרי ה-7 באוקטובר היא מדינה אחרת

טל מימרן:  אנחנו נמצאים בהליכים של שינוי מבחינת האופן בוא אנו מאזנים בין ערכים שונים וגם מבחינת מתן סמכות ואחריות שאנו דורשים מגופי ביטחון ומודיעין, וראוי שהם יקבלו את הכלים לממש את הפוטנציאל שלהם

טל מימרן:  באותה נשימה, כפי שציין חברי עמרי, לא ניתן למנוע את האפשרות שמה שקורה כאן הוא בעצם פיילוט שיבסס מהלך רחב יותר בהמשך או שפשוט כמו שקורה במדינת ישראל, הזמני ייהפך לקבוע

טל מימרן:      אנחנו ממליצים על שלושת המעדים הקונקרטיים הללו, אבל כאמור אנחנו בעד חיזוק מעמדו של מערך הסייבר הלאומי

טל מימרן:  תודה רבה

יולי יואל אדלשטיין: טל, מה אתה רואה בעיני רוחך כשאתה מדבר על גוף לא שיפוטי מולו חברות יכולות להביע את דאגתן? 

טל מימרן: יכולה, למשל, לקום ועדה מתוך שלושת הגופים הרלוונטיים או מתוך גוף שלטוני אחר שלא נתון באירוע, למשל, הרשות להגנת הפרטיות או גורם אחר שיאפשר העלאת קובלנות וגם פתרון של בעיות באופן מהיר יותר מאשר פנייה לבית המשפט

טל מימרן:      הדבר חשוב גם בשביל לתת ביטחון ואמון לתעשייה פרטית שתרצה לשתף פעולה וגם בשביל להתוות את הדרך קדימה

טל מימרן:  כל מחלוקת שתיפתר מהר היום, תוכל לחסוך אותה מחלוקת בעתיד

יולי יואל אדלשטיין: רעיון מעניין רק צריך לעבד אותו

יולי יואל אדלשטיין:  אם נעסוק עכשיו בהקמת גוף נוסף, אני מזכיר לכולנו שאפילו הוראת השעה הזו היא ל-6 חודשים ואני עוד לא אומר שאנחנו אישרנו את ששת החודשים האלה, עד שנקים את הגוף - - -     

טל מימרן: אין ספק, המנגנון צריך להיות תואם להיקף המהלך

מירי פרנקל-שור: קיימנו ישיבת הכנה עם כל גופי הממשלה בסוף השבוע שעבר

מירי פרנקל-שור:  הרבה מההערות העברנו אליכם, גם הצעות לפתרון

מירי פרנקל-שור:  בנקודה הספציפית הזו אנחנו גם סוברים שפנייה לבית המשפט לעניינים מינהליים לא רלוונטית לסד הזמנים שצריך לתת כרגע את המענה

מירי פרנקל-שור:      חשבנו גם שצריך להקים פה איזו ועדה

מירי פרנקל-שור:  זה לא סיפור גדול

מירי פרנקל-שור:  יש כבר תקדימים בחקיקה

מירי פרנקל-שור:  היא צריכה להיות באמת רלוונטית לאירוע שעליו אנחנו מדברים, שיותר נצלול אליו ונלמד אותו כאשר נקרא לפרוטרוט את הצעת החוק

מירי פרנקל-שור:  בהחלט מסכימים להערה הזאת

יולי יואל אדלשטיין: אין הרבה דוברים, אבל יש עוד כמה

יולי יואל אדלשטיין:  אני מבין, מירי, את מה שאת אומרת, אבל מניסיוני אם נתחיל להקים עכשיו ועדות בין כמה גופים בהסכמת כל השרים הרלוונטיים ובקצב שעובדת הממשלה, בוודאי במצב הנוכחי, אז לקראת סיום תוקף החקיקה אנחנו נהיה עם גוף שאפשר לגשת אליו

מירי פרנקל-שור: לא צריך הסכמות

מירי פרנקל-שור:  כבר יש לנו הצעה לפתרון

יולי יואל אדלשטיין: אני סומך עליכם

יולי יואל אדלשטיין:  נעבור למיכל שריג כדורי בזום, בבקשה

מיכל שריג כדורי: תודה רבה, היושב-ראש

מיכל שריג כדורי:  אני מתנצלת שאני לא יכולה לנכוח פיזית, אני לא נמצאת בארץ כרגע אבל היה לנו חשוב מאוד לעלות

מיכל שריג כדורי:  אני מנהלת את פורום חברות הצמיחה וקשרי הממשל של חברת WIX

מיכל שריג כדורי:  הפורום מורכב מ-25 חברות הייטק בוגרות, חברות צמיחה ישראליות

מיכל שריג כדורי:  מעבר לזה שגם אנחנו ניהלנו איזשהו שיח במסגרת שיתוף הציבור ואני מודה מאוד למערך הסייבר על התהליך הזה שהוא חשוב מאוד

מיכל שריג כדורי:      אני רוצה להוסיף על דברי חבריי שדיברו לפני כן שלושה דברים

מיכל שריג כדורי:  אחד, הסוגייה של תחולה רחבה מאוד של החקיקה על כל סוגי החברות

מיכל שריג כדורי:  אנחנו חושבים שחשוב מאוד להצליח להבחין בין חברות ברמת הבגרות והבשלות שלהן להתמודד עם תקיפות סייבר

מיכל שריג כדורי:  אין דין סטרטאפ קטן או חברה בסר גודל כזה או אחר כדין חברה בינלאומית שמעסיקה 70 אנשי מקצוע שעובדים יום ולילה בהגנת סייבר

מיכל שריג כדורי:  כרגע החקיקה לא נותנת לזה מענה

מיכל שריג כדורי:      הדבר השני הוא להזכיר לכולנו כשנצלול לפרטים ונתחיל להתפלפל על סעיף כזה או אחר, בגדול בסיטואציה הנוכחית אנחנו באותו צד

מיכל שריג כדורי:  אנחנו לא רוצים להיות מושא לתקיפת סייבר

מיכל שריג כדורי:  הנזק הראשון והחמור ביותר נגרם לחברה כמונו שסובלת מתקיפת סייבר, ובוודאי מדובר בתקיפת סייבר חמורה, גם במובן העסקי, גם במובן הלאומי, גם בכל מובן

מיכל שריג כדורי:      המטרה היא, בראש ובראשונה, להימנע מהדבר הזה, לדעת למנוע אותו, להכיל אותו, להתמודד איתו ולצמצם נזק ככל שהוא קורה

מיכל שריג כדורי:  אנחנו עובדים בדבר הזה, חברות הצמיחה עובדות בדבר זה 24/7

מיכל שריג כדורי:  זאת אומרת, זה לא שיש כאן שני צדדים, אנחנו כולנו באותו צד

מיכל שריג כדורי:  אני חושבת שמאוד מאוד חשוב, כמו שחבריי אמרו, להסתכל על האיזון שנוצר בסיטואציה הזאת בין ההתערבות הממשלתית, ובעצם הפקעת הסמכות המקצועית מחברות עסקיות

מיכל שריג כדורי:      הנקודה השלישית היא בעצם שהמשחקים שלנו, לצורך העניין, מגרש המשחקים שלנו הוא מגרש משחקים גלובלי ולא פנים-ישראלי

מיכל שריג כדורי:  כשאני צריכה לבוא ולהסביר את החקיקה הזאת, אני מסבירה אותה לבעלי עניין, משקיעים, חברי הנהלה, לקוחות בחו"ל, ואנחנו תמיד צריכים לזכור שהנזק שנגרם – פה אני קצת חולקת על חברי, סוגיית השיפוי היא משמעותית וחשובה, אני רגע רוצה לשים אותה בצד

מיכל שריג כדורי:  כאשר אני רוצה להגיד: ההייטק הישראלי deliver, אנחנו יודעים לעבוד, אנחנו יודעים להגן על עצמנו מתקיפות סייבר, אנחנו יודעים להמשיך לעבוד גם במלחמה

מיכל שריג כדורי:  וזאת אמירה שאנחנו מוציאים החוצה בכל עת

מיכל שריג כדורי:      סיטואציה כזאת בה הממשלה אומרת בחקיקה: אני לא סומכת על החברות הגלובליות המדהימות שלי ואני מפקיעה מהן את הכוח לנהל כמו שהן רואות לנכון

מיכל שריג כדורי:  היא בעייתית ואותה אנחנו מרגישים שצריך לאזן

מיכל שריג כדורי:      אז שוב, אנחנו באותו צד

מיכל שריג כדורי:  אנחנו חושבים שצריך להבחין פה בין חברות בדרך שצריכה להיות מתוחכמת מספיק ואנחנו צריכים כל הזמן לחשוב איך החקיקה הזאת נתפסת בעולם כי שם הנזק המרכזי שלנו כשעוברת חקיקה כזאת שהיא פחות דמוקרטית או יותר פולשנית

מיכל שריג כדורי:  אלה שלוש הנקודות שאני רוצה לציין לקראת הכניסה לסעיפים

מיכל שריג כדורי:  תודה

יולי יואל אדלשטיין: יש עוד דוברים מטעם ארגונים שהוזמנו שרוצים בשלב זה לדבר? לא

יולי יואל אדלשטיין:  רק לפני שנשמע התייחסויות להערות, וזה עלה אצל כמה דוברים, כשהוצג לנו הצורך בחקיקה, עלה שהדאגה של גורמים רלוונטיים: של מערך הסייבר, של השב"כ, לאו דווקא מן החברות הגדולות, המבוססות, שנותנות שרות ובדרך כלל יש להן – אני לא מכיר את המבנה, כמו שהודיתי – איזו מחלקת בטיחות או מומחה או יועץ שמטפל בזה, אלא דווקא מחברות פחות מבוססות, בלי לפגוע באף אחד, שבהרבה מקרים עובדות מן הבית בכלל, ואין להן  משרדים יפים באזור התעשייה הרצליה פיתוח או משהו כזה, חברות של אדם אחד או שניים

יולי יואל אדלשטיין:  ושם בעצם עיקר הבעיה כי שם לא ניתן טיפול נאות לנושא של תקיפות הסייבר

יולי יואל אדלשטיין:  אני מדייק?     

ליאת גורפינקל: אדוני היושב-ראש, חשוב להבין שאנחנו מרגישים שהמדרג שמוזכר כאן, למעשה נותן את המענה לרבות מהטענות שעלו כאן

יולי יואל אדלשטיין: אני שאלתי שאלה ספציפית

יולי יואל אדלשטיין:  האם, כמו שאומרים בבית הזה, כוונת המחוקק – במקרה זה זאת הממשלה –הייתה לטפל בחברות, כמו שאמרתי, פחות מבוססות, עם מיעוט עובדים, גם חברות שאינן בעלות אמצעים לתת מענה נכון וסביר

ליאת גורפינקל: החשיבות היא מתן מענה ראוי להיבטים של היערכות נכונה ומתאימה בהגנת הסייבר על הארגון

ליאת גורפינקל:  לגופים גדולים, לרוב יש להם גם את המודעות

ליאת גורפינקל:  מכיוון שהם יודעים שזו המומחיות, אלה השירותים שהם מספקים למשק, מן הראוי שהשירותים האלה יהיו מוגנים ומאובטחים ולכן הם משקיעים הרבה מאוד תשומות ברמת הגנת הסייבר של השירות

יולי יואל אדלשטיין: עד כאן אנחנו מסכימים לגמרי

יולי יואל אדלשטיין:  אבל כפי שאמר גם ליאור פרנקל, מלשון החוק אפשר להבין שזה בעצם כל חברה, אין איזושהי הפרדה, אין איזושהי הגדרה של חברה

יולי יואל אדלשטיין:  זה גם מתקשר לדברים של הדוברת האחרונה של מיכל, שמחר יכולים לבוא גם לנציגות של מיקרוסופט או אינטל כאן במדינת ישראל ולומר: אנחנו לא מרוצים מכם, אנחנו רוצים להיכנס ולטפל כפי שאנחנו מבינים

ליאת גורפינקל: אז כאן נכנס הנושא של המנעד והמדרג שקבענו

ליאת גורפינקל:  זאת אומרת, ככל שחברה בוחרת לטפל בעצמה ולהתמודד בעצמה התקיפה, זה נמצא בגוף החוק

ליאת גורפינקל:  אנחנו לא נמצאים אפילו בהפעלת סמכות

ליאת גורפינקל:  אנחנו מגיעים ומבינים איך החברה רוצה לטפל ויש לה את חופש הפעולה המלא לטפל ולהתמודד עם התקיפה בעצמה

ליאת גורפינקל:      מה גם שיש לצד זה גם את ההוכחה שיש להם את היכולות על-ידי זה שהם מצהירים שהם עומדים בתקינת אבטחת סייבר

ליאת גורפינקל:  יש שתי אפשרויות שמונחות בפני אותו ספק עוד לפני שהגענו בכלל למתן הנחיות

ליאת גורפינקל:  לגבי מתן הנחיות, חשוב להבהיר שאנחנו לא מדברים על נגיעה במערכות המחשוב, כפי שעלה כאן אולי מתוך אי-הבנה

ליאת גורפינקל:  אנחנו נבהיר את זה גם בקריאת הסעיפים

ליאת גורפינקל:      אנחנו נותנים לחברה הוראות שייסעו לחברה להתמודד נכון יותר עם התקיפה

ליאת גורפינקל:  לא נוגעים במערכות המחשוב שלהם, לא מבקשים מהם לזוז הצידה ומבצעים פעולות שונות

רם בן ברק: אפשר להבין את החוק כך שמאפשרים לכם להיכנס לתוך החברה ולבצע פעולות

רם בן ברק:  ככה אני הבנתי את החוק

ליאת גורפינקל: לא

ליאת גורפינקל:  זו לא הכוונה

ליאת גורפינקל:  נדקדק בזה וזה כתוב בצורה מאוד מפורשת

ליאת גורפינקל:  אנחנו הגבלנו את עצמנו

ליאת גורפינקל:  הכול מתבצע על-ידי החברה

ליאור פרנקל: זה לא משנה אם האצבעות שלכם או האצבעות של הספק כי ההנחיה היא שלכם

ליאור פרנקל:  זה לא משנה

ליאת גורפינקל: זה משנה מאוד

ליאת גורפינקל:  אנחנו לא מתערבים - - -     

יולי יואל אדלשטיין: ליאור, כאן אני דווקא אתן לך דוגמא של הוועדה הזאת: אנחנו חיים את החיים הבלתי אפשריים האלה

יולי יואל אדלשטיין:  עוד בתקופתי כיושב-ראש הכנסת ישבתי עם היועצת המשפטית לא פעם בדיונים כי אנחנו מונחים על-ידי כל מיני גופים מקצועיים במדינה לגבי ביטחון מידע ושמירה על הסוד וכל הדברים האלה, אבל אני לא יכול לתת לאף אחד מן הגופים האלה להיכנס ואפילו לגעת עם האצבע באף אחד מן המחשבים כי אני מפקח עליהם

יולי יואל אדלשטיין:      זאת אומרת, זה לא המקרה שלך, אני רק נתתי את זה כאיזושהי אסוציאציה, שיש הבדל באמת מאוד מהותי אם אומר לי נציג השירות, לצורך העניין כמו שקורה כאן: תשמעו חברים, יש איזה חשש לחדירות בשיטה אחרת ואתם צריכים לטפל בזה

יולי יואל אדלשטיין:  ואז גופים שנמצאים כאן מטפלים בזה, לבין זה שהוא יישב לי פה בחדר סגור ללא פיקוח על המחשב ויכנס לשם

יולי יואל אדלשטיין:  אלה דברים שונים לחלוטין

בן אברהם: אדוני היושב-ראש, אני רוצה להתייחס לסוגיה אחת, להיבט האסטרטגיה שמתווה המערך לטובת ניהול המשבר, כאשר הוא טרם הפקעת הזכות, ואם הוא נכנס כבר פנימה – אז ממש בזמן הפקעת זכות השימוש

בן אברהם:  עצם האסטרטגיה עצמה מקימה הרבה מאוד חבויות אחרות: נזיקיות, תביעות צד ג' וכולי

בן אברהם:  החוק לא מתייחס לאחריות שיש לגוף המנחה באירוע, אלא רק לטובת ההנחיה

בן אברהם:  זאת אומרת, אם אתם כגוף מנחה שמחליט לפעול באסטרטגיה מסוימת לטובת הטיפול באירוע, יש אפשרות שהחשיפה או הנזק לצד ג'  או ללקוחות יהיה גדול יותר

בן אברהם:  לא ראינו התייחסות לסוגיה הזאת במסגרת החוק, אז נשמח שתפרטו יותר ואם פספסנו משהו, אז בפירוט החוק

בן אברהם:      אני רק אגיד בגדול שהחוק מבורך, חשוב מאוד

בן אברהם:  מדינת ישראל נמצאת באירוע סייבר מתמשך עוד  הרבה לפני ה-7 באוקטובר, ואין ספק שזה הלך והתעצם

בן אברהם:  אז החוק הוא ראוי וחשוב

בן אברהם:  באמת, רק בדיקת האיזונים

בן אברהם:  ועוד אמירה אחת, כשניכנס לסעיפים אז ניכנס לזה אולי קצת יותר, על אותו הספק יש חובות רגולטוריות לדיווח על אירוע, שלא מצוינות במסגרת החוק הזה והדבר הזה יכול ליצור קצת בלבול בקרב הספקים כי מרגע שהוא חושב שהמערך מטפל, הוא לא נדרש לבצע הנחיות נוספות: דיווח לבנקים, לרשות להגנת הפרטיות וכולי

בן אברהם:  אולי לזה צריך לבצע איזושהי חשיבה כמדינה, כי אם המדינה נכנסת לאירוע, אולי צריך לתת משהו מתכלל יותר

יולי יואל אדלשטיין: תודה, הדס

יולי יואל אדלשטיין:  בבקשה, חבר הכנסת רם בן ברק

רם בן ברק: זה ברור לגמרי שאנחנו לא אוהבים בכנסת לחוקק חוקים שפוגעים בפרטיות, במיוחד לאור התקופה האחרונה שעברנו, אבל לא ניכנס לזה עכשיו

רם בן ברק:  יש חשדנות טבעית לכל גורם ממשלתי שמנסה להיכנס לקרביים של גורם פרטי ואנחנו לא אוהבים את זה

רם בן ברק:  אז נרגעתי קצת כשהבנתי שכאן מדובר במתן הנחיות ולא בגישה, כמו שאני הבנתי, גישה פיזית לתוך מערכות מחשב

רם בן ברק:  זה הרגיע אותי מאוד

רם בן ברק:      אני חושב, אדוני היושב-ראש, שבחוק הזה יש חשיבות גדולה ואני מציע כמובן לאשר אותו, אבל אני הייתי קובע בהחלטה שהוא לשישה חודשים ואי-אפשר להאריך אותו

רם בן ברק:  אם רוצים להאריך, צריך יהיה לבוא עם חוק חדש אחרי שתחקרנו את מה שהיה בששת החודשים האלה, שמענו את ההערות של האנשים שאולי היו בחיכוך עם החוק הזה, ורק אחרי זה לאשר חוק חדש ולא באופן אוטומטי להאריך בעוד 6 חודשים ובעוד 6 חודשים, בגלל הרגישות

יולי יואל אדלשטיין: כיוונת לדעת גדולים

יולי יואל אדלשטיין:  לא התכוונתי לעצמי, התכוונתי ליועצת המשפטית

יולי יואל אדלשטיין:      טוב, יש לי הצעה

יולי יואל אדלשטיין:  אני מציע שאנחנו נעבור באמת לקריאה של החוק – להקראה, כפי שמקובל לומר כאן – סעיף-סעיף, נשמע את הערות, נעשה דיון איפה שצריך

יולי יואל אדלשטיין:  אני גם אומר לנציגי המקצוע ממערך הסייבר ולאחרים, כעיקרון התכוונו לעשות גם חלק חסוי לקבלת מידע ונתונים וכן הלאה

יולי יואל אדלשטיין:  זה, תסלחו לי על השפה הלא פרלמנטרית, זה בלגן לא קטן

יולי יואל אדלשטיין:  כלומר, אנו צריכים להוציא את כולם ולאחר מכן להחזיר את כולם ולהחזיר את החדר למצב של דיון פתוח, כי אנשים בטח ירצו לשמוע את הקראת הסעיפים ולהעיר את ההערות שלהם

יולי יואל אדלשטיין:  לכן אני מציע שאנחנו נתחיל בהקראה ונשמע את כל הערות על הסעיפים

יולי יואל אדלשטיין:  אם אתם תרגישו שמכיוון שלא קיבלנו את הדיווח החסוי ואת הנתונים וכן הלאה, בכל רגע אתם יכולים לעצור אותי

יולי יואל אדלשטיין:  ולומר, אדוני היושב-ראש, זה לא הולך לכיוונים הנכונים מכיוון שאתם לא מבינים את מהות הטיפול שאנחנו מציעים

יולי יואל אדלשטיין:  אנחנו מבקשים בכל זאת לעדכן אותך ואת חברי הוועדה

יולי יואל אדלשטיין:  אנחנו מיד נעשה את זה

יולי יואל אדלשטיין:  סיכמנו? אוקיי

רם בן ברק: מה גם שאנחנו רובנו מכירים את הנתונים

יולי יואל אדלשטיין: זה ברור

יולי יואל אדלשטיין:  אבל אני אומר  שאם החברים ירגישו שמכיוון שאנחנו לא מבינים את המטרייה אז  לוקחים את זה לכיוונים לא נכונים, אז אני משאיר להם את הזכות לבקש חלק חסוי

