HeTree/MevakerConcSen huggingface dataset:
לדעת משרד מבקר המדינה, מאחר שכל מנהלי בתי הספר ממונים על אבטחת המידע בבתי הספר, ראוי כי יקבלו הדרכה בנושא אבטחת מידע ומאגרי מידע.
(ג) בחוזר מנכ"ל משרד החינוך נדרש כי ססמאות הגישה יהיו חסויות, יימסרו רק למורשי גישה למאגר ויוחלפו פעמיים בשנה.
אורך הססמה יהיה שישה תווים לפחות, והיא תכלול שילוב של מספרים ואותיות.
משרד מבקר המדינה העלה כי הוראה זו שבחוזר מנכ"ל משרד החינוך אינה מיושמת בכל בתי הספר שנבדקו.
בחלק מבתי הספר נמצא כי ססמאות למערכת המנב"ס מוחלפות רק פעם בשנה או בשנתיים, ובאחד מבתי הספר היא לא הוחלפה כלל במשך שנים.
(ד) בחוזר מנכ"ל משרד החינוך נקבע כי על מנהל בית הספר לקבוע נהלים בדבר תיוק פלטי מחשב ואחסונם בארון נעול.
משרד מבקר המדינה העלה כי בתשעת בתי הספר שנבדקו לא נקבעו נהלים כתובים בעניין.
(ה) בחוזר מנכ"ל משרד החינוך נקבע כי על מנהל בית הספר להיערך לשעת אסון באמצעות הכנת גיבויים במקום מאובטח ובחינה חד -שנתית של יישום ההיערכות.
עוד נקבע כי גיבויים יבוצעו לפחות אחת לשבוע, יישמרו ארבעת הגיבויים האחרונים לפחות, יש לאחסן אותם בכספת המיועדת לכך, ויש לסמן מדיה מגנטית המכילה מידע בכיתוב "מידע מוגן לפי חוק הגנת הפרטיות".
משרד מבקר המדינה העלה כי בבתי הספר שנבדקו אין תכנית היערכות לשעת אסון, וכי המדיות המגנטיות אינן מסומנות בכיתוב הנדרש.
אשר לתדירות ביצוע הגיבויים בבתי הספר, בחלק מבת י הספר נמצאו בין השאר הליקויים האלה: האמצעי שעליו מגובה המידע אינו נשמר בכספת, באחד מבתי הספר המזכירה שומרת אמצעי זה בתיקה האישי; חלק מהגיבויים מתבצעים אחת לחודש ואף אחת לחודשיים.
(ו) לפי חוזר מנכ"ל משרד החינוך, יש למפות ולסווג את מאגרי המידע השמורים בבית הספר ולקבוע את רמת החיסיון שלהם (למשל "בלתי מסווג" או "חסוי").
משרד מבקר המדינה העלה כי כל בתי הספר שנבדקו לא מיפו ולא סיווגו את מאגרי המידע שלהם.
(ז) בחוזר מנכ"ל משרד החינוך נקבע כי כל מנהל בית ספר יקבע בעל תפקיד לאחראי לענייני ניהול משתמשים, עדכון והחלפת ססמאות, בקרה ודיווח על חריגים ויישום הנחיות הנוהל.
משרד מבקר המדינה העלה כי בשלושה בתי ספר לא קבע מנהל בית הספר אחראי לנושאים האמורים.
(ח) בחוזר מנכ"ל משרד החינוך נקבע בין השאר כי יש להתקין מערכות אל פסק (UPS ), וכי יש לאבטח את החדר שבו נמצא המחשב נגד פריצה, וזאת על ידי דלת פלדלת, סורגים ואזעקה.
משרד מבקר המדינה העלה כי בארבעה מבתי הספר שנבדקו אין מערכת אל פסק, בחמישה אין דלת פלדלת ובשלושה אין סורגים.
(ט) בחוזר מנכ"ל משרד החינוך נקבע כי יש להתקין במחשבים תכנת אנטי-וירוס שתתעדכן פעם ביום באופן אוטומטי.
פעם בחודש תבוצע בעזרת תכנת האנטי- וירוס בדיקה יזומה.
משרד מבקר המדינה העלה כי בבית ספר אחד תכנת האנטי -וירוס מתעדכנת רק פעם אחת בשנה, ובשלושה בתי ספר - באופן לא סדיר.
בשום בית ספר שנבדק לא התקיימה בדיקה יזומה של המחשב בעזרת תכנת האנטי-וירוס.
בבירור שקיים משרד מבקר המדינה עם משרד החינוך בנושא יישום חוזר מנכ"ל משרד החינוך השיב משרד החינוך ביולי 2011 כי יישום הנוהל מוטל על מנהל בית הספר, וכי מינהל תקשוב ומערכות מידע במשרד החינוך מפקח על יישום הנוהל ומסייע ביישומו.
הוא עושה זאת ישירות מול מנהלי בתי הספר באמצעות מינהלת המנב"ס.
באוקטובר 2011 השיב משרד החינוך למשרד מבקר המדינה, כי "על כל רשות מקומית מוטלת האחריות הבלעדית בכל הנוגע לרכישה, תחזוקה ובדיקה של מבנים וציוד פיזי בבתי הספר, לרבות אבטחתם הפיזית, פרסום הנחיות מקצועיות בנושאים אלה ווידוא כי הנחיות מולאו.
