PAGE
35
הוועדה לענייני ביקורת המדינה

28.7.2009

הכנסת השמונה עשרה




נוסח לא מתוקן

מושב ראשון

פרוטוקול מס' 27

מישיבת הוועדה לענייני ביקורת המדינה

יום שלישי, ז' באב תשס"ט (28 ביולי 2009), שעה 09:00

הגנת הפרטיות – אבטחת מידע ואיכותו במאגרי מידע ממשלתיים - דוח מבקר המדינה 59ב', עמ' 859.

חברי הוועדה: יואל חסון - היו"ר

אורי אריאל

דב חנין

השר המופקד על שיפור השירות הממשלתי לציבור - מיכאל איתן

בעז ענר
משרד מבקר המדינה, משנה למנכ"ל ומנהל בכיר על חטיבה

ישראל אקשטיין
משרד מבקר המדינה, סגן מנהל בכיר על אגף

נחום בלבן
משרד מבקר המדינה, סגן מנהל בכיר על אגף

חיים רוטמן
משרד מבקר המדינה, מנהל ביקורת בכיר

ערן צדוק
משרד מבקר המדינה, מנהל ביקורת

גבריאל מימון
משרד הפנים, מנכ"ל

שלמה ותרי
משרד הפנים, עוזר מנכ"ל

דניאל סלומון
משרד הפנים, יועץ משפטי

ניסים אליאסף
משרד הפנים, מנהל מערך המחשוב

עו"ד ברכה פלאוט
משרד הפנים

עמוס ארבל
משרד הפנים, מנהל אגף מירשם

עו"ד ליאורה קורן
משרד המשפטים, משנה ליועץ המשפטי לממשלה

עו"ד יורם הכהן
משרד המשפטים, ראש הרשות למשפט טכנולוגיה ומידע

אסתר דומיניסיני
המוסד לביטוח לאומי, מנכ"לית

יהודה סרוסי
המוסד לביטוח לאומי, סמנכ"ל תמ"מ

בובי פנדריך
המוסד לביטוח לאומי, מנהל היחידה לאבטחת מידע

נחמה שפירא
המוסד לביטוח לאומי, מנהל אגף שירות לקוחות

ימין כנען
המוסד לביטוח לאומי, מנהל אגף הביטחון

יעקב זלצר
משרד ראש הממשלה, מנהל אגף ביקורת


ויקטוריה רביץ
משרד ראש הממשלה, רפרנט

ניצב משנה עדי זלדס
המשרד לבטחון פנים, רכזת יחידת מחשב

רב פקד גלעד בהט
המשרד לבטחון פנים, קצין הונאה

רב פקד אלעזר כהנא
המשרד לבטחון פנים, עוזר יועמ"ש

יוסי רגב
משרד החוץ, סמנכ"ל למינהל

אסף קרן
משרד האוצר, פרויקט תהילה וממשל זמין

ורד פיצ'רסקי
רפרנט האגף הבכיר לביקורת המדינה

דוד פאר

תומר רוזנר

חנה פריידין

יעל – חבר המתרגמים בע"מ
הגנת הפרטיות – אבטחת מידע ואיכותו במאגרי מידע ממשלתיים –
דוח מבקר המדינה 59ב', עמ' 859.

בוקר טוב לכולם, אני מתכבד לפתוח את הישיבה.

הנושא על סדר היום, הגנת הפרטיות, אבטחת מידע ואיכותו במאגרי מידע ממשלתיים.

זה המשך הדיון מהפעם הקודמת, אשר הופסק באמצע כפי שאתם זוכרים, בין השאר מכיוון שהתחושה במהלך הדיון הייתה שגם אלה שהגיעו ונכחו בדיון, מבחינת הוועדה הם לא בדרג המספק, וגם התשובות שניתנו בדיון היו לא מספקות.

אני מבקש להסביר ולהבהיר, שכיושב ראש הוועדה לביקורת המדינה, אני רואה את דוח מבקר המדינה בנושא הזה, כאחד הדוחות החשובים ביותר והעקרוניים ביותר. אני חושב שמאגרי המידע שמחזיקים גורמים ממשלתיים כגון: משרד הפנים, המוסד לביטוח לאומי, וכד', המאגרים האלה ושמירה על המאגרים האלה, מבחינתי, זה דבר חשוב הן מהבחינה הלאומית והן מהבחינה האסטרטגית. התחושה, ממה שהתרשמתי גם בדיון וגם בבדיקה שערכתי לאחר מכן, לדעתי גם בחברת תוכנה קטנה יש מערכת אבטחת מידע הרבה יותר טובה מאשר במאגרי המידע של ממשלת ישראל.

זה מצטרף למה שמצוין בדוחות מבקר המדינה, וגם בעקבות מידע שזרם אלי אחר כך מאזרחים, וכן מעובדים ומכל מיני גורמים שפנו אלי באופן ישיר ובאופן עקיף, גילתי דברים באמת מאוד קשים.

בדיון הזה, אני מתכוון להבין קודם כל את שורש הבעיה וגם לראות איך אנחנו מקדמים וזזים קדימה, מטפלים ומשנים את המציאות הנוכחית. למרות שזה המשך דיון, אני אבקש שנציג מבקר המדינה יציג בתמציתיות את הנקודות העיקריות.

כפי שציינת, הדוח מצביע על פרצות, שלעיתים הן מהותיות בהגנת הפרטיות. יש מקרים שהדוח מדווח על זליגת מידע החוצה, יש גם בעיות באיכות הנתונים ועדכנותם של הנתונים. בשורה התחתונה, יש צורך להגביר בקרות, לערוך סקר סיכונים, ולהגביר את המודעות של העובדים. פרטים נוספים, ימסור מנהל האגף ישראל אקשטיין.

בוקר טוב, הביקורת נערכה בחודשים מאי – נובמבר 2008, והנקודה הראשונה שהוצגה בביקורת בנושא רשות האוכלוסין וההגירה ומעברי משרד הפנים במשרד הפנים, היא הבעיה של אי מינוי ממונה לאבטחת מידע, לא במשרד הפנים ולא ברשות האוכלוסין, וזה בניגוד לדרישות חוק הגנת הפרטיות והתקש"ר – תקנות שירות המדינה .

בשנים 2006-7 הוצעה למכירה באתר האינטרנט, על ידי אלמוני, תכנה המכילה נתונים ממרשם האוכלוסין הכוללים קשרי משפחה בין אזרחים. וועדת הפנים והגנת הסביבה של הכנסת ביקשה חקירה משטרתית בעניין. משרד הפנים הגיש תלונה במשטרה. בשנת 2008 שלח משרד הפנים למשטרה 20 לקוחות שמקבלים קובצי עדכון גדולים ממערכת "אביב", שיתכן שהמידע זלג מאחד מהם.

בחודש מרץ, סגרה המשטרה את תיק החקירה בטענה שלא ניתן לחקור כל כך הרבה חשודים, ולכן העבריין לא נודע. בין המסמכים שמסר משרד הפנים למשטרה היה סיכום פגישה שבו נכללו כעשרה גופים שקיבלו עדכוני מרשם בהיקפים גדולים. אחד מהם אף זוהה כמקבל נתונים בצורה דומה למבנה המאגר שהופץ באינטרנט. אפילו גוף זה לא נחקר על ידי המשטרה.

במרץ 2008, הוחל במערך המחשוב של מרשם האוכלוסין ברישום יומן שימוש "לוג" לשם מעקב אחרי שאילתות שהציגו עובדי משרד הפנים. נמצא שבתקופה מרץ-יולי 2008 הוצגו שאילתות באמצעות הרשאות של 78 משתמשי מערכת שאלה שהו בחוץ לארץ. כמו כן נמצא שהוצגו שאילתות, באמצעות הרשאות גישה של חמישה משתמשים, שלפי הרישומים במערכת "אביב" נפטרו לפני מועד ביצוע השאילתות.

תוכל להגיד בנוגע לאותו מאגר שפורסם באינטרנט, לאיזה הפרופיל מאגר הוא היה דומה?

למאגר של אחד המשתמשים.

מי המשתמש?

של אחד מהמשתמשים.

איזה סוג לקוח?

אנחנו יכולים לציין מי הלקוח?

היושב ראש, לפי דעתי, לאור הדוח הזה אין בעיה עם מאגר הביומטרי שעומד לפנינו, זה ישמר היטב וכל אחד יוכל לקחת אותו.

באוגוסט 2008, עשר שנים מאז מוחשב מרשם האוכלוסין הוגש לראשונה לרשות האוכלוסין דוח סקר סיכונים על מערכת "אביב". בסקר הסיכונים עלו ליקויים שמצביעים על פרצות העלולות להוביל לדליפת נתונים רגישים ולשיבוש הפעילות השוטפת בעקבות ניסיונות תקיפה או טעויות אנוש שלא התגלו.

מנהל מינהל האוכלוסין באילת, ניצל לרעה במשך שנה את מעמדו ואת הגישה הכמעט בלתי מוגבלת שהייתה לו למשאבי מערכת "אביב". בין השאר למעשים של הנפקת דרכונים שלא כדין ולביצוע מניפולציות בתאריכים שונים במרשם.

בעקבות הדוח פותח במערכת "אביב" מנגנון בקרה בשם הרשאת מנהל שחייבה לקבל אישור ממוחשב של עובד מטה הרשות להשלמת תהליך הנפקת דרכון או עדכון רטרואקטיבי של מען. השינוי שהוחל בו ביוני 2008 גרם לעיכובים מכיוון שעובדי המטה לא תמיד היו זמינים לאשר את הפעולות. חודש לאחר מכן, ביולי 2008 הוענקו חלק מההרשאות גם למנהלי לשכות וסגניהם. הענקת הרשאת מנהל לבעלי תפקידים בלשכות רוקנה מתוכן את הבקרה וההשקעה ליישומה.

במוסד לביטוח לאומי, קיים ליקוי מבני מתמשך בעניין אבטחת המידע. הממונה על אבטחת המידע כפוף ישירות לסגן המנהלת הכללית לתקשורת ולמערכות מידע. כפיפות זו פוגעת באי תלותו. נוסף על כך הוא אינו מקבל עליו את מרותו של קצין הבטחון בהתאם לכללי שירות הבטחון הכללי משנת 2004. מן הראוי שהנהלת המוסד לביטוח לאומי תגדיר מבנה יעיל לניהול אבטחת המידע במוסדה ותפעל באופן מידי ליישומו.

ביוני 2005 התחייב המוסד לביטוח לאומי בפני בית הדין הגבוה לצדק לרשום את כל הפעילויות של כל משתמשי התקשרות במוסד לביטוח הלאומי. בספטמבר 2006 החליטה הוועדה העליונה לתקשורת ולמערכות מידע לרכוש את תכנת "האינטלינקס" שמאפשרת לעשות זאת. על אף שהיה ידוע למנהל החטיבה לאבטחת מידע עוד באוגוסט 2006 מהן הדרישות מהמערכת הוא לא נערך בעניין. דבר המעכב את השימוש בה.

-

על רשות האוכלוסין להכין נוהל אבטחת מידע, להקפיד על יישומם ולאייש את תפקידים הנחוצים למילוי דרישות חוק הגנת הפרטיות.

במוסד לביטוח לאומי יש להפעיל ולנצל את כל מערכות אבטחת המידע, אשר הפעלתן תוכננה כבר בשנת 2007.

יש לערוך סקר סיכונים, להגדיר מדינות אבטחת מידע ולהסדיר את המבנה הארגוני הנחוץ לאבטחת מידע במוסד לביטוח לאומי בכלל, ואת שיתוף הפעולה בין קצין הבטחון לבין מנהל החטיבה לאבטחת מידע בפרט.

מן הראוי להגביר את מודעות העובדים לחובת שמירה על נוהלי עבודה בעניין אבטחת המידע.

תודה רבה, אני מודה לך על הסקירה הזאת. אבקש להתייחס בשלב הראשון, לנושא שדיברנו עליו בתחילת הדיון הקודם וזה נושא המאגר שמחזיק מנהל משרד הפנים. הייתי מבקש ממך, המנהל הכללי של משרד הפנים, אתה בטח עודכנת בדיון הקודם, לשמוע מה אתה יודע על המצב הקיים היום במשרד הפנים.

אני מנהל כללי חדש במשרד, וממונה עוד יותר חדש בפועל על רשות האוכלוסין. השתדלתי להתעדכן כדי לקבל אינפורמציה.

אדוני היושב ראש, חברי הוועדה המכובדים, ראשית מבחינתי דוח המבקר האיר את עינינו ואין ספק שהוא מחייב אותנו, ומועיל לנו בחשיפת כשלים או בחשיפת נקודות תורפה שמן הראוי שאנחנו נתקן אותם. מבחינתנו הדוח הוא בהחלט חשוב ובהחלט מאיר עיניים.

לגבי מספר נקודות מרכזיות שעלו בישיבה הקודמת ושעלו מדוח המבקר בכלל. הסוגיה הראשונה מתייחסת לממונה על אבטחת המידע. אכן הייתה תקלה. הייתה תקלה שממונה אבטחת המידע היה בעצם ממונה על עוד כחמישים דברים נוספים.

בהכשרתו הוא היה מתאים לתפקידים האלה?

מבחינת ההכשרה הפורמלית שלו הוא מתאים, ההתאמה הספציפית לאבטחת מידע במערכות מהסוג הזה, אני שאלתי אותו במפורש והוא אמר שהוא מתאים אבל יש לו עדיין להשתלם בסוגיה הזאת.

לעניין הזה צריך אדם במשרה מלאה. צריך להיות לא רק אדם אחד אלא צריכה להיות יחידה ספציפית. כרגע אני לומד מה צריך להיות הרכבה כדי שתכסה את כל תחום אבטחת המידע. ביקשתי גם שהכפיפות לא תהייה למנהל תחום מחשוב ובקרת מערכות אלא תהייה כפיפות לגורם אחר כדי שהמבוקר לא יהיה גם הממונה. מבחינתי היחידה הזאת תאויש בקרוב.

כרגע עשית בדיקה גם בעקבות הדיון בוועדה, ובוודאי מדוח המבקר, מהן התשובות שקיבלת, למה עד עכשיו הדברים התנהלו בדרך הזאת?

מדובר ברשות שהוקמה באופן מהיר מאוד, על ידי מר יעקב גנות שעשה עבודה מצוינת. בסך הכל, מדינת ישראל הטילה עליו משימה להקים בפרק זמן קצר מאוד מערכת מאוד מאוד משמעותית, שאמורה להתמודד עם סוגיות מאוד מאוד ברמה הלאומית. המערכת עדיין לא מאוישת באופן מלא. עדיין יש המון פוזיציות פתוחות. יש המון תקנים שעדיין לא אוישו. המערכת כרגע בהתהוות. לכן אין לי ספק שבנקודת הזמן הזאת אני לא יוכל לומר באופן ברור שיש יחידה ממונה ושהיא מסוגלת לתת מענה בתחום אבטחת המידע. לכן מוטלת עלינו החובה, אני גם הנחיתי את היחידה האחראית וגם את היועץ המשפטי, לוודא ולהגיש לי מבנה ארגוני של יחידה שתוכל לכסות את התחום, וכדי שאני אוכל לבקש לאייש אותה.

