HeTree/MevakerConcSen huggingface dataset:
דרישות לשינויים ושיפורים במערכת (להלן - ועדת שינויים) ומתבצע מעקב אחר יישומן.
| 175 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו נדרש במיוחד במערכות שנמצאות בשלבי תחזוקה היות שבמערכות אלו עיקר הפעילות נוגעת .
לשינויים המתבקשים מלקוחות המערכת.
להלן כמה דוגמאות לבקשות לשינויים שהתבקשו במערכת ב' החדשה אך לא תועדו במסמך .
דרישות ולא התווספו למסמך האפיון של המערכת: .
בקשה להוספת דוח על מספר דגימות כתמי הדם שנאספו במיטב, אשר ישמש עבור .
הרבנות תעודת משלוח ויאפשר השוואה בין מספר הדגימות שנאספו ממיטב ובין מספר .
הדגימות שהגיעו לאוסף כתמי הדם.
חתימה דיגיטלית של חייל המסרב למסור כת ם דם בתחנה בשר"ח.
במערכת ב', והדבר יח סוך שימוש בטפסים מנייר וביצוע תהליכי סריקה.
נמצא כי קצין האמל"ח לא ניהל תהליך לניהול השינויים והשיפורים המבוקשים במערכת .
א' ובמערכת ב', שנמצאות בשלבי תחזוקה, כפי שמוגדר במתודולוגיות ניהול פרויקטים .
עוד נמצא כי בקשות לשינויים במערכת ב' לא תועדו במער כת ממוחשבת נגישה .
כתוצאה מכך, מענה לבקשות לשינויים במערכת ב' ניתן רק בעת שדרוג תשתיתי .
שנים לאחר מועד הפעלתה .
מומלץ כי כל דרישה לשו"ש במערכות אמצעי הזיהוי תתועד במערכת ממוחשבת המנהלת .
את המשימות לביצוע, וכי ינוהל תהליך סדור של שינויים ושיפורים שבמסגרתו ידונו .
הדרישות ויוחלט אם לטפל בהן ובמסגרת איזו חבילת מסירה.
השו"שים שהוחלט לבצע במסמך האפיון באופן שהוא יכיל מידע עדכני של המערכות.
שביעות הרצון של לקוחות המערכת תלויה, בין היתר , באופן הטיפול בתקלות במערכת.
ניהול הפרויקטים מקובל שלרשות המשתמש עומדת מערכת שבה הוא מדווח על תקלות.
הפרויקט מסווג כל תקלה לפי רמת חומרתה, והוא מחליט עם הלקוח באיזו מהדורה או יחידת .
למערכת כאלו יש גם יכולת לבדוק אינדיקטורים לביצועים (KPI )כמו זמן .
בצה"ל יש כמה גופי תמיכה במערכות מידע לפי תחומי תוכן כמו תוב"מ, שאחראי לתמיכה .
בסגלי המשא"ן בצה"ל ולבקרה עליה ם.
לגופים אלו מועברות בקשות לטיפול בתקלות .
באמצעות מערכת לניהול קשרי לקוחות .
במקרה הצורך, גופים אלו מעביר ים את הטיפול .
גופים אלו אינם תומכים במערכות אמצעי הזיהוי.
נמצא כי במערכות אמצעי הזיהוי התגלו תקלות אשר לא תועדו ולא טופלו או שטופלו זמן .
רב לאחר מועד הגילוי שלהן.
להלן דוגמאות לתקלות שתוקנו רק זמן רב לאחר מועד הגילוי שלהן: .
השבתה של מחצית העמדות לצילום חלל פה בתהליך עקב חוסר אפשרות להחליף את .
סוג ציוד ההיקפי במערכת ב'.
לתקלה זו לא ניתן פתרון מערכתי בצורה של תיקון או שו"ש .
במשך שנה מאז שנפתחה באוגוסט 2021 אלאהיא צפויה להיות מתוקנת רק במסגרת .
השדרוג למערכת ב' החדשה ב יוני 2022 .
במקרים של תקלת Timeout בתקשורת של מערכתא' מול מערכת לניהול התחנות במיטב, .
כשלא מגיע חיווי על כך שלא בוצעה הרכשה, נמחקות הרשומות המקומיות למרות שלא .
הבעיה דווחה בסיכום גיוס נובמבר 2018 ותוקנה רקבשלבי סיום .
כתיבת הביקורת במאי 2022 .
)באמצעות שינוי של הגדרות המערכת (ללא פיתוח .
לקוחות המערכת, כמו מפקד מעבדת טביעות האצבע, מנהלים את התקלות באופן עצמאי .
ופונים בדואר האלקטרוני או בטלפון ליחידת תכלית, וזו פונה לספק.
נמצא כי גופי התמיכה הצה"ליים אינם תומכים במערכות אמצעי הזיהוי כך שבפועל אין .
גורם שמנהל את הפניות והתקלות כמקובל.
כמו כן, התקלות אינן מנוהלות במערכת .
ממוחשבת לניהול תקלות.
בהעדר ניהול ממוחשב ושיטתי, מקמש"ר, המנהל את מערכות .
אמצעי הזיהוי, אינו יכול לבחון אילו תקלות פתוחות קיימות בכל מערכת, אינו יכול לסווג .
