ספר הבוחרים "דלף" לרשת

[SlowRide]

זה בדיוק העניין, אתה לא לקוח של מפלגה כזו או אחרת. אין לך say בזה בכלל, מעבירים למפלגות את הנתונים שלך וזהו. המדינה מעבירה את האחריות על פרטי האזרחים למפלגות, אז אם הן בחרו באפליקציה עם אבטחה מעפנה גם להן יש אחריות מסויימת.

[YaronNahum]

בטח שיש להם אחריות אבל אין להם כלים.

עובדה - כמה מפלגות בחרו בחברה הזו.

 

אני לא מדבר על פרטים שאני מוסר על הישראכרט שלי לצד ג', אלא פרטים שאני מסרתי לחברת ישראכרט, הם שמרו אצלם, ועקב פירצת אבטחה הפרטים שלי עברו לגורם אחר.

דוגמה אחרת שיהיה ברור - נתתי לחנות כלשהי את מספר תעודת הזהות שלי, אימייל, מספר טלפון, כתובת בית וכתובת עבודה, הם שמרו את המידע הזה אצלם על דף, עכשיו צד ג' פרץ לחנות וגנב את הדף עם הפרטים של כל הלקוחות כולל אותי.

האם אני אשם או החנות?

 

שכרתי עורך דין, נתתי לו את אותם פרטים למעלה, הוא שמר אותם במסמך וורד, מישהו פרץ לו למחשב ולקח את הפרטים שלי, אשמתי שנתתי את הפרטים לעו"ד או אשמת העו"ד שגנבו ממנו?

 

בטח שיש להם כלים.

במקום לבחור רק את ההצעה שזכתה בניקוד הגבוה ביותר במכרז ,לכאורה ,( אני מנחש אין לי שמץ של מושג מה היה בתהליך המכרז ומה היו המניעים לזכיה אם זה מחיר זול או קרבה מסוימת למקבלי ההחלטות או כל סיבה אחרת )

יכלו גם לקחת יועץ אבטחה שיבדוק את החברה.

זה לא דבר נדיר בהטמעה של תוכנה חדשה בארגון שקצת בעל מודעות לאבטחת מידע שיש גורם נוסף שבודק את התוכנה החדשה

במיוחד אם עומדים לשים בתוכנה נתונים רגישים.

[Night Driver]

בטח שיש להם אחריות אבל אין להם כלים.

עובדה - כמה מפלגות בחרו בחברה הזו.

 

אני לא מדבר על פרטים שאני מוסר על הישראכרט שלי לצד ג', אלא פרטים שאני מסרתי לחברת ישראכרט, הם שמרו אצלם, ועקב פירצת אבטחה הפרטים שלי עברו לגורם אחר.

דוגמה אחרת שיהיה ברור - נתתי לחנות כלשהי את מספר תעודת הזהות שלי, אימייל, מספר טלפון, כתובת בית וכתובת עבודה, הם שמרו את המידע הזה אצלם על דף, עכשיו צד ג' פרץ לחנות וגנב את הדף עם הפרטים של כל הלקוחות כולל אותי.

האם אני אשם או החנות?

 

שכרתי עורך דין, נתתי לו את אותם פרטים למעלה, הוא שמר אותם במסמך וורד, מישהו פרץ לו למחשב ולקח את הפרטים שלי, אשמתי שנתתי את הפרטים לעו"ד או אשמת העו"ד שגנבו ממנו?

יש חוק שמגדיר איך לנהוג במאגר מידע.

 

באמת שלא יודע מי שם איפה את מאגר המידע שקיבל כחוק אבל חובתו של כל אחד שקיבל מאגר כזה לבדוק את הגוף שלו הוא מוסר אותו.

 

להזכירך, לגנץ פרצו לטלפון ואותו אחד שהפקיר את המאגר טען שמי שלא יודע לשמור על טלפון (שנפרץ. לא שהושאר ללא סיסמא עם שלט ניאון מהבהב הטלפון של בני) לא יכול לשמור על המדינה.

[saay222]

כלים?, הם יכלו לקחת כמה שקלים מתקציב ה-SMSים ולשלם למישהו ללחוץ על F12.