יולי יואל אדלשטיין:  בבקשה, עידו תתחיל את הקריאה

עידו בן יצחק: "הגדרות     1

עידו בן יצחק: 	בחוק זה –     	"חומר מחשב", "מחשב", "פלט" ו"תוכנה" – כהגדרתם בחוק המחשבים;     	"חוק המחשבים" – חוק המחשבים, התשנ"ה–1995‏;     	"חוק להסדרת הביטחון" – חוק להסדרת הביטחון בגופים ציבוריים, התשנ"ח–			1998;     	"מלמ"ב" – הממונה על הביטחון במערכת הביטחון כמשמעותו בסעיף 21 לחוק להסדרת 		הביטחון;     	"מנהל מוסמך" – אחד מאלה או ממלא מקומו:     		(1)	ראש יחידת המודיעין וההכוונה בחטיבת איומי סייבר בשב"כ;     		(2)	ראש מרכז תגובה (IR) במערך הסייבר; 	 		(3)	ראש היחידה הטכנולוגית במלמ"ב;     	"מערך הסייבר" – מערך הסייבר הלאומי כהגדרתו בחוק להסדרת הביטחון;     	"ספק" – אחד מאלה:     		(1)	מי שעיסוקו באספקת שירותי אחסון או שירותים דיגיטליים, ומתקיים 			חיבור פיזי או לוגי, קבוע או עיתי, או שמתבצעת העברת חומר מחשב קבועה או 			עיתית, ממחשבי הספק למחשבי מקבל שירותיו; 		 		(2)	מי שעיסוקו באספקת שירותי תחזוקה, ניהול או בקרה של שירותי 				אחסון או שירותים דיגיטליים;     	"עובד מוסמך" – כל אחד מאלה:     		(1)	עובד השירות כהגדרתו בחוק שירות הביטחון הכללי, התשס"ב–2002, 			שהוסמך בכתב לעניין חוק זה בידי ראש חטיבת איומי סייבר בשב"כ או בידי 			ממלא מקומו; 		 		(2)	עובד מערך הסייבר שהוסמך בכתב לעניין חוק זה בידי ראש חטיבת 			ההגנה במערך הסייבר;     		(3)	לעניין ספק של הגופים המנויים בפרטים 2 ו־3 לתוספת הראשונה לחוק 			להסדרת הביטחון – עובד המלמ"ב שהוסמך בכתב לעניין חוק זה בידי ראש 				היחידה הטכנולוגית במלמ"ב;     	"פעולה להגנת סייבר בחומר מחשב" – מתן הוראות למחשב בשפה קריאת מחשב לצורך 		הגנת סייבר, ובכלל זה הוראה לסריקה, עיבוד, הסרה של חומר מחשב הנוגע לתקיפת 		סייבר, התקנת סוג תוכנה שפעולתה מוגבלת לרשת הספק בלבד, חסימה או ניתוק של 		מחשב, או יצירת עותק של חומר המחשב;     	"הפעולות הצבאיות המשמעותיות" – הפעולות הצבאיות המשמעותיות שעליהן החליטה 		ועדת השרים לענייני ביטחון לאומי לפי סעיף 40 לחוק-יסוד: הממשלה‏, והודיעה לגביהן 		לוועדת החוץ והביטחון של הכנסת ביום כ"ג בתשרי התשפ"ד (8 באוקטובר 2023);     	"צה"ל" – צבא הגנה לישראל; 	"שב"כ" – שירות הביטחון הכללי;     	"שירותי אחסון" – שירותי אחסון של חומר מחשב הניתנים בעבור אחר, או שירותי 			אספקת תשתית לאחסון או לעיבוד של חומר מחשב;     	"שירותים דיגיטליים" – שירות שהוא אחד מאלה, הניתן בעבור אחר:     		(1)	שירותי תוכנה לרבות כתיבה, התאמה, שינוי, בדיקה, תמיכה, מחקר 			ופיתוח;     		(2)	שירותי ניהול או הפעלה של מערכות מחשבים המשלבות חומרה, תוכנה 			וטכנולוגיות תקשורת; 		 		(3)	שירותי עיבוד נתונים, הזנתם או שחזורם, התקנה והגדרת תצורה של 			מחשבים, התקנת תוכנה או שירותי הגנת סייבר;     		(4)	אספקה או התקנה של מחשבים או של ציוד בקרה, המהווים חלק 				ממכונות וציוד תעשייתי;     	"תקיפת סייבר" – פעולה או חשש ממשי לפעולה, שנועדה לפגוע שלא כדין בשימוש 			במחשב או בחומר מחשב השמור בו, לרבות –     		(1)	שיבוש פעולתו התקינה של מחשב או הפרעה לשימוש בו;     		(2)	מחיקת חומר מחשב, שינויו, שיבושו או הפרעה לשימוש בו;     		(3)	אחסון או הצגה של מידע או פלט כוזב, או שיש בהם כדי להטעות, 				בהתאם למטרות השימוש בהם;     		(4)	חדירה לחומר מחשב כהגדרתה בסעיף 4 לחוק המחשבים;     		(5)	האזנת סתר לתקשורת בין מחשבים כמשמעותה בחוק האזנת סתר, 			התשל"ט–1979‏;     		(6)	גישה של גורם שאינו מורשה למידע השמור במחשב, ובכלל זה בדרך של 			פגיעה בתהליך הזדהות, או הוצאתו שלא כדין של מידע לרבות בדרך של 				העתקתו, על ידי גורם כאמור; 			 		(7)	הפרעה או מניעה של חיבור של מחשב לרשת תקשורת

עידו בן יצחק: "

יולי יואל אדלשטיין: עד כאן סעיף 1

יולי יואל אדלשטיין:  בבקשה, הערות, הצעות, בבקשה

יולי יואל אדלשטיין:  כן, ליאור

ליאור פרנקל: זו ההערה שלנו מקודם

ליאור פרנקל:  ההגדרה של חברות היא מאוד מאוד מאוד רחבה

יולי יואל אדלשטיין: תפנה אותנו לתת-סעיף

עידו בן יצחק: בעצם שירותים דיגיטליים, אתה אומר

ליאור פרנקל: כן, זו הגדרה מאוד מאוד רחבה, שירותים דיגיטליים

ליאור פרנקל:  כמעט כל חברת הייטק נותנת שירותים דיגיטליים

יולי יואל אדלשטיין: יש לך הצעה? איך היית מנסח פה?     

ליאור פרנקל: אני לא יודע

ליאור פרנקל:  זו ההגדרה שהממשלה רוצה

ליאור פרנקל:  אם יש סקטור ספציפי, אז בואו נגדיר את הסקטור הספציפי או את תחום העיסוק בצורה מדויקת, כי כרגע - - -     

יולי יואל אדלשטיין: אתה אומר שכל חברה שיש לה מחשבים יכולה להיכנס להגדרה

ליאור פרנקל: אני לא אומר את זה בציניות

ליאור פרנקל:  זה מכיל בתוכו הגדרה מאוד רחבה

רם בן ברק: ליאור, אבל למה לא?      

ליאת גורפינקל: חשוב להבין ולדייק

ליאת גורפינקל:  כמו שעומרי אמר, יש כאן מספר מסננות: יש את ההגדרה של שירותים דיגיטליים ושירותי אחסון עבור אחר, ועליהם יש את ההגדרה של ספק

ליאת גורפינקל:  "ספק" מדבר למעשה על הקישוריות הקבועה או העיתית או מתן שירותי תחזוקה

ליאת גורפינקל:  זאת אומרת, אנחנו מגיעים לספקים רק כאשר אנחנו מבינים שמי שנותן את השירותים הדיגיטליים ואת שירותי האחסון הוא למעשה ספק שיש לו חיבוריות קבועה מבחינת מערכות המחשוב והוא נותן שירותים עבור אחר

ליאת גורפינקל:      על זה יש מסננת נוספת שנקראת "תקיפה חמורה"

ליאת גורפינקל:  אנחנו מגיעים רק כאשר יש חשד לתקיפה חמורה שפוגעת בביטחון המדינה, ביטחון הציבור ושירותים חיוניים

ליאת גורפינקל:  זאת אומרת, יש כאן מספר נדבכים שהם קומה על קומה על קומה

ליאת גורפינקל:  אז יכול להיות שההגדרה עצמה היא הגדרה רחבה, אבל עליה אנחנו מוסיפים מספר קומות כך שאנחנו מגיעים לבסיס שמטריד אותנו כמדינה בימי לחימה

ליאת גורפינקל:  את זה צריך להבין

רם בן ברק: מה גם שאפשר לקחת חברה קטנה מאוד ודרכה להגיע לחברה מאוד גדולה

יולי יואל אדלשטיין: זאת הדאגה העיקרית שלהם

רם בן ברק: אנחנו צריכים פריסה רחבה

יולי יואל אדלשטיין: כן, עמרי, רצית להעיר

עמרי רחום טוויג: תודה אדוני

עמרי רחום טוויג:  קודם כל, אני מסכים שבאמת הגדרת שירותי אחסון ושירותים דיגיטליים הן הגדרות רחבות

עמרי רחום טוויג:  אבל זה נכון ששני המונחים האלה קשורים קשר הדוק להגדרת ספק, שהוא בעצם המסננת העיקרית שאמורה לקשור בין נותני השירותים האלה לבין תכליתו של החוק, שהיא כאמור, מניעת התפשטות של מתקפות בין ספק שירותים טכנולוגיים ללקוחותיו

עמרי רחום טוויג:  לקוחותיו, במובן שגם הם עסקים במדינת ישראל

עמרי רחום טוויג:      כדי לגדר בצורה יותר טובה את ההתייחסות למצבים האלה, אפשר בהגדרת המונח "ספק" – אגב, להגדרת המונח "ספק" יש שתי חלופות: אחת, ספק השירותים העיקרי, מי שנותן את התשתית הטכנולוגית שעליה מתבצעות פעולות המחשב השונות; והשנייה, מי שעוזר לספק העיקרי בשירותי תחזוקה

עמרי רחום טוויג:  יש בעיניי גליץ' מסוים בין החלופה השנייה לבין הגדרות שונות בהגדרת נותני שירותים דיגיטליים, כי גם שם יש התייחסות לשירותי תחזוקה, שירותים נלווים שהם לא השירות העיקרי

עמרי רחום טוויג:       אבל בהגדרה העיקרית של ספק, כדי שניתן את המסננת הזאת בסיפה של סעיף (1), מדובר על שירותים שנותן הספק מחשבי הספק למחשבי מקבל שירותיו

עמרי רחום טוויג:  אני חושב שחשוב להבהיר כאן שמקבל שירותיו צריך להיות עסק בפני עצמו

עמרי רחום טוויג:  כשיש גוף שהמחשבים שלו משמשים למתן שירותים למשתמש קצה, בוודאי שיכול להיות סיכון סייבר בשירותים

יולי יואל אדלשטיין: אבל זה לא אותו דבר

עמרי רחום טוויג: לא סיכון הסייבר שהחוק הזה עוסק בו

עמרי רחום טוויג:  אז זאת הגבלה אחת

עמרי רחום טוויג:  ההגבלה השנייה, אני חושב שצריך לחדד אותה או לפחות להציע אולי איזשהו קנה מידה

עמרי רחום טוויג:  שימו לב שההגדרה של ספק שנכנס לקטגוריה היא מי שהחיבוריות שלו עם מקבלי שירותיו, פיזית או לוגית – זה לרוב זה יהיה לוגית – היא קבועה או עיתית

עמרי רחום טוויג:      הרציונל ברור, אי-אפשר שזה יהיה קבוע לחלוטין כי אז בניתוק רגעי יוצאים מתחולת ההגדרה

עמרי רחום טוויג:  מצד שני, מה זה עיתי? האם חיבוריות שלי כספק שירותים אחת לחצי שנה ללקוח שלי מכניסה אותנו לגדרי הסיכונים הרלוונטיים לחוק? המונח עיתי חייב להיות באיזשהו קונטקסט של תדירות גבוהה

עמרי רחום טוויג:  כלומר, תדירות מתמשכת יום יומית

יולי יואל אדלשטיין: זאת אומרת קבועה או בתדירות גבוהה, זה מה שהיית מציע

עמרי רחום טוויג: כן

עמרי רחום טוויג:  אני חושב שזה בהחלט יכול להיות חידוד

עמרי רחום טוויג:  אבל שוב, הסיפה של מקבל השירותים, או להגדיר את המונח "מקבל שירותים" או להגדיר את "מקבל שירותיו" שהוא עסק

מירי פרנקל-שור: כל סעיף כאן חשוב לתכלית החוק

מירי פרנקל-שור:  ההערה שלך לגבי "עיתי", איך היא מתכתבת עם תכלית החוק?     

עמרי רחום טוויג: גם בדברי ההסבר, אם קראתי אותם נכון, כתוב שהמטרה כאן היא להפחית את ההסתברות שתקיפה שנותן שירותים מסוים תנצל את החיבוריות הגבוהה שיש לאותו גורם

יולי יואל אדלשטיין: בשפה פשוטה: שדרכו יגיעו למערכות הרבה יותר חשובות

עמרי רחום טוויג: שאלת התדירות של החיבוריות הזאת בוודאי משפיעה הסתברותית על היכולת להתפשט

דרור גרנית: היו פה שתי הערות, ולאחת מהן אני אציע את התשובה ולשנייה – הגורם המקצועי

דרור גרנית:  בשאלה הראשונה על הספק שירותים עבור אחר, יושם אל לב שגם בהגדרה של שירותי אחסון וגם בהגדרה של שירותים דיגיטליים נכתב במפורש שהשירותים ניתנים עבור אחר

עמרי רחום טוויג: אבל האחר יכול להיות אדם אינדיבידואל פרטי

עמרי רחום טוויג:  אני אתן לכם דוגמא

עמרי רחום טוויג:  קחו לדוגמה כל שירות לאנשים פרטיים שבו מעלים מידע לאינטרנט, לשירות הזה

עמרי רחום טוויג:  שירות אחסון שניתן לאנשים אינדיבידואליים למידע שלהם, שהם עובדים איתו, קבצי Word שהם עובדים איתם במחשב

עמרי רחום טוויג:  כשמשתמשים בשירות הזה רק אנשים פרטיים, בהחלט יכול להיות שאם תהיה תקיפת סייבר של הספק, ידלוף כל המידע שלהם – יש חוק הגנת הפרטיות, יש חוקים אחרים שעוסקים בסיכון הזה

עמרי רחום טוויג:  התרחיש הזה לא מייצר סיכון שרשרת

דרור גרנית:  הוא לא עונה על הקריטריונים

דרור גרנית:  אמרה פה קודם ליאת, וזה נכון, זה ייפול בנדבכים האחרים     

עמרי רחום טוויג: אני לא יודע

עמרי רחום טוויג:  גם על הנדבכים האחרים עוד נדבר

עמרי רחום טוויג:  אנחנו נדבר עליו שם, גם שם זה עוד לא - - -     

ליאת גורפינקל: - - - הגדרה של תקיפה

עמרי רחום טוויג: אני לא בטוח, כי גם ההגדרה ההיא לא מתייחסת בהכרח לסוגייה הזו

עמרי רחום טוויג:  אין סיבה לא לתפוס את זה גם בהגדרה הזאת, עם כל הכבוד לגישת המסננות

עמרי רחום טוויג:  הייתי מציע שבסיפה של הגדרת ספק של פרט (1) להגדרת ספק, לכתוב: ממחשבי הספק למחשבי מקבל שירותיו ובלבד שמקבל השירותים הוא עסק

עמרי רחום טוויג:  נגיד, לצורך העניין

עידו בן יצחק: יכול להיות גוף שאינו עסק, גוף ממשלתי

דרור גרנית: או עמותה גדולה

עמרי רחום טוויג: אין בעיה

עמרי רחום טוויג:  ובלבד שלא מדובר ביחיד

עמרי רחום טוויג:  ובלבד שמקבל השירותים אינו יחיד

יולי יואל אדלשטיין: כן, יש בזה משהו, רק צריך ניסוח נכון

יולי יואל אדלשטיין:  יש פה גופים ממשלתיים, יש עסקים ויש עמותות

יולי יואל אדלשטיין:  עמותה יכולה היום להיות עם עשרות אלפי אנשים

עמרי רחום טוויג: וכולם אינם יחידים

עמרי רחום טוויג:  אני חושב וכולם אינם יחידים

יולי יואל אדלשטיין: חד-משמעית

אריאל ויינשטיין: פה מתעוררת שאלה נוספת כי זה יצריך בעצם לבקש את רשימת הלקוחות שלו

ליאור פרנקל: זה מגיע מראש, כי אתם אומרים שיש השפעה גדולה

ליאור פרנקל:  אז אם אתם לא יודעים שיש הרבה לקוחות, לא הייתם באים לזה מראש

ליאור פרנקל:  ברור, אחרת איך אתם מגדירים שזה חמור אם אתם לא יודעים מיהם ספציפית הלקוחות

אריאל ויינשטיין: אנחנו לא מבקשים את רשימת הלקוחות

אריאל ויינשטיין:  כדי להבין מי מלקוחותיו יחידים או רק יחידים, הגופים יצטרכו את רשימת הלקוחות שלו ואז עולה השאלה של פגיעה בפרטיות

עמרי רחום טוויג: קודם כל, אני לא בטוח שעולה השאלה של פגיעה בפרטיות, יש דרכים לפתור אותה

עמרי רחום טוויג:  ואם יש בעיה של פגיעה בפרטיות, אז יש פה עוד רכיבים שיכולים לפגוע בה

עמרי רחום טוויג:  אני חושב שזה לא חייב להיות מנדטורי שספק יגלה את רשימת לקוחותיו

עמרי רחום טוויג:  אם הוא חושב שהוא לא נכנס לקטגוריה והוא חושב שזה גורם מפחית  עומס רגולטורי, אז תהיה לו הזדמנות להציג בפניכם מידע ולהראות שהוא לא נכנס לקטגוריה הזאת

עמרי רחום טוויג:  אבל לפחות לשמור את האפשרות שזה יקרה, כי בהחלט יש נותני שירותים כאלה שנמצאים מחוץ לסקופ הקונספטואלי של מה שאתם מתכננים להשיג כאן

קרן גל און: שקלנו את הדברים האלה במהלך הניסוח של החקיקה

קרן גל און:  וכמה שזה קוסם, אולי, כשלב ראשון, ככל שמעמיקים ברעיון הזה רואים שהוא בעצם לא ישים

קרן גל און:  יש עוסק מורשה – האם הוא יחיד או לא יחיד? זה יכול להיות אדם אחד

קרן גל און:  יש נתונים שאנחנו לא יודעים

קרן גל און:      הרף המאוד גבוה שבעצם יגיע עוד מעט בסעיף (2) הוא שאנחנו, כל הגופים הביטחוניים, יכולים לפנות רק כשיש חשש ממשי לתקיפת סייבר חמורה שמסכנת את ביטחון המדינה ואת כל מה שדובר, כגון, ביטחון הציבור וכן הלאה

קרן גל און:  זה רף מאוד מאוד גבוה

קרן גל און:  זה הרף שמהווה את המסננת המרכזית

קרן גל און:  כשניסינו לצמצם את ההגדרה של תקיפה, ראינו שזה לא נותן את המענה המבצעי שבשבילו בעצם נועד החוק

קרן גל און:       אני אגיד שההגדרות האלה גם מתכתבות עם הגדרות שקיימות בעולם בשינויים מסוימים, ברור, אבל זה לא משהו נדיר

קרן גל און:  צמצום של ההגדרה הזאת ירחיק אותנו מהמטרה של החקיקה הזאת, שהרף המהותי נמצא בסעיף הזה

יולי יואל אדלשטיין: מבלי להיכנס לפרטים אופרטיביים, כרגע הקריטריון היחידי לגבי החומרה או המשמעות של תקיפת הסייבר הוא, כנראה, הצד האדום, האויב, מנסה כל הזמן להגיע למשהו

יולי יואל אדלשטיין:  אם אין לכם רשימת לקוחות, אם אתם לא יודעים למי חברת, לא יודע מה, חיים וינקל, שירותי דיגיטליים, נותנת שירות, אז זה מתבסס רק על דבר אחד: שמישהו בקצה השני מנסה להגיע אליו

קרן גל און: אבל אנחנו יודעים לנתח – את זה יסביר אורי – מנסים להגיע כל הזמן להרבה מאוד גורמים

יולי יואל אדלשטיין: זהו

יולי יואל אדלשטיין:  זה מה שאני אומר

קרן גל און: תקנות שעת החירום, שהן מאוד דומות וכבר תקפות כמעט 3 שבועות, לא הפעלנו אותן

קרן גל און:  זאת אומרת, אנחנו לא בקלות עוברים את הרף הזה

קרן גל און:  זה שמישהו שמנסה להגיע - - -     

יולי יואל אדלשטיין: זה לא הקריטריון היחידי

מירי פרנקל-שור: השאלה הזו מתחדדת כאשר אנחנו נקרא את סעיף (2) בו אנחנו מגדירים מה זו תקיפת סייבר חמורה

מירי פרנקל-שור:  ואנחנו גם שאלנו, איך אתה יודע שתקיפת הסייבר היא חמורה כאשר אתה לא יודע מי נמצא לך בקצה

עמרי רחום טוויג: אני מסכים מהותית לחלוטין לדברי היועצת המשפטית, אבל אז כל גישת המסננות קצת מתערערת

עמרי רחום טוויג:  זאת אומרת, כל מרכז הכובד נופל על המסננת האחרונה

עמרי רחום טוויג:  זה בסדר, אבל אז אולי נצטרך להיות יותר קפדניים איתה

מירי פרנקל-שור: אני חושבת שלדון בסעיף הגדרות לפני שאנחנו ההסבר כולו זה לפעמים קשה, אז אני מציעה שנשים בצד את ההערות ואת הדיון בהגדרה של ספק ושירותים דיגיטליים, נמשיך ונחזור לזה

יולי יואל אדלשטיין: אני רוצה לוודא שמישהו מאיתנו רושם את ההערות

יולי יואל אדלשטיין:  הייתה הערה לגבי ההגדרה של החברות, של מה זה ספק שירותים דיגיטליים

יולי יואל אדלשטיין:  ואני גם אבקש הסבר, תחת הכותרת של שירותים דיגיטליים, לגבי סעיף(4) "אספקה או התקנה של מחשבים או של ציוד בקרה המהווים חלק ממכונות וציוד תעשייתי"

יולי יואל אדלשטיין:      אנחנו עוסקים בסייבר, אז אני מכיר דרכים נוספות לטפל במחשבים, אבל איך זה קשור לתקיפות הסייבר, אדוני?     

