הכנסת השמונה-עשרה
PAGE
25
ועדת המדע והטכנולוגיה
19.1.2011
הכנסת השמונה-עשרה
נוסח לא מתוקן
מושב שלישי
פרוטוקול מס' 80
מישיבת ועדת המדע והטכנולוגיה
יום רביעי, י"ד בשבט התשע"א (19 בינואר 2011), שעה 9:00
ישיבת ועדה של הכנסת ה-18 מתאריך 19/01/2011
תקנות חתימה אלקטרונית (רישום גורם מאשר שהוא המדינה או תאגיד שהוקם לפי חוק), התשע"א-2010
פרוטוקול
סדר היום
תקנות חתימה אלקטרונית (רישום גורם מאשר שהוא המדינה או תאגיד שהוקם לפי חוק), התשע"א-2011
מוזמנים
¶
הילה דוידוביץ' - עו"ד, משרד המשפטים
שירז זייפרני - לשכה משפטית, משרד האוצר
אלעזר כהנא - עוזר יועץ משפטי, משטרת ישראל, המשרד לביטחון פנים
גדי עבאדי - ראש ענף ביטחון, מערכות תקשוב, צה"ל, משרד הביטחון
יוסי גוילי - הלשכה המשפטית, נציבות שירות המדינה
לזר דוידוביץ' - סגן מנהל אגף בכיר, מערכות מידע, נציבות שירות המדינה
חיים רוזנברג - הלשכה המשפטית, נציבות שירות המדינה
אבי נגר - מנכ"ל חברת סקיורנט בע"מ, חברות אבטחה
יובל ביתן - מנהל מערך iPost, חברת דואר ישראל
עופר ישי - ממשל זמין
יועץ משפטי
¶
עידו בן יצחק
רשמה וערכה
ס.ע חבר המתרגמים בע"מ
תקנות חתימה אלקטרונית (רישום גורם מאשר שהוא המדינה או תאגיד שהוקם לפי חוק)
היו"ר מאיר שטרית
¶
אני פותח את הישיבה, הדיון היום הוא בתקנות שמשרד המשפטים החיל בהתאם לחוק חתימה אלקטרונית, התשס"א-2001. כפי שאני מתרשם פה התקנה, התקנות, שהוא מתקין הן נוגעות רק לסעיפים שמסומנים פה, ואני קצת לא מבין מדוע רק לסעיפים הללו. כי כפי שיובל אומר, שיש המון סעיפים אחרים שבהם שר המשפטים, כתוב אומנם, "רשאי להתקין תקנות", הוא צריך להתקין תקנות, אז למה הוא מתקין בעצם?
הילה דוידוביץ'
¶
הילה דוידוביץ', משרד המשפטים. כרגע מונחות על שולחן הוועדה תקנות מכוח תיקון מספר 2, שעוסקות ברישום, תנאים ודרישות טכניות מגורם מאשר, שהוא המדינה או תאגיד שהוקם לפי חוק, על מנת שיוכל להירשם במרשם גורמים מאשרים, כפי שתיקון מספר 2 אפשר זאת.
כרגע מונח הסט הזה של התקנות, כי עשינו אותו מכוח, זאת אומרת הם עודכנו בלחץ זמן לאור כך שנדרשנו לעמוד בלוחות הזמנים של תעודת הזהות החכמה, כדי שהגורמים הרלוונטיים יוכלו כבר להגיש בקשה להירשם במרשם. וזו הסיבה שכרגע עשינו את התקנות האלו בדחיפות ובלחץ של זמן.
במקביל, אנחנו נבדוק איזה תקנות נוספות אנחנו רוצים להתקין במסגרת הסמכות שנתנה לשר, ובמידת הצורך נגיש אותן לוועדה, או נתקין אותן כרגע. התקנות האלו דחופות, לאור לוח הזמנים של תעודת הזהות החכמה.
הילה דוידוביץ'
¶
כן, אז בהמשך אנחנו נבדוק איזה תקנות צריך מכוח מה, נתקין מה שרשאי, מה שלא רשאי, מה שחייב, אבל כרגע אנחנו מדברים על הסט הזה והוא הכי דחוף בגלל מה שאמרתי קודם, הלוחות זמנים של תעודת הזהות החכמה.
היו"ר מאיר שטרית
¶
כן אבל, אני שואל, בעצם לשאול, למה מחכים לדקה התשעים עד שיהיה דחוף? התיקון הזה תוקן מתי, תיקון מספר 2? לפני, מתי תוקן התיקון הזה?
היו"ר מאיר שטרית
¶
יולי 2010, אנחנו שישה חודשים אחרי, אפשר היה להתקין את זה מזמן ואני אומר את זה עכשיו לגבי תקנות אחרות. צריך פה, כשמסתכלים על חוק ראשי, לגבי חתימה אלקטרונית, השר רשאי, כתוב אמנם רשאי, אבל לדעתי במקרים האלה הוא חייב בעצם. הוא צריך לכלול בעניין של ביצוע סעיף (24): "שר המשפטים ממונה על ביצוע חוק זה והוא רשאי להתקין תקנות לביצועו וכן לקבוע (1) אגרות עבור רישום במרשם..."
הילה דוידוביץ'
¶
היום יש שני סטים של תקנות, אחד שעוסק ברישום גורם מאשר וניהולו, גורם פרטי, ובחלקן הן יהיו רלוונטיות גם לגבי המדינה. ויש עוד סט של תקנות שהן יותר טכניות שמדברות על חתימה מאובטחת, לא זוכרת כרגע את השם הפורמלי. הן כבר קיימות משנת 2001-2002. תקנות נוספות שהשר מוסמך להכין, או רשאי להכין, אנחנו נעבוד על מה שצריך ובמידת הצורך נתקין את התקנות.
