HeTree/MevakerConcSen huggingface dataset:
להסבת נתונים ולטיובם ובחינת עלות-תועלת שוטפת .
היעדר הטיפול בהיבטים אלו בעת .
יישום המערכת עלול לפגוע בשירות שנותן המשרד, בתכנון התקציבי שלו ועוד.
לאור הממצאים שפורטו לעיל, מומלץ כי רשות התקשוב תוודא כי מכלול ההיבטים באים .
לידי ביטוי בהנחיה החדשה, ותבצע בקרה על יישום ההנחיה בידי המשרדים.
| 620 | הפקת לקחים מיישום מערכות ענן .
מנגנון הפקת לקחים הוא חלק חשוב ובלתי נפרד מכל יישום מערכת מחשוב, לרבות יישום .
בסוף שנת 2016 פרסמה רשות התקשוב הנחיה בנושא "תחקור והפקת .
לקחים", שמטרתה להנחות את המנמ "רים לערוך תחקיר וניהול לקחים ביחידות התקשוב .
הממשלתי ובאופן יישום הלקחים .
על פי ההנחיה, תחקיר הוא בדיקה של אירוע או תופעה .
חיוביים או שליליים שהארגון מעורב בהם לשם למידה, הפקת לקחים והסקת מסקנות .
שיאפשרו שכפול של ההצלחה (באירוע חיובי) או מניעת אירועים דומים (באירוע שלילי).
במסגרת השאלון נשאלו המנמ"רים אם בוצע תהליך מסודר של הפקת לקחים לאחר סיום .
היישום של מערכת מחשוב ענן.
להלן תשובותיהם של 30 :מנמ"רים אשר השיבו על שאלה זו .
תרשים 12 : הפקת לקחים לאחר יישום מערכת מחשוב ענן, יולי 2020 .
מהתרשים עולה כי כ-60% מהמשרדים שהשיבו על השאלון לא ביצעו תהליך הפקת .
לקחים לגבי יישום מערכת הענן , אף כי תהליך הפקת לקחים הוא חלק משמעותי .
מיישום של כל מערכת מחשוב.
 מבקר המדינה | דוחביקורת שנתי 72 א– חלק ראשון | התשפ"א-2021 .
| 621 | | שימוש משרדי ממשלה בענן ציבורי וההיערכות להקמת ענן מרכזי מחשוב ענן הוא חלק עיקרי בתקשוב הממשלתי בכלל ובתוכניות העבודה העתידיות .
ממצאיו של פרק זה מלמדים כי היבטים שונים הקשורים ליישום מערכות ענן אינם .
מקבלים מהמשרדים התייחסות מיטבית ובזמן המתאים .
בין היבטים אלו ניתן למנות בחינת .
עלות תועלת, הגדרת מדדי הצלחה וכישלון, בדיקות הקשורות לספק המערכת ו להסכם .
ההתקשרות לרבות כללים לסיום ההתקשרות , היערכות להסבת נתונים, קיום הליך סדור .
ל הפקת לקחים וכיו"ב .
היעדר ההתייחסות להיבטים אלו ע לול לפגוע בשירות ים שנ ותן .
המשרד, בתכנון התקציבי שלו , ברציפות הפעילות של המערכת ועוד.
נכון למועד הביקורת לא הוקם הליך סדור להפקת לקחים ממשלתית מיישום מערכות .
הליך שכזה יכול לסייע בזיהוי החסמים, הקשיים והפערים הקיימים אצל .
משרדי הממשלה בבואם ליישם מערכות בסביבת הענן ולתת מענה מתאים.
יצוין כי במהלך הביקורת פרסמה כאמור רשות התקשוב בדצמבר 2020 הנחיה בנושא .
"אישור, תכנון ובקרה לשירותי ענן".
עד למימוש מלא של מכרז נימבוס על כל רבדיו .
מומלץ כי רשות התקשוב תבחן כיצד ניתן לתת מענה לצורך לקיים בקרה עיתית על .
אופן יישום המעבר לענן.
בנוסף, מומלץ כי רשות התקשוב תבחן מיסוד הליך סדור להפקת לקחים מיישום .
מערכות בסביבת ענן במשרדים, אשר יוכל לסייע ביצירת סטנדרטיזציה ויקל על יישום .
מערכות נוספות בסביבת הענן.
בתשובתה ציינה רשות התקשוב כי היא פעלה ופועלת לאיתור מוצרים והתפתחויות טכנולוגיות .
כמו כן, הרשות מסרה כי מרכז המצוינות התפעולית בענן (CCoE ) שבכוונתה להקים .
אמור, עם הקמתו, למסד הליך סדור להפקת לקחים מיישום מערכות בסביבת ענן במשרדים, .
במטרה לסייע ביצירת סטנדרטיזציה ולהקל על יישום מערכות נוספות בסביבת ענן.
פעילות גורמי ההסדרה בתחום אבטחת .
המידע והגנת הסייבר במחשוב ענן .
כפי שתואר לעיל, לשימוש בשירותי ענן יתרונות רבים, כגון נגישות וזמינות מכל מקום בעולם, .
שירות מקצועי ומוזל בזכות יתרון הגודל של ספקי השירות, אפשרות להרחיב או לצמצם את .
