HeTree/MevakerConcSen huggingface dataset:
ניהול הזמן בפרויקט כולל חמישה תהליכים: הגדרת הפעילויות; הגדרת סִדרן; הערכת זמני הפעילויות; קביעת לוח זמנים הכולל תאריכי התחלה וסיום לכל פעילות; בקרת לוח הזמנים, .
26לרבות בחינת השינויים שאושרו וייזום פעילויות למניעת פערים בלתי רצויים ניהול תוכנית העבודה השנתית של הפרויקט , 2014 ועד לינואר2013 נמצא כי במשך שמונה חודשים, מיוני2015-בדוח המבקר מ לא נקבעה לפרויקט תוכנית עבודה מאושרת עדכנית וכי מינהל תקשוב מערכות מידע התקדם בביצוע שלב א' בלא שהייתה בידיו תוכנית עבודה מפורטת ליישום שלב זה במלואו.
בשל כך נפגעה בעיקר יכולתן של ועדת ההיגוי ושל ועדת הכספים לעקוב אחר התקדמות הפרויקט על פי אבני הדרך שנקבעו ולפקח עליה.
משרד מבקר המדינה העיר באותו הדוח כי אין לקבל מצב כזה בפרויקטים בכלל ובפרויקט גדול ומורכב כגון זה בפרט.
נושא תוכנית העבודה חזר ועלה בדיונים שונים שקיימו ועדת הכספים וועדת ההיגוי ציינה החשבת כי לפרויקט 27.
למשל, בדיון של ועדת הכספים ב2019 בשנת , ולכן לא ניתן לבצע פיקוח תקציבי.
היא 2019-עדיין אין תוכנית עבודה מפורטת ל הוסיפה כי העירה על כך כמה פעמים בוועדות ההיגוי, והוסיפה: "במצב הקיים היום אין אפשרות לפקח מה בוצע ומה לא".
באותו הדיון ציין היועץ לוועדת הכספים או לא".
עוד 2019-: "יש חילוקי דעות האם יש תכנית עבודה ל27לנושא הפרויקט הייתה אמורה להיות תוכנית מפורטת לכל השנה, אך 2019 הוא ציין כי בתחילת לא ניתן לבצעה מפני שעדיין לא נעשה אפיון של כל הדרישות, אין אומדן לביצוע המשימות ואיוש כוח האדם אינו מתקדם בהלימה לתוכנית העבודה.
ציינה החשבת: "אנחנו באמצע מאי ואין עדיין 19.
19-בדיון ועדת ההיגוי מ תוכנית עבודה, לא יודעים מה פירוט העלות והתכולות.
אי אפשר לנתח מה קורה פה.
אין לנו מושג ביחס למה שתכננו, אין מושג מה הלקוחות חשבו שיקבלו, מה הם שינו לאורך הדרך, מה ירד בהסכמה ומה הוסף".
בדיון נוסף של ועדת ההיגוי לא נקבעה בתחילת השנה, כי 2019- ציינה החשבת כי תוכנית העבודה ל30.
19-ב חסר תקציב שנתי מפורט הכולל גם מטרות ויעדים, וכי חלק מפירוט התוכנית ניתן ולכן אי אפשר לנהל פיקוח הדוק על התקציב.
2019 בסוף יוני 2019- כי תוכנית העבודה ל7.
19-מנהלת הפרויקט מסרה למשרד מבקר המדינה ב .
119 ,29 - 28 '), עמ 2004( ניהול פרויקטים, תכנון ביצוע ובקרהשלמה גלוברזון ואבי שטוב, 26 .
מינתה ועדת הכספים יועץ חיצוני מטעמה לשם בקרה על תקציב הפרויקט ועל לוח הזמנים 2010- ב27 .
התמנה לתפקיד יועץ חדש 2018 בדצמבר פרויקט תבל לשדרוג מערך המחשוב במוסד לביטוח לאומי| פרויקט תבל לשדרוג מערך המחשוב במוסד לביטוח לאומי|563 מוסדות המדינה, חברות ממשלתיות ותאגידים| פרק שלישי מוסדות המדינה, חברות ממשלתיות ותאגידים| פרק שלישי במערכת 28כללה ארבע גרסאות (כל גרסה מכילה דרישות עסקיות ושו"שים ועדות נפגעי עבודה ובמערכת נכות כללית ושירותים מיוחדים).
שלוש הגרסאות הראשונות כללו מראש תכולות אשר דרישותיהן הוגדרו ותומחרו בבירור והושגה הסכמה עם הלקוחות על הפתרון.
בגרסה הרביעית נעשה תכנון מסגרת בלבד בשל חוסר הרצון להתחייב לתכולות לפני סיכום הדרישות והשגת הסכמה לפתרון מצד , 2019 הלקוחות.
מכיוון שהדיונים עם הלקוחות לגבי התכולות הסתיימו רק במאי .
2019 היה אפשר לתמחר אותם רק ביוני התקדם הביטוח הלאומי 2019 מהאמור לעיל עולה כי במחצית הראשונה של ביישום הפרויקט בלי שהושגה הסכמה בין הגורמים המעורבים בו בנוגע סברה חשבות המוסד 2019 לקיומה של תוכנית עבודה שנתית מפורטת.
