לאחרונה התבשרנו שמייקרוסופט תמקם שרתי נתונים בישראל שיאפשרו לה לתת שירותי ענן לארגונים שונים ולהבטיח, שהמידע שלהם יהיה שם, בשרת הישראלי. המאמץ הזה של מייקרוסופט מחזק את הדילמה, האם יש חשיבות למיקומו של אותו ענן שבו מצויים הנתונים שלנו. האם חשוב שהוא יהיה דווקא בישראל? או במילים אחרות – עד כמה ראוי שגורמים בישראל יוציאו מידע אל מחוץ לגבולות המדינה והאם יש מקום להגביל העברה כזו?

התשובה לשאלה הזו מורכבת. מצד אחד גורמים עסקיים רבים, בניהם חברות מרכזיות במשק, כבר העבירו מידע רב שלהם אל עננים המצויים מחוץ לגבולות המדינה. מצד שני, גורמים המצויים תחת רגולציה הדוקה, כמו הבנקים, מוצאים עצמם מוגבלים. כך המפקח על הבנקים הוציא הנחייה המגבילה את האפשרות של הבנקים להוציא מידע אל עננים בחו"ל.

ההגבלה היחידה הקיימת בחקיקה הישראלית על העברת מידע אל מחוץ לגבולות המדינה, מתרכזת בעיקר בשאלת אבטחתו של מידע זה. אין ספק שעננים דוגמת אלו שמספקות חברות הענק, כמו אמזון או מייקרוסופט, מבטיחים הגנה על המידע מההיבט של אבטחת המידע. קריאת ההתחייבויות של חברות כאלו כלפי מי שמאכסן אצלם את המידע מעלה, כי הם אף עולות בקנה אחד עם הוראות תקנות אבטחת המידע הישראליות והוראות הדין המקומי ביחס להעברת מידע לחו"ל. מהבחינה הזו יצירתו של ענן בישראל לא משנה את התמונה.

אבל כאשר מעבירים מידע לחו"ל שאלת אבטחת המידע אינה השאלה היחידה שצריכה להישאל. יש לבדוק, בנוסף לכך, אם המידע אינו כזה, שלא קיים חשש שיתגלה תחת צו של בית משפט או הוראה של רשות חוקית במדינה בה ייאגר. כאשר מידע נמצא תחת תחומה השיפוטי של מדינה אחרת, הוא מצוי גם תחת מערכת החוקים והמשפט של אותה מדינה. אם המידע הוא כזה שארגון או גוף כלשהו, גם כזה שעוין את מדינת ישראל, יכול לגלות בו עניין ובאופן חוקי להביא לחשיפתו, עשויות להיות לכך השלכות משמעותיות על הגורם הישראלי שמאחסן את המידע באותה מדינה זרה, במקרים מסוימים גם על תחומים כמו כלכלה וביטחון. לכן, אפשרות חשיפתו החוקית של המידע צריכה להילקח בחשבון כאשר כל ארגון עסקי או גוף ממשלתי בוחר היכן לשמור את המידע שלו.

בנוסף, החזקת מידע מחוץ לגבולות המדינה מקשה מאוד על הפיקוח עליו. הרי כל מי שהעביר את מאגרי המידע שלו לגורם חיצוני מוכרח שתהיה לו אפשרות לבצע ביקורת פתע בחוות שרתים המחזיקות בו. אך ביצוע ביקורת פתע בחוות שרתים מעבר לים, גם אם הגורם מחזיק המידע היה מאפשר זאת, יקרה והופכת את העברת המידע לענן לבלתי משתלמת.