תוך כמה זמן תוקם היחידה לאבטחת מידע, ויהיה גם ממונה? תגדיר את הזמן כי הוועדה תדרוש זמן.

הייתי מאוד רוצה שתוך שישים יום מהיום, היחידה הזאת תאויש ותוכל לתת לנו מענה בתחום המאוד קריטי הזה. אני חייב לומר ואני פונה כאן ליושב ראש ולחברי הוועדה, זה תפקיד שאני לא ממלא במשרה מלאה כי יש לי עוד כמה נושאים שאני אחראי עליהם. אני מכיר בחשיבות, אני מכיר את הצורך ואני אעשה את הכל כדי לאייש וגם כדי לדווח לוועדה על קצב ההתקדמות באיוש היחידה הזאת.

אמורים למנות מנהל כללי לרשות?

כן בהחלט. אני אמור לעמוד בראש וועדת איתור ראש רשות ההגירה. אני מקווה שכבר בשבוע הבא, כך הייתי רוצה, יפורסם כבר על קיומה של וועדת איתור כדי שיהיה ממונה במשרה מלאה לרשות.

לגבי ההערה על משתמשים ששהו בחוץ לארץ, ו/או על משתמשים שנפטרו זה ליקוי. זה ליקוי ואנחנו צריכים למנוע מצב כזה. אני גם אמרתי לאנשים שממונים על מערכות המחשוב, שלדעתי, ואני לא מתיימר להיות איש בעל ידע מיוחד במחשוב, אמורות להיות מערכות אוטומטיות שמסוגלות להציף רשומות על שאילתות שלא היו אמורות להיות. אני מקווה שבפועל יצא בכל חודש, כך הבטיח לי מר ניסים אליאסף שהוא הממונה על תחום המחשוב, כל חודש יצא דוח שינקה את כל הרשומות.

הליקוי הזה כבר תוקן?

אני שמח לומר שהליקוי תוקן, ואחת לחודש נדמה לי, מתבצעת סריקה וניקוי של כל הרשומות של אנשים שנפטרו כך שלא יוכלו להיות יותר שאילתות לרשומות לא קיימות.

הצטרף אלינו השר המופקד על שיפור השירות הממשלתי לציבור, אני מודה לך שהצטרפת אלינו השר מיכאל איתן.

הייתי מבקש ממר ניסים אליאסף, להתייחס גם לנושא סקר הסיכונים וגם לגבי התקלה שנמצאה במינהל באילת.

המערכת היום מוגדרת כמערכת תשתית מידע קריטי, ומונחת על פי חוק של השירות הבטחון הכללי – הרשות לאבטחת מחשבים. היא מבקרת אותנו ואנחנו עובדים מול "תו"ל תמר, תורת אבטחה". יש לנו רפרנט שמנחה אותנו. שיטת ההנחיה בשוטף זה פגישות עם הרפרנט מטעם רא"ם, פגישות של וועדת היגוי לאבטחת מידע שיש במשרד. כעת צריך לחדש את המינוי בעקבות הקמת הרשות. מבצעים ביקורות איטיות. בדיוק הם היום ואתמול באמצע תהליך ביקורת אצלנו. בביקורת הזו תמיד נמצאים ליקויים שיש לתקן, כי תמיד יהיו ליקויים.

ביצענו סקר סיכונים, אחר כך אני אתייחס אליו. בצענו הדרכות למשתמשים, הכשרות לבעלי תפקיד – הם ביצעו תרגילי תקיפה מול המערכת, תרגילונים מול המשתמשים על ידי שהם זורקים להם כל מיני סימנים מחשידים והם צריכים לדווח על הסימנים האלה מבלי שהם יהיו מוכנים לכך מראש, ומפעילים כל מיני כלים לסריקת המערכת.

בעקבות דוח המבקר וביקורות, בוצעו במהלך השנה רשימה של פעילויות שאני יכול להציג אותן, אני לא אקריא אותם כדי שלא יכנסו לפרוטוקול ולא ידעו את פעולות ההגנה שלנו ושיוכלו על ידי כך לתקוף אותנו, אנחנו יכולים להביא רשימה של כל הפעילויות שנעשו בשנת 2009 בתוך המערכת כולל פרויקט אחד של בידוד ליבת המערכת. הפרויקט הזה עלה לנו מאות אלפי שקלים. נכתבו נהלים בהתאם להנחיות המבקר ועוד כל מיני פעולות, אני אשמח להעביר את זה לידי המבקר או לידי הוועדה. אני לא רוצה להקריא אותן בקול מסיבות ידועות.

אני רוצה להבין, אפילו אחרי הטיוטה כשהדוח פורסם, אתם כמובן ראיתם אותו עוד קודם, מה עשיתם? הקמתם וועדה או צוות?

הקמנו צוות עבודה מול תכנית עבודה, ואפילו תוך כדי הביקורת, איתרנו בעיות, התחלנו לטפל בהן תוך כדי הביקורת. קבענו ועשינו סקר סיכונים, וגם תוך כדי הסקר ביקשנו ליידע אותנו אם אותרה בעיה ושצריך להרים דגל עוד לפני הטיוטות, אני מדבר על סקר הסיכונים, ביקשנו שידווחו לנו מיד כדי שנוכל לתקן. גם בביקורות שעורכים אתמול והיום בלב המערכת שלנו ביקשנו מהשירות הכללי לדווח לנו מיד על כל תקלה או בעיה שהם נתקלים ולא להמתין עד שנקבל את הטיוטות בעוד שלושה שבועות. ביקשנו להודיע לנו מיד.

אין לי ספק שאתה עובד מדינה מסור ואדם הגון, אבל אתה מדבר על כל הדברים מסביב , אבל איך יכול להיות שבכל התקופה הזאת, גם לפני הדוח וגם אחרי, בין הדברים היותר חשובים שממונה על אבטחת מידע , היחידה הזאת שמדובר שעכשיו תקום, אתה לא עמדת על הרגליים האחוריות שלך ואמרת שאתה לא מוכן להמשיך בצורה הזאת. אין שום הוכחה שעשית את זה ואין שום פעולה, למה? כי חששת שזה יגביל את יכולת הניהול שלך?

אמרתי למי שצריך לומר.

כנראה שלא מספיק חזק.

עשיתי את זה כמו שאני חושב שצריך לעשות את זה, אבל לא אני קובע.

עשית את זה חלש מידי.

אני לא חושב שחלש מדי. מבחינת התוצאה לא השגנו את זה, אבל היום יש מנהל כללי חדש ואתה שומע מה הוא אומר. הוא אומר שהוא הולך להקים יחידה ולא רק עובד אחד. זה לא תפקיד לעובד אחד. כי אם יש לנו מאות משתמשים רק של משרד הפנים, ועוד מאות משתמשים של לקוחות חיצונים, מאות שירותים שאנחנו נותנים ללקוחות חיצוניים, זו לא עבודה לבנאדם אחד, והמנהל הכללי הנוכחי הבין את זה.

מבחינת זליגת המידע - דרך אגב הציון שקיבלנו השנה בנושא של אבטחת המידע מטעם הרשות לאבטחת מחשבים הוא 82, כלומר עלינו לציון 82 ואני מקווה שבשנה הנוכחית נעלה עוד קצת. כך שהמערכת היא לא מערכת פרוצה וכל מי שרוצה להיכנס אליה יכול. אני לא חושב שזה המצב. הבעיה שלנו היא בעיה של זליגת המידע. כאן הבעיה העיקרית שלנו. מבחינת ההנחיה של שירות הבטחון הכללי, הנושא של ההגנה על הפרטיות הוא לא איום הייחוס, איום הייחוס הוא בעניינים אחרים ועל מה הוא אמור להגן.

עמדנו על כך שבסקר הסיכונים החברה תבצע גם סקר בנושא של זליגת מידע וקיבלנו על זה ריקושטים ואנחנו צריכים לטפל בהם. בנוגע לזליגת המידע אנחנו מעבירים מידע על פי חוק, את המידע אנחנו חייבים להעבירעל פי חוק חוק למשרדי ממשלה, לגורמי בטחון, למפלגות, לגורמים פרטיים כמו שוק ההון, בנקים. לכל אלה שמקבלים מאיתנו מידע. יש אתר באינטרנט של משרד הפנים ובו רשום מי מקבל מידע, איזה משרדים מקבלים מידע ומהם השדות שהם מקבלים.

בעניין הזה רציתי לשאול אותך, אמרתי קודם שאני בדקתי קצת והתייעצתי עם אנשי מקצוע בעניין הזה. נאמר לי לדוגמה כשרוצים להעביר דיסק עם מידע, ורוצים שהוא יהיה בשימוש אצל גורם אחד בלבד, יש היום פתרונות טכנולוגיים שלא מאפשרים העתקה, לא מאפשרים שכפול. ברגע שמתבצעת פעולת שכפול הנתונים משתבשים והמידע לא מסוגל לעבוד במקום אחר. תכנות מאוד פשוטות שיודעות לעשות ולשמור על עצמן באופן כזה.

איך אצלכם לא היה שום תהליך שאמר שאם אתם מעבירים את המידע הזה אז המידע לא בר העתקה, כנראה שאין בררה וחייבים להעביר את המידע הזה, ניתן, ואני יודע שניתן כי קיבלתי הוכחות לדבר הזה, ניתן היה לשכפל דיסקים ולשכפל קבצים ולהעביר מאחד לאחד. איך לא התגברתם על הדבר באמצעות טכנולוגיות פשוטות.

כשאנחנו מעבירים מידע למישהו, הדבר הראשון שהוא עושה זה לשתול את הנתונים בבסיס הנתונים שלו. יושבים פה חברים מהמוסד לביטוח לאומי, להם אנחנו נותנים מידע והם מקבלים אותו לצורך שתילתו בתוך המערכת שלהם. לא שהם לוקחים דיסק והם עובדים איתו מרחוק.

זה ברור. אני פחות מדבר על המוסד לביטוח לאומי, אני מדבר על גורמים - - -

אצל כל הגורמים זה כמעט אותו דבר. אצל כל הגורמים זה אותו דבר. אנחנו התחלנו לעשות, התחלתי לומר והפסיקו אותי בפעם הקודמת, ביוזמתנו שונה החוק בנושא של המפלגות ששם אנחנו שותלים סימנים מיוחדים בכל פנקס בוחרים שאנחנו נותנים. לאחרונה אנחנו קיבלנו אישור מהלשכה המשפטית שלנו גם לסמן קבצים שאנחנו נותנים ללקוחות אחרים. אנחנו נתחיל עם זה בתקופה המאוד מאוד קרובה. זה אומר שהמוסד לביטוח לאומי יקבל מאיתנו נותנים שאנחנו נסמן אותם ואנחנו נודיע לו שאנחנו מסמנים, כמובן שלא נגיד מה סימנו.

אם חלילה אנחנו נראה בפעם הבאה דליפה נוכל לדעת בוודאות מאיפה הנתונים האלה יצאו. אנחנו מדברים על קבצים גדולים של יותר ממאה אלף, אפשר גם בפחות, אבל ברגע שנתחיל לסמן את הנתונים האלה ונודיע לכלל המשתמשים, שימו לב מהיום הנתונים שאתם מקבלים מסומנים בסימון חד ערכי. אני מניח שהאמצעים שהם ינקטו כדי להגן על המידע יהיו גדולים יותר. להערכתי נצמצם את התופעה, אם לא נמנעה אותה לחלוטין.

לגבי הליקויים שנאמרו שיש במערכת "אביב" ליקוים כמו חוסר מידע על ארץ העלייה או דברים מהסוג הזה. הנתונים במערכת "אביב" הם נתונים היסטוריים משנת 1948. בשנות החמישים הנתונים היו על כרטיס מנוקב שסך כל התווים שהופיעו בו היו כשמונים, עשו אז כל מיני כיווצים, כלומר הנתונים היו מאוד מצומצמים. בשנת 1966 עברנו לסרטים מגנטיים ואורך הרשומה גדל ל- 117, כלומר הוסיפו עוד כמה נתונים. רק עם התפתחות הטכנולוגית בשנת 1976 עברנו לבסיסי נתונים שבו אין כמעט הגבלה לגבי המידע על כל אדם. למשל אורך השם שלו, קשרי המשפחה שלו ועוד.

לא נעשתה פעולה של הסבה רטרואקטיבית, זה אסור עלינו גם כן. כלומר אסור לנו לקחת נתון ולשנות אותו מבלי שהאדם יסכים על כך, גם אם מקורו בטעות., למשל אם למישהו יש טעות בשדה הלאום או בדת, ולמרות שאנחנו יודעים שזו טעות, כדי שנתקן את זה אנחנו צריכים לזמן את האדם ולבקש ממנו אישור לתיקון הטעות. ואם לא ניתנה הסכמה לבקש מבית משפט אישור עבור התיקון הזה. אין לנו את הפריווילגיה לעשות תיקונים אוטומטיים אפילו אם אנחנו יודעים מהי הטעות.

הליקויים המדוברים כאן הם למעשה חוסרים. כשעברו לבסיס נתונים מתקדם יותר לא עשו הסבה על כל התושבים אחורנית., למשל נושא ארץ העלייה נכנס למערכת שלנו רק בשנת 1976, לגבי כל אלה שעלו לארץ לפני 1976 מצוין רק שדה ארץ הלידה שלהם, כי זה מה שהיה. עם התפתחות הטכנולוגיה יכולנו להוסיף פרטים נוספים. מטבע הדברים יש לנו אלפי רשומות בהם יש חוסרים. כדי לעשות מבצע ולתקן את זה, זה ברמה אסטרטגית. החלטת המשרד עד היום היא לא. זה לא ברמה של מחשוב.

בתקופה המאוד קרובה אנחנו הולכים לסרוק את כל התיקים הפיזיים ואז לקשור את התיקים הפיזיים לתוך מערכת "אביב" ודרך זה נוכל להשלים מידע. כך שכל הנושא של ליקויים מבחינת החוסרים במידע במערכת "אביב" יוכלו להתווסף למערכת "אביב" כתוצאה מהתפתחות הטכנולוגית - הנתונים שנכנסו בשלבים מאוחרים יותר וזה יבוא לידי פתרון. זה מבחינת החוסרים.

כפי שהמנהל הכללי אמר, אנחנו מסכימים עם דוח המבקר בדברים הרבים שנאמרו.,ועשינו פעולות לתקן את הליקויים. ביצענו תיקוני ליקויים שעצרו לנו תכניות פיתוח של נושאים אחרים, זה מה שצריך לעשות וזה ובסדר, וצריך לקבל החלטות כאלה.

בנושא של הרשאת מנהל, נמצא פה עמוס ארבל מנהל אגף מעמד ברשות והוא יסביר אותו.

אנחנו נרצה לשמוע גם את היועץ המשפטי של הרשות.

אם ההרגשה הייתה שהמערכת הממוחשבת מאוד פרוצה וכל מי שרוצה חודר ולוקח נתונים, לדעתי זה לא כך. אני לא אומר שהמערכת מושלמת, כי אין מערכות מושלמות.

העלו פה את הנושא של מאגר ביומטרי, אני חושב שזה משהו אחר, המאגר הזה יישב בכלל במקום אחר והוא לא ינוהל על ידנו, זה יהיה מאגר סודי ובלי פרטים אישיים. הנתונים האלה רגישים הם אינם סודיים.