הילה דוידוביץ'
¶
רק אני אבהיר שאישור הוועדה נדרש לצורך תקנה 4 בלבד, ולא לכל הסט של התקנות, וזה כפי שקובע סעיף 24 (ב) לחוק.
הילה דוידוביץ'
¶
כן. 24(א) (5), סליחה, לא 24 (ב), שהוא קובע שתקנות לפי סעיף (11), נדרש אישור ועדת המדע. והתקנה היחידה פה שהותקנה מכוח סעיף (11) זוהי תקנה 4.
היו"ר מאיר שטרית
¶
4 היא אומרת, 24 (א) (4) "הוראות לעניין ביטוח, ערבות בנקאית, או ערובה אחרת, לרבות סוג הערובה, סכומיה, דרכי הפקדתה, שינויה וחילוטה" זה לא זה?
הילה דוידוביץ'
¶
לא, 24 (א) (5) קובע: "תנאים נוספים לרישום גורם מאשר, הוראות לעניין סוג ואופן ההגבלה על פעילותו ודרישות לעניין אופן פעולתו, לפי סעיף 11;".
ואז 24 (ב) (1) קובע: "תקנות לפי סעיף קטן (א) (1) עד (12) יותקנו באישור ועדת המדע".
זה יוצא שהתקנה מכוח סעיף (11), זו התקנה שנדרש אישור ועדת המדע, וזו תקנה 4.
עידו בן יצחק
¶
לא, זה: תקנות לפי סעיף קטן, לפי כל אחד מהפרטים האלה, יותקנו באישור ועדת המדע והטכנולוגיה, כאשר אחד הפרטים הוא פרט (5), שמפנה לתקנות לפי סעיף 11.
היו"ר מאיר שטרית
¶
סעיף 11 (א): "הרשם ירשום במרשם מבקש המקיים אחר ההוראות לפי חוק זה וכן את כל אלה:"
עידו בן יצחק
¶
כן, התנאים בפסקה 3 לא יחולו, שזה אנחנו לא מאשרים, והתנאים הקבועים בפסקה 5, שעניינה עברות שהורשעו או לא הורשעו המנהלים לגבי המדינה, יחולו בשינויים שיקבע השר. והשינויים שיקבע השר הם אלו שמובאים אלינו.
הילה דוידוביץ'
¶
לא, זאת אומרת, בהיבט הזה הקנינו לשר את הסמכות לקבוע, לבצע, לעשות את ההתאמות וגם קבענו שהשר רשאי לקבוע תנאים נוספים בעניין רישום המדינה במרשם.
היו"ר מאיר שטרית
¶
לא קיבלתי את תיקון מספר 2. לא זוכר, עשינו משהו ביחס למדינה. המדינה רשאית, הנפקת תעודות אלקטרוניות על ידי המדינה. 21א (א) (ו): "השר, באישור ועדת המדע והטכנולוגיה של הכנסת, רשאי לקבוע הוראות לעניין הנפקת תעודות אלקטרוניות וביטולן בידי המדינה לפי פרק זה, ואולם לא יקבע השר הוראות שיפחיתו מרמת האבטחה ואיכות השירות הנדרשות מגורם מאשר לפי חוק זה."
היו"ר מאיר שטרית
¶
אני רוצה להביא לתשומת לבכם שאתם לא רשאים להפחית מהתקנות לגבי רמת האבטחה ביחס למדינה, בדיוק כמו שמקובל לגבי אזרחים.
הילה דוידוביץ'
¶
אנחנו כרגע לא עוסקים בתקנות של אבטחה, אבל ברור לנו לאורך כל הדרך, ואנחנו זוכרים שזה הלך הרוח בתיקון מספר 2, שאנחנו לא מקלים עם המדינה, אלא במקום שזה הכרחי. כמו למשל שהמדינה לא תשלם אגרה לעצמה.
הילה דוידוביץ'
¶
אז אני מתחילה עם תקנה 4. "תנאים לרישום גורם מאשר שהוא המדינה; 4. הרשם ירשום במרשם מבקשת שהיא המדינה העומדת בתנאים הקבועים בחוק וכן בתנאים שלהלן: (1) עובדי האמון של המבקשת הם עובדי המדינה, חיילים או שוטרים; (2) עובדי האמון לא הורשעו בעבירה שמפאת מהותה, חומרתה או נסיבותיה אין זה מן הראוי כי המבקשת תרשם אם הם עובדי האמון בה; לעניין תקנה זו, 'הורשע בעבירה'- לרבות מי שהוגש נגדו כתב אישום וטרם ניתן פסק דין סופי בעניין; (3) עובדי האמון לא הורשעו בעבירת משמעת על פי כל דין שמפאת מהותה, חומרתה או נסיבותיה אין זה מין שהמבקשת תרשם אם הם עובדי האמון בה וכן לא ננקטה כנגדם התראה או נזיפה לפי סעיף 31 לחוק שירות המדינה(משמעת), התשכ"ג-1963 בגין מעשה או מחדל שמפאת מהותו, חומרתו או נסיבותיו אין זה מן הראוי שהמבקשת תרשם אם הם עובדי האמון בה; לעניין תקנה זו, 'הורשע בעבירת משמעת'- לרבות מי שהוגשה נגדו תובענה וטרם ניתן פסק דין סופי בעניין."