 

חסר להם כסף?, מדובר פה על פרטים של מליוני אזרחים.

[מרק10]

על סמך זה שהוא דלף

כול אתר חדשות מפרש את פרצת האבטחה בצורה מעט שונה ולא בהכרח גורמים מסויימים הצליחו להוריד את קובץ המידע המכיל את הפרטים של הבוחרים.

 

תן לי בבקשה קישור לגורם מוסמך שכותב במפורש שהמידע הגיע לגורמים שאינם מורשים להחזיק את המידע.

 

האם ראית באתר מסויים את המידע של כול הבוחרים כפי שהיה בתקופת הרשומון שהיה ניתן להוריד עם החמור את בסיס הנתונים ?

[Blaz00r]

זה היה בהלצה, מה לקחת קשה...

[m3x7r3m3]

לא, אבל בסופו של יום הלקוחות שלך יבואו אליך בטענות, לא אל אמזון, ולך יש אחריות פיקודית על העניין.

 

ופה זה לא קובץ לקוחות, זאת מדינה שלמה שפרטי כלל אזרחיה דלפו, ולא בפעם הראשונה, מאותו מאגר בדיוק.

אף אחד לא שאל אותי אם אני מעוניין להכלל במאגר, והוא נמסר למפלגות ע"פ חוק לעשות עימו ככל העולה על רוחם, אז הם בחרו לשלב אותו באפליקציה של חברה צד ג', שנכתבה ב-5 דקות, בטח בלילה שלפני הדד-ליין.

 

אז כן, לדעתי המפלגה אשמה.

 

ואם הלקוחות יבואו אליי בטענות זה אומר שזה אשמתי? ומה זה אחריות פיקודית? אני מכיר את המונח בהקשר צבאי והוא לא מתאים לפה.

 

באופן כללי אני חושב שהמאגר הזה לא צריך להימסר בכלל למפלגות, אני מאוד בעד אבטחת מידע ופרטיות אזרחים, כמו שאני נגד המאגר הביומטרי.

אני יכול לנחש (ניחוש מושכל של מי שמכיר את עולם התוכנה ואיך עסקאות כאלה מתבצעות) שאותה חברה נבחרה באופן דיי דומה לאופן שבו נבחרה חברת המימד החמישי לספק מערכת למשטרת ישראל, הווה אומר, החברה מציגה מצגת יפה, מספרת שיש להם כבר כמה לקוחות גדולים מאותו עולם (יענו מפלגות) מבלי לפרט שמות, מבטיחים שיש להם אבטחת מידע מהשורה הראשונה ויש אפילו Head of Security או טייטל דומה, בשקט בשקט אומרים בעל פה מי הלקוחות, ובחוזה יש סעיף שמונע משני הצדדים לדבר על לקוחות אחרים של החברה (אבל החוזה קורה אחרי ההצגה שבה אמרו מי הלקוחות כן?).

בזמן האמת פתאום מתגלה שמאחורי המצגת היפה אין הרבה אמת. ואותו Head of Security הוא דחליל שמתעסק בעיקר בצד ה-IT ולא מעורב בכלל בפיתוח. וצריך לבוא מעולם פיתוח התוכנה כדי להבין עד כמה Head of Security כזה יכול להיות דחליל שלא ראה את הקוד בייס של המוצר מעולם, ראיתי כאלה דחלילים שלא יודעים באיזה שפות אפילו מפתחים באותה חברה.

ולכן אני אומר שאין להם את הכלים לזה.

 

זה בדיוק העניין, אתה לא לקוח של מפלגה כזו או אחרת. אין לך say בזה בכלל, מעבירים למפלגות את הנתונים שלך וזהו. המדינה מעבירה את האחריות על פרטי האזרחים למפלגות, אז אם הן בחרו באפליקציה עם אבטחה מעפנה גם להן יש אחריות מסויימת.

 

ככלל אני נגד העברת הנתונים הנ"ל.

אני יודע שגם לחברות הרבה יותר טכנולוגיות והרבה יותר עשירות אין באמת כלים לבדוק אבטחה של מוצרים כאלה.

