כנסת פתוחה

פרוטוקולים/ועדת מדע/8261




5
ועדת המדע והטכנולוגיה - 3.2.2004


פרוטוקולים/ועדת מדע/8261
ירושלים, כ"ד בניסן, תשס"ד
15 באפריל, 2004


הכנסת השש עשרה נוסח לא מתוקן
מושב שני



פרוטוקול מס' 53
מישיבת ועדת המדע והטכנולוגיה
שהתקיימה ביום ג', יא' אדר תשס"ד, 3.2.04, בשעה 13:30

ס ד ר ה י ו ם

דו"ח רשם הגורמים המאשרים לשנת 2003-
הוגש לועדה בעקבות חוק חתימה אלקטרונית, התשס"א2001-

חברי הוועדה: היו"ר מיכאל איתן

עו"ד טנה שפניץ, משנה ליועץ המשפטי לממשלה
עו"ד דרור ארם, רשם גורמים מאשרים
דני דולב, יו"ר הועדה המייעצת לרשם הגורמים המאשרים
יוסי דולב, משרד האוצר
עמית אשכנזי, ייעוץ וחקיקה, משרד המשפטים
רפי הוידה, לשכת המדען הראשי, משרד התקשורת
זאב אדלמן, ראש תחום תוכנה לשכת המדען הראשי, משרד התמ"ת
עו"ד לאה רקובר, יועצת משפטית, המרכז לגביית קנסות, הנהלת בתי המשפט
ירדן ירדני, יועץ מיחשוב, הנהלת בתי המשפט
זאב שטח, מנכ"ל חברת קומדע
ד"ר איזאק לבטון, נשיא ומנכ"ח חברת אנקוטון
אבי נגר, מנכ"ל חברת סקיורינט
אריאל כהן, מנכ"ל חברת סלע סיסטמס
אורנה דריזון, מנכ"ל הרשות הלאומית להסמכת מעבדות
זהבה נזרי, ראש ענף פיתוח, הרשות הלאומית להסמכת מעבדות
שאול שניידר, בנק לאומי
נתן הרשקוביץ, מנהל מערכות מידע, רשות לניירות ערך
עו"ד חיים רבייה, לשכת עוה"ד
דורון שקמוני, נשיא איגוד האינטרנט הישראלי

ענת לוי

מירב ישראלי

חבר המתרגמים בע"מ


דו"ח רשם הגורמים המאשרים לשנת 2003-
הוגש לועדה בעקבות חוק חתימה אלקטרונית, התשס"א2001-

שלום לכולם, אני פותח את הישיבה. אנחנו מעוניינים לשמוע בקצרה את עיקרי הדברים כי נראה לי שיעניין אותנו יותר לשמוע את היקף הבעיות בשוק, מה היקף הפעילות וכו'.

הכנתי מצגת על עיקרי החוק עם רקע על החוק כתזכורת, כדי לא ניכנס לכל הפרטים. הרקע לחקיקת החוק הוא כדי לאפשר סחר אלקטרוני ויצירת פעולות משפטיות, התקשרויות, באמצעות רשתות תקשורת כמו האינטרנט, זה דורש הסדרה של תחומים משפטיים שונים שאחד החשובים שבהם הוא חתימה אלקטרונית. ניתן לחלק את ההסדרים בחוק החתימה האלקטרונית להסדרים עיקריים ומשניים כשההסדרים העיקריים מצויים בסעיפים 2, 3 ו6- לחוק. סעיף 3 מדבר על קבילות מסר חתום בחתימה אלקטרונית, באלו תנאים מסר חתום יהיה קביל בהליך משפטי, סעיף 2 מדבר על מתי ניתן להשתמש בחתימה אלקטרונית כאשר היא נדרשת לפי חיקוק וסעיף 6 מעמדו של פלט חתום בחתימה אלקטרונית.

ההסדרים המשלימים בחוק הם מרשם הגורמים הרשמיים שנועד לתת תשקיף ליצירת חתימה מאושרת, דרישות טכנולוגיות שמחדדות את ההבחנה בין חתימה רגילה לחתימה מאובטחת, חלוקת הסיכונים והליכי אישור לטכנולוגיות. אלו ההסדרים המשלימים שתומכים בהסדרים העיקריים.

ההגדרה של חתימה אלקטרונית רגילה בסעיף 1 לחוק מדברת על סימן אלקטרוני שהוצמד או נקשר למסר האלקטרוני, זוהי הגדרה רחבה מאוד שלתוכה נכנסים הרבה מאוד, יש בה מתחם רחב של אפשרויות, כל סימן שהוא לא בהכרח ממלא את הפונקציות שנדרשות לחתימה, כשאנחנו מדברים על פונקציות שנדרשות לחתימה אנחנו מדברים קודם כל על זיהוי החותם ואפשרויות נוספות, זה ביטוי לגמירות דעתו זה משתנה לפי ההקשר של החתימה אבל אלה פונקציות שמקובל לזהות כחתימה. אישור שלמותו של המסמך החתום וכו'.

כולם יודעים פה מה זה חתימה אלקטרונית, מעניין אותנו יותר לדעת מה קורה בהיקף הפעילות, כמה גורמים מאשרים.

חתימה אלקטרונית מאובטחת נועדה ליצור סוג של חתימה שעונה לפונקציות הנדרשות מחתימה, כאשר אנחנו מדברים על תנאים ייחודיות, אפשרות לזהות. מושגי יסוד בהגדרה של חתימה מאובטחת, אמצעי חתימה ואמצעים לאימות חתימה, מדובר על צמד מפתחות. אמצעי חתימה הוא מפתח פרטי שנמצא ומשמש להצפה שהוא נגיש לחותם בלבד, ואמצעי אימות חתימה הוא מפתח ציבורי גלוי והוא משמש לפיענוח ההצפנה. המאפיינים של חתימה מאובטחת הם, זה חתימה שעקרונית מסוגלת למלא פונקציות של חתימה ידנית, היא מהווה ראייה קבילה בבית משפט בנוגע לזהות החותם, יש חלוקת סיכונים בין החותם בהגדרת חובותיו של החותם, ובנוסף לכל כדי להגדיל את הוודאות יש פרמטרים טכנולוגיים ואבטחתיים מאחר והטכנולוגיה לא יוצרת יש מאין, נדרשים פרמטרים טכנולוגיים ואבטחתיים כדי להבטיח שאכן נוצרת חתימה מאובטחת. החוליה החלשה שמובנית בתוך החתימה המאובטחת היא, שיטת הזיהוי של החותם שהיא לא מוגדרת בהגדרה של חתימה מאובטחת איך מזהים את החותם, מי מסתתר מאחורי המפתח, איך מקשרים בינו לבין החתימה. את הבעיה הזאת יכולה לפתור חתימה אלקטרונית מאושרת שהיא שידרוג של חתימה מאובטחת. השידרוג הוא בכך שלחתימה מאובטחת מצורפת תעודה המזהה את בעל החתימה, מושגי היסוד כאן זה תעודה אלקטרונית שהיא מסר אלקטרוני שיוצר את הקשר בין החותם לבין המפתח שלו והיא מוצגת ע"י גורם מאשר שרשום במרשם, זה צד ג' נאמן שרשום במשרד המשפטים במרשם המאשרים. מאפייני החתימה המאושרת מספקת וודאות גבוהה בנוגע לזיהוי החותם מה שלא קיים בחתימה מאובטחת, מעמד מועדף לפי סעיף 2 לחוק, היא מהווה חתימה כשרה במקרים שבהם נדרשת חתימה לפי חיקוק וחלוקת סיכונים כאשר מוגדרים חובותיו של הגורם המאשר ושל בעל אמצעי החתימה, יש לו אחריות שיעורית כאשר הגורם המאשר פטור לפי החוק הוא עלול לשאת בנזק שנגרם.

