HeTree/MevakerConcSen huggingface dataset:
עוד נקבע בהנחיה זו, כי יש לבצע הפרדה ברורה בין מידע הנועד .
לשימוש ע"י צד המשתמש (לקוח - Client ) למידע שנועד לשימוש ע"יצד השרת ( Server.
יש לאכוף דרישת הזדהות בכל העמודים והמשאבים של היישום, מלבד אלו אשר נועדו להיחשף.
בביקורת עלה כי לעובדים מסוימים במרב"ד, שעל פי מהות תפקידם נזקקים להרשאות .
גישה לסביבה ז' וה' של מערכת ד': ניתנו הרשאות גישה גם לסביבה ו' הנמצאת ברשת .
הרחבת ההרשאות באופן שהן יוחלו על סביבה ו' מקנה לעובדים אלו גישה למערכת .
ד', ובכלל זה ל בסיס הנתונים שלה.
עוד עלה כי אין בקרה מסוימת על גישת אותם עובדים .
יצוין כי גם ממצאי סקר הסיכונים רשת ג' שביצעה החבר ה החיצונית ביוני 2021 .
הצביעו עלהרשאות יתר לאותם עובדים , שבגינן מתאפשרת להם גישה חופשית לשרתים.
במסגרת בדיקה מיוחדת שביצע משרד מבקר המדינה במערכת ד' עלה שההתקנה של .
צד המשתמש (לקוח - Client ) וצד השרת ( Server) ושבדיקת הרשאות אינן כנדרש בהנחיות .
כדי לבחון את מערך ההרשאות בפועל, ניתח צוות הביקורת את רשימת המשתמשים כפי .
שמופיעים במערכת ניהול המשתמשים (ב- Active Directory , להלן- רשימת משתמשים ב-AD ) .
2019 , תאריך עדכון 24.
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד שיש להם הרשאות גישה למערכת ד'41 , וגם את הרשימה המתעדת את מועד הפעולה האחרונה .
שנרשמה לכל אחד מהם במערכת ד' (להלן - רשימת תיעוד פעולה אחרונה במערכת ד').
פירוט של הממצאים שהועלו: .
• שדה ה - Name ברשימת המשתמשים ב -AD של אחת המשתמשות (עובדת פעילה .
במרב"ד) אינו הזיהוי שנדרש אלא זיהוי אחר .
• שישה מתוך שמונה משתמשים ברשימת המשתמשים ב - AD , שתפקידם הוגדר .
במערכת ד' לתפקיד מסוים, קיבלו הרשאות החורגות מתפקידם.
בתגובתו מסר המשרד, שהגדרת התפקיד כאמור מאפשרת לתת לאותו עובד הרשאות רחבות.
הרחבה כזו נדרשת כדי לנהל את ההרשאות של העובדים בתפקידים בדרגים נמוכים שלהם .
משרד מבקר המדינה ממליץ למשרד החינוך לשקול לשנות את שיטת הקצאת ההרשאות, .
באופן שכל משתמש יקבל גישה לסביבת המחשוב שלה הוא נדרש לצורך מילוי תפקידו .
בלבד, וכך לשמור על עקרון "הצורך לדעת".
לחלופין, מומלץ שהמשרד ככלל ימנע .
מעובדים מסוימים גישה לסביבה ו', זאת על מנת שלא לאפשר שינויים שלא בסביבה ז' .
וחשיפ ה למידע שעובדים אלו אינם נדרשים לו.
• ברשימה שבה מתועדות הפעולות האחרונות במערכת ד' נמצאו שלושה משתמשים .
שהגדרת תפקידם הייתה "תלמיד", ואולם במערכת לא הוגדר תפקיד כזה; עלה שהם .
הוגדרו לצורך ביצוע בדיקות אך בפועל הם אינם נכללים ברשימות ה-AD .
• נמצא כי שני משתמשים שנכללו ברשימה המתעדת את הפעולה האחרונה במערכת .
ד' לא נכללו ברשימת המשתמשים ב-AD, וכי הפעולה האחרונה של אחד מהם הוא .
משנת 2011 ושל השני- משנת 2016 .
הבדיקה העלתה כי אין מדובר במשתמשים בעלי .
• נמצא כי זיהוי מסוים של אחד המשתמשים, ששמו נכלל ברשימה המתעדת פעולה .
אחרונה במערכת ד', הופיע ללא ערך (NULL ).
עלה כי לחברה החיצונית אין יכולת .
להתחקות על הסיבה לכך.
• ברשימה המתעדת את הפעולה אחרונה במערכת ד' נמצאו 18 משתמשים42 שתפקידם .
הוגדר כ"סגן מנהל אגף ומנהל מחלקת נבחנים".
עלה שאין מדובר במשתמשים בעלי .
זהות אמיתית, וכי הם נרשמו במערכת לצורך שימוש בה בעת התכנסות ועדות ערעורים .
מהממצאים עולים ליקויים בכל הנוגע לניהול מערך הרשאות המשתמשים: מתן הרשאות .
החורגות מהנדרש לתפקיד ושלא על פי עקרון "הצורך לדעת".
זיהוי שלעיתים אינו חד- .
