"המדינה לא מפקחת על אינסטלטורים – ובצדק"

"המדינה לא מפקחת על אינסטלטורים – ובצדק. המדינה גם לא מפקחת על חנויות בגדים. מצד שני המדינה כן מפקחת על חשמלאים, והיא החלה לפקח על הסמכות מקצועיות לתחום הסייבר – וטוב שכך, כי מדובר בתחומים שיש בהם סכנת חיים במקרה רשלנות וחוסר מקצועיות". כך אמר אבי ויסמן, מנכ"ל שיא סקיוריטי.

ויסמן דיבר בפתח CSC, פורום אבטחת מידע והגנת הסייבר מבית אנשים ומחשבים. מפגש הפורום נערך היום (ד') ב-yes Planet בראשון לציון, הנחה אותו וייסמן, ונושאו היה מעמדם של אנשי אבטחת המידע בישראל בעקבות הרגולציה.

בדבריו התייחס ויסמן לפרסום באנשים ומחשבים לפיו בראשונה בתולדות המדינה, נקבעה מדיניות – מגובה בהנחיות מחייבות – להסמכות מקצועיות הנדרשות מאנשי הגנת הסייבר בארגונים בישראל. מטה הסייבר הלאומי במשרד ראש הממשלה הוציא לפני ימים אחדים מסמך מחייב למדיניות אסדרת מקצועות הסייבר במדינת ישראל. לדברי ויסמן, "יש למצוא את האיזון בין ריבוי של רגולציות ובין הצורך שלא לפקח עד שזה מגיע לגבול הכאוס. לכן, טוב שיש רגולציה למקצועני הסייבר".

מצבה של ישראל בתחום הגנת הסייבר, אמר ויסמן, התדרדר בשמונה השנים האחרונות. זה קרה לדבריו כיוון "שהגנה דורשת אלמנט טכנולוגי והתנהגותי, משמע תורה וציות לתורה. אלא שישראל היא מדינת ה'יהיה בסדר' וה'סמוך'. אנו גרועים בהגנת הסייבר בעולם. לפני שמונה שנים היינו גרועים באותה מידה – אבל באירופה ובארצות הברית לא עשו דבר בתחום ולכן יחסית מצבנו היה טוב יותר. כעת העולם המערבי מודע הרבה יותר, ופועל בתחום הגנת הסייבר, ואילו אנו נותרנו באותו מצב במובן הרע". לדבריו, "הדרך היחידה לעשות סדר בתחום הגנת הסייבר היא באמצעות אסדרה. מקצוענות תגיע רק על ידי פיקוח. הסייבר הוא עולם רב-תחומי, הדורש יותר מיכולת טכנית או מנטלית אחת מאדם. האסדרה נוגעת למאות אנשי מקצוע בעולם אבטחת המידע והגנת הסייבר בממשלה. הממשלה היא החוליה החלשה במדינת ישראל ואני מקווה ומעריך כי האסדרה תחלחל מהמגזר הממשלתי למגזר האזרחי".

חסרים תפקידים נוספים באסדרה

הוא סיים בציינו כי לצד קביעת מטה הסייבר את חמשת מקצועות הליבה שיוסדרו: מיישם הגנת סייבר, מוסמך מבדקי חדירה, מוסמך תחקור סייבר, מוסמך מתודולוגיות הגנת סייבר ומוסמך טכנולוגיות הגנת סייבר – "חסרים תפקידים נוספים באסדרה: מומחה אבטחת אפליקציות ומבקר אבטחת מידע. כמו כן חסרות התמחויות: מומחה להגנת ענן, מומחה להגנת ניידים, מומחה הגנת בקרה תעשייתית, מנתח במרכז SOC, ומומחה ניתוח נוזקה".

חתם את המפגש עו"ד עלי קלדרון, הממונה על הפיקוח, רמו"ט (הרשות למשפט, טכנולוגיה ומידע) במשרד המשפטים. לדברי עו"ד קלדרון, "חוק הגנת הפרטיות מ-1981 הוא החוק המרכזי, המסדיר את סוגיית הזכות לפרטיות והוא נוגע לתחומי משפט שונים. הוא מגדיר מהי פגיעה בפרטיות, באילו מקרים היא מוצדקת, ומה נדרש לעשות כדי להגן על מאגרי מידע באופן הראוי".

עו"ד קלדרון הביא כמה דוגמאות לפעילות של הרשות בתחום, ביניהן פרשת אגרון, פרשה בה רמו"ט פענחה את דליפת מאגר מרשם האוכלוסין בשנת 2006 והפצתו באינטרנט. העתק אלקטרוני מדויק של מידע הכלול במרשם האוכלוסין, המכיל פרטים רבים על אודות למעלה מתשעה מיליון אזרחי ישראל, לרבות נפטרים וקטינים, נגנב על ידי עובד מיקור-חוץ של משרד העבודה והרווחה בשנת 2006 והוחזק בביתו.

הגנה על פרטיות היא תחום חשוב ומשמעותי

פרשיות נוספות אותן ציין עו"ד קלדרון היו "ההאקר הסעודי", OxOmar, מ-2012, אז דלפו והועלו לרשת פרטי כרטיסי האשראי של אלפי ישראלים, על ידי חבורת האקרים סעודים. הם פרצו לאתר הספורט ONE ובמשך זמן מה, הגולשים שנכנסו אליו הופנו לקובץ שההאקרים הסעודים טענו שמצויים בו פרטיהם האישיים של 400 אלף ישראלים, בהם מספרי כרטיסי אשראי ופרטים מזהים נוספים.

עוד הוא הזכיר את הפרשייה מנובמבר 2014 אז פורסם חשד לסחיטה בהיקף נרחב בלאומי קארד. שמונה עובדים לשעבר של לאומי קארד, סחטו באיומים: הם דרשו מחברת האשראי כופר בסך מיליוני שקלים ואיימו כי ימכרו את המידע הפיננסי הרגיש הנמצא ברשותם – פרטי כרטיסי אשראי של לקוחות הבנק – לכל המרבה במחיר. השמונה אספו פרטי מידע של כשני מיליון מלקוחות החברה.

"ברמו"ט מנוהלים מדי שנה מאות תיקי פיקוח, פריצות לאתרים ודלף מידע", סיכם עו"ד קלדרון, "יש להבין כי הגנה על פרטיות היא תחום חשוב ומשמעותי".