הכנסת העשרים

מושב שלישי

פרוטוקול מס' 132

מישיבת ועדת המדע והטכנולוגיה

יום שלישי, כ"ד בתמוז התשע"ז (18 ביולי 2017), שעה 12:30

צעדים למניעת שימוש לרעה במאגרי מידע-הצגת פעילות משרדי ממשלה וגופים ציבוריים

חברי הוועדה: אורי מקלב – היו"ר

תמר זנדברג

לימור שמרלינג מגזניק - עו"ד, מנהלת מחלקת קשרי ציבור וממשל, הרשות למשפט, טכנולוגיה ומידע

רפאל פרנקו - ראש אגף בכיר לאסדרה והכשרה, הרשות הלאומית להנהגת הסייבר

אורן בן שבת - סגן מנהל אגף א ביטחון, משרד האוצר

אילנה אסף - סגנית מנהלת אגף א' משאבי אנוש, משרד האוצר

אילן אחיטוב - ממונה הגנת סייבר והפרטיות, משרד האוצר

אריה סיקסק-דוויק - מנהל אבטחת מידע, משרד האוצר

דוד שפיצר - מנהל אבטחת מידע - אגף מערכות מידע, משרד האוצר

כוכבה שלו - מנהלת תחום משאבי אנוש, משרד האוצר

רג'ין יהודה כליף - סגנית בכירה ליועמ"ש מינהל, משרד האוצר

אפרת שונרי זינגר - ממונה דיני עבודה ומינהל ברשות המיסים, משרד האוצר

אילן פלג יום טוב - ראש תחום סייבר, ביטחון פנים

אורטל קונסטנטיני - רב כלאי, ק' תחקירים מודיעין שב"ס, המשרד לביטחון פנים

רפ"ק שמוליק ויזנר - יחב"מ, משטרת ישראל, המשרד לביטחון פנים

סנ"צ יורם עמדי - רמ"ד אבטחת מידע, משטרת ישראל, המשרד לביטחון פנים

סג"ד ירון אביגד - ראש ענף יישום מבצעים שב"ס, המשרד לביטחון פנים

משה כהן - מנהל תחום יישום אבט"מ, ביטחון פנים

אמיר מילס - ראש ענף מערכות מידע, צה"ל, משרד הביטחון

נירה גזית - ראש היחידה למסדי נתונים, משרד הביטחון

אביעד כהן - מנהלת תשתיות, משרד הבריאות

יעקב דולמצקי - מנהל יחידת הכנה מערך הסייבר, המשרד להגנת הסביבה

מטי מגירה - מנהל אבטחת מידע, המשרד להגנת הסביבה

עידו טנדי - מערכות מידע, המשרד להגנת הסביבה

יוסי שביט - מנחה הכנת סייבר בתעשייה אגף, המשרד להגנת הסביבה

מאיה לדרמן - היועמ"ש של הרשות לאיסור, משרד המשפטים

מונס שמואל - מנהל תחום אבטחת מידע, משרד העבודה, הרווחה והשירותים החברתיים

צור אהרון - ראש אגף בכיר תקשוב ומערכות מידע, משרד התחבורה והבטיחות בדרכים

פנחס אזולאי - אגף הביטחון, משרד התחבורה

ערן כרמון - מנמ"ר, משרד המדע והטכנולוגיה

רוויטל ויצמן - ראש אגף בכיר מערכות מידע, משרד רה"מ

מגדעון קונפינו - מנהל אבטחת מידע וסייבר, משרד רה"מ

שחר כ"ץ - מנמ"ר, הלשכה המרכזית לסטטיסטיקה

עידו תלמי - מנהל אבטחת מידע, רשות האוכלוסין

יוסף אבגי - מנהל אגף מערכות המחישוב, רשות האוכלוסין וההגירה

בובי פנדריך - אבטחת מידע, המוסד לביטוח לאומי

אורי צור - מנהל אגף סייבר חירום וביטחון, רשות האכיפה והגביה

שחר ברכה - מנהל חטיבת תכנון ואסטרטגיה, רשות התקשוב הממשלתי

רחלי כהן ברכה - עו"ד, יועצת משפטית, הנהלת בתי המשפט

יוסי אוחנה - עו"ד, יועץ, המרכז לשלטון המקומי

חנה אביסרור גולדרייך - מנהלת אגף מערכות מידע, שירות התעסוקה הישראלי

יעקב רוטמן - אחראי מיחשוב, האקדמיה הלאומית הישראלית למדעים

בת-שבע שור - מנהלת מרכז הקשר לחוקרים ישראלים, האקדמיה הלאומית הישראלית למדעים

יהונתן קלינגר - עו"ד, יועץ משפטי, התנועה לזכויות דיגיטליות

גל עומר - עורכת דין

ענת לוי

מאיה ויקטור, חבר תרגומים

צעדים למניעת שימוש לרעה במאגרי מידע-הצגת פעילות משרדי ממשלה וגופים ציבוריים

אני מתכבד לפתוח את ועדת המדע והטכנולוגיה, היום יום שלישי, כ"ד בתמוז תשע"ז ה-18.7.2017. על סדר היום שלנו הנושא הוא צעדים למניעת שימוש לרעה במאגרי מידע והצגת פעילות משרדי הממשלה וגופים ציבוריים בנושא הזה. ממש כמה מילות פתיחה בעניין, אנחנו לא מעט פעמים, אני רוצה להגיד הרבה פעמים, אנחנו נוגעים בנושא הזה של שמירת מידע וזליגת מידע והגנה על הפרטיות, אבל זה במסגרת נושאים שאנחנו דנים. אנחנו נדון מהביומטרי ואנחנו שואלים מה קורה עם המידע ובדיונים אחרים, גם לממשל זמין והצגה של משרדים שונים – אנחנו תמיד שואלים וגם נוגעים בעניין הזה. לפי דעתי זו גם לא הישיבה היחידה שאנחנו נעשה, אנחנו רוצים לייחד ישיבה מיוחדת בנושאים האלה של שמירת מידע והגנת הפרטיות ואנחנו הרי יודעים כולנו שמידע רב ומידע אפילו עצום – ישנם בתוך הגופים הממשלתיים, במשרדים הממשלתיים ולא רק שאוגרים מידע גדול, אלא יש גם העברות של מידע בין רשויות שונות, בין גופים שונים, גם אם זה בטחוניים ומשטרתיים וודאי גם אם זה רשויות, מיסים וכדומה, אבל גם מערכות הבריאות ועוד מערכות כאלה ואחרות, רווחה, רווחה, חינוך, יש לא מעט מידע שעובר בין משרדים. גם בהנחה שזה על פי דין, אבל תכף ניגע בזה.

אני יודע שאנחנו בתוך הדברים ואני רק רוצה להעמיד את הדברים, אנחנו יודעים במה אנחנו עסוקים ובמה אנחנו יודעים שיש דברים בגדול, אנחנו יודעים שיש נושא של שמירת מידע – הגנה על הפרטיות שזה הבסיס לדברים, אנחנו מחוקקים חוקקים לא רק על כל מאגרי המידע, גם גופים פרטיים מה הם צריכים לעשות היום עם מאגרי מידע. אבל אנחנו אמונים על מניעת זליגת מידע, זה לא בכוונה וזליגת מידע יכולה לקרות ואנחנו אמונים על זה, זה אחד הדברים שגם נמצאים תחת אחריותנו ובפעילות שלנו. אנחנו יודעים שאנחנו צריכים למנוע גניבה, פריצה, פרצות בתוך מאגרי המידע וכמובן הסייבר הוא נושא נוסף, בנפרד, שמעסיק אותנו הרבה, אבל יש גם באופן המעשי שימוש במסחר במידע לצרכים מסחריים, צרכים כלכליים, אנחנו בכנסת דנים בזה הרבה ורק שבוע שעבר היתה לזה הצעה דחופה לשימוש של חברות או מתן מידע על חולים סיעודיים לגופים פרטיים – חולים שאמורים להשתחרר, נושא ששבוע שעבר העלה חבר הכנסת שמולי והצטרפנו אליו בנושא הזה.

כמובן שאנחנו לא מדברים על פעילות פלילית וכו', אבל אנחנו יודעים שאחד הדברים שצריכים להנחות אותנו הם שגם מי שמורשה יצטרך לדעת לטפל ולהכנס ולהשתמש רק במה שהוא מורשה ולא במשהו אחר. גם מי שנמצא במערכת והוא מורשה להיכנס למערכת, זה עדיין לא אומר שהוא יכול לעשות ככל העולה על דעתו בעניין הזה. צריך להיות לזה כללים ואנחנו שואלים האם יש כללים, האם באמת הכל לפי הכללים ועובדים לפי הכללים, האם הכללים מספקים, האם הם מותאמים למה שקורה היום ולהתפתחויות שיש והדבר שהכי חשוב לנו, האם מישהו באמת עוקב ומישהו אוכף ומישהו מפקח על שמירת הכללים, שזה דבר חשוב מאד.

אני רוצה לגעת בזה וגם חברת הכנסת זנדברג האירה את עיננו וביקשה לקיים דיון מיוחד ואני לא דיברתי איתה מלבד המכתב המפורט שנתת, אבל אני גם מתוך המכתב הזה, אבל באופן כללי את דיברת על איזה חקירה ברשות המיסים שאני לא מכיר אותה, אבל גם אם נשמע את הפרטים ומה היה, שזה היה בנציבות ולא משהו של המשטרה, אני מניחה, אני גם שואל ואני גם יודע מהמידע שיש לי. השאלה היא, עובד שמורשה והוא יש לו תחת סמכותו עובד, האם בלהט העשייה ובלהט הרצון לא חורגים מהסמכות הזאת. דהיינו, גם כדי להגיע למידע, ניקח לדוגמה עם רשות המיסים, בלהט שרוצים להגיע לחקר האמת, לחקירה, למה שקורה, אז אנחנו במתוך מידע שקיים שאנחנו בעצם לא מורשים ללכת, לדעת, לנסות ולמשוך מידע ממערכת הבריאות כדי לגלות עניין כלכלי אחר או עניין של מיסוי בנושא אחר – האם הוא יכול עם מי מישהו שהה בבית מלון מתוך זה הוא ידע שאולי החבר שלו, דברים שהם אסורים, ממש לא מורשים והאם אנשים לא עושים את זה והאם עושים שימוש במידע שיש, אדם רוצה להשתמש במידע לצורך חקירה, לצורך בירור דברים, זה יכול להיות גופי רווחהו זה יכול להגיע עד משרד הכלכלה שרוצה לבדוק זכאויות לביטוח לאומי, זכאויות במעונות, משרד החינוך וגני ילדים – רק בשביל לברר, רק כדי לדעת בתפקיד, האם המידע שניתן – אני לא רוצה להרחיב ואני באמת יכול להביא עשרות מקרים. אנחנו עושים שימוש במידע שיש, שהוא כל כך נגיש לנו היום על דברים לא מוסמכים.

האם יש כללים, האם הכללים האלה מספיק ברורים ומספיק מותאמים והאם מישהו מפקח – אני יודע שאני לא מצפה ממשרדי הממשלה להגיד שעובד שהוא לא מוסמך נכנס למשהו שהוא לא אמור, יש לנו בקרה. אני מניח ואני רוצה לשמוע ולדעת שזה נמצא בכל המשרדים וזה נעשה נכון ויש על זה ביקורת פתע וסיכומים ודוחות שניתנים בעניין הזה ולמי ניתנים הדוחות והאם הדוחות האלה שקופים, אז אני מדברת ואני חושב שעל זה מדברת גם חברת הכנסת זנדברג, על דברים שלא על פניו, הם נראים שהכל נעשה בסדר כי יש לו סמכות חקירה ויש לו סמכות ברור או סמכות לפקח, אבל כדי להגיע לזה משתמשים במידע שבמקים מסוימים אין להם את הסמכות, גם אם המידע מונח בפניו ויש לו בגלל מקרים אחרים אפשרות וסמכות והרשאה להיכנס ולהשתמש בהם.

גם בתוך ההרשאות יש כללים ודינים ולא בכל מקרה ומי מפקח על אדם שעובד לבד, שרוצה להגיע למטרה, מי מפקח שהדברים נעשים כדין ולא פוגע ומגיע למידע לא באופן ראוי ולא באופן חוקי. כל מה שהחוק לא מאפשר, גם אם יש מטרה נכונה ומוצדקת, זה עדיין לא מצדיק את המעשה. אלה הדברים שאני ביקשתי להגיד בדברי הפתיחה וביקשנו מעורך דין לימור שמרלינג מרשות משפט הטכנולוגיה ומידע במשרד המשפטים מצגת, הם נותנים את עשרת הדברות או הכללים בעניין הזה ואחרי זה המשרדים האחרים, אבל לפני זה, בבקשה חברת הכנסת זנדברג.

