HeTree/MevakerConcSen huggingface dataset:
בפברואר 2010 ,שלחה הרשות למשפט, טכנולוגיה ומידע לכמה גופים ציבוריים ובכללם שמונה רשויות מקומיות, שאלון שמטרתו לבחון אם הם מקיימים את הוראות חוק הגנת הפרטיות, ובכלל זה את ההוראות בנושאים האלה: מינוי ממונה על אבטחת מידע בארגון; הקמת ועדה להעברת מידע וקביעת סדרי עבודתה; פרסום רשימת הגופים שאליהם מועבר מידע דרך קבע.
במועד תום הביקורת, יולי 2011 .
, טרם עובדו התשובות שהתקבלו לכלל דוח סופי .
12 בעקבות החלטה ממשלה4460 /(חכ195) מ-19.
הרשות למשפט, טכנולוגיה ומידע השיבה למשרד מבקר המדינה כי עיבוד ממצאי הבדיקה נמצא בשלביו האחרונים, וכי הדוח הסופי יופץ עד סוף שנת 2011.
לדעת משרד מבקר המדינה, ראוי שהרשות למשפט, טכנולוגיה ומידע תגבש תכנית למימוש אחריותה בתחום אבטחת המידע והגנת הפרטיות בשלטון המקומי.
לפעילותן של כ -250 רשויות מקומיות בתחום אבטחת מידע והגנת הפרטיות חסרה אסדרה ברמה הממשלתית שתאפשר להניח את התשתית הנוהלית והמקצועית לטיפול בנושא.
משרד הפנים ומשרד המשפטים לא נקטו פעולות של ממש לקידום פעולתן של הרשויות המקומיות בתחום זה.
המינהל לשלטון מקומי במשרד הפנים והרשות למשפט, טכנולוגיה ומידע במשרד המשפטים נדרשים לקדם פעילות משותפת לצורך קביעת נהלים והנחיות לפעולתן של הרשויות המקומיות.
במסגרת זו יש לקבוע את סדרי הטיפול, את הגופים הממוני ם, את פעולות הפיקוח ועוד.
הבסיס הארגוני והנוהלי לטיפול באבטחת מידע ברשויות המקומיות .
בחוק הגנת הפרטיות נקבע כי גוף ציבורי חייב למנות אדם בעל הכשרה מתאימה לתפקיד הממונה על אבטחת מידע שבמאגרים שלו (להלן - הממונה).
הוראה זו חלה גם על רשויות מקומיות, שכן הן רשויות ציבוריות על פי הגדרות החוק.
בבדיקת משרד מבקר מדינה התברר כי רק אחת משבע הרשויות שנבדקו - עיריית אשקלון - מינתה ממונה על אבטחת מידע, במאי 201113 , ועובד זה חסר הכשרה בנושא אבטחת מידע.
בעקבות הביקורת, בספטמבר 2011 , מונה בעיריית בני ברק ממונה על אבטחתמידע.
לדעת משרד מבקר המדינה, על הרשויות המקומיות שנבדקו למנות לאלתר ממונים על אבטחת מידע כמתחייב מחוק הגנת הפרטיות.
כמו כן על משרד הפנים ועל הרשות למשפט, טכנולוגיה ומידע לקדם בדיקה בנושא בכלל הרשויות המקומיות ופעולות אשר יבטיחו את מילוי הוראות הדין המחייבות.
בחוזר מיוחד של מנכ"ל משרד הפנים מספטמבר2001 העוסק ב"ממונה על שירותי חירום ובטחון ברשויות מקומיות" תוארה המשרה והוגדרו תפקידיו: ריכוז ועדות הביטחון של הרשות המקומית וועדת משק לשעת חירום (מל"ח) המקומית; ייצוג הרשות המקומית בנושאי חירום וביטחון כלפי מש רדי הממשלה, צה"ל, .
13 הממונה הקודם בעיריית אשקלון מונה בפברואר2009.
משטרת ישראל וגופים אחרים העוסקים בנושאי חירום וביטחון; קישור ותיאום בין הגופים העוסקים בביטחון ובין שירותי חירום ברשות המקומית; טיפול בכל הקשור בתרגול עובדי הרשות המקומית ובאימונם בנושאי חירום וביטחון; טיפול בהתנדבות לשעת חירום ועוד.
יש לציין כי בגופים ציבוריים כהגדרתם בחוק הגנת הפרטיות, נקבעה חובה למנות אחראי לאבטחת מערכות ממוחשבות חיוניות ולפיקוח עליהן.
החוק להסדרת הביטחון בגופים ציבוריים, התשנ"ח-1998 ,, הגם שאינו חל על רשויות מקומיות מטיל על גוף ציבורי את החובה למנות ממונה ביטחון, שיופקד על "פעולות אבטחה פיזית", לרבות שמירה על רכוש; על "פעולות לאבטחת מערכות ממוחשבות חיוניות"; ועל "פעולות לאבטחת מידע" לשם שמירה על מידע מסווג ומניעת פגיעה בו.
על משרד הפנים לבחון אם יש מקום להנהיג את ההסדר האמור שנקבע לגבי גופים ציבוריים בחוק להסדרת הביטחון , שלפיו קציני הביטחון מופקדים על פעולות לאבטחת מידע ומערכות מידע, גם ברשויות המקומיות.
