הציטוט המטריד שלהלן אינו שייך לגורם ביטחוני מודאג בישראל או בארה"ב, אלא מופיע בהסבר רשמי של מינהל הסייבר הממשלתי של סין, CAC, לרגולציות אבטחת נתוני רכב שנכנסו לתוקף בסין ב-2021. כך נכתב שם: "תעשיית הרכב נוגעת בתחומים רבים... ככל שיכולות עיבוד הנתונים של כלי הרכב החכמים גדלות, כך גם סיכוני אבטחת הנתונים הנחשפים בולטים יותר... הבעיות כוללות מעבדי נתונים בכלי רכב, שחורגים מהצרכים בפועל ואוספים נתונים חשובים... עיבוד בלתי חוקי של מידע אישי רגיש, ללא הסכמת המשתמש... והעברה בלתי חוקית של נתונים רגישים מחוץ למדינה, כמו מיפוי ומיקום, אודיו, וידיאו, נתונים ביומטריים ותצלומים שצולמו מחוץ לרכב ללא הערכת אבטחה... לפיכך, קיים צורך דחוף לחזק את ניהול אבטחת נתוני הרכב ולטפל בסיכונים הביטחוניים".
● צ'רי מעמיקה את אחיזתה בשוק הישראלי - זה המותג החדש שייכנס לארץ
● מה יקרה למחירי המכוניות: המסמך שחושף מגבלות סיניות חדשות
מאז שדברים אלה נכתבו התקדמה טכנולוגיית כלי הרכב החכמים ומקושרי הרשת בקפיצות ענקיות. רכבים אלה כוללים כיום עשרות חיישנים ארוכי-טווח, מצלמות ברזולוציה גבוהה, כולל בתוך תא הנוסעים, מעבדי-על ייעודיים, עם כוח מיחשוב שרק לפני כמה שנים אפיין מחשבים ברמה צבאית, ויכולות יוצאות דופן של אגירה ושידור של נתונים בהיקף של טרה-בייטים ביום.
על כבישי ישראל עלו עד היום כ-350 אלף כלי רכב כאלה מתוצרת סין, כולל כ-102 אלף שנוספו רק מתחילת 2026. בקצב הזה ייתכן בהחלט שהרף של חצי מיליון כלי רכב ייחצה כבר באמצע השנה הבאה.
לפיכך, כאשר בשבוע שבעבר פרסם משרד התחבורה לראשונה קובץ הנחיות להגנת סייבר לרכב, אחרי יותר משנתיים של עבודה. אבל התוצאה הסופית מסתמנת כמקרה קלאסי של "פחות מדי ומאוחר מדי".
המלצות לא מחייבות
נתחיל היישר בשורה התחתונה: הרגולציה הישראלית החדשה אינה מחייבת, אלא כוללת רק "המלצות", שכל גורם בענף יוכל להתעלם מהן מטעמים של עלות או חוסר עניין.
נוסף על כך המסמך מתמקד בהגנת סייבר במישור הלוגיסטי של היבואנים והמוסכים, אבל נמנע מלהתייחס לאיום הפוטנציאלי על הביטחון הלאומי, ואף אינו מתייחס כלל לסוגיית העברת מידע רגיש לשרתים בחו"ל.
אלא שבמצב הנוכחי "המלצות" בתחום זה הן מותרות, שספק אם ישראל יכולה להרשות לעצמה. ישראל נמצאת כיום במלחמה, שבה ה-BIG DATA, שנאסף ממקורות גלויים, כמו החיישנים ההיקפיים במאות אלפי כלי רכב, עשויים לאפשר ליריבים ומעצמות לאסוף מודיעין מבצעי, שלעיתים חומק מעינם הפקוחה של הלוויינים הצבאיים ומשירותי הביון. בקיצור, מדובר באיום פוטנציאלי מהותי, אם כי חשוב לציין, שעד כה לא הוצגה בגלוי שום הוכחה ברורה שהנתונים שנאספים על ידי כלי רכב חכמים, מסין או ממדינות אחרות, אכן משמשים למטרה הזו.
המסמך החדש מטיל את עיקר כובד הגנת הסייבר לרכב בישראל על שתי רגולציות אירופיות בתחום, שמחייבות את היצרנים לנהל סיכוני סייבר בשלב ייצור הרכב ובעדכוני התוכנה מרחוק. כלומר, כמעט כל רכב חדש שנוחת כיום ישראל עם תקינה אירופית, אמור להתמודד עם איומי סייבר בסיסיים נפוצים. הבעיה היא, שהתקנים האלה מחייבים רק כלי רכב בתקינה אירופית, שנמכרים מיולי 2024. כלומר על כבישי הארץ נעים לא מעט כלי רכב "חכמים" ומקושרי רשת, שלא עומדים אפילו בתקנים האלה.
סגירת פרצות במוסכים
החידוש המרכזי והחשוב במסמך של משרד התחבורה הוא ניסיון לסגור פער משמעותי בהגנת הסייבר על שרשרת היבוא והתחזוקה בשלב בדיקות הטרום-מסירה (PDI) של כלי הרכב ומוסכי השירות בישראל.
בין השאר מומלץ ליבואנים הישראלים למסד בארגון שלהם בקרות על סיכוני סייבר, לנטר ולדווח בזמן אמת מתקפות סייבר ולבודד את הרשת הארגונית/תפעולית של המוסכים, כדי למנוע את ניצולה למתקפות על כלי רכב וגניבת מידע רגיש.
