ראיון השבוע - עם אבי נגר, מנכ"ל סקיורנט

ראיון השבוע - עם אבי נגר, מנכ"ל סקיורנט חברת סקיורנט, המתמחה בייעוץ ויישום מערכות אבטחת מידע, הכריזה בכנס מיוחד על היותה גורם מאשר לתעודות דיגיטליות בישראל והודיעה כי תנפיק החל מהחודש תעודות אלקטרוניות וכן תמשיך לספק שירותי ייעוץ ויישום של מערכי חתימה דיגיטלית מתקדמים ושל מערכי גורם מאשר פנים ארגוניים. אבי נגר, מנכ"ל סקיורנט התפנה לענות לנו על מספר שאלות בנוגע לחוק החתימה האלקטרונית שהתקבל לאחרונה בכנסת ועל משמעויותיו המשפטיות והארגוניות . מהו עיקרו של חוק החתימה האלקטרונית החדש?

לב ליבו של החוק היא הקביעה שבמידה והחתימה הדיגיטלית עומדת בדרישות הקבועות בחוק, שימוש בה במסמך אלקטרוני מהווה תחליף חוקי לחתימה על נייר בכל מקום בו נדרשת חתימה על פי החוק הישראלי.

על מנת שחתימה דיגיטלית תקבל את אותו מעמד נכסף, חייבת להיות מצורפת אליה תעודה אלקטרונית שהונפקה על ידי גורם מאשר (CA - Certification Authority) שעומד בתנאי הפעולה שנקבעו בחוק.

מה תפקידו של הגורם המאשר?

הגורם המאשר מוודא את זהותו של מי שמחזיק באמצעי חתימה דיגיטלי - ובזו המבוססת על טכנולוגיית PKI (Public Key Infrastructure) - מי שהוא בעל המפתח הפרטי. לצורך אימות זהותו של החותם על ידי מקבל המסמך, או לשם שליחת מידע מוצפן לנמען, המידע החשוב הוא קישור המפתח הציבורי לחותם או לנמען. התעודה האלקטרונית המתלווה למסמך מאשרת כי המפתח הציבורי הוא של אדם או גוף מסוים. קשר זה מונע התכחשות של החותם למסמך שחתם בחתימה דיגיטלית.

הגורם המאשר פועל כצד שלישי לעסקה, הנאמן על הצדדים כגוף המזהה. על כן, יש חשיבות רבה למקצועיות ואמינותו. כך נבנה האמון שהצדדים מוכנים לתת בו. בדרך כלל הגורם המאשר אינו מחזיק את המפתחות הפרטיים של האנשים המזוהים על ידו, והאמון שהצדדים נותנים בו הוא לעניין וידוא זהותו של בעל מפתח ציבורי מסוים, ולחוסר היכולת לזייף תעודות אלקטרוניות שהוא מנפק.

מידת האמון שינתן לגורם מאשר כלשהו היא פונקציה ישירה של נוהלי העבודה לוידוא זהות מקבל תעודה, ומערך אבטחת המידע המיושם בגורם המאשר ומגן על מערך ניהול הפקת התעודות ונכונותן.

מי יקבל את המעמד הנכסף של 'גורם מאשר רשום', כלומר זה שרשאי על פי החוק להנפיק תעודות דיגיטליות?

חוק החתימה האלקטרונית קובע כי הגורם המאשר הרשום חייב להיות ישראלי, אמין טכנולוגית, מגובה כספית, ללא רבב פלילי ומגן על המידע על פי חוק הגנת הפרטיות. החל בחודש ספטמבר הקרוב אמור משרד המשפטים לספק הסמכות 'גורם מאשר רשום' למספר מצומצם של גופים, אשר יעמדו בקריטריונים קפדניים.

האם סקיורנט תקבל מעמד של של 'גורם מאשר רשום'?

אנחנו עומדים כבר היום בתנאים הבסיסיים הנדרשים בחוק החתימות האלקטרוניות, ואני מאמין שאנו נקבל את האישור.

