HeTree/MevakerConcSen huggingface dataset:
להדרכה ולהכשרה, ובכלל זה הכנת "קורס חוקר מיומן בסיסי" וקורס "חוקר מיומן מתקדם"; (ג) אחריות לכשירות החוקרים המיומנים, יצירת קשרים בין-לאומיים ואיסוף מודיעיני; (ד) הקמת מערך מחקר ופיתוח שיעניק פתרונות טכנולוגיים מתקדמים ליחידות החוקרות; (ה) מיצוי הראיות הדיגיטליות ממחשבים עבור יחידות החקירה בלהב 433 , באמצעות הקמת מֶחְלק מיוחד בנושא.
מערך חוקרי פשיעת סייבר במחוזות: א.
יחידות סייבר מחוזיות: יהיו כפופות למפקדי יחידות מחוזיות31 (להלן - מחלקי סייבר).
המחלקים יחקרו באופן בלעדי עבירות סייבר מתוחכמות שאירעו בתחומי המחוז שאליו הם כפופים פיקודית או תיקים שהיחידה הארצית העבירה אליהם "כאשר מקום ביצוע העב ירה אותר במחוז".
מחלקי הסייבר במחוזות יסייעו ליחידות החקירה האחרות במחוז לטפל בעבירות "קלאסיות" שבוצעו בתחומי המחוז, ובכלל זה הפקת ראיות דיגיטליות.
חוקרים שתפקידם להפיק ראיות דיגיטליות: יהיו כפופים למפקדי התחנות או למפקדי היחידות המרכזיות במחוזות (להלן - ימ"ר) ותפקידם לסייע בכל הקשור להפקת ראיות דיגיטליות במסגרת טיפול המחוז בכלל תיקי החקירה.
בתרשים להלן מבנה מערך הסייבר שנגזר מתפיסת ההפעלה המפוצל לשלושה מערכים נפרדים: .
במועד הביקורת מחלקי הסייבר המחוזיים היו כפופים ליחידות ההונאה המחוזיות פשיעת סייבר | 1871 .
תרשים3 : מבנה מערך הסייבר וכפיפות היחידות .
מקור: נתוני המשטרה בעיבוד משרד מבקר המדינה.
ההמלצות שהובאו במחקרים בארץ ובעולם כאמור מייחסות חשיבות לכך שמערך הסייבר שעוסק בהתמודדות עם פשיעת סייבר מתוחכמת טכנולוגית יהיה ריכוזי ( centralized ) ויכלול יחידה מרכזית שתרכז את כלל הפעילות בתחום זה, ואליה יהיו כפופים, פיקודית ומקצועית, כל מחלקי הסייבר המחוזיים.
זאת לצד, חוקרי הסייבר הפרוסים בתחנות ובימ"רים שמתמודדים עם פשיעת סייבר שאינה מתוחכמת טכנולוגית ואשר זקוק ליכולות רלוונטיות.
ואולם, בניגוד להמלצות הללו ולעמדה שהביע סגן ראש אח"ם בינואר 2015 , מבנה המערך שייעודו התמודדות עם פשיעת סייבר מתוחכמת טכנולוגית מבוזר ( de-centralized ) לכפיפויות פיקודיות שונות ואינו בעל מוטת שליטה מרכזית: היחידה הארצית פועלת בכפוף לפיקוד להב 433 , וחוקרי מחלקי הסייבר כפופים כל אחד לפיקוד המחוז שבו הוא פועל, ועקב כך היחידה הארצית ומחלקי הסייבר עסקו בהתמודדות עם פשיעת סייבר מתוחכמת טכנולוגית כל אחד בנפרד, באופן מבוזר שאינו אפקטיבי, כפי שיפורט להלן.
גם לאחר הקמת המערך הייתה מחלוקת לגבי יעילות מבנה המערך המפוצל שאימצה המשטרה ובעניין התאמתו להתמודדות עם פשיעת סייבר מתוחכמת טכנולוגית: בדיון מיוני 2015 , בנושא "תפיסת ההפעלה של מחלקי הסייבר במחוזות ושל היחידה הארצית", טען ראש חטיבת החקירות באח"ם דאז כי היחידה הארצית צריכה להיות בעלת מוטת שליטה - הן פיקודית והן מקצועית - על מחלקי הסייבר, וכי יהיה צורך לשנות את תפיסת ההפעלה שהוצגה.
באוגוסט 2015 ציין ראש להב433 בפני ראש אח"ם ש"כדי ליצר מדיניו ת וטיפול אחידים" יש להכפיף את מחלקי הסייבר ליחידה הארצית.
בסיכום ביקורת שערך אג"ת בנושא "היחידה הארצית לחקירת עבירות הסייבר בלהב 433 " מאוגוסט2015 נכתב כי למשטרה "אין עמדה חד-משמעית ברורה לגבי המבנה הרצוי של היחידה כיחידה ארצית אחת או ככזאת הכוללת גם שלוח ות מחוזיות".
בהמלצות דוח הביקורת נכתב כי יש "לבחון את מבנה היחידה לאור הצרכים שעלו מאז הקמתה".
המשטרה מסרה בתשובתה כי מבנה המערך הקיים נידון פעמים רבות, אך פריסתו קיימים" בשטח.