ערכי של משתמשים ומקרים שבהם עלה חוסר פירוט של הפעילות שבוצעה .
41 מספר המשתמשים משתנה מעת לעת וביולי2021 עמד על למעלה מ - 5,300 .
42 מספר הזיהוי שלהם מתחיל ב- 55555.
| 305 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
על משרד החינוך לפעול להבטיח כי חברות המפעילות את מערך המרב"ד עבורו י קפידו .
לפעול על פי עקרון "הצורך לדעת" ולצמצם את הגישה למידע בהתאם לפרטי מידע .
הדרושים למשתמש לצורך ביצוע עבודתו בלבד.
בכלל זה מומלץ למשרד לדרוש לבטל .
את גישת עובדים מסוימים לסביבה ו' שלא לצורך, לוודא כי כל ההרשאות שניתנו הן .
לבעלי זהות אמיתית ולממש יכולת ניטור והתרעה אפקטיביות, בסמוך ככל הניתן לזמן .
אמת, על ביצוע פעולות לא מורשות במערכת בסביבה ו'.
עוד מומלץ, לבצע התקנה של .
צד המשתמש (לקוח - Client )וצד השרת ( Server ,) ולבדוק הרשאות גישה לכל עמוד ומסך .
במערכת כנדרש בהנחיות יה"ב.
אבטחת ציוד המחשוב בתחנות הקליטה: כאמור, בסוף כל יום בחינה מעביר כל בית ספר .
את מחברות הבחינה שלו לתחנות הקליטה, ובתחנת הקליטה מ תבצעת ספיר ה לצורך בדיקת .
התקינות ו השלמות של מחברות הבחינה והחומר הנלווה ונעשית, בין השאר, קליטה ראשונית .
של מחברות הבחינה למערכת ד' באמצעות התחברות מרחוק למערכת ד' וסריקת הברקוד ש ל .
כל מחברת ישירות למערכת.
בכל תחנת קליטה מותקנת מערכת הגנה פיזית הכוללת אזעקות ומצלמות , המאובטחת .
באמצעות מערכת הגנה מסוימת ייעודית; מערכת ההגנה הפיזית מקושרת למערכת מחשוב .
החיבור למערכת ד' מבוצע ממחשב בתחנת הקליטה שהחברה החיצונית מנהלת, .
בתקשורת אינטרנטית ייעודית לרשת ג ' העוברת דרך רכיב תקשורת43 שמנהלת חברה חיצונית .
עלו פערים בתחנות קליטה מסוימות הנוגעים להיבטי אבטחה, בקרה וניטור .
משרד מבקר המדינה ממליץ למשרד החינוך לשקול לדרוש מהחברות המפעילות את .
מערך המרב"ד עבורו להטמיע את מערכות ההגנה הבקרה והניטור החסרות גם לגבי ציוד .
המחשוב שבתחנת הקליטה.
העברת קובצי מידע למערכת ד' וממנה - הצפנה והלבנה של הקבצים: מערכת אנטי- .
וירוס היא אחד הכלים הבסיסיים המשמשים להגנה על מערכות מחשוב ועל מאגרי מידע; .
באמצעותה נסרקים קבצים קודם לכניסתם לרשת או להעלאתם למערכת כדי לוודא שאין בהם .
תקנות הגנת הפרטיות אבטחת מידע קובעות, בעניין אבטחת התקשורת, כי בעל המאגר לא .
יחבר את מערכות המאגר למרשתת או לרשת ציבורית אחרת בלא שהתקין במערכת אמצעי .
הגנה מתאימים מפני חדירה לא מורשית או מפני תוכנות המסוגלות לגרום נזק או שיבוש למחשב .
או לחומר מחשב 44 (להלן- תוכנות הלבנה).
עוד קובעות התקנות כי יש להשתמש בשיטות .
הצפנה מקובלות לצורך העברת מידע ממאגר המידע, ברשת הציבורית או במרשתת.
43 מודם שמנוהל על ידי חברה חיצונית.
ראו במסמך "המדריך המלא ליישום תקנות אבטחת מידע", שפרסמה הרשות להגנת הפרטיות במשרד המשפטים .
על פי מדריך זה, יש להתקין אמצעי הגנה מפני חדירה לא מורשית ותוכנות מזיקות, בין השאר תוכנת אנטי -וירוס, הן .
בממשקים שבין מערכות המאגר למרשתת, והן בממשקים שבין מערכות אחרות למערכות המאגר.
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד העברת קבצים בין מערכת ד' שבמערך המרב"ד לבין משרד החינוך (או ספקים א חרים שלו) .
מתבצעת באמצעות כ-30 ממשקים ייעודיים; באמצעות ממשקים אלו מועברים, בין השאר, מידע .
רגיש כמו מחברות בחינה מתוקשבות, ציוני מעריכים, ציוני מגן, התאמות והקלות לתלמידים; .
כשני שליש ים מהממשקים מבוססים על כספות וירטואליות, כשליש - על העברה בדוא"ל .
וממשק אחד מבוסס שרת קבצים.
אשר להעברת קבצים אלו באותם ממשקים, עלה כלהלן: .
