בלוגים ומאמרים 

משפט וטכנולוגיה – סייבר סקיוריטי בענף הרכב

מאת עו"ד ברק קמיר

הקדמה

בבלוג זה אבחן את ההתפתחות הטכנולוגית בעולם הרכב ואת הסיכונים שנובעים מכך במרחבי הסייבר. מרחב הסייבר, הנקרא גם "המרחב הקיברנטי", הינו מרחב מטאפורי של מערכות מחשב ורשתות מחשב בו נאגרים נתונים אלקטרוניים ומתבצעת תקשורת מקוונת ואינטראקטיבית ללא תלות במיקום הגיאוגרפי של המשתמשים בו. מרחב זה מקיף את תשתיות האינטרנט, רשתות תקשורת, טלפונים, מאגרי מידע, מערכות פיקוד בקרה ושליטה ומערכות חיוניות נוספות. מרחב הסייבר הינו חלק אינטגרלי מכל אחת מזירות החיים שלנו, וכיום כמעט כל שירות ציבורי או פרטי שאנו מכירים תלוי בחלקו או במלואו בשימוש במחשוב, תקשורת מחשבים ומערכות מידע ממוחשבות. התפתחות הטכנולוגיה בשנים האחרונות מצד אחד מאפשרת לנו מבט אל העתיד הקרוב, בו הרוב המוחלט של המכשירים בהם אנו משתמשים ביום יום יהיו מחוברים עצמאית לאינטרנט או בעלי יכולת לתקשר אחד עם השני. מצד שני, לצד אותם היתרונות והייעול שמאפשרות המערכות הממוחשבות נוצר איום חדש – איום הסייבר. איום הסייבר מתבטא בעיקר במתקפות זדוניות המבוצעות דרך המרחב הקיברנטי המכוונות לצורך שיבוש, השבתה, הרס, שליטה לא מורשית, גניבת מידע ופגיעה במידע.כיום איומי הסייבר הם כבר איום ממשי אשר כל מדינה לוקחת ברצינות. בישראל החל לפעול בשנת 2017 מערך הסייבר הלאומי, מכוח החלטת הממשלה 2444 משנת 2015, אשר פעילותו באיסוף וטיפול במידע לשם איתור וטיפול בתקיפות סייבר. התקדמות נוספת בנושא זה במדינת ישראל הינה בהצעת החוק שפורסמה השנה (2018) - חוק הגנת הסייבר ומערך הסייבר הלאומי. תזכיר החוק מפרט על איום הסייבר הצומח בעולם ודרכי ההתמודדות איתו במדינת ישראל, היערכות לקליטת רגולציות בנושא ומפרט על ייעודו ותפקידו של מערך הסייבר הלאומי ומהם זכויות הפעולה שלו. לרוב, התקנים החלים בישראל בתחום אבטחת המידע הינם תקנים בינלאומיים שאומצו על ידי מכון התקנים הישראלי והינם מפורטים במסמך ממשלתי של מערך הסייבר הלאומי.המודעות לאיום זה קיימת ברחבי העולם, כך בשנת 2015 המליץ הOECD למדינות הארגון לגבש מדיניות הגנת סייבר הכוללת התמודדות עם הסיכונים במרחב הקיברנטי. בחודש מאי 2018 נכנסה לתוקף חקיקה של האיחוד האירופי המחייבת את חברות האיחוד לגבש מדיניות הגנת סייבר, לקבוע אסדרה לתשתיות קריטיות ולהקים מרכז טיפול לאומי באירועי סייבר. בנוסף, בשנת 2018 קבע הפורום הכלכלי העולמי כי הסייבר הוא אחד מחמשת הסיכונים הגדולים בעולם והמליץ להגביר את ההיערכות לאירועי סייבר.

