PAGE
35
ועדת המדע והטכנולוגיה
16/11/2011

הכנסת השמונה-עשרה
נוסח לא מתוקן

מושב רביעי
<פרוטוקול מס' 107>
מישיבת ועדת המדע והטכנולוגיה
יום רביעי, י"ט בחשון התשע"ב (16 בנובמבר 2011), שעה 9:30

<קריסת אתרי האינטרנט של משרדי הממשלה>

חברי הוועדה: >
רונית תירוש – היו"ר

>
השר המופקד על שיפור השירות הממשלתי לציבור מיכאל איתן
טל הרמתי
–
סגן בכיר לחשב הכללי, משרד האוצר

כרמלה אבנר
–
מנהלת ממשל זמין, משרד האוצר

זיו סלייטר
–
סגן מנהל ממשל זמין, משרד האוצר

בני חוגה
–
מנהל טכנולוגיות מידע IT, ממשל זמין, משרד האוצר

אופיר בן אבי
–
מנהל יישומים ממשל זמין, משרד האוצר

מילכה נשיאל
–
מנהלת פרוייקט כרטיס חכם, אגף החשב הכללי, משרד האוצר

שוקי פלג
–
מנהל אבטחת מידע, ממשל זמין, משרד האוצר

עקיבא כרמל
–
מנהל IT ממשל זמין, משרד המשפטים

חיים ויסמונסקי
–
ממונה על משפט וטכנולוגיה, פרקליטות המדינה, משרד המשפטים

שמעון ברונר
–
מנהל אגף בכיר למערכות מידע, משרד התעשייה, המסחר והתעסוקה

עופר שוויקי
–
מנהל תחום בכיר טכנולוגיה ופיתוח, משרד הרווחה והשירותים החברתיים

שרי צימרמן
–
ראש אגף פרסומים ומידע, המשרד להגנת הסביבה

אליהו כהן
–
מנהל תשתיות, משרד החינוך

ישראל רום

ר' מנ"ט שב"ס, המשרד לביטחון פנים

אסף שחור
–
ק' פ"מ מנ"ט, המשרד לביטחון פנים

רוויטל ויצמן
–
מנהלת אגף בכיר - מע' מידע, נציבות שירות המדינה

אורי אהרונסון
–
מנהל אגף בכיר מערכות מידע, בתי הדין הרבניים

שי זנדני
–
מנכ"ל

ירון בלכמן
–
מנהל בכיר

א"ק
–
ראש 770, רא"מ, שב"כ

צביקה וושלר
–
סמנכ"ל המועצה, המועצה הישראלית לצרכנות

אביבה ורנר כהן
–
מכירות - ממשלה

אלי פינגרהוט
–
מנהל אגף יישומים, רשות האכיפה והגביה

טל שטיינמן
–
מנהלת מגזר ממשלה, מייקרוסופט, תעשייה ושירותים

יואב תוסייה כהן
–
מנהל פתרונות עסקיים עבור מגזר הממשלה, חברת מייקרוסופט ישראל

שלומי קוט
–
משנה לנשיא האיגוד הישראלי לביקורת ואבטחת מערכות מידע, מוזמנים

אופיר כהן
–
סגן קצין אבטחת מידע, כנסת ישראל

רועי גולדשמידט
–
מרכז המחקר והמידע, כנסת ישראל

ענת לוי

רונית יצחק
<קריסת אתרי האינטרנט של משרדי הממשלה>

בוקר טוב לכם. אנחנו מתחילים את הישיבה.
אתם יודעים שקראתי מעט חומרים שהונחו לפני לקראת הישיבה, בעקבות אותה קריסה שהיתה במשרדי הממשלה של כל מערכת המִחשוב, אמרתי לעצמי שהכול כל-כך בשו-שו, הכול כל-כך סודי, אני לא יודעת על מה אנחנו נדבר פה היום.
יחד עם זאת, אין לי שום כוונה להיכנס, או להתיימר להיכנס, לנושאים שאנחנו לא היינו רוצים לחשוף אותם. ובכל זאת, הרשות המחוקקת צריכה לפקח על ביצועי הרשות המבצעת, וכולנו כאחד בעצם רוצים את אותה מטרה; לוודא שאנחנו עושים הכול גם מבחינה טכנולוגית, ומכל בחינה שהיא, על מנת שלא תגרם לנו איזושהי קריסה של המערכת, בין אם זה קריסה שנובעת מפגיעה זדונית של גורמים עוינים – עוינים זה לאו דווקא האויב מבחוץ, יש גם אויבים מבית לפעמים – גם עובד מתוסכל יכול להוות גורם עוין בנקודת זמן מסוימת, ולגרום לנזק למערכת.
אלה מערכות שככל שחולפות השנים - - -

רעידת אדמה.

כן, אמרתי. אז הן מבחינה זדונית על-ידי גורם זדוני, והן מבחינת פגעי-טבע למיניהם שנוחתים עלינו ואנחנו לא יכולים, לעיתים, לדעת עליהם מראש וגם קשה מאוד לעצור אותם.
אני בכל זאת הייתי רוצה – לא הייתי קושרת את הדיון היום לכל הוויכוח שקיים בנושא מאגר ביומטרי, אבל בעצם, אם יש איזשהו טיעון שם שכן יכול לשמש אותנו כאן, זה אותו חשש משיבוש המערכת, בין אם זה פריצה וחשיפה של נתונים – במקרה שלנו, הספציפי היום, אנחנו מדברים על חסימה של פעילות הסייבר.
הייתי רוצה לשמוע מהגורמים השונים ברשות המבצעת, וכמובן שאנחנו ניתן את רשות הדיבור קודם כל לשר שמוביל את המערכת בקצב מאוד מואץ, לשמוע ולהשמיע מה אנחנו עושים על מנת לאבטח את עצמנו. מדובר במערכות שמשמשות לא רק את משרדי הממשלה.
היום התמריץ לזימון לדיון הזה היה הקריסה במערכת הממשלתית, אבל המערכות הללו שאנחנו מדברים עליהם הן מערכות שמשרתות אותנו בכל תחומי חיינו, החל מתעופה דרך חברת חשמל, מים, כמעט כל דבר, ואני מאמינה שברבות הימים ולא מאוחר, די בקרוב, אנחנו נמצא את עצמנו במצב שכל דבר שאנחנו נוגעים בו בעצם מופעל דרך המערכות הללו. וכדי לא לשבש את חיינו או לעצור אותם, שזה דבר שקשה לי לדמיין אותו רק במדע בדיוני, אבל זה יכול לקרות, אנחנו צריכים לעשות הכול על מנת לאבטח את עצמנו. לאבטח ולהבטיח.
בהמשך אתייחס למסמך שקראתי מדיון קודם שנערך כאן בינואר 2011, על תיקוני חקיקה שדובר שהם נדרשים, ואני ארצה לבדוק אם משהו נעשה, ואם לא – אני אשמח ליזום את התיקונים הנדרשים. אז זהו לפתיח. תודה רבה.

השר איתן בבקשה.

תודה רבה. ראשית, אני רוצה לברך אותך על כניסתך לתפקיד. בשבילי זאת הפעם הראשונה שבה אני נוכח כאן בישיבה בראשותך. אז במפגש הראשון אני רוצה, קודם כל, לעשות סדר ולשים את מקומי ואת מקום המערכת כולה, על מנת שאנחנו נוכל להבין יותר טוב את הדברים.
במשך השנים אני עסקתי בכל מה שקשור להטמעת הטכנולוגיה בשירות הממשלתי ובכנסת, זה היה כבר בשנים של תקופת כהונתו הראשונה של ראש הממשלה בנימין נתניהו, ובשנים הראשונות של האינטרנט בארץ. אז יזמתי את הקמת האתר של הכנסת - - -
בכל אופן, בשנים ההן, בחצי השני של שנות ה-90, הוקמה דווקא ביוזמה של הפקידות, לא של הנהגת הממשלה, מחלקה באוצר שמלמטה הקימה את מה שהם קראו לזה: תהיל"ה.
במשך השנים - - -

תהיל"ה זה היה תשתית ה - - -

תשתית הממשלה לעידן האינטרנט.

לא משנה, לא ניכנס לכל ההיסטוריה, פעם נעשה ערב של נוסטלגיה, אז נספר איך הדברים האלה קרו ואיך הם לאט-לאט תפסו מקום.
בסופו של דבר הוקמה יחידה שנקראת "ממשל זמין", שתהיל"ה היא חלק מהיחידה הזאת. תהיל"ה מטפלת בנושא התשתיות, "ממשל זמין" מטפל בנושא של השירותים והתשתיות. נמצאים כאן סגן החשב הכללי – טל הרמתי, שהוא האחראי על היחידה הזאת באוצר, הוא ראש היחידה, אם אני יכול להגיד כך. כמו-כן, נמצאת אתנו המנכ"לית החדשה והנמרצת, כרמלה אבנר, שהיא הגוף המקצועי שמתפעל יומיומית את היחידה הזאת. זאת יחידה יחסית גדולה, אבל לא מספיק גדולה למשימות שיש לה, בערך 200 עובדים עבור היחידה הזאת, בהיקף תקציבי של 80-70 מיליון שקל בשנה.
אני אומר את זה משום שאחת הבעיות של האינטרנט הציבורי היא שאין לנו מספיק כוח מרכזי שיכול לנווט פעילויות חוצות משרדים. היחסים בין היחידה הזאת, שהיא יחידה מרכזית של הארגון, לבין יחידות המשנה של כל משרד ומשרד, הם איזושהי קואליציה רופפת מאוד שבנויה על יחסים טובים ועל רצון טוב, אבל עם מעט מאוד יכולת – אני לא רוצה להשתמש במילה הגסה הזאת – של כפייה. לא צריכה להיות כפייה, אבל נגיד – אכיפה, הבנה שיש איזשהו גורם מרכזי שקובע סטנדרטים, שקובע דברים מסוימים על מנת שכל חלקי המערכת יוכלו לעבוד ביחד.

זו, אגב, השאלה הראשונה ששאלתי כשהכרנו הבוקר: מה הסמכות שלה כלפי משרדי הממשלה?

כמעט ואין סמכות, והדברים האלה מחייבים איזה שהם תיקונים. אני יזמתי פנייה ל - - -

אבל אתה יודע, אדוני השר – סליחה שאני קוטעת אותך – לפחות במשרד החינוך שאותו ניהלתי במשך חמש שנים, מרבית האנשים שעסקו בכל נושא המִחשוב, ממילא היו צריכים לבנות את אותה תשתית ל"ממשל זמין" הם מיקור חוץ, מה שנקרא עובדי קבלן, שזו מילה מאוד אקטואלית היום.

גם "ממשל זמין", מתוך ה-195 – 200 הם עובדי קבלן, אולי יותר.

אז הנה, אז גם פה, אני אומרת: עליהם אין שליטה? הרי למה לוקחים עובדי קבלן במשרדי ממשלה? הסיפור התחיל – וזה נושא אחר לגמרי – כי הקביעות של העובדים במגזר הציבורי הפכה אותם למסמר בלי ראש. זאת אומרת, גם אם עובד לא משתף פעולה, לא עושה את העבודה שלו, לא נותן את השירות כמו שצריך, אי-אפשר לפטר.

אנחנו לא רוצים את ה – בואו נעשה משהו שאפשר לעבוד מולו, אנשים שנוכל לאתגר אותם, שלא יעשו לנו כל יום שביתות איטלקיות. ניקח עובדי קבלן. אז עכשיו אני שומעת שגם מולם העבודה לא עובדת כמו שצריך וצריכים להיות נחמדים כדי לזכות לשיתופי פעולה. זה מה שהשתמע מדברי השר. זה מתמיה, זה יותר מתמוה.

ממש לא.

הבעיה היא לא בעובדי קבלן, הבעיה היא במבנה של הממשל שלנו, של מדינת ישראל, ששר בראש משרד, וכתוצאה מזה גם המנכ"ל שלו, שומר על הסמכויות העצמיות שלו. במשרד כמו משרד החינוך – אני רוצה להזכיר לך – גם שם קשה לתאם בין גורמי מחשוב בתוך המשרד.

אני יודעת.

