סוחרים במידע שלנו - ואנחנו שותקים

הידעתם כי מידע אותו אתם מוסרים מכוח חוק לרשויות המדינה, לרשות המיסים, ביטוח לאומי ועוד, מסייע לעובדי מדינה להתעשר? הידעתם כי על דרך מסירת מידע זה לגורמים פרטיים המבקשים להתחקות אחריכם משלימים עובדי ציבור את הכנסתם? מפתיע?

פרשה שכזו נחשפה לאחרונה בתקשורת אך נתקלה באדישות ציבורית תמוהה ונשכחה בעמודים האחוריים. על פי החשד, 18 אנשים, בהם חוקרים פרטיים, עובדי רשות המסים, בזק והביטוח הלאומי, סחרו במידע חסוי - בתמורה לסכומי כסף שהעבירו למתווך.

אותם פקידי ציבור, כך דווח, הגיעו לעבודה בבוקר, אך תחת שיעסקו במטלות לשמן משולמת

 משכורתן, פנו במרץ לשלוף מידע רב ככל שניתן על פרטים מהציבור. מאות ואף אלפי שקלים שולמו להם כל פעם שאיתרו פיסת מידע נדרשת. 

למה המידע כל כך יקר? שאלה כזו מצביעה על תמימות: מידע הוא הנכס המרכזי של ימינו וערכו יישקל בזהב. שוו נגד עיניכם את התרחישים הבאים: ראובן נשאל בתביעה שניהל נגדו שמעון על מגבלה נפשית ממנה סבל בעת שירותו הצבאי ולתומו סבר שאין איש יודע עליה. לתדהמתו, התדפיס שמוצג לעיונו מקורו במרשם הרפואי הצבאי.

באותה העת מגלה דן, מנהל חברה מצליחה, כי בכל מכרז אליו הוא ניגש מקדימה אותה מתחרה עיקשת ותמיד הצעתה נמוכה אך באחוזים בודדים מהצעתו. להפתעתו, סכומים שדיווח לרשויות המס כהוצאות ריבית הגיעו למתחרהו טרם נסגרו המכרזים ושימשו לחישוב גובה ההצעה. ומה דעתכם על בעל המעיין במרשם השיחות של אשתו שנאגרו בחברת הטלפונים (שהייתה ממשלתית באותה העת) כדי לבסס תביעת גירושין?

מה ההסבר לאדישות? 

מה פשר האדישות שלנו. הייתכן כי טרם הטמענו את משמעות החיים בעידן המידע? הגיעה העת לעורר את אזרחי עידן המידע לפעולה. זה הזמן למרי האזרחי הראשון של עידן המידע.

דרוש בדק בית מקיף

באשר לסיבות למצב הנוכחי, דומה כי רבות הן מספור. תחילתן בכישלון מערכתי בתחום אכיפת החוק

והגנת הפרטיות ותשתית חוקית רעועה שלא התאימה עצמה לאיומי המידע העכשוויים.

בעיה ביחס לאבטחת המידע

החוק ממקד עצמו בשלב איסוף המידע ואומר עוד מעט על שלב העברת המידע בין גופים ציבוריים, אך קולו בלתי נשמע בבואו להסדיר את חובות אבטחת המידע והגנת המידע החלים על גופים ציבוריים. ואולם, עיקר הבעיה טמון בגישה השגויה הקיימת ביחס למערך אבטחת המידע המוחל על אנשי פנים בארגון.

ברוב הארגונים מושם דגש רב על הגנה נגד פריצה למערכות המידע מבחוץ, אבל לא על הגנה מבפנים מפני דליפת מידע על ידי עובדי הארגון, להם יש הרשאת גישה למידע בתוקף תפקידם.

תפישה זו מנוגדת לתפיסה המתגבשת בעולם אבטחת המידע הציבורי ולפיה עיקר הדגש נדרש בהבטחת נשיאה באחריות (accountability) של אנשים מורשי גישה. כמו כן, השתרשה לה טענה נפוצה, אך שגויה, בקרב אנשי אבטחת מידע בגופים ציבוריים, ולפיה לא ניתן לבצע בקרה נאותה על זליגות ודליפת מידע. 