סמכויות הרשם מחולקות לשתי סמכויות עיקריות. הסמכות העיקרית שהם גורמים מאשרים לפיקוח על פעילותם על מנת לוודא כי באמת מדובר בגורמים מהימנים, עמידה בדרישות החוק והתקנות. הסמכותה שניה היא הליך של אישור טכנולוגיות לחתימה אלקטרונית מאובטחת שזה הליך שנועד לתת הכרה לפרמטרים שהזכרנו קודם, פרמטרים טכנולוגיים ואבטחתיים, איזה שהיא הכרה מוסמכת כדי לתת וודאות.

הנושא של רישום ופיקוח על גורמים מאשרים כרוך בבדיקות שונות במספר תחומים כדי לוודא שהם אכן עומדים בדרישות החוק והתקנות. התחום הראשון הוא אבטחת מידע, מדובר בבדיקה של התוכנה, נהלי עבודה, יצירת מסמך של הרשם שמתרגם את הנורמות הכלליות של החוק לדרישות ספציפיות כדי שאפשר יהיה לעשות בדיקה רצינית. דגש מיוחד על אבטחה של אמצעי חתימה של הגורם המאשר לפי פרמטרים טכנולוגיים ואבטחתיים שנמצאים בתקנה 5 ובדיקה של מסמכים משפטיים, מסמך הנהלים שזה מסמך מקיף שמפרט את כל תחומי הפעילות של הגורם המאשר, אופן הפעילות וכיצד מבוצעת הפעילות לפי אלו נהלים וזה מפורסם גם באתרי האינטרנט של הגורמים המאשרים. מסמכים נוספים זה ביטוח, ערבות, היה צורך בהכנה לרישום גורמים מאשרים, הוכנו דרישות מפורטות מה נדרש, תרגום של הנאמר בחוק.

הסמכות הנוספת היא הליך של אישור טכנולוגיות להפקת חתימה אלקטרונית מאובטחת, כיום אנחנו מחלקים את זה לשני שלבים שזה מקביל גם למה שקורה באירופה מבחינת אישור טכנולוגיות. השלב הראשון הוא הליך של בדיקת הטכנולוגיה ע"י מעבדה שמוסמכת שמתאימה לבדוק את התקן הרלוונטי, המעבדה בודקת ונותנת איזה שהיא תעודה על התאמת הטכנולוגיה. בשלב השני מוגשת לרשם בקשה בצירוף התוצאות והוא אחראי לבדוק את תקפותן של התוצאות ולבדוק אם הן עומדות בדרישות. כיום אנחנו מבצעים את הבדיקות האלה בהתייעצות עם הרשות הלאומית להסמכת מעבדות.

הבאתי קצת נתונים על מה שקורה במדינות אירופה. מבחינת גורמים מאשרים ההבדל העיקרי בינינו לבין האירופאים הוא שאצלם השיטה היא וולונטרית, אין חובה להירשם כדי לתפקד כגורם מאשר, יש פיקוח על גורמים מאשרים שמנפיקים לציבור אבל בעיקרון אפשר לראות שמבחינת המספרים חוץ מגרמניה שבה יש מספר,

באוסטריה יש הרבה, שישה.

גם באוסטריה יש יחסית הרבה. לגבי הטכנולוגיות יש להם הליך די דומה לשלנו.

מה הסיבה שבגרמניה זה מגיע ל23- ובצרפת לא עושים בזה שימוש בכלל.

יש לי השערה, אני לא בטוח, יכול להיות שלגרמנים,

יש כאן מישהו שיודע?

בגרמניה שיעור החדירה של שימוש בחתימה אלקטרונית לפי הנתונים שקראתי לפני כחצי שנה, הגיע ל5.8%- מהאוכלוסיה או ממשתמשי האינטרנט והם החשיבו את זה לכשלון טוטאלי. זה כמובן נתון מאוד רחב שהמשמעות שלו היא שהשימוש שם בחתימה אלקטרונית,

זה מה שאני שואל, איזה שימושים יש שם שכנראה גורמים לכך שזה ממריא באיזה שהיא צורה.

ממה שאנחנו מבינים, הגרמנים היו החלוצים באירופה כבר ב97- לחוקק את ההסדר המשפטי. מעבר לזה הרגולציה שם מאפשרת לגורמים מאשרים לעבוד באאוט סורסינג במידה מסויימת, אם היום אנחנו דורשים במסגרת הפיקוח שדרור דיבר עליו שגורם מאשר את הלב של המערכת יעשה מתוך אתר מאוד מאובטח מבחינת אבטחת מידע ואבטחה פיזית, על התשתית הזאת יכול להשתמש גורם מאשר אחד, בגרמניה הם כנראה איפשרו שחלק מהפעילות הזאת תבוצע מאותו מקום על שרתים נפרדים והדבר הזה מאפשר שמבחינת אתרים מאובטחים אם אני לא טועה,

זה שזה רק 23 גורמים מאשרים זה עוד לא נותן לנו תמונת מצב לגבי כמות הפעילות שמתבצעת, זה אינדיקטור די רופף שלא בהכרח הוא תואם, אבל אני מניח שיש גם איזה שהוא מתאם בין הדברים האלה.

לא בהכרח. היתה פה שרת המשפטים מגרמניה ושאלנו אותה על זה כי היא היתה קודם במשרד הפנים שאחראי על זה, היא אמרה שהם לא חושבים שיש חדירה של החתימה והם דווקא בודקים איך לתת לזה.

תיכף נשמע מה קורה בארץ אז נבין אולי קצת יותר טוב מה הבעיות. אתמול ראיתי איזה שהוא פיתוח ישראלי לחתימה דיגיטאלית באמצעות סיגנל קולי. זה מוכר בחוק שלנו?

לגבי החוק זה לא משנה, כי כל הענין הוא כיצד הוא משדר אל המערכת את הנתונים.

זה שיטה של אינקוליפיקציה שמאפשר להעביר חתימות דיגיטליות דרך הטלפון. כאן מדובר על שימוש של החתימה הדיגיטלית רק דרך האינטרנט, הפיתוח הזה מאפשר להשתמש בחתימה דיגיטלית גם בפונקציות טלפוניות.

מבחינת מדינת ישראל והפעילות החוקית על מנת שחתימה תחייב, היא יכולה להיות גם מבוצעת דרך הטלפון.

החוק לא מתייחס לאיזה מדיה.