לדבריה נושא הסייבר הוא ]שהיו[ נעשתה "בכפוף למבנים ארגונים תחום מתפתח, והיה ברור כי המערך יחייב מגוון שינויים והתאמות בתדירות גבוהה יחסית הן במבנה היחידה והן בשיטות ההפעלה.
בתשובתה הנוספת מסרה המשטרה כי בשנה האחרונה היא פועלת למימוש תפיסת הפעלה מערכתית כוללת שאושרה על ידי פיקוד משטרת ישראל (להלן - תפיסת ההפעלה החדשה).
במסגרת זו הוחלט, בתחילת שנת 2017, על הקמת מטה סייבר וטכנולוגיה כגוף מטה מקצועי שיהיה אחראי על בניין הכוח ועל התעצמות המערך על פי כמה עקרונות מנחים שנקבעו.
לדברי המשטרה, אף שלמערך ריכוזי יש יתרונות, הוחלט בעקבות עבודת מטה שנעשתה ואימוץ תפיסת ההפעלה החדשה לחלק את האחריות ו הסמכות בטיפול בפשיעת סייבר באמצעות קביעת מדרגי הפעלה ויצירת הפרדה בין בניין הכוח לבין הפעלתו.
זאת, תוך שמירה על הנחיה "ריכוזית" על ידי גורם מוביל במטה הסייבר, ותוך כדי השארת הטיפול בתחומי המחוז לאירועי סייבר במדרגי העבודה המחוזיים.
הלכה למעשה בפברואר 2017 ,עדיין לא הוחלה תפיסת ההפעלה החדשה ומבנה המערך והפיצול בין יחידותיו שיקף אפוא את אותן כפיפויות פיקודיות עליהן הוחלט עוד בשנת 2000 , ללא התאמה כמתחייב מן ההתפתחויות הטכנולוגיות ומהידע המקצועי המעודכן להתמודדות אפקטיבית עם פשיעת סייבר.
על המשטרה ועל המשרד לבט"פ לבחון את העוגנים המקצועיים המקובלים בעולם שנידונו בספרות המקצועית ונתמכות גם בפרקטיקות מקובלות32 בכל הנוגע למבנה רצוי של יחידה אשר מתמודדת במובחן בפשיעת סייבר מתוחכמת טכנולוגית, ובד בבד עם הטיפול בעבירות קלאסיות המסתייעות במרחב הסייבר אולם אינן בגדר פשיעה כזאת.
הסטת עבודת מחלקי הסייבר לצורכי המחוז .
כאמור, לפי מבנה המערך, מחלקי הסייבר כפופים מן הבחינה הפיקודית למחוזות, ומן הבחינה המקצועית לחוליית המטה.
תפיסת ההפעלה קבעה כי החוקרים במחלקי הסייבר יעניקו סיוע טכני לחוקרים בתחנות ובימ"רים שאליו הם כפופים בטיפול במדיות דיגיטליות הקשורות לפשיעה "קלאסית" כמו: טלפון חכם, טאבלטים, מחשבים ודיסקים קשיחים, כרטיסי זיכרון וכרטיסי סִים ומצלמות, ויפיקו מהם ראיות דיגיטליות לצורכי חקירה כמו תמונות, סרטונים, הודעות ותכתובות.
יצוין כי פעולות אלה נעשות כסיוע לחקירת כלל תיקי המחוז, ואינן נעשות רק במסגרת חקירת תיקי פשיעת הסייבר.
בסיכום דיון מיוני 2015 בנושא "תפיסת ההפעלה של מחלקי הסייבר במחוזות" קבע סגן ראש אח"ם דאז שהחוקרים המיומנים במחוזות יעסקו בתחום הראיות הדיגיטליות של המחוז, והחוקרים המיומנים במחלקי הסייבר יטפלו " בעבירות מורכבות מתחום העבירות בסביבה הרשתית ".
כמו כן קבע כי " ]סייבר[ של[ סיוע למחוז במיצוי ראיות צריך להיות בשוליים]המחלקים" (ההדגשות אינן במקור).
לדבריו, באחריות מחלקי הסייבר להגדיר את גבולות הפעילות.
בדיקת משרד מבקר המדינה העלתה כי רובה המוחלט של עבודת מחלקי הסייבר במחוזות, מתמקדת בהפקת ראיות דיגיטליות (מיצוי) הנדרשות בחקירות תיקים שאינם פשיעת סייבר ונמצאים בטיפול התחנות ובטיפולן של היחידות המחוזיות שאליהן כפופים מחלקי הסייבר.
32 כך לדוגמהיחידת הסייבר בפרקליטות המדינה כוללת מערך אופרטיבי בצד מערך מטה תחת ניהול (פיקוד) אחד, כך שיתאפשר "טיפול הוליסטי באתגרי האכיפה הפלילית בזירת הסייבר".
מבנה זה גובש לאחר התייעצות עם נציגי מטה הסייבר הלאומי במשרד ראש הממשלה.
הוכוונו על ידי פיקוד .
בעבירות "קלאסיות " הבדיקה העלתה שבמחצית הראשונה של שנת 2016 הרוב המוחלט של תשומות פעילות חוקרי מחלקי הס ייבר במחוזות לא ה ופנו לחקירת עבירות סייבר מתוחכמות טכנולוגית, אלא הוכוונו על ידי פיקוד המחוז לסייע לצוותי חקירה אחרים לטיפול בראיות דיגיטליות, בעבירות "קלאסיות", בניגוד להנחיית סגן ראש אח"ם מיוני 2015.
