סייבר ומערכות מידע/הגנת הסייבר במגזר התחבורה

 מבוא .משרד התחבורה והבטיחות בדרכים (להלן - משרד התחבורה) ממונה על קביעת המדיניות בענף .התחבורה וכן על שירותי מערכות התחבורה בים, באוויר וביבשה. המשרד אחראי לתכנון, פיתוח .והסדרה של תשתיות ומערכות תחבורתיות תוך שמירה על הבטיחות שלהן. בשנת 2022 תקציב .פיתוח התחבורה הוא כ-36 .מיליארד ש"ח .מגזר הת חבורה הוא מגזר - על הכולל גופים מסוגים שונים - ממשלתיים, ציבוריים ופרטיים, הפועלים .במגוון תחומים: התחבורה הימית, התחבורה היבשתית, התחבורה האווירית, התחבורה הציבורית, .התשתיות התחבורתיות והתחבורה החכמה (להלן - הגופים). כמו כן חלק מהגופים מוגדרים .כתשתיות מדינה קריטיות (להלן - גופי תמ"ק) ובהם רכבת ישראל בע"מ (להלן - רכבת ישראל) .וחלק מנמלי הים: חברת נמל אשדוד בע"מ (להלן - נמל אשדוד) וחברת נמל חיפה בע"מ (להלן - .נמל חיפה). במשרד התחבורה פועלות כמה רשויות האחראיות לתחומי פעילות שונים, ובהן רשות .התעופה האזרחית (להלן - רת"א); רשות הספנות והנמלים והרשות הארצית לתחבורה ציבורית. .תרשים 1: תחומי הפעילות במגזר התחבורה .על פי נתוני משרד התחבורה, בעיבוד משרד מבקר המדינה. . .| 50 | . הגנת הסייבר במגזר התחבורה במגזר התחבורה פועלים אלפי גופים בתחומים השונים. להלן הפירוט: .תרשים 2: מספר הגופים הפועלים במגזר התחבורה .על פי נתוני משרד התחבורה, בעיבוד משרד מבקר המדינה. .מרחב הסייבר , הכולל מחשוב, תקשורת מחשבים ומערכות מידע ממוחשבות, הוא חלק .אינטגרלי ממרקם החיים שלנו. אנו משתמשים במרחב הסייבר כמעט בכל שירות ציבורי ופרטי .שאנו צורכים וכך גם בשירותי התחבורה. התלות הגוברת במרחב הסייבר מביאה עימה חדשנות .טכנולוגית ופיתוחים לאדם ולסביבתו. לצד היתרונות שמאפשרות המערכות הממוחשבות, הן .יצרו גם איום חדש העשוי לה שפיע על הרציפות התפקודית הארגונית, על השלמות והאמינות .של התהליכים העסקיים המתרחשים בארגון ואף לפגוע ב סודיות המידע המוחזק בארגון. ככל .שהטכנולוגיה מתקדמת ומתפתחת, כך גדלה מידת החשיפה לאיום זה. .איום סייבר הוא צירוף של כוונות ויכולות לתקיפה במרחב הסייבר שטרם התממש. אירוע סייבר .הוא התרחשות אשר מעידה על פגיעה אפשרית בפעילותה התקינה של מערכת מחשוב, שקיים .יסוד להניח כי היא נובעת מפעילות מכוונת במרחב הסייבר . אירועים אלו מבוססים על ניצול .פגיעות או חולשה של הארגון, העלול לפגוע ב ו ברמות חומרה שונות. .בשנים האחרונות קיימת עלייה חדה ב מספרם ובחומר תם של אירועי סייבר המשבשים את .פעילותם התקינה של ארגונים בארץ ובעולם. כך לדוגמה, בשנת 2020 חלה עלייה של50% . באירועי הסייבר שדווחו למרכז המבצעי של מערך הסייבר הלאומי (להלן- מערך הסייבר), .ביחס לשנה שקדמה לה1 . אירועי סייבר ואבטחת מידע עלולים להיגרם בשוגג או במזיד, על ידי .גורם פנימי או חיצוני, ולגרום לפגיעה ניכר ת ברציפות התפקודית והעסקית של הארגון, ובמקרים .מסוימים אף לגרום ל סיכון חיי אדם ולפגיעה בשירות חיוני המאפשר את חופש התנועה. חוסנו .של ארגון, עמידותו בפני אירועי סייבר ויכולתו להתמודד איתם, תוך שמירה על רציפות תפקודית, .נגזרים מרמת ההיערכות להגנה בסייבר המיושמת בעת שגרה. .1 מתוך סיכום שנת2020 של מערךהסייבר. .| 51 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה בתחום התחבורה קיימים סיכונים רבים שעלולים להתממש כתוצאה מפגיעות במרחב הסייבר: .פגיעה בתשתיות התחבורה ובאמצעי תחבורה המוניים שעשויה לגרום לפגיעה בחיי אדם, .להפסקת תהליכי ייצור, לנזק כלכלי כבד, לדלף מידע אישי, ל פגיעה במוניטין של הארגון הנפגע .ובמקרים מסוימים אף להשלכות פוטנציאליות במישור הבטחוני . בשנים האחרונות מוקמים .במגזר התחבורה פרויקטים רבי משאבים, כמו פרויקט הרכבת הקלה במטרופולין תל אביב .והקמת נמלי הים החדשים, שבהם נדרשת התייחסות להיבטים של הגנת הסייבר. להלן .הסיכונים העיקריים הנשקפים למגזר התחבורה: .תרשים 3: מפת הסיכוניםהנשקפים למגזר התחבורה . .בשנים האחרונות התרחשו בעולם כמה אירועי סייבר שהסבו נזקים ניכרים בתחום התחבורה. .להלן כמה דוגמאות: . .| 52 | . הגנת הסייבר במגזר התחבורה לוח 1: דוגמאות לאירועי סייבר, בשנים האחרונות, בתחום התחבורה בעולם .התאריך האירוע הנזק .ינואר 2022 מתקפת סייבר השביתה חלקית את מערכות .המחשוב של חברה העוסקת בהפעלת מסוף .מטענים ומחסנים בתחום הסחר הימי בישראל .למשך עשרה ימים. נזק כלכלי ניכר .אוקטובר .2021 קבוצת האקרים איראנית תקפה שרתי חברת אחסון .אתרים ישראלית. בעקבות התקיפה הושבתו, בין .היתר, שני אתרי חברות המפעילות קווי אוטובוסים .לתחבורה ציבורית בארץ. פגיעה בשירות חיוני לציבור .יולי 2021 מתקפת סייבר על מערך הרכבות באיראן גרמה .לעיכובים ולביטולים של מאות קווי רכבת. פגיעה בשירות חיוני לציבור .מאי 2021 פריצה למחשביה של חברת תעופה בהודוחשפה .פרטים אישיים של 4.5 מיליון נוסעים, ובכלל זה .שמות, תאריכי לידה, פרטי יצירת קשר ומידע לגבי .דרכונים, פרטי מועדון הנוסע המתמיד ופרטי כרטיסי .אשראי. פגיעה בפרטיות - דלף מידע .אישי .יולי 2017 מתקפת סייבר מסוג נוזקת כופר שבוצעה נגד חברת .ספנות בין-לאומית גרמה נזקים הנאמדים ב -200 עד .300 .מיליון דולר נזק כלכלי ניכר .פעולות הביקורת .בחודשים מרץ 2021 עד אפריל 2022 בדק משרד מבקר המדינה את הגנת הסייבר במגזר .התחבורה. הביקורת נעשתה במשרד התחבורה - באגף הסייבר (להלן - אגף הסייבר) ובמחלקת .הייעוץ המשפטי ; במערך הסייבר הלאומי במשרד ראש הממשלה - באגף להכוונה מגזרית .וביחידה להנחיית גופי תמ"ק (להלן - אגף תמ"ק); וברשות להגנת הפרטיות במשרד המשפטים. .בדיקות השלמה נעשו בכמה חברות ממשלתיות, וביחידות הגנת הסייבר המגזריות במשרד .האנרגיה, במשרד להגנת הסביבה, במשרד התקשור ת ובמשרד הבריאות. .במסגרת הביקורת, משרד מבקר המדינה ביצע בשיתוף עירייה א' מהלך חדשני - מבדק חדירה .במערכת בתחום התחבורה שלה כדי לבחון היבטים בהגנת הסייבר. כמו כן המשרד הפיץ לעשר .עיריות ולשתי חברות ממשלתיות שאלון הבודק את היבטי הגנת הסייבר בנוגע למערכות בתחום .התחבורה כדי לבחון את הנושאים ברמה המערכתית. .הדוח שבנדון הומצא לראש הממשלה ביום 31/7/22 והוטל עליו חיסיון עד לדיון בוועדת המשנה .של הוועדה לענייני ביקורת המדינה. מתוקף הסמכות הנתונה למבקר המדינה בסעיף 17 )(ג .לחוק מבקר המדינה, התשי"ח -1958 ובשים ]נוסח משולב [ לב לנימוקי הממשלה, לאחר .היוועצות עם הגופים האמונים על אבטחת המידע הביטחוני ובתיאום עם יו"ר הכנסת, משלא .התכנסה ועדת המשנה האמורה, הוחלט לפרסם דוח זה תוך הטלת חיסיון על חלקים ממנו. .חלקים אלה לא יונחו על שולחן הכנסת ולא יפורסמו. .| 53 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה ממצאי דוח הביקורת והמלצותיו נכונים למועד המצאת ו האמור לעיל. .אסדרת תחום הגנת הסייבר .אופן האסדרה בתחום הגנת הסייבר בכלל ובמגזר התחבורה בפרט נקבע במסגרת שורה של .חוקים והחלטות ממשלה שהתקבלו משנת 2002 . להלן תרשים המתאר את החוקים ואת .החלטות הממשלה המרכזיות שהתקבלו בתחום זה ואת הנושאים העיקר יים שנכללו בהם: .תרשים 4: אבני הדרך המרכזיות בתחום אסדרת הגנת הסייבר . .| 54 | . הגנת הסייבר במגזר התחבורה .המאסדרים בתחום .היחידה להנחיית גופי תמ"ק במערך הסייבר: בשנת 2016 , במסגרת מימוש החלטות .הממשלה בדבר גורם לאומי בתחום הגנת הסייבר, עודכן החוק להסדרת הביטחון בגופים .ציבורים, התש נ"ח-1998 (להלן- החוק להסדרת הביטחון), ו האחריות להנחיית מרבית גופי .התמ"ק הועברה משירות הביטחון הכללי ( השב"כ) למערך הסייבר הלאומי 2 . בהתאם לכך מנחה .אגף תמ"ק במערך הסייבר הלאומי את גופי התמ"ק המופיעים בתוספת החמישית לחוק. נכון .לחודש אפריל 2022 בתוספת זו מנויים29 סעיפים ובהם30 ( גופים, שישה מהם20% ) שייכים .למגזר התחבורה: רכבת ישראל, רשות שדות התעופה (להלן - רש"ת), נמל אשדוד, נמל חיפה, .חברת נתיבי תחבורה ע ירוניים (להלן - נת"ע) וחברת נמלי ישראל (להלן - חנ"י). .אגף תמ"ק מנחה באופן ישיר את גופי התמ"ק, והוא אחראי ללוות את הגוף באופן שוטף ולסייע .לו בפעולות האלו: בניית תוכנית העבודה השנתית בתחום הגנת הסייבר ומעקב אחר ביצועה; .ויישום תורת ההגנה הייעודית לגופי תמ"ק ופיקוח על אופן יישומה באמצעות ביצוע ביקורות ובהן .בדיקות חדירה. כמו כן אגף תמ"ק מלווה את גוף התמ"ק ומסייע לו כשיש חשש לאירוע סייבר. .2 גופי התקשורת נותרו באחריות השב"כ. רשימת הגופים והאחריות עליהם מוגדרת בחוק להסדרת הביטחון בגופים .ציבורים, התשמ"ח-1998. .| 55 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה היחידה להכוונת גופים מגזריים במערך הסייבר: בהחלטת הממשלה 2443 מפברואר2015 . (להלן- החלטה 2443 ) נקבעה תפיסת אסדרה לאומית שמטרתה העלאה שיטתית ורציפה של .רמת ההגנה במרחב הסייבר הכולל במדינה (המרחב האזרחי והמרחב הביטחוני). במסגרת .ההחלטה הוקם במערך הסייבר האגף להכוונה מגזרית שאחראי להנחיה מקצועית ישירה של .יחידות הסייבר המגזריות במשרדי הממשלה, ואלו אחראיות להכוונה ולהנחיה של כל הגופים .הכפופים לסמכויות האסדרה של אותו המשרד. כך שלמעשה, מערך הסייבר מנחה בעקיפין .את כלל הגופים שאינם מוגדרים כתמ"ק וכפופים לסמכויות אסדרה באמצעות אגפי הסייבר .המגזריים. .היחידות המגזריות להכוונת הסייבר: החלטה 2443 הגדירה את תפקידי יחידות הסייבר .המגזריות כמפורט להלן: .1. הכוונה והנחיה בהיבטי הגנת הסייבר לרבות הגדרת המדיניות ודרישות האסדרה, ליווי .מקצועי שוטף ומענה לפניות מקצועיות בהתאם למאפיינים של הגופים אשר ביחס אליהם .מתבצעת הפעילות. בנושאים שחל עליהם החוק להסדרת הביטחון ובנושאים שחל עליהם .חוק הגנת הפרטיות התשמ"א-19813 תתבצע ההנחיה בתיאום עם הגורם המוסמך לפי .חוקים אלו, אם הדבר יידרש. .2. בקרת ביצוע הדרישות המקצועיות בהתאם לאסדרה וברמה המקצועית הנדרשת לרבות .הכרת הפערים והצורך בהתאמות. .3. בנייה והפעלה של תהליכי שיתוף מידע פנימיים וחיצוניים בתוך המגזר לרבות דיווח על .אירועים, איומים, חולשות, פוגענים ונוזקות למרכז הארצי לניהול אירועי סייבר ( CERT )לאומי .וכן הגדרת הנהלים ושיטות הדיווח בין הגופים במגזר . .4. ייזום ומימוש של פעילות רוחבית לרבות הקמת תשתיות והפעלת מנגנונים שתכליתם שיפור .הגנת הסייבר במגזר. .החלטת ממשלה 2443 הגדירה גם את היקף כוח האדם והתקציב של יחידות הסייבר המגזריות .במשרדי הממשלה בהתאם לנזק הפוטנציאלי שצפוי להיגרם כתוצאה מפגיעה במערכות .הממוחשבות של הגופים במגזר ובהתאם לקטגוריות האלה: גדול, בינוני וקטן. .בעקבות החלטה 2443 הוקם בשנת2015 במשרד התחבורה אגף הסייבר. להלן תרשים המסכם .את המשימות העיקריות שלו בשנת 2021 : .3 .בחוק מוגדר "רשם מאגרי המידע", מכוחו ניתנו תפקידים לרשות להגנת הפרטיות בעניין מאגרי המידע . .| 56 | . הגנת הסייבר במגזר התחבורה תרשים 5: המשימות העיקריות של אגף הסייבר, 2021 . על פי נתונימשרד התחבורה , בעיבוד משרד מבקר המדינה. .הרשות להגנת הפרטיות: הרשות להגנת הפרטיות אחראית על הפיקוח על מילוי הוראות חוק .הגנת הפרטיות, והתקנות שהותקנו מכוחו ובהן תקנות הגנת הפרטיות (אבטחת מידע ) התשע"ז- .2017 (להלן- תקנות אבטחת מידע). בידי הרשות סמכויות אכיפה פליליות וסמכויות אכיפה .מינהליות. .במקרים שבהם הרשות להגנת הפרטיות סבורה כי מחזיק מאגר מידע או בעל מאגר מידע הפרו .את הוראות החוק או את הוראות התקנות או לא מילאו אחר דרישות שהוצגו לו, היא יכולה .להתלות את תוקפו של רישום המאגר לתקופה מסוימת או אף לבטל את רישומו של מאגר .המידע בפנקס מאגרי המידע4 . מאגר שרישומו הותלה הוא מאגר שחל איסור לנהל אותו או .להחזיק בו5 . המשמעות המעשית של הפסקת השימוש במאגרעשויה להיות הפסקת הפעילות .העסקית של הגוף או פגיעה בו. סמכות זו מסייעת לרשות לממש את תפקידה ולהבטיח שהגוף .יתקן מהר את הנדרש תיקון . .הרשות להגנת הפרטיות מקיימת מדי שנה בשנה סקרי סיכונים במטרה למקד את פעילותה .בשנה הבאה במוקדים שבהם הסיכון גבוה ולבנות את תוכנית העבודה באופן שיממש את ייעודה .ואת יכולת השפעתה בצורה המיטבית. לקראת השנים 2020 - 2021 קבעה הרשות כי סיכוני .הפרטיות בעולם התחבורה מציבים את התחום כאחד מהתחומים שבהם יש להתמקד על בסיס .הדירוג הבא: איום - 4 מתוך5 ; יכולת התמודדות ואכיפה- 4 מתוך5 ; סיכון ממשי- 4 מתוך5 . . כן מפרסמת הרשות להגנת הפרטיות מדריכים ומסמכי מדיניות: בשנת2020 פרסמה הרשות .מדריך בנושא "הגנת הפרטיות בגופי תחבורה בסביבה דיגיטלית"; וביולי 2021 פרסמה הרשות .מסמך מדי ניות בנושא "היבטי פרטיות ביישומונים לתשלום ותיקוף שימוש בשירותי תחבורה .ציבורית". .4 חוק הגנת הפרטיות, תשמ"א1981 , סעיף10 .)(ו .5 לפי סעיף10(ב2 .) לחוק הגנת הפרטיות, זולת אם בית המשפט קבע אחרת .| 57 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה כלים לאכיפת דרישות סייבר במגזר התחבורה .מאסדרים מגזריים יכולים לחייב גופים שמונחים על ידם לעמוד בדרישות סייבר בכמה אופנים: .חוקים, תקנות, התניית מתן רישיון בעמידה בדרישות סייבר, מתן הנחיות והכללת דרישות סייבר .במסגרת ההתקשרויות. להלן פירוט הכלים לאכיפת דרישות הסייבר ואופן השימוש של משרד .התחבורה בכל כלי ע ל הגופים במגזר: .אסדרה ברמת חקיקה ראשית והשלכות אי-השלמת .חקיקת "חוק הסייבר" .בהתאם להחלטת הממשלה 2444 מפברואר2015 , תזכיר חוק הגנת הסייבר היה אמור להיות .מובא לאישור ראש הממשלה בתוך כחצי שנה ממועד ההחלטה - באוגוסט 2015 , אך הוא הופץ .ביוני 2018 . בתזכיר נכלל פ רק בנושא "אסדרה לאומית בתחום הגנת הסייבר" שבו נקבע, בין .היתר, כי רשות מאסדרת שמוסמכת להעניק לארגון היתר או רישיון לפעילות לפי דין, רשאית .להתנות את מתן הרישיון או את חידושו בקיום הוראות הנוגעות לתחום הסייבר. .לאחר שמערך הסייבר פרסם את תזכיר חוק הסייבר הוא ק יבל הערות מגופים שונים, ובהם .מחלקת הייעוץ המשפטי במשרד התחבורה, וקיים דיונים רבים הנוגעים בעיקר לעניין הגדרת .הסמכויות והאיזונים ה נדר שים. בשנת 2021 הפיץ מערך הסייבר טיוטה נוספת לחוק הסייבר6 , . וזאת כהוראת שעה עד לחקיקת חוק הסייבר המלא, אשר נועדה להקנות לו סמכויות לתת .הוראות או לפנות לבית המשפט במקרה של סיכון משמעותי להגנת הסייבר. הוראת שעה זו לא .עסקה ביחידות הסייבר המגזריות ובסמכויות הרשויות המאסדרות. .יצוין כי באוגוסט 2021 התקבלה החלטת ממשלה192 בנושא בחינת האסדרה בתחום הסייבר7. .לפי ההחלטה, יוקם צוות בין-משרדי בראשות משרד ראש הממשלה שיגיש בתוך 180 יום את .המלצותיו בנוגע להתאמות הנדרשות להיערכות של מרחב הסייבר האזרחי לאיומי הסייבר לנוכח .השינויים באופי ובהיקף של תקיפות הסייבר בשנים האחרונות. .בביקורת עלה כי הצוות שהוקם בעקבות החלטה 219 התכנס לראשונה בפברואר2022 . מסדר .הדיונים של הצוות עלה כי הוא דן, בין היתר, בהצגת מאפייני הסיכון של המגזרים השונים במשק, .הצגת הסמכויות הקיימות בידי המגזרים בתחום הסייבר והפערים למול המצב הרצוי, וכמו כן .בגיבוש חלופות אסדרה. לפי לוח הזמנים המעודכן שקבע, הוא היה צפוי להגיש את המלצותיו .עד יוני 2022 , אולם נכון ליולי2022 הוא לא התכנס שנית בתקופה שבין פברואר2022 ליולי .2022 . .6 טיוטת חוק הגנת הסייבר ומערך הסייבר הלאומי (סמכויות לצורך חיזוק הגנת הסייבר) (הוראת שעה), התשפ"א- .2021. .7 החלטת הממשלה219" , בחינת רגולציה חכמה בסייבר וכללים והסמכות למתן הנחיות בזמן תקיפת סייבר שעודנה .בעיצומה תוך שקילת שיקולים כלכליים" ( 1.8.21 .) בהחלטה מובאים העקרונות שלפיהם על חברי הצוות לנהוג .בבואם להמליץ על יצירת אסדרה נפרדת לגופים שאינם מנויים בתוספות הרביעית והחמישית לחוק להסדרת .הביטחון בגופים ציבוריים, ובכלל זה קביעת הכללים והסמכויות למתן הנחיות הנוגעות להיערכות למתקפת סייבר, .או על יצירת כללים וסמכויות למתן הנחיות לעניין תקיפת סייבר שעודנה בעיצומה. . .| 58 | . הגנת הסייבר במגזר התחבורה משרד ראש הממשלה מסר בתשובתו מיולי 2022 כי החלטת הממשלה מספר 219 הקימה .והתוותה את אופן עבודתו של צוות בין-משרדי לבחינת האסדרה בתחום הסייבר , והגד ירה את .סוגיות הליבה שבהן אמור הצוות לדון. המשרד הוסיף כי בשל חילופי בעלי תפקידים במערך .הסייבר ובמשרד ראש הממשלה במהלך החודשים האחרונים התעכבה עבודת הצוות, ובחודש .הקרוב משרד ראש הממשלה יפעל לחידוש דיוני הצוות. .נכון למועד סיום הביקורת, באפריל 2022 , לא הושלמה חקיקת חוק הסייבר, וזאת יותר .משבע שנים ממועד החלטת הממשלה 2444 , וכן אסדרת תחום הסייבר לא הושלמה .במסגרת עבודת הצוות הבין-משרדי שהוקם באוגוסט 2021 . נוכח זאת כל מאסדר, נדרש .לפעול באופן עצמאי ולבצע תיקונים בחוקים ובתקנות שלו כדי ליישם את דרישות הסייבר .במגזר שלו, בכלל זה משרד התחבורה (שלא ביצע זאת, כפי שיפורט בהמשך). .על מערך הסייבר להשלים את התהליך הנדרש לצורך חקיקת חוק הסייבר. נושא זה .רלוונטי לכלל המגזרים, לכן מוצע כי מערך הסייבר יפעל יחד עם הצוות הבין-משרדי .להשלמת בחינת אסדרת תחום הסייבר וידון גם בצורך בהכנסת אסדרה רוחבית שתיתן .מענה לכלל המגזרים בתחום הסייבר . .אסדרה ברמת מגזר התחבורה .