השירותים בטווח זמן קצר ועוד.
אך לצד היתרונות , השימוש ב שירותי מחשוב ענן עלול להעלות .
גם סיכוני אבטחת מידע וסייבר.
להלן חלק מגורמי הסיכון בשימוש בשירותי מחשוב ענן: .
מידעפנימי של הארגון מאוחסן על גבי תשתית ציבורית.
קשה לעובדי הארגון להבחין בין המידע שנמצא בתוך הארגון למידע הנמצא מחוץ לו.
ספקי הענן הופכים למטרה מועדפת של תוקפים פוטנציאליים.
לארגון אין שליטה ישירה על העובדים המטפלים בתשתיות החומרה והתוכנה, שהם .
הבסיס לשירותים שהוא מספק.
גורמי ממשל במדינות זרות עשויים לאלץ ספקי ענן לחשוף מידע של לקוחות השמור .
כך למשל, חוק הענן 41 שחוקק בארצות הברית ביוני2018 מתיר למדינהלדרוש .
מידע מספקיות השירות במרשתת, גם אם הוא מאוחסן על שרתים מחוץ לארה"ב.
( תלות בספק Vendor Lock -In ) עלולה להקשות על הארגון לעבור לספק אחר, גם אם .
אבטחת המידע של הספק הנוכחי אינה עומדת ברמה הנדרשת.
מעלות המעבר, הצורך להכשיר מחדש את כוח האדם לשימוש במערכת החדשה, .
הסכמים משפטיים כובלים ועוד.
התרשים שלהלן מפרט את התחומים שבהם נדרשת תשומת לב לסיכוני אבטחת מידע וסייבר .
תרשים 13 : תחומיםשבהם נדרש ת תשומת לב לסיכוני אבטחת מידע וסייבר .
המקור: מדריך אבטחת המידע בענן של CSA42 ,בתרגום משרד מבקר המדינה.
כפי שצוין, אחד מסיכוני הסייבר העיקריים הוא תקיפה של ספק שירותי ענן במטרה להגיע .
למידע על הלקוחות המשתמשים בשירותיו.
במחקר של חברת אבטחה עולמית43 על השימוש .
בשירותי ענן מינואר עד אפריל 2020 נמצא כי בחודשים מרץ ואפריל 2020 גדל השימוש .
בשירותי ענן בעולם, ככל הנראה עקב ההגבלות העולמיות על התכנסויות עקב מגפת .
41 Clarifying Lawful Overseas Use of Data Act or the CLOUD Act .
gov/bill/115th -congress/house -bill/4943 .
42 Cloud Security Alliance .
com/enterprise/en -us/soluti ons/lp/cloud -adoption -risk-report -business -growth -edition.
html מבקר המדינה | דוחביקורת שנתי 72 א– חלק ראשון | התשפ"א-2021 .
| 623 | | שימוש משרדי ממשלה בענן ציבורי וההיערכות להקמת ענן מרכזי הקורונה, ולצידו גדל גם מספר האיומים החיצוניים על שירותי מחשוב ענן ב-630% לעומת .
ינואר ופברואר באותה שנה.
במגזר הממשלתי בפרט גדל מספר האיומים בתקופה זו ב -773% .
עוד עלה במחקר כי מרבית התקפות הסייבר הממוקדות מגיעות משלוש מדינות - סין, אירן .
להלן תרשים המתאר את נתוני המחקר בדבר העלייה באיומים על שירותי ענן בעולם בתקופה .
בין ינואר לאפריל 2020 , לפי מגזר פעילות: .
תרשים 14 : עלייה באיומים על שירותי ענן בעולם לפי מגזר, .
ינואר - אפריל 2020 )(באחוזים .
מקור: חברת אבטחה עולמית, בתרגום משרד מבקר המדינה.
לשם המחשה, באוקטובר 2019 דיווחה חברה גלובלית לשירותי מחשוב ענן כי שירות הענן .
שלה הותקף במתקפת מניעת שירות מבוזרת (SoDD )44 , אשר הביאה להשבתה של כשמונה .
שעות במתן שירותי הענן ללקוחות החברה.
כלומר, במשך יום עבודה שלם נמנעה מלקוחות .
החברה גישה למערכות אשר נמצאות בסביבת הענן של החברה.
בנוסף דיווחה החברה כי .
בפברואר 2020 היא הצליחה לסכל את מתקפת מניעת השירותהמבוזרת הגדולה בהיסטוריה.
על פי הדיווח, גודל המתקפה שסוכלה עלה ב-30% על המתקפה הגדולה ביותר על חברה .
כלשהי דרך המרשתת שתועדה עד אז.
כמו כן, במאי 2020 דיווחה חברת אחסון אתרים הפועלת בסביבת הענן על מתקפת סייבר .
על פי פרסומים בתקשורת 45 , המתקפה הביאהלהשחתת אתרי אינטרנט רבים .
וחשש לגניבת בסיסי נתונים, בין היתר של רשויות מקומיות, רשתות מסחר ועמותות.
44 DDoS - ( התקפת מניעת שירות מבוזרת service attack-of- distributed denial ), נועדה להשבית מערכת מחשב על ידי .
יצירת עומס חריג על משאביה.