את מידת החומרה ומידת הד חיפות של הטיפול בתקלות, וכן אינו יכול לוודא שהן מוסדרות .
מומלץ כי מקמש"ר יסדיר את ניהול התקלות במערכות אמצעי הזיהוי במערכת ממוחשבת .
על ידי גוף תמיכה צה"לי מוסדר .
בענף השירותים מקובל שנותן שירות מתחייב לזמן אספקת השירות ולטיב השירות בהסכם SLA .
הסכם מסוג זה אמור לעסוק, בין היתר, בנושאים אלה: הזמינות של השירות והתחייבות לתיקון .
תקלות, המומחיות הנדרשת מנותני התמיכה, "הקו החם" למתן השירות, הזמינות באתר הלקוח, .
הישיבות התקופתי ות שמתקיימות לצורכי מעקב אחר הטיפול בתקלות אצל הלקוח וסיווג .
נמצא כי הסכם השירות (SLA )בין צה"ל לבין ספק התוכנה של מערכת טביעות האצבע .
אינו מיושם אף שעלותו השנתית היא בהיקף של כ- 700,000 .
ש"חלמשל , לא מתקיימת .
ישיבה דו-שבועית בהשתתפות איש התמיכה מטעם הספק והמטה לצורכי מעקב אחר .
הטיפול בתקלות, וכמו כן הספק לא שולח דוחות חודשיים המפרטים את מידת ההתקדמות .
להלן כמה דוגמאות לסעיפים בהסכם שמסתמן כי הם עלולים לא לספק מענה הולם: .
צה"ל רשאי לבקש מספק התוכנה של מערכת טביעות האצבע תמיכה מעבר לשעות .
העבודה רק עד שש פעמים בשנה, גם אם מדובר בתקלות קריטיות.
תיקון תקלה המצריך תיקון קבוע בקוד המערכת יבוצע בתוך ארבעה חודשים.
עבודות תחזוקה באתרים יתבצעו למשך יומיים בשבוע לכל היותר.
| 177 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו בפגישה שהתקיימה עם רע"ן תכלית עלה כי אף שהסכם השירות אינו מסדיר זאת, ניסיון העבר .
מלמד שבזמן אמת נציג של הספק מגיע בהתראה קצרה כדי לפתור את הבעיות, וכי לא התגלו .
בשטח בעיות שלא טופלו בזמן סביר .
בתשובת צה"ל נמסר כי ההסכם המקורי מול חברה א' הוא בתוקף עד ינואר 2028 , והזמנות .
התחזוקה עד לסוף תקופה זו ממומשות על פי תנאי המכרז משנת 2014 בו זכתה החברה, ללא .
משא ומתן מחודש, שכן מדובר במימוש אופציה בעקבות המכרז.
מומלץ כי אכ"א יבחן האם הסכם השרות מול חברה א' נותן מענה הולם לצרכי .
המשתמשים בהתרחש אירוע רב-נפגעים, כמו לחימ ה, ובו יידרש שימוש מוגבר במערכת.
כמו כן, מומלץ כי אכ"א יפעל ליישום הסכם השירות ובכלל זה יקיים ישיבות עיתיות עם .
הספק כדי לעקוב אחר אופן הטיפול בתקלות ואחר הוספת השינויים למערכת.
לוודא שהדיווחים על התקלות יבוצעו במערכת ממוחשבת שתהיה נגישה לו, כדי שיוכל .
לנתח את הנתונים ולבצע מעקב אחר קצב הטיפול בתקלות באופן שיאפשר בחינה .
כמותית (KPI )של מדדי שירות.
שימוש במאגר אמצעי הזיהוי כצורך לאומי .
במדינת ישראל קיימת סבירות להתרחשות אירוע רב- נפגעים (להלן - אר "ן), לרבות מלחמה, .
אסונות טבע כמו רעידות אדמה, תאונות קשות, דליקות ענק, התפרצות מגפות, אירועי טרור .
ופליטת חומרים רעילים.
אירועים כאלו עלולים לגבות חללים רבים שיהיה קשה לזהותם.
לזיהוי חללים עלולות להיות תוצאות חמורות מהבחינה המשפטית , ההלכתית והרגשית הן עבור .
משפחות החללים והן עבור כלל הציבור .
כמו כן נדרשת עבודה מורכבת של צוותים מגופים .
שונים וגיבוש תוכנית לאומית לזיהוי חללים בעת אסון ותרגול עיתי שלה כדי להיערך מבעוד .
להלן יפורטו הגופים העוסקים בטיפול בחללים בעת אר "ן: .
רשות החירום הלאומית (להלן - רח "ל): פועלת במסגרת משרד הביטחון כדי לסייע .
לשר לממש את אחריות-העל לטיפול בעורף בכל מצבי החרום.
תפקידיה של רח"ל כוללים .
בין היתר: גיבוש תפיסות הפעלה בנוגע למצבי חירום שונים בעורף; ריכוז עבודות מטה .
לקביעת ההיערכות והמענה הנדרשים של גופים שוני ם ושל משרדי ממשלה הפועלים .
בעורף במצבי חירום שונים; הכנת הצעות חקיקה בנושא העורף; תיאום בין משרדי .
הממשלה הפועלים בעורף במצבי חירום שונים.
הרשות לפינוי, לסעד ולטיפול בחללים בשעת חרום (להלן - פס"ח): פועלת במסגרת .