עוד עולה כי נכון למועד הביקורת, שיעור הטיפול בראיות די גיטלית בתיקי חקירה של היחידות המחוזיות שאליהן כפופים מחלקי הסייבר (ההונאה) הוא גדול פי 4 .
משיעור הטיפול בראיות דיגיטליות בתיקי חקירה של מחלקי הסייבר בולטים במיוחד שני מחוזות שבאחד מהם נבדקו פי 17.
7 ראיות דיגיטליות בתיקי חקירה של יחידת ההונאה לעומת תיקי מחלק הסייבר, ובאחר נבדקו פי 6.
ראיות דיגיטליות בתיקי הונאה לעומת תיקי סייבר מפקד מחלק סייבר באחד המחוזות ציין בדיון ממרץ 2015 כי המחלק מוסט על ידי המחוז "למשימות בתעדוף המחוז שאינו נוג ע תמיד לתפקידי היחידה.
בדיון באותו החודש ציין סגן ראש אח"ם דאז כי "יתכן כי היה נכון להקים יחידה ארצית גדולה וחזקה ולא להפנות משאבים למחוזות.
הניסיון מוכיח כי בשל מחסור במשאבים במחוזות קיים סיכון כי משאבים אלה יופנו למשימות אחרות".
במאי 2015 ציין מפקד מחלק סייבר באחד המחוזות כי "כדאי לשקול הוצאת חוליית סייבר מתוך מחלקי הונאה מחוזיים.
זאת כדי למנוע הסטה של חוקרי סייבר לטיפול בתיקי הונאה".
במסגרת הדיונים בדבר תפיסת ההפעלה של המערך במרץ וביוני 2015 התבטאו מפקדים במחלקי סייבר במחוזות בדיונים כי עבודתם העיקרית היא סיוע בתחום הפקת ראיות דיגיטליות למחוזות.
נציגת אג"ת ציינה כי נושא מיצוי הראיות עבור המחוזות הוא "פער מרכזי שעולה מרמת השטח".
משרד מבקר המדינה מעיר למשטרה כי השלכות המבנה המפוצל של מערך הסייבר והכפיפות הפיקודית הישירה של מחלקי הסייבר ליחידות המחוזיות, הביאו לכך שרובה המכריע של עבודת המחלקים מוסטת למתן סיוע טכני למחוזות, ולא כפי שהנחה סגן ראש אח "ם שסיוע זה יהיה "בשוליים".
התנהלות זו מגבילה את יכולתם של מחלקי הסייבר להקצות את משאביהם לטובת טיפול בתיקי פשיעת סייבר מורכבת שבתחומי אחריותם, ופוגעת במקצועיותם ובמיומנותם לטיפול בתיקים האלה.
בתשובתה מסרה המשטרה כי תיאור העובדות בדוח נכון, ואולם הסטת המחלקים לעבודות סיוע למחוזות לא נבעה בשל כפיפות המחלקים למחוז, אלא בשל היעדר אמצעים ייעודיים במחוזות לטיפול בראיות דיגיטליות.
לדבריה, פיקוד אח"ם היה מודע לתופעה זו ופעל להרחיב את יכ ולותיהם של המחוזות לטפל במיצוי הראיות שבתחומם באופן שעתיד לצמצם במידה רבה את היקפי הסיוע של מחלקי הסייבר למחוזות עד סוף שנת 2017 , ויאפשר למחלקי הסייבר להתפנות לטיפול בעבירות הסייבר שהן ייעודם העיקרי33.
בתשובתה הנוספת מסרה המשטרה כי בעקבות עבודת .
33 ראו להלן בפרק "חוליית המטה- הנחיה מקצועית, פיקוח ובקרה".
טכנולוגית מטה שנעשתה ותפיסת ההפעלה החדשה ימוקמו מחלקי הסייבר ביחידה המרכזית בכל מחוז, וכי הכלים הטכנולוגיים המשמשים להפקת ראיות דיגיטליות יחולקו ליחידות במערך לפי תחומי האחריות והסמכות שלהן.
עוד מסרה המשטרה כי תפיסת ההפעלה החדשה, שתבוא לידי ביטוי בתכנית דו-שנתית שלה, תיתן מענה מיטבי לסוגיית פיצולן של היחידות ולצורך בהגדרת האחריות של כל יחידה בהתמודדות עם פשיעת סייבר הרלוונטית לעיסוקם.
מתשובות המשטרה עולה כי המשטרה אמנם הייתה ערה לצורך של התחנות לטפל בעצמן בהפקת ראיות, אולם היא לא פתרה את הבעיה שבכפיפותם של מחלקי הסייבר ליחידות המחוזיות; כפיפות זו הביאה לכך שעבודת המחלקים מתמקדת בטיפול בצרכים השוטפים של היחידות המחוזיות שלהן הם כפופים, כלומר בעבירות פליליות "קלאסיות", במקום להתמקד בייעודם המקורי - טיפול בפשיעת סייבר מתוחכמת טכנולוגית.
עקב אי-פתרון בעיה זו, תתקַבֵּע התופעה שלפיה ימשיכו מחלקי הסייבר להישאב לטיפול בתיקי המחוז בשל כפיפותם ליחידות המחוזיות, בניגוד לייעודם המקורי - עיסוק בפשיעת הסייבר המתוחכמת.