תודה רבה, אז באמת תודה רבה אדוני היושב ראש על ההיענות ותודה לצוות הוועדה – אני באמת חייבת להגיד שזו ועדה שעלי, באופן אישי, מאד מאד חביבה בגלל הנושאים שעוסקת בהם וגם בגלל שעובדת בצורה מקצועית ותמיד נענית לבקשות ועושה את הדברים. אז באמת הטריגר לדיון הזה הוא מקרה שהוא לידיעתי באופן חצי מקרי, למיטב זכרוני לפני כשנה, מקרה ברשות המיסים ואני חייבת לומר שזה המקום לשבח את רשות המיסים שערכה את הבדיקה הזו ובכלל גילתה את הדברים, כי חלק מהסיבה שביקשתי דיון כללי, זה שזה מבחינתנו איזה שהוא קצה של קרחון שאנחנו לא יודעים מה קורה מתחתיו בעוד רשויות מדינה שמנהלות מידע על אזרחים. זה הרי טבען של רשויות מדינה, שמוחזק מידע על אזרחים, זה היום יום של העבודה, החל ממרשם אוכלוסין, דרך מיסים ועד צה"ל ועד עוד הרבה מאד גופים ואני כרגע עוד לא מדברת על רשם המאגרים, משרד המשפטים, שגם שם רשומים עוד מאגרים – שלא תגידו גרוע יותר או פחות – שמוחזקים על ידי גופים פרטיים שגם להם יש כללים בהתנהלות ואנחנו רואים פעם אחרי פעם שהמאגרים האלה נמכרים באופן לא חוקי ונעשה בהם שימוש שמפר את הפרטיות.

בגופי הממשלה יש מידע רב מאד, רגיש מאד, על אזרחים, במקרה של רשות המיסים באמת שביצעה בדיקה, למיטב ידיעתי נמצאו למעלה מ-50 עובדים שביצעו שאילתות – מה שאתה קראת – לא מורשות או שהעובד מורשה לכניסה, אבל זה לא היה מה שהוא אמור לעשות. אגב, חלק מהעובדים בכירים, לפי מה שפורסם, שהשתמשו בזה לצרכים – נגיד במקרה היחסית, לא יודעת להגיד חמור או לא חמור, אבל יחסית לא פלילי או לצרכים פרטיים, אבל מאיפה לנו לדעת שבישראל, זו מדינה קטנה, אחד חבר של זה ורוצה לברר על השכן שלו או חס וחלילה בשביל לסחוט אותו או בשביל לקבל איזו שהיא טובת הנאה או לא חשוב אם זה לצד החיובי או השלילי של זה- - -

גם לצורך קידום החקירה, קידום הבירור, גם אם לצורך הדבר שהוא אמור אבל במקרה הזה הבירור הוא פגיעה בפרטיות או לא משנה, הוא לא מורשה לזה. הוא לא יכול לגשת למאגר מידע שנמצא לפעמים בשביל צרכים אחרים תחת רשותו, נניח מאגר - - - לבריאות, שיש לו גישה, אבל הוא רצה לעניין הזה, לא פרטי, רק לטובת העניין, אבל אם הוא לא מורשה אז הוא לא מורשה.

נכון, מה שאתה מוסיף ובצדק שהכללים נועדו כדי לפעמים לשים איזה שהוא סייג גם אפילו, כדי שבאמת אדם יוכל לגשת או עובד מורשה יוכל לגשת רק לדברים שהוא צריך במסגרת עבודתו וגם לא אמור להשתמש בזה לדברים אחרים. אבל תראה, במקרה שנחשף, היה מדובר לפעמים בעובדים בכירים, זאת אומרת עובדים שאתה כן מצפה שעל מנת שתהיה להם איזו שהיא תמונה כוללת ושיקול דעת רחב ועובדים ותיקים במערכת, כלומר אלה לא עובדים שהיו אמורים להיות מוגבלים למשהו מאד מסוים וחרגו ממנו, אלא יש כאן תופעה שאני חושבת שהיא מאפיינת והתייחסת לזה בפתיח – שהוועדה פה ושם נגעה בדברים שקשורים לפרטיות ולבטיחות מידע, כמובן אולי הדוגמה הכי מובהקת זה המאגר הביומטרי, שזה החשש המרכזי שלנו שבאמת, כמו שקרה למרשם האוכלוסין או דברים אחרים, גם תהיינה דליפות וגם יהיה שימוש מורשה שהוא בעצם לא מורשה, אבל שוב, יש לנו מאגרי מידע בהמון המון רשויות. אני לא יודעת אם אני אגלה סוד גלוי שמי ששרת בצבא – תמיד היה נהוג, סליחה, אבל להתקמבן על איזה חבר באכ"א שיכול להיכנס ולשלוף דברים מהתיקים האישיים והיינו מגלים ככה דברים על חברים. אני כבר הרבה שנים אחרי השירות הצבאי, אבל בשנים הראשונות אחרי השחרור זה היה דבר מאד מקובל, אוקיי?

אני חושבת שיש כאן תרבות ארגונית שהיא זו שצריכה להוביל וזה שוב, לא רק רשות המיסים למרות שגם, כדאי, אני חושבת שאם ניקח את המקרה של רשות המיסים כמקרה בוחן אז כדאי גם לשבח שנעשתה הבדיקה וכו', אבל גם לשאול מה נעשה, איזה דין משמעתי או דין אחר או האם מקרים היו שהיו צריכים להתברר גם במקומות אחרים ודבר שני, איזה עוד רשויות מדינה יש שמחזיקות בידיהם מאגרי מידע, מה הנהלים שם, מי מורשה, איך מפקחים על זה, מי הגורם המפקח, מה נעשה אם יש חריגות, איך כל הדבר הזה מתנהל – כי אנחנו הולכים באמת בעידן של מידע מאד מאד רחב ונרחב, המידע הזה יכול להיות: א. שווה המון המון כסף לגופים מסחריים, ב. כמובן כשמדובר ברשויות מדינה יכול לשמש לדברים פליליים ואולי גם בטחוניים ומסוכנים כאלה ואחרים ו-ג. נושא הפרטיות של האזרחים הולך ותופס מקום, כתחום בפני עצמו שאנחנו צריכים להגן עליו כשמה שמנחה אותנו זה פרטיות, זה לא רק עבור מי שיש לו מה להסתיר אלא זו קודם כל זכות יסוד של כל אחד מאתנו להגן על המידע שלנו, כולל כזה שאנחנו נותנים באופן וולונטרי או לשימוש מסוים ולא לשימוש אחר וכו' וככל שהתחום הזה מתפתח, אז האחריות מוטלת על כל מי שמאגר מידע נמצא בידיו ואנחנו המקום שבאמת אמור לפקח על הדברים האלה ולכן באמת הצעתי, שנעשה איזה שהוא דיון שיישר קו ואולי זה יהיה באמת בסיס לדיונים נוספים.

אין ספק, תודה רבה שוב על הפניה ועל היוזמה ועל ההיענות שלכם בתיאום הזמן כי ראינו שזה נשא חשוב. אם נשאל השואל מה אתם אומרים, הרי רק לפני חודש היתה ועדה משותפת של ועדת המדע והטכנולוגיה וועדת הכנסת שדנה באבטחת מאגרי מידע ממשלתיים ואופן השימוש בהם, אבל אני רוצה לציין שהעובדה שאנחנו יושבים היום שלא כוועדה משותפת, צריך להגיד שהוועדה הזו היתה ועדה שהוקמה כוועדה משותפת לצורך בירור שימוש של מפלגות, כפי שקרה במפלגה אחת שנקנסה גם בעקבות שימוש במידע ורישומים של ניצולי שואה ועוד דברים כאלה, אבל אנחנו חשבנו שבהחלט יכולה להיות בעיה בין נניח שר במשרד לבין העובדים שלו, שבמסגרת העבודה שלו מקבל רשימות והן נגישות, אבל אחרי זה הזליגה של המידע הזה לשימושים מפלגתיים – רק לפני כמה ימים היו כותרות איך הגיעו הפרטים של - - - ממפלגת כולנו, במקרה הזה, על חשבון נטו משפחה ונקודות, אם זה נכון או לא נכון הכותרת היא בומבסטית.

אני הגשתי על זה שאילתה דחופה והיא תענה מחר במליאה ואנחנו נדע.

מחר, אז אם היה כאן שימוש או לא היה כאן שימוש, אבל הנושאים האלה זה היבט אחד שגם צריך לסגור אותו בתוך המשרדים, גם בדברים המותרים איך משתמשים. אנחנו באמת רוצים להתמקד בנושאים שאמרנו, שבסופו של דבר אי אפשר להסכים שגם שימוש שהיה מורשה אצל מורשה, אבל לא היה לו את כל ההרשאה, שמותר לו במקרה אחד להשתמש ודווקא בעלי תפקידים בכירים, שיש להם אפשרות הרבה יותר להשתמש במגוון שימושים והם גם פחות מבוקרים מטבע הדברים. אני מניח שיש ביקורת על עובדים יותר זוטרים, דווקא הבכירים ודווקא אלה שמורשים בהרשאות הרחבות יותר ולוקחים את המידע הזה שבמקרה אחד מותר להם אבל במקרה אחר לא מותר או שאפילו באותו מקרה לצורך העניין הזה מותר ולצורך עניין אחר לא מותר. הניצול שלא כדין, אני חושב שזה חלק מהדברים שאנחנו רוצים לשים עליהם את דגש והחלק הכי חשוב, למשרדים, אנחנו רוצים לראות לא רק מה עשו, כמה פיקוח, כמה דוחות היו, מה המקרים שהיו, כדי שנדע ללמוד מהענין הזה איפה, באיזה סדרי גודל ומה באמת נעשה.

נכון ורק עוד הערה אחת לגבי מה שציינת עם המקרה של מאגר ניצולי השואה, אני חושבת שזה מקרה שדווקא כביכול היה קנס, אבל אנחנו גם צריכים לתת את הדעת שיחסית לרווח הפוליטי שהיה – הקנס הזה הוא בטל, כאילו אפשר לדעת כמה שילמו על כל קול, סליחה, בבחירות מתוך ניצולי השואה.

או כמה עולה להגיע.

בדיוק.

אני רק אצטט חבר כנסת אחד שאמר – בתוך הפרוטוקול שיש פה – שבמקרה זה נהגו בסלחנות יתר והדבר מוביל לכך שגורם ההרתעה מפני שימוש אסור במאגרי מידע כלל לא קיים ולהיפך, הקנס הנמוך אף מדרבן את דבריו, קלות הגישה למאגר מפתיעה ועל כן החסם אמור להיות מרתיע ביותר. את זה אמר חבר כנסת שיושב כאן.

כן, אני חושבת שגם לזה אנחנו צריכים לתת את הדעת כדי לא להפוך את הקנסות לקניית קולות, פשוט כך, בחסות החוק.

זה נושא מסוים של מפלגות שיש להם גם גישה וזה גם יכול להשתלב בתוך הדיון, בסופו של דבר הוקמה וועדה מיוחדת לצורך העניין הזה, זה היה לפני חודש. אנחנו זה ועדה שנדון בזה באופן רציף וזה תחת המחויבות שלנו, החובה שלנו וגם תחת הסמכות שלנו. בבקשה, לימור שמרלינג.

תודה. עורכת דין לימור שמרלינג מגזניק, מנהלת מחלקת קשרי ציבור וממשל ברשות למשפט, טכנולוגיה ומידע. אנחנו הרשות שאחראית על אכיפה ורגולציה מכח חוק הגנת הפרטיות, החוק שקובע בעצם את המותר ואת האסור ואת מפרט ההתנהגות שצריך להיות למימוש הגנה על זכות היסוד לפרטיות.