בין האגף של גברת סופי מינץ לבין המינהל למדע וטכנולוגיה וגם שם קשה לתאם. בעיות התיאום שלנו, אינטרנט, מידע ושירות לציבור, מחייב תיאום, אלה בעיות מבניות מאוד קשות.
גם נושא האבטחה שעכשיו אנחנו ניגשים אליו, גם הוא מחייב סטנדרטים ותיאום וככל שאנחנו רואים – ויש כאן רשויות שונות שעוסקות בסוגי פעילות שונים, ועל רקע זה אני רוצה פשוט לפתוח את הדברים שלי, שניכנס לתמונה.
מוזמנים הנה היום אנשי "ממשל זמין". את תיארת סוגים שונים של פעילויות ובזה עוסקים גורמים שונים. יש פעילויות באינטרנט, שהם שמירה על מאגרי המידע. על זה מופקדת רמו"ט, רשות משפט וטכנולוגיה במשרד המשפטים. עורך-דין יורם הכהן הוא רשם מאגרי מידע, וזה בסדר.
יש לנו פעילות שאת קראת לה: "פעילות סייבר" בתוך כל מיני פעילויות שהממשלה עושה במחשבים וכל מיני פעילויות אחרות, כלומר כל תשתית, התשתית הקריטית, היא לא באתרים. האתרים זה כלי התשתית הקריטית של מדינת ישראל. התשתית הקריטית נמצאת בליבות של פעילויות שהאבטחה שלהם נעשית על-ידי רא"מ – רשות אבטחת מידע. נכון? או שאני קצת מפספס.

חלקם כן. חלק מהמשרדים - - -

נדבר על זה ואז ידייקו אותי, אבל אני רוצה לעשות את האבחנה, מאגרי מידע - -

הרא"מ זה רשות לאבטחת מידע.

כן, רשות לאבטחת מידע שזה - - -

לא, אני מזכירה את זה שוב.

- - ועכשיו אנחנו מגיעים ל"ממשל זמין" שהוא על בסיס אחזקה של "תהיל"ה" – שזאת התשתית עליה התבססו האתרים האלה, שבהם מדובר כרגע. היא מחזיקה את התשתית והיא אכן היתה הכתובת לשאלה: מה בדיוק קרה פה? אז דבר ראשון, אני רוצה שנהיה על מישור אחד. לא היתה כאן שום פעילות שהיתה מכוונת להוצאת מידע ממאגרי המידע. לא היתה כאן שום פעילות שהיתה מכוונת לפגוע בתשתית הקריטית של מדינת ישראל באינטרנט ופעילויות מִחשוביות כאלה ואחרות. היתה כאן פגיעה באתרים.

בזמינות.

אני רק רוצה להגיד משפט אחד, יכול להיות שהוא שנוי במחלוקת, אני רק רוצה שנשים את כל התופעה בפרופורציות הנכונות. לגבי השאלה שלך, אם את רוצה להרחיב את הדיון, יש בהחלט מקום לדון בהתייחסות של הממשלה – כארגון על כל יחידותיו – לראות איך אנחנו יכולים להגיע למצב שהפעילות נעשית בהרבה יותר תיאום ממה שנעשה היום. אני לא אומר בכפייה – משום שאנחנו עם יהודי, אף אחד לא אוהב כאן כפייה, כל אחד יש לו גאוות יחידה, כל אחד יש לו אוטונומיה – אבל יותר תיאום, כן. אני יכול לומר לך – אני מצטער שאני מאריך, אבל אני פונה אלייך, כי אני לא רואה בזה ישיבה ראשונה ואחרונה.

נכון.

אני רואה בזה ישיבה שתתקיים עוד ואת תוכלי, ככנסת, לפקח יותר וללחוץ יותר בכיוונים האלה.

בימים אלה, אני יודע שנערכים – יש לנו לדוגמה מגמה בעתיד לתת שירות לציבור, שאפשר יהיה להזמין תורים בממשלה. הזמנת תור בטלפון, על מנת שאזרח יוכל כבר לא רק לשאול איפה המקום, אלא גם להזמין תור אצל פקיד כזה או אחר, נעשית על בסיס איזשהן תוכנות שצריך לרכוש.

כל משרד עושה מכרז לעצמו, אבל אם נרצה יום אחד לעשות משהו מרכזי, הדברים האלה לא יעבדו, או שהם יעבדו תמורת תשלום פי כמה וכמה מיליארדים. אנחנו מפסידים כשהתוכניות המרכזיות לא נעשות בעצה אחת בין כל הזרועות וכל אחד עושה לעצמו, ואחר כך צריך לתקן את הכל או לעשות ממשק שיאחד את כולם. זה גם קשה ארגונית, זו גם הוצאה כספית מיותרת וכולי.

כלומר, הקריאה הראשונה שלי אלייך זה עכשיו בהקשר של אבטחת מידע, שזה חשוב מאוד, אבל בכלל להיות עם אוריינטציה, לתת דרבון יותר לעשיית שֶׂכל בכל הארגון הזה ששמו ממשלה; שדברים שכל אחד בנפרד יודע שצריכים לתאם אותם יותר, שנמצא את הפורמולות המתאימות. יכול להיות שזה ייפתר, או לפחות יקודם עם מינוי CIO ממשלתי שנמצא עכשיו בתהליכים.
אני רוצה לסיים ולומר לגופו של עניין – החברים יציגו כאן את העניין – שיכול להיות שהוא לא הכי מבוסס, אני לא איש טכנולוגיה, אני בא מתחומים אחרים לגמרי; אני זיהיתי את הקשר בין האינטרנט, הטכנולוגיה והפוליטיקה בשלבים מוקדמים ודחפתי את זה, אז מותר לי להגיד שטויות. ואני אגיד עכשיו דבר אחד: אנחנו צריכים לתפוס שפגיעה באתרים והורדת אתר, או להכניס את דגל אירן באיזה אתר ישראלי, דבר שיכול לקרות, אנחנו יכולים למנוע את זה.
השאלה אם כשאנחנו ניקח את האמצעים באתרים, שזה לא דבר קריטי – בסדר, אז היה שם וזה לא נעים, הורידו את זה אחרי 24 שעות, אחרי שמונה שעות, אחרי ארבע שעות, אנחנו עדיין לא נמצאים בשלבים שהפעילות באתרים כל-כך קריטית שאם אתר יהיה סגור אין מה לעשות. הלוואי ונגיע ליום הזה. ומנגד, תמיד צריך לזכור שככל שאנחנו מקפידים יותר בעניין של האבטחה, אנחנו מקשים יותר על השימוש השוטף. יש כאן מאזניים. אם אנחנו רוצים שלא יקרה לנו אף פעם שום דבר, או יקרה פעם ב-100 שנה, אנחנו ננקוט אמצעי אבטחה מאוד-מאוד רציניים, יעלה לנו המון כסף וחלק מהפעילויות שאנחנו נותנים היום לציבור, לא נוכל לתת אותם, שימוש בחלק מהטכנולוגיות לא נוכל לעשות, כי אנחנו נגביל ונפחד שדרכם יפרצו.
לכן, גם לא צריך להיבהל כל-כך מאי-סגירה הרמטית ולא להפחיד את החברים של "ממשל זמין" ולומר להם: זה הדבר הכי חשוב, שלא תהיה פריצה ושלא יקרה לנו מצב שאיזה אתר נפל. הכי חשוב שלא יכנסו לתשתיות הקריטיות, הכי חשוב שלא יכנסו למאגרי המידע וחשוב שלא יכנסו גם לאתרים, אבל חשוב שדרך האתרים נוכל לתת שירות טוב לציבור, ושהציבור יהיה "מבסוט" תוך כדי קבלת השירות.

תודה רבה. טוב, כמו תמיד האיזונים הם דבר חשוב. לפני שאני מעבירה את רשות הדיבור למר טל הרמתי וגברת כרמלה אבנר, אני רוצה לזרוק כמה שאלות כדי שגם תתייחסו לזה.
בשנת 2004 היתה החלטת ממשלה בדבר הקמת ועדה לאומית לקידום מחקר וטכנולוגיות יסוד לשיטות הגנה על תשתיות לאומיות. לפי המבט, אני לא יודעת - - -

היתה ועדה כזאת. היא סיימה את עבודתה ב-2007.

היתה החלטת ממשלה, לא היתה ועדה. כמוכם, אני יודעת שהרבה החלטות ממשלה לא מיושמות. אז קודם כל מעניין אותי לדעת אם זה יושם, אם היתה ונפלה הוועדה כי לא מצאו בה צורך, כי מצאו משהו יותר טוב. זאת אומרת, מה קרה לאותה החלטת ממשלה. יש על הפרק את מינוי המנמ"ר הממשלתי – מנהל מערכות מידע, שאני לא יודעת מה קורה עם זה: יוצא מכרז, לא יצא מכרז, כן ייצא, לא ייצא - -

נתייחס לזה.

- - זה גם דבר שהייתי מעוניינת לדעת. אולי בהתייחס לדברים של השר: האם יש מקום לקיים ישיבה כאן – הרי אני לא מתכוונת לרדת לרזולוציות שתגידו לי איזה סוג של הגנה אתם מפעילים כדי שלא תהיה קריסה ואיזה סוג אתם מפעילים כדי שלא תהיה חדירה שתשבש, או פריצה וכולי וכולי.
אני לא מתיימרת לערוך דיון על זה, גם לא תענו לי ובצדק. אני רק שואלת: היתה קריסה של מערכות ה"ממשל הזמין", בכלל מערכות המִחשוב, של הממשלה, אני לא יודעת כמה שעות לא יכולנו לתפקד.

24 שעות.

אוקיי, כמעט 24 שעות. השאלה - -

נתייחס, נתייחס, השאלה היא לאיזה חלק ממערכות המִחשוב.

- - התקלה שהיתה שם - -

אוקיי.

- - זאת תקלה שצפיתם, או שהופתעתם, נערכתם, עכשיו למדתם ועכשיו תיערכו? זאת אומרת, איפה אנחנו במערכת האיומים הזו? תודה. מר טל הרמתי, בבקשה.

בוקר טוב לכולם. הייתי רוצה לשים את הדברים בקונטקסט הראוי, כי נראה לי ש - -

אפשר - - -

- - נעשה פה פריש-מיש גדול עם הרבה מאוד נושאים, שחלקם בכלל לא רלוונטיים לדיון. מערך המִחשוב הממשלתי הוא מערך ענק. יושבים פה נציגים בכירים מחלק גדול ממשרדי הממשלה: תמ"ת, רווחה, שב"ס, הנהלת בתי-המשפט, נציבות שירות המדינה, חינוך. יושבים פה נציגות מרא"מ שתיכף אני מניח נשמע אותו, מהגנת הסביבה – מערך ענק, וכמובן "ממשל זמין".
עכשיו, לבוא ולהגיד שכל מערכות המִחשוב של הממשלה קרסו, ממש לא.

זה מה שהבנו מהתקשורת.

בסדר, התקשורת עשתה - - -

אז זו הזדמנות - - -

יש פה כמה הבלחות מהתקשורת, שלצורך העניין, מבחינתי אין להם שום בסיס ואני אתייחס לזה. זו נקודה אחת. זה מערך ענק והמערך ברובו עובד, מושקעים בו הרבה מאוד משאבים יומיומיים, כדי לוודא שכל המערכת הזאת תעבוד ותתקתק. בנוסף לזה שהיא משרתת, כמובן, בראש ובראשונה את הציבור, היא משרתת את כל הארגונים הפנים-ממשלתיים, את כל התהליכים – ואת צודקת, גברתי, שכיום חלק גדול מהתהליכים הפנימיים או מהפעילות של משרדי הממשלה היא מותנית מִחשוב, והפעילות הזאת בכלל לא נפגעה.

חלק, ובעתיד עוד יותר.

חלק גדול, ובעתיד, אנחנו מקווים, אנחנו יודעים שבעתיד יהיה יותר ויותר. זה מה שקורה בכל העולם ואנחנו מודעים לזה. אנחנו גם מבינים את האחריות שעל כתפינו בהיבט הזה, אנחנו משקיעים בזה הרבה מאוד מאמצים כדי לשמר את אותה מערכת, משום שברור לגמרי שכשהיא משותקת הממשלה משותקת.
לכאורה, הדיון מתמקד באותו אירוע שקרה ביום ראשון. אני תיכף אתן לגברת כרמלה אבנר הזדמנות לתאר בדיוק מה היה שם. לכאורה, הנושא – זה מה שהיה בעיתונות – אבטחת מידע, פריצות. אין פה בכלל נושא של אבטחת מידע.

שם היה סלט.

סלט גדול מאוד. כל האירוע שהיה – אנחנו נדבר על זה תיכף – אינו קשור בכלל לא לאבטחת מידע, לא למשאבים שמושקעים יום-יום על הגנת מערכות המידע של הממשלה באמצעות "ממשל זמין", וגם באמצעות החברים המכובדים האחרים שיושבים פה, כנגד מתקפות סייבר למיניהם. לא רלוונטי לדיון. אנחנו נדבר תיכף מה כן היה שם ואיפה כן היתה הבעיה, וגברת כרמלה אבנר תפרט.