איומי הסייבר אכן נוגעים במגוון תחומים בימינו, אך כאן אתמקד דווקא באיום הסייבר בענף הרכב. ראשית, הטכנולוגיה הבולטת ביותר בתחום הינה הרכב האוטונומי הצפוי לעלות על הכביש בשנים הקרובות, כאשר בבלוג זה לא אסקור את טכנולוגיית הרכב האוטונומי, אך היא מכילה את החידושים הטכנולוגיים המוצגים בו, ועל כן גוררת עימה בעיות משפטיות דומות.  כיום, עם התפתחות הטכנולוגיה ברכבים, כמעט ולא קיים רכב אשר אינו מנוהל על ידי מחשב פנימי שמנטר מידע ונותן הוראות לכלל חלקי הרכב. לא פעם נתקלנו בסרטים בהם רואים השתלטות עוינת מרחוק על רכב נוסע שגרמה לנעילת הברקסים או גרמה לו להאיץ ללא רצונו. איום זה איננו כבר רק סצנה בסרט, הוא ממש כאן. כך, בשנת 2015 הצליחו שני חוקרים לפרוץ לרכב של חברת Jeep ולשבש מערכות חיוניות ברכב. הפריצה נעשתה מסלון ביתו של אחד החוקרים וכוונה כלפי ג'יפ מדגם צ'ירוקי אשר נסע ברחובות סיינט לואיס, במרחק רב מהחוקרים. החוקרים מסבירים כי השליטה במערכות הרכב התאפשרה באמצעות פריצה למערכת המולטימדיה, שבה מצאו חולשה. אותה פריצה למערכת איפשרה להם לשכתב את הקושחה (firmware) של מערכת הרכב הראשית וכך לשתול את הקוד שלהם שמאפשר שליטה בלוח המחוונים, מערכת הבלימה ומערכת ההיגוי. כיום, כאשר יותר ויותר חברות רכב ומדינות מבינות את גודל איום זה,ענף הסייבר סקיוריטי בתעשיית הרכבמתפתח בתאוצה וניתן לראות מספר רב של חברות סטארט-אפ אשר מנסות למצוא פתרון לאיום זה וסכומים גדולים מאוד המושקעים במחקר ופיתוח.

​

הטכנולוגיות בתחום הרכב:

כאשר נבחן את החידושים הטכנולוגיים בתעשיית הרכב נראה כי הבולט ביותר מתמקד בטכנולוגיית הרכבים המקושרים(Connected Vehicles). רכבים אלו מחוברים באופן עצמאי לאינטרנט כך שיוכלו לשדר ולקלוט מידע לרכבים ותשתיות בסביבה. לכל רכב מקושר המיוצר כיום יש מחשב ראשי המחובר באמצעות 60 חיבורים חוטיים ואל חוטיים המאפשרים לו לקלוט ולשדר את המידע.כניסתה של טכנולוגיה זו תוכל ליצור מהפכה חדשה על הכביש ותביא עימה יתרונות רבים. כך,על פי משרד התחבורה בארצות הברית, כניסת הרכבים המקושרים לכבישים תאפשר למנוע עד כ80% מתאונות הדרכים ואף מעל ל10% מזמן הנסיעה על בכבישים. בנוסף, גם בישראל כבר נערכים לכניסת רכבים אלו לכבישים ומשרד התחבורה עורך ניסויים בטכנולוגיה ומודלים לתקנים ורגולציות שיגיעו עימה.

​

טכנולוגיית V2V(Vehicle 2 Vehicle):מערכת העושה שימוש בתקשורת מבוססת DSRC (Dedicated Short Range Communications), המאפשרת לרכבים "לשוחח" ביניהם באופן אוטומטי ואוטונומי. טכנולוגיה זו היא שם כולל לתפיסה חדשה של תשתית תחבורתית המבוססת על תקשורת Wi Fi לטווח קצר בין מכוניות הנוסעות בכביש. המכונית משדרת באופן רציף סדרה של נתונים לרכבים בסביבתה הקרובה, והן מבצעות עיבוד מהיר של האינפורמציה על מנת לעזור לנהג לקבל החלטות. תכונות ה V2V מאפשרות קליטת ושליחת מידע בנושאי מהירות המכונית, מצב בקרת היציבות, מהירות תנועת המגבים, דלק, לחץ אוויר בצמיגים ולמעשה כל היבט תפעולי של הרכב שמחשב מעבד.

