בוקי כרמלי: "יש לנו דרך ארוכה עד להגנה הרמטית בסייבר"

"ההגנה בסייבר, בישראל כמו בעולם, היא מאמץ אינסופי. על מנת להגן בצורה מספקת, אתה חייב לדעת את האיומים, ולצערי, לא כל איומי הסייבר ידועים. יש לנו עוד דרך ארוכה לעבור, על מנת שנוכל לומר שאנו מוגנים לחלוטין", כך אמר בוקי כרמלי, ראש הרשות הלאומית להגנה בסייבר במשרד ראש הממשלה.

בראיון בלעדי לאנשים ומחשבים אמר כרמלי כי "יש הבדל בין להגן על ארגון ולהגן על מדינה. יש דברים שמדינה עושה וארגון לא, כי זה לא כלכלי – או כי זה אסור".

בפברואר 2015 החליטה הממשלה על הקמת הרשות, שייעודה להגן על מרחב הסייבר האזרחי של מדינת ישראל, והגדירה את אחריותה ותפקידיה.

הרשות החלה לפעול ב-2016, עם מינויו של כרמלי כראשה – על ידי ראש הממשלה ובאישור הממשלה. "אנו יחידת סמך עצמאית במשרד ראש הממשלה, שתפקידה לרכז ולהכווין את כלל מאמצי ההגנה והחוסן של הסייבר במגזר האזרחי", ציין, "תוך שמירה על זכויות הפרט והקניין".

לדבריו, "סייבר הוא התפתחות מושג אבטחת המידע. מרחב הסייבר הישראלי הוא אוסף תהליכים ונתונים דיגיטליים – מאנשים ועד חברות".

מים זורמים ולא מזוהמים

הרשות אחראית לכלל המרחב האזרחי, למעט גופים ביטחוניים, סוכנויות ביון והתעשיות הביטחוניות. באוגוסט 2016 קיבלה לידיה הרשות את סמכויות הטיפול במערכות ב-25 גופי תשתיות קריטיות, לצד הטיפול במשרדי הממשלה, יחידות סמך ממשלתיות, חברות ציבוריות ופרטיות והאזרחים.

"בסוף, מרחב הסייבר כולל את כולם", אמר כרמלי, "הקמת הרשות מבטאת אמירה מהפכנית של הממשלה. באה המדינה ואומרת שאנחנו אחראים לקיומו התקין של מרחב הסייבר בישראל ועלינו לדאוג שהוא יהיה כמו פתיחת ברז מים בבית: שתמיד יהיו מים זורמים ושהם לא יהיו מזוהמים. זהו מסר מהותי, כי הממשלה לוקחת אחריות על המרחב האזרחי. העולם מביט בנו ובונה את עצמו בצורה דומה".

ההגנה על מרחב הסייבר, הסביר כרמלי, "כוללת כמה אבני בניין: מודל חוסן בסייבר, המורכב מאבטחת מידע קלאסית, של הגנה סטטית. מעליו יש מודל הגנה דינאמית והשכבה השלישית נוגעת לבניית 33 תרחישי תגובה, מזיהוי החדירה ועד החזרה לשגרה, עם סילוק המתקפה – עם פעילות שקטה בתחילה וגלויה לאחר מכן".

אבן בניין נוספת, אמר, "היא חלק מתורה לפיה בסוף מדינה נדרשת לשלושה מרכיבים: יתירות; שונות, שהיא כלי מהותי בהגנה ועומדת בניגוד לחשיבת מהנדסים, כי היא המקשה על תוקף למחזר את הצלחותיו. המרכיב השלישי הוא יכולת השתנות. קשה לשנות את המערכות ואת נפש האדם – אבל יש לשאוף לכך, כי תהליך ההשתנות – בדומה לחישוף, מאפשר לגלות מתקפות סייבר לא מוכרות".

אבן בניין נוספת, אמר כרמלי, "היא בעולם הטכנולוגי, בניית יכולות הגנה והתראות, כמכפיל כוח ברמת המדינה. אנו משקיעים במעבדות ובחיישנים, לטובת זיהוי תקיפות והנגשה לשוק. הרשות לא יכולה להפיץ את ה'מוצרים' שלה בעצמה – ועושה זאת באמצעות 15 רגולטורים מגזריים".

בנוסף, אמר, "אנו נמצאים בקשרים עם תעשיית הגנת הסייבר, רוכשים מידע מהתעשייה, לצד מודיעין קלאסי שאנו צורכים מגורמי הביון".

תורת ההגנה הלאומית

באפריל השנה הרשות פרסמה טיוטה לתורת ההגנה הארגונית בסייבר. "מדובר במהלך גדול וייחודי: זו הפעם הראשונה שנכתבת תורת הגנה לאומית לארגון. המסמך נבנה על בסיס ידע וניסיון בינלאומיים, תוך התאמת הדרישות למאפיינים הישראליים", ציין.