עלה פה נושא של עובדי קבלן, עובדי חברות. שוב, אל"ף, הוא ודאי לא רלוונטי לתקלה שהיתה שם בשבוע שעבר, אבל גם לזה אין דבר כלשהו לנושא הזה של האם הממשלה עובדת באמת כגוף פדרטיבי שכל משרד הוא עצמאי, או לצורך העניין, יש איזושהי מדיניות מרכזית. לא קשור בכלל לדרך שבה הממשלה בוחרת לבצע את משימותיה, את משימות המִחשוב שלה.

לא, רק תרשה לי מר טל הרמתי, בכל זאת, שלא נצא – נכון שזה היה לא בהקשר ואמרתי נפתח סוגריים בעקבות משהו ששמעתי בנימה של הדברים של השר שאין שיתופי פעולה - -

לא, יש. אז אני אתייחס כרגע לשיתוף הפעולה.

- - ואז נגעתי בנקודה, אמרתי: אם לא מהם נצפה לשיתוף פעולה, אז ממי כן? זו היתה - - -

הממשלה הבינה באמת, שהדרך שבה כל משרד לעצמו – גם זה נכון בעירבון מוגבל, יש היום גוף מרכזי, אני עומד בראשו, שמרכז את כל תוכניות העבודה, כל פרויקט של כל אחד ממשרדי הממשלה עובר דרכי במובן מסוים. יש גוף שכן מסתכל על זה מרכזית. אבל הממשלה הבינה שלא די בכך – ולכן קיבלה החלטה, בתחילת השנה, למנות מנהל מערכות מידע ממשלתי.

זה לא היה ממשלתי.

זה היום ממשלתי. היא הקימה – לצורך העניין, לשאלתך – ועדת איתור, היא פנתה לציבור, המועמדים כבר הגישו את מועמדותם. הפעילות של הוועדה הזאת, נכון להיום, התעכבה, משום שמי שהיה אמור לעמוד בראש ועדת האיתור הוא מנכ"ל האוצר, והוא, באותו שבוע בדיוק, הודיע על סיום תפקידו ולכן הוא התעכב. אני יודע שממלא-מקום המנכ"ל, נכון להיום, לקח את הנושא הזה לידיו כרגע ובכוונתו לקיים את זה. זאת החלטת ממשלה ואנחנו חושבים שההחלטה הזאת היא החלטה נכונה לטובה. ואני מניח שכשהגוף הזה יקום, רמת התיאום הבין-משרדי אכן תגדל. זה ברמה של הרקע בנושא של הוועדה הלאומית, לשאלתך.
ועדה לאומית אכן קמה. היא פעלה בין השנים 2004 ל-2007, היא הגישה לא מעט מסמכים, היא סיימה את עבודתה עוד טרום זמני – אני נכנסתי לתפקידי ביולי 2008 – בסיום 2007 הוועדה פסקה מפעילות. זה לגבי השאלה הספציפית.
אשמח בשלב הזה להעביר את רשות הדיבור לגברת כרמלה אבנר, שקצת במידת האפשר, כמובן תאיר את האור של מה שקרה באותו יום ראשון ומה הפעילויות שנעשו.
אני רק רוצה להגיד שגם "ממשל זמין" וגם הגופים הנוספים שמעורבים בתהליך, גם הרשות לאבטחת מידע וגם החברה שמספקת לנו ספציפית את הציוד שהתגלתה בו התקלה, עשו מאמצים נכבדים, כמובן, אנשי "ממשל זמין", כדי באמת להשיב את הנושא לפעילות. ואני חושב שבנקודה הזאת, גברת כרמלה אבנר, אליך.

אני אנסה להתייחס. הכנתי פה איזושהי מצגת שמתארת את האירועים, לתת את העובדות, פרשנות. אני אנסה גם טיפה להתייחס לשאלות ולדיונים שאתם התייחסתם אליהם. קודם כן מילה אחת, מה זה "ממשל זמין" וגם לשאלתך: האם זה גוף שהוא אחראי על כל הממשלה, מידת האכיפה, לא מידת האכיפה.

תפיסתנו את "ממשל זמין", המקום שלו, ואני אגיד: "הכוח" ולא דווקא הכוח החוקתי, היא מעצם זה שהוא גוף שלא משרת משרד אחד, אלא מסתכל בצורה מערכתית על כל המשרדים ונותן ערכים נוספים.

אחד זה כן תחום האבטחה. הדבר הראשון שאנחנו מסתכלים עליו בנושא של התפעול, השירותים, הוא אבטחה. אנחנו מאוד מנסים לשמור על ה-balance בין האבטחה לבין המערכת התפעולית, אבל עדיין אם לא היה נושא האבטחה, מן הסתם היו הרבה מאוד פעילויות שלא היו נעשות ב"ממשל זמין", אלא היו ממשיכות להתבצע בצורה עצמאית על-ידי כל משרד ומשרד.
המקום השני ש"ממשל זמין" יכול לתת ונותן את הערכים שלו, זה מאותו מקום שבעצם הוא אותה פונקציה שיכולה לעשות ולנהל פרויקטים בין-משרדיים. הפרויקטים הבין-משרדיים, בין אם זה פרויקטי תשתית בין משרדים, כמו: ארגון פרויקטי אבטחה, פרויקטי תקשורת, סטנדרטים לפיתוח, סטנדרטים לממשק שמשתמשים בהם כל מערכות המידע המשרדיות שמוציאים מכרזים והן בפרויקטים שונים כגון פרויקט ש עסקנו בו לאחרונה רבות – צמצום הנטל הביורוקרטי של ה-doing business, הן בפרויקטים כמו פורטל הממשלה לאזרחים – פרויקט שאנחנו מטמיעים עכשיו עם השר, שלמעשה זה הרחבת אותו פורטל, מתן שירותים ומיפוי כל השירותים וקטלוג השירותים לאזרחים.

כלומר, אנחנו נמצאים במקום ייחודי שבו אנחנו מאפשרים לתת הרבה מאוד פעילויות בין-משרדיות. הדבר לא נעשה מתוך חקיקה שמחייבת את כולם לעבוד ואיך עובדים – ישנם אומנם הוראות-שעה מסוימות – אלא מאותו מקום של ערך שאנחנו נותנים גם בתחום האבטחתי, התפקודי והניתוחי.
"ממשל זמין" – אנחנו עושים הרבה מאוד פעילויות. היתה כאן פגישה בוועדה, הצגנו בצורה מורחבת את סך הפעילויות של "ממשל זמין", אבל בכל זאת כדי לרשת אותנו: אנחנו מדברים על אירוח אתרים, אחת הפעילויות המרכזיות, הראשוניות שמהם "ממשל זמין" - - - ב-96' זה אירוח אתרי ממשלה.
אנחנו מארחים כ-300 אתרי ממשלה, מהם גם אתרים ביטחוניים. כשאנחנו אומרים "מארחים", אנחנו מארחים את אותם אתרי אינטרנט כפי שהשר הדגיש, אנחנו לא מארחים את המידע ואת אתרי הביצוע, אלא בעצם את אתרי המידע לאזרחים. יש לנו כמובן גם תהליכים ופורטלים בין-משרדיים, כלומר אותם תהליכים שאנחנו מבצעים, שהם באחריותנו, לתת את השירותים גם למשרדים, ואנחנו גם אמונים עליהם כגון doing business, כגון צומת השירותים, שזו בעצם אותה תשתית שמחברת בין הפרויקטים השונים, בין המערכים ובין השירותים בין המשרדים השונים, פרויקטים כגון my gov.
אנחנו מתעסקים בשירותים מרכזיים. מה זה שירותים מרכזיים? זה שירותים שהם לא למשרד מסוים, לא ללקוח מסוים, אלא הם בעצם שירותים שכל המשרדים, פרויקטים שונים, יכולים לעשות בהם שימוש: כגון שרת תשלומים, כגון גלישה, כגון שרת טפסים, כגון עמדות שירות שאנחנו מפתחים. כלומר, ישנם מרכזים או קומפוננטות מרכזיות שאנחנו מפתחים לטובת כל המשרדים וכל האזרחים.
נושא נוסף, זה נושא של אבטחת המידע. מספר בפני עצמו לא אומר כלום, מה שמעניין זה לראות באמת את ההשתנות שלו על-פני ציר הזמן. אנחנו מתמודדים עם כ-4.7 מיליון ניסיונות תקיפה בשנה. מה זה תקיפה? אנחנו יכולים לפרט. מי שיבוא לבקר ב"ממשל זמין" יוכל לבוא ולראות.

שירות לקוחות – אנחנו מטפלים ב-250,000 פניות בשנה במספר ערוצי תקשורת, כלומר אנחנו נותנים מענה לאזרחים ולעסקים גם בפייסבוק, גם בטוויטר, גם בטלפונים וגם במיילים.

הגיע הזמן לסיום.

זאת הנקודה להציג פה את ההנהלה של "ממשל זמין", חלקה, כי לא כולם יכלו להצטרף, נמצא פה מר שוקי פלג שהוא מנהל אבטחת מידע. מר שוקי פלג שותף להרבה מאוד פורומים וקונסורציומים מחוץ ל"ממשל זמין" שדרכו אנחנו עושים הרבה מאוד תיאומים שאתם נגעתם בהם; איך אנחנו בעצם יודעים ומתעדכנים ומוודאים ומשתפים פעולה, אם זה מספיק טוב? לא. אנחנו ממשיכים ועושים, ועושים הרבה מאוד עבודה סביב הנושאים האלה. נמצא כאן מר אופיר בן אבי מנהל היישומים, מר בני חוג'ה שהוא מנהל ה-IT, התשתיות התפעוליות וניהול חוות השרתים ומר זיו סלייטר שהוא הסגן שלי, סגן מנהל "ממשל זמין".
האירוע. בוא נראה מה קרה ומה לא קרה. האירוע הוא כן חמור, הוא חמור מסיבות שלפחות בעינינו, ולכן אנחנו כן נמצאים כאן וכן אנחנו ממשיכים להפיק מסקנות, לשאלתך. כן, אנחנו ממשיכים כמובן, נמשיך לבדוק ספציפית את האירוע הזה, לראות איך אנחנו משתפרים, לא רק כחלק מתהליך שיפור מתמיד, אלא גם ספציפית כשזה קורה, אז הדברים הרבה יותר מחודדים. אז קודם כל, הוא נתפס בתקשורות כמימוש איום למתקפת טרור של "אנונימוס". משם זה התחיל, זה גם לנזק תדמיתי ולנזק מורלי ומזה אי-אפשר להתעלם.

פרק זמן, לשאלתכם, כמה זמן המערכות – עד שחזרנו לכשירות מלאה ולזמינות מלאה – זה 18 שעות. עד שכל המערכות חזרו. ולא היתה זמינות של מספר שירותים ואתרים, ביניהם אתרים של גופים ביטחוניים. עוד פעם, זה אתרי הנגשת המידע.

אולם, כדי שנשים את הדברים גם בהקשרים שלהם, לא היתה פריצה של "אנונימוס".

"אנונימוס", את רוצה להגדיר יותר בפרוטרוט.

כן. "אנונימוס" זה אפילו לא ארגון לא זה איזשהו - -

שם. איך אומרים: מחאה חברתית.

- - שם גג. איזשהו סוג של מחאה חברתית של הרבה מאוד אנשים וגופים שלובשת מסכות מתוך הזדהות - -

כלל עולמית.

אני נתקלתי בהם בהקשר ל"ירוקים" אז לכן ככה - - -

- - בדיוק. אז כל פעם כשהם חושבים שישנה פגיעה בזכויות הפרט, בזכויות כדור הארץ, או כל זכות אחרת, הם באים ומוחים. אני נמצאת בתפקידי כשבעה חודשים, אני כבר קיבלתי פעמיים-שלוש טלפונים – "אנונימוס" הודיעו שהם עומדים להתקיף את אתרי הממשלה, את אתר הכנסת, את האתר הזה.
איך "ממשל זמין" נערך להגנה? כלומר, יש כאן איזשהו ריטואל ש"אנונימוס", בכל פעם שיש משט או יש איזשהו אירוע מדיני, אז הם באים ואומרים אנחנו עומדים להתקיף את אתרי הממשלה, כאיזשהו סוג של מחאה.

דרך אגב גם "ממשל זמין" יכול להיות "אנונימוס".

זה שזה "אנונימוס", אז אנחנו לא יודעים מי עומד מאחוריו.