 

בטח שיש להם כלים.

במקום לבחור רק את ההצעה שזכתה בניקוד הגבוה ביותר במכרז ,לכאורה ,( אני מנחש אין לי שמץ של מושג מה היה בתהליך המכרז ומה היו המניעים לזכיה אם זה מחיר זול או קרבה מסוימת למקבלי ההחלטות או כל סיבה אחרת )

יכלו גם לקחת יועץ אבטחה שיבדוק את החברה.

זה לא דבר נדיר בהטמעה של תוכנה חדשה בארגון שקצת בעל מודעות לאבטחת מידע שיש גורם נוסף שבודק את התוכנה החדשה

במיוחד אם עומדים לשים בתוכנה נתונים רגישים.

 

מכיוון שעברתי Reviews של חברות אבטחה רציניות גלובליות לא פעם ולא פעמיים (ולא איזה יועץ אבטחה) אני יודע שמדובר במקרה הטוב על תהליך של כמה חודשים טובים.

אבל גם את זה עושים לקוחות עם אוריינטציה טכנולוגית הרבה יותר מאשר מפלגה, שהטכנולוגיה שלה זה אקסלים ו-SMSים.

 

יש חוק שמגדיר איך לנהוג במאגר מידע.

 

באמת שלא יודע מי שם איפה את מאגר המידע שקיבל כחוק אבל חובתו של כל אחד שקיבל מאגר כזה לבדוק את הגוף שלו הוא מוסר אותו.

 

להזכירך, לגנץ פרצו לטלפון ואותו אחד שהפקיר את המאגר טען שמי שלא יודע לשמור על טלפון (שנפרץ. לא שהושאר ללא סיסמא עם שלט ניאון מהבהב הטלפון של בני) לא יכול לשמור על המדינה.

 

ואם החברה לכאורה הציגה שהם עומדים בתנאי החוק?

ואם פתאום יתגלה שגם כחול לבן רחמנא ליצלן הם לקוחות של אותה חברה? אבל אותו האקר הרי בחר (הוא מודה בזה בפוסט) במשתמש של הליכוד, יכל לבחור במשתמש של מפלגה אחרת, האם התגובה שלך הייתה זהה?

 

כלים?, הם יכלו לקחת כמה שקלים מתקציב ה-SMSים ולשלם למישהו ללחוץ על F12.

 

חסר להם כסף?, מדובר פה על פרטים של מליוני אזרחים.

 

האנשים שיושבים במצגות ובחתימה על מערכת כזו חושבים ש-F12 זה מטוס קרב עתיק של ארה"ב.

הבעיה היא לא כסף, חברה של Security Review רצינית גם לא עולה כל כך הרבה, מה שחסר זה לא הכסף אלא ההבנה שצריך Review כזה.

אני מכיר חברות הרבה יותר טכנולוגיות, הרבה יותר עשירות שלא עשו Review כזה לא מחוסר כסף, לא מרצון לחסוך אלא מחוסר ידע שצריך.

[Night Driver]

MX, אם אני מעסיק קבלן ומחתים אותו על הצהרה שיש לו אישור בתוקף לעבודה בחלל מוקף או לעבודה בגובה ולא בדקתי פיזית את האישור אני אחראי. אם הצהירו הצהרת שקר ועברו על החוק ביודעין אז הם היו עצורים.

 

בינתניים הליכוד הוא זה שלעג למי שהאלפון שלו נפרץ ונתן במתנה מאגר פתוח של חומר רגיש.

 

תאמין לי שאם כחול לבן היתה אצל אותה החברה כבר מזמן האספסוף בהנהגת מיקי זוהר כבר היה רץ לצעוק את זה תחת כל עץ רענן.

 

לא אומר שזה לא יכול לקרות לאחרים אבל הם פישלו בגדול במיוחד אחרי הקמפיין שניהלו נגד גנץ והפריצה לטלפון שלו. כל ילד יודע שלא ככה שומרים על מידע.

[m3x7r3m3]

בניגוד לאישור עבודה בגובה, עמידה בתנאי החוק לאחסנת בסיסי נתונים זה לא להסתכל על איזה אישור מודפס.