עכשיו אפשר לעבור גם להגדרות שרלוונטיות לסעיף הזה. "הגדרות; 1. 'חייל'- מי שחלות עליו הוראות חוק השיפוט הצבאי, התשט"ו-1955; 'מדינה'- משרד ממשלתי או יחידת סמך שלו או מוסד מדינה אחר; 'עובד אמון'- כל אחד מאלה: (1) מי שמועמד לנהל את הגורם המאשר שהוא המדינה או תאגיד לפי העניין; (2) מי שמועמד לשמש כמנהל התפעול בגורם מאשר שהוא המדינה או בתאגיד לפי העניין; (3) מי שמועמד לשמש כמנהל אבטחת מידע בגורם המאשר שהוא המדינה או בתאגיד לפי העניין;" אלו ההגדרות הרלוונטיות לנו בתקנה הזו.
מה שאנחנו בעצם מבקשים לקבוע, קודם כל ששלושה גורמי מפתח בגורם המאשר שהוא המדינה, שהם המנהל, מנהל התפעול ומנהל אבטחת המידע, יהיו עובדי מדינה, חיילים או שוטרים ככל שמדובר בצבא או במשטרה. זה מתוך רצון להחמיר במובן מסוים לעומת גורם פרטי ולהכפיף את אותם גורמי מפתח, שקראנו להם גורמי אמון, לדין משמעתי כלשהו מתוך הרציונל שאלו באמת גורמי האמון, כשמם, ולא רצינו שאותם גורמים יהיו גורמים חיצוניים שמועסקים ב'אווט-סורסינג' או כל וריאציה אחרת, אלא עובדי מדינה שכפופים לכל הדינים הרלוונטיים שחלים על עובדי מדינה.
בנוסף קבענו עוד תנאים, תנאי אחד שקיים גם לגבי מנהל של גורם מאשר פרטי, שהוא לא הורשע בעבירה פלילית שמפאת מהותה, חומרתה או נסיבותיה אותו גורם מאשר לא ראוי להגיש את הבקשה כשאותו גורם אמון ממלא את התפקיד. כשמבחינתנו "הורשע בעבירה" זה גם מי שהוגש נגדו כתב אישום וטרם ניתן פסק דין סופי. זו גם הדרישה מגורם מאשר פרטי.
דבר נוסף שהוספנו, כיוון שקבענו דרישה שאותם גורמי מפתח יהיו עובדי מדינה, זה שהם לא הורשעו בעבירת משמעת או שלא ננקטה נגדם איזושהי נזיפה. וגם כאן "הורשע בעבירת משמעת" זה לרבות מי שהוגשה נגדו תובענה וטרם ניתן פסק דין. גם כאן אותו רציונל, שאלו גורמי מפתח, אך אנחנו רוצים שאלו יהיו אנשים "נקיים" במרכאות, שלא חשודים באיזשהו מעשה שמהותו ונסיבותיו אינן מאפשרות להם לכהן באותו תפקיד.
היו"ר מאיר שטרית
¶
שלושה אנשים, עובד אמון, מי שמועמד לנהל את הגורם או משמש כמנהל תפעול או מנהל אבטחה. אני מבין שזה לא חל לגבי חיילים.
גדי עבאדי
¶
אני בעצם ראש ענף ביטחון מערכות התקשוב, שבעצם הוא גורם האמון, קצה הפירמידה בתחום גורם האמון בכל התהליך שמאפשר את החתימה הדיגיטלית. בצבא מי שמרכז את הנושא הזה אלו לא גורמי תפעול, אלו גורמי הביטחון וכך זה עובד. כמובן שהם עומדים בכל הקריטריונים.
גדי עבאדי
¶
אני באופן אישי וכמובן הוא ארגון כמעט הכי גדול, אני חושב, במדינה, יש מערך שלם מבוזר שעובד לפי ההוראות והמדיניות שלנו והוא חלק מהמערך שלנו, הוא לא משהו אחר.
גדי עבאדי
¶
מנהל תפעול יש כזה דבר, תקשובי בדרך כלל, והוא מחוץ ל"לופ", גורם האמון הוא הגורם הביטחוני.
היו"ר מאיר שטרית
¶
זה אותו בן אדם, הגורם המאשר, הגורם המנהל תפעול, מישהו אחר נגיד וגורם האבטחה הוא אותו בן אדם.
היו"ר מאיר שטרית
¶
אני לא יודע אם זה רצוי, הרעיון הוא שתהיה בקרה, שמנהל האבטחה אמור לבהטיח שבאמת הגורם המאשר עושה את כל הפעולות. אם זה אותו בן אדם אין עליו בקרה.
גדי עבאדי
¶
אנחנו, בסוף כשאתה מגיע להיררכיה הכי גבוהה בארגון, אז זה מתנקז לגורם אחד שאחראי גם על אלו וגם על אלו. המערך שלנו הוא מערך מבוזר שיש בו גם מהסוג הראשון וגם מהסוג השני, כשהענף שאני עומד בראשו, שהוא באמת ברמה המטכ"לית, מבקר את אלו ואת אלו. תמיד אתה מגיע בסוף אל מישהו שנמצא בקצה הפירמידה. בתוך המערך יש הפרדה, יש גורמים שעונים לקריטריון של אחד או שעונים לקריטריון של שתיים, זה לא אותו אדם כשאת יורד במדרג של הצבא. אבל בקצה הפירמידה בסוף זה מתנקז לבקרה שנעשית אצלנו גם על הציר הזה וגם על הציר הזה.
גדי עבאדי
¶
גורמים מאשרים בצבא, אצלנו זה עובד ריכוזי ובעצם זה מחלחל אחר כך לזרועות, לפיקודים וליחידות השונות. גורמים שיכולים להנפיק את אותו אמצעי שמאפשר, איך קוראים לזה בצבא?
גדי עבאדי
¶
סוג של תעודה שבאמצעותה מתבצע כל התהליך הזה, בסוף מגיע לסדר גודל של מאה מנפיקים, ומעליהם שרשרת שלמה.