הוא יודע והוא יבצע.

כן. אמרנו אולי אנחנו גם נלך נשים מסכות כחול-לבן.
כפי שאמרתי, אנחנו מארחים 300 אתרים, 30 אתרים לא היו זמינים. ראיתי הרבה מאוד פרסומים והרבה מאוד רעש, כל gov.il נפלה, על אתרי gov.il. gov.il זה דומיין, יש שם הרבה מאוד אתרים.
ראוי לציין, גם לשאלתך, לא כל אתרי הממשלה מתארחים אצלנו. ישנם אתרים שמתארחים, ישנם אתרים שלא. אנחנו לא נוהגים לחשוף, לחלוטין בצורה מאוד מובהקת, מי כן או לא, דווקא בגלל ההיבטים של אבטחת המידע, כדי לא ליצור זום מה מוגן יותר, פחות או מה הם אמצעי ההגנה. אבל אנחנו בפירוש, אחד הדברים שהוא על האג'נדה שלנו, זה להרחיב את הפעילות ולראות איך אנחנו ממשיכים ומוסיפים אתרים שלא נמצאים אצלנו, שלא מתאחרים אצלנו, כי עם כל זה שיש כאן אירוע ואנחנו תייגנו אותו כאירוע חמור, יש לנו עדיין את המשאבים, את היכולות, את הקשרים כדי לנהל אותו.

אגב, גברת כרמלה אבנר, כשדיברתי על שיתופי פעולה ואיזושהי אחידות או איזושהי כפיפות אלייך, של כלל משרדי הממשלה, לא התכוונתי לאחד את כולם ואז באמת פגיעה במקום אחד גורמת קריסה רבתי - -

- - אבל תקינה. למשל, לחייב אותם באי-אילו עקרונות ש - - -

כן.

בדיוק, אז כסטנדרטים של עקרונות של אבטחת מידע - -

זה אגב קיים.

- - שסטנדרטים זה גם לא מחייב. כלומר, לא כל הסטנדרטים הם לחלוטין נמצאים בסטנדרטים.

מר טל הרמתי אתה נשמע לי כל הזמן יותר אופטימי מהשר בהקשר של שיתופי הפעולה עם משרדי הממשלה. אני כל הזמן חושבת בראשי אם צריך לזמן את כל נציגי המשרדים.

את יודעת שאם לא הייתי אופטימי לא הייתי חוזר לממשלה אחרי כל-כך הרבה שנים, אבל כן. חייבים להיות אופטימיים, מצד שני – זהירים.

אם היה תלוי בו הוא היה רוצה יותר תיאום, יותר סטנדרטיזציה בעמידה בסטנדרטים.

בוא נחשוב איך אפשר לעשות ולעזור בעניין הזה. בנפשנו העניין.

סטנדרטים זה מגיע, כן. קודם כל, כל משרד הוא משרד עם אוטונומיה משלו ויש לו את הדגשים שלו, את תוכניות העבודה שלו, את העדיפויות שלו, ולכן צריך לראות איך אנחנו - - -

ואת האילוצים שלו, את המערכות שלו והוא כבר חי עם משהו. כל אחד חי על משהו אחר. כשמוציאים סטנדרט אז הוא אומר: עם הסטנדרט הזה אני לא יכול לעבוד - -

אז תביא כסף. אז תביא כסף.

- - תתאימו את זה למערכת שלי הקודמת, או תביאו לי כסף לשפץ את כל המערכת, שזה מיליונים רבים. זה סיפור. את יודעת את זה מהמשרד.

נגד זה אין לי מה להגיד.

כנגד זה אנחנו גם צריכים לבוא ולראות גם את ה-capacity של "ממשל זמין", את הקיבולת שלנו לטפל בכל הפעילויות וכל הדברים. אנחנו ממש בימים אלה עסוקים בבניית תוכנית העבודה של "ממשל זמין", ואחד הדיונים אצלנו היא לא מה אנחנו עושים, אלא מה אנחנו לא מסוגלים לעשות ומה אנחנו מתעדפים.
כלומר, היקף הפעילות ביחס למשאבים, ליכולות לארכיטקטורה היא כזאת שאנחנו נצטרך לבוא ולתעדף מה אפשר לעשות ומה אי-אפשר לעשות. כלומר, ברור לנו ואנחנו מאוד-מאוד רוצים להרחיב את כל הנושא הזה של שיתופי הפעולה.
אנחנו גם חייבים לתעד איפה זה נותן את הערך המכסימלי לאזרחים, לעסקים ולמשרדי הממשלה. ולהיכנס לאותם תחומים שבאמת אנחנו יכולים להקל עליהם ונותנים להם ערך ולא עושים דברים שהם עושים.

האתרים הביטחוניים היו אתרי מידע, הם לא היו אתרים נוספים. גם כדי להגיד כאן בנושא פעולת - - -

מהאלה שמתוך ה-30 את מדברת?

מתוך ה-30, כן. היו שם אתר הצבא, אתר גיוסים של המוסד, זה היה בעצם מקבץ אקראי. לא היה שם משהו מכוון שכל האתרים היו שם, כן או לא.
אחד הלקחים שאנחנו לקחנו זה כשאנחנו בונים היום את הארכיטקטורה לא רק להסתכל על ארכיטקטורה טכנולוגית, אלא גם על ארכיטקטורה תוכנית, מבחינת התוכן, מה אנחנו שמים. זה בעצם אחד הלקחים שאנחנו לקחנו כן. לחלוטין היו אתרים שלא נפלו, שלא היו באותו מקבץ, אבל לחלוטין זו אחת המסקנות, שאנחנו צריכים להסתכל על ארכיטקטורה במובן עמוק יותר ולא רק במובן התשתיתי והטכנולוגי.

רק בגלל זה אני שמחה שזה קרה.

יש כאן הרבה מאוד דברים. אנחנו נדבר תיכף על הלקחים. הסדר של מה שקרה: ב-12 בצהריים – היו שאלות לגבי ההשתלשלות, את גם ציינת שיש הרבה דברים שאי-אפשר לדבר עליהם ושאנחנו שו-שואיסטים, מה שאי-אפשר לדבר, אז אנחנו לא נדבר, אבל אנחנו משתדלים לעבוד בשקיפות מלאה, לתקשר, לומר, מה היה, לשתף, כפי שמר טל הרמתי גם הזכיר, היה כאן שיתוף פעולה ובאמת עבודה מאוד יפה גם בתוך "ממשל זמין" – כן עובדי הקבלן לא עובדי הקבלן או לא עובדי הקבלן, אני אומרת את זה בנימת חיוך – עם הספקים השונים שעבדו ובאמת היתה כאן הירתמות, כי אחת הסוגיות היתה כאן גם מה קורה באירועים כאלה – מידת ההירתמות של ספקים. כל הספקים, אני חייבת להגיד שקיבלנו כאן טלפונים וסיוע ועזרה והתייצבות לכל דבר כדי לסייע ולעלות ולפתור את התקלה. כלומר, עוד לפני שידעו מה, ברגע ששמעו שיש נושא, אז גם הנושא הזה צריך לציין אותו. אנחנו עובדים בשקיפות ולכן אני מציינת את זה.

יש נוהל בעניין? או שבהתנדבות הם ישר צלצלו?

אז אני תיכף אציין את זה. נוהל כתוב אין וזו אחת המסקנות, לבנות תוכנית מגירה לניהול אירועים כאלה. את האירוע הזה אנחנו ניהלנו, כי עוד פעם, אנשי טכנולוגיה מכירים אירועים. אנחנו יודעים משברים, אירועים זה לחם חוקנו. אני צריכה לפרמט את האירועים האלה, כי אני תיכף אציין כאן גם באיזה רבדים אנחנו פעלנו, כי הרבדים האלה כן צריכים להיות באיזשהו מקום כתובים, רשומים, מסודרים כאיזה שהיא תוכנית מגירה. זה אחד הדברים שהוא לא כתוב לנו, אלא אנחנו עשינו את זה תוך כדי.

התקלה התגלתה בשעה 12 במערך הבקרה של "ממשל זמין". ישנו מערך בקרה שמסתכל ומבקר את כל הפעילות השוטפת שלנו. מקור התקלה אותר, זוהה התחילו לעבוד עליו. בשעה שלוש אנחנו התחלנו לנהל את כל המשמעויות, הבנו שזו לא תקלה שתיפתר במסגרת של השעה-שעתיים, כמרבית התקלות שיכולות לקרות.
והקמנו כאן, בעצם, שני חדרי בקרה חמ"לים, חפ"קים, תלוי באיזה ביטוי צבאי אנחנו מעדיפים להשתמש. אחד היה חמ"ל טכנולוגי שבו השתתף הספק עם האנשים המקצועיים ביותר שלו, ששחזרו את התקלה, התקלה שוחזרה באופן מהיר. ידעו איפה מקור התקלה. טובי המומחים והאנשים הרלוונטיים עבדו על התקלה וטיפלו בה והיה שם חמ"ל שבעצם עודכן במשך כל שעתיים, היה עדכון סטטוס איך זה מתקדם, מה הצפי הלאה, מה צריך לעשות.
במקביל היה חמ"ל שבו אנחנו בעצם ניתחנו מי הם האתרים שלא היתה להם זמינות.
אני נזהרת לא להשתמש במילה "נפגעו", כי האתרים לא נפגעו. כלומר, מה שקרה, הם לא היו זמינים, אבל לא היתה פגיעה באתרים. פשוט, אי-אפשר היה לגשת לחומר ולמידע, אבל לא היתה כאן פגיעה באתרים, לכן אני אומרת "הם לא היו זמינים". אנחנו עשינו בעצם תהליך של – אנחנו קוראים לזה איזשהו סוג של BCP של לבוא ולראות - -

- - - על דרכי הגישה לאתרים, לא לאתרים עצמם.

בדיוק. מה שאנחנו עשינו, הסתכלנו בעצם על כל האתרים שלא היו זמינים וניסינו להבין מה המשמעות של אי-הזמינות של האתרים. על-פני ציר הזמן בחודש, לאתרים שונים יש משמעות שונה, ולכן זה גם הכתיב לנו את סדר הפעילות. ואני אתן כאן דוגמא, לו זה היה אירוע שקורה באמצע החודש, אז המשמעות היתה יותר חמורה, כיוון שאז יש כל מיני ביטוחים ויש פעילות.

- - -

בדיוק. הפעילות היא הרבה-הרבה יותר גדולה, היא הרבה יותר רחבה, אז היה מקום לטפל. לו זה היה אמצע החודש, שם היינו מטפלים ומעלים את השירות הזה. כיוון שזה היה בתחילת החודש, היקפי הפעילות הם קטנים, אז לכן זה לא היה במקום ראשון לטיפול.
לעומת זאת, אתר משרד הבריאות – ואני נותנת את זה כאנקדוטה – עד לפני שבועיים היה אחד האתרים הפחות שימושיים, עוד אחד מהאתרים. יום למחרת אתר משרד הבריאות השיק קמפיין מאוד גדול לכל הנושא של מרכז לקוחות כללי – השר היה שם באותה השקה.
בחודשים האחרונים עסקנו רבות עם משרד הבריאות בבניית אתר מלא תכנים ואפשרויות, אתר בין המקיפים ש"ממשל זמין" תמך ועזר למשרד הבריאות להקים אותו. האתר הזה היה חלק מהקמפיין, ולכן פתאום משרד הבריאות הפך לאחד האתרים שתקשרנו עד רמת המנכ"ל כדי להבין מה המשמעות התפקודית של משרד הבריאות. כלומר, באנו ועברנו ותקשרנו גם מול הלקוחות שלנו, הלקוחות הפנימיים, את המשמעויות עצמן, כולל כמובן הגורמים הצבאיים או הביטחוניים.
בשעה שש אחד השירותים שנפגעו היה נושא הגלישה, זאת אומרת, יציאה החוצה של הממשלה. אז טיפלנו בדברים האלה והתחלנו להעלות את השירותים.
בשעה שלוש בלילה הבנו שהתקלה לקראת הפתרון שלה ולכן זנחנו את אותו חמ"ל צדדי שבו אמרנו: נעלה ונראה איך אנחנו בונים תהליכים או משרדים נקודתיים ומעלים אותם לאוויר, כי אז זה יכול היה גם ליצור איזושהי התנגשות בפעילות משותפת. התמקדנו בתיקון התקלה.
בשעה שש וחצי המערכות חזרו לזמינות מלאה. זה כדי לשים את עצמנו על סדר האירועים ומה שקרה.
עבדנו על האירוע עצמו במספר מישורים: קודם כל לבחון ולהוריד את סבירות אירוע הטרור ההתקפתי. צריך להבין – וכמו שאמרתי קודם –, אורח החיים שלנו הוא כזה ש אנחנו, "ממשל זמין", כל הזמן בודקים ומבקרים את עצמנו מבחינת אבטחת המידע.
שוקי שהוא חבר הנהלה בכיר אצלנו כל הזמן מסתכל על מספר אלמנטים בתחומי אבטחה. קודם כל זה ניטור - - -

שוקי, מה זה בן?

