חומר רקע

הכנסת צוות הייעוץ המשפטי לוועדת הפנים והגנת הסביבה )(ביטחון פנים ט"ו באייר "התשע ז 11 במאי 2017 לכבוד חברי ועדת הפנים והגנת הסביבה ,נכבדי הנדון: )צווים להסדרת הביטחון בגופים ציבוריים (שינוי התוספות לקראת ישיבת הוועדה הצפויה להתקיים ביום י"ט באייר "התשע ז ( 15 במאי2017 ) בצווים ,שבנדון מוגשת בזאת סקיר .ה בנושא חוק להסדרת הביטחון בגופים ציבוריים, התשנ"ח– 1998 – רקע 1. החוק להסדרת הביטחון בגופים ציבוריים ,תשנ"ח- 1998 (להלן – החוק או החוק להסדרת הביטחון ,)מסדיר את ההנחיה הביטחונית בכל הקשור לפעולות אבטחה לגופים שונים, בעיקר .גופים ציבוריים, אך גם מספר גופים פרטיים 2. החוק מגדיר3 :סוגי "פעולות אבטחה" לגביהן ניתנות הנחיות אבטחה א. פעולות אבטחה פיזית– פעולות לשמירה והגנה על בני אדם ורכוש המצוי במבנה או .מקום של גוף ציבורי ב. פעולות לאבטחת מידע– פעולות לשמירה והגנה על מידע מסווג של גוף ציבורי או .המצוי ברשותו ג. פעולות לאבטחת מערכות ממוחשבות חיוניות– פעולות לשמירה והגנה על מערכות ממוחשבות, שנקבעו ככאלה על ידי גוף שהוסמך על ידי הממשלה לכך, וכן על המידע .האגור בהן ועל מידע מסווג הקשור בהן 3. לשם מתן הנחיות לפעולות אבטחה, החוק קובע כי ימונו,קצינים מוסמכים השב"כ, משטר ת ישראל או הרשות הלאומית להגנת הסייבר, אשר יהוו את הסמכות המקצועית והגורם המנחה .של הגופים 4. ל חוק להסדרת הביטחון יש חמש תוספות , בהן מנויים הגופים השונים1 : א. התוספת הראשונה כוללת גופים המונחים על ידי השב"כ בכל הנוגע לאבטחת המידע של הגופים ולאבטחתם ית ז הפי . ב. התוספת השנייה כוללת גופים המונחים על ידי השב"כ בכל הנוגע לאבטחת המידע של הגופים ו מונחים על ידי משטרת ישראל בכל הנוגע לאבט חתם ית ז הפי . ג. התוספת השלישית כוללת גופים המונחים על ידי משטרת ישראל בכל הנוגע לאבט חתם ית ז הפי. ד. התוספת הרביעית כוללת גופים המונחים על ידי השב"כ בכל הנוגע למערכות ממוחשבות חיוניות. ה. התוספת החמישית כוללת גופים המונחים על ידי הרשות הלאומית להגנת הסייבר בכל הנוגע למערכות ממוחשבות חיוניות. גופים שמנויים גם בתוספת החמישית וגם בתוספת השנייה, מונחים על ידי הרש ות גם בנוגע לאבטחת מידע, אך היא פועלת לפי הוראות השב"כ בנושא. הנחיית הרשות היא הסדר חדש, שנחקק בשנת2016 , ונכנס לתוקף בהדרגה במהלך שנת2017 . עד אז הונחו הגופים המנויים בתוספת החמישי על ידי השב"כ. אחרוני הגופים שעדיין מונחים על ידי השב"כ צפויים לעבור להנחיית הרשות .