• הקבצים נקלטים במערכת ד' בלא שנבדקו באמצעות תוכנות הלבנה לצורך זיהוי .
יצוין כי במהלך הביקורת מסר משרד החינוך לצוות הביקורת כי הוא החל להטמיע מערכת .
הלבנה ברשת ב' של המשרד, וכי התהליך נמצא בשלב בדיקות מקדימות שלפני התקנת .
• אף שהתקנות מחייבות הצפנה של מידע המועבר ברשת הציבורית או במרשתת, בפועל .
רק אחד הקבצים מועבר בממשקים כשהוא מוצפן .
שאר הקבצים (כ-33 ) מועברים .
כשהם אינם בעלי דרישת הגנה מסוימת.
• כל הקבצים שיש בהם מידע רגיש מועברים ממערכת ד ' למשרד החינוך באמצעות .
הכספות הווירטואליות, אולם יש קבצים כאמור המכילים מידע רגיש שמועברים .
ממשרד החינוך למערך המרב"ד בדואר האלקטר וני של משרד החינוך, והדבר שמעלה .
את הסיכון לדלף מידע רגיש ולפגיעה בפרטיות.
• קובץ מסוים המכיל מידע רפואי רגיש על תלמידים מועבר מספק חיצוני למשרד .
החינוך, ומשם למערכת ד ' במערך המרב "ד בדואר האלקטרוני הציבורי , שאינו של .
משרד החינוך, וזאת בלי שהוצפן.
כדי לצמצם את הסיכון הכרוך בהעברת קובץ שיש בו סיכון לפגיעה מסוימת לרשת ג' .
ולמערכת ד', מומלץ שמשרד החינוך ישלים את ההטמעה של מערכת הלבנה ברשת א ' .
בכל הנוגע להעברת מידע רגיש בין מערכותיו לבין מערכות חיצוניות - על משרד .
החינוך להתקין אמצעי הגנה מסוימות וכן לפעול להגנה על המידע המועבר בממשקים .
אלו בהתאם לתקנות הגנת הפרטיות אבטחת מידע.
מומלץ כי המשרד יפסיק להעביר את .
הקובץ שמכיל מידע רגיש על תלמידים ברשת הציבורית כשאינו בעל דרישת הגנה מסוימת .
ויפעל לכך שקבצים שיש בהם מידע רגיש יועברו באמצעות פתרון מאובטח כגון כספות .
| 307 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
אבטחת מידע במערכת ב' ובמערכות ניהול .
מערכת ב' משמשת את כל בתי הספר , ובין היתר היא משמשת לרישום התלמידים הניגשים .
כ-250 מבתי הספר מזינים באמצעותה גם את הציונים השנתיים הבית-ספריים .
של התלמידים (ציוני ה מגן).
שאר בתי הספר -כ - 1,250, מזינים את ציוני המגן בתוכנות אחרות .
הרשאות גישה למערכת ב': מערכת ב' מותקנת ומנוהלת בתת-סביבה לוגית נפרדת ב רשת .
הגישה למערכת מבתי הספר מתבצעת באמצעות אתר מרשתת ייעודי (להלן - גישה .
משתמש בעל הרשאת גישה למערכת יכול להיכנס אליה באמצעות הזדהות אישית .
בהנחיית יה"ב "ניהול ותפעול הרשאות" נקבע שתפקיד העובד הואהבסיס למתן הרשאות גישה .
למשאבי מערכות המידע, וזאת עפ"י עיקרון הצורך לדעת בכל הנוגע לחשיפה למידע הארגוני, .
ועל פי מינימום הרשאות לצורך ביצוע עבודתו בכל הנוגע לקביעת פרופיל פעולות אקטיביות.
עוד נקבע כי על המשרד לבצע אחת לחצי שנה בחינת הרשאות של משתמשים בעלי הרשאות .
גבוהות כדי להימנע ממתן הרשאות עודפות.
מתן הרשאות גישה שלא לצורך: צוות הביקורת בדק את כניסות המשתמשים המורשים .
למערכת ב' בחודשים מרץ 2017 עד ינואר 2022 ,בסך הכול מדובר בכ- 216,000 משתמשים בעלי .
בתרשים שלהן מוצג מועד הכניסה האחרון של משתמשים אלו: .
45 נכון לנובמבר2021 יש14 .
'מערכות לניהול בית ספר אותן אישר המשרד והן שונות ממערכת ב .
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד תרשים 11: מועד הכניסה האחרון של משתמשי המערכת בחודשים מרץ 2017 .
עלה כי 64% מהמשתמשיםלא נכנסו למערכת במשך תקופה של קרוב לחמש שנים - בין .
מרץ 2017 לינואר2022 ; עוד עלה שכניסת19% מהמשתמשים הייתה לכל המאוחר לפני .
כשלוש השנים עד חמש שנים (בשנים 2017 - 2019 ) וכירק מקצת המשתמשים (12% .
)מהםנכנסו למערכת בין ינואר 2021 עד ינואר2022 .
עולה מכך חשש למתן הרשאות .
גישה למערכת למי שאינו נדרש להן.