שוקי פלג מנהל אבטחת מידע.

לא, מר שוקי פלג, הוא מנהל אבטחת מידע וחבר הנהלת "ממשל זמין". הוא נמצא אצלנו. האחריות של מר שוקי פלג, ביחד עם כל הגופים כאן, זה לבוא פעם אחת ולבנות כלים לאורך זמן, מתמשכים, של ניתוח האירועים, קודם כל זיהוי כל האירועים.
יש אצלנו מסך מאוד גדול שבזכותו אנחנו יכולים לנתר את אותם אירועים, את אותן התקפות, וזה מאוד ויזואלי שאפשר לראות אותו. אז פעם אחת זה לבוא ולזהות אירועים, פעם שנייה זה לנתח את האירועים האלה, פעם שלישית זה ליצור כלים ופעם רביעית זה ליישם כל הזמן כלים חדשים כדי לראות איך אנחנו מתגוננים.
אני יודעת וציינתי בעבר, הנושא של הגנה מול טרור זה דבר מאוד טריקי – אני קוראת לזה – כי כשאתה בעמדת הגנה, אתה מגן על משהו קיים ואתה תמיד צריך לחשוב מה האויב, אני אומרת כאן "אויב", כשאויב זה יכול להיות גם סתם האקר או ילד. אנחנו מכירים את – איך קראו לו לבחור הצעיר שתפס את הפנטגון?

האנלייזר.

אנחנו תמיד צריכים לחשוב שהם הרבה-הרבה יותר חכמים, הם הרבה יותר מתקדמים מאיתנו ואנחנו צריכים כל הזמן לנחש מה יקרה הלאה. ולכן כל הקבוצה הזאת שצריכה לנתח ואת שיתופי הפעולה, כי להבדיל ממקומות אחרים, המקום של לזהות אירועי התקפה והגנה זה לא מספיק להסתכל על מה שיש לנו כאן, אלא ההתקנה היא התקפות, הם הסתכלות מערכתיות.
לכן, מה שרואים בצבא, מה שרואים בבנקים, מה שרואים אצלנו, מה שרואים במקומות אחרים, בעצם, התמונה הזאת נותנת תמונה כוללת. כל אחד וההסתכלות שלו הבודדת, זה טוב, אבל זה לא מספיק. כי התקפות יכולות להיות מאוד מרובות.

כך שבעצם אנחנו כל הזמן מסתכלים על מה שקורה ובונים את אותם כלים, בין אם זה כלי מדף ובין אם זה פיתוח שלנו, לראות מה עלול לקרות ולהגן. וזו נקודה שהיא מאוד חשובה. אנחנו הגורם שצריך כל הזמן לחשוב איפה זה יקרה ומה יקרה ולהגן. לכן, האירוע הזה הוא בהגדרה אנחנו יודעים לנתר את אותם סימנים שכבר יודעים לאורך זמן את ההסתברות. כלומר, ישנם דברים שאנחנו יודעים בהסתברות גבוהה, עלולה להיות התקפה, ובהסתברות נמוכה ולשלול את ההסתברות.

אבל תתקני אותי אם אני טועה. היעדים, הרצינות והפריצה והרצון לקלקל יעדים בעלי חשיבות גדולה הולך מול רמת הידע והמקצועיות והמומחיות של האויב. אויב מסוכן, מצויד, לא ילך לתקוף סתם אתרים, אלא ילך לחפש מטרות הרבה-הרבה יותר טובות מבחינתו ומזיקות לנפגע, לנו.

אתה בפירוש צודק, אבל בוא נבין, גם ישנם מספר רמות של פגיעה שיכולות להיות. הרמה הבסיסית שאנחנו דיברנו עליה קודם, "אנונימוס", היא בעצם פגיעה תדמיתית. כלומר, שהיא לא באמת פגיעה עמוקה. זאת אומרת, אין נזק. יש פגיעה תדמיתית שבאים ונכנסים ומורידים - - -

אבל הכלים שלהם זה of-service- ,denialאז זה כלי פשוט, יחסית, דבר אל"ף-בי"ת כאילו בשדה הפגיעה.

בדיוק.

הציבור לא מבין את זה. מה שהתקשורת אמרה - - -

אז בואו נסביר מה זה of-service- ,denialזה באים ומתקיפים אתר, יוצרים עומס מאוד גדול על האתר ומפילים אותו. אז זה פגיעה אחת של זמינות. זה אירוע אבטחתי, אבל אין בו חומרה למעט הנושא הזה של הזמינות ושל ה - - - . יש לנו כלים להתמודד עם זה.

הרמה השנייה היא מה שקוראים לזה de facing, כלומר שינוי פני האתר, face - פנים, צורת האתר, שינוי פני האתר. ואני חושבת שלאחרונה היה באתר ראש הממשלה, באתר הסיעה שלו, שנכנסו והכניסו שם תמונות שונות. זה נקרא de facing.

כן.

עוד פעם, זה גם לא היתה שם פגיעה בתוכן, אבל היתה פגיעה תדמיתית – נקרא לזה כך. זו רמה שנייה.

היתה פה חדירה.

הפגיעות האלה, כל אחד רוצה לעשות אותם, זה קל, אפשר לעשות אותם.

מה שרציתי להגיד, מי שנכנס לאתר ראה משהו אחר מהתוכן.

מה שהתכוונו.

הם לא נכנסו למקום שבו מאוחסן התוכן של האתר והשמידו אותו.

למקורי, כן. אבל הם שינו.

ראו את הגיבוי. מה שראו – ראו משהו אחר.

הם שינו. בגלל זה – זה de facing. הרמה השלישית היא כמובן הרמה שהשר התכוון אליה, שזה פגיעה או שיבוש בנתונים, והפגיעה הרביעית, הפגיעה החמורה ביותר זה באמת ששם - - -

- - -

לא, זה של מדינות ושל היקפים, ושם באמת בוחרים נקודתית את האתרים שלהם. זה אותם נזקים במערכות מאוד מסוימות תפקודיות, תפעוליות.

כמו שנכנסו לאירנים לתוך מערכות מִחשוב.

כמו ה - - -

אז קודם כל, בחינה והורדת סבירות אירוע טרור התקפתי, תוך יצירת קשר רציף עם רא"מ. אנחנו מונחי רא"מ מתחילת השנה. גוף "ממשל זמין" נכנס להנחיית רא"מ בפברואר השנה, ואנחנו מאוד ברכנו, לפחות כששמעתי על זה, מאוד בירכתי על ההנחיה זאת, כי ההנחיה הזאת גם מכניסה אותנו לסטנדרטים שאנחנו עובדים איתם עד היום, אבל הכניסו אותנו גם לעוד מתודולוגיות ועד בחינה.
רא"מ בעצם מנחים ומבקרים אותנו על כל דבר, גם אם הוא חשוד, גם אם הוא אירוע תפעולי, בצורה של אני אגיד: "שגרה" ושל דברים נוספים, גם כדי ללמוד, גם אם אותם אירועים אינם אירועים כדי לבוא ולראות איך אנחנו כאורח חיים, אנחנו הולכים ומשתפרים ובונים ויש לנו את הכלים.
המישור השני היה טיפול טכני בתקלה, כמו שתיארתי אותו.

המישור השלישי היה זיהוי האתרים שנפגעו, הערכת הנזק, תקשורת מול המשרדים הרלוונטיים, בניית תוכניות חלופיות להתאוששות מדורגת, וכמובן תקשור האירוע למשרדים. בסוף האירוע שלחתי מכתב אישי לכל המשרדים שמסביר מה האירוע, ואנחנו נספק לו גם את ההסברים במסגרת השקיפות.

המישור הרביעי היה ניהול מערך ההסברה מול הציבור וזה גם לשאלתכם, כי היתה כאן הרבה מאוד אי-הבנה ואני מודה שלנו לקח זמן, איתרנו את הבעיה ב-12 כשהבנו שבעצם מקשרים את האירוע התפעולי לאירוע אבטחתי. ולכן לקח גם את הזמן לבוא ולראות איך אנחנו בעצם מתקשרים ובונים, לא רצינו לתקשר משהו שלא ידענו והערכנו אותו. בפירוש היה כאן איזשהו מערך הסברה וגם הרגעה, כלומר לבוא ולהגיד גם מה לא היה, כי בפירוש כמו שאמרתי, יש כאן נזק תדמיתי וגם מורלי.

אגב, כל תקלה, אני מעריכה שבאופן אוטומטי ישייכו אותה עכשיו בעידן הזה של מה שקורה בכורים באירן שכל דבר מוסבר כבאמת ניסיון מתוחכם לשבש, אז כל אחד ישאל וגם ראש הממשלה דיבר על הקמת רשות סייבר, אז בכלל אנחנו נתחיל לדבר סייברית ותהיו מוכנים שכל תקלה תצטרכו להסביר.

אבל מה שמעניין אותי יותר, האם אתם משתפים במסגרת – אני אומרת כל עוד הנזקים הם כאלה שהם סבירים ואל מול הפקת הלקחים והמסקנות שהוצאתם, אני חושבת שאולי זה היה שווה שזה קרה, כי אני אומרת: הנה בעקבות זה עשינו כך וכך.
השאלה אם אתם כנוהל משתפים את הגורמים החיצוניים לכם, שלא ב"ממשל זמין", באופי התקלה, בהנחה שזו תקלה שיכולה לקרות במקומות אחרים, במערכת הבנקאית, במערכת התעופתית, או שזה לא כזה מן שצריך - - - ואם היה כן מן כזה – האם יש לכם נוהל לשתף, שאחרים יתגלחו על הזקן שלכם, אם כבר קרה - - -

זה הולך דרך הספק בדרך-כלל. כשיש תקלה, יש ספק שנתן, עכשיו הספק, הוא מספק לאחרים הוא אמור - - -

אז הוא נותן לכם ונותן לאחרים ולכן הוא יודע - - -

גם יש פורומים שבהם הידע הזה ספציפית, פה היתה תקלה במערך האחסון של "ממשל זמין" ויש פורומים שבהם המידע הזה משותף, חברים להם גם "ממשל זמין" וגם טכנולוגים מבנקים ואחרים.

יש פורום מרכז במדינה? מאחר והעולם הולך לכיוון טכנולוגי, כי גם לממשלה יש עניין ששגרת חיינו לא תשתבש ולא רק במה שקשור ישירות להשפעת הממשלה.

שמרכז את הטכנולוגיה מכל הזה - - - לא.

אציין מה שיש ב"ממשל זמין" וזה עוד פעם לגבי אותם גופים שמתארחים ב"ממשל זמין" תחת אותה הסתייגות שלא כל הגופים, כלומר, ברמה הממשלתית מר טל הרמתי יענה על זה – אין. אין לנו משהו שהוא מחייב וקיים. יש לנו פורום מנמ"רים - - - אתייחס רק בהיבט שלנו של "ממשל זמין" והפעילויות.

יש פורום שנקרא פורום ניהול אתרים, לדוגמא, ששם אנחנו בעצם מחליפים מידע לגבי אותם אתרים שמתארחים אצלנו. אנחנו עובדים עכשיו על איזשהו פורום ושיתוף מידע דרך ה-CTO, זאת אומרת פורום טכנולוגי שאנחנו מעבירים את המידע בנושאים האלה.
אין אף פורום שהוא מאוד קשיח והוא מחייב, אנחנו מעבירים את המידע, לכן אמרתי גם שלחנו את המידע. מי שלא נמצאת כאן היום זו מנהלת קשרי לקוחות. יש לנו גוף שלם שמטפל בכל הנושא של קשרי לקוחות – שברגע שיש כל אירוע ואפילו הקטן ביותר שהוא לא מורגש והוא נקודתי – האחריות שלהם היא לזהות ולתקשר את זה אל מול הלקוח.
קודם כל – כמו שציינתי כאן – זה לתקשר מה האימפקט, מה ההשלכה של אותו אירוע אל מול אותו לקוח. לדבר, כי זה יכול להיות שונה מלקוח ללקוח, ולתקשר לו גם את מהות התקלה ובמידה ויש קשר בין התקלה למערכות אחרות שנמצאות אצל אותו לקוח, אצלנו, אנחנו עושים איתו את התוכנית ואנחנו מעבירים לו את מה שצריך לעשות.
מבחינת ידע כללי, איך אנחנו בעצם מפיקים מסקנות ויודעים –כמו שנאמר כאן – דרך הספקים או דרך – כמו שאמרתי: הוצאתי מייל ,מכתב לכל משרדי הממשלה שתיאר מה שהיה והזמנתי את כולם לשאול שאלות נוספות במידה ויש.