45 :להרחבה ראו 3825453,00.
il/internet/articles/0,7340,L שימוש משרדי ממשלה בענן ציבורי וההיערכות להקמת ענן מרכזי .
| 624 | מחקר46 אשר פורסם ביולי2020 וכלל דיווחים של כ-3,500 מנהלי מערכות מידע מ-26 מדינות .
במגוון מגזרים, העלה כי כ-70% מהנשאלים דיווחו על אירוע אבטחת מידע בענן הציבורי שבו .
כמו כן המחקר העלה כי ארגונים המפעילים סביבות מרובות-עננים הם בעלי .
סבירות גבוהה ב-50% לחוות אירוע אבטחת מידע בענן בהשוואה לארגונים שמשתמשים בענן .
דיווחה חברה גלובלית לשירותי מחשוב ענן כי הותקפה במתקפת סייבר .
בהקשר למתקפה זו פרסמה 47 סוכנות הביטחון הלאומי האמריקאית "הודעה על מתקפת .
סייבר" המפרטת כיצד שירותי הענן של החברה נמצאים בסכנה מצד פצחנים ( האקרים), .
ומורה ללקוחות החברה המשתמשים בשירותי הענן לנעול את המערכות שלהם.
פעילות הוועדה המייעצת לנושא אבטחת מידע .
עם התגברות ההכרה בדבר חשיבות הטכנולוגיות הדיגיטליות בפעילות הממשלה, לאחר .
בחינת צורכי הממשלה בתחום טכנולוגיות המידע וכחלק מההתמודדות עם סיכוני הסייבר .
קיבלה הממשלה החלטה בשנת 2015 (החלטה2443 )48 שקבעה בין היתר הקמה של יחידה .
להגנת הסייבר בממשלה (לה לן - יה"ב 49 ), שייעודההכוונה והנחיה מקצועית בתחום הגנת .
הסייבר עבור כלל המשרדים.
כאמור, באוקטובר 2014 התקבלההחלטת הממשלה 2097 .
בין היתר ההחלטה קבעה כיעל .
הממונה על התקשוב הממשלתי לפעול להעברת תשתיות התקשוב של משרדי הממשלה .
למודל מחשוב ענן, אשר יאפשר גישה מקוונת לתשתיות, פלטפורמות ויישומים , ותשלום .
דיפרנציאלי על פי השימוש בהם.
במסגרת יישום ההחלטה פרסמה יה"ב בינואר 2016 את .
הנחיית "אבטחת מידע במעבר לענן ציבורי" (להלן- ההנחיה).
ההנחיה מפרטת את האיומים .
הקיימים בסביבת הענן, ובהתאם להם את הערכת הסיכונים שהמשר דים נדרשים לבצע .
והבקרות שעליהם ליישם בעת המעבר לענן.
על פי האמור בהנחיה, "משרד ממשלתי המבקש .
להקים מערכת או להעביר מערכת קיימת לסביבת ענן ציבורי, נדרש לפנות לקבלת אישור .
ליה"ב, תוך הבהרת הסיכונים הנגזרים למשרד מתהליך המעבר לסביבת ענן.
עם הגורמים הרלוונטיים, תהיה אמונה על אישור או דחיית הבקשות , בהתאם לניתוח הסיכונים .
בד בבד עם פרסום ההנחיה, הקים מנהל יה"ב בינואר 2016 "ועדה מייעצת להגנת הסייבר .
במעבר לענן הציבורי" (להלן הוועדה המייעצת).
על פי כתב המינוי של הוועדה, יהיו חברים .
בה נציגים מרשות התקשוב, יה"ב, מערך הסייבר, רשות הגנת הפרטיות והרשות הממלכתית .
46 :להרחבה ראו 2020- security-cloud-of-state- us/2020/08/07/the- https://news.
il/he/departments/publications/reports/auto_mach_abuse .
gov/News -Features/Feature -Stories/Article -View/Article/2451159/nsa -cybersecurity -advisory - .
malicious -actors -abuse -authentication -mechanisms -to/ .
48 החלטה2443 של הממשלה ה-33 ", "קידום אסדרה לאומית והובלה ממשלתית בהגנת הסייבר(15.
יה"ב היא יחידה ברשות התקשוב מבקר המדינה | דוחביקורת שנתי 72 א– חלק ראשון | התשפ"א-2021 .
| 625 | | שימוש משרדי ממשלה בענן ציבורי וההיערכות להקמת ענן מרכזי לאבטחת מידע (רא"מ).
הוועדה תעסוק במגוון הנושאים הקשורים להעברת מידע ויישומי .
מחשוב של המשרדים לענן ציבורי, לרבות התווית יעדים ועקרונות התמודדות; בחינת היבטי .
הגנת הסייבר למול דרישות הגופים המונחים המבקשים להעביר מידע ויישומי מחשוב לסביבת .
ענן ציבורי; אישור בקשות המשרדים; מימוש נתונים ומערכות מידע והעברתם לתשתיות ענן .
מסחריות, בארץ ובחו"ל; קיום תהליכי לימוד והפקת לקחים.
ההנחיה מפרטת את הדרישות ממשרד ממשלתי בעת הגשת הבקשה לוועדה המייעצת, .
לרבות: הגשת חוות דעת היועץ המשפטי של המשרד בכל הנוגע לחוק הגנת הפרטיות, .