ה-SSCD הזה שדובר עליו כאן זה הדבר שהאירופאים רצו עליו הכי חזק, כי כמו בחוק הישראלי המחוקק האירופאי ראה לנגד עיניו תשתית של חתימות אלקטרוניות ואת הדבר הזה היה צריך לתרגם לטכנולוגיה והאירופאים הקימו מיזם טכנולוגי שנקרא ESSSI שזה מיזם של מספר גופי תקינה אירופאים שהתפקיד שלו היה לתרגם לדרישות מעשיות את הדרישות של החוק. בהקשר הזה הם כתבו תקן למוצר שנקרא SSCD שהוא המוצר הכי רגיש מבחינתנו כמשרד המשפטים כי זה המוצר שמשתמש בו העסק הזה. באופן תיאורטי אפשר לשים תעודות אלקטרוניות ומפתחות גם על פיסי בבית וגם על טלפון סלולרי וגם על מכשירים מהסוג הזה, אבל כשאנחנו נותנים למפתחות האלקטרוניים שיושבים על אותו התקן תוקף משפטי, וזה מה שאנחנו רוצים, ואנחנו מטילים על המשתמשים חובת שמירה מאוד גבוהה כמו בכרטיס אשראי, אנחנו רוצים שהמכשיר עצמו יהיה מוגן ברמה מסויימת. אני לא מכיר את המוצר שאנחנו רואים כאן, אבל אני רוצה להסביר איך אנחנו מסתכלים על זה באופן עקרוני. הזיהוי הקולי מאפשר גישה ביומטרית למפתח.

זה לא קולי בקול אדם, זה טונים.

אני אסביר מבחינתנו איך אנחנו רואים את הדבר הזה. בעיקרון הדגם הנורמטיבי של אותו התקן הוא שיש לך את ההתקן שמגן על מפתחות שמשמשים לחתימה, המפתחות הם מאוד אישיים ובאורך מסויים, זה חלק אחד חשוב באותו התקן, החלק השני הוא איך אתה ניגש למפתחות.

אם אתה ניגש כמו לויזה זה נראה לי מספיק טוב, לא? אם אתה נותן לאדם כרטיס ויזה ואתה אומר לו שעם זה אתה יכול להיכנס ולמשוך עד 10,000 שקל בבנק בכספומט, אז אתה צריך לזכור בשביל זה רק ארבע ספרות ואתה פותח.

החוק הישראלי הרבה יותר נוקשה.

אנחנו לא משווים את זה לויזה.

הוא מופנה לתקן מאוד מורכב.

כלפי האזרח שמפעיל את זה, הוא מדבר על הגישה לכרטיס.

זה לא ארבע ספרות.

אם אתה לוקח את הויזה שלי ואתה יודע ארבע ספרות אתה יכול להשתמש בזה.

זאת הבעיה.

באמצעי חתימה אתה נדרש לפחות לשישה תווים.

אבל זה הולך בשני שלבים. בשלב ראשון אתה מאפשר לעצמך להשתמש בו ובשלב השני אתה מבצע את הפעולה. אז אתה אומר שעל מנת לזהות אני צריך קוד יותר חזק בכדי לדעת שהכרטיס מבצע את הפעולה וקצת פחות חזק שהאדם קשור לכרטיס.

פחות חזק, הקפיץ דורש מינימום שש תוויות כדי שאתה תוכל לגשת.

בויזה יש ביטוח משנה כי בסופו של הדבר אפשר לכמת את הנזק ויש ביטוח נגד הנזק. בחתימה דיגיטלית אתה נדרש לזהירות יתר יותר גדולה. הסטנדרט האירופאי היום מדבר על שש ספרות.

ברמת העיקרון בואו לא נשכח שבסוף אנחנו בונים על תבונתם של בני האדם ועל האחריות שהם נוטלים על עצמם. זה לא עומדים פה עם אקדח ואומרים לבן אדם עכשיו אתה חייב לקחת את זה ובלי זה אתה לא יכול לעשות שום פעולה, אתה עדיין יכול לעשות את כל הפעולות שלך בחיים בלי חתימה דיגיטלית. אם לקחת ואתה רוצה להשתמש בזה, אז אתה לוקח אחריות מסויימת.

מאוד חשובה הגישה למפתח הפרטי אבל זה לא נגמר בזה. הבעיה הכי קשה זה באיזה מידה החתימות הדיגיטליות יהיו נכונות בבית המשפט כשתגיע העת ומישהו יגיד, יש את החתימה הדיגיטלית שלי אבל לא אני חתמתי.

עם זה התמודדנו בחוק.

יש דעות רבות בעולם שאומרות שביום שזה יגיע לבית המשפט זה לא יתקבל.

היום אנחנו יותר פרקטיים ברמת ההתייחסות שלנו מבחינת משתמשים לגבי אמצעי חתימה וכו', ואני יכול להגיד שבהסתכלות של חברות כרטיסי האשראי בעבר למה להחליט,

אתם אחד הגורמים המאשרים?

כן.

אולי תתנו לנו קצת הסבר מה קורה מבחינת הביזנס.

היום ברמת הפרקטיקה אנחנו רואים את האזרח שאמור להשתמש בדבר הזה ויש בעיה לא פשוטה לאנשים ביומיום לזכור סיסמאות שמורכבות משישה תווים שהם גם ספרות וגם אותיות ולא סתם חברות כרטיסי האשראי הלכו לארבע ספרות, הדבר הזה בסופו של דבר מטרטר את האזרחים. הקושי הזה שאנחנו יוצרים לאזרח בסופו של דבר להשתמש בסיסמה שהיא מורכבת מתוך כל היתרונות של אבטחת של אותו מפתח פרטי, מביאים עליו כל מיני דברים תפעוליים שאחר כך,

בוא נעזוב את האזרח ונדבר על הביזנס. מה אתה יכול לספר לנו על התקופה שאתם עובדים ועל הבעיות שאיתרתם.

לגבי הסיסמאות, יש לנו ועדה מייעצת מאוד מכובדת שהקמנו וזה אחד הנושאים שעל סדר היום, כי אנחנו ערים לבעיה שמתעוררת.

אחרי שספגנו את הלקח שהחקיקה הקדימה את העסקים, בואו ניתן לעסקים לדבר, אולי לא צריך את כל זה.

יש טכנולוגיה לא חדשה שמבוססת על טביעת אצבע שלא משווים את טביעת האצבע לאיזה שהוא מאגר של טביעות אצבע בשרת מרכזי שיש עם זה גם בעיה של הגנה על פרטיות וגם זה יותר פריץ, אלא החתימה של האצבע יושבת על הכרטיס ונעשה מנגנון של מצ' און כארד ואז האדם לא צריך לזכור שום דבר, וזה כמובן יותר בטוח כי צריך גם משהו פיזי ביומטרי ואי אפשר לתת את הכרטיס למישהו אחר שישתמש בו. יודע לי שבמשרד המשפטים בהולנד מערכת של 12.5 אלף מחשבים מקושרים עם טכנולוגיה כזאת, אז יכול להיות שאפשר ללמוד מהם משהו.

אני חושב שהשנה מבחינת חוק החתימה האלקטרונית היתה התקדמות מאוד ברוכה. יש גורמים מאשרים בפועל תחת החוק הישראלי ואפשר לצאת לדרך. בנוסף לזה יצא הפרוייקט של רשות ניירות ערך שהיה פרוייקט ממשלתי ראשון שתמך בחוק החתימה האלקטרונית והביא איתו פרוייקט אמיתי שבו נעשה בזה שימוש עם קהל לקוחות מסויים וזה באיזה שהוא מקום פרקטיקה אמיתית של חוק החתימה האלקטרונית לפי תעודה אלקטרונית מאושרת. מעבר לזה היום אנחנו חשים בהתעוררות ובכל מיני ישומים של חתימה אלקטרונית מאובטחת, חתימה אלקטרונית מאושרת אנחנו עדיין לא רואים במשרדים שבהם יש פעילות עניפה בנושא הזה אבל יש התחלות בלא מעט משרדים ממשלתיים.

מה עם הבנקים?