נאור שירי: ציוד בקרה מתייחס לכל מערכות בקרה שמוחצנות לאינטרנט

נאור שירי:  ראינו באפריל 2020 כבר את תקיפת בקרי המים על מתקני התשתית בישראל

נאור שירי:  זה נכון גם להפעלות מערכות כריזה שהיו פה גם בבחירות האחרונות

נאור שירי:  אז זה גם מערכות כריזה

נאור שירי:  זה מתחבר גם לשאלה אחרת, סליחה היושב-ראש, אני משתף, אבל גם לנושא של העיתי, זאת אומרת, ספק שמגיע אחת לתקופה לשדרג מערכת או לתחזק אותה, זו הכוונה לעיתי, ולכן החיבור הוא לא לוגי קבוע

נאור שירי:  לכן זה מתייחס לשתי השאלות האלה, גם לנושא של התדירות וגם לנושא של מערכות הבקרה שמוחצנות לפעמים באופן חסר אחריות ולפעמים באופן מאובטח בצורה טובה

נאור שירי:  זה מתייחס למגזר הזה

נאור שירי:  יש מערכות קירור שמוחצנות לאינטרנט

נאור שירי:  יש המון מערכות שבסוף יש בקר שמפעיל איזשהי מערכת פיזית מאחורה – אנחנו מתייחסים למי שנותן שירותים לאוכלוסייה הזאת

עמרי רחום טוויג: למה זה לא נכנס בפרט (2) להגדרת ספק? פרט שתיים כולל את מי שעיסוקו באספקת שירותי תחזוקה, ניהול או בקרה לשירותי אחסון, מחשוב ודברים אחרים

עמרי רחום טוויג:  אז זה פשוט קצת - - -     

ליאת גורפינקל: זה אחד פלוס אחד

ליאת גורפינקל:  שתי ההגדרות עצמן, זה סעיף (4) וגם - - - 

עמרי רחום טוויג: כן, אבל שוב, סעיפים (4) ו-(5) להגדרת שירותים דיגיטליים נכנסים ממילא בפרט (2) להגדרת ספק

עמרי רחום טוויג:  זו כפילות

ליאת גורפינקל: זה נדבך על נדבך

עמרי רחום טוויג: לא

עמרי רחום טוויג:  הוא נכנס לתחולה מעצם זה שהוא נותן שירותים דיגיטליים, כי הוא נכנס בפרט (4) או (5), לצורך העניין, להגדרת נותן שירותים דיגיטליים

ליאת גורפינקל: לא

עמרי רחום טוויג: איך לא? זו תחולה ישירה מכוח פרט (1) להגדרת ספק

יולי יואל אדלשטיין: טוב

יולי יואל אדלשטיין:  רשמנו פה את ההערות, ולפני ההצבעה אנחנו נחזור לזה

יולי יואל אדלשטיין:  בבקשה, עידו, בוא נמשיך עם סעיף 2

עידו בן יצחק: "תקיפת סייבר חמורה     2

עידו בן יצחק: 	(א)	מנהל מוסמך רשאי לקבוע כי תקיפת סייבר שמתרחשת או עומדת להתרחש היא 		תקיפת סייבר חמורה, אם מצא כי יש חשש ממשי שיש בה כדי לפגוע בביטחון המדינה, 		בביטחון הציבור או בקיום האספקה והשירותים החיוניים, ובשל כל אלה (בחוק זה – 		תקיפת סייבר חמורה):     		(1)	התרחשותה במהלך תקופת הפעולות הצבאיות המשמעותיות;     			(2)	קיומו של חשש ממשי שהיא בעלת השפעה משמעותית שאינה 				מוגבלת לספק הנתקף;     			(3)	מאפייניה, לרבות מיתאר התקיפה או זהות התוקף

עידו בן יצחק:      	(ב)	הסמכות הנתונה למנהל מוסמך לפי סעיף קטן (א) תהיה נתונה לראש חטיבת 		הגנה בסייבר בצה"ל, לעניין תקיפת סייבר שהוא מצא כי יש בה כדי לפגוע ברציפות 			התפקוד המבצעי של צה"ל, בשל האמור בפסקאות (1) עד (3)  של אותו סעיף קטן

עידו בן יצחק: "

יולי יואל אדלשטיין: עד כאן סעיף 2

יולי יואל אדלשטיין:  יש הערות, הצעות, לשינויים?     

רם בן ברק: לי יש הערה מחמירה דווקא

רם בן ברק:  אם יש לכם במערך הסייבר מידע על מתקפה שיכולה לסכן מהלכים צבאיים של הצבא או לפגוע באוכלוסייה, אז למה שלא ניתן לכם את האפשרות גם להיכנס למערכות? אתם תלויים עכשיו בטוב ליבן של החברות

עמרי רחום טוויג: כן, כן

עמרי רחום טוויג:  התשובה היא כן

ליאת גורפינקל: ניסינו להיות מידתיים

רם בן ברק: ברור, גם אני רוצה

רם בן ברק:  האם בחוק אחר שאני לא מכיר אותו, שאתה כראש מערך הסייבר רואה שיש איום מהותי על אוכלוסייה, על בנק הדם בבית חולים, על הפסקת מי שתייה או ערבוב מי ביוב עם מי שתייה – מהסוגים האלה, מהדברים האלה, זה לא דמיון שלי מה שאני אומר עכשיו – האם יש לך את האפשרות להתערב פיזית בחוק אחר, לא בחוק הזה?     

ליאת גורפינקל: בכל מקרה, אנחנו כמערך הסייבר לא מתערבים באופן פיזי

ליאת גורפינקל:  גם לגבי התשתיות הקריטיות שלנו, שנמצאות בחוק להסדרת הביטחון, אנחנו מנחים להעלות את רמת  - - - זה תהליך ארוך - - -     

רם בן ברק: אתם לא רוצים להיות - - -     

יולי יואל אדלשטיין: אבל באותו זמן הוא בחופשה

יולי יואל אדלשטיין:  זו חברה של שני אנשים, אחד בחופש והשני עם תעודת מחלה מקופת חולים

יולי יואל אדלשטיין:  אתם או שירות הביטחון הכללי, מזהים כאן מה שמכונה סכנה ברורה ומיידית – מה עושים במצב כזה?     

ליאת גורפינקל: למערך הסייבר אין סמכות להתערב באופן אקטיבי במערכות

מוריה: לנו יש סמכויות, כפי שאתם מכירים

מוריה:  אנחנו עושים בהן שימוש במקרה הצורך

מוריה:  אלה, כמובן, דברים שיוכלו להתמסר בדיון סגור

יולי יואל אדלשטיין: רק רצינו להיות רגועים

רם בן ברק: אתם עובדים בשיתוף פעולה עם מערך הסייבר, אז יכול להיות מצב בו אתם פונים אליהם - - -     

יולי יואל אדלשטיין: בזה אין לנו חשש

דרור גרנית: יש גם תזכיר חוק לתיקון חוק השב"כ, שמסמיך באופן מפורש לבצע פעולות כאלה

ליאור פרנקל: אז למה צריך את זה? 

יולי יואל אדלשטיין: לא הכול מגיע לרף

יולי יואל אדלשטיין:  אני לא רוצה שעל כל האקר בן 16 שמנסה באמת לשבש ולפעמים גם מצליח, תהיה פה אזעקת אמת בכל פעם

ליאור פרנקל: אבל זה הרף שאומר: תקיפת סייבר חמורה, ביטחון המדינה

ליאור פרנקל:  ביטחון המדינה השב"כ יתכבד ויטפל

יולי יואל אדלשטיין: כן, אבל לפני ביטחון המדינה יכולה להיות גניבה של כרטיסי האשראי של רשת חנויות שהיא חברה מספקת להם שירותים

יולי יואל אדלשטיין:  זה לא אירוע בסדר גודל שדיבר עליו רם בן ברק, אבל זה חמור

ליאור פרנקל: לא בטוח שזו דוגמה לאירוע שאתה רוצה שתהיה הנחיה כזאת

ליאור פרנקל:  זה סיכון עסקי

רם בן ברק: אבל עם הנחיה אין בעיה, ליאור

רם בן ברק:  מה אכפת לך שינחו אותך? אם אתה עכשיו בעל חברת כרטיסי אשראי - - -     

ליאור פרנקל: אם אני חייב לממש את ההנחיה בצורה חוקית, כמו שאמר עמרי, כניסה - - -     

רם בן ברק: אבל לא נכנסים

רם בן ברק:  הבנתי שלא נכנסים

ליאור פרנקל: הכניסה היא ככה או ככה, זה - - -     

רם בן ברק: בחברה שלך אתה נכנס, רק שאתה מונחה על-ידם

רם בן ברק:  אני לא רואה עם זה בעיה

רם בן ברק:  בהתחלה חשבתי שהם נכנסים פיזית

רם בן ברק:  ברגע שהם לא נכנסים פיזית אלא מנחים אותך, אתה יכול להגיד להם: תקפצו לי

רם בן ברק:  אז הם יחליטו אם לפנות לשב"כ או לא

מירי פרנקל-שור: אני רוצה להבין את הסוגייה של השירות

מירי פרנקל-שור:  על-פי חוק השב"כ היום, יש לכם אפשרות להיכנס למחשבים של - - -?     

יולי יואל אדלשטיין: אני לא חושב שאנחנו צריכים לפרט כאן

יולי יואל אדלשטיין:  רק סמכות, כן

מירי פרנקל-שור: על-פי חקיקה של חוק השב"כ, יש לכם סמכות?     

מוריה: קודם כל, יש בחוק השב"כ היתר ח"ס לפי סעיף 10 וזה נעשה במקרים מסוימים ורלוונטיים

מוריה:  כמו שאמרתי, אפשר להרחיב על זה בדיון חסוי

מוריה:  זה לא הפורום

קרן גל און: בהתייחס למה שאמר חבר הכנסת בן ברק, זה בדיוק האתגר שהיה כאן

קרן גל און:  זאת אומרת, בין פעם אחת, לקחת את כל הסמכויות שאנחנו רוצים, שאנחנו יודעים שאנחנו כבר בעולם של תקיפת סייבר חמורה שמסכנת את ביטחון המדינה, לבין לא לעשות כלום

קרן גל און:  האיזון הוא בדיוק באמצע

קרן גל און:  כמובן שעושים איזון, אז כל אחד רוצה למשוך את - - - למקום אחר, אבל יש פה הצעה מאוד מאוזנת שנותנת את זה

נאור שירי:  אדוני, אני מבקש להוסיף

נאור שירי:   חשוב להגיד שאנחנו מביאים לחברה מידע שהוא מידע קונקרטי לגבי תקיפה, שהיא לא יכולה להשיג אותה בדרך אחרת

נאור שירי:  לגבי תחולת החוק, אנחנו קודם כל אומרים לו: תעשה בבקשה שימוש במידע ותכיל את התקיפה

נאור שירי:  אנחנו לא מתכוונים להחליף אותו בהנחה והוא מבצע פעולות שמניחות את הדעת, מצליח לעצור את התקיפה

נאור שירי:  מערך הסייבר סיים את תפקידו פה כל עוד אנחנו רואים שאותו וקטור כניסה נסגר והאירוע הזה לא יכול לחזור לעצמו יום אחרי

נאור שירי:      בהנחה שאנו רואים תקשורת של תוקף שממשיכה לעבוד גם אחרי שהוא הצהיר על פעולות, פה אנחנו בבעיה אחרת, ואז אנחנו צריכים לתת לו הנחיות מתוך זה שאנחנו ממשיכים לראות את התקיפה פעילה

רפי סלמה: אני אשמח להוסיף

רפי סלמה:  יש גם סעיף שמירת דינים

רפי סלמה:  זאת אומרת, סמכויות שקיימות היום, בין אם בדין או בין בהסכמים, נשמרות גם אחרי החוק הזה

רפי סלמה:  זה נותן מענה לחלק מהמקרים שתיארת כאן, אבל לא לכולם

רפי סלמה:  זה במקרה של שני הילדים שמפעילים את המערכות

עמרי רחום טוויג: שתי הערות לסעיף 2

עמרי רחום טוויג:  האחת נוגעת לשאלת ה"עומדת להתרחש"

עמרי רחום טוויג:  בוודאי שכשמתרחשת תקיפת סייבר חמורה, אמורה להיכנס לפועל הסמכות

עמרי רחום טוויג:  "עומדת להתרחש", זה מונח קצת חמקמק

עמרי רחום טוויג:  איך אנחנו יודעים שעומדת להתרחש? מה מידת הוודאות? מה מידת המידע? חלק מהחובות כאן של העובדים המוסמכים זה גם להסביר לגוף המונחה מהי התקיפה ואת עצם קיומה

עמרי רחום טוויג:  אני חושב שחייבים לקבוע איזשהו רף של ודאות, ודאות קרובה

עמרי רחום טוויג:  איך אדוני אמר, ודאות קרובה לקיומה של תקיפה

ליאת גורפינקל: הרף הוא חשש ממשי

עמרי רחום טוויג: לא

עמרי רחום טוויג:  "עומדת להתרחש", מנותק מחשש - - -     

נאור שירי: אני לא עורך דין, אני אדבר בשפת המקצוע שלנו

נאור שירי:  כשאנחנו מזהים נגישות ודאית של תוקף בתוך הרשת שלך, רק שהוא עדיין לא הפעיל את כלי המחיקה, אני אומר לך שכביכול יש חשש ממשי

נאור שירי:  זה אומר שהוא כבר השיג את הנגישות ועכשיו זה רק תלוי בזה שהתוקף מחליט לבצע את הפעילות

עמרי רחום טוויג: אבל זו כבר חדירה לחומר מחשב, והיא כבר עולה כדי תקיפת דרייבר

עמרי רחום טוויג:  זה כבר קורה

עמרי רחום טוויג:  היא לא עומדת להתרחש, היא מתרחשת

עמרי רחום טוויג:  אני מבין מודיעין

עמרי רחום טוויג:  אני מבין שכשיש מודיעין וברור שיש מודיעין סייבר, וכשיש מודיעין אפקטיבי אז יש ודאות קרובה שתקיפה הולכת ולהתקרב

ליאת גורפינקל: חשש ממשי

עמרי רחום טוויג: המונח הוא לא "חשש ממשי", סליחה

עידו בן יצחק: - - - מתייחס לפגיעה - - -     

עמרי רחום טוויג: נכון

עמרי רחום טוויג:  לא לעצם קיומה של התקיפה

נאור שירי: קשה מאוד להתייחס בדיון הפתוח לדבר הזה

בן אברהם: במה זה שונה מהמצב הקיים היום? היום אתם מעבירים לחברות דיווחים כאשר יש חשש ממשי

ליאת גורפינקל: נכון

ליאת גורפינקל:  זה לא שונה מהמצב שקיים היום

ליאת גורפינקל:  השינוי המרכזי בכל התהליך הוא שאנחנו תמיד נעדיף לפעול בשיתוף פעולה למול הארגונים, זאת נקודת המוצא

ליאת גורפינקל:  אני חושבת שיש כאן תקדים לגבי המנעד המאוד מפורט שכתוב פה לגבי התהליך עצמו

ליאת גורפינקל:  אנחנו מגיעים לארגונים, וככל שיש שיתוף פעולה, אנחנו בכלל לא נכנסים לתוך החוק הזה

ליאת גורפינקל:  אנחנו מביאים את המידע הערכי

ליאת גורפינקל:  המטרה היא לסייע לארגונים להתמודד

ליאת גורפינקל:  אנחנו מביאים גם את הידע שלנו המאוד משמעותי, גם ביחס לגופי התקיפה והמתווה שבו גופי תקיפה פועלים, ואנחנו נותנים את המידע הזה ככל שמתאפשר וככל שביכולתנו כדי שאותו ארגון יוכל להתמודד עם התקיפה ובכלל לא להיכנס לדל"ת אמותיו של החוק

ליאת גורפינקל:      היינו מעדיפים שלא להפעיל את החוק

ליאת גורפינקל:  אבל במקומות שאנחנו רואים שהארגונים בוחרים שלא להתייחס בכלל לאותו מידע ערכי, הם יודעים להתקשר אלינו אחר-כך ולהגיד לנו: צדקת, החברה נמחקה

ליאת גורפינקל:  היינו מעדיפים להקדים תרופה למכה, ככל שמדובר פה באירועי לחימה ולא היינו רוצים ששירותים חיוניים יפלו בגין אותה התעלמות של אותו גורם

יולי יואל אדלשטיין: תודה

יולי יואל אדלשטיין:  טל מימרן, בבקשה

טל מימרן: קודם כל, כהנחת מוצא, יש לי תחושה שרוב היושבים בחדר מאמינים בחשיבות של החוק ומאמינים ביכולת המקצועית של מערך הסייבר ושאר גופי המודיעין לממש את הסמכות שתינתן להם כתוצאה מהחוק

רם בן ברק: הקמנו אותו בשביל זה

טל מימרן: בדיוק

טל מימרן:  אני חושב שעיקר השינויים או עיקר הדגש של הדיאלוג, טוב יהיה אם הוא התמקד במישור שיתוף הפעולה והתקשורת שבין מערך הסייבר לבין חברות פרטיות, ואני חושב שראוי לתת למערך הסייבר שפועל כבר כמה שנים בלי הסדרה חוקית מספקת, וכן הלאה, ומיצב את עצמו כגוף ביטחון ומודיעין מהשורה הראשונה, מגיע להם לעשות את הפיילוט הזה בנסיבות הקיימות, בצורה הכי טובה שתאפשר להם לממש את התפקיד שלהם

טל מימרן:      אז למשל, בנוגע למחלוקת האם להחריג אדם פרטי או לא, אני דווקא לא הייתי ממהר להחריג אנשים פרטיים, גם בגלל המורכבות החוקית שצוינה, וגם כי המשפט "חוזק השרשרת הוא כחוזק החוליה החלשה ביותר" נכון גם למרחב הסייבר

טל מימרן:  אם אדם פרטי הוא החוליה החלשה, אז אני לא חושב שצריך להגביל את מערך הסייבר להתמודד בסוגיה

טל מימרן:      דבר שני, אני חושב שמערך הסייבר ישכיל להתנהל אחרת מול סטרטאפ בן יומו או מול צ'ק פוינט

טל מימרן:  במובן הזה, הכבדת יתר על היכולת להוציא לפועל או אפילו לזהות קיומו של חשש או תקיפה מתקיימת או עלולה להתרחש, עלולה דווקא לפגוע בפיילוט הזה, ואנחנו עוסקים כאן בפיילוט, בסופו של דבר

טל מימרן:      דבר אחרון ברשותך אדוני, לא כל תקיפת סייבר היא זהה לאחרת, ולכן אם יש חשש שמגיעה תקיפת DDOS שמטרתה להקריס את האתר זה אירוע אחד, ואם יש חשש שמגיעה תקיפת וויפר שבסופה יימחק מידע באופן בלתי הפיך, זה אירוע אחר לגמרי

טל מימרן:  יכול להיות ששם נכון לייצר מדרגות או להבנות שיקול דעת

טל מימרן:  באופן כללי אני חושב שדווקא צריך לתת למערך הסייבר לרוץ קדימה עם הפיילוט הזה

מירי פרנקל-שור: ליאת, אם נוסיף לאור הדיון למרות מה שנאמר עתה, יש ודאית קרובה או חשש ממשי שעומדת להתרחש, אני חושבת שזה נותן לכם את המענה, למרות שבהגדרת תקיפת סייבר יש "חשש ממשי"

מירי פרנקל-שור:  אני רואה, נכון

מירי פרנקל-שור:  אני לא בטוחה שזה מעלה או מוריד, אבל אם זה נותן איזשהו חיזוק יתר, אני חושבת שזה לא מפריע לכם

ליאת גורפינקל: מבחינתנו זה מה שכתוב

ליאת גורפינקל:  זאת אומרת, אפשר לכתוב "חשש ממשי לתקיפה"

ליאת גורפינקל:  ברמת ודאות קרובה, זה רף גבוה מדי

מירי פרנקל-שור: אז חשש ממשי

יולי יואל אדלשטיין: חשש ממשי

עמרי רחום טוויג: סליחה, אבל "חשש ממשי" בהגדרת תקיפה הוא לעצם הפעולה שמהווה תקיפה, ו"החשש הממשי" בסעיף הזה הוא לעצם היותה תקיפת סייבר חמורה

עמרי רחום טוויג:  אלה שני מדרגים שונים

אריאל ויינשטיין: אנחנו חושבים שזה מספק בתקיפת סייבר

אריאל ויינשטיין:  אבל אם אתם חושבים שזה - - -     

מירי פרנקל-שור: לאור החשש שעלה אפשר להוסיף

עמרי רחום טוויג: ברשות אדוני, רק גם לפרט (2) לאותו סעיף קטן (א), שהוא בעצם המסננת שדיברנו עליה גם קודם בהקשר של הגדרה של ספק, אז אחד התנאים כאן להפעלת הסמכות לקיומה של תקיפת סייבר חמורה הוא  שקיים חשש ממשי שהיא בעלת השפעה משמעותית שאינה מוגבלת לספק הנתקף

עמרי רחום טוויג:  מה זה "אינה מוגבלת לספק הנתקף"? האם אינה מוגבלת לספק הנתקף כי היא משפיעה על לקוח אינדיבידואלי אחד שלו או - - -         

יולי יואל אדלשטיין: אבל עוד פעם, כאן דווקא בהתמשכות הדיון, אני מאוד התחברתי להערה שלך לגבי, כמו שאמרתי, קולקטיב הלקוחות, אם זה עסק או אם זו עמותה או אם זה גוף ממשלתי