המינהל לשירותי חירום במשרד הפנים ואחראית לטיפול בחללים בשעת חירום.
פיקוד העורף (להלן - פקע"ר): מארגן ומנהל את פעילות ההתגוננות האזרחית ומשמש .
גם בעל הסמכות המקצועית הראשית בנושאי חילוץ והצלה ובכלל זה איסוף חללים ונתוני .
הזיהוי שלהם בזירת האירוע.
פקע"ר אוסף את הנתונים ומעביר אותם לת חנת רישום חללים.
משטרת ישראל (להלן - מ "י): המדור לזיהוי חללים, בהנחייתה המקצועית של המעבדה .
לזיהוי פלילי (להלן - מז"פ), אחראי לאיסוף אמצעי הזיהוי ובהם טביעות אצבע, תצלומי פנים .
ותצלומי שיניים, ועל ניתוח הנתונים שאספו חוקרי הזירה.
מ"י היא זו שחולטת את הזיהוי .
המרכז הלאומי לרפואה משפטית: פועל במסגרת משרד הבריאות ואחראי לתהליכי .
הזיהוי המדעי 39 שלחללים בעיתות שגרה וחרום בתחומים שעליהם הוא מופקד: זיהוי .
באמצעות דימות, סימנים רפואיים וזיהוי בדנ"א.
ההשוואה של דגימת דנ"א שניטלה מהחלל .
נעשית אל מול דגימת ייחוס משני סוגים שונים: דגימות דנ"א שנלקחו מקרובי משפחה או .
דגימה עצמית של האלמוני בעל הזהות המשוערת, בין מול חפץ אישי ובין מול מאגר הדנ"א .
הפלילי שברשות מ"י (ההשוואה מול המאגר הפלילי נעשית על ידי מ"י).
בשנת 2019 פורסם מאמר שסוקר את נושא השימוש בטביעות אצבע לזיהוי קורבנות אסון .
(DVI - Disaster Victim Identification )40.
המאמר מציג מקרה מבחן של אסון בין - לאומי - .
התרסקות של מטוס בטיסה MH17 לאינדונזיה, ו הוא מציע השוואה בזמן אמת למאגרים .
ביומטריים שאינם ציבוריים המכילים טביעות AM ,כדי לאפשר זיהוי מהיר ואמין יותר .
במקרה המבחן האמור נעשה שימוש בטביעות אצבע שהוטבעו בדרכונים ההולנדיים, אם אלו .
היו זמינים ובמצב ראוי לאחזור המידע.
כמו כן, נעשה שימוש בבסיס הנתונים הביומטרי הלאומי .
של אינדונזיה 41 וכן בבסיס הנתונים של מחלקת ביטחון המדינה של ארה"ב שהכיל טביעות של .
יותר מ-200 מיליון נוסעים מכל העולם שביקרו אי פעם בארה"ב.
כמו כן נעשו ניסיונות לחיפוש .
במערכות AFIS כמו זו שבשימוש המשטרה ההולנדית, וכדי להתגבר על הבעיה החוקית שבעניין .
התאימו את השלבים השונים שבפעולת המערכת כדי שלא ייחשף מידע שאיננו נדרש לתהליך.
בפגישה עם נציגי הרבנות הצבאית נמסר כי גורמים אזרחיים יכולים לקבל מידע מתוך המאגרים .
של מערכות אמצעי הזיהוי בצה"ל רק מכוחו של צו שופט ולאחר אישור הפרקליטות הצבאית.
בהתרחש אירוע רב-נפגעים הליך כזה לא נותן מענה לדרישה המבצעית.
נמצא כי לא הוסדר השימוש במאנ"ח "מרכז הצבי " של הרבנות הצבאית בהתרחש אר"ן .
מעורב של אזרחים וחיילים.
כמו כן, אף שצה"ל מחזיק במאגר ובו מאות אלפי רשומות של .
אזרחים וחיילים הכולל אמצעי זיהוי ייחודיים כדוגמת טביעות עשר אצבעות וכן כפות ידיים, .
לא הושלמה הבחינה של אפשרות השימוש במאגרי אמצעי הזיהוי המוחזקים בצה"ל לצורך .
זיהוי חללים בהתרחש אר "ן.
בתשובת צה"ל נמסר כי בסוף מרץ 2022 החלהעבודת מטה (עמ"ט הצבי לישראל) בהשתתפות .
הרבנות הצבאית, משרד הפנים ומ"י לצורך התאמת "מרכז הצבי" לטיפול בחללים אזרחיים .
העמ"ט מגדיר כהנחת עבודה כי השימוש במרכז הצבי למתן מענה (זיהוי וטיפול) בחללים .
אזרחיים באר"ן הוא בעת שגרה שבה אין מעורבות של חללים צבאיים.
בהתרחש אירוע מעורב, .
זיהוי באמצעות בחינת נתונים פיזיולוגיים ולא על פי מראה .
40 Digital capture of fingerprints in a disaster victim identification setting: a r eview and case study, Bryan T.
M Riemen; FORENSIC SCIENCES RESEARCH, 2019, VOL 4, NO 4, 293 -302 .
41 משנת2012 אינדונזיה נחשבת למדינה המתקדמת ביותר מבחינת הזיהוי האלקטרוני, ובין היתר היא ביצעה הרכשת .
