HeTree/MevakerConcSen huggingface dataset:
לאגף הבחינות, והוא משקלל את ציון הבחינה עם הציון השנתי ( להלן - ציון ה מגן) של .
הדבר מבוצע במערכת ג'.
לאחר בקרה שמבצע אגף הבחינות על הציונים , הוא .
מפרסם אותם לבתי הספר ולתלמידים.
להלן תרשים שמתאר את גלגולה של בחינת בגרות.
| 291 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
תרשים 9: גלגולה של בחינת בגרות (לא כולל בחינות מתוקשבות) .
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד אבטחת המידע של ציוני הבגרות .
למשרד החינוך יותר מ -200 מערכות מידע המשמשות אותו לניהול תהליכי העבודה הפנים - .
משרדיים וכן כדי לתת שירות למשתמשים חיצוניים.
משתמשי המערכות הם כ - 3,500 עובדי .
המשרד, כ - 5,000 ,בתי ספר כ- 190,000 עובדי הוראה .
כמו כן, משתמשים חיצו ניים, מיליוני .
תלמידים והורים, רשתות חינוך, ספקים וזכיינים.
מערכות המידע שבאמצעותן משרד החינוך מנהל ומתפעל את בחינות הבגרות ונסקרו בביקורת .
פרוסות על פני שלוש רשתות עיקריות נפרדות .
הרשתות מוגנות באמצעות רכיבי אבטחה .
רשתא', שהשרתים שלה מותקנים בחוות השרתים של חברה א' (להלן - רשת א').
רשת ב' , שהשרתים שלה מותקנים בחוות השרתים של חברה ב'.
רשת ג' שהשרתים שלה מותקנים במשרדים השייכים למשרד החינוך, ואשר מתופעלים על .
רשת ג' פועלת, בין היתר, בסביבה ייעודית ברשת א'.
ציוני הבגרות - מערכות מידע עיקריות .
ציון הבגרות הסופי הוא ציון משוקלל של שלושה ציונים עיקריים: ציון מגן פנים-בית-ספרי אשר .
בתי הספר מדווחים עליו למשרד החינוך, וציוני שני מעריכים שונים שבודקים את מחברות .
הבחינה של התלמידים 28: .
ציוני המגן - הדיווח על ציוני המגן מתבצע באמצעות מערכת ב' של משרד החינוך או .
באמצעות מערכות ניהול בית ספריות אחרות של ספקים חיצוניים שקיבלו אישור לכך ממשרד .
החינוך (להלן - תוכנות אחרות לניהול פדגוגי); .
ציוני הבחינה - בדיקת מחברות הבחינה ומתן הציונים מתבצעים באמצעות גישה מרחוק .
הציון הסופי - שקלול הציון הסופי נעשה במערכת מחשב ייעודית; .
הפצת הציונים לבתי הספר, לתלמידים ולגורמים אחרים נעשית באמצעות אתרי המרשתת של .
המשרד (להלן - הפורטלים).
חלק ממערכות המידע הללו פועלות ברשת א ', חלקן ברשת ב' .
של משרד החינוך וחלק מהתוכנות האחרות לניהול פדגוגי פועלות ברשתות חיצוניות אחרות.
28 לעיתים משרד החינוך מעביר מחברת בחינה לב דיקה של מעריך שלישי, בדרך כלל בשל פער בציון בין שני .
המעריכים שבדקו את מחברת הבחינה.
| 293 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
תרשים 10 להלן מציג את מערכות המידע העיקריות שתומכות בתהליך ואת זרימת המידע בין .
תרשים 10: מערכות המידע העיקריות הרלוונטיות לניהול בחינות הבגרות .
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד אבטחת המידע ברשת א' - חוות המחשבים .
רשת א', המופעלת מחוות השרתים של חברה א', משרתת את כל המשתמשים שאינם עובדי .
משרד החינוך, ובהם בתי הספר, עובדי ההוראה, התלמידים, ההורים והספקים, היא נגישה גם .
לעובדי המשרד על פי צורכיהם.
חברה א' מספקת למשרד החינוך שירותי תשתיות מרכזיות - .
Infrastructure As A Service (IAAS), המבוססים על טכנולוגיה של ש רתים וירטואליי ם.
השירותים: אירוח של השרתים הפיזיים והווירטואליים, התקשורת, הניתוב ואבטחת המידע .
חברה א', בתיאום עם משרד החינוך, היא האחראית להקמה, להתקנה ו לניהול .
של השרתים והרכיבים ברשת זו, להגדרות האבטחה בהם, לניהול מערך העדכונים ועוד.
החינוך והחברה החיצונית, שמפעילה את מערך המרב"ד, אחראים להתקנה ו לניהול של מערכות .
המידע ושל מאגרי המידע (בסיסי הנתונים) ברשת.
רשת א' כוללת כ - 1,000 שרתים וירטואליים.
הרשת נחלקת לכמה סביבות לוגיות, ובהן כמה .
סביבות לוגיות נפרדות שבהן פועלות מערכות מידע שמשמשות את פעילות בחינות הבגרות.
ברשת א' מותקנים כמה רכיבי ניהול ואבטחה, ובהם מערכת לניהול הרשאות כלל המשתמשים .