מה ההבדל בין סודי לרגיש?

כפי שאני יודע, מידע סודי זה מבחינת סוד מדינה. גם בנהלים של אבטחת מידע, ההגדרה קובעת גם את אופן ההגנה.

ומה זה רגיש? מאיפה אתה לוקח את ההגדרה? באיזה חוק כתוב רגיש או סודי?

בנהלים שקיבלנו בנושא אבטחת מידע יש את ההגדרה של רגיש ולא את ההגדרה של סודי. אני לא יודע אם זה בחוק הגנת הפרטיות, אבל מבחינת צנעת הפרט זה לא סודי וזה מוגדר כרגיש, זה מה שאני יודע. ברגע שאתה מגדיר משהו אתה צריך לגזור מההגדרה את חליפת ההגנה.

מי מגדיר?

שירות הבטחון הכללי מגדיר, הוא הגדיר את המערכת שלנו כמערכת נחוצה.

מי מגדיר על פי חוק הגנת הפרטיות, מי מגדיר את רמת האבטחה? עזוב כאן את בעיות הבטחון של המדינה. אנחנו מדברים כעת על חוק הגנת הפרטיות. למה זה רק רגיש? האם יש דרגה גבוהה יותר מרגיש? האם יש דרגה נמוכה מרגיש?

יש למישהו עוד שאלות למר ניסים אליאסף. נציגי המבקר?

אני מציע שהשאלה תעמוד גם מול הדוברים האחרים. כשאני שומע "בזמן הקרוב", אני מבין. יש לוח שנה והאם אתם מוכנים, גם אתה וגם אחרים, לומר שהליקוי הזה יסתיים כבר בתאריך כזה וכזה, הליקוי הזה יסתיים בתאריך הבא. יש לכם תכנית עבודה וזו וועדת ביקורת המדינה, מה יצא בסוף, בעזרת ה' הכל יסתדר בסוף. הרי אם נרצה לעקוב שוב מחר, נציין שבזמן הקרוב? איזה תאריך זה אצלכם?

כפי שאמרתי, בעזרת ה', יש לנו - - -

אני בדקתי, ה' רוצה וכעת נשאלת השאלה אם אנחנו רוצים?

אני רגיל לומר בעזרת ה', אמרתי שאני מוכן להעביר דיווח על כל מה שביצענו במהלך כל השנה, ומה שהולך להתבצע במהלך השנה הקרובה.

יועבר לוועדה. חבר הכנסת אורי אריאל, אנחנו בוועדה נגדיר גם את לוחות הזמנים, גם אם הם לא יחליטו אנחנו נציע להם לוחות זמנים.

בעקבות דוח המבקר והפעילות הפלילית שהייתה בלשכה באילת, עליה עלו דרך המשטרה, עלינו בעקבות הדוח הזה על ארבעה תהליכים שהם בעיתיים וצריך לטפל בהם בצורה שונה ממה שהיה עד אז. לשם כך ניתחנו את ארבעת התהליכים שעיקרם ועניינים בהנפקת דרכונים לאנשים שאינם זכאים לכך. באילת תרגמו את זה לפעילות פלילית ובמקרים אחרים זה היה "שלא בסמכות" אבל זה התבצע דרך הלשכות של הרשויות.

הוחלט אז על ידי ראש הרשות על תהליך שנקרא "הרשאת מנהל", שהפעילות עצמה תתחיל על ידי פקידים בלשכה, אבל לא יהיה ניתן להשלים אותה ולנפק את הדרכון ואת התיעוד הנדרש, אלא על יד גורם מוסמך במטה שייתן את ההרשאה וילחץ על Enter, וישחרר את אותה פעולה ואז יהיה ניתן לבצע את הפעילות בלשכה. כמובן שלאחר בירור על ידי אותו סמכות ובעל תפקיד במטה בירושלים שידע מתוקף סמכותו והמקצועיות שלו לטפל במקרה ולתת את המענה הרלוונטי. על ידי כך המענה המקצועי מול הלשכות יהיה הרבה יותר טוב. במקרים, חלילה, שהם פליליים או לא ענייניים יהיה אפשר לחסום את זה דרך המטה.

היו ארבעה תהליכים כאלה. לאחר החלתם ותחילת הפעילות הזאת של "הרשאת המנהל", עלתה זעקה מהשטח, גם מהפקידים ועובדי הרשות בשלושים הלשכות ברחבי הארץ, וגם על ידי הציבור עצמו שטען שהפעילות הזו היא מסובכת יותר ובירוקרטית יותר. העברת המשך הטיפול למטה, למרות שזה במחשבים, זמינות אנשי המטה היא לא זמינות מידית כמו בלשכה עצמה. העניין צף בזעקה מול ראש הרשות בטענה שקשה מאוד להתמודד עם הסוגיה של "הרשאת המנהל" במטה בירושלים. העניין הזה עלה שנית לראש הרשות לבדיקה והוא החליט שאחד מתוך הארבעה בלבד תשוחרר על ידי המנהל או סגן בלשכה עצמה וכל יתר השלושה יישארו כמו שהיה בהחלטה הראשונה ושהם יבוצעו דרך המטה. כאשר הפשוט והקל ביותר מתוך הארבעה שוחרר, מדובר כאשר שאדם בא ללשכה ומבקש למשל את הדרכון בלשכה ובמערכת "אביב" רשום שהוא נמצא בחוץ לארץ, אבל הוא נמצא פיזית בתוך הלשכה.

הבעיה רק במערכת רישום הגבולות שלא עדכנה את מערכת "אביב", מפאת תקלה טכנית או הזמן. אבל האדם נמצא בלשכה ואי אפשר לבצע לו שום פעילות היות והוא רשום שהוא נמצא בחוץ לארץ. במקרה כזה כשיש זיהוי וודאי שזה האדם וזיהו אותו, רק אז הפקיד יכול לקבל את הבקשה ומנהל הלשכה יכול לתת את ההרשאה. גם כאן שני אנשים צריכים לעשות את זה וזו הגבלה שלא הייתה קיימת בעבר שאדם אחד קיבל את הבקשה והוא זה שגם יכול לבצע את כל התהליך עד תומו. החידוש הוא ששני אנשים צריכים לאשר. כך מצאנו את הפתרון לבירוקרטיה ולקצר את כל התהליכים וגם לסגור את כל המערכת.

המבקרת הפנימית של משרד הפנים. אני מבקשת רק להבהיר שהאחריות למינוי ממונה אבטחת מידע, היא על הנהלת המשרד ולא על מנהל אגף המחשוב.

לצערי, לא הצלחתי במשך שנים לשכנע את המשרד למנות ממונה אבטחת מידע. בעבר זה אפילו הוטל על מנהל אגף המחשוב כדי לחסוך במשאבים. לדעתי הנושא הזה אינו מוסדר ואני בררתי בכמה משרדי ממשלה, נכון שלהם יש מאגרים פחות רגישים אבל בכל המשרדים שבררתי, ממונה אבטחת מידע כפוף למנהל מאגר המידע או שמנהל מאגר המידע מבצע את זה תוך כדי עבודתו. מנהל האגף לביקורת המדינה במשרד ראש הממשלה הוציא אומנם נוהלי מסגרת לאבטחת מידע, אבל הם לא מחייבים אף אחד. מה שנעשה בצורה וולונטרית מתייחסים אליו כך.

אני חושבת שצריך להסדיר את העניין ולהבהיר מה מעמדו של מנהל אבטחת מידע, ומה הכישורים הדרושים. לדעתי הנושא לא מוסדר וזאת ההזדמנות לתקן.

מה לדעתך ברמה הכלל משרדית, האם אפשר לעשות כדי לקדם את זה, ומי לדעתך צריך?

משרד המשפטים צריך לקבוע את הכללים.

יש רשות לאבטחת מידע.

אנחנו נתייחס לזה. אני מודה לך על התוספת החשובה הזאת.

אני מבקש לשאול אותך מר דניאל סולומון, היועץ המשפטי של הרשות, כמה זמן אתה יועץ משפטי?

פורמלית מ- 1 בינואר, אבל הייתי עוד במשרד הפנים.

אתה יודע שנושא אבטחת מידע זה בחוק? למעשה זה תחת קורת גגך, הייתה הפרת חוק ואתה אפילו לא התרעת בעניין.

אני מתחבר לדברים שנאמרו כאן. ראשית הרשות הוקמה לפני כשנה, באמצע יולי 2008.

היועץ המשפטי, תתייחס לנושא של משרד הפנים כי אנחנו מתייחסים לדוח על משרד הפנים, ואני אומר לך שוב, אני לא צריך הסברים כי כולנו קראנו וכולנו מבינים, שאלתי שאלה מאוד ברורה, ואל תחזור על מה שאנשים כבר אמרו, שהרשות חדשה ושהיא הוקמה מהר. אני שואל, אתה היית גם לפני תקופת הרשות, הרי זה לא מאגר חדש, גם עוד לפני הקמת הרשות יש הנחיה בחוק למנות את התפקידים האלה. החוק לא קוים ואתה יועץ משפטי, איך אתה נתת לזה לקרות?

אם אנחנו מדברים לפני תקופת הקמת הרשות, בחיבור שלנו בשוטף בעניין מאגר הממוחשב זה בהעברת מידע לגופים חיצוניים. לפי חוק הגנת הפרטיות ולפי התיקון של חוק מרשם האוכלוסין, יש טופס ברור איך מעבירים את המידע ומי צריך לאשר?

לא מדברים על העברת המידע.

זה הקשר שלי לנושא ואני תכף אתייחס.

הקשר שלך לנושא זה שקודם כל שתקופתך הופר החוק, זה הקשר המרכזי שלך. אתה יועץ משפטי. אם אזרח, ואני אמרתי את זה בפעם הקודמת, אם אזרח היה עומד מולך ועובר על החוק בהקשר שלכם הייתם רודפים אותו עד קץ הימים. כל האנשים סביבך עברו על החוק ואתה היית בסדר עם זה ואפילו לא הוצאת נייר על כך.

אני מתמקד, עוד שני משפטים אני שם. הקשר הישיר שלנו לנושא זה דרך העברת המידע. יש שם טפסים ברורים עליהם חותמים. אחד מהחותמים על הטופס לפני שמעבירים מידע, לצד היועץ המשפטי, ויש לנו שתי עורכות דין שעסקו בזה בשוטף, הוא הממונה על אבטחת המידע במאגר. כל הטפסים בשנים האחרונות נחתמו על ידי מר ניסים אליאסף כממונה על אבטחת מידע .

הוא לא היה ממונה על אבטחת מידע.

מסתבר שהוא לא היה ממונה על אבטחת מידע, וזה נכון. אני אומר שלולא הוא היה חותם זה היה נעצר והמידע לא היה מועבר וכנראה הנושא היה מתפוצץ באיזו צורה. ציינה כאן קודם הגברת ברכה פלאוט, היו דברים שאני גיליתי בדיעבד, שכבר לפני שנים הנושא עלה במשרד הפנים ונדון, ביקשו למנות ולא מינו. אבל בתקופה שאני עוסק בנושא הזה אנחנו לא היינו מודעים לכך שמר ניסים אליאסף לא היה מוסמך לחתום כממונה על מאגר מידע.

המנהל הכללי גם דיבר על כך שמונה מישהו אחר בשלב כלשהו עם הקמת הרשות, והוא עסק גם בדברים אחרים. אבל לנו לא הייתה שום מודעות לכך, הרי החוק לא מדבר על מינוי ששר הפנים או משהו דומה. צריך שזה יהיה אדם שזה תפקידו. ומי שחתם כממונה היה ניסים אליאסף והוא גם תיאר כאן שהוא נבדק שוב ושוב על ידי השירות, על ידי שירות הבטחון בכללי, והוא קיבל מינוי של ממונה תשתית קרדיט וכדומה, לכן ההבנה הייתה, גם כשראינו שהוא עוסק בנושא שהוא הממונה על התחום. זו הייתה ההבנה שלנו ומסתבר בדיעבד שלא כך.

מצאת דרך לסתום את החור, וסתמת אותו.

לא חיפשתי דרך, זה לא הוצג בעיניי כבעיה. ההבנה שלי הייתה שיש ממונה לאבטחת מידע. זו לא בעיה שחיפשתי והתעלמתי, לא הייתה בעיה בכל מה שקשור אלי, לידיעתי לא הייתה בעיה.

ליבי ליבי למר ניסים אליאסף. אתה יודע שכדי שאתם תשנו בשקט, הוא נאלץ לקורא לעצמו בתפקידים שהוא לא ממונה. הוא נאלץ להתחזות והוא סוג של מתחזה, בגלל שאתה רוצה להיות רגוע ושיהיה מי שיחתום על הטופס, אחרת הכל היה תקוע.

הדבר האחרון שאני רוצה להיות, זה רגוע. שוב אני אומר, הנושא לא הוצג בפניי כבעיה מעולם.

אני רוצה לשאול שאלה אחרת. מה עשית מרגע שגילית?

מהרגע שהנושא הוצף, העלו כאן בדיון, שצריך למנות מישהו.

מתי תעשו את זה?

עכשיו הוא דיבר על כך, אבל כשבאתם בפעם הקודמת לא היו תשובות על זה. מאז ישיבת הוועדה פתאום נכנסו למסלול של ממונה אבטחת מידע. מה קרה קודם? הטיוטה אצלכם בוודאי תקופה מאוד ארוכה. שום פעולה בעניין הזה לא נעשתה לא על ידך ולא על ידי אף אחד אחר במשרד הפנים.

כפי שאמר, המנהל הכללי מונה - - -

אל תגיד לי מה שהמנהל הכללי אמר, המנהל הכללי חדש.

אני מתאר את העובדות. מונה אדם, וכמו שציין המנהל הכללי כנראה לא עסק בזה בפועל, בתחום. אבל מונה אדם.

מר ניסים אליאסף, אתה מונית לממונה אבטחת מידע. יש לך מינוי כזה?

של תשתית מידע קריטי, לא של אבטחת מידע.

מאז שהגיע טיוטת המבקר שאומרת, שמתבצעת לכאורה עבירה פלילית.

מספטמבר מה נעשה?

כפי שאני אומר, מונה אדם אחר לתפקיד הזה, הוא מונה עוד קודם לכן וכפי שציין המנהל הכללי הוא לא עסק בזה.

מי זה האדם הזה?

הוא נמצא כאן ושמו דוד פאר.

דוד פאר, אתה מונת למה, ומתי?

לפי מיטב ידיעתי ועל פי המכתב שראיתי מה- 1 ביולי.

אני מוכרח להתייחס כבוד היושב ראש, אין ספק, ואני ציינתי את זה ולא ניתן לטייח, היה כאן כשל. היה אדם שמונה, אני לא יודע אם הוא ידע שהוא מונה, רבותיי אני קיימתי ישיבה.

אולי זה קשור לצנעת הפרט שלו.

השר מיכאל איתן, אני באמת מנסה לענות רצינית. אני אומנם פחות משבוע בפוזיציה הזאת, אבל מיד כשנודע לי, אמרתי שזאת בעיה. זאת בעיה שאין כתב מינוי לאדם באופן ברור ושהוא מבין את התפקיד ושהוא קשור לתפקיד ושיש לו כישורים.