אני רוצה להתייחס לענין הבנקים אבל לפני כן אני אמסור את הדיווח. קומסיין אושרה בפברואר השנה ע"י רשם הגורמים המאשרים שלפי דעתי עשה עבודה מאוד יפה ויסודית. נעשתה עבודה ממושכת ומיגעת עם הרבה פרטים קטנים שבסופו של דבר הגורמים המאשרים אושרו. צריך לזכור בנושא של הגורמים המאשרים שזה לא כמו כל טכנולוגיה. בכל טכנולוגיה יש את השלב שמתבצע מכרז ובשעה שיוצא איזה שהוא מכרז על החלטה של ממשלה אז אומרים שמעכשיו תתחילו להקים את הענין שבו זכיתם. בגורם מאשר זה לא כך. גורם מאשר ברגע שהוא אושר הוא כבר השקיע, הוא כבר ביצע את מה שהוא היה אמור לבצע ברגע שהוא אושר. זה מהלך הפוך. יושבים פה בחדר הזה כרגע שני גורמים מאשרים שהשקיעו הרבה מאוד ומחכים גם לממשלה וגם לבנקים על מנת שיוכלו להחזיר חלק מהשקעתם ובוצע השנה פרוייקט של רשות ניירות ערך ששני הגורמים מספקים תעודות וזאת התחלה טובה, אבל כמובן שזה לא מספיק, זה עדיין טיפה בים. צריך להבין למה זה קורה, יש שני מגזרים דומיננטיים בענין הזה, מגזר אחד זה המגזר הבנקאי והמגזר השני זה מגזר הממשלה. המגזר הבנקאי פנה, וזה נודע לי רק בימים האחרונים שהיו דיונים פה עם המגזר הבנקאי, שבו פנו נציגי המגזר הבנקאי למשרד המשפטים והתקיימו דיונים והם בניגוד לשלבים שהיו בישיבות ולפי מה שאני יודע היום הבנקים לא חייבים,

אני זוכר רק דבר אחד, שהיתה התחייבות שאדם צריך להופיע פעם אחת בעת הרישום של החשבון. וקיבלנו על זה הסברים שככה זה ישאר.

יש פה ענין של חוק הבנקאות והיה מצב שמסמכים מסויימים היה אפשר להשתמש בחתימה מאושרת, היום יש מצב שהיועצים המשפטיים של הבנקים אומרים למקבלי ההחלטות בבנקים שהם לא חייבים להשתמש בחתימה מאושרת של גורם מאשר והם יכולים להסתפק במאובטחת. הבעיה עם מאובטחת שבניגוד למאושרת, מאובטחת זה כל דבר שהוא מאובטח. יש כללים אבל זה דבר הרבה יותר רחב מאשר מאושרת.

עם כל הכבוד לחתימה המאושרת ולגורם המאשר שאנחנו גם קצת מרגישים אחריות, בכל אופן יצרנו חוק, הטלנו דרישות, אנשים הלכו והקימו, אני לא מתנער לגמרי, אבל מבחינת משק כנפי ההסטוריה והתופעה החברתית והרצון להפוך את מדינת ישראל למדינה עם תרבות אינטרנטית דיגיטלית מודרנית ומתקדמת, הערך של החתימה המאובטחת הוא הרבה יותר חשוב, או עצם השימוש הוא הרבה יותר חשוב. דפוסי העבודה, נהלי העבודה וכו'. אז אולי נשמע מה קורה בבנקים, האם הם משתמשים בזה, האם יש פעילות שהיא פעילות שלא עוברת דרך הגורמים המאשרים אבל היא אותה פעילות מבחינה טכנולוגית. זה גם חשוב לנו בדיון הזה. צריך להבין שאם אתה רוצה להרוויח אתה תרוויח בחברה במדינה שיש בה אנשים שיש להם מודעות, שמתעסקים בזה, שהמסחר עוסק בזה והחתימה המאושרת היא כבר בשלב היותר למעלה, כעסקים יתחילו בזה זה יגיע אליך גם כן.

למשל בממשלה מה נעשה, זה גורם שיכול לעודד פעילות כזאת, אם יש תקנות בבנק ישראל שצריך לשנות, שהבנקים יתחילו כמה שיותר להיות מעורבים, בסוף זה יגיע גם לחתימה.

בנק ישראל הוציא את תקנה 357 ובה הוא כתב דברים די טובים מבחינה זו. הנקודה היא שהם נתונים קצת לפרשנות ואז אפשר לפרש את זה,

מה אומר בנק ישראל?

בנק ישראל הוציא תקנות שאומרות לבנקים שבנושא של גישה לאינטרנט, שבשירותים שהם נותנים דרך האינטרנט הם צריכים ליישם אמצעי גישה יותר מחמירים לזהות את המשתמש.

אז זה טוב בשבילך אבל אני לא בטוח שזה טוב למשתמשים.

זה טוב בכלל, בהנחה שמה שאנחנו עושים טוב אז זה טוב בכלל. מה שאני מרגיש, שהבנקים, יש בנקים שיותר ויש שפחות, אני עושה כאן הכללה אבל זה לא כל הבנקים אותו דבר, יש בנקים שאומרים אני לא מיישם חתימה מאושרת, אני לא חייב את זה,

באיזה מקרים הם מיישמים היום?

יש בנקים שכן מנסים ליישם את זה.

כשזאב דיבר על בנקים שעושים פחות אז אני חושב שבבנק לאומי החשיבה על חתימה מאובטחת וחשיבה על חתימה מאושרת נמצאים אצלנו ברמה התשתיתית כבר מספר שנים, אנחנו נמצאים בפיילוט של המכשיר הזה כבר למעלה מחצי שנה, אנחנו בוחנים יצירת תשתית של חתימה, ברור לנו שזה ביסוד הביזנס,

למה זה משמש היום ומה התוכניות שלכם לגבי השימושים בעתיד?

השימוש העיקרי היום הוא כניסה מאובטחת לאינטרנט, פשוטה, זה לא חתימה זאת הזדהות,

החתימה משמשת להזדהות בלבד.

כרגע. הזדהיתי מאוד עם אותה רשימה שדיברת עליה של סיסמאות, זה פותר את הבעיה, כי גם כשרשמת אתה צריך ללכת לאותו מסמך ולשנות אחת לחודשיים שלושה, זה פתר את הבעיה הזאת. עדיין אני לא יכול להגיד שאימצנו את זה כי אנחנו עדיין בפיילוט אבל אנחנו בחשיבה של איך לעשות את זה ובניית תשתית. זה השקעה אדירה לבנות תשתית כזאת.

איזה סוגי פעילויות אתם מבצעים היום באינטרנט? זה הכל מוגבל לסוג הפעילויות שאתם מבצעים באינטרנט.

ההזדהות בהחלט אבל באינטרנט היום אתה יכול לבצע תשלומים גם לממשלה, העברות,

מוגבל בסכום?

לממשלה מוגבל בסכום.

אתה ממש לא צודק, זה לא מוגבל בסכום. אין לי מושג על מה אתה מדבר. יש לי שאלה לגבי המכשיר הזה, כמה הוא עולה לאזרח?

השאלה לגבי מוגבל בסכום או לא מוגבל בסכום, האם אתה היום מסוגל להעביר באינטרנט כל סכום שאתה רוצה.

אם היית נמצא בבנק לאומי היית יודע שכן. אני לא יודע על מה אתה מדבר, אנחנו מדברים על עשרות מליוני שקלים מול בנק לאומי.