שירותי אנטי-וירוס (הגנה מפני פוגענים) , מערכות הגנה - רכיבי חומרה או תוכנה שמטרתם להגן .
על רשתות מחשוב - ניטור וחסימה של גישה לא מאובטחת לרשת מאובטחת.
עלה שרכיב מסוים וגם ציוד הרשת ואבטחת המידע, ה נמצא על פי חוזה ההתקשרות .
בטיפולה של חברה א', אינו נגיש באופן ישיר למשרד .
כל אימת שמתעורר במשרד החינוך .
צורך לטפל בהיבט הנוגע ל ציוד הרשת ול אבטחת המידע, עליו לפנות לחברה א' , .
באמצעות עובדים מסוימים המורשים לכך, כדי להנחות את החברה ולבקש ממנה לבצע .
עבורו את ה פעולות הנדרשות.
הפנייה לחברה א' מתבצעת באמצעות פתיחת קריאה .
במערכת ייעודית המנהלת את הפניות עבור המשרד והחברה (להלן - מערכת ניהול .
ביקורת על רשומות תיעוד הפעולות: בהנחיית יה"ב "הגנת התשתיות הוירטואליות" 29 נקבע .
כי על המשרד לבצע מפעם לפעם ביקורת על רשומות תיעוד הפעולות (להלן - רשומות ה- log ) .
שנעשות במערכות של הסביבות הווירטואליות , הכוללות מערכות ניהול, מתגים וירטואליים, .
מערכות הגנה פיזיות ווירטואליות ומערכות הגנה אחרות הפועלות במשרד.
לרבעון יש לבצע ביקורת על רשומות ה-log של פעילות משתמשים בעלי הרשאות גבוהות באותן .
מערכות, ובכלל זה ניסיונות גישה כושלים.
אשר לאבטחת המידע של רשת א', עלה בביקורת כלהלן: .
2017 , תאריך עדכון 25.
| 295 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
• משרד החינוך אינו מבקש לקבל אסמכתאות המתעדות את אופן הטיפול בקריאותיו30; .
• המשרד אינו דורש לקבל מהחברה קובץ log שיוכל לאפשר לו לבצע בקרה על רשומות .
המתעדות את הפעולות במערכות , כנדרש בהנחיית יה"ב בעניין "הגנת התשתיות .
• המשרד אינו מבקש לקבל מחברה א' דוח עי תי המפרט את ההגדרות והכללים שנקבעו .
לרכיב אבטחת מידע מסוים, שהוא כאמור קריטי להגנת המערכת, או של שאר ציוד .
הרשת ואבטחת המידע שבשליטתה, זאת כדי לוודא שההגדרות והכללים בנוגע .
לאבטחת המידע עומדים בדרישות המתחייב ות מחוזה ההתקשרות, מצרכיו ומהנחיות .
• מערכת ה', ש אמורה לאפשר ניטור ש ל שינויים בכללי רכיב הגנה מסוים ובקרה עליהם, .
הוטמעה רק מול רכיב הגנה מסוים שבשליטת המשרד ומותקנות בין רשת א' לבין .
רשת ב' ולא הוטמעה מול רכיבי הגנה החיצוניים האחר ים שבשליטת חברה א'.
מומלץ שמשרד החינוך ידרוש לקבל מחברה א' אסמכתאות המתעדות את הפעול ות .
שביצעה בהמשך לקריאות שהתקבלו ושבהן היא טיפלה.
עוד מומלץ שהמשרד ידרוש .
לקבל מהחברה דוחות ניטור ובקרה, דוחות של כללי רכיב הגנה מסוים והגדרות הציוד .
כמו כן, מומלץ שהמשרד ישקול את האפשרות להטמיע אמצעי בקרה .
מסוים גם על האבטחה של רכיבים שנמצאים בשליטת חברה א'.
מומלץ גם שיה"ב תבהיר בהנחיותי ה, ובכלל זה בהנחיה בעניין הגנת התשתיות .
הווירטואליות , את הפעולות הנדרשות מהמשרדים בכל הנוגע לפעולות בתחום אבטחת .
מידע שהן באחריות המשרדים, אך בפועל מבוצעות על ידי חברות פרטיות שעימן התקשרו .
נוסף על כך, מומלץ שההנחיה תבהיר שעל נושא זה לבוא לידי ביטוי בחוזי .
בתשובת המשרד, הוא ציין כי ימשיך לפרוס ולחבר למערכת ה' את כלל רכיבי אבטחת המידע.
עוד מסר כי יבקש דוחות תקופתיים על פעילות מערכת ניהול הקריאות.
בתשובת יה"ב היא ציינה, כי היא מקבלת את הצעת משרד מבקר המדינה, וכי תעדכן את הנחיית .
יה"ב "הגנת התשתיות הוירטואליות" בנוגע לאחריות המשרד בחוז י התקשרות עם ספקים .
חיצוניים וכן היא תתייחס לעניין זה בהנחיית יה"ב בנושא שרשרת האספקה.
חיבור רשת א ' ל -SOC :הממשלתי מרכז השליטה ו הבקרה הממשלתי למול איומי סייבר - .