יולי יואל אדלשטיין:  עכשיו כשאני חושב על זה, אם יש לו אוסף של יחידים שהוא מספק להם שירותים, ויכול להיות אוסף גם מאוד גדול, אז כדאי להגן עליהם

עמרי רחום טוויג: מעולה

עמרי רחום טוויג:  אז אפשר גם לשנות את מטרת דבר החקיקה הזאת

עמרי רחום טוויג:  זו לא מטרת החקיקה

יולי יואל אדלשטיין: לא, לא

יולי יואל אדלשטיין:  םם הוא מספק שירותים דיגיטליים ובמסגרת השירותים האלה יש לו, כמו שאתה אמרת, לקוחות קצה ומספרם הוא יחסית גבוה ומנסים להגיע אליהם, כמו שאמרתי, לצורך פרטי זיהוי – לא ניכנס פה לכל האפשרויות – אבל הוא יכול לתת שירותים לחברים כמו "צוות" פורשי צה"ל ועוד כל מיני גופים כאלה

עמרי רחום טוויג: אני מסכים לחלוטין שזה סיכון סייבר אמיתי, רק שפשוט לא זו תכלית דבר החקיקה הזה

עמרי רחום טוויג:  דבר החקיקה הזה לא מתמודד עם אירועי סייבר בכלל

דרור גרנית: אמר פה ד"ר מימרן משהו שאני חושב שהוא מאוד נכון וצריך רגע לקחת אותו בחשבון

דרור גרנית:  יש פה בהכרח שיקול דעת של המערך בהרבה מאוד נקודות לאורך התהליך

דרור גרנית:  הזיהוי של ספק שהוא מתאים וצריך וראוי ונכון, בעצם הזיהוי של המתקפה, בעצם הגדרתה כחמורה בהמשגה שיש חשש אמיתי, ואנחנו נראה את זה בעוד כל מיני נקודות, יש מרחב של שיקול דעת שהוא אינהרנטי לדבר הזה

דרור גרנית:  זאת אומרת, הוא נובע באופן אינהרנטי מהמגוון האדיר של הגופים הפוטנציאליים שהם יכולים או לא להיכנס בתוך ההגדרה של ספק, מהמגוון המאוד מאוד גדול של סוגי תקיפות ודפוסי תקיפה

דרור גרנית:  ולכן אתה לא תצליח למסגר את זה

יולי יואל אדלשטיין: לא ניתן לנסח את זה, אתה אומר, בשום חקיקה

מירי פרנקל-שור: דרור, אנחנו צריכים לדאוג שנקודת האיזון זה מה - - -בין שתי הקצוות - - -     

עמרי רחום טוויג: במיוחד כשאין ביקורת שיפוטית מלכתחילה על פעולה כזאת

דרור גרנית: אנחנו נראה בהרבה מקומות - - -     

מירי פרנקל-שור: לכן אנחנו מנסים לדייק אותם

דרור גרנית: אנחנו חושבים שבסופו של יום, זה עולם של סבירות מינהלית

דרור גרנית:  זאת אומרת, זה עולם של שיקול דעת מינהלי סביר שהגורם המקצועי פה צריך להידרש אליו פר קייס, ולהגיד: רגע באירוע הזה, זה כן או לא חשש, זה כן או לא אמיתי, זה כן או לא חמור, ומה האמצעי הנכון, ומה פרק הזמן

דרור גרנית:  זה תמיד יהיה תלוי הנסיבות של המקרה

מירי פרנקל-שור: מצד שני, אתה לא נותן מענה - - -     

דרור גרנית: לא אמרנו "תנו לנו סמכות לעשות מה שאנחנו חושבים שנכון ותשלחו אותנו עם זה הביתה"

מירי פרנקל-שור: זה נכון, דרור, אבל אתה נותן מענה לאותן חברות, במיוחד חברות קטנות, שאני בשיח אתכם קוראת להן חברות סלון

מירי פרנקל-שור:  אני לא חושבת שהמענה להתמודד עם הנחיות לא נכונות שאנחנו נראה את זה בהמשך, נותן את המענה לסבירות ההחלטה של הרשות

נטע קניגשטיין: אני רק אוסיף, מירי, שלצד שיקול הדעת שכפי דרור הסביר, הוא רחב במובן מסוים כי זה נדרש כדי לתת את המענה המדויק ביותר, הצד השני של התהליך שעוד לא הגענו אליו בהקראה זה השיח

נטע קניגשטיין:  ויש את הצד השני, את אותו ספק שבכמה וכמה הזדמנויות ניתנות ניתנת לו האפשרות להשיב

נטע קניגשטיין:  הגופים יציגו לו את התשתית, ואז הוא יגיד: רגע, אתם טועים בזה ובזה ובזה ולכן הפתרון צריך להיות אחר, אני בכלל לא ספק

נטע קניגשטיין:  יש שיח, הם לא יטפלו בתקיפה ככה ושום דבר יעניין אותם

ליאור פרנקל: אבל זה לא מול גוף שלישי שיכול להיות כזה בורר אובייקטיבי

ליאור פרנקל:  זה מולכם לצורך העניין

ליאור פרנקל:  אתם תגידו כן, אני אגיד לא – בסוף תגידו: החלטנו, נמשיך

ליאת גורפינקל: ניתנה הנחייה - - -     

ליאור פרנקל: אני חייב לבצע אותה

ליאת גורפינקל: אתה חייב לבצע אותה, אבל אין כאן שיניים שאוכפות

מירי פרנקל-שור: אין סנקציה

ליאור פרנקל: זה שאין סנקציות זה לא משנה את היותה דרישה חוקית

ליאת גורפינקל: זה חלק מהעניין של המידתיות

נטע קניגשטיין: מערך הסייבר, כל גופי המודיעין והביטחון השונים עסוקים בתקופה הזאת, אין להם עניין להתעסק בתקיפות קטנות, בספקים שעושים את עבודתם נאמנה ומגנים על עצמם

נטע קניגשטיין:  באמת, הרעיון הוא לתת מענה לתקיפות הסייבר חמורות ביותר

נטע קניגשטיין:  כשהם יעשו את השיח הזה עם אותו ספק שיסביר להם שהם לא בכיוון, המודיעין שהיה להם לא היה נכון, הספק הוא בכלל לא מקושר לאף גורם, אין פה חשש אמיתי – אז הם ישמחו ללכת אחורה ולהגיד תודה רבה, בהצלחה, אין צורך במעורבות

מירי פרנקל-שור: - - - של מדינה ספקים - - -     

דרור גרנית: הרבה פעמים זה קורה הפוך: אנחנו רואים מספר רב של נתקפים עד שאנחנו מבינים שהגורם המשותף הוא בעצם אותו ספק לקוח ואז אנחנו בעצם פונים אליו

דרור גרנית:  זאת אומרת, אנחנו מגלים את אותו ספק דרך אותם לקוחות ולא הפוך

דרור גרנית:  אני מדבר במקרה של תקיפה ולא חשש

יולי יואל אדלשטיין: כאן יש לנו את החשש הממשי

יולי יואל אדלשטיין:  גברת מיכל שריג כדורי מבקשת גם בסעיף (2) להתייחס

יולי יואל אדלשטיין:  בבקשה

מיכל שריג כדורי: חשוב לי להדגיש, בגלל שחברי הוועדה מייצרים איזושהי הבחנה בין הנחיה לבין ביצוע הפעולה עצמה, וגם שמענו עכשיו אמירה שכאן בחדר, בבית, אנחנו כולנו יכולים להסכים, אין לגורמי הביטחון רצון להתערב או להתעסק

מיכל שריג כדורי:      העולם שלנו, של חברות צמיחה גלובליות – אני אתן דוגמה מאחת מחברות הפורום, אפילו החברה שלנו WIX עם מעל 220 מיליון משתמשים, זה לא עניין שמישהו יגיע ויעשה אנפלאג למחשב

מיכל שריג כדורי:  שיתוף הפעולה פה, האחריות שאנחנו החברות לוקחים על מודיעין שנקבל, חייבת להיות מלאה

מיכל שריג כדורי:  רק אנחנו יודעים להפעיל כמו שצריך את המערכות, להפעיל את ההגנות שיש לנו

מיכל שריג כדורי:  זאת אומרת, זה לא עניין של לאפשר או לא לאפשר

מיכל שריג כדורי:  לחברות בסדרי הגודל שלנו אין מישהו שיכול להחליף את העשייה שלנו

מיכל שריג כדורי:  ומהצד השני, כשיש הנחיה, זה לא עניין של בא לנו או לא בא לנו להקשיב או לא להקשיב, אם יש סנקציות, אם אין שיניים

מיכל שריג כדורי:  זה לא עובד ככה

מיכל שריג כדורי:  חברה בסדר גודל שלנו שהיא ציבורית, כשאני מקבלת הנחיה, אני מצייתת לחקיקה

מיכל שריג כדורי:  קיבלתי הנחיה מנדטורית כזאת או אחרת מגוף רשמי, אני מבצעת אותה

מיכל שריג כדורי:  אין לי מנעד של טוב, זה נראה לי, זה לא נראה לי

מיכל שריג כדורי:      כמו שהזכרתי בפתח דבריי, אנחנו בזירה בינלאומית, אנחנו נמדדים באמות מידה בינלאומיות, חלקנו חברות ציבוריות

מיכל שריג כדורי:  לכן חוסר ההבחנה בין סוגי הספקים הוא קריטי

מיכל שריג כדורי:  אני לא התייחסתי לאבחנה בסדרי גודל של חברות ויכולות ובשלות הגנת סייבר, אבל זה אומר שאנחנו נותנים כאן הרבה מאד כוח, שאנחנו מבינים וסומכים על רשויות המדינה שלנו ועל גופי המדינה ועל מערך הסייבר שישתמשו בשום שכל

מיכל שריג כדורי:      זה לא משהו שאנחנו יכולים לבוא איתו לבורסה, ליוזרים, לדירקטוריון הבינלאומי ולהגיד: לא, לא, אל תדאגו, מערך הסייבר לא רוצה באמת להשתמש בכוח

מיכל שריג כדורי:  כרגע החקיקה נותנת את הכוח, ולכן אני רוצה גם שלא נייצר איזו אבחנה ונגיד: טוב, אם זה רק הנחיה זה לא נורא

מיכל שריג כדורי:  ההנחיה הזאת נותנת איזושהי הפקעה של הסמכות שלנו לפעול באופן שאנחנו רואים לנכון אל מול התקיפה

מיכל שריג כדורי:  לכן הסעיף הבא שניכנס אליו, סעיף 3, הוא קריטי - - -     

רם בן ברק: את מסכימה שבמידה ויש איזושהי תקיפת סייבר שמאיימת על ביטחון המדינה, לא על החברה שלך, לא על הקליינטים שלך, אלא על ביטחון המדינה, מסכימה שזה מחובתו של מערך הסייבר להגיד לך: תקשיבי, יש תקיפה שמסכנת את הביטחון, שווה לעשות ככה וככה וככה?     

מיכל שריג כדורי: חד-משמעית

רם בן ברק: זה הכול

רם בן ברק:  זה החוק

מיכל שריג כדורי: חד-משמעית הייתי רוצה שהם יבואו ויגידו לי שהולכת להיות תקיפה

מיכל שריג כדורי:  הם יודעים טוב ממני איך להתמודד

מיכל שריג כדורי:  זו שאלה שאנחנו רגע - - -     

דרור גרנית: האמירות של הדוברת לא מתכתבות עם מה שעשינו בחקיקה, כי סעיף 3 בדיוק בונה את ההבניה המאוד מאוד מאוד מדורגת של מה שנקרא מסלול דרדור

דרור גרנית:  אנחנו לא באים עם הנבוט בראש, דופקים בדלת, פורצים פנימה, יאללה, תעשה

דרור גרנית:  משתלטים לך על המחשב, תופסים לך את המקלדת ומתחילים

דרור גרנית:  לא

דרור גרנית:  פונים, מספקים מידע, מקיימים שיח

ליאת גורפינקל: מאפשרים לפעול בעצמו או להראות תקינה

ליאת גורפינקל:  יש את כל התהליכים הללו עוד טרם הפעלת - - -     

מוריה: צריך להבין שהגופים אם לא ייתנו הנחיה אחת אם הגוף עצמו יטפל בתקיפה באופן עצמאי לא תינתן הנחיה אחת

דרור גרנית: החשש שמביעה הדוברת - - -     

מירי פרנקל-שור: יש מחלוקת איך צריך לטפל

מוריה: קודם כל ניתנת להם ההזדמנות לטפל בעצמם

מירי פרנקל-שור: איך אתם יודעים שהוא טיפל נכון בהתאם - - -     

ליאת גורפינקל: בהתאם למה שהוא מבהיר

ליאת גורפינקל:  הוא מבהיר מה הוא הולך לעשות

ליאת גורפינקל:  יש תהליך שהוא מבקש לפעול בעצמו, זה נכון

ליאת גורפינקל:  התקיפה מתנהלת בדל"ת אמותיו של הארגון, והוא מכיר את המערכות הכי טוב ואנחנו בנינו את אותה הבניה בשום שכל בגלל הרעיון המסדר הזה

ליאת גורפינקל:  הזירה היא בדל"ת אמותיו

ליאת גורפינקל:  האינטרס שהוא יתמודד עם התקיפה הוא משותף, ואם הוא מכיר היטב את המערכות שלו ויש לו את היכולת להכיל את התקיפה, אנחנו לא מתערבים

ליאת גורפינקל:  חשוב להבין את זה

נאור שירי: אחת הדרכים שאנחנו יכולים לדעת שהתקיפה בעצם לא הופסקה זה על ידי היכולת שלנו והיכולות של השותפים שלנו לראות שעדיין יש תקשורת עם אותו מחשב תוקף

נאור שירי:  למרות שכביכול נאמר שהם סגרו את הפרצה אנחנו ממשיכים לראות את זה

נאור שירי:  ולכן יכול להיות שהם ביצעו פעולות, יכול להיות שלא במקום הנכון או לא באיכות הנכונה במקרה הזה, ולכן אנחנו רואים את התקיפה ממשיכה     

דרור גרנית: הדוברת דיברה על הבחנה בין חברות גדולות ורציניות לבין – חשבנו רבות על הניסיון למתוח את הקו הזה, להגיד מי היא החברה שהיא טובה ומקצועית לבין מי היא החברה שהיא לא מספיק טובה לא מספיק מקצועית

דרור גרנית:  והגם שבעולם המעשה אתה יכול להגיד: טוב, אני יכול לשער שחברות כמו גוגל או אינטל או מיקרוסופט, הן כנראה יודעות להתמודד אל מול החברות הסלון, כפי שקראה להם מירי, שם יש יותר סכנה ופוטנציאל

דרור גרנית:      לא ידענו לגדר את זה למשהו קונקרטי, תכף נדבר על התקינה

דרור גרנית:  אולי הדבר הכי קרוב לפתח הזה, אבל גם חברת ענק בינלאומית מאוד רצינית וגדולה עשויה להיות נתונה למתקפה חמורה מאוד

דרור גרנית:  פוטנציאל הנזק הוא אדיר

דרור גרנית:  זה מחזיר אותי לסיפור של המדרגיות שנאמר בסעיף 3: שיקול הדעת ניתן, קודם כל, לחברה ואמצעי הפעולה הם, קודם כל, בידי החברה והאפשרויות לזהות את התקיפה ולהתמודד איתם ולהכיל אותה הן, קודם כל, עליה ובידיה

דרור גרנית:      לכן בדיוק בגלל ההנחה שאומרת שיש חברה שהיא גדולה ורצינית ומקצועית – היא יכולה להיות גם חברה קטנה – אבל אם היא רצינית ומקצועית ויודעת להתמודד - - -     

יולי יואל אדלשטיין:  בקיצור, אתה אומר שגם כאן אי-אפשר להגיע להגדרה מדוייקת, כי זה תלוי מאוד בהתנהלות החברה, הבעלים של החברה, סוג התקיפה, ההתייחסות לתקיפה וכן הלאה וכן הלאה

אלי דיין: הדוברת ציינה כמה פעמים שהם ארגון גדול

אלי דיין:  פרקטית בשטח, תוקפים גם את הגדולים, לא רק את הקטנים

אלי דיין:  ברגע שתוקפים את הגדולים אז יש שם סיכון יותר גדול

יולי יואל אדלשטיין: מבחינת הנזק

אלי דיין: בטח

אלי דיין:  אם לא תהיה רגולציה ולא יבואו ויגידו: חבר'ה, תוקפים אתכם, תסדרו את המצב, תתקנו את המצב

אלי דיין:  יכול לבוא לדירקטוריון של אותה חברה, לא משנה עכשיו איזו חברה, ויגיד: למה אני צריך להשקיע עכשיו 5 מיליון דולר בשביל לשפר את המצב? תשאירו אותו, אז מה? אז הם אמרו לנו, אז מה אם אמרו לנו? אבל זה אנחנו לא רוצים להיות במצב הזה

אלי דיין:  אנחנו רוצים להיות במצב שאם באמת באה הרגולציה ואומרת: חבר'ה, אתם בסיכון

אלי דיין:  אז שמישהו ייקח את ההערה הזאת ויבדוק את עצמו

אלי דיין:  זאת המטרה

יולי יואל אדלשטיין: אנחנו נתקדם

יולי יואל אדלשטיין:  מירי, בבקשה

מירי פרנקל-שור: אני מבקשת לדייק מונחים בסעיף 2(א)

מירי פרנקל-שור:  ביטחון הציבור – באיזו תקיפת סייבר אתם רואים ביטחון הציבור ומדוע לא מדובר על שלום הציבור? למשל, אטרף לא הייתה נכנסת

מירי פרנקל-שור:  ההתקפה על אטרף לא הייתה נכנסת להגדרת הרף

מירי פרנקל-שור:  שירביט - - -     

נאור שירי: שירביט – תלוי במידע שדולף משם

נאור שירי:  יש המון דוגמאות

מירי פרנקל-שור:  השאלה היא מה זה ביטחון הציבור

מירי פרנקל-שור:  מה אתם רואים כביטחון הציבור ומה ההבדל בין זה לבין שלום הציבור?     

נאור שירי: תקיפות שיכולות להשפיע על התרעות שווא ומצבי ביטחון במתחמים שונים שאפשר לייצא למרחב הציבורי

נאור שירי:  אנחנו רואים גם התרעות שווא במערכות בטיחות, שריפות וכולי, ממש יכול להגיע לפגיעה פיזית

נאור שירי:  אנחנו רואים פגיעה או חוסר אמון במערכות רפואיות

מירי פרנקל-שור: זה ביטחון הציבור?     

נאור שירי: זה גם ביטחון

נאור שירי:  תקיפה, שיבוש או כניסה לשלטון המקומי

נאור שירי:  יש שם מידע שיכולים לעשות בו שימוש גורמים – אני לא רוצה בבקשה לפרט פה

נאור שירי:  יודע אני יכול לפרט בדיון סגור

נאור שירי:      גם, למשל, בעת הזאת, 74 ימי לחימה, גם שיבוש בחברות קבורה

נאור שירי:  כמה שזה נשמע הזוי, אפשר לבצע דברים כאלה וזה יכול לייצר פגיעה משמעותית מאוד

נאור שירי:  אנחנו באירוע לא טוב

נאור שירי:  כל מה שקשור להשבתה של מערכות קירור, זה ממש עד נזק פיזי

נאור שירי:  אני יכול להמשיך ולתת עוד מספר דוגמאות

ליאור פרנקל: דילגנו על סעיף ההגדרות, אבל יש בו עוד חלק שמשפיע גם על ההגדרה הזאת

מירי פרנקל-שור: לא דילגנו

מירי פרנקל-שור:  אולי נחזור אליו

יולי יואל אדלשטיין: לא דילגנו, אנחנו אמרנו שממשיכים ורשמנו את ההערות שהיו

רפי סלמה: צריך להגיד שכל הסעיף הזה הוא רק פתיחת שער

רפי סלמה:  זה נראה לי מאוד חריג

רפי סלמה:  שכדי שעובד יפנה לחברה, הוא צריך לקבל אישור ממנהל בכיר

רפי סלמה:  אתם מפספסים את האירוע הזה

רפי סלמה:  ישר דילגתם לסעיף 3 תוך כדי שאנחנו מדברים על סעיף 2

רפי סלמה:  אבל עכל מה שסעיף 2 אומר זה שאנחנו פותחים את השער בפני העובד המוסמך לפנות לחברה על-ידי מנהל

רפי סלמה:  זאת אומרת, יש פה עוד מסננת שדילגנו עליה וויתרנו עליה אבל חשוב שתבינו את האירוע הזה, זה אירוע קיים

מירי פרנקל-שור: הוא צריך להגדיר שאכן זו תקיפת סייבר חמורה כדי שנתחיל - - -     

רפי סלמה: ישר דילגנו למתן הוראות, אבל עצם הפניה צריכה לקבל אישור מגורם בכיר

יולי יואל אדלשטיין: ברור

יולי יואל אדלשטיין:  בבקשה, עידו

עידו בן יצחק: אומר מראש שבפסקה 3 יש שינוי לאחר שבאנו בדברים עם הממשלה

עידו בן יצחק:  כרגע נקרא אותו, קודם כל, כמו שהוא נבנה

עידו בן יצחק:      "התמודדות עם תקיפת סייבר חמורה 3

עידו בן יצחק: 	נקבע לפי הוראות סעיף 2 כי תקיפת סייבר שמתרחשת או עומדת להתרחש, נגד ספק, היא 	תקיפת סייבר חמורה, והודיע על כך עובד מוסמך לספק, לאחר שהזדהה לפניו, יחולו הוראות 	אלה: 	 	(1)	העובד המוסמך יפרט לפני הספק את התשתית העובדתית והמקצועית לקביעה 		כאמור, ככל שאין בכך כדי לחשוף מקורות מידע, שיטות או אמצעים;     	(2)	העובד המוסמך ייתן לספק הזדמנות לפעול באופן הולם לצורך איתור התקיפה, 		מניעתה או בלימתה, בתוך פרק זמן סביר שיימסר לספק, והכול בהתחשב במאפייני 			תקיפת הסייבר;     	(3)	הספק יעדכן את העובד המוסמך בדבר הפעולות שביצע לצורך איתור התקיפה, 		מניעתה או בלימתה או ימסור לעובד המוסמך תצהיר בנוסח שבתוספת בדבר אספקת 		שירותי האחסון או השירותים הדיגיטליים ללקוחותיו, או בדבר אספקת השירותים 			כאמור שהם מושאי התקיפה בלבד, תוך יישום הנחיות אבטחה בהתאם לתקן NIST 800–53 Security and Privacy Controls for Information Systems and Organizations