מדוע? ראשית נטען כי גופי השלטון מבוססים ברובם על מערכות מידע וותיקות (legacy) וכי אין דרך לבצע תיעוד ורישום נאות של גישות לאותן מערכות ובקרה על הפעילות המבוצעת בהן, ללא השקעות עתק בהחלפת מערכות. שנית נטען, ושוב באורח שגוי, כי דליפת מידע עניינה במוסר קלוקל ומידות מושחתות של פקיד ציבור הנחשף למידע, אך מערכות אבטחת מידע מתקשות לאתר פעילות זו. טעות ועוד טעות, והגיע הזמן לתיקונן.

פתרון חקיקתי, אכיפתי וטכנולוגי

הדרך לפתרון המצב הוא במהלך משולב חקיקתי, אכיפתי וטכנולוגי. ראשית, יש לצייד את הרשות לטכנולוגיות מידע ולהגנת הפרטיות שהוקמה לאחרונה במשרד המשפטים בכוח-האדם ובכלים שיאפשרו לה להקים את התשתית הרגולטורית והאכיפתית הנדרשת.

שנית, יש לפעול להסדרה מפורטת של נהלי אבטחת המידע ברשויות שלטוניות והחובות המוטלות בשמירתו, אחזקתו וניהולו של מידע המצוי במאגרי מידע ציבוריים. בדומה לרגולציה המפורטת והראויה שמוחלת על הבנקים מכוח תקנה 357 לתקנות המפקח על הבנקים ועל חברות הביטוח ושוק ההון מכוח תקנה 257 לתקנות המפקח על הביטוח ושוק ההון, יש להסדיר את ניהול ואבטחת המידע במערכות שלטוניות.

בהסדרה זו, יש לחייב שימוש במערכות אבטחת מידע שקיימות בשוק הפרטי ואשר מאפשרות תיעוד, רישום, ניתוח והתראה על פעילות שמבצעים אנשי הארגון המורשים בגישה למערכות המידע. מערכות אלה כשירות לעקוב אחר תבנית פעילות שמבוצעות במכלול מערכות המידע, ברמת היישום (אפליקציה) ובכלל זה במערכות מידע וותיקות (legacy) ללא צורך בשינוי או בהחלפת מערכות המידע.

המעקב אחר פעילות אנשי הפנים מאפשרת לבחון את פעילותם למול תבניות פעילות מקובלות של עובד במשרתם לזיהוי חריגה מתבנית פעילות מקובלת (אנומליה) ולמול תבניות פעילות חשודות לזיהוי חריגה אפשרית. מערכות אלה מאפשרות לאתר תבנית פעולה חריגה לאיתור מידע מתיק שהעובד אינו קשור אליו, ניסיונות גישה תכופים למידע רגיש, וגישה למידע שלא בדרך הקבועה באותו ארגון.

מערכות אלה כשירות להתריע בזמן אמת על פעילות חריגה או חשודה, ואולם תרומתם גם בהרתעה המושגת עת שעובד ציבור יודע שכל גישה למידע מתועדת וכי נשמר נתיב ביקורת ותיעוד על כל פעולה וכל צפייה במידע. קיומו של נתיב ביקורת זה מאפשר לאדם שחושד כי מידע עליו הושג שלא כדין לדרוש בדיקה באשר לגישות שבוצעו למידע עליו ולמבקר הפנים של הארגון ומבקר חיצוני לבחון בדיעבד חשדות שנתעוררו באשר לפעולות עבר.

יש לוודא קיומם של מספר רכיבים:

• קיום נתיב בקרה (לוג) מפורט ומלא של גישה למידע רגיש, על מנת שאפשר יהיה לאתר בדיעבד מי ניגש לאיזה פריט מידע.
• מעקב אחר דפוסי פעילות שגרתיים לצורך זיהוי פעילות חריגה או חשודה.
• התרעות בזמן אמיתי על פעילות חשודה.