היו"ר מאיר שטרית
¶
כן, אבל האנשים עושים את העבודה, הרי אנחנו פה, החוק אם אני לא טועה מאשר ספציפית, בן אדם כתוב, שמו מענו, שהמשרד הממשלתי ישמור פרטי זיהוי של עובד האמון, זאת אומרת זה בן אדם. גם לגבי צבא, זז לא ארגון, זה בן אדם שהוא אחראי.
הילה דוידוביץ'
¶
כן, אבל גורם זה איזשהו ארגון כמו שקומסיין, למשל אם ניקח את החברה שקיימת היום, זה איזשהו גוף, חברה, שמן הסתם יש בה מספר עובדים ופונקציונרים. אז יש את הגורם שהגיש את הבקשה שהוא יושב בראש הגורם המאשר, אבל גורם מאשר זה איזשהו גוף שיכול להיות מורכב מכמה עובדים שמפעילים אותו.
הילה דוידוביץ'
¶
אנחנו חשבנו שאנחנו רוצים את השמות ואת הפרטים של שלושת הפונקציונרים האלו כדי שיהיה אותם בפני הרשם למקרה חירום, אם יש לו שאלות, אבל זה לא אומר שלא יכולים להיות עוד עובדים בגורם. אלו הגורמים שחשוב לנו שיהיו עובדי מדינה, שהפרטים שלהם ידועים לרשם הגורמים המאשרים.
גדי עבאדי
¶
בצבא האנשים, אם יורשה לי, אני חושב שאנחנו מדברים על אותו הדבר, זה שבצבא נכון, זאת הצעתנו, באמת לרשום את מי שאחראי על כל הנושא. לצורך העניין אותי או את הרמ"ח שלי, זה לא חשוב כרגע מי, כגורם האחראי בצבא ולא את אחרון החיילים שמאפשר את קיומו של התהליך. אל תשכח גם שהצבא הוא ארגון דינאמי, הבנות משרתות שנתיים, הבנים שלוש אם הם לא מתחייבים לשירות קבע נוסף, ולהתחיל לרשום כל פעם את אחד החיילים זה לדעתי קצת יפספס.
אני חושב שחשוב להגדיר את האחראי ופחות את אחרון העובדים. בהנחה שאחראי עובד, יש לנו תפיסה, נהלים וכל מה שקשור בזה כדי להבטיח שהם עובדים. לפני שאנחנו קובעים, כולם חיילים, אנשי מערך ביטחון המידע בצה"ל, באוויר, בים וביבשה. ולכן בשורה התחתונה אני חושב שהנוהל, מה שההצעה פה מציעה, זה באמת לרשום את העומד בראש התהליך, ולא את אחרון העובדים, במקרה של צה"ל, אחרון החיילים שעוסק בדבר הזה.
היו"ר מאיר שטרית
¶
בסעיף 4 כתוב: "הרשם ירשום במרשם מבקשת שהיא המדינה העומדת בתנאים הקבועים בחוק וכן התנאים וכן בתנאים שלהלן: (1) עובדי האמון של המבקשת הם עובדי מדינה, חיילים או שוטרים;" אז מה הוא אמר? לרשום את כל עובדי האמון של המבקשת?
הילה דוידוביץ'
¶
כשעובדי האמון הם שלושת פונקציות שכתובות בהגדרות, מנהל התפעול, מנהל אבטחת המידע ומנהל.
הילה דוידוביץ'
¶
לא, שלושה אנשים, אם תחתיהם יש אנשים שמסייעים, אותי מעניין לדעת מי מנהל אבטחת המידע, אם יש תחתיו חיילים שמסייעים לו. כמו שהיום הגורם המאשר זה בדיוק מקביל, אני מניחה שמנכ"ל הגורם המאשר הפרטי לא יושב בעצמו וודאי יש לו עובדים תחתיו.
גדי עבאדי
¶
אצלנו בעצם החתימה הדיגיטלית קוראת באמצעות הנפקה, באמצעות תהליך טכנולוגי והנפקה של תעודות שאיתן מתבצעת אותה הזדהות חזקה של אותו בן אדם, השילוב של השניים.
גדי עבאדי
¶
על התעודה בסוף חתום משהו שמתחיל מאתנו, מהמרכז. משהו שאנחנו מבצעים אצלנו ומחלחל למטה. האחרים רק עושים את תהליך ההנפקה הטכני עצמו, הדפסת התעודה, חלוקתה בתוך עמידה בכל התנאים שמפורטים בחוק, זיהוי האדם וכל מה שקשור בזה. אבל התעודה מחוללת בעצם מתהליך שקורה במרכז וירד בסוף לתחנת ההנפקה.
אבי נגר
¶
התהליך הזה הוא, אצל הרשם היום, הוא תהליך מאוד פרסונלי. זאת אומרת, צריך לדעת בעל תפקיד ספציפי שעושה את הפעולות האלה, אין מאה אנשים שעושים אותם, אנחנו לא מדברים על פקידי הרישום בסעיפים האלה.
אבי נגר
¶
כי שם באמת יש מאה או עשרות קבמ"ים שפרוסים ברחבי הארץ, זה לא מדובר על זה. מדובר על אנשים שנוגעים בלב המערכת ואחראיים על הגיבויים שלה ואחראיים על יכולת השחזור שלה, וזה אנשים מאו ספציפיים.
הילה דוידוביץ'
¶
ולכן את השמות שלהם והתפקיד שלהם אנחנו רוצים שיהיו אצל הרשם, אלו שלושת הפונקציות. אם יש מסייעים טכניים או מזכירה או דברים כאלו.
