| | 14/02/2019

רשות לאומית לאבטחה – חזון או תעתועים / מאת ניר רן

"כנס האבטחה הראשון של ישראל" שהתקיים בתאריך 18 מאי 2015, עסק בשני נושאים מרכזיים אשר גם יש וגם אין קשר ביניהם. הכותרות הרשמיות בתכנית הכנס הן "הסדרת האבטחה בישראל – לאן" ו"הפרטת האבטחה בישראל". ובתרגום לשפת הדיון הפרקטית, הכותרת האחת היא "האבטחה בישראל – מאין באה ולאן היא הולכת" כפי שקרא לכך אברהם רותם בהרצאתו. והשניה – "רשות לאומית לאבטחה – בעד ונגד".
בתיאוריה, בשתי הוורסיות של הכותרות הנ"ל, הקשר בין שני הנושאים אכן קיים. זאת אומרת, אם תופרט האבטחה או אם תוקם רשות לאומית לאבטחה, היא תשפיע למעשה על המגמות של האבטחה ושל העוסקים באבטחה בכל המגזרים. אך הקשר יישאר תיאורטי אם סמכויות הרגולציה ימשיכו להיות מבוזרות – קרי יישארו בעינן. כך או כך, שני הנושאים ראויים לדיון, הראשון כי הוא מקרין על בטחונם של אזרחי ישראל, השני ולו רק כדי להורידו אחת ולתמיד משולחן הדיונים. וגם אם השאלה פני האבטחה לאן, היא אסטרטגית יותר וחשובה יותר משאלת הרגולציה, ולכן הוצגה ראשונה, הרי שהעיסוק בה הוא מורכב מדי ורגיש מדי מכדי שאפשר יהיה לטפל בו ביסודיות מעל במה זו. נקדים איפה ונעסוק כאן בשאלה השניה דווקא.
 
הרָשׁוּת נתונה? 
רעיון "הרשות הלאומית לאבטחה" נזרק לאוויר אי שם בשנות השמונים והוא עולה מאז, מעת לעת ובפורומים שונים, על שולחן הדיונים. דיון יסודי אמיתי, בהשתתפות כל הגופים הרלוונטיים (שהם לכל הפחות משטרת ישראל, צה"ל, שב"כ, מלמ"ב, משרד המשפטים, המשרד לבטחון הפנים, משרד רוה"מ וכמובן משרד האוצר) לא התקיים מעולם, ומאידך הוא גם מעולם לא התייתר – זאת אומרת, אף בר סמכא גם לא אמר "אין לזה מקום, תרדו מזה". היות שאנחנו חיים במציאות פוליטית שבה האינטרס של בעלי תפקידים מתערבב לעיתים עם העניין המקצועי (והציבורי), החשש הוא שאם ימשיכו לדבר על זה, מישהו עלול לזהות כאן הזדמנות להובלת שינוי (ומינוי), שיירשם על שמו, ויחפז לפעול. מה שכנראה מציל אותנו בינתיים מהחשש הזה הוא שישנם גם שחקנים וגורמי כוח, חלקם נמנו לעיל שרתימתם למהלך אינה טריוויאלית.
במה בעצם מדובר ? תמצית טענתם של המצדדים ברעיון ההקמה של הרשות הלאומית לאבטחה היא שבמדינת ישראל הצורך באבטחה הוא אחד והעוסקים בו הם רבים. קרי, קיימים איומים ומולם אינספור יעדים טעוני אבטחה, היות שכך, החלוקה למגזרים אינה מוצדקת ונדרש איגום של משאבים (אנשים, כסף, זמן) - במילים אחרות "מסה קריטית" - במילים אחרות "ריכוזיות", כדי להשיג את המטרה. בעיקר הכוונה כאן היא לריכוזיות בתחומי האסדרה (רגולציה), תורת ההפעלה וההכשרה, ופחות לניהול שגרת האבטחה עצמה אשר בכל קונסטלציה שתהיה היא כנראה תמשיך ותתבצע, ברוב המקרים, על ידי הגופים המאובטחים עצמם.
לצורך הבחינה של הטיעון הזה יש לפרק אותו לשני מרכיביו - שאלת אחידות האיום (ביטוי שונה ל"אחידות הצורך") ושאלת הריכוזיות.
בעיקרו הטיעון המתבסס על אחידות האיום הוא נכון. אבל הוא לא לגמרי מדויק. 
המכנה המשותף הוא אמנם הצורך באבטחה שהוא רלוונטי לכל מתקן, ארגון, מוסד שחל כלפיו איום שהוא יזום על ידי גורם עוין. כאן מתחילה וכאן גם מסתיימת האחידות. בהיבטים של ניתוח הסיכונים קיימים הבדלים מהותיים ביריבים, באיומים, בתרחישי הייחוס ובחומרת הסיכונים החלים על מגוון של יעדים (סיכון הוא ההסתברות לנזק עתידי והוא מתבטא במכפלה של סבירות התרחיש ורמת הנזק שייגרם ממנו).  