עידו בן יצחק:  לעניין כלל 		השירותים שהוא מספק, או לעניין השירותים כאמור שנגדם בוצעה התקיפה, והכול בתוך 		פרק זמן סביר כאמור בפסקה (2);     	(4)	לא מסר הספק תצהיר כאמור בפסקה (3), ומצא העובד המוסמך כי הספק לא 		פעל באופן הולם לאיתור התקיפה, מניעתה או בלימתה, כאמור בפסקה (2), רשאי העובד 		המוסמך, אם מצא שהדבר נדרש לצורך איתור התקיפה, מניעתה או בלימתה, ולאחר 		שהודיע לספק על כוונתו לתת לו הוראות לפי פסקה זו ונתן לו הזדמנות להשמיע את 			טענותיו, לתת לספק הוראות, בכתב או בעל פה, שיבוצעו בידי הספק, ובכלל זה הוראות 		לביצוע פעולות להגנת סייבר בחומר מחשב או הוראות למסירת ידיעה או מסמך לרבות 		העתק מחומר מחשב, לידי העובד המוסמך;     	(5)	במתן הוראות לספק לפי פסקה (4) –     		(א)	ישקול העובד המוסמך את השפעתן האפשרית על הזכות לפרטיות, על 			פעילות הספק ועל צד שלישי, וכן את העלות הכלכלית המוערכת של יישום 				ההוראות והשפעתן האפשרית על הרציפות התפקודית של הספק, למיטב ידיעתו 			של העובד המוסמך, ואם הספק מסר הערכה לעניין זה – בהתחשב בהערכה 				שמסר; 			 		(ב)	יורה העובד המוסמך לנקוט אמצעי שפגיעתו פחותה לצורך איתור 				התקיפה, מניעתה או בלימתה;     		(ג)	יפרט העובד המוסמך את המועד האחרון לביצוע ההוראה;     	(6)	נתן עובד מוסמך לספק הוראה לפי פסקה (4), יפעל הספק בהתאם לה עד המועד 		האחרון שנקבע לביצועה כאמור בפסקה (5)(ג), וידווח על אופן ביצועה לעובד המוסמך עד 		המועד האמור

עידו בן יצחק: "

מירי פרנקל-שור: קודם כל נתייחס לפסקה (3) לעניין התקינה

מירי פרנקל-שור:  סברנו במפגש שהתקיים עם נציגי הממשלה שאנחנו מבינים את נושא התקינה אבל מצד שני שאלנו אם נכון להתמקד בתקינה מסוימת

מירי פרנקל-שור:  צריך להיות כאן איזשהו סעיף נושם שיאפשר להוסיף תקינות נוספות

מירי פרנקל-שור:  מי אמר שצריך דווקא להתחבר לתקינה אמריקאית?     ההצעה שלנו, שמקובלת על הממשלה, היא ליצור תוספת לחוק, להעביר לשם את התקינה האמריקאית ואפשר להוסיף לתוספת תקינות נוספות, אם הן יעלו אל פני השטח

דרור גרנית: יצוין שבשביל הדבר הזה הצענו מנגנון

דרור גרנית:  הצענו להוסיף סעיף שיופיע בסוף סעיף 10

דרור גרנית:  יש בו איזשהו מנגנון, שאפשר יהיה לדבר עליו אם אתם רוצים לדבר עליו כשנגיע לסעיף 10 או שאתם רוצים לדבר עליו כבר עתה, אבל בממש בכותרות, יש בו איזשהו שיקול דעת מקצועי משותף של הגורמים המוסמכים שנותנים את דעתם

דרור גרנית:  מגיעים למסקנה שתקן מסוים הולם או לא

דרור גרנית:  משהגיעו למסקנה שכן, הם מעבירים המלצה לדרג נבחר שיוכל בצו באישור הוועדה - - -     

מירי פרנקל-שור: איזה תהליך

דרור גרנית: זה ההסדר בתמצית

מירי פרנקל-שור: אדוני היושב-ראש, התייחסנו לנושא התקינה שמופיע בסעיף (3)

מירי פרנקל-שור:  סברנו שלא נכון לעגן את התקינה כתקינה יחידה בחוק אלא ליצור איזשהו סעיף יותר גמיש שיאפשר להוסיף תקינות נוספות אם באמת יהיה צורך

יולי יואל אדלשטיין: הסטנדרט של התקינה המדוברת

מירי פרנקל-שור: כן

מירי פרנקל-שור:  שגורמי הביטחון יחשבו שהוא סטנדרט נכון

מירי פרנקל-שור:  יש כאן הצעה של ממשלה איך לאשר תקינה

מירי פרנקל-שור:  אני רק יכולה לומר שהתהליך הוא מאוד מסורבל, הוא לא פשוט

מירי פרנקל-שור:  כדאי אולי לקרוא אותו כדי שכולם ידעו במה מדובר

יולי יואל אדלשטיין: בבקשה

עידו בן יצחק: אקדים ואומר שהתקן שמופיע עכשיו, התקן האמריקאי הזה, לא יהיה בתוך סעיף (3), הוא יעבור לתוספת לחוק; והתווסף סעיף שיגיד כך:     "ראש הממשלה, בהיוועצות עם שר הביטחון, רשאי להוסיף תקנים לחלק א' לתוספת ולהתאים 	לכך את נוסח התצהיר שבחלק ב' לתוספת, על פי המלצה משותפת של ראש מערך הסייבר, ראש 	שירות הביטחון הכללי והממונה על הביטחון במערכת הביטחון

עידו בן יצחק:  המלצה כאמור תינתן אם יש 	בתקן שמוצע להוסיפו כדי להבטיח ברמת סבירות גבוהה את הגבלת השפעתה של תקיפת סייבר 	חמורה מעבר לספק הנתקף וטיפול הולם בתקיפות סייבר חמורות

עידו בן יצחק: "     

ליאת גורפינקל: חשוב להבין מבחינת הסיפה של הסעיף שזה הרעיון המסדר שאיתו התחלנו

ליאת גורפינקל:  זאת אומרת, הגענו לאזורים הללו בגלל החשש להתרחבות התקיפות לארגונים אחרים

ליאת גורפינקל:  התקינה aמאפשרת איזשהו opt out מהחוק מתוך הבנה שיש כאן יכולת להתמודד עם תקיפות, היא מאותו רעיון מסדר שיהיו מספיק בקרות שימנעו את ההתרחבות של התקיפה

ליאת גורפינקל:  זאת אומרת, שהארגון נערך מראש ברמת הגנת הסייבר שלו כדי ליצור בידול בין הלקוחות, שהתוקף לא יוכל לקפוץ מארגון לארגון

ליאת גורפינקל:  ככל שתקינות הללו יראו שיש כאן צמצום של היכולת להתרחב, אז דעתנו תנוח

מירי פרנקל-שור: אני מדברת רק על הפרוצדורה

מירי פרנקל-שור:  אמרתי לכם שאין לנו כלים להתמודד עם נושא התקינה, אבל יכול להיות שיעלו תקינות מהשטח

מירי פרנקל-שור:  אבל התהליך שאתם מציעים הוא סבוך, מגושם ובאמת יש שאלה אם הוא יכול לצאת לפועל: ראש הממשלה שצריך להתייעץ שר הביטחון ואחר כך, על-פי המלצה המשותפת של גם של המלמ"ב, גם של השב"כ - - -     

דרור גרנית: לא אחר-כך אלא לפני כן

מוריה: אנחנו מעבירים המלצה

מירי פרנקל-שור: אתם מעבירים המלצה

מירי פרנקל-שור:  אנחנו אומרים "מביאים המלצה", על-מנת להגיע להסכמה זה באמת צריך להיות תהלים שנושם זה לא פשוט

דרור גרנית: צריך להגיד בכנות, זו מטריה סופר מקצועית, מאוד טכנולוגית

מירי פרנקל-שור: ובכל זאת, אנחנו מדברים על מציאת נקודת האיזון בין המדינה לבין החברות הפרטיות

דרור גרנית: תרשי לי להסביר את הרציונל והמנגנון שהצגתי

דרור גרנית:  זו מטריה מאוד מאוד מקצועית, מאוד מאוד טכנולוגית

דרור גרנית:  מבלי, חלילה, למעט בכבודם כנראה שראש הממשלה ושר הביטחון לאו דווקא בקיאים בפרטיו של תקן מסוים כזה או אחר לענייני הגנה בסייבר

דרור גרנית:  זו באמת מטריה של הגורמים המקצועיים

דרור גרנית:  להגיד שהתקן הזה מספק את המענה הביטחוני או מספק מענה טוב מספיק או בסבירות גבוהה או לא, ולכן הם צריכים לגבש המלצה שתהיה מוסכמת עליהם – הם אלה הגורמים בעלי האוטוריטה המקצועית – הם מביאים את המלצתם בפני הדרג הנבחר

דרור גרנית:  הדרג הנבחר שבאמצעות חקיקת משנה אמון על הבאת התיקון הזה

דרור גרנית:  זה הרציונל

קרן גל און: אוסיף עוד משהו

קרן גל און:  החוק הזה הוא משולב לשלושת הגופים

יולי יואל אדלשטיין: אנחנו מבינים את זה

יולי יואל אדלשטיין:  אנחנו רק חושבים עד כמה פרקטית ההצעה הזאת

קרן גל און: כמו שהצלחנו להביא את ההצעה הזאת ביחד וכמו שיהיה טיפול - - -     

יולי יואל אדלשטיין: לא על זה אני מדבר

יולי יואל אדלשטיין:  מתוך היכרות עם המערכת של שנה שנתיים, אני חושש מאוד שבאמת אישור תקן חדש ייקח שנים

קרן גל און: נגיד בכנות הנדרשת שבשלב הזה לא זיהינו תקן אחר

קרן גל און:  זה נפתח לאור הבקשה לגמישות כדי לייצר - - - בהחלט יוצג מענה

קרן גל און:  אמרנו שיש 3 אפשרויות לחברות

קרן גל און:  עמידה בתקן הזה שמבדל בין סביבת לקוחות ומקטין מיידית את החשש מאותה תקיפה, הוא דרך יציאה החוצה

קרן גל און:  הדרך השנייה היא טיפול הולם שכל אחד, גם אם הוא לא עומד בתקן הזה, יכול לבצע כשהוא נתקף

חנן טוויזר: אני שותף במשרד פאהן-קנה

חנן טוויזר:  אני מגיע מלשכת רואי החשבון

חנן טוויזר:  אני יושב-ראש הוועדה שאחראית על ביקורת מערכות מידע

חנן טוויזר:  הנושא של הגדרת התקן הספציפי הזה, אני אאיר את עיני הוועדה, בסוף זה תקן שהוא מצהיר הצהרה: אני עומד בהנחיה

יולי יואל אדלשטיין: אני עומד בתקן

חנן טוויזר: עכשיו, על פניו אתה יכול להצהיר ואתה יכול לעבור למסלול שהוא יהיה, לצורך העניין, מלא חורים: אתה לא עומד מאחורי זה ואתה אומר שאתה עומד מאחורי זה

חנן טוויזר:  אני חושב שעצם הבחירה בתקן הזה היא לא נכונה

חנן טוויזר:      יש תקנים שמאפשרים אבחנה ודאית שהגוף עומד בסטנדרטים מינימליים, כמו שדובר

חנן טוויזר:  דרך אגב, כל עולם התוכן של בקרה על לשכות שירות – אני מגיע מהעולם הזה שמדברים על זה – לשכת שירות זה גוף שנותן שירותים לאחרים, מטבע הדברים גם לספקים, ויש תקינה מאוד מכובדת סביב הדבר הזה בארצות הברית וחלק מ-ACP האמריקאי וגם פה בארץ חברות ישראליות מיישמות את זה כחלק מהדרישות לעבודה עם השוק האמריקאי

חנן טוויזר:  זה נקרא: SOC service organization control report type 1, type 2

חנן טוויזר:  זה מחייב את הגופים לבצע בקרה אפקטיבית על-ידי גורם חיצוני בלתי תלוי

חנן טוויזר:  לא רק הצהרה, אלא לבוא ולהסתכל ולראות שהבקרות שאותו אותו ספק מתכנן ואמור ליישם אכן קורות

חנן טוויזר:      אני מציע, כרגע לפחות, לא להחליף אלא להוסיף אלטרנטיבה ואפשרות

חנן טוויזר:  אני חושב שגוף מסוים שרוצה באמת להגיד לעולם: תראו איך אני מיישם בסופו של דבר את בקרות הסייבר בצורה טובה כפי שהמערך היה רוצה, הוא יידע, בסופו של יום, לעמוד בתקן הזה

יולי יואל אדלשטיין: לא הבנתי את ההצעה המעשית

יולי יואל אדלשטיין:  את הרישה הבנתי, זה שרשום לך על הקיר "אני עומד בתקן כזה וכזה", לא אומר כלום

יולי יואל אדלשטיין:  מה הסיפה, מה אתה מציע?     

חנן טוויזר: אני אומר, מלבד התקן הזה, אם המערך בכל מקרה רוצה שהדבר הזה יהיה, אז הכול בסדר

חנן טוויזר:  רק אני אומר שלא להשאיר אותו הוא עומד לבד, אלא להוסיף

יולי יואל אדלשטיין: מה להוסיף?     

חנן טוויזר: להוסיף תקן שנקרא SOC type 2, ממש ככה

חנן טוויזר:  לפי רפרנסים מסוימים, אפשר לדבר על זה אחרי זה offline, מה הדומיינים שצריכים להיות בפנים

חנן טוויזר:  זה הדבר הזה יבטיח לכם חוסן משקי בוודאות מעבר להצהרה

חנן טוויזר:  אני מכיר מניסיון - - -     

ליאת גורפינקל: ההצעה שמונחת כרגע על השולחן פותחת את האפשרות לשיח

ליאת גורפינקל:  עשינו עבודת מטה מקיפה לגבי התקינה

ליאת גורפינקל:  מבחינת מומחי התקינה שלנו, זו התקינה

ליאת גורפינקל:  זו לא הייתה החלטה של מה בכך ואנחנו מכירים את התקן שאתה מדבר עליו

ליאת גורפינקל:  אנחנו מכירים גם את האמירה שאמרת שהוא יכול לעמוד בתצהיר, שהוא יקבל  תצהיר לא מדויק, אני לא רוצה להגיד לא אמיתי, אנחנו מכבדים את האנשים שחותמים – מדובר פה בתצהיר עורך דין

ליאת גורפינקל:  זה המכניזם באמת לתקינה שהיא, ללא הסמכה

ליאת גורפינקל:  אנחנו חושבים שהבקרות באותה תקינה הן מספיק גבוהות כדי לצמצם את התקיפה

ליאת גורפינקל:       לגבי SOC type 2, אפשר לדון על זה לעומק

ליאת גורפינקל:  כרגע, לפחות מבחינת גורמי התקינה שלנו, אנו חושבים שזה לא נותן את המענה המיטבי לצמצום היכולת להתרחב

ליאת גורפינקל:  כרגע יש כאן הצעה שלמעשה מאפשרת את השיח הזה

חנן טוויזר: במקום לייצר שיח עד שיגיע הפתרון לשיח ועד התשובות לשיח ואז איזו תקינה תהיה, ואז יהיו פה עוד דברים, אני מציע שכבר עכשיו בתזכיר עצמו תהיה כבר היכולת - - -     

דרור גרנית: לא

דרור גרנית:  יש פה הצעה לשבץ כבר עתה בתוספת - - -     

מירי פרנקל-שור: להוסיף תקן

דרור גרנית: להוסיף תקן

דרור גרנית:  אני אומר בכל הכבוד לדובר וגם לשאר הנוכחים, זו מטריה מקצועית מדי עם רזולוציה פרטניות מדי, שזה לא השולחן לנהל אותה

דרור גרנית:  צריכים גורמי המקצוע להידרש להצעה

דרור גרנית:  אם ישתכנעו שהתקן שמציע האדון הנכבד או תקן אחר די בו, הוא הולם וראוי, אנחנו לא מבקשים להקשות, נדמה לי שזה עולה בבירור מלשון ההצעה

דרור גרנית:  אנחנו נציג מנגנון לקיום הדיון הזה בפורום הנכון

דרור גרנית:  לבוא ולקיים את הדיון הזה פה - - -     

יולי יואל אדלשטיין: אני זורם איתך ואפילו יותר מזה

יולי יואל אדלשטיין:  אני שואל דווקא אותך כנציג משרד המשפטים בדיון, אפשר להגיע להסכמת שלושת הגופים לגבי התקן מבלי לערב באירוע את ראש הממשלה ואת שר הביטחון? אפשר להכניס, נגיד, אפילו כאן בחוק שהתנאי הנדרש - - -     

דרור גרנית: כלומר שהתנאי הנדרש יהיה - - -     

יולי יואל אדלשטיין: שראשי שלושת הגופים - - -     

דרור גרנית: מסכימים ביניהם והם יוכלו לעדכן את - - - מבלי להידרש לדרג פוליטי?     

יולי יואל אדלשטיין: כן

מירי פרנקל-שור: אנחנו אף פעם לא משנים תוספת על ידי דרג מדיני

יולי יואל אדלשטיין: לכן שאלתי את משרד המשפטים

נטע קניגשטיין: הרכיב הזה במנגנון לא נובע מזה שגורמי המקצוע לא יכולים לגבש המלצה ולקבל החלטה, אלא שחשבנו שמכוון שמהות ההחלטה בסוף הופכת להיות שינוי של התוספת, נכון שהדרוג שמקבל את החלטה יהיה הדרג המדיני

מירי פרנקל-שור: אז מדוע לא ראש הממשלה יכול לשנות את התוספת? ברור שראש הממשלה לא ישנה על דעתו את התוספת

יולי יואל אדלשטיין: לא חברים, זה לא יקרה

יולי יואל אדלשטיין:  אני אומר לכם, זה לא יקרה

דרור גרנית: יש פה עניין נורמטיבי עקרוני, לכן רצינו לתת את הכבוד הראוי לדרג הנבחר ולראש הממשלה ולשר הביטחון בהיותם דרג נבחר

דרור גרנית:  שינוי הנורמה והרחבתה, שזו המשמעות של תיקון התוספת, בעולם רגיל נורמלי אנחנו חושבים שזה המקום

דרור גרנית:      יש מקומות שבהם אנחנו קובעים

דרור גרנית:  אגב, בחוק נתוני נוסעים קבענו איזשהו מנגנון שהמנהל יכול לתת ההוראות

דרור גרנית:  בהוראות היה חופש נרחב, אם אתה זוכר, בסעיף (3) - - -     

עידו בן יצחק: - - - את התוספת

דרור גרנית: לא

דרור גרנית:  זה לא היה בעניין של תוספת

דרור גרנית:  היה שם איזשהו קו עדין בין הוראות מינהליות שקובע מנהל כדרג מקצועי לבין תקנות שקובע השר

דרור גרנית:  אז בעולם הזה אפשר לשחק באיזשהו מקום, אם אדוני מציע שיעשה את זה הדרג המקצועי בהסכמה של שלושת השחקנים המקצועיים, אני חושב שאנחנו יכולים לחיות עם זה

יולי יואל אדלשטיין: זאת השאלה

יולי יואל אדלשטיין:  היועצת המשפטית של הוועדה אומרת שללא דרג נבחר אין תקדים לזה

דרור גרנית: בחוק נתוני נוסעים, בסעיף 3, אני אפנה אותך ספציפית להבחנה בין 3(ג)(1) ל-3(ד), אם אני זוכר בעל-פה את מספרי הסעיפים, יש שם איזה כוונון עדין מאוד, וגם שם, אגב, עשינו מה שהצענו גם פה, לא אמרנו שלמנהל יש סמכות לקבוע הוראות, אז הוא יקבע הוראות וזהו, אלא הביננו את שיקול דעתו באמירה שהוא יכול לבנות את ההוראות בכפוף לתקינה בינלאומית, סטנדרטים וכדומה שקבענו שם

עידו בן יצחק: זה כמו שפה אנחנו לא קובעים בחוק איך מערך הסייבר יפעיל את הסמכויות שלו ומה הוא יגיד בדיוק לכל חברה

עידו בן יצחק:  זה נותן את החופש בתוך כללי המשחק העקרוניים שנקבעים פה

דרור גרנית: לכן הצענו את התכלית שאומרת שזה בעצם נותן לנו סבירות גבוהה שזה מונע את ההתפשטות

מוריה: אני יכולה להגיד שמצד הגופים אנחנו יודעים להגיע להחלטה משותפת באופן מהיר ועובדים יחד

יולי יואל אדלשטיין: השתכנעתי שזה אכן ככה

יולי יואל אדלשטיין:  אני רק מחפש מנגנון

יולי יואל אדלשטיין:  בהצעה הזאת – אני אומר את זה בלי ציניות ועל סמך היכרות – צריך שראש השירות, בין 20 הנושאים שיש לו לראש הממשלה, יכנס לאליו לפ"ע ויגיד: נושא ראשון, אדוני, תחתום לי עכשיו על הצו

יולי יואל אדלשטיין:  זה תקן שלראש הממשלה אין מושג ירוק, בלי לפגוע בראש ממשלה כלשהו,  על מה מדובר ומה זה הצירוף הזה של אותיות ומספרים, כמו שגם לי אין וכמו שאני חושב שלאף אחד שהוא לא ממערך הסייבר כאן, אין

יולי יואל אדלשטיין:      לכן אני מנסה להיות פרקטי

יולי יואל אדלשטיין:  אני רוצה שחברה בסוף תוכל לא להיות תקועה רק עם תקן אחד שמוצע כרגע בחוק, אלא עם דברים שגורמי מקצוע יגדירו כדברים שמספקים אותם, אבל זה לא יקרה אם זה אצל ראש הממשלה בהתייעצות עם שר הביטחון

ליאור פרנקל: אני רוצה לחזור מעט אחורה

ליאור פרנקל:  אולי אני מפספס כאן את הטקסט ואת הכוונה, אבל אנחנו פה במניעת תקיפה חמורה שהיא כרגע קורית

ליאור פרנקל:  אם אני אותו ספק ואתם באים ואומרים לי: אתה עכשיו תחת התקפה

ליאור פרנקל:  הכול טוב, אני בא וחותם לכם על זה, וחותם באמת, זה גם המצב, וההתקפה ממשיכה  מה עושים? מה זה עוזר?     