Security Operation Center (להלן- ה-SOC הממשלתי) - הוקם מכוח החלטת ה ממשלה 2443 .
בעניין הגנת הסייבר, והוא עוסק בגיבוש תמונת מצב ממשלתית שוטפת בהיבטי הגנת הסייבר .
ומתן מענה לטיפול באירועי סייבר במשרדי הממשלה.
על פי החלטת הממשלה 2443 והנחיית יה"ב "הנחיית מסגרת להגנת הסייבר בממשלה" , על .
משרדי הממשלה לדווח ל-SOC הממשלתי על אירועי סייבר.
בהנחיה נוספת של יה"ב "דיווח ל- .
30 מחברה א' נמסר שככלל היא אינה שולחת אסמכתאות המתעדות את הפעולות שבוצעו כנוהג מוסכם אך לעיתים, .
אם פעולה מסוימת אינה מביאה לתוצאה הרצויה, כחלק מתחקור הסיבה לכך נמסרות אסמכתאות המתעדות את .
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד SOC "הממשלתי על אירועי סייבר, נקבע כי אחד היעדים של ה-SOC הממשלתי הואאיתור וזיהוי .
של אירועי סייבר המתרחשים במשרדי הממשלה וביחידות הסמך שלהם.
עלה שמשרד החינוך חיבר את רשת ב' שלו למערכות הניטור של ה-SOC הממשלתי, באופן .
שמאפשר איתור וזיהוי של אירועי סייבר, אולם הוא לא חיבר אליהן את רשת א'.
משרד מבקר המדינה ממליץ למשרד החינוך להשלים את חיבור רשת א' ל -SOC הממשלתי .
כדי לתת מענה לחוסר הניטור הקיים בתחום האבטחה.
בתשובת המשרד הוא ציין, שבמסגרת תוכנית העבודה לחיבור מערכות המידע שלו ל-SOC .
הממשלתי, הותקנו הרכיבים התומכיםבקבלת נתונים ממערכות ההגנה של רשת א'; הוא הוסיף .
שהוא מאפיין את האירועים שמתרחשים במערכות אלו, לרבות אלו של רכיב אבטחת מידע .
מסוים ושל התשתיות הווירטואליות ושבנוגע אליהם צריך להתקבל דיווח.
בתשובת יה"ב היא ציינה, כי המדיניות שלה היא לחבר מגוון מקורות רחב ככל האפשר ל-SOC .
הממשלתי, וכי היא ערוכה לנטר אתרשת א' .
אבטחת המידע ברשת ג ' .
במרב"ד מנוהל התהליך הנוגע למחברות הבחינה ששימשו את הנבחנים לצורך המענה על .
בשנת 2012 זכתה החברה החיצונית במכרז של משרד החינוך לארגון ו להפעלה .
של מערך המרב"ד, באמצעות ציוד פיזי ומחשובי, ועל מערכות מידע ותשתיות שכולן של משרד .
החינוך, ומאתר השייך למשרד החינוך (להלן - המכרז להפעלת מערך המרב "ד) 31 .
הזכייה במכרז, חתמה החברה החיצונית על חוזה התקשרות 32 מול מדינת ישראל באמצעות .
ממשלת ישראל המיוצגת על ידי אגף א' במשרד החינוך וחשב משרד החינוך (להלן - חוזה .
על פי הנקבע במכרז להפעלת מערך המרב"ד, המהווה חלק בלתי נפרד מחוזה .
ההתקשרות, החברה הזוכה אחראית לתהליך הלוגיסטי של איסוף מחברות הבחינה; סריקת .
המחברות; תפעול בדיקת הבחינות והערכתן; פיתוח, הפעלה ותחזוקה של מערכת ד'; עיבוד .
הנתונים בה ו העברת ציוני הבחינה לאגף הבחינות שבמשרד החינוך.
להעסקת המעריכים והבוחנים.
במסגרת זו על החברה לוודא שכל המחברות ה תקבלו, נסרקו .
ונקלטו במערכת , שכולן הוערכו וניתנו להן ציונים, עליה לאתר שגיאות, חסרים ושיבושים.
חוק הגנת הפרטיות מגדיר "מחזיק , לעניין מאגר מידע" כ"מי שמצוי ברשותו מאגר כדרך קבע .
והוא רשאי לעשות בו שימוש" 33 .
החוק קובע כי האחריות לאבטחת המידע במאגר המידע מוטלת .
תקנות הגנת הפרטיות אבטחת מידע קובעות כי החובות שבתקנות שחלות על .
בעל מאגר מידע יחולו גם על המחזיק (למעט התקנה לעניין מסמך הגדרות המאגר ו התקנה .
לעניין מיקור חוץ) בשינויים המחויבים, ולפי העניין .
2011 : ארגון והפעלה של מרכז בדיקות בחינות (מרב"ד) וניהול מאגר מעריכים ובוחנים .
32 חוזה (בעקבות מכרז) שנחתם במקור ביום 28.
2012 והוארך ממעת לעת .
במרץ 2022 נחתם הסכם עם חברה אחרת .
כמו כן, ראו, במונחון הפרטיות שפרסמה הרשות להגנת הפרטיות לגבי מחזיק "הישות אשר .