זיהוי ביומטרי מכל האזרחים.
| 179 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו אזרחי וצבאי, תי נתן החלטה "אד-הוק".
לפי עמ"ט הצבי לישראל הפעילות במרכז תבוצע .
באחריותה ובפיקודה של מ"י.
באוקטובר 2022 מתוכנן מבצוע מרכז הצבי כתר"ח לאומי במסגרת .
תרגיל ההתגוננות הלאומי.
ברשימת המאמצים של העמ"ט מוזכר ים הנושאים האלה: הגדרת .
אופן ביצוע תהליך הזיהוי, הגדרת הסינרגיה בין הגופים, התאמת תשתיות ומערכות מידע .
והסדרה משפטית לשימוש ביכולות צה"ל עבור אזרחים.
בתשובת פס"ח שהתקבלה ביוני 2022 נמסר כי היכולת להתמודד עם נושא החללים מחייבת .
מעורבות של משרדי ממשלה וגופים אחרים, שכל אחד נושא באחריות לטיפול ב עולם התוכן .
שלו, ולכן משרד הפנים פועל בשיתוף רח"ל להביא לכך שהמטלות השונות יעוגנו בתשתית .
מומלץ כי רח"ל בשיתוף פס"ח יבחנו את המענה הקיים ואת המענה הדרוש לנושא זיהוי .
חללים בהתרחש אר "ן, יסדירו את חלוקת האחריות בין הגופים השונים ויפעלו לקידום .
השימוש ב"מרכז הצבי " כתחנת ריכוז חללים לאומית באר "ן.
במסגרת זו מומלץ לבחון את .
ההיתכנות של הסתייעות במאגר של צה"ל ובמאגרים אחרים לשם זיהוי חללים בהתרחש .
מומלץ כי הנושא ייבחן בשיתוף נציגי הרשות להגנת הפרטיות, נציגי צה"ל (אכ"א .
והרבנות הצבאית) ונציגי הפרקליטות הצבאית.
לנוכח המלצת הביקורת הנחה ראש רח"ל להוביל עבודת מטה עם הגורמים הרלוונטיים לבחון .
את היתכנות ההסתייעות במאגר צה"ל ובמאגרים אחרים לצורך זיהוי חללים באר"ן.
ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו סיכום .
צה"ל מנהל מערכות מידע של אמצעי זיהוי שמטרתן לזהות חללים.
שבאמצעותן מנוהלים מאגרי מידע ביומטריים הכוללים מידע רפואי, אישי ורגיש, ולכן .
נדרש כי רמת האבטחה של המאגרים תהיה גבוהה לפי תקנות אבטחת מידע.
ממצאיו של דוח זה משקפים פערים משמעותיים באבטחת המידע המצוי במערכות רגישות .
אלו, וכן הם מעידים על אי-קיום חלק מתקנות אבטחת מידע ועל אי -יישום ד רישות שנכללו .
במסמכי מדיניות הגנת סייבר.
מצב זה יוצר סיכון לפגיעה באמינות (שלמות), בזמינות .
ובסודיות של המידע שבמאגרים.
הדוח כולל ממצאים נוספים הנוגעים להליכי תפעול וניהול של מערכות המידע של אמצעי .
בין היתר נמצא כי מערכות המידע אינן מנוהלות ביעילות ולפי מתודולוגיה סדורה .
לניהול פרויקטי מערכות מידע, ועקב כך יש חשש שמערכות אמצעי הזיהוי לא יוכלו למלא .
כמו כן נמצא כי מנהל הפרויקט לא הכין תוכניות עבודה למערכות אמצעי הזיהוי .
ולא וידא שהקמתן וניהולן של המערכות עומדים ביעדים המקובלים של תכולה, לוחות .
זמנים, עלויות ושביעות רצון הלקוח.
על ראש אכ"א לפעול לתיקון הליקויים ולבחון את ההמלצות שבדוח זה.
שירות עיבודים ממוכנים (להלן - שע"ם) הוא גוף המשמש מערך המחשוב של רשות המיסים .
בישראל ונותן לה שירותי מחשוב לצורך גבייה ואכיפה, ליצירת הרתעה ראויה ולמיצוי זכויותיהם .
3 ,מיליון "לקוחות": חברות, תאגידים מסוגים אחרים, עצמאים .
בעלי שליטה, שכירים, מקבלי מענקי עבודה, שכירים המבצעים תיאומי מס והחזרי מס, 6,000 .
,העובדים של רשות המיסים 13,000 משרדי מייצגים ו - 7,000 עורכי דין.
פרויקטים בכל שנה, החל בפרויקטים לביצוע מ יידי וכלה בפרויקטים שביצועם נמשך שנים .
שע"ם מחזיק במערכותיו מידע על אזרחים, נישומים, עוסקים וגופים נוספים.
אלו תפקידי שע"ם: הספקת מערכות מחשוב ושירותי מחשוב המשמשים תשתית לגביית מס .
אמת; הענקת שירות המעמיד את הלקוח במרכז; שימוש בטכנולוגיות חדשות כדי לממש את .
מטרותיה של רשות המיסים; פיתוח ושימור של ההון האנושי, הערכי והמקצועי על פי החזון של .
רשות המיסים, החותרת להיות גוף חדשני ויוזם הפועל ביעילות ובאפקטיביות.