לאישור עבודה בגובה יש גורם, אחר, מטעם הממשלה, שמאשר לאותו אדם לעבוד בגובה ונותן לו אישור חתום כזה.

אין גורם כזה לעניין בסיסי נתונים של מידע פרטי או רגיש.

אפשר להסמיך את רשות הסייבר לטפל בנושא, ולחייב את כל החברות לקבל אישור מרשות הסייבר כדי להחזיק בסיסי נתונים של מידע פרטי, ואז חברות יצטרכו להציג אישור כזה לגורם ששוכר אותן, זה לא המצב הקיים.

 

יש לך את הכלים לבדוק שלקבלן יש אישור עבודה בגובה, יש לך עיניים ויכולת לקרוא, ויש גם מסמך של המוסד לבטיחות וגהות שהוא התוצאה השנייה או השלישית בגוגל כולל דוגמאות לאישורים כאלו.

מה הכלים שיש לך לבדוק כשאתה שוכר חברה שתבנה לך אתר?

 

יכול להיות שכחול לבן נמצאת אצל אותה חברה והליכוד לא יודע (או לא יכול להשתמש במידע הזה), ויכול להיות שמר"צ או העבודה או ימינה, אף אחד לא מכחיש שמפלגות אחרות לקוחות של אותה חברה ומערכת בדיוק, למה אנחנו לא יודעים מאותו האקר מי הן אותן מפלגות?

 

מי שהיה אמור לשמור על המידע זה לא הליכוד, אלא החברה שנשכרה

עריכה אחרונה ב-12 לפברואר, 2020 על ידי m3x7r3m3

[Night Driver]

קודם כל מי שאמור לשמור על המידע זה אותו גורם לו המידע נמסר במסרת החוק ממי שמחזיק בו (במקרה הזה המפלגות).

 

אם אין לך כלים אתה לוקח גוף שכן יש לו את הכלים. אני יודע לקרוא תכניות ולבדוק חישובי עומס אבל לוקח קונסטרוקטור לצורך העניין כי הוא הסמכות המקצועית אז כשאני משקיע הרבה מיליונים בקמפיינים ו SMSים אני יכול לשים עשירייה לחברה לאבטחת מידע שתבדוק אם נותן השירות שלי באמת עומד במה שהוא מצהיר. זה לא שונה ממכון בדיקה לרכב יד שנייה.

[m3x7r3m3]

לפי ידיעתי, חוק הגנת הפרטיות, מטיל אחריות גם על בעל המאגר (המדינה שמסרה את ספר הבוחרים), גם מחזיק המאגר (שאפשר לטעון שאלה המפלגות) וגם מנהל המאגר (שזה בלי ספק החברה שמחזיקה את המאגר אצלה).

 

עריכה: לפי חוק הגנת הפרטיות יש סעיף מיוחד למי שמנהל מאגרי מידע של בעלים שונים:

מחזיק במאגרים של בעלים שונים (תיקון מס' 4) תשנ"ו-1996

 

17א. (א) מחזיק במאגרי מידע של בעלים שונים יבטיח כי אפשרות הגישה לכל מאגר תהיה נתונה רק למי שהורשו לכך במפורש בהסכם בכתב בינו לבין בעליו של אותו מאגר.

(ב) מחזיק שברשותו חמישה מאגרי מידע לפחות, החייבים ברישום לפי סעיף 8, ימסור לרשם, מדי שנה, רשימה של מאגרי המידע שברשותו, בציון שמות בעלי המאגרים, תצהיר על כך שלגבי כל אחד מן המאגרים נקבעו הזכאים בגישה למאגר בהסכם בינו לבין הבעלים, ושמו של הממונה על האבטחה כאמור בסעיף 17ב.

 

 

ממונה על אבטחה (תיקון מס' 4) תשנ"ו-1996

 

 

17ב. (א) הגופים המפורטים להלן חייבים במינוי אדם בעל הכשרה מתאימה שיהיה ממונה על אבטחת מידע (להלן - הממונה):

(1) מחזיק בחמישה מאגרי מידע החייבים ברישום לפי סעיף 8;

(2) גוף ציבורי כהגדרתו בסעיף 23;

(3) בנק, חברת ביטוח, חברה העוסקת בדירוג או בהערכה של אשראי.