כך למשל עלה כי לארבעה משתמשים ניתנה הרשאה גבוהה לכל פרופילי הרשאות .
התפקידים במערכת; אחד מהם הוא עובד של חברה חיצונית שהוגדר ארבע פעמים .
במערכת עוד בשנת 2014, בכלפעם עם ערך פיקטיבי שונה בשדה "ישות", ואין תיעוד .
לכניסתו האחרונה למערכת.
שלושת המשתמשים האחרים הם עובדי מינהל תקשוב .
במשרד החינוך, אשר משמשים בתפקידי תמיכה ולכן לא נזקקים להרשאות הגבוהות אלא .
להרשאות מוגבלות המתאימות לתפקידם, זאת על פי עקרון "הצורך לדעת" ומינ ימום .
הרשאות לצורך ביצוע התפקיד.
| 309 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
משרד החינוך מסר בתשובתו, ש כחלק ממדיניות ו ובהתאם ל תהליכי הפדגוגיה מוגדרות .
ההרשאות למערכת ב' ולמערכות ניהול בית -ספריות לכל עובד הוראה בהתאם לתפקידו .
נוכח ממצאי הביקורת, שמהם עולה כי מורשי גישה מעטים מא ו ד משתמשים בהרשאות .
שקיבלו - כשני שלישים מהם לא נכנסו למערכת ב' בחמש השנים האחרונות ורק כ-12% .
,נכנסו אליה בשנה האחרונהמומלץ למשרד החינוך לבחון את הסיבות לשיעור הנמוך של .
הנכנסים למערכת ואת הצורך לעדכן את רשימת מורשי הגישה למערכת ב' ואת .
ההרשאות שניתנו להם ולפעול, בעניין זה, לפי עקרון "הצורך לדעת" - מתן הרשאה .
מצומצמת בהתאם להגדרת תפקיד המשתמש.
מומלץ גם שהמשרד יבצע אחת לתקופה .
בקרת הרשאות בקרב משתמשי מערכת ב', בדגש על שינויים שנעשו במערך ההרשאות, .
ובכלל זה ישקול הטמעה של מנגנון אוטומטי לביטול הרשאות כניסה למערכת למי שלא .
נכנס אליה במשך תקופה שתוגדר.
העברת קובץ ציוני המגן לסביבה ב' ולמערכת ד': לאחר שבתי הספר מזינים את ציוני המגן .
של התלמידים למערכת ב' או לאחת מה תוכנות האחרות לניהול פדגוגי, המערכת מייצרת קובץ .
הכולל את פרטי התלמידים וציוני המגן (להלן - קובץ ציוני מגן); הקובץ מיובא בתהליך אוטומטי .
לסביבת ב', ונבדקת תקינותו לפי פרמטרים שהוגדרו מראש.
לאחר מכן, עותק של הקובץ מועבר .
מסביבה ב' לסביבה א' ומשם נטען למערכת ד'.
עלה כי שלא בהתאם לתקנות הגנת הפרטיות אבטחת מידע ושלא ב התאם ל הנחיית .
המסגרת בנוגע לאמצעי הגנה שיש להתקין כנגד תקיפה ופגיעה במערכות המחוברות .
לרשתות חיצוניות, נכון לספטמבר 2021 משרד החינוך לא סרק במערכת הלבנה קבצים .
לפני העברתם לסביבה ב'.
עוד עלה כי נכון לנובמבר 2021 גםהחברה החיצונית לא סרקה .
את אותם קבצים לפני שייבא אותם לסביבה שלו או לפני שקלט אותם במערכת ד '.
יצוין כי במהלך הביקורת מסר משרד החינוך לצוות הביקורת כי הוא ה חל להטמיע מערכת .
הלבנה לסריקת קבצים כדי לוודא כי אין בהם סיכון לפגיעה מסוימת לממשקים החיצוניים .
שבאמצעותם מועברים קבצים לרשת ב' שלו, וכי התהליך נמצא בשלב הבדיקות .
המקדימות הקודמות להתקנת המערכת ברשת ג'.
משרד מבקר המדינה ממליץ למשרד החינוך להשלים את פריסת מערכת ההלבנה בכל .
הסביבות, המערכות ותחנות הקצה שבאחריותו, שכן מדובר באמצעי אבטחת מידע בסיסי .
מבדק חדירות למערכת ב ': בספטמבר 2021 ביצע המשרד, באמצעות חברה חיצונית, מבדק .
עלה כי אף שבהתאם לתקנות הגנת הפרטיות אבטחת מידע, על המשרד לבצע מבדקי .
חדירה אחת ל-18 חודשים, בפועל בשלוש השנים שקדמו לספטמבר 2021, המשרד לא .
ביצע את מבדק החדירה הנדרש במערכת ב' וכי בספטמבר 2021 ביצע המשרד, באמצעות .
חברה חיצונית, מבדק חדיר ה למערכת ב'.
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד על משרד החינוך להקפיד על ביצוע מבדקי חדירה בתדירות שנקבעה בתקנות הגנת .
הפרטיות אבטחת מידע, וכן עליו לתקן ליקויים שעלו במבדקים אלו.