החוק להסדרת הב יטחון בגופים ציבוריים, התשנ"ח -1998 (להלן- חוק הסדרת הביטחון או .
החוק), קובע את תחומי הסמכויות ו האחריות לאבטחה פיזית, לאבטחת מידע ו לאבטחת מערכות .
מחשוב חיוניות של גופים ציבוריים שונים, לרבות גופי ממשלה וגופים בבעלות פרטית.
מגדיר מערכות ממוחשבות חיוניות כ"מערכות ממוחשבות שנקבעו כחיוניות על ידי הגוף .
שהסמיכה לכך הממשלה"1 .
בחוק נקבעו, בין היתר, סמכויותיו של ממונה הביטחון וכפיפותו .
המקצועית לקצין מוסמך - נציג השב"כ, המשטרה או הרשות הלאומית להגנת הסייבר בהתאם .
לגוף; סמכותו של קצין מוסמך לתת הנחיות מקצועיות לאחראי לאבטחת מערכות ממוחשבות .
חיוניות בכל הנוגע לפעולות אבטחה בגופים אשר נכללו בתוספת השנייה או החמישית לחוק .
(להלן - גופי תמ"ק2) .
עד אוגוסט2016 היה הקצין המוסמך לעניין אבטחת מערכות מידע לגופי .
תמ"ק נציג שב"כ ולאחר מכן - נציג מערך הסייבר הלאומי (להלן - המערך).
על פי ההנחיות הרגולטוריות (להלן - ההנחיות), גוף שיש לו מערכת קריטית אשר פגיעה בה .
עלולה להביא לידי נזק, בהתאם לתבחיני נזק שנק בעו, נדרש להנחותו.
נבחנת על ידי ועדת היגוי , ואם החליטה הוועדה כי הגוף המונחה עומד בתבחינים, יחל תהליך .
שבסופו יחול על הגוף חוק הסדרת הביטחון.
גופי התמ"ק הם גופים אשר נכללו בתוספת השנייה .
או החמישית לחוק הסדרת הביטחון, ובהם רשות המיסים.
1 סעיף1 בחוק להסדרת הביטחון בגופים ציבוריים, התשנ"ח-1998.
תשתיות מחשוב קריטיות .
הגנת סייבר והמשכיות עסקית ביחידת שירות עיבודים ממוכנים ברשות המיסים חוק הסדרת הביטחון מקנה לקצין מוסמך את הסמכות לתת הנחיות לגופי תמ"ק.
כי נציג המערך ישמש קצין מוסמך, ובסמכותו לתת הנחיות מקצועיות לאחראי לאבטחת מערכות .
ממוחשבות חיוניות בכל הנוגע לפעולות אבטחה.
מערכת מחשוב קריטית היא מערכת אשר פגיעה בה עלולה לגרום לנזקים שהוגדרו בהנחיות.
גוף שיש לו מערכת מחשוב קריטית ייחשב גוף תמ"ק 3.
הנחיית גופי תמ"ק היא תהליך מורכבהמתבצע באופן שוטף תוך היזון חוזר .
עובדי המערך לומדים את תהליכי העבודה ואת מרכיבי המערכות בגוף, בוחנים את פוטנציאל .
הנזק ואת הדפ "אות לתקיפת סייבר של הגוף או המערכת הקריטית, מגדירים עם הגוף המונחה .
את הנכסים להגנה ומגבשים תמונת מצב של יכולות ההגנה, וכפועל יוצא מכך מגדירים את .
הפעילות השוטפת כוללת המלצה על יעדי הגנה וגיבוש יעדים אלה בהתאם .
להנחיות הרגולטוריות, ביצוע סקר למיפוי פערי הגנה, הכנת תוכנית לצמצום הפערים והטמעת .
תוכנית הטמעת המענה האבטחתי נחלקת למספר שלבים.
בחודשים נובמבר 2021 - פברואר2022 בדק משרד מבקר המדינה את אבטחתהמידע והגנת .
הביקורת נע שתה בשע"ם, ובדיקות השלמה נעש ו במערך הסייבר הלאומי.
במסגרת הביקורת נבדקו היבטים מסוימים בהגנת סייבר, נע שתה בדיקת חוסן למערכת .
התומכת בתהליך עסקי ברשות המיסים (להלן - מערכת א'), ונבדקה היערכות שע"ם להמשכיות .
הפעילות העסקית להתאוששות מאסון.
המידע הביטחוני ובתיאום עם יו"ר הכנסת, משלא התכ נסה ועדת המשנה האמורה, הוחלט .
ועדת היגוי לנושא התמ"ק .
על פי ההנחיות הרגולטוריות.
גוף מונחה נדרש להקים ועדת היגוי לנושא התמ"ק.
בין היתר תחומי האחריות של ועדת ההיגוי ותדירות התכנסותה.
3 אם הוא נכללבתוספת השנייה או החמישית לחוק.
ה | הגנת סייבר והמשכיות עסקית ביחידת שירות עיבודים ממוכנים ברשות המיסים בכתב המינוי של ועדת ההיגוי להגנת הסייבר בשע"ם ממרץ 2019 :הוגדרו תפקידי הוועדה כלהלן .
אישור מדיניות וכללים מנחים באבטחת מי דע וסייבר, אישור תוכנית עבודה ומעקב אחר ביצועה, .