החלטה 2443 הטילה על משרד התחבורה ומשרדים נוספיםלבצע, בתיאום עם מערך הסייבר8, . עבודת מטה שתוגש לראש הממשלה, הבוחנת את התיקונים ו השינויים הנדרשים מ הבחינה .המשפטית למימוש אפקטיבי של האחריות על הגנת הסייבר במגזר. .הרעיון העומד בבסיס החלטה 2443 הוא שהמשרד המאסדר את מכלול הפעילות במגזר הוא .המתאים ביותר להסדיר גם את הטיפול בסיכונים הנוגעים למערכות הממוחשבות של הגופים . .עם זאת, יחידות הסייבר המגזריות מבססות את פעילות ההנחיה שלהן על סמכויות האסדרה .הקיימות בכל משרד ומשרד, אשר מטבען שונות בכל אחד מהמשרדים ומשפיעות גם על .אפשרויות ההנחיה, ה בקרה, הפיקוח והאכיפה של יחידות אלו. .במצב זה, שבו חקיקת חוק הסייבר לא הושלמה, נתקל משרד התחבורה בקשיים באכיפת .דרישות הסייבר, כפי שיפורט בהמשך. יצוין כי משרד האנרגיה 9 , המשרד להגנת הסביבה10 .8 בהחלטה2443 " צוינה היחידה בשםהמטה הקיברנטי הלאומי ". בשנת 2017 , החליטה הממשלה במסגרת החלטה .3270 לאחד את המטה והרשות הלאומית להגנת הסייבר שהיו קיימות באותה עת, ולקרוא ליחידה החדשה "מערך .הסייבר הלאומי". .9 " אמות מידה לרמה, לטיב ולאיכות השירות שנותן ספק שירות חיוני", לפי חוק משק החשמל, התשנ"ו- 1996 . באמת .מידה 210 'ג3 נקבע כי יצרן חשמל המקים מתקנים בעלי הספק מותקן מצרפי העולה על 20 מגוואט שלהם מרכז .בקרה משותף, יחוייב לעמוד בהנחיות הגנת סייבר כפי שיינתנו על ידי קצין הביטחון במשרד האנרגיה. .10 ""תנאים נוספים לעניין ניהול סיכוני סייבר- התניות נוספות על מתן היתר רעלים, מתוקף סמכות לפי סעיף 3 לחוק .החומרים המסוכנים, התשנ"ג -1993. .| 59 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה ומשרד התקשורת11 פתרו את הנושא באמצעות התניית מתן הרישינות בעמידה בדרישות הגנת .הסייבר על הגופים העיקריים הפועלים במגזרים אלו. .מערך הסייבר מסר בתשובתו מיוני 2022 כי הסמכות להעניק רשיונות כוללת גם סמכות לתת .הנחיות לעניין הגנת הסייבר, ומשכך ניתן לראות כי גם משרדים אחרים פועלים בנושא על אף .היעדר חוק סייבר ייעודי. .משרד התחבורה מסר למשרד מבקר המדינה ביולי 2021 כימשנת 2018 הוא מסר הערות רבות .לתזכיר חוק הסייבר , אולם עד היום הוא לא קיבל את תגובת מערך הסייבר . במשרד הוסיפו כי .הם סבורים שאין טעם בכפל אסדרה (כלומר טיפול בנושא במסגרת חוק הסייבר לכשיחוקק .ובד בבד טיפול בחוקים נוספים הנוגעים לתחום התחבורה בלבד). עוד מסר המשרד כי נכון יהיה .לגבש חוק מתכלל שיבטיח עקביות באסדרה ובפיקוח, וכי לדעתו תיקון חקיקה ספציפי (במגזר .התחבורה) חלף תיקון חקיקה כללי (במסגרת חוק הסייבר) עלול להחטיא את העיקר . .יצוין כי בנושא הרכב האוטונומי, שהוא נושא חדשני, בחר משרד התחבורה לעגן את דרישות .הסייבר באמצעות חקיקה 12 . . ממסמכים שהעביר משרד התחבורה למשרד מבקר המדינה באפריל 2021 עולה כי משרד .התחבורה מיפה את הפעילות המאוסדרת במגזר באמצעות אוסף של עשרות חוקים ותקנות. בין .תחומים אלו ניתן למנות את רישוי מפעילי התחבורה הציבורית, הפעילות בתחום רשות הספנות .והנמלים, הפעילות בתחום ה תעופה, הפעילות בתחום ההיסעים וההובלה והפעילות בתחום .שירותי הרכב. יצוין כי רישוי בתחום התחבורה ניתן בחלק מהמקרים לתקופת זמן ארוכה. למשל: .בתחום הנמלים הרישוי להפעלת נמלים הוא ל-25 שנים, והרישוי להפעלת תחבורה ציבורית הוא .ל-10 שנים. כמו כן תהליך שינוי תקנות וחקיקה הוא תהליך מורכב שבו שותפים גורמים רבים, .ולכן הוא עשוי להימשך כמה חודשים ואף כמה שנים. .עולה כי במשך יותר משבע שנים לא השלים משרד התחבורה את עבודת המטה אשר היה .צריך להגיש לראש הממשלה בהתאם להחלטה 2443 , לבחינת התיקונים והשינויים .הנדרשים לאסדרה בתחומי פעילותו למימוש אפקטיבי של האחריות להגנת הסייבר .במגזר. משרד התחבורה בחר להמתין לאסדרה במסגרת חוק הסייבר, למעט בתחום .הרכב האוטונומי שהוא נושא אחד מיני רבים, זאת שעה שעלו עיכובים בחקיקתו. .משרד התחבורה החל בפעולות לעגן בחוק (בתחום הרכב האוטונומי) את נושא הסייבר .ועליו להמשיך ולפעול לקדם חוקים ותקנות שנמצאים בתחום אחריותו, ל צורך מימוש .אפקטיבי של האחריות להגנת הסייבר במגזר. .11 במאי2022 עדכן משרד התקשורת את הרישיונות למתן שירותי תקשורת על ידי הספקים כך שיכללו דרישות הנוגעות .להגנת הסייבר. .12 'ס16 , התשכ"ב]נוסח חדש[ יד לפקודת התעבורה-1961 .במרץ 2022 תוקנה פקודת התעבורהכדי להסדיר, בין .היתר, את הגנת הסייבר על הפעלה ניסיונית של רכב אוטונומי (עצמאי) ללא נהג. . .| 60 | . הגנת הסייבר במגזר התחבורה אסדרה במסגרת הכנסת דרישות סייבר להתקשרויות .עם מפעילים בתחום התחבורה .דרישות סייבר יכולות להיות מוטמעות במסגרת חוקים ותקנות שחלים על כל הגופים הכפופים .להם או במסגרת התקשרויות עם ספקים. בוועדת היגוי בנושא סייבר שהתקיימה בדצמבר 2020 . בראשות מנכ"ל משרד התחבורה דאז נדונו תחומי פעילות שבהם יש פער בין דרישות הסייבר .הרצויות לאלו הקיימות בהתקשרות מול ספקי השירות של המשרד. להלן הפירוט: .1. מכרזי הפעלה של תחבורה ציבורית: מרבית המכרזים שפורסמו בעבר לא כללו את כלל .דרישות הסייבר . עם זאת במכרזי ההפעלה החדשים פרסם אגף הסייבר נספח סייבר. נוכח .זאת הנחה מנכ"ל המשרד דאז כי יש לפעול לעדכון הדרישות הקיימות בנספח הסייבר גם .במכרזים הישנים ולקדם את השיח עם החברות שזכו במכרזים כדי לנסות ולשלב בהם את .הדרישות הנוספות. .2. תחום הים : מנהלת אגף הסייבר דיווחה כי היא אינה מכסה את תחום הים מפאת מחסור .במשאבים. נוכח זאת הנחה מנכ"ל המשרד לייצר נספחי סייבר עבור חברות הנ מל. .במצב הנוכחי שבו חלק מההתקשרויות הקיימות אינן מכילות דרישות סייבר, למשרד .התחבורה חסר ים כלים רגולטוריים שיאפשרו לו לחזק את הגנת הסייבר. להלן כמה .דוגמאות: בתחום התחבורה הציבורית - המשרד לא הוסיף אפשרות להוסיף תנאי ם .ברישיונות למפעילים (הניתנים לעשר שנים) בנושאי מדיניות הגנת סייבר; לגבי תחום הים .(בגופים שאינם תמ"ק) - המשרד לא דרש מגופים אלה לגבש נוהל בקרת גישה וניהול .חשבונות משתמשים, ולגבש נוהל שימוש בשירותי ענן . בפברואר ומרץ 2022 מסר משרד .התחבורה כי לגבי תחומי הרכב, הרכבות והנמלים - נושאים אלו עדיין מצויים בטיפול .מקצועי ולא הושלמו. .במרץ 2022 מסר משרד התחבורה למשרד מבקר המדינה כי נספחי סייבר הוכנו ו החל .בספטמבר 2021 הם משולביםבהתקשרויות חדשות בתחומי התשתיות היבשתיות 13 . כך למשל .ציין משרד התחבורה בתשובתו מיולי 2022 כיבכל המכרזים החדשים להפ עלת אשכולות .תחבורה ציבורית, ובהסכם ההפעלה החדש המתגבש עם רכבת ישראל, כלולות דרישות סייבר .מחמירות. .גם מסקר סיכונים 14 שביצע אגף הביקורת הפנימית במשרד התחבורהבחודשים אוקטובר 2017 . עד יוני2018 נמצא כילאגף הסייבר במשרד התחבורה אין סמכות חוקית להנחות בנושא את .הגופים במגזר, וכי אין לו סמכות אכיפה על כלל הגופים לבצע מהלכים לעמידה בהנחיות. .בסקר זה נמצאו בתחום הסייבר 22 סיכונים- כולם ברמת החומרה הגבוהה ביותר. .בדיון ועדת היגוי סייבר במשרד התחבורה שהתקיים באוקטובר 2021 נידון נושא מקור הסמכות .והפעילות המשפטית הנדרשת לאסדרת תחום הסייבר במגזר. לצורך "ייצור מקור סמכות .13 נוהל עבודה להטמעת דרישות סייבר בפרויקטים תשתיתיים , תאריך עדכון ספטמבר 2021 . הנוהל חל לדוגמה .בסלילת כבישים חדשים או מסילות רכבת חדשות המבוצעים באמצעות חברות הביצוע של המשרד. .14 " סקר סיכונים למיפוי נושאים לביקורת באגף ביטחון, חירום וסייבר במשרד התחבורה." .| 61 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה לקביעת דרישות מחייבות בתחום הגנת הסייבר בתחבורה" הנחתה מנכ"לית המשרד את .הלשכה המשפטית לפעול בחמש דרכי פעולה: .1. ,בעדיפות ראשונה ינוצלו כלים קיימים המאפשרים להעמיד דרישות מחייבות בתחום הסייבר .תוך וידוא כי יש יכולת לאכוף אותן. .2. בתחומים שבהם לא ניתן לקבוע דרישות מחייבות בתחום הגנת הסייבר תוצג תוכנית פעולה .הכוללת תיקוני חקיקה נדרשים ותיעדוף מדורג לטיפול בהם. .3. ייבחן כיצד ניתן להחיל דרישות על גופים אשר קיבלו ר י שיונות בלי להמתין שנים עד למועד .חידושם, תוך בחינה אם ניתן לשייך את תחום הסייבר לתחום הבטיחות שבו ניתן לקבוע .דרישות באופן מיידי לנוכח סיכונים חדשים. .4. ייבחנו מודלים של משרדים מקבילים כמו משרדי האנרגיה, הגנת הסביבה והתקשורת, כדי .להיעזר בידע ובניסיון שצברו לביצוע פעולות דומות. .5. תיבחן אפשרות לתיקון חקיקה ראשית אחודה שתספק מענה לכלל המגזרים בתחבורה .(התחבורה הימית, האווירית והיבשתית) במקום לתקן כל חוק בנפרד. .עוד הנחתה מנכ"לית משרד התחבורה בדיון זה כי יש לוודא שבכל מכרז חדש מופיע פרק העוסק .בדרישות סייבר ברמה מספקת ובבקרה והכוונה של אגף הסייבר במשרד. .משרד התחבורה החל בספטמב ר 2021 בהכנסת נספחי סייבר מחייבים בהתקשרויות .חדשות בתחומי התשתיות היבשתיות, אולם עדיין ישנם תחומים בהם המשרד אינו מחייב .לכלול דרישות סייבר בהתקשרויות חדשות. יודגש כי בתחומי פעילותו של המשרד חלק .מההסכמים נחתמים לתקופה ארוכה, כאשר בהסכמים שנחתמו בעבר אין דרישות סייבר. .למשל: הפעלת נמלים - זיכיון ל-25 שנים; הפעלת אשכולות תחבורה ציבורית - 10 .שנים .עוד עלה כי למשרד אין מיפוי מרוכז של ההתקשרויות הקיימות לרבות מועד סיומן, וממילא .אין בידו רישום אם קיימות בחוזים אלה דרישות סייבר . נוכח זאת קיים סיכון שגם .ההתקשרויות שצפויות להסתיים בשנים הקרובות יוארכו, מבלי שיתווספו להן דרישות .סייבר במסגרת הארכתן וחידושן. .במצב האמור אין למשרד התחבורה סמכות חוקית או חוזית על חלק מה גופים במגזר .בנושא הגנת הסייבר, דבר המשפיע על מידת יכולתו של אגף הסייבר במשרד התחבורה .לממש את אחריותו ולהעלות את רמת הגנת הסייבר . כמו כן יכולת משרד התחבורה .להכניס דרישות סייבר חדשות ברישיונות שכבר ניתנו למפעילים, אף שהרישוי תקף לשנים .ארוכות, היא מצומצמת. .מערך הסייבר מסר בתשובתו ביוני 2022 כי יש מקום לבחון את נושא שינוי הרישיונות באמצע .תקופתם עם מחלקת ייעוץ וחקיקה במשרד המשפטים, מאחר שמדובר במעין חוזה יחס שאמור .להתאים את עצמו לנסיבות משתנות על מנת למנוע מגבלות פורמליות שיגרמו להפקרת נושא .הנמלים למשל ל- 25 .שנים . .| 62 | . הגנת הסייבר במגזר התחבורה מוצע כי משרד התחבורה יבחן את התיקונים הנדרשים מבחינה משפטית, תוך השלמת .מיפוי ההתקשרויות הקיימות של המשרד, כדי לממש בצורה אפקטיבית את אחריותו .לטיפול בסיכוני הסייבר במגזר. עוד מומלץ כי המשרד יפעל להטמיע דרישות סייבר .במסגרת כל הליך רישוי או חידוש של רישוי שנעשה מול מפעיל. במסגרת זו יש לתת את .הדעת על האיומים המתג ברים בתחום הסייבר מחד ועל חלון הזמן להכנסת דרישות .להגנת סייבר ברישיונות שאמורים להינתן בשנים הקרובות מאידך. בהתאם להנחיית .מנכ"לית המשרד, מומלץ כי המשרד יבחן אם ניתן להחיל דרישות על גופים אשר קיבלו .רישיונות מבלי להמתין שנים עד למועד חידושם, תוך בחינה אם ניתן לשייך את תחום .הסייבר לתחום הבטיחות בו ניתן לקבוע דרישות באופן מיידי לאור סיכונים חדשים. .פרסום מדיניות הגנת הסייבר במגזר התחבורה לצורך .אסדרת התחום רקע .בינואר 2021 פרסם אגף הסייבר במשרד התחבורה מסמך מדיניות להגנת הסייבר במגזר (להלן .- המדיניות), במעמד של הוראת מנכ"ל מחייבת. לפי המדיניות, גופי התחבורה שעליהם היא .חלה מחויבים לנהוג בהתאם לעקרונות המובאים בה, ובהתאם לנהלים, תקנים והנחיות שיפרטו .את העקרונות האלה ויופצו מ פעם לפעם על ידי אגף הסייבר או הרשויות המאסדרות הכפופות .למשרד. במכתב הנלווה למסמך המדיניות צוין כי לגופים תינתן תקופת התארגנות של שנתיים .להטמעת כל עקרונות המדיניות ובקרות התקן שבו בחר הגוף לעמוד ( 27001ISO או תורת .ההגנה בסייבר לארגון 2.0 של מערך הסייבר), ובפרק זמן זה יפעל המשרד לצורך עיגון המדיניות .בכלי האסדר ה. .למדיניות שתי מטרות: הראשונה - להגדיר לגופים את קווי היסוד להגנה על נכסי הסייבר של .הארגון כדי לצמצם את הסיכונים לפגיעה בסודיות, בשלמות ובזמינות של נכסים אלה, ולהבטיח .רציפות תפקודית של הארגון עצמו ושל מגזר התחבורה בכללותו. המטרה השנייה - להגדיר את .ממשקי העבודה וערוצי העדכון והדיווח בין הגופים לבין אגף הסייבר במשרד התחבורה. .במדיניות נקבע כי הגופים יסווגו לשלוש רמות דירוג: A, B, C בהתאם לחומרת הפגיעה האפשרית .באינטרס חיוני למדינה כתוצאה מתקיפת סייבר נגדם ובהתאם לחומרת חשיפתם לתקיפה. דירוג .זה יתבצע על פי שיטה ותבחינים שקבע מערך הסייבר. ואלה תבחיני הנזק אשר לפיהם מתבצע .תהליך דירוג הגופים: הפגיעה בחיי אדם, הנזק הכלכלי, החיוניות לציבור, הפגיעה באמון הציבור, .הקריטיות בחירום (תמיכה ביעדי שירות לאומי ים), קיומן של חלופות במגזר, ההחזקה בנכסי .מידע חיוניים למדינה ו הבחינה אם הגוף מספק למדינה נכסי סייבר תשתיתיים. .המדיניות חלה על גופים המפוקחים על ידי משרד התחבורה, לרבות זכייני הפעלה של תשתיות .שירותי תחבורה, המדורגים ברמה A אוB , וכן על החברות הממשלתיות המשמשות זרועות ביצוע .| 63 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה של המשרד. עבור גופים בדירוג C המדיניות משמשת המלצה בלבד. המדיניות אינה חלה על .גופי תמ"ק ועל גופים בתחום התעופה האזרחית, המונחים על ידי מערך הסייבר בשיתוף רת"א 15. . להלן סיווג הגופים במגזר התחבורה נכון לחודש פברואר2022 : .תרשים 6: סיווג הגופים במגזרהתחבורה נכון לחודש פברואר 2022 . על פי נתוני משרד התחבורה, בעיבוד משרד מבקר המדינה. חלק מהגופים המופיעים בטבלה כתמ"ק עדיין .לא מוגדרים בתוספת החמישית לחוק הסדרת הביטחון בגופים ציבוריים, אך מונחים בפועל על ידי מערך .הסייבר כגופי תמ"ק. .מערך הסייבר מסר בתשובתו מיוני 2022 כי בשנת2021 התקבלה החלטה במערך שקביעת .הגופים הרגישים תיעשה על ידי המאסדרים, על פי תבחינים של המשרד הרלוונטי ובהתייחס .לערכיות הארגון במגזר והרציפות התפקודית, ולא לפי אמות המידה שנקבעו על ידי המערך. .15 בינואר2022 פורסמה "מדיניות לאומית להגנת סייבר בתעופה אזרחית", בהמשך להחלטה4814 . במדיניות נקבע כי .נוסף על מערך הסייבר ורת"א, האחראים לפעילות השוטפת בתחום הסייבר במגזר התעופה, משרד התחבורה יבטיח .את אספקת שירותי ה-SOC .עבור גופים תעופתיים . .| 64 | . הגנת הסייבר במגזר התחבורה מוצע כי משרד התחבורה יבחן את סיווג הגופים ואת התבחינים לקביעתם לאור ההנחיה .המעודכנת של מערך הסייבר המגדירה כי המאסדר הוא הקובע את סיווג הגופים על פי .תבחיני המשרד, וכן יעדכן את המדיניות בהתאם. הפעולות לאכיפת המדיניות .לאחר הפצת טיוטת המדיניות בחודש אוקטובר 2020 נתקל משרד התחבורהבקשיים לאכוף את .המדיניות בין היתר מאחר שיישומה מצריך הקצאת תקציב מצד הגופים, שאותו משרד התחבורה .אינו מעניק להם בצורה ישירה. להלן דוגמאות: .1. מפעילה א' בתחום התשתיות השיבה למשרד התחבורה על טיוטת המדיניות כי להבנתה .בהחלטה 2443 אין כדי לייצר מקור סמכות על פעילות חברה פרטית מאחר שפעילות .החברה מוסדרת בכללים ובתנאים המפורטים בתנאי המכרז שפרסמה המדינה . .2. מפעילה ב' בתחום התשתיות, הפועלת באמצעות חוזה מול חברהממשלתית ג' , השיבה .למשרד התחבורה על טיוטת המדיניות כי "הפורמט בו אנו מונחים הוגדר כהנחיה וולונטרית .ותחת הגדרה זו אנו מתנהלים בשיתוף פעולה שנים מספר, הנחיה חדשה זו משמעותית .ונרחבת מהנחיות שהיו בעבר, מבקש לקבל הנחייה זו מבעל החוזה שלי, קרי חברה .ממשלתית ג'". .קשיים בהטמעת המדיניות עלו גם מצד גופים המשמשים זרועות ביצוע של המשרד. כך למשל, .במכתב מחודש מרץ 2021 הודיעה חברה ז', שסווגה כגוףA במועד הפצת טיוטת המדיניות, .למשרד התחבורה כי היא נערכת להטמיע את המדיניות במהלך השנתיים הקרובות, אך מציינת .כי קיימים פערים שונים ומשמעותיים בדגש על המשאבים והתקציבים הייעודיים שיש להקצות .לנושא ושבלעדיהם לא תוכל לממש אותה. יצוין עוד כי בתשובת חברה ז' למשרד מבקר המדינה .מיוני 2022 היא ציינה כי היא פועלת להטמיע את המדיניות שפרסם משרד התחבורה, והיא .הגדירה תקציבים ייעודיים למימושה. חברה ז' הוסיפה כי תידרש לכך הקצאת משאבים .תקציביים כדי שתתאפשר עמידה מלאה במדיניות. .משרד התחבורה מסר למשרד מבקר המדינה ביולי 2021 כי כל זמן שאין למשרד מקור אסדרתי .(סמכות חוקית) לקבוע הנחיות בנושא, הרי שהמדיניות שהופצה אינה מחייבת והיא בגדר המלצה .בלבד. .יצוין כי משרד התחבורה עצמו ציין במדיניות כי "המשרד יטמיע את החובה להגנת הסייבר בכלים .הרגולטוריים והחוזיים העומדים לרשותו מתוקף החוקים המסדירים את סמכויותיו". .בביקורת עלה כי במצב האסדרה החוקית הנוכחי אין בידי משרד התחבורה כלים להטמיע .את המדיניות שקבע ולממש את אחריותו על הגנת הסייבר במגזר התחבורה. .מפעילה א' ומפעילה ב' מסרו בתשובותיהן מיוני 2022 כיכל דרישה נוספת מעבר לתנאי הרישיון .תחייב הוראת שינוי וכיסוי העלות הכספית בהתאם. .| 65 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה במהלך שנת 2021 (שנה וחצי לפני המועד הסופי ליישום המדיניות) ביצע אגף הסייבר במשרד .התחבורה ביקורות בחלק מגופי A כדי לבחון אתמצב הגנת הסייבר שלהם ואת מידת יישום .