מעבדת את המידע עבור בעל המאגר, קרי ספק מיקור חוץ".
| 297 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
עוד נקבע בתקנות כי בעל המאגר ינקוט אמצעי בקרה ופיקוח על עמידתו של הגורם החיצוני .
(שעימו התק שר לצורך קבלת שירות הכרוך במתן גישה למאגר המידע) בהוראות התקנות .
והסכם ההתקשרות שביניהם, בהיקף הנדרש בשים לב לסיכוני אבטחת המידע הכרוכים .
לפי חוזה ההתקשרות עם החברה החיצונית, הוטלה עליה האחריות לרישום מאגר המידע, .
החזקתו והשימוש בו בהתאם לחוק.
מכאן שהחברה החיצונית היא המחזיקה במאגר המידע על .
פי חוק הגנת הפרטיות ותקנות הגנת הפרטיות אבטחת מידע והנקבע בהם חל עליה.
"גורם חיצוני" שעימו התקשר המשרד לקבלת שירות הכרוך במתן גישה למאגר המידע ולכן על .
המשרד לוודא שהחברה תעמוד בהוראות המחייבות.
רשת ג' פרוסה בשלושה אתרים מרכזיים.
שניים מהם נמצאים ברשת א' בחברה א', והשלישי .
במשרדים השייכים למשרד החינוך.
שימוש במוצרים שהיצרן אינו תומך בהם והטמעת רכיבי אבטחת מידע במרב"ד: מפעם .
לפעם נוהגות חברות המפתחות מערכות ורכיבי מחשוב לעדכן את גרסאות המוצרים שלהן.
לעיתים הן גם מפסיקות לתמוך בגרסאות הישנות.
עדכון גרסה נעשה מסיבות שונות, ובהן בשל .
חולשות אבטחה שהחברות זיהו במוצרים שלהן.
דבר העדכון מתפרסם בקרב אנשי המקצוע .
שבתחום, בקהילות ייעודיות ובקרב הצרכנים, וזאת על מנת להביא לידיעתם את דבר החולשה .
שהתגלתה ולהציע להם להתקין את הגרסה המעודכנת.
פרסומים מעין אלו יכולים לשמש זרזים .
לגורמים עוינים , ל פצחנים ולאחרים שיש להם עניין לפגוע במערכות, והם אף ממקדים את .
הפגיעה באותן חולשות שהתגלו.
תקנות הגנת הפרטיות אבטחת מידע בעניין ניהול מאובטח ומעודכן של מערכות קובעות כי לא .
ייעשה שימוש במערכות שהיצרן אינו תומך בהיבטי האבטחה שלהן, אלא אם כן ניתן מענה .
עוד קובעות התקנות כי בעל המאגר לא יחבר את מערכות המאגר .
למרשתת או לרשת ציבורית אחרת, בלא התקנת אמצעי הגנה מתאימים מפני חדירה לא מורשית .
או מפני תוכנות המסוגלות לגרום נזק או שיבוש למחשב או לחומר מחשב.
הנחיית יה "ב "מדיניות עדכון מערכות מידע בממשלה" קובעת כי אין להשתמש בגרסאות .
מערכת, שהגיעו לסיום מחזור חיים ואשר היצרן כבר אינו תומך בהן.
Domain Controller " נקבע כיגרסת מערכת הפעלה מסוימת אינה נתמכת עוד, ולכן יש להימנע .
בהנחיית המסגרת נקבע כי איתור הניסיונות לביצוע פעולות לא מורשות ברשת המשרד יתמקד .
בשני מישורים, ובהם, באיתור בזמן אמת של פעילויות לא מורשות ברשת ובשרתי המשרד על .
ידי שימוש במוצרי אבטחת מידע לאיתור חדירה ( Intrusion Detection) ובמערכת לניהול אירועי .
אבטחת המידע ונתוני אבטחת המידע ( Security Information and Event Management , להלן- .
• רשת ג' מוגנת על ידי גרסה מיושנת של רכיב הגנה מסוים, שהחל בספטמבר 2019 .
היצרן הפסיק לתמוך בה.
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד • ברשת עלו פערים בנוגע להתקנת רכיבים מסוימים לאבטחת מידע.
• במרץ 2021 פנתה החברה החיצונית למשרד החינוך בדרישה לרכוש רכיב הגנה מסוים .
באוקטובר 2021 נרכש רכיב ההגנה, אך נכון לנובמבר 2021 הוא לא .
• בינואר 2020 היצרן הפסיק לתמוך במערכת ההפעלה של שרתים מסוג מסוים .
שמשמשים, בין היתר, את רשת ג'; בכלל זה הופסקה התמיכה בשרתים מסוימים .
להפעלת מערך בחינות הבגרות.
• יש מערכת המנטרת את הביצועים של רשת ג ' ואת השרתים של רשת זו; גישת .
העובדים מאותה רשת למרשתת מתבצעת באמצעות מערכות משרד החינוך ומנוטרת .
על ידי ה-SOC הממשלתי; כמו כן, חברה א' מספקת שירותי ניטור אבטחתי לחלקים .