נזכיר, שבכל טיפול במוסך ברכב מודרני מבוצע חיבור בין ממשק המידע והנתונים שלו למחשבים של היצרן בחו"ל לצורך דיאגנוסטיקה. העברת נתונים דו-צדדית כזו עשויה להסגיר נתונים רגישים, אפילו אם המשתמשים ברכב נטרלו אותו מממשקי תקשורת.
אפשר להניח שאחת הסיבות שבשלן הסתפק המשרד ב"המלצות", עשויה להיות חוסר רצון להעניק יתרון ליבואניות רכב גדולות ועתירות משאבים, שממילא כבר מפעילות בארגון שלהן מערכי הגנת סייבר פנימיים מושקעים, כולל בתחום השירות, על פני יבואניות קטנות ומוסכים קטנים.
הנחיות מחייבות היו מאלצות את "הקטנים" להשקיע מאות אלפי שקלים ואפילו מיליונים בהגנת סייבר, וזו בעיה למשרד התחבורה שחרת על דגלו את טיפוח היבואנים "הקטנים" ואת הקטנת הכוח התחרותי של היבואנים הגדולים.
כאמור, המסמך אינו כולל הנחיות אבטחת נתונים מפורשות ללקוחות פרטיים וציים. דבר זה היה יכול "לעבור" אם היו קיימות בישראל הנחיות גלויות ורשמיות ברמה הלאומית בנושא, כמו אלה שפורסמו לאחרונה בארצות הברית.
אבל בפועל אין בישראל התייחסות רשמית לנושא, למעט פעילות ממוקדת של גופי ביטחון, שמתבצעת מול ציי רכב של חברות ביטחוניות ומול צי הרכב של צה"ל. הפעילות הזו אכן נשאה פירות בחודשים האחרונים, ו"סיננה" כלי רכב סיניים מציים ביטחוניים, אבל היא נקודתית.
הסיבה עשויה להיות ככל הנראה רגישות היחסים בין ישראל לסין והחשש מצעדי תגמול כלכליים, שיפגעו ביצוא הישראלי אם תופנה אצבע מאשימה לכלי רכב סיניים.
אבל כדי לתת מענה מיידי ומהיר לבעיה הרגולטורים בישראל, לא צריכים "להמציא את הגלגל", וניתן לאמץ גישה של "אם אינך יכול להילחם בהם, תלמד מהם". כלומר, לאמץ את הרגולציה שממשלת סין עצמה מיישמת כדי למנוע מכלי רכב חכמים מלהוות איום על הביטחון הפנימי שלה.
הרגולציה הסינית העדכנית בנושא פורסמה בינואר השנה על ידי שמונה משרדים ורשויות בסין, ומטרתה העיקרית לחסום זרימה "החוצה" של מידע מכלי רכב מקושרי רשת, שנעים על כבישי סין.
הרגולציה מגדירה במפורש נתונים שנאספים על ידי כלי רכב, כמו נתוני מיקום, מצלמות וכו', בתור "טכנולוגיות אסורות ליצוא". נוסף על כך, הרגולציה אוסרת במפורש על שימוש בכלי רכב חכמים בסמיכות למתקנים "רגישים", ומכניסה להגדרה "מידע קריטי" אפילו נתוני מיקום וטעינה, אם הם נאספים "באזורים בניהול צבאי, יחידות תעשייה/מדע/טכנולוגיה של הביטחון הלאומי, ואזורים רגישים חשובים, כמו מוסדות מפלגה וממשל ברמת מחוז ומעלה". כלומר, סין חוששת שדפוסי טעינת רכבים חשמליים ותנועה סביב בסיסים צבאיים ומוסדות ממשל יכולים לחשוף מיקום, היקף פעילות ותזמון פעילות של מתקנים רגישים, לגורם זר שמנתח נתונים בקנה מידה גדול, ומפיק מהם תובנות מודיעיניות.
איסור על נתוני תנועה
הרגולציה הסינית אוסרת על איסוף נתונים על זרימת כלי רכב/הולכי רגל/לוגיסטיקה במשך יותר מ-30 יום, ודורשת למחוק את המידע, מכיוון שנתונים אלה "משקפים פעילות כלכלית ברמת מחוז ומעלה". ממשלת סין למעשה חוסמת מראש אפשרות שגורם זר ישתמש בנתוני תנועה כדי להסיק מודיעין כלכלי-לאומי.
הרגולציה גם מחייבת כלי רכב מקושרי רשת של יצרנים "זרים" להגביל את דיוק המיפוי שלהם, אוסרת על מותגי רכב זרים להעביר נתוני רכב לשרתים בחו"ל, וקובעת שצבירה של זהויות אישיות של נהגים על ידי למעלה מ-100 אלף כלי רכב היא "נכס אסטרטגי". זו גישה סטטיסטית-מודיעינית מתוחכמת יותר מרוב המקבילות המערביות.
האמצעים "ההגנתיים" האלה ביחס לאיסוף נתונים על ידי כלי רכב, שמקדימים את רוב העולם, עשויים ללמד עד כמה ממשלת סין מודעת לפוטנציאל המזיק שלהם. בקיצור, בפני הרגולטורים הישראלים מונחת, אם ירצו בכך, רגולציה "מן המוכן", שסוגרת פרצות באופן יסודי.