המדיניות החדשה שפרסם. להלן תרשים הממחיש את הסיכונים הפוטנציאליים בגופי תחבורה .כתוצאה מאי-עמידה בדרישות המדיניות, ודוגמאות לגופים (שחלקם בעלי רישוי לתקופה ארוכה) .שבהם נמצאו הסיכונים במסגרת הביקורות: .תרשים 7: סיכוני הגנת הסייבר כתוצאה מאי-עמידה בדרישות המדיניות .בביקורת עלו פערים ביכולת משרד התחבורה לעדכן דרישות סייבר בהתקשרויות ארוכות .טווח ולכן בהיעדר כלים רגולטוריים, אין למשרד סמכות להנחות גוף פרטי ללא הסדר .חוזי - כך שהמשרד צפוי להתקל בקשיים ביכולת להנחות את הגופים במגזר ולפקח על .אופן יישום הנחיותיו. עוד נמצאו פ ערים בין דרישות הסייבר שהוגדרו במדיניות ובין היכולת .ליישמן בחלק מהגופים, בטווח הזמן שנקבע ליישומה ופערים בתחום מוגנות הסייבר בגופי .A בהתאם לביקורות שביצע אגף הסייבר משנת2021 . . .| 66 | . הגנת הסייבר במגזר התחבורה מוצע כי משרד התחבורה ייזום תיקון לחוקים ולתקנות ויגדיר סדר עדיפות להתחלת .הפעילות בתחום תוך מתן עדיפות לתחומים שבהם מוקמים פרויקטים חדשים רחבי היקף; .ותחומים שבהם יש סיכוני סייבר רבים ומצב ההגנה הנוכחי של הגופים אינו מספק להם .מענה הולם. פעילות זו תעלה בקנה אחד עם פעילות חלק מיחידות הסייבר המגזריות .האחרות שהחלו להפעיל את הרישוי רק בחלק מהתחומים בהתאם לניהול סיכונים .שביצעו. כמו כן מוצע כי משרד התחבורה יבחן את האפשרות לעדכן את הזיכיונות, .הרישיונות וההתקשרויות הקיימות ולהוסיף להן דרישות מתחום הגנת הסייבר, בפרט לאלו .שמסתיימות בקרוב. .משרד התחבורה מסר בתשובתו ביולי 2022 כיבגופים שבהם הוסדרה ה סמכות של משרד .התחבורה, ובהם מפעילות תחבורה ציבורית וחברות הביצוע, מועברים חומרים, ממצאים, .בדיקות, סיכומים ועוד. בהיעדר חובה חוקית, אין למשרד סמכות להנחות גוף פרטי ללא הסדר .חוזי. משרד התחבורה הוסיף כי הוא מקדם חוק סייבר בתחבורה, שיחיל חובת הנחיה ודיווח על .כל דרישות הסייבר של המשרד, של כל הגופים המקבלים רישיון או זיכיון ממנו. אך עד לחקיקת .חוק הסייבר בתחבורה המשרד מכניס דרישות סייבר להתקשרויות חדשות עם מפעילים בתחום .התחבורה. כך, למשל, בכל המכרזים החדשים להפעלת אשכולות תחבורה ציבורית, ובהסכם .ההפעלה החדש המתגבש עם רכבת ישראל, כלולות דרישות סייבר מחמירות. במקביל, המשרד .מקיים הליך מול זכיינים קיימים, חלקם משתפים פעולה מרצון. משרד התחבורה הוסיף כי בדיון .שהתקיים עם מערך הסייבר, תמך המערך בביצוע "תיקוני חקיקה שיאפשרו (למשרד התחבורה) .לבצע בקרה ואכיפה של רמת האבטחה הנדרשת". .תקציב ותקנים .החלטת הממשלה 2443 כללה הנחיות בנושא תקינת כח האדם הנדרשת מהיחידה להנחיית .הסייבר המגזרי: במשרד שהוגדר כמשרד "גדול" - למשל משרד התחבורה - נקבע כי נדרשים .חמישה עובדים לפי החלוקה הזאת: מנהל, שני עובדים בתחום ההכוונה ושני עובדים בתחום .הבקרה. .עוד נקבע בהחלטה כי איוש התפקידים יבוצע באמצעות תקני כוח אדם ועובדים ממיקור חוץ .למשרדי הממשלה. בשנתיים הראשונות התקציב לאיוש התפקידים יתבסס על מקורות מערך .הסייבר בסכום שלא יסתכם ביותר מ - 500,000 ש"ח בשנה לתפקיד, ובשלוש השנים שלאחר .מכן מחצית מהתקציב תהיה ממקורות המערך ומחציתו ממקורות המשרד הממשלתי הרלוונטי, .והמערך ישתתף בתקציב עד לתקרה של 500,000 .ש"ח בשנה ליועץ כן נקבע כי המערך יבחן .חמש שנים לאחר קבלת ההחלטה את מנגנון האיוש ו התקצוב של התפקידים - קרי בפברואר .2020. . באוקטובר2020 דיווחה מנהלת אגף הסייבר במשרד התחבורה לראש מחלקת הכוונת המשק .במערך הסייבר כי עד כה מילאה היחידה רק חלק ממשימותיה, וזאת לנוכח פער בניהול ופער .בכוח אדם שמיומן לביצוע הבקרה ו לעמידה בדרישות ה אסדרתיות. מנהלת האגף הוסיפה כי .האיום האיראני במרחב הסייבר ומשבר הקורונה מייצרים אתגר גדול אף יותר בהגנה על מגזר .התחבורה, וביקשה גיבוי ממערך הסייבר להצעתה להוספת שני יועצים: האחד בתחום ההנחיה .והשני בתחום הבקרה; לדבריה מצב זה אינו מיטבי, אך הוא יאפשר לצאת לשטח ולייצר תמונת .מצב לאומית. .| 67 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה בדיון ועדת היגוי סייבר במשר ד התחבורה שהתקיים בנובמבר 2020 בראשות מנכ"להמשרד .דווח כי המשרד לא ביצע עד כה ביקורות בגופים בהיבטי סייבר, וכי בתחום התחבורה הי מית .לא מבוצעת פעילות סייבר . מנהלת אגף הסייבר עדכנה כי משאבי כוח האדם המצומצמים אינם .מצויים בהלימה להחלט ת הממשלה 2443 ,וכי אגף הסי יבר מבקש שהנהלת המשרד תתעדף .את פעילותו - הכוונת פרויקטי תחבורה או יציאה לביקורות של הגופים בשטח. .עוד הוצג בדיון כי המבנה המיטבי של אגף הסייבר המגזרי צריך להיות רחב בהרבה מהקיים .ולכלול בעלי תפקידים שיעסקו בביצוע ביקורות בכלל גופי התחבורה ובמחקר ופיתוח (מו"פ); .צוותי התערבות באירועי סייבר ברמה הלאומית; צוותי ניהול SOC 16 מגזרי ועוד. להלן בתרשים .פירוט המבנה הנדרש של אגף הסייבר, לפי אגף הסייבר במשרד התחבורה, למול המבנה .שנקבע בהחלטת הממשלה: .16 Security Operation Center . . .| 68 | . הגנת הסייבר במגזר התחבורה תרשים 8: המבנה שנקבע בהחלטת הממשלה למול המבנה הנדרש .על פי נתוני משרד התחבורה, בעיבוד משרד מבקר המדינה. .בדיון בחודש דצמבר 2020 בין מערך הסייבר למשרד התחבורה ציין המערך כי אגף הסייבר .במשרד התחבורה הוא אגף חסר במשאבים באופן שאינו מאפשר לו להתמודד באופן נאות עם .הצורך המבצעי ועם מספר הפרויקטים העצום במגזר . .בהמשך לדיון זה, בדצמבר 2020 שלחה שרת התחבורה דאז מכתב לשר האוצר דאז בנושא ."פערים ביטחוניים להגנת הסייבר של תשתיות תחבורה בים , באוויר וביבשה ". במכתב זה .הבהירה השרה כי לפי עבודת המטה שבוצעה במשרדה נדרש תקצוב של 30 מיליון ש"ח כדי .לאפשר למשרד לממש את אחריותו, וכי כל הפניות למשרד האוצר בעניין זה סורבו. השרה .טענה עוד כי גם הצעות להסיט תקציב בתוך המשרד נענו בשלילה , וביקשה מהשר כי "יורה .באופן מיידי לפקידי אגף התקציבים להקצות סך של 30 מיליון ש"ח שיאפשרו למשרד .| 69 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה התחבורה לממש תוכנית מיידית להגנת סייבר של תשתית התח בורה הלאומית בים, .באוויר וביבשה , או לחילופין הסטת תקציב משרדי לצמצום פערים אלו " (ההדגשה .במקור). .בעקבות המכתב לעיל התקיים בחודש ינואר 2021 דיון בהשתתפות נציגי משרד התחבורה, אגף .התקציבים במשרד האוצר ומערך הסייבר, שאותו סיכם מנכ"ל משרד התחבורה באומרו כי נושא .הסייבר הודגש והונח במרכז סדר היום, וכי הוא קורא לעזרה לנוכח הפערים שהצטברו והכוננות .שבה נמצא המשרד, והוסיף כי במצב דברים זה המשרד אינו יכול לממש את אחריותו. .בדיון טען משרד התחבורה כי אין בידיו התקנים ו התקציב הדרושים להקמה ולהפעלה של הגנת .סייבר על מגזר התחבור ה, והציג דרישות בפני נציגי אגף התקציבים המסתכמות ב-30 מיליון .ש"ח לצורך משאבי כ וח האדם, היכולות האופרטיביות, ריכוז תמונת המצב בזמן אמת, המערכות .הטכנולוגיות והכלים להעלאת הכשירות ו המודעות . נציגי משרד התחבורה הוסיפו כי מאז .החלטת הממשלה 2443 שהתקבלה בשנת 2015 (אשר קבעה תקן של חמישה עובדים ליחידה .מגזרית במשרד "גדול") ועד מועד הדיון משאבי היחידה המגזרית מסתכמים ב-1 מיליון ש"ח .ומגלמים שני עובדים במיקור חוץ בלבד. הודגש כי הסכום המבוקש הוא קטן ונדרש לפצות על .הזנחה של כמה שנים, וכי בהשוואה להיקף הנזק אשר עשוי להיגרם, סכום זה בטל בשישים. .נציגי מערך הסייבר ציינו כי משרדי ממשלה מקבילים כדוגמת משרד האנרגיה ומשרד הבריאות .מעסיקים ביחידת הסייבר המגזרית 17 מספר דו-ספרתי של בעלי תפקיד מקצועיים , וכי ליחידות .אלו יכולות של ניטור המגזר והמשרד. עוד הוסיפו כי נדרש לפתח יכולת סייבר חזקה במגזר, .אשר תוכל לתת מענה מקצועי ב עת ההיערכות לקראת תקיפה ובזמן אירוע סייבר. זאת לנוכח .העובדה כי מערך הסייבר מחזיק בצוותים בהיקף מצומצם , ובמצב חירום ייעשה ת יעדוף ו תידרש .עצמאות מגזרית. .יצוין כי בניגוד למשרד התחבורה, משרדים אחרים נקטו גישות שונות לצורך הסדרת תקני כוח .האדם והתקציב. כך למשל, במשרד האנרגיה עוסקים כ-30 עובדים בתחום הגנת הסייבר במגזר .- מספר המאפשר ביצוע פעולות הנחיה, בקרה וניטור בגופים (הלאומיים והפרטיים) ורמת .מעורבות מעמיקה בשטח. משרד התחבורה אף שונה באופן התקצוב והתקינה, ביחס למגזרים .אחרים, בשל כך שתקציב יחידת הסייבר המגזרית אינה בבסיס התקציב18 , דבר המשפיע על .יכולתו לממש את אחריותו. כך לדוגמה, במשרד האנרגיה תקציב היחידה הוא חלק מהתקציב .הקבוע של המשרד, עובדה המאפשרת תכנון רב-שנתי של המשימות. .באוגוסט 2021 שלח ראש מחלקת (רמ"ח) הכוונת המשק במערך הסייבר הלאומי מכתב .למנהלת אגף הסייבר במשרד התחבורה, ובו ביקש לפעול בהקדם כדי לאייש את התפקידים .באגף בהתאם למבנה שהציע המשרד עצמו, וזאת לנוכח העובדה שבמשך שנים לא אוישו .התפקידים - דבר שצמצם מאוד את יכולות היחידה למלא את תפקידה באופן מיטבי. .17 משרד הבריאות ציין בתשובתו מיוני2022 כי הוא מעסיק מספר דו-ספרתי של בעלי תפקיד מקצועיים עבור הגנת .המשרד והמגזר יחד. .18 בבסיס התקציב מופיעה פעילות באחת מרמות הפירוט של תקציב המדינה (סעיף, תחום, תוכנית או תקנה) שקרוב .לוודאי שתתוקצב גם בשנים הבאות. אפשר לתקצב פעולות גם שלא במסגרת זו (למשל באמצעות שימוש בסעיפים .כלליים, רזרבות וכד'), אך במקרה כזה קיימת אי ודאות בדבר המשכיות התקציב ופגיעה אפשרית בתקציב העתידי. . .| 70 | . הגנת הסייבר במגזר התחבורה בספטמבר 2021 אישרה ועדת המכרזים של משרד התחבורה גיוס של ארבעה עובדים במיקור .חוץ לאגף הסייבר של המשרד: שני עובדים לתפקידי הנחיה ושני עובדים לתפקידי בקרה. .יצוין כי מעורבות אגף הסייבר במשרד התחבורה נדרשת במיוחד בפרויקטים חדשים, מתוך הבנה .כי זול יותר לשלב את דרישות הגנת הסייבר בשלבי תכנון הפרויקט מלהכניסן בשלבים מאוחרים .שבהם יידרשו שינויים והתאמות (תפיסת Security by Design), וכי למשרד התחבורה פרויקטים .רבים בשלבי תכנון, כפי שיפורט בפרק "הגנת הסייבר בפרויקטים חדשים ". .בנובמבר 2021 אושר בכנסת תקציב המדינה לשנים2021 - 2022 . בתקציב משרד התחבורה .נכללו 70 מיליון ש"ח בסעיף תקציבי אחד עבור הנושאים האלה: הגנת הסייבר במגזר, טכוגרף .ועלייה לענן, ללא חלוקה פנימית בין הנושאים. .בדצמבר 2021 התקיימה במשרד התחבורה ועדת היגוי סייבר ובה הוצג שנית כי התקציב הנדרש .להגנת הסייבר בשנים 2021 - 2022 הוא30 מיליון ש"ח, אך בפועל הוקצו לנושא6.3 .מיליון ש"ח .לפי המשרד, אלה הנושאים הצפויים להיפגע בהיעדר תקציב, בין היתר: כוח אדם, יכולת .אופרטיבית, כשירות ואחיזה בתמונת מצב רחבה. .במועד סיום הביקורת, באפריל 2022 , מנה אגף הסייבר במשרד התחבורה שלושה עובדים .במשר ה מלאה: מנהלת אגף שמונתה בשנת 2019 , ושני עובדים במיקור חוץ- רמ"ח פרויקטים .וחדשנות ורמ"ח חוסן. תפקיד רמ"ח SOC לא מאויש בשלב זה מאחר שלא נמצאו במכרז .מתמודדים מתאימים. .בביקורת עלה כי לאגף הסייבר במשרד התחבורה אין תקציב בסיס קבוע אלא תקציב .שמתעדכן מדי שנה בשנה. במצב זה האגף אינו יכול לבצע תכנון רב-שנתי של המשימות .בהתאם לתקציב, לכן אין וודאות להמשך תקציבי . כן נמצא כי למול התקציב הנדרש .המוערך ב-30 מיליון ש"ח, בשנים2021 עד2022 הוקצו לנושא כ- 6.3 .מיליון ש"ח .בשנים 2015 עד2022 פעל אגף הסייבר במשרד התחבורה באיוש חסר בהשוואה למספר .התקנים שנדרש בהחלטה 2443 ( , והועסקו בו רק שלושה מתוך חמישה60% ) עובדים. עוד .עלה כי מערך הסייבר לא פיקח על יישום ההחלטה ולא התריע על אי-יישומה לפני גורם .כלשהו. במצב זה אין בידי משרד התחבורה משאבי כוח האדם והתקציב הדרושים לטובת .מימוש אחריותו והוא אינו יכול לתת מענה לחלק מה איומים הניצבים בפני מגזר התחבורה. .משרד התחבורה מסר בתשובתו ביולי 2022 כי הוא טרם קיבל מהאוצר את המשאבים והתקנים .בטענה שהחלט ת הממשלה 2443 אינה בתוקף, כיוון שטרם הושלמה עבודת המטה, וכי הוגדרו .מדרגות של מימון משותף עם מערך הסייבר, כאשר מנגנון המימון המשותף נדרש להיות מוחלף .בעבודת תקינה של נציבות שירות המדינה ותקצוב מתאים. .נציבות שירות המדינה מסרה בתשובתה מיולי 2022 כי למשרד התחבורה קיימת משרת מיישם .הגנת סייבר א' המאוישת מתחילת שנת 2022, וככל שידרשו משרות נוספות בתחום זה, הנושא .ייבחן ויטופל ע"י גורמי המקצוע בנציבות שירות המדינה. .| 71 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה מוצע כי משרד התחבורה ומערך הסייבר יבחנו את התקציב ואת הלימת תקינת כוח האדם .המוקצת למול המשימות שעומדות לפתחו של אגף הסייבר ולצורך מתן מענה לאיומי .הסייבר הניצבים בפני מגזר התחבורה. .חשיבה מחודשת על החלטה 2443 . בחלוף שש שנים מהחלטה2443 , בשנת2021 , החל מערך הסייבר בתהליך חשיבה מחודשת .על ההחלטה. החשיבה הייתה בין היתר בנוגע ל"מודל המגזרים" שנקבע - מתן אחריות בנושא .הגנת הסייבר למשרדי הממשלה המשמשים מאסדרים בתחומם. התהליך הותנע מכמה סיבות: .הזמן שחלף מההחלטה והלקחים שנלמדו בתהליך יישומה במשרדים שונים; תובנות שעלו .מתהליך קידום הוראת השעה הנוגעת למתן סמכויות אופרטיביות למערך הסייבר כלפי ארגונים ."סרבנים"; ושינויים ארגונים ותפקודיים במכלול הרלוונטי במערך הסייבר. .בדיונים עלו כמה נושאים ובהם: השונות בין המגזרים השונים אשר אינה מאפשרת מודל אחיד .לכולם; קשב נמוך לנושא מצד מנכ"לי המשרדים; חלוקת האחריות בין המערך ליחידות הסייבר .המגזריות ומערכת היחסים ביניהם. .במרץ 2022 מסר מערך הסייבר למשרד מבקר המדינה כי תהליך החשיבה המחודשת על .החלטה 2443 טרם הסתיים, בין היתר עקב כניסת ראש מערך חדש לתפקידו. .בשנת 2021 קייםמערך הסייבר כמה דיונים בעניין "מודל המגזרים", אולם עד מועד סיום .הביקורת באפריל 2022 לא הסתיים התהליך, כך שהתשתית הנורמטיבית לפעילותן של .יחידות הסייבר המגזריות (החלטה 2443 ), מספקת מענה חסר הטעון עדכון. .מומלץ כי מערך הסייבר ישלים את תהליך החשיבה המחודשת על החלטה 2443 כדי לתת .מענה לאיומי הסייבר הקיימים ברמה הלאומית, תוך מתן כלים ליחידות הסייבר המגזריות .או באמצעות מודל אחר שיימצא לנכון. במסגרת זו מומלץ כי תבוצע חשיבה גם על נושא .תקצוב יחידות אלו. .בהחלטה 2443 נקבע, בין היתר, כי לצורך שיפור רמת הגנת הסייבר של המשרד יש להקצות .תקציב ייעודי להגנת הסייבר בשיעור של 8% .מהשיעור של כלל תקציב המחשוב של המשרד .החלטה 2443 הגדירה את התקציב הנדרש להגנת המערכות הפנים-משרדיות ; היא לא .הגדירה את התקציב הנדרש לביצוע משימות יחידות הסייבר המגזריות (האחראיות להנחות .גורמים הכפופים למשרד ). מומלץ כי מערך הסייבר, במסגרת החשיבה המחודשת על .ההחלטה, ייתן דעתו גם על סוגיה זו. .מערך הסייבר מסר בתשובתו מיוני 2022 כי עם כניסת ראש המערך הנוכחי לתפקידו בפברואר .2022 החלה בחינת חקיקת העבר, תוך ביצוע חשיבה מחודשת לגבי חקיקת ההמשך, וכחלק .מהחלטת הממשלה 219 הוקם צוות מנכ"לים בין-משרדי אשר בוחן את כלל רגולציית הסייבר .הממשלתית. המערך הוסיף כי אבן דרך מרכזית היא בחינת מצב ההגנה במגזרים ודרכי השיפור .שלה. . .| 72 | . הגנת הסייבר במגזר התחבורה מוצע שמערך הסייבר יעלה את נושא תקצוב היחידות המגזריות לדיון במסגרת פעילות .הצוות הבין משרדי, שנכון למועד סיום הביקורת, אפריל 2022 ,לא השלים את עבודתו. .ההגנה על גופי תמ"ק .הגדרת גופי תמ"ק במגזר התחבורה .חלק מהגופים הפועלים במגזר התחבורה מוגדרים כגופי תמ"ק: רכבת ישראל, רש"ת, נמל .אשדוד, נמל חיפה, נת"ע וחנ"י. אגף תמ"ק במערך הסייבר מנחה באופן ישיר את גופי התמ"ק .והוא אחראי ללוות את הגוף באופן שוטף ולסייע לו בפעולות האלה: בניית תוכנית העבודה .השנתית בתחום הגנת הסייבר ומעקב אחר ביצועה; יישום תורת ההגנה שנכתבה באופן ייעודי .לגופי תמ"ק; ופיקוח על אופן יישומה באמצעות ביצוע ביקורות ובהן בדיקות חוסן. כמו כן אגף .תמ"ק במערך הסייבר מלווה את גוף התמ"ק ומסייע לו כשיש חשש לאירוע סייבר. מחומרים .שהועברו למשרד מבקר המדינה עולה כי אירועי סייבר קרו בשנים האחרונות גם בגופי תמ"ק. .כיום, כדי להגדיר גוף כתמ"ק, נדרש להוסיפו לתוספת החמישית בחוק להסדרת הביטחון. .תהליך זה עלול להימשך לעיתים כמה שנים. כך לדוגמה, מערך הסייבר המליץ להגדיר .את חברה כ"ה בתחום הספנות והנמלים כגוף תמ"ק בנובמבר 2018 ,אך רק באפריל 2022 .הושלם תהליך זה. .כדי לזרז את תהליכי ההכרה בגופים כתמ"ק החליטה הממשלה 19 באוגוסט2021 על הקמת צוות .בין-משרדי שבין היתר יבצע בחינה של אסדר ה חכמה בסייבר , ובמסגרתה נקבע בין היתר כי .יש לבחון "את המנגנון הקיים להמלצה בנוגע לשינוי הגופים המנויים בתוספת החמישית לחוק .להסדרת הביטחון בגופים ציבוריים". לצורך כך ניתנו 180 ימים לצוות שעליו הוטלה הבחינה .כאמור. .נמצא כי בחינת המנגנון הקיים הנוגע להגדרת גופי התמ"ק לא הושלמה בהתאם להחלטת .הממשלה מאוגוסט 2021 ,ולפיכך לא עודכן המנגנון המורכב ש בו נעשה שימוש, הכולל .צורך בשינוי חקיקה עבור כל גוף לגביו הוחלט כי נדרש להגדירו כתמ"ק. .העיכובים בהגדרת גופי תמ"ק עלולים להביא לסיכונים בנושאים שטרם מטופלים וכן .לניצול משאבים לא יעיל. למשל: בגופים חדשים שטרם נכנסו לחוק - היעדר היכולת .