מתשובת עיריית אשקלון למשרד מבקר המדינה מספטמבר 2011 עולה כי "באשקלון ממונה אבטחת מידע, אחראי לאבטחת מערכות המידע ובכלל זה בקרת גישה פיזית".
עיריית יהוד-מונוסון מסרה בתשו בתה מאוקטובר 2011 , כי פעולות האבטחה של מערכות מידע ממוחשבות וחיוניות הן בתחום אחריותו של מנהל המחשוב בעירייה.
אבטחת המידע ברשויות המקומיות הלכה למעשה .
: אבטחה לוגית מטרתה העיקרית של האבטחה הלוגית היא לאפשר גישה מבוקרת למערכות המידע וכן לאפשר בקרה על פעי לות המשתמשים.
האבטחה הלוגית מיושמת - באמצעות מגוון שיטות - במערכות הפעלה, במסדי נתונים, ביישומים, במערכות ייעודיות וכו'.
בסוג אבטחה זה נכללות כל פעולות אבטחת המידע המבוססות על תכנה לגילוי ולמניעה של חדירת תכנות זדוניות ומשתמשים בלתי מורשים למידע במחשבי הארגון באמצעות שימוש בשם משתמש ובססמה, מידור על ידי מתן הרשאות, תכנת אנטי וירוס, תכנת חומת אש וכו'.
בקרה לוגית היא ניטור ממוחשב שוטף של פעילות המערכות הממוחשבות תוך התמקדות באירועים חריגים או רגישים.
פיקוח לוגי הוא מעקב אחר פעילויות שנעשו במחשב.
מנהל יחידת המחשב יוודא כי יומן השימוש 14 (log .
) פועל כתקנו הממונה על אבטחת המידע יטפל באירועים חריגים באמצעות מערכת ה"לוגים"15 .
"בחוק הגנת הפרטיות נקבע כי "לא יפגע אדם בפרטיות של זולתו ללא הסכמתו עוד נקבע בחוק כי "לא יגלה אדם מידע שהגיע אליו בתוקף תפקידו כעובד, כמנהל, או כמחזיק של מאגר מידע אלא לצורך ביצוע עבודתו.
המפר הוראות סעיף זה, .
"יומן" המנוהל אוטומטית על ידי המחשב, ובו נרשמות הפעולות הנעשות במחשב 15 'ראו לעיל הערה מס10.
על פי חוק הגנת הפרטיות, האחריות לאבטחת מידע חלה על בעליו של מאגר המידע, על הגוף המחזיק במאגר או על מנהלו.
ברשויות המקומיות שנבדקו לא נעשה ניטור יזום של יומן השימוש של המחשבים, אף שבאמצעותו ניתן ללמוד על פריצות למאגר המידע, על חריגות או על שימוש במידע בידי גורמים בלתי מורשים.
ברשויות אלה לא ידוע על מקרים כאמור, ואולם בהיעדר ניטור יזום ושיטתי לא ניתן למנוע פעולות כאלה.
לדעת משרד מבקר המדינה, על הרשויות המקומיות לקיים פעולות בקרה בתחום אבטחת המידע והגנת הפרטיות ולנטרן, כדי לזהות מקרים שבהם גורמים בלתי מורשים מבצעים פעולות חריגות או מנסים לבצען.
תקן ישראלי 1495 של מכון התקנים הישראלי בנושא "אבטחת מערכות מידע ממוחשבות - שימוש בססמאות" קובע, בין השאר, את הדרישות לססמה שיש להזין בהתאם לרמת האבטחה.
דרישת המינימום היא ארבעה תווים לפחות.
בנוהל נדרש כי הססמה תכיל אותיות ומספרים ולא תכיל תווים עוקבים.
על פי נוהל המסגרת, שכאמור לא הוחל על הרשויות המקומיות, הממונה על אבטחת מידע נדרש לקבוע את הדרישות לניהול מערכת הססמאות, לפרסם דרישות אלה בקרב כלל המשתמשים, לפקח על אופן יישומן ולאכוף את חובת היישום.
יש לקבוע לכל משתמש שם משתמש וססמה אישית, ואין לשתף בססמאות.
הססמה תוחלף בכל שלושה חודשים ותכלול שישה תווים לכל הפחות, ובהם אותיות, ספרות וסימנים.
לכל אחד מהמשתמשים ייקבעו - עבור כל יישום - הרשאות ביצוע: עדכון, אחזור, תוספת או מחיקה.
אם עובד עוזב את תפקידו, מכל סיבה, מנהל היישום יקבל דיווח על כך ויבטל את הרשאותיו.
משרד מבקר המדינה העלה כי בחמש משבע הרשויות שנבדקו (רמת ישי, בני עי"ש, טירה, בני ברק ויהוד -מונוסון) לא נקבעו כללים מחייבים לאבטחה לוגית של המידע.
לדוגמה, נמצא כי הפסיכולוגים והמזכירה העובדים בשירות הפסיכולוגי בעיריית יהוד -מונוסון משתמשים בשם משתמש ובססמה זהים, וכך לא ניתן לדעת מי השתמש במחשב, מתי ובאילו קבצים טיפל.
בעיריית יקנעם עילית נמצא כי קצינת ביקור סדיר במחלקת החינוך מקלידה רק שלושה תווים בכניסתה למחשב.