שבאחריותה ברשת א '; עם זאת, לרשת ג ' אין רכיב שמבצע בקרה מסוימת כפי .
שהומלץ בהנחיית המסגרת.
היעדר בקרה מסוימת מלאה ומעודכנת של רשת ג' עלול לאפשר לתוקף לפעול בתוכה .
באופן הנסתר ממנהלי המערכת ; השימוש של משרד החינוך והחברה החיצונית במוצרי .
אבטחת מידע ישנים ובשרתים שהיצרן אינו תומך בהם מבלי שניתן מענה אבטחתי מתאים, .
אינו מתיישב עם דרישת תקנות הגנת הפרטיות אבטחת מידע והנחיות יה"ב.
חולשות שלא יאפשרו מענה מלא במקרה של תקיפה של המערכות.
בתשובת המשרד הוא ציין, כי שדרוג מערכת ההפעלה של השרתים ברשת ג' נמצא בשלבים .
אחרונים, ובמסגרת זו הוקמו סביבות דמה מסוימות.
כמו כן, הוקם שרת שישמש תבנית להחלפת .
התשתית של רשת א', וכי התקבל והותקן רישוי לשרתי רשת ג'.
על משרד החינוך לקדם את סיום ההטמעה של הגרסה המעודכנת של תוכנת ההגנה .
ברשת ג' ולהשלים את שדרוג מערכות ההפעלה של שרתי רשת ג'.
ידרוש מחברות המפעילות את מערך המרב"ד עבורו להטמיע את מערכות אבטחת המידע .
מומלץ גם שהמשרד יפעל להקמת יכולת בקרה מסוימת ויגדיר התרעות .
שיאפשרו לאתר סיכוני פגיעה של הרשת, וכן מומלץ להשלים את הפער ביכולת הניטור.
הקשחת שרתים ועמדות קצה במערך המרב"ד: בתורת ההגנה בסייבר לארגון נקבע שעל .
הארגון להגדיר דרישות הקשחה למערכותיו ולתעד את הדרישות במסגרת-על שתשמש בסיס .
כמו כן נקבע כי על הארגון להגדיר נוהלי הקשחה לכל סוג מערכת .
ושרת על בסיס פרקטיקות מקובלות, ובין השאר: כיבוי שירותים לא נחוצים, חסימה של התקנת .
תוכנה על ידי משתמשים לא מורשים.
בהנחיית יה"ב "הקשחת עמדות קצה" נקבעו פעולות ההקשחה שיש לבצע בעמדות קצה (כגון .
הטמעת מנגנון שמגביל הרצת ת וכנות על עמדת קצה ושולט בהרצתן).
"הקשחת Domain Controller "נקבע כי יש לצמצם ככל הניתן את מתן הרשאות הגישה לשרת .
Domain Controller באופן שיינתנו הרשאות לתפעול בלבד, וזאת לקבוצת מורשים מצומצמת .
| 299 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
בביקורת עלה כי משרד החינוך והחברה החיצונית לא גיבשו נוהל להקשחת שרתים .
במערך המרב"ד כפי שהומלץ בתורת ההגנה בסייבר לארגון.
בסקר הסיכונים שביצעה החברה החיצונית ביוני 2021 בנוגע לרשת ג' (להלן - סקר .
סיכונים לרשת ג') נמצא, כי עמדות הקצה אינן מוקשחות מספיק וקבוצת מנהלי הדומיין .
בתשובתו מסר משרד החינוך, כי נכון למועד תשובתו משתמשים בעמדות הקצה אינם יכולים .
להריץ תוכנות ללא הגבלה אם הן אינן מותקנות, וכי במרבית עמדות הקצה אין כלל גישה .
למרשתת ואין בהן גישה לחיבור מסוג "USB( " Universal Serial Bus .
למשתמשים אין הרשאת מנהל ( ADMIN .
משרד מבקר המדינה ממליץ למשרד החינוך לגבש נוהל הקשחה לכל סוג מערכת, תחנת .
קצה ושרת אשר תואם את תורת ההגנה בסייבר והנחיות יה"ב, לדרוש מחברות המפעילות .
את מערך המרב"ד עבורו לפעול לפיו.
עוד מומלץ שהמשרד ינקוט אמצעי בקרה ופיקוח .
לעניין יישום דרישות ההקשחה.
עוד מומלץ כי משרד החינוך ישלים בחינה של מערך ההרשאות בכדי לוודא, בין היתר, כי .
גם למשתמשים שלהם אין הרשאת מנהל ( ADMIN ,) על אותן עמדותאין הרשאת התקנה .
ביצוע סגמנטציה בשרתי רשת ג': בהנחיית המסגרת הומלץ על חלוקה מקובלת של .
הסביבה, ובין היתר, על הפרדה בין רשת הייצור (הרשת התפעולית שבה מותקנות ופועלות .
מערכות המידע בגרסתן הסופית והמאושרת) לבין רשת הבדיקות והפיתוח (להלן - רשת .
הבדיקות) שבה מתבצעים תהליכי הפיתוח והבדיקות של המערכות לפני התקנתן ברשת הייצור.
בביקורת עלה כי שרת א' ושרתי ב' אינם מופרדים; הדבר מקנה לעובדים מסוימים גישה .