בדיקות אבטחת מידע לתוכנות האחרות לניהול פדגוגי: במסגרת מ תן אישור המשרד .
לשימוש בתוכנות אחרות לניהול פדגוגי בבתי הספר הוא מחייב את ספקי התוכנות לעמוד .
בדרישות מסוימות שהוא קבע, כגון תקן תוכנה לניהול פדגוגי 46 ותקן אבטחת מידע47 ; הוא גם .
מחייב אותם לעבור אחת לשנה בדיקות אבטחת מידע, שמבצעת חברה חיצונית שעימה הוא .
התקשר (להלן - חברת הבדיקות).
במסגרת הבדיקה נדרשה חברת הבדיקות החיצונית לבצע .
בדיקת חדירות, אשר מבוצעת על פי ההגדרה של עשרת סיכוני אבטחת המידע הקריטיים .
ביותר למערכות המבוססות על אפליקציית מרשתת, שאותם קבע ארגון Open Web .
Application Security Project Fou ndation (להלן- OWASP ), העוסק בתחום אבטחת יישומי .
מרשתת (להלן - עשרת סיכוני -העל) 48 .
אם נמצאו בבדיקה חולשות אבטחת מידע, על .
הספק לטפל בחולשות, ולאחר שיעמוד במבדק חדירה חוזר הוא יוכל לקבל אישור לשימוש .
בדיקות עמידה בתקן אבטחת מידע של משרד החינוך.
הצהרה על עמידה בתקנים של משרד החינוך, לרבות תעודת הסמכה לתקן ISO-27001 .
צוות הביקורתבדק את החומרים הקשורים לתהליך האישור של שתי התוכנות הנפוצות ביותר .
בשימוש ב בתי הספר ושתי התוכנות הפחות נפוצות.
עלה כי שלוש הבדיקות הנדרשות בוצעו לכל אחת מארבע התוכנות , וכי אם מבדק .
החדירה העלה ממצאים שהצביעו על חולשות אבטחה, בוצע מבדק חדירה חוזר שלא .
הלבנת קובצי השאלונים לפני טעינתם למערכת ו' .
מערכת ו' משמשת ממשק של אגף הבחינות במשרד החינוך מול בתי ספר ביום הבחינה.
לפני הבחינה אגף הבחינות טוען את קובצי השאלונים למערכת ו' ובאמצעות ה מופצים קובצי .
שאלוני בחינות הבגרות לבתי ספר שלא קיבלו עותקים פיזיים בכספות; בתי ספר אלו מדפיסים .
בהנחיית יה"ב "הקשחת עמדות קצה" נקבע כי הכנסת קבצים באמצעות מדיה חיצונית למשרד .
תורשה אך ורק באמצעות מערכת הלבנה אשר מ בצעת סינון ובדיקה של קבצים אלו טרם .
46 משרד החינוך, "תקן תוכנה לניהול פדגוגי", גרסה1.
47 משרד החינוך, "תקן אבטחת מידע", גרסה2.
48 The OWASP Top 10 is a standard awareness document for developers and web application security.
a broad consensus about the most critical security risks to web applications.
| 311 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
העברתם לרשת הארגונית.
בהנחיית יה"ב "אבטחת גלישה באינטרנט" נקבע שהסריקה תיעשה .
באמצעות מערכות הלבנה בעלות מנגנונים מסוימים.
עלה שנכון למועד סיום הביקורת (מאי 2022 ), קובצי השאלונים, שנשלחים למשרד החינוך .
מסביבות מחשוב חיצוניות של הספקים המגבשים את השאלונים, לא נסרקו במערכת .
הלבנה שמאתרת אם יש בהם סיכון לפגיעה מסוימת לפני העתקתם לרשת ב' וטעינתם .
בתשובתו ציין משרד החינוך כי נכון לאוקטובר 2022 הוא מיישם פתרון שמבצע סריקה של .
קבצים המועלים למערכת לשם איתור סיכון לפגיעה מסוימת.
על משרד החינוך להטמיע תהליך של בדיקה, סריקה והלבנה של הקבצים באמצעות .
מערכת הלבנה בעלת מנגנונים מסוימים לפחות כנדרש בהנחיות יה"ב, לפני העתקתם .
לרשת ב', וקודם להעלאתם למערכת ו' ולהפצתם לבתי הספר.
רשת ב' של משרד החינוך .
רשת ב' של משרד החינוך משרתת את עובדיו.
שרתיה נמצאים בחוות השרתים של חברה ב', .
אשר מספקת למשרד את התשתיות הפיזיות הנדרשות - מקום עבודה, חשמל, מיזוג אוויר .
ברשת פועלים כ- 1,000 שרתים וירטואליים, והיא מחוברת ל-SOC .
הממשלתי מערכת ז' שברשת ב' של משרד החינוך .
מערכת ז' של משרד החינוך מותקנת ברשת ב' במערכת מחשב ייעודית.
הבגרות של התלמידים משנות השבעים של המאה העשרים, ובהם ציוני המגן, ציוני המעריכים .
את בחינות הבגרות וציונים נוספים הרלוונטיים לציון הסופי ; במערכת משוקלל ציון הבגרות .