"אין זכות קיום לרשות המגנה על המרחב האזרחי – בלא הלימה לגופים אחרים", אמר כרמלי. "הרעיון המסדר הוא מרחב אחד גדול, עם רציפות ועם סינרגיה. יש לנו הסכמי הסדרה עם כל גופי הביטחון הרלוונטיים, מי עושה מה ומתי. לפי החלטת ממשלה, ראש הרשות עומד בראש פורום הגנה לאומי".

נשים בסייבר

"אחד הדברים המטרידים אותי", ציין כרמלי, "הוא שאין מספיק נשים בתפקידים בכירים בעולם הטכנולוגי בכלל ובסייבר בפרט. הצבתי לעצמי יעד בקדנציה שלי, להגיע לכך שמתוך שמונת האגפים, בראש אחד מהם לפחות תעמוד אשה – בלא הנחות. זה לא טריוויאלי. יש ברשות ארבע נשים בתפקידים בכירים, ונפעל להגדלת הנתון".

הרשות מונה 170 איש, כשני שליש מהם עובדי מדינה והשאר במיקור-חוץ. במענה לביקורת בשוק, לפיו הרשות "שואבת" אנשי מקצוע איכותיים בסייבר, אמר כרמלי כי "הממשלה החליטה לרכז את מאמץ ההגנה בסייבר. יש לי אחריות לבזר אנשים אלה, עם הידע והכלים – לכל המקומות".

"אנשינו נמצאים כל הזמן בשטח, מסתובבים עם הרגולטורים, כדי להנחיל ידע. לא בטוח שריכוז המאמץ הוא חיסרון, אבל האתגר הגדול הוא להגדיל את היקף העוסקים במלאכה – וזו משימה לאומית הגולשת הרבה מעבר להגנה בסייבר".

"אנו גוף אזרחי, רשות – ולא סוכנות איסוף", הסביר. "איננו פועלים מתחת למכ"ם. נעבוד תמיד בהסכמה עם הגופים המותקפים, תוך בניית בלמים ואיזונים".

הרשות קשורה לשני חוקים. האחד, התיקון לחוק להסדרת ביטחון, שהסמיך את ראש הרשות כגוף "קצין מוסמך", למנות ממונה ביטחון ולקבוע כללים להגנה על מידע מסווג והגנת הסייבר. החוק השני, המוכר בשם "חוק הסייבר" – טרם עבר.

באפריל השנה פורסם כי ראשי מערכת הביטחון יצאו במכתב חריף לבנימין נתניהו, ראש הממשלה, על החוק להפעלת רשות הסייבר, בו נטען כי אף שהובטח לגופים הביטחוניים שהמהלך להקמת הרשות ייעשה בתיאום מלא עימם – אין הדבר כך.

במכתב נכתב כי "הצעת החוק להקמת רשות הסייבר, מהווה פגיעה חמורה בליבת העיסוק הביטחוני של מדינת ישראל". בתגובה אמר כרמלי כי "החוק יעניק סמכויות לרשות באשר לנגישותה למשק, בנוסף לתשתיות קריטיות. הכל ייעשה בהסכמה, עם ליווי משפטי – ומבלי לפגוע בסמכויות הקיימות כיום בידי הגופים האחרים".

סגירת פערי כוח אדם מקצועי

"ערכנו מחקר לגילוי כשלי שוק בתחום, גילינו שחסרים 2,500-3,000 מגיני סייבר במדינה, ושלא ניתן לתקן את זה על ידי השוק. הפער גדל – ולא קטן. גיוס מבוגרים וחרדים, לצד יוזמות של משרדי הממשלה, הם חלק מהמענה", ציין.

"החלטנו לאייש משרות בממשלה תחילה, עם תהליכי הסמכות. עד סוף העשור נסגור את הפער, עם הגדלת כמות העוסקים במלאכה, הגדלת משכורתיהם והנחלת עוד ידע".

"הקמנו אתר חדש לרשות, בהמשך נעלה את המודעות לנושא ההגנה בסייבר דרך המדיה החברתית, עריכת כנסים ופעילות מול מנכ"לים ודירקטורים", סיכם כרמלי. המטרה – לייצר תרבות סייבר לאומית".

"בתחום הגנת הסייבר האזרחית, מצבנו טוב יחסית לעולם. בתחום הגנת הסייבר לתשתיות קריטיות – מצבנו טוב מאוד. צריך להמשיך להשקיע בשלושה צירים עיקריים, באיכות, בכמות – משאבים חומריים ובבניית תרבות הגנתית. אני רוצה Design for Security – ברמת במדינה".

כרמלי ואנשיו ירצו במסגרת שבוע הסייבר הלאומי שייערך בשבוע הבא.