אבי נגר
¶
הם הרבה פחות רלוונטיים אבל ברגע שהם מוגדרים כשאנשים שיכולים לעשות את זה ולא מסמיכים אנשים אחרים במקומם, זה מה שלנו היום עשו.
היו"ר מאיר שטרית
¶
מה שהוא אומר לך הוא שהגורם המאשר בקונסיין או אצלם זה בן אדם, אחד או שניים שיש את השמות שלהם, הם אחראיים אם חלילה הם עוברים על החוק יש סנקציות מאוד חמורות.
היו"ר מאיר שטרית
¶
אצלו יהיו בן אדן או שניים שהם גורמי האמון, שלושה, שהם גורמי אמון, שהם יהיו חתומים עם שמות.
הילה דוידוביץ'
¶
אז לא ירשמו אתכם, זאת אומרת, אתם כפופים לפיקוח של הרשם. הרשם רוצה לדעת מי הכתובת, שהוא מנהל התפעול של כל הגורם, של כל המערך. בבוא היום כשתבואו להירשם אצל הרשם.
גדי עבאדי
¶
אני חושב שמה שאנחנו רואים דומה מאוד למה שאבי אמר. אנחנו מפרידים בין מי שדואג שהתעודה תגיע לחייל, מנפיק אותה, הוא לא מחולל את התהליך.
היו"ר מאיר שטרית
¶
מה שאומר סקיורנט שזה לא המצב. בעצם החוק מחייב את מי שחותם על התעודה לבדוק ולזהות באופן אישי את מי שמקבל את התעודה.
הילה דוידוביץ'
¶
לא, בתנאים האלו, קודם כל כיום הם לא גורם מאשר שרשום במרשם, הם יצטרכו לעשות שינויים ארגוניים.
היו"ר מאיר שטרית
¶
אבל התקנות שלך לא אומרת את זה, בתקנות צריך לקבוע את מה שאת אומרת. את אומרת בעצם שכל מי שמנפיק תעודה צריך להיות רשום כגורם מאשר, זה מה שאת אומרת. אם יש פה מאה אנשים זה מאה אנשים.
היו"ר מאיר שטרית
¶
יפה, מה אתם רוצים שתאגיד ירשום את השם של התאגיד וזהו? לא יהיה בן אדם אחראי? אתם רוצים בגורם המאשר לכתוב צה"ל? זהו? צה"ל זה תאגיד?
הילה דוידוביץ'
¶
בסדר, אבל אצל הרשם יהיה רשום שמו הפרטי, תסתכלו על תקנה 2, דבר ראשון אנחנו רוצים לפי תקנה 2 (1) את השם צה"ל ואת את יחידת הסמך הרלוונטית שלו, 2 (2): "שמו, פרטי הזיהוי שלו ומענו של עובד האמון בגורם המאשר;" שאחד מהם זה המנכ"ל או המנהל הכללי או המנהל שיושב, מנהל התפעול, שלושה אנשים ומנהל אבטחת המידע.
אלו מבחינתו הכתובת, זה הכתובת של הרשם, הם האחראיים, הם עובדים מול הרשם. והגורם המאשר זה המערך, זאת אומרת, כמו שהגורם המאשר הזה לא אדון אבי נגר אלא כל האופרציה.
היו"ר מאיר שטרית
¶
לא יכול לקרות שאנשים יוכלו לחתום על תעודות בסקיורנט? הוא הגורם המאשר. האם יכולים להיות אצלו עשרה אנשים שיאשרו תעודות?
אבי נגר
¶
יש עשרה אנשים שהם פקידים של הגורם המאשר שהם מנפיקים תעודות, החתימה היא של המערכת עצמה פעם אחת, תמיד אותה המערכת חותמת.
אבי נגר
¶
אנחנו רשאים להחליף את האנשים הללו. מה שאני אמרתי זה שגורמי האמון הם אנשים מאוד ספציפיים, אי אפשר לבוא ולהגיד זה תפקיד, זה בן אדם.
גדי עבאדי
¶
שלושה אנשים בצה"ל, לא נכון לכלול את אחרון הפקידים במקום האזרחי, חיילים בצה"ל, לנהל את זה ברמה הפרטנית של המנפיקים עצמם.
עידו בן יצחק
¶
לגבי גופים פרטיים, היום סעיף 11 (א) (5) מדבר על המנהל ועל הדירקטור, הוא לא מדבר על העובדים. לגבי גוף ציבורי, בוא נפריד לשניים, לגבי המדינה שבה אנחנו עוסקים עכשיו, בגלל זה הגיעו התקנות, שלמדינה אין מנהל או דירקטור ולכן נקבעו ההוראות השונות בתקנות האלה.
עופר ישי
¶
עופר ישי מממשל זמין. אז באמת מדובר פה על כמה היבטים, קודם על הגורם המאשר הוא ארגון שיש לו מנהלים ויש לו עובדים, ובאמת אותם קודקודים שהם בעצם מחויבים האישית הם אותם גורמי אמון ומה שאתה אמרת זה בהחלט נכון.
חלק מהדברים נבנו על פי תקנות של האיחוד האירופאי, שמחייב הפרדה. שלושת התפקידים ההם, אסור שיהיה אותו בן אדם, חייב להיות אנשים שונים, זו הנחיה. אז באמת, גם מבחינתנו יהיו אנשים שונים שהם עובדי מדינה.
עכשיו, בהנחיות של הרשם, של רשם גורמים מאשרים, כמובן שיש גורמים נוספים, ואז בהנחיות שלו יש הנחיות ברורות. למשל, אני פשוט מקריא, כל העובדים יעברו מבדק, יש פה הנחיות לגבי העובדים שהם מתחת.