אני מפריד בין העברות צד ג' שלקוח פרטי,

אנחנו נותנים היום לכל אזרח ועסק לשלם דרך האינטרנט כל סכום שהוא ללא הגבלת גובה סכום, עד היום קיבלנו כמיליארד שקל דרך האינטרנט. בתור לקוח פרטי אתה יכול להעביר כמה כסף שאתה רוצה.

אם אני מבין נכון, הפעילות שלכם בתחום האינטרנט כפופה לפיקוח של בנק ישראל, אם אני מבין נכון הפעילות של שרת התשלומים לא כפו]פה לשום דבר.

לא, אבל המפקח על הבנקים אישר העברה למדינה ללא הגבלת גובה סכום דרך הבנקים.

נכון, אני מפריד את הפעילות הזאת.

יש אישור מהמפקח על הבנקים להעביר טרנזקציות כספיות לא מוגבלות בסכום.

למדינת ישראל אבל לא לגורמים אחרים.

לגורמים אחרים זה תלוי בחתימה שלך מול הבנק.

לא, זה תלוי האם המפקח על הבנקים מאפשר ביצוע טרנזקציות באמצעות האינטרנט ללא הגבלה בסכום לכל אחד לכל מקום. יכול להיות שבגלל שזה לטובת המדינה הוא אומר מה יכול להיות כאן, אני אהיה יותר ליבראלי, אבל בפעולות בין כלל האזרחים אני מגביל את זה לגובה סכום מסויים.

האם מתחום העסקים יש איזה שהיא קובלנה שהמגבלות שקבע הפיקוח על הבנקים מונעות את התפתחות העסקים באינטרנט. אין קובלנה כזאת.

ביחד לשילוב חתימות אלקטרוניות במערכת הבנקאית, מאז מאי 2002 יש מחסום בחוק מפני השימוש של חתימות בבנקים, אני הערתי על זה כמה פעמים בעבר ואמרתי שהחוק יהיה לו אפקט מצנן על חתימות אלקטרוניות במגזר העיסקי בישראל וזה בדיוק מה שמתרחש. הסיבה היא שבתוספת לחוק חתימה אלקטרונית נקבע שאי אפשר לחתום על מסמכים הטעונים חתימה לפי כלל הבנקאות שירות ללקוח, אי אפשר לחתום עליהם בחתימה אלקטרונית מאושרת.

איפה זה נקבע?

בתוספת הראשונה לחוק חתימה אלקטרונית. יש תוספת מכוח סעיף 2 ב' לחוק. זה צו של שר המשפטים שאושר. זה בתוך החוק, זה עוד לא בתקנות. זה צו של שר המשפטים שמאושר עפ"י החוק.

אז היה הויכוח הגדול האם אדם יצטרך לבוא פעם אחת או פעמיים.

כרגע המצב אוסר לחלוטין על חתימת מסמכים בנקאיים בחתימה מאושרת ולפיכך זה לא מצב שאדם צריך לבוא פעם אחת אל הבנק להזדהות ומאז הוא יכול לעבוד בחתימה אלקטרונית מאושרת עם הבנק, לא, בכל פעם שהוא צריך לחתום על מסמך,

נאמר במפורש שזה לא כך.

אולי הכוונה היתה אחרת אבל התוצאה היא זאת. זה משאיר את הבנקים לעבוד עם חתימה מאובטחת.

אבל מי קובע את התוצאה הזאת?

זה החוק, זה מה שאומר החוק. זה משאיר את הבנקים לעבוד עם חתימה מאובטחת. היכן הם יעבדו עם חתימה מאובטחת, במקום שלא נדרשת חתימה לפי חיקוק, אבל אז בכלל לא נדרשת חתימה בכלל וכבר כיום אנחנו עובדים באינטרנט בלי חתימה בכלל. התוצאה היא זאת, במקום שלא נדרשת חתימה בכלל אין סיבה לעבוד בחתימה מאובטחת, במקום שנדרשת חתימה,

למה, חתימה מאובטחת בכל אופן נותנת, נדמה לי שגם בחוק יש לה איזה שהוא מעמד.

לדעתי יש בחתימה מאובטחת יותר סיכונים מאשר תועלות. אני לא יודע אם אתה היית בין המאות או אלפים שזכו לקבל ממני הודעת דואר אלקטרוני שאומרת שנגנב ממני מחשב שיש עליו חתימה אלקטרונית מאובטחת, זאת אחת הדוגמאות לסיכונים של חתימה אלקטרונית מאובטחת. בחתימה מאובטחת אין להם צורך לעבוד כי מותר להם לעבוד בלי חתימה בכלל, בחתימה מאושרת הם מנועים מלעבוד מפני שהחוק אוסר את זה עליהם, יתכן שזה נוח להם כי זה כרוך בהשקעות גדולות, לכן זה לא נכנס למגזר הבנקאי שהוא נשא מובהק ויכול היה להביא תמריץ גדול מאוד לתפוצה של חתימות אלקטרוניות בישראל.

נדמה לי שהדברים של חיים הם טיפה חסרי אחריות ואני אומר את זה מהסיבה שלי היה הכבוד לשבת בתור איש שמלווה ממשרד המשפטים את הפרוייקטים האלה עם נציגי איגוד הבנקים. אני לא רוצה להיכנס לפרוייקט שבו דובר, אנחנו ישבנו מול סוללה של אנשים המנמ"רים של הבנקים ופרט לנציג של בנק לאומי שדיבר על זה שהדבר הזה הוא בתוכנית העבודה של הבנקים, כולם הסתכלו עלינו כאילו שנפלנו מהירח. ההתרשמות שלי מהבנקים זה שלא בכדי הטענה הזאת באה מחיים רבייה שהוא משפטן, אתה לא שמעת פה את נציגי איגוד הבנקים שאומרים, תנו לנו לעבוד עם חתימות אלקטרוניות, מפני שהם לא מעוניינים לעבוד.

זה לא נכון.

אני מזדהה עם מה שנאמר כאן. התחושה שלי שיכול להיות שגם אם אתה צודק ויש מחסום של מאה מטר, עוד אף אחד לא התייצב עשרה מטר לפני המחסום לנסות לעבור אותו. אף אחד לא בא לעבור את המחסום, המחסום פה והם עומדים שם. מה זה משנה אם הוא יהיה מאה מטר או מטר, הם אינם שם בכלל. חוץ מבנק לאומי.

תוריד את המחסום ואז או שהם יעברו או שהם לא יעברו. זה כמו רשות ניירות ערך, לא היתה דרישה שהיא תעבוד בחתימות אלקטרוניות עד שלא בא המצע החוקי ואיפשר את זה.

לא, החתימות האלקטרוניות שם היו תוצר של החלטה אחרת לעבור לדפוס עבודה, זה דווקא מחזק את הטענה שהושמעה כאן קודם, שאם היה צורך הנציגים של הבנקים לבד היו באים הנה ואומרים אנחנו צריכים את זה, תגמישו, או אנחנו רוצים לבצע. הטענה כאן היא שאין,

יש כאן דבר שאני מתפלא על כל הגישה, הרי הכנסת ואתה בראשה חוקקתם את זה לא מפני שהבנקים באו ואמרו אנחנו רוצים, הרי בכל הדיונים העמדה של הבנקים היתה נגד הענין הזה. הם רצו בישיבות לא לאלץ אותם להשתמש ואתה עמדת כסלע איתן וגם בישיבה האחרונה שנעדרת ממנה והיה חבר הכנסת אופיר פינס והם ביקשו דחיה והוא לא הסכים, הוא אמר שחצי שנה זה מספיק, תיערכו לזה, הבנקים לכל אורך הדרך הציגו עמדה נגד החתימה האלקטרונית המאושרת ואתם אמרתם אנחנו לא עושים את זה בשבילכם הבנקים כי אתם רוצים, אנחנו עושים את זה בשביל האזרח. אם חושבים שזה טוב לאזרח אז למה להציג עכשיו עמדה שאומרת אם הבנקים ירצו אז נסיר את החסמים, ואם הבנקים לא ירצו לא נסיר את החסמים.