אבל השאלה היתה קצת מעבר לזה. מדובר פה על חוות שרתים שמחזיקה, מאחסנת את האתרים, וקרתה תקלה ואחד המרכיבים שמסייעים לכל האופרציה הזאת לעבוד. מה שקרתה בו תקלה זה רכיב מסוים שיש לו כתובת של ספק שייצר אותו, שהתקין אותו ושיש לו אחריות.

ושמשווק אותו גם לאחרים.

עכשיו הוא משווק אותו גם לאחרים, זה יכול להיות משרדי ממשלה, זה יכולים להיות גם אחרים שהם לא משרדי ממשלה. עכשיו השאלה היא גם מבחינתנו וגם מבחינתו. מבחינתנו לבדוק האם קנינו סחורה לא טובה? האם הסחורה אולי פג תוקפה ואנחנו כבר השתמשנו בה מעבר למה שצריך? האם אנחנו היינו בסדר והוא לא היה בסדר?

גם מבחינתו, אם אנחנו היינו בסדר – אנחנו מצפים שהוא יזהיר גורמים אחרים לפחות בישראל שהוא עושה אצלם את אותו דבר שיגיד להם: תשמעו חברים, טעיתי באספקה, יש כאן איזושהי בעיה, בואו נפתור אותה לפני שקורה לכם מה שקרה ל"ממשל זמין".

קודם כל, אנחנו ממשיכים בתחקור האירוע. זאת אומרת, לכן שמתי "כאן", כי יש כאן הרבה מאוד רבדים כדי להבין – שאלת כאן הרבה שאלות מאוד לגיטימיות, מאוד נכונות כדי להבין. רק כדי לענות, באירוע הספציפי הזה קנינו סחורה שהיא טובה, אבל צריך לבחון האם השתמשנו בה נכון? מה הוותק שלה? – יש לנו הרבה מאוד פלטפורמות שהם פלטפורמות מאוד ותיקות. הארכיטקטורה השמישה הזו היא מאוד ותיקה במונחים טכנולוגיים ביחס לרמת השימוש.
יש לנו כאן מספרים רק כדי שנסבר את האוזן. משנה לשנה היקף שימוש, לדוגמא בשרת הטפסים, צמח מקרוב לשני מיליון לכמה?

שלושה מיליון.

קרוב לפי שניים. שימוש במערכות. זה מחייב הסתכלות על ארכיטקטורה אחרת לגמרי, ניהול אחר, אופרציה שהיא שונה לגמרי. זה כבר לא אותו איזשהו סטרט-אפ קטן שהגיע, שמו כמה מערכות, הרימו שירותים נורא מהר, הטכנולוגיה מאפשרת, אלא הסתכלות אחרת לחלוטין. לכן אנחנו ממשיכים לתחקר ולשאול בדיוק את השאלות האלה.

גברת כרמלה אבנר, אולי בהקשר הזה, שזה לא מניח את דעתי, כי אנחנו פה למדנו משהו כנראה מאוד חשוב ואני לא רוצה שזה יישאר רק נחלת ה"ממשל הזמין". אולי השאלה לא צריכה היתה להיות מופנית אלייך ובהמשך נשמע מרא"מ. אולי זו הרשות שצריכה לקחת אחריות על עצמה להפיץ את העניין הזה של מהות התקלה, מאין נבעה ואיך אפשר אולי להימנע ממנה. אבל זה בהמשך כשרא"מ ידברו.

אנחנו מקבלים פניות מכל מיני גופים נוספים שמשתמשים באותו סוג ציוד, שמתעניינים לדעת מה בעצם מהות הבעיה, מה עשינו, מה קרה, כאשר נסכם את זה בצורה סופית עם חלק גדול מהגופים, אנחנו נדבר איתם ונעביר את האינפורמציה הזו.
אנחנו לא יודעים מי כל הלקוחות בארץ, מי כל המשתמשים שיש להם את סוג הציוד הזה.

נכון. אולי מרא"מ יודעים.

אלה שיש להם הרבה מהסוג הזה פונים אלינו, אנחנו נסכם ונעביר את האינפורמציה הזו בצורה מאוד מסודרת בסיום התחקיר.

מצוין.

- - - כמו שנאמר כאן, גם הספקים לומדים ומונים את מאגר המידע שלהם כדי להפיץ את זה אחר-כך.

טוב. תודה רבה. הייתי שמחה לשמוע את רא"מ, אבל אני גם מזמינה את נציגי משרדי הממשלה האחרים שיושבים כאן אם הם רוצים לשאול, לומר.

צהרים טוב, אני א', אני ראש רא"מ ואתן כמה מילים על ההיבטים שלנו מהאירוע הזה. אנחנו עבדנו בשיתוף פעולה עם אנשי "ממשל זמין" מתחילת האירוע. "ממשל זמין" הוגדרה על-ידינו, בערך לפני כשנה, כתשתית קריטית כיוון שהיא עברה סף מסוים של שימוש הציבור - -

שימוש יתר.

אין דבר כזה שימוש יתר.

- - ואנחנו מעריכים אותה היום. היא עונה למה שאנחנו מגדירים: איום ייחוס, האיום שבעצם מגדיר מהי תשתית קריטית. ההערכה שלנו שהשימוש של הציבור בזה ילך ויגבר ורמת הקריטיות של המערכות תעלנה במהלך השנים הקרובות, לכן בעצם התחלנו לעסוק בנושא הזה.

לאירוע עצמו, עבדנו בשיתוף פעולה עם האנשים של מר טל הרמתי, של גברת כרמלה אבנר, גם אנשים שלנו היו שם בשטח במהלך הלילה, והגענו לאותן מסקנות שאנשי "ממשל זמין" הגיעו, הווה אומר שמדובר בתקלה טכנית. ה-incentive הראשוני שלנו להיות שם באזור היה לוודא, או לדעת בדיוק האם מדובר באיזשהו סוג של תקיפה – כמו שהיה באז גדול במדינה וגם איזשהו פלג של "אנונימוס" טרח לקחת על זה אחריות לאירוע – ואנחנו הגענו למסקנה הזאת שלא.
ובעצם מאותו יום שני בבוקר אנחנו בתהליכים של תחקור, בתהליכים של הבנה עמוקה של מה שקורה. גם אני, אפילו באופן אישי, דיברתי עם המנהלים של הארגון שסיפק את הציוד.

מה שיושבת-ראש הוועדה דיברה לגבי לקחים רוחביים, זה לקחים שמופקים על ידינו מתוך שתי מוטיבציות עיקריות: לוודא שמישהו לא יכול לעשות את התקלה הזאת באורח יזום, זאת אומרת,ones שהתקלה קרתה, זאת אומרת שיש לזה היתכנות פיזיקלית, ואנחנו רוצים לוודא שזה אכן יישאר רק בגדר היתכנות ולא שמישהו יביא את זה לידי מימוש. אנחנו מנסים לתפור את חליפת האבטחה הטובה ביותר, או חליפת המניעה הטובה ביותר שאירוע כזה לא יחזור על פניו.

ובי"ת, לגבי איזשהו סוג – וזה כבר מבחינת התובנות הפנימיות שלנו – לגבי הסף שבו בעצם אנחנו מבינים שתקלה היא לא תקלה אמיתית, אלא היא תקלה שמישהו יזם אותה. זאת אומרת, בדרך-כלל – אנחנו יודעים את זה מהחיים – כשתוקפים כל מיני מקומות המסקנה הראשונית של אנשים היתה: תקלה או רוצים לברוח לכיוון שזאת היתה תקלה ובעצם לא משהו שניזום על-ידי מישהו. אנחנו פה מתחקרים את האירוע הזה גם מההיבט הזה, להבין בדיוק את הספים.

לסכם את הדברים, מבחינת אבטחה זה בדיוק כמו שמר טל הרמתי וגברת כרמלה אבנר אמרו קודם: זה none ishue. התקלה היתה תקלה טכנית ויחד עם זה יש שם היבטים רבים שאנחנו נפיק מהם לקחים לכיוון האבטחתי. בין היתר זה גם יהיה הפצה של הידע הזה למערכות נוספות שבהם מותקנת אותה מערכת, ויש כאלה מקומות במדינת ישראל.

אה, לא רק בתוך - - -

לא רק בתוך תהיל"ה, יש עוד מקומות, ואנחנו נדאג שהמקומות האלה יקבלו את המידע הזה.

ענית לי והנחת את דעתי. תודה רבה. תת גונדר ישראל רון, ראש מינהל טכנולוגיות בשירות בתי-הסוהר.

ביקשתי את רשות הדיבור כי אני צריך לצאת אחר-כך. אני אומר כך, יש לנו אתר של שירות בתי-הסוהר, שמאוחסן בתהיל"ה, הוא לא נפגע בתקלה הזו.

אולי כי הוא בתהיל"ה.

כן, נכון, אנחנו חושבים שתהיל"ה הוא ארגון חשוב וצריך להתייחס לכך בהתאם. וביחס למה שראינו כאן היום - -

תהיל"ה נבלעה ב"ממשל זמין".

זה חלק מ"ממשל זמין".

זה חלק מ"ממשל זמין" - - - בשירותים ובתשתיות.

- - בקשר למה שהוצג כאן היום, אני רוצה לומר שלוש נקודות: אחת, כך או כך נגרם נזק תדמיתי משמעותי. אני חושב שההתייחסות לנזק שנגרם היא מקלה מהכיוון הטכנולוגי. טכנולוגי לא קרה כלום - - -

תדמיתי אצל מי? אצל ציבור רחב או אצל בעלי המקצוע?

תדמיתי זה בתקשורת. לא, לא, ממש לא אצל בעלי המקצוע. בתקשורת, בסוף ההתייחסות היא מקלה – ונאמר גם פה – ההתייחסות לא צריכה להיות טכנולוגית בלבד. תהיל"ה הוא ארגון שאמור לאחסן את האתרים הייצוגיים של מדינת ישראל, אתרים נגישים, ולכן עצם היותם אתרים ייצוגיים – אתרים של הצבא, של המוסד וכן הלאה – מחייבת זמינות מלאה שלהם.
האמריקנים מגנים כך על האתרים של הבית הלבן. יש בהחלט מקבילות בעולם וכל העולם הזה – כמו שנאמר כאן, הרי אין ודאות מלאה מה קרה למי שלא עוסק בזה באופן מלא – הוא בעצם עניין תדמיתי. כל המתקפות סייבר שדיברת עליהם הם בעיקר עניין תדמיתי, לפני שהם הופכות לעניין פיזי.

זאת אומרת, התיקון צריך להיות פסיכולוגי כמעט.

אני אומר שהוא צריך להיות גם במימד ה - -

אנושי.

- - התדמיתי – אני פסיכולוגיה פחות מבין, תדמית אני יותר מבין. ולטעמי ההתייחסות שנאמרה כאן היא התייחסות מקילה: לא תקפו אותנו, הכול בסדר, תיקנו את התקלות, 18 שעות.

לא, לא, לא, לא.

לא, רק רא"מ אמרו: none ishue, אבל הם דווקא, היה - - -

none isue אבטחתי. הסבָרַתי – אני מסכים איתו בהחלט.

דיברו בהיבט הטכנולוגי.

אנחנו התייחסנו לחלוטין שאנחנו רואים אותו באירוע חומרתי וציינתי את זה כדבר ראשון.

אבל לא משנה, אם אתם במילא הייתם שם.

אני ראיתי מה אמרת ושאר המצגת היתה: תיקנו וסידרנו וזה לא היה isho.

גברת כרמלה אבנר, תקשיבי, זה נושא שאת טוענת שלא-לא התייחסת אליו והוא אומר שלא. בסדר, אם התייחסת – תרגישי טוב.

זה כלפי חוץ וזה המלצה כמובן, אפשר לקבל, אפשר לא – אנחנו מסתכלים על זה גם מבחוץ - - -

אתה רוצה להסביר לי יותר למה אתה מחדד את זה יותר ושמת את זה בסדר עדיפות ראשון בהערות שלך?

כן, כי תראי, כל האירוע הזה - -

מה זה אומר – שזה פגע תדמיתית?