רק בעיריית אשקלון נקבעו הנחיות לגבי הרשאות גישה למחשבים, ונקבע שיש צורך בהחלפת ססמאות, אך במחשב באגף הגבייה שמחובר לרשת המחשבים של העירייה נמצא כי ססמת הכניסה מורכבת מרצף של מספרים עוקבים וללא שילוב אותיות (בעניין זה ראו להלן).
בתשובתה מספטמבר 2011 מסרה עיריית אשקלון כי מחשב זה הוסר.
עיריית יהוד-מונוסון השיבה כי " מתבצעת אבטחה לוגית במגוון שיטות.
המנטרת את מצב הרשת וההתקנות בה.
]תכנה[ מופעלת בקרת אבטחה ע"י כל משתמש קיבל שם משתמש וסיסמא וכאשר יוחלט על מדיניות בנושא, תוגדר במערכת נוהל שינוי סיסמאות אוטו' כל תקופת זמן שתקבע.
מופעלת מערכת הרשאות המאפשרת לעובד לצפות רק בתיקיות המותאמות למחלקתו בלבד.
לכשתקבע מדיניות אבטחה יבוצעו הפעולות הנדרשות".
לדעת משרד מבקר המדינה, ראוי שעיריית יהוד -מונוסון תקבע בהקדם מדיניות אבטחת מידע שתכלול הפקת "לוגים" מהמערכת, וראוי שתמנה אחראי לבדיקתם ולניתוחם.
הביקורת העלתה כי בשום רשות מן הרשויות שנבדקו לא מתבצעת בקרה לוגית של פעילות המערכות הממוחשבות, ולכן אי-אפשר לברר אם אירעו אירועים חריגים; וכאמור, אין בהן ממונה על אבטחת מידע בעל הכשרה מתאימה שאמור לטפל באירועים חריגים המנוטרים באמצעות מערכת ה"לוגים".
לדעת משרד מבקר המדינה, בנוהל שיגובש יש לכלול את ההוראות בדבר הסדרת האבטחה הלוגית והבקרה הלוגית.
על בסיס נוהל כולל זה יכינו הממונים על אבטחת מידע ברשויות המקומיות כללים מפורטים לניהול מערכת הססמאות, ואלה יחייבו את כלל המשתמשים.
כמו כן ראוי שייקבעו וייושמו כללי בקרה לוגית, יוגדרו האירועים החריגים וינוטרו הלוגים.
מן הראוי שכללים אלה יפורסמו ויתבצע פיקוח על יישומם.
סקרי סיכונים ומבחני חדירה 16: כדי להעריך את הסיכונים למידע ואת הנזקים שהם עלולים לגרום למערכי המידע והמחשוב וכדי להיערך לקראתם, יש לקיים הליך לניהול הסיכונים.
הליך זה כולל סקר שמטרתו לאתר את הסיכונים הנשקפים לארגון, להעריך את חומרתם ולאפשר קבלת החלטה מבוססת בעניין הטיפול בהם.
במחזור חיים של פרויקט יש לכלול סקר של סיכונים הנשקפים למערכות המידע בארגון והגדרה או עדכון של מדיניות אבטחת המידע בארגון כבר בשלב אפיון המערכת.
נושאים חשובים אחרים באפיון הם היבטי חוק ומ ינהל בתחום אבטחת המידע; סקירה ומיפוי של אמצעי האבטחה הקיימים בארגון ; סקירת כלים לאבטחת מידע הנמצאים בשוק ואפיון פעולות הבקרה הארגוניות והטכניות הנדרשות 17.
משרד מבקר המדינה העלה כי הרשויות המקומיות שנבדקו לא ביצעו מעולם סקרי סיכונים ומבחני חדירה.
לדעת משרד מבקר המדינה, על כל רשות מקומית לקבוע במסמך מדיניות אבטחת המידע שלה הוראות אשר יבטיחו כי יתבצע ניהול סיכונים על כל מרכיביו.
: אבטחת חמרה את המחשבים ואת כל הציוד ההיקפי של הרשות המקומית יש לאבטח אבטחה פיזית.
תקן ישראלי 1243 של מכון התקנים הישראלי "בטיחות אש של מחשבים וציוד היקפי" קובע בין השאר את העקרונות האלה: רצפת חדר המחשב18 תנוקז גם כשהציוד מוצב במישרין על הרצפה; בכניסה לחדר .
16 ( מבחני חדירה Penetration Tests ) בוחנים את פוטנציאל הנזק העלול להיגרם לאתרי האינטרנט ולמערכות המידע ברשת הפנימית.
מבוסס על נוהל מפת"ח 18 חדר מחשב הוא מבנה המכיל ציודשיש לשמרו ב תנאים ייחודיים שאינם קיימים בסביבת עבודה משרדית (נוהל מפת"ח).
המחשב תותקן דלת אש תקנית19 בעלת עמידות אש של30 דקות לפחות; קירות חדר המחשב יהיו בנויים ללא פתחים; לא יאוחסנו בחדר המחשב חומרים דליקים, כגון קרטון.
משרד מבקר המדינה העלה כי רק אחת הרשויות המקומיות שנבדקו - עיריית יקנעם עילית - עומדת בדרישות התקן.