כמו כן עולה החשש כי בשל מיקום מחלקי הסייבר במחוזות והכפפתם ליחידות המרכזיות במחוזות, לא יינתן מענה מספק לפשיעת סייבר מתוחכמת טכנולוגית.
על המשטרה ועל המשרד לבט"פ לבחון בדחיפות את התאמת מבנה מערך הסייבר להתפתחויות הטכנולוגיות בתחום, באופן שיעלה בקנה אחד עם הידע המקצועי והתפיסות שאומצו לאורו בעולם, התומכים ביחידה מרכזית שאליה כפופים גופי המטה והיחידות החוקרות, זאת גם אם המשטרה הצהירה על כוונתה לממש תפיסת הפעלה חדשה.
יתר על כן, אם המשטרה רואה צורך בהוספת חוקרים שיעסקו בהפקת ראיות דיגיטליות במחוזות בעבירות "קלאסיות" או בחקירת עבירות קלאסיות שמסתייעות במרחב הסייבר המטופלות על ידי המחוזות, עליה לוודא שהדבר אינו יבוא על חשבון התמקצעותם של חוקרי המחלקים שייעודם הוא עבירות סייבר מורכבות טכנולוגית.
טיפול בתיקי חקירה בהתאם לשיוך גאוגרפי .
נוהל המשטרה "הטיפול בתיקי חקירה בעבירות משותפות למספר יחידות" (משנת 2014 ), קובע כי בעבירות מחשב תתנהל החקירה בהתאם לנסיבות האלה: מקום גאוגרפי של ביצוע העבירה, מקום גאוגרפי שבו התקבלו התלונות הרבות ביותר, מקום מגוריו של החשוד, מיקומו הגאוגרפי של המחשב שבאמצעותו בוצעה העבירה, מקום מגוריהם של הנפגעים וכדומה.
לפי תפיסת ההפעלה, כאשר מדובר בעבירה שאירעה בגבולות מחוז מסוים, יחקור אותה מחלק הסייבר שבאותו מחוז "באופן בלעדי".
רק במקרים שבהם מדובר בעבירה שהיא חוצת גבולות יעבור התיק לטיפול היחידה הארצית.
המחקרים בתחום פשיעת הסייבר תומכים בגישה , ולפיה מאפיין המיקום הפיזי מאבד מחשיבותו ואינו מתאים לטיפול בפשיעה מסוג זה 34 , מפני שאי -אפשר להבחין בין פשיעת הסייבר שנעשית במרחב גאוגרפי מסוים לבין מרחב גאוגרפי אחר, כיוון שמדובר בפשיעה המהווה מרחב נפרד בפני עצמה.
פשיעת הסייבר אינה מוגבלת בהיקפה, והיא בעלת פוטנציאל לשכפל את עצמה ללא התערבות יד אדם35.
פשיעת הסייבר יכולה להתבצע מכל מקום, בין השאר, בגלל טכנולוגיית קישוריות מרובה (כגון: fi-Wi ) שזמינה בהיקף נרחב36 .
גם ממד האנונימיות אינו מאפשר לאפיין אזור גאוגרפי מסוים שממנו בוצעה העבירה.
מדובר אפוא באירו ע כלל -ארצי, ולרוב כלל-עולמי 37, .
שאינו ניתן לשיוך גאוגרפי בדיון שהתקיים במרץ 2015 ציין סגן ראש אח"ם דאז כי אין משמעות לחלוקה טריטוריאלית בפשיעת הסייבר.
בהתייחסות אח"ם מפברואר 2016 צוין כי הפשיעה בעולם המודרני "איננה נחתמת יותר על ידי גבולות טריטוריאליים אשר היטשטשו ללא היכר הודות לתופעת הגלובליזציה בכלל תחומי החיים" (ההדגשה אינה במקור).
להלן דוגמאות לכתבי אישום, שהוגשו במהלך הביקורת, אשר משקפות את העובדה שפשיעת הסייבר חוצה אזורים גאוגרפיים , בשל העובדה שהעבירות בוצעו נגד קורבנות מכל רחבי הארץ: 1.
ביוני 2016 הוגש כתב אישום נגד נאשם שנטען שפעל מכמה כתובות דוא"ל וחדר שלא כדין, תוך שימוש ברשת האינטרנט אל חשבונות בנק המוחזקים במחשבי הבנק בתל -אביב, בלוד ובמקומות נוספים.
כן צוין כי הנאשם חדר לחשבונות של לקוחות בנקים שונים בישראל.
בכתב האישום מפורטות עבירות נוספות שאין להן מיקום גאוגרפי מוגדר: חדירה וניסיון חדירה לאתרי אינטרנט במטרה להעתיק מידע; שליחת מסרונים כוזבים למספרי טלפון רבים של לקוחות בנקים שונים ברחבי ישראל כדי לדלות את פרטיהם האישיים ולהתחבר לחשבון הבנק שלהם באמצעות האינטרנט.
באמצעות שיטה זו נטען כי הנאשם חדר לחשבונות בנק ללא הרשאה.
ביולי 2016 הוגש כתב אישום נוסף נגד נאשם אחר, ובו נטען כי הנאשם חדר באלפי הזדמנויות שונות, לחשבונות דואר אלקטרוני אישיים, ולחשבונות לשירותי 'ענן' שונים לאחסון וגיבוי קבצי מחשב של מעל 350 נשים ישראליות שונות.
