שני אירועי אבטחה בשנתיים: חומרים חדשים נחשפים בעתירה נגד המאגר הביומטרי

מסמכים שהוגשו על ידי רשות האוכלוסין לבג"ץ חושפים שני אירועים הקשורים לביטחון המידע התרחשו בפרויקט התיעוד הלאומי, הכולל את תהליך הנפקת תעודת זהות ביומטרית ודרכון ביומטרי של רשות האוכלוסין וההגירה, אשר התרחשו בשנתיים האחרונות. האירועים נחשפו במסגרת דיון בעתירה של התנועה לזכויות דיגיטליות המתנגדת לעצם קיומו של המאגר.

שני האירועים התרחשו ב-2017 ו-2018, ונחשפו לראשונה במסמכים שהגישה המדינה לעותרת, לאחר שבפברואר השנה, הורה בג"ץ לממשלה להעביר לידי מתנגדי המאגר הביומטרי חומרים שהמדינה טענה קודם לכן כי הם חסויים מסיבות של ביטחון המידע. העותרים עיינו בחומרים וכך גילו את שני האירועים, אשר לא דווחו מעולם לרשויות או לציבור.

למרות הטענות בדבר חסיון מטעמי ביטחון מידע, בהודעה שהוגשה לבג"ץ מטעם רשות האוכלוסין נכתב כי "מדובר באירועים תפעוליים שאינם נוגעים לאבטחת המאגר הביומטרי עצמו או לחשש מפני דליפת מידע מהמאגר הביומטרי".

"בנוגע לאירוע שהתגלה בשנת 2017, יצוין כי מדובר באירוע תפעולי בו לא נגרם כל נזק, אבטחתי או נזק בהיבטי הגנת פרטיותו של האזרח. האירוע אותר, תוחקר באופן מעמיק על ידי צוות משותף למערך הסייבר (הממונה ואגף תשתית מדינה קריטית (תמ"ק,)) טופל והוכל במלואו", נכתב בהודעה.

גם בנוגע לאירוע שהתגלה בשנת 2018, רשות האוכלוסין ציינה כי מדובר באירוע תפעולי אשר גם בו לא נגרם כל נזק אבטחתי או נזק בהיבטי הגנת פרטיותו של האזרח. עם זאת, נדמה כי האירוע השני חמור מהראשון, משום שהרשות ציינה כי "האירוע נעצר, טופל והשלכותיו מתוחקרות על ידי רשות האוכלוסין והרשות לניהול המאגר הביומטרי. הצפי הוא לסיום הבדיקות והמסקנות בתוך כ-3 חודשים. נמצא כי בשלב זה אין לאירוע השלכה משמעותית ביחס לפרויקט התיעוד הלאומי, וכי ימצאו פתרונות להכלתו בהמשך הדרך".

העתירה הוגשה לפני מעט יותר משנה, והיא עוסקת בשאלת הנחיצות של המאגר. הטענה המרכזית של העותרים היא שהמאגר אינו נחוץ, ושהמדינה לא בדקה את נחיצותו כראוי בתקופת הפיילוט. המידע אודות הפרצות נחשף במהלך הדיון, והרשות מסרבת לחשוף פרטים נוספים על שני המקרים, כולל, מהותם, מידת חומרתם, הנזק שנגרם מהם או אופן הטיפול בהם.

מרשות האוכלוסין וההגירה נמסר כי "מדובר בשני אירועים תפעוליים שאירעו בשנים 2017 ו-2018 ודווחו באופן מיידי לגורמי הפיקוח. הטיפול במקרים נעשה בתיאום עמם. שאר הפרטים מסווג ודווחו לבג"ץ בדלתיים סגורות. בית המשפט הציע לפרסם את המעט שניתן לעיון העותרים - השנים בהן קרו האירועים".

עוד לפני חשיפת החומרים עלו בקרב העותרים חששות בנוגע לאבטח מידע במאגר. "זה לא נראה טוב. התמונה שמצטיירת היא שמשרד הפנים הקים מאגר, בלי שבדק את זה עד הסוף", אמר אז דורון אופק, אחד העותרים, ל"גלובס".

"בנוסף, עשו כל מיני טעויות כמו לשים את כל הגיבוי של המאגר בחברה חיצונית - הם לא אומרים את הדברים האלה, אבל לפני חודשיים יצא מכרז לשירותים עבור המאגר הביומטרי, שבו המדינה כתבה שהגיבוי של המאגר צריך לזוז מהחווה של בזק לחווה ממשלתית בבאר-שבע. פתאום אתה אומר 'אוקיי, הגיוני שזה יזוז לבאר-שבע, אבל מה זה עשה בבזק מלכתחילה?'".