התשמ"א -1981 (להלן- חוק הגנת הפרטיות) ותקנות הגנת הפרטיות (אבטחת מידע), התשע"ז- .
2017 ; ניתוח איומים; מידע על הספק; פרטי המידע שמתוכנן לעבור לענן; ניתוח משתמשי .
המערכת; ניתוח ממשקי המערכת ועוד.
בד בבד הנחה מנהל יה"ב את ממוני הגנת הסייבר .
המשרדיים50 לעדכן את הוועדה המייעצת אם כבר קיימות מערכות במחשוב ענן, על מנת שזו .
תוכל לבחון אותן ולאשרן בהתאם להנחיה.
רשומת DNS היאפרוטוקול המתרגם שם מילולי של תחום אתר במרשתת ( domain) , כגון .
il , לכתובת המספרית של האתר (כתובת ה -IP ).
משתמשים אנושיים במרשתת משום שהוא מאפשר להם להגיע לאתרים באמצעות כתובת .
מפגישות שקיים משרד מבקר המדינה ביולי ובדצמבר 2020 עם יחידת ממשל זמין51 אשר .
ברשות התקשוב עלה כי ממשל זמין היא האחראית על מתן רשומת ה-DNS הנדרשת בתחום .
il ) בעת הקמת מערכת בענן, וכי הרשומה ניתנת על ידי ממשל זמין למשרד .
הממשלתי רק לאחר קבלת החלטה חיובית בעניין המערכת במסגרת הדיון שמתבצע בוועדה .
המייעצת ווידוא יישום המלצות הוועדה.
עוד ציין ממשל זמין כי מסיבות היסטוריות קיימים .
מקרים בודדים שבהם משרדים יכולים לייצר לעצמם רשומת DNS , אולם ממשל זמין פועל על .
על פי נתוני יה"ב, משנת 2016 ועד יולי2020 התכנסה הוועדה המייעצת33 פעמים ודנה ב-114 .
תרשים13 להלן מפרט אתפעילות הוועדה המייעצת בשנים 2016 .
50 החלטת הממשלה2443 ( ", "קידום אסדרה לאומית והובלה ממשלתית בהגנת הסייבר15.
15 ), הטילה על מנכ"לי .
המשרדים לפעול לשיפור רמת הגנת הסייבר, ולשם כך בין היתר למנות ממונה להגנת סייבר.
51 יחידה ממשלתית המפתחת שירותים ואמצעים דיגיטליים עבור ממשלת ישראל.
בין היתר אחראית היחידה על אתר .
השירותים והמידע הממשלתי .
il שימוש משרדי ממשלה בענן ציבורי וההיערכות להקמת ענן מרכזי .
| 626 | תרשים 15 : מספר המערכות שנידונו בוועדה המייעצת לפי שנים וסטאטוס .
אישורן, נכון ליולי 2020 .
על פי נתוני יה"ב, בעיבוד משרד מבקר המדינה .
מהתרשים עולה כי מרבית המערכות ( 102 מתוך114 מערכות, כ -89% ) שלגביהן הגישו .
המשרדים בקשות לאישור הוועדה המייעצת אכן אושרו.
מתשובותיהם של 42 משרדים על השאלון שהפיץ משרד מבקר המדינה עולה כי על אף .
ההנחיה של מנהל יה"ב, במשרדים אלה פועלות כ -10 מערכות בסביבת ענן בלא .
שהתבקש לגביהן אישור הוועדה המייעצת.
היעדר בחינה של הוועדה עלול להביא .
להתממשות סיכוני אבטחת מידע משמעותיים במערכות אלו.
באוגוסט 2020 מסר ממלא מקום ראש רשות התקשוב למשרד מבקר המדינה כיעם הקמת .
הוועדה המייעצת הוחלט שהיא תייעץ לגבי אופן ההגנה הנדרש של המערכות בסביבת הענן, .
מתוך הבנה שהנושאים והמערכות שיעלו תחילה לוועדה לא יהיו נושאי ליבה או יכללו מידע .
רגיש במיוחד, ועל כן יש מקום לשיקול הדעת וניהול הסיכונים של המשרד עצמו.
ממלא מקום ראש רשות התקשוב הוסיף כי לאורך השנה וחצי האחרונות ניסו משרדי ממשלה .
להגיש לוועדה גם בקשות בנוגע ל מערכות ליבה רגישות , מתוך תפיסה שגויה שהחלטות .
הוועדה אינן מחייבות ובכל מקרה לא יכולות למנוע מה משר דים להעלות מערכות אלו לענן.
לאור הידע אשר נצבר ברשות התקשוב בנושא הענן במרוצת הזמן, ומתוך מחויבות לבצע את .
תפקידי הרשות כשומר ת הסף בנושא , החליטה רשות התקשוב לשנות את שם הוועדה .
מ"מייעצת" ל"מאשרת", ועל כן בוצע עדכון במסמכי ההנחיה השונים.
לדוגמה, הנחיית רשות .
3 " שעניינהיישום מכרז מסגרת מספר 21/17 למתן שירותי ענן ציבורי", אשר .
פורסמה ביולי 2020 " , קובעת כימשרד שיבקש להשתמש במכרז יידרש לקבל אישור מקדים .