שימוש במערכות תוכנה וחומרה מוכרות ואמינות, כגון תוכנת UniCert של חברת Baltimore לניהול גורם מאשר תהיה תנאי הכרחי לאישורו. בנוסף, ינתן משקל רב לנוהלי העבודה ומדיניות האישור שיפעיל הגורם המאשר.

חברת סקיורנט פועלת בתחום החתימה הדיגיטלית מזה כשנתיים בשוק הישראלי בשיתוף פעולה עם חברת Technologies Baltimore, המובילה בעולם בתחום ה - (Public Key infrastructure) PKI. שיתוף הפעולה העסקי והאסטרטגי עמם, בשילוב עם היכולת והניסיון הייחודי והבלעדי בישראל שצברה סקיורנט בהקמת מערכות גורם מאשר (CA - Certification Authority) וביישום פתרונות חתימה דיגיטלית במגזר העסקי מהווים מנוף להקמתו של גורם מאשר ציבורי המקצועי בישראל.

איך ישפיע החוק על ארגונים?

החוק ישפיע בשלב הראשון ליישומו על פעילותם של הגופים המסחריים בבצוע פעילויות סחר והעברת מסמכים בין ארגונים ומוסדות. מבדיקה שנערכה במשרד המשפטים ומשרד המסחר והתעשייה בסוף שנות ה - 90 , אותה ריכז עו"ד יורם הכהן, הסמנכ"ל שלנו לנושא הגורם המאשר, עלה כי המכשול העיקרי לסחר אלקטרוני במערכות סגורות הוא דרישות גופים שלטוניים, כגון מס הכנסה ומע"מ, כי מסמכים מסוימים, דוגמת חשבוניות עדיין יופקו, ימסרו וישמרו ב"מקור נייר". דרישה זו מונעת ניהול כל הפעילות באמצעים אלקטרוניים. חוק החתימה האלקטרונית אמור לפתור בעיה זו. יישום נכון של חתימה דיגיטלית ייתר גם את הצורך בארכיבאות פיזית של מסמכים, מאחר שהחוק נותן מעמד של מקור למידע הדיגיטלי.

מנסיוננו עולה כי המרכיב הקריטי הוא חיבור מערך התעודות הדיגיטליות למערכות הLegacy- הארגוניות. סקיורנט נותנת את מגוון השירותים הנדרשים ליישום מערכת PKI בארגון, החל בהנפקה של תעודות דיגיטליות, הקמה ותפעול של מערכי CA פנים-ארגוניים המבוססים על הטכנולוגיה של Baltimore ומיקור-חוץ של מרכיבי השירות במסגרת הגורם המאשר שלנו.

ומתי נראה את הצרכן הפשוט עושה שימוש בטכנולוגיה זו?

כל אדם פרטי יכול כבר היום לקבל תעודה דיגיטלית, ולהשתמש בה. כל אשר עליו לעשות הוא להגיע למשרדי סקיורנט ולהזדהות במידה הנדרשת על ידינו להנפקת תעודה. ניתן יהיה בקרוב גם להיכנס לאתר האינטרנט של החברה בכתובת :www.securenet.co.il, לתת את הפרטים הנדרשים ולקבל תעודה. מטבע הדברים לא ניתן לייחס לתעודה שתונפק בדרך זיהוי זו אמינות גבוהה, אך היא יכולה להיות שימושית מאוד במקרים רבים.

היישומים המוצעים לצרכן הפרטי הם רבים : חתימה דיגיטלית והצפנת מסמכים באמצעות תוכנות דואר אלקטרוני, גישה לאתרים מאובטחים, שירותי מנוי שונים וכמובן פעילות סחר אלקטרוני במגוון צורות.

זה נראה אולי רחוק אך השימוש בחתימה הדיגיטלית יהיה נפוץ תוך מספר שנים כמו השימוש בטלפון סלולרי. הטכנולוגיה בשלה, והצרכים ליישומה ברורים - הורדת הסיכון הנובע מהאנונימיות ויכולת ההתחזות הדיגיטלית, שהיא גורם מעכב ככל שמדובר בפעילות מסחרית או משפטית.