לשרתי ב' אף שלא אמורה להיות להם גישה כזו.
עוד עלה כי בשרת א' נשמר עותק של .
מסד נתונים מסוים, והוא מונגש למשתמשים מורשים מסוימים ; יוצא כי לאותם משתמשים .
יש גישה גם למאגר אף שאינם מורשים לכך.
עוד עלה כי הפעולות המתבצעות בשרת א' .
מומלץ למשרד החינוך לפעול לביצוע הפרדה בין שרת א' לשרתי ב'.
א' לא ייעשה שימוש במסד הנתונים המלא והעדכני של הנתונים.
ביצוע סקרי סיכונים ומבדקי חדירות: כאמור, משרד החינוך כבעל מאגרי מידע הכוללים .
מידע רגיש על תלמידים ועובדים, ושהעתק שלהם נשמר במערכת ד ' 34, נדרש לרמת האבטחה .
הגבוהה ביותר לפי התקנות, ובשל כך עליו לבצע סקר סיכונים ומבדק חדירות בנוגע למערכות .
המידע של אותם מאגרי המידע אחת ל-18 חודשים35.
34 מאגר מידע "נבחני הבגרות" שמספרו 980046729 , ומאגר מידע "ציוני הבגרות" שמספרו 990057652 .
35 ראו תקנה5(5 ) ותקנה5 .
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד עלה, כי משרד החינוך, לא ביצע סקר סיכונים בנוגע לרשת ג' או מבדק חדירות למערכת .
ד' בשלוש השנים שקדמו למאי 2021 , בין בעצמו, ובין באמצעות חברות המפעילות את .
וכי במהלך הביקורת ובעקבותיה, במאי 2021 , ביצעה החברה .
החיצונית 36 , מבדק חדירות לאתרים החיצוניים ולסביבה ו' (להלן - מבדק חדירות סביבה .
ו'), כמו כן, ביוני 2021 , היא ביצעה סקרסיכונים לרשת ג'.
במבדק החדירות סביבה ו' משנת 2021 נמצא שהסיכון לפגיעה באתרים החיצוניים .
ולעקיפת מנגנוני ההגנה וההפרדה הפנימיים היה קטן.
עם זאת, עלו חמישה ממצאים .
שכללו: ממצא קריטי אחד; ממצא ברמת חומרה גבוהה; וממצא ברמת חומרה בינונית.
מממצאי סקר הסיכונים רשת ג' משנת 2021 עלה שנשקף סיכון גבוה לרשת, שכן13 מ- .
21 הממצאים שעלו היו ברמת חומרה גבוהה, ושישה ברמת חומרה בינונית.
רכיב אבטחת מידע מסוים אינם מוקשחים דיים; קבוצות מינהלני רשת ( Admins ) היו .
מתירניות מדי; בחלק מעמדות הקצה אין מערכת אנטי-וירוס מעודכ נת; וגרסאות מערכות .
מסוימות אינן מעודכנות.
מומלץ שמשרד החינוך ידרוש שסקר הסיכונים והמבדקים יבוצעו במועדים ובתדירות .
הנדרשים ועל ידי גורם מקצועי שיהיה בלתי תלוי.
עוד מומלץ כי המשרד יוודא כי הממצאים .
שעלו בסקר הסיכונים רשת ג' ובמבדק החדירה לסביבה ו' משנת 2021 .
עמידה בתקנות הגנת הפרטיות: כאמור, תקנות הגנת הפרטיות אבטחת מידע37 קובעות כי .
החובות החלות על בעל המאגר יחולו גם על מנהל המאגר וגם על המחזיק בו בשינויים המחויבים .
במכרז להפעלת מערך המרב"ד, שקדם למועד התקנת התקנות, נכתב כי האחריות .
לרישום המאגר, להחזקתו ו לשימוש בו על פי חוק הגנת הפרטיות תחול על החברה.
בביקורת עלה, כי אף שתקנות הגנת הפרטיות נכנסו לתוקפן בשנת 2018 , משרד החינוך .
לא פעל להבטיח כי החברה החיצונית תבצע בדיקה באשר לעמידתה בדרישות התקנות, .
סקרי סיכונים ומבדקי חדירה במועד, תשתמש רק במוצרים שנתמכים על ידי היצרן, ותהיה .
בעלת מערכות אבטחת מידע מסוימות.
מומלץ שמשרד החינוך יפעל להבטיח כי החברות המפ עילות את מערך המרב"ד עבורו, .
במסגרת ההתקשרות עמן, יעמדו בכל החובות שחלות עליהן בחוק הגנת הפרטיות .
ובתקנות הגנת הפרטיות אבטחת מידע.
הסמכה לתקן 27001-ISO: "בהנחיית יה"ב "שרשרת האספקה" נקבע, כי על "ספק מהותי38 .
של משרד ממשלתי לעמוד בתקן אבטחת מידע ארגוני ממשפחת תק ן ישראלי ISO-27001 .
החברה החיצונית היא ספק של משרד החינוך ומספקת, בין השאר, שירותי מחשוב, אחסון מידע .
והעברת מידע, ועל כן היא נחשבת לספק מהותי.