אני אתמקד באמת במה קובע החוק לגבי גופים ציבוריים משום שהחוק חל על כלל המשק הישראלי, גם על המגזר הפרטי וגם על המגזר הציבורי וכמה דברים שגוף ציבורי חייב לעשות – זה כל ארגון חייב לעשות – הוא קודם כל לדעת איזה מאגרי מידע הוא מחזיק ועל מה הוא אחראי, כי לכל ארגון יש אחריות להגן על המידע האישי שהוא מנהל וזה ברור וזה קבוע בחוק. שימוש במידע אישי על ידי עובדים שלא למטרת העבודה שלהם, זאת אומרת שלא לטובת המשימה הציבורית של אותו גוף ציבורי, הוא אחד מההפרות החמורות יותר בחוק הגנת הפרטיות, היא גם עבירה פלילית חמורה ויש עליה גם סנקציות של קנסות, אבל גם בהחלט אכיפה של ענישה פלילית. כל ארגון, אחרי שהוא יודע בעצם איזה נכסי מידע יש לו ועל מה הוא אחראי, צריך למנות גם מנהל לכל אחד ממאגרי המידע שהוא זה שאחראי לממש את חובות הגוף, הוא אחראי למנות ממונה על אבטחת מידע – כל גוף ציבורי חייב במינוי ממונה על אבטחת מידע. אסור לגוף ציבורי לפרסם את המידע שהוא אוסף, המידע של האזרחים. מותר להשתמש במידע הזה רק לטובת מתן השירות לאזרחים, יש כן, כמו שציין יושב הראש, אפשרות להעביר מידע בין גופים ציבוריים אחרי תהליך בקרה מאד משמעותי, כדי לאפשר את העבודה הממשלתית החלקה ואת שיתוף המידע, אבל זה כמובן בא אחרי הכלל של איסור פרסום של מידע ציבורי.

עוד דבר שחשוב לדעת הוא שבמאי האחרון, הכנסת הזו אישרה יוזמה של הממשלה ושל שרת המשפטים ואושרו תקנות אבטחת מידע חדשות, תחת חוק הגנת הפרטיות, מתוך המוטיבציה של הגנת הפרטיות ובתקנות האלה כבר יש חובות הרבה יותר מפורטות ומעודכנות, מה צריך לעשות כל ארגון שמנהל מידע אישי, אבל כמובן גם הגופים הציבוריים והגופים הציבוריים נחשבים מראש, בברירת המחדל בתקנות, כגופים שמנהלים מידע ברמת סיכון לפחות בינונית ואפילו גבוהה ומבחינת החובות שחלות על גוף ציבורי, אתם יכולים לראות שחלקן, כמה וכמה מהן ממוקדות בנושא הזה של בקרה על פעילות של עובדים.

זאת אומרת, לכל ארגון צריך להיות נוהל הגנת מידע – נוהל כתוב, שיפרט מה מותר, מה אסור, איך עובדים ומה עושים כדי שכל עובד בארגון יוכל לדעת מה מצופה ממנו ומה הוא צריך לעשות ומה אסור לו לעשות.

הארגון צריך להעביר הדרכות לעובדים – זאת אומרת שכל משרד ממשלתי או גוף ציבורי צריך להדריך את העובדים שלו, כדי שהם ידעו מה מותר ומה אסור, כדי שאי אפשר אחר כך להגיד: לא ידעתי.

צריכה להיות פעילות של זיהוי ואימות גישות למידע – ככה שנוכל להוציא, באמצעות מערכות המיחשוב, רשומות ולדעת לרשומה הזו ניגש עכשיו העובד הזה ואפשר יהיה לבצע בעצם את הבקרה הארגונית ולשאול – האם הוא היה רשאי לגשת למידע או לא רשאי לגשת למידע.

חלק מהניטור והתיעוד הזה גם מאפשר לראות אם פתאום יש איזו שהיא פעילות חריגה, אם למשל עובד ברשות מסוימת רואים שהוא מוציא פתאום כמות מאד גדולה של מידע שהיא לא פרופורציונלית למה שהוא צריך לצורך העבודה שלו, אז אפשר לעלות על זה. הגורמים במשרד שאחראיים על אבטחת המידע יכולים לזהות את זה ולפעול ולטפל בזה.

יש גם חובה לעשות בדיקות מהימנות לעובדים – זה במיוחד חשוב במקומות בהם יש עובדים בכירים או עובדים עם הרשאות גישה מאד רחבות למידע, אבל בכלל, כל העובדים שיש להם נגישות למידע, יצטרכו לפי התקנות לעבור בדיקות מהימנות.

יש חובה לעשות סקרי סיכונים, פעם ב-18 חודש לפחות – הסקר הזה, חלק מהסיכונים שהוא עשוי להעלות זה למשל: יש לנו פה עמדות מחשב שיש בהן גישה רחבה מידי למידע לעובדים שלא צריכים את המידע הזה, בואו נצמצם, בואו נסגור, בואו נקשיח את עמדות הקצה וככה נמנע שימושים לרעה או לפחות את חלקם.

עוד דבר חדש וחשוב בתקנות הוא שיש חובה לדווח על אירועים של גישות לא מורשות למידע אלינו – לרשם ההגנה על המידע שברמות, כדי שאנחנו נוכל במקרים המתאימים לממש את סמכויות האכיפה שלנו, ולנקוט בהליכי אכיפה מנהליים או פליליים, מה שמתאים במקרה. החובה הזאת נכנסת לתוקף במאי 2018 ולכן כרגע, אנחנו מעת לעת מקבלים ידיעות כאלה מגופים ציבוריים או בדרכים אחרות, אבל אין חובה כוללת על כלל המשק לדווח, היא מתחילה במאי 2018 ואז יהיו לנו הכלים לאכיפה.

כולל משרדים ממשלתיים?

כולל גם משרדים ממשלתיים, כן.

בכל תחום של שימוש, גם אם זה רק עילה פנימית, לא פלילית, גם לא תחת הסמכות.

גם אם זה לא פלילי, עדיין זה יכול להיות במסגרת הפעילות המנהלית שלנו של הפיקוח, אם יש אירוע אבטחה בגוף ציבורי – אירוע אבטחה מוגדר בתקנות, אירוע שבו יש גישות לא מורשות למידע או הוצאה גדולה של מידע שהיא לא מורשית - יהיה חייב בדיווח אלינו לרשות.

זה הכל טוב ויפה, אבל מה קורה עם זה בפועל, כי אחד הדברים שאנחנו יודעים זה שיש- - -

זה בעתיד.

לא, זה בעתיד, אבל מה שאמרת קודם זה כבר קיים.

אני אגיד מה קיים היום.

יש דוח שאתם כותבים שאמור להיות מונח על שולחן ועדת החוקה, אם אני לא טועה, כל שנה.

- - - התכניות החדשות. יש דוח רשם מאגרי מידע שמוגש לוועדת חוקה כל שנה על פעילות הפיקוח והאכיפה ובכלל, על כל הפעילות שלנו.

השנה לא הוגש.

עדיין לא.

גם שנה קודמת, האחרון זה 2015?

הוגש, לא, 2016. סליחה, 2015 הוגש ב-2016 ועכשיו בקרוב אנחנו מגישים את הדוח של 2016.

מי אחראי על הפיקוח? המנהל הכללי או שזה אותו ממונה שיש לנו על מאגרי מידע?

זה גם וגם, משום שזה באמת עניין של תרבות ארגונית וההיקפים הם עצומים. כמות הגופים הציבוריים ובכלל, כמות הארגונים במשק שמנהלים מידע אישי היא עצומה, זה ברור שהעבודה קודם כל צריכה להיות הטמעה של הכללים ושל העקרונות של מערכות הניטור והזיהוי בתוך הארגונים עצמם. הרבה מהעבודה שאנחנו עושים – ותהיה גם בשנה הקרובה בעקבות התקנות – היא הטמעה והדרכה כדי שגופים יפעלו בהתאם לתקנות. העבודה הזו לא יכולה להתבצע רק על ידי זה שנאכוף את ההפרות, אלא היא צריכה להתבצע בצורה סיסטמתית לאורך כל הזמן.

רק לפני שאת עוברת לשקף האחרון, בדיקת מהימנות לעובדים, כולל קיימים. את זה הבנו, אבל באיזה רמות, יש לזה הגבלה? אנחנו היום – הצעת חוק שמתקיימת בכנסת, היום גם במשטרה, לבכירים ביותר כולל ניצבים, בדיקות כאלה ואחרות, אנחנו מבינים שהיום זה הדרך, האלה היא כשאתם אומרים לעובדים – זה גם מנהלים או שרק עובדים?

גם מנהלים הם עובדים, הקביעה איזה סוג של בדיקה צריכה להיעשות היא תלוית מקרה. זה תלוי בסוג המידע בארגון והרגישות שלו, זה תלוי במה העובד מורשה לעשות ובדיקות המהימנות צריכות להיות מותאמות, אבל הן חלות על כלל העובדים בארגון. כלומר כלל העובדים שיש להם נגישות למידע, שהוא מידע אישי, שצריך להגן עליו. אם יש עובד שהפעילות שלו היא אחרת- - -

מי קובע את הכללים?

אין לזה כללים מפורטים בתקנות, זה משתנה מארגון לארגון.

אנחנו ישבנו לפי החוק הביומטרי וגם תמר היתה אתנו ביחד, שמה לעובדים שאחראיים על המאגר הביומטרי יש בדיקת מהימנות, בדיקה ברף הגבוה ומפעם לפעם ועוד סדרת בדיקות ששם נמצא דברים ביטחוניים מסווגים מאד, אבל אנחנו מדברים בשוטף, לאו דווקא בנושא הביומטרי שהוא תחת הפוקוס, אנחנו מדברים על עוד מאגרי מידע גדולים – מי קובע באיזו רמה, מה החשש, איזה מנהלים?

אני חושבת שיש כאן עוד כמה אנשי מקצוע בתחום הזה שאחראיים על הנושא בממשלה, אז אנחנו ניתן להם גם להמשיך. אני רק אגיד שבשנה האחרונה הקמנו, אצלנו ברמות, פורום הגנה על פרטיות במגזר הציבורי, חברים בו כבר למעלה מ-130 עובדי מגזר ציבורי, גם משפטנים וגם אנשי מערכות מידע שבהתכנסויות שלו ובתקשורת המקוונת שלו אנחנו מדריכים, מסבירים, מעבירים הנחיות, מעבירים מסמכי הכוונה – כדי שהגופים הציבוריים ילמדו יותר על הגנת הפרטיות, ידעו יותר טוב איך ליישם את החובות של חוק הגנת הפרטיות, יכירו את תקנות אבטחת מידע בצורה יותר מעמיקה. אנחנו חושבים שזאת הדרך הראשונה שצריך לנקוט בה, עוד לפני שמדברים על אכיפה. אכיפה מתאימה למקרים חמורים, אבל בפירוש צריך קודם כל ליידע אנשים. אני גם חושבת שהעובדה שארגונים, כמו שצוין כאן, בודקים את עצמם, מאתרים עובדים שפעלו שלא כדין, מממשים דין משמעתי או ארגוני או דין משמעתי באמצעות נציבות שירות המדינה, זה חלק מהמערך הכולל של הטמעה של הכללים האלה בארגונים.

טוב, תודה רבה. גדעון קונפינו מרשות התקשוב הממשלתי, בבקשה.

שלום אדוני היושב ראש וחברי הכנסת, שמי גדעון קונפינו, אני מנהל היחידה להגנת הסייבר בממשלה ברשות התקשוב הממשלתי. אני קצת ארחיב על מה שלימור אמרה לפני, התהליכים בממשלה הם תהליכים ארוכי טווח, אבל הגענו לכל משרדי הממשלה כדי להטמיע אותם. כלומר, כל משרדי הממשלה- - -

היחידה להגנת הסייבר היא לא רק חיצונית, היא גם בשימושים פנימיים?

נכון.

לא, לא מחשש של זליגת מידע, זאת אומרת אתם גם אמונים על הנחיות, כגוף מנחה גם על שימושים בתוך המשרדים, בלי חשש שזה יזלוג, שמישהו יכנס מבחוץ – אלא עובד שמורשה, מתי הוא מורשה ומתי הוא לא מורשה, במסגרת העבודה ולא מחשש שיצא החוצה, בסמכות שלו, לא מעבר לזה?