משרד החינוך אחראי על אבטחת מידע והגנת הפרטיות במאגרי מידע אשר בבעלותו המצויים בבתי הספר אולם לא על רכישה ותחזוקה של הציוד הפיזי ואבטחתו, להם אחראית כאמור באופן בלעדי הרשות המקומית".
משרד מבקר המדינה מעיר כי על משרד החינוך, משרד הפנים והרשות למשפט, טכנולוגיה ומידע למפות את כלל החובות המוטלות על בתי ספר בתחום אבטחת המידע ולהגדיר באופן ברור את הגופים המופקדים על הפיקוח בתחום זה.
תיאום זה נדרש בעיקר במקום שבו גופים שונים אחראים לפיקוח על נושאי טיפול שונים בתחום אבטחת המידע.
משרד הרווחה והשירותים החברתיים ומחלקות הרווחה ברשויות המקומיות .
תקנון העבודה הסוציאלית (להלן - תע"ס) של משרד הרווחה והשירותים החברתיים (להלן - משרד הרווחה) הוא אוגדן של הוראות והודעות לעובדים במחלקות לשירותים חברתיים.
הוראה בדבר "ניהול רשומות" בתע"ס עוסקת בנושא ניהול הרשומות, ובכלל זה בניהול רשומות שנוצרו באמצעים ממוחשבים במחלקות לשירותים חברתיים.
בהוראה נקבע כי לפני שיצא העובד הסוציאלי מחדרו עליו לנעול את כל התיקים במגירת ארון תיקים ולשמור את המפתח במקום חסוי.
עוד נקבע בה כי מאחר שדוחות מחשב מכילים מידע רב יש לשמור אותם בהתאם לכללי אבטחת מידע.
הוראה אחרת בתע"ס עוסקת בחובת הסודיות וקובעת כי תיקי הפונים ופלטי מחשב הכוללים נתונים אישיים שאינם בטיפול יישמרו בארונות או במגירות נעולים במשך יום העבודה.
בסיום יום העבודה יינעל כל החומר שבטיפול ושאינו בטיפול.
תיקי פונים שאינם פעילים יישמרו במגנזה במכלים סגורים מתאימים, ורק לעובדי המחלקה תתאפשר גישה אליהם.
המפקחים במחוזות ועובדי האגף לביקורת פנימית במשרד הרווחה יפקחו על ביצוע ההוראות.
משרד מבקר המדינה בדק את אופן יישומן של הוראות תע"ס במחלקות לשירותים חברתיים בשש מתוך שבע הרשויות המקומיות שנבדקו (אשקלון, יהוד-מונוסון, בני ברק, טירה, יקנעם עילית ורמת ישי).
בבדיקה הועלו הליקויים האלה: חלק מהמחלקות שוכנות בקומת הקרקע של מבנה העירייה, ולחלקן חלון או קיר זכוכית שקוף, שאינו מסורג הפונה לרחוב; בחדרים פתוחים ובלתי מאוישים של עובדים סוציאליים נמצאו תיקים אישיים על השולחנות ובארונות לא נעולים; במסדרון נמצא שק ובו חומר לגריסה הכולל דוחות ומידע רגיש שהיה נגיש לכל מבקרי המחלקה; בחדרי העובדים נמצאו תיקים ובהם מידע רגיש המאוחסנים בתיקיות ובארונות לא נעולים.
עוד נמצא כי מחשבים של עובדים סוציאליים המכילים חומר רגיש נגישים ללא צורך בהקלדת שם משתמש וססמה; ארכיון של מחלקת רווחה הנמצא בקומה הראשונה של המבנה נמצא פתוח ונגיש לכל באי המקום; גם במסדרונות המבנה נמצאו ארונות לאחסון שאינם נעולים אף שהם מכילים חומר רגיש.
יודגש כי במחלקות לשירותים חברתיים שברשויות המקומיות מתקיימת קבלת קהל באופן שוטף במשך היום.
הביקורת העלתה כי מפקחי משרד הרווחה אינם בודקים את אופן מילוי ההוראות במחלקות הרווחה ברשויות המקומיות.
לא בוצעו ביקורות ייעודיות של האגף לביקורת פנימית במשרד לשירותים חברתיים בנושאים אלה.
עוד נמצא כי הוראות "ניהול רשומות" אמנם קובעות כי יש לשמור דוחות הכוללים מידע לפי כללי אבטחת מידע, אך הן אינן מפרטות מהם כללים אלה ומה מתחייב מהם.
משרד מבקר המדינה מעיר כי הממצאים שהועלו במחלקות הרווחה בשש הרשויות שנבדקו מלמדים על ליקויים בתחום אבטחת המידע והגנת הפרטיות.
הדבר מחייב את משרד הרווחה ואת ה רשויות המקומיות להטמיע את הוראות תע"ס בקרב העובדים בשירותים הסוציאליים ולקיים בקרה על יישומם.
כמו כן על הרשויות המקומיות לוודא כי יש בידי מחלקות הרווחה הציוד הנדרש להן כדי שיוכלו לעמוד בדרישות המוטלות עליהן, ובכלל זה ארונות עם מנעולים.