בכל שאר הרשויות שנבדקו אין ניקוז לרצפה או "רצפה צפה" 20 או לא מותקנת דלת אש תקנית בכניסה לחדר המחשב.
בעיריית אשקלון נמצא כי חדר המחשב משמש גם מחסן - הוא מכיל ארגזי קרטון רבים, ויש בו חלון גדול.
גם ברשויות בני עי "ש ויהוד -מונוסון יש בחדר המחשב חלון חיצוני.
ברשויות ט ירה ורמת ישי אין חדר מחשב.
לדעת משרד מבקר המדינה, ראוי שמשרד הפנים יכלול בהנחיות שיגבש עם הרשות למשפט, טכנולוגיה ומידע שבמשרד המשפטים גם הנחיות בנושא סיכוני האש והמים בחדרי המחשבים, בהתאם להוראות התקן שקבע מכון התקנים הישראלי, ויאכוף אותן.
כמו כן, ראוי שהר שויות המקומיות שנבדקו יתקנו את המצב ויעמדו בדרישות התקן בכל הנוגע לחדרי מחשב.
: רישום מאגרי מידע אצל רשם מאגרי המידע חוק הגנת הפרטיות קובע שכל מאגר מידע המקיים את אחד מתנאי חוק זה חייב ברישום אצל רשם מאגרי המידע ברשות למשפט, טכנולוגיה ומידע21.
כמו כן נקבעה בחוק זה חובת תשלום אגרה תקופתית בגין מאגר מידע הרשום בפנקס.
עקב אי-תשלום אגרה, הרשם רשאי להתלות את תוקפו של הרישום לתקופה שיקבע או לבטל את רישומו של מאגר המידע בפנקס, בכפוף למתן זכות טיעון.
מאגרי המידע של רשויות מקומיות שנדרש לרשמם כוללים, בין השאר, מאגרי מידע בתחומי השירות הפסיכולוגי החינוכי, הרווחה והארנונה.
משרד מבקר המדינה העלה כי הרשויות המקומיות בני עי"ש ורמת ישי לא רשמו מעולם את מאגרי המידע שלהן.
הרשויות המקומיות יהוד-מונוסון, טירה ויקנעם עילית לא שילמו אגרות תקופתיות יותר משלוש שנים, ועקב כך נמחק רישום מאגריהן.
רק מאגרי המידע של עיריות אשקלון ובני ברק היו רשומים ברשות למשפט, טכנולוגיה ומידע, כנדרש בחוק.
על הרשויות המקומיות בני עי "ש, רמת ישי, טירה, יקנעם עילית ויהוד - מונוסון להקפיד לרשום ולנהל את כל מאגרי המידע שברשותן כנדרש בחוק.
אבטחת מידע ב מחשבים מנותקי רשת: נוסף על המחשבים המחוברים לרשת, מחזיקות הרשויות המקומיות במחשבים אישיים, במחשבים .
19 דלת אש כהגדרתה בסעיף3.
1 לתקנות התכנון והבניה (בקשה להיתר, תנאיו ואגרות), התש"ל-1970.
20 רצפה מוגבהת המשמשת למעבר של כבלים, מערכות תקשורת, אוויר ממוזג, אספקת חשמל וצנרת כיבוי אש.
(ג) לחוק הגנת הפרטיות 1526 דוח שנתי62 .
ניידים, במחשבי כף יד, בטלפונים סלולריים חכמים וכו' (להלן- מחשבים מנותקי רשת); במקצתם נעשה שימוש בהתקני אחסון ניידים לסוגיהם.
מחשבי כף יד, טלפונים סלולריים ודומיהם מאפשרים סנכרון של יומן, ספר כתובות, רשימות ומחשבונים במכשיר קטן ונישא, לעומת יישומי מחשב כמו Outlook .
ניתן לחבר מכשירים אלה למחשבים אחרים כמודם ולגלוש באמצעותם באינטרנט.
בנוהל המסגרת נכתב כי לנוכח גודלו הפיזי של מחשב כף היד ולנוכח יכולתו "להתממשק" עם כל מחשב אישי ולהעביר קבצים ונתונים באופן דו-כיווני, נשקף סיכון ממשי לגנבת מידע ולהעברתו לידי גורמים בלתי מורשים.
לכן חובה לאבטח את השימוש במחשבים אלה: יש להתקין בהם תכנה ייעודית שתדרוש ססמה בכל פעם שמפעילים אותם.
עוד עולה מנוהל המסגרת כי התקן אחסון נייד ( disk-on-key ) מכל סוג שיאבד או ייגנב, יש סבירות גבוהה שייחשפו הנתונים המוזנים בו.
לנוכח האמור לעיל, יש לנהוג בהתקן אחסון נייד כבכל דיסק קבוע אחר: יש לנהל רישום מסודר של מלאי ההתקנים הניידים, ובעת מסירתם לתיקון, למחיקה או להשמדה יש לוודא כי הספק הוא "ספק מורשה" אשר חתום על הסכם שמירת הסודיות.
לגבי מחשבים מנותקי רשת, דיסקים נתיקים לסוגיהם והתקנים אחרים, יש לקבוע כללי אבטחה ומתכונת לגיבויָם.
