ביקורת מקצועית על תזכיר חוק הסייבר

חוקרים מהמרכז להגנת הסייבר באוניברסיטה העברית פרסמו את עמדתם בנושא תזכיר חוק הסייבר, והתריעו מפני ניסוח המאפשר הקמה של גוף ביטחוני שאינו מפוקח.

חוק הסייבר – יוזמתו של ראש הממשלה, בנימין נתניהו – צפוי להמשיך בכנסת הבאה לעבור את הליכי החקיקה, ומטרתו היא להסדיר את פעילותו של מערך הסייבר הלאומי במשרד ראש הממשלה.

במסמך שפרסמו החוקרים הם כתבו כי "ראש הממשלה יכול מחר למנות למערך הסייבר הלאומי בעלי תפקידים, מבלי שיש לו מנגנון שיפקח על זה. ראש הממשלה יכול, על פי החוק המוצע, לדרוש מראש מערך הסייבר הלאומי, שיבדוק דברים שאותם רוצה ראש הממשלה לבדוק. הדעת נותנת, שאם יבוא אליו ראש הממשלה וידרוש ממנו בדיקה על יריבים פוליטיים – הוא יסרב, אבל הוא יכול להגיד לו לבדוק את זה מסיבה ביטחונית. אז, לראש מערך הסייבר הלאומי אין את האפשרות החוקית והמשפטית להתנגד לו".

ד"ר עמית שיניאק, מומחה למבצעי סייבר והשפעתם על הביטחון העולמי. צילום: פרטי

אחד החוקרים מהמרכז הוא ד"ר עמית שיניאק, מומחה למבצעי סייבר והשפעתם על הביטחון העולמי. בראיון לאנשים ומחשבים אמר ד"ר שיניאק כי "ראשית יש לציין כי לא מדובר בחוק, אלא בתזכיר. שנית, תזכיר החוק נמצא בתהליך, הוא דורש שינויים, וזו עבודה שנעשית".

לדבריו, "בתזכיר המוצע יש שלוש בעיות מרכזיות. האחת, היא שהוא מחבר שלושה סוגי חוקים, הפועלים בשדות שונים. פעם אחת הוא חוק דוגמת חוק השב"כ, אשר מבסס סמכויות של ארגון חדש. פעם שניה, זהו חוק אשר נוגע לפעילות של רגולטור, ולתקנות שהרגולטור נדרש להתקין. פעם שלישית, זהו חוק דוגמת חוק המל"ל, המועצה לביטחון לאומי, שמטרתו לדון בתחומי האחריות של גוף מייעץ. במצב הדברים כיום, תזכיר החוק נוטה להתרכז ולהיות חוק דוגמת חוק השב"כ. ככזה, תזכיר החוק הוא כוללני מדי, וחופף ליותר מדי סמכויות של גופים ומשרדי ממשלה אחרים".

"צריך להמשיך עם מה שעושים ועשו עד כה"

בעיה שנייה הנוגעת לחוק, ציין החוקר, "היא שהחוק מתייחס רק למי שנפגע. הוא מגדיר פעולות על פי מי שנפגע – ולא על פי מי שחולל את התקיפה, את אירוע הסייבר. אמנם, נכון שיש במרחב הסייבר קשיי ייחוס – אבל יש גם יכולות לזיהוי של התוקף, אף אם אלו אינן מדויקות. מצב זה מותיר בערפל את מי שצריך לטפל באירוע – שב"כ, מוסד, משטרה וצה"ל. כך, נוצר מצב בו מצד אחד יש חוק, ומצד שני יש את המציאות היומיומית, בה יש תיאום מצויין בין גורמי הביטחון , המודיעין והאכיפה. יוצא שהחוק מנותק מהווייה הפרקטית". לדבריו, "משל למה הדבר דומה? יש שריפה בבית, והחוק לא מתייחס לסיבת השריפה – האם זו באה בעקבות נפילת טיל קסאם של חיזבאללה, או כי ילד בבית השכן שיחק בגפרורים. החוק לא מחייב יידוע – אלא קובע כי הדבר ייעשה באופן וולנטרי".

בעיה שלישית, ציין ד"ר שיניאק, "היא שהחוק לא עוסק במצבים שונים שהמדינה מצויה בהם. אין בחוק התייחסות למלחמה או למצב חרום. מה קורה כשאין מלחמה? אירועי סייבר לא לבד – ברור שישנן יותר מתקפות נגד גופים בישראל, כאשר אנו פועלים בעזה. יש מצבי חירום שונים. כפי שזה נראה כרגע, תזכיר חוק הסייבר לוקה במחלות התבגרות. אני מעריך שבסוף, הגורמים השונים יגיעו ביניהם לתיאום. כרגע החוק מנותק מהמציאות, סייבר זה לא עולם נפרד. המציאות מלמדת שיש חפיפה בין מרחב הסייבר ומה שקורה בו, ובין בעיות הביטחון של המדינה".

"צריך להמשיך עם מה שעושים ועשו עד כה", סיכם ד"ר שיניאק. "יש להמשיך בתהליכי התיאום, שיפור החוק והתאמתו למציאות. החוק מנותק מהמציאות – המציאות יותר טובה ממה שמוצע בתזכיר החוק".