ביוני אינה מאפשרת לבצע פיקוח תקציבי כנדרש.
2019 כי התוכנית הקיימת לשנת הביטוח הלאומי מסר בתשובתו כי סוגיית חילוקי הדעות ואי ההסכמות בין לקוחות המערכת בתחום הגמלאות לבין תבל התייתרה ברגע שיועץ המנכ"ל קיבל עליו את האחריות לתכלול הפעילות של כל הגורמים הקשורים לפרויקט ובכללן ההכרעה בחילוקי הדעות כאמור.
הביטוח הלאומי הסביר כי חלק בלתי נפרד מעבודת היועץ הוא לתאם בין כל הגורמים המקצועיים בארגון והדבר נכלל גם בתוכנית העבודה של מינהלת הפרויקט.
מאחר שתוכנית עבודה שנתית מוסכמת היא נדבך עיקרי בניהולו של כל פרויקט וכלי בקרה מרכזי, על הביטוח הלאומי להקפיד שלפרויקט תהיה תוכנית עבודה שנתית מפורטת, המוסכמת על כל הגורמים המעורבים בו.
זאת כדי לנהל ביעילות את השינויים בתוכנית העבודה ואת הסיכונים ביישומה, להקצות את המשאבים באופן מיטבי ולפקח על התקדמות הפרויקט.
שו"שים - שיפורים ושינויים הנעשים במערכת מידע לאחר הפעלתה.
28 564 2020- התש"ף | ג70 דוח ביקורת שנתי| מבקר המדינה2020- התש"ף | ג70 דוח ביקורת שנתי| מבקר המדינההכנת תוכנית עבודה רב-שנתית לפרויקט הוחלט בין היתר: "תבל יכינו תכנית חומש לעניין 21.
18-בישיבת ועדת ההיגוי ב התקיימה ישיבה של ועדת המדע 23.
18-הדרישות והצפי לשנים הבאות".
ב והטכנולוגיה בכנסת בנושא פרויקט תבל, ובין משתתפיה היו ראש רשות התקשוב, נציג אגף התקציבים במשרד האוצר, מנכ"ל הביטוח הלאומי ומנהלת הפרויקט.
בישיבה ציין המנכ"ל כי ועדת הכספים הנחתה את הנהלת מערכות המחשוב בביטוח הלאומי להכין תוכנית חומש לפרויקט שתפרט את לוחות הזמנים לגבי כל אחת מהמערכות המתוכננות ולגבי ההטמעה המלאה של מערכת נכות כללית בכל הסניפים בביטוח הלאומי.
הציגה מנהלת הפרויקט את מצב הפרויקט 11.
18-בישיבת ועדת הכספים מ וציינה: "על פי בקשת הוועדה אנו בהליכים מתקדמים של הכנת תכנית חומש.
אמר המנכ"ל למנהלת הפרויקט: "אתם חייבים 19.
19-בישיבת ועדת ההיגוי מ להכין תכנית רב-שנתית, שוחחנו על זה עשרות פעמים וזו גם ההנחיה של ועדת כספים".
הוא הוסיף: "חייבים לראות לאן העסק הזה הולך.
חובה לדעת מה אופק הפיתוח, תכולות, לו"ז ותקציב.
מבקש שלוועדת ההיגוי הבאה תוצג תכנית רב- שנתית".
מסרה מנהלת הפרויקט למשרד מבקר המדינה: "בימים אלה אנו עמלים על 1.
2022 - 2021 וכן על תוכניות על לשנים2020 הכנת תוכנית עבודה מפורטת לשנת עוד היא מסרה כי עד כה הוכנו התוכניות עבור מערכת נכות כללית ושירותים מיוחדים (כולל ועדות רפואיות) הן לפריסה ארצית והן לסיום הפרויקט, וזאת על סמך הדרישות (התכולות) שהתקבלו מהלקוחות.
מנהלת הפרויקט הוסיפה: "עם השלמת כלל התוכניות ואישורן הסופי על ידי הלקוחות, לרבות נתוני תקציב וכוח אדם, הן תוגשנה לאישור ועדת ההיגוי, מינהלת הביטוח הלאומי וועדת הכספים".
הביטוח הלאומי מסר בתשובתו כי מינהלת הפרויקט תיבנה תוכנית עבודה רב- שנתית (תוכנית חומש) שתאפשר לגבש תכנון תקציבי ובקרה ארוכי-טווח לפרויקט.
, עדיין לא התאפשר 2019 מאחר שמינהלת הפרויקט הוקמה ברבעון האחרון של לבנות את התוכנית, אך הוחלט כי היא תיבנה בשני שלבים: תוכנית עבודה שנתית .
2020 ותוכנית עבודה רב-שנתית שתוגש במחצית הראשונה של2021 - 2020 פרויקט תבל לשדרוג מערך המחשוב במוסד לביטוח לאומי| פרויקט תבל לשדרוג מערך המחשוב במוסד לביטוח לאומי|565 מוסדות המדינה, חברות ממשלתיות ותאגידים| פרק שלישי מוסדות המדינה, חברות ממשלתיות ותאגידים| פרק שלישי יש לראות בחיוב את עצם העמידה על הצורך בגיבוש תוכנית רב-שנתית לפרויקט ואת האצת הפעולות לגיבושה.
