חור האבטחה של "אלקטור": כך המערכת מאפשרת לפרשות דליפת מידע להמשיך לקרות

מערך הסייבר הלאומי במשרד ראש הממשלה? ועדת הבחירות המרכזית? הרשות להגנת הפרטיות במשרד המשפטים? מי הגוף הממשלתי שאחראי לכך שספר הבוחרים, שמכיל את פרטיהם של כשישה וחצי מיליון תושבים בעלי זכות בחירה לא יגיע לידיים עוינות?

חשיפת חור האבטחה במאגר המידע שמחזיקה מפעילת אפליקציית ניהול הבוחרים "אלקטור", שמשמשת בין השאר את מפלגות ש"ס והליכוד, חשפה שוב את חוסר המסוגלות של הממשלה לשמור על המידע על אזרחיה.

כן. חוסר מסוגלות. לא מחדל, לא רשלנות, לא מישהו פישל אלא חוסר מסוגלות חוצה רשויות וגופים - מרמת הפקידים ועד רמת השרים. המערכת כולה בנויה באופן שפרשות כמו חור האבטחה במאגר המידע של אלקטור יחזרו שוב ושוב.

בפרשת אלקטור, מדובר על מאגר ענק של פרטים אישיים על שישה וחצי מיליון בוחרים, שלצד פרטיהם האישיים של כמה אלפים מהם, מופיעים פרטים נוספים, אשר נאספו אודותיהם על ידי פעילי המפלגות וחברות צד ג'. פרטים אלה עשויים להיות למשל, אינדיקציה על כוונות ההצבעה שלהם.

זלזול בוטה כלפי האזרחים והרשויות

בעצם איסופו של מידע על ידי המפלגות אין בעייתיות של ממש. כך הן נהגו מימים ימימה עוד לפני כניסת אמצעים טכנולוגיים כמו אלקטור לשימוש. למעשה המפלגות מקבלות את פנקס הבוחרים בדיוק למטרה זו.

הבעייתיות נעוצה בשמירתו באופן לא מאובטח, שעלולה לא רק להביא לפגיעה בפרטיותם של הבוחרים, אלא עלולה גם להביא לכך שהמידע ישמש גורמים עוינים באופנים שונים, מקמפיינים להשפעה על התודעה ועד להונאות פיננסיות.

למרות שהעוסקים בדבר אמורים לדעת על האחריות המוטלת עליהם מכוח חוק הגנת הפרטיות לשמור על מאגרי המידע שברשותם, שוב ושוב מתגלים חורי אבטחה מביכים שמעידים על זלזול בוטה גם כלפי האזרחים, וגם כלפי הרשויות.

לצד הטענות הלגיטימיות כלפי אלקטור וכלפי מנהלי הקמפיינים של המפלגות, לפיהן חובה עליהם להקפיד על שיקולי אבטחת מידע מחמירים (אומת סייבר או לא אומת סייבר?) - חייבים להבין שבלי פעולה משמעותית ברמת הממשל, המידע האישי עלינו לא רק ימשיך להיות הפקר, אלא שככל שיעבור הזמן, עולה הסיכוי שלא רק שידלפו פרטים אישיים כמו שם, כתובת ותעודת זהות - עניין חמור לכשעצמו - אלא גם מאגרי מידע ופרטים רגישים הרבה יותר.

פרשת אלקטור גילתה את המערכת במערומיה. אז מי אמור לדאוג שמקרים כאלה לא יישנו? שאלה טובה.

הגופים המעורבים עסוקים בתירוצים

האם האחראי הוא מערך הסייבר הלאומי? לא ממש. המערך הוא גוף בטחוני שפועל במשרד ראש הממשלה, ובשם שיקולי הפרדת רשויות ודמוקרטיה הוא לא מתערב בנושאי בחירות אלא אם הוא מתבקש לסייע.

האם זו ועדת הבחירות המרכזית? גם לא בדיוק. הוועדה מינתה בכיר לשעבר ברשות הסייבר (גוף שקדם למערך הסייבר ונטמע בו) לאחראי על קיומן המאובטח של הבחירות עצמן. בדיקה של רמת האבטחה של חברות שהמפלגות שוכרות כדי להניע בוחרים להצביע להן - אינן בתחום אחריותו.

אה, אם כן מי שבוודאי אחראית על כך היא הרשות להגנת הפרטיות? התשובה לשאלה הזו היא שתלוי את מי שואלים ומתי. ביום ראשון נמסר מהרשות כי היא "מטפלת באירוע האבטחה החמור של חברת אלקטור אבל אינה יכולה להתייחס לעניין תלוי ועומד". מנגד, הרשות הבהירה כי היא לא הכתובת לטענות: "כידוע, שימוש בנתונים שמקורם בפנקס הבוחרים, כפוף למגבלות חוק הבחירות וחוק הגנת הפרטיות, והאחריות לקיום הוראות החוק מוטלת על המפלגות והמתמודדים עצמם, גם לכל הפרה שתבוצע באפליקציה או בידי ספק שירות חיצוני עבור המפלגות או מטעמן".

