פורסם דו”ח הממונה על היישומים הביומטריים מס’ 12

מערך הסייבר הלאומי/היחידה להזדהות וליישומים ביומטריים פירסמה (18.5.2022) את הדו”ח מס’ 12 שלה שהוגש לשרת הפנים איילת שקד.

“דו”ח הפיקוח ה- 12 של הממונה על היישומים הביומטריים, מתמקד בנושאי פיקוח על התנהלות פרויקט תיעוד לאומי חכם לרבות הנפקת תעודות הזהות החכמות, הדרכונים ומסמכי הנסיעה החכמים משולבי ביומטריה, במהלך התקופה מאפריל 2021 ועד למארס 2022 וכן בהמלצות על מדיניות בתחום היישומים הביומטריים”.

“טיוטת הדו״ח הועברה להתייחסות מקדימה לגופים הבאים: רשות האוכלוסין וההגירה, הרשות לניהול המאגר הביומטרי הלאומי, משטרת ישראל, צה”ל ומימשל זמין. התייחסות, ככל שהיו, שולבו בדו”ח.

“לדו”ח זה, המסווג בלמ”ס, מצורף נספח שסיווגו סודי. הדו”ח המלא כולל הנספח הסודי מועבר לראשי הרשויות אליהן הוא מתייחס וכן לוועדת הכנסת המשותפת ליישומים ביומטריים העוסקת על פי החוק בנושאים המסווגים בפרוייקט”, כותב רועי פרידמן הממונה על היישומים הביומטריים.

הוא מציין כי “נכון לחודש פברואר 2022 מכיל המאגר הביומטרי את נתוניהם הביומטריים של כ- 8.5 מיליון איש. רשות האוכלוסין הנפיקה כ- 7.4 מיליון דרכונים ביומטריים וכ- 5.3 מיליון תעודות זהות ביומטריות. בעת הזו כ- 52% מכלל בעלי תעודות הזהות מחזיקים בתעודות זהות ביומטריות”.

יצויין כי היחידה להזדהות וליישומים ביומטריים במערך הסייבר הלאומי היא גורם יוזם, מקדם ומסדיר של נושא ההזדהות הדיגיטלית והביומטרית. הזדהות מהווה כיום את נתיב הפריצה השכיח ביותר בעולם הסייבר, ועל כן החשיבות באבטחת התחום, תוך מתן מענה שלם הכולל התייחסות לנוחות ופשטות השימוש ושמירה על פרטיות המשתמשים.

בדו”ח נאמר בין השאר:

+ “העברת ‘תמונות פנים באיכות פחותה’ מרשות האוכלוסין ל’גוף ממלכתי אחר’ ואגירתן שם, בניגוד לחוק: נמצא כי במשך תקופה ממושכת הועברו תמונות של תושבים ישראלים ממערכת ביקורת הגבולות, אל גוף ממלכתי אחר, כחלק מתהליכי העבודה השוטפים בביקורת הגבולות. לאורך התקופה נאגרו בידי הגוף הממלכתי הנוסף מיליוני תמונות. מיד עם פנייתו של הממונה בנושא, עצרה רשות האוכלוסין את העברת התמונות. נושא זה נמצא כעת בבדיקה, והוא מופיע בפירוט נוסף בנספח המסווג לדו”ח זה.

+ “בעת קידום החקיקה כאמור, יש לקחת בחשבון היבטים רוחביים בפרויקט ובפרט את קיומם של מספר מאגרים ביומטריים מקבילים (אם כי לא זהים) ברשות האוכלוסין, בביקורת הגבולות וברשות המאגר. בשל התארכות הזמן ועד לגיבוש ומימוש פתרון מערכתי, על רשות האוכלוסין לבצע ניתוח של הסיכונים הנובעים מהחזקת ריבוי מאגרים ביומטריים של תמונות לצד פרטים דמוגרפיים רבים, ולפעול לגידור סיכונים אלה, לרבות באמצעי אבטחת מידע מתאימים.

+ “היערכות להנפקת תיעוד לכלל האוכלוסייה בישראל עד שנת 2024 – המטרה הראשית של החוק היא הנפקה של תיעוד אמין לכלל תושבי ישראל. התארכות תהליך ההנפקה, וקיומן של תעודות זהות ישנות (“כחולות”) בידי התושבים, הן חולשה חמורה בפרויקט, שמאפשרת לגורמי פשיעה וטרור להזדהות באמצעות תיעוד חלש וקל לזיוף, וכן לדחות או לעכב את מינוף התיעוד החכם לטובת הנגשת שירותים דיגיטליים לכלל האוכלוסייה. היעד המקורי לפריסה המלאה בהנפקת התיעוד החכם נקבע לשנת 2022.  אולם, מאילוצים תפעוליים של רשות האוכלוסין ומשיקולים תקציביים, הוחלט על דחיית המועד לשנת 2024. דחיית הפריסה המלאה כאמור אינה מצב אופטימלי, ובכל מקרה יש צורך לוודא כי לא תהיה דחיה נוספת. הרשות התבקשה להציג תכנית היערכות אשר מימושה יביא לעמידה בלו”ז החדש והימנעות מהארכת מועדים לאחר שנת 2024.

+ “מערכת ביומטרית דורשת כיול תקופתי על מנת לוודא את תקינות ההשוואה. בפועל, הכיול בוצע לאחרונה רק בשנת 2018 . על הרשות לניהול המאגר הביומטרי לבצע כיול של המערכת בהקדם האפשרי, על מנת להבטיח את האמינות המרבית של המערכת הביומטרית.

+ “במשך חודשים ארוכים מסרבת הרשות לניהול המאגר הביומטרי להעביר למשרד הממונה מסמכים הנוגעים להיבטים טכנולוגיים/ביומטריים של המערכת המרכזית של הרשות. מדובר במסמכים מורכבים הדורשים לימוד ועיון מעמיקים על ידי מספר בעלי תפקיד בצוות הפיקוח. לשיטת הרשות, עצם הוצאת המסמכים ממערכות המחשוב ברשות הינה סיכון בהיבטי אבטחת המידע, ועל כן הדרך היחידה לעיין במסמכים היא הגעה למשרדי הרשות. עמדה זו אינה מקובלת, שכן ניתן להעביר את המסמכים, תוך הנחיית סייבר מתאימה, ללא יצירת סיכון. הממונה פנה למשרד המשפטים למתן חוות דעת שתתייחס לחובת הרשות כגוף מפוקח למסור מסמכים הנוגעים לפיקוח.  עמדה זו של רשות המאגר, המגבילה גישה למסמכים ונהלים, אינה מאפשרת מימוש תקין של סמכות הפיקוח”.