מבטו החודר מדי של האח הגדול

בעשור האחרון אנו עדים לדאגה וחשש גוברים והולכים של הציבור הרחב מהפיתוחים הטכנולוגיים הרבים. לאחרונה זכה לתשומת לב מיוחדת של הציבור השימוש במערכות מתקדמות לעיבוד מידע וניצולן על ידי חברות וגופים ממשלתיים. הגישה הקלה, הנוחה והזמינה למידע אישי מעמידה את פרטיות המשתמש בסכנה. השאלה שצריכה להישאל על ידי הציבור היא כזו: האם בעידן בו המידע האישי זמין ופרוץ קיימת אפשרות לשמור על מרחב הפרטיות?

בעבר היו גישה למידע רחב היקף, כגון מעקב מדויק אחר כל פעולותיהם של לקוחות חברות כרטיסי האשראי, ועיבודו בלתי אפשריים. עידן המידע והאינפורמציה בימינו מתאפיין בהתקדמות טכנולוגית רבה, אך ביחס הפוך לכך הופכת בעיית ההגנה על הפרטיות לבעיה אתית וטכנולוגית קשה.

מקרה בולט ומפורסם של פגיעה בפרטיות ציבור לקוחות של אתרי מסחר אלקטרוני הוא מקרה אתר הקניות Egghead.com, אשר נפרץ בחג המולד על ידי האקרים ממזרח אירופה. האירוע גרר פעולות מואצות של חברת ויזה לפקח אחר השימוש בחשבונות כרטיסי האשראי ששימשו את לקוחות Egghead.com.

מקרה דומה ומביך נוסף אירע ל Bibliofind השייכת ל-Amazon.com. פורצים הורידו את הפרטים האישיים של כ-98 אלף לקוחות החברה במשך תקופה של ארבעה חודשים. הפריצה נתגלתה רק לאחר שנעשה שימוש בכרטיסי האשראי ולאחר שהגיעו תלונות מהלקוחות.

לא רק פורצים לאתרים אחראים לפגיעה בפרטיות של הלקוחות, כי אם גם ניהול לקוי של אפליקציות מאגרי המידע יכול לגרום לנזק לא מבוטל, כמו במקרה של חברת התקשורת Verizon. עשרים ושמונה מיליון הלקוחות של חברת Verizon גילו באוגוסט שנה שעברה שפרטיהם האישיים וחלק מרישומי פעילות הטלפונים שלהם מפורסמים באתר החברה. האירוע התרחש בשל טעות בגירסה חדשה באפליקציה של החברה ובשל מערך אבטחת מידע לקוי. מקרה זהה אירע גם באתרה של חברת AT&T.

כמו בעולם כולו, גם בישראל המודעות לנושא הביאה להתייחסות המחוקק, אשר מנסה למסד ולהגביל את השימוש והניצול לרעה של מידע אישי. המחוקק הישראלי אף ראה לנכון לייחס לנושא הפרטיות נורמה חברתית בקובעו בחוק יסוד כבוד האדם כי לכל אדם מגיעה פרטיות וזכות לחיים פרטיים. ההתייחסות המעמיקה והפרטנית ביותר של המחוקק לנושא ניתנה בחוק הגנת הפרטיות 1981 בשלושה מישורים מרכזיים:

1. החוק מגדיר כעבירה פלילית פגיעה בפרטיותו של אדם.

2. החוק מגדיר את המנגנון של רישום ופיקוח על מאגרי מידע.

3. החוק מגדיר את נושא אבטחת המידע ואופן הגישה למאגרי מידע המכילים מידע אישי, וקובע את המחויבות של הארגון ליצור סביבה מאובטחת לשם הגנה ואבטחת המידע שבידיו.

חוק הגנת הפרטיות מגדיר את הצורך לבצע רישום של מאגרי מידע. אי עמידה בחובה זו יכול לגרור אחריו ענישה של עד שנת מאסר. כמו כן, קיימת החובה לניהול תקין ומאובטח של מאגר המידע. חובות אלו מחייבות לא רק את בעל המאגר, אלא גם את מנהלו של המאגר והמשתמשים בו.

החוק מציין את המקרים בהם קיימת החובה לבצע את רישום המאגר:

- מאגר מידע המכיל מידע אודות 10,000 אנשים או יותר.

- מאגר מידע המשמש לדיוור ישיר.

- מאגר מידע המכיל מידע רגיש אודות אדם.

- מאגר מידע המכיל מידע אודות אנשים, כאשר המידע לא הושג דרכם או שהם לא הביעו את הסכמתם לשמירת המידע אודותם במאגר.

על פי החוק, בעל מאגר המידע, מנהל מאגר המידע והמחזיק במאגר המידע אחראים כל אחד לאבטחת המאגר ולאבטחת המידע הנמצא בו. באחריותם ליישם את חוק הגנת הפרטיות ואכיפתו ביחס למאגרי המידע שאותם הם מנהלים, ולקיום הוראות ונוהלי אבטחת מידע כלפי המאגר.

מימוש הדרישות של החוק בהיבט של אבטחת המידע דורש יכולת וידע מקצועי רב. מעטים הם הארגונים המסוגלים להתמודד לבד עם הדרישות הרבות באמצעות צוות אבטחת מידע פנימי שלהם. רוב הארגונים הגדולים פונים לחברות ויועצי אבטחת מידע חיצוניים על מנת שיעזרו להם לתכנן ולממש את מערך האבטחה של מערכות המידע בארגון.


חגי קלורמן-עראקי הינו יועץ אבטחת מידע ב-IBM Global services.