של מינהל הרכש ואישור של ועדת ענן ממשלתית".
כמו כן ההנחיה קובעת כי "טרם מימוש .
על המשרד לאשר את הפתרון המוצע בו ועדת הענן התקשובית".
| 627 | | שימוש משרדי ממשלה בענן ציבורי וההיערכות להקמת ענן מרכזי מהאמור לעיל עולה כי במועד סיום הביקורת, דצמבר 2020 , לא היה בידירשות התקשוב .
או בידי גורם ממשלתי אחר מיפוי מלא ועדכני של כל המערכות הממשלתיות שכבר .
כמו כן, משרדים שונים העבירו מערכות לסביבת הענן בלי לקבל את .
אישורה של יה"ב, הגם שבהתאם להנחית מנהל יה"ב, על אגפי מערכות המידע במשרדי .
הממשלה להעביר ליה"ב מיפוי של כלל מערכות הענן במשרדים ולהביא לשולחנה של .
הוועדה המייעצת את המערכות שהוקמו בסביבת הענן ללא אישורה או טרם הקמת .
על המשרדים להביא לאישור הוועדה המייעצת את כלל המערכות הממשלתיות שכבר .
עוד מומלץ כי יה"ב תפעל להשלים מיפוי של כלל מערכות הענן במשרדי .
הממשלה ולוודא עם כל המשרדים כי כל המערכות שהוקמו בסביבת הענן יובאו לאישור .
כמו כן מומלץ כי יה"ב תנקוט בפעולות בקרה על מנת לוודא כי .
המשרדים מיישמים את הנחיותיה.
פעילות האסדרה של מערך הסייבר הלאומי .
בשנת 2015 החליטה הממשלה על הקמת מערך הסייבר52 .
מערך הסייבר מופקד על הגנת .
מרחב הסייבר הישראלי וקידום מובילות מדינת ישראל כמעצמת סייבר.
קידום אסדרה לאומית ועל הובלה ממשלתית בתחום הגנת הסייבר; הנחיית גופי תמ"ק מכוח .
החוק להסדרת הביטחון בגופים ציבוריים, התשנ"ח -1998 ; וכן ניהול, הפעלה וביצוע בהתאם .
לצורך של כלל מאמצי ההגנה הא ופרטיביים ברמה הלאומית במרחב הסייבר, ובכלל זה מענה .
הגנתי שלם ורציף לתקיפות סייבר, לרבות טיפול באיומי סייבר ובאירועי סייבר בזמן אמת.
נוכח הסיכונים בשירותי הענן, פרסם מערך הסייבר כמה מסמכים הקשורים לאבטחת מידע .
והגנת הסייבר במחשוב ענן.
להלן פירוט המסמכים העיקריים שפורסמו: .
באפריל 2017 פרסם מערך הסייבר את מסמך "תורת ההגנה בסייבר לארגון" 53 ( להלן- מסמך .
תורת ההגנה), אשר נועד לשפר את החוסן הארגוני והעמידות של כלל הארגונים במשק בפני .
המסמך מגדיר שיטה סדורה להכרת הסיכונים הרלוונטיים לארגון, ג יבו ש .
מענה הגנתי ומימוש תוכנית להפחתת הסיכונים בהתאם, וכולל המלצות הגנה בנושא מחשוב .
על פי המסמך , יש להעריך את סיכוני הסייבר ואבטחת המידע הכרוכים בפיתוח .
וברכש של מערכת חדשה ולנהלם על פי תהליכי ניהול הסיכונים המקובלים בארגון, כדי .
לוודא כי פתרונות להגנה על המידע שולבו במערכת כבר משלב הייזום והתכנון, דרך הפיתוח .
מסמך זה מופיע כמסמך מחייב במדיניות להגנת הסייבר בממשלה של יה"ב.
2020 ,מסר מערך הסייבר למשרד מבקר המדינה כי בכוונתו לעדכן את מסמך תורת ההגנה .
אשר לדעתו אינו נותן כיום מענה מלא לנושא אבטחת המידע בענן.
לאחר סיום הביקורת , .
בדצמבר 2020 , פרסם מערך הסייבר טיוטה להתייחסות הציבור בנושא שיפורים ותוספות .
52 החלטת הממשלה2444 , "קידום היערכות לאומית להגנת הסייבר", והחלטה2443 , "קידום אסדרה לאומית והובלה .
ממשלתית בהגנת הסייבר", מ -15.
במסגרת ההחלטות הוקמו שני גו פים: רשות הסייבר הלאומית והמטה .
בדצמבר 2017 אוחדו שני הגופים לגוף אחד- מערך הסייבר הלאומי.
53 :להרחבה ראו https://www.
il/he/Departments/Guides/cyber_security_methodology_for_organizations_test שימוש משרדי ממשלה בענן ציבורי וההיערכות להקמת ענן מרכזי .
| 628 | משרד מבקר המדינה ממליץ כי מערך הסייברישלים עדכון מסמך תורת ההגנה, כך .
שיכלול מענה מיטבי לנושא אבטחת המידע בשימוש במחשוב ענן עבור המשק בכללותו .
מערך הסייבר מסר בתשובתו כי כפי שצוין לעיל, בשנת 2020 החל פיתוח גרסה2.