גם בחוזה ההתקשר ות נקבע כי על החברה .
באמצעות חברה בת שלה .
38 ספק מהותי/קריטי- ספק המספק שירותים, כגון שירותי תמיכה או תחזוקה למערכות מידע, שירותי אחסון של נתונים .
רגישים מחוץ למשרד ושירותי מיקור חוץ טכנולוגיים , או במקרה בו פגיעה בספק עלולה לגרום לנזק מהותי עבור .
| 301 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
החיצונית לקבל תו תקן ממשפחת תקני ISO בתוך חצי שנה, אחרי ביצוע מבדקים ועדכון נהלים .
בשנת 2020 ביצעההחברה החיצונית מבדק הסמכה לתקן ISO-27001.
יש עיסוקים ופעילויות נוסף על פעילות מערך המרב"ד.
בביקורת עלה, שמבדק ההסמכה של החברה החיצונית לעמידה בתקן ISO-27001 לא .
כלל את פעילות מערך המרב"ד שהיא מבצעת עבור משרד החינוך.
ביצעה את מבדק ההסמכה בהתייחס לסביבת מחשוב שהיא אחרת ונפרדת מזו של סביבת .
המחשוב של מערך המרב"ד.
מומלץ כי משרד החינוך יפעל להבטיח כי החברות המפעילות את מערך המרב "ד עבורו, .
שהן "ספק מהותי" שלו, יעמדו בתקן 27001-ISO .
:גיבוי ושחזור של נתוניםתקנות הגנת הפרטיות אבטחת מידע קובעות כי במאגר מידע שחלה .
עליו רמת האבטחה הבינונית או הגבוהה, יקבע בעל מאגר המידע נהלים לביצוע גיבוי, וכן נהלים .
להבטחת שחזור הנתונים, ובלבד שביצוע השחזור יהיה באישור מנהל המאגר .
הנחיית המסגרת והנחיית "גיבוי ושחזור מידע" קובעות כי יש לגבש תוכנית להמשכיות תפקודית .
(BCP ) אשר תכלול גם תוכנית להתאוששות מאסון ( Disaster Recovery Plan ,)המבוססת על .
הערכת סיכונים נאותה ומפרטת את כלל האמצעים שיש לנקוט בהתרחש אירוע חירום, המסכן .
את פעילותו התקינה של המשרד.
עוד נקבע בהנחיית "גיבוי ושחזור מידע" כי יש לבצע תרגילי .
שחזור תקופתיים, וכי לפני הוצאתו של עותק הגיבויים אל מחוץ לאתר הראשי או אתר ה- DR יש .
בביקורת עלה כי המשרד והחברה החיצונית לא קבעו נוהל הנוגע לגיבוי ולשחזור של .
מערכת ד', ולא קבעו תוכנית המשכיות עסקית - BCP לפעילותמערך המרב "ד.
כי עותק של הגיבויים נשמר ללא הצפנה ברשת א' וכן ברשת ג'.
החברה החיצונית מסרה .
לצוות הביקורת כי בשנת 2021 .
'בוצע תרגיל שחזור מגיבוי למערכת ד .
על משרד החינוך לקבוע נהלים לנושא הגיבוי והשחזור ולנושא ההמשכיות העסקית - BCP .
במרב"ד, ועל המשרד לוודא כי החברות המפעילות את מערך המרב"ד עבורו פועלות .
לפיהם ולפי הנחיות יה"ב.
אבטחת המידע במערכת ד' .
למערכת ד' נטענים קובצי מחברות הבחינה הסרוקות וק ובצי מחברות הבחינה המתוקשבות.
הגישה למערכת מוקנית, באמצעות המרשתת, לכ- 4,000 מעריכים חיצונייםאשר בודקים את .
מחברות הבחינות ומזינים עבורן ציונים.
למערכת ד' נטענים גם כל ציוני המגן של התלמידים .
שהזינו בתי הספר במערכות השונות.
כל הציונים (ציוני מעריכים ומגן) נשמרים ב- DB שלמערכת .
לאחר סיום תהליך ההערכה ו ביצוע תהליכי בקרה במרב"ד הם מועברים למשרד החינוך .
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד ונשמרים במערכת ז' שבמחשב ייעודי; בד בבד "ננעלים " הציונים במערכת ד', לא ניתן לשנותם .
ואף לא ל שלוח אותם שוב למשרד החינוך39.
גישה מרחוק של משתמשים למערכת ד': אפשרות הגישה מרחוק למערכ ות מידע עלול ה .
להביא להיווצרות סיכונים ואיומים מוגברים, שכן היא מעצימה את הסיכויים לפגיעה בה, למשל .
בשל ציתות לתעבור ת מידע במערכת , זליגת מידע לגורמים לא מורשים והתחזות לגורמים .
הסיכונים והאיומים למערכת נוצ רים בעיקר בשל קושי בשליטה על פעילות .
המתרחשת מחוץ לחצרי הארגון.
מטרת הנחיית יה"ב "גישה מרחוק" היא להנחות את קהל היעד בדבר קביעת מדיניות לגישה .
מאובטחת מרחוק לרשת הפנים-ארגונית ולמערכות המידע של המשרד.