אלעזר כהנא
¶
אלעזר כהנא מהייעוץ המשפטי של המשטרה. יש אצלנו אבחנה מאוד ברורה בין הגרום המקצועי שהוא, נקרא לו מנהל אבטחת המידע, לבין מנהל התפעול בתחום הזה, כי אלו שאחראיים לאבטחת המידע הם גורמים מקצועיים בתחום אבטחת המידע, מודיעין, האבחון וכיוצא בזה, והם נותנים את ההנחיות.
גורם התפעול הוא הגורם המבצע, לצורך העניין, הוא גורם בטכנולוגי. בפועל, ההנפקה תתבצע באמצעות הגורמים הטכנולוגיים, כאשר האחריות, נקרא לזה התורתית, המקצועית, היא אחריות של הגורם, נקרא לזה, אבטחתי. עובדים ביחד גם היום כל המערכות.
אלעזר כהנא
¶
ראש מי שיעמוד אז, לצורך העניין בעל התפקיד, כל פעם נרשום אותו כשהוא מתחלף, ראש היחידה לאבטחת המידע המנהל הטכנולוגי.
היו"ר מאיר שטרית
¶
חוץ מאבטחת המידע, אבטחת המידע זה אחד, צריכים שלושה אנשים, מנהל, מנהל תפעול ומנהל אבטחה, שלושה אנשים נפרדים.
אלעזר כהנא
¶
אז אני אומר, יש אצלנו שתי יחידות אבטחת מידע. אחת, זו יחידת אבטחת המידע, האחראית המקצועית בתחום , היא חלק מאגף החקירות והמודיעין והאחראי על אבטחת מערכות המידע, והמידע בכלל במשטרה, כמו בטחון שדה.
אלעזר כהנא
¶
זה אחד, זה לא כללי, זו יחידה לא כללית, זו יחידה מאוד מקצועית, זה התפקיד שלה, זו האחריות שלה וכולה. יש את הגורם הטכנולוגי בתוך מנהל הטכנולוגיות, יש יחדיה שכל עניינה זה אבטחת המידע בפועל, הם מבצעים, הם מנהלי התפעול, מה שנקרא.
אלעזר כהנא
¶
גורמים שונים שעובדים למעשה, הגורם המקצועי מנחה את הגורם הטכנולוגי איך לעשות. בסופו של דבר האבטחה הפיזית או הטכנולוגית של מערכות המידע מתבצעת על ידי הגורמים הטכנולוגיים, על ידי מנהל הטכנולוגיות. אבל הגורם האחראי על התחום הזה הוא המנהל המקצועי, שניהם עובדים גם היום ביחד. זו האבחנה, אלו שלושת הגורמים, הגורם הראשון זה כמובן המנהל, הגורם השני מנהל התפעול זה הגורם הטכנולוגי שאחראי על יחידת אבטחת המידע בתוך מנהל הטכנולוגיות והגורם האחרון הוא מנהל אבטחת המידע, ראש היחידה לביטחון מידע.
היו"ר מאיר שטרית
¶
אני רוצה להבין, יש פה משהו שמתחיל להטריד אותי, בכללים של חוק החתימה האלקטרונית, רשם יכול לאשר להיות גורם למישהו, גורם מאשר, כשהוא מקים יחידה נפרדת, עם כספת נפרדת, עם הפרטים כל מקבלי זכות חתימה אלקטרונית. יהיה אותו הדבר במדינה, זאת אומרת שהם יצטרכו להקים במשטרה יחידה נפרדת.
גדי עבאדי
¶
אולי לא יחידה נפרדת אלא להגדיר אחרת. קודם כל יכול להיות שאנחנו כבר מאורגנים ככה מלכתחילה.
היו"ר מאיר שטרית
¶
אבל יש משולש של תנאים בחוק שמחייבים את הגורם הפרטי, והמדינה לא חל בעניין הזה, לא יהיה הקלות לגורמי המדינה. הם יצטרכו לעמוד באותם תנאים בדיוק, מה תצטרכו לשים, כספת, מישהו אחראי קונקרטי, שני אנשים שיפתחו את החדר, שאף אחד לא יוכל להיכנס לבד.
גדי עבאדי
¶
היום לפחות בצה"ל יש חתימה אלקטרונית, היא לא עומדת בתנאים של החוק אבל התהליך שבוא הוא קורה, הוא מאוד דומה.
גדי עבאדי
¶
בדיוק. התהליך שכבר קיים בצבא, לפחות חמש שנים, הוא די הולך בכיוון של החוק, זאת אומרת שלא צריך להקים יחידה אחרת, צריך רק להסדיר את זה מול החוק עד הפרט האחרון אבל המרחק הוא ממש לא גדול והתשתית הארגונית קיימת.
היו"ר מאיר שטרית
¶
קודם כל אני רוצה להבהיר למשרד המשפטים שגם גורמי מדינה יצטרכו לעמוד באותם תנאים כמו גורמים פרטיים.
הילה דוידוביץ'
¶
זה גם היה הלך הרוח בתיקון מספר 2. גם הרשם עמית אשכנזי אמר, אנחנו לא באים להקל עם המדינה איפה שלא חייבים.
עידו בן יצחק
¶
התחלתי ולא סיימתי, אני מסב את תשומת לבך לפסקה שלוש שהיא אומרת שבעצם גם מי שהוגש כנגדו כתב אישום בדין משמעתי, אף הוא, בעבירה שמפאת חומרתה, נסיבותיה זה מן הראוי שהמבקשת תירשם, אף הוא לא רשאי לשמש בתפקיד הזה. אני רק רוצה להסב את תשומת לבך שזה עניין שהוא חריג יחסית, פעם ראשונה שאני נתקל בו באיזושהי חקיקה שמונעת עיסוק בתפקיד מסוים בשל דין משמעתי, להבדיל מבין פלילי.