יום למחרת היא כבר שלחה הודעה לתקשורת בסגנון ג'יימס בונד, מעדכנת כי "מפקחי הרשות להגנת הפרטיות נמצאים ברגעים אלה במשרדי אחת החברות, אשר לפי החשד פנקס הבוחרים עם המידע האישי שבו דלפו ממנה. במקביל, פועלת הרשות מול הגורמים המוסמכים למניעת המשך הדלף, בתיאום עם מכלול הרשויות הרלוונטיות".

אז איזו רשות מבצעת את תפקידה כהלכה? הרשות של יום ראשון או הרשות של יום שני? בשיחה עם "גלובס" הסבירה בכירת הרשות לשעבר שפרשה ממנה ממש לאחרונה כי לא זה ולא זה. לדברי עו"ד לימור שמרלינג מגזניק, לשעבר מנהלת מחלקה ברשות וכיום מנהלת "המכון הישראלי למדיניות טכנולוגיה", האחראים הם בכלל משרדי הפנים והאוצר.

"ועדת הבחירות המרכזית אחראית על דברים כמו תוכן, תעמולה, בוטים, סקרים וכו'. מי שאחראי על פנקס הבוחרים הוא המפקח על הבחירות במשרד הפנים. הוא האחראי על ההפצה של פנקס הבוחרים למפלגות לצורך קשר עם הבוחר", הסבירה שמרלינג מגזניק. אלא שלדבריה "משרד הפנים לא הרים הכפפה למרות שהרשות פרסמה סיכום פיקוח והמלצות שמצביעות על שורת בעיות בהפצה של הפנקס".

"לרשות הפרטיות יש סמכות אכיפה על כלל המשק, אבל כשמדובר בגורם ממשלתי, הוא גם צריך לתעדף ולתקצב את זה", הסבירה שמרלינג מגזניק. לדבריה, "הדרגים הפוליטיים והמקצועיים צריכים לרצות בזה ולדחוף את זה, כי רשות הפרטיות לא יכולה להטיל עליהם קנסות. גם מערך הסייבר הוא לא גוף אכיפה, אלא גוף הנחיה".

אז מי כן אחראי? על פי שמרלינג מגזניק, הכתובת היא בכלל משרד האוצר לצד מי שאחראים על חלוקת התקציב במשרד הפנים. מבלבל? צודקים.

אלא שכדי למנוע הישנות מקרים כמו פרצת האבטחה באלקטור, בכלל לא מוכרחים להמתין שממשלת ישראל תתאפס על עצמה. כדי שהאחריות לא תמשיך ליפול בין התירוצים של שלל הגופים המעורבים, לא חייבים שהממשלה תמנה את אחד הגופים הרלוונטיים לכתובת מרכזית. לדברי שמרלינג מגזניק, קיים פתרון טכנולוגי: "יש לייצר עבור המפלגות פלטפורמה שתאפשר מדרג שימוש, שתאפשר למפלגות גישה למידע באופן מאובטח עם ניטור לגבי מי עושה מה, למי המידע נמסר ואפילו אוסר על העברה לגורמים מסוימים או מגביל את הגישה לאחרים".

"אין מעקב על הפצת המידע"

כך, לדבריה, מצד אחד "יתאפשר למפלגות לעשות מה שהן רוצות", אבל מצד שני "יצטמצם את היקף ההפצה של המידע בצורה לא מנוהלת ולא נשלטת ולא נעקבת". בעיה נוספת היא ש"כאשר אין תיעוד, גם אין יכולת לתחקר אירועים בדיעבד. המאגר יכול להיות כבר אצל אלף גורמים אחרים ואף אחד לא יידע. בהקשר של בחירות, אף אחד לא יודע מה קרה עם קובץ פנקס שהמפלגות קיבלו. אולי הוא הותקן על מחשב להשכרה או שהפעילים לקחו אותו הביתה?".

האם הפיתרון של שמרלינג מגזניק הוא הנכון והראוי? לכאורה נשמע כמו פיתרון מצוין. כמו שאנו משתמשים בשירותי ענן כמו אלה של גוגל ומיקרוסופט לאחסון וניהול המידע הפרטי והארגוני שלנו, כך גם את מאגר המידע על הבוחרים אפשר להחזיק בענן עם כל אמצעי האבטחה והניהול המתוחכמים שמציעות חברות הענן הגדולות - אמזון, מיקרוסופט וגוגל.

לחלק למפלגות התקן זיכרון עם כל מאגר המידע על הבוחרים בישראל, ולאפשר להן למסור אותו לידיהן של חברות טכנולוגיות שלא הוכיחו כי הן עומדות בסטנדרטים בסיסיים של אבטחה, זו רשלנות והפקרות. השאלה רשלנות והפקרות של מי? של פקיד או רשות כאלה ואחרים, או שמא של אזרחי ישראל שממשיכים לשתוק לנוכח השיתוק שאחז בממשלה שלהם?