בתחילת חודש יוני גופים המנו יים בתוספת הראשונה גופים המנויים בתוספת השנייה גופים המנויים בתוספת השלישית גופים המנויים בתוספת הרביעית גופים המנויים בתוספת החמישית הנחייה לעניין אבטחה פיזית השב"כ משטרת ישראל משטרת ישראל הנחיה לעניין אבטחת מידע השב"כ השב"כ הרשות הלאומית להגנת הסייבר– אם הגופים מנויים גם בתוספת השנייה וגם בתוספת החמישית הנחיה לעניין התאמה ביטחונית השב"כ השב"כ הנחיה לעניין אבטחת מערכות ממוחשבות חיוניות השב"כ הרשות הלאומית להגנת הסייבר 1 .חלק מהגופים מנויים ביותר מתוספת אחת 5. לשם ביצוע פעולות האבטחה , מגדיר החוק כי הגופים הציבוריים ימנו ממוני ביטחון , אשר להם, בין היתר, סמכויות לעריכת חיפוש, תפיסת חפץ, זיהוי אנשים הבאים למתקני הגופים .הציבוריים ועיכובם בנסיבות שונות 6. בחוק נקבע מנגנון המאפשר את עדכון הרשימות ,בצו של השר לביטחון הפנים ,הטעון את הסכמת ראש הממשלה ,התייעצות עם השר הנוגע בדבר (שבתחום פעולתו מצוי הגוף אותו מבקשים להוסיף לתוספת )ואישור ועדת הפנים והגנת הסביבה של הכנסת. הצווים המונחים על שולחן הוועדה 7. :על שולחן הוועדה מונחים ארבעה צווים א. הוספת חברת נט4 פי אייץ' איי לתוספת הרביעית. משמעות הדבר היא כי השב"כ ינחה את החברה לעניין אבטחת מערכות ממוחשבות חיוניות . ב. ה וספת חברת תרכובות ברום בע"מ לתוספת השנייה ו לתוספת החמישית. משמעות הדבר היא כי:החברה תונחה על ידי הגופים הבאים לעניין אבטחה פיזית – .על ידי משטרת ישראל לעניין אבטחת מידע – על ידי הרשות הלאומית להגנת הסייבר, בהתאם להוראות השב"כ לעניין אבטחת מערכות ממוחשבות חיוניות – על ידי הרשות הלאומית להגנת .הסייבר ,בעניין זה נציין כי אף שנראה כי יש צורך ב הנחיות לעניין אבטחה פיזית ו אבטחת מערכות ממוחשבות חיוניות בחברה זו ,, לא ברור איזה מידע מחזיקה חברה זו שמצדיק מתן הנחיות לשם אבטחת מ ידע . יש לבחון האם התוספת השלישית לא מתאימה יותר ל חברה זו מאשר התוספת השנייה. ג. הוספת משרד התחבורה והבטיחות בדרכים לתוספת החמישית . משמעות הדבר היא כי הרשות הלאומית להגנת הסייבר ת נחה את החברה לעניין אבטחת מערכות ממוחשבות חיוניות. נעיר, כי משרד התחבורה מנוי כבר כיום בתוספת השנייה, ולכן הוא מונחה כבר כיום .לעניין אבטחה פיזית על ידי משטרת ישראל ולעניין אבטחת מידע על ידי השב"כ משכך, לאישור הצו משמעות נוספת– סמכות ההנחיה של המשרד לעניין אבטחת מידע תעבור מהשב"כ לרשות הלאומית להגנת הסייבר, וכך תראה חלוקת הסמכויות :לאחר אישור הצו כיום אם יאושר הצו אבטחה פיזית משטרת ישראל משטרת ישראל אבטחת מידע השב"כ הרשות הלאומית להגנת הסייבר, בהתאם להוראות השב"כ אבטחת מערכות ממוחשבות חיוניות - הרשות הלאומית להגנת הסייבר ד. הוספת חברת רשות המסים בישראל לתוספת ה חמיש ית. משמעות הדבר היא כי הרשות הלאומית להגנת הסייבר ת נחה את רשות המסים לעניין אבטחת מערכות ממוחשבות חיוניות . ,נעיר, כי משרד האוצר מנוי כיום בתוספת השנייה ולכן רשות המסים הפועלת ,תחתיו מונח ית כבר כיום לעניין אבטחה פיזית על ידי משטרת ישראל ולעניין .