ברשויות המקומיות שנבדקו לא נקבעו כללים לאבטחת המידע במחשבים מנותקי הרשת ובאמצעים הנתיקים האחרים שנעשה שימוש בהם, למעט בעיריית אשקלון - זו הוציאה נוהל לאבטחת המחשבים הניידים שבבעלותה.
יצוין כי בינואר 2011 נגנב מאחד הפסיכולוגים בעיריית בני ברק מחשב נייד פרטי ובו מידע רגיש על מטופליו.
לדעת משרד מבקר המדינה, על הרשויות המקומיות לקבוע נהלים לאבטחת המידע ולהגנת הפרטיות למחשבים מנותקי רשת; לרבות מחשבי כף יד וכוננים נתיקים, ובכלל זה יש לקבוע את דרכי ההגנה על המידע הנאגר במחשבים אלה, כדי לצמצם את הסיכון שבגנבת הציוד - חשיפת המידע השמור בו ונגישות לרשת המשרד.
: תקצוב אבטחת מידע כל פעולה תקציבית ברשות המקומית משויכת לתקציב ייעודי.
על פי נוהל המסגרת שיעורו של תקציב פעילות האבטחה של מערכי מידע קיימים צריך להיות לפחות 5% מהתקציב השנתי לרכישת חמרה, תכנה ותשתיות, להעסקת יועצים ולביצוע סקרים.
הביקורת העלתה כי ברשויות המקומיות שנבדקו לא נקבעו תקציבים ייעודיים לאבטחת מידע, למעט בעיריית אשקלון.
עירייה זו קבעה לאבטחת המידע תקציב נפרד מתקציב מערכות המידע.
לדעת משרד מבקר המדינה, ראוי כי הרשויות המקומיות יתקצבו את אבטחת המידע בסעיף תקציב ייעודי בגלל הסיכונים לדליפת מידע או לשאיבת מידע על ידי גורמים שאינם מורשים לכך.
תכנית שיקום מאסון ותכנית המשכיות עסקית: תכנית שיקום מאסון (DRP ) ותכנית המשכיות עסקית( BCP ) הן תכניות פעולה לשעת השלטון המקומי 1527 .
חירום (אסון) שמכין ארגון כדי שבִּקְרות אסון שיביא לקריסת המערכות יפעלו מערכות המידע הקריטיות שלו במהירות וביעילות ופעילותו תימשך.
רשויות מקומיות שיש בהן מערכות מחשוב להפעלת רמזורים, לניהול מכוני מים וביוב או לשליטה בתאורת הרחובות נדרשות לספק שירותים אלה גם בשעת חירום.
ברשויות המקומיות שנבדקו אין תכניות שיקום מאסון ותכניות להמשכיות עסקית, פרט לעיריית אשקלון.
עירייה זו הכינה תכנית שיקום מאסון והמשכיות עסקית, אולם במועד סיום הביקורת טרם סיימה את הפעלתה.
לדעת משרד מבקר המדינה, ראוי כי הרשויות המקומיות ייערכו למצבי חירום בעזרת תכניות כאלה.
הטיפול ברשומות "מידע רגיש" ברשויות המקומיות .
: פרסום נהלים והנחיות על הרשויות המקומיות לאבטח את המידע שלהן המאוחסן ברשומות מכל הסוגים.
בתקנות הגנת הפרטיות 22 נקבע כילכל מאגר המכיל מידע מוגבל יהיה קובץ נהלים , ובו יפורטו האמצעים לאבטחתו ולבקרת הטיפול הפיזי באמצעי האחסון שלו.
על פי נוהל המסגרת, הממונה על אבטחת המידע יקיים פעילויות בקרה וביקורת שנתיות כדי לבחון את אבטחת הרשומות ויעביר את ממצאי ו לידיעת הממונה הישיר.
כל עובד בארגון נושא באחריות אישית לאבטחת הרשומות שברשותו; אחריות כוללת לאבטחת רשומות רגישות מוטלת על ה מנהל הכללי.
רשומות רגישות יישמרו בארון נעול בחדר שדלתו נעולה כאשר אין בו עובד; חלונותיו יהיו נעולים בכל עת שבה אין פעילות במשרד; יש לשמור על המסמכים או התיקים בגובה של 30 ס"מ לפחות מעל הרצפה; הוצאת רשומה מחוץ לכותלי הגוף הציבורי שלא למטרת תפוצה ומשלוח טעונה אישור מראש של הממונים.
הביקורת העלתה כי ברשויות המקומיות שנבדקו, פרט לעיריית אשקלון, אין הוראות ונהלים תקפים ומחייבים לאבטחת מיד ע פיזי: רשומות מכל הסוגים23.
לדעת משרד מבקר המדינה, ראוי כי משרד הפנים יקבע עם הרשות למשפט, טכנולוגיה ומידע הנחיות לאבטחת מידע פיזי (רשומות) ויעגנן בנוהל מחייב, וכי הרשויות המקומיות יכינו נהלים פרטניים בהתאם לכך.
: מחלקות הגבייה מחלקות הגבייה ברשויות המקומיות עוסקות בגביית כספים - ארנונה, אגרות מים, אגרות שילוט, היטלי פיתוח ועוד.
הרשויות המקומיות רשאיות להעניק הנחות בארנונה לעומדים בתנאים שנקבעו בתקנות ההסדרים במשק המדינה (הנחה מארנונה) התשנ"ג-1993 .