- - היה בקונטקסט מסוים, היה אירוע במדינת ישראל, מישהו טען שהוא הגיב אליו בצורה מסוימת.

אוקיי.

זהו, הרי לא יכול להגיב עליו בשום צורה אחרת ובמקום שמדינת ישראל היא מדינה מאוד מדעית מתקדמת - - -

אוקיי, הבנתי, זה אפילו כלפי העולם, אתה אומר.

ודאי, ודאי, ודאי.

דבר שני שאני רוצה לומר זה כלפי פנים. ופה אני פונה לתהיל"ה, ואני ממליץ שבפעם הבאה שזה קורה – כמו שנאמר יש 300 אתרים, הייתי מצפה לקבל באותו זמן או כעבור שעה טלפון ולהגיד: תשמע, זה המקרה, זה מה שקורה, זה מה שאנחנו עושים, ותדעו אנחנו מטפלים או יש לנו בעיה או אנחנו צריכים את העזרה או יהיה בסדר.
זאת אומרת, הטיפול היה צריך להיות גם פנים, גם חוץ. פנים – הלקוחות, חוץ – ישראל והעולם, ולדעתי בשני הדברים האלה נדרש שיפור. אני מקווה שלא יהיו פעמים הבאות, אבל אם יהיו כדאי לשפר.

יהיו, יהיו. בוא נהיה בטוחים שיהיו. יהיו. זה קרה בעבר, זה קורה עכשיו, זה יקרה בעתיד.

אני אגיד לך איפה זה יקרה יותר - - -

תראו, יש כלי-רכב – יש תאונות דרכים, יש אתרים, יש מאגרי מידע – יש פריצות, כאלה, אחרות. זה חלק מהעניין, זה יקרה, זה יקרה. בתדירות כזאת או אחרת צריכים להילחם בזה כל הזמן, כמו שנלחמים בבריחות מבתי-הסוהר. אתה יכול להבטיח לי שלא יברח אף אסיר מבתי-הסוהר?

גם אם לא תענה לו – מדברי השר הבנתי עוד קודם לכן שאנחנו צפויים לראות תקלות חוזרות ככל שהממשק האינטראקטיבי בין "ממשל זמין" לאזרח גדול יותר. זאת אומרת, אם אני כאזרחית צורכת שירותים, יש להם עניין מוצדק שזה יהיה נגיש. ככל שזה יהיה נגיש להדיוטות ולא לבעלי מקצוע או פחות לבעלי מקצוע, שם הסבירות לתקלות תהיה רווחת יותר. את זה הסקתי מדבריו. ככל שזה רק בעלי מקצוע מתעסקים עם זה, אז סביר להניח שזה יהיה יותר מאובטח ולכן שם צפויות פחות תקלות. אני מתרגמת אותך נכון?

בוא נאמר כך, בשירות בתי-הסוהר במקומות שבהם הם מקפידים במיוחד, אז הסיכוי של האסיר לברוח הוא יותר קטן, ויש מקומות שאומרים: אנחנו לא יכולים להקצות כל-כך אמצעים ביטחוניים כמו ששומרים על עברייני צמרת או ביטחוניים מסוכנים לכל האסירים. אחד שיושב במעשיהו, יושב בתקן אבטחה הרבה יותר נמוך, כי הם היו קורסים אם הם היו צריכים לתת לכולם את אותו תקן אבטחה כמו הכי-הכי חמור שיש להם וגם אז היו קורים מקרים, אולי בתדירות יותר נמוכה, אולי פחות מקרים, אבל גם אז היו קורים מקרים.

תקווה שמחר לא יברח מישהו ממעשיהו ויגידו שזה בגללך.

אדוני השר, אני לא אתייחס למה שאמרת לגבי שירות בתי-הסוהר.

בבקשה.

אני לא אתייחס - - -

לא, אני ביקשתי שלא תתייחס.

אנחנו כאן אנשי מקצוע בתחום הטכנולוגיה, ואני אומר לך, אדוני השר, שתקלות היו ויהיו.

נכון.

עדיין, אפשר לעשות הרבה יותר - -

אין ויכוח.

- - במקום שמייצג את המדינה כדי שהם לא יקרו, והאתרים האלה מייצגים את הממשל של המדינה בעולם הוירטואלי.

טוב, יש פה נקודה שהוא רוצה להדגיש עכשיו, זה בסדר.

כשיש טכנולוגיה, אתה יודע יפה מאוד שאם המטרה היא – אם אנחנו שמים את זה כדגל הבלעדי, אז אנחנו נמנע מלתת שירותים מסוימים שמאפשרים לאזרח, למשל כניסות לאתרים, שימוש בטכנולוגיות, כמו פלש או דברים אחרים שהם כלים שיכולים דרכם להיכנס ולגרום נזק.
כאן צריך את האיזון, והתפקיד שלנו כמי שמעורבים בזה, לקחת את כל האמצעים האפשריים, אבל גם לתת הסבר לציבור שאם דבר כזה קורה, זה לא בהכרח סוף העולם, ושאם אנחנו רוצים לתת לו שירות הכי טוב, אז אנחנו לוקחים גם סיכונים למענו שיוכל לקבל 364 ימים בשנה את השירות היותר טוב. ולא להגיד לו: כל השנה אתה תסבול כי אני מפחד שתקרה לי יום אחד איזושהי תקלה כזאת או אחרת.
זה עניין של גישה. אני חושב שהנקודה הנכונה זה מה שאמרה יושבת-ראש הוועדה. גם כאן יש עניין של איזונים.

- - -

אני אשמח רק להתייחס לנקודה אחת – ואתה מאה אחוז צודק – אחד הלקחים שלנו, לכן ציינתי כאן שעבדנו במספר מישורים ורבדים – הרובד האחרון היה רובד של טיפול בתקשורת והתקשור. אז קודם כל, אני כבר רשמתי לעצמי את אחד הלקחים, אנחנו תקשרנו לכל המשרדים שנפגעו ושמרנו איתם על קשר רציף, בפירוש אנחנו נרחיב את אותה הפקת לקחים ולתקשר את האירועים האלה גם לכל המשרדים האחרים, לשמור איתם על קשר רציף.
מעבר לזה, אחד הלקחים שלנו זה שההתמודדות הזאת – כמו שנאמר, גם על-ידי יושבת-ראש הוועדה וגם על-ידי השר – אירועים כאלה יקרו, גם טכנולוגיה קורית, גם אירועי התקפה. זאת אומרת, זה הופך להיות יותר ויותר נושא. חלק מהנושא הזה זה באמת איך אנחנו מתרגמים את הדיבורים הטכנולוגיים שלנו למשהו שהוא ברור והוא נהיר, ולכן אחד הלקחים זה איך אנחנו משפרים את כל מערך התקשורת שלנו, גם הפנימי וגם החיצוני.
אני מודה לך על ההערה, אנחנו באמת נשפר את התקשורת הפנימית – לפחות ניקח משהו מאוד ממוקד.

תודה. אני רוצה לשאול, במסגרת אותו דיון שהיה בינואר 2011 בנושא "היערכות למניעת קריסת תשתיות תקשורת בשעת חירום", קראתי שם – זה אולי לשר – "למרות שהתקן החדש הינו עדכני ומחמיר מאוד, ביקש לאחרונה משרד התקשורת" – שאנחנו יודעים שהוא מרכז הרבה מאוד מהמערכות האלה ובעיקר בשעת חירום – "שלא לאמץ את התקינה החדשה עד סוף שנת 2011" מהטעם שהוא מגביר תחרותיות בשוק הסלולארי, תכנסנה עוד חברות, הוא לא רוצה להקשות עליהם, אז הוא ביקש להשהות את זה. אבל הוועדה המרכזית של מכון התקנים דנה בנושא גם בינואר ודחתה את בקשת משרד התקשורת. מישהו יודע על זה משהו?

לא, אבל את צריכה להגיד מה התקן. מדובר פה על תקן.

אני לא יודעת מה התקן. תקן מחמיר.

לא, כתוב כאן – זה תקן בנושא בניה ורעידות אדמה והצבת אנטנות.

זה אותה פגיעה שבאה מפגעי טבע.

כן, זה אומר במילים אחרות מבחינתם שיכולת ההתאוששות - - -

דיברו שם על רוח, על אנטנות ברוח וכולי. איזשהו דבר כזה.

לדעתי, אני לא איש מקצוע, עד כמה שהניסיון שלי אומר לי, מבחינתם זו הכנה של יכולת התאוששות גם ממקרים של רעידות אדמה למידע קריטי שהממשלה מחזיקה במערכות מִחשוב. זאת אומרת, מה קורה אם פוקדת רעידת אדמה את ירושלים, נגיד את כל מערכת המִחשוב של מס הכנסה.

נכון, או רוח חזקה אפילו, שמפילה אנטנות.

רוח חזקה, אני לא יודע, אבל נניח, בסדר.

- - - זה לא המצאה שלי.

רוח חזקה הם דיברו על קריסה של התקשורת ברגע שאנטנות עפות, אז יכול להיות מצב של היעדר תקשורת.

נכון, נכון.

אנחנו מדברים אפילו על משהו יותר קשה מזה, של פגיעה פיזית במקומות שבהם מאגרי המידע בתקשורת, אז נגיד ישימו אנטנות – אפשר לחדש, אם הלכו מאגרי מידע ואי-אפשר לשחזר אותם זה נזק.

סלולא

אז מה קרה לתקן תקינה הזאת? יש מישהו - - -

צריכה להיות תוכנית התאוששות לאומית. אני לא יודע באיזה מצב זה נמצא. וצריכים להיות תקנים וגם מצבים שאומרים: כן, הלך כל מאגר המידע, אנחנו יודעים תוך כמה שעות, תוך כמה ימים, אפשר להחזיר אותו לפעילות וזה לגבי כל מאגרי המידע הקריטיים של מדינת ישראל.

זה מביא אותי שוב, אומנם אתה מופקד על שירותים שניתנים מטעם הממשלה, אבל בראיה לאומית, הייתי אומרת, ושאלתי את זה קודם ואני אחדד את זה כאן: האם יש מקום להקים פורום אינטגרטיבי שמשתף את כל – אני מעריכה שכמעט כל תחומי חיינו יצטרכו להיות מיוצגים שם – פורום שיתקשר בינו לבין עצמו לגבי תקינה, לגבי כשלים, לגבי - - -

אולי נשמע את מר טל הרמתי ורא"מ יתייחסו לזה - - -

רא"מ כן נתן איזה – אמר הערה שהוא משתף גם אחרים מחוץ לממשלה בנושא תקלות.

הם ירחיבו כאן.

קודם כל, פורום בנושא של תקינה קיים. הוא מרוכז על-ידי מכון התקנים, אני חבר בו, חברים בו ארגונים מהרבה מאוד גופים מהממשלה וכל תקן ישראלי עובר שם דיון ולפעמים נכנסים לביטים קצת קטנים מדי לטעמי, אבל אכן קיים איזשהו פורום בנושא של תקינה ותקנים.

יש לך אולם מספיק גדול למה שנקרא - -

זהו, שאמרתי שזה נוגע לכל תחומי חיינו.

- - לכנס שם את כל מאות ואלפי אנשי הטכנולוגיה - -

את כל המנמ"רים למיניהם.

- - בכל אחד מהארגונים בארץ. זה נראה קצת גדול.

נלווה לכם את האודיטוריום.

אבל אולי למפות, מעבר - - - בדברים המאוד חשובים הממשלה שולטת ואני די רגועה.

בדיוק.

אבל אולי לאתר – וצריך להיות לנו עניין בזה – עוד גורמים, עוד מנמ"רים - -

אתייחס לזה.

- - בתחומים נוספים ולשתף אותם - -

תחומי חיים חשובים.

- - בפורום מסוים שייקבע לעניין. גם בוועידה לרעידות אדמה שהכנסת, נדמה לי, הפעילה איזה פורום, נדמה לי שזה נמצא אצל השר בני בגין.

נכון, נושא של רעידות אדמה. כן, אבל זה פורום ממוקד באמת לנושא של רעידות אדמה.

גם שם אני לא בטוחה שיש נציג לתחומים הללו.