עוד מעיר משרד מבקר המדינה למשרד הרווחה כי עליו לקבוע כללים והנחיות מפורטים בנושא אבטחת מידע, וזאת מעבר לדרישות הכלליות המופיעות בהוראת "ניהול רשומות".
לעניין זה, משרד הרווחה יכול להיעזר בנוהל המסגרת שהוציא האגף לביקורת המדינה במשרד ראש הממשלה.
משרד הרווחה הודיע בתשובתו מספט מבר 2011 כי האחריות להטמעתן של הוראות אבטחת מידע היא של הרשות המקומית.
משרד מבקר המדינה מפנה את תשומת לבו של משרד הרווחה לכך שבהוראות התע"ס נקבע באופן חד-משמעי כי את הבקרה השוטפת על יישום ההוראות יעשו המפקחים במחוזות ועובדי האגף לביקורת פנימית.
טיפול במידע היוצא מהרשות המקומית .
: ' הסכמים בין הרשויות המקומיות לבין חברה א חברה א' משמשת בית תכנה של השלטון המקומי.
החברה מפתחת ומיישמת מערכות ממוחשבות ברשויות המקומיות ונותנת להן ייעוץ שוטף בכל הקשור לתכנון, להקמה ולהפעלה של מערכות מידע ביישובים.
החברה מפעילה את אחת הרשתות הגדולות במדינה להעברת נתונים.
ברשותה כ-80 מחשבים מקומיים המותקנים ברשויות המקומיות, ואלה משרתים כ-15,000 משתמשי קצה.
המערכות שהחברה מספקת כוללים, בין השאר: מערכות גבייה ואוכלוסין, מערכות שכר ומערכות ניהול משאבי אנוש.
חברה א' מחזיקה במאגרי מידע של בעלים שונים, ובכללם שבע הרשויות שנבדקו.
בחוק הגנת הפרטיות25 נקבע כי המחזיק במאגרי מידע של בעלים שונים יבטיח כי .
אפשרות הגישה לכל מאגר תהיה נתונה רק למי שהורשה במפורש לעשות זאת בהסכם בכתב בינו ובין בעליו של אותו מאגר.
מחזיק שברשותו לפחות חמישה מאגרי מידע החייבים ברישום ימסור לרשם מדי שנה רשימה של מאגרים אלה ויצרף לרשימה את שמות בעלי המאגרים, תצהיר על כך שנקבעו בעלי זכות הגישה לכל אחד מה מאגרים בהסכם שנקבע בין המחזיקים בו ובין בעליו, וכן שמו של הממונה על האבטחה.
רק בשנת 2010 קיימה לראשונה חברה א' את חובתה כמחזיקה במאגרים של בעלים שונים ומסרה דיווח שנתי לרשות למשפט, טכנולוגיה ומידע.
משרד מבקר המדינה העלה כי לרשויות המקומיות רמת ישי, אשקלון ובני ברק אין כלל הסכם למתן שירות מחברה א'.
המועצה המקומית בני עי"ש ועיריית טירה נמצאו במועד הביקורת לראשונה בעיצומו של מכר ז לאספקת שירותי מחשוב הכולל דרישות לקיום הוראות חוק הגנת הפרטיות ואבטחת מידע.
רק לרשויות יהוד -מונוסון ויקנעם עילית היו הסכמים המגדירים את האחריות לנושא אבטחת מידע הנדרשת מחברה א'.
עוד העלה משרד מבקר המדינה כי כל שבע הרשויות המקומיות שנבדקו, שכאמור מאגריהן מוחזקים בידי חברה א', לא חתמו עמה על הסכמים לגבי המורשים לקבל גישה למאגרי המידע שלהן כנדרש בחוק הגנת הפרטיות.
: טיפול במאגרי מידע המוחזקים בידי גופים פרטיים רשויות מקומיות מתקשרות לעתים עם חברות חיצוניות כדי שיבצעו עבורן עבודות שונות.
הרשויות מעסיקות חברות כאלה, בין היתר, לצורך הטיפול בגביית מסי עירייה.
מחלקות הארנונה של הרשויות המקומיות טירה, יקנעם עילית ובני עי"ש מקיימות את עיקר פעולות הגבייה באמצעות חברה ב'.
במרץ 2003 הוציא מנכ"ל משרד הפנים26 נוהל בנושא העסקת חברות גבייה27 , ולפיו רשויות מקומיות רשאיות להעסיק חברות גבייה לצורך שליחת הודעות חיוב במסי עירייה, גבייה שוטפת של מסים אלו וגביית חובות שמקורם בפיגורים בתשלומיהם.
חברות אלה צריכות לפעול לפי נוהל עבודה בכתב שיקבע גזבר הרשות, ובו יפורטו כל הפעולות שתבצע החברה והאישורים שיידרשו לכל פעולה.
עוד נקבע בנוהל של מנכ"ל משרד הפנים, שהסכם התקשרות עם חברת גבייה חייב לכלול התחייבות של החברה, כי כל מידע שיגיע אליה או אל עובדיה הנותנים שירות לרשות מקומית מסוימת ישמש רק לצורך ביצוע השירות, וכי לא ייעשה בו כל שימוש אחר והוא לא יימסר לאדם שאינו מוסמך לקבלו.