הוא מתעקש על כך שהאדם קיבל מינוי.

האדם קיבל מינוי לאחרונה ביולי, כשהתעורר העניין הזה.

אתה מתווכח על כך?

כן אני מתווכח. אין בחוק הגדרה של כתב מינוי. צריך אדם שזה יהיה תפקידו. אני מציע. השאלה מה היה תפקידו כשהוא הגיע למשרד. האיש הגיע באוגוסט 2008 כמה שבועות לאחר שהוקמה הרשות. השאלה מה היה תפקידו.

אבל הוא לא מילא אותו.

על זה אני לא יכול לענות לך. באמת אני לא יכול לענות לך.

אני מבקש שהשר מיכאל איתן יתייחס.

אני לא רוצה להתייחס, אני גם לא מתמצא בפרטים. בגדול, אנחנו מבינים את הסיטואציה. אנחנו מסתכלים על כך כתופעה. יש טכנולוגיה, והטכנולוגיה מסייעת ויכולה להשיג מטרות חיוביות. אז באופן טבעי לגמרי בני אדם משתמשים בה ומנצלים אותה. יש בה גם סיכונים, הצד של הסיכונים נדחק ונגרר תמיד אחורה. מדינת ישראל וממשלת ישראל לא ערוכה לטפל איפה שצריך לשלם עבור השימוש. כשמקבלים את השימוש בטכנולוגיה וכולם נהנים ומריצים אותה אז הכל בסדר.

איפה שצריך לשלם, כלומר להשקיע בשמירה ובאבטחה ובדברים קשים שלא רואים מהם כרגע איזה יתרון, הם עושים רק מניעה מפני פריצה, וזה הדבר האחרון שעליו מוצאים את הכסף. כשפקיד מקבל הוראה מהמנהל הכללי "נא להביא לי מידע שאני אוכל לתכנן את הפעילות שלי", אז יש תקציב והכל בסדר. כשבאים למנהל הכללי ואומרים לו שיכולה להיות פריצת מידע. התשובה היא שזה לא הכי דחוף ושיש עוד זמן. מטילים את זה על פלוני ועל אלמוני וזה מתדרדר עוד ועוד.

יש כאן בעיות של ניגוד אינטרסים בין בעלי תפקידים, שאחד מהם צריך להביא את המידע והשני היה צריך להיות זה שמגביל את היעילות תמורת אבטחת המידע. אבל זה לא הולך.

בעיניי מה שעולה מהדוח הזה, זה לאו דווקא משרד הפנים, ואני גם לא רוצה לדבר רק על משרד הפנים כי מזווית הראיה שלי ההתבוננות על ממשלת ישראל ברמה הלאומית. הקימו רשות לאבטחת מידע, רשות הגנת הפרטיות וטכנולוגיות המידע. זה הגוף המרכזי של ממשלת ישראל שנמצא במקום שבו גם צריכה להיות מודעות יותר חזקה לנושאים של ההגנה על כל זכויות האדם, ופרטיות היא אחת מהם.

נראה לי שההערכות בנוגע לאבטחת המידע ושמירת הפרטיות הייתה צריכה להגיע משם. אם היה להם מספיק כוח הם היו צריכים להיות הגוף המפקח על כל משרדי הממשלה, ולוודא שהדברים האלה נעשים. הם כגוף עצמאי פחות כפופים, אני רואה את היועץ המשפטי מתפתל, אני מבין למה הוא מתפתל. לו לא היה מספיק כוח לעמוד מול האינטרסים של המשרד שאומרים בואו נתקתק את זה, באו נריץ, בואו נעשה. אני הייתי מצפה שיהיה גוף מרכזי שזה יהיה תפקידו והוא זה שיעשה את הבקרות השוטפות שבכל המשרדים אכן ממלאים אחר ההוראות והתקנות. אני חושב שבשביל זה הם קמו וזה הפתרון שאני חושב שצריך להיות.

אנחנו נקבל את ההתייחסות של חברי הכנסת, דב חנין בבקשה.

שוב אני רוצה לפתוח בתודה למבקר המדינה ולצוותו על הביקורת שחושפת בפנינו ליקויים שאנחנו צריכים להידרש להם ולטפל בהם. כמו השר מיכאל איתן אני לא רוצה להתייחס למקרה הקונקרטי שאני באמת לא מכיר אותו עד הסוף ואני לא השתתפתי גם בדיון מתחילתו. אני מניח שניתנו הסברים והגורמים המבוקרים מנסים לטפל בבעיה.

אני רוצה לדבר על ההשלכות הרוחביות ממה שאנחנו רואים בממצאי מבקר המדינה. עוד משנת 1981, עמיתיי חבריי הכנסת, יש לנו במדינת ישראל את חוק הגנת הפרטיות שמגן באופן משפטי ברור על המידע הפרטי והאישי שלנו, כל הנתונים על האישיות שלנו, על המעמד האישי שלנו, צנעת הפרט, מצב הבריאות, מצב כלכלי, הכשרה מקצועית, דעות, אמונות, כל זה מוגן מכוח חוק הגנת הפרטיות מ-1981. במשרדי הממשלה השונים, אני יודע, נקבעו נהלים והיו גם נהלים בשני המשרדים הרלוונטיים, גם במשרד הפנים היו נהלים וגם במוסד לביטוח לאומי היו נהלים.

אבל מסתבר, שכמו שיש נהלים יש גם ליקויים ופרצות. דוח מבקר מגלה כמה מהליקויים האלה. אנחנו מחלקם יכולים מאוד להתרגז כי בנובמבר 2003 מבקרת הפנים מתריעה על מחדלים באבטחת המידע בפני הנהלת המוסד לביטוח לאומי ולא קורה שום דבר במשך כמה שנים זה באמת מרתיח. אבל באמת זה לא מקרה בודד. כי באוגוסט 2006 מנהל החטיבה לאבטחת מידע יודע שצריך לרכוש חומרה מסוימת והוא אף יודע איזו חומרה צריך לרכוש כדי שהתכנה שמטפלת באבטחת מידע תפעל, ובכל זאת הוא לא נערך בהתאם.

יש ליקויים שהם רוחביים, והם לא נוגעים רק לפעולה לקויה של הנהלת המוסד לביטוח לאומי אלא זה נוגע גם למשרדים אחרים. אנחנו רואים את זה גם במשרד הפנים. אני אומר בצער שמן המפורסמות שבמדינת ישראל סוחרים בנתונים שאמורים להיות נתונים ששמורים בידי משרד הפנים. סוחרים בהם.

מבקר המדינה בודק שני משרדים, הוא לא בודק עוד הרבה משרדים אחרים שבידיהם יש נתונים שלנו. אני אומר בצער, בחשש, שסביר להניח שאם במשרדים אחרים היו בודקים היו רואים, אולי לא אותם הליקויים, אבל ליקויים כאלה ואחרים קיימים ושמאפשרים בהחלט דליפה של המידע האישי שלנו האזרחים לידים שאינן מורשות ואינן ראויות.

השאלה הגדולה היא, מהו הלקח מהדברים האלה? מבחינתי הלקח העקרוני הוא לקח של הבחנה בין שני סוגי מידע. יש מידע שהוא מידע חיוני. הרשויות חיבות אותו ובלעדיו הן אינן יכולות לתפקד, את המידע הזה הן צריכות כנראה לצורך התפקוד שלהן ולכן הוא צריך להיות בידהן. אבל על המידע הזה הרשויות צריכות להגן מכל משמר. אני אומר את זה מתוך הנחה שגם המידע החיוני הזה לא בטוח, אבל אין בררה כי הרשויות לא יכולות לתפקד בלי שהמידע הזה יהיה בידהן.

לכן אנחנו כחברה, מוכנים לשלם את המחיר שיהיו לנו תקלות, והיו לנו תקלות כי כל רשת שבונים אותה, ושמתכננים אותה יש בה פרצות. אם אין בה פרצות אז יש מי שמחורר אותה. כל מערכת לאבטחה, כך למדתי, ניתנת לפריצה במקודם או במאוחר באופן כזה או אחר. מידע חיוני שהרשויות לא יכולות בלעדיו, אין לנו מנוס, ניתן אותו בידיהן ונקווה לטוב, ונשתדל שמבקר המדינה הנמרץ יחשוף ליקויים ושהרשויות יתקנו בזמן. ככל האפשר נשמור על המידע הזה מפני ידיים שאינן מורשות.

לעומת זאת, ישנו מידע שאיננו חיוני, שאפשר לחיות בלעדיו. יש גם מידע כזה ומידע כזה ראוי לא לרכז בידי הרשות. מטבען של רשויות שהן אוהבות לרכז בידיהן גם כוח וגם מידע, וגם נתונים. בשעה 12:30 היום אנחנו מגיעים לישיבה גורלית בנושא חוק המידע הביומטרי שהוא לפי טעמי מידע שהרשות לא צריכה אותו. היא באמת לא צריכה אותו והיא יכולה להסתדר נהדר בלעדיו. אבל הנה אנחנו מחוקקים, ונמצא איתנו השר מיכאל איתן שהוא אחד המובילים את ההתנגדות למהלך הזה, זה מהלך חפוז ומסוכן. אנחנו מובילים מהלך של יצירת מאגר אדיר של מידע שהוא לא באמת חיוני, הוא לא באמת דרוש. הרשויות יכולות להסתדר בלעדיו היטב., גם תעודות זהות חכמות יכולות להיות בלעדי מאגר המידע הביומטרי הזה. אבל אנחנו עושים את זה וזה מאוד מאוד מצער וגם מאוד מאוד מדאיג.

אני רוצה לסיים בכך אדוני היושב ראש. אנחנו לא לומדים את הלקחים הרוחביים. אנחנו קוראים את דוח מבקר המדינה, מזמנים ישיבה. שואלים את הגופים המבוקרים והגורמים המבוקרים כבר קיבלו ביקורת. הם יתקנו, אם הם לא יתקנו מחר אז מחרתיים. השאלה הגדולה היא לא להסתכל על אותו דבר שנמצא מתחת לפנס שמבקר המדינה כבר הדליק, שם כבר יש אור וזה כבר מטופל.

השאלה הגדולה היא, מהו הלקח הרוחבי שאנחנו כחברה, שאנחנו כמדינה, שאנחנו כמערכת לוקחים מתוך האור הזה למקומות שנמצאים היום בחושך. איזה לקח רוחבי אנחנו לוקחים, איזה לקח רוחבי אנחנו מיישמים, מה אנחנו לומדים מהליקויים האלה באבטחת המידע, ועל הצורך להגן על עצמנו כחברה מפני צבירה של מידע לא חיוני. מבחינתי זה הלקח החשוב ביותר של הדוח הזה. לכן אני רוצה לחזור ולהודות למבקר על העבודה החשובה שהוא עושה.

בדיוק בגלל זה , ובעניין הזה אנחנו ניגע גם בעקבות מה שאמרה מבקרת הפנים לגבי המשרדים האחרים. הוועדה תתייחס גם לזה.

הוועדה רוצה לשמוע את עורכת דין אורית קורן, המשנה ליועץ המשפטי לממשלה. תתייחסי גם לעובדה הזאת שהחוק הזה, כמו שנאמר, זו עבירה פלילית כשאין ממונה אבטחת מידע, ולמעשה הייתה עבירה או לא קוים החוק. ואולי זה קורה במשרדים אחרים. הייתי רוצה לדעת מה אתם עושים בעניין הזה וכיצד אתם מפקחים ומוודאים שהדברים האלה אכן מקוימים.

באופן עקרוני אנחנו כיועץ משפטי לממשלה לא מפקחים באופן אקטיבי בכל הנוגע בכלל למילוי החוק ועל הדרך בה מתנהלים המשרדים.

מי צריך לבצע את זה?

לא בכל דבר יש גורם כזה. פה באופן עקרוני, קיימת הרשות להגנת הפרטיות ויש לה היום סמכויות פיקוח ואכיפה מוגבלות. כאשר יש הבנה בקרב הרשות וגם אצלנו שיש מקום לתגבר את הסמכויות גם של הפיקוח וגם של האכיפה. גם כלפי גורמים חיצוניים וגם כלפי גורמי ממשלה. הנושא הזה נמצא בתהליך של הכנה של תזכיר לתיקון החוק.

מי מכין את זה?

הרשות, ביחד עם מחלקת ייעוץ וחקיקה במשרד המשפטים. זה נמצא כבר בשלבים מתקדמים של הכנה. כדי שבאמת יהיה אפשר לשפר את יכולת הפיקוח, כי באמת תפקיד הפיקוח צריך להיות בידי - - -

מה לוח הזמנים לתזכיר החקיקה הזה?

אנחנו מאוד מקווים ומשתדלים שנוכל להגיש אותו לכנסת כבר במושב הבא.

שלושה, ארבעה חודשים.

זאת השאיפה שלנו. אנחנו עובדים על זה במרץ. רק השבוע הזה אנחנו מקיימים שתי ישיבות בנושא ויש עוד כמה ישיבות. אנחנו עובדים על זה במרץ ואנחנו רואים בזה אינטרס חיוני.

יש פה גם צורך להקדיש מחשבה איך נכון לבנות את כל הנושא של הממונה על הגנת הפרטיות. אבטחת מידע היא לא אחד לאחד עם הגנת פרטיות. הגנת מידע משרתת, במידה מסוימת, את הגנת הפרטיות, אבל היא גם משרתת אינטרסים אחרים, וזה עלה גם פה, כמו אבחנה בין מידע סודי, מידע רגיש. מידע רגיש זה מונח מתחום הגנת הפרטיות. מידע סודי, הוא מתחום הגנה על בטחון המדינה. לפעמים יש חפיפה בין שני הדברים.

אותם צעדים שננקטים על פי ההנחיות שירות הבטחון הכללי גם מגינים על הפרטיות, אבל ברור שצריכה להיות מודעות לאינטרס לשמירת בטחון המדינה וגם על הפרטיות ולעשות לפעמים פעולות שאינן חופפות. לרוב הן לא מתנגשות אבל לפעמים צריך לעשות פעולות נוספות כדי להגן על הפרטיות ולא להסתפק רק על ההנחיה של שירות הבטחון הכללי לגבי אבטחת מידע מטעמי בטחון המדינה.

זה נושא שאנחנו מקדישים לו מחשבה, אנחנו נקדיש לזה מחשבה גם במסגרת תיקונים, זה לא התיקון היחידי שנמצא על הפרק מבחינתנו לחוק הגנת הפרטיות. אני לא בטוחה שנכון לעסוק בזה דווקא בקונטקסט של התזכיר הנוכחי של התמקדות על פיקוח ואכיפה. זה נושא שבפתחינו. עכשיו שזה נושא שמתחדד. אפשר גם לקיים תהליכי חשיבה ולראות עד כמה, על יסוד החוק הקיים, אפשר לתת איזה אמות מידה בנושא הזה. ואם לא לבחון איך אפשר לשפר את החקיקה.

תיקון חקיקה זו הזדמנות מעולה להתיישר לתוך הכיוון. גם מתוך הפקת הלקחים.