, למשל לבעלי צרכים מיוחדים כדי לקבל הנחה זו על מבקשה להציג לרשות המקומית מסמכים מהמוסד לביטוח .
23 רשומות על גביאמצעים מגנטיים, אופטיים או על גבי ניירת .
לאומי המעידים על נכותו.
מסמכים אלה מכילים מידע רגיש לפי חוק הגנת הפרטיות.
משרד מבקר המדינה בדק את אופן אבטחת המידע והגנת הפרטיות ביחידות הגבייה בשש רשויות מקומיות (טירה, אשקלון, בני ברק, יקנעם עילית, בני עי"ש ורמת ישי), ובבדיקתו הועלו ליקויים בנושאים אלה.
להלן דוגמאות: תיקים עם מידע על תשלומי התושבים ועל חובותיהם לרשות המקומית וכן בקשות ואישורים למיניהם נמצאו מאוחסנים בכונניות פתוחות במשרדי המחלקה; ארגזי קרטון ובהם מידע כזה נמצאו ללא השגחה במסדרון שבו עוברים מי שאינם מורשי גישה אליו; בחדרי העובדים שבהם מתקיימת קבלת קהל נמצאו ארונות שאי-אפשר לנעול אותם ובהם תיקים עם פרטים אישיים; נמצאו ארונות ללא מנעולים, והמידע המאוחסן בהם נגיש לכל מי שנמצא בחדר; תיקים של מחזיקים בנכסים, הכוללים דוחות מהביטוח הלאומי על מצב בריאותם, על הוראות קבע ועל בקשות להנחות - נשמרים בכונניות ללא דלתות וללא מנעולים; בעיריית אשקלון נמצאה עמדת מחשב המחוברת לרשת העירייה שהייתה נגישה לכול, בייחוד משום שהיה אפשר להפעיל את המחשב ולעיין בכל מאגרי המידע המוזנים בו בהקשה של ססמה פשוטה (רצף מספרים עולה) שאינה עומדת בדרישות התקן.
משרד מבקר המדינה העיר לרשויות המקומיות שנבדקו כי אחסון מידע אישי הנוגע לבריאותם של התושבים או למצבם הכלכלי או האישי בארונות פתוחים, בכונניות ובמגירות שאינן ניתנות לנעילה - אחסון כזה אינו עומד בדרישות הבסיסיות להגנה על מידע רגיש הנוגע לתו שבים.
הצבת מחשב המחובר לרשת העירייה בכניסה לאגף ההכנסות בעיריית אשקלון ללא השגחה יכולה לאפשר למי שאינם מורשים לכך להשתמש במחשבי העירייה, לשאוב מהם מידע, לגרום נזק למידע האגור בהם ולפגוע בפרטיות התושבים.
לדעת משרד מבקר המדינה, ראוי שהרשויות המקומיות שנבדקו ינקטו לאלתר צעדים לאבטחת הרשומות האישיות ומערכות המידע המכילות מידע אישי.
: השירות הפסיכולוגי החינוכי בקוד האתיקה המקצועית של הפסיכולוגים בישראל משנת 2004 נקבע כי ה"פסיכולוגים ישמרו על סודיות ראויה בכתיבה, באחסון, בגישה, בהעברה ובשימוש ברישומים שבאחריותם, בין אם הם כתובים, בין אם הם מוקלטים ובין אם הם נמצאים בכל צורה אחרת".
משרד מבקר המדינה בדק את השירות הפסיכולוגי בשבע הרשויות המקומיות ומצא ליקויים בשש מהן; רק בשירות הפסיכולוגי בעיריית אשקלון לא נ מצאו ליקויים.
אלה הליקויים שהועלו ביתר הרשויות המקומיות שנבדקו: נמצאו חלונות ללא סורגים; תיקים אישיים המכילים מידע רגיש, לרבות אבחונים ודוחות על מצבם הרגשי של מטופלים נמצאו בכוננית פתוחה ובארונית נטולת מנעול; נמצא מחשב פועל ללא השגחה ובו קבצים הכוללים מידע רגיש על המטופלים; פסיכולוגים מקלידים דוחות על מטופליהם במחשבים שבבתיהם; כאמור בינואר 2011 נגנב מחשב נייד פרטי של פסיכולוג ובו מידע רגיש על מטופליו.
עוד נמצא ביחידות של השירות הפסיכולוגי ברשויות שנבדקו: מחשב המכיל חומר רגיש אינו מוגן בשם משתמש ובססמה, ולכן גם גורמים בלתי מורשים יכולים להגיע בקלות אל הדוחות הרגישים.
המחשב מחובר לאינטרנט ללא אמצעי הגנה כך שהוא נתון לסכנת פריצה מרחוק ושליפת המידע המאוחסן בו; נמצא פתק שהוצמד לאחד המחשבים, ועליו נכתבו שם משתמש וססמה לתיבת הדואר האלקטרוני, דבר שיכול לאפשר לגורמים בלתי מורשים גישה למחשב ושאיבת מידע רגיש ממנו; במזכירות נמצא אלפון פתוח ובו פרטים אישיים של מטופלים: שמות ההורים, מספרי תעודות הזהות, דרכי התקשרות וכו'; למזכירת השירות הפסיכולוגי ידועים שם המשתמש והססמה של מנהלת השירות; בשירות פסיכולוגי מסוים באחת הרשויות כל ששת הפסיכולוגים משתמשים בשם משתמש ובססמה זהים.