עוד נקבע כי לפחות אחת לרבעון תגיש חברה ב' דוח מפורט על הפעולות שביצעה עבור הרשות.
משרד מבקר המדינה העלה כי בנוהל שהוציא משרד הפנים להעסקת חברות גבייה אין התייחסות לפעולות הנדרשות מן החברות לצורך אבטחת המידע המועבר אליהן.
27 ,בעניין העסקת חברות גבייה ראו מבקר המדינה דוחות על הביקורת בשלטון המקומי, שנת 2008 ', עמ425.
בדיקת ההתקשרויות של שלוש הרשויות המקומיות המ עסיקות את חברה ב' בתחום הגבייה העלתה כי במכרז בעיריית טירה שבו זכתה החברה לא הוזכר כלל נושא אבטחת המידע, ומכאן שהיא לא הוחתמה במסגרת המכרז על ההתחייבות הנזכרת בנוהל של מנכ"ל משרד הפנים.
העירייה לא החתימה את חברה ב' ואת עובדיה על טופס הצהרת סודיות כלפי העירייה, אף שניתנה להם גישה מלאה למידע על התושבים.
גם נוהל העבודה שנחתם בין עיריית טירה לחברה ב' אינו מתייחס לנושא אבטחת המידע.
למועצה המקומית בני עי"ש אין נוהל עבודה בכתב עם חברה ב' כנדרש על ידי משרד הפנים, והחברה לא הגישה דוחות אחת לרבעון.
עם זאת, עובדי חברה ב' חתומים במסגרת ההסכם עם המועצה על טופס הצהרת סודיות, ונכללת בו התייחסות לחוק הגנת הפרטיות ולתקנותיו.
אשר לחברה עצמה, אין בהסכם כל דרישה מפורשת ממנה לאבטחת המידע ולהגנת הפרטיות.
נמצא כי בהסכם בין עיריית יקנעם עילית לחברה ב' אין דרישה מהחברה בנושא אבטחת המידע והגנת הפרטיות.
עובדי החברה חתמו על טופס הצהרת סודיות, וכן נחתם נוהל עבודה בין החברה לרשות.
על משרד הפנים לבחון האם יש צורך להוסיף לנוהל בנושא העסקת חברות גבייה הנחיות שיבטיחו שחברות הגבייה ינקטו פעולות ממשיות לאבטחת המידע שבידן וישתמשו בו בהתאם להור אות הדין.
כמו כן יש להבהיר את אחריותן של הרשויות המקומיות לכך שהחברות שעמן הן יתקשרו יבצעו את פעולות האבטחה הנדרשות.
זאת ועוד, על הרשויות המקומיות הפועלות באמצעות חברות גבייה למלא את הוראות הנוהל שנקבעו בעניין השימוש במידע ובעניין ההקפדה על סודיות.
העבר ת מידע בין גופים ציבוריים: לעתים גופים ציבוריים, ובכללם רשויות מקומיות, נדרשים להעביר מידע לגופים ציבוריים אחרים או לקבל מהם מידע לצורך עבודתם.
פרק ד' לחוק הגנת הפרטיות מסדיר מסירת מידע בין גופים ציבוריים וקובע מגבלות לעניין זה.
הנושא הוסדר בהרחבה בתקנות הגנת הפרטיות.
בתקנות אלו מפורטות ההוראות לניהול מאגר מידע, להעברת מידע בין גופים ציבוריים ולניהול מאגר המכיל מידע מוגבל, וכן מפורטים כללי השימוש בו.
בתקנות הגנת הפרטיות נקבעה החובה להקים בכל גוף ציבורי ועדה שתפקידה לדון בבקשות למסירת מידע שהגיש גוף ציבורי ולהחליט אם ובאיזו מידה להיעתר להן, וכן לבחון אם לאשר בקשות של אותו גוף ציבורי לקבלת מידע מגוף ציבורי אחר.
בתקנות הגנת הפרטיות נקבע גם כי הגוף המוסר את המידע חייב לנהל רשימה של הגופים שהוא מוסר להם מידע דרך קבע, ובכלל זה סוג המידע הנמסר.
משרד מבקר המדינה העלה כי בשום רשות משבע הרשויות שנבדקו לא הוקמו ועדות למסירת מידע.
בעיריית אשקלון מונתה ועדה כזאת רק במהלך הביקורת ביוני 2011.
באוקטובר2011 השיבה עיריית בני ברק למשרד מבקר המדינה כי בעקבות הביקורת מונתה בעירייה בספטמבר 2011 .
ועדה למסירת מידע בין גופים ציבוריים ועדה זו תשמש גם ועדת היגוי לנושא הגנת הפרטיות ואבטחת המידע במאגרי העירייה.
משרד מבקר המדינה מעיר כי על הרשויות המקומיות להקים ועדות ייעודיות לנושא העברת מידע בין גופים ציבורי ים וכן לקבוע נהלים ייעודיים בנושא זה, כפי שנקבע בתקנות.
: הדרכות והכשרות של עובדים בתחום אבטחת מידע הדרכת עובדים, ובייחוד עובדים חדשים, בנושאי אבטחת מידע נדרשת כדי להבטיח כי עובדי הארגון יהיו ערים לקיומם של גורמי סיכון בשימוש במערכות המידע ולחשיבות הפעולות לאבטחת המידע בארגון.