לטעמנו, ישנם הרבה נושאים בתחום של הגנת הפרטיות שאפשר לשפר אותם. אנחנו רוצים להתקדם. הכי טוב היה להכין מערך של חקיקה שלם בנושא הזה, אבל תמיד יש איזה מתח בין הרצון להסדיר מהר את הדברים הדחופים לבין הרצון לעשות הסדר כולל חדש., בתוך המתח הזה אנחנו מתנהלים ויתכן באמת שאנחנו נפריד, כמו שכרגע אנחנו באמת נוטים, איזה תזכיר בנושא של פיקוח ואכיפה ובמקביל אנחנו עובדים על תיקון רחב יותר של חוק הגנת הפרטיות.

אתם תופסים את עצמכם כיחידת מטה של הממשלה כולה, עם הערכות מול הרשות?

הרשות בהחלט תופסת.

הרשות היא יחידה בתוך משרד המשפטים.

אני משנה ליועץ המשפטי לממשלה, ומחלקת ייעוץ וחקיקה של משרד המשפטים ולא ברשות.

את אחראית תחום הפרטיות?

בוודאי.

היא אחראית על תחום הפרטיות. זאת אומרת, שאם אינטרסים שונים במשרד המשפטים, היא הכתובת לנושא הפרטיות כמשנה ליועץ המשפטי לממשלה.

זה לא בדיוק נכון.

זה לא מדויק במאה אחוז?

נכון.

השאלה מופנית אל שניכם. העניין הבירוקרטי לא משנה. השאלה היא האם משרד המשפטים, המשנה ליועץ המשפטי לממשלה והיחידה לשמירת הפרטיות ביחד, רואים את עצמם כגוף שאחראי מול אזרחי ישראל מצד אחד, וכלל משרדי הממשלה מצד שני, כיחידת מטה שדואגת שכל נושא הפרטיות בכל זרועות הממשלה יפעל על פי החוק ועל פי הנורמות שאנחנו רוצים במדינה מודרנית שיודעת להשתמש בטכנולוגיה, ויודעת גם להתגונן? מבחינת הקונספט זה יוביל אותנו לנקודה עליה אנחנו מדברים עכשיו.

כלומר, אם יועץ משפטי מסוים של מרשם או מאגר מידע, או יחידה באחד ממשרדי הממשלה יודע שיש לו איזו כפיפות מקצועית לגוף שלכם, ופעם באיזו תקופה הוא מקבל זימון ויש גם ימי עיון, ושואלים אותו אם הוא בודק. הוא לבד יודע להיות יותר ערני לבעיות של הפרטיות. אתם מרתיעים לכך שבחלק מהמקומות מינו סתם אנשים רק כדי לצאת לידי חובה שיהיו אחראים לנושאים האלה. אם זה יהיה, אני מניח שנוכל למנוע תקלות יותר ויותר. אם אין גוף כזה וכל אחראי להגנת הפרטיות ביחידות הממשלה הוא לנפשו, הוא תמיד יהיה גורם שולי במערכת, ולא יוכל אפילו אם הוא יבוא עם דברים צודקים וחשובים, יגידו לו אולי זה חשוב אבל זה לא דחוף.

אני אתן לראש הרשות להסביר את תפיסת התפקיד של הרשות, ואני אשלים במידת הצורך לגבי התפקיד שלנו.

אני דווקא הייתי רוצה שתתייחס אחרי שתשמע גם את המוסד לביטוח לאומי. אני דווקא רציתי שנשמע אותך בסוף.

אני חושב שברשות להגנת הפרטיות צריך גם להוסיף את הנושא של ההנחיה ולא רק את הנושא של פיקוח ובקרה. כי ההנחיה זה משהו מחייב ומזה ייגזר הכל. אחרת נגיע לכל מיני וועדות ונצטרך להסביר למה זה לא עבד.

אני רוצה להתייחס לנושא של המוסד לביטוח לאומי שגם מופיע בדוח. נמצאת איתנו כאן המנהלת הכללית, הגברת אסתר דומיניסיני, נשמח לשמוע ממך התייחסות ואחר כך מהצוות שלך.

בוקר טוב. אני בהחלט מצטרפת לפתיח של השר ושלך שאומר שבידי המוסד לביטוח לאומי נמצא מידע שמגודר כמידע ממשלתי רגיש. לנו כמובן יש את האחריות והחבות לטפל בו ברגישות המתחייבת. אני רוצה להגיד כהערת אגב, מפברואר 2007 אני בתפקידי ולכן על כל מה שהוזכר כאן לגבי 2003 ו- 2006, זה לא היה במסגרת האחריות שלי ואני צריכה לתקן את מה היה בדוחות הקודמים. אתייחס למה שנעשה מיום הגעתי לתיקון הליקויים שעלו בדוחות הקודמים. אני חושבת שחשוב להדגיש שלאחר מספר חודשים מכניסתי לתפקיד כבר פעלנו, המבקרת של המוסד לביטוח הלאומי הגישה דוח בעניין עוד לפני דוח המדינה. דנו במסקנות הביקורת הפנימית בנושא של אבטחת מידע במוסד לביטוח לאומי.

במוסד לביטוח לאומי, קיימות בעצם ארבע יחידות שמטפלות בנושא ההגנה על המידע הרגיש המצוי אצלנו. יש לנו חטיבה לאבטחת מידע, ויש לנו אחראי שהוא יודע שהוא אחראי והוא פועל, אנחנו יודעים מיהו והוא יודע מה אנחנו רוצים ממנו.

כמה שנים הוא בתפקיד?

הרבה שנים, והוא עושה את עבודתו.

הוא כפוף למנהל המערכת?

אני אדבר תכף על נושא הכפיפויות. אני רק יכולה לומר לך כהערת אגב, שגם אם אני אנסה להכתיב לו להקל בנושא של אבטחת המידע אני לא אצליח. הוא ממש ישות עצמאית ונלחמת על הגנת המידע, בעניין הזה הוא נתון לדין של עצמו.

למרות זאת הייתה ביקורת בנושא.

אם אתה שואל ספציפית את השאלה. זה נכון שעל פי החוק הנושא של אבטחת מידע צריך להיות כפוף לקצין בטחון. אני בדקתי את זה בגופים אחרים, למרות שזה בחוק זה פשוט לא הגיוני, כי המידע הנדרש מאדם שצריך לעסוק בנושא הוא מידע טכנולוגי בתחום המחשוב, לקצין בטחון יש את הכישורים שלו, יש לנו קצין בטחון מעולה במשרד ואנחנו אחד המוסדות שיש בו בטחון מדהים, והוא גם יושב כאן. הוא לא הדמות המקצועית שמסוגלת להבין את כל מערכות המידע, אין לו את המידע המקצועי.

את זה צריך לתקן בחוק, אבל בינתיים זה החוק. יש התייחסות לכפיפות בחוק?

להפך, החוק עוסק בכיוון של הפרטיות, אבטחת המידע הבטחוני היא מכוח נוהלים ממשלתיים.

והכישורים שלו מוגדרים בחוק?

לא מוגדרים בחוק.

קצין בטחון במאה ה- 21, צריך להתמצא מאוד מאוד במערכות מידע ואבטחתן. כי זה לא רק פריצות פיזיות.

אבל איפה כותב שהוא כפוף לקצין בטחון? זה חוק?

לפי חוק הסדרת הבטחון, זה נקרא ממונה בטחון ולא קצין בטחון, יש לו אחריות גם אחריות על תחום המידע הממוחשב.

של התשתיות, של החומרה ולא של התכנה. הוא מעורב מאוד. בגלל העניין של הדואליות ואי הבהירות אנחנו כן צרפנו אותו לוועדה לאבטחת מידע כי הוא בהחלט אחראי על הבטחון של הברזלים, של הגישה, של המתקנים - זו גם אפשרות לפריצה למערכות מידע בדרכים שונות. מצאנו דרכים שונות כדי לחבר בין האישיות. אבל כפיפות ישירה של ממונה על אבטחת מידע של הנושא לראש אגף הבטחון, יש כאן אנומליה מבחינת הלוגיקה ומבחינת הכישורים.

מכל מקום, וכפי שאמרתי, יש לנו חטיבה ויש מי שעומד בראשה שנים רבות. יש לנו באמת ראש אגף בטחון שפועל בכל נושא הבטחון של המתקנים ושל כל מערכת החומרה שלנו. יש לנו וועדת היגוי עליונה שמטפלת בנושא של המידע, וגם סגן מנהל כללי תמ"מ, תקשוב מערכות מידע, מינה וועדה שבדיוק מתכללת גם את האישות של הבטחון וגם את האישות של הטכנולוגיה והיא עוקבת אחר הדברים האלה.

לאחר שראינו את טיוטת הדוח בנובמבר 2008, וגם את הדוח הסופי בפברואר, וכפי שאמרתי, פעלנו על פי דוח המבקרת קודם לדוח הזה. עשינו את רוב הפעולות שנדרשו מאיתנו, גם על פי דוח המבקרת וגם על פי דוח מבקר המדינה. חלקן הושלמו, וזה תכף יפורט, חלקן נמצאות בשלבי השלמה. יש לנו לוחות זמנים מדויקים מתי כל הפעילות הזאת תסתיים. תכף סגן המנהל הכללי תמ"מ, תקשוב מערכות מידע, יסקור את כל הדברים. הייתה לנו בעיה עם חברת סיסקו בארצות הברית בקבלת ההרשאות. הבירוקרטיה קיימת בהרבה מסדרנות שלטוניים וגם במוסד לביטוח לאומי, אנחנו מנסים לשפר את זה ונקווה שגם נצליח, וכשיגמרו העיצומים גם נצליח לקדם את המערכות האלה של תפיסת השירות ושיפור השירות לאזרח.

אנחנו פועלים, וישנה כאן מעבר לעניין של חטיבת אבטחת מידע, הוועדה וראש אגף הבטחון, גם הנושא של סגן המנהל הכללי למשאבי אנוש. ישנה כאן אחראית על נושא שירות לציבור, והיא מונחת על ידי קצין הבטחון בכל מה שקשור לעובדים, לאלה שיש להם את הסמכות והרשאות להיכנס למערכות המידע.

איפה הוא היה בתקופה של הדוח? אם את אומרת שהיו כל בעלי התפקידים האלה. בתקופת הדוח מדובר גם על כניסה לצרכי רכילות, גם מכירה, גם הסיפור שחברות פרטיות יכולות לראות כי יש את הקשת הקוד. אני לא בטוח שאלו אנשים שמוכשרים ואני לא בטוח שאתם בוחרים את המוקדנים. בסך הכל כשאני מתקשר למוסד לביטוח לאומי, או כל אדם אחר, כשהוא מקיש את הקוד כל הפרטים שלו מופיעים מול אותו מוקדן, שיכול להיות סטודנט, והוא יכול להשתמש בחומר הזה, בחומרים האחרים. העובדה שהשתמשו בחומרים האלה גם לצרכי רכילות לגבי כל מיני ידוענים ואנשים מפורסמים, אלו דברים שהוכחו. אז איפה היו כל בעלי התפקידים?

אני חושבת שדוח המבקר מכליל בנושא הזה. בשנת 2003 או בשנת 2006 היו מספר מקרים שלצערי קיימים בכל המערכות, הם הועמדו לדין והם טופלו. אני לא מכירה מערכת שיש לה מידע והיא גם הכי מסווגת, שמעת כעת שלא נתפס מישהו. כאן בדיוק השאלה האם המערכת מצליחה מבעוד מועד לאתר את האנשים האלה ולטפל בהם. אני לא מכירה מערכת שהיא חסינת מפגיעה במאה אחוז.

התפקיד של כולנו לוודא, שאנחנו במערכת בקרת סיכונים, מיצרים את כל אותן ההגנות כדי להגיע למינימום האפשרי כדי שדברים כאלה לא יקרו. להגיד שיש מאה אחוז בטחון זה מאוד קשה. תכף יוצג שאנחנו כבר רכשנו את המערכת ואנחנו נמצאים בכל המערכות בשלבים, בחלקן כבר הושלמו וחלקם נמצאים בשלבי סיום והם יושלמו השנה. אנחנו נציג בוועדה את הפעולות בהתאם לנושאים שהועלו בדוח. בבקשה סגן המנהל הכללי, תקשוב מערכות מידע יציג אחד לאחד את הנושאים.

הדוח הונח על שולחני בנובמבר 2008. אני אפרט מה אנחנו עושים. המנהלת הכללית מינתה וועדה עליונה לאבטחת מידע במוסד. נציגים בה חברים מכל שכבות הארגון והיא פועלת לקבוע את מדיניות אבטחת המידע.

לגבי הקשר בין קצין הבטחון לבין הממונה לאבטחת מידע, סוכם בדיון אצל המנהלת הכללית שיוקם פורום בראשותי שיתכנס אחת לשבוע, כדי לתאם את כל נושא אבטחת המידע ואת הממשק בין האבטחה הפיזית לבין אבטחת מערכות מידע. הפורום הזה מתכנס החל מינואר בתדירות של אחת לחודש. הממונה אגף לאבטחת מידע מוזמן גם לפורום מקצועי כדי להציג את התפיסה שלו. אנחנו עושים מאמץ מאוד גדול שבכל נושא של מערכות המידע אבטחת המידע יקבל את המשקל הראוי לו. ההתכנסות החודשית שלנו היא כדי להתעדכן ולקבוע מדיניות וטפל באירועים שהיו.

תכנת "האינטלינקס", אכן כפי שכתוב בדוח זו פעילות שהתחילה עוד טרם תקופתי. כשהגעתי והבנתי שיש בעיה רכשנו את הדיסקים שהיו חסרים. ינואר 2009, נפחי הדיסקים היו אחד הבעיות. נרכשו דיסקים ובעיית הדיסקים נפתרה. הסתבר שהיה צורך לרכוש ציוד מחברת סיסקו שדרש אישור של שלטונות ארצות הברית, לצערי זה לקח שלושה ארבעה חודשים.

אנחנו נמצאים היום בסיטואציה שמערכת "האניטלינקס" אכן עובדת בקטע הטכנולוגי, קרי היא יודעת להקליט. אנחנו כרגע בונים את קטע השליפה. אני יכול להבטיח שאם הכל יעבוד כשורה, עד סוף השנה אנחנו נהייה במצב שהמערכת יודעת גם להקליט וגם לשלוף מידע. היום השליפה קיימת, היא רק דורשת ההערכות טכנית שלנו, היא מורכבת ואני לא שבע רצון מהפתרון הזה. זימנתי את החברה אלי, היא אמורה להגיע אלי לדיון בשבוע הבא ואנחנו מתכוונים להביא פתרון עובד. שילמנו הרבה מאוד כסף ומגיע שיהיה פתרון עובד.

סקר סיכונים, אכן זה דבר מאוד חשוב. כשנכנסתי לתפקיד הדבר הראשון שחשבתי עוד לפני שראיתי את הדוח, זה הסקר, אלא מה? אנחנו עוסקים כרגע במוסד בהכנת תכנית אסטרטגית למערכות מידע. מערכות המידע של המוסד לביטוח לאומי בחלקן הן מערכות מאוד ותיקות והן דורשות התחדשות. בראשות המנהלת הכללית, הקמנו צוות שאחראי להגיש תכנית אסטרטגית שהטיוטה שלה תוגש בספטמבר, טיוטה ראשונה למינהלה לדיון.