מסמך תורת ההגנה אשר זמינה כטיוטה לציבור באתר המערך.
הגרסה העדכנית כוללת כיסוי .
של נושאים מתקדמים דוגמת ענן היברידי, הטמעת מודל "trust-Zero "54 , ניהול אירועים בענן .
כמו כן, לאחר שיסתיים הליך המכרז של נימבוס, יחל המערך בפיתוח המלצות הגנה .
בהתאם לספק הרלוונטי, שכן הללו תלויות מאוד בספק שייבחר.
במאי 2017 פרסםמערך הסייבר מאמר בנושא "סיכונים בשימוש בשירותי ענן"55 המפרט את .
סיכוני האבטחה המרכזיים והמלצות לצמצומם הן מבחינת נוהלי הארגון והן מהבחינה .
באוקטובר 2017 פרסם מערך הסייבר את מסמך "שימוש בשירותי ענן- הרחבה לתורת ההגנה .
בסייבר בארגון" 56 , המיועד למנהלי אבטחת המידע בארגונים ומטרתו לשמש כלי עזר להסדרת .
בנייתה של תוכנית ההגנה הארגונית, תוך התייחסות לשירותי הענן שצורך הארגון.
באפריל 2019 פרסם מערך הסייבר את מסמך "המלצות ליישום הכולל דרישות עקרוניות .
לעבודה עם ספקים בתצורת ענן (מכל סוג שהוא)".
מטרת המסמך, אשר מופנה למנהלי .
אבטחת המידע והגנת הסייבר בכל גופי המשק הישראלי וכאמור משמש כהמלצה, היא .
"להוות תשתית למסמך דרישות מלא עבור דרישות הגנת סייבר במכרזים ובהתקשרויות עם .
ספקי ענן ולרכז כלים ישימים לספקים מטעם מערך הסייבר בנושא ".
מתודולוגית ההקשחה שבה בחר מערך הסייבר כברירת מחדל היא מדריכי ההטמעה של .
הסוכנות להגנת מערכות מידע בארצות הברית ( DISA-STIG .
מבדיקה שביצע משרד מבקר המדינה עלה כי נכון למועד הביקורת אין בקרהעל יישום .
הנחיות מערך הסייבר בידי הגופים השונים.
כמו כן עלה כי למערך הסייבר אין הסמכות .
לקיים פיקוח ובקרה על יישום הנחיותיו בנושא הענן בגופים השונים, למעט הגופים .
המוגדרים תשתית מדינה קריטית.
מערך הסייבר מסר למשרד מבקר המדינה בפברואר 2021 כי המערךרואה חשיבות בהטמעת .
המסמכים במשק, ולטובת העניין נוקט במספר פעילויות כגון: הקמת קבוצות עבודה עם .
נציגים מה תעשייה בהן מתעדכנים אודות פרסומים חדשים ומקבלים סקירות מקצועיות; פיתוח .
מערכת יוב"ל 57 המסייעת למערך לבחון את מידת השימוש של גופים בהמלצות ההגנה של .
המערך; ביצוע פיילוטים בעת כתיבת המלצות ההגנה למשק וכיו"ב.
54 המודל מתבסס על "אפס אמון" באנשים המנסים להיכנס למערכת הארגון.
55 :להרחבה ראו https://www.
il/he/departments/publications/reports/cloud .
il/he/departments/policies/cloud_services/ https:/ .
57 :להרחבה ראו https://www.
il/he/departments/general/yuvalinfo מבקר המדינה | דוחביקורת שנתי 72 א– חלק ראשון | התשפ"א-2021 .
| 629 | | שימוש משרדי ממשלה בענן ציבורי וההיערכות להקמת ענן מרכזי מוצע כי מערך הסייבר יבחן ביצוע עריכת סקר עתי לבדיקת קריאת ויישום ההנחיות בידי .
הגופים השונים, הן על מנת לצמצם את הסיכון כי לא ניתן מענה ראוי לנושא אבטחת .
המידע ביישום מערכת בסביבת הענן והן על מנת לבחון את אפקטיביות פעולותיו.
מומלץ כי מערך הסייבר י משיך ל פעו ל להסדרת סמכויות פיקוח ובקרה על יישום .
פעולות פיקוח של הרשות להגנת הפרטיות .
הרשות להגנת הפרטיות היא הגוף המסדיר, המפקח והאוכף את קיום הוראות חוק הגנת .
הפרטיות והתקנות מכוחו58 .
:פעילות האסדרה של הרשות נעשית בשלושה אפיקים מרכזיים .
אסדרה משפטית, רישום ואכיפה מינהלית ופלילית .
בשנים האחרונות שונו והורחבו כלי .
הפיקוח של הרשות להגנת הפרטיות באמצעות הוספת הליך פיקוח רוחב, שבמסגרתו נשלחים .
שאלונים לגופים רבים שמנהלים או מעבדים מידע אישי , מנותחים ממצאי השאלונים, .
וכשמתעורר צורך מתבצע גם פיקוח במקום בכמה מהגופים.
בעבר עמדה הרשות להגנת הפרטיות על כך שמשאבי הפיקו ח שלה מצומצמים ביחס למספר .
הגופים המפוקחים והיקף המידע המנוהל על ידם, ועל כן היא נדרשת למדיניות אכיפה .
