היועץ המשפטי של מטה הסייבר: "יש לעצב מראש תוכנות אבטחה כך שישמרו על הפרטיות"

"כדי לקדם את הגנת הסייבר יש להתחשב בזכות לפרטיות באמצעות עיצובה של התוכנה מראש לפרטיות. כך ידורו ההגנה והפרטיות ביחד", אמר עמית אשכנזי, היועץ המשפטי של מטה הסייבר הלאומי. הוא דיבר בפאנל שעסק בפרטיות בעיצוב, שהתקיים במסגרת שבוע הסייבר הלאומי באוניברסיטת תל אביב.

במהלך הפאנל התפתח דיון בין אנשי הטכנולוגיה לאנשי המשפט. כמה מהראשונים טענו שכדי להתגונן יש צורך לנתח מידע רב ואין ברירה אלא לאסוף ולשמור אותו. פרופ' עומר טנא, מומחה לענייני משפט והגנת מידע מהמכללה למנהל, הגיב וציין כי דו"ח של המועצה המפקחת על ה-NSA העלה כי למרות האיסוף הרב של מידע על אזרחי ארצות הברית ומדינות נוספות בעולם, הסוכנים הצליחו לגלות רק מקרה אחד של חשד לטרור. לכן, לשיטתו, יש חשיבות לבצע הערכת עלות תועלת בין הסיכונים לפרטיות לבין התועלת הביטחונית.

לדברי אשכנזי, "את אנשי הטכנולוגיה מעניין בעיקר איך המכשירים פועלים, כדי לדעת לאתר מקרי חדירה, ולא לאסוף את המידע שבתוכם. לכן, ברוב המקרים סוגיית הפרטיות אינה רלוונטית. על המידע הפרטי מותר להסתכל רק אם יש חשד למעשה פלילי. אין פתרון שחור-לבן, צריך לבנות גשר בין אנשי הטכנולוגיה למשפטנים".

האתגרים ביישום של עיצוב לפרטיות

ד"ר ערן טוך מהפקולטה להנדסה באוניברסיטת תל אביב תיאר מחקר שערך יחד עם פרופ' מיכאל בירנהק וד"ר אירית תמיר, אף הם מאוניברסיטת תל אביב. השלושה בדקו מהם האתגרים ביישום של עיצוב לפרטיות ומצאו שיש הבדלים בין המהנדסים העובדים בארגונים שונים: בארגונים גדולים יש התייחסות טובה יותר לפרטיות במסגרת העיצוב. עוד מסתבר שאין קשר בין עמדתו של המהנדס לגבי פרטיות לתכנון המוצר, שעלול לפגוע בפרטיות.

ניר נעמן, ארכיטקט אבטחת מידע בצ'ק פוינט (Check Point), אמר כי "מאחר שלצרכי אבטחה, יש לשמור על הרבה מידע. מאחר שכך, מוקד העיצוב שלנו הוא לא רק לדאוג לפרטיות בעת שמירת הנתונים, אלא גם להוסיף תהליכים אוטומטיים שבהם מכונות בודקות את המידע ללא עין אנושית, והאנשים מתערבים רק אם יש צורך בכך".

לדבריו, "התעשייה היא שחקן מפתח באיזון בין האבטחה לפרטיות. אם מפתחים מוצר שמשלב בין השניים, קל אחר כך להטמיע אותו בארגונים ולהקל על ההגנה על הפרטיות".

לימור שמרלינג-מגזניק, מנהלת מחלקת רישוי ופיקוח ברמו"ט (ר"ת הרשות למדע וטכנולוגיה) שבמשרד המשפטים, הסבירה כיצד יש ליישם כלי מתודולוגי לעיצוב לפרטיות, כפי שפרסמה רמו"ט לפני כחודש. "מדובר במפרט המדריך כיצד לבצע סקרי השפעה של פרויקטים על הפרטיות", אמרה. "אנחנו מקדמים שימוש בכלי הזה לעריכת סקרי סיכונים בכל פרויקט מערכות מידע שעוסק במידע אישי. בהתאם למפרט השאלות, יאותרו הסיכונים לפרטיות בפרויקט ויתוכנן מראש איך הארגון נותן מענה למניעת הסיכונים הללו".

"רמו"ט מקדמת עריכת סקר סיכוני פרטיות בכל פרויקט ממשלתי שעוסק במידע אישי וסבורה שיש בזה יתרונות רבים – הן להגנת הציבור הישראלי והן להצלחתו של הפרויקט. הכלי יעזור למנהלי הפרויקט להוכיח לנו, כרגולטור, ולציבור שהפרויקט לקח בחשבון את דרישות הגת הפרטיות ומקיים את חוק הפרטיות שכבר קיים משנות השמונים", סיכמה שמרלינג-מגזניק.

יצוין כי הדוברים לא התייחסו לנושא המאגר הביומטרי, גם על רקע דו"ח מבקר המדינה, שאמור להתפרסם היום.