אתי אלון וחשבון הבנק שלכם

בשנים האחרונות נושאי הפשיעה הממוחשבת (ה-Cyber Crime) מהווים אתגר חדש בפני רשויות אכיפת החוק - במישורים הפלילי, האזרחי ואף הביטחוני. די אם נציץ באתר הרשמי של משרד החקירות הפדראלי בארצות הברית, הידוע יותר בשם FBI, כדי לגלות את העובדה המדהימה שברשימת עשרת המשימות החשובות ביותר של ה-FBI, השלישית בסדר החשיבות הנה - "הגנה על ארה"ב מהתקפות אלקטרוניות ופשעי טכנולוגיה עלית", כאשר - "השמירה על זכויות הפרט" ממוקמת רק במקום החמישי.

נכון, לא הוכח ואף לא הוזכר שמקרה אתי אלון, אשר מוטט בנק בישראל וגרם לנזק ישיר של רבע מיליארד ש"ח, הנו מעשה ידיה של רשת פושעי מחשב, אך הקשר בין אתי אלון למערכת המחשב בבנק היה הדוק למדי.

האירוע של אתי אלון אומנם נגמר בהרשעתה בפלילים, אך התקשורת לא הדגישה מספיק את הקשר בין המקרה לבין נהלי אבטחת המידע בבנק. גם אם היו נהלים כאלה, רפיון באכיפתם היה בין הגורמים המרכזיים שאפשרו את שוד המיליונים. בדיקת רקע פשוטה הייתה מדליקה נורה אדומה. העובדה שאלון הייתה זו שמגישה את המסמכים לחתימת הממונה וגם חותמת אליהם, הייתה צריכה לעלות בבדיקה טריוויאלית של הפרדת תפקידים, א-ב בנהלי אבטחת מידע ארגוניים. מן הסתם זה לא קרה והתוצאה ידועה.

לדאבונם של האזרחים, הממסד הבנקאי יעשה הכול על-מנת להסתיר אירועי אבטחת מידע אשר התרחשו בתחום אחריותו, וגם יהיה מוכן לספוג נזקים גדולים על-מנת למנוע גילוי ופרסום של המקרים, ולמרבה הפלא הם גם לא בדיוק מחויבים לעשות כן. לכן, רק לעתים רחוקות אירועים דומים במוסדות בנקאים דולפים לתקשורת...

דוגמא נוספת היה קניון אינטרנטי אשר עשה מאמץ רב להסתיר את אירוע האבטחה אשר חשף מידע רב על הרגלי הקניות של האזרחים ועל פרטי כרטיסי אשראי שלהם. האתר סירב להגיש תלונה למשטרה נגד החשודים, וזאת על-מנת למנוע פרסום שלילי, פגיעה במוניטין ואובדן הכנסות צפוי.

משרד האוצר עושה בשנים אחרונות מאמצים רבים לחוקק תקנות ראויות למערכות בנקאיות של מדינה מפותחת, אך ללא ספק מצבנו החוקתי רע. גם גורמי האכיפה כמו משטרת ישראל והפרקליטות המדינה עושים מאמצים לשפר את יכולת התגובה של החוקרים לפשעי המחשב. אך היום, בעל עסק המתלונן על חשד לזליגת מידע מהעסק שלו לכיוון המתחרה, יזכה במקרה הטוב לשנות המתנה לטיפול בתיק שהגיש בפרקליטות, ובמקרה הרע למכתב לקוני מהמשטרה המודיע על סגירת התיק מחוסר עניין לציבור.

ובכן, הפשע המאורגן מאמץ לחיקו את הטכנולוגיה ומשתלט על "נתחי שוק" ברוח הזמן. לדוגמא: מדוע להסתכן בהקמת קזינו לא חוקי ברחוב המסגר בת"א אם קל יותר, זול יותר, כדאי יותר להקים אתר אינטרנט על שרת הממוקם בטורקמניסטן ומנוהל מהארץ? הקליינטים יהמרו בניחותא מהבית או אף ממקום העבודה, ואלה הזקוקים לחברה ייגשו אל האינטרנט קפה בפינת הרחוב. אגב, האורח התמים שיעז לבקש קפה במקום מסוג זה ייתקל בשאלה זועפת - באת להמר או לשתות קפה?. אתרי הפורנו מהווים גם הם הכנסה נאה לבעליהם, והסבירות שנמצא את בעליהם מבין ל"ו הצדיקים לא נראית סבירה במיוחד.

שיתוף הפעולה המתהווה בין הפשע המאורגן הקונבנציונלי לבין קהילת ההאקרים הזדוניים יוצר זן חדש של פשע מאורגן, עובדה שצריכה להדיר שינה מעיני מהממונים על אכיפת החוק. פשע מסוג חדש יכול להביא לסחיטת חברה בהפלת אתר האינטרנט שלה, גניבת מידע עסקי או מסחרי או ביטחוני (ראו דוגמת משפחת האפרתי בפרשת הסוס הטרויאני). גם בהיבט הביטחוני נחשפנו לעובדה שצה"ל הופתע מהעובדה שברשות לוחמי החיזבאללה היו מכשירי קשר מוצפנים, מפות וקבצים מתוך רשתות צה"ליות.

לסיכום, רשויות המדינה ומקבלי ההחלטות בשוק הפרטי והציבורי חייבים להבין כי נושאי אבטחת המידע אינה סתם אופציה נחמדה שיש לשקול את מימושה כסעיף 117 בסדר העדיפויות, אלא להבין כי מדובר בכורח מציאות ויפה שעה אחת קודם.

מה עושים? במישור החוקתי יש להגביר את מאמצי החקיקה הרלוונטית, יש לפעול בעדיפות גבוהה לשם הגברת המודעות לנושאי אבטחת המידע במערכת החינוך, החל מגילאי 6 - 7 לשם הקניית הרגלי גלישה נכונים. בנוסף, במגזר הציבורי והעסקי יש להכשיר אנשי מקצוע בתחום אבטחת המידע הארגוני, תוך הטמעת תהליכי אבטחת המידע כחלק מהתרבות הארגונית.