ליאת גורפינקל: בעיקרון, אותן בקרות אמורות למנוע את ההתרחבות של התקיפה, ולכן בחרנו את התקינה הספציפית הזו שיש בה בקרות

ליאור פרנקל: אני יודע

ליאור פרנקל:  אני שואל במציאות

ליאור פרנקל:  במציאות אני עומד בתקינה והתקיפה ממשיכה

ליאת גורפינקל: אתה לא טועה

ליאת גורפינקל:  לצורך העניין, לא ממשיכים לשלב של מתן הנחיות

ליאור פרנקל: אני עומד בצד שלכם – זו לא המציאות

ליאור פרנקל:  אני יכול לעמוד בצורה אמיתית בתקינה, גם בתקינה הזו

ליאת גורפינקל: לכן בחרנו תקינה שיש בה בקרות ופחות תהליכים וענייני - - - כי היה לנו קל ללכת - - -     

ליאור פרנקל: הטענה שלכם, שהיא נכונה, שתקיפות הן מורכבות, יש המון סוגים, יש הרבה יכולות לתקיפה

ליאור פרנקל:  בטח, אנחנו באים מהעולם התקינה שנים אחורה, אני יכול לעמוד בתקינה? בטח הצהרה אישית

ליאור פרנקל:  היא לא תחסום את התקיפות האלה

ליאור פרנקל:  התקינה הספציפית הזאת, אני יכול לעמוד בה והתקיפה עדיין תמשיך

ליאת גורפינקל: להבנתנו היא תמנע את ההתפשטות, ואז אנחנו מגיעים מנקודת - - -     

ליאור פרנקל: אבל אני שואל במציאות, אבל בפועל יקרה שלא

ליאור פרנקל:  אז מה? אז אני בחוץ? בפועל זה ימשיך – אני בחוץ?     

בן אברהם: אבל אם אתם רואים שלמעשה אותו וקטור תקיפה עדיין נמצא בתוך המערכת, אין לכם סמכות לעבור לשלב הבא?     

ליאת גורפינקל: אין סמכות לעבור

ליאת גורפינקל: זה נוגד את כל מטרת החוק

ליאת גורפינקל:  זה ניהול סיכונים שהוא לא נכון

ליאת גורפינקל:  הרי אתה אומר לי, תעשה אתה, אני אומר לך: תקשיב, אני פעלתי, עשיתי

ליאת גורפינקל:  הטענה שלכם היתה שאם התקיפה ממשיכה, אז אני עכשיו יכול להנחות

שי: הצהרת וחתמת בפני עורך דין שאתה - - -     

יולי יואל אדלשטיין: כן, בבקשה, אדוני

שי:  אני ראש יחידת הסייבר

שי:  שלושת הגופים הגיעו למסקנה – התבקשנו במסגרת הליך החקיקה לספק תקן כדי להקל על הרגולציה וכדי לאפשר לחברות שעושות את העבודה כמו שצריך בנושא הסייבר, לעזוב אותנו ושאנחנו נעזוב אותן

שי:      התקן הזה, למי שמכיר אותו, יש לו המון בקרות

שי:  התקן הזה נבחר בניגוד לתקנים אחרים כי יש לו בקרות ספציפיות שנוגעות לאיך החברה מתנהלת לפני, תוך כדי ואחרי אירוע הסייבר

שי:  חזקה על חברות שהצהירו בצורה אמיתית שהן עומדות בתקן, הן יודעות שהן עומדות בתקן, ככל שאנחנו נצביע בפניהן על תקיפה כזאת או אחרת שמתקיימת בחברה, חזקה עליהן שיידעו לטפל בתקיפה הזאת, גם אם בצורה פחות טובה או יותר טובה, הן יידעו להתנהל

שי:      ככל שהתקיפה תמשיך כי התוקף מורכב או השתמש במגוון שיטות כאלה ואחרות, הן יידעו להמשיך להתנהל

שי:  אנחנו מאמינים שהן יידעו להמשיך להתנהל ולהתגונן בצורה טובה או בצורה סבירה כנגד התקיפה ולא יצטרכו את ההתערבות שלנו או את ההנחיה הספציפית שלנו

שי:      אגב, חברות שעומדות בתקינה הזאת, מן הסתם ישמחו

שי:  ישמחו לקבל הנחיה מקצועית של הגופים המונחים, של גופי הסייבר במדינה, כדי לעזור להן להתמודד עם התקיפה, כי הן מבינות מה החשיבות של התקיפה ומה הנזק הפוטנציאלי שהתקיפה תוכל לעשות להן

שי:  לכן אני לא חושב שיש פה בעיה

שי:  אני לא מאמין שחברה תאשר או תחתום על משהו שהוא בניגוד לאמת

שי:  ככל שיש לה כזה מסמך, אז היא תדע להתנהל ואנחנו סומכים עליה

ליאור פרנקל: אני לא מצליח להבין את ההיגיון

רפי סלמה: זה לא ימנע ממנה לקבל סיוע אם היא רוצה

רפי סלמה:  אין אפשרות לתת הנחיות

רפי סלמה:  אם היא רוצה לקבל סיוע של מס"ל, היא תקבל אותו

רפי סלמה:  אין שום בעיה עם זה

ליאור פרנקל: אנחנו לא מדברים פה על הסכמה

ליאור פרנקל:  בהסכמה לא צריך את החוק

ליאור פרנקל:  אנחנו מדברים על מצב שאתם באים ואומרים לחברה מה לעשות

ליאור פרנקל:  היא עשתה את זה

ליאור פרנקל:  התקיפה ממשיכה, אתם מנחים אותם מה לעשות

ליאור פרנקל:  זה החוק

ליאור פרנקל:      אבל יש תקיפה

ליאור פרנקל:  אתם באים לחברה, היא אומרת לכם שהיא עומדת בתקן, והיא עומדת בתקן באמת – התקיפה ממשיכה, ואתם אומרים: הכול בסדר, טפל בזה בעצמך

ליאור פרנקל:  זה הפוך - - -     

רפי סלמה: אבל היא יכולה לסייע

רפי סלמה:  אם הוא פונה למס"ל, מסייעים לו

ליאור פרנקל: אבל זה לא הגיוני

נאור שירי: מאותו רגע זה עובר לשלב שיתוף הפעולה, ככל שאתה מעוניין בכך

ליאור פרנקל: אין חובה בתקן לשתף פעולה

ליאור פרנקל:  אני יכול לעמוד בתקן ולהגיד לך: אל תתקשר אליי יותר

יולי יואל אדלשטיין: שי, רצית להשלים את הדברים

שי:  יש עוד סעיף בחוק שתכף נגיע אליו, שאם התקיפה לא סוכלה תוך זמן סביר או לא עמדת בהנחיות, עדיין אני אתן לך את ההנחיות ואתה - - -     

ליאת גורפינקל: אלא אם אני עומד בתקינה

שי: לא

שי:  התקינה היא השלב הראשון

קרן גל און: אדוני, כמו שאתם רואים, זה בדיוק האיזון שאנחנו מנסים לחפש

ליאור פרנקל: זה איזון שהוא לא נכון

קרן גל און: הוא אומר שאפילו התקינה הזו לא מספיקה

קרן גל און:  כפי ששמענו מחברו שאמר שיש אפילו תקנים אחרים שמספיקים

קרן גל און:  אנחנו אומרים שזאת בדיוק עבודת המטה שנעשתה, לבחור בפינצטה את התקן שגורמי המקצוע חושבים שהוא מספיק

קרן גל און:  זאת אומרת, בנסיבות האלה הוא נותן את הבידול בין הספק הנתקף ללקוחות שלו

קרן גל און:  הוא היחידי כרגע שאותר כמספיק, כי אכן קשה מאוד למצוא תקינה רלוונטית ואותרה אחת כזאת

קרן גל און:  אנחנו אומרים בפתיחות שיהיה מנגנון להרחיב, אם יימצא

קרן גל און:  אבל קשה מאוד למצוא תקינה שנותנת את המענה הספציפי לכך שהתקיפה לא תתפשט

קרן גל און:  זו התקינה היחידה שאותרה

קרן גל און:  היא תקינה מאוד רחבה: כ-480 עמודים, עם בקרות ספציפיות איך לבצע, זה לא עומד ברמת הכותרות, וזו התקינה שלדעתנו נותנת את המענה בהקשר של החוק הזה

ליאור פרנקל: אבל אנחנו לא פועלים פה בבנייה של חוסן

מירי פרנקל-שור: אני בכל זאת חושבת שהכללה של תקינה ספציפית בחקיקה היא זרה קצת לנושא

מירי פרנקל-שור:  המנגנון צריך להיות מנגנון נושם, וצריך להתקיים שיח

מירי פרנקל-שור:  כפי שנאמר קודם, אנחנו מדברים פה על תקדים, צריך גם לקחת את זה בחשבון

מירי פרנקל-שור:      אני מציעה שנוציא את התקינה מהחקיקה

מירי פרנקל-שור:  אתם תפרסמו תקינה לאור הבעייתיות

מירי פרנקל-שור:  ההצעה שלי כזו: לא נציין את התקינה הספציפית הזו בחקיקה

מירי פרנקל-שור:  אתם תפרסמו, במיוחד כאשר אני רואה שהמנגנון לשינוי הוא מנגנון שלא יאפשר להוסיף תקינות נוספות, מערך הסייבר יפרסם את התקינה באתר וצריך להתקיים שיח

מירי פרנקל-שור:  אם יהיה תקן נוסף, אז הוא יפורסם באתר

מירי פרנקל-שור:  אני חושבת שכל המנגנון הזה של הכנסה לחוק  הוא הבעייתי

נטע קניגשטיין: תהיי חייבת להתייחס בתוך החוק לאפשרות שייקבע תקן

יולי יואל אדלשטיין: לא, לא

יולי יואל אדלשטיין:  זה מה שמציעה, אם אני מבין אותה נכון, היועצת משפטית, שתהיה התייחסות על-פי רשימת התקינה שתפורסם על ידי מערך הסייבר

עידו בן יצחק: לא נכתוב בהתאם לתקן NIST אלא בהתאם לתקן שפרסם מערך הסייבר

דרור גרנית: אני רוצה להבין

דרור גרנית:  התחלנו מחקיקה ראשית

דרור גרנית:  בעקבות ההערה שלכם אנחנו אמרנו שאנחנו קובעים את זה בחקיקה ראשית אבל מציעים שאפשר יהיה לקבוע בחקיקת משנה להשאיר את הרשימה

דרור גרנית:  עכשיו את אומרת לנו: לא, בואו נוציא את זה החוצה, נשים את זה בדרג - - -     

יולי יואל אדלשטיין: כי בשביל זה נועד הדיון

יולי יואל אדלשטיין:  אנחנו לא מומחים לכל תקינה של סייבר

דרור גרנית: אני רק רוצה לוודא שאנחנו מבינים

יולי יואל אדלשטיין: את ההצעה של היועצת המשפטית של הוועדה הבנת נכון מאוד

גל אסף: היה שיח ממשלתי מאוד נרחב על החוק הזה ואחת המסקנות שלנו הייתה שצריך לייצר ודאות לשוק על מי זה חל ועל מזה לא חל ולייצר תמריץ לאמץ תקנים

גל אסף:  נציגי מערך הסייבר אמרו פה בצדק שלקחו תקן מאוד מחמיר ופותחים שיח גם לתקנים נוספים שיגיעו בהמשך

גל אסף:  אני חושב שהוודאות הזאת לשוק, אם נמצא תקן שכל הגורמים הביטחוניים פה שאני לא מערער, אומרים שזה מספק אותם בניהול סיכונים, אני חושב שנכון לתת את הוודאות הזאת לשוק

גל אסף:  אם זה לא מעוגן בשום מקום, מחר זה גם יכול להימחק ואז פתאום הוודאות שנתנו לשוק נעלמת

גל אסף:      זאת אומרת, אני מסכים ומבין את החשש של היושב-ראש מהקושי להוסיף

גל אסף:  לגבי זה אני תמיד אשמח להוסיף, אבל מה שכבר הגענו להסכמות לגביו, אני אשמח שיעוגן ברמת ודאות גבוהה כדי שהשוק יידע

גל אסף:  אם לזה אני מתכוונן, אז יש לי ודאות

גל אסף:  אם נצליח להגיע להסכמה על עוד תקנים, אז נוסיף עוד תקנים

יולי יואל אדלשטיין: אם נגיע להסכמה, זה לא יעזור לאף אחד אם אחד אם המנגנון המוצע יישאר בתוקף

אפרת נחלון: אדוני היושב-ראש, התשובה לחשש שלכם מסרבול של המנגנון היא בוודאי לא הוצאה של התקן היחיד שהצליחו להסכים עליו בינתיים מלשון החוק

יולי יואל אדלשטיין: יכול להיות

יולי יואל אדלשטיין:   אני אף פעם לא מתאהב בהצעות שלי

יולי יואל אדלשטיין:  אני רק אומר שיש פה בעיה: כלול תקן אחד, עלה פה חשש שלא בטוח שכל חברה ששמה את הפלאק על הקיר שהיא עומדת בתקן הזה באמת במאה אחוז עומדת בתקן הזה והמנגנון של להוסיף תקנים נוספים, לפחות שמעתי מאחד המשתתפים שאולי הם דווקא נותנים מענה – אני חוזר ואומר שאני לא מומחה בתחום – שהם נותנים מענה אפילו יותר סביר

יולי יואל אדלשטיין:  המנגנון שהוצג כאן הוא מנגנון של דרך ללא מוצא

יולי יואל אדלשטיין:  הוא לא מוביל לשום מקום

יולי יואל אדלשטיין:  כן, בבקשה עמרי

עמרי רחום טוויג: אם זה המצב, אז למה לא להשאיר את התקן הזה כמו שהוא ולהוסיף או בתקן אחר שקבע ראש מערך הסייבר כתקן מספק ופורסם, וכדי להבנות את שיקול הדעת ואת התהליך ואת לוחות הזמנים, בשים לב שאנחנו בהוראת שעה שאם אני מבין נכון, תוקפה כולו יהיה חצי שנה, אז לקבוע איזשהו מנגנון של מי מעלה לדיון תקנים, כולל השוק שיוכל להעלות תקן לדיון, לא רק דיון פנימי שעולה בתוך המערך, ואיזה שהוא סד זמנים שבו תתקבל החלטה האם כן או לא לאשר תקן כזה, והוא יקבע בנוסף בהוראת מינהל

טל מימרן: אני חושב שברמה העקרונית הדיון הוא נכון ויצירת גמישות במנגנון קביעת תקנים זה נכון

טל מימרן:  ברמה המעשית אני בספק גדול שאחרי עבודת מטה ארוכה בחצי השנה הקרובה ישנו את ההמלצה

טל מימרן:  כל עוד מגדירים יכולת לשנות, להתאים, לעדכן, זה נראה - - -     

יולי יואל אדלשטיין: מבחינת הקונסטרוקציה המשפטית, אני רוצה להבין, אם באמת ניקח את ההצעה הזאת ויהיה כתוב התקן NIST 800-53 או תקן נוסף כפי שכפי שיפרסם מערך הסייבר הלאומי בהסכמת שירות הביטחון הכללי ומלמ"ב, כקונסטרוקציה משפטית, אני לא מתייחס לתוכן, זה מתאים?     

טל מימרן: כן

מירי פרנקל-שור: אני מציעה, אם אפשר, בכל זאת להעביר אותו לתוספת, כיוון שיש פה איזה דיסוננס בין קביעת תקן בחקיקה לבין איזשהו פרסום

יולי יואל אדלשטיין: שאלתי בדיוק על זה

עמרי רחום טוויג: רק לחדד שלא תהיה הסר של תקן קיים בלי שתהיה לו חלופה, שלא ייווצר ואקום

מירי פרנקל-שור: אני מציעה למרות הכול, אם זו - - -     

ליאת גורפינקל: חשוב לי שזה לא יהיה רק ראש מערך הסייבר הלאומי אלא בהסכמה משותפת של כל הגורמים, כי הובהר לנו שאנחנו לא יכולים לקבל את ההחלטות עבור - - -     

יולי יואל אדלשטיין: אמרתי את זה חד-משמעית

מירי פרנקל-שור: לאור זה, המלצתי היא להישאר בתוספת

מירי פרנקל-שור:  היא בכל זאת נותנת איזשהו איזון מסוים, ואם ההחלטות לא יהיו סבירות - - -     

יולי יואל אדלשטיין: התקינה תישאר בתוספת עם התוספת כפי שכפי שאמרתי אותה

יולי יואל אדלשטיין:  עידו ינסח את זה

מירי פרנקל-שור: לפי ההצעה הזו - - -     

ליאת גורפינקל: הסעיף יישאר כפי שהצענו?     

מירי פרנקל-שור:  הסעיף יהיה כך: ראש הממשלה בהיוועצות שר - - -     

יולי יואל אדלשטיין: אני לא מוכן לחוקק אות מתה

יולי יואל אדלשטיין:  זה סוג של עיקרון

יולי יואל אדלשטיין:  אין מצב שאנחנו נגיע למשהו תוך חצי שנה, גם אם מחר מנהל לשכת ראש הממשלה יקבל את הבקשה

יולי יואל אדלשטיין:  אין מצב

יולי יואל אדלשטיין:  פשוט לא קיים

קרן גל און: חשוב לנו שהתנאי המהותי של מתי מוסיפים את התקן, גם הוא יישאר

קרן גל און:  שלא תהיה פה עכשיו איזושהי אשליה

קרן גל און:  זאת אומרת, התנאי המהותי שהצענו בשיח, שזה תקן שמבטיח את הבידול והחציצה הבין הספק והלקוחות ואת הטיפול הראוי בתקיפה, זה יישאר בחוק להבהיר שרק תקנים כאלה יאושרו ושלא תהיה איזו אשליה אחרת

מירי פרנקל-שור: לא יודעת אם זה רק ספק ולקוחות

חנן טוויזר: אני גם הייתי מעלה את הרף

חנן טוויזר:  הדקלרטיביות, לדעתי, פוגמת בכל התהליך הזה

חנן טוויזר:  אם התקן הזה לא היה דקלרטיבי והיה תהליך של איזושהי חוות דעת עליו, אז אני חושב שבאמת אין מקום אחר

חנן טוויזר:  אני יכול לומר לכם מהכרותי את התקינה שתיארתי לפני כן SOC2, זה משהו עם ריידר, אפשר תמיד להוסיף עליו נדבכים, גם NIST ועוד תקינה נוספת כדי להגיע להבנה אם הגוף עומד בזה או לא עומד בזה

חנן טוויזר:  בסוף, הדקלרטיביות פה היא החיסרון בגישה

ליאת גורפינקל: אנחנו מקבלים את האמירות שלך

ליאת גורפינקל:  מצד שני, יש גם תקנים שיש להם הסמכה והם בכלל לא עומדים בשום רף של בקרות

ליאת גורפינקל:  הם תקנים שהם תהליכיים, הם תקנים שמבנים תהליכים בתוך הארגון ולאו דווקא מחייבים בקרות

ליאת גורפינקל:  אנחנו התייחסנו לבקרות וזה מה שהיה חשוב לנו: לא מדובר פה בתהליך

חנן טוויזר: אין בעיה

חנן טוויזר:  אם את רוצה את התקן הזה והוא כל-כך חשוב לך, אז את יכולה להגיד שאת רוצה לקבל חוות דעת של גורם בלתי תלוי שאתה עומד בתקן הזה

חנן טוויזר:  זאת אומרת, אם את מוסיפה את ההארכה הנוספת ואומרת: ברגע שיש לי חוות דעת של גורם בלתי תלוי שאתה עומד בתקן הזה, אז ההצהרה שהוא נותן היא לא קלה

חנן טוויזר:  יש לך גורם חיצוני שלוקח אסמכתאות ועושה ביקורות ונותן בסופו של דבר את הדעת על כך שזה מיושם

יולי יואל אדלשטיין: חברים, אנחנו חייבים להתקדם

יולי יואל אדלשטיין:  את הניסוח אתם תציעו בתוספת

עידו בן יצחק: נגיד את העיקרון

עידו בן יצחק:  את התקן נעביר לתוספת

עידו בן יצחק:  מספר 2 בתוספת יהיה: תקן שפרסם ראש מערך הסייבר, בהסכמת ראש השב"כ וראש מלמ"ב ופורסם באתר מערך הסייבר וברשומות

קריאות: - - -     

עידו בן יצחק: אתם רוצים - - -     

ליאת גורפינקל: כן, בוודאי

ליאת גורפינקל:  זו הבניית שיקול הדעת להוספת התקנים

יולי יואל אדלשטיין: מקובל עליי

אריאל ויינשטיין: כשכותבים תקן נוסף שנקבע, זה משתמע כאילו יש שם כבר תקן

אריאל ויינשטיין:  כרגע עוד אין

יולי יואל אדלשטיין: תכתוב בלשון עתיד, כפי שיקבע

ליאור פרנקל: יש לנו תקיפת סייבר מהותית עם כל ההגדרות הקשות שהיו לנו

ליאור פרנקל:  באים לחברה, והחברה אומרת: אני עומדת בתקן

ליאור פרנקל:  הצהירה בצורה אמיתית, והיא עומדת

ליאור פרנקל:  גם אם התקיפה ממשיכה, גם אם הנזק קורה, אתם מושכים ידכם

ליאור פרנקל:  אני טוען שגם במצב שאין לי תקינה, אתם אומרים לספק, אתה צריך לעשות כך וכך