אני חשבתי שסקר הסיכונים צריך לעסוק לא רק במה שהיה ובחינת המערכות הקיימות, אלא גם להגדיר מדיניות של אבטחת מידע, להגדיר נהלים כדי שנשלב אותם בתהליך הפיתוח של מערכות עתידיות אותם אנחנו מפתחים. לכן סקר הסיכונים הוא חלק מהתכנית האסטרטגית ואנחנו נערכים כרגע למכרז אותו. ברור שאנחנו רוצים לצאת החוצה. במוסד אכן נעשו סקרים פנימיים, אני חושב שזה רעיון טוב אבל לא מספיק טוב וצריך לעשות יותר, כולל למערכות הקיימות וגם לאסטרטגיה מערכות המידע החדשה. את זה עשינו.

בנושא הודעות לעובדים, סגן ראש מינהל משאבי אנוש מכסה מפעם לפעם, לכלל העובדים את פרטי העבירות, הייתה דרישה כזאת. אגב, אנחנו מודיעים לעובדים בכניסה למערכת שאסור להם לעשות שימוש במידע שלא לצרכי העבודה אלא לצורך לו הם קיבלו את ההרשאה. יתרה מכך תכנת "האינטלינקס" מאפשרת לנו בעצם להקליט את כל הפעילות שעושים. אני לא חושב שיש גוף ציבורי שיש אצלו דרגת החמרה כזאת, שבו כל המידע, לא רק נשמר ב"לוג" אלא ממש כל המסכים נשמרים. אנחנו יודעים כל פעולה ופעולה שנעשית ולכן נדרשו לנו נפחי דיסקים עצומים.

עובד שיש לו גישה למערכת, יודע שהעבודה שלו מבוקרת?

ומוקלטת. הוא מקבל הודעה במסך הפתיחה, "דע לך השיחה הזאת מוקלטת", הוא יודע את זה.

אם עובד נכנס למידע ואין סיבה מקצועית שהוא נכנס לאותו ממשק, אפשר ללכת אחורה, הוא צריך להסביר למה הוא נכנס ולמה הוא עשה פעולה כזאת או אחרת.

נכון. אמצעי השליפה, כפי שאמרתי עם "אינטלינקס", עדיין לא פתור ואני עוסק בזה, אבל ההקלטה מתבצעת.

אתה ממונה על אבטחת מידע?

אני רוצה שתסביר לי את שגרת יומך, וגם במובן שהכפיפות במובן מסוים , אתה למעשה כפוף למנהל מחלקת המחשוב. סגן מנהל תקשוב ומערכות מידע. אתה גם מבקר את עבודתו ואתה למעשה בודק אם המערכת שהוא אחראי לה עובדת מבחינת אבטחת מידע, כך אתה רואה את זה.

כיועץ לאבטחת מידע לסגן המנהל הכללי תפקידי קודם כל להנחות את כל הגורמים המקצועיים במוסד לביטוח לאומי בכלל, ובתוך המינהל שלי בפרט בנושאים המקצועיים הקשורים לאבטחת מידע, ולצנעת הפרט. בינתיים אני לא רואה הבדל בין הדברים האלה.

יש הבדל.

יש הבדל. ולכן כשיהיה שינוי אנחנו כנראה נפריד את הרשויות, אבל כרגע אני עובד בשיתוף פעולה הדוק מאוד עם רפרנט הגנת הפרטיות בלשכה המשפטית של המוסד לביטוח לאומי.

יש לי בעיה, עם העובדה שהגדרת את עצמך כיועץ. אתה ממונה ולא יועץ, החוק מגדיר ממונה ולא יועץ, הוא לא מייעץ והולך הביתה.

אני גם מיישם.

אתה צריך לוודא שקורה. ממונה שמוודא שהדברים אכן קורים. יש כאן בעיה בהגדרה.

כשאמרתי יועץ, אולי ליועץ יש משמעות. כדי שאוכל למלא את תפקידי, דורשים לי גם משאבים, אם אני אחליט שאני עושה ואני לא אודיע מה אני חושב שצריך לעשות, ולא אקבל אישור עבור מה שאני צריך לעשות אז לא יהיו לי משאבים ולא אעשה ונדרדר מהר מאוד.

סליחה. ההבחנה היא לא בתחום סמכותך אחריותך. אנחנו מבינים את המשמעות שאדם ממונה לנושא מסוים. יש לו שיקול דעת שהוא מפעיל אותו באורח עצמאי בתחום עליו הוא ממונה. כשאדם יועץ הוא נותן עצה למי שבידיו הסמכות לפעול. זו ההבחנה.

יועץ יש רק בלשכת המנהל הכללי, אין הגדרת תפקיד ואין פונקציה במוסד שהיא יועץ. יש אדם שהוא בעל תפקיד והוא נושא באחריות להחלטה ולביצוע, והאחריות הכוללת היא של המנהל הכללי. זה לא המונח יועץ. הוא התנסח בעדינות כדי לא להגיד משהו אחר. הוא ראש חטיבת המידע במוסד.

זו הערה חשובה, זה גם איך שהאדם רואה את תפקידו, ליועץ יש באמת אופן התנהלות של יועץ.

זה נכון, אבל הרבה מאוד ממונים בגלל הסיטואציה הופכים ליועצים.

אתה חייב לצאת מהתחושה שאתה יועץ. זו האחריות שלך ואתה ממונה.

זו אחריותי, וזה מופיע בהרבה מאוד מכתבים שאני כותב, שאני אחראי על מה שאני אומר ועל מה שאני עושה, זה מובן מאליו.

מה עשית, מרגע שהטיוטה של מבקר המדינה ודוח מבקרת הפנים שלכם, הובאו בפניך? מהם התהליכים שאתה היית מעורב בהם? מה תיקנת? במה שאתה התעסקת ישירות?

כאשר מדברים בדוח המבקר על תכנת "האינטלינקס", אני חייב להיות כן ולומר, מראש ידענו שיש בעיות בהטמעת התכנה הזאת. יש שתי אפשרויות לדעתי. האחת היא לפעול לפי השיטה שעד שלא נגיע למצוין לא נעשה כלום, ואז עד קץ הדורות לא יהיה לנו שום דבר. האפשרות השנייה היא לומר, זה האופטימלי האפשרי, אני אעשה מה שאני יכול עכשיו ותוך כדי עבודה אני אשפר. כך אכן היה.

אכן, לא המתנו לדבר המושלם ולתמונת מצב מושלמת להפעלת התכנה, נתקלנו בתקלות שונות ומשונות ואת כל אחת מהבעיות שנתקלנו בהן ניסינו לפתור. פתרון גרם לבעיה אחרת, שינויים שעשינו לצורך פתרון בעיות גרמו לבעיות אחרות. נכון להיום, זה לא תהליך שהוא מהרגע לרגע, זה תהליך שנמשך לאורך זמן. ניסינו לפתור את כל הבעיות והתקלות שעלינו עליהן בהפעלת התכנה הזאת. כאשר מראש הייתה לנו מטרה לבקרה מלאה על כל הפעילות של כל העובדים במוסד לביטוח לאומי, וזאת כדי למנוע זליגת מידע החוצה. אם הוא קורה לאתר אותו.

תתייחס כרגע לשירות המענה הטלפוני, - אתם קשורים לחברה פרטית. איך אתם מתייחסים לעניין הזה ואיך פותרים את עניין הפרטיות. דיברת על בדיקות של עובדים והשאלה, הרי אתה לא בודק את העובדים של חברה פרטית. איך בהסכם שלכם עם החברה אתם בכל זאת שומרים על הפרטיות של המבוטחים.

ברשותך, אני אענה לך לפחות בקטע הידוע לי. הנושא של החברה הפרטית הוא גזרה שנגזרה על המוסד לביטוח לאומי על ידי גורמי חוץ, לדוגמה משרד האוצר.

ההפרטה הזאת.

ההפרטה הזאת. אני חושב שהגברת נחמה שפירא, שהיא האחראית על המוקד, תוכל לענות על הנושא הזה. אבל בנושא של אבטחת המידע אני יכול להגיד שמפאת דברים שאני לא יכול לעמוד על טיבם או להסביר אותם. בשנים עברו בטרם כניסת המנהלת הכללית לתפקידה, עוד טרם מינויה של הגברת נחמה שפירא לתפקידה, ניהלתי קרב קשה מאוד מול הנהלת המוסד לביטוח לאומי בנושא בעיות בצנעת הפרט, ביישום הנחיותיי בשטח, סרבו ליישם את הנחיותיי.

אני חושב שזו הדוגמה המצוינת ביותר כאשר המבקר מדבר על כך שיש בעיה עם הכפיפות שלי לסגן המנהל הכללי לתקשוב מערכות מידע, כי אולי, הרי גם המנהל הכללי סרב לבצע את הוראותיי. כאשר איימתי בפעילות או בפעולות דרסטיות כדי למנוע, מה שלדעתי המנהל הכללי הסתכל, הוא איים עלי בחזרה ויש לי את זה בכתובים, איומים כתובים על תפקידי ועל מעמדי במוסד לביטוח לאומי. חבל שלא מופיע בדוח התייחסות קטנטנה ומעודנת על השינויים עם כניסתה של הגברת אסתר דומיניסיני לתפקיד. היא התייחסה בכובד ראש לכל ההערות. אני חושב שזה היה מאוד מפתיע לראות את כל התקלות והליקויים שהערתי עליהם, ושמופיעים בדוח המבקר נפתרים תוך פרק זמן של חודשיים שלושה.

לדוגמה, היום אין אפשרות לעובד במוקד הטלפוני בצפת, לשוטט במידע הקיים במוסד לביטוח הלאומי. בנינו מנגנון, על פי הדרישות שלי, שגורם לכך שמבוטח שמבקש לקבל מידע מהמוסד לביטוח לאומי באמצעות המוקד בצפת, חייב להקיש את מספר תעודת הזהות שלו בטלפון, חייב לתת מענה לבעיה של מידע מרשות ממשלתית לגורם פרטי, שהוא מקבל הודעה שהמידע שלו מועבר אליו באמצעות חברה פרטית והוא מביע את הסכמתו לכך שהמידע הזה ייחשף לעיני עובד החברה הפרטית.

רק אחרי שהוא הביע את הסכמתו הוא נדרש להקיש עוד קוד סודי שנמסר לו מראש על ידי המוסד לביטוח לאומי, ואז כהוא יגיע אל המוקדן שיענה לו יופיע המסך הראשון של אותו מבוטח לעיני המוקדן במוקד. המוקדן אינו יכול להקיש מספרי תעודת זהות כאוות נפשו ולראות את המידע הקיים במערכת. וקודם זה מה שהיה. שאלת, וזו תשובה לדוגמה.

אולי נחמה שפירא תסביר, לגבי בדיקת הנושא ר.פ. של האנשים האלה, ולגבי חסימות אחרות. הרי נעשו פעולות גדולות כדי לתת הגנה מרבית מבחינת חוק הגנת הפרטיות לגבי המידע שנמסר.

אני לא דנה כרגע בנושא של מיקור חוץ, זה טכניקה מקובלת ואני לא יכולה לומר שהיא אסורה, היא צריכה להתקיים באותו אופן שאנחנו דואגים להגנה ונותנים את האינפורמציה לסוג הציבור שמספק אותה. כי בסופו של דבר לא כולם חייבים להיות עובדי מדינה.

אני חושבת שמרבית הדברים כבר נאמרו כאן. אחד הדברים הראשונים שטיפלנו בהם זה היה הנושא של אבטחת המידע. כי הדברים קודם היו קצת פרוצים. זה התחיל בתהליך עבודה מאוד פשוט. מגיע נציג שירות חדש, נפתח קורס חדש של נציגים נלמדים הכללים, עוד קודם שהוא מתחיל את הקורס הוא קודם עובר את בדיקות הבטחון.

מה תהליך בחירת האנשים, מי בוחר אותם?

זו החברה, מיקור חוץ.

אני מבין. אבל היה מכרז, יש תנאים?

ברור. זה כתוב בתנאי המכרז.

מהם התנאים הנדרשים היום מאדם כדי להיות מוקדן? מהן הדרישות?

בוגר תיכון. את הבדיקה הפלילית אנחנו מבצעים. זה התפקיד של קצין הבטחון שלנו, אני מעבירה אליו את מספרי תעודת הזהות, מי האנשים, איפה הם גרים. הוא מאשר את האנשים ורק לאחר הבדיקה הבטחונית שלו ואחרי שהוא אישר את האנשים האלה הם מועברים אל בובי פנדריך למתן הרשאות. מתן ההרשאות זה רק בסיום הקורס. רק מי שגמר בעצם את הקורס בהצלחה יכול לקבל הרשאה למערכת.

כמו שאמרתם זה חשוב, הוא לא יכול לשוטט במערכת אלא הוא יראה רק את הפונה שפנה באופן ישיר.

נכון. זה קווי טלפון, בקווי הטלפון האדם מבחוץ לא יכול להיכנס למידע ולשוטט. יש לנו בעיה של מתחזים וזה פוגע בשירות. אני מוכרחה לציין שהיו לנו פה ויכוחים רבים בנושא הזה, כי המשמעות היא שאנשים שטעו בהקשת מספר תעודת הזהות שלהם לא יכולים להגיע לנציג שירות. זו איזו פגיעה בשירות אבל לקחנו אותה בחשבון וזה בגלל אבטחת המידע. אני חושבת שאנשים התרגלו - - -

זה דבר חשוב שצריך לדעת, בוודאי יש הרבה אזרחים שמתקשרים למוסד לביטוח הלאומי, הם מתקשים וגם אינם אוהבים את אין ספור השאלות בדרך, והקשות שצריך להקיש בדרך. צריך להגיד לפחות שעושים את זה לטובת השמירה על הפרטיות.

את זה אנחנו מסבירים, זה לא תמיד מובן וזה לא תמיד פשוט כל כך להסביר כי חלק מהאנשים מתרגז. הכללים הם מאוד נוקשים. כשמתקשרת אמא כדי לברר משהו על הבן שלה ואנחנו אומרים שאנחנו לא יכולים לתת לה מידע, היא מאוד כועסת ומגיעים מכתבים לנציבות תלונות הציבור.

הבעיה בשירות לקוחות, כשאתה מתקשר לחברה סולולרית שואלים אותך מיליון שאלות עד שאתה מגיע לשירות בעצמך. מזה אפשר להתרגז. אבל כשעושה את זה המוסד לביטוח לאומי זה בסדר כי בסופו של דבר זה מידע חשוב, וזה לצורך שמירה על פרטיות. זה ההבדל בינכם.

אנחנו משתמשים בקוד הסודי, ואלו הנחיות חד משמעיות.

אני גם יודע שיש אפשרות להיכנס בקוד לאתר באינטרנט.

לא. יש שני קודים.

באינטרנט יש לנו אתר שנקרא אתר אישי, יש לנו בעצם שני אתרים, האחד הוא אתר פתוח לכל המדינה, ואתר אישי שפתוח אך ורק למי שקודם הגיע לסניף, זוהה פיזית וקיבל בסניף קוד לאתר ורק אז הוא יכול לראות מידע פרטני לגביו באתר האישי שלנו.