​

טכנולוגיית V2I(Vehicle 2 Infrastructure): בדומה לv2v, מערכת זו מבוססת על תקשורת Wi Fi לטווח קצר (DSRC) והיא מאפשרת קשר בין כלי הרכב לתשתיות (Road Side Units). המערכת משדרת וקולטת מידע בזמן אמת על מצב הכביש, תאונות דרכים, איזורי בנייה, זמינות חנייה וכו'. תקשורת כזו היא חיונית לפעולת כלי רכב אוטונומיים הצפויים לעלות על הכביש בשנים הקרובות, וזאת באמצעות שיתוף וקליטת מידע מהתשתיות על תאונות דרכים, מצב התנועה ותנאי הכביש על מנת למנוע תאונות. בנוסף בתחום האנרגיה, טכנולוגיה תאפשר זרימת נתונים לרכבים האוטונומיים מרמזורים בנתיבי התנועה שלהם, כך שמערכת הרכב תנתח את המהירות האופטימלית ועוצמת ההאצה המומלצות ביותר על מנת לחסוך באנרגיה( דלק\חשמל).

​

טכנולוגיית V2X(Vehicle 2 Everything): טכנולוגייה זו מכילה בתוכה את האמצעים של מערכות הv2v ו- v2i, אך החידוש שלה הינו ביכולת "לשוחח" עם כל מכשיר אלקטרוני בעל גישה לאינטרנט. המערכת אף תוכל לתקשר דרך ענן ולא תצטרך תיווך של מכשיר נייד ברכב.

הדיון המשפטי:

ההתקדמות המואצת של מרחב הסייבר והאיומים הנלווים אליה יצרו מצב בו המשפט והחקיקה מנסים להדביק את קצב ההתפתחויות הללו וליצור פתרונות בהתאם. נראה כי בנושאי אבטחת מידע אחרים מתקדמת ההבנה כי יש צורך בהסדרה משפטית, ותקנים ורגולציות מתחילים להתגבש. דוגמא לכך היא הרגולציה המתפתחת בתחום אבטחת מידע של מכשירים רפואיים שפרסמה רשות המזון והתרופות האמריקאית.