אתה מדייק, אדוני יושב הראש, הגנת הסייבר היא בעצם הרחבה של תחום אבטחת המידע. אבטחת המידע מדברת על שכבות הגנה והגנת הסייבר רואה את זה בצורה קצת יותר רחבה. היא גם מסתכלת על מודיעין בתחום הזה, מסתכלת גם על מערכות שהן לא מערכות מידע, אבל כשאנחנו מדברים על הגנת הסייבר אנחנו מסתכלים על תחום אבטחת המידע גם בתוך הארגון וגם מחוץ לארגון. אם אנחנו מדברים על האמצעים שצריכים להעשות ומשרדי הממשלה – עוד מעט אני ארחיב קצת – הם לא מקשה אחת, הממשלה היא כמו חברת אחזקות שיש בה משרדים ברמה גבוהה של הגנה, בגלל שהם צריכים את זה ומשרדים שהם קצת פחות.

יש שתי רמות להסתכל ברמת אבטחת המידע, קודם כל בפריבנשן- מניעה, כלומר מניעה להגעה למידע והחלק השני הוא בעצם הדיטקשן – הגילוי, הגילוי של שימוש לא נאות. מה שעלה כאן בשאילתה זה על אנשים שיש להם הרשאות והם עושים שימוש לא נאות בהרשאות שניתנו להם. כתוצאה מזה, גם הקמנו תשתיות מרכזיות שהן בהתהוות, למשל משרד האוצר כבר מחובר לניטור מרכזי של אירועי אבטחת מידע כדי שנוכל לראות את האירועים כשהם קורים ולהתריע בפני האנשים הרלוונטיים בארגון. הכוונה שלנו יהא לחבר בצורה הדרגתית את כל משרדי הממשלה למערכות טכנולוגיות כאלה ובנוסף לזה, עשינו תשתית ארגונית ככה שיש ממונה על התחום – הבאנו את זה לישיבת מנכ"ל, כלומר יש ועדת היגוי בכל משרד שדנה בתחום הסייבר ואבטחת המידע- - -

יש תקנים יעודיים לאבטחת מידע, אנחנו רוצים להתמקד עכשיו, סליחה, בישיבה הזו יותר לשימושים פנימיים, האם יש כללים גם בנושא הזה? איך מגדירים סמכות, מה צריכה להיות הסמכות ושהיא לא גולשת, איך בודקים את הדברים, איך מפקחים על הדברים האלה, איך יודעים שמישהו גולש? האם יש לכם הנחיה כוללת, קביעת כללים?

כל גוף מגדיר לעובדים שלו את הרשאות הגישה לפי צורך העבודה שלהם. עכשיו, הבעיה היא באמת באנשים שצרכי העבודה שלהם מאפשרים להם גישה רחבה- - -

הגוף עצמו קובע?

הגוף עצמו, המנהל העסקי בגוף קובע איזה אנשים צריכים לגשת למידע.

איזה אנשים ומה המידע שצריך.

לשם העבודה.

זאת אומרת יכול להיות שהייתי בא להתווכח אתו או גוף מקצועי – תשמע, למה אתה מאפשר כל כך הרבה, בשביל מה לצורך העבודה הוא צריך גם זה וגם זה? אם ירצה משהו באופן חורג שיקבל אישור ממך, אין מי שעושה את זה – כל מנהל קובע לעצמו את השפה שלו ואת האזור שלו לפי חשיבה שלו.

קודם כל ההרשאות ניתנות על ידי המנהל. הבקרה נעשית על ידי סקר סיכונים שנעשה על ידי גוף אבטחת מידע בארגון, ויכול לבדוק תוך כדי תהליך הסקר אם יש הרשאות עודפות או שימוש לא נאות או הליכים כאלה.

עושים את זה?

כן, משרדי ממשלה עושים סקרי סיכונים.

מי יענה על זה, אתה?

יש משרדי ממשלה שלא רק שעושים סקרי סיכונים, אלא גם עומדים בתקן של מכון התקנים הישראלי בנושא אבטחת המידע, כלומר גם גוף חיצוני, חוץ ממשלתי, בודק אותם כדי לוודא שהתהליכים מתקיימים.

אחרי זה נשמע על רשות המיסים, זה בא מתוך בקרה פנימית?

שם זה בקרה פנימית.

תכף נגיע לזה.

ברשות הגבייה והאכיפה למשל הם עומדים בתקן של מכון התקנים, רשות התקשוב- - -

גדעון, תכף נשוב אליך, אבל אני רוצה לתת לפרנקו ואחרי זה עוד כדי שיהיה זמן ואולי בסוף נוציא סיכום. בבקשה.

רפאל פרנקו, ראש אגף בכיר להסדרה והכשרת המשק, הרשות הלאומית להגנת הסייבר, צהרים טובים. כשאנחנו מסתכלים על ארגון ואנחנו סוקרים את כל הסיכונים שבו, החל מבחוץ וכלה מבפנים ואנחנו רוגע רוצים, היום ספציפית, להתמקד בעובד שיכול לעשות נזק, אז הוא כמובן יכול לעשות נזק לפרטיות, אבל הוא יכול לעשות עוד המון סוגי נזק, החל מריגול, המשך במידע שהוא מידע לא פרטי – מידע על תכניות עסקיות, ציבוריות וכו' וכו' וכו'.

אז אנחנו מזהים כמה סוגים של הגנות, רגע לפני זה אני יכול להגיד שרק פרסמנו לפני כשבועיים את תורת ההגנה בסייבר לארגון, אני הבאתי את המסמך ואפשר להעבר לחברת הכנסת וליושב הראש, לעניין ולהבין עד כמה הוא באמת יורד לרזולוציה של כללי "עשה".

זה לרשות ציבורית?

זה ממשלתית, כן, יחידות סמך וכל השאר כמובן וולונטרי. אנחנו מסתכלים ורואים כבר כמה חובות שקיימים למספר ארגונים, עוד רגע לפני תורת ההגנה הארגונית. אז קודם כל, כל ארגון במדינת ישראל ודגש על ממשלת ישראל שהוא תמ"ק – תשתית מדינה קריטית – חייב לעבור גם רמת מהימנות לעובדים שלו.

מה זו תשתית מדינה קריטית?

תשתית מדינה קריטית זה תמ"ק, תשתית שבלעדיה המדינה לצורך העניין לא תשרוד. חברת חשמל, מים, גז טבעי.

אנרגיה, גז.

עד משרדי ממשלה שהשירות החיוני שלהם הוא חיוני לציבור, למשל גביית מיסים שאחרי זה גם יגעו בנושא הזה, מן הסתם חשוב, רשות האוכלוסין- - -

זאת אומרת זו השדרה המרכזית של- - -

שדרה כבדה, רשות האוכלוסין למשל שדיברנו עליה קודם. זה חשוב כי הגופים האלה, מן הסתם, אוצרים מידע מתוקף תפקידם כנותני שירות, אפשר לומר לכל אזרח במדינת ישראל. לכל השאר היום, אלה שלא מחזיקים מידע מסווג או שהוא אינו ארגון תמ"ק, עידן לא ניתן להחיל עליו סינון בטחוני על פי הוראות נציבות שירות המדינה. לכן אנחנו בוחרים, בהקשר הזה, טכנולוגיה ואנחנו בוחרים בכמה מאגרי אבטחה. הדבר הראשון, ברשותכם, זה משאבי אנוש, כל עובד שנקלט לארגון היום בשירות המדינה חייב לעשות שני תהליכים. אחד, מעבר לזה שהוא חותם על כל נושא של שמירת סודיות, גם התפקיד שלו מחויב להיות בעל הערכה עד כמה הוא רגיש וחשוף למידע. כלומר, אם אני בתפקיד רגיש כבר מחילים עלי כללים שהם כללים נוספים.

יש מידע שהוא לא מסווג?

כן.

השאלה אם אתם- - -

בטח.

יש מידע שנמצא- - -

בטח, רוב המידע הממשלתי הוא לא מסווג.

אני לא מדבר עכשיו על השירות של המידע הזה, אני לא מדבר על מידע שנותנים לציבור, אני מדבר אתך על מידע שיש על הציבור.

רוב המידע הממשלתי בשירות המדינה הוא לא מסווג, אדוני.

שאני אבין, המידע שיש בביטוח לאומי, לדוגמה- - -

הוא רגיש.

אולי מבחינתך הוא לא- - -

לא, הוא לא מסווג בטחונית, אני אעזור לפרנקו.

רשימת ניצולי שואה, הוא אולי לא מסווג בטחונית ומבחינתך זה אולי לא חומר שידלוף למישהו ויעשו בזה דבר, אבל יכול להיות מידע שהוא מידע שאנחנו מאד רוצים להגן עליו.

כן, בוודאי זה מידע רגיש לפי חוק הגנת הפרטיות וזה גם יכול להיות מידע חסוי, לפי הסיווג האזרחי הממשלתי. פרנקו מדבר על הסיווג הביטחוני.

רשימת ההורים ששולחים למשפחתונים, אני רוצה להגיד לך דוגמה של נושא, קשה לי עכשיו, אני מבין שרישיון נהיגה זה גם, אבל מאגרים שהם גם פרטיים, אבל גם יכולים להיות להם שימושים, השאלה אם אתם אצלכם גם מסתכלים על הדבר הזה.

וודאי, אמרתי, אנחנו מתואמים עם רמות באמת בצורה טובה וגם החוברת שהעברתי מתואמת בצורה טובה ומעלה עם שאר הגופים.

אבל אני שואל אותך, תגיד שזה לא דברים בטחוניים, למה אתה צריך את זה? יש קצת סתירה בעיני בין מה שאמר גדעון לבין מה שאתה אומר, להרגשתי. גדעון אומר: לי יש הכל, גם הנחיה על דברים, כל הפרטיות אני מגדיר הכל ולא מתעסק רק בהגנה על הסייבר, הכל צריך להיות. אתה בא ואומר, מחשש, שלך יש חשיבה, היעד שלך, אלו דברים שהם לא צריכים לדלוף, אבל יכול להיות שמבחינתך דברים שהם מידע או נניח הרי שרשימה של הורים שנמצאים במשפחתונים וצהרונים. אתה לא רוצה שהמידע הזה יזלוג החוצה – אז לזה אתה עושה הגנה, אבל בתוך המשרד יכולים 200 איש לגעת במידע.

אני רשמתי לי, הבנתי לאן אדוני מכוון.

מי יענה לי על מרכבה?

אני אענה לך על מרכבה, זו תשתית קריטית.

אחר כך תענה על הכל, מרכבה אני חושב שזה אחד ממאגרי המידע שיש שהם הרבה דברים, היא מכילה בתוכה המון המון מידע. אם אתה שואל אותי, עובד ממשלתי שאני מכיר מכיוון שיש לו גישה לדבר הזה והוא, בשיחה כשאני שאלתי אותו בעניין הזה בגלל שזה תחום שאני מתעסק אתו, אתה יודע כמה עובדים וכל מה יש להם גישה מרכבה – כשהוא צריך להכין משהו יש לו כבר כבר גישה גדולה מאד בכל המשרד והרבה מעבר לזה בגלל שהוא ממונה על משהו, הוא צריך להכין, יש לו חשבוניות, אבל מכאן הוא קיבל גישה ואף אחד לא מגביל אותו, ככה ההרגשה בכל אופן.

אני בכוונה, כיוון ששאלת ואני מבין לאן אתה מכוון ראשית אני אגיד ככה, גדעון והרשות מתואמים, אגב, גדעון זה גוף מונחה על ידי הרשות ולכן אנחנו מתואמים באופן מלא. אני רוצה לגעת ברשותך בכמה מעגלים וככל שתאשר לי ותאפשר לי אני אצלול פנימה. אחד זה כל נושאי משאבי האנוש – אמרתי, קליטת עובד. השני זה שיהוי, איך אתה מזהה גישה להוצאה של מידע רגיש, למשל סתם לדוגמה, האם עובד שיש לו הרשאה, אם הוא מדפיס 50 עותקים אם מקבל התראה. למה? כי 50 עותקים זה לא משהו בפעולה הסבירה שלו. אני ממשיך הלאה, האם יש יש לו גישה כפולה מאובטחת, כך שמישהו אחר לא יכול, אם הוא עזב רגע את החדר, להתחבר לו לעמדה. זאת אומרת לא מספיק רק סיסמה אלא הוא צריך למשל גם תג. האם למשל יש לי הפרדה בין תחומים – למשל, אני עובד משאבי אנוש, למרות שיש לי גישה ואתה עובד בתפעול, אנחנו נפריד את ההרשאות שלנו.