אבטחת מידע על ידי השב"כ ,בדומה למשרד התחבורה שנזכר לעיל, גם במקרה זה אם יאושר הצו תעבור סמכות ההנחיה של המשרד לעניין אבטחת מידע מהשב"כ .לרשות הלאומית להגנת הסייבר ,לעמדתנו בהתחשב בכך שהרשות הלאומית להגנת הסייבר תהיה הגוף המנחה לעניין אבטחת מידע ברשות המסים, והשב"כ ימשיך להיות הגוף המנחה לעניי ן אבטחת ,מידע ביתר משרד האוצר למען ה ,בהירות יש מקום לציין במפורש את רשות המסים ממשרד האוצר בתוספת השנייה. עמדה זו מקובלת על הרשות הלאומית .להגנת הסייבר נקודות כלליות לדיון 8. ההצדקה להוספת גופים לתוספות לחוק מבוססת על סיכון ביטחוני הנשקף כתוצאה מפגיעה ,בהם. על הוועדה לקבל, לגבי כל אחד מהגופים הסברים לגבי הצורך הביטחוני המצדיק את הוספתם לחוק. ,כאמור לגבי חברת תרכובות ברום, לעמדתנו לא ברור האם יש הצדקה למתן הנחיות בנוגע לאבטחת מידע. 9. שניים מהגופים שהוספתם מתבקשת, חברת נט פי אייץ' איי וחברת תרכובות ברום ,ה ם גופים פרטיים . בשנים האחרונות יש מגמה הולכת וגוברת של הרחבת תחולתו של החוק גם לגופים פרטיים. במהלך דיונים דומים שנערכו עוד בשנת2009 הערנו על כך ש החוק במתכונתו הנוכחית מתאים יותר לגופים ציבוריים, ויש לערוך בו שינויים כך שיתאים יותר לגופים פרטיים . בין היתר, הצענו לפרט ב חוק את אמות המידה להכללת גופים חדשים במסגרת החוק ולשנות את מנגנוני הערר על הנחיות מקצועיות. נעיר גם כי בחוק הקיים אין לגופים המנחים כלים לאכוף את הנחיותיהם. יושב ראש הוועדה דאז, חה"כ דוד אזולאי, אף הגיש הצעת חוק שנועדה להסדיר היבטים אלה בחוק, כך שיתאימו יו .תר גם לגופים פרטיים בדיונים דומים בשנת2011 אף התנתה הוועדה את אישור הוספתם של גופים פרטיים בהתחייבות הממשלה לתיקון החוק. עם זאת, אף שחלפו שש שנים, הממשלה טרם הביאה .לאישור הכנסת הצעת חוק כזו במקרה הנוכחי, מדובר בחברות שדומ ות ן לה כבר נכללו בעבר במסגרת החו ק. משכך, אין ,מדובר בפריצת מסגרת נוספת שיש בה כדי למנוע את אישור הצו. ואולם על הוועדה לדרוש מהממשלה להציג לוחות זמנים ברורים להבאת תיקון החקיקה לכנסת. 10 . תקופת המע בר ל העברת הסמכויות משב"כ לרשות הלא ומית להגנ ת הסייבר צפויה להסתיים ב- 31 ביולי . עד אז, ברירת המחדל היא כי הנחיית גוף לעניין אבטחת מערכות ממוחשבות חיוניות נעשית על ידי השב"כ, ויש צורך בצו של ראש הממ שלה לשם העבר .ת הסמכות לרשות שלושה מהצווים (בעניין חברת תרכובות ברום, משרד התחבורה ורשות המסים) כוללים שינויה של תוספת זו. כדי להימנע מהליך העברת הסמכויות, הצענו לרשות הלאומית להגנת הסייבר לקבוע כי מועד התחילה לעניין שלושה גופים אלה יהיה ה- 1 באוגוסט. הצעה זו .מקובלת על הרשות ,בברכה לוועדה המשפטי הייעוץ