אלעזר כהנא
¶
גנב הוא לא יהיה דין משמעתי, אבל אם הוא למשל הוציא פעם אחת מידע מהמערכת של המשטרה, אני לא ארצה שהוא אחראי.
עידו בן יצחק
¶
מאחר שמדובר פה בכל זאת בשיקול דעת, אני מוצא שזה סביר, אם זו הייתה קביעה גורפת חד משמעית שלא, אז הייתה עם זה בעיה, אבל מאחר שיש פה שיקול דעת אז יהיה ניתן לבחון כל מקרה לגופו.
עוד נקודה שהעליתי אתמול ששוחחתי עם הילה, לגבי גורם מאשר שבו לאחר שהוא אושר, התברר שהמנהל, הוגש כתב אישום בעבירה כזאת נגד המנהל. אז נותרות שתי שאלות.
עידו בן יצחק
¶
אז אני מיד אסביר, הוא צריך לעדכן אם הוגש כתב אישום בעבירה שמפאת חומרתה, נסיבותיה אין הוא ראוי לשמש בתפקיד. עכשיו, מיש קובע אם חומרה או לא חומרה זה הרשם עצמו. ולכן, מה שצריך לדווח, להבטיח שהדיווח- - -
עידו בן יצחק
¶
רשום שהרשם הוא זה, אלף זה לא כתוב, אבל זה יותר הגיוני שהרשם יהיה זה שיקבע את זה מאשר שהגוף עצמו יקבע את זה.
עידו בן יצחק
¶
זה לא כתוב. מה שהצעתי שיהיה, שחובת הדיווח תהיה על כל כתב אישום שמוגש, ידווח לרשם, ושהרשם יקבע.
הילה דוידוביץ'
¶
כתוב ככה, קודם כל אני רוצה להגיד שהסעיף הזה קיים גם כיום, הוא מועתק גם לפלילי ואת אותה וריאציה עם השינויים הרלוונטיים עשינו לגבי עבירת משמעת. אז הכותרת זה "הרשם ירשום במרשם מבקשת שהיא המדינה העומדת בתנאים הקבועים בחוק וכן בתנאים שלהלן:". אז ברור שמי שקובע את התנאים, יש רשימה של תנאים, זה הרשם.
הילה דוידוביץ'
¶
אז קודם כל יש סעיף, היום יש את סעיף 13 לחוק שאומר: "חל שינוי בפרט מהפרטים שנמסרו לפי סעיף 10 או 11, ידווח על כך לרשם, מבקש הרישום או הגורם המאשר", זאת אומרת שצריך לדווח לרשם.
היו"ר מאיר שטרית
¶
11, אזרח ישראלי, מדינה, הפקיד ערבות בנקאית, רשם את מאגרי התעודות, מבקש רישום, "הורשע בעבירה" ,זה כלול.
הילה דוידוביץ'
¶
כן, אם יש שינוי בפרטים. דבר נוסף, צריך לצרף לבקשה הסכמה בכתב של עובדי האמון לכך שהם מוכנים שהרשם יקבל בכל עת ולפי דרישתו פרטים מהמרשם הפלילי. זאת אומרת, פלוס לרשם יש סמכויות רחבות של בדיקה ואם נודע לו דבר כזה אני חושבת שזה מכסה את הסכנה או את החשש שאותו מעלה עדו.
יוסי גוילי
¶
שאלה רגישה. ביחס להערה שאמר היועץ המשפטי, אכן באמת אין, כמה שאני יודע, אין הוראת חוק מקבילה אחרת שמונעת מאדם להיות עובד מדינה.
יוסי גוילי
¶
נתייחס להערה של, סליחה, אכן באמת אין הוראת חוק מקבילה אחרת שמונעת מאדם להיות עובד מדינה בשל עבירת משמעת, אבל זה בהחלט נתון שחייבים להביא בחשבון לפי הפסיקה שפסק בית המשפט העליון, וכך אנחנו גם פועלים.
אבל הערה נוספת לניסוח, מאחר ועובדי האמון בגורם המאשר הם גם שוטרים וסוהרים ובסעיף 4 (3) יש סייג שמתייחס להליך של "התראה או נזיפה לפי סעיף 31 לחוק שירות המדינה (משמעת)", חוק המשמעת לא חל על שוטרים וחיילים, אז כך מה שרוצים להחיל את זה גם עליהם, אז צריך לעשות את ההתאמות.
הילה דוידוביץ'
¶
לא, החוק קובע: "לא הורשעו בעבירת משמעת על פי כל דין", זאת אומרת, לרבות הדינים הרלוונטיים לצבא ולמשטרה. בנוסף יש לגבי עובדי המדינה הליך נוסף של התראה או נזיפה לפי סעיף 31 לחוק שירות המדינה (משמעת). אם יש איזושהי הוראה מגבילה בחוקים הרלוונטיים אני מוכנה להוסיף אותה.
עידו בן יצחק
¶
אבל אצלם מעבר לבית הדין המשמעתי יש גם קצין שיפוט שזה קצת יותר, שזה הליך שהוא בעצם דומה במסגרת ההגדרה של דין משמעתי.
היו"ר מאיר שטרית
¶
לכן אני אומר, מפאת חומרתה וסיבותיה. אם האחראי, אם הרשם יחשוב שהחייל שעשה עבירת משמעת בצבא וקיבל דיווח עליה, שהיא חמורה מספיק כדי לסלק אותו מהתפקיד אז הוא יודיע שחייב לסלק אותו. זה אחריותו של הרשם להיות ער לדברים האלה, ואחריותם של הגורמים הרשומים לדווח.