כן נטען בכתב האישום כי אותו נאשם ניסה לחדור לחשבונות נוספים בעוד מאות מקרים ברחבי ישראל.
Brenner, “ Law, Dissonance, and Remote Computer Searches”, North Carolina J.
of Law & Technology 14 (1) 43 (2012) .
Brown, “Investigation and Prosecuting Cyber Crime: Forensic Dependencies and Barriers to Justice”, Inter.
of Cyber Criminology 9 (January -June 2015), pp.
ראו מחקר סוכנות האו"ם לסמים ופשיעה 37 באפריל2016 חתמהישראל על "אמנת בודפשט " ( Convention on Cybercrime), המסייעת בין היתר, לכונן שיתו ף פעולה בין גורמי אכיפת חוק ממדינות שונות כדי להתמודד ביעילות עם ההיבט הבין-לאומי של פשיעת סייבר.
למרות התובנות האמורות שהועלו במשטרה בשנים האחרונות וחרף העובדה שתובנות אלו נתמכות במאפייני הפשיעה המתבטאים בכתבי אישום שהוגשו לבית המשפט, תפיסת ההפעלה נותרה מבוססת על העיקרון שלפיו השיוך הגאוגרפי יקבע את זהות הגוף שיטפל בעבירה.
להלן מקרים של תיקי פשיעת סייבר חוצי גבולות שהטיפול בהם נעשה על ידי מחלקי הסייבר במחוזות לפי שיוך גאוגרפי: 1.
בנובמבר 2015 נפתחבאחד המחוזות תיק שהחל כחקירה בתחום עבירות הסמים.
במסגרת החיפוש בביתו של החשוד בוצע חיפוש גם במחשבו של החשוד, ונמצאו ראיות הנוגעות ל פשיעת סייבר בתחום ההונאה.
במסגרת החקירה נמצאו ראיות לכך שהחשוד הוא "האקר" שמפתח סוסים טרויאניים38 .
מסוגים שוניםכמו כן נמצא כי יש מעורבים נוספים השותפים למעשי החשוד.
רק כעבור כמה חודשי חקירה של מחלק הסייבר ב אותו מחוז נוצר קשר בין מחלק זה לבין היחידה הארצית , ונחשף כי באותה העת ממש חקרה היחידה הארצית חשדות לגבי חלק מהמעורבים באותה פרשה.
משרד מבקר המדינה מעיר כי החקירה בתיק טופלה על ידי שלושה מחלקי סייבר ללא מעורבותה של היחידה הארצית.
רק משנעשתה פנייה ליחידה הארצית בעניין סיוע טכני, מסרה היחידה הארצית מידע בעל חשיבות גבוהה ביותר, ולפיו מתנהלת גם חקירה בין -לאומית לגבי חלק מהחשודים.
מידע זה לא יכול היה להימסר קודם לכן למחלקי הסייבר מפני שהיחידה הארצית לא יּודעה מלכתחילה על התיק, ולא הייתה שותפה להליכי החקירה בתיק.
עוד מסרה המשטרה בתשובתה כי אכן רוב תיקי הסייבר הם חוצי מחוזות (ואפילו מדינות), וכי העבירות במרחב הקיברנטי מעצם טיבן חוצות גבולות פיזיים.
לכן אין לדעת בשלב הראשון מהו היקף העבירות וכיצד מתקשר התיק למחוז מסוים.
38 ( סוס טרויאני Trojan Horse ,) הוא כינוי לתוכנה תמימה למראה המוחדרת למחשב הקורבן מפעילה בו קוד זדוני לביצוע פעולות לא חוקיות, ומאפשרת איסוף מידע ממחשב הקורבן.
ראו בנושא זה ויסמונסקי, עמ' 21 .
גבולות גאוגרפיים, אף .
זה מביא לידי כפילות .
הטכנולוגיים הקיימים .
בין-לאומיים מתשובת המשטרה עולה שהמשטרה עדיין עוסקת בחקירת עבירות סייבר מתוחכמות טכנולוגית במחוזות המחולקים לפי גבולות גאוגרפיים, אף שהיא מכירה בכך שקיים קושי מובהק לשייך פשיעת סייבר למיקום גאוגרפי.
כך נוצר מצב שבו לעתים יחידות שונות חוקרות אותה פרשה ללא תיאום בין היחי דות החוקרות.
מצב זה מביא לידי כפילות בטיפול ולידי שימוש לא יעיל ב כלים הטכנולוגיי ם הקיימים במשטרה .
על כך מתווספת לעתים התופעה של היעדר שיתוף בידע לגבי היבטים בין- לאומיים, שנדרש כבר בשלבים מוקדמים של החקירה.
כמו כן עולה חשש לפגיעה אפשרית בחקירה בשל אי -ראיית התמונה המלאה, היות שיחידה חוקרת אחת אינה מודעת לעבודת היחידה האחרת.
במחלק הסייבר של אחד המחוזות התנהל בשנים 2015-2014 תיק חקירהחוצה מחוזות שכלל נפגעים מכל רחבי הארץ.
מיקומו הגאוגרפי של החשוד לא היה ידוע, אך נמצא כי הוא פועל מכתובות דוא"ל שונות , וכן נתפסו ראיות לביצוע עשרות העברות כספים לבנקים שונים ברחבי אירופה.