גם בהנחיות, אנחנו נותנים את ההרשאות המצומצמות ביותר לצורך העיסוק של העובד. אנחנו מנטרים את המשתמש, למשל מחוץ לשעות העבודה. אם אדוני פתאום רוצה להתחבר ב-7, 8 בערב – למה? כלומר, קודם כל אנחנו מנסים לייצר דרך המערכות את המדפס הקבוע הארגוני ואחרי זה התשתיתי של אותו תפקיד. כמובן שכל הנושא של תיעוד וניטור, באזורים שבהם – יוכלו לעמוד על זה אחרי זה גופים ממשלתיים אחרים – שבו יש גם חשש לכל הנושא של הונאה, יש גם גופים במשק הישראלי, בממשלה, שהטמיעו מערכות למניעת הונאה. כלומר, הם מזהים חריגות מדפוסים שהגדיר להם מנהל הגנת הסייבר, יוכל לגעת בזה אחרי זה אורן מרשות המיסים, סך הכל הפעולה שהם עשו זו בדיוק הפעולה המצופה. כשקופץ משהו, אתה תופס, כי טבע האדם מתקשה לשנות, אבל בוודאי באמצעות מערכים טכנולוגיים וההוכחה שמעגלי ההגנה האלה שתארתי, במקרה דנן, היו פעילים.

אורן, אתה רוצה להרחיב?

כשנגיע אלי, אין בעיה.

הוא אחריך.

מעולה. בהמשך כמובן ביקורות, גם ביקורות חיצוניות של הרשות- - -

אוקיי, אתה רגוע?

אני אף פעם לא רגוע, משלמים לי כדי לא להיות רגוע.

אני חוזר ואומר, אני רוצה לשמוע את התשובה שבעצם אין מידע היום שאתם חושבים שהוא לא צריך להיות מוגן.

אני אומר ככה- - -

חוץ ממידע שהוא באמת לציבור, במקורו. מידע שצריך כמו זמני קבלת קהל, מסמכים, טפסים, אנחנו רוצים שיהיה כמה שיותר, אבל מידע שהוא מאגר מידע אישי, פרטי, גם לפעמים מחקרים כאלה או אחרים- - -

אני אומר בזהירות הראויה, גם רמות וגם הרשות הניחו תשתית מקצועית שניתן בעטיה להגן על האדם שרוצה לייצר הונאה או להדליף מידע. זה תהליך, תהליך של הממשלה, יותר ויותר ארגונים ויותר ויותר יחידות רוכשות את הטכנולוגיות. בגופים עתירי מידע כבר יש את הטכנולוגיות.

אוקיי, אני חושב שאחרי שניתן לגופים אחרים לדבר יכול להיות שנרצה לחזור אליך, נציג רשות המיסים לא רשום לי שם ותפקיד.

צהרים טובים, אורן בן שבת, מנהל אגף בכיר – חירום, ביטחון, מידע וסייבר ברשות המיסים.

אתה רוצה גם להתייחס למה שחברת הכנסת זנדברג העלתה? אתה מכיר את המקרה שזה אולי המחולל של הדיון שלנו?

כן, אני מכיר היטב בתור מי שהיה בין צוות החוקרים באירוע הזה. אני אתחיל בזה שבאופן כללי נושא השמירה על המידע ברשות המיסים מורכב מכמה רבדים, הראשון הוא המשפטי – כל המסגרת החוקית של העשייה בתחום הזה, החל מחוק הגנת הפרטיות וחוק המחשבים וחוקי המיסים השונים שמטילים חובת סודיות על הרשות בשימוש במידע, תקנות שונות וכמובן התקשיר ומתחת לכל זה יש נהלי עבודה שנובעים מתוך מדיניות ארגונית, מדיניות אבטחת המידע של רשות המיסים וכל הדברים האלה מוטמעים דרך סדרה שלמה של כלים – ניגע לפחות בחלק מהם. רובד נוסף הוא רובד טכנולוגי, הרובד השלישי הוא רובד נהלי והאחרון הוא אכיפתי, שכשקורה אירוע – איך הוא מטופל.

באופן ספציפי, האירוע שחברת הכנסת זנדברג תארה בפתיחה, הוא אירוע שהתחיל בבקרה פנימית של רשות המיסים- - -

שגרתית או בגלל מידע שהיה לכם?

לא בגלל מידע, כחלק מתכניות העבודה.

כלומר שגרתי.

כן, זה חלק משגרת העבודה, יש סדרה שלמה של בקרות ואני אוכל גם להרחיב קצת יותר, איך אנחנו עושים את הדברים. אני ארצה להתייחס לכמה שאלות ששאלתם בפתיחה- - -

בבקשה, חשוב לנו מאד.

האם יש כללים בנושא? קודם כל יש כללים, סקרתי ממש בקצרה את המסגרת החוקית של העבודה והפעילות בתחום הזה ואנחנו מפרסמים את כל נהלי אבטחת המידע וכללי השימוש במאגרים לכל העובדים ברשות. הפרסום מתבצע גם בתוך השימוש במערכות המידע, כל עובד שמזדהה מחדש לתוך מערכת המידע התפעולית רואה מול עיניו מסך אזהרה – שאם תרצו יש לנו פה דוגמה איך הוא נראה – שמזהיר אותו שהשימוש במידע חייב להתבצע לפי החוק, בהתאם לכללים ואם לא הוא צפוי לסנקציות וכן הלאה.

מה היה שנדבר עליו, רק שנבין את התהליך או מה קרה. היה שימוש של עובדים במידע שלצורך העבודה או למשהו חיצוני?

הבקרה העלתה אכן כמות, מבחינתנו, לא קטנה של עובדים שנכנסו בתוך המסגרת המותרת להם לצורך העבודה, לישויות וביצעו את אותן שאילתות על ישויות שאסור היה להם לבצע. צריך לומר שבאותה עת טרם הטמענו מערכת מובנית טכנולוגית, כמו שפרנקו הזכיר- - -

לא לצורך חיצוני, אלא לצורך קידום העבודה שלהם.

אנחנו היינו בתהליך הטמעה של מערכת ניטור ובקרה שבתקופת הבקרה עוד לא פעלה. לפחות לא פעלה כמו שצריך עדיין והבקרה העלתה שאכן היו פעולות שאנחנו אוסרים לבצע, כי מעצם ההגדרה וכל עובד עובר הדרכה גם כתובה וגם פרונטלית, לפחות אחת לשנה, כל עובד בארגון עובר את זה וגם מודגש, בין היתר, שהשימוש במאגרי המידע נועד לביצוע העבודה בלבד. במקרה הזה גילינו שבאמת היתה אוכלוסייה שלא עשתה את הדברים האלה כמו שצריך והם כולם נחקרו וננקטו נגדם הליכים משמעתיים.

אני שואל, אני באמת לא בקיא בכללים, אבל נניח לדוגמה לצורך חקירה של מישהו בעבירת מס ברשות המיסים אתה רוצה להגיע למידע או להשלמת החקירה או בכלל כדי להגיע לנקודת החקירה שאתה רוצה להגיע – אתה רוצה לדעת על החברים של הנחקר כי אולי זה ייתן לך פתח לפתוח את החקירה שאתה רוצה. אתה לא יכול לעשות את זה כי אין לך סמכות, כשאתה חוקר אותו אתה לא יכול לחקור את החברים שלו, אני סתם מניח הנחה – אם היא נכונה או לא זה לא משנה, רק לשם הדוגמה, כאילו מקרה שזה לא אותו אדם אלא אתה הולך למשהו אחר. זה הוא יודע שאסור לו? העובד יודע? כשהוא היום עושה את זה הוא עשוי לעמוד תחת הביקורת בגילוי שלך שהוא עשה את הדברים, הוא עלול להשאל למה עשית את זה? איך עשית את זה? לצורך מה עשית את זה? באיזו סמכות עשית את זה?

באותו אירוע- - -

אתה יכול להביא דוגמה אחרת.

וגם, אם אני יכולה להוסיף שאלה, בעצם כל עובד, זוטר כבכיר, חשוף כל המידע בכל תיק?

לא לא, ממש לא.

זה מה שאמרו קודם – שלא.

לא, פשוט- - -

אני מסביר איך.

הוא אומר שאם למשל בגבול המידע שמותר לו, שחשוף לו- - -

אז איך הוא יכול להשתמש בו, אבל עדיין אולי צריך לעשות איזו שהיא דיפרנציאציה אחרת.

גם הוא וגם רפאל דיברו על כך שאנחנו עושים רבדים של מידע.

אבל מה הרבדים האלה? אולי הם לא מפולחים נכון?

כל מנהל במשרד שלו הוא קובע, אם יש מנהל שאומר- - -

כן, אולי צריך רמות אחרות?

יש ברשות המיסים שיטת עבודה לפיה בעל תפקיד מקבל את אותן הרשאות אליהן הוא נדרש במסגרת התפקיד שלו. הדבר הזה מוגדר בשיתוף פעולה בין היחידות המקצועיות שמכירות את מאגרי המידע ויודעות מה הערך המקצועי ומה נדרש, לבין תחום אבטחת המידע שלמעשה מנחה בתוך הארגון את הנושא הזה. זה גם עובר ביקורת משפטית בתוך הארגון ובסופו של דבר, מה שאנחנו מאפשרים לעובד לגשת מגובה בצורה טכנולוגית. כלומר לי, לצורך העניין, יש סדרה של שאילתות שמותר לי לבצע ומה שלא מותר לי – אני לא יכול לגשת, השאילתות פשוט חסומות.

מאיזו שנה זה ככה?

זה מאז ומתמיד.

למשל, אתה יכול לתת לנו איזו דוגמה, עובד בדרגה של חוקר ברשות המיסים, שאמור לחקור תיקים של איזה חקירת מס. איזה מידע בהרשאה הנמוכה, הסטנדרטית נקרא לזה, הוא חשוף אליו?

אני לא רוצה להטעות פה את הנוכחים, אז אני לא רוצה להתייחס באופן ספציפי, אבל אפשר לבדוק את זה. אנחנו יכולים להביא את הנתונים האלה, אבל אני אומר שוב שמדובר בתהליך עבודה שבסופו- - -

כולנו יודעים שלהרבה הרבה מידע.

כן.

הוא כמעט יכול- - -

נשאל את זה אחרת, בין העובד הזוטר לעובד הבכיר – מה פערי המידע, מה הם הדברים הרגישים שרק עובד בכיר – ודרך אגב, מהחקירה שלכם עלה שגם עובדים בכירים מאד היו שם.

היו כמה בודדים.

השימוש לרעה הוא אקרוס דה בורד, אבל אני שואלת נניח, בכל זאת ככל שעולים שהיררכיה אנחנו רוצים לחשוב שהועבד מפעיל שיקול דעת ויש לו יותר סמכויות ויותר אחריות וזה בסדר. מה הפער במידע בין העובד הסטנדרטי לעובד הבכיר? למה העובד הבכיר יוכל לגשת, לאיזה מידע רגיש שהעובד הזוטר לא? למשל, לא אחד לאחד. דוגמאות.

שוב, קשה לי באמת לתת כרגע דוגמאות קונקרטיות כי לשאלה הזו לא נערכתי מראש, אבל חשוב לי לציין שהאירוע שאנחנו מדברים עליו, אותו אירוע חקירה, לא נגע כלל למקרים האלה, אלא דובר בעובדים שלנו שביצעו שאילתות על רקע אישי, כלומר לעזור לקרוב משפחה, להגיש איזה דוח או דברים בסגנון הזה. אנחנו אוסרים את הפעולות האלה וגם חשוב לומר שלא עלתה בשום חקירה אינדיקציה שמישהו מהעובדים האלה סחר במידע או עשה משהו כזה, אלא זה היה ממש- - -

אלה דברים שמובן מאליו, זה קיים בהרבה ארגונים- - -

לא, עולה כאן שאלה, אם המידע מוגבל רק לרובד, אז בעצם למה, סתם לדוגמה עובד שיש לו 100 תיקים למה הוא לא מקבל בעצם הרשאה רק ל-100 תיקים האלה? למה הוא יכול לקבל את אותו מידע, כולל תיקים של עצמו, הרי הוא לא חוקר את עצמו.

זה לא מדוייק- - -

למה בכלל יש גישה לעובד לתיקים של עצמו ושל בני משפחתו אם הוא לא חוקר, זה לא בהגדרת התפקיד שלו עכשיו לחקרו את בני המשפחה שלו?

קודם כל עובד לא יכול לחקור את בני המשפחה שלו.

בדיוק, אז למה הוא יכול לגשת למידע לגבי בני המשפחה שלו?