הנחיה של שע"ם וקידום היערכותו להגנת סייבר בעיתות שגרה וחירום.
כמו כן נקבע כי ועדת .
ההיגוי תארגן ותנחה את הפעילות ותפקח עליה, על פי ההנחיות הרגולטוריות.
נרשם כי ועדת ההיגוי תתכנס אחת לחודש.
הואיל ותפקידי הוועדה בכתב המינוי הוגדרו באופן כללי ולא פורטו, צוות הביקורת בחן את .
תפקידי הוועדה כפי שעלו בדיון של ועדת ההיגוי.
בדיון זה הוחלט כי הוועדה תתכנס אחת .
לחודש, ולאחר מכן במרווחים גדולים יותר.
בכתב המינוי מינואר 2022 הוגדרו תפקידי הוועדה כלהלן: "לדון בהתקדמות רגולציות סייבר .
שונות; הצגת תוכניות עבודת סייבר שנתית ואישורה; הצגת אירועי סייבר וקבלת החלטות באשר .
לביצוע תיקוני ממצאים; קבלת החלטות באשר למחלוקות בין הנושאים העסקיים לנושאי .
הסייבר (ניהול סיכונים); אישור משאבי עבודה לכלל שע"ם בנושאי סייבר" .
ועדת ההיגוי תתכנס אחת לחודש למשך שעת עבודה אחת.
עלה כי הגם שתפקידי הוועדה הוגדרו בכתב המינוי, הם הוגדרו באופן כללי ולא פורטו .
כנדרש בהנחיות הרגולטוריות.
עוד נמצא כי, כפי שעולה מפרוטוקולים של דיוני הוועדה, הדיונים עוסקים בעיקר בתוכנית .
העבודה של אגף אבטחת מידע, בליווי פרויקטים ובטיפול בתקלות, וכי הדיונים אינם .
עוסקים בפעולות שתנקוט הוועדה בהתאם לתפקידי הוועדה כפי שנדרש בהנחיות .
משרד מבקר המדינה ממליץ לשע"ם לעדכן את כתב המינוי של ועדת ההיגוי באופן .
שיכלול את תפקידי הוועדה כנדרש בהנחיות הרגולטוריות, וכן הוא ממליץ לשע"ם לפעול .
ליישום תפקידי הוועדה.
רשות המיסים מסרה בהבהרתה מ- 19.
כי כתב המינוי יתוקן על פי המלצת המבקר .
בכתב המינוי ממרץ 2019 ,נרשם כי ועדת ההיגוי תתכנס אחת לחודשאך בפרוטוקול של .
הדיון הראשון של הוועדה משנת 2019 נקבע, כאמור , כי "הוועדה תתכנס אחת לחודש .
ולאחר מכן במרווחים גדולים יותר".
עלה כי בשנת 2019 התכנסה ועדת ההיגויבהתאם להנחיות הרגולטוריות .
ההתכנסויות אינו עולה בקנה אחד עם כתב המינוי של הוועדה ממרץ 2019 .
מומלץ לשקול לעדכן את כתב המינוי, בהתאם לצורך ולמספר ה התכנסויות בפועל.
מיפוי תהליכים ונכסי מידע .
על פי ההנחיות הרגולטוריות, על הגוף למפות את נכסי המידע והגישות אליהם, כדי להתאים .
הגנת סייבר והמשכיות עסקית ביחידת שירות עיבודים ממוכנים ברשות המיסים עלו פערים במיפוי התהליכים ונכסי המידע שבוצע בשע"ם, והוא אינו עונה במלואו על .
דרישות ההנחיות הרגולטוריות.
רשות המיסים מסרה בתשובתה מ- 8.
2022 (להלן- תשובת רשות המיסים ) כי בתחילת שנת .
היא נקטה בצעדים לשיפור המצב .
בהנחיות הרגולטוריות נקבע כי יש לתכנן תוכנית עבודה להתאמת המענה האבטחתי לגוף .
תוכנית העבודה אמורה לכלול את הפעולות הנדרשות לביצוע בהתבסס על ממצאי .
נמצא כי בשע"ם הוכנה תוכנית עבודה ומעקב אחר הפערים בין ההנחיות לנעשה בפועל.
עם זאת, בשל פערים במיפוי התהליכים ונכסי המידע הנדרש, תוכנית זו נותנת מענה חלקי.
עוד עלה כי הגנה על רשת א' כמקשה אחת, ללא ניתוח התהליכים הפרטניים והבחנה .
ביניהם, יוצרת מערך הגנה רחב מהנדרש, והדבר עלול ליצור קשיים תפעוליים בשע"ם.
מערך הסייבר מסר במהלך הביקורת כי הוא מודע לפערים במיפוי התהליכים ונכסי המידע, .
ולכן הנחיותיו לשע"ם כוללות מענה פרטני ורחב יותר מאשר בגופים אחרים, אשר מפצה על .
משרד מבקר המדינה ממליץ כי שע"ם יתקן את הליקויים שנמצאו במיפוי התהליכים ונכסי .
בהנחיות הרגולטוריות נקבע כי יש לבצע סקר סיכונים לתהליכים מסוימים אחת לתקופה.
בסיס הסקר יש להכין תוכנית עבודה להתאמת המענה האבטחתי.
נמצא כי בוצע בשע"ם סקר סיכונים כולל במגוון תחומים, ביניהם גם אבטחת מידע.
