יומן אבטחה

פרויקט ממשל זמין מבטיח להביא את הממשלה לאזרח. לאפשר ביצוע פעולות מול משרדי הממשלה ולקבל מידע פרטי מהמדינה באמצעות האינטרנט. עד כאן צעד קטן לעכבר, צעד ענק לאזרחים. אלא שפרוייקט ממשל זמין אינו רק מאפשר נגישות למידע, הוא משנה סדרי עולם בכל הקשור להגנה על המידע האישי שלנו.

במצב הקיים כיום, אדם הרוצה לבלוש אחרי אדם אחר צריך לבצע סדרה של פעולות על מנת לקבל מידע. עליו לפנות למשרדים השונים, להסתכן באיתור, לעתים להכנס פיסית למתחם תוך הצגת מצג שווא וכדומה וכל זאת על מנת לאסוף אינפורמציה ממשרדי הממשלה השונים. בעידן ממשל זמין כל המידע יישב (וחלקו אולי יושב כבר היום) בתוך "כספת" מקוונת. לכאורה מאובטח הרבה יותר מאשר היום. אלא שבפועל, בעוד שאבטחת הגישה למידע הפרטי שלנו תלויה כיום במשרדי הממשלה השונים, עליהם האחריות לאבטחת המידע שלנו ועליהם האחריות במקרה של גניבת המידע, ממשל זמין משנה את התמונה. בעידן ממשל זמין האחריות לאבטחת המידע שלנו חלה עלינו כאזרחים.

(privacy bird, מתוך אתר המספק כלים לבחינת מדיניות הפרטיות של אתרים)

בהנחה וה"כספת" המקוונת אכן מאובטחת ולא ניתן לגשת אליה שלא ברשות* (וזה אגב דורש הוכחה בפני עצמו), הרי שהגנת המידע תלויה בסיסמא ואולי בכרטיס חכם (תעודת זהות חכמה, עליה כבר כתבתי). המפתח נמסר לאזרחים וכל האחריות חלה עליהם. לכאורה מצב אידיאלי, שכן מי יכול לטעון שהמידע יכול להיות מוגן יותר מאשר אם כל אזרח ישמור על המידע שלו. אלא שבפועל אנו יודעים מה רמת האבטחה של מחשבים אישיים, אילו מתקפות ניתן להחיל עליהם ומה בפועל הסיכון לחשיפת מידע מתחנת הקצה. בייחוד כאשר מדובר במתקפות ייעודיות. כלי ההגנה בהם אנו עושים שימוש ביומיום טובים כנגד מתקפות "מדף". אלא שאם בולש אחרינו חוקר פרטי, יהיה לו הרבה יותר קל להכנס אלינו הביתה ולשחק עם המחשב האישי מאשר להכנס לסניף של משרד הפנים או לשחד שם מישהו.

כאשר בוחנים את נושא הפרטיות לאור ממשל זמין מתקבלת תמונה די עגומה של חשש אמיתי לפגיעה בפרטיות האזרחים. שאלה שעולה בהקשר זה הנה מהי אחריות הממשלה לפתרון הבעיה (כלומר, האם הממשלה יכולה לטעון שהיא רק מספקת תשתית וזה לא אחריותה מה שקורה בתחנות הקצה של האזרחים). לטעמי אחריות הממשלה אינה נגמרת במערכת מאובטחת לכשעצמה אלא צריכה לחול לאורך כל מסלול זרימת המידע, עד לתחנה הקצה ואף מעבר. באמצעים של הדרכה אולי, אבטחה וכדומה, אך לא ניתן להרים פרויקט שכזה לאוויר בלי לקחת בחשבון את ההשלכות להגנת הפרטיות.

* כתבתי שלא ברשות ולא פריצה, כי אחד האיומים הוא מנהל רשת שיעשה שימוש לרעה בהרשאות.