תודה. קצין הבטחון מבקש להעיר?

אני הגעתי למוסד לביטוח לאומי ביוני 2003, שירתתי בצבא והשתחררתי בדרגת אלוף משנה ואני גם אלוף משנה במילואים. הייתי קצין בטחון בחוץ לארץ במשך שנים רבות במדינות רבות בעולם. עברתי את בית הספר הגבוה לאבטחת מידע וקוראים לו משרד החוץ. הייתי קצין בטחון במדינות הקשות ביותר, מרוקו, רבת עמון, מדינות קשות מאוד. אני בוגר כל הקורסים של שירות הבטחון הכללי בנושא אבטחת מידע. וסיימתי אותם בהצטיינות.

חוק להסדרת הבטחון אומר שמנהל אגף הבטחון אחראי על אבטחת המידע, ולא יעזור כלום, ומי שאחראי, ואני נושא באחריות. עד היום למרות הכל אני נושא באחריות. אני אומר לך שמבחינתי שירות הבטחון הכללי נותן. אני כקצין בטחון מנחה ומבקר, ואילו היישום מתבצע ביחידת המחשב. כאן צריך להיות שיתוף הפעולה ולבצע.

לכן אני אומר לכם שמבחינתי יש את צנעת הפרט. לדעתי הרשות במשרד המשפטים לא מחוברת ל- 770 כמו שצריך. מישהו צריך לבוא ולהגיד להם שנכון שהמחשב ברובו צנעת הפרט, וחלק קטן, חלק המילואים שהוא מסווג ולכן המערכת כולה מסווגת, מישהו צריך לבוא ולהגדיר את האחריות בצורה מסודרת. אני נושא באחריות ואני צריך שתהייה לי גם הסמכות.

אני חושב שמבחינתי, הגעתי למוסד לביטוח לאומי בשנת 2003 ראיתי את הדבר הזה. היו שתי קטסטרופות גדולות. האחד הגעתי אחרי רצח במזרח ירושלים, בתחום האבטחה הפיזית עשיתי את המהפכה הנדרשת לאבטח את העובדים קודם כל. מיד אחרי זה ב- 2004 כתבתי את המדיניות לאבטחת המידע במוסד לביטוח לאומי. יש חוברת מסודרת שכוללת את הכול. לצערי המדיניות הזו לא יושמה, לא יושמה גם עד היום.

אני מאוד מקבל מה שנעשה על ידי המנהלת הכללית שהתייחסה לנושא ברצינות, היא בצעה את הישיבות הנדרשות ואמרה והתוותה את גבולות הגזרה שצריכים להיות. זה בסדר מבחינתי אבל שיגדירו את זה בחוק כי עדיין אני נושא באחריות. אני יודע שאם חלילה וחס, תהייה קטסטרופה לא אם האדם שמתקשה להקיש את מספר תעודת הזהות שלו, אלא בנאדם מכוון מטרה לחדור למחשבי המוסד לביטוח לאומי כדי לגרום לנזק שאף אחד לא ידע מאיפה זה יבוא. את אותו אדם שאני מחפש.

עולם הבטחון איננו רק ההתעסקות המחשבית באיזה מחשב. זה ארבע רגלים, וזה אחד מהן, שלושת הרגלים האחרות שזה סינון בטחון. היום אנחנו מחוברים לכספת וירטואלית במשטרה ויש סיווג משרות, הכל בתחום הזה מסודר. אבטחה פיזית מתבצעת ואבטחה שנקראת אבטחת אמצעים שאנחנו מבצעים אותה. לכן מבחינתי אני אומר שגם סקר סיכונים ביצעתי - מונחה על ידי מבקרת הפנים של המוסד, ביצענו את סקר הסיכונים, וגם לאבטחת מידע. אני מקווה, ועוד מוקדם להגיד האם הסידור הזה שמתבצע כרגע במוסד לביטוח הלאומי הוא טוב או לא. צריך להמתין עוד כמה חודשים ואולי לבוא לבקר ולראות את זה.

תודה רבה לך.

אני סגן מנהל הכללי למינהל במשרד החוץ. עם דרושה תוספת בנושא הדרכונים, רק להשלים את דבריו של ימין כנען, אנחנו איננו מחוברים ישירות למערכת "אביב". אנחנו מקבלים פעם בחודש מחברת HP ריכוז מוגבל של נתונים אותו אנחנו מפיצים לנציגויות כדי למנוע הפצה וכניסה. אצלנו זה נכנס לתוך מערכת מאוד מוגבלת במספר מוגבל של נתונים. גם הנציגים שלנו בחוץ לארץ המורשים להיכנס לתוך המערכות הם ישראלים בלבד שעוברים סיווג בטחוני מסוים. יש לנו את האחראים על אבטחת מידע הן בארץ – שזה תחת חטיבת הבטחון, הן בחוץ לארץ שזה תחת קצין הבטחון. הם מונחים במקרה וכפי שנאמר כאן קודם, גם אבטחת מידע מבחינת בטחון המדינה וגם מבחינת החיסיון האישי, כאן הם משלימים אחד את השני.

יש לנו שתי עמדות בלבד במטה בארץ שמחוברות ל"אביב" והן לא מקושרות לנציגויות בחוץ לארץ. אנחנו איננו מאפשרים כניסה אוטומטית למידע ולהפקת תעודות. מי שרוצה לקבל את המידע על פי החוק ושמותר לו לקבל צריך לפנות בכתב, ואת זה אנחנו מעבירים למשרד הפנים, ורק באישור משרד הפנים אנחנו מעבירים את המידע.

כפי שעלה כאן בכל נושא המחשוב, אנחנו את כל מערכות הקונסולריות שלנו שמנו בתוך מארזים, בתוך מחשבים שנקראים "עברים" שלא יכולים להתחבר אליהם עוד מכשירים, אי אפשר להכניס דיסקטים ואמצעים אחרים, וזאת כדי למנוע אפשרות דליפת מידע.

לגבי הפער בדרכונים והעברת המידע, אחת לחודש אנחנו מקבלים את המידע ממשרד הפנים ומפיצים לנציגויות. מדי יום אנחנו עושים ריכוז של החומר שנכנס מחוץ לארץ, מעבירים למחשבי משרד הפנים, כלומר למערכת "אביב". קורה שיש פערים בדרכונים שהונפקו ופקיד הגבולות לא ידע עליהם. בכל הבדיקות שעשינו במשרד הפנים הסתבר שאצלנו זה עבר וזה עובר אוטומטית. ישנו איזה פער שאנחנו לא יודעים להסביר. הן לגבי דרכונים והן לגבי מתן אשרות.

אלו הדברים שלמעשה נמצאים אצלנו. לגבי הנאמר שכל המשתמשים הם אותו דבר, אנחנו לא אותו דבר ואנחנו רואים חשיבות מאוד מאוד רבה בשמירת הנושא. עלה כאן על ידי השר מיכאל איתן גם נושא שאנחנו לפני עידן התיעוד הביומטרי שאליו צריכה להיות התייחסות אחרת גם מבחינת עבודת הנציגויות. זה לא דבר שברגע אחד עושים אותו, תהייה לזה התייחסות רבה.

תודה רבה. ברשותכם, אני מבקש לשמוע את עורך הדין יורם הכהן, תתייחס לכל מה ששמעת כאן.

הרשות למשפט טכנולוגיה ובשמה על החלטת הממשלה משנת 2006, ההחלטה על הקמתה, "הרשות המשפטית לטכנולוגית מידע והגנת פרטיות", הקמתה התחילה בספטמבר 2006. הרשות באופן עקרוני איחדה שלוש פונקציות רגולציה בתחום של משפט וטכנולוגיה. שתיים עוסקות בפרטיות: האחת - רשם מאגרי מידע, השנייה - רשם נתוני אשראי, שזה מקרה פרטי של הגנת פרטיות. אנחנו יחידה שארגונית כפופה למנהל הכללי של משרד המשפטים, אבל כגוף רגולציה יש לנו עצמאות תפקודית כרגולטור. התפקיד הזה, גם בהחלטת הממשלה שהציבה עקרונות, נכנס כאחד מהגופים שבהם גופים נדרשת עצמאות של ראש הרשות. אני מוניתי גם כראש הרשות של מאגרי מידע וגם של רשם נתוני אשראי.

במידה מסוימת הדיון היום פה, אני חושב שאנחנו היינו אחד המאיצים שגמרו לתהליך של ביקורת המדינה בנושא הזה. כי אנחנו התייחסנו לסוגיה במקרה של מרשם אוכלוסין. בדוח שלנו מ- 2007 התייחסנו לסיטואציה של דליפת מידע במרשם האוכלוסין שנמצא באינטרנט.

אנחנו רואים בזה דבר חריף, כי לפעמים שואלים מה הבעיה הגדולה, נכון יש שמות ומספרי תעודת זהות, במקרה הזה יש גם קשרי משפחה שזה עוד יותר חריף. אבל לכאורה יש מאגרי מידע הרבה יותר רגישים במדינת ישראל שהדליפה שלהם יכולה להיות יותר חריפה. למשל מאגרי מידע רפואיים, או מאגרי מידע גנטיים. את הסיבה לכך אפשר לשמוע דווקא בפרוצדורה ששמענו מהמוסד לביטוח לאומי. הביטוח הלאומי, כדי לאפשר גישה למידע הפרטי של האנשים הוא שואל את מספר תעודת זהות. אחרי שמישהו נותן מספר תעודת זהות אז הוא עבר את אותו חסם ההזדהות כדי להמשיך ולהיכנס לתוך המידע.

בהנחה שהוא נתן את מספר תעודת הזהות באופן אישי.

נכון. יש קוד סודי וזה הדברים שצריכים להקיש וזו פרקטיקה נכונה. הבעיה במאגר הזה, וזו הסיבה שלנו זה קפץ, זה שהרבה פעמים מספר תעודת הזהות, או קשרי המשפחה ואיפה אתה גר, הם אחר כך מפתח הכניסה למידע הרבה יותר רגיש, לכן הדבר הזה כל כך חמור.

חבריי ממבקר המדינה, והיו לנו שיחות גם לפני שהם עשו את הביקורת בעניין הזה, אני חושב שזה הניע איזה תהליך. אני מבקש לספר כאן על התוצאות שאנחנו רואים, , בדוח שלנו משנת 2008 שפורסם לפני מספר שבועות, אנחנו כגוף שמקבל תלונות מהציבור על נושא של פגיעה בפרטיות, הצבענו על מקרים בהם אנשים התחילו להתלונן שכל מיני פעולות נעשות כלפיהם, והם מבינים שיש איזה מאגר מידע שמשמש.

לדוגמה, עסק שמציע לאנשים לקנות איזה מוצר ביום ההולדת שלהם וזה על בסיס אותו מאגר מידע. אנחנו עשינו כמה פעולות רגולציה בנושא הזה. במובן הפרקטי למשל, גילנו מפסק דין שהתפרסם שרשות מקומית מסוימת עשתה שימוש במאגר המידע הזה לצורך גביית חובות. חברת מיקור חוץ עשתה שימוש במאגר הזה לצורך גביית חובות. אנחנו גרמנו לכך שהפרקטיקה הזאת תפסק ושמאגר המידע הזה ימחק מאותה חברה שנותנת מיקור חוץ. במידה רבה זה קצת לרדוף אחרי הסוסים אחרי שהם ברחו מהאורווה.

מהם הכלים שלך היום?

אחת הבעיות שחוק הגנת הפרטיות היום בכלי הרגולציה שלנו הכלים אינם מספיקים בהיבט שיש היום מנגנון של מרשם מאגרי מידע, והסמכויות של רשם מאגרי מידע שמנהל איזה מרשם, זה בגדול למחוק משהו מהמרשם. ברגע שאתה מוחק משהו מהמרשם אז מבחינה חוקית אסור לך להפעיל את מאגר המידע. זה לא ראלי בהקשר של המאגר של המוסד לביטוח לאומי, או מאגר משרד הפנים שאנחנו נבוא למשרד הפנים ונאמר להם שהם לא שמרו על כללי אבטחת המידע שלהם ולכן אנחנו לא מרשים להם לפעול. זה כיום הכלל שאנחנו יכולים להפעיל.

לכן כשהבנו את העניין הזה, אגב אני מוכרח להגיד שמנקודת מבט של הגנת הפרטיות במדינת ישראל, המצב היום לעומת שנת 2006 השתפר באופן דרמטי. כשאני הגעתי לתפקידי בערך עשרה אנשים היו ביחידה הזאת, נכון להיום הרשות למשפט ולטכנולוגיה מונה עשרים וארבעה אנשים. כוח האדם החולף ורוב האנשים הם אנשים שתחום ההתמחות שלהם הוא משפט וטכנולוגיה. המצב הוא טוב אבל גילנו שכלי הרגולציה שאנחנו צריכים לא מספקים, ואנחנו בתהליך, כמו שאורית קורן סיפרה עליו, על סמך הניסיון שצברנו במהלך השנתיים האחרונות של גיבוש תזכיר לסמכויות האכיפה לרשם מאגרי מידע, שייתן את הכלים שאנחנו חושבים שמהם הכלים המתאימים ברזולוציה המתאימה בהתייחס למקרים הספציפיים. צריך להבין בעניין הזה דבר מאוד חשוב, ואני גם את אתייחס לאמירה של השר מיכאל איתן בהקשר של היחס בין אותם גומרים שאחראים על פרטיות במאגרי מידע, למשל בין הממשלתיים לבין הרשות.

אנחנו רגולטור מסוג מאוד מאוד מיוחד מכיוון שלכל המשק הוא בתחום הרגולציה שלנו. אנחנו מפקחים על משרדי ממשלה, כלומר אנחנו אחראים על הגנת הפרטיות במשרדי ממשלה, בגופים פרטיים, במגזר השלישי. אין היום גוף במדינה, לרבות אנשים פרטיים שיש להם בבית מאגרי מידע, אין גוף במדינה שלא מפעיל איזה מאגר מידע. לכן התפיסה של הרגולציה צריכה לגרום לאנשים להבין שיש להם אחריות לשמור על הפרטיות. כשאנחנו מדברים על משרדי ממשלה זה לא תלוי ברשות למשפט ולטכנולוגיה שהיא זאת שתעשה את הביקורת אחרי כל אחד מהמשרדים.

המשרדים עצמם חייבים להבין שזו אחריות שלהם. אנחנו עושים ביקורות בצורה מדגמית, בין אם זה על פי תלונות שאנחנו מקבלים ובין אם זה על פי תכנית פיקוח. אבל עם עשרים וארבעה אנשים, וזה באמת לא הרבה, אנחנו לא יכולים לכסות את כל המגזר הציבורי. זו הסיבה ששמחנו מאוד שמבקר המדינה עשה את הביקורת הזאת ומסר דוח כל כך מקיף. לדוגמה, אנחנו במשרד הפנים עשינו בחצי השנה אחרונה ביקורת בהקשר של המפקח הארצי על הבחירות, במסגרת ההערכות לבחירות בתחילת שנה זו. עשינו שם פיקוח עם מיקוד על סוגית הבחירות. מידע רגיש מעובד, אבל כמעט בכל משרד ממשלתי יש מידע רגיש יותר ורגיש פחות.