אני לא אמרתי אם ירצו או לא ירצו, אמרתי שגם אם לא היה מה שאני שומע,

הבנקים לא רוצים.

גם אם לא היה חסם,

צריך להפריד בין החסם הזה לבין הרצון של הבנקים שהוא בא אחר כך משיקולים מסחריים טהורים.

לדעתי בכל ההצהרות הון האלה שעכשיו דרשו מאיתנו להזדהות ולחתום, אם היו מחייבים חתימה מאושרת למי שלא עושה את זה בנוכחותו בבנק, היית מפנים את השוק גם כן.

גם אם יורידו את החסם הזה זה לא אומר שעכשיו הכל ורוד, בשום פנים ואופן לא, הבנקים יהיו חייבים לעשות את זה באישור בנק ישראל. החסם הזה הוא לא עומד בפני איזה קטסטרופה, הוא לא המחסום בפני קטסטרופה, תורידו אותו, בנק ישראל או שיתבקש לאשר או שלא יתבקש לאשר אבל בואו נאפשר את זה.

מה צריך לעשות בשביל להוריד את החסם הזה?

לבטל סעיף אחד בתוספת לחוק.

התחושה היא שמשרד המשפטים, ואני אומר את זה על רקע הדברים שעו"ד אשכנזי אמר כרגע ומבטאים לצערי שהיה מאוד דומיננטי בחקיקת החוק לחתימה אלקטרונית ומשהו קרה לאחר מכן שמשדר לשוק שמשרד המשפטים קיבל רגלים קרות מהענין ומפחד מזה שזה ייושם. אנחנו צריכים שמשרד המשפטים יחייב ויתן חקיקה שתאפשר ליישם, אחרת זה לא ייושם.

כל אחד מהבנקים הגדולים במהלך שלושת השנים האחרונות, אני אגיד רק על סמך ידע שלי כמשרד האוצר שמדבר עם הבנקים, השקיעו הרבה מאוד כסף בנושא של חתימה אלקטרונית, בנושא של ההתאמה שלהם למערכות. אני יכול להגיד שבשנה שעברה בגלל המצב הכלכלי הקשה כל הפיילוטים של חתימה אלקטרונית פחות או יותר הוקפאו כולל האנשים שם, חלקם פוטרו מתוך הסביבה הזאת. ההנחה של הבנקים היא, לפחות עד המקום שבו מכרז תעודת זהות חכמה נתקע, היה שהמדינה תעזור להם באספקה של איזה שהוא מפתח מבחוץ, מדוב רעל חלוקה של תעודה אלקטרונית לכל לקוח בבנק, זה לא משהו טריוויאלי, זה משהו מאוד מסובך, אנחנו מדברים גם על זה שמערכות המחשב של הבנקים הם מערכות מחשב מיושנות יחסית וההתאמה שלהם לקבלת הטכנולוגיה החדשה מצריכה השקעה אדירה. אנחנו מודדים את זה במאות מליוני שקלים לכל בנק, זה לא טריוויאלי, כל אחד מהבנקים נמצא עם חתימה אלקטרונית על ראש סדר היום וזאב שטח יכול להגיד לך שהוא התחיל פיילוט עם בנק לאומי וזה לא שהבנקים זנחו את הרעיון, מאוד קשה להם היישום ומאוד קשה להם ההתאמה.

לגבי הממשלה, אנחנו בחודש שעבר הודענו שיש זוכים למרכז גורמים מאשרים לממשלה, מכרז חשב כללי שהממשלה הוציאה, חברת קומסיין וחברת סקריונט שהם הגורמים המאשרים הקיימים היום נכנסו לרשימה, כולם אושרו ויש לזה משמעות. אני רוצה להגיד מילת תודה אחת למשרד המשפטים ולצוות של טנה, לטנה, לדרור ולעמית הם עושים עבודה מדהימה וגם ההבנה הטכנולוגית שלהם עולה והגיעה לרמה שמבחינתי הם יכולים לעבוד כרגע בצוות מערכות מידע של הממשלה.

הבעיה של משרדי הממשלה דומה לבעיה של הבנקים, אבל אנחנו מדברים השנה על הרשות לאיסור הלבנת הון שתוציא תעודות הזדהות וגם חתימה עבור כל הגורמים שהיא הולכת לעבוד מולם, אנחנו מדברים על שירות עיבודים ממוכנים, שע"מ, שהולך להוציא תעודות לזיהוי ולחתימה מול כל הגורמים שהוא עובד מולם, אנחנו מדברים על הנהלת בתי המשפט שהכניסה לתוך מערכות עריכת הדין, החתימה של עו"ד מרחוק תיעשה באמצעות חתימה אלקטרונית מאושרת. מדובר על היקף של בין 30 למאה אלף חתימות כאלה שיצאו השנה, את כולם אנחנו מפיקים באמצעות הגורמים המאשרים שזכו במכרז גורמים מאשרים והמטרה שלנו היא בסוף השנה הזאת להיות במקום אחר לגמרי ממה שהיינו בשנה שעברה כי כל החסמים הוסרו. הבעיה היחידה שלנו שאנחנו סמכנו על נושא של תעודות זהות חכמות והמכרז הזה קורקע ונפסל ע"י השופטת, אנחנו ננסה לראות מה אפשר לעשות עם תעודת זהות חכמה, בנושא הזה אני מאוד מצר גם על הצורה שבה הספקים מתנהגים, אולי גם על טעויות שהממשלה עשתה ואני מאוד מקווה שנצליח להגיע למצב שבו אנחנו מספקים לכל אזרח בשלוש שנים הקרובות תעודה שתוכל לעשות את העבודה. בסך הכל הכללי אני חושב שהממשלה השנה לפחות גם מבחינת תקציב ממשי וגם מבחינת עבודה תנסה לצאת ממצב פיילוט ולעבור למצב ייצור בכל הנושא של חתימה אלקטרונית מאושרת.

חיים, אני שמחה שהנבואות שלך מגשימות את עצמן, אבל עדיין אני חושבת שהרעיון היה שהזדהות אחת בפתיחת חשבון דיגיטלי צריכה להיות, וזה מה שכתוב בצו וזה לא צריך לעכב.

מי אמר שצריך יותר מאשר פעם אחת?

סעיף 2 ב' לחוק אומר, הוראות סעיף קטן א', אלה ההוראות שנותנות תוקף לחתימה מאושרת, לא יחולו על הוראות חיקוק שהשר קבע באישור ועדת החוקה בתוספת הראשונה. הוראת חיקוק מס' 9, כללי הבנקאות שירות ללקוח לענין הסכמים בין תאגיד בנקאי לבין לקוח.