לדרוש מהעובדים בגופים לעבור תהליכי מהימנות וסיווג בטחוני; בגופים שטרם הוסרו .מהחוק - בזבוז משאבים עקב הנחיה צמודה של הגופים ש אינה נדרשת יותר. .משרד התחבורה מסר בתשובתו מיולי 2022 כיהמתודולוגיה להכרה בגוף כתמ"ק אינה אחידה. .כך למשל, לעיתים ההגדרה היא על זכיין (מפעיל ), ולעיתים על חברה ממשלתית מבצעת. על .19 החלטת הממשלה219" , בחינת רגולציה חכמה בסייבר וכללים והסמכות למתן הנחיות בזמן תקיפת סייבר שעודנה .בעיצומה תוך שקילת שיקולים כלכליים" ( 1.8.21.) .| 73 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה כן, המשרד פנה למערך הסי יבר בבקשה לקיים דיון על המתודולוגיה, נוכח השינויים בענף .התחבורה והקמת אגף הסייבר במשרד. .מערך הסייבר מסר בתשובתו כי נכון ליולי 2022 כל הגופים אשר צריכים להיות תמ"ק הוגדרו .במסגרת התוספת החמישית לחוק הסדרת הביטחון. עוד הוסיף המערך כי נושא שינוי המנגנון .להגדרת גופים כתמ"ק ייבחן במסגרת הצוות הבין- משרדי שהוקם בעקבות החלטת ממשלה 219 . . על מערך הסייבר והצוות הבין משרדי לפעול להשלמת בחינת שינוי המנגנון להגדרת גופי .תמ"ק בהקדם. .תמונת המצב המגזרית .שגרות הניהול .מערך הסייבר עובד מול היחידה המגזרית במשרד התחבורה בעבודה שוטפת הכוללת בין היתר .אישור תוכניות עבודה, פגישות עיתיות, ליווי פרויקטים וסיורים בארגונים. .בנובמבר 2020 פרסמה היחידה להנחיה מגזרית במערך הסייבר הנחיה המפרטת את שגרות .הניהול המצופות מיחידות הסייבר המגזריות במשרדים (להלן - שגרות הניהול). הנחיה זו נכנסה .לתוקף ב- 1.12.20 . שגרות הניהול נועדו בעיקר לאפשר ליחידות הסייבר המגזריות לנהל מעקב .אחר הנושאים הניהוליים והמבצעיים שבאחריותן וכן לאפשר למערך הסייבר לקבל תמונת מצב .עדכנית באמצעות דיווחים. לפי ההנחיה, מערך הסייבר מבקש לקבל דיווחים חודשיים, רבעוניים, .חציוניים ושנתיים על אירועי אבטחת מידע ועל פעילות היחידה במגזר התחבורה בנוגע לנושאים .האלו: פעילויות הנחיה, מודעות לאיומי סייבר, ביקורות וסקרים בגופי המגזר; תהליכי חקיקה .ותיקון תקנות; אתגרים וניהול סיכונים במגזר וההתמודדות איתם; תרגילים ואימונים; פעילויות .טכנולוגיות; פרויקטים חדשים שבכוונת המגזר להוביל; ופרויקטים בתחום שרשרת האספקה .במגזר. עוד מונחות יחידות הסייבר המגזריות לבצע שורת משימות מחזוריות: תכנון תוכנית .עבודה על בסיס ניהול סיכונים, עדכון מסמכי מדיניות אבטחה, כתיבת נהלים ועדכונם ועוד. .מערך הסייבר מסר בתשובתו מיוני 2022 כי אופן העבודה מול היחידה המגזרית בהיבטי שגרת .הניהול יעלה במסגרת החשיבה המחודשת שמתקיימת לאור השינוי הארגוני במערך. .עוד פרסם מערך הסייבר בספטמבר 2020 מסמך ליחידות הגנת הסייבר המגזריות המכיל את .הפעילויות העיקריות שעל היחידות לשלב בתוכניות העבודה שלהן בשנת 2021 (להלן- עוגנים .לתכנון תוכנית העבודה). .כמו כן הוגדר בהנחיה כי עד סוף יולי בכל שנה קלנדרית על ראש היחידה המגזרית (במשרד .התחבורה - מנהלת אגף הסייבר) להעביר למנחה המגזרי במערך הסייבר דוח המסכם את .פעילות היחידה בחציון א'. הדוח יתמקד בנושאים האלו: הישגי ההגנה המשמעותיים במגזר; .תקציר התכנון מול הביצוע של תוכנית העבודה לחציון א'; מספר אירועי הסייבר שחווה המגזר .בחציון א' ומאפייניהם; הלקחים המרכזיים שעלו בביקורות שביצעה היחידה המגזרית; האתגרים . .| 74 | . הגנת הסייבר במגזר התחבורה או ניהול הסיכונים במגזר וההתמודדות עימם; סטטוס הנושאים והפערים המרכזיים הדורשים את .מעורבות מערך הסייבר; סטטוס הכשירות היחידתי; היעדים והמשימות המתוכננים לחציון ב'. .בדצמבר 2020 , כחודש לאחר פרסום שגרות הניהול, פנתה מנהלת אגף הסייבר במשרד .התחבורה למנחה המגזרי ומסרה כי המסמך כולל משימות ודרישות רבות מהיחידה, אך עקב .המשאבים החסרים אין לאגף יכולת לבצע חלק משמעותי מהדרישות במסמך. .מסקירת תוכניות העבודה של אגף הסייבר במגזר התחבורה, כפי שהועברו למערך הסייבר, עולה .כי משימות מסוימות שתוכננו לשנים 2019 עד2020 לא בוצעו עקב מחסור במשאבים, כך לדוגמה .משימת "הקמת SOC תחבורה בבאר שבע" שתוכננה לשנת 2019 , החלה בשלב ה"מבצוע" שלה .במועד סיום הביקורת באפריל 2022 (ראו פירוט בפרק "הקמתSOC .)"עבור מגזר התחבורה .בוועדת ההיגוי בנושא סייבר במגזר התחבורה שהתקיימה בדצמבר 2021 דווח כי יש משימות .הנגזרות מדרישות מערך הסייבר בדבר עוגנים לתכנון תוכנית העבודה שלא בוצעו עקב היעדר .תקציב. בין משימות אלו: יכולת התערבות לאומית - כלומר התקשרות מיידית לצוות IR (צוות .התערבות לניהול משברים ) לסיוע בעת אירוע בעל השפעות לאומיות ; העלאת החוסן במגזר - .הבאה לידי ביטוי באמצעות גיבוש אסדרה מחייבת, הרחבת ביקורות סייבר לגופ י B , ליווי הגופים .בטיפול שלהם ב ליקויים חמורי ם, ליווי פרויקטים והעלאת מודעות לאיומי סייבר באמצעות .הכשרות, תרגילים וכנסים . .בביקורת עלה כי אגף הסייבר לא מסר ליחידה להכוונה מגזרית במערך הסייבר דיווחים .חודשיים, רבעוניים, חצי-שנתיים וכן דיווח שנתי על שנת 2021 ., כנדרש בשגרת הניהול שלה .עוד נמצאו משימות של אגף הסייבר שלא בוצעו עקב היעדר משאבים - ביניהן: בניית יכולת .התערבות לאומית באירועי סייבר; פעילויות ל העלאת החוסן במגזר ; הרחבת הביקורות לגופי .B ; ליווי הגופיםבתיקון ליקויים חמורים; ליווי פרויקטים ; והעלאת מודעות לאיומי הסייבר . .נוכח אי ביצוע חלק ניכר מהמשימות שנדרשו באגף הסייבר, מוצע שמערך הסייבר ומשרד .התחבורה יפעלו להכנת תוכנית עבודה בהתאם למשאבים הקיימים ויפעלו לבקרה עליה .ולמימושה. .לצורך ביצוע תפקידיו למול רמת האיומים במגזר, נדרש האגף לכמה יכולות בסיסיות, .שחלקן חסרות. להלן כמה דוגמאות: .1. אי-יכולת התערבות באירועים בזמן אמת ואי דיווח מצד הגופים : לאגף הסייבר אין .כיום צוות התערבות היכול לסייע לגופים שהוא מנחה בקרות אירוע. נמצא כי הגופים אינם .מדווחים לאגף הסייבר על כלל האירועים שהם חווים, וכי האגף אינו מבצע תחקירים על .אירועים שקרו כדי להעביר תובנות לכלל הגופים במגזר. .2. אי-קבלת חומרים מהגופים במגזר שהכרחיים להבנת מצב הגנ ת הסייבר שלהם: .אגף הסייבר אינו משתתף בועדות היגוי בנושא סייבר שפועלות בגופים במגזר. כמו כן האגף .אינו מקבל מהגופים במגזר חומרים על פעולות שהגופים עצמם ביצעו בתחום הגנת הסייבר .כמו סיכומי דיוני ועדות ההיגוי להגנת הסייבר , תוכניות העבודה בנושא הגנת הסייבר ונתוני .הביצוע שלהן, הסיכונים שעימם מתמודד הגוף, הפרויקטים החדשים שהגוף מקים, תוצאות .מבדקי החדירה והתוכניות לטיפול בממצאים שעלו. יצוין כי לרוב חומרים אלו מסווגים היות .שהם מצביעים על חולשות ופערים שקיימים בגופים. יצוין כי בגופי A משרד התחבורה עשה .| 75 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה ביקורות כדי לבחון את מידת עמידתם בדרישות המדיניות; ראו פירו ט בנושא בפרק ."הממצאים שעלו בביקורות שביצע משרד התחבורה ". .3. .אי קיום תשתית מסוימת .4. :חוסר בכלים מקצועיים לאגף הסייבר אין כלים הדרושים לו לצורך מילוי תפקידו, .לדוגמה רישיונות עבור שימוש בכלים להגנת הסייבר או גישה לתקנים מקצועיים ומקובלים .בתחום, הכרוכה בדרך כלל בתשלום לגוף המנפיק אותם. .בביקורת עלה כי אגף הסייבר אינו מקבל מידע חיוני מהגופים על פעילויות שהם עצמם .ביצעו כמו סיכומי ועדות היגוי להגנת הסייבר, סקרי סיכונים, תוצאות מבדקי חדירה ודיווח .על אירועי סייבר - הנדרשים לאגף הסייבר כדי לייצר תמונה מערכתית של מצב ההגנה .בסייבר של מגזר התחבורה, ולצורך עמידה בשגרות הניהול הנדרשות ממנו. עוד נמצא כי .האגף אינו מבצע ביקורות ב כל הגופים לצורך בחינת מצב הגנת הסייבר בהם ולא עוקב .אחר אופן תיקון הליקויים בביקורות שכבר ביצע - זאת עקב היעדר משאבים התואמים את .מספר המשימות המוטלות על יחידת הסייבר המגזרית. .עוד עלה כי אגף הסייבר במשרד התחבורה לא הצטייד ביכולות מתאימות כנגד רמת .האיומים במגזר. מומלץ כי אגף הסייבר במשרד התחבורה יצטייד בכלים ו ביכולות .מתאימות של עובדיו כנגד רמת האיומים על המגזר . .משרד התחבורה מסר בתשובתו מיולי 2022 כיבהיעדר חובה חוקית, אין ל ו סמכות להנחות גוף .פרטי ללא הסדר חוזי, וכי הוא מקדם חוק סייבר בתחבורה, שיחיל חובת הנחיה ודיווח על כל .דרישות הסייבר של המשרד, של כל הגופים המקבלים רישיון או זיכיון ממנו. .✰ .מומלץ כי משרד התחבורה יפעל בשני נתיבים: קידום ההסדרה החוקית שתתן מענה לכלל .ההתקשרויות ומתן מענה לפערים הקיימים בהסדרה החוזית הקיימת למול הגופים במגזר . .גיבוש תמונת מצב מגזרית אחודה בתחום .הסייבר בידי משרד התחבורה .לפי החלטת הממשלה 2443 ,אחד מתפקידי יחידות הסייבר המגזריות במשרדי הממשלה (ובהן .אגף הסייבר במשרד התחבורה) הוא בנייה והפעלה של תהליכי שיתוף מידע פנימיים וחיצוניים .בתוך המגזר, לרבות דיווח על אירועים, איומים, חולשות, פוגענים ונוזקות למרכז הממשלתי .לסיוע בהתמודדות עם איומי סייבר וכן הגדר ה של נהלים ושיטות דיווח בין הגופים במגזר . עוד .לפי ההחלטה תפקיד היחידה הוא ייזום ומימוש של פעילות רוחבית, לרבות הקמת תשתיות .והפעלת מנגנונים שתכליתם שיפור הגנת הסייבר במגזר . .יוזכר כי גם שגרות הניהול מבהירות כי אלו נועדו, בין היתר, כדי לאפשר למערך הסייבר הלאומי .לקבל תמונת מצב עדכנית באמצעות דיווחים. . .| 76 | . הגנת הסייבר במגזר התחבורה להלן תרשים המתאר את תחומי הפעילות של המאסדרים בתחום ומציג כי בכל תחום (רכבות, .תעופה, נמלי ים) פועלים כמה מאסדרים שאחראים להנחיית גופים שונים: .תרשים 9 : סוגי הגופים במגזר התחבורהוהמאסדרים שלהם בתחום .הגנת הסייבר .* לפי המדיניות הלאומית להגנת הסייבר בתעופה אזרחית, פעילות שוטפת תהיה באחריות מערך הסייבר .בגופי תמ"ק ובאחריות רת"א בגופים שאינם תמ"ק. .** לפי המדיניות הלאומית להגנת הסייבר בתעופה אזרחית, פעילות זמן אמת (ניטור באמצעות SOC ) תהיה .באחריות משרד התחבורה, תוך קיום ממשקים עם רת"א ועם מערך הסייבר. .| 77 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה מהתרשים עולה כי במצב הנוכחי למשרד התחבורה , שעליו הוטל בהחלטת הממשלה .2443 לקדם את הטיפול בהיערכות לאיומי סייבר במגזר, אין את התמונה המגזרית כולה .של מצב הגנת הסייבר נוכח העובדה שאינו מודע לנעשה בחלק מגופי התחבורה (בגופי .התמ"ק ו בחברות התעופה שמנחה מערך הסייבר) ונוכח היעדר הסמכות של האגף לקבל .את המידע מהגופים . עוד עולה מהתרשים כי בחלק מתחומי הפעילות, כמו התחבורה .הציבורית והתחבורה הימית, לא פועל מאסדר אחד שרואה את התמונה המלאה והעדכנית .בתת-המגזר. למשל: בתחבורה הימית, את חלק מהנמלים מנחה מערך הסייבר ואת חלקם .מנחה אגף הסייבר במשרד התחבורה. .מערך הסייבר מסר בתשובתו מיוני 2022 כי במסגרת השינוי הארגוני במערך, עבודת התמ"ק .והמגזרים ישולבו באופן שלראש הפעילות במערך הסייבר תהיה תמונה רחבה על כל מגזר, וכך .גם במגזר התחבורה. .עוד עלה כי אגף הסייבר במשרד התחבורה ואגף תמ"ק במערך הסייבר לא נפגשים .בקביעות כדי לקבל תמונת מצב האחד מהשני , ולכן עלול להיווצר חוסר סינכרון .בפעילותם. .מערך הסייבר מסר בתשובתו מיוני 2022 כיאין מנגנון לקבלת תמונת מצב בין משרד התחבורה .לאגף תמ"ק . המערך הוסיף כי במסגרת השינוי הארגוני ייקבעו נהלים ותהליכי עבודה משולבים .בין אגף תמ"ק ואגף הסייבר במגזר התחבורה. .מוצע כי מערך הסייבר ומשרד התחבורה יקבעו נהלי דיווח ביניהם בכל הנוגע לגופי התמ"ק .המונחים על ידי המערך ויפעלו לממשם, כדי שלמשרד התחבורה תהיה תמונה כוללת של .מצב הגנת הסייבר גם בגופי התמ"ק. מומלץ כי נהלים אלו יתייחסו, בין השאר, לנושאים .הבאים: שיתוף מידע; דיווחים שוטפים; חולשות ואירועים; נוהל טיפול באירוע; נוהל סגירת .חולשה; הערכות מצב עיתיות; תיאום תוכניות עבודה וביקורות; ודיווח על תוצאות איר ועים, .תחקורים ולקחים. .בחלק מהגופים במגזר התחבורה קיימים מאגרי מידע המכילים מידע פרטי ובו מעל 100,000 . רשומות, ולכן הם מוגדרים כמאגרי מידע שבהם נדרשת רמת אבטחה גבוהה לפיתקנות אבטחת .מידע. בעל מאגר מידע שחלה עליו רמת אבטחה בינונית או גבוהה מחויב להודיע לרשות להגנת .הפרטיות באופן מיידי על אירוע אבטחה חמור (כהגדרתו בתקנות), וכן לדווח לרשות על הצעדים .שנקט בעקבות האירוע. .מערך הסייבר מסר בתשובתו ביוני 2022 כי כל אירוע בגופי התחבורה מרוכז במרכז הניטור של .מערך הסייבר הלאומי. המערך הוסיף כי מבוצע עדכון מצד המנחה המגזר י במערך ליחידת .הסייבר המגזרית, וכי מבוצע עדכון בין מרכזי הניטור של המשרדים לזה של המערך. .משרד מבקר המדינה בדק את הדיווחים שנמסרו על אירועי סייבר וההגנה על הפרטיות בתקופה .שבין ינואר 2019 עד יוני2021 לגופים הבאים: משרד התחבורה, מערך הסייבר והרשות להגנת .הפרטיות. בבדיקה נמצא כי התרחשו 21 ( אירועים, וכל אירוע דווח למאסדר אחר13 - למערך .הסייבר, 4 - ,לאגף הסייבר במשרד התחבורה4 - .)לרשות להגנת הפרטיות . .| 78 | . הגנת הסייבר במגזר התחבורה עוד נמצא בבדיקה כי דיווחים על אירועים שבהם הייתה השפעה אפשרית על פרטיות .משתמשים, אשר נמסרו למשרד התחבורה לא דווחו לרשות להגנת הפרטיות - או להפך. להלן .דוגמאות לדיווחים שנמצאו רק בידי הרשות להגנת הפרטיות ולא הועברו למשרד התחבורה: .1. אירוע בו נתגלתה חולשה באתרים של שתי חברות פרטיות המספקות שירות לתהליך רישום .לקורסי תיקון נהיגה של משרד התחבורה. חולשה זו אפשר ה, ללא צורך בהז דהות, גישה .לנתוני הנרשמים ובהם: שם, דוא"ל, תאריך מבחן , מיקום בו התבצע המבחן, סטאטוס .הצלחה, האם בוצע תשלום וסכום התשלום. .2. שני אירועים ש קשור ים בספקי משנה של חברה לתחבורה ציבורית: באירוע הראשון .נתגלתה פרצה במנגנון הפקת החשבוניות של החברה אשר אפשרה לצפות ולהורי ד .חשבוניות שנשלחו ללקוחותיה ללא צורך במנגנון זיהוי כלשהו; באירוע השני התגלתה .תקלה באתר האינטרנט שאפשרה גישה למסמכים אשר כללו מידע על חלק ממבקשי .זכאות לקבלת תעריף לאזרחים ותיקים, לרבות צילומי תעודות זהות, ותעודת אזרח ותיק. .בביקורת עלה כי קיימים שלושה גורמים בתחום הגנת הסייבר והגנת הפרטיות שאליהם .מדווחים אירועי הגנת הסייבר במגזר התחבורה, וכי אין גורם אחד שמחזיק בתמונה .הרוחבית של כלל האירועים, אף לא משרד התחבורה שאחראי ל פי החלטה 2443 לטפל .באירועים אלו. כך למשל: אירועים המתרחשים בגופי תמ"ק מטופלים בידי אגף תמ"ק .במערך הסייבר ללא העברת תחקירים ליחידת להכוונת מגזרים במערך הסייבר, לאגף .הסייבר במשרד התחבורה, לרשות להגנת הפרטיות (אם נדרש) או לגופים הדומים לגוף .שבו התרחש האירוע. כך לדוגמה, בבדיקת משרד מבקר המדינה נמצא כי בתקופה שבין .ינואר 2019 עד יו ני 2021 דווחו21 ( אירועים, וכל אירוע דווח לגורם אחר 13 - למערך .הסייבר, 4 - ,לאגף הסייבר4 - לרשות להגנת הפרטיות). עוד נמצא כיאירוע שהתרחש .בנמל כ' בפברואר 2020 דווח רק למערך הסייבר ולא לאגף הסייבר במגזר התחבורה או .לנמלים אחרים. .עוד עלה כי משרד התחבורה אינו מקבל מהרשות להגנת הפרטיות וממערך הסייבר .דיווחים על אירועי סייבר שהתרחשו בגופי המגזר , דבר שמקשה על המשרד ליצור תמונת .מצב בזמן אמת, תוך שיתוף הידע עם גופי המגזר שלהם הוא עשוי להיות חיוני. .מומלץ כי משרד התחבורה, בשיתוף מערך הסייבר והרשות להגנת הפ רטיות, יבחן כיצד .ניתן להעביר את המידע הרלוונטי ביניהם, לצורך הפקת לקחים מאירועים, נקיטת פעולות .להעלאת החוסן של הגופים במגזר וטיוב ההנחיות. .✰ . משרד התחבורה אחראי לקדם את הטיפול בהיערכות לאיומי הסייבר של כל מגזר .התחבורה אולם הוא מתקשה במילוי תפקידו מהסיבות ה אלו: המשרד אינו רואה את .התמונה המגזרית כולה על תתי-המגזרים שבה (למשל תחום התחבורה האווירית וגופי .התמ"ק שמנחה מערך הסייבר ); הוא אינו רואה את מפת הסיכונים ואת הפערים הקיימים .בכל גוף; והוא אינו מקבל מידע חיוני מהגופים כמו מבדקי חוסן , תוכניות עבודה לתיקון .הליקויים, דיווח על אירועי סייבר ותחקירים עליהם שביצע הגוף. .| 79 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה מוצע כי משרד התחבורה יסדיר ויפעל לאסוף נתונים מהגופים ומיתר המאסדרים בתחום .הסייבר כדי לייצר תמונת מצב מגזרית, למשל באמצעות פגישות סטטוס עיתיות עם הרשות .להגנת הפרט יות ועם מערך הסייבר שמנחה את גופי התמ"ק במגזר; קבלת מסמכים .עיקריים מהגופים וקבלת דיווח על אירועי סייבר. כן מוצע כי מערך הסייבר ומשרד .התחבורה האחראים להנחיית הגופים במגזר יגבשו בסיס נהלי ליישום שגרת הניהול .השוטפת שיתייחס, בין השאר, לנושאים הבאים: שיתוף מידע; דיווחים שוטפים; הערכות .מצב עיתיות; תיאום תוכניות עבודה וביקורות; ודיווח על תוצאות אירועים, תחקורים .ולקחים. עם השלמת איסוף המידע, מוצע כי משרד התחבורה יממש את תפקידו כאחראי .על הגנת הסייבר של כל המגזר וינחה בהתאם למידע שירוכז על ידו את כלל המגזר באופן .שוטף. .הרשות להגנת הפרטיות מסרה בתשובתה מיוני 2022 כיבנובמבר 2021 נערכה פגישה בין ממלא .מקום ראש הרשות להגנת הפרטיות לבין מנכ"לית משרד התחבורה, ובה עלה לדיון בין היתר .נושא אבטחת המידע והגנת הפרטיות במגזר התחבורה. במהלך הישיבה סוכם כי משרד .התחבורה יגבש רשימת נוש אים המשלבים היבטי פרטיות, ויוקם צוות חשיבה ומשימה לגבי .