(ב) בלי לגרוע מהוראות סעיף 17, הממונה יהיה אחראי לאבטחת המידע במאגרים המוחזקים ברשות הגופים כאמור בסעיף קטן (א).

(ג) לא ימונה כממונה מי שהורשע בעבירה שיש עמה קלון או בעבירה על הוראות חוק זה.

 

כלומר גם לפי החוק ישנה חובה מיוחדת לאותה חברה

 

אתה אכן יכול לקחת חברה ל-Security Review, לא חסר כאלה, המחיר גם לא בשמיים, אתה צריך לדעת שאתה צריך לקחת חברה כזו, יותר מזה, אתה צריך לדעת שחברות כאלה קיימות. ואת זה אני כותב בוודאות מלאה, גם גופים הרבה יותר טכנולוגיים מהליכוד לא יודעים שקיימות חברות כאלו.

 

והשאלה שלי בעינה עומדת ללא תשובה - למה אנחנו לא יודעים אילו עוד מפלגות הן לקוחות של אותה חברה?

כלומר לפי תפיסתך עוד מפלגות היו אמורות לעשות בדיקה כזו לחברה, הבחור צילם מסך של קובץ JSON עם פרטי לקוחות, אבל דאג שרק פרטי הליכוד יהיו בתצלום המסך.

 

יש כאן עניין חמור של אבטחת מידע (שכפי שציינו כאן בשרשור המדינה נכשלה בשמירה עליו לא בפעם הראשונה ולא השנייה), אבל השימוש בו הוא פוליטי, וזה מסריח בעיניי שבמקום להראות לנו את כל המידע, מראים לנו רק מה שבאינטרס של אותו בחור.

עריכה אחרונה ב-12 לפברואר, 2020 על ידי m3x7r3m3

[YaronNahum]

 

והשאלה שלי בעינה עומדת ללא תשובה - למה אנחנו לא יודעים אילו עוד מפלגות הן לקוחות של אותה חברה?

כלומר לפי תפיסתך עוד מפלגות היו אמורות לעשות בדיקה כזו לחברה, הבחור צילם מסך של קובץ JSON עם פרטי לקוחות, אבל דאג שרק פרטי הליכוד יהיו בתצלום המסך.

 

יש כאן עניין חמור של אבטחת מידע (שכפי שציינו כאן בשרשור המדינה נכשלה בשמירה עליו לא בפעם הראשונה ולא השנייה), אבל השימוש בו הוא פוליטי, וזה מסריח בעיניי שבמקום להראות לנו את כל המידע, מראים לנו רק מה שבאינטרס של אותו בחור.

 

יודעים ,

 

ישראל ביתנו. (ליברמן )

היתה טענה שגם ש"ס אבל הם הכחישו ואמרו שיש להם תוכנה משלהם אחרת ותיקה.

[m3x7r3m3]

דובר על מפלגות, ברבים, ומה יותר פשוט מלצלם את אותו קובץ JSON? כפי שצולם המשתמש של הליכוד?

 

למה בכלל צריך לדבר על שמועות? המידע אצלו ביד

עריכה אחרונה ב-12 לפברואר, 2020 על ידי m3x7r3m3

[Night Driver]

מה הקשר למי עוד עבר על החוק?

 

תפסו פה עבירה ברורה על החוק שאתה הבאת (סעיף 17ב2).

 

מכאן שיחקרו מי עוד עבר על החוק אבל מי שכבר ברור שעבר צריך לתת את הדין.

[SlowRide]

זה שהמדינה נותנת למפלגות את הפרטים של האזרחים בלי רשותם ובלי בקרה זה עיקר הבעיה. לא באמת משנה מי הגאון במפלגה ובחברת האפליקציות שעשה את הפשלה.

יש לך אקדח ברישיון ולא נעלת אותו בכספת. הילד שלך בן שנתיים מוצא את האקדח , משחק בו ויורה לך באשכים. מי אשם?