מושכלת המבוססת על סקר סיכונים לקביעת סדרי עדיפות לפעולותיה לגבי תופעות או תחומי .
לפי מדיניות אכיפה זו, הרשות משקיעה את משאביה בעיקר באסדרת .
נושאים בעלי השפעה רוחבית על כלל מפוקחיה, באמצעות פיקוחים נושאיים ומגזריים.
בספטמבר 2020 מסרה הרשות להגנת הפרטיות למשרד מבקר המדינה כי היא לוקחת חלק .
פעיל בוועדת הענן המנוהלת כאמור על ידי יה"ב, על מנת לוודא כי משרדים המתכננים .
להעביר יישומים לסביבת הענן ל וקחים בחשבון גם היבטים של הגנת הפרטיות.
באוקטובר 2020 פרסמה הרשות להגנת הפרטיות את "ממצאי הליך פיקוח הרוחב בקרב מגזר .
חברות אחסון ועיבוד מאגרי מידע בישראל"59 (להלן- דוח הפיקוח).
במסגרת הפרסום, הרשות .
חילקה את ממצאיה לארבעה תבחינים: בקרה ארגונית וממשל תאגידי ; ניהול מאגרי מידע; .
אבטחת מידע; ועיבוד מידע אישי במיקור חוץ.
התרשים שלהלן מראה את רמת העמידה בחוק .
הגנת הפרטיות והתקנות מכוחו, על פי תשובותיהם של 26 :גופים .
58 בהחלטת ממשלה מספר 4660 מ-19.
06 הוקמה רשות משפטית לטכנולוגיות מיד ע והגנת הפרטיות במשרד .
בהחלטת ממשלה מספר 4820 מ-28.
12 שונה שמה ל"רשות למשפט, טכנולוגיה ומידע".
17 "שונה שמה ל"רשות להגנת הפרטיות .
il/he/departments/publications/reports/audit_report_database_companies שימוש משרדי ממשלה בענן ציבורי וההיערכות להקמת ענן מרכזי .
| 630 | תרשים16 : רמת העמידה בחוק הגנת הפרטיות והתקנות מכוחו, מגזר שירותי .
אחסון ועיבוד מאגרי מידע, יולי 2018 - יוני 2019 .
מקור: הרשות להגנת הפרטיות .
הרשות להגנת הפרטיות ציינה במסקנותיה כי נכון לאוקטובר 2020 " קיימת אי בהירות באשר .
להיקף תחולת החוק והתקנות על כלל הגופים המשתייכים למגזר זה (שירותי אחסון ועיבוד .
מאגרי מידע) , מתוקף היותם מחזיקים במאגר.
הממצאים מצביעים גם על ליקויים בעיקר .
בנוגע לעמידה בהוראות החוק בתחום עיבוד המידע האישי באמצעות מיקור חוץ".
הצביעה בדוח הפיקוח על הצעדים שעל הגופים לנקוט על מנת לעמוד בדרישות החוק .
בין היתר, הרשות מנחה גופים המסתייעים בגורם חיצוני לצורך ע יבוד מידע .
לבחון עוד לפני ההתקשרות את סיכוני אבטחת המידע הכרוכים בה.
כמו כן, על הגופים לוודא .
כי קיים הסכם התקשרות מול כל גורם חיצוני המחזיק במאגר אשר יכלול את כל הוראות .
התקנות הרלוונטיות והתייחסות לחובות ולאחריות הספק.
בספטמבר 2020 הרשות להגנת הפרטיות העבירה לידי משרד מבקר המדינה דוגמאות אחדות .
לאירועי אבטחת מידע אשר על פי החשד מקורם במערכות הפועלות בסביבת הענן - בין היתר .
מערכות המשרתות רשויות מקומיות, חברות ממשלתיות, עמותות ועוד.
מוצע כי רשות התקשוב תפעל להטמעת המסקנות וההמלצות מהליך הפיקוח ומתחקור .
האירועים של הרשות להגנת הפרטיות.
רשות התקשוב מסרה בפברואר 2021 כי מכרז נימבוס נותן מענה להיבטי הגנת הפרטיות בשני .
אופנים: המכרז נבנה כאמור בתצורת Zero Trust .
אשר אינו מאפשר לספק הענן לגשת למידע .
כמו כן, היות ובמסגרת המכרז יוקם אתר מקומי ( Region ) בישראל, ממילא יחולו עליו חוק .
הגנת הפרטיות והתקנות מכוחו.
| 631 | | שימוש משרדי ממשלה בענן ציבורי וההיערכות להקמת ענן מרכזי פעילות מגזרית בתחום הגנת הסייבר במחשוב ענן .
החלטת הממשלה 2443 ל"קידום אסדרה לאומית והובלה ממשלתית בהגנת הסייבר" כללה .
בין היתר גם הקמת י חידות להכוונה מקצועית מגזרית 60 בתחום הגנת הסייבר במשרדי .
הממשלה, בהתאם לסמכויות הרגולציה המופעלות על ידי המשרד הממשלתי או במסגרתו.
היחידות פועלות בכפיפות למשרד הממשלתי שאליהן הן שייכות, תחת הנחיה מקצועית של .
בנובמבר 2019 הקים משרד הבריאות ועדה ייעודית למגזר הבריאות אשר תרכז את פעילות .