בתחום השירות האזרחי גם שם, כשיש עבירת משמעת לא אוטומטית מדיחים, השאלה היא מה העבירה והאם חומרתה באמת מצדיקה את ההדחה. גם שם הרשם צריך לבדוק, הממונה על האיש צריך לבדוק והרשם צריך לבדוק אם הוא מקבל את הגרסה. לדעתי גם אם פוסלים אותו אדם עדיין יכול להגיש ערעור לבית משפט, ולהגיד אני לא מקבל את הפסילה שלכם. אין דבר שאוסר על מישהו לגשת לבית משפט ולערער על ההחלטה.
עוד הערות?
אבי נגר
¶
אני רוצה רק להתריע על נושא אחד שאנחנו נתקלים בו שוב לאחרונה והוא הטכנולוגיה שאנחנו מדברים עליה ושבבסיס של כל התהליכים האלה, היא טכנולוגיה שזזה, טכנולוגיה שמתפתחת. הרשם, לפני שנה בערך, הוציא תקנות, למשל, לשינוי החתימה האלקטרונית למנגנון של "SHA-2". הוא הולך להוציא, די בקרוב אני חושב, פיצול של "סי איים" ככה שלא, "סי איי" שמנפיק תעודה לחתימה לא יוכל להנפיק תעודה להזדהות.
כל הדברים האלה, הם דברים שבשוק האזרחי, עלינו, חלים באופן מיידי. רק לאחרונה קומסיין קיבלו דחייה על ההחלה של ה- "SHA-2" כי אין פתרון אחר היום. אני חושש מהדבר הזה בגופים שאין להם פתרון אחר. זאת אומרת, ברגע שכן יהיה שינוי בטכנולוגיה, כן תהיה תקנה חדשה של הרשם, איפה המוטיבציה לעשות את השינוי הזה במקומות האלה?
אבי נגר
¶
אז אני לא בטוח שהדבר הזה, המוטיבציה כאן היא כזאת שלא יקבלו דחייה של אי אילו שנים בשביל ליישם כאלה דברים ולקבל תעודות בעלות ערך שונה.
אבי נגר
¶
נתתי לך דוגמא שבפרקטיקה גם, לפי החוק, הוא לא היה אמור להקל על קומסיין, והקל לעכשיו כי אין לו ברירה.
אבי נגר
¶
השאלה היא מזה אין ברירה, בשוק האזרחי אין ברירה נובע מתחרות. במקומות של המשטרה או הצבא אין ברירה יכול לנבוע מהרבה דברים אחרים, של פרקטיקה מבצעית או ביורוקרטיה או לא יודע מה.
אלעזר כהנא
¶
הוא אומר תכליות של החתימה, כי לגופים שמוציאים חתימה לא בגלל שהם צריכים את זה לצרכים, לא מרוויחים מזה. אלא, נניח אם יש לי באיזשהו תהליך שאני כמשטרה חייב לחתום על איזשהו מסמך, ואני מעביר את התהליך ל"פייפר לס", אז לא יהיה הגיוני שלא אחתום לו.
אבל יכול להיות הנפקות, לצורך העניין, מבחינת, הנפקות לציבור של החתימה הזאת הוא חסר ערך. יש לי כול מיני דוגמאות לזה. לכן אני אומר, האבחנה צריכה להיות אבחנה בין שוויון זה שוויון בין שווים. האבחנה יכולה להיות גם שונים.
אז פה הרשם, יש לו 3שיקול דעת מנהלי, ואם הוא חורג משיקול הדעת יש למי לפנות.
עופר ישי
¶
אני יכול שוב בשם ממשל זמין, שאנחנו לא מבקשים שום הנחות ויש לנו את כל המוטיבציה כי המערכת שיושבת על מה שאנחנו עושים, מערכת מאוד רגישה ואנחנו מודעים לזה. מה שטוב לשוק האזרחי יהיה טוב לנו, אנחנו לא מבקשים הנחות.
היו"ר מאיר שטרית
¶
ומה עם מנהל ממשל זמין? אין מנהלים לשום מקום, לא בנציבות לא בממשל זמין לא לרשות הבטיחות בדרכים, מה קורה? יש המון אנשים שמחפשים עבודה. אז זה מספק אותך?
אבי נגר
¶
אני רק מתריע בפני מצב, שהתייחסתי אליו עכשיו, שמחר בבוקר תהיה חתימה, למשל, שהיא ב- "SHA-2", כי כך אמר הרשם וכי יש לה תוקף הרבה יותר חזק ברמה טכנולוגית, ויסתובבו חתימות של "SHA-1" כי תהיה להם בעיה טכנולוגית.
היו"ר מאיר שטרית
¶
תראה, למדינה, מוטיבציה של המדינה, זה לעמוד בהגדרה של החוק, גורמי מדינה שמחייב אותם, המוטיבציה שלהם זה החוק, הם לא יכולים להיות מפרי חוק. לכן ברגע שדבר כזה המדינה תחויב, על פי אותם סטנדרטים, לעשות משהו. אם תצטרך תעשה אותו, למדינה אגב זה יותר קל, אין להם בעיה של משאבים. באופן מעשי כשצריכים לעשות משהו וחייבים, אז המשאבים הם לא מגבלה כי אז חייבים, אז עושים.
היו"ר מאיר שטרית
¶
עוד הערות, חברים? אני מציע לאשר את התקנות, מי בעד? אני בעד.
הצבעה
בעד – רוב
נגד – מיעוט
התקנות אושרו
הישיבה ננעלה בשעה 9:42