משרד מבקר המדינה מעיר כי בגין השימוש של כל ששת הפסיכולוגים בשם משתמש ובססמה אחידים אי -אפשר כלל לעקוב אחר המשתמש האמִתי במחשב, ואבטחת המידע של הארגון נפגעת.
עוד מעיר משרד מבקר המדינה, כי מאחר שהפעלתן של יחידות השירות הפסיכולוגי החינוכי נמצאת באחריות הרשויות המקומיות, על הרשויות להנחות אותן בכל הנוגע לאבטחת מידע ולהגנת הפרטיות.
כמו כן על הרשויות לפעול להטמעת הנהלים וההנחיות האמורים בקרב כל מאות העובדים בשירותים הפסיכולוגיים החינוכיים ולקיים בקרה שוטפת אשר תבטיח את יישומם של הנהלים וההנחיות.
עיריית יהוד-מונוסון מסרה בתגובתה על ממצאי הביקורת מאוקטובר 2011 כי "כיום, השירות הפסיכולוגי עבר לבניין מאובטח, חומרים אישיים הועברו לארכיב נעול ולכל פסיכולוג כיום קיים מחשב עם שם משתמש וסיסמא משלו".
אגפי החינוך ובתי הספר .
משרד מבקר המדינה בדק את סוגיית אבטחת המידע והגנת הפרטיות באגפי החינוך בשתי רשויות מקומיות ובתשעה בתי ספר בשלוש רשויות ומצא את הליקויים האלה: באגף החינוך של עיריית יקנעם עילית נמצא כי בחלק מהארונות ומהמגירות המכילים מידע רגיש אין מנעולים, ואלה שאפשר לנעול אותם - אינם נעולים; בחדר הדואר של המחלקה נמצאה כוננית דואר פתוחה שאינה ניתנת לנעילה, ובה בין השאר דוח על נפגעי תאונת דרכים.
גם כוננית הדואר של מזכירות המחלקה - המכילה בין השאר מידע על תלמידים ואת פרטיהם האישים - פתוחה לכל באי החדר, ואי -אפשר לנעול אותה.
המ חלקה נמצאת בקומת הקרקע של מבנה העירייה, וכל חלונותיה אינם מסורגים.
באגף החינוך של עיריית אשקלון נמצאו קלסרים המכילים, בין השאר, מידע על סייעות ודוחות שכר בארונות שאין בהם דלתות כלל; נמצאו תלושי שכר של צוות בית הספר ודוחות על תלמידים בחלק מתאי הדואר של בתי הספר באגף החינוך 1530 דוח שנתי62 .
שאין להם מנעול; נמצא מידע אישי על עובדי המחלקה בארוניות לא נעולות המכילות תיקיות, חלקן בעלות מנעולים אך לא נעולות וחלקן ללא מנעולים כלל; בארגזי קרטון נמצאו דוחות על מצב בריאותם של תלמידים המתגוררים מחוץ לרשות והזקוקים להסעות לבית ספר; במחלקת הנוער נמצא מידע על תלמידים בקלסרים המאוחסנים בארונות ללא מנעול.
משרד מבקר המדינה מעיר כי על הרשויות המקומיות להנחות את מחלקות החינוך בדבר אבטחת רשומות פיזיות ולוודא כי ההנחיות מולאו.
יש לראות בחומרה את העובדה שמידע רגיש, כגון דוחות על מצב בריאות, אינו נשמר נעול.
ראוי שהרשויות המקומיות יקבעו את הנחיותיהן על בסיס נוהל המסגרת.
חוזר מנכ"ל משרד החינוך מנובמבר2009 "מאגרי מידע בבתי ספר- רישום, דיווח ואבטחת מידע" (להלן - חוזר מנכ"ל משרד החינוך) כולל הנחיות מפורטות ומקיפות בעניין אבטחת מידע, ועל בתי הספר לק יים הנחיות אלה.
נקבעו בו הנחיות בדבר אבטחה פיזית של מידע השמור במחשבים ובעותקים מודפסים.
באתר האינטרנט של מינהלת יישומי מנב"ס24 של משרד החינוך פורסמה נורמה מחייבת בנושא אבטחת מידע; נורמה זו כוללת הוראות בדבר אבטחה פיזית וסימון של סוגי מדיה מגנטית וחומר מודפס: "דיסקטים וחומר מודפס המכילים מידע על הפרט יאוחסנו בכספת או בארון מתכת נעול.
על כל דיסקט או אמצעי אחר לאחסון מידע, המכיל מידע על הפרט ירשם: 'מידע מוגן לפי חוק הגנת הפרטיות'.
תדפיסי מחשב המכילים מידע על הפרט יכילו כתובת בולטת לעין בכל עמוד בנוסח: 'מכיל מידע מוגן לפי חוק הגנת הפרטיות; המוסרו שלא כדין עובר עבירה'".
הנחיות משרד החינוך לאבטחת מידע נוגעות רק למאגרי מידע ולפלטי מחשב, אך לא לאבטחה פיזית של רשומות נייר, כגון מזכרים, תרשומות ודוחות שנוצרו בכתב יד, גם אם אלה מכילים מידע רגיש.