כאשר מדובר בחברות העוסקות בצרכנים, לא מדובר במידע מהותי שאין להעבירו לחו"ל. אבל כאשר מדובר במידע רגיש, בייחוד של משרדי ממשלה או גורמים פיננסים כמו בנקים, יש לעשות מחשבה נוספת לפני שמעבירים אותו. ישראל צריכה לקחת דוגמא ממדינות, כמו גרמניה למשל, שמבינות את הסכנות ולכן לא מוכנות להוציא את המידע שלהן החוצה. זו הסיבה שמייקרוסופט נאלצה להקים את הענן שלהם בגרמניה, לטובת העניין. ההחלטה להקים ענן גם בישראל מעמידה אותנו באותה עמדה. מייקרוסופט מצהירה, למעשה, שיש הצדקה לגורמים בישראל לא להעביר את המידע שלהם מחוץ לגבולותיה.

אין ספק שעם הקמת הכנסת החדשה, ראוי יהיה שגם המחוקק ייתן דעתו על כך ויסדיר את הנושא בחקיקה. זו ראוי שתקבע בברור, איזה מידע ניתן להעביר לעננים בחו"ל ואיזה יש להשאיר כאן בישראל. אין ספק שחקיקה כזו תביא עוד גורמי ענק מחו"ל להקים עננים בישראל.

הפוסט מיקומו של ענן: בין גרמניה לישראל הופיע ראשון בדן חי ברשת

תהא אשר תהא עוצמת ההקלה, עיסוק הפיקוח על הבנקים בסוגיה רק ממחיש, עד כמה חשובה ומורכבת סוגיית הוצאתו של מידע מישראל אל ענן היושב בחו"ל. העיסוק בסוגיה מעלה, ללא ספק, שאלות רבות. ביניהן השאלה עד כמה ראוי שגורמים בישראל יוציאו מידע אל מחוץ לגבולות המדינה והאם יש מקום להגביל העברה כזו?

התשובה לשאלה הזו מורכבת. מצד אחד גורמים עסקיים רבים, בניהם חברות מרכזיות במשק, שאינם נמצאים תחת רגולטור מפקח כמו הפיקוח על הבנקים, כבר העבירו מידע רב שלהם אל עננים המצויים מחוץ לגבולות המדינה. מצד שני, אל ה"חגיגה" הזו מבקשים להצטרף גורמים מרכזיים יותר, כמו הבנקים ולאחרונה אף נודע שגם המדינה רוצה בכך. האם זה ראוי?

על רצונה של המדינה להעביר מידע של משרדי ממשלה אל עננים המצויים בחו"ל היה אפשר ללמוד ממכרז שהוציא אגף התקשוב להוצאת מידע של רשויות המדינה אל ענן, כאשר לא הייתה במכרז כל הגבלה גם על העברת מידע אל ענן המצוי מחוץ לגבולות המדינה.

ההגבלה היחידה הקיימת בחקיקה הישראלית על העברת מידע אל מחוץ לגבולות המדינה, מתרכזת בעיקר בשאלת אבטחתו של מידע זה. אין ספק שעננים דוגמת אלו שמספקות חברות הענק, כמו אמזון או מייקרוסופט, מבטיחים הגנה על המידע מההיבט של אבטחת המידע. קריאת ההתחייבויות של חברות כאלו כלפי מי שמאכסן אצלם את המידע מעלה, כי הם אף עולות בקנה אחד עם הוראות תקנות אבטחת המידע הישראליות והוראות הדין המקומי ביחס להעברת מידע לחו"ל.

אבל כאשר מעבירים מידע לחו"ל שאלת אבטחת המידע אינה השאלה היחידה שצריכה להישאל. יש לבדוק, בנוסף לכך, אם המידע אינו כזה, שלא קיים חשש שיתגלה תחת צו של בית משפט או הוראה של רשות חוקית במדינה בה ייאגר. כאשר מידע נמצא תחת תחומה השיפוטי של מדינה אחרת, הוא מצוי גם תחת מערכת החוקים והמשפט של אותה מדינה. אם המידע הוא כזה שארגון או גוף כלשהו, גם כזה שעוין את מדינת ישראל, יכול לגלות בו עניין ובאופן חוקי להביא לחשיפתו, עשויות להיות לכך השלכות משמעותיות על הגורם הישראלי שמאחסן את המידע באותה מדינה זרה, במקרים מסוימים גם על תחומים כמו כלכלה וביטחון, לכן אפשרות חשיפתו החוקית של המידע צריכה להילקח בחשבון כאשר כל ארגון עסקי או גוף ממשלתי בוחר היכן לשמור את המידע שלו.

