"יש אינטרס עצום לפגוע באמינות חברות הסייבר הישראליות. אין איך למנוע את זה"

מה הטרנדים הבאים בתעשיית הסייבר העולמית? האם מערך הסייבר צריך שיניים בפעילות מול גופים אזרחיים והאם העתירות לביטול אישור הייצוא הביטחוני של חברות סייבר והעיסוק התקשורתי בהן מזיקים לענף? לקראת שבוע הסייבר שנערך השבוע הצגנו את השאלות אלו ושאלות נוספות בפני מי שנחשב אחד מאבות תעשיית הסייבר בישראל - פרופ' ואלוף במיל' יצחק (איציק) בן ישראל.

פרופ' בן ישראל הוא גם מי שעומד בראש הגוף המארגן את הכנס - מרכז הסייבר הרב-תחומי באוניברסיטת תל אביב, והיה גם מי שלפני כעשור הוביל את המהלך שבעקבותיו הוקמו מטה ורשות הסייבר - הגופים שהתגלגלו מאוחר יותר לגוף שהוא כיום מערך הסייבר הלאומי. ואפשר להוסיף לו תואר מעט פחות רשמי: הוא מהאנשים המוערכים בתעשייה זו ונחשב לאחד האנשים שתרמו משמעותית לקידומה והתפתחותה. הכנס נערך גם בשיתוף מטה הסייבר הלאומי ומשרד החוץ.

"מתוך הבלאגן יצאו דברים טובים"

פרופ' בן ישראל, האם תהיה מוכן להסתכן ולחזות אילו טרנדים ישלטו בשנים הקרובות בתחום הסייבר בישראל ובעולם? 
"יש כמה דברים ברורים, אם כי הם לא מכסים את כל הספקטרום. דוגמה ראשונה מגיעה מהתחום שבין סייבר לבינה מלאכותית. המשימה בהגנת סייבר היא לאבחן מי הם הווירוסים מבין אותם מיליארדי הביטים שרצים ממקום למקום. בשיטה הקלסית, (בה עשתה שימוש סוכנות הביטחון הלאומי של ארה"ב - NSA. א"ב) ועליה גם התריע המדליף אדוארד סנודן, הרשויות תפסו סדרת ביטים, פענחו אותה, ואז אם הן זיהו חתימה של וירוס, הן טיפלו בה. הבעיה הייתה שבדרך הן פגעו כך בזכויות האזרח.

"ואז, במטרה לאזן בין פרטיות ויעילות אמצעי האבטחה, אחד הפתרונות, שישראל הייתה המדינה הראשונה שנקטה בו, היה להכניס מכונה שתלמד את הטראפיק של הביטים ברשת - הלא מפוענחים - ותגלה מתי סדרת ביטים מתנהגת באופן אנומלי. כך ניתן היה לצמצם מאוד את הפגיעה בפרטיות.

"כל זה היה לפני חמש שנים. מאז, התוקפים הבינו שיש לנו מכונות בינה מלאכותית שלומדות את הטראפיק ומסננות החוצה את החשודים. מאחר שבסופו של דבר כל אלגוריתם אפשר לרמות, התפתח תחום שנקרא בינה מלאכותית יריבית/נגדית, שבה מחפשים דרך להונות את המכונות. כך מצד אחד אני מפעיל מכונות להגן על הרשת, וה"רעים" מפעילים מכונות ללמוד איך המכונות שלי עובדות כדי להונות אותן. בצעד הבא, שבו אנו נמצאים כיום, אני יכול ללמוד את הדרך שבה הן עובדות ולהילחם גם בהן.

"העניין הוא שפתאום התברר שמתוך הבלאגן הזה יוצאים דברים טובים. כך למשל, אנשי הבינה מלאכותית הנגדית מצאו שאפשר לקחת תמונה של אדם, ולהוסיף לה אלמנטים כאלה שלא ייראו בעין בלתי מזוינת, אך יהיו מסוגלים לבלבל מנגנון כמו גוגל תמונות, כך שימנעו ממנו לזהות את התמונה שלך, ובכך למנוע פגיעה בפרטיות שלך".

מה המשמעות הפרקטית של כל זה?
"שגופים כמו פייסבוק עשויים לרצות לאחסן את התמונות שלנו עם אותם שינויים שלא נראים בעין בלתי מזוינת. ככה הם יוכלו להגן על הפרטיות של הלקוחות שלהם ולהגדיל את המכירות שלהם, שזו כידוע המטרה העליונה של פייסבוק וכל הרשתות מהסוג הזה. זה דבר חדש מאוד, שאני משוכנע שילך ויתפשט בצורה מהירה.