בנוהל המסגרת, שכאמור אינו חל על הרשויות המקומיות, נקבע כי הממונה על אבטחת מידע הוא האחראי לייזום פעילויות הדרכה והסברה בקרב כל העובדים בארגון, ובמסגרת הטמעת נושא אבטחת המידע בגופים ציבוריים יודרכו כל משתמשי המחשב לשמור בסוד את ססמתם ולא להעבירה לאחר.
כמו כן יודרכו המשתמשים להודיע לממונה על אבטחת מידע על כל חשד לחשיפת ססמתם מיד לאחר שהתעורר חשדם.
עוד נקבע בנוהל כי יוקצה תקציב הולם לפעילות ההדרכה; כי משתמשים יקבלו הדרכה בנושא נוהלי אבטחה ובנושא השימוש הנכון באפשרות לעיבוד מידע, כדי למזער סיכוני אבטחה אפשריים.
נקבע גם כי לפני שיקבלו עובדי המשרד ומשתמשי צד שלישי הרשאת גישה למידע או לשירותים, הם יקבלו הדרכה נאותה ויעודכנו דרך קבע בנוגע לשיטות הפעולה ולנהלים של המשרד.
פעילויות הדרכה לעובדים בנושא אבטחת מידע יתבצעו, על פי נוהל המסגרת, פעם בשנה.
את ההדרכה יארגן הממונה על אבטחת המידע בתיאום עם הממונה על ההדרכה.
ימי עיון ייעודיים לעובדים חדשים או לעובדים שטרם קיבלו הדרכה בנושא אבטחת מידע יתואמו עם מחלקת ההדרכה.
במהלך השנה תתבצע פעילות של רענון להגברת המודעות בנושא האבטחה.
מדבקות ופלקטים מעוררי מודעות לנושאי האבטחה יפוזרו בקרבת מוקדים של מערכות ממוחשבות.
מנהלים ועובדים יתודרכו לדווח על כל חריגה בתחום המערכות הממוחשבות שעלולה להשפיע על אבטחת המידע.
כל אירוע חריג בתחום האבטחה ייחקר ויוסקו ממנו מסקנות כדי למנוע אירוע כזה בעתיד.
אם יתעורר חשד לעברה משמעתית או פלילית בנוגע לגילוי סודות או למסירת מידע שלא כדין, יש לדווח על כך מיד לסמנכ"ל בכיר למינהל.
ככלל, הרשויות המקומיות שנבדקו לא קיימו פעולות הדרכה והסברה בתחום אבטחת המידע.
מקרב הרשויות המקומיות שנבדקו רק עיריית אשקלון הכינה תכנית הדר כה שנתית לאבטחת מידע וביצעה פעילות רענון להגברת המודעות בנושא האבטחה, ורק בה פועל ממונה אבטחת מידע המארגן את ההדרכות.
לדעת משרד מבקר המדינה, מן הראוי שהרשויות המקומיות יקיימו פעולות הדרכה והסברה בתחום אבטחת המידע בדומה לדרישות המפורטות בנוהל המסגרת.
(א) הביקורת בתחום אבטחת המידע והגנת הפרטיות ברשויות המקומיות: האגף לביקורת רשויות מקומיות במשרד הפנים מקיים ביקורות על הרשויות המקומיות.
את הביקורות האלה מבצעות בעיקר שתי מחלקות: (א) מחלקת ביקורת ראיית חשבון בשלטון המקומי, האחראית למינוי רואי חשבון לביצוע ביקורות בשלטון המקומי.
משרד הפנים מוציא מדי שנה עבור עובדי המחלקה הנחיות מקצועיות במסגרת "ספר ירוק", הכולל תכנית ביקורת שעל רואה החשבון לבצע ברשות המקומית.
כמו כן בכל שנה נבחר נושא נוסף לביקורת של עובדי המחלקה, כגון תקציבים בלתי רגילים, שכר וכוח אדם; (ב) מחלקת ביקורת מינהלית, שתפקידה לעשות ביקורות כלליות ואופקיות בשלטון המקומי בהתאם לתכנית עבודה שנתית וכן לעשות ביקורות מיוחדות על פי החלטות של הנהלת משרד הפנים.
בביקורות אלה נבדקים מגוון נושאים ותחומי פעילות מרכזיים ברשות המקומית ובגופים הנלווים לה, כגון חברות עירוניות וכלכליות, איגודי ערים וועדות מקומיות לתכנון ובנייה.
משרד מבקר המדינה העלה כי נושא אבטחת מידע והגנת הפרטיות לא נכלל כלל בתכניות הביקורת שנדרשו מרואי החשבון כנושאים לבדיקה ברשויות המקומיות.
עוד הועלה כי מחלקת ביקורת מינהלית מעולם לא קיימה ביקורת בנושא זה.
משרד מבקר המדינה העיר למשרד הפנים כי ראוי שישקול בעתיד לשלב ביקורות הנוגעות לנושא אבטחת מידע והגנת הפרטיות.
משרד הפנים הודיע בתשובתו מנובמבר 2011 כי ישקול בעתיד לשלב גם ביקורות הנוגעות לנושא אבטחת מידע והגנת הפרטיות במסגרת הביקורות שעורך האגף לביקורת ברשויות המקומיות.