בנוסף, החזקת מידע מחוץ לגבולות המדינה מקשה מאוד בפיקוח עליו. הרי כל מי שהעביר את מאגרי המידע שלו לגורם חיצוני מוכרח שתהיה לו אפשרות לבצע ביקורת פתע בחוות שרתים המחזיקות בו. אך איך מדינת ישראל תוכל לבצע ביקורת פתע בחוות שרתים מעבר לים?

כאשר מדובר בחברות העוסקות בצרכנים, לא מדובר במידע מהותי שאין להעבירו לחו"ל. אבל כאשר מדובר במידע רגיש, בייחוד של משרדי ממשלה, יש לעשות מחשבה נוספת לפני שמעבירים אותו. ישראל צריכה לקחת דוגמא ממדינות, כמו גרמניה למשל, שמבינות את הסכנות ולכן לא מוכנות להוציא את המידע שלהן החוצה. זו הסיבה שמייקרוסופט נאלצה להקים את הענן שלהם בגרמניה, לטובת העניין. ראוי שזו תהיה המדיניות גם בישראל, בייחוד לאור מעמדה בעולם ויחסיה עם שכנותיה.

הפוסט ענן בחו"ל – לא עבור המדינה הופיע ראשון בדן חי ברשת

ההקלה עליה מדובר עיקרה בפטור מחובת הדיווח לפיקוח על הרצון להעביר פעילות לענן ובקשת אישור לכך. כנגד כך מדגיש הפיקוח על הבנקים את החשיבות שהדירקטוריון וההנהלה של התאגיד הבנקאי יגבירו את מעורבותם ביישומי טכנולוגיות מחשוב ענן, תוך דגש כי השימוש בטכנולוגיות אלו מחייב ניהול הולם של הסיכונים הנובעים ממנו.

הפיקוח על הבנקים מעודד את התאגידים הבנקאיים ליישם טכנולוגיות חדשניות תוך ניהול סיכונים נאות, ובכללן טכנולוגיות מחשוב ענן. יישומים של טכנולוגיה זו מאפשרים לתאגידים הבנקאיים, בין היתר, לקדם פיתוח מהיר של מוצרים חדשניים, גם באמצעות שיתופי פעולה עם חברות שונות בתחום, לשפר את השרות ללקוחות, תוך הקטנת הוצאות פיתוח ותפעול ועל-ידי כך לתרום להתייעלות.

החובה לקבל את אישור הפיקוח להעברת פעילות לענן התייחסה ליישומים מסוימים, כגון אחסון מידע רגיש של התאגיד הבנקאי ו/או של לקוחותיו בענן. ההוראה מעבירה את האחריות לניהול הסיכונים אל התאגיד הבנקאי ומחזקת את המעורבות של הדירקטוריון ושל ההנהלה הבכירה. ההוראה העדכנית מתייחסת ליישומי מחשוב ענן שהדירקטוריון נדרש לאשר על-פי מדיניות הבנק כ"מחשוב ענן מהותי". מדיניות הבנק צריכה להגדיר יישומים אלו, כמו גם את היישומים בהם נדרש אישור של ההנהלה. בנוסף, התאגידים הבנקאיים ידרשו אחת לשנה להעביר לפיקוח רשימה מעודכנת של יישומי הענן ורשימה של יישומי ענן עתידיים.

ההוראה העדכנית עדיין לא מאפשרת שימוש בטכנולוגיות מחשוב ענן עבור פעילויות ליבה ו/או מערכות ליבה. עם זאת, במקרים חריגים המפקחת תוכל לאשר שימוש כזה, לדוגמא, במקרה של הקמת בנק דיגיטלי חדש.

הפוסט הפיקוח על הבנקים: הקלות על שימוש הבנקים ב'ענן' הופיע ראשון בדן חי ברשת