פרויקטים וממשקים עתידיים. עם כניסתו לתפקיד של ראש הרשות הנוכחי, הוא צפוי לקיים .פגישה נוספת עם מנכ"לית משרד התחבורה, בין היתר כדי לדון ברשימת הנושאים האמורה. .הקמת SOC עבור מגזר התחבורה .מרכז שליטה ובקרה לאיומי סייבר (להלן - SOC) הוא פתרון מקובל לאיגום ולניטור של אירועים .בתחום הסייבר. תפקידו של ה-SOC הואלסייע לארגון לזהות פרצות, אירועים חריגים, ניסיונות .לתקיפות סייבר, לתחקר אותם ולהגיב עליהם בזמן אמת. הזיהוי נעשה באמצעות איסוף מידע .בנוגע ל תהליכים, אירועים, איומים, חולשות, פוגענים ונוזקו ת הקשורים ל מערכות המידע .ולמערכות הטכנולוגיות והתפעוליות של הארגון; עיבוד המידע; זיהוי אנומליות; והקפצת .התראות למערכת השליטה והבקרה. במרכז מועסקים מומחי סייבר שמתחקרים את ההתראות .ואת המידע שמתקבל ובמידת הצורך מפעילים צוותי תגובה לטיפול באירוע. .תהליך הקמת SOC הוא תהליך מורכב הכולל בין היתר את תתי-התהליכים האלה: אפיון צרכים; .הגדרות המערכות הנדרשות לניטור; הגדרת חוקים לניטור ; ביצוע התקשרות לקבלת מרכז .השליטה כשירות מנוהל (אפשרות) או הקמה עצמית; טיוב החוקים במערכת; פיתוח, בדיקות .ויישום. פתרון הקמת SOC יכול להתבצעבאמצעות כוח האדם של הארגון או באמצעות מיקור .חוץ. .כדי לשפר את יכולות ההגנה בסייבר קיימת אפשרות לחבר כמה מערכות של ארגונים למרכז .שליטה ובקרה מערכתי (מגזרי או ממשלתי). מרכז זה אחראי לרכז את אירועי הסייבר .המתרחשים בגופים הכפופים לו וממקורות מידע נוספים כמו גופי מודיעין; לתכלל את הדיווחים .לתמונת מצב מערכתית; ולהתריע לפני כל הגופים הרלוונטיים על תקיפות שמתרחשות באותו .מגזר. קיימים שלושה סוגי SOC : ברמת הארגון- ניטור אירועי סייבר , הצגת תמונת מצב, הצגת .מידע פרטני; ברמת המגזר - איגום מידע מעובד הכולל אירועי שמתרחשים במגזר מסוים; וברמת .המדינה - איגום מידע מעובד הכולל אירועי סייבר שמתרחשים בכלל המגזרים. .קיימות שתי חלופות נפוצות לאופן ההקמה וההפעלה של SOC : . .| 80 | . הגנת הסייבר במגזר התחבורה 1. הפעלה עצמית של הארגון : בשיטה זו נדרש צוות מיומן ומשאבים טכנולוגיים גדולים . כמו .כן יש להביא בחשבון זמן הקמה ארוך יחסית של כמה חודשים. היתרון המרכזי בשיטת .הפעלה זו הוא ההיכרות הצמודה עם מערכות הארגון והאיומים שאיתם הוא מתמודד. .2. שירותי MSSP 20 מנוהלים: שירות הניתן כמיקור חוץ מטעם חברות המתמחות בכך. .ארגונים מסוימים מעדיפים הפעלה בצורה כזו עקב הצורך בכוח אדם מומחה, בצוותי תגובה .לאירועים ובזמינות במשך 24 שעות שבעה ימים בשבוע. בדרך זו לעיתים ניתנות ללקוח .שירותים נוספים בתחומי הגנת הסייבר, כגון מבדקי חדירה ת קופתיים ובנייה ותחזוקה של .מדיניות ונוהלי עבודה . .המדיניות שפרסם משרד התחבורה קובעת כי המשרד יקים SOC שירכז את תמונת המצב של .כלל הגופים במגזר התחבורה, לרבות גופי תמ"ק. ה-SOC ,יאפשר זיהוי פעילויות חריגות בסייבר .הן ברמת הגוף הבודד והן ברמה המגזרית, ויסייע לגופ ים בהתמודדות עם אירועי סייבר. עוד .נקבע כי ה-SOC יהנה מגישה למידע ומודיעין ברמה הלאומית, נוסףעל מודיעין ייעודי בתחום .התחבורה, וכי כלל הגופים במגזר יידרשו להתחבר אליו. .בשנת 2019 פרסם מערך הסייבר נוהל המגדיר את עבודת יחידות הסייבר המגזריות להגנת .הסייבר מול מערך הסייבר21 . בנוהל הוגדר כי באחריות ממונה הגנת הסייבר המגזרית לפעול .להקמת SOC . . יצוין כי משרדי ממשלה אחדים, כדוגמת משרד האנרגיה ומשרד הבריאות, מפעיליםSOC רחב .המנטר את פעילות המשרד ואת המגזר. .בחודשים מאי עד יולי 2020 בוצעהבדיקה מקדמית (פיילוט ) של הפעלת SOC במגזר התחבורה .באמצעות רש"ת, שבה השתתפו ארבעה גופים מתחומים שונים ובהם אחד המוגדר כתמ"ק. יצוין .כי לכל הגופים למעט אחד מהם לא היה ניטור עצמאי במועד ביצוע הבדיקה המקדמית. .ביולי 2020 דיווחהרש"ת לאגף הסייבר במשרד התחבורה על סיכום הפיילוט. מהסיכום עולה .כי במהלך הפיילוט טופלו התראות ואירועים בשיתוף פעולה עם גופי התחבורה שחוברו ל-SOC; . נבנתה תשתית לחיבור מהיר של גופי התחבורה השונים (כשבועימים לחיבור של כל גוף ל- .SOC) ; נבנתה מערכת שמציגה תמונת מצב סייבר אחודה של גופי התחבורה המחוברים ל-SOC .לטובת משרד התחבורה ; ו נבנה ותורגל מנגנון המאפשר טיפול מהיר באירועים מול גופי .התחבורה שחוברו ל SOC- באופן ישיר. במכתבה הדגישה רש"ת כי היא יצאה לפיילוט מתוך .הבנה משותפת שעם סיום מוצלח שלה יתחיל תהליך של חיבור כלל גופי התחבורה לשירות ה- .SOC במתכונת של שירות מנוהל; כי נדרשת החלטה של המשרד לגבי המשכיות התהליך, קרי .המשך ניטור הגופים במתכונת שירות מנוהל ; וכי רש"ת ערוכה לספק את השירות לגופי .התחבורה באופן מיידי. .מסיכום הפיילוט שבוצע באחד הגופים שהתחברו (חברה ז') עלה כי חיבור ל-SOC חדש הוא .תהליך מו רכב מאוד המצריך עבודת ניהול, טיוב והתאמה רבה הן מצד ספק ה - MSSP והןמצד .הגוף המתחבר אשר נמשכת זמן רב. צוין כי קשה לאמוד בפיילוט של חודשיים את היכולות .20 Managed Security Service Provider . .21 "נוהל אב להגדרת מסגרת אחריות משרדי הממשלה ויחידות הסייבר המגזריות למול אגף הכוונת ואסדרת המשק .במערך הסייבר הלאומי בהיבטי הגנת מגזרי המשק למול איומי סייבר", גרסה 1.0 ( 20.05.19.) .| 81 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה הכלליות של השירות הניתן מכיון שלא נבחנו כלל היכולות, ולא בוצע תרגיל תקיפה במטרה .לבחון את אופן הזיהוי והדיוו ח של האנליסטים. עם זאת, חברה ז' הביעה שביעות רצון גבוהה .מהפיילוט וציינה לחיוב כמה היבטים ובהם: האפשרות לשיתוף ידע מגזרי; התקשרות מול גורם .MSSP עם ידע בעולמות ה-IT וה-OT22 (אף שעולמות ה-OT לא נבחנו בפיילוט); צוות תגובה .לתחקור אירועים; חיסכון בעלויות - הפחתת תקורת הניהול של מחלקת אבטחת המידע; ביצוע .פעולות יזומות; וקבלת דוח שבועי המסכם את ההתראות. עם זאת צוינו גם כמה חסרונות ובהם .העובדה שהידע והחוקה23 לא נשמרים בגוף המתחבר . .בדצמבר 2020 שלח מנהל רת"א מכתב למנהלת אגף הסייבר במשרד התחבורה ובו נימוקים .להתקשרות עם רש"ת כספק יחיד לשירותי SOC במגזר התעופה. במכתבו פירט מנהל רת"א כי .מקומה המרכזי של רש"ת בתוך המערכת התעופתית הישראלית מקנה לה היכרות עם הגופים .השונים והרבים המרכיבים את המערכת הזו, שעימם נבנו מנג נוני תיאום ושיתוף פעולה וממשקים .טכנולוגיים רבים . עוד פירט כי במהלך הקיץ האחרון התבצע פיילוט מוצלח, שבמסגרתו חוברה, .בין היתר, גם חברת תעופה אזרחית ל -SOC של רש"ת , ומידע משמעותי וערכי עבור חברת .התעופה הצליח להתקבל ולתרום תרומה ניכר ת בהיבט של הגנת סייבר עבור חברת תעופה זו. .בדיון שהתקיים בחודש ינואר 2021 בהשתתפות משרד התחבורה ונציגי אגף התקציבים במשרד .האוצר ומערך הסייבר ציינה סמנכ"לית מדיניות במערך הסייבר כי כיום אין בידי המדינה תמונת .מצב של מגזר התחבורה, ובכלל זה של גופי תמ"ק כמו נמלים, רכבות וגופים בתחום ה תעופ ה, .וכי תפיסת העולם של מערך הסייבר היא שנדרש לייצר תמונה אחודה של מגזר התחבורה - .משרד, מגזר ותמ"ק, כדי לאפשר לכל מקבלי ההחלטות, ובכלל זה ראש הממשלה, לרכז תמונת .מצב עדכנית בזמן משבר או בעת חירום. עוד בדיון תיאר רמ"ח הנחיה במערך הסייבר את הצורך .ביכולת עצמאית במשרד התחבורה, זאת בשל המומחיות ה מקצועית הנדרשת ו ההיכרות .המעמיקה עם סוגי הכלים השונים ועם ה אלמנטים בתחום הבטיחות שעליהם המשרד מופקד , .העשויים להיפגע כתוצאה מהתקפה במימד הסייבר . .ביולי 2021 פנה ראש מערך הסייבר אל שרת התחבורה וביקש, בין היתר, את השלמתהטיפול .המשותף ב-SOC . . בדיון שהתקיים באוקטובר2021 בנושא הגנת הסייבר במגזר התחבורה בראשות מנכ"לית משרד .התחבורה הודגש כי פרויקט ה-SOC מתועדף גבוה על ידי השרה, וכי המשרד נדרש לפעול כדי .להחזיק תמונת מצב בזמן אמת של גופי התחבורה במגזר, אשר כיום אינה בהישג יד של אף .גורם ברמה הלאומית. בדיון צוין כי החלופה שבחר המשרד להקמת ה -SOC היא באמצעות .רש"ת, וכי המנכ"לית מבקשת לפעול כדי לחנוך את ה-SOC עד סוף2021 תוך טיפול בהיבטים .המשפטיים (רש"ת כספק יחיד או הסכם שותפות של המשרד ורש"ת), התקציביים והמכרזיים. .בנובמבר 2021 אישרהועדת המכרזים במשרד התחבורה התקשרות בפטור ממכרז עם רש"ת .לצורך הקמה ותפעול של SOC לשישה חודשים עם אפשרות להארכה של שישה חודשים נוספים .בהיקף כספי כולל של כ-4 מיליון ש"ח לשנה, בהתאם לפרוטוקול מיום 24.11.2021 . במסגרת .22 Operational Technology - OT - מערכות המשמשותלתפעול , שליטה ובקרה. עם התפתחות הטכנולוגיה והקישוריות .הארגונית לרשת האינטרנט, החלו ארגונים ומפעלים לשלב טכנולוגיות IT-Information Technology מודרניות .במערכות OT ולעיתים אף לקשרן ישירות לרשת. התפתחות טכנולוגית זו חושפת את סביבת ה -OT - המערכות .התפעוליות, לסיכונים ולאיומים שבעבר לא היו קיימים - איומי הסייבר. .23 אוסף ההגדרות והחוקים שבעזרתה מסווגות התראות על פעילות חשודה. . .| 82 | . הגנת הסייבר במגזר התחבורה החוזה נקבע כי התמורה שתשולם לרש"ת תהיה תלויה בין היתר בהיקף המידע המועבר מכל .גוף המחובר ל-SOC , לפי שלוש מדרגות שנקבעו לשם כך: עד 1,000 EPS 24 , 1,000 - 3,000 EPS , .ויותר מ- 3,000 EPS . . בדצמבר2021 החלה רש"ת בהפעלת SOC עבור מגזר התחבורה. ביולי 2022 מסר משרד .התחבורה למשרד מבקר המדינה כי עד כה חוברו ל-SOC 14 מתוך35 גופים, מהם חמישה .נמצאים בסטטוס "מבצעי", ותשעה מחוברים אך טרם "מבצעיים". להלן תרשים המתאר את .סטטוס חיבור הגופים ל-SOC ( המגזרי, תחום הפעילות של הגוף והסיווג שלוC,B,A :) .תרשים 10: סטטוס חיבור הגופים ל- SOC של מגזר התחבורה . .נכון ליולי 2022 , עלפי נתוני משרד התחבורה, בעיבוד משרד מבקר המדינה. .* לפי המדיניות הלאומית להגנת הסייבר בתעופה אזרחית, פעילות זמן אמת (ניטור באמצעות SOC ) תהיה .באחריות משרד התחבורה, תוך קיום ממשקים עם רת"א ועם מערך הסייבר. .עוד מסר משרד התחבורה למשרד מבקר המדינה בפברואר 2022 ,כי עקב תקציב מוגבלהוקצו .לארגונים מאוד גדולים (שלושה לפי הערכת משרד התחבורה) אמצעים שלא הספיקו לניטור .כל הרכיבים החשובים בכל ארגון. .כמו כן נמצאו מספר חסמים עיקריים שמונעים את החיבור ל-SOC , בהם היעדר מיפוי נכסים .עצמאי של הארגון הנדרש כהיערכות מקדימה לתהליך החיבור ל-SOC ; זמינות גורמים טכניים .24 Events Per Second - אירועים לשנייה- מדד המתאר את נפח המידע המועבר מהגוף אל ה-SOC . .| 83 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה רלוונטיים בגוף המתחבר; והיעדר מוטיבציה מצד הגופים המתחברים. יצוין כי משרד התחבורה .מציע את החיבור ל-SOC .ללא עלות מצד הגופים אף שהוא משלם בעבורה .בביקורת עלה כי לא נקבעה תוכנית עבודה מפורטת לחיבור ול"מיבצוע" של כלל הגופים .ל-SOC , אף שההתקשרות מולרש"ת מתוכננת להסתיים לאחר כשנה (בדצמבר 2022 ) ואף .שנכון ליולי 2022 מחוברים ל-SOC פחות ממחצית מהגופים ( 14 מתוך 35 ,)מהם חמישה .בלבד בסטטוס "מבצעי", 9 ,"מחוברים אך לא "מבצעיים18 ,"בסטטוס "ממתינים לחיבור .ושלושה בסטטוס "לא הותנע". עוד עלה כי ההתקשרות הנוכחית עם רש"ת אינה נותנת .מענה מלא לארגונים גדולים. .מוצע כי משרד התחבורה יקבע לוח זמנים מפורט לחיבור כלל הגופים ולהפיכת חיבור זה .ל"מבצעי". בנוסף מוצע כי המשרד ימפה את החסמים לחיבור ל- SOC של גופים שהוגדרו ."ממתין לחיבור " או "לא הותנע" ויפעל לשחרור החסמים. .במועד סיום הביקורת, באפריל 2022 , החל משרד התחבורה להקיםSOC מגזרי זמני ולחבר .אליו גופים בהדרגה - מהלך חשוב ומורכב שעשוי לתרום רבות למשרד בנוגע לקב לת .תמונת מצב על הגנת הסייבר בגופים המנחים על ידו. נוכח טווח הזמן של כשנה שאושר .להפעלת ה-SOC ברש"ת ומשך הזמן הדרוש לביצוע התקשרות מורכבת להקמת SOC , . מומלץ כי משרד התחבורה יבחן, עוד במהלך תקופת ההתקשרות עם רש "ת, את .האפשרויות העומדות לפניו להפעלת SOC בצורה קבועה. כן מומלץ למשרד התחבורה .לבחון כיצד לנטר בצורה אפקטיבית גופים גדולים. נוכח העובדה שייקח זמן לחבר את כל .הגופים ל-SOC , מוצע למשרד התחבורהלתעדף את הטיפול בגופים שונים ובגופים שאינם .מנוטרים כלל. .חברה ז' מסרה בתשובתה ביוני 2022 כי מספר חודשים לאחר סיום הפיילוט התנתקה החברה .מה-SOC שאליו היתה מחוברת והתחברה ל-SOC המגזרי, אשר להבנתה היה אמור להיות מבצעי .לחלוטין ולספק כיסוי התראתי מלא לאירועי סייבר המאותרים במערכות החברה, זאת נוסף על .סיוע ראשוני במקרה של אירוע. בפועל, לדעת חברה ז', ה-SOC המגזרי היה רחוק מלתת את .המענה הנדרש לצורכי החברה - הן בנושא הגילוי וההתראה והן בנושא החקירה והתגובה, כאשר .רמתו היתה נמוכה הן מהרמה שהתקבלה בפיילוט והן מזו של ה-SOC הקודםשהפעילה החברה. .לפיכך, לאחר התייעצות עם משרד התחבורה, החברה הפסיקה להשתמש ב -SOC המגזרי .לצורכי ניטור וקבלת התראות. לבקשת מ שרד התחבורה , חברה ז' נשארה מחוברת ל-SOC .במטרה לאפשר למשרד לקבל תמונת מצב מגזרית (דשבורד). במקביל, חברה ז' התחברה .לSOC- אחר באופן פרטני, ומאז היא מקבלת את שירותי הניטור וההתראות מ- SOC .זה .משרד התחבורה מסר בתשובתו הנוספת מיולי 2022 כי הוא דוחה את טענות חברה ז'. המשרד .ציין כי חברה ז' השתתפה בפיילוט והביעה שביעות רצון, ותוכננה להתחבר ל-SOC כגוף לצפייה .בלבד ולא בחיבור מלא, אך עברה לניטור מלא עקב פער זמנים בהתקשרות עם חברה פרטית .שתספק לה את השירות על מנת שיישמר לה רצף הניטור. המשרד הוסיף כי חברה ז' מנוטרת .כיום על ידי ה-SOC המגזרי ובמקביל על ידי ספק פרטי, וכי השירות ב-SOC ,משתפר בעקביות .עם קבלת תמונת מצב ענפית ברורה וטיוב החיבור ים וכח האדם. המשרד הוסיף כי תהליך הפיכת .גוף ל"מבצעי" דורש זמן וכי לאחר השלמת חיבור של גוף, מוזרמת תמונה מלאה על אודותיו .ומצויה בידי ה משרד. . .| 84 | . הגנת הסייבר במגזר התחבורה מוצע שמשרד התחבורה יבחן בשיתוף חברה ז' את הסיבות לכך שה-SOC המגזרי לא סיפק .עבור חברה ז' מענה הולם, ויבצע את הפעולות הנדרשות לתיקון. .הגנת הסייבר בפרויקטים חדשים .משרד התחבורה אחראי מטעם הממשלה להקמה ולניהול של התשתית התחבורתית במדינה, .ומתוקף אחריות זו הוא יוזם ומבצע פרויקטים תחבורתיים שונים, אשר חלקם נשענים על תשתית .טכנולוגית הפגיעה מטבעה לאיומי סייבר . עלות פרויקטים אלה מתוקצבת במיליארדי ש"ח מדי .שנה. כך לדוגמה, ביצוע התקציב של סעיף "פיתוח תחבורה" 25 הסתכם בשנת2019 בכ-25 . מיליארד ש"ח ובשנת2020 בכ-30 .מיליארד ש"ח .העלאת המודעות לחשיבות הטמעת הגנת הסייבר והקצאת משאבים לטובת יישומה בפועל, .החל בשלב הייזום, דרך כל שלבי הקמת הפרויקט וכלה בהפעלתו השוטפת, חיוניות כדי למזער .את פגיעותה של התשתית לאיומים המתעצמים. .המדיניות מגדירה כי חברות התשתית המבצעות פרויקטים תשתיתיים עבור המשרד, הכוללים .מערכות ורכיבים טכנולוגיים, נושאות באחריות להגנת הסייבר של הפרויקט בכל שלביו, תוך .ליווי ובקרה של אגף הסייבר. פרויקטים שיסווגו כתמ"ק יונחו על ידי מערך הסייבר הלאומי. .בספטמבר 2021 " פרסם משרד התחבורה נוהל עבודה להטמעת דרישות סייבר בפרויקטים .תשתיתיים". בנוהל נקבע כי אגף הסייבר אחראי על הנחיה מקצועית ובקרה על הטמעת דרישות .הגנת סייבר בפרויקטים. הנוהל גם מגדיר עקרונות כלליים להגנת הסייבר, לרבות תקצוב הנושא, .איוש תפקיד של יועץ סייבר וקיום פגישות בקרה תקופתיות בהשתתפות הגורמים הרלוונטיים .מטעם חברת התשתית המבצעת ואגף הסייבר. .לפי הנוהל, בתקצוב פרויקט יש להקצות משאבים לצורך הטמעת דרישות הגנת הסייבר בכל .שלבי הפרויקט. בפרויקטים זכייניים התקצוב יכלול גם את ההפעלה השוטפת בהתאם לאומדן .הבא: .1. יועץ לתכנון וביצוע- 60 שעות עבודה ח ודשיות, 300 ש"ח לשעה לכל אורך חיי הפרויקט . .2. השקעה במערכות הגנה- 10% מתקציב הטכנולוגיות. .3. תפעול שוטף- 8% מתקציב ה-IT , ובכלל זה: כוח אדם, רישיונות ושירותים בתשלום (ייעוץ, .מבדקי חדירה, סקרי סיכונים, מודעות עובדים,SOC , צוותי התערבות וכדומה). .למשרד התחבורה פרויקטים רבים בשלבי תכנון בלבד או בשלבי ביצוע מוקדמים, ובהם: הרכבת .הקלה חיפה -נצרת (רק"ל נופית); רכבל ירושלים; הקו הירוק והקו הכחול ברכבת הקלה .בירושלים; הקו הירוק והקו הסגול ברכבת הקלה בגוש דן; ומערך המטרו בגוש דן. להלן תרשים .המפרט כמה מהפרויקטים החדשים המתוכננים בשנים הקרובות: .25 'סעיף תקציבי מס 79 הכולל את תתי -הסעיפים האלה: תחבורה ציבורית; כבישים; בטיחות בדרכים; תמיכות .בתחבורה; פיתוח אחר. .| 85 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה תרשים 11: פרויקטים חדשים במגזר התחבורה .המקור: משרד התחבורה, בעיבוד משרד מבקר המדינה. .בשנת 2017 , במסגרת ההיערכות להקמת שני הנמלים החדשים, נערך דיון בהשתתפות נציגי .משרד התחבורה, רשות הסייבר הלאומית (כיום - מערך הסייבר), חנ"י ונציגי הזכיינים המפעילים. .בדיון זה הועלה הצורך בליווי הנמלים מבחינת היבטי הסייבר כבר בשלבים המוקדמים להקמתם .מפאת המאפיינים הייחודיים שלהם. בסיכום הדיון נכתב כי "על בסיס החלטת ממשלה 2443 .מיום 15.2.15 , ההכוונה המקצועית בתחום הגנת הסייבר תהיה בהתאם לסמכות הרגולציה .