"ואם כבר מדברים על פייסבוק, יש לה אינטרס גדול לא לאבד את אמון הלקוחות שלה. בגלל זה היא מוחקת תכנים מסוימים. אלא שזו בעיה למחוק תכנים, כי אי אפשר להושיב אדם שיקרא הכל, כל הזמן. גם אוטומטית אי אפשר, אז היא בונה על תלונות - דבר שמצמצם את מספר הדברים שצריך למחוק. הנה רק לאחרונה הודיע מנכ"ל פייסבוק מארק צוקרברג שגם הכחשת שואה אסורה. אבל אם יכולתי ללמד מכונה מה זו הכחשת שואה, פשוט לאמן מכונה על טקסטים של הכחשת שואה, בסוף היא תוכל לקרוא טקסטים ולקבוע אם מדובר בהכחשת שואה. לפייסבוק יש עניין בזה, ולכן היא גם תשקיע בזה כסף.

"הרעיון לא בא ממני, ראיתי אותו קורם עור וגידים אצל כל מיני צעירים שבא להם הרעיון לקחת את האלגוריתם של בינה מלאכותית נגדית שפותחה לצורך אחר, ולהשתמש בה לצורך הגנה על הפרטיות. תהיה קפיצה גדולה בדברים האלה.

"בנוסף, ההשתכללות של יכולות הפייק, תביא לפיתוח טכנולוגיות שיזהו אותו, בין אם פייק ניוז, או תמונות או קטעי וידאו מזויפים ב'דיפ פייק'. אלו הטכנולוגיות שמאפשרות להדביק פרצוף אחד על תמונה אחרת באופן שעין אנושית בקושי יכולה להבחין בה.

"התוצאה עשויה להיות שאמנם כל הרשתות ימשיכו להיות מלאות בכל מיני פייקים, אבל לצד כל תמונה, למשל, יהיה מעין 'רמזור' - שיחווה ירוק לתוכן תקין, כתום אם יש חשש שמדובר בפייק ניוז ואדום אם הסיכוי גבוה שמדובר בפייק. אני חוזה שהענף שישתמש בטכנולוגיות בינה מלאכותית נגדית בשביל לשפר את הפרטיות, מאוד יתפתח".

בעקבות אירועי פריצה שראינו בישראל בשנה האחרונה, האם השארנו מרחב וולונטריות גדול מדי לשיתוף פעולה בין המערך למגזר האזרחי? היו כמה וכמה מקרים שהמערך התלונן שאין היענות מספקת מצד ארגונים לסתום את הפרצות שלהם?
"מערך הסייבר לא אחראי על התשתית בישראל, גם לא הקריטית. הוא אחראי על הגנת הסייבר של ישראל, ויש הבדל גדול בין אחריות לפיקוד.

"למשל, מה קריטי יותר מבנקים? אבל הם אמרו 'תקפצו לי מהגג, אין מצב שתהיה לכם גישה למחשבי הבנקים'. כי אם ייוודע בעולם שלשב"כ יש גישה למחשבים של בנק לאומי, אף אחד לא יעשה עסקים עם בנק לאומי. ואז בכלל לא יצטרכו שם התקפות סייבר, כי הרגולציה תהרוג אותם קודם.

"כשהקמנו את רשות הסייבר, לא שינינו את זה ולא אמרנו שהמערך יהיה הרגולטור המנחה של הבנקים. מה הוא יהיה? הגוף המקצועי המייעץ לבנק ישראל, שהיה ויישאר הרגולטור של הבנקים.

"מערך הסייבר אחראי רק על הביטחון, לא על התפקוד של הבנקים. בנק ישראל אחראי גם על הביטחון, אבל מאחר שהוא לא מומחה לסייבר, הוא צריך גוף ייעוץ. אם המערך חושב שיש משהו קריטי בבנקים שצריך לעשות, הוא מדבר עם בנק ישראל, ובנק ישראל לפעמים קונה ולפעמים לא, כי הפגיעה יכולה להיות יותר גדולה מהתועלת. המערך לא יכול להנחות את הבנקים, אלא אם שכנע את בנק ישראל. זה לדעתי המצב הבריא".

זה לא מצב מסוכן שבו מערך הסייבר תלוי לגמרי ברצון הטוב של המגזר הפרטי?
"בתזכיר החוק, שהוא עדיין תזכיר ולא חוק יש לציין, לא נותנים למערך את הסמכות, אלא מעניקים לו סמכות לבקש מהמשטרה שהיא תעשה את זה. הרקע לכך הוא שהיה מקרה, למשל, שבו תקפו מחשב בבית ספר, כדי לבצע באמצעותו מתקפות מסוכנות, אבל הרי יאמרו לנו 'אין לכם סמכות להגיד לנו', 'אתם לא יכולים ללכת לבית ספר לקחת מחשב' ו'מי אתם שתגידו לנו?'".