(ב) בפקודת העיריות ]נוסח חדש[ ובצו המועצות המקומיות (א) , התשי"א-1950 , ,נקבע כי הרשויות המקומיות ימנו מבקר.
תפקידיו יהיו, בין היתר לבדוק אם פעולות ה רשויות נעשו כדין בידי הגוף המוסמך לעשותם, תוך שמירת טוהר המידות ועקרונות היעילות והחיסכון; לבדוק את פעולות עובדי ה רשויות; ולבדוק אם הוראות הנוהל הנהוגות ברשויות עולות בקנה אחד עם הוראות כל דין ועם עקרונות טוהר המידות, היעילות והחיסכון.
התברר כי ברוב הרשויות המקומיות שנבדקו לא נעשו ביקורות ייעודיות בנושא אבטחת מידע והגנת הפרטיות.
בעיריי ת יקנעם עילית נעשתה בשנת 2004 "ביקורת מערכות ממוחשבות" שכללה, בין השאר, היבטים שונים של נושא אבטחת מידע.
גם בעיריית יהוד-מונוסון נעשתה ביקורת אבטחת מערכות מידע 1540 דוח שנתי62 .
בחודשים דצמבר2010 עד מרץ2011 , זאת במהלך הביקורת של משרד מבקר המדינה.
מתשובת עיריית אשקלון מספטמבר 2011 עולה כי יועץ חיצוני מטעם הממונה על אבטחת מידע בעירייה עשה ביקורת אבטחת מידע בשירות הפסיכולוגי החינוכי ובאגף הרווחה שלה והגיש המלצות בנושא.
לדעת משרד מבקר המדינה, ראוי כי המבקרים שמונו ברשויות המקומיות ישקלו - תוך התייעצות עם ראשי הרשויות המקומיות - לעשות ביקורות גם בנושא אבטחת מידע.
בין השאר יש לשקול קיום ביקורות שבמסגרתן ימופו הסיכונים שמקורם במחשוב בכל תחומי הפעילות של הרשות תוך התייחסות גם לתחום האבטחה הפיזית.
מממצאיו של דוח זה מסתמן כי לרשויות המקומיות עדיין חסרה התשתית לטיפול בנושא אבטחת המידע והגנת הפרטיות.
ברוב הרשויות שנבדקו אין הנחיות מפורטות לטיפול שוטף בנושא; רובן פועלות ללא ממונה על אבטחת מידע כנדרש בחוק; מאגרי המידע שבהן אינם רשומים כנדרש; היקף פעולותיהן בתחומי ההדרכה והביקורת מצומצם.
על הרשויות המקומיות: לקיים פעולות בקרה בעני ין אבטחת המידע והגנת הפרטיות, כדי לזהות פעולות חריגות או ניסיונות של גורמים בלתי מורשים לעשות פעולות כאלה; למנות לאלתר ממונים על אבטחת מידע כמתחייב מחוק הגנת הפרטיות; לגבש מסמך מדיניות בנושא אבטחת מידע, ולקבוע בו את תדירות ביצועם של סקרי סיכונים ומבחני חדי רה; להקפיד לרשום ולנהל את כל מאגרי המידע שברשותן כנדרש בחוק; להקים ועדות להעברת מידע ולהכין נהלים ייעודיים בנושא העברת מידע בין גופים ציבוריים כפי שנקבע בתקנות הגנת הפרטיות; לעשות ביקורות על אבטחת מידע ועל הגנת הפרטיות ברשויות המקומיות באמצעות מבקרי הרשויות.
מגן דוד אדום הוא תאגיד ציבורי-סטטוטורי ובלשון החוק - אגודה (להלן - מד"א, האגודה או הארגון), שהקמתה הוסדרה בחוק מיוחד - חוק מגן דוד אדום, התש"י- 1950 (להלן- חוק מד"א או החוק).
על פי החוק מטרות מד"א הן: "(א) למלא את התפקידים של אגודה ארצית18, ולהיות לצורך זה שירות עזר לשירות הרפואי של צה"ל בזמן מלחמה, ולהתכונן לכך בזמן שלום.
) להיערך לקראת אירוע אסון המוני19 ).
ולהשתתף בתרגילים לצורך כך.
(ב לקיים לטובת כלל התושבים שירותי עזרה ראשונה.
(ג) לקיים לטובת כלל התושבים שירות של אגירת דם, פלאסמה ומוצרי לוואי שלה ם.
החל משנת 2006 מד"א הוא אגודה בתנועה הבינלאומית של הצלב האדום, הסהר האדום או הקריסטל האדום (להלן - הצלב האדום).
ערכם הכולל של השירותים שמד"א מנהל ומספק הוא כ-573 מיליון ש"ח20 .
בשנה תפקידו של מד"א לת ת שירותים ציבוריים ייחודיים לתושבי המדינה, ולפיכך יש חשיבות רבה לשמירה על איכותם ועל מקצועיותם של המוסדות המנהלים את האגודה ועל תקינות פעולתם.
18 תפקידים של אגודה ארצית- תפקידים שנועדו על פי אמנת ז'נבה לאגודות ארציות של הצלב האדום או לשאר אגודות עזרה של מתנדבים המוכרות ומוסמכות כחוק על ידי ממשלותיהן.