המופעלת על ידי משרד התחבורה. בהקשר האמור , הרשות הלאומית להגנת הסייבר תשמש .כגורם מקצועי, אשר ינחה את משרד התחבורה בעניין זה". .בעניין נמלי הים החדשים, בפברואר 2020 שלחה מנהלת אגף הסייבר מכתב אל מנהל רשות .הספנות והנמלים ובו ציינה כי בימים אלה נמצא המשרד בעיצומו של תהליך תכנון טכנולוגי .במסגרת הקמת הנמלים החדשים . עוד צוין כי בשונה מהנמלים הקיימים, החדשים יהיו נמלים .מודרניים שתפעולם יושתת על מערכות טכנולוגיות ממוחשבות לתפעול ואוטומציה, דבר המקנה .יתר חשיבות לתכנון וליישום מדיניות, נהלים ואמצעי הגנה יעילים ומתקדמים להגנה מפני איומי .הסייבר, וכי כל נמל כנכס אסטרטגי של מדינת ישראל, נדרש בהנחיה להתמודדות נגד איום .הסייבר . במכתבה סקרה את הסיכונים האפשריים העומדים בפני הנמלים ואת פוטנציאל הנזק .בהם - פגיעה בחיי אדם ובבריאות הציבור, וגרימת נזק כלכלי. מנהלת אגף הסייבר סיכמה את .מכתבה בכך שבשלב הנוכחי, אין ביכולתה לפעול מול הנמלים החדשים ללא סמכות ואחריות. .כאמור בדיון ועדת היגוי סייבר במשרד התחבורה שהתקיים בנובמבר 2020 בראשות מנכ"ל .המשרד דווח כי המשרד לא ביצע עד כה ביקורות בגופים בהיבטי סייבר, וכי בתחום התחבורה .הימית לא מבוצעת פעילות סייבר . .משרד התחבורה מסר בתשובתו ביולי 2022 כיבעקבות הפני י ה שלו לר שות הספנות והנמלים .(שבוצעה כאמור בפברואר 2020 ) הובהר שקיימת למשרד סמכות מלאה באמצעות החוק להסדרת .הביטחון26 למתן הוראות לנמלים בענייני סייבר במסגרת כתבי ההסמכה של התאגידים המוסמכים .בנמלים . בהתאם לכך הוסדרה הפעילות אל מול המפעילים השונים בנמל , ו מאז ביצע המשרד .ביקורות בנמלים והוסכם בין הצדדים על ת ו כנית עבודה, המנוהלת בשיתוף פעולה . המשרד הוסיף .כי ממועד פרסום נוהל " עבודה להטמעת דרישות סייבר בפרויקטים תשתיתיים" בספטמבר 2021 , . כל פרויקט שעומד בתבחינים שהוגדרו עובר ליווי והכוונה של אגף הסייבר . לגבי הנמלים החדשים, .26 'תיקון מס10 לחוק להסדרת הביטחוןמשנת 2019 . . .| 86 | . הגנת הסייבר במגזר התחבורה בשל התשתית המשפטית של הקמת הנמלים והפעלתם לא חלו לגביהם הוראות החוק להסדרת .הביטחון בגופים ציבוריים. יחד עם זאת הדגשים לעניין סייבר ניתנו לנמלים החדשים על ידי המשרד .כבר בהליך ההקמה, וקודם לאמצע שנת 2021 , וזאתבאמצעות גורם אחר על בסיס ההסכם מול .מקימי הנמלים . כש הועברו התשתיות אל מפעילי המסופים תוקן החוק בהתאמה והחלה עבודת .הפיקוח בנושא הסייבר ישירות מולם . .נמצא כי בשנים 2017 עד2020 לא היה ברור מי המאסדר האחראי להנחיית הנמלים .החדשים, והנמלים לא הונחו באופן סדור שהולם את הסיכונים בנוגע להיערכותם .להתמודדות עם איומי סייבר, זאת עד שנת 2020 שבה הובהר למשרד התחבורה שקיימת .לו סמכות מלאה. בהמשך לכך, בספטמבר 2021 פרסם המשרד נוהל עבודה להטמעת .דרישות סייבר בפרויקטים תשתיתיים וביצע ביקורות בשני הנמלים החדשים באוקטובר .ובנובמבר 2021 , כאשר אחת מהביקורות בוצעה בסמוך להפעלת הנמל והועלו בה פערים .שיש לתקן כתנאי להפעלת הנמל. .מומלץ כי משרד התחבורה יהיה מעורב בהיבטי הסייבר בפרויקטים חדשים עוד בשלבי .התכנון, שכן בהתאם לתפיסת Security by Design זול יותר לשלב את דרישות הגנת .הסייבר בשלבי תכנון הפרויקט מלהכניסן בשלבים מאוחרים שבהם יידרשו שינויים .והתאמות, ויעקוב אחר יישום הדרישות בטרם מתן רישיון ההפעלה. .הרכב האוטונומי .בשנים האחרונות מתקדם בכל העולם פיתוחו של רכב אוטונומי, דהיינו רכב שמסוגל ל נווט .ולנסוע ללא התערבות פעילה של נהג אנושי באמצעות מערכת נהיגה עצמאית המשלבת רכיבי .חומרה ותוכנה שמאפשרים לה שליטה על הרכב. .מדינת ישראל מצויה ב חזית ה פיתוח בתחום , וכיום יש כמה חברות, ישראליות וזרות, ה מבצע ות .ב ישראל ניסויים המדמים נסיעות של רכב אוטונומי . בניסויים אל ו מערכת הנהיגה העצמאית מסיעה .את הרכב אך יושב בו נהג בטיחות שתפקידו להשתלט על הרכב במקרה חירום . מלבד נהג הבטיחות .לא מעורבים בניסויים נוסעים אחרים, והם אינם בעלי אופי מסחרי (כלומר, אין הסעות בתשלום ). .הפעלת ה תחבורה האוטונומית מעורר ת אתגרים וסיכונים בתחומים ש ונים הנוגעים להגנת .הסייבר והפרטיות, ובהם: סיכונים לפגיעה בחיי המשתמשים או משתמשי הדרך הסמוכים .לרכבים האוטונומים, באמצעות שיבוש מערכות הרכב בעת נסיעה באמצעות תקיפות במרחב .הסייבר; וסיכונים לפגיעה בפרטיות באמצעות מידע הנאסף על ידי החיישנים והמצלמות הרבים .המותקנים ברכבים אלו, האוספים מידע על המשתמשים ויתר משתמשי הדרך הסמוכים. .במרץ 2022 נחקק חוק לתיקון פקודת התעבורה27 במטרה לאפשר נסיעה של רכבים אוטונומים .בכבישי ישראל. החוק, שהוכן בשיתוף של משרד התחבורה ומערך הסייבר, נועד להסדיר את .שלב המעבר מניסויים ברכבים אוטונומיים שבהם יושב נהג בטיחות כאמור, לנסיעות ניסיוניות .ברכבים אוטונומיים ללא נהג כלל, ואף במסגרת של הסעת נוסעים בשכר או שלא בשכר . החוק .כולל דרישות סייבר שעל המפעילים לעמוד בהן כתנאי לקבלת היתר הפעלה. משרד התחבורה .27 חוק לתיקוןפקודת התעבורה ( תיקון מס' 130 "), התשפב-2022. .| 87 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה אחראי לבחון בשלב הניסויים, בליווי גורמים מומחים, את עמידת המפעילים בדרישות החוק. כן .פ רסם משרד התחבורה נוהל28 שדורש מעבר במרכז הסייבר (אותו הקימו משרד התחבורה .בשיתוף מערך הסייבר וחברת נתיבי איילון באמצעות קבוצת חברות שזכו במכרז) לבדיקות .מקיפות של סייבר (אר בעה עד חמישה חודשי בדיקה) כתנאי למתן ההיתר . .מידת העצמאות של מערכות הנהיגה האוטונומיות מסווגת לחמש דרגות: .תרשים 12: דרגות העצמאות של מערכות הנהיגה האוטונומיות .המקור: מ רכז המחקר וה מידע של הכנסת, כלי רכב אוטונומיים - מדיניות ממשלתית, אתגרים והזדמנויות, .דצמבר 2019 , בעיבוד משרד מבקר המדינה. .28 הוראת נוהל- "הגנה בסייבר לרכב עצמאי" מיום 1.4.22. . .| 88 | . הגנת הסייבר במגזר התחבורה דרגה 5 נוגעת לרכב המסוגל לבצע את מכלול פעולות הנהיגה. דרגה זו עדיין מצויה בפיתוח, .ובהתאם לדברי ההסבר להצעת החוק, רכבים מסוג זה אינם צפויים להגיע לבשלות תפעולית .בתקופה הקרובה. .משרד מבקר המדינה מציין לחיוב את הפעילות שנעשתה בתחום הרכב האוטונומי, לרבות .תיקון החוק, פרסום הנוהל והקמת מרכז הניסויים בבאר שבע. עם זאת משרד התחבורה .טרם החל בביצוע ביקורות בתחום זה. .מוצע שאגף הסייבר יבצע ביקורות באופן עצמאי על החברות שמבצעות ניסויים ברכב .אוטונומי קודם הפעלת יכולת זו בכבישי ישראל ויחווה את דעתו בנוגע לסיכונים הקיימים .בתחום זה ויוודא טיפול החברות בפערים שנמצאו בניסויים, ככל שאלו קיימים. .משרד התחבורה מסר בתשובתו מיולי 2022 כיההצעה הוטמעה בחוק, ה מסמיך את מנהלת .אגף הסייבר בשילוב גורמים מומחים לביצוע מעקב ובקרה. המשרד הוסיף כי הוראת הנוהל .שפרסם באה לענות על דרישה זו והיא מיועדת להוות מסמך דרישות מפורט לבחינה מרגע .הגשת הבקשה ועד למתן אישורי המשרד להפעלתם של רכבים עצמאיים בדרך ציבורית, כולל .הוכחת היצרן להגנה בפני הגנת סייבר ואבטחת מידע. .שיתוף ידע בין הגורמים במגזר התחבורה .שיתוף ידע בין מתחרים .הגופים השונים במגזר התחבורה מתמודדים לרוב מול איומים דומים, ללא תלות בהגדרה של .הגופים - גופי תמ"ק או גופים שאינם גופי תמ"ק, או בזהות החברה המפעילה. כך למשל, אירוע .תקיפת סייבר המתרחש באחד מנמלי ישראל רלוונטי לידיעת כל יתר הנמלים כדי שיוודאו כי .נתיב התקיפה של התוקפים אינו ניתן לניצול דומה בנמל אחר. .רשות התחרות פרסמה את עמדתה בנושא 29, ולפיה אף ששיתוף מידע בין מתחרים עשוי להוות, .בנסיבות מסוימות, הסדר כובל על פי חוק התחרות הכלכלית, התשמ"ח -198830, אם שיתוף .המידע אינו נוגע לפעילותם העסקית של הצדדים אלא אך ורק למידע הנדרש לצורך הגנת .סייבר, כגון מידע על איומי סייבר, סממנים, חולשות, פוגענים ונוזקות וכן מתודולוגיות וכלי .התמודדות עם איומי סייבר, רשות התחרות לא תראה בהעברתו כפעולה העלולה למנוע או .להפחית את התחרות בעסקים, וזאת אף אם העברת המידע נעשית בין מתחרים. זאת מאחר .ששיתוף מידע בעל ערך אבטחתי הוא חלק משמעותי מיכולת ההתמודדות של גופים עם איומי .סייבר , ומדינת ישראל רואה חשיבות רבה בעידוד גופים במשק לשתף ביניהם מידע בעל ערך .אבטחתי. .29 גילוי דעת3/17 : שיתוף מידע לצורך התמודדות עם איומי סייבר. .30 .שמו המתוקן של חוק ההגבלים העסקיים .| 89 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה בביקורת עלה כי אף שרשות התחרות לא רואה בהעברת מידע על איומי סייבר כפעולה .העלולה לפגוע בתחרות, הרי שבפועל שיתוף המידע בין גופים דומים הוא חלקי. למשל: .במערכות בתחום התחבורה - רק בשישה מתוך שנים עשר הגופים שנבדקו (50% ) קיים .שיתוף ידע בנושא הגנת הסייבר31; בתחום הים - נמצא כי נמל כ' ונמל כ"א, הנמצאים .שניהם בתהליכים דומים לצורך שיפור רמת ההגנה בסייבר, אינם משתפים ידע אחד עם .השני בתחום הגנת הסייבר. .היעדר שיתוף מידע בתחום איומי הסייבר עלול לגרום לכך שחברה אשר מצוי בידיה מידע קריטי .(למשל ניסיון פגיעה באמצעות ניצול חולשה במערכת) , לא תעביר מידע זה למקבילתה אף .שבכך תוכל למנוע נזק משמעותי. .מומלץ כי משרד התחבורה יפעל למסד תשתית מתאימה (למשל באמצעות הקמת פורומים .מקצועיים ומערכת שיתוף מידע) ולעודד את הגופים השונים לשתף האחד את השני במידע .מקצועי בנושא הסייבר, גם כאשר הם מתחרים זה בזה, ובהתאם לכללי התחרות והסייגים .לעניין הסייבר החלים עליהם. מומלץ כי המשרד ישקול להשתמש ב -SOC המגזרי גם .כתשתית לשיתוף אירועים ופעולות לטיפול באירועים אלו שקורים בכלל המגזר. שימוש .באופן זה אף עשוי להגביר את התועלת של הגופים משימוש ב-SOC . .חברת נמל כ"א מסרה בתשובתה ביוני 2022 כי שיתוף ידע בין הנמל לגורמים הנוספים מבוצע .באמצעות מערך הסייבר אשר מעביר לידיעתם עדכונים בדבר אירועי אבטחת מידע שאירעו, .לרבות בנמל כ', וכי אין לה התנגדות להשתתפות בפורומים משותפים ביוזמת משרד התחבורה. .חברת נמל כ' מסרה בתשובתה ביוני 2022 ,כי היא מברכת על ההמלצה ומעוניינת בשיתוף הידע .בתיווכו ובניהולו של מערך הסייבר. .הכנת תבנית לצורך פרסום מכרזים בתחום הסייבר .מינהל הרכש במשרד האוצר מפרסם מכרזים מרכזיים עם ספקים בתחום הסייבר עבור רכש .תוכנה ושירותים במחירים ובתנאים שסוכמו בין המדינה לבין הספק 32 . מכרזים אלו מיועדים .לשימוש משרדי הממשלה ויחידות הסמך בלבד. .במגזר התחבורה, בדומה למגזרים אחרים, כל גוף - לרבות חברות ממשלתיות המשמשות זרועות .ביצוע של משרד התחבורה, מכין בעצמו את המכרזים. מכרזים אלו עוסקים לעיתים באותם .הצרכים, וזוכים בהם אותם הספקים, למשל בנושאים כגון הקמת SOC ארגוני, רכש מערכות .31 מפורט להלן בממצאיהשאלונים בפרק "מצב ההגנה בסייבר במגזר התחבורה ". .32 ""מכרז הנערך מטעם החשב הכללי בעבור המשרדים- הוראת תכ"ם בעניין "מכרז מרכזי והתחייבות ספק למחירים .מרביים" קובעת כי "במקרים שבהם מצא מינהל הרכש כי מרבית משרדי הממשלה רוכשים טובין/שירותים/עבודות, .שחלקם ברי תחרות וחלקם לא, יבחן עריכת מכרז מרכזי או חתימה על התחייבות ספק למחירים מרביים, במטרה .להסדיר את תנאי ההתקשרות ולנצל את יתרון הגודל של כלל המשרדים". . .| 90 | . הגנת הסייבר במגזר התחבורה הלבנה או גיוס יועצים בתחום הסייבר. תהליך הכנת מכרז בגוף ציבורי, משלב הכנתו ועד .ההחלטה על הספק הזוכה, הוא תהליך מורכב שנמשך זמן רב וכרוך במשאבים רבים33. .בשנת 2016 הכין מערך הסייבר תבנית אחידה לצורך גיוס יועצי סייבר על ידי משרדי .ממשלה, המבוססת על מכר זים שפרסמו קודם לכן יחידות סייבר מגזריות שונות. בסופו .של דבר לא אושרה תבנית זו והתהליך הופסק. .בשנת 2021 , במסגרת תהליכי החשיבה המחודשת על החלטה 2443 , צוין כי בנושא הרכש .הממשלתי "דרוש שיפור של המנגנון ויישומו בפועל. אולי גם לעשות את הרכש המרוכז על ידי .המערך, כדוגמה... נדרשת תפיסה הוליסטית בנושא". .בביקורת עלה כי לא קיימת תבנית לצורך פרסום מכרזים בתחום הסייבר לשימוש הגופים .במגזר. מומלץ כי מערך הסייבר ואגפי הסייבר המגזריים, ובהם אגף הסייבר במשרד .התחבורה, יעלו צרכים משותפים בתחום הסייבר לצורך הכנת תבניות שיוכלו לשמש את .כלל הגופים במגזר (לדוגמא: גיוס יועצים; רכש כלים; רכש שירותי התערבות באירועים .(IR ); הקמת ותפעולSOC ), תבניות אלו יוכלו לשמש את כותבי המכרז ולחסוך להם זמן .וכן ליצור אחידות בדרישות הבסיס של כל תחום התקשרות, אליהם יוסיף כל גוף את .הנושאים הרלוונטים לו. .33 ,ראו פירוט: מבקר המדינהדוח שנתי 69ב (2019 ."), "היבטים בהתקשרויות משרדי ממשלה בתחום התקשוב .| 91 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה מצב ההגנה בסייבר במגזר התחבורה .פערי ידע בתחומים מסויימים .נמצא כי הנחיות מסויימות בנוגע למערכות בתחום הת חבורה, כוללות פרקים אשר לא .התעדכנו משנת 1981 ,ואינן כוללות את היבטי הגנת הסייבר הנדרשים על מערכות אלו. .מומלץ כי משרד התחבורה יעדכן את ההנחיות כך שיכללו גם דרישות בנושא הגנת .הסייבר. .בדיקת מצב הגנת הסייבר בתחום התחבורה .באמצעות מבדק חדירה ושאלונים .משרד מבקר המדינה בדק את מצב הגנת הסייבר ב תחום התחבורה באמצעות הכלים האלו: .מבדק חדירה, תשאול בעלי תפקיד בתחום הגנת הסייבר והעברת שאלונים. מבדק החדירה .והתשאול בוצעו בעירייה א'. שאלונים הבודקים את רמת הגנת הסייבר נשלחו ל עשר רשויות .מקומיות ולשתי חברות ממשלתיות. .תרשים 13: שיטות הבדיקה של הגנת הסייבר .משרד הפנים מופקד על תכנונה ויישומה של המדיניות הלאומית בנושאי השלטון המקומי. .פעילות המשרד כמאסדר מתבצעת בשני מישורים: במישור הארצי - מתן הנחיות וקביעת .מדיניות, ובמישור המחוזי - קיום קשר עם הרשויות באמצעות הדרג הביצועי. המשרד מפקח . .| 92 | . הגנת הסייבר במגזר התחבורה מטעם הממשלה על הרשויות המקומיות ואחראי להכוונת פעולותיהן בהתאם לחוק ולמדיניות .הממשלה 34. . אגף הסייבר במשרד הפנים: החלטת הממשלה 2443 עסקה במשרדי הממשלה המחילים את .סמכויות הרגולציה שלהם על גופים או פעילויות החשופים לאיומי סייבר. בעקבות קבלתה של .החלטת הממשלה האמורה, הוקם בשנת 2017 אגף הסייבר במשרד הפנים כיחידה מקצועית .מגזרית בתחום הגנת הסייבר ואבטחת המידע הכפוף למינהל לשירותי חירום במשרד הפנים .ובהנחיה מקצועית של מערך הסייבר, ובין היתר הוטלה על האגף האחריות להסדרת היערכותן .של הרשויות המקומיות לאיומי סייבר. באגף מועסקים ארבעה יועצים חיצוניים המומחים .לאבטחת מידע, אשר נותנים שירות לרשויות המקומיות. תפקיד היועצים ללוות את הרשויות .המקומיות בתחום אבטחת המידע והגנת הסייבר, לייעץ להן באופן שוטף ולסייע בקביעת .מדיניות ותוכניות עבודה ולהציב יעדים להגברת החוסן של הרשויות המקומיות. .אגף הסייבר במשרד התחבורה אחראי להנחיית מערכות בתחום התחבורה המנוהלות על ידי .חברות התשתיות (שתי חברות ממשלתיות) ועירייה א'. במסגרת זאת אגף הסייבר סיווג את .הגופים האלו כגופי A , והנחה אותם במסגרת פרסום המדיניות בינואר2021 , כמו את יתר גופיA , . ליישם אותה עד ינואר2023. . ממצאי השאלונים שעלו ממענה הרשויות .המקומיות ושתי חברות ממשלתיות .פירוט הממצאים הכלליים שעלו בשאלונים .להלן סיכום מצב ההגנה בתחומים שנבדקו, על בסיס הממצאים שעלו בשאלונים: .34 בעניין זה ראו מבקר המדינה, דוח שנתי 70ב (2020 " ), בפרקההיערכות הממשלתית ליישום טכנולוגיות מתקדמות .ברשויות המקומיות - מיזם ערים חכמות", עמ' 412 - 413 . .| 93 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה תרשים 14: מצב ההגנה בתחומים שנבדקו במסגרת שאלון בתחום התחבורה . . .| 94 | . הגנת הסייבר במגזר התחבורה החלת המדיניות על הגופים שאליהם הועבר השאלון: במועד סיום הביקורת, המדיניות .חלה על שלושה גופים בתחום התחבורה המוגדר ים כגופ י A 35 . כאמור, המדיניות קובעת כי גופי .מגזר התחבורה יסווגו לשלוש רמות דירוג: A,B,C , בהתאם לחומרת הפגיעה האפשרית באינטרס .חיוני למדינה כתוצאה מתקיפת סייבר. דירוג זה נקבע על ידי ועדה בראשות ראש אגף בכיר .ביטחון חירום וסייבר במשרד התחבורה, כאשר אחת לשנה אמורה הוועדה לדון בהוספת או .הסרת גופים מהרשימה בהתאם לקריטריונים ולאפיון הגופים. .הליקויים שעלו בשאלון נמצאו גם בעיריות שבהן מערכות בתחום התחבורה טרם סווגו, ולכן .אינן נדרשות לעמוד בדרישות המדיניות. .בהתאם לתבחיני הנזק אשר למולם מתבצע תהליך דירוג הגופים, לדעת משרד מבקר .המדינה העיריות העוסקות בהיבט שנבחן בדוח זה ב תחום התחבורה עומדות בתבחינים .לשם סיווגן כגוף A אוB ,. לכןמומלץ כי משרד התחבורה יעדכן את סיווג הגופים כך .שעיריות אלו יידרשו לעמוד בדרישות המדיניות. .מתוך ראייה צופה פני עתיד, הדוח כולל המלצות גם עבור עיריות העוסקות בהיבט שנבחן בדוח .זה בתחום התחבורה שאינן מסווגות כיום כגופי A אוB ולפיכך המדיניות אינה מחייבת אותן כיום .מבחינה פורמלית, אך צפויה לחייבן לאחר ביצוע עדכון סיווג הגופים על ידי משרד התחבורה. .עירייה י' מסרה בתשובתה כי היא רואה חשיבות בביצוע פעולות שתכליתן להיערך לקראת .