מערכת ז' נחשבת למערכת ליבה רגישה, מאחר שהיא מנהלת מידע רגיש רב על כל התלמידים .
שלמדו במערכת החינוך במשך השנים, ועל כן נדרש לבצע בקרה מוקפדת על מורשי הגישה .
אליה ועל הפעולות שמבוצעות בה.
בהנחיית המסגרת נקבע כי איתור הניסיונות המוצלחים או הכושלים לביצוע פעולות לא מורשות .
במערכות המשרד יתמקד בשני סוגי בקרות: (א) ניתוח בדיעבד ובזמן סמוך ככל שניתן לזמן .
אמת של מנגנוני הבקרה שבמערכת ובמוצרי האבטחה השונים .
בקרה רגילה תתמקד באיתור .
ניסיונות כניסה כושלים למערכת ולר שת ו בפעילות בשעות חריגות, ו אילו בקרה במערכות .
רגישות תבוצע ברמה גבוהה יותר , כדוגמת מעקב אחר משתמשים בעלי הרשאות גבוהות .
במערכת ומעקב אחר ביצוע פעולות מסוימות; (ב) איתור בזמן אמת של פעילויות לא מורשות .
עדכון של ציוני בגרות: על פי הסברי משרד החינוך לצוות הביקורת, בקשות לשינוי, עדכון או .
מחיקה של ציונים מתקבלות בדרך כלל בדואר האלקטרוני ממנהלי בתי הספר אל אגף הבחינות, .
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד וניתן לבצען רק במערכת ז' והן מתועדות בה.
רק מי שהמשרד נתן לו הרשאה לכך יכול לבצע .
בספטמבר 2021 בוצעו במערכתיותר מ -900 פעולות לשינוי ציונים.
עלה כי אף שעדכון של ציוני התלמידים הוא תהליך רגיש ביותר, שלשם ביצועו נדרשים .
רמת אמינות גבוהה ותהליך סדור ומבוקר, משרד החינוך לא הסדיר לשם כך נוהל המגדיר .
את שלבי התהליך, את הגורמים המעורבים בו, את האחראים לכל שלב ואת הבקרה על .
בפועל, עלו פערים במנגנוני הניטור והבקר ה של משרד החינוך.
מבצע בקרה בדיעבד - הוא לא הסדיר תהליך לקבלת דוח תקופתי קבוע המציג את .
הפעולות שבוצעו במערכת והמאתר פעולות החשודות כחריגות.
כמו כן, עלו פערים באגף .
הבחינות בהיבטי בקרה פנימית.
העברת בקשה לשינוי ציונים בדואר האלקטרוני חשופה לסיכונים מסוימים.
המדינה ממליץ למשרד החינוך לקבוע נוהל המסדיר את תהליך עדכון הציונים במערכת .
בכלל זה מומלץ שהנוהל יגדיר את הגורמים המעורבים בתהליך עדכון הציונים, את רמת .
ההרשאות שלהם ואת הפעולות הרגישות שיש לבצע מעקב קבוע אחריהן.
שהנוהל יעסוק בסגירת הפערים הנובעים מהשימוש בדואר האלקטרוני.
שהמשרד יטמיע את הנוהל הן במשרד והן בקרב מנהלי בתי הספר.
המשרד מסר בתשובתו כי הוא יפעל להוצאת דוחות תקופתיים לאיתור פעילות חריגה ויבחן .
יישום של תהליך מוסדר .
עוד מסר שהוא מפתח מערכת ציוני בגרות חדשה, שתעשה שימ וש .
בטכנולוגיות חדשות ותיתן מענה טוב יותר לנושאי אבטחת מידע.
אתגרי השמירה על טוהר הבחינות בעידן .
השמירה על טוהר הבחינות בכלל ועל ניהולן התקין של בחינות הבגרות בפרט היא משימה .
חינוכית, ערכית ומוסרית, והיא תנאי הכרחי לשמירה על הגינות ועל שוויוניות בין הנבחנים.
סיוע מכל סוג, ובכלל זה פתרונות לשאלות הבחינה, בין שנותן הסיוע הוא נבחן אחר או גורם .
אחר , גניבת שאלון, החזקת שאלון בחינה שטרם חל מועד ההיבחנות בו בידי נבחן , שימוש .
בטלפון נייד, באוזניות, ב שעון חכם, וב"מחשוב לבי ש" 49 בכלל, וכן בכל אמצעי תקשורת אחר .
במהלך הבחינה - כל אלה הם בגדר עביר ות משמעת על פי חוזר "טוהר הבחינות"50.
בשנת2011 פרסם מרכז המחקר של הכנסת דוח בנושא51 ,ולפיו את רובן הגדול של העבירות .
על כללי טוהר הבחינות (90% מהן) לא איתרו המשגיחים הנוכחים בבחינות עצמן, אלא .
המעריכים של מחברות הבחינה.
מאז השיטות לפגיעה בטוהר הבחינות השתנו וה תפתחו עם .
השנים בהתאם להתפתחות הטכנולוגית, וכך הצטרפו לשיטות המוכרות של הדלפת בחינות .
