PRISM – הגרסה הישראלית

תוכנית PRISM היא בין הנושאים המדוברים שהעסיקו את עולם אבטחת המידע בשנה האחרונה. ממשלות, צבאות וארגונים רבים עסקו בנושא והשיגו כותרות ברחבי העולם. למונח המדובר אין תרגום בעברית, למרות שהתוכנית התאזרחה בישראל. השם PRISM הוא שם קוד למערכת איסוף נתונים המאחוסנים על רשת האינטרנט. היא נועדה לאפשר לגורמי ממשל וביטחון אמריקנים לאסוף מידע על אנשים וארגונים ולאתר מגמות שיש בהן כדי למנוע פגיעה במערכות שלטוניות, ביטחוניות וכיו"ב. הפעילות הזו החלה ב-2007 במהלך חקיקה מסודר ולכאורה תחת פיקוח של המוסדות המשפטיים של ארצות הברית. אולם, רק במהלך השנה האחרונה נחשפו לנושא תושבי ארצות הברית ויתר העולם – ובעיקר להיקפו. זאת, הודות למידע שהדליף אדוארד סנואדן האמריקני, במסגרת המסמכים שהדליף טרם מצא מקלט ברוסיה.

בעקבות החשיפה החלו להופיע דו"חות של ענקיות כגון מיקרוסופט (Microsoft), פייסבוק (Facebook) וגוגל (Google), שחשפו את היקף המידע שהן נדרשות למסור מדי שנה לרשויות השלטוניות בארצות הברית. אותן חברות טורחות להדגיש כי הדברים נעשים בהליכים משפטיים מסודרים, ומה שנמסר הוא רק חלק קטן ממה שהרשויות השונות באת ביקשו לדעת ולא תמיד נענו. הוויכוח סביב זה הוא נפיץ, בעיקר משום שהוא נוגע בסוגיה רגישה אצל האמריקנים – הגנת הפרטיות. ניתן לומר שמאז אירועי 11 בספטמבר, האמריקנים הפנימו באופן חלקי את העובדה שכדי לשמור על הביטחון האישי שלהם ושל האומה כולה, צריך לוותר במידה מסוימת על הפרטיות. אלא שהוויתור הזה לא תוחם מעולם בגבולות ברורים, ונותר מעורפל אי שם בתחום האפור שבין פעילות של גופי ביון וריגול פדרליים לבין כללי אצבע, שכולם הבינו שאסור לחרוג מהם.

בישראל מתייחסים לתופעת ה-PRISM בצורה קצת שונה. בשולחן עגול שערכנו במערכת אנשים ומחשבים, בהשתתפות כמה מומחים בתחום שעוסקים באבטחת מידע, עלתה השאלה כיצד נראה ה-PRISM הישראלי, אם בכלל הוא קיים, מה משמעותו ועד כמה אנחנו האזרחים הישראלים יכולים להיות רגועים בקשר להיקפו ולמידת פגיעתו בפרטיות של האזרחים.

נקודת המוצא בדיון היתה שהישראלים, בניגוד לאמרקינים, מוכנים לקבל מראש את העובדה שמידע מסוים או קבצים של נתונים ומידע, שאנחנו משחררים לאוויר בכל פעולת הקשת מקלדת במחשב או בטלפון החכם, חשופים בצורה זו אחרת לעיני "האח הגדול". זה היה תמיד, עוד הרבה לפני שהמחשבים הפכו להיות חלק בלתי נפרד מכלי העבודה של "בחורינו הטובים" אי שם במשרדי ראש הממשלה. כיום, בעידן המיחשוב, הפעילות הזו בוודאי הרבה יותר מתוחכמת.

אך למרות כל אלו, אי אפשר היה שלא להתרשם מדברי המשתתפים בדיון, לפיהם לישראלים יש רמת אמון גבוהה מאוד במערכות הביטחון, כחלק מהגאווה הלאומית בצבא ובמוסדות האמונים על הגנת המולדת. אנחנו עדיין חיים בתקופה בה מילת הקוד "נימוקים ביטחוניים" מקבלת משקל רב, ומייצרת מידה חזקה של אמון מצד כל גורם שמתבקש להתייחס לכך. התופעה מוכרת בעיקר בבתי משפט, כאשר שופטים ממהרים לאשר מעצרים של חשודים, לאחר שנציגי החוק מציגים בפניהם חומר סודי בכסות ביטחונית.

יש לציין כי נקודת המוצא של כל הדוברים שנתבקשו להשיב על שאלות אלו היתה שהיא מגיעה מידע אישי והערכות, כי בפועל אף אחד באמת לא יודע את היקף תופעת ה-PRISM הישראלי. זו גם היתה הנקודה הנוספת לדיון: האם לא הגיע הזמן שישראל תודה באופן רשמי שגם היא מבצעת PRISM, על פי חוק ועל פי דין, ותספק מידע – לא סודי ולא רגיש – שירגיע וישכנע אותנו שאנשי הביטחון עושים את עבודתם ולא פוגעים ברגל גסה בפרטיות שלנו. כולם יודעים שהגבול בין מעקב אחר מידע מסוים לצורך מניעת טרור ולבין חדירה גסה לפרטיות הוא דק מאוד וקל מאוד לעבור אותו. רמת האמון הגבוהה שלנו במנגנוני הביטחון רק מחזקת את החשש שמישהו עושה משהו שלא כחוק ואיש לא יידע על כך.

משתתפי הפאנל מצאו גם כמה נקודות, חלקן טכנולוגיות וחלקן פסיכולוגיות, לגבי היקף הנזק שתוכנית PRISM יכולה לגרום. ראשית, צריך לזכור שתעבורת הרשת כוללת כמויות אדירות של מידע שעובר. גם אם מישהו ישתגע וירצה לראות את כל הנתונים, הרי שהוא לא יוכל לעשות זאת, שכן עדיין לא המציאו את מערכות האיחסון שיכולות להכיל כל כך הרבה מידע, כל שכן מערכות ניטור ומיון. נקודה נוספת שעלתה היא שיש להבחין בין מעקב נקודתי אחר חשוד, דבר שנעשה לא רק על ידי כוחות הביטחון, לבין מעקב אחר תנועות של קבוצת אנשים, פעילות ארגונים, או מגמות אחרות. כאן, סביר להניח, הבדיקה היא ברזולציה של חיפוש אחר חוט מקשר, ולאו דווקא מישהו פרטני. אבל גם כאן יש גבולות ברורים של מה נחוץ ומה לא.

הפאנליסטים התייחסו למקור נוסף שגורם להוצאת מידע מחוץ לארגון: טעויות אנוש שגורמות לדליפת מידע רגיש, אשר עלול, במקרים מסוימים, לסכן מדינות שלמות. טעויות היו ויהיו תמיד. לכן כאן נכנסים לתמונה מנהלי אבטחת המידע, שצריכים לעשות את כל שביכולתם שהמידע שהארגון רוצה לשמור עליו לא יזלוג לעיני אף אחר. מה שהוביל את הדיון לסוגיה ותיקה יותר שכבר נדונה בעבר: מנהל האבטחה צריך לקבל מקום בשולחן ההנהלה, כדי שיהיו לו סמכויות אכיפה וכדי שהוא יוכל להתמודד עם רשויות החוק שינסו להוציא מהארגון מידע שהם לא זכאים לו.