החלת המדיניות גם עליה, ולפיכך מינתה גורם בעירייה שיוכשר להתמודדות עם אתגרי הסייבר .העומדים לפתחה . .היעדר מערכות בתחום ה תחבורה : עיריות מסויימות השיבו כי אין להן מערכת מרכזית .בתחום זה. .ספקים : נמצא כי חברות אחדות נותנות שירות למערכות בתחום התחבורה לכל הגופים בתחום, .וכן נמצא כי מערכות אלה מבוססות על מספר מועט של תוכנות. .אירועים שהתרחשו: כל הגופים דיווחו כי למיטב ידיעתם לא התרחשו אצלם אירועי סייבר .הקשורים למערכות בתחום ה תחבורה בשנים 2019 עד 2021 . . פירוט הממצאיםהעיקריים שעלו בשאלונים 1. מבנה ארגוני תומך הגנת הסייבר .לפי המדיניות, בגוף עליו חלה המדיניות, יש למנות לפחות את בעלי התפקידים האלה: .ממונה הגנת הסייבר , מנהל הגנת הסייבר וכן ועדת היגוי להגנת הסייבר . יצוין כי בגופים .רבים המחזיקים מאגרי מידע, בעלי תפקידים וחברי ועדות אלה מכהנים בתפקידם בגוף .35 משרד התחבורה מסר בתשובתו ביולי2022 כי שני גופים אמנם מסווגים כגופיA , אך אינם כפופים לאגף הסייבר .במשרד ונעזרים בשירותיו באופן וולנטרי וזמני. .| 95 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה ממילא מתוקף החובות לפי תקנות אבטחת מידע. נוסף על כך, לפי המדיניות, על ועדות .היגוי הסייבר להתכנס אחת לחצי שנה לפחות. .התחום השאלה .ממשל תאגידי האם יש בגוף בעלי תפקידים שאחראים להגנת הסייבר ולאבטחת המידע .במערכות בתחום התחבורה ? .ממשל תאגידי האם מונתה ועדת היגוי סייבר במסגרת הגוף? . .נמצא כי בשיעור קטן ב גופים שהשיבו על השאלון לא קיימים בעלי תפקידים .שאחראים בצורה רשמית ומעשית להגנת הסייבר בגוף ככלל ובתחום התחבורה .בפרט. בעיריי ה ה' נמצא כי קיימים בעלי תפקידים בתחום הגנת הסייבר, אך הם .אינם עוסקים בתחום התחבורה. עוד נמצא כי בשיעור בינוני בגופים שנבדקו לא .קיימות ועדות היגוי העוסקות בנושא הגנת הסייבר . .על העיריות האמורות למנות את בעלי התפקידים הנדרשים וכן למנות ועדת היגוי .בנושא סייבר ולכנסה בקביעות. מינוי בעלי התפקידים והתכנסות ועדת ההיגוי .יאפשר ו להנהלת העירייה לקבל תמונת מצב ברורה של מצב הגנת הסייבר של .מערכות הארגון ביחס לסיכונים הקיימים, לטפל בפערים הקיימים, לדון באירועי .סייבר שהארגון חווה ולעקוב אחר העמידה במימוש ת וכנית העבודה המוגדרת. .עירייה ח' מסרה בתשובתה כי היא מקבלת את ההערה בנושא ועדת היגוי סייבר , והיא .תפעל להקים ועדה שכזאת עם בעלי התפקידים הרלוונטי ים ברשות. .עירייה י' מסרה בתשובתה כי אף שהמדיניות אינה חלה על העירייה, היא תפעל למנות .ממונה או מנהל הגנת סייבר וכן תפעל להקמת ועדת היגוי סייבר. 2. קיום דרישות בתחום הסייבר או אבטחת המידע במכרז לבחירת ספקים בתחום התחבורה .שרשרת האספקה משמשת במקרים רבים ערוץ לתקיפת הארגון: מחד התוקפים מנצלים .את האמון הקיים בין הספק ללקוח, ומאידך את החולשות ו הפרצות אצל הספק שעלולות .לאפשר גישה לרשת הארגון. לפיכך הארגון נדרש להבטיח את רמת ההגנה בסייבר גם .אצל הספקים ואצל קבלני המשנה שלו. מערך הסייבר פרסם מתודולוגיה סדורה בנושא .שרשרת האספקה וסיפק כלים לבחינת מידת ההגנה של הספק. .לגבי התקשרויות קיימות , הגוף נדרש למפות ולהעריך את הסיכונים הגלומים .בהתקשרויות הקיימות עם כל אחד מהספקים הרלוונטיים, ו עבור ספקים מהותיים יש לבצע .מבדק בידי בודק תאימות סייבר שמוסמך לבדוק את שרשרת האספקה הארגונית . בהתאם .לממצאי המבדקים והשאלונים, הגוף נדרש לגבש וליישם תוכנית לצמצום הסיכונים מול .הספקים בכלים העומדים לרשותו. כלים אפשריים לדוגמה: סיום ההתקשרות עם הספק .במקרה של סיכון חמור לארגון; בניית תוכנית משותפת עם הספק לטיפול בליקויים ופיצוי .כספי במידת הצורך; ובקרות מפצות פנים -ארגוניות . במכרזים והתקשרויות חדשות הגוף . .| 96 | . הגנת הסייבר במגזר התחבורה נדרש לכלול דרישות סייבר, בהתאם לדירוג הסיכון של הספק , כך ש ספקים מהותיים .יידרשו להציג תעודת "ספק מאושר" מטעם גוף בדיקה מורשה. .התחום השאלה .כללי האם היו דרישות בתחום הסייבר או אבטחת המידע במכרז לבחירת ספקים של .מערכות בתחום התחבורה? . .נמצא כי בשיעור גבוה בגופים שנבדקו לא היו בהתקשרות עם ספקי מערכות בתחום .התחבורה דרישות הנוגעות להגנת הסייבר . יצוין כי לספקים אלו יכולת התחבר ות .למערכות ועדכון התוכניות מרחוק. עוד יצוין כי החוזים בתחום זה הם לעיתים ארוכי .טווח - לדוגמה בעירייה ב' חלק מהחוזים יסתיימו בשנת 2031, ובעירייה ה' החוזה .יסתיים בשנת 2025 עם אפשרות הארכהלחמש שנים נוספות. .מוצע כי העיריות האמורות ימפו ויעריכו את הסיכונים הגלומים בהתקשרויות קיימות .שאינן כוללות דרישות סייבר , ויבצעו את דרישות המדיניות לגבי התקשרויות חדשות .- נושא זה מהותי בעיקר בהתקשרויות שעתידות להסתיים בעוד שנים רבות. .עוד מוצע כי משרד התחבורה יכין בשיתוף מערך הסייבר ומשרד הפנים נספח .דרישות סייבר אחיד הנוגע למערכות בתחום התחבורה. .עירייה ב' מסרה בתשובתה כי בחוזה יש דרישה למערכת בקר ת גישה מסוימת וכי בימים .אלה מיושמת המערכת. .עירייה ו' מסרה בתשובתה כי מוטמע בכל המכרזים החדשים נספח אבטחת מידע, אך .ההסכם עם הספק נחתם קודם הטמעת הנספח וישולב בחידוש ההסכם הבא. העירייה .הוסיפה כי היא מבצעת סקרי אבטחת מידע גם לתחום התחבורה ועומדת על השלמת .התיקונים מול הספק. .עירייה ה' מסרה בתשובתה כי היא תידרש לבצע סקר סיכונים והגדרת דרישות אבטחת .מידע וסייבר למול ספק בתחום התחבורה. .עירייה ז' מסרה בתשובתה כי היא תעביר דרישה לספק להחיל את דרישות הרגולציה .בתחום אבטחת המידע במסגרת ההסכם בינו לבין העירייה. .עירייה ט' מסרה בתשובתה כי תשמח אם משרד התחבורה או משרד הפנים יוציאו הנחיות .לשלטון המקומי המפרטות מה נדרש לכלול במכרזים אלו. 3. קיום פורום לשיתוף ידע בתחום התחבורה .מערכות בתחום התחבורה בגופים השונים מתמודדות עם איומים דומים ולעיתים אף זהים .הנוגעים לתחום התחבורה. הקמת פורום לשיתוף ידע בין הגופים השונים עשויה לתרום .להעלאת הרמה המקצועית של העוסקים בתחום, תוך שיתוף הדדי של מידע על הסיכונים .ועל דרכי ההתמודדות שנקט כל גוף, על הכלים ועל הפתרונות שיושמו. דוגמאות לכך הינן: .| 97 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה תובנות מתהליכי יישום רכיבי אבטחה כמו חומת אש ואנטי וירוס; תובנות מתהליך חיבור .למרכזי SOC בהם בחרו הגופים להשתמש; ושיתוף מידע אודות התקפות אותן חוו הגופים .והדרך בה נקטו לטיפול בהן. .התחום השאלה .כללי האם יש לכם פורום לשיתוף ידע בתחום התחבורה? . .הועלה כי אין פורום ממוסד לשיתוף מידע בין הגופים השונים העושים שימוש .במערכות בתחום ה תחבורה. עוד עלה כי לשיעור בינוני בגופים שנבדקו אין קשר .מקצועי עם גופים אחרים בעניין הגנת הסייבר על תחום התחבורה ברשות. .מוצע כי משרד התחבורה ייצור בשיתוף מערך הסייבר ומשרד הפנים, פורום לשיתוף .ידע במערכות בתחום התחבורה , זאת לצורך שיפור רמת ההגנה בסייבר בתחום זה. .עירייה ה' מסרה בתשובתה כי אם יקום פורום לשיתוף ידע בתחום התחבורה, העירייה .תשתתף בו, וכי קיים פורום מקצועי למנהלי אבטחת מידע ברשויות. 4. ניהול סיכונים .במדיניות נקבע כי הגוף המגזרי נדרש להכין תוכנית רב - שנתית ולבצע סקרי סיכוני סייבר .ומבדקי חדירה תקופתיים למוצרי אבטחה, למערכות, לתשתיות ו לתהליכים מרכזיים, וכי .הטיפול בממצאי הסקרים ישולב בתוכניות העבודה השנתיות. הת וכנית תכלול סקר מקיף .של כלל תשתיות הארגון אחת לשנתיים, ומומלץ לשלב סקרי עומק ייעודים על מערכות או .תשתיות ייעודיות באופן עיתי. קיום מבדקי חדירות וסקרי סיכונים יאפשר ל ארגון לקבל .תמונת מצב מפורטת ב נוגע לפערי ההגנה בסייבר הקיימים בתשתיות ובמערכות הארגון .ולפעול לתיקונם. . .התחום השאלה .ממשל תאגידי האם בוצעו סקרי סיכונים בעניין מערכות בתחום התחבורה בשנים .2019 - 2021 ? .ממשל תאגידי האם בוצעו מבדקי חֲדִירּות לאיתור פרצות אבטחה במערכות בתחום .התחבורה בשנים 2019 - 2021 ? . .נמצא כי בשיעור גדול בגופים שנבדקו לא בוצעו סקרי סיכונים בשנים 2019 עד2021 . . כמו כן נמצאכי בשיעור גדול ב גופים שנבדקו לא בוצעו מבדקי חדירה בשנים 2019 .עד 2021 . .על הגופים האמורים לקיים סקרי סיכונים בהתאם למדיניות הגנת הסייבר של משרד .התחבורה. . .| 98 | . הגנת הסייבר במגזר התחבורה על הגופים האמורים לקיים מבדקי חדירות בהתאם למדיניות הגנת הסייבר של .משרד התחבורה. .חברה ז' מסרה בתשובתה כי היא בתהליך התקשרות עם יועץ לצורך ביצוע סקר סיכונים .כולל למערכות הארגוניות, וכי לפי תוכנית העבודה של החברה יבוצעו בשנת 2023 מבדקי .חדירה למערכות אלו. .עירייה ב' מסרה בתשובתה כי בדצמבר 2021 היא ביצעה סקר סיכונים, ובכוונתה לבצע .מבדקי חדירות לאחר קבלת המסקנות וההמלצות ממנו, או בתוך 18 ,חודשים מביצוע הסקר .המוקדם שבהם. .עירייה ג' מסרה בתשובתה כי סקר סיכונים במערכות בתחום התחבורה בוצע בשנת 2017 , . וכי רוב המלצות הסקר בוצעו. העירייה הוסיפה כי סקר נוסף מתוכנן לשנת2022 . .עירייה ה' מסרה בתשובתה כי ההערה מקובלת, וכי סקרי סיכונים ומבדקי חדירות בתחום .התחבורה יבוצעו עד סוף שנת 2022 . .עירייה ז' מסרה בתשובתה כי היא תיזום התקשרות עם חברה שעוסקת באבטחת מידע .לצורך ביצוע סקר סיכונים ומבדקי חדירות. 5. תוכניות המשכיות עסקית והתאוששות מאסון .במדיניות נקבע כי הנהלת הגוף המגזרי נושאת באחריות הכוללת להיערכות בסייבר למצבי .משבר, ויהיה עליה לנהל את המשבר אם יתממש. במסגרת זו עליה להכין ת וכנית המשכיות .עסקית והתאוששות מאסון, הכוללת בין היתר ת וכנית להתמודדות עם משבר שמקורו .בסייבר, ולהקים אתר חלופי (DR ) מופרדומרוחק ג יאוגרפית. כן יש ליזום ולבצע אחת לשנה .לפחות תרגילים ניהוליים ותרגילים טכניים לבדיקת ההיערכות ויכולת ההתאוששות .ממשבר, לזיהוי פערים ו להנעת ת וכנית פעולה לשיפור. .התחום השאלה .ממשל תאגידי האם יש ברשותכם תוכנית להתאוששות עסקית הנוגעת לתחום התחבורה ? .ממשל תאגידי האם יש ברשותכם שרתי גיבוי? . .נמצא כי בשיעור בינוני בגופים שנבדקו אין תוכנית התאוששות עסקית, וממילא הם .לא תרגלו תוכנית זו. .על ה גופים האמור ים להגדיר ת וכנית התאוששות עסקית הכוללת פירוט של .התהליכים העסקיים, הסיכונים החלים עליהם והגדרת המענים הניהוליים .והטכנולוגיים להתמודדות איתם. .| 99 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה עיריית ה' מסרה בתשובתה כי המערכת בתחום התחבורה נמצאת אצל הספק. ספק .העירייה הוסיף כי אם יתבקש על ידי העירייה להכין תוכנית התאוששות עסקית הוא ישתף .פעולה. 6. סביבת בדיקות להיבטי הסייבר במערכות בתחום התחבורה .להקמת סביבת בדיקות נודעת חשיבות רבה, וזאת כדי לאפשר בחינה מוגנת של תוכנות .חדשות, עדכוני אבטחה וגרסאות תוכנה לתוכנות קיימות קודם העלאתם לסביבת הייצור. .התחום השאלה .ארכיטקטורה .וטכנולוגיה האם יש ברשותכם סביבת בדיקות, שבה נבדקים היבטי סייבר? . .נמצא כי בשיעור גדול בגופים שנבדקו אין סביבת בדיקות, וגם אם יש, היא משמשת .לבחינה פונקציונלית ולא לבחינת היבטי סייבר. במצב זה העלאת עדכוני תוכנה עם .נוזקה ישירות לסביבת הייצור עשוי ה לגרום לאירוע סייבר ואף להפ סקת השירות .לזמן ממושך. .עירייה ב' מסרה בתשובתה כי היא ביצעה בדצמבר 2021 סקר סיכונים, וכי לאחר יישום .המלצותיו תישקל הקמת סביבת בדיקות. .עירייה ג' מסרה בתשובתה כי עדכוני תוכנה מבוצעים ישירות על השרתים עם יכולת חזרה .לאחור ברזולוציה של שעה, וכי לא קיימת סביבה או יכולת לבדיקות סייבר של תוכנות. .העירייה הוסיפה כי עדכוני תוכנה או קושחה אינם יכולים להתבצע מרחוק. .עירייה ו' מסרה בתשובתה כי ברשותה מערכת אבטחת מידע ב' לסריקת עדכונים קודם .הכנסתם לרשת המוגדרת כרשת רגישה ונפרדת, וכי שרת המערכת הווירטואלי מוקשח .לגישה רק מכתובות IP .ספציפיות .משרד מבקר המדינה מציין כי הכלים שצוינו בתשובות חלק מהעיריות אינם נותנים .מענה מלא לסיכון שקיים בהכנסת פוגען או חולשה ישירות לסביבת הייצור, זאת .בהיעדר שימוש בסביבת בדיקות. .מוצע לגופים האמורים לבחון העלאת עדכוני תוכנה ועדכוני אבטחה לסביבה שונה .מסביבת הייצור, אם על ידי שימוש בשרת צדדי ואם על ידי הקמת סביבת בדיקות .מלאה. עוד מוצע כי משרד התחבורה יבחן את הסיכון הקיים בהיעדר סביבת בדיקות .במרבית הגופים ויקים סביבת בדיקות אחודה עבור הגופים השונים במסגרת המרכז .לסייבר בתחבורה חכמה הממוקם בבאר שבע. . .| 100 | . הגנת הסייבר במגזר התחבורה 7. עדכוני אבטחת מידע .שימוש במערכות הפעלה ישנות שאינן נתמכות עוד על ידי היצרן : מערכת הפעלה .היא תוכנה המנהלת את משאבי החומרה והתוכנה במחשב. יצרניות מערכות ההפעלה .מפיצות מפעם לפעם עדכוני תוכנה, ובהם כאלה המיועדים לצורך תיקוני פרצות אבטחה .שהתגלו במערכת. מערכות ההפעלה נתמכות שנים אחדות לאחר הפצתן, ולאחר מכן .היצרן מפסיק להפיץ עדכונים למערכת, לרבות עדכוני אבטחה. כלומר, כדי להמשיך .ולקבל את עדכוני האבטחה, על משתמשי מערכות ההפעלה לדאוג לשדרוג הגרסאות .מפעם לפעם לצורך המשך קבלת העדכונים מצד היצרן. .עדכוני אבטחת מידע למערכות בתחום ה תחבורה: בדומה למערכות ההפעלה, גם .לרכיבים בתחום התחבורה מופצים מפעם לפעם עדכוני תוכנה על ידי היצרנים, ובהם .כאלה המיועדים לצורך תיקוני פרצות אבטחה שהתגלו במערכת. .התחום השאלה .ארכיטקטורה .וטכנולוגיה אילו מערכות הפעלה משמשות את המערכות בתחום התחבורה? השאלה .נועדה לבחון אם נעשה שימוש במערכות הפעלה שאינן נתמכות על ידי .היצרן. .ארכיטקטורה .וטכנולוגיה באיזו תדירות ביצעתם בשנים 2019 - 2021 עדכוני אבטחת מידעבמערכות .בתחום התחבורה? . .שימוש במערכות הפעלה ישנות שאינן נתמכות עוד על ידי היצרן: באף אחד .מהגופים שנבדקו לא קיימת גרסה ישנה של מערכת הפעלה אשר אינה נתמכת עוד .על ידי יצרן המערכת. .עדכוני אבטחת מידע במערכות בתחום ה תחבורה : נמצא כי בשיעור בינוני .בגופים שנבדקו לא בוצעו בשנים 2019 עד 2021 התקנות סדירות של עדכוני אבטחת .המידע (כלומר בתדירות של פעם בשנה לפחות), ובעירייה ז' לא בוצעו כלל עדכונים .אלו. .על העיריות האמורות לקיים תהליך ניהול עדכונים שוטף לצורך טיפול בחולשות .אבטחה המתגלות מפעם לפעם בתשתיות המחשוב שבאחריותן כדי להפחית את .הסיכון להתרחשותם של אירועי סייבר. .עירייה ז' מסרה בתשובתה כי היא תבחן לשלב את המערכות בתחום התחבורה בנוהל .עדכוני אבטחת המידע של כלל מערכות העירייה. 8. רכיבי אבטחה המותקנים במערכות בתחום התחבורה .קיימים כמה רכיבי הגנה מקובלים המיושמים ברשתות מחשבים רגישות בכלל וברשתות .המשמשות את תחום התחבורה בפרט: חומת אש - רכיב ברשתות מחשבים החוסם או .מאפשר תעבורת רשת על פי סט קבוע או משתנה של חוקים; אנטי -וירוס - תוכנה שמיועדת .לאתר וירוסי מחשב ולהגן על המחשב מפני פעילותם . .| 101 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה התחום השאלה .ארכיטקטורה .וטכנולוגיה אנא ציינו אם כל אחד מרכיבי האבטחה הבאים מיושם במערכות בתחום .התחבורה: .חומת אש .אנטי-וירוס .מערכת אבטחת מידע א' .מערכת אבטחת מידע ב' . .חומת אש: נמצא כי רכיב זה מיושם בכל הגופים שנבדקו. .אנטי-וירוס : נמצא כי רכיב זה מיושם בשיעור גדול בגופים שנבדקו . .מערכת אבטחת מידע א': נמצא כי מערכת זו אינה מיושמת ב שיעור גדול בגופים .שנבדקו. כן נמצא כי בעיריי ה ו' רכיב זה מיושם חלקית. .מערכת אבטחת מידע ב': נמצא כי מערכת זו אינה מיושמת בשיעור גדול בגופים .שנבדקו. .חברה ז' מסרה בתשובתה כי בוצעה בחינה על ידי החברה, ונמצא כי פתרונות מערכת .אבטחת מידע א' אינה מתאימה ליישום בסביבת המערכ ות בתחום התחבורה של החברה, .ולפיכך החברה פועלת להגדרת בקרות מפצות ונמצאת לקראת ביצוע הוכחת היתכנות .(POC ) לבחינת הפתרון המתאים. .עירייה ב' מסרה בתשובתה כי קיימת ברשותה מערכת דומה למערכת אבטחת מידע ב' .והיא סבור ה שאין לה צורך במערכת אבטחת מידע ב'. .עירייה ג' מסרה בתשובתה כי מערכות א' וב' לא יושמו מפאת היעדר תקציב. .עירייה ד' מסרה בתשובתה כי אכן מערכת אבטחת מידע א' אינה מיושמת. עם זאת, מאחר .שהמערכת בתחום התחבורה היא מערכת עצמאית שאינה מקושרת למערכות העירייה, אין .לדעתה צורך במערכת. .עירייה ה' מסרה בתשובתה כי היא תבצע סקר סיכונים מול ספק מסוים בתחום התחבורה, .ובמסגרתו יועברו המלצות לתיקון פערים אם יימצאו. .עירייה ז' מסרה בתשובתה כי היא תפעל בהקדם להתקנת אנטי וירוס ומערכת אבטחת .מידע א' בתחום התחבורה. .עירייה ו' מסרה בתשובתה כי היא תבחן את הנושא. . .| 102 | . הגנת הסייבר במגזר התחבורה על הגופים האמורים לבחון את הצורך ביישום כל אחד מרכיבי ההגנה לעיל שאינם .מיושמים אצלם ולהתקינם במידת הצורך. יובהר כי כל אחד מרכיבי ההגנה מספק .מענה לצורך אחר ואינם מהווים תחליף האחד לשני. 9. תיעוד וניטור .קיום תהליכי תיעוד וניטור אפקטיביים הוא מרכיב חשוב במעטפת ההגנה בסייבר בארגון, .המאפשר לזהות אירועי סייבר בזמן אמת ולקיים תחקור טכני של האירועים לצורך .התמודדות איתם ומניעת חזרתם. .נמצאו פערים בתחום התיעוד והניטור של מערכות בתחום התחבורה. נושאים אלו .הוצגו לגופים והם מסרו בתשובתם כי הם פועלים לטיפול בממצאים. .התחום השאלה .תיעוד וניטור האם קיים חיבור למרכז בקרה? .