המשרד לספק למשתמשים את תחנות העבודה שיאפשרו גישה מרחוק לרשת הפנימית, וזאת .
לאחר שהוא הקשיח את מערכת ההפעלה והצפ ין את הכוננים במחשבים הניידים של .
כחלופה לכך נקבע בהנחיה שניתן להגדיר סביבת עבודה ייעודית שתאפשר לגשת .
עוד נקבע בהנחיה כי על כל תעבורת הרשת בחיבור מרחוק אל המשרד .
לעבור דרך חיבור מאובטח מלא שאינו מאפשר גלישה בד בבד ברשת ציבורית (במרשתת) אלא .
אם כן הדבר נעשה באמצעות תווך תקשורת מאובטח.
כניסת משתמש למערכת ד' דורשת הזדהות דו-שלבית ( Two Factor Authentication ,להלן - .
בביקורת עלה כימשרד החינוך והחברה החיצונית אינם מנהלים את מערך המחשבים .
האישיים הפרטיים של המעריכים שדרכם מתחברים למערכת ד' , וכי החיבור שלהם .
על משרד החינוך לפעול על פי מתכונת עבודה שנקבעה בהנחיית יה"ב, ובכלל זה לדרוש .
מהחברות המפעילות את מערך המרב"ד עבורו למנוע אפשרות לגלישה חופשית לא .
מאובטחת במרשתת בעת החיבור למערכת ד'.
ניטור ותיעוד של פעולות במערכת ד ': תקנות הגנת הפרטיות אבטחת מידע קובעות כי .
במערכות מידע של מאגר מידע שחלה עליו רמת אבטחת מידע בינונית או גבוהה ינוהל מנגנון .
תיעוד אוטומטי שיאפשר ביקורת על הגישה למערכות המאגר , ובכלל זה על זהות המשתמש .
במערכות, התאריך והשעה של ניסיון הגישה, רכיב המערכת שאליו בוצע ניסיון הגישה, סוג .
הגישה, היקפה ואם הגישה אושרה או נדחתה.
על פי ה תקנות, על מנגנון הבקרה למנוע ככל .
האפשר ביטול או שינוי של הפעלת ו, לאתר ניסיונות כאלו ולהתריע עליהם.
בהנחיית המסגרת נקבע כי איתור הניסיונות לביצוע פעולות לא מורשות ברשת המשרד יתמקד, .
בין השאר, ב ניתוח בדיעבד , ובסמוך ככל שניתן לזמן א מת, של הלוגים במערכות ובמוצרי .
39 לעיתים נדרש לבחון שוב ציונים או מחברות בחינה, למשל בשל עררים.
במקרים כאלה מתבצע תהליך מבוקר ובו .
בעל הרשאה יחיד שמוגדר במערכת יכול "לשחרר" ציונים מנעילה לאחר אישור פורמלי של משרד החינוך, וזאת .
לצורך שינוי הציון ודיווח עליו מחדש.
| 303 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
עלה כי הפעולות הנעשות במערכת ד' נרשמות ומתועדות בקובצי ה -log , אך הן אינן .
מבוקרות ואינן מנוטרות: לא באמצעות מנגנון מסוים ל ניטור ובקרה, כפי שהומלץ בהנחיית .
המסגרת, ולא באמצעות מנגנון בקרה אחר .
מומלץ שמשרד החינוך יפעל לשיפור יכולת הניטור והבקרה של מערכת ד', ושינתח בסמוך .
ככל הניתן לזמן אמת את קובצי ה-log של המערכת לאיתור של חריגה מהרשאות ושל .
הרשאות גישה למערכת ד': מערכת ד' הינה מערכת מבוזרת שבצד אחד משתמש (לקוח - .
Client )ובצד השני - שרת ( Server.
בתקנות הגנת הפרטיות אבטחת מידע נקבע כי הרשאות הגישה של בעלי הרשאות למאגר .
המידע ולמערכות המאגר לכל תפקיד יהיו במידה הנדרשת לביצוע התפקיד בלבד.
גם בהנחיית המסגרת נקבע כי יש לתת הרשאות על בסיס "פרופיל הרשאות" מתאים לכל .
תפקיד שמאפשר למשתמש גישה לפרטי מידע הדרושים לו לביצוע עבודתו בלבד , וכי על .
המידור להתבצע בהתאם לעקרון "הצורך לדעת", המצמצם במידת האפשר את הגורמים .
המורשים להיחשף לנכסי המידע הרגישים במיוחד ומקנה שקיפות בתוך המשרד בנוגע לנכסי .
מידע בסיווג נמוך יותר.
עוד נקבע כי יש ליישם כלים שמאפשרים זיהוי חד -ערכי של משתמשים .
אשר ביצעו שינויים במידע או בתוכנה או אשר ניגשו למידע רגיש, וכן שיפרטו את הפעילות .
בהנחיית יה"ב "פיתוח מאובטח"40 נקבע כי יש לדאוג להפרדה מוחלטת בין סביבת הייצור .
לסביבת הפיתוח וסביבות הניסוי (הבדיקות), וכי אין לאפשר לתכ ניתנים (מפתחים) גישה .
לבסיסי נתונים בסביבת הייצור.