הפשרנות של המשפט הזה היא שברגע שפעם אחת ניתנה חתימה דיגיטלית ונקבע בין הצדדים שהיא מחייבת אותם, מאותו רגע הוא יכול להשתמש בה לחייב את עצמו, זה לא צריך להיות כתוב, זה ברור. אם אני עושה איתך הסכם שאני צריך להציג את זה בשביל לקבל את זה, ואני בא ומציג לך את זה ואני מקבל את זה, לא רק את זה כל כוס, אחר כך אני בא ומבקש את זה, גמרנו, אמרנו כל כוס. כל שירות, בפעם הראשונה אני צריך להציג את זה, זה ההסכם, אני עושה איתך הסכם, אני בא לבנק אני חותם, מזדהה, אני מיכאל איתן מסכים בזאת שכל פעם שתקבלו את החתימה הדיגיטלית שלי זה יחייב את שנינו, אחר כך אני רוצה לפתוח חשבון מטבע זר, אני כותב לו וחותם בחתימה דיגיטלית, אבקש לפתוח לי חשבון מטבע זר, אני לא צריך לבוא עוד פעם.

אם זה המצב וזו הבנתו של משרד המשפטים אז זה מצויין.

זה המצב.

זה המצב?

בוודאי, זה מה שאמרנו.

ככה סיכמנו, ככה היתה החקיקה.

יבוא פעם אחת כי הוא חייב זיהוי וזה הסכם המסגרת שלו.

זה החסם, אם משרד המשפטים אומר שזאת פרשנותו,

אז פתרנו בעיה אחת.

אני בוודאי בעד חתימות אלקטרוניות, השקענו ואנחנו משקיעים בזה הרבה, אבל יש איזה דילמה מסויימת אם בא גוף והחוק לא מחייב חתימה אלקטרונית, לא מחייב חתימה ולכן אפשר היה לעשות את זה אחרת, בא גוף וטוען שמבחינת רמת האבטחה באחריות שהוא מוכן לשאת בה הוא לא רוצה להוציא את ההוצאה או לא רוצה לעשות את התיקונים הטכנולוגיים שאני לא כל כך ידועת במה הם כרוכים למרות שכבר הגענו לרמות גבוהות, אז קשה מאוד לבוא ולהכריח גוף עיסקי,

אין ויכוח, אנחנו לא חושבים שהחוק צריך להכריח שימוש בחתימה אלקטרונית.

לכן אני אומר שברגע שבא גוף ואומר שהוא לוקח על אחריותו את כל השיורים אבל אני מסתפק במאובטחת ואולי אפילו מאובטחת פלוס, אז אני לא יכולה להכריח אותו לחתימה, אני יכולה להגיד בחוק שחייבים חתימה ובעקיפין אבל זה לא פייר במיוחד. אם אני בטוחה שהיה צריך חתימה ידנית אין מה לדבר, אני לא יכולה להגיד לגוף עיסקי, הוא אומר לי אני רוצה רק מאובטחת, ולוקח את כל האחריות עליו, אני לא יכולה למנוע ממנו וזה מה שאולי שטח חושב שהממשלה כאילו קיבלה רגלים קרות, לא, פשוט אנחנו צריכים לתת לעולם העיסקי לחיות.

הישיבה הזאת נקבעה לשעה, בועדת חוקה יושבים 4-5 חברי כנסת ומחכים להצבעה שאני צריך לנהל אותה, אני לא מפזר את הישיבה כאן כי אני רואה שאתם עוד רוצים להחליף כמה מילים, טנה תהפוך להיות ליו"ר, אם תקבלו כאן החלטות אני סומך עליכם שהם יהיו לא פחות טובות מהצוות הרגיל של הועדה, אני רוצה להודות לכל המשתתפים ואני לרשותכם, אם אתם חושבים שיש איזה שהם דברים שאני יכול לעזור,

יש בעיה קרדינאלית שלא נדונה כאן וזה האישור של אמצעי חתימה.

תרים אלי טלפון או תבוא אלי מתי שאתה רוצה.

גם לנו חשוב לשמוע בהזדמנות הזאת.

יש בעיה קרדינאלית עם תקנה 8 בפרט תקנה 8 1 ב' והבעיה הזאת משתרעת על שני היבטים. אחד, מה קובעת התקנה, מה היא החזקה שהיא קובעת, מה יחשב לאמצעי חתימה שמפיק חתימה אלקטרונית מאובטחת, האם האמצעי הזה נדרש לעמוד גם בפיקס וגם בקומון קרייטיריה, זה היבט אחד של הדברים וההיבט השני הוא, ואני חושב שאנחנו יכולים להקדיש מחשבה לשאלה הבלתי פרסונלית, האם רשם הגורמים המאשרים הוא הגורם הנכון לאשר טכנולוגיות של חתימה אלקטרונית, אני מדגיש שזה לא שאלה פרסונלית בשום פנים ואופן.

מה מדבר נגד?

נתחיל בענין הטכנולוגי ולאחר מכן נדבר על הנגד.

אנחנו הקמנו ועדה מייעצת שבראשה פרופ' דולב והרכב הועדה הוא אנשי מקצוע ממש, פרופסורים להצפנות.

יש נציג משרד האוצר, נציג צה"ל, נציג איגוד האינטרנט, המטרה זה לתת את המענה, אנחנו לא הגורם המאשר, לתת את הייעוץ המתאים. הקו שמנחה אותנו זה בכל מקרה שאנחנו יכולים ללמוד ממנוסים מאיתנו, ללמוד מהם, אבל לבחון את זה פרקטית לאספקטים שלנו. תקנה 8 נמצאת על השולחן שלנו, בעתיד המאוד קרוב יהיה עידכון שלה, השיקול שלנו אם לחכות או לא לטריגר אחר לשינוי התקנות והחוק, אבל עובדים על זה.

אם יש דבר שיש לנו הרגשה שהוא מעכב, בכל זאת זה היה חוק מאוד נסיוני ומאוד ראשוני ויכול להיות שעשינו טעויות, אני לא מתכחשת לזה, לפחות לשיטתי כגישת חקיקה לא איכפת לי שנתקן אפילו בחתיכות ובלבד שנתקן דברים שמעיקים ועוצרים ונשחרר אותם. לא המצאנו שום דבר, לקחנו את זה מאיזה שהוא מקום אבל אם החיים מוכיחים שירינו גבוה מדי אז נתקן. זה נמצא על סדר היום, היום אחר הצהריים יש ישיבה של הועדה והדבר הזה בעשייה.

לשון התקנה המסויימת הזאת 8 1 ב' היא בלתי ניתנת להבנה והפרשנות שאומרת שצריך גם את זה וגם את זה היא לדעתי פרשנות שגוייה בעליל והיא לא נכונה.

משפטית או טכנולוגית?