דיברת על המגזר השלישי וברור שלמדינה שמקבלת יש בסיסי הנתונים מהמקורות שלה והמידע שלה. אבל אם עמותה מסוימת צברה נתוני מידע, כלומר אזרח בחר לתת את נתוניו לאותה עמותה, ויש לה בסיס נתונים מאוד גדול, מה הן ההגבלות שלה? אם אדם מסר מרצונו את פרטיו, וכך הצטברו שלושים אלף שמות, אילו הגבלות יש על העמותה הזאת?

ההגבלות הן סעיף 2.9 לחוק הגנת הפרטיות שאומר שהשימוש במידע יכול להיעשות רק למטרה שהוא נמסר. ולצורך העניין הוא עקב ההסכמה שניתנה. יש תיקון לחוק הגנת הפרטיות משנת 2007, שההסכמה הזאת צריכה להיות הסכמה מדעת. אגב, אלו הנושאים המרכזיים, כשעוסקים בפרטיות ושואלים עבור מה ההסכמה ניתנה. עשינו איזו פעולה בתחום רפורמות "בחר" שהסוגיות עלו שם.

אם העמותה הזאת למשל היא עמותה שפועלת בתחום קידום חקיקה למניעת תאונות דרכים, אמרתי שזה נורא נורא חשוב לי, והשימוש שעושים במידע הוא לצורך הזה בלבד, זה בסדר גמור. אבל אם אותה עמותה תבוא לחברת מכוניות ותגיד לה שיש לה איזה מאגר של אנשים שהנושא של תאונות דרכים רלוונטי לגביהם. והוא מציע להם לשווק לאנשים האלה באמצעות המאגר הזה, זה כמובן הפרה של חוק הגנת הפרטיות. העיקרון הזה נקרא עקרון "צמידות המטרה" והוא עקרון מרכזי בחוק הגנת הפרטיות.

תודה רבה. אני רוצה לומר לכם שמשרד ראש הממשלה, הגברת ויקטוריה רביץ העבירה אלי חומר גם מדיונים שהיו בנושא של אבטחת מידע. שם גם יש ציטוטים של מר ניסים אליאסף על דברים, וצריך לומר, דברים שהובאו לידיעתכם הרבה קודם בנושא של אבטחת מידע. זה מסמך מאוד מעניין ואני מודה למשרד ראש הממשלה שהעביר את זה לידיעת הוועדה.

האם נציגי משרד לבטחון פנים מעוניינים להוסיף? אני רוצה את ההתייחסות שלך גברתי המשנה ליועץ המשפטי, אני רוצה להבין, התחלתם בחקירה ומשום מה גילתם שזה רחב מידי וגדול עליכם ופשוט הפסקתם. אני רוצה לדעת מדוע הפסקתם, ומה התהליך שעברתם?

אם יש צורך להיכנס יותר לפרטים, אני לא בטוח שיש צורך להיכנס לפרטי החקירה ועד איפה היא הגיעה, ואצל מי בדקנו ומה לא בדקנו.

בסופו של דבר השאלה שצריכה להישאל היא, אחרי שנערוך בדיקה וכשנפתח תיק חקירה. בשלב מסוים אוספים מידע ונוגעים בשאלה האם יש סיכוים בתיק הזה ומהם הסיכויים שבסוף נשים את היד על בנאדם מסוים שהוא אחראי ושיהיה ניתן להגיש נגדו כתב אישום. אחרת אין תכלית לבדיקת משטרה. אנחנו לא רשות למשפט וטכנולוגיה שברגע שזיהנו את הפרצה אנחנו מדלקים את הנורה ומורים לתקן את הליקוי. אנחנו לא רגולטורים בתחום הגנת הפרטיות. וזאת השאלה.

נערכה בדיקה, בדיקה מקצועית, בדיקה רצינית של הנושא. הגיעו למסקנה שהמשאבים שצריך להשקיע ושאולי בסוף, אם בכלל, נגיע לכיוון שהסיכוי שנגיע לבנאדם הוא קטן מאוד. זו השאלה ועליה צריך לקבל החלטה. ההחלטה הייתה לסגור את התיק. וכפי שנאמר ונמסר בדוח וזה נכון.

טיפל בזה מפלג ההונאה של משטרת מחוז ירושלים.

האם נחקר חשוד אחד, מה פעולות החקירה שעשיתם?

פעולות החקירה נעשו כדי לבדוק מאילו מקומות יכול לדלוף אותו מאגר מידע. קיבלנו רשימה מאוד גדולה, וגם כאשר צומצמה הרשימה לקבוצה של כעשרים גופים, מדובר על עשרים גופים, אנחנו בחקירה פלילית צריכים להצביע על אדם. לא די בזה שאנחנו יודעים, וגם אם אנחנו יודעים. ההצבעה לא הייתה על שום גוף בוודאות.

התקבלה רשימה של כל הגופים שחשופים לאותה מערכת. לאחר מכן באמצעות בדיקה צומצמה הרשימה הזאת למספר של כעשרים גופים, תוך התייחסות של אותו גוף שבדק את זה למספר גופים שעולים מהקבצים שנבדקו. אני כמובן לא אתייחס כאן לשם של אף גוף. אני רק אומר שאין שום אינדיקציה וודאית או בקרבה גבוהה, שאכן בוצעה דליפה מגוף מסוים. מה שאומר, שגם לגבי אותו גוף יש עשרות ומאות אנשים שמשתמשים.

בדקנו את הגופים שהייתה סבירות גבוהה של אפשרות דליפה מהם. עדיין אי אפשר למקד את זה לא לאדם ולא לקבוצת אנשים מסוימת שמהם המידע עלול היה לדלוף. הדבר דומה בערך למצב שאדם מגיש תלונה שנגנבה טלוויזיה מהעיר ירושלים. כעת בואו נחפש מי בירושלים גנב את הטלוויזיה. זו בערך אותה רמת מיקוד. גם אם נדע, ובהמשך לדוגמה של הטלוויזיה, שהטלוויזיה מתוצרת חברה מסוימת, עדיין זה משאיר אלפי אפשרויות. אני מזכיר שאנחנו לא בודקים את סתימת הפרצה, אלא תפקידנו להצביע על אדם ספציפי. את זה בנתונים הקיימים לא ניתן היה לעשות.

תודה, הבנתי. הגברת אורית קורן בבקשה.

באופן עקרוני, זה נושא שאנחנו נדרשנו אליו במהלך עבודתנו. הנושא לא הגיע אלינו לאחר המשטרה ולכן אין לנו עמדה לגבי תיק החקירה עצמו.

בעצם נחשפת כאן חולשה שלנו כמדינה שאומרת שלמעשה בתחום הזה, גם בעתיד כמעט בלתי אפשרי לחקור, למצוא ולגלות.

לא.

מה ניתן לעשות בתחום הזה.

יש לזה פתרונות ברמה הטכנולוגית. פתרונות ברמה החקירה, אחת המסקנות שלנו בעניין הזה הייתה שרשות למשפט וטכנולוגיה צריכה לפעול גם במישור החקירתי, אנחנו ביצענו מהלך, ואני שמח לבשר כאן שלפני שלושה שבועות קיבלנו אישור של השר לבטחון פנים לבצע חקירות פליליות בתחום של הגנת הפרטיות במאגרי מידע.

ולמה בנושא הזה לא?

החקירה הזאת נעשתה לפני שנה וחצי, אנחנו קיבלנו את סמכויות האלה לפני שלושה שבועות.

אני חושבת שחיזוק סמכויות החקירה של גוף שיש לו את המומחיות.

זה גם יהיה בתזכיר המדובר?

זה ממש חלק אינטגרלי מהתזכיר.

היו מספר פעמים שנתתי תעודת עובד ציבור לחקירה של אנשים שמצאו אצלם מאגר ביד. אני לא יודע אם העמידו אותם לדין.

הגשת תלונה פורמלית למשטרה?

לא. תפסו מישהו שיש ברשותו מאגר ביד. שהוא הוריד אותו מהאינטרנט או קודם שזה היה באינטרנט. נמסרו כבר שמונה או עשר פעמים תעודות של עובד ציבור בנושא הזה.

ומה נעשה עם זה?

הוא מדבר על מקרה קונקרטי, המשטרה לא ביקשה ממנו תעודת עובד ציבור כדי לתלות אותה על הקיר. כנראה בוצעה איזו חקירה והיה צריך את התעודה הזאת מבחינה ראיה, זה רק אומר שחקרו ובדקו.

במקרה שיש בו הצבעה על אדם ספציפי, אלו תיקים קיימים ואין לי כאן רשימה תיקים, אנחנו מעמידים לדין. אבל כשמדובר במשהו כללי אין לנו אפשרות להגיע לזה.

זו נקודה מאוד חשובה בנוגע לכלי להילחם. כי אם לא תהייה הרתעה וענישה אז זה הכל הדיבורים באוויר.

אני מתכנס לסיכום. יש מישהו שרוצה להעיר הערה, לומר משהו שלא נאמר?

תודה רבה.

אני מודה לכל המשתתפים על הדיון הזה. אני חושב שהדיון הזה הוא דיון חשוב. אין ספק שמטיוטת הדוח ומהדוח עצמו, וגם כינוס שתי הישיבות האלו הביאו להתקדמות בנושא של הראיה. קודם כל כיצד אתה רואה את מצב אבטחת המידע, כיצד המשרדים הרלוונטיים רואים את נושא אבטחת המידע והשמירה עליו. ומתוך התפיסה העקרונית שמדובר, קודם כל במידע חיוני שהוא נכנס אסטרטגי, נכס חשוב והוא גם נכס לאומי, והוא גם נכס פרטי של ציבור שלנו כאן.

המסר החשוב שצריך לצאת מכאן זה שהציבור הישראלי צריך להרגיש בטחון בעובדה שהמידע אודותיו נמצא בידי אנשים שהוא יכול לסמוך עליהם, ובידי גופים מספיק חזקים ומספיק הגונים, והשימוש במידע הזה באמת נעשה בזהירות רבה. על ידי כך אותו אזרח ירגיש גם יותר חופשי לחשוף את המידע, אם זה מידע שנדרש ומבקשים ממנו אותו, או שהוא זה שצריך לתת את המידע הזה. שהוא ידע שהוא מוסר את המידע הזה לגוף שהוא סומך עליו, והוא סומך על המדינה שמתייחסת לגוף הזה ברצינות. זה כלל חשוב.

אנחנו מבקשים שתוך שישה חודשים תוצג לוועדה, גם על ידי המוסד לביטוח לאומי, וגם על ידי משרד הפנים – רשות האוכלוסין, דוח כתוב על הפעולות שנעשו. גם על הפעולות שנאמרו היום וגם מה יקרה בחצי השנה הקרובה. בטח אתם נמצאים באמצע התהליך. תוך חצי שנה מהיום אנחנו מבקשים שיוצג ויונח על שולחן הוועדה דוח. תוכנס ישיבה והכל על פי הדוח, אם נתרשם שדוח הביצוע הוא דוח מרשים, הביצוע טוב ושנכנסנו למסלול. אנחנו נמשיך קדימה ואם נמצא שלא נכנס ישיבה נוספת. תוך חצי שנה להעמיד את הדוח הזה עם התייחסות לתיקון כל הליקויים, על כל הדברים שעלו גם בוועדה וגם בדוח מבקר המדינה.

אמר המנהל הכללי של משרד הפנים שתוך שישים יום תקום יחידה וימונה מנהל אבטחת מידע. אני אהיה יותר נדיב בעניין הזה, ואני נותן מאה ועשרים ימים למשרד הפנים להקים יחידה. אני מדגיש את הנושא של היחידה לאבטחת מידע. זה מה שאמר כאן המנהל הכללי של משרד הפנים. יחידה לאבטחת מידע על כל המשתמע מכך. לדעתי מאה ועשרים ימים זה זמן מספיק לעניין הזה.

נושא של תזכיר החוק, אורית קורן ציינה שבמושב הבא יונח על שולחנה של הכנסת תזכיר חוק. אפשר להגדיר שתוך ארבעה חודשים?

צריך לתת לממשלה את הזמן שלה.

כשאני נותן לה את הזמן היא לוקחת אותו.

אנחנו בפרק הזמן הזה נסיים את התזכיר, נסיים עוד קודם. השאלה מתי הממשלה תחליט להגיש את זה לכנסת.

בואי נסכים על זמן

אני לא יכולה להתחייב, לא אני מחליטה להגיש לכנסת, הממשלה היא זאת שמחליטה.

הוועדה מבקשת שהממשלה תוך שישה חודשים מהיום תניח את הצעת החוק על שולחן הכנסת במסלול המקובל. זה אומר שאתם צריכים להזדרז בהכנת התזכיר.

אנחנו כדרג המקצועי נעשה את זה.

אתם כדרג המקצועי צריכים להזדרז בהכנת תזכיר החוק והממשלה תדע שהיא צריכה להעביר את זה תוך זמן של שישה חודשים.

הוועדה תפנה באופן ישיר לשירות הבטחון הכללי, כדי לקבל את חוות דעתם בנושא של אבטחת המידע. על הקשר שלהם לכל הנושא של אבטחת מידע בכלל, ברמת יידוע של הוועדה לענייני ביקורת המדינה.

הוועדה כמובן מקבלת ומאמצת את מסקנות דוח מבקר המדינה ומודים לצוות מבקר המדינה על הפעילות ועל העבודה הברוכה.

מכאן אני יוצא עם מסר אליכם, שכל הפעילות של מבקר המדינה, וגם של הוועדה הזאת, הם בסופו של דבר במטרה לשמור על הדבר הזה. לעשות את זה טוב יותר ולגרום לכל המערכות להתכנס לעבודה משופרת בעניין הזה.

אני לא יודע איך לסכם את מה שדיברנו, כדי שניצור מצב שהליקויים שגילינו יישום בכל.

סליחה מר יעקב זלצר, אתה רוצה לומר משהו?

יש בדוח 56ב' , אבטחת מידע במשרדי ממשלה סקר. אנחנו מתכוונים ולבדוק את זה היום על כל משרדי משרדי הממשלה בכל נושא אבטחת המידע, כולל האנשים, על אותו מבצע של 56ב'.

אני חושב שאנחנו יכולים בהחלט לעשות את העבודה. והעובדה שהיא גם נעשתה על ידנו.

הבדיקה ממתי?

משנת 2006. אנחנו נחזור ונערוך את הסקר בנושא של אבטחה מידע, בתוך 59ב', על אותם הגורמים, המוסד לביטוח לאומי ומשרד הפנים, במשרד החוץ הייתה בחינה בכל מקרה.

בשלב הראשון אני מקבל, נראה את התוצאה שתקבל. משרד ראש הממשלה יחזור על הסקר שהוא ערך בשנת 2006 יחד עם הרשות למשפט וטכנולוגיה ומידע. אני רוצה שאתם תהיו יחד בעניין של עריכת הסקר המקיף ולהגיש אותו תוך שלושה חודשים לוועדה. אם נמצא שיש שם בעיות נקבל החלטה כיצד אנחנו מטפלים בדברים האלה.

אני מודה לכולכם על ההשתתפות, הישיבה נעולה.

הישיבה ננעלה בשעה 11:10