מחלק הסייבר של אותו מחוז , שבו הוגשה התלונה הראשונה, טען כי "ככל שחלף הזמן והתקבלו עוד תיקי חקירה מהמחוזות השונים, התקבלה תמונת מצב בה מדובר בתופעה כלל ארצית".
ממסמך של חטיבת החקירות באח"ם מדצמבר 2015 עולה כי המחוז פנה לחטיבת החקירות וביקש להעביר את תיק החקירה ליחיד ת הסייבר הארצית, בין היתר, מאחר "שאין עדיפות למחוז שכן התיקים הינם מכל הארץ".
למרות העובדה כי מדובר בתיק ברמה הארצית, ראש חטיבת חקירות באח"ם קבע בדצמבר 2015 כי התיק יטופל ברמה המחוזית על ידי מחלק הסייברבמחוז האמור.
נמצא כי בשנת 2015 ,התנהל מבצע נגד חשודים בפדופיליה במרחב הסייבר שהתגוררו בכתובות שונות ברחבי הארץ, שחייב שיתוף פעולה חוצה מחוזות.
אף שמבצע זה חייב שיתוף פעולה מצד יחידות שונות, נוהל המבצע על ידי מחלק סייבר באחד המחוזות, וחלק מהחשודים נחקרו לא על ידי חוקרי מחלק הסייבר בלבד אלא גם על ידי חוקרי ההונאה במחוז, שאינם מיומנים בחקירת עבירות סייבר.
בדומה נבחנו הראיות הדיגיטליות של החשודים על ידי חוקרי מחלק הסייבר של אותו מחוז, ולא ניכר כי נעשו שיתוף פעולה, תכלול ידע או ליווי חקירתי וטכנולוגי עם היחידה הארצית, אף שדובר במבצע ברמה הארצית.
מבדיקה שנערכה במהלך הביקורת באחד ה מחוזות, נמצאו תיקים שונים בטיפול מחלק הסייבר במחוז שבהם החשודים בביצוע עבירות הסייבר מתגוררים באותו המחוז, אך הקורבנות מתגוררים ביישובים במחוזות אחרים.
כמו כן נמצא כי נפתח תיק שבו החשודים מתגוררים מחוץ למחוז , אולם הקורבן הוא מ תוך המחוז.
עקב השיוך הגאוגרפי, .
וחוצי מחוזות וגבולות .
פיזיים, לא טופלו על .
מערכתית על ידי גורם .
לפתחם דוגמאות אלו משקפות מצב שבו עקב השיוך הגאוגרפי, תיקי פשיעת סייבר מתוחכמת טכנולוגית וחוצי מחוזות וגבולות פיזיים , לא טופלו על ידי היחידה הארצית ולא נבחנו בראייה מערכתית על ידי גורם פיקודי אחד.
לפיכך לא הובטח שהוקצו למשימות יכולות טכנולוגיות מתאימות ו כוח אדם המסוגל להתמודד עם חשודים בכמה מחוזות בו-זמנית וכי הייתה היערכות לוגיסטית נאותה לביצוען.
מאפיין השיוך הגאוגרפי מה ווה אפוא חסם לפעילות אפקטיבית של המשטרה.
יחד עם זאת יצוין, כי ניכר שבמחלקי הסייבר נעשו מאמצים רבים להשגת התוצאות המיטביות בתיקי החקירה שהונחו לפתחם.
המשטרה מסרה בתשובתה שההחלטה איזו יחידה חוקרת תטפל בתיק מתקבלת לאחר שקילת שיקולים מקצועיים הנוגעים לפן המקצועי ולעומסים ביחידות; יחידות החקירות הן המחליטות "היכן טובת ניהול התיק".
לדבריה, "המבנה הארגוני של מערך הסייבר כיום נותן מענה למאפייני התופעה בהיבטים של טריטוריה גאוגרפית", והמענה לפשיעת הסייבר חוצת הגבולות יינתן על ידי היחידה הארצית.
על המשטרה ועל המשרד לבט"פ לבחון מחדש ולאלתר את המבנה הארגוני של המערך, כך שהטיפול בפשיעת סייבר, שהיא כאמור חוצת גבולות, יהיה באחריות גורם פיקוד מרכזי בניגוד למצב הקיים היום, כך שתתאפשר ראייה מערכתית בנושא היקף המעורבים, הנפגעים והנזקים בתיק.
המשטרה מסרה בתשובתה הנוספת כי תפיסת ההפעלה החדשה, שתבוא לידי ביטוי בתכנית דו-שנתית שלה, תיתן מענה מיטבי לסוגיית המאפיינים הטריטוריאליים של פשיעת הסייבר.
טיפול בתיקי חקירה בהתאם למאפיין המורכבות הטכנולוגית של העבירה .
כדי לקדם מדיניות מותאמת למגוון התופעות שנכללות בהגדרת "פשיעת סייבר" יש צורך בהגדרת קטגוריות של פשיעה מסוג זה, לפי מידת מורכבותן הטכנולוגית של העבירות39 .
מיפוי איומים במרחב הסייבר מקובל בעולם, ומאפשר להתמודד בצורה טובה יותר עם פשיעה זו.
39 ;מחקר סוכנות האו"ם לסמים ופשיעההמשרד לבט"פ, האגף למדיניות ותכנון אסטרטגי , יחידה מידע וידע, סקירה בנושא מדידת פשיעה מקוונת (2014).