השאלה אם זה עובד?
"אנחנו כבר עשר שנים במשחק הזה, ועוד לא הייתה עלינו שום מתקפה מהסוג שכותבים עליה בעיתונים. כזו שהצליחה לפחות, כי היו הרבה שנכשלו. אנחנו המדינה היחידה בעולם שלא הצליחו לעשות לה את זה. לציבור יש אמון, רק לא לכל מיני אינטלקטואלים שמתפרנסים מזה".

השפעת תודעה היא האח התאום של תחום הסייבר. שנכנסת דרך הדלת ולא פורצת דרך החלון. אתה חושב שהתחום צריך להיות מטופל תחת אותה קורת גג? האם ישראל ערוכה להיות מודעת אם מופעלים עליה קמפיינים של השפעת תודעה?
"האם צריך להיות חלק מהמערך - כן ולא. מה לא חלק מהאחריות? העיסוק בתכנים עצמם. כדי ליצור אמון, מערך הסייבר לא עוקב אחרי התכנים מלבד הצד הטכנולוגי. מי שעוקב אחר תכנים בתחום הפשע זו המשטרה, ואם זה ביטחון המדינה, אז האחריות היא של השב"כ".

אבל תוכן זה לא רק מסרים. מי אמור לבדוק אם יש טביעת אצבע של קמפיין סיני להשפעת תודעה? לא בהכרח ישירות לבחון את התוכן, אלא לאתר את עצם הקיום של מהלך כלשהו?
"החיתוך הנכון הוא - אל תתעסק בתכנים, אבל כן תתעסק בטכנולוגיות שמסוגלות לזהות את התכנים המשפיעים. למשל, אם כל המסרים מגיעים ממקום אחד. זה לא תפקידו של המערך להוציא תכנים או לחסום אותם, אבל כן תפקידו לדאוג שבמדינת ישראל יהיה פיתוח של טכנולוגיות או רכש של טכנולוגיות, כך שגוף כמו ועדת הבחירות יוכל להשתמש בהן".

מה דעתך על התפיסה שרואה בחברות סייבר מסוימות חלק מהתעשיות הביטחוניות. חלקן גם נמצאות תחת הפיקוח של משרד הביטחון. בחודשים האחרונים הוגשו עתירות שניסו לשלול את רישיון הייצוא שלהן או להכניס אותן תחת הפיקוח של האגף לפיקוח על הייצוא הביטחוני במשרד הביטחון. מה דעתך על אותן עתירות ועל הצעד שנקטו חברות כמו אניוויז'ן ו-וורינט, שפיצלו את הפעילות הביטחונית שלהן מהפעילות האזרחית שלהן?
"זו לא פעילות ביטחונית. הפרשה של NSO היא שהיא מכרה למקסיקו, אחרי שקיבלה את אישור משרד הביטחון. מאוחר יותר התברר שבמשטרה של מקסיקו השתמשו בתוכנה שלא לצורך עליו הצהירו, אלא לצורך מעקב בתוך המדינה אחרי יריבים פוליטיים. הדברים האלה יהיו תמיד. עד לפני שנתיים שלוש היה גל פיגועי דריסה באירופה, מה דעתך שאסור יהיה למכור משאיות לצרפת?

"יש פה אינטרסים עצומים, חלקם מסחריים. חברות ישראליות מהוות 10% מהשוק העולמי ויש אינטרסים עצומים לפגוע באמינות שלהן. אין איך לפתור את זה. זה היה, וזה יהיה".

אחת העתירות נגד NSO נעזרה במידע שהגיע מגוף מחקר בקנדה, שבין הגופים שתומכים בו נמצאות כמה מענקיות הטכנולוגיה. לזה אתה מתכוון כשאתה אומר אינטרסים עצומים?
"זה גם זה, וזה גם אנשים טובים שחוששים באמת. אני גם מכיר אישית אנשים שלא מוכנים להשתמש בפייסבוק, כי זו חברה שעליה הם אומרים שהיא 'מרושעת'. הם אנשים טובים שלא עובדים בגוגל, ואין להם אינטרסים. הם כמו הארגונים הירוקים - יש כאלה שנלחמים למען הסביבה, כי הם מבינים על מה הם מדברים, ויש כאלה שנגררים ואומרים 'בוא נשמור על כדור הארץ! לא נזיק!' דברים כלליים שאין להם מושג על מה הם מדברים.

"גם כאן יש הרבה קונספירציות. המוח האנושי מלא קונספירציות. זה היה תמיד, יהיה תמיד וכל פעם זה זז ממשהו אחד למשהו אחר. אז כן, חלק זה אינטרסים מסחריים שאפשר להבין מה מניע אותם, וחלק זה סתם אנשים טובים שלא רוצים שיכולות מסוימות יגיעו לאנשים רעים. כל עוד יש לנו מערכות משפט סבירות שיפקחו על זה, אז זהו, ככה זה החיים".