אנו נוהגים לאפיין את האיומים על פי מכפלת המוטיבציה והיכולת של היריבים המחוללים אותם – בהתייחס לכל תרחיש ותרחיש. ובכן, בקצוות קיימת שונות בין יריבי טרור המאיימים על יעדים אסטרטגיים של המדינה לבין כאלו המאיימים על ארגונים ומוסדות אזרחיים, לא נפרט כאן אלא דוגמאות להמחשה. היריב המאתגר והקשה ביותר, גם מחמת יכולותיו המובנות וגם בהיותו משוחרר מכבלים של תקציב וסדי זמנים לצורך הוצאת פיגועים אל הפועל הוא "טרור המדינה", קרי שירותי ביטחון של מדינות (כגון איראן) העוסקים בביצוע פיגועים. טרור מדינה הוא רלוונטי יותר כלפי מטרות אסטרטגיות וסמלים לאומיים, והוא רלוונטי בעיקר כלפי גופים ישראליים בפעילותם מחוץ לגבולות המדינה. גם בהתייחס לרמת המוטיבציה של יריבים כאלו או אחרים, הרי שהיא גבוהה לאין ערוך כשהמדובר ביעדים אסטרטגיים או ב"סמלי מדינה", הגם שהיא בהחלט לא נמוכה כלפי יעדים אזרחיים בתוך מדינת ישראל. מאידך, בהתייחס לגופים אזרחיים ועסקיים האיום הפלילי הוא מרכזי בעוד שכלפי יעדים אסטרטגיים וסמלי שלטון האיום הפלילי והארגוני הוא כמעט זניח. לנקודה זו משמעות חשובה נוספת: האסדרה מבוצעת אמנם מהצד של הרגולטור, אבל היא חייבת לראות גם, ואולי בעיקר, את האינטרס של הגוף המאובטח, קרי "הלקוח" עצמו. מצד אחד המטרה העיקרית של הרגולטור היא לתת מענה אל מול איומי הטרור ולצורך כך הוא מחייב את הגוף המאובטח למנות מנב"ט וליישם מערך אבטחה. ומנגד הלקוח - הנהלת הארגון עצמו תופסת דווקא את האיום הפלילי, לרבות עבריינות רכוש, עבריינות ארגונית וכלכלית, איומים על סדר ציבורי ופגיעות בגוף כאיום המרכזי על קיומו ופעילותו, שכן אלו הם האיומים התדירים יותר והם גם המשפיעים ביותר על תדמיתו של הארגון, על רווחיותו ועל יכולתו לתפקד ולמלא את ייעודו. אפשר לראות את זה כניגוד עניינים אבל זה ממש לא כך. הרגולציה מנחה את הלקוח ליישם אבטחה והוא מצידו מנצל את האבטחה הן על מנת "לרצות" את הרגולטור והן לצורך ההתמודדות עם כלל התרחישים והסיכונים, מעשי ידי אדם, המאיימים עליו. קצרה היריעה מלפרט כאן את כלל היבטי הצורך ואת הבדלי התו"ל הנגזרים מהאבחנות הללו. אך מעבר לעובדה שהתמודדות עם איומי טרור מסויימים דורשת התמחויות ותו"לים יחודיים, קיים גם היפוך פרטו באיזון שבין צרכי האבטחה אל מול איומי טרור או אל מול איומי פשיעה, בין יעדים שהם סמלי שלטון, מתקנים ותעשיות בטחוניות מצד אחד לעומת גופים אזרחיים וציבוריים (שכמותית הם הרוב) מצד שני. בהיבטי מודיעין, הכרת דפוסי הפעולה של יריבים והיערכות אל מולם, אין ספק שלרגולטור אחד, שהוא המשטרה, יתרון יחסי מובהק בהתמודדות עם איומי פשיעה ואלימות ולאחר, שהוא שב"כ, יתרון בהתמודדות עם איומי הטרור. היות שקיימים גם איומים וגם אזורי פעולה שהם "משותפים", חילופי המידע ושיתופי פעולה בין הגופים הם כמובן הכרחיים, אך כל הוצאה או הרחקה של אחד מהם, ובוודאי שניהם, מהמשוואה, מה שבהכרח יקרה אם תוקם הרשות הלאומית לאבטחה, עשוי לגלם יותר רווח מהפסד.
ובאשר לשאלת הריכוזיות.