​

דיון משפטי: פרטיות

קושי משפטי המגיע לידי ביטוי כאשר מדובר ברכבים חכמים המקושרים באמצעות אינטרנט הינו הגנה על מידע אישי של משתמשי הרכבים. באמצעות הטכנולוגיות שהוצגו לעיל ברכבים המקושרים, יוכלו חברות הרכב לאסוף מידע באופן רציף על זהות הנהגים, מיקום גיאוגרפי, אופי נהיגה, העדפות הנהג וכדומה. למאגרי מידע אלה שווי כספי רב ועלולים להוות מטרה להאקרים רבים. בעיה זו הופכת לקושי משפטי כאשר המדינה אינה מסדירה חוק\ רגולציה או מאמצת תקנה בינלאומית, וזאת כיוון שאין סטנדרט מוגדר היכול להכווין את אותם עסקים המחזיקים במידע. נניח כי כוחות השוק שלעצמם אינם יספיקו לקבוע את רמת האבטחה הנדרשת ובלי חוק בנושא, הזכות לפרטיות של אזרחים רבים נתונה בסכנה.ניסיון להסדיר נושא זה נעשה במדינת ישראל בשנת 2017 כאשר אישרה ועדת חוק, חוקה ומשפט את תקנות הגנת הפרטיות (אבטחת מידע) המנסות לסגור את הפער הנוצר בחקיקה אל מול השינויים הטכנולוגיים. תקנות אלה קובעות רף של אחריות בהתאם לגודל המאגר וסוג המידע שנשמר בו ואף דורשות ביקורות תקופתיות של גורמים מוכשרים באבטחת מידע. בנוסף, כאשר מדובר באיסוף המידע באמצעות הרכבים המחוברים, בדו"ח של רשות התחבורה מיוני 2018 ניתן לראות כי מתקיימת ההבנה שיש צורך בפיתוח תקנות ורגולציות שמסדירות איסוף, שימוש, שמירה והעברה של מידע שנאסף באמצעות טכנולוגיית הרכבים המחוברים.הפרה פוטנציאלית נוספת של פרטיות המידע שנאסף, הינו השימוש של חברות הרכב במידע זה ללא ידיעת הנהגים ואף מכירת מאגרי מידע לחברות אחרות. נושא זה של מכירת מידע הכה את הציבור כאשר התברר שנעשה שימוש במידע של 87 מליון משתמשי פייסבוק לטובת קמפיין הבחירות של הנשיא טראמפ. במקרה זה מאגר המידע נוצר מאפליקציה שהזמינה אנשים למלא שאלון, ואגב כך לשתף מידע אישי מהפייסבוק. המידע נמכר לחברת הייעוץ האסטרטגי "קיימברידג' אנליטיקה" שהצליחה להרכיב כ30 מליון פרופילים פסיכולוגיים של אנשים פרטיים במטרה להשפיע על בחירותיהם. כדי למנוע מקרים מסוג זה פותחה הרגולציהGDPR(General Data Protection Regulation) ונכנסה לתוקף ב25 במאי 2018. האסדרה הכללית להגנה על מידע היא אוסף של הוראות מחייבות שהוסדרו על ידי הפרלמנט האירופי, מועצת האיחוד האירופי והנציבות האירופית על מנת להגן על מידע אישי המוחזק בידי חברות או ארגונים באיחוד האירופי. רגולציה זו אינה רלוונטית רק לתושבי האיחוד האירופי אלא מרחיבה לכל חברה אשר נותנת שירותים לאזרחי האיחוד(גם שירות חינמי) או מחזיקה במידע של תושבי האיחוד. הסנקציות מהפרת התקנה וההרתעה שהן יוצרות על החברות יש בהם כדי לפתור את הבעיה ולמנוע איסוף ושימוש במידע פרטי ללא ידיעה והסכמה של המשתמשים.