ארגון ISACA40 ,מציע למפות את מרחב האיומים על פי רמת תחכום טכנולוגי מפשיעה בעלת רמת תחכום נמוכה שאינה מתמקדת בקורבן מסוים, עד לרמת תחכום גבוהה וחמורה המשתמשת בכלים מתוחכמים כלפי גורם ספציפי באופן מתמשך41 .
בתרשים להלן מומחשת החלוקה המוצעת כאמור במסמך ISACA: .
תרשים4 : רמת תחכום של סוגי איומי פשיעת סייבר .
תפיסת ההפעלה של המשטרה קובעת כי תיקי החקירה יפוצלו בין היחידה הארצית לבין מחלקי הסייבר לפי מורכבות העבירה, כך שהיחידה הארצית תחקור עבירות "הדורשות משאבי זמן, מומחיות ואמצעים מתוחכמים" (להלן - מאפיין מורכבות העבירה).
נוהל המשטרה האמור בנושא "הטיפול בתיקי חקירה בעבירות משותפות למספר יחידות" מתייחס גם הוא למורכבותו של תיק נחקר כמאפיין הקובע שהיחידה הארצית תטפל בעבירות סייבר מורכבות.
40 ארגוןבין-לאומי שנוסד בשנת 1969 ומרכז ידע מקצועי עולמי בדבר אבטחת מערכות מידע וטכנולוגיית מידע ומפתח תקנים בין-לאומיים בביקורת ובקרת מערכות מידע.
41 כגון: התקפות DayZero - שימוש בטכנולוגיה מזיקה שטרם התגלתה וטרם ניתן לה פתרון על ידי חברות האנטי -וירוס; Advanced Persistent Threat (APT) - התקפות מתוחכמות ארוכות טווח באמצעות מגוון רחב של אמצעים מתקדמים על יעדים מוגדרים (כגון מערכות מידע מקוונות, שרתים) מתוך הכרת ם לעומק.
תחכו ם התקפות אלו מקשה על מערכות ההגנה של היעדים לזהות, לנטר ולמנוע את ההתקפה באמצעות "אמצעים אוטומטיים טיפוסיים", או בעזרת נהלים, "התנהגות נכונה" ושיגרת אבטחה של היעד בשל השימוש בכלים מונעי זיהוי ואיתור עקבות ; דיוג ממוקד (פישינג)- שמאופיין כ"התקפה כללית" אשר מחפשת נקודת תורפה בסביבה הממוחשבת במטרה לגנוב מידע רגיש על ידי התחזות ברשת האינטרנט.
ארגון ISACA , מסמך התמרה לאבטחת סייבר (2015) ', עמ17 ,34.
מבדיקת משרד מבקר המדינה עולה כ י היו מקרים שבהם טופלו תיקים מורכבים טכנולוגית במחלקים ולא הגיעו כלל לידיעת היחידה הארצית, עקב אפשרותם של המחלקים להגביל את גישת היחידה הארצית לתיקים אלה.
יצוין כי פעמים רבות רמת המורכבות של עבירה מתגלה רק לאחר פרק זמן מסוים, בעיצומה של החקירה.
יוצא אפוא שמחלק סייבר מחוזי, שיכולותיו הטכנולוגיות מוגבלות לעומת יכולות היחידה הארצית, מנסה לעתים להתמודד במשך תקופה ארוכה עם תיק חקירה שנפתח אצלו, ורק בשלב מאוחר יחסית בחקירה הוא פונה , בשל המורכבות הטכנולוגית של התיק, לקבלת סיוע מהיחידה הארצית.
הפנייה של מחלק סייבר מחוזי ליחידה הארצית לשם קבלת סיוע טכנולוגי שנעשית בשלב מאוחר יחסית בחקירה, כפי שאירע בתיק שנידון לעיל, עלולה לשבש את החקירה עד כדי החמצת ראיות, מאחר שהטיפול שניתן לאותה עבירה טרם הפנייה לא תאם את רמת מורכבותה הטכנולוגית.
תיקי פשיעת סייבר יכולים להיות מוגדרים "מורכבים" בשל נסיבות שונות.
בתרשים להלן דוגמה למסגרת אפשרית לתהליך עבודה שיטתי למיפוי רמת המורכבות הטכנולוגית של תיקי פשיעת סייבר בתחום המידע, כמו חדירה לא חוקית למאגרי מידע ממוחשבים פרטיים, מסחריים וציבוריים ( computer data) , על פי שיטות עבודה מקובלות בעולם42: .
42 הסוכנות הלאומית לפשיעה באנגליה Building a Response to CyberCrime (April, 2016) ; ארגון היורופול משנת2015 The Internet Organised Crime Threat Assessment (IOCTA), p.
27 ; מחקר סוכנות האו"ם לסמים ופשיעה (ראו לעיל הערת שוליים 12) ; ארגון ISACA מסמך התמרה לאבטחת סייבר (2015), 'עמ14-38.
תרשים 5 : שלבים למיפוי רמת המורכבות הטכנולוגית של תיקי פשיעת סייבר .
מתכללת מאחר שמאפיין מורכבות העבירה ורמת התחכום הטכנולוגי הוא גורם חשוב ומרכזי, שעל בסיסו אמורות להתקבל החלטות בדבר הפנייה לגורם החוקר וההתאמה של תשומות החקירה, הרי שיש מקום לקבוע הליך מקצועי סדור למיפוי טכנולוגי של סוגי האיומים של פשיעת הסייבר והיקפיהם.