אני אתן לך דוגמה לא מרשות המיסים, אני מכיר מקרה שהיה ואני חושב שזה טופל טוב במקרה, במשטרת התנועה. עובד במשטרת התנועה רצה באופן טבעי לעזור, אבא שלו רצה לברר על דוח תנועה – ברור שיתכן והיה מקבל את אותו מידע אם זה לא היה אבא שלו, זה לא מידע סודי. העובד נכנס ועובד רשאי להיכנס- - -

זו השאלה, למה העובד רשאי?

הוא רשאי להיכנס לכל דוחות התנועה.

זו השאלה, למה?

כי הוא פועל בכל דוחות התנועה, יתכן וצריך היום- - -

אבל חקירה של רשות המיסים- - -

העובד הזה באמת פוטר רק בגלל שהוא עשה משהו שלא היה עבירה, אבל לקח מידע שלא היה תחת סמכות.

אז יכול להיות שבפני עיוור לא תשים מכשול ולא צריך לאפשר.

יכול להיות, אני חושב שאת צודקת, צריך יותר ויותר בגלל שהיום יש כל כך הרבה מידע והקלות והנגישות צריך לשים יותר חסמים. אני רוצה להספיק לתת לאנשים אחרים, אם אתה רוצה להשלים בעניין הזה, אבל מה שעולה מדבריך זה שלא היה לצורך פלילי, זה היה מידע פנימי שלצורך אישי וברירו, גם אם לפי חוק הוא לא עשה עבירה בזה שהוא הוציא את השומה או משהו, לא מידע סודי שהיה מאיזו חקירה שהייתה אמורה להתבצע. אדם הוציא מסמך שיתכן ובעל המסמך היה מבקש ומקבל את זה, אבל התפקיד שלך הוא לא פניות ציבור- - -

נכון ואנחנו עדיין התייחסנו בחומרה.

אני עדיין לא שמעתי ממך ודווקא אני שואל אותך מרשות המיסים שזו רשות שבאמת יש לה הרבה מידע והאופן שיש לה להגיע למידע לצורך הבירורים שלה, וודאי לפקידים בכירים ברשות, האם היו מקרים שמישהו פעל ללא סמכות? שאם זו היתה הלבנת הון אז מותר היה לו להגיע למידע הזה, אבל אם החקירה היא לא על הלבנת הון – אז הוא לא יכול להגיע, אבל הוא בכל מקרה רצה משהו שהוא לא יכול לקבל, זו לא עבירה אבל הוא רצה להגיע בלהט הבירור.

אנחנו בכל מקרה ראינו את המקרים האלה בחומרה והתייחסנו אליהם בחומרה ובתיאום עם נציבות שירות המדינה חקרנו חקירות משמעתיות את העובדים האלה, כמו שגם ציינתם בזימון של הדיון – כנגד עשרות עובדים הוגשה קובלנה בבית הדין למשמעת והורשעו. למעשה כל העובדים שהוגשה נגדם קובלנה הורשעו בבית הדין למשמעת, כך שגם אם הם לא – כמו שאדוני מתאר – עברו על החוק בצורה בוטה וברורה וגסה, אלא עשו משהו שאותו קרוב משפחה או חבר וכו' יכול היה לקבל בדרך אחרת – אנחנו לא ראינו את הדברים בצורה מקילה, אלא להיפך, השקענו את כל המאמצים בעניין הזה. ואני צריך עוד לומר שאנחנו כן, כדי למנוע, כמו שאמרתם – להסיר מכשול מפני עיוור – אנחנו בתהליך של הטמעת מערכת שתחסום את הגישה הזו, לא לאפשר לעובדים בכלל להגיע למצב שהם יכולים לבצע.

למה היא תחסום את הגישה?

לאותן ישויות שאסור להם באופן מובנה, לפי הכללים, לבצע שאילתות. לדוגמה, אני לא אוכל, טכנית, לבצע שאילתה על אשתי.

על אשתך.

לצורך ההמחשה, כן, יש רשימה שלמה של כללים.

כלומר, יהיה מותר לך על כולם מלבד אשתך? למה שלא יהיה הפוך, למה שלא תותר לעובד גישה- - -

זה המצב, אגב, שוב אני אומר- - -

לא, תותר לו גישה לתיקים שהוא חוקר ולאף אחד תיק אחר לא.

היום התפקיד שלו, בשנה הקרובה הוא חוקר את בעלי המוניות, נניח. היום הוא צריך להגיש את הרשימה, בגלל שהטכנולוגיה מתקדמת אז היום הגישה שלו תהיה לבעלי המוניות, למה הוא צריך גישה לכל בעלי העסקים גישה בשלב הזה?

לרשות המיסים יש סמכויות אכיפה שנועדו לגבות מיסי אמת, להגיע לחקר האמת בתחומי המס השונים. ברור לכל שאם אנחנו בדוגמה הזאת, נפתח לאותו חוקר שעובד על ענף המוניות רק שאילתות שקשורות בענף המוניות, מחר בבוקר לא יהיה אף אחד שעוסק בתחום המוניות וכולם יעברו לתחומים אחרים, כי אם לא מדווחים כלום בענף המוניות אז לא נוכל להגיע אליהם בכלים אכיפתיים.

לא הבנתי. או שלא הבנת את השאלה, או שהתשובה לא ברורה. התשובה היתה מוזרה.

נניח יש קבוצה יחידה שנתנו לה למשך הפרויקט שלה, לחצי השנה הקרובה איזה פרויקט של מסעדות או בתי מלון. בתי מלון זה התפקיד שלהם, בשלב הזה הם צריכים את הגישה לבתי המלון, למה הם צריכים גישה לכל בעלי העסקים, לכל מה שיש, למה המידע צריך להיות רחב אפילו באופן זמני? היום הטכנולוגיה מאפשרת מענה קל מאד להגביל גישה, יש הגדרה – הוא עכשיו אחרי על תחום והוא חוקר את הדבר הזה ויש לו גישה למה שצריך, למה באותה הזדמנות אנחנו נותנים לו גישה שהוא ב-10 השנים הקרובות לא יהיה לו צורך בכל המידע שיש לו גישה אליו והוא מיותר לו בעבודה, במסגרת התפקיד שלו, באפשרות וההיתכנות שיהיה לו בכמה שנים הקרובות. יש לך תשובה על זה?

כן, ההגבלה המוצעת שעולה כאן כדוגמה, עלולה להביא לפגיעה חמורה מאד ביכולת של הרשות לתפקד. עברייני המיסים- - -

מה שיש פגיעה אנחנו לא מדברים כשיש פגיעה, אבל המנהל צריך להחליט. אם יש פגיעה צריך לתת לו, אבל אנחנו מדברים על דברים שאין פגיעה, יש רובד של פקידי שומה, פקידי מס, שיש להם - - -, אבל יש 100 באותו מחוז ולא כולם מתעסקים עם אותו דבר ולמה כל המידע שקיים ברמה שלו צריך לעניין את כולם? הוא עכשיו אחראי על כך והוא צריך לקבל את המידע שיש לו, אבל זה בעצם אני לא מחכה לתשובה ממך, אני הייתי רוצה בסופו של דבר בסיכום לשמוע את זה, זו בעצם הנחיה כללית שצריכה להיות לאו דווקא ברשות המיסים. רשות המיסים היא כמובן גוף מיוחד, אבל הרשות להגנת הון נמצאת אצלכם ברשות המיסים?

לא, זו רשות עצמאית.

אתם נמצאים פה, אז תכף נגיע. רשות האוכלוסין וההגירה, ממש בקצרה, אני רוצה התייחסויות של גופים אחרים, כן.

שמי עידו תלמי, אני מנהל אבטחת המידע וממונה על הגנת הפרטיות ברשות האוכלוסין. רשות האוכלוסין, כמו שנאמר על ידי הקולגות שלי מקודם, מבצעת את הפעילות להגנת הפרטיות גם במעגלי אבטחה. אני לא אחזור על מה שנאמר, אבל אנחנו עומדים גם באותם מעגלי אבטחה. מה חשוב לומר, לחברי הוועדה, הוא שתמיד קיים דיסוננס בין הרצון של הגוף הממשלתי לאפשר עבודה ושירות לאזרח, לבין הרצון לשמור על הפרטיות והדיסוננס המובנה הזה יוצר הרבה מאד דילמות במערכות המידע ובאפשור המידע למידע.

אם להתייחס לנקודה הספציפית של הדיון, על איך מונעים גישה למידע לעובדים שלא זקוקים לזה במסגרת התפקיד או שכן זקוקים במסגרת התפקיד ומועלים בתפקידם, אז אנחנו בשנים האחרונות מבצעים פעילות ענפה בתחום ההרשאות, הגישה של עובדי הרשות למידע. אנחנו בתהליך של הפיכת כל אבן במערכות המידע שיש לנו, בעיקר במרשם האוכלוסין, וחיפוש אחר הרשאות מיותרות שיש לעובדים ונטרול ההרשאות האלה. אנחנו מבצעים, כמו שנאמר פה, גם הרבה מאד פעילות בתחום המודעות והאכיפה. מאז 2013 לערך עובדים שביצעו שליפות של מידע שהן בניגוד לכללים ולהנחיות שניתנים להם מועמדים לדין משמעותי- - -

היו אצלכם מקרים שהפיקוח והבקרה גילתה? עמדו לדין?

כן אדוני.

מה?

מאז שאני בתפקיד, מאז שנת 2013 הובאו לפני – אני מבצע את החקירה בעניין הזה – סביבות עשרה או 12 עובדים, מחוץ לעובדים שהועברו ישירות למשטרה או לנציבות שירות מדינה –היו גם כאלה, עובדים שעשו סחר במידע – והמשטרה חקרה. במסגרת הזאת, אצלי בין שניים או שלושה עובדים, הועמדו לדין תוך הרשות וננזפו או קיבלו הערות משמעתיות ועובדת אחת גם הורחקה מהארגון, זאת אומרת עברה למשרד אחר.

הכל היה לשימוש חיצוני?

רובם ככולם זה לשימוש פרטי לקרובי משפחה, תלונות של אזרחים שפנו- - -

יש אצלכם מדרג בהרשאות?

סליחה?

ברשות האוכלוסין, יש מדרג בין העובדים- - -

כן, יש פרופיל.

או שזה כשמותר – מותר הכל.

לא, יש פרופילים, זה מה שאמרתי לפני כמה דקות, אנחנו בעיצומו של תהליך טיוב הפרופילים האלה. לכל עובד יש פרופיל, כשעובד מגיע היום לארגון, עובד חדש, הוא מקבל פרופיל של התפקיד שמתאים לו ובמידה והוא צריך מידע נוסף מעבר לתפקידו, יש פניה של המנהל שלו לקבלת מידע נוסף.

תודה, אני הייתי שואל יותר ומרחיב, זה באמת מעניין, רשות האוכלוסין אינה דומה לרשות המיסים, אני מניח שרשות המיסים היא גוף חוקר יותר ושמה צריך פעילות אחרת- - -

אנחנו עוסקים ב-8 מיליון אזרחים.

נכון, 8 מיליון וגם מידע שאנשים מאד רוצים אותו, זה מאגר מידע מאד מבוקש, פנימי וחיצוני ושם וודאי לסייבר יש הרבה מה להגיד, אבל גם בשימוש הפרטי לצרכים מסחררים וכאלה, בפילוחים אם יש לכם ועוד דברים שיתכן שיש, זה לא רק המידע עצמו זה גם יכול להיות פילוחים ואנשים רוצים להגיע, מסיבות כאלה ואחרות ולא חסרות סיבות למה רוצים להגיע ולא דומה רשות המיסים לרשות האוכלוסין, כמו שמבחינתי לא דומה למשרד לביטוח לאומי, שאני גם רוצה לשמוע מהם.

אם אפשר, רק עוד משפט?

אני חייב לתת לעוד, השעון לא עומד מלכת.

משפט קצר.

ננסה אותך.

אני חושב מאד שבדיון הבא, אנחנו צריכים לדון לא רק במשרדי הממשלה, אנחנו כרשות מעבירים הרבה מאד מידע לכל הרשויות, מעל 400 גופים במשק, לחלקם הרבה מאד מידע- - -

אפילו רשויות מקומיות ודברים כאלה.

כולם. אדוני כולם, רשויות מקומיות, משרדי ממשלה, מרכזים פיננסיים, בנקים, חברות ביטוח – אנחנו מעבירים מידע על פי חוק.