19 אירוע המוני מוגדר בסעיף 90 , התשל"א ]נוסח חדש [ א' לפקודת המשטרה - 1971 : " אירוע הגורם לפגיעה חמורה בשלום הציבור, בביטחון הנפש או ברכוש המתייחס לציבור גדול או לשטח גדול; או אירוע שיש בו חשש לפגיעה כאמור, לרבות מחמת פגע טבע, מפגע סביבתי, אירוע חומרים מסוכנים, אירוע כימי או ביולוגי, אירוע קרינה רדיולוגי, תאונה או פעילות חבלנית עוינת".
20 על פי הדוחות הכספיים ליום 31.
החוק קובע כי שר הבריאות ממונה על יישום חוק מד"א וכי בראש האגודה יעמוד נשיא האגודה המתמנה על ידי נשיא המדינה למשך שלוש שנים21 .
שאר מוסדות האגודה הם: הוועידה הארצית (להלן גם - הוועידה); המועצה; והוועד הפועל.
המועצה בוחרת ועד הפועל מבין חבריה.
תפקידיהם העיקריים של המועצה ושל הוועד הפועל (להלן - המוסדות המנהלים) הם לקבוע את מדיניות התאגיד ולפקח על פעולות ההנהלה.
עוד קובע החוק כי ניהול ענייני האגודה יהיה בסמכותו של הוועד הפועל, כל עוד לא נמסר עניין מסוים למוסד אחר של האגודה.
חברות ממשלתיות פועלות מתוקף חוק החברות הממשלתיות, התשל"ה - 1975 (להלן- חוק החברות הממשלתיות), ורשות החברות הממשלתיות במשרד האוצר (להלן - הרשות) מופקדת על בדיקת תקינות פעולותיהן, על מעקב אחר פעילותן ואף על הנחייתן.
לעומת זאת אין כיום רשות ממשלתית אחת שתפקידה לערוך פיקוח דומה על התאגידים הציבוריים22, ובכללם מד"א23 .
ולשמש להם גורם מנחה כבר בשנת 2002 העלה מבקר המדינה בדוח שערך (להלן - הדוח הקודם) 24 ליקויים רבים הנוגעים לפעילות מוסדותיו המנהלים של מד"א, כגון: היעדר פעילות במשך שלושה חודשים; היעדרות חברי המוסדות המנהלים מישיבות; היעדר נהלים לפעילות המועצה.
בדוח בנושא "מוסדות הניהול, הפיקוח והבקרה בקופות החולים" קבע מבקר המדינה בשנת 2010 כי תקנונים המאמצים נורמותעדכניות, בצירוף כללי הדין הנוספים - ובראשם נורמות חקיקה ראשית - יכולים לצמצם השפעה לא ראויה של אינטרסים מצד גורמים שונים ולאפשר למוסדות המנהלים של קופות החולים לקיים הליכי פיקוח ובקרה נאותים25.
בחודשים ינואר - אוגוסט 2011 בדק משרד מבקר המדינה מגוון סוגיות הנוגעות למוסדות המנהלים של מד"א, ובכללן: תפקיד הוועד הפועל; השימוש שעושים המוסדות המנהלים בביקורת הפנימית ככלי לפיקוח ובקרה; פעילות ועדת הכספים של הוועד הפועל; תדירות התכנסות המוסדות המנהלים ואופן מילוי תפקידיהם; סדרי הבחירה והמינוי של נציגי ם במוסדות המנהלים; דרכי המימון של שירותי טיפול נמרץ; מתן גמול לחברי הוועד הפועל; דרכי ההתקשרות עם היועצים המשפטיים ועם רואי החשבון של מד"א.
בחלק מהנושאים מדובר בבדיקת מעקב על שני דוחות ביקורת שערך מבקר המדינה בשנים קודמות: הדוח הקודם שעסק .
21 המועצה בוחרת מועמד לתפקיד נשיא מד"א ומודיעה על כך לשר הבריאות.
השר מחליט אם להמליץ לנשיא המדינה על המועמד שנבחר.
אם השר מחליט שלא להמליץ על המועמד, המועצה צריכה לבחור מועמד אחר ולהודיע עליו לשר.
22 קיימים מעל 50 תאגידים ציבוריים, ובהם רשות שדות התעופה, שירות התעסוקה והמועצה להשכלה גבוהה.
23 הצעת חוק התאגידים הציבוריים, אם תתקבל, מתעתדת להכפיף את התאגידים ובתוכם את מד"א לרשות לתאגידים ציבוריים שתוקם.
24 ,מבקר המדינהדוחות על הביקורת בשלטון המקומי, באיגודים ובמוסדות להשכלה גבוהה, דוח מספר 1 ( 2002 ,), בפרק "מגן דוד אדום: המוסדות המנהלים הסטנדרטים לשירות והיבטים של המצב הכספי", עמ' 525 .
ואילך 25 בעניין ממשל תאגידי בקופות החולים ראו מבקר המדינה דוחות ביקורת על קופות החולים ( 2010 '), בפרק "מוסדות הניהול, הפיקוח והבקרה בקופות החולים", עמ171 .
ואילך 382 דוח שנתי62 .
כאמור במוסדות המנהלים של מד"א והאחר - במינויים במד"א26 .