ליאור פרנקל:  ישבנו ביחד, אמרנו אלה 20 הדברים שאני צריך לעשות

ליאור פרנקל:  עשיתי אותם, הצהרתי על זה

ליאור פרנקל:  גם אם התקיפה ממשיכה, אתם צריכים למשוך ידכם

ליאור פרנקל:  זה צריך להיות חזק באותה מידה

ליאור פרנקל:  אין הגיון שעל איזה משהו גנרי אני אקבל את זה, ועל משהו ספציפי שביקשתם ועשינו – החברה תצהיר – גם אם התקיפה ממשיכה, אני קיבלתי פס כי עשיתי את כל מה שצריך

ליאת גורפינקל: ההיגיון המסדר מאחורי הרעיון הזה, וזה בדיוק השיח שגם אנחנו ניהלנו בדל"ת אמותינו ביחד עם שותפינו, האם אנחנו בוחרים כאן תקינה

ליאת גורפינקל:  מכיוון שבאמת אנחנו מגיעים למקום שאנחנו לא ממשיכים לתת הנחיות, האם אנחנו בוחרים באותה תקינה שמבטיחה לנו – לא מבטיחה במאה אחוז כי אין מאה אחוז בסייבר, את זה הבנו – אבל מבטיחה ברמת ודאות גבוהה מאוד שאין התרחבות של התקיפה, ואז זה אותו רעיון מסדר - - -     

ליאור פרנקל: אני מסכים

ליאור פרנקל:  אבל - - -     

ליאת גורפינקל: אם אין התרחבות של התקיפה אז  מבחינתנו החשש - -     

ליאור פרנקל: אני מסכים - - -     

ליאת גורפינקל:  - - יורד משמעותית ולכן אנחנו גם מתעקשים להשאיר את הסיפה

ליאור פרנקל: אבל זה באותו מצב שאם אני ביצעתי את ההנחיות שלכם והצהרתי על כך, אני גם צריך לקבל את אותו פרי פס, אלא אם אני אומר לכם: לא רוצה לדבר איתכם, נדרדר מאמצים

ליאור פרנקל:  אם אני אומר: בסדר, עשיתי הכול, אני רוצה פרי פס על זה כמו להגיד הצהרתי

ליאור פרנקל:  כמו הצהרתי - - -     

נאור שירי: אני לא מבין מה הכוונה בפרי פס, סליחה

ליאור פרנקל: כשאני מצהיר שאני עומד בתקן, גם אם התקיפה ממשיכה, אתם מחוץ לתהליך כבר

ליאת גורפינקל: בגלל שיש לך את הבקרות שמונעות את התרחבות התקיפה

ליאת גורפינקל:  כשאתה עושה פעולות, לא בהכרח יש לך כאן בקרות מובנות שכבר הטמעת

ליאור פרנקל: בסדר

ליאור פרנקל: בנית את הארגון שלך, אין לך יכולת, גם אם אתה עושה את הפעולות שהצהרת עליהן, למנוע את התקיפה אם אנחנו ממשיכים לראות שידורים

ליאור פרנקל: אבל גם אם אני עומד בסטנדרט, לא

ליאור פרנקל:  זה באותו חוזק של דבר

ליאור פרנקל:  אם אתם יודעים מה להגיד לי לעשות, ועשיתי והצהרתי על זה גם, אני לא סתם אומר לכם

עדי בן חורין: אני אחדד פה משהו

עדי בן חורין:  למערך הסייבר, ונדמה לי שגם שאר הגופים יסכימו עם האמירה הזו, אין שאיפה עקרונית לתת הוראות כופות

עדי בן חורין:  ככל שהחברה תטפל באופן הולם בתקיפה, אז לא יינתנו הוראות כופות וזה גם מה שכתוב בנוסח החוק

ליאור פרנקל: אני מסכים

ליאור פרנקל:  אני רק אומר שאם יש לי דרך להתמודד עם זה בהצהרה על עמידה בתקינה גנרית, בטח שאני יכול להתמודד עם זה בהצהרה בעמידה של הנחיות ספציפיות שקיבלתי ועשיתי אותן

ליאור פרנקל:  זה צריך להיות מספיק חזק

אלי דיין: - - - הגוף הזה לא עשה - - -     

ליאור פרנקל: עשה

ליאור פרנקל:  הצהרתי

ליאור פרנקל:  אני גם יכול לא לעמוד בתקינה

ליאור פרנקל:  אנחנו לא מניחים שאנחנו משקרים

אלי דיין: הצהרת

אלי דיין:  ואז ממשיכים לתקוף אותך - - -     

ליאור פרנקל: אבל בתקינה הוא מוותר לי על זה

ליאור פרנקל:  זו בדיוק הנקודה

ליאור פרנקל:  אני אומר שזה בסדר, אני מבין את ההיגיון, אבל בטח כשהוא מבקש ממני דברים ספציפיים ועשיתי אותם, והסכמנו עליהם ועשיתי אותם, ואני גוף משתף פעולה, עשיתי כל מה שביקשו ממני – תעזבו אותי, אני אמשיך לעשות את הדברים

ליאור פרנקל:  זה נראה לי הדבר הנכון

יולי יואל אדלשטיין: ליאור, המהות היא למנוע את תקיפת הסייבר

יולי יואל אדלשטיין:  אני מבין את ההיגיון שלך

ליאור פרנקל: אבל הם אומרים שאם אתה עומד בתקינה והצהרת, גם אם התקיפה ממשיכה, אנחנו לא נתערב יותר

יולי יואל אדלשטיין: זה מוזר באמת

יולי יואל אדלשטיין:  מה אתם אומרים על זה מבחינה מקצועית? אז הוא עומד בתקינה, אבל דרכו מפילים, כמו שנאמר פה, את מערך המים במדינת ישראל

יולי יואל אדלשטיין:  אז מה?     

ליאת גורפינקל: אתה צודק, כבוד היושב-ראש, אני חושבת שהמנעד הרחב של הדיון כאן הסביר שלא בחרנו בכל תקינה אלא בחרנו בתקינה שמקטינה מאוד ברמת הוודאות את - - -     

יולי יואל אדלשטיין: הלכה למעשה

יולי יואל אדלשטיין:  יושב לידך מי שאחראי על הנושא הזה, הוא עומד בכל - - -     

עמרי רחום טוויג: זה תמריץ

מירי פרנקל-שור: הוא עומד בתקינה - - -     

קרן גל און: 	אחת מההוראות של התקינה היא שאם התקיפה ממשיכה, הוא צריך לנתק את המערכות

קרן גל און:  אז התקינה מסדירה את זה

יולי יואל אדלשטיין: אתם אומרים שההנחיות באות מן התקינה

יולי יואל אדלשטיין:  ממשיכים לתקוף, תעשה אל"ף; עוד פעם ממשיכים – תעשה בי"ת

ליאת גורפינקל: לכן בחרנו בתקינה שיש לה בקרות

ליאת גורפינקל:  זה נכון שיש שם את - - - ההסמכה שהוא יכול להיות בעייתי, אבל עדיין בחרנו - - -     

עמרי רחום טוויג: זה גם תמריץ לשוק לאמץ את התקינה הזאת מראש

יולי יואל אדלשטיין: הבנתי את זה

יולי יואל אדלשטיין:  מירי, בבקשה

מירי פרנקל-שור: בדברי ההסבר נאמר שהחוק המוצע אינו שולל את האפשרות של הגופים לסייע לספק בהסכמתו להתמודד עם התקיפה בדרכים אחרות

מירי פרנקל-שור:  כאן בסעיף 3 מדובר על הנחיות, אבל לא נאמר במפורש שהספק יכול להסתייע, במיוחד כאשר אנחנו מדברים - - -, אנחנו יכולים לדבר על עלויות

יולי יואל אדלשטיין: תפני אותה לסעיף 3

מירי פרנקל-שור:  זה לא בסעיף 3

מירי פרנקל-שור:  בדברי ההסבר נאמר שהחוק המוצע אינו שולל את האפשרות של הגופים לסייע לספק בהסכמתו להתמודד עם התקיפה בדרכים אחרות

מירי פרנקל-שור:  אני חושבת שהדבר צריך לקבל ביטוי גם בחקיקה עצמה, במיוחד כאשר מדובר בספקים קטנים ומבקשים את הסיוע

מירי פרנקל-שור:  העובד המוסמך יסייע לו או לכל מישהו אחר שיכול - - -     

קרן גל און: זה מטיל חובה לסייע?     

מירי פרנקל-שור: אני חושבת שכן

מירי פרנקל-שור:  אם הוא מבקש, אז כן

מירי פרנקל-שור:  אתם אומרים את זה בדברי ההסבר

קרן גל און: זו דרך הפעולה של המערכים

קרן גל און:  אבל הפחד המרכזי הוא שמכלל הן אתה שומע לאו

קרן גל און:  החוק הזה מתייחס לתקופה מוגבלת ולסקטור מאוד מוגבל והסיוע בהסכמה מוצע אתם שומעים את זה דרך 119 לדוגמה, במערך הסייבר, לכל מי שמבקש סיוע

קרן גל און:  יש אלמנטים רבים של סיוע בהסכמה

קרן גל און:  זה כתוב בדברי ההסבר

קרן גל און:  אנחנו לא רואים שנכון לעגן את זה בהוראת השעה הזאת עכשיו ספציפית, כי יכול להשתמע שאם צריך לעגן בחוק, מה זה אומר לגבי כל המשק שאנחנו עוזרים לו בלי שזה מעוגן

יולי יואל אדלשטיין: לא, לא

יולי יואל אדלשטיין:  אתם באים לגוף שבאותו רגע תחת מתקפת סייבר חמורה, ואני עוד פעם חוזר על אותה דוגמא, בגוף הזה עובדים שני אנשים, אחד בחו"ל והשני חולה, הם אומרים: אין לנו מושג מה אתה רוצה מאיתנו, אף אחד מאיתנו לא מומחה להגנת הסייבר, רק נתנו שירותים בתחום שאנחנו מבינים בו

יולי יואל אדלשטיין:  אין לנו בעיה שהנציג שלכם שהגיע, יעזור לנו

יולי יואל אדלשטיין:  אז מה עושים במצב כזה?     

קרן גל און: בפועל זה מה שקורה

יולי יואל אדלשטיין: לא, לא

יולי יואל אדלשטיין:  אבל מה זה "בפועל זה מה שקורה"? ואם הנציג שלכם אומר לו: חביבי, יש לי 30 חברות כרגע לטפל בהן, אני לא אשב פה לטפל בבעיות שלך

אפרת נחלון: תשובה לגיטימית, אדוני היו"ר

אפרת נחלון:  אי-אפשר לבוא ולהטיל חובה לתת את הסיוע לכל ספק שבה ומבקש את זה

אפרת נחלון:  המערך צריך לנהל תעדוף של המשאבים שלו

יולי יואל אדלשטיין: זאת אומרת, מבחינתנו שימשיכו דרך אותה חברה לא מוצלחת, לא בסדר, חוצפנית, אני מבין את הכול, אבל דרכם עכשיו יפילו לי, אני לא יודע מה, את רשת שופרסל, אבל אנחנו נהיה צדיקים ונגיד לו אי-אפשר להעסיק את מערך הסייבר

גל אסף: אם זה אירוע של ביטחון, אז המערך יתערב

יולי יואל אדלשטיין: למה זה ביטחון? אמרתי שופרסל

יולי יואל אדלשטיין:  איזה ביטחון?     

גל אסף: אני מבין

מירי פרנקל-שור: מה זאת אומרת "אם זה אירוע של ביטחון"? היא הנותנת, אנחנו - - -     

גל אסף: אנחנו באים פה לעשות הסדר מצומצם מאוד על העניין של מתקפות סייבר חמורות, שיש חשש שיפגעו בביטחון הלאומי

יולי יואל אדלשטיין: נו, קל וחומר

גל אסף: מענה לחוסן בכל המשק, אני חושב שיש פה - - -     

יולי יואל אדלשטיין: רק חברה שפנו אליה, אני לא מדבר איתך על כל המשק

גל אסף: אני חושב שיש פה חשש ל-Moral hazard, מה שנקרא

גל אסף:  אנחנו בעצם אומרים פה תמריץ: מי שיהיה לא טוב, מי שיתנהל ברשלנות, המדינה תבוא ותסייע

גל אסף:  מי שיתנהל טוב, המדינה לא תבוא ותסייע

גל אסף:  אנחנו מייצרים פה תמריץ שלילי מאוד

יולי יואל אדלשטיין: בשעתיים האחרונות היינו בדיון הפוך: איך החברות לא רוצות שייכנס אליהן מישהו וייגע במקלדת

גל אסף: בשבילן נועד החוק הזה

גל אסף:  מי שהוא רשלן, אז צריך לחשוב - - -     

יולי יואל אדלשטיין: אלה שני דברים שבאו אליי להסביר את החוק, בדיוק שני הדברים האלה

יולי יואל אדלשטיין:  סליחה, זה היה דבר אחד שהסבירו לי, והדבר השני הייתה השאלה הראשונה שלי

יולי יואל אדלשטיין:  הסבירו לי שזה דווקא נועד לחברות

יולי יואל אדלשטיין:  כי אמרתי: מה, החברות לא יודעות לטפל בסייבר? הן מהתחום

יולי יואל אדלשטיין:  אמרו לי: אדוני, אבל יש כאלה

יולי יואל אדלשטיין:  איך המשפטית אומרת כל הזמן? חברות סלון כאלה

יולי יואל אדלשטיין:  אמרתי בשביל מה צריך חוק? היה מישהו שאמרתם לו: אתם תחת מתקפה

יולי יואל אדלשטיין:  וענו לכם: טוב, אין לי זמן בשבילך? אמרו: כן, היו מקרים כאלה לכן צריך חוק

יולי יואל אדלשטיין:  אז זה מה שהסבירו לי

יולי יואל אדלשטיין:      הדבר שני הוא השאלה ראשונה שאני שאלתי

יולי יואל אדלשטיין:  אמרתי, אם אתם מדברים על חברות קטנות שהמחזור שלהם קטן, אז מי יטיל עליהם את כל ההוצאות האלה ואיך הם יטפלו בזה? לא רק מרוע הלב,  אולי אין להם, אולי הם לא מבינים

יולי יואל אדלשטיין:      כרגע אתה אומר לי לא, אנחנו כמדינה לא ניתן את השירות הזה

יולי יואל אדלשטיין:  אז אנחנו באירוע רציני או לא באירוע רציני?     

גל אסף: אני אומר שזה לא בעניין החוק הזה

גל אסף:  אנחנו אומרים שהחוק הזה נועד לטפל בסרבנות שפוגעת בביטחון המדינה

גל אסף:  הוא לא נועד לפגוע לפתור את כל בעיות - - -     

יולי יואל אדלשטיין: הוא לא סרבן

יולי יואל אדלשטיין:  הוא חברה של איש אחד שנמצא כרגע בפאלו אלטו, מנסה למכור את החברה שלו למישהו, והאירוע קורה בארץ

נאור שירי: אדוני היושב-ראש, אנחנו במקרה של פנייה, כולל 119, במקרה של תקיפה אנחנו מספקים את ההנחיות לכל הגופים על מנת להכיל את התקיפה

נאור שירי:  לפעמים חלק מההנחיות זה לבצע פעולות שהוא בעצמו לא יודע

נאור שירי:  מכיוון שאנחנו לא נוגעים בה מקלדת ואנחנו לא ניגע המקלדת, אנחנו דורשים ממנו לקחת שירות או לעשות בעצמו, כי אנחנו לא מחליפים אותו בשירותי ה-IT שלו ובשירותים אחרים

נאור שירי:  אבל אנחנו נותנים לו את ההנחיות איך לבצע מיטיגציה, איך להכיל את התקיפה

נאור שירי:  את זה אנחנו עושים

יולי יואל אדלשטיין: אבל אני עוד פעם מתעקש איתך

יולי יואל אדלשטיין:  לדבר אחד, פרשתי מן הכנסת, הקמתי חברה, מתקשר אליכם ל-119 ואומר: חבר'ה, אני שמעתי שסייבר כרגע זה איום גדול, תעזרו לי קצת לארגן את הדברים

יולי יואל אדלשטיין:  זה מצב אחד

יולי יואל אדלשטיין:  מצב שני, אתה או מי מטעמך בא לחברה ואומר לו כך וכך, ומציג לו גם את החוק שאנחנו נחוקק, ואומר לו: כדאי לך לשתף פעולה

יולי יואל אדלשטיין:  והוא אומר: לא יכול, לא יודע, נפלתי, כרגע אני במינוס, אין לי מומחה ראוי, תעזרו לי

נאור שירי: במקרה שיש פה תקיפה חמורה שמהווה סכנה לביטחון הציבור, אז כמובן שמערך הסייבר ייכנס ויסייע בכל מה שהוא יכול

יולי יואל אדלשטיין: הכול תקיפה חמורה

נאור שירי: לכן במקרה הזה אנחנו בהחלט נכנס ונסייע, אין פה בכלל שיקול דעת

מוריה: אנחנו בזה ימים רבים כשדנו בחקיקה הזו

מוריה:  שיקול הדעת לשים את ההבהרה הזאת בדברי ההסבר ולא בחקיקה נבע בדיוק מזה שאנחנו לא רוצים לייצר תמריץ שלילי

מוריה:  לספקים יש אחריות: יש להם אחריות כלפי הלקוחות, יש להם אחריות לרמת הגנה טובה

מוריה:  אנחנו לא רוצים שיגיע מצב שנכתוב שורה כזאת של מערך הסייבר או השירות או מלמ"ב אחראים לתת סיוע בנוסח כזה או אחר, והדבר הזה יהווה משהו להיתלות בו, שאם לא סייעו לי, אז לא טיפלתי

ליאת גורפינקל: בדיוק

ליאת גורפינקל:  החשש הוא מתמריץ שלילי

מוריה: אנחנו יוצרים תמריץ הפוך ולכן היה חשוב לנו להבהיר שסיוע יינתן ועדיין לא לקבע את זה כעוד שלב באותה הדרגתיות כי אנחנו מודעים בדיוק למגזר ולקושי ולזה שהרבה חברות לא עומדות ברף המינימלי, ואנחנו לא רוצים לייצר עוד מדרגה שתגרום להם עוד פחות מזה

מירי פרנקל-שור: צוריה, יש הבדל בין הטלת אחריות וצריך למצוא את דרך המלך שמצד אחד אתם נמצאים פה באירוע חמור, באירוע של פגיעה בביטחון המדינה, אספקת שירותים חיוניים, ביטחון הציבור, ומצד שני אתם מאוד מאוד נזהרים על עצמכם

מירי פרנקל-שור:      צריך למצוא דרך

מירי פרנקל-שור:  אם כתבתם את זה בדברי ההסבר, וזה הגיוני, כי אני סומכת על החברות הגדולות שהן יטפלו, נכון? אנחנו בכלל לא שם באירוע

מירי פרנקל-שור:  אבל אני חושבת שאם באמת אתם כרשויות המדינה, כשמתרחש אירוע כזה, אנחנו יכולים למצוא את הדרך לא בחיוב ממשי כדי שתהיה איזושהי רשלנות

מירי פרנקל-שור:  צריך למצוא את הדרך ולעגן בכל זאת איזו כניסה שלכם לבקשה של חברות קטנות, כניסה שלכם לסיוע באירוע

מוריה: ניסינו

מוריה:  נעשה ניסיון כזה

מוריה:  דברי ההסבר בינינו שיקפו את הדבר הזה, כמו שגם הבנתם, שיינתן סיוע

קרן גל און: זה איזון דק

קרן גל און:  זה איזון דק

קרן גל און:  החובה היא של החברה

מירי פרנקל-שור: כל הזמן אנחנו פה באיזון - - -     

קרן גל און: כן, נכון

קרן גל און:  זה החובה היא של החברה

קרן גל און:  היא מנהלת שירותים מסוכנים, שיכולים להתפרס בתקיפה למגוון לקוחות, כי היא צריכה להתנהל באחריות

קרן גל און:  החובה היא שלה

קרן גל און:  אנחנו באים כמדינה ואומרים לה: שימי לב, נתקפת

קרן גל און:  החובה לטפל היא שלה

קרן גל און:  דובר פה על נזיקין בתחילת הדיון, זה הולך לכל הכיוונים

מירי פרנקל-שור: מצד אחד, יש לה חובה לטפל, ומצד שני יש פה פגיעה בביטחון המדינה

קרן גל און: נכון

קרן גל און:  ולכן אנחנו - - -     

רם בן ברק: - - - שיטפלו בזה

רם בן ברק:  הרי - - -     

מירי פרנקל-שור: מה זה "אם תהיה פגיעה בביטחון המדינה"? אם אין פגיעה בביטחון המדינה, אנחנו לא - - -     

יולי יואל אדלשטיין: כל החוק הוא על תקיפות חמורות

רם בן ברק: יש כאן עשרות אלפי חברות ומאות אלפי תקיפות מדי יום, נכון? ואנחנו רוצים להגיע - - -     

מירי פרנקל-שור: לא כל אחד הוא אירוע סייבר חמור

רם בן ברק: לא

רם בן ברק:  אבל הוא יכול להתפתח לזה ולכן יש כאן את התקינה הזאת שהיא תנהג לפיה ואני יכול לבקר אותך ולראות שאתה עושה את הדברים הנכונים