בתשובתו מאוקטובר 2011 ,השיב משרד החינוך, כי הוראות חוק הגנת הפרטיות התשמ"א-1981 , אינן חלות על מידע או על מאגרי מידע שאינם ממוחשבים, דוגמת רשומות נייר שנוצרו בכתב יד, ולכן מתוקף הוראות פרק ב' לחוק הגנת הפרטיות פרסם משרד החינוך הנחיות בעניין אבטחת מידע במאגרי מידע ושל פלטי מחשב ממאגרי מידע, אולם לא בכל הנוגע לרשומות שנוצרו בכתב יד.
(א) משרד מבקר המדינה בדק את אופן יישומו של חוזר מנכ"ל משרד החינוך בתשעה בתי ספר ברשויות יהוד-מונוסון, יקנעם עילית ואשקלון.
מחוזר המנכ"ל עולה, בין השאר, כי על בתי הספר לרשום ברשות למשפט, טכנולוגיה ומידע שבמשרד המשפטים באמצעות משרד החינוך את כל מאגרי המידע שברשותם, לרבות מאגרי מידע מקומיים; מנהל בית הספר נושא באחריות לדווח למשרד החינוך על מאגרי המידע שבבית ספרו; ושימוש במאגר מידע שלא נרשם אסור על פי חוק ועלול להיחשב עברה פלילית.
מערכת ניהול בית ספר השלטון המקומי 1531 .
משרד מבקר המדינה העלה כי משרד החינוך רשם רק חלק ממאגרי המידע של בתי הספר שנבדקו ברשות למשפט, טכנולוגיה ומידע, אף שהיה עליו לרשום את כולם.
לפי חוזר מנכ"ל משרד החינוך, על בית הספר לדווח למשרד החינוך בכל שנה עד נובמבר על מצבת מאגרי המידע של בית הספר.
משרד מבקר המדינה העלה כי תש עת בתי הספר שנבדקו לא מסרו למשרד החינוך דיווח עד המועד שנקבע.
במרץ 2009 החליט רשם מאגרי המידע ברשות למשפט, טכנולוגיה ומידע כי משרד החינוך אחראי למיפוי כל המאגרים בבתי הספר, ועליו להעביר את המידע במרוכז לרשם מאגרי המידע.
במועד סיום הביקורת ביולי 2011 עדיין לא סיים משרד החינוך את תהליך המיפוי של כלל מאגרי המידע של בתי הספר.
בתשובתו מאוקטובר 2011 ,השיב משרד החינוך, כי התחייב בפני הרשות למשפט טכנולוגיה ומידע למפות את כלל מאגרי המידע אשר בבעלותו, אך מכיוון שהתבקש להעביר את הדיווחים בפורמט אלקטרוני ולא בדיווחים ידניים, הוא נאלץ לפתח מערכת, ופיתוחה הסתיים לפני כחצי שנה.
בשנת הלימודים התשע"א נאסף דיווח מכ-3,200 בתי ספר, ופעולת המיפוי חודשה בשנת הלימודים התשע"ב.
עוד הוסיף כי הסתיים פיתוח הממשק לייצוא הנתונים ולהעברתם לרשות למשפט, טכנולוגיה ומידע, ועתה הוא נבדק בדיקות סופיות.
עם סיומן ואישור הממשק יחל משרד החינוך בהעברת המידע.
(ב) לפי סעיף 17 ב לחוק הגנת הפרטיות, על משרד החינוך למנות בעלי תפקידים שיהיו אחראים להגנת הפרטיות ולאבטחת המידע במאגר המידע של מערכת המנב"ס ובמאגרי המידע המנוהלים בבתי הספר על כל היבטיהם.
לנוכח זאת דרשה הרשות למשפט, טכנולוגיה ומידע שבמשרד המשפטים ממשרד החינוך במרץ 2009 .
למנותם משרד החינוך השיב באוקטובר 2011 כי על פי חוזר מנכ"ל שהוציא בנושא הרישום, הדיווח ואבטחת המידע, כל מנהל בית ספר מונה למנהל מאגרי המידע שבבית ספרו ולממונה על אבטחת המידע במאגרים אלה ועל יישום הוראות החוזר.
הוא הוסיף כי דיווח בכתב למנהלים כי הם משמשים מנהלי מאגרי המידע לצורך הוראות חוק הגנת הפרטיות, וכי מינהל תקשוב ומערכות מידע במשרד החינוך מפקח על יישום הנוהל ומסייע ביישומו.
בעקבות תשובת משרד החינוך עשה משרד מבקר המדינה בירורים עם חלק ממנהלי בתי הספר שנבדקו.
בדיקתו העלתה כי אף שבחוזר מנכ"ל משרד החינוך נקבע כי מנהל בית הספר הוא הממונה על אבטחת המידע במאגרים שבבית ספרו, ואף שחלקם אף חתמו על הצהרה כזו, הם אינם מודעים לתפקיד המוטל עליהם ולא קיבלו הדרכה בנושא.
עוד נמצא כי מינהל תקשוב ומערכות מידע במשרד החינוך אינו מפקח על יישום הנוהל בבתי הספר ואינו אוכף אותו.