התבסס על סדנאות מנהלים אשר העלו סיכונים משמעותיים הנוגעים לשע"ם.
בהיבטים מסוימים הקשורים לאבטחת מידע אך לא עסק בהיבטים אחרים הקשורים בנושא זה.
עלה כי סקר הסיכונים ששע"ם ביצע בתחום אבטחת המידע, אינו תואם את ההנחיות .
הרגולטוריות בדבר ביצוע סקר הסיכונים.
עוד נמצא כי שע"ם אינו מפקח על הטיפול .
משרד מבקר המדינה ממליץ כי שע"ם יבצע סקר סיכונים בהתאם להנחיות הרגולטוריות.
בביקורת שביצע מערך הסייבר בשע"ם בחודשים ינואר - פברואר 2018 נבחנו היבטי הגנת .
רשת זו הוקמה בעקבות ביקורת משנת 2016 , .
בביקורת של מערך הסייבר עלו בין היתר סיכונים בתהליכי העבודה .
ה | הגנת סייבר והמשכיות עסקית ביחידת שירות עיבודים ממוכנים ברשות המיסים בחודשים נובמבר - דצמבר 2019 מערך הסייבר ביצע ביקורת בנוגע לרשתא' בשע"ם .
נמצא כי בשע"ם לא התקיים תהליך של מעקב אחר הטיפול בליקויים שהועלו בביקור ות .
רשות המיסים מסרה ביום 20.
22 כי בוצע מעקב על רשת ב' וכי בהמשך עלו תקלות נוספות .
ברשת, ולכן המשך התהליך היה בהתכתבויות מול מערך הסייבר.
עוד נמסר כי לא בוצע מעקב .
סדור לטיפול בממצאי בקרת המערך בנושא רשת א' הואיל ו"שע"ם נכנס לתקופה מסיבית של .
יישום החזר מענקים לנפגעי הקורונה ובכלל התמודדות עם עבודה מרחוק".
נוהלי אבטחת מידע בשע"ם .
שע"ם פועל כגוף IT4 זה שנים רבות.
במהלך השנים נכתבו נהלים, בין היתר בתחומי אבטחת .
המידע, והם מתעדכנים מפעם לפעם.
בשע"ם התבצע עדכון נהלים בשנת 2016 , בין היתר כחלק .
מדרישות ההסמכה של תקני אבטחת המידע.
בשנת 2018 החל שע"ם בעדכון העמידה בדרישות .
תקני אבטחת המידע, בין היתר בעדכון נהלים.
זאת ועוד, בשל היות שע"ם גוף תמ"ק, הוחלט .
לעדכן את הנהלים גם על פי דרישות ההנחיות הרגולטוריות נוסף על דרישות תקני אבטחת .
הנהלים עודכנו שוב בשנים 2020 - 2021 , בסיוע חברתייעוץ.
בתהליך זה בוטלו נהלים .
שאינם תקפים ואוחדו נהלים כפולים.
תהליך פיתוח או שינוי מערכת .
על פי ההנחיות, על הגוף המונחה לעדכן את הגורם הרלוונטי לפני יישום כל שינוי משמעותי .
הנוגע לתהליכים קריטיים.
הגוף המונחה נדרש לכתוב נוהל העוסק ב סיכונים ובהשפעות .
הצפויות של יישום השינוי .
על פי ההנחיות, הגורם הרלוונטי יהיה מעורב בניתוח הסיכונים .
הביקורת העלתה כי אף שנושא ניהול השינויים נכלל בנוהל העוסק בהיבטי אבטחת מידע .
בכל שלבי הפרויקט, הנוהל אינו עוסק ב צורך לעדכן את הגורם הרלוונטי בניתוח הסיכונים .
ובהשפעות הצפויות של יישום השינויים כנדרש בהנחיות.
משרד מבקר המדינה ממליץ לשע"ם לעדכן את הנוהל באופן שיכלול את כל הפעולות .
הנדרשות בהתאם להנחיות הרגולטוריות.
רשות המיסים מסרה בתשובתה כי אגף המשכיות עסקית בשע"ם יכתוב נוהל אשר יכלול את .
כל הפעולות הנדרשות בהתאם להנחיות הרגולטוריות.
4 Information Technology - .
הגנת סייבר והמשכיות עסקית ביחידת שירות עיבודים ממוכנים ברשות המיסים נוהל טיפול באירוע אבטחת מידע .
בהנחיות נדרש להגדיר את ההיערכות לטיפול באירועים חריגים ואת תהליך הטיפול בהם.
פי ההנחיות טיפול יתבצע רק לאחר עדכון הגורם הרלוונטי.
הביקורת העלתה כי בשע"ם קיים נוהל תגובה לאירועי אבטחת מידע וסייבר מפברואר .
2020 , אךהנוהל אינו עוסק בחובה לדווח לגורם הרלוונטי על אירועים אלה, ולצורך לשלב ו .
כמו כן חסרה התייחסות רלוונטית לתחום מסוים הנדרש בהנחיות.
משרד מבקר המדינה ממליץ לשע"ם לעדכן את נ והל תגובה לאירוע אבטחת מידע וסייבר , .
באופן שיכלול את כל הפעולות הנדרשות בהתאם להנחיות .
נוהל עבודה בנושא שרשרת האספקה .