​

דיון משפטי: נזיקין

התפתחויות טכנולוגיות חדשות בתחום הרכב וכניסתן של חברות סטרט אפ רבות הביאו לכך שמערכות רבות המגיעות עם הרכב ניתנות להחלפה ושדרוג, ובכך מוסיפות נקודות חולשה למערכות המחשב שלו. לדוגמא, שדרוג מערכת השמע נהפך לסטנדרט ואנשים רבים מחליפים את מערכת הרדיו הרגילה למערכת מולטימדיה מתקדמת. את מערכת המולטימדיה המשודרגת ניתן למצוא בכמעט כל רכב והיא מאפשרת חיבור עצמאי לאינטרנט באמצעות כרטיס סים המותקן בה. לרוב מערכת זו מבוססת על פלטפורמה של אנדרואיד או מערכת ios של אפל, ובכך מאפשרת כניסה לאתרי אינטרנט ולהורדת אפליקציות. דוגמא נוספת לריבוי רכיבים שאינם מקוריים היא הצ'יפ של הסטארט אפ הישראלי Engie. אותו צ'יפ מתחבר למחשב הרכב ומשדר לסמארטפון על תקלות שונות ברכב, אוסף מידע על המתח במצבר, בודק לחץ שמן, צריכת דלק ועוד. המערכת של Engie מתחברת לחיבור הOBD(On Board Diagnostics ) ברכב אשר מאפשר את אותו חיבור למחשב הרכב וגילוי התקלות, ואף נמצא ברוב חברות הרכב בעקבות החלת תקן OBD 2 המחייב זאת. חיבור זה אמנם קיים ברוב כלי הרכב עקב התקן אך זהו חיבור המחייב גישה פיזית אליו, וזאת בשונה מהאפליקציה של חברת Engie המאפשרת להאקרים לנצל נקודת כניסה נוספת למחשב הרכב דרך האינטרנט.לכן, בעקבות ריבוי הגורמים והחברות השונות המספקות טכנולוגיה לרכבים, מתקיים קושי משפטי בקביעת האשם כאשר רכב נפרץ ונגרם נזק מרכיבים שאינם מקוריים. במקרה של פריצת רכב מסוג ג'יפ צ'ירוקי שנכתב לעיל הפריצה הייתה דרך מערכת המולטימדיה המקורית של הרכב, אירוע אשר גרם לתביעות נגד חברת ג'יפ ( Brian Flynn vs Chrysler Group LLC). כיוון שהמערכת הייתה מקורית לא מתקיימת שאלה לגבי האשם בחולשת אבטחת המידע, אך מה יקרה כאשר הפריצות ייעשו דרך מכשירים של חברות שאינן מקוריות? בהיעדר פסיקה והלכות בנושא ייאלצו השופטים להתמודד עם תחום חדש הנמצא בתחום האפור.לפי דעתי, גם בהתקיים רגולציות בנושא יהיה קושי רב בפסיקה כיוון שמקרים אלו כוללים בתוכם גורמים רבים, וחלוקת הנטל של כל אחד מהם במקרה של נזק ייקבע על פי הלכות בית המשפט שידונו בנושא בשנים הקרובות. קושי נוסף בקביעת אשם נזיקי יכול לקרות עם כניסת רכבים המצויידים בטכנולוגיית v2v,v2i,v2x. נראה כי בישראל ובמדינות העולם מתקיימת היערכות וציפייה של הממשלות לקליטת הטכנולוגיה בשל יתרונותיה הרבים, אך לא משפטית. ההיערכות בישראל ובעולם כוללת את בחינת הטכנולוגיה, קליטתה באמצעות תשתיות, רגולציה לחיוב הטכנולוגיה בכל רכב מיוצר ואף בחינת סוגיית אבטחת המידע. מצד שני, במחקרי לא מצאתי היערכות משפטית לקביעת אשם נזיקי כאשר רכב שנפרץ מצליח להדביק רכבים בסביבתו באמצעות תקשורת v2v ולגרום לנזקים ברכוש ואף לנזקים גופניים.תרחיש מסובך ומפחיד אף יותר הינו פריצת האקריםלמערכת רכב מסויים ובאמצעות טכנולוגיית v2iלהשתמש בו על מנת לשבש מערכות תשתית חיוניות(למשל מערכת הרמזורים). כך, יכול להיווצר מצב בו רכב של חברת X הדביק רכב מחברת Y שגרם לתאונה ולנזק של רכב Z. האם הנטל יהיה על חברות הרכב, חברות אבטחת הסייבר הפרטיות או שמא על הנהגים שרכבם נפרץ מלכתחילה ושימש ככלי בידי האקרים.לפי דעתי הסוגייה הנזיקית בנושא זה הינה הסוגייה המשפטית הבעייתית ביותר בשל ריבוי הגורמים השונים העלולים להוות נקודות חולשה עצמאיות. לדעתי קשה לפתור נושא זה באמצעות תקנים ורגולציות כיוון שקיים מספר עצום של תרחישים שיכולים לקרות בעלי ראש נזק דומה, כך שחלוקת הנטל הנזיקי בכל אחד מהם יהיה שונה. להערכתי, כאשר תיכנס טכנולוגיה זו, מערכת המשפט תתפתח בנושא "תוך כדי תנועה" ותיצור הלכות שיכללו מבחנים משפטיים שיקבעו כיצד לחלק את הנטל הנזיקי על כל אחד מהצדדים.