והעתקה בבחינות גם הפצה לא מורשית של שאלוני הבחינות ופתרונות שלהן באמצעות טלפונים .
49 מחשוב לביש- הוא כל אביזר אלקטרוני/ אביזר מחשוב הנישא על הגוף והמספק לנושא אותו מידע, למשל שעון .
חכם, משקפיים, בגד, מצלמה, טבעת חכמה צמיד חכם ועוד.
50 "ראו: חוזר מנכ"ל משרד החינוך "טוהר הבחינותהוראת קבע מספר 0237 ,בתוקף מ יום 3.
51 מרכז המחקר והמידע של הכנסת, "שמירה על טוהר בחינות הבגרות", מ- 7.
| 313 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
סלולריים ושימוש ברשתות חברתיות וב יישומונים.
דרכים אלו מאפשרות להפיץ באנונימיות את .
הבחינה ואת פתרונה באופן המקשה את ההתחקות אחר המפיץ.
פעולות שנקט משרד החינוך לשמירה על טוהר בחינות .
הפצת שאלוני הבחינה ללא רשות עלולה במקרים מסוימים להיחשב עבירה פלילית של "הוצאת .
מסמך ממשמורת" לפי חוק העונשין, התשל "ז-1977, ,שדינה שלוש שנות מאסר.
הפצת שאלוני בחינות הבגרות והתשובות להן לפני הבחינה או בזמן הבחינה עלולה לסייע לחלק .
מהנבחנים לקבל יתרון בלתי הוגן על פני שאר התלמידים, ואף לקבל במרמה ציונים שלא היו .
אמורים לקבל, ולכן עשויה לעלות לכדי עבירה פלילית של קבלת דבר במרמה.
ביוני 2015 מינתה מנכ"לית משרד החינוך דאז צוות משרדי לבחינת נושא ההיערכות לבחינות .
הבגרות חורף 2016 וכן לבחינות העתידיות, בראשות סמנכ"ל בכיר ומנהל המינהל הפדגוגי דאז .
וסמנכ"ל חירום, בטחון ו בטיחות דאז (להלן - הוועדה).
בטיוטת דוח הוועדה 52, הומלץ בין השאר, .
ליווי של גוף חיצוני שיבחן לעומק את תהליכי התפעול של בחינות הבגרות.
משרד החינוך באמצעות חברה חיצונית "מיפוי וניתוח תהליכים וסיכונים באגף הבחינות", שכלל .
השוואה בין-לאומית של תהליכי תפעול הבחינות ובחינת מודלים חלופיים.
שינוי של מודל הפצת הבחינות: בהמשך להמלצות הוועדה שינה משרד החינוך את המודל .
להפצת השאלונים מהפצה באמצעות דואר ישראל להפצה באמצעות חברות בלדרות; רכישה .
והתקנה של מאות כספות ברזל "חכמות "53 בבתי הספר ; כתיבת נוהלי עבודה החל בשלב גיבוש .
השאלונים, עבור דרך שלבי הדפסתם ואריזתם וכלה בשלב הפצתם לבתי הספר ; פרסום (במרץ .
2021 ) שלמסמך בקשה לקבלת מידע (R.
I ) בנושא הערכת בחינות בגרות בכתב ובעל פה על .
בסיס מערכת לבינה מלאכותית; ופרסום (ביולי 2021 ) שלמסמך בקשה לקבלת מידע ( R.
בנושא ביצוע בחינות בשאלונים לא מודפסים ללא יכולת להפיץ ולקלוט תשובות תוך כדי בחינה.
אגף הבחינות מסר לצוות הביקורת שלאחר הטמעת המעבר להפצה באמצעות חברות בלדרות .
ולאחר התקנתן של כספות בכלל בתי הספר (בשנת 2017 ) הופסק ה באופן מוחלט תופעת .
ההדלפה בה הבחינה נחשפת שעות לפני שהיא מתקיימת.
עם זאת, להערכת האגף התפתחה .
תופעה של הפצה לא מורשית של שאלוני הבחינה מרגע הוצאתם מהכספות.
52 משרד החינוך מסר למשרד מבקר המדינה שאין ביכולתו לאתר את הנוסח הסופי של דוח הוועדה, ושלח למשרד .
מבקר המדינה טיוטת דוח שהגדיר "כאחרונה".
53 כספות ברזל שמאפשרותלמשרד החינוך לשלוט מרחוק על שעת פתיחתן, ובהן הוא שומר את שאלוני בחינות .
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד הפצה לא מורשית של בחינות בגרות ביום קיום הבחינה .
צוות הביקורת בדק בחודשים יוני 2021 עד פברואר2022 הפצה לא מורשית של בחינות .
בגרות שמתבצעות ביישומון מס וים למסרים מיידיים (להלן - היישומון).
שבע קבוצות הפעילות במגזר היהודי ו במגזר הערבי, שבהן התבצעה פעילות הפצה לא .
מורשית של שאלונים ושל הפתרונות לשאלונים - למשל קבוצה ובה מעל 12 אלף חברים .
יצוין כי לא נצפה שום מקרה של הדלפת שאלון בחינה לפני המועד המוגדר לפתיחת .