ליאת גורפינקל: אנחנו חוששים מהיפוך הנטל מההבנה שזה לא האחריות של הארגונים

ליאת גורפינקל:  יש כאן אמירה שהארגונים עצמם הם אלה שצריכים לדאוג להגנת הסייבר ולא המדינה תבוא לחלץ אותם בכל זמן נתון

יולי יואל אדלשטיין: זה ברור

יולי יואל אדלשטיין:  מחלצים את הלקוחות, את המדינה, אולי תעשייה אווירית או רפא"ל

ליאת גורפינקל: יש כאן חשש לאמירה שתתפרש לא נכון, שהאחריות היא לא על הספק

יולי יואל אדלשטיין: זה ברור

יולי יואל אדלשטיין:  אני מנסה להגיע - - -     

קרן גל און: בפועל אנחנו מסבירים שהציבור לא יופקר

קרן גל און:  הציבור לא יופקר בפועל

קרן גל און:  אנחנו לא צריכים לכתוב את זה בחוק

קרן גל און:  אנחנו יכולים להתחייב פה

קרן גל און:  כמו שאדוני היושב-ראש אמר, בסוף זה סיכון לביטחון הציבור או בטחון המדינה

קרן גל און:  אנחנו אומרים שהוא לא יופקר, וזה כתוב אפילו בדברי ההסבר

קרן גל און:      לעשות את המדרגה הנוספת, ולהעלות את זה לחובה משפטית שכתובה בחוק, אנחנו אומרים שזו כבר תהיה טעות במצב הדברים

ליאת גורפינקל: יש פה פער שיכול ליצור תמריץ שלילי לחברות בדיוק החובה הזאת

יולי יואל אדלשטיין: אתם חוששים ממשהו אחד, אבל אני חושש בדיוק ממשהו הפוך: שבגלל השניים שבאמת אוחזים בטלית ומגלגלים את האחריות דווקא לא לכיוון שלהם אלא לכיוון השני, זה אומר אין לי אמצעים ואין לי מומחה, תעשו בעצמכם אם זה כזה חמור

יולי יואל אדלשטיין:  והמדינה, במקרה זה נציג שלכם אומר: חבר'ה, אני צריך לטפל בעוד 20 חברות, אני לא יכול

יולי יואל אדלשטיין:  ובסופו של דבר ייפגעו, כמו שאמרתי, בואו לא נגזים, ברור לי גם שאם מפילים את חברת החשמל, אתם תתערבו ולא תחשבו פעמיים

יולי יואל אדלשטיין:  אבל אמרתי, רשת מרכולים או רשת חנויות אופנה או מה שזה לא יהיה, ובסוף לך תדע מה ייקחו משם, כולל פרטים של לקוחות ועוד אני לא יודע מה

קרן גל און: גם פה, במדרג שהחוק בנה, אנחנו נתערב

קרן גל און:  אם זה ספק מהספקים שנכנסים לחוק והוא לא מילא אחר ההוראות, בין אם הוא לא רוצה, בין אם הוא לא יכול, הוא לא טיפל באופן הולם בתקיפה, הוא נכנס למצב של מתן הוראות שבהחלט זו מעורבות צמודה מאוד של אחד מהגופים בשביל למנוע את הסיכון הזה

קרן גל און:  זה בדיוק המדרג שכתוב

מירי פרנקל-שור: ננסה להציע

יולי יואל אדלשטיין: הבנתי מן התשובות שהבעיה היא ניסוחית

יולי יואל אדלשטיין:  אתם לא חולקים מהותית שצריכים לעזור במצב כזה אבל לא מצאתם ניסוח

ליאת גורפינקל: אנחנו לא רוצים להעביר מסר לא נכון למגזר עצמו

ליאת גורפינקל:  אנחנו רואים בהם כאחראים לרמת הגנת  הסייבר שלהם

ליאת גורפינקל:  כשאנחנו מעלים את זה לנורמה משפטית, יש לזה משמעות, כמו שזה הובהר כאן, איך שזה נתפס במשק

ליאת גורפינקל:      אנחנו לא רוצים לייצר כאן היפוך של נטל, החשש שלנו ושקלנו את זה ובסופו של דבר הזכרנו את זה בדברי ההסבר בצורה מושכלת ולא בגוף החוק מכיוון שאנחנו לא  רוצים להעביר מסר הפוך

ליאת גורפינקל:  יש כאן אמירה מאוד משמעותית של מה אנחנו כמדינה אומרים לאותו עוסק

יולי יואל אדלשטיין: ברור

נאור שירי: אדוני היושב-ראש, אני חייב לתת אנלוגיה מהעולם הפיזי

נאור שירי:  בסוף, גם בניהול הסיכונים הפיזיים,  ניקח דוגמא מצה"ל בשאלה איפה ממקמים "כיפת ברזל"

נאור שירי:  בסוף יש מערך החלטות

נאור שירי:  בסוף יש שיקול דעת שאנחנו פועלים לפי חומרת האירוע

נאור שירי:  לא תמיד נצליח להגיע לכל - - -     

יולי יואל אדלשטיין: האנלוגיה שלי שונה לגמרי

יולי יואל אדלשטיין:  האנלוגיה שלי היא: אם שוטר שנמצא כרגע בעוטף עזה, לצורך העניין, בשטח צבאי, ורואה שמתרחש משהו, הוא אומר: אבל זאת לא אחריות שלי, צה"ל פה אחראי וצה"ל זאת מערכת משומנת – האחריות עליהם, הם צריכים לטפל

יולי יואל אדלשטיין:  זאת האנלוגיה

נאור שירי: האנלוגיה היא השאלה אם יש לי שוטר אחד, לאיפה אני שולח אותו?     

רועי פרידמן: החשש הוא, אדוני, שזה ייצור את אותו תמריץ שלילי

רועי פרידמן:  בגלל שזה תמריץ שלילי, משאבנו מוגבלים ואנחנו לא נוכל לטפל בכל - - -     

יולי יואל אדלשטיין: הבנתי את הטיעון

יולי יואל אדלשטיין:  זה טיעון בהחלט במקום, זה לא מצוץ מן האצבע

יולי יואל אדלשטיין:  אבל יש פה גם בעיה לכיוון השני

מירי פרנקל-שור: אם יש מישהו שבאמת הוא לא רשלן ולא מעודדים אצלו שום דבר, והוא מבקש את הסיוע - - -     

קרן גל און: הסיוע יינתן

קרן גל און:  כך למעשה פעלו עד היום וימשיכו לפעול

קרן גל און:  החוק נועד לתת מענה לסיטואציה - - -     

יולי יואל אדלשטיין: אנחנו צריכים להתקדם

יולי יואל אדלשטיין:  אם תהיה לך הצעה לניסוח, אז אנחנו נשמע

יולי יואל אדלשטיין:  גברת מיכל שריג רצתה להתייחס לסעיף הזה

יולי יואל אדלשטיין:  בבקשה

מיכל שריג כדורי: תודה רבה

מיכל שריג כדורי:  מאוד חשוב לי להתייחס לסעיף הזה, כי אני מרגישה שאני לפחות קצת הלכתי לאיבוד בדיון, ואני מרגישה שהמהות קצת הלכה כאן לאיבוד

מיכל שריג כדורי:  דיברנו מלכתחילה שהתכולה הרחבה מאוד של החוק שמוחל על אחרונת חברות הסלון, כמו גם על חברה ציבורית גדולה, וגם חברה שהגנת הסייבר שלה היא לעילא ולעילא ויש לה את טובי המומחים בעולם דינה כדין חברה שאין לה בכלל אנשים וכמו שאמרת, אחד בחו"ל ואחד חולה

מיכל שריג כדורי:  החוק לא מבחין

מיכל שריג כדורי:  כולם באותו סל

מיכל שריג כדורי:       אנחנו אמרנו שזה צריך להיות ככה כי מערך הסייבר השכיל – ואנחנו מתחברים מאוד לאסטרטגיה שלו – לעשות מדרגות

מיכל שריג כדורי:  זה חל על כולם, אבל על החברות שרמת הבשלות ויכולת ההתמודדות שלהן עם תקיפות כאלה היא לעילא ולעילה והן עומדות בתקינה כזאת או אחרת, תכף נדבר על התקינה, בסיטואציה כזאת אנחנו ניתן להן את המידע, נרים להן דגל אדום, נגיד להם שהן עומדים בפני תקיפה, תטפלו

מיכל שריג כדורי:  אנחנו יודעים שחברות בסדרי גודל כאלה באמת מחזיקות את מיטב ומירב המומחים והם יידעו לטפל בדבר הזה

מיכל שריג כדורי:  האם הם התנגדו לשמוע את עמדתו של המחוקק? של המערך? בוודאי שהם לא התנגדו

מיכל שריג כדורי:  האם מומחה הסייבר של WIX, של מנדל של סייברארק, יתנגד לקבל את המלצתו, חוות דעתו, של אותו אדם כשהוא מגיע ואומר לו: אתה עומד בפני תקיפה, אני הייתי עושה כך או אחרת? בוודאי שהוא לא יתנגד

מיכל שריג כדורי:      האם מוצדק להפקיע את הפררוגטיבה של חברה בשלה, ציבורית או פרטית – אבל פרטית זה בטוח

מיכל שריג כדורי:  כלומר, מגזר עסקי – מלטפל בדבר הזה כשיש לה באינטרס, זה לא שאין לה אינטרס

מירי פרנקל-שור: אני לא מצליחה להבין את ההערה שלך

יולי יואל אדלשטיין: כן

יולי יואל אדלשטיין:  למה את חותרת? מה את אומרת?     

מיכל שריג כדורי: אני חותרת לזה שהיכולת לייצר אבחנה בסעיף 3, בין חברה, חברת סלון שלא בשלה ולא יודעת, ומערך הסייבר צריך להתערב יותר כשיש דגל אדום כזה, לבין חברה שהוא רק צריך להתריע ולא להתערב

יולי יואל אדלשטיין: כן, אבל - - -     

מיכל שריג כדורי: האיזון יושב בסעיף 3

מיכל שריג כדורי:  בסעיף 3 נקבע האיזון שאומר שאם את עומדת בתקן כזה וכזה שהוא סופר מחמיר,  זה אומר שאת יודעת לטפל בזה

מיכל שריג כדורי:  אני אתן לך את עמדתי - - -     

דרור גרנית: אבל זה לא התנאי היחיד

דרור גרנית:  זאת אפשרות

דרור גרנית:  התקן שנקבע בסעיף 3 - - -     

יולי יואל אדלשטיין: שיעבור כנראה לתוספת

דרור גרנית: מה שנקבע בפסקה (3) שבסעיף 3 אומר: הספק, אחרי שפנו אליו ומסרו לו את המידע, נתנו לו את ההזדמנות לפעול, הוא צריך לחזור לעובד המוסמך ולהגיד לו: תקשיב, עשיתי כך וכך, ואני חושב שבזה הצלחתי לבלום את התקיפה

דרור גרנית:  אם הגורם המוסמך, העובד המוסמך, מבין שהתקיפה נבלמה, בזה תמה הסאגה, העניין נגמר

דרור גרנית:      לחילופין, יכול אותו ספק להגיד: נכון, פנית אליי, הצגת לי שאני תחת תקיפה או שאני עוד שנייה תחת מתקפה

דרור גרנית:  אני אומר לך שאני עומד בתקן שהוא תקן NIST או תקן אחר שייקבע או לא בעתיד

דרור גרנית:  ובזה הוא יוצא ידי חובתו

דרור גרנית:  אבל יש לו את שתי אפשרויות

דרור גרנית:  זה לא רק העמידה בתקן

דרור גרנית:  יש לו את האופציה להגיד, אני מטפל, עשיתי כך וכך ובזה פתרתי את הבעיה

מיכל שריג כדורי: המציאות עובדת קצת אחרת

מיכל שריג כדורי:  רצפת הייצור נראית אחרת

מיכל שריג כדורי:  המציאות לא עובדת ככה

מיכל שריג כדורי:  הרי ברור לכולנו שאם חברה בסדרי הגודל ובשלות בחברה ציבורית, מודעת או יודעת, בין אם היא יודעת ובין אם כי מערך הסייבר אמר לה שהיא עומדת בפני תקיפה חמורה, היא תעשה כל שביכולתה ויש לה את היכולת כי יש לה את המומחיות, כי היא עומדת בסטנדרט

מיכל שריג כדורי:  היא תעשה כל שביכולתה בשביל למנוע את התקיפה הזאת ולעצור את זה

דרור גרנית: מצוין

יולי יואל אדלשטיין: אנחנו השתכנענו בזה מלכתחילה

מיכל שריג כדורי: תנו לי לסיים

מיכל שריג כדורי:  איפה הנזק קורה עכשיו? הנזק קורה כשאני הולכת היום לדירקטוריון שלי או ללקוחות שלי או לבורד שלי, ואומרת להם: המדינה לא סומכת עליי לעשות את זה

מיכל שריג כדורי:  אתם צריכים לשמוח על זה שמערך הסייבר התייחסו אלינו ויעזבו אותנו בשקט

מיכל שריג כדורי:  אבל יש להם היום את הכוח להפקיע ממני ולהגיד לי לא להשתמש בתוכנה הזאת אלא בתוכנה אחרת, או לא לעשות ככה אלא אחרת

מוריה: זה לא נכון

מיכל שריג כדורי: ככה זה נתפס בעולם

מיכל שריג כדורי:  כחברות בינלאומיות כשאנחנו מתמודדים עם החקיקה הזאת, אנחנו צריכים להסביר למה למרות שאנחנו המומחיות מספר אחד בעולם לדבר הזה, ויודעות להתמודד ומשקיעות מיליוני דולרים בכל רגע נתון לדבר הזה, עדיין המדינה מרגישה שהיא יכולה לקחת ולהפקיע מאתנו את היכולת לנהל את זה באופן שאנחנו מוצאים לנכון

מיכל שריג כדורי:      אני אומרת שכשיש איזשהו סטנדרט של SOC2, של NIST, לא משנה – עכשיו נתווכח על התקן, איזה תקן, איך תקן אחר – אבל בעצם הוא אומר שחברה בסדר גודל כזה, שיודעת להתמודד עם תקיפות הסייבר, אנחנו נעבוד בשיתוף פעולה

מיכל שריג כדורי:  זה אומר שהסטנדרט והיכולות שלה מספיקים

מוריה: מיכל, אני רוצה להשיב לך

מוריה:  את חוזרת על הנקודה הזו בכמה וורסיות מתחילת הדיון

מוריה:  כבר ניתן מענה, אבל אני אנסה לחזור עליו שוב

מוריה:  את החברות הגדולות שיודעות לתת מענה סייבר ברמה גבוהה אנחנו מסננים דרך התהליך

מוריה:  התהליך הזה אמור לסנן

מוריה:  יש לכם רמת הגנת סייבר טובה, מומחים לסייבר, תטפלו בתקיפה באופן עצמאי

מוריה:  נשמח ונגיד לכם שלום כידידים

מיכל שריג כדורי: מי מבטיח לי את זה?     

מוריה: מי מבטיח לך? כך כתוב בחוק

מיכל שריג כדורי: איפה כתוב בלשון החוק שאם אני מטפלת, שלא תחלקי עליי או תגידי לי לעשות אחרת?     

מוריה: בסוף אנחנו מתייחסים למצב עובדתי, זה כתוב בחוק

מוריה:  אם התקיפה נבלמה, אני אומרת לך שלום ולא ממשיכה לשלב הבא

מוריה:  זו כל הכוונה

מיכל שריג כדורי: מה זאת אומרת "התקיפה נבלמה"? יכול להיות שגם אם תאלצי ואני אעשה מה שאת אומרת - - -     

מוריה: אני לא מנחה אותך, מיכל

מוריה:  אני קודם כל אומרת לך שאת נתקפת או הולכת להיתקף ועכשיו בבקשה, אני מבקשת שתטפלי בתקיפה הזאת ותבלמי אותה באמצעים שיש ברשותך בפרק זמן מסוים, שהוא מותאם לסוג התקיפה ולמאפיינים שלה

מוריה:  ככל שטיפלת בה, אנחנו לא ממשיכים איתך קדימה

נטע קניגשטיין: זה גם כתוב במפורש בדברי ההסבר, מיכל, תסתכלי

מוריה: אנחנו יודעים לראות אם התקיפה ממשיכה או לא ממשיכה

מוריה:  זו ההבנה שלנו

מוריה:  אנחנו יודעים לראות אם טיפלת בתקיפה, אם התוקף כבר לא אצלך בתוך המערכת, את זה אנחנו יודעים לראות ואנחנו לא נמשיך

מוריה:      אני גם אתייחס לצד השני שאמרת, לגבי הבורד ולגבי התרגום

מוריה:  בסוף כולנו מבינים שההוראה הזאת היא הוראת שעה, יש בה היבטים פולשניים והיא מותאמת למצב שישראל נמצאת בו עכשיו

מוריה:  היא תחומה בזמן

מוריה:  אין לנו עניין להגיע אליכם אם אין צורך בזה

מוריה:  ואם אתם תטפלו, כפי שאת אומרת, ברמה כל- כך גבוהה, אנחנו לא נתראה, חוץ מהשלב הראשון בו נודיע לכם שנתקפתם או שאתם עומדים להיתקף – אני מניחה שאתם שמחים על הדבר הזה

יולי יואל אדלשטיין: תודה, מיכל

מיכל שריג כדורי: - - - תסמכו עלינו שלא נחזור אליכם

מוריה: אני לא ביקשתי שתסמכי עליי

מוריה:  זה החוק ואפשר לקרוא אותו שוב

מוריה:  זה החוק

יולי יואל אדלשטיין: אנחנו קוראים את החוק

יולי יואל אדלשטיין:  תודה ליועצת המשפטית של השירות

יולי יואל אדלשטיין:  מיכל, אנחנו הבנו את הנקודה שלך

יולי יואל אדלשטיין:  אני קצת חושש שאנחנו נכנסנו פה לאיזה לופ כי לפני 5 דקות ניסינו להוכיח שהמערך צריך לגלות פעלתנות יתר, ואם צריך אז גם לעבוד בעצמו

יולי יואל אדלשטיין:  כרגע אנחנו במצב הפוך, שהמערך יגלה פעלתנות יתר ואיך לעצור אותו

מיכל שריג כדורי: בגלל שהסל של החברות הוא אחד

יולי יואל אדלשטיין: אני מבין אותך

יולי יואל אדלשטיין:  אני פתחתי בזה את הדיון, אילו הייתה נמצאת איזושהי הגדרה

יולי יואל אדלשטיין:  אבל כולנו מבינים שאי-אפשר למצוא הגדרה: אתם חברה טובה ואתם חברה לא טובה

מיכל שריג כדורי: אבל התקינה היא סוג של - - -     

יולי יואל אדלשטיין: התקינה ישנה

יולי יואל אדלשטיין:  אם את אומרת לבורד: אל דאגה, נכון ששמעתם שיש איזה חוק, אבל התקינה והניסיון שלנו מחריגים אותנו ואני לא צופה שום בעיה

מיכל שריג כדורי: נכון, נכון

מיכל שריג כדורי:  לכן התקינה - - - שתישאר

מיכל שריג כדורי:  ולא רק - - -     

יולי יואל אדלשטיין: היא תישאר

מיכל שריג כדורי: לא רק שחשוב לי שהיא תישאר, גם חשוב לי שהיא תהיה תקינה כזאת שלוקחת בחשבון את השוק, את הסטנדרט הגבוה של השוק

מיכל שריג כדורי:  כרגע היא לוקחת רק את התקינה האמריקאית ולא את ה-SOC

מיכל שריג כדורי:  זה מאוד מאוד חשוב לי

יולי יואל אדלשטיין: טוב חברים, כפי שאני מעריך, יש לנו פה עוד לא מעט זמן לדיון ולסיכומים ולהערות

יולי יואל אדלשטיין:  אנחנו לא נוכל להמשיך את הדיון עכשיו, ולכן אנחנו נקבע ישיבה נוספת על החוק, אני מניח שאפילו אולי מחר, כי אנחנו יכולים לשבת גם בזמן המליאה מחר, נכון? עוד לא ברור

יולי יואל אדלשטיין:      אז אנחנו נקבע

יולי יואל אדלשטיין:  אני אומר למערך הסייבר ולשאר הגופים המעורבים, למשרד המשפטים, אנחנו מבינים את סד הזמנים ולכן אנחנו לא מתכוונים לדחות את זה מעבר למועדים שסיכמנו

יולי יואל אדלשטיין:  אז אם לא מחר, אז בימים הקרובים אנחנו נקיים ישיבה נוספת, ושם גם נסכם את הכול ונצביע

יולי יואל אדלשטיין:      אני רק מציע שמכיוון שאם כבר הגענו למצב הזה שאנחנו צריכים לעשות הפסקה בדיון, אז אולי בחלק מן הנקודות – אני אומר את זה ליועצים המשפטיים שלנו – תבואו בדברים

יולי יואל אדלשטיין:  אולי נבוא כבר עם פתרונות מוכנים ומוסכמים לפעם הבאה

יולי יואל אדלשטיין:  הערות נשמעו, לפחות בשלושת הסעיפים הראשונים שקראנו

יולי יואל אדלשטיין:  ואם יש משהו בהמשך שאתם חושבים שיעלה גם הערות או מחלוקת, אז גם כן תנסו לסכם

יולי יואל אדלשטיין:      אני אומר את זה גם לגופים שגילו עניין רב בחוק, אם זה התאחדות התעשיינים או לשכת עורכי הדין, או גורמים נוספים שהיו כאן, אם יש לכם הערות ספציפיות גם למה שנאמר או למה שעוד לא הגענו אליו, אני מציע שתחדדו אחרי הדיון דברים יותר ברורים לייעוץ המשפטי של הוועדה, ונשתדל מאוד לקחת את הדברים בחשבון

יולי יואל אדלשטיין:      עד כאן

יולי יואל אדלשטיין:  אני נועל את הישיבה הזאת ונמשיך את הטיפול בהכנה לקריאה שנייה ושלישית בהמשך, כפי שייקבע

יולי יואל אדלשטיין:  ישיבה זו נעולה