בדיקת משרד מבקר המדינה העלתה כי מעבֶר להגדרה הכללית שהובאה בתפיסת ההפעלה, ולפיה ינותב הטיפול בתיק לפי "מורכבותו", לא הגדירה התפיסה תהליך עבודה שיטתי ומוסדר שיאפשר לקבוע את רמת מורכבות התחכום הטכנולוגי של העבירה ולהעניק לה את הטיפול המיטבי מבחינת המענה הטכנולוגי הנדרש.
לפיכך כל מחלק סייבר מגדיר בעצמו את מורכבות התיק ופועל בהתאם לעקרונות שהתפתחו בכל מחלק בנפרד.
המשטרה מסרה בתשובתה כי מורכבות פשיעת הסייבר משתנה וכי אי -אפשר לקבוע מסמרות להתמודדות עמה.
כך למשל תופעת פשיעה שנראתה מורכבת בשנת 2013 הופכת לפשוטה שנה לאחר מכן לאחר פיתוח יכולות משטרתיות לטיפול.
לאור זאת טוענת המשטרה שאי -אפשר להגדיר מראש מהי המורכבות הנדרשת, וראשי מחלקי הסייבר יודעים מתי ביכולתם לטפל בתיק ומתי יש להעבירו ליחידת הסייבר.
מתשובת המשטרה עולה כי בניגוד לפרקטיקות מקובלות בעולם, אשר נוקטות דרך סדורה לאִפיון המורכבות הטכנולוגית של פשיעת סייבר בראייה רחבה, ההחלטות שהתקבלו במשטרה לגבי מורכבות התיק נעשו אד-הוק בכל מחוז בנפרד, תוך התייחסות לתיק כפשיעה "קלאסית" ללא יד מתכללת וללא מעורבות חוליית המטה.
על המשטרה לבחון את הגישות המקובלות בעולם בנושא זה, וכן לפנות למטה הסייבר הלאומי כדי לוודא שתפיסת ההפעלה נותנת מענה למאפיין המורכבות הטכנולוגית של פשיעת סייבר.
כך יושג ניצול מיטבי ויעיל של המשאבים והידע הקיימים.
תפקידה העיקרי של חוליית המטה הוא בניית הכוח של מערך הסייבר43 , לצורך קידומם ומימושם של מטרות הארגון וייעודו44 , ובין היתר: שיתוף המערך בכל הנוגע לתמונת המצב של הפשיעה ושיתוף הידע על אודות דרכי ההתמודדות עמה, הנחיה מקצועית, פיקוח ובקרה.
כך יוכל מערך הסייבר להתמודד עם האתגרים הניצבים בפניו45 .
כאמור, במועד הביקורת הייתה חוליית המטה כפופה פיקודית לראש חטיבת החקירות באח"ם, וכללה מספר מצומצם של תקנים מאוישים.
משרד מבקר המדינה בחן את פעילות חוליית המטה להשגת מטרות אלה, להלן הפרטים: .
אחד הקשיים לטיפול יעיל בפשיעת סייבר הוא היעדר שיתוף ידע מספיק בין הגופים במערך46.
הצורך בשיתוף בידע בין כל הגופים החוקרים פשיעת סייבר מתעצם לאור אופייה שמשתנה בטווחי זמן קצרים מאוד ולנוכח עלייה מתמידה בתחכום הטכנולוגי.
לפיכך, כדי שמערך הסייבר יפעל באופן מיטבי, על חוליית המטה להביא לשיתוף בין כלל גופי המערך ולחיזוק הקשרים המקצועיים ביניהם באופן מסודר ושיטתי, תוך כדי התעדכנות שוטפת ( “ keep up” ) בפעולות עברייני הסייבר ודרכי ההתמודדות במסגרת החקירות בעלות המאפיינים הטכנולוגיים47 .
החשיבות שנודעת לשיתוף הידע בין היחידות החוקרות - בינן לבין עצמן ובינן לבין חוליית המטה, מוצאת את ביטויה בהנחיות ובדגשים שניתנו לחוליית המטה במסגרת דיונים שנערכו בפיקוד המשטרה: בדיון משנת 2009 בנושא "פשיעה בעולם הסייבר" צוין שנושא שיתוף הידע חשוב מאוד; בדיון מדצמבר 2014 נקבע כי על חוליית המטה לקיים פורום חודשי עם מפקדי מחלקי הסייבר במחוזות "כדי לתאם.
ולגבש המלצות ול קחים"; בדיון מיוני 2015 נקבע שיש לייצר שיתוף של ידע בדבר היכולות הקיימות ביחידות החוקרות; ובדצמבר 2015 ניתנה הנחייה באח"ם כי "חייבת להיות העברת מידע וידע", וכי החוקרים במחוזות יגיעו פעם בחודש ליחידה הארצית "לעדכונים ולימודים", ושנדרש ליצור פורום סייבר ארצי להעברת ידע בין כלל יחידות המערך.
43 ,גבי סיבוני ועופר אסףקווים מנחים לאסטרטגיה לאומית במרחב הסייבר (אוקטובר 2015 ) (להלן- סיבוני ואסף), אוניברסיטת תל אביב, המכון למחקרי ביטחון לאומי, עמ' 22.