המוסד לביטוח לאומי מעביר לרשויות מקומיות מידע בשביל הארנונה, אם הוא עובד או לא עובד.

נכון.

נכון, רגע, אני קצת קפץ לי באוזן בנקים וחברות ביטוח, איזה מידע? יש הבדל בין גוף ציבורי, אפילו שיהיה ביטוח לאומי או רשות מקומית, למרות שיכול להיות לצורך גבייה וגם מעקלים חשבונות בנק וזה רע מאד – בכל זאת, לבין בנק או חברות ביטוח שזה גורם מסחרי.

אני אפרט, יש- - -

דוגמה שבנק מקבל מידע.

כשאתה פותח היום חשבון בנק, הבנק מחויב על פי חוק לבצע שאילתת אימות לגביך, זאת אומרת שהוא לוקח את תעודת הזהות שלך, מכניס אותה למערכת שלו ומבצע אימות האם האדם שמולו הוא באמת האדם בתעודה. השאילתה הזאת מגיעה לרשות האוכלוסין, כי אנחנו המאגר.

אוקיי, אבל מה אתה מחזיר לו?

אימות.

כן או לא.

כן.

אתה לא מחזיר לו מידע נוסף ממך.

זה לגבי הבנקים, זה דיון- - -

רק אימות של שם או גם אימות של כתובת?

יש גם סוגי אימות כתובות, בין היתר.

יש הבדל בין אימות לבין בקשת מידע.

בסדר, אבל אימות מידע זה מידע.

אם הכתובת לא נכונה – אתה מתקן לו את הכתובת?

לא, מה פתאום.

אז זהו.

רגע- - -

אבל אימות מידע זה מידע.

כן, אבל יש מידע שאתה מעביר מרצונך מרשות האוכלוסין לגורם מסחרי, פרטי?

יש לנו שתי שיטות מרכזיות – הראשונות זה שאילתות למול אותם גופים, השנייה זה באצווה, קבצים גדולים של מידע על פי חוק, לדוגמה לרשויות מקומיות.

זה לא גורם מסחרי. יש מידע שאתם מעבירים באופן אקטיבי שהוא לא אימות כן או לא לגורם מסחרי פרטי?

לא, הכל נעשה על פי חוק.

לא אמרתי שזה לא על פי חוק, סתם עניין אותי אם יש- - -

אנחנו פועלים לפי חוק.

לחברות ביטוח זה יכול להיות מאד יקר ערך עבורן מידע מרשות האוכלוסין.

אם הייתי נערך נכון יכול להיות שלא הייתי מזמין את כל המשרדים, כיוון שהייתי משרד ובאמת מנתח אותו, פורסים אותו לפרוסות- - -

אז אני רק אשלים את המשפט- - -

אבל אמרתי מראש, זה לא הדיון האחרון אלא דיון ראשון, אבל לקחתי דוגמאות כדי שנוכל מזה ללמוד לדברים אחרים ולהכין את עצמנו.

מה שרציתי לומר זה שאני חושב שחייבים לקיים דיון בנושא של מאגרי העל ולשמחתי הרבה יש שיתוף פעולה בין רשות הסייבר, לרמות, אלינו בטיפול באותם גופים שמחזיקים היום הרבה מאד מידע והם מחוץ לממשלה.

תודה. המוסד לביטוח לאומי. בבקשה, שם ותפקיד.

קוראים לי בובי פנדריך ואני מנהל אבטחת המידע של המוסד לביטוח לאומי.

בבקשה, מה אתה יכול להגיד לנו בנושאים שדיברנו?

במוסד לביטוח לאומי יש מידע על כלל אוכלוסיית מדינת ישראל, מרחם ועד קבר, החל מגמלה לשמירת הריון וכלה במענק פטירה, לא עלינו, וכל מה שבאמצע.

כל מי שעובד במדינת ישראל וכל מי שלא עובד, מי שחי.

כל מי שחי במדינת ישראל, כן.

אני תכף אגיע, בעקבות מה שאתה אומר, יש לי שאלה כללית, אני אשאל את זה בסוף. אז אנחנו מדברים על שני נושאים, אבל נניח, אני דווקא רוצה במקרה שלך גם כן, שימוש של העובדים, בעיקרון במסגרת של הצרכים הפנימיים, כמה דברים ורבדים וכמה נושאים יש לכם בתוך הביטוח הלאומי. האם זה מסווג? איך העובדים מקבלים, מה הם מקבלים מההרשאות, האם כל אחד מקבל את כל המידע? ואם יש לו גישה למי שנולד והאם מי שמתעסק עם נושא אחר – אנשים עם נכות, הוא גם נחשף לגמלאות של קצבת זקנה או במקרה הזה של ניצולי שואה ועוד דברים.

תראה, ברמת הנוסחה ההרשאה לגשת למידע במוסד לביטוח לאומי, היא במידור על בסיס הצורך לדעת. כלומר, עובד אמור להחשף למידע שנדרש לו לצורך מילוי תפקידו.

על כל האזרחים?

על כלל המידע הקיים במוסד לביטוח לאומי. שמעתי ברגישות את השאלות ואני אענה לך, אני אתן לך דוגמה – עובדי הלוגיסטיקה, מה שלא יהיה לא נדרשים להגיע ולהחשף למידע של רשות האוכלוסין שקיים אצלנו, קיים אצלנו עותק של זה כי זה נדרש לנו לצורך מילוי תפקידנו. מי שעוסק בנושא תשלום גמלאות עובר קודם כל הסמכה ארוכה מאד, למעלה משנה, והוא נקרא פקיד תביעות מוסמך. אם אין לו הסמכה בנושא מסוים, הוא לא יחשף למידע הזה בכלל.

השאלה אם הוא נחשף למידע של קצבאות ילדים.

בדיוק.

או קצבת נכות, תבוא ותגיד לי, אני צריך לדעת, הרי מי שיש לו גמלאות אבל הוא לא יכול לקבל כפל, אז יש דברים שנדרשים, אבל האם אתם עושים עבודת מטה מורחבת כדי להגדיר את הדברים וגם אם יש חלק שצריכים, אז לא כולם צריכים. מהרגע הראשון אמרתי שהמידע של ביטוח הלאומי הוא באמת גדול ומיוחד ואישי ופרטי וכולי.

במוסד לביטוח לאומי יש ועדה- - -

זו שאלה נכונה, נגיד יש גמלת דמי לידה. פקידה של רואה את זה- - -

נכון, אבל קצבת לידה יחד עם קצבת זקנה, יש קשר גם בדבר הזה.

מי שחופף אז יפתח, אבל אם לא?

יש קשר, אבל לא כל מי שמתעסק עם קצבה- - -

אם זו רק קצבת זקנה והוא לא נכה?

כן, אבל אני אומר שיש בחלק הישור, בהתחלה אולי צריך גישה, אבל אחרי זה יתכן וזה מיותר, מי שמתעסק בשוטף יתכן והוא כבר לא צריך. בהתחלה הוא צריך לדעת אם הוא מקבל גם קצבת נכות וגם קצבה אחרת – אולי יש חוק שאומר שאתה לא יכול לקבל כפל קצבאות, בסדר. נניח שאנחנו רוצים גם לשנות את הדבר הזה ולכן אני מודע לזה, אבל בסדר, אבל זה אומר שאם בתחילת הדרך בקצבת הזקנה הוא היה צריך לדעת מה קצבת הנכות שלו או מה שהיה לו פעם, היום, לאורך שנים ארוכות, יהיה לו את הצורך בגישה גם לכל הקצבאות נכות שיש לכלל האוכלוסייה וכולי וכולי.

תראה, גם כאשר יש גישה למידע, אז השאלה למה. האם ציון העובדה שאלמוני מקבל קצבת נכות היא רחבה או לא רחבה. כלומר, האם הוא מקבל קצבת נכות או עכשיו אני יורד לפרטי הלקות שבגינה הוא מקבל את הקצבה וממתי וכו' וכו' וכו'. בזקנה הוא בדרך כלל צריך לבחור בין גמלת זקנה לבין קצבת נכות ואז יהיה אזכור שיש לו קצבת נכות, כדי שפקיד התביעות שמטפל בתביעה לקצבת זקנה או בהחלטה אם הגורם זכאי או לא זכאי, ידע שיש עוד משהו שהוא צריך או להפנות לתשומת לב מישהו אחר או לטפל בזה בעצמו.

יש לך עוד משהו?

עוד משפט אחד, במוסד לביטוח לאומי- - -

אני לא מרגיש שקיבלנו, אבל בסדר.

המידע מוגבל ללשכה גיאוגרפית?

חלק מהמידע כן, זה תלוי, זו שאלה טובה כי בחלק מהמקרים בעת פיתוח המוצר או בעת פיתוח התוכנה הרלוונטית נקבע שזה יהיה – למשל בנושא הגבייה זה מוגבל לפי סניפים, זאת אומרת כל סניף מטפל באוכלוסייה שסביבו ולכאורה אין גישה לסניף אחר.

לכאורה?

לכאורה מכיוון ש- - -

ובפועל?

בפועל, שוב, אני לא יכול להגיד את זה- - -

אנחנו נרצה לשמוע, התשובות לא יהיו נכונות. אנחנו הצפנו ואני חושב שאנחנו צריכים לחדד ולהגיע ליותר פרטים, אני רוצה ממרכז השלטון המקומי, אני רוצה שגם גופים אחרים יתייחסו.

רגע, ביטוח לאומי, יש לכם קול סנטר שזה לא עובדי ביטוח לאומי אלא עובדי קבלן, מיקור חוץ, איזה גישה יש להם? זה נושא בפני עצמו.

בפני עצמו, מיקור חוץ.

אני רק רוצה- - -

זה עוד נושא.

משפט אחד לפני הנושא של המוקד הטלפוני, במוסד לביטוח לאומי יש לנו ועדה שנקראת: ועדה לאבטחת מידע, שכל שינוי בכל הרשאה וכל נושא של מי חשוף למה נדון בוועדה הזו והיא היא ועדת ההיגוי העליונה שמחליטה.

לא הבנתי על כל עובד או כל מחלקה?

לא, כל תפקיד, זה לא כל עובד. עובד שמקושר לתפקיד, עצם הקישור לתפקיד מקנה לו הרגשות.

ואתם מגדירים מה יש לו ומה אין לו.

בדיוק, בנוסף יש לנו תוכנה שמקליט את הפעילות של כל המשתמשים כל הזמן וכל הפעילות הזו ניתנת לניתוח בכל עת.

אני גם רוצה לתת לגופים אחרים שאולי הם יאירו את עינינו בעניין הזה ואז נדע גם מה לשאול, בכל אופן השלטון המקומי – זה לא גוף ממשלתי, מי הנציג של השלטון המקומי? הוזמן פה. אני מבין שאין את הבקרה הזאת כי השלטון המקומי הוא כבר גופים פרטיים, שם זה נראה לי עולם ומלואו.

רשויות מקומיות הן תחת- - -

גם בנושא הזה או רק בנושא של הגנה- - -

כן, כי יש להם פקודת מיסים וגבייה- - -

וגם חוק הגנת הפרטיות.

ברור, אבל הם אחראים על עצמם?

לא לא לא, משרד הפנים - - - את זה.

יש כאן גם משרד ביטחון פנים, במשרד לביטחון פנים אני יודע שהעסק עובד הרבה יותר מסודר, אני לא יכול לתת לכל המשרדים, רציתי לתת למשרד התחבורה, כולם חשובים, יונתן.

לא ביקשתי את זכות הדיבור, אבל אני אשמח לדבר.

לא, אני רוצה שאתה תדבר.

אז יהונתן קלינגר.

המידע שיש לך על המשרדים הממשלתיים לנו אין.

אני אגיד שלפני כמה חודשים היינו כאן בדיונים על תקנות אבטחת המידע.

תציג את עצמך.