הכספות, אלא רק הפצה לא מורשית לאחריו, והדבר הוא בגדר עבירת משמעת לפי חוזר .
טוהר הבחינות, המקנה לנבחן זמן לפתרון שאלון הבחינה ולהפצת התשובות בזמן הבחינה .
צוות הביקורת מצא עשרות דוגמאות להפצה של שאלוני בחינות בגרות בזמן קיום הבחינה.
מובאות כמה דוגמאות לשאלונים ולפתרון בחינה שהופצו בזמן הבחינה: .
להלן דוגמה לתצלום של שאלון בחינה במתמטיקה בהיקף 5 'יחידות, בערבית, מס 35581 , שעל .
פי נתוני משרד החינוך היה אמור להתקיים ביום חמישי, 20.
22 בשעה 11:00 (תשפ"ב); השאלון .
הופץ בקבוצות היישומון כשש דקות לאחר השעה המיועדת לתחילת הבחינה: .
| 315 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
תמונה 1: 'תצלום של שאלון מס 35581 שהופץ ב- 20.
להלן דוגמה להפצת תצלום של שאלון בחינה במתמטיקה בהיקף 5 'יחידות, בערבית, מס .
35582 , ,שעל פי נתוני משרד החינוך היה אמור להתקיים ביום חמישי 20.
)(תשפ"ב ושהופץ ב קבוצות היישומון, כ-12 דקות לאחר השעה המיועדת לתחילת הבחינה: .
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד תמונה 2: 'תצלום של שאלון מס 35585 שהופץ ב- 20.
להלן דוגמה לתצלום שאלון בחינה במתמטיקה בהיקף 3 'יחידות, בערבית, מס 35182 , שעל פי .
נתוני משרד החינוך היה אמור להתקיים ביום שלישי, 18.
22 בשעה 09:00 )(תשפ"בושהופץ .
בקבוצות היישומון כ-16 דקות לאחר השעה המיועדת לתחילת הבחינה, וכן תצלום של פתרון .
הבחינה באותה קבוצה כחצי שעה לאחר מכן: .
| 317 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
תמונה 3: 'תצלום של שאלון מס 35182 שהופץ ב- 20.
וכן של הפתרון משעה 9:48 .
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד .
משרד החינוך מסר לצוות הביקורת כי הוא נמצא בקבוצות היישומון שמהן הובאו הדוגמאות .
בפועל, כאשר עולות בקבוצות הודעות הכוללות פתרונות לשאלוני הבחינה, הם .
מועברים למעריכים אשר מתודרכים בדבר הפעולות שעליהם לנקוט אם עולה חשש לאי .
| 319 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
המשרד הוסיף כי הוא החמיר את אמצעי הענישה ו כך, תלמיד ש נמצא שהשתמש .
בפתרונות שהועברו ביישומון מעוכב מהיבחנות למשך שנה שלמה.
בחוזר טוהר הבחינות, מפורטים הצעדים המשמעתיים בהן ניתן לנקוט בגין כל הפרה של טוהר .
הבחינות, לרבות פירוט של העונשים הצפויים.
עוד נקבע בחוזר טוהר הבחינות כי בהתאם .
לנסיבות ולחומרת העניין, תיתכן הגשת תלונה למשטרה לצורך פתיחה בחקירה פלילית נגד .
עלה כי בשנים 2018 - 2020 הגיש משרד החינוך ארבע תלונותבלבד במשטרת ישראל .
(להלן - המשטרה) בגין עבירת "קבלת דבר במרמה" בעקבות הפצה לא מורשית של .
שאלונים או של תשובות של בחינות הבגרות, יצוין באשר לכך כי בשנת 2020 פסל המשרד .
למעלה מ- 16,000 מחברות בחינה בשל חשד להפרת טוהר הבחינות.
משרד החינוך למשטרה בכתב בבקשה לפתוח בחקירה בנושא ההונאות במסגרת קיום .
בנובמבר 2021 דיווחה המשטרה לצוות הביקורת כי שניים מהתיקים נסגרו בעילה של .
"עבריין לא נודע", תיק אחד נסגר בעילה של "היעדר עבירה פלילית", ותיק אחד עדיין .
בתגובת המשטרה לממצאי הביקורת מ אוגוסט 2022 (להלן- תשובת המשטרה) היא מסרה, כי .
היא רואה את סוגיית ההונאה בבחינות הבגרות ושמירה על טוהר הבחינות כנושא חשוב מאוד.
כי בחלק מהתלונות נמסרה תלונה כללית הכוללת אינפורמציה חלקית וחסרה ללא שום פרטים .
משכך, תיקים אלו נגנזו בעילה של עבריין לא נודע.
מנגד, בתיקים בהם נמסרה .
תלונה סדורה המכילה את כלל הפרטים, בוצעו פעולות חקירה רבות והן מצויות בחקירה.
עוד עלה בביקורת כי במאי 2021 פנה מנהל אגף הבחינות ללשכת הייעוץ המשפטי במשרד .
החינוך כדי לאשר לו לקבל את פרטי התלמידים שמספרי הטלפון שלהם נכללו באותן .