אנחנו עשינו, יותר מפעם אחת ניסיון, נפגשנו למשל עם נציגים, מנהלי מערכות המידע ו/או המנהלים הטכנולוגיים של הבנקים בהקשרים שונים. נפגשנו איתם בנושאים שונים, ניסינו גם לקדם, למשל תהליכים שקשורים בתעודת הזהות החכמה ובנושא של הזדהות חזקה. השר איתן היה גם במפגש אחד מהסוג הזה, היו נוספים. נפגשנו גם, בצורות שונות, גם מנהלי טכנולוגיה של חברות הביטוח. זאת אומרת, אלו באמת תחומי חיינו ואנחנו בפורומים שונים נפגשים בצורה כזו או אחרת – אני חייב לציין – לא פורמלי עם אותם גורמים שציינת. לשאלתך, האם קיים איזשהו מהלך להקים איזשהו – נקרא לזה – גוף שמתאם טכנולוגית - -

אינטגרטיבי.

- - את כל ה - - -

חיוניים למיניהם.

את כל הארגונים בממשלה ולהגדיר מה זה חיוניים.

- - - חיוניים, תשתיות מידע שהם קריטיות בהגדרה ש - -

שגרת חיים.

- - פגיעה בהם יכולה לגרום נזק ברמה לאומית, כלכלית, ביטחונית.

אז תשתיות בוודאי – זה בדיוק תפקידו של מר א' שיושב פה ומהנהן בראש – ההגדרה בדיוק של אותם תשתיות קריטיות ויש לא מעט כאלה, אני לא יודע אם אפילו מותר את המספר.

אפשר, 27 נכון להיום.

יש 27 תשתיות קריטיות שהוגדרו ומונחות - - -

שהם לא תחת הממשלה?

לא, לא תחת הממשלה. בממשלה יש - - -

בנקים לדוגמא.

חשמל, אנרגיה.

אגב, קיימים שם ארבעה גופים מתוך הממשלה ושניים מהם כפופים אלי, זה "ממשל זמין" ומרכבה. בנוסף יש עוד שני גופים בממשלה, אבל כל היתר זה חשמל, זה בנקים, שם יש גוף שאכן מרכז, בהיבטים של אבטחת המידע, את כל אותם גופים, מגדיר מתודולוגיות של טיפול, מגדיר מתודולוגיות של העברת ידע מהסוג הזה. הנושא הזה, לפחות מכוסה, הוא מכוסה אפילו יפה על-ידי רא"מ.

אז אולי הוא יכול להגיד כמה מילים?

אני אשמח.

כן, אין לי בעיה. יש על-פי חוק להסדרת הביטחון 27 גופים שמוגדרים כבעלי תשתיות קריטיות. התחומים שבהם יש תשתיות קריטיות זה תחומים שהם, הייתי אומר, נכונים לכל מדינה מודרנית במערב. השר, יושב-ראש הוועדה, הזכיר אותם קודם.
יש תהליך מסודר של הגדרה – של איך גוף מוגדר כבעל תשתית קריטית – שמסתיים בוועדת הפנים של הכנסת. רק לאחרונה, לפני שבועיים, הוגדרו מספר גופי תקשורת כבעלי תשתית קריטית. זה לא בכדי שהם דווקא נמצאו בסוף התהליך, כיוון שאלה גופי התקשורת, המגזר הפיננסי, גופים שמגנים על עצמם היטב מול איומים שונים במרחב הסייבר. לכן אנחנו השארנו אותם לסוף התהליך, אבל החשמל, המים, הובלת הגז, עוד כל מיני מערכות, הייתי אומר, בנק ישראל, מערכות לגסי כאלה, מערכות רשת, הם גופים שמונחים על ידנו.

העבודה סביבם היא רבה. הגופים האלה מחזיקים בנהלים שהם מקבלים מאיתנו, אנחנו מתרגלים אותם, אנחנו מבצעים מולם פעילויות רבות ומגוונות. ואנחנו מנסים לשמר – אנחנו מודדים את רמת האבטחה שם ומנסים כל הזמן להרים אותה לציון יותר גבוה ממה שכל גוף קיבל בשנה הקודמת. עד כאן.

השאלה היא האם – דיברת, שמעתי את המילה "סייבר" - - -

כן.

אני לא מדבר על סייבר, אני מדבר על פיזי.

תשתיות, תשתיות.

השאלה האם אנחנו לא נמצאים היום בעידן שאין לנו יותר הבדל בין עורף לבין חזית.

נכון.

אז השאלה שלי: האם יש תקנים גם - -

יפה.

- - לסכנות פיזיות?

רק לסכנות פיזיות שמשפיעות – אני אגדיר את זה היטב, כי זה טיפה מסובך – על התפקוד הסייברי. אני אתן לך דוגמא, כי אני יודע שהמשפט הזה לא כל-כך ברור. אין לנו תקן לרעידת אדמה, אין לנו תקן לשריפה או להצפה, אבל יש לנו תקן פיזי להגנה על גישה, נניח לחדר בקרה, שדרכו ניתן לעשות איזושהי פעולה במערכת הממוחשבת. זאת אומרת, למה שכבוד השר קורא אירועים פיזיים, אסונות טבע, לא בתחום העיסוק שלנו.

אבל, מה ההבדל כבר בין אסון טבע לטיל שפגע במקום שבו מאופסן מאגר המידע שהוא קריטי לקיומה של מדינת ישראל?

אתה מדבר על הפגיעה הפיזית, הפיזית.

פשוט עניין של חלוקת אחריות.

מי אחראי על זה במדינה?

תראה, לפגיעה של טיל – הצבא.

לא. סליחה. אקח דוגמא, נגיד שיש מידע של רשות המסים והם מחזיקים את ה-database שלהם במקום מסוים, מקלט והכל מוגן, מצוין. אבל מה, אומרים: תשמעו, חברים יקרים אם אנחנו רוצים להיות מוכנים לחס וחלילה, שקרה משהו למקלט המוגן הזה, אתם חייבים להחזיק עוד מאגר כזה בבאר-שבע.

DRP.

השאלה מי אחראי, לא בגלל מלחמה, תהיה רעידת אדמה בירושלים, לפחות באר-שבע, אם תהיה רעידת אדמה בכל ישראל, אנחנו לא יכולים לתת לזה מענה. אבל אם ירושלים נפגעת, באר-שבע ממשיכה, עולה תוך שנייה.

נכון.

השאלה מי קובע את זה לגבי אותם 27 תשתיות קריטיות.

אנחנו, אנחנו ונושא ה-DRP נכנס, הייתי אומר, חזק מאוד במהלך השנה האחרונה, שנה וחצי האחרונות, לתוך תוכניות העבודה שלנו. זה נושא מאוד מסובך, הוא דורש תקציבי עתק ואפילו טרמינולוגיה מתאימה כיוון שיש הבדל גדול או יש בלבול גדול בין המושגים BCP ו-DRP ובין מה זה אומר לעשות DRP. אתן לך דוגמה מאוד פשוטה, הדרך הטובה ביותר לעשות DRP לחברת חשמל זה לבנות עוד תחנת כוח, אבל ברור שלא על זה אנחנו מדברים. ולכן גם ההגדרה של הגבולות, גם ההגדרה הנכונה של הטרמינולוגיה - - -

עוד פעם חזרנו לאיזונים.

כן, כן, בהחלט. האיזונים המתאימים, ה- checking balancingזה מה שנקרא, יושב אצלנו חזק-חזק בדי-אן-אי וברור לנו שהעולם לא נוצר על מנת לעשות אבטחה, אלא האבטחה היא משהו הכרחי בשביל שהעולם יתפקד. זו תפיסת העולם שלנו.

אבל האחריות היא בעצם עליכם.

לגבי התשתיות הקריטיות, אני רוצה להשלים את מה שא' אמר, אנחנו נמצאים במהלך מאוד גדול בשנתיים האחרונות כבר, במעבר כל משרדי הממשלה או עידוד של כל משרדי הממשלה לקיים, להקים פרויקטי DRP כאלה. שוב, אלה פרויקטים, כמו שאמרנו, יקרים, צריך לזהות שם באמת מה הם התשתיות הקריטיות שצריכים את אותו גיבוי ומה פחות. לפחות בתשתיות הקריטיות של מרכבה ובתשתיות של "ממשל זמין" התהליכים האלה מתקדמים מאוד.

אנחנו לקראת סיום. לא כי מיצינו את הנושא, אני דווקא חושבת שלקראת הסוף עלו לי יותר שאלות מבתחילת הישיבה. נציג משרד התקשרות נמצא כאן? הוזמן?

הוזמן והבטיחו לבוא.

אני חושבת שהוא מאוד אקוטי, דווקא בהקשרים של תשתיות פיזיות סלולריות, שהם מאוד פגיעות, גם לטילים, גם לרעידת אדמה וגם לרוח חזקה.

וגם לשכנים.

וגם לחבלה.

שכנים, כן.
ושם אני לא רגועה מספיק, גם מבחינת החקיקה, אני מבינה שהתלבשו בעיקר על בזק ושלוחותיה ואולי עוד חברה. ובעצם אנחנו רואים שנכנסו מאז החקיקה חברות נוספות שהם בעצם לא כפופות לחוק, כי הם לא מוזכרות.

אני כנראה אזום תיקון לחקיקה ואני אשמח להיעזר בך בעניין הזה כדי למצוא הגדרה רחבה שהיא לא שמית, כי אנחנו לא יודעים גם מה צפוי לנו בעתיד, אז במקום להגביל את עצמנו לחברה כזאת או אחרת, נדרוש תקינה הגנתית ברמה יותר כללית ומרחיבה.

לפגישה הבאה מותר לנזוף במשרד התקשורת, אני חושבת שהוא יכל לקחת פה חלק פעיל בדיון הזה.
לסיכום, ככל שאני הולכת בזהירות בנושאים הללו – מהטעמים המובנים – אני חושבת שיש מקום לחשוב במשרד שאתה אמון עליו, למרות שאתה בעצם אחראי בעיקר על שיפור השירותים של הממשלה לציבור הרחב, אני חושבת שיש מקום להגדיל ראש ולראות איך אפשר בבחינה פחות משודרת כזו האם יש מקום להקים גוף פורמלי.
אם אני חשה נכון את הדברים – הדברים לא כל כך פורמלים, לא מחייבים. יש פה עניין של הגדלת ראש של אנשי מקצוע וטוב שכך, אבל אנחנו צריכים לבדוק שיש גוף שזה באחריותו הרגולטיבית לוודא שמנמ"רים חיוניים, ותגדירו את זה גם, אם יש מקום להרחיב גם את המספר שנאמר כאן, שיהיו מוזמנים לפורומים קבועים ששם יהיו שיתופי פעולה רחבים יותר לעומק, לרוחב ולאורך.
אני מפנה את זה יותר לשר מיקי איתן, כי השר הכי קרוב לנושא הזה וגם הכי מבין בנושא הזה. אשמח מאוד אם תיקח לתשומת לבך יחד עם אנשי המקצוע - - -

כפי שדיווח מר טל הרמתי, עומדים למנות את המנמ"ר של המנמ"רים.

אבל השאלה אם הוא יראה לעצמו חובה - - -

זה תפקידו. זה יהיה תפקידו.

מנמ"ר הוא מנמ"ר ממשלתי - - -

לא, תפקידו - - -

לא, כמו היועץ המשפטי לממשלה מול יועצים משפטיים, הוא סמכות מקצועית. אנחנו מקווים שתוך כמה חודשים יבחר המועמד - -

אוקיי, אז אולי נזמן איתו - - - השאלה למה כמה חודשים.

- - וזה בהחלט יהיה אחד מהתפקידים שלו. כמה חודשים זה הכי מהר שאנחנו יודעים לעשות.

שאלות שהן טסות מעלי.

אז לכן אני אומרת, ברגע שיהיה לנו המנמ"ר, הנה יש כבר כתובת – אותו מנמ"ר, מנמ"רים, נזמן דיון ונבקש לוודא שהוא מבין שמתפקידו גם לעשות כך וכך וכך.

נכון, נכון, בהחלט. הוא יהיה פה.

ממש הייתי בסיכום דברי, מאוד חשוב שתוסיפי?

לא, רק הערה קטנה - - -

מי הגברת?

מהמשרד להגנת הסביבה. בממשלה הפונקציה – חלק מהאתרים מנוהלים על-ידי מנמ"רים ויש גם משרדים שבהם יש פונקציה אחרת של מנהלי אתרים - -

Outsourcing.

- - וזה מאוד חשוב שגם אותם ישלבו, כי המנמ"ר בחלק מהמשרדים המנמ"ר עוסק רק בטכנולוגיה ולא בתוכן, כך זה אצלנו.

דיברנו על אדריכלות תוכן – כמה היא חשובה, איך נגדיר אותם בהזמנה?

מנהלי אתרים.

מנהלי אתרים. אני מודה לך על ההערה. הישיבה הסתיימה. תודה רבה לכם.
<הישיבה ננעלה בשעה 11:01.>