המעבר לענן בכל הגופים הכפופים לו, לרבות גופים לא ממשלתיים כגון קופות החולים ובתי .
את הוועדה מרכז מנהל הטכנולוגיות הראשי של משרד הבריאות, המשמש גם .
כממונה הגנת הסייבר של המשרד, וחברים בה גם נציגי מערך הסייבר, יה"ב והרשות להגנת .
נכון ליולי 2020 , הוועדה הייעודית קיימהחמש ישיבות ודנה ב-13 מערכות של גופים .
מפגישות שקיים משרד מבקר המדינה בנובמבר 2020 עם מנהל הטכנולוגיות הראשי של .
משרד הבריאות עולה כי לאור המוכנות ההולכת וגדלה של גופים במגזר הבריאות ליישום .
מערכות בענן, החליט המשרד על ביצוע תוכנית ניסוי (פיילוט) בבית חולים ממשלתי .
שבמסגרתה ינהל בית החולים ועדת ענן פנימית וייעזר בכלי לניהול סיכונים אשר פותח על ידי .
משרד הבריאות, מערך הסייבר והרשות להגנת הפרטיות.
אם תצליח תוכנית הניסוי, משרד .
הבריאות מתכוון להרחיבה לגופי בריאות נוספים בהתאם לרמת המוכנות של הגוף.
בפגישה שקיים משרד מבקר המדינה עם משרד האנרגיה וכן בתשובתו של משרד האנרגיה .
מפברואר 2021 נמסר כי אגף טכנולוגיות ומידע במשרד האנרגיה אחראי על הרשת הפנים- .
ארגונית ולא על גופים מפוקחים.
מפגישות שקיים משרד מבקר המדינה ביולי ואוגוסט 2020 ,עם מערך הסייבריה"ב וכמה .
משרדי ממשלה עולה כי גופ ים הכפופים אסדרתית למשרד ממשלתי אך אינם כפופים .
להנחיות יה"ב מנהלים באופן עצמאי את תחום הגנת הסייבר במערכות המחשוב שלהם, .
לרבות בתחום יישום מערכות ענן, ללא גורם מוביל ומפקח.
כך לדוגמה, לא הייתה .
הנחיה פרטנית בנושא יישום מערכות בסביבת הענן בגופים שונים בתחומי התחבורה, .
לאור הסיכונים הפוטנציאליים במעבר לענן, היעדר הנחיה .
מתאימה עלול להביא להתממשות סיכונים ואירועי אבטחת מידע משמעותיים אצל .
יש לציין כי רק חלק מהגופים מוגדרים כתשתית מדינה קריטית 61 .
וככאלו מונחים באופן הדוק על ידי מערך הסייבר, ואילו היתר לא מונחים בידי אף גורם .
60 מגזר- כלל הגופים הפועלים במסגרת תחום מקצועי של משרד ממשלתי ובמסגרת אחריותו הרגולטורית (מתוך .
61 האחריות להנחיית גופים אשר להם מערכות ממוחשבות חיוניות (או תמ"ק) הוטלה ראשית על שירות הביטחון הכללי .
במסגרת החוק להסדר הביטחון בגופים ציבוריים, התשנ"ח-1998 .
עם הקמת מערך הסייבר הלאומי, נקבע בהחלטת .
הממשלה 2443 כי המערך יקבל את האחריות להנחיית גופי תמ"ק.
| 632 | מוצע כי משרדי הממשלההמשמשים כמאסדרים של מגזר פעילות יבחנו את הצורך .
בהקמת ועדות ענן ייעודיות לגופים הכפופים להנחיות המגזריות וביצוע בקרות על יישום .
מערכות בענן של הגופים, על מנת להבטיח את רמת אבטחת המידע והגנת הסייבר בעת .
יישום מיזמי מעבר לענן בקרב גופים אלו.
בעת הבחינה יש לקחת בחשבון כי לעיתים .
הגופים המונחים הם חברות ציבוריות ופרטיות ויש לעדכן בהתאם את מערכת היחסים .
הרשמית מולם, לדוגמה עדכון תנאי רישיון, הסדרת תנ אי פיקוח וכדומה.
מומלץ כי משרדי הממשלה יבחנו את האפשרות להנחות את הגופים הכפופים .
והמפוקחים על ידם להקים ועדות ענן פנימיות אשר ידווחו למשרד הממשלתי על יישום .
משרד התקשורת מסר למשרד מבקר המדינה בתשובתו מפברואר 2021 כי בהתאם לתוספת .
הרביעית לחוק להסדרת הביטחון בגופים ציבוריים, התשנ"ח -1998 , הגורם שמנחה את חברות .
התקשורת המרכזיות בשוק התקשורת לעניין תחום הגנת הסייבר הוא שירות הביטחון הכללי.
עוד מסר המשרד כי הוא ער לסיכונים הפוטנציאליים במעבר של חברות התקשורת לענן, .
לרבות התממשותם של סיכונים וא ירועי אבטחת מידע משמעותיים אצל הגופים האמורים.
האמור, המשרד בוחן בימים אלו, יחד עם גורמים רלוונטיים נוספים, את פעולות האסדרה .
והפיקוח הנדרשות בנושא זה.