משפטית, הפרשנות שנדרשים שני הדברים, הנושא של אישור אמצעי חתימה הוא נושא טכנולוגי פראקסלנס, הוא לא נושא משפטי, כשקבענו בתקנות את הפרמטרים צריך איזה שהוא גורם טכנולוגי להסתכל ולראות אם זה עונה או לא עונה על הפרמטרים הללו. הרשם הוא לא גורם טכנולוגי קלאסי לכן הוא מפעיל ועדה מייעצת וכיו"ב. אני לפני חצי שנה מאוד שמחתי כאשר הודעתם שאתם רוצים להסמיך מעבדות שתיתנה את האישור הזה, בדו"ח האחרון של הרשם ראיתי שהמעבדה לא באמת נותנת את האישור הזה, היא בודקת אישורים של גופים אחרים. אני חושב שצריך לשקול להעביר את כל הנושא הזה למכון התקנים, אנחנו נמצאים שלוש שנים אחרי החקיקה, אין לנו עדיין אמצעי מאושר אחד, זו לא נחמה שגם באירופה במרבית המדינות אין, לדעתי זאת בעיה, זה אומר שגורמים מאשרים נוטלים על עצמם סיכון מסויים כאשר הם מאשרים חתימות על גבי דיווייסים שהם לא מאושרים, זה אומר שיוזרים נוטלים על עצמם סיכון כאשר הם משתמשים בחתימה שספק אם היא חתימה מאושרת. אני לא משתמש באף חתימה מפני שאני רוצה להיות משוכנע שאני משתמש בחתימה מאושרת מסיבה אחת ויחידה, ביום שיגנבו לי את הלפטופ הבא אני רוצה לתת הודעה רק לגורם המאשר שיכניס את התעודה שלי. זה שוק דינמי ומי שיושב כאן יודע איזה סוגים של טכנולוגיות שונים ומגוונים יש בארץ, ונדרש כאן אישור מהר כי באופן אבסורדי העובדה שאפשר לקבל אישור אבל לא מתקבל בפועל היא משחקת לרעת כל הגורמים הטכנולוגיים מפני שאומרים להם שהם יכולים לקבל אישור, תראו לי אותו, מדוע אתם לא מקבלים אישור, הרשם לא אישר אתכם זה אומר דרשני. הדבר הזה צריך לפעול הרבה יותר מהר והרבה יותר חלק.

אנחנו דנים בפן הטכנולוגי, זה לא פשוט, זה לא סתם שבכל העולם אישרו ורק בישראל לא, לא אישרו לא שם ולא כאן מסיבות ברורות, אני מאמין שבזמן קצר ניתן מענה אבל זה לא כל כך פשוט.

גם באירופה וכמדומני שלחתי לעמית דו"ח של 230 עמודים על יישום הדירקטיבה לחתימה אלקטרונית באירופה, גם באירופה נמתחת ביקורת על הנושא הזה של היעדר אמצעים מאושרים, גם שם הגיעו למסקנה שהרף שנקבע הוא גבוה מדי.

אני מאוד אשמח אם מה שאתה מציע יקרה ואכן יהיו פה מעבדות שיאשרו וכו', יש לנו בעיה קטנה שצריך למעבדה כזאת איזה שהוא צידוק כלכלי, היא צריכה לפעול מתוך איזה שהוא בסיס כלכלי, אלא אם כן אתה מצפה שהיא תהיה מסובסדת ואני מניח שלא. אם זאת צריכה להיות מעבדה ישראלית שמאשרת קומון קטירייה או דברים מהסוג הזה, צידוק כלכלי לכזה דבר לא קיים כנראה.

אני מצפה שאם עלות הבדיקה היא עשרות אלפי שקלים היא תגבה עשרות אלפי שקלים.

גם אם היא תגבה עשרות אלפי שקלים מספר הבדיקות שיקרו בה לא יצדיק את הקמתה. העובדה שלא הוקמו כך וכך מעבדות בתחום הזה באירופה היא לא מקרית, יש כמה מקומות שבהם יש מעבדות הסמכה כאלה וזהו. השאלה של הקמת מעבדה כזאת היא שאלה של בסיס כלכלי לקיומה.

חיים, הנושא שאתה מציג לצערי יפגע ביישום של חוק חתימה אלקטרונית ולא יתרום לו. כמובן שכולנו רוצים מעבדות שיאשרו אמצעים ועם זה אין לי שום בעיה, בואו נזכור שנולד כאן איזה שהוא תינוק רך שקוראים לו חתימה אלקטרונית, חתימה אלקטרונית מאושרת וגורמים מאשרים, אנחנו היום מקיימים ישיבה שנה לאחר אישור הגורמים המאשרים, לא מיישמים את חוק חתימה אלקטרונית מאושרת בצורה רבה, זה הנושא שצריך לדון בו, הנושא שאתה מעלה מכניס עוד משתנה שרק לטפל בו, ומנסיון של מדינות אחרות שהוא טופל בהן, מכניסים עוד רגולציות ועוד דברים שיעכבו את כל הנושא. אתה מדבר על נושא שהוא הממצא לחוק חתימה אלקטרונית, חתימה אלקטרונית לא טיפלה ולא אמורה לטפל ולא כדאי שהיא תטפל בממצא של החתימה. אמצעי החתימה בא לקיים כמה וכמה דברים ואתה אומר בואו תכניסו עכשיו עוד פרמטר, עוד משתנה, עוד נושא גדול מאוד שיקח המון זמן לטפל בו שאני קורא לו הממצא, אתה אומר שהוא קיים מתוך כך שאתה מפרש שהכרטיס החכם הוא החתימה.

בתוספת יש חזקה של סוג מסויים של טכנולוגיות שהם מהוות ראייה לכאורה לענין הזה ואני מניחה שלזה חיים מתכוון. מה שיוצא שאומרים, היית יכול לקבל איזה אישור מהרשם ולא קיבלת ומסיקים מזה את המסקנות.

אני מעדיף לקחת אחריות וליישם פרוייקט מאשר לחכות עכשיו לאישורים שנה שלמה שיגידו שזה עוד לא אושר, אז אני מעדיף להיות במצב שהממשלה והבנקים ישחררו מאשר יגידו שיש עכשיו הליך של אישור אמצעים כאלה ואחרים ועד שהם לא יאושרו לא נעשה פרוייקטים. הבעיה העיקרית בנושא הזה שאנחנו עלולים להיפגש עוד שנה ולהיות בדיוק באותו מצב או אפילו יותר גרוע ממה שאנחנו נמצאים בו עכשיו מכיוון שיש הרבה נושאים שיכולים לשמש סיבה מדוע לא ליישם דברים ויותר קשה לעבוד מאשר להחליט מדוע לא עובדים. הבעיה שניצבת היום בפנינו זה איך לקדם את הנושא במתכונת הקיימת, עכשיו להגיד בואו נפתח עוד נושא שנאשר אותו, אני מסכים שהוא קיים,

הוא מטופל אבל הוא לא תוקע את השוק.

הפרוייקט של ניירות ערך הוא מאוד ייחודי מבחינה זאת שמדובר בקבוצה ידועה מראש ויחסית אינטליגנטית שיכולה לחלק את האחריות בצורה מאוד סבירה. מבחינה זאת הוא ייחודי, זה לא כל העולם מול כל העולם. מבחינה זו זאת דוגמה אבל לא אולטימטיבית.

אני רק רוצה להבהיר איפה קיים הקושי באותן תקנות. כאשר אני מותח ביקורת על הקושי אני פועל נגד האינטרס הכלכלי שלי, כי עד עכשיו אני מתפרנס יפה מאוד מחוות דעת שמנתחות את התקנות האלה ואומרות האם בהתקיים פרמטרים כאלה או אחרים האמצעי מפיק או לא מפיק חתימה אלקטרונית מאובטחת, אבל זה צריך להיות פשוט, זה לא צריך לדרוש חוות דעת משפטית.

זה נמצא על השולחן של דולב בתור אנשים מומחים לאבטחת מידע והצפנות ואנחנו לומדים מהם.

האם יש פעילויות גם בענין תו תקן.

לא, אנחנו לא מטפלים בתו תקן.

יש מדיניות מוצהרת שמתירה שימוש באמצעי הצפנה לצורך חתימה אלקטרונית בלא צורך באישור. זה מדיניות בלבד.

אם יש בעיה משרד הבטחון יתמודד עם זה.






הישיבה ננעלה בשעה 12:45