אין מצב שבו לריכוז סמכויות במנהל הציבורי יש רק יתרונות או רק חסרונות. וככלל ריכוז סמכויות או ביזורן יכול להיות מוצלח מאוד בתחום אחד ומאוד לא מוצלח בתחום אחר. זו שוב שאלת האיזון.
היתרונות של ריכוז סמכויות במנהל הציבורי הם: ריכוז מסה קריטית (של משאבים, תקציב וזמן אדם), אחידות הפעולה, ובחלק מהמקרים גם רמה גבוהה יותר של התמחות טכנית וגם ריכוז של סמכויות וכוח.
החסרונות של הריכוזיות הם תמונת הראי של היתרונות: נוקשות, קושי בהובלת שינויים (מעצם קיומו של מונופולין), מעודד בינוניות, ומייצר כוח פוליטי רב (תשומת לב שקריטריון הסמכויות והכוח מופיע גם כיתרון וגם כחסרון).  
גם לביזור הסמכויות ישנם יתרונות וחסרות: היתרונות העיקריים הם שהוא מעודד תחרות ומאפשר גמישות והסתגלות לשינוי, והחסרונות העקריים הם ויתור על אחידות ולפעמים גם חוסר הגינות (אי אפשר להבטיח אותה רמה של הקצאת משאבים ותשומות לכל הגורמים והשלוחות אליהם מואצל הביזור).
סיכומו של דבר שאלת הביזור או הריכוזיות תלויה בתחומי הפעולה ובסביבות הפעולה הרלוונטיות. כך למשל, הביזור של תחומי המודיעין לשב"כ, מוסד ואמ"ן הוא גם טבעי וגם הכרחי ולמרות ששלושת הגופים הללו פועלים להשגת מודיעין, קיימים הבדלים בלקוחות, מטרות ויעדים שמצדיקים ביזור ולא מצדיקים ריכוזיות. ישנן כמובן גם דוגמאות הפוכות.
בכל אופן, ריכוז או ביזור של סמכויות איננו מטרה בפני עצמה, ובהקשר שלנו הקמה של רשות לאומית לאבטחה היא לא מטרה אלא אמצעי אשר אנחנו בוחנים עד כמה הוא יסייע לנו לשפר את השגת המטרה. ככלל, בהתייחס לרשות הלאומית לאבטחה, המושגים ריכוז וביזור קשורים להגדרה של האופן בו המדינה מבצעת את הרגולציה בתחום האבטחה, שהרי כבר קבענו שברמה העקרונית מדובר על מעורבות ולא על הביצוע של האבטחה בפועל.
להקמה של רשות לאומית לאבטחה קיימות גם משמעויות ניהוליות נרחבות. לשאלת התועלת כבר הוצגה לעיל הטענה שלא יהיה בכוחה של הרשות להביא שיפור ממשי לעולם האבטחה, להיפך, היא עשויה ליצור כאוס מקצועי הן מתוך שאיפתה הלגיטימית להתכנס למכנים משותפים והן בריחוק ואולי אף בנתק הבלתי נמנע  שייווצר בין האבטחה לבין המודיעין שהוא נשמת אפה (וכיום הוא מיוצר בכלל הגופים העוסקים ברגולציה).
שאלת העלות מחייבת ניתוח כלכלי מעמיק שיבוצע על ידי מומחים. על פניו נראה שהמציאות הנוהגת בה הנחיית האבטחה מבוזרת למספר גופים מייצרת עלויות, ולא כך היא. יש לזכור שכל אחד מגופי הרגולציה נסמך על תשתית ארגונית שלמה שהיא קיימת ממילא (משטרת ישראל, שב"כ, משרד הביטחון וצה"ל). הקמה של גוף חדש שיקרא "הרשות הלאומית לאבטחה" תחייב בהכרח הקמה של תשתית ארגונית חדשה, גם אתר (location) וגם מאות תפקידים מנהליים ותקורותיהם שיאפשרו לרשות הזו להתקיים – עוד לפני היבוא של אנשי המקצוע הרלוונטיים אל הרשות החדשה. יהיו לכך משמעויות תקציביות כבדות.