הבדיקה הנוכחית נעשתה במד"א, במשרד הבריאות, במשרד האוצר, במשרד המשפטים, בוועדה לבדיקת מינויים ובמשרד החוץ.
הכללים והגדרת התפקידים החלים על מד"א כגוף הפועל בסביבה של ממשל תאגידי .
החלת כללי ממשל תאגידי במד"א "ממשל תאגידי " הוא שם כולל למארג נורמות היסוד בתחום הניהול, הפיקוח והבקרה בתאגיד העסקי.
בדרך כלל מארג הנורמות מגוון למדי ואפשר שיכלול חיקוקים דוגמת דברי חקיקה ראשית, תקנות ונורמות הנגזרות מפסיקת בתי המשפט בצד נהלים, הוראות עבודה והסדרים פנימיים נוספים שקובע התאגיד עצמו.
מארג זה מגדיר וקובע את מתכונת ניהול התאגיד, ובין היתר מסדיר את פעולת רכיבי התאגיד ואת תפקידיהם.
חשיבותו היא, בין היתר, ביצירת מנגנוני ניהול, פיקוח ובקרה ראויים, שמטרתם להבטיח כי התאגיד יתנהל כיאות ויפעל בשקיפות על פי עקרון השוויון וכללי הדיווח והבקרה הראויים וכי המנהלים וגורמי הפיקוח והבקרה יישאו באחריות לפעילותם.
מנגנוני בקרה ופיקוח על אופן ניהולם של חברות ותאגידים נוצרים בין השאר באמצעות הגברת עצמאות ועדת הביקורת, הגדרת תפקידיה ופעילותה, דרישת מיומנות מחבריה, הידוק קשרי הגומלין בינה לבין הוועד הפועל ובינה לבין המבקר הפנימי.
עיקרו של הממשל התאגידי הוא הגברת פעולות הבקרה של מועצת המנהלים, של ועדת הביקורת ושל המבקר הפנימי על סדרי הניהול התפעולי והכספי של התאגיד, תוך כדי הגברת מנגנוני ניהול, פיקוח ובקרה קיימים.
פעמים אף יידרשו שינויים מהותיים במנגנונים הללו.
ההתקדמות ביישום כללי ממשל תאגידי באה לידי ביטוי בשינויי חקיקה כמו חוק החברות (תיקון מס' 16 ), התשע"א- 2011 (להלן- תיקון 16 לחוק החברות), המהדק את הפיקוח של הדירקטוריון ושל ועדת הביקורת בחברה27 , ובדוח המועצה לתאגידים ציבוריים מיוני 200328 (להלן- דוח המועצה לתאגידים ציבוריים), שבעקבותיו הפיץ שר המשפטים ביולי 2011 טיוטה ראשונית של תזכיר הצעת חוק התאגידים הציבוריים, התשע"א- 2011 (להלן- טרום תזכיר הצעת חוק התאגידים הציבוריים).
מכאן שרשויות רגולטוריות בארץ - כגון רשות החברות הממשלתיות - אימצו לגבי חברות את עקרונות הממשל התאגידי ואף שואפות לאמץ עקרונות אלה לגבי תאגידים.
כיוון שלגבי תאגידים ציבוריים טרם נחקק חוק ובהיעדר סרגלים מוסדרים בחר משרד מבקר המדינה להשתמש בתפיסת הממשל התאגידי הבאה לידי ביטוי בחוק החברות הממשלתיות, בתיקון 16 לחוק החברות וב"טרום תזכיר הצעת חוק התאגידים הציבוריים", אף ש עדיין .
26 ,מבקר המדינהדוח ביקורת על מינויים במגן דוד אדום ( 2006.
) 27 התיקון, בין השאר, אוסר למנות את מי שכפוף למנכ"ל כיו"ר הדירקטוריון ודורש שמניין חוקי לקבלת החלטות בוועדת הביקורת יהיה רוב חברי הוועדה, ובלבד שרוב הנוכחים הם דירקטורים בלתי תלויים ואחד מהם לפחות דירקטור חיצוני.
התיקון אינו חל על מד"א בהיותה תאגיד סטטוטורי.
28 שר המשפטים מינה את המועצה לתאגידים ציבוריים בשנת 1992.
,אין לה חובה משפטית עדכנית כצו ציבורי -מינהלי לארגונים - כולל מד"א ובעיקר למוסדות המנהלים שלו.
מד"א הוקם כארגון לפני שנים רבות מאוד, לפי תפיסות ניהוליות שהיו באותה עת.
ואולם, בשנים האחרונות חלה התקדמות בתחום הממשל התאגידי - בסוגיות של סדרי ניהול ובקרה.
מד"א משמש מצד אחד ארגון המעניק עזרה ראשונה, מקיים שירות של אגירת דם, פלסמה ומוצרי לוואי שלהם ושירות עזר לשירות הרפואי של צה"ל (להלן - תפקידים פנים-לאומיים) ומצד אחר התנועה הבינלאומית של הצלב האדום, הסהר האדום או הקריסטל האדום (להלן - הצלב האדום) אגודה של הצלב האדום שדרישותיה אינן תואמות תמיד את הצורך בפיקוח והבקרה הנובעים מתפקידיה הפנים-לאומיים.