תיעוד וניטור האם מתקבלת התראה אוטומטית בנושא מסוים? .תיעוד וניטור האם נשמרים לוגים של הפעילות במערכות בתחום התחבורה? . .חיבור למרכז בקרה : נמצא כי בשיעור גדול בגופים שנבדקו מערכות בתחום .התחבורה אינן מחובר ות למרכז בקרה בנושא מסוים. .שמירת לוגים של הפעילות במערכות בתחום התחבורה : בכל הגופים שנבדקו .נשמרים הלוגים במערכ ות בתחום התחבורה ונבדקים בידי בעלי תפקידים שונים .בהתאם לצורך. נמצא כי בעירייה ד' אומנם הלוגים נשמרים, אך הם אינם נבדקים .בידי אף גורם. .התראה אוטומטית בנושא מסוים : בשיעור גדול בגופים שנבדקו נשלחת התראה .למרכז הבקרה בנושא מסוים, למעט ב עיריות ב' וד'. 10. ניהול משתמשים והרשאותבמערכות בתחום התחבורה .נמצאו פערים בתחום ניהול ה משתמשים וההרשאות. נושאים אלו הוצגו לגופים והם .מסרו בתשובתם כי הם פועלים לטיפול בממצאים. .ישנם כלים המאפשר ים ניהול ושליטה מרכזיים של משתמשי המחשוב ומשאבי המחשוב .בארגון ו כן החלת מדיניות ארגונית, הגדרת הרשאות עבור משתמשים והתקנת תוכנות .מרחוק. שימוש נכון בכלים אלו משפר את רמת אבטחת המידע באמצעות ניהול הרשאות .יעיל ואף חוסך עלויות באמצעות ייעול ניהול המחשוב בארגון. .| 103 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה שינוי סיסמאות באופן עיתי והסרת משתמשים שאינם פעילים מקטינים את הסיכון לחדירה .לארגון מצד גורם זדוני. .התחום השאלה .ניהול משתמשים .והרשאות האם מבוצע מנגנון בקרה מסוים? .ניהול משתמשים .והרשאות נושא א' בתחום ניהול המשתמשים וההרשאות. .ניהול משתמשים .והרשאות האם קיים נוהל להסרת משתמשים (למשל לא פעילים או כאלו שעזבו את .הארגון)? . .הסרת משתמשים : נמצא כי בשיעור בינוני בגופים שנבדקו לא קיים נוהל להסרת .משתמשים - למשל משתמשים שאינם פעילים או כאלה שעזבו את הארגון. בעירייה .ד' ציינו כי א ומנם קיים נוהל, אך בשנים 2019 עד 2021 בוצעהבעירייה בקרה .בתדירות "נמוכה מאוד" על כך שלא קיימים משתמשים לא פעילים. יצוין כי לעיתים .מדובר בעובדים בעלי מודעות נמוכה לאבטחת מידע, ובהם עובדי הארגון ועובדי .הספק המתחברים מרחוק, שלהם הרשאות גישה לכלל התחום ולכן יש חשיבות .עליונה להסרתם בעת שהם הופכים למשתמשים שאינם פעילים. .מומלץ לגופים האמורים ליישם את השינויים הנדרשים בתחום ניהול המשתמשים .וההרשאות. .עירייה ה' מסרה בתשובתה כי ייקבעו למול ספק מסוים בתחום התחבורה דרישות אבטחה .והגנת הסייבר מותאמים לדרישות מערך הסייבר הלאומי. .עירייה ו' מסרה בתשובתה לגבי הסרת משתמשים כי הרשאותיו של משתמש שעוזב את .הארגון נמחקות מהרשת, וקיים דוח בקרה המוודא כי אין עובדים שעזבו וברשותם משתמש .פעיל ברשת. כן הוסיפה העירייה כי תפעל לסגירת הפער. 11. גישה מרחוק .יכולת גישה מרחוק של עובדי הארגון או ספקיו לתשתיות הארגון מאפשרת לארגון לבצע .את משימותיו בצורה אפקטיבית. עם זאת, החיבור מגדיל את "משטח התקיפה" ומשית .סיכונים רבים על הסודיות, הזמינות ו ה מהימנות של המידע בארגון. באחריות הארגון לבצע .ניהול סיכונים לתהליך הגישה מרחוק וליישם בקרות מתאימות להגנה בסייבר על מנת .להתמודד איתם. כך לדוגמ ה, באפר יל 2022 היו בעירייה א' 38 משתמשים המורשים .להשתמש בהיבט מסוים בתחום התחבורה - מתוכם 11 משתמשים חיצוניים שהם עובדי .חברות פרטיות המספקות שירות לעירייה (מפתחי ם, טכנאי ויועץ), והם בעלי הרשאה .לגישה מרחוק. . .| 104 | . הגנת הסייבר במגזר התחבורה התחום השאלה .גישה מרחוק האם יש נוהל עבודה המסדיר את אופן הגישה מרחוק של ספקי המערכת? .גישה מרחוק האם יש הקלטה או שמירה של לוג של פעילות של ספקי המערכת בעת .החיבור מרחוק? . .נמצא כי בכלל הגופים קיימת גישה מרחוק לתשתיות הארגון עבור ספקים ומפתחים. .עם זאת, נמצא כי בחלק מהארגונים מענה ההגנה בסייבר הקיים בתשתית הגישה .מרחוק אינו מותאם לסיכונים הרבים הנשקפים בגישה מרחוק. .נוהל עבודה המסדיר את אופן הגישה מרחוק של ספקי מערכות בתחום .התחבורה: נמצא כי בשיעור בינוני בגופים שנבדקו לא קיים נוהל כאמור. .הקלטה או שמירה של לוג של פעילות ספקי המערכת בעת החיבור מרחוק: .נמצא כי ב שיעור קטן בגופים שנבדקו אין הקלטה או שמירה של לוג כאמור . .על הגופים האמורים לקיים תהליך ניהול סיכונים ובחינת מענ ה ההגנה המיוש ם .בתהליך הגישה מרחוק ולפעול לטיפול בליקויים שיימצאו בתהליך זה. .✰ .נוכח הממצאים שעלו מהשאלון, על הגופים שנבדקו לקיים הערכת מצב ולקבוע .תוכנית עבודה לתיקון הליקויים. .מבדק חדירה במערכות בתחום התחבורה של .עירייה א' .משרד מבקר המדינה ביצע בעירייה א' מבדק חדירה. מטרת ה מבדק הייתה לזהות חולשות .העשויות לגרום לסיכוני ם הנוגעים לזמינות, למהימנות ו לסודיות התשתיות, זאת באמצעות .תרחישי תקיפה שונים העושים שימוש בחולשות אבטחה. .הבדיקה בוצעה בסביבת הייצור , ולכן ננקטו פעולות להפחתת הסיכונים שהשפיעו על תכנון .המבדק ובהן: ביצוע המבדק רק על רכיבים ייעודיים שנבחרו בשלב תכנון המבדק; ביצוע .המבדק על שרתי גיבוי ככל הניתן; הפעלת כלים אוטומטיים באמצעות סריקה מדורגת כדי שלא .לפגוע בעומסים על השרתים; תשאול בנוגע לחלק מהרכיבים שהועלה חשש מהפעלת כלים .עליהם; והיעדר ניצול חולשות שנמצאו במבדק אלא רק הוכחת יכולת. .משרד מבקר המדינה מציין לחיוב את שיתוף הפעולה מצד עריייה א' בכל שלבי מבדק .החדירה: החל בתכנונו, דרך ביצועו, תהליך הצגת הממצאים והנכונות לשפר את .התהליכים הקיימים וכלה בטיפול בחלק מהליקויים שנמצאו בזמן קצר ביותר. .להלן פירוט הממצאים שעלו במבדק החדירה בלבד. יצוין כי מבדק החדירה אומנם בוצע רק .בעירייה א', אולם הממצאים העולים מהשאלונים הרוחביים מלמדים כי הליקויים בתחום זה על .| 105 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה פי רוב אינם ייחודים לרשות כזו או אחרת, זאת עקב העובדה כי תחום התחבורה ברשויות רבות .דומה. .להלן תרשים המציג את השלבים בתהליך מבדק החדירה: .תרשים 15: שלבי מבדק החדירה* .* המבדק לא כלל שלב של ניצול חולשות שהתגלו כדי שלא לייצר סיכון לרשת התפעולית. .להלן התחומים שבהם נמצאו ליקויים במסגרת מבדק החדירה: .תרשים 16: התחומים שבהם נמצאו ליקויים במבדק החדירה (חלקם תוקנו עד .מועד סיום הביקורת) .הממצאים דורגו על פי שני תבחינים: חומרת ה נזק הגלומה בה ם, הנקבעת בהתאם לרמת .ההשפעה על יכולת עירייה א' לקיים את התהליכים התפעוליים במקרה של התממשות הסיכון; .והסבירות להתממשות הסיכון, המתייחסת לכל ממצא בנפרד ומביאה בחשבון את רמת . .| 106 | . הגנת הסייבר במגזר התחבורה מורכבות ניצול הפער שהתגלה במסגרת הממצא. לכל תבחין ארבע דרגות אפשריות: גבוהה .מאוד, גבוהה, בינונית ונמוכה. המכפלה בין שני התבחינים יוצרת את הערך הנקרא רמת .הסיכון. .תרשים 17: טבלת דירוג ניהול הסיכונים .במהלך מבדק החדירה והתשאול שהתבצעו בעירייה א' זוהו 16 ממצאים משמעותיים בתחומים .הבאים: ניהול משתמשים והרשאות; תיעוד וניטור; בקרת גישה לרשת; הגנת עמדות ושרתים; .סגמנטציה ובקרת זרימה; עדכניות התכנה; ואבטחת הגישה . ממצאים אלו הוצגו לעירייה א' כבר .בדצמבר 2021 לצורך תיקון וטיפול בהם וחלקם תוקנו עד מועדסיום הביקורת. להלן פילוח .הממצאים לפי חומרתם: .תרשים 18: פילוח הממצאים במבדק החדירה לפי חומרתם .עירייה א' מסרה בתשובתה מיוני 2022 כיהיא קיבלה את דוח הביקורת ולמדה היטב את ממצאיו .במטרה לשפר באופן מתמיד את השירות שהיא מעניקה לציבור , והיא תפעל לתקן את הליקויים .המופיעים בדוח. .| 107 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה נוכח הממצאים שעלו ממבדק החדירה, על עירייה א' לקיים הערכת מצב ולקבוע תוכנית .עבודה לתיקון הליקויים. . .✰ .בסקר שערך משרד מבקר המדינה בעשר עיריות ובשתי חברות ממשלתיות עלו פערים .מהותיים בין מצב הגנת הסייבר במערכות בתחום התחבורה לבין דרישות הסייבר של .משרד התחבורה. .משרד התחבורה מסר בתשובתו מי ולי 2022 כי אין לו סמכות הנחיה על מערכות בתחום .התחבורה המופעלות ומתוקצבות על ידי הרשויות המקומיות עצמן, למעט מערכות בתחום .התחבורה המנוהלות על ידי חברות התשתית ובעירייה א'. .משרד הפנים מסר בתשובתו מיולי 2022 כי הטיפולבמערכות העירוניות בתחום התחבורה אינו .בתחום עיסוקו, וכי הוא מסייע לרשויות המקומיות רק בנושאי מחשוב הקשורים לרשתות .המינהלתיות הפנימיות שלהן. עוד מסר כי קיימים תחומי מחשוב נוספים שהעירייה אמונה עליהם .והם אינם מטופלים על ידי אגף הסייבר במשרד הפנים, למשל מים וביוב. .מערך הסייבר מסר בתשובתו מיוני 2022 כימערכות עירוניות בתחום התחבורה הן באחריות .מלאה של הרשויות המקומיות הרלוונטיות, וכל היבטי התפעול בתחום זה נעשים על ידי הרשות. .יצוין כי בדוח מבקר המדינה משנת 2022 בנושא "ניהול מערכות מידע ברשויות מקומיות" 36 צוין .כי משרד הפנים ומערך הסייבר לא השלימו את הסדרת הסמכויות החסרות בכל הנוגע לאסדרה .ולהנחיה מקצועית של הרשויות המקומיות בתחומי אבטחת מידע והגנת הפרטיות, וכפועל יוצא .מכך זה שנים הרשויות פועלות ללא הנחיות מקצועיות ברורות בנושא, וכל רשות פועלת בעניין .לפי ראות עיניה. .נמצא כי כל המערכות בתחום התחבורה (למעט אלו המופעלות על ידי חברות התשתית .ועירייה א') אינן מונחות על ידי משרד הפנים או משרד התחבורה, אף שיש בהם כאלו .שפגיעה בהם עשויה לגרום לפגיעה כלכלית ניכרת ואף לפגיעה בחיי אדם. .נוכח הממצאים שעלו מהשאלון וממבדק החדירה בנושא הגנת הסייבר , מומלץ כי משרד .הפנים ומשרד התחבורה בשיתוף מערך הסייבר יפעלו יחד להסדרת תחומי האחריות .ביניהם ולקביעת נהלים מתאימים כך שנושא הגנת הסייבר במערכות בתחום התחבורה .ברשויות המקומיות יקבל את המענה האסדרתי ההולם. זאת על מנת שגורם מנחה יבצע .פיקוח ובקרה על תיקון הליקויים ועל הגנת המערכות מפני תקיפות סייבר . .36 מבקר המדינה, דוח על הביקורת בשלטון המקומי (2022 '), "ניהול מערכות מידע ברשויות מקומיות", עמ1269. . .| 108 | . הגנת הסייבר במגזר התחבורה הממצאים שעלו בביקורות שביצע משרד .התחבורה .לפי שגרות הניהול, על יחידות הסייבר המגזריות להעביר למערך הסייבר דיווחים עיתיים, בין .היתר, בדבר ביקורות וסקרים בגופי המגזר. .בשנת 2021 ביצע אגף הסייבר במשרד התחבורהביקורות ב חלק מגופי A כדי לבחון אתמצב .הגנת הסייבר שלהם ואת מידת יישום המדיניות החדשה שפרסם. יצוין כי עקב היעדר איוש מלא .של תקני כוח האדם באגף הסייבר בוצעה הביקורת באמצעות תשאול ושאלון למילוי עצמי. .להלן תמונת המצב שעלתה מהביקורת שביצע משרד התחבורה: .תרשים 19: תמונת המצב העולה מהביקורות שביצע משרד התחבורה .על פי נתוני משרד התחבורה, בעיבוד משרד מבקר המדינה. .בביקורות שביצע מצא משרד התחבורה עלו ליקויים רוחביים בגופים שונים במגזר ביחס .לדרישות שפורטו במדיניות. בהם ניתן למנות את הנושאים האלו: .1. :ניטור ובקרה ארגונים ללא ניטור או ניטור ברמה שאינה מספקת. .2. כו ח אדם : בחלק מהארגונים אין כוח אדם ייעודי לניהול תחום הסייבר . .| 109 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה 3. ניהול סיכונים ב שרשרת האספקה: היעדר סיווג, היעדר נהלים, היעדר בקרות .והיעדר שאלונים. .4. :נהלים פער בנוהלי ארגון בסיסי ם לניהול סייבר . .5. :תקצוב העדר תקציב הפוגע בתוכנית עבודה לקידום ו לשיפור, ל רכש מערכות ולרישיונות . .כך לדוגמה, בחברה ו' נמצאו פערים בתחום ניהול שרשרת האספקה; נמצא כי כל המשתמשים .בחברה מוגדרים כמנהלי מערכת מקומיים , דבר המהווה חולשה ומעצים את יכולת התוקף לנצל .את ההרשאות המקומית ; נמצא כי אין מיצוי מיטבי של שירות ה-SOC ;של החברהונמצא כי אין .תוכנית המשכיות עסקית לארגון. .משרד התחבורה מצא בביקורות שביצע שורה של ליקויים רוחביים המחייבים טיפול .מערכתי. מומלץ כי המשרד יסייע לגופים לטפל בליקויים הרוחביים שעלו באמצעות ייעוץ .והכוונה וכן יבחן לספק לגופים במגזר שירותים רוחביים שיקצרו את טווח הזמן לטיפול .בליקויים. למשל, בתחומי הניטור והתגובה: התקשרות עם צוות תגובה שמשרד התחבורה .ינגיש לטובת כלל המגזר לטיפול במשברי סייבר; כתיבת תבניות סטנדרטיות למכרזי רכש .לרבות התקשרות עם שירותי SIEM/SOC ויועצי סייבר; הנגשת נוהלי סייבר בנושאים .כלליים; רכישת מוצרים לביצוע מבדקי חדירה ואפשרות לבצע ביקורות באמצעותם בכלל .הגופים במגזר. .בביקורת נמצא כי משרד התחבורה לא ביצע מעקב אחר תיקון הליקויים שמצא בביקורות .שביצע. מומלץ כי משרד התחבורה יבצע מעקב על הליקויים שמצא, תוך קביעת לוח זמנים .לתיקונם על ידי הגופים. .חברה ז' מסרה בתשובתה ביוני 2022 כי הוגדרו בחברה תקני כוח אדם ייעודיים בתחומי הסייבר .למימוש הפעילות, אך בשל תנאי השכר המגבילים שהיא יכולה לשלם ולאור הביקוש הגבוה .במשק למקצועות אלה, נוצר קושי משמעותי בגיוס התקנים הללו. חברה ז' הוסיפה כי לגבי נושא .התקצוב, קיימים פערים תקציביים משמעותיים בין הדרישות במדיניות לבין התקציבים הייעודיים .שיש להקצות לנושא ושבלעדיהם לא ניתן יהיה לממש את הדרישות באופן מלא ושוטף. להלן .חלק מהדרישות שפירטה חברה ז' שלגביהן קיים פער תקצ יבי: הדרישה לעמידה בתקן .ISO27001 או תורת ההגנה 2.0 ; הדרישה להקצות תקציב ייעודי להגנת הסייבר בגובה 8% .מתקציב ה-IT וכן10% מתקציב הטכנולוגיות של פרויקטים חדשים; הדרישה להכין תוכנית .המשכיות עסקית והתאושששות מאסון; והדרישה להבטיח את רמת הגנת הסייבר גם אצל .הספקים וקבלני המשנה. .SOC בגופי מגזר התחבורה .אחד מהתחומים שבהם נמצאו פערים רוחביים במרבית גופי ה-A במגזר התחבורה הוא הקמת .SOC ארגוני. לפי המדיניות, כל הגופים במגזר התחבורהנדרש ים ליישם מנגנוני רישום ואיסוף .אירועים לצורך ניטור אירועים חריגים, זיהוי ם והתראה עליהם. ניטור זה יופעל עבור מערכות .הגנה, ממשקי ניהול של מערכות ההגנה, תשתיות, מערכות תפעוליות מרכזיות ומאגרי מידע של .המשרד, ויבוצע באמצעות SIEM/SOC פנים-ארגוני או באמצעות שירות של חברה חיצונית .( MSSP .) . .| 110 | . הגנת הסייבר במגזר התחבורה חיבור הגופים עצמם ל-SOC משלהם משפיע גם על אפשרות החיבור ל-SOC המגזרי, שכן חלק .גדול מהנתונים המוצגים בו משתקפים ממרכזי ה-SOC של הגופים ומקלים על החיבור ל-SOC ..המגזרי .מוצע כי אגף הסייבר בשיתוף הגופים ימפה בהקדם את הפעולות הדרושות להקמת SOC .בארגונים שחסרים יכולות ניטור או לחיבורם ל-SOC ,המגזרי כמתן מענה ראשוני גם לארגון .תוך מתן עדיפות לגופי A .שאינם בעלי יכולות ניטור .זאת ועוד, מוצע שאגף הסייבר יגדיר מתודולוגיה סדורה להקמת SOC ארגוני המבוססת .על ניסיונו בתחום, יבצע רכש מרכזי למוצר או לשירות MSSP וילווה את הגופים ליישום .הפתרון ולהפעלתו, כדי לנהל את אירועי הסייבר ולהתריע בזמן אמת על התקפות במגזר .התחבורה. . .| 111 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 . ....ה | הגנת הסייבר במגזר התחבורה סיכום .תשתיות ה תחבורה נועדו להבטיח את הבטיחות ו היעילות של התחבורה הימית, התחבורה .האווירית והתחבורה ה יבשתית עבור כל משתמשי הדרך. ככל שתשתית מסוימת חיונית .יותר לחיי היום-יום של התושבים, כך היא מושכת יותר את התוקפים וככל שהיא תלויה .יותר בממד הסייבר, כך היא פגיעה יותר לתקיפות שעשויות לגרום לשיבושים בתפקודה .התקין ואף להשבתתה המלאה, לפגיעה כלכלית ניכרת ו לפגיעה בחיי אדם. .ממצאי דוח זה משקפים בעיה מבנית ותפקודית יסודית בכל הנוגע להערכות של מדינת .ישראל לאיומי הסייבר במגזר התחבורה. במהלך הביקורת חל שיפור בכמה תחומים .שבהם פועל אגף הסייבר במשרד התחבורה, ובהם: הקמת SOC מגזרי, פרסום מדיניות .וביצוע ביקורות בחלק מהגופים המונחים לבחינת עמידת הגופים בה; קידום אסדרת תחום .הרכב האוטונומי, לרבות תיקון החוק, פרסום נוהל והקמת מרכז הניסויים בבאר שבע. עם .זאת עדיין קיימות כמה בעיות יסודיות: .חסרה הסדרת תחומי האחריות והסמכות של מערך הסייבר ומשרד התחבורה בכל הנוגע .לגופים שאינם תמ"ק; משרד התחבורה אחראי לפעילויות המגזר אולם אין בידיו תמונה .מלאה של מצב ההגנה של הגופים בו; היעדר הלימה בין האיומים והמענים להם במגזר .כולו לבין המשאבים של משרד התחבורה; היעדר דרישות סייבר בהתקשרויות בחלק ניכר .מהפעילויות במגזר והיעדר הקצאת המשאבים הנדרשים לכך על ידי הגופים. .הבעיה התפקודית והמבנית שהועלתה בדוח זה אפשר כי היא רלוונטית למגזרים גדולים .נוספים, ו לכן טיפול מערכתי בנושאים אלו עשוי לשפר את מוכנות המשק והמגזרים .הגדולים הפועלים בו להתמודד עם אירועי סייבר . .במסגרת ביקורת זו בוצע מבדק חדירה על ידי צוות הביקורת בתחום התחבורה של עירייה .א'. חשיבותה של פעולה חדשנית זו, שיושמה לראשונה בדוח ביקורת של משרד מבקר .המדינה, הינה בכך שהיא מאפשרת להעריך את מוכנותו האמיתית של הגוף לעמוד בפני .התקפות סייבר , באמצעות שימוש בכלים החושפים חולשות אבטחה בסביבת העבודה .התפעולית של הגוף ולסייע בכך באופן מעשי וממשי לשיפור רמת ההגנה של הגופים .המבוקרים. .על משרד התחבורה ועל מערך הסייבר לוודא כי תשתיות התחבורה ובפרט התשתיות .הקריטיות, מבצעות הערכת סיכונים באופן שוטף ומשפרות את מידת עמידתן ב פנ י .מתקפות סייבר אפשריות. . .| 112 | . הגנת הסייבר במגזר התחבורה