לסיכומו של דבר, אל מול הטענה המקצועית התומכת בהקמה של רשות לאומית לאבטחה  (ראה לעיל), עומדות הטענות הבאות:

• לצורך ביצוע האבטחה במגזרים מסויימים נדרשים תו"לים ותחומי מומחיות שהם פחות רלוונטיים בתחומי פעולה אחרים.
• קיימת חשיבות רבה לקרבה שבין גופי המודיעין הרלוונטיים בתחומי הפלילים והפח"ע לבין הגופים העוסקים ברגולציה של האבטחה.
• לא קיים ואקום בתחום הרגולציה כפי שהיא מתבצעת כיום וכל אחד מהגופים המבצעים את הרגולציה נהנה מיתרון יחסי מסוים בזירה בה הוא פועל (משטרה בתחום הפלילי, שב"כ ומלמ"ב בתחום הפח"עי וכו').
• חילופי המידע והתו"ל בין המטות המנחים את האבטחה הם מניע החשוב ביותר לבחינה מתמדת של תורות הלחימה וההפעלה. תנאי לשיפור מתמיד של המערך אל מול היריבים. הם לא יוכלו להתקיים בהיעדר ביזור.
• כפועל יוצא מכך, לאורך זמן האחדת הרגולציה עשויה ליצור סטגנציה והתכנסות מקצועית.
• הקמה של רשות לאומית לאבטחה תחייב הקצאה רחבה של תשתיות ומשאבים שיעלו כסף רב.

לסיכום, ביזור הרגולציה נוצר כסוג של אבולוציה וברירה טבעית שהטתה כל אחד מהתחומים אל אזור הנוחות שלו. ודווקא הניסיון ליצור אחידות באמצעות ההקמה של רשות לאומית לאבטחה איננו טבעי ובסבירות גבוהה יצור קיבעון, דריכה במקום וקפיאה על השמרים. מהלך שמוטב להימנע ממנו.
בלעז מוכר הביטוי "if it ain't broke, don't fix it" – "אם זה לא נשבר אל תתקן את זה". זה יכול היה להתאים לכאן בדיוק. אבל האמת קצת פחות נחרצת. זה לא שבור אבל גם לא לגמרי חסר פגמים. רבות יש לתקן ולשפר, אבל זה עובד ולבטח לא צריך לפגום היכן שזה פועל כדי לתקן  במקום אחר, אולי רק להסתייע ההדדית יותר במלאים של חלקי חילוף. מה שמחבר אותנו מחדש לדיון בשאלה פני האבטחה לאן.

פרטים אודות קורס מבטים