​

דיון משפטי: פלילי

כאשר מדובר בהיבט הפלילי של פריצה למערכות המחשב של הרכבים וגרימת נזק נוכל לפנות לחוק המחשבים. חוק זה מגדיר מהו "מחשב" ומהו "חומר מחשב" ומפרט מהן הפעולות האסורות הגוררות לענישה פלילית ומהי העוולה הנזיקית בנושא. החוק אמנם משנת 1995 אך כיוון שברכבים החדשים רוב מערכות הרכב הן מערכות מחשב ופריצות הסייבר נעשות באמצעות חדירה למערכות אלה, נוכל להחיל את סעיפי החוק על תחום אבטחת המידע לרכבים. על פי חוק המחשבים מספיקה העובדה כי הייתה חדירה למחשב שלא כדין על מנת לקבוע דין מאסר של שלוש שנים, כאשר חדירה לחומר מחשב על מנת לבצע עבירה אחרת דינה חמש שנות מאסר.כאשר נשווה למשפט בחו"ל,נראה כי בבריטניה קיים חוק מחשבים דומה המגדיר מהי מערכת מחשב ואת איסור החדירה אליו. סעיפי חוק המחשבים הבריטי הינם דומים מאוד לחוק הישראלי ואניח כי בהיעדר חוק ספציפי הנוגע לחדירה למחשב של כלי רכב, יעשה שימוש בחוק המחשבים בבריטניה. הבעייתיות בנושא זה הינה כי אמנם מתקיימים חוקים המאפשרים עונשי מאסר לפושעי הסייבר בעולם הרכב, אך עצם העובדה כי פשיעת סייבר יכולה להיות ממיקום גיאוגרפי מרוחק תוך שימוש בתוכנות המאפשרות לטשטש עקבות במרחבי הסייבר מביאה לכך שרבים מהפושעים כלל אינם נתפסים. בזמן האחרון מתקיימת מגמה של חברות שנפגעו קשות מפשעי סייבר, לקחת את החוק לידיים ולרדוף אחרי אותם האקרים ולצמצם נזקים. מגמה זו תביא לעלייה בתפיסת הפושעים ולהעמידם לדין, אך זוהי מגמה של חברות פרטיות וקשה להניח שיהיה מי שיגן באופן דומה על האינטרסים של האדם הפרטי.קושי זה מתבטא בצורה הטובה ביותר בנתונים של ממשלת בריטניה, בה הצליחו להרשיע בפשעי מחשב רק 45 אנשים בשנת 2014 וכ61 אנשים בשנת 2015.

​

סיכום:

כיום, לתחום הסייבר סקיוריטי בענף הרכב אין מודעות מספקת כפי שיש לתחומי סייבר אחרים, אך ממחקר זה נראה כי לא בצדק. הטכנולוגיות שהוצגו לעיל צפויות להתקיים בכל רכב חדש שיוצא מהמפעל, ולצד היתרונות הרבים שהן יספקו מתקיימות חולשות רבות העלולות לסכן אותנו באופן יום יומי על הכביש ואף בתור הולכי רגל.  התפתחות נושא זה הביא את מדינות העולם לדון בסכנות הצפויות ולפתח מודלים לרגולציות שייכנסו לתוקף עם כניסת הטכנולוגיה. כאשר מדובר בתקנים של אבטחת מידע אנו לא נתקלים בקשיים חדשים כיוון שתקנים אלה כבר קיימים וניתן להחיל אותם על כל תחום סייבר סקיוריטי קיים, אך לדעתי תקן אחיד בנושא יאפשר ביטחון שכל כלי רכב המיוצר ברחבי העולם מוגן ברמה שווה. כפי שהצגתי לעיל, הערכתי היא כי הבעיה המשפטית המרכזית תהיה בתחום הנזיקי וכי שופטי העתיד צפויים להיתקל בנושא שלא נדון מעולם. הקושי בדיון בנושא שכזה הוא שיש צורך בהכרת הטכנולוגיה על מנת לקבוע מהם המבחנים המשפטיים שידונו בבית המשפט וצפוי שתהיה עזרה רבה של מומחים בתחום. לדעתי מקרי הפריצה לרכב ויצירת נזק מכך יהיו מעטים בעולם ויהיה שימוש רב במשפט המשווה. על אף שתחום זה אינו מוכר בציבור, חברות סטרטאפ רבות החלו לצוץ וחברות הרכב משקיעות כסף רב (837מליון דולר עד 2024)על מנת למנוע את האסון הבא.

לסיכום, הטכנולוגיה הגדולה הבאה תהיה בעולם הרכב והיא תיכנס לפעולה מהר יותר ממה שאנחנו מצפים וממה שאנחנו יכולים להתכונן. תחומי משפט וחוקים חדשים, ואולי אף קורסים יעודיים בלימודי המשפטים ינסו לתת מענה הולם בעתיד.