יהונתן קלינגר, התנועה לזכויות דיגיטליות, יועץ משפטי. היינו פה בדיונים על תקנות אבטחת מידע, תקנות נהדרות שהם הרשות למשפט וטכנולוגיה דיברה על כך שבמסגרת סקר הסיכונים ובמסגרת הבדיקות צריך לעשות הגבלת גישה, שעובדים יהיו מוגבלים רק למידע אליו הם צריכים לגשת ולא יכול להיות שעובד בביטוח לאומי שמטפל בסניף בקרית שמונה יוכל לגשת למידע על אנשים שגרים ברחובות ולא יכול להיות, לדעתי- - -

איך אתה יודע את זה, סליחה? אתה מניח פה הנחות שהן לא בהכרח- - -

לא, אני אומר שזה לא יכול להיות, שהטיפול צריך להיות ברמת הקונפיגורציה, לא ברמת הנהלים, אלא ברמת המערכות הטכנולוגיות ומערכות של בקרת גישה עוזרות לתפוס, עוזרות למנוע, אבל עדיין אחת העברות היותר פופולריות בשרות המדינה, אני חושב שהיא רק שניה להתחמקות מנוכחות או דיווח לא נכון על נוכחות, היא שליפת מידע שלא כדין או שימוש לרעה במידע. זה מתחיל ממישהו שצריך טובה לבן דוד ובקצה של הסקלה רואים אנשים שמוכרים מידע לארגוני פשע.

כשהמדינה מחזיקה כל כך הרבה מידע, ההגבלות חייבות להיות ברמה הטכנולוגית, אנחנו מעצמת סייבר, יש לנו את הפתרונות הטכנולוגיים בשוק, המדינה יודעת ליישם אותם, יש לנו רשות סייבר טובה, יש לנו פה אנשים טובים והתפיסה הזאת שסומכים על העובדים היא טובה ויפה עד שנתפסים. לשמוע על 12 אנשים ברשות האוכלוסין שנתפסו ועברו ונענשו ולשמוע שאחת עברה לעבוד במקום אחר ואחרים קיבלו נזיפות – אלה עבירות פליליות, שליפת מידע שלא כדין ושימוש בו, אלה עבירות שאנשים אמורים ללכת עליהן לכלא ולא עבירות שאמורות להיות מטופלות רק במישור המשמעתי.

אבל יש דברים שהם לא בתחום הפלילי, אלא אולי בתחום הסמכות וזה לא במסגרת התפקיד, נניח אפילו מידע שהוא על דוח תנועה, אבל אתה פקיד כאן והנוהל, זה מה שמצפים ממך ואלה גם ההוראות שקיבלת, אתה לא יכול לטפל במשהו שהוא לא במסגרת התפקיד כי תלך- - -

עובד שהיה לוקח הביתה, לצורך העניין, ציוד מהמשרד, משתמש בו ומחזיר, אני חושב שהטיפול פה צריך להיות חמור בדיוק באותה מידה.

אני מסכים עם מה שאתה אומר, היום הטכנולוגיה היא מתקדמת ואפשר לתת מענה. אם היינו מדברים שצריך לזה השקעה – אבל יש היום דברים שאפשר לעשות, את הרבדים האלה, חלוקה. משפט לסיכום, רגע, יש איזה גוף פרטי שלא נתתי לו זכות מלבד משרדי הממשלה? משפט ונסכם את הדברים.

ראשית אני במהלך הדיון הנחתי בפניך אדוני וגברתי גם איזה מסמך- - -

מסמך? ספר.

לא, מעבר לזה, עשיתי עוד- - -

את זה לא ראיתי עוד, אני עסוק בניהול הישיבה.

עוד מסמך על מאפייני הבקרות- - -

מה אני עושה בפגרה אני כבר יודע.

כדי למנוע, גם היבטים טכנולוגיים וגם נושאים, אני חושב ששתי בשורות שחשוב להכיר אותן, כי הן באמת הנושאים שעורך דין קלינגר דיבר עליו – אחד זו מדיניות מאגרי על, שאושרה, זו מדיניות משותפת לרשות, לרמות, ל- - -, מתוך הבנה שיש מאגרים גדולים שנדרשים להתיחסות אחרת, כי פוטנציאל הנזק שעלול להגרם משם הוא גבוה מאד. הדבר השני הוא פרויקט טכנולוגי שאנחנו בעיצומו, רשות התקשוב ומערך הסייבר, שדרה מאובטחת.

שדרת המידע.

זה מה שאמרתי. הפרויקט הזה, יש לו שתי תכליות, את זה לצמצם עודף מידע כי כולם צריכים להעביר לכולם כדי למלא את יעודם, הדבר השני הוא נושא שרות לאזרח. כלומר, זה פרויקט שמשרת שתי מטרות, אחת – הנגשת מידע בין משרדים בצורה מהירה, שתיים – צמצום עודף המידע בצורה דרסטית, שדרת המידע הממשלתית וזה פרויקט בעיצומו. פרויקט אחד של מדיניות, אחד של טכנולוגיה, שניהם אמורים לצמצם בסדרי גודל את האירוע הזה שתארנו עכשיו.

תודה. לימור, במשפט?

כן, רק משפט אחד, בהמשך באמת לנושא של ניהול הרשאות גישה, אז בתקנות החדשות – תקנות הגנת הפרטיות, אבטחת מידע, תקנה 8 מדברת בדיוק על זה והכלל שהיא קובעת הוא שבעל מאגר מידע יקבע הרשאות גישה של בעלי הרשאות למאגר המידע ולמערכות בהתאם להגדרות התפקיד והרשאות הגישה לכל תפקיד תהיינה במידה הנדרשת לביצוע התפקיד בלבד. זה אחד מתוך מכלול הכללים שכל משרדי הממשלה והגופים הציבוריים צריכים לעבוד היום כדי שבמאי 18 הם יעמדו בכל הכללים שקבועים בתקנות האלה. אני יודע שיש משרדים שכבר סיפרו לי שהקימו ועדות היגוי משותפות לגורמים במשרד כדי להתחיל לבדוק שהם עומדים בתקנות ואני מאמינה שזה יקדם אותנו.

זה תם ולא נשלם, את רוצה להגיד משהו?

רק משפט, התייחסת בתחילת הדברים למקרה של יש עתיד ולא הגענו לזה, אבל אם אפשר התייחסות במילה מלשכת רשות האוכלוסין או מרמות, הרי הדיון הזה התחיל- - -

המידע הזה אני חושב שהגיע מהאוצר.

לא, שניה, אני מדברת על נושא קלות העונש. היה את המקרה באמת של רשות המיסים, לא הגענו לזה עוד בדיון הזה ונמשיך הזה, אבל אתם קובעים קריטריונים ברמה הכללית של מה קורה לעובד שעמד לדין משמעתי והורשע ויש 50 דוגמאות כאלה, חלקם עם מאות ועשרות שאילתות פרטיות ומקבל עונש כל שהוא או אפילו מפוטר מפוטרת מהתפקיד, יש איזה מגלה על העובד או העובדת הזו בשירות הציבורי למשרות אחרות? היא יכולה עכשיו ללכת לעבוד בביטוח הלאומי ושם לקבל הרשאות? זה דבר שנתתם עליו את הדעת? יש לזה התייחסות איפה שהוא בתקנות?

כמה דברים, אחד לגבי נושא של יש עתיד. א, כדי שיהיה ברור- - -

לא, זה לא העניין, אמרתי בנושא של קלות העונש.

כן, קלות העונש נקבעת בחקיקה. זאת אומרת הביקורת על גובה הקנסות שהוטלו, אני מבינה אותה ואני רק יכולה לומר שאנחנו כרשות מבצעת מקבלים את ההסמכה שלנו מהכנסת ויכולים להטיל את מה שהוטל עלינו- - -

לא, עובד שהורשע ונניח עובדת שפוטרה או הוחלט לסיים את העסקתו, האם יש הגבלה על עבודתו במשרד ממשלתי אחר במידע רגיש?

בתקשיר יש כללים שנוגעים בעובדים שהפרו את הדין המשמעתי, זו שאלה אני חושבת שמתאימה יותר לנציבות שירות המדינה מבחינת הכללים שלה, אני חושבת שלפי התקנות, בבדיקת מהימנות עובדים שצריכה להתבצע עכשיו לכל עובד, היה מצופה שמידע כזה יצוף ויכלה בפרט שאנחנו מדברים על מערכות מידע שיודעות לזהות את הדברים האלה ומבחינת קלות העונש, אז אני יכולה רק להגיד שיש הצעת חוק, תיקון 12 לחוק הגנת הפרטיות, סמכויות האכיפה שלנו שאני מקווה ואשמח שתקודם בכנסת ובעקבותיה נוכל גם באמת להחמיר את האכיפה.

בקיצור, מעבר לבדיקת המהימנות הכללית זה משהו שאתם צריכים גם להתייחס אליו בהנחיות, מה קורה במצב שבו עובד – זה שווה ערך לקלון בעצם, יש כאן איזו הפרת אמון.

צריך להגדיר.

כן, להגדיר, להגיד מה קורה במצב כזה מעבר לעונש וקנס וכולי.

זה חלק מהדברים שאני רוצה לסכם, האם המידע על העובדים אני תכף אדבר על זה. יש נושא אחד שבכלל לא נגענו בו ונשאיר אותו לדיון הבא, זה הנושא של השלכת והשמדת המידע. כמה זמן צריך את המידע לאגור, יש מידע שאולי צריך להגדיר שלא צריכים. אני קרוב ל-40 שנות נישואים עדיין מרגיש בכל חופש, אם זו חופשת חנוכה או פסח או החגים, חופש גדול – שמונחים על השולחן שלי, בשביל מה אתה צריך את זה עוד? מה צריך לשמור, אפשר להשליך את זה? אפשר לזרוק את זה? אבל צריך לשמור את זה אולי נצטרך, אבל אף פעם לא קרה שהשתמשת בדברים שהיו, שנייר ששמרת. אז עכשיו, במשרדי הממשלה שאין עקרת בית ואין מישהי שיודעת לתפוס את העניין חזק והיום לא במחסנים ובארגזים, אבל זה מידע שאולי לא צריך. יתכן ויש הרבה מידע שאנחנו שומרים עליו להזיק, בגלל שאולי צריך ומי מחליט שצריך, זה גם עבודה.

ואם משמידים אז איך משמידים.

איך משמידים, נכון.

לאן משמידים את זה, שלא נמצא פתאום פחים מלאים.

אולי זה גם באמת יכול להיות- - -

בעולם הדיגיטלי אין פחים.

אדרבא.

גם אם שומרים את זה, זה סוג מידע שוודאי צריך להיות במקום שמיותר, גם אם יש הרשאה, זה כבר מידע שאנחנו יכולים לדלל אותו. התפרצתי לדלת פתוחה.

נראה שכבר יש סדרת דיונים.

אני חושב שאנחנו דנים בעניין הזה ואמרתי בהתחלה, נוגעים ויש לנו כל כך הרבה נושאים והחשש שלי, לא בגלל שאין מודעות, אלא אין את הזמן למשרדים. יש להם דברים, הסייבר וכל זליגת המידע והדברים האלה שתופסים הרבה מאמץ והטכנולוגיה מתקדמת וצריך כל הזמן לעדכן, זה לא שמגדירים אותו והוא נשאר כמות שהוא, כל הזמן צריך בגלל עובדות או בגלל דברים שקורים לעדכן, ואת הדברים האלה הפנימיים משאירים ואולי לא נוגעים בהם מספיק ואנחנו הפעם הצפנו, מעבר לכל, דווקא את הנהלים הפנימיים, השימוש הפנימי, הסמכות שיש ואני אומר גם לרמות וגם לכולם שאחראיים לזה, בסופו של דבר המטרה בעניין הזה צריכה להיות: קודם כל להגדיר למי יש אישור, על מה, לכמה זמן, כמה שיותר לפרק את זה ולפרוס את זה לפרוסות ואז, ככל שאנחנו נצמצם את הסמכויות, יחד עם מודעות לעבוד – זה גם חלק, המודעות לעובד. אנחנו יושבים כאן בשולחן, אבל כללי השימוש במאגרים צריכים להיות מוטמעים בעובדים, אין לי ספק, אנחנו מדברים על יחידות סמך ועוד דברים, לא כולם יושבים במרכז העניינים ויתכן הגישה שלהם לא פחות או מספיקה וצריכה לדרוש מהם, בעניין הזה להיות מודעים.

הנושא של האכיפה, אם אין אכיפה בסופו של דבר הדברים האלה לא מגיעים ליעדם. על אלה ועוד יש לנו דיון וחלק מהדברים גם באמצע תהליכים – קביעת קריטריונים ועוד, אנחנו נקיים דיון בהמשך, אני מתנצל מהמשרדים שעל אף שמאד רציתי לשמוע, אבל אנחנו לא יכולים יותר להאריך בישיבה שגם ככה התארכה, תודה רבה.

הישיבה ננעלה בשעה 14:08.