בהנחיות הרגולטוריות מפורטות דרישות אשר על הגוף המונחה לפעול לפיהן, בין היתר בנושאים .
הנוגעים לעבודה עם ספק חיצוני.
הביקורת העלתה כי הנוהל בשע"ם אינו כולל את כל הדרישות שנקבעו בהנחיות.
משרד מבקר המדינה ממליץ לשע"ם לעדכן את נוהל שרשרת האספקה באופן שיכלול .
אבטחת המידע בשע"ם שרשרת האספקה .
כאמור , בהנחיות הרגולטוריות יש הנחיה לפעילות מול ספקים חיצוניים על מנת להתגונן מפני .
איומי תוקף באמצעות שרשרת האספקה.
הביקורת העלתה פערים בדבר המידע שנאסף על ידי אגף אבטחת מידע בשע"ם בנוגע .
מערך הסייבר הלאומי פיתח מערכת ממוחשבת המאפשרת לכל ארגון בישראל לבדוק את רמת .
הגנת הסייבר ואת מידת עמידת ו של הארגון בתקנים מקומיים ובין-לאומיים באופן אנונימי, דינמי .
במערכת זו נכלל, בין היתר, מודול שרשרת אספקה ובו, בין היתר , שאלון ספקים, שאותו .
השאלון מאפשר לארגונים הערכה של הסיכונים והבנה של רמת ההגנה של .
הספק, ובד בבד הוא מאפשר לספקים להבין מהן הדרישות והבקרות הנדרשות על מנת שיוכלו .
לעמוד ברמת ההגנה הנאותה.
בביקורת עלה כי לא נעשה שימוש במודול שרשרת אספקה במערכת הייעודית.
ה | הגנת סייבר והמשכיות עסקית ביחידת שירות עיבודים ממוכנים ברשות המיסים רשות המיסים מסרה בתשובתה כי נושא זה לא קודם בשל תיעדוף הטיפול בנושאים דחופים .
מומלץ כי שע "ם ישתמש במערכת הייעודית שפיתח מערך הסייבר הלאומי לבחינת .
שע"ם נותן שירות לאלפי משתמשי קצה, עובדי מס הכנסה, מייצגים ממשרדי רואי חשבון, יועצי .
בשרתי שע"ם מאוחסן מידע המכיל פרטים בדבר הכנסות של נישומים ופרטים .
מידע זה עלול להיות מנוצל לרעה במגוון רחב של דרכים.
שע"ם הגדיר לכל קבוצת .
משתמשים את ההרשאות המתאימות לה, ונדרש שהמידע יהיה נגיש רק למי שרשאי להיחשף .
אליו, וכי הרשאות הגישה יתעדכנו כל העת בהתאם לסטטוס המשתמשים.
בהנחיות הרגולטוריות יש התייחסות לנושא ההרשאות, ונקבע בהן כי יש לגבש נהלים .
המתייחסים לנושאים אלו.
בנובמבר 2021 הוכן דוח הביקורת הפנימית בנושא "הרשאות גישה בשע"ם".
שע"ם על דוח הביקורת הפנימית צוין כי נושא ההרשאות נסקר ומפוקח גם במסגרת עמידה .
בתקנים ורגולציות, וגם במסגרת תוכנית העבודה השנתית של צוות אבטחת מידע המבצע .
הביקורת העלתה כי שע"ם משתמש במערכת ממוחשבת לניהול הרשאות.
שע"ם מספק כאמור שירותי מחשוב, ומועסקים בו מפתחים הכותבים קוד למערכות קיימות ואף .
כתיבת קוד מאובטח משדרגת את רמת אבטחת המערכת.
הרגולטוריות יש הנחיה בנושא פיתוח מאובטח.
עלה כי הטמעת מדיניות פיתוח מאובטח קודמה במידה רבה, אך אינה מלאה.
רשות המיסים מסרה בתשובתה כי בכוונת שע"ם לפעול לתיקון הליקוי.
על פי ההנחיות הרגולטוריות, יש לבצע מבדק חדירה לרכיבי המערכת הקריטית אחת לתקופה.
מטרת המבדק לבחון את איתנות המערכת הקריטית.
בשל ריבוי המערכות שע"ם מתקשה לבצע מבדקי חדירה לכלל המערכות אחת לתקופה.
בשל כך הנחה המערך לבצע פעילות מסוימת כבקרה מפצה.
הגנת סייבר והמשכיות עסקית ביחידת שירות עיבודים ממוכנים ברשות המיסים הביקורת העלתה כי שע" ם ביצע את הפעילות בחלק מן המערכות אולם עלו פערים .
בהשלמת הבקרות המפצות.
משרד מבקר המדינה ממליץ להכין תוכנית לסגירת הפער .
רשות המיסים מסרה בתשובתה כי בשנת 2022 פעלה באמצעים אחרים לצורך גישור על הפער .
ביקורת רגולטור מסוים .
בשנת 2016 בוצעה ביקורת מקיפה של רגולטור מסוים בשע "ם בביקורת נבחנו כמה תחומים .
בכמה מן המערכות בשע"ם.
בביקורת הרגולטור עלו פערים.
הביקורת העלתה פערים בבקרה על השרת.
משרד מבקר המדינה ממליץ לשע"ם לפעול לכך שהבקרה על מערכותיה תהיה מלאה.