על הביטוח הלאומי להשלים בהקדם את הכנתה כדי שתשמש כלי עבודה לצוותי העבודה בפרויקט וכלי ניהולי לגורמים המובילים את הפרויקט.
תוכנית זו תשקף את התמונה המלאה על אופק התכנון של הפרויקט, על התפוקות הצפויות בשנים הבאות ועל המשאבים הנדרשים ליישומן, לרבות תקציב והיקף כוח האדם.
כמו כן היא תשמש את הנהלת הביטוח הלאומי בקבלת ההחלטות לגבי ההתקדמות בפרויקט ובביצוע מעקב ובקרה עליו, הן ביחס להשגת יעדיו והן בהיבטים של חיסכון ויעילות.
הקשר המקצועי עם רשות התקשוב הממשלתי ) להקים במשרד 2011- (להלן - ההחלטה מ 29 החליטה הממשלה 2011 .
היחידה30)האוצר יחידת מטה ותקשוב ממשלתי (להלן - התקשוב הממשלתי נועדה לקדם ולייעל את מערך התקשוב הממשלתי ואת שיתוף הפעולה בין המגזר הממשלתי לגופים ציבוריים אחרים בתחומי המחשוב וכן לשפר את רמת השירות לאזרח.
עוד הוחלט להכפיף את כל משרדי הממשלה להוראות המקצועיות של מנהל היחידה - המנמ"ר (מנהל מערכות מידע ראשי) הממשלתי, ולהעביר לאחריותו הישירה את הפרויקטים הממשלתיים הרוחביים בתחום המחשוב.
היו בין היתר: הנחלת 2011-מטרות התקשוב הממשלתי כפי שנקבעו בהחלטה מ ארכיטקטורה וסטנדרטים אחידים ליחידות התקשוב בממשלה; קידום שיתוף מאגרי מידע וידע מקצועי בין גופי הממשלה; ייזום פרויקטי מחשוב רוחביים בממשלה וניהולם; הקמת מערך דיווח ותפעולו והגברת שקיפותה של פעילות התקשוב הממשלתית.
כן הוחלט להכפיף את כל משרדי הממשלה להוראותיו המקצועיות של מנהל התקשוב הממשלתי ולחייבם להיוועץ עימו בכל הקשור לתוכניות העבודה בתחום התקשוב ולתקציב המחשוב המשרדי.
בעניין זה יצוין כי הביטוח הלאומי הוא תאגיד סטטוטורי (ואינו משרד ממשלתי) ולכן אינו מחויב לפעול על פי הוראות אלו.
הייתה הפעילות בנושא התקשוב הממשלתי מרוכזת בידי 2011 עד למרץ "הוועדה המרכזית לענייני תקשוב" שבאגף החשב הכללי שבמשרד האוצר שקבעה כי הוועדה תדון בבקשות לאישור מוקדם 31וזאת מתוקף הוראת תכ"ם ).
11 ( ", "הקמת יחידת מטה ותקשוב ממשלתי במשרד האוצר 3058 החלטת הממשלה 29 .
221 - 171 '), "התקשוב הממשלתי", עמ 2017( ב67 דוח שנתי ראו מבקר המדינה, 30 .
הוראת תקנון כספים ומשק של אגף החשב הכללי במשרד האוצר 31 566 2020- התש"ף | ג70 דוח ביקורת שנתי| מבקר המדינה2020- התש"ף | ג70 דוח ביקורת שנתי| מבקר המדינה של פרויקט מחשוב גדול או רחב-היקף לאחר שלב הייזום ולפני שיוחל בהכנת המכרז לביצועו או בביצוע הפרויקט.
פרויקט מחשוב גדול הוא כל פרויקט מיליון ש"ח, 10- מיליון ש"ח ל 1.
2 מחשוב שעלותו הרב-שנתית היא בין ופרויקט מחשוב רחב-היקף הוא כל פרויקט מחשוב שעלותו הרב-שנתית עולה מיליון ש"ח.
10 על עלה כי רק כעשרה חודשים לאחר תחילת הפרויקט, 2015-בדוח המבקר מ , ולאחר שכבר גויסו כשלושים עובדים והושקעו כעשרה מיליון 2011 בינואר ש"ח בתשתיות וברכש לצורכי הפרויקט, הציג הביטוח הלאומי את התוכנית הרב-שנתית של הפרויקט לוועדה המרכזית לתקשוב.
הביטוח הלאומי השיב למבקר באותו הדוח כי אף שהוראת התכ"ם אינה חלה עליו, אישרה מנכ"לית הביטוח הלאומי דאז להציג את הפרויקט לפני הוועדה, מתוך הבנה שבפרויקט מחשוב גדול כזה ראוי שיהיה שיתוף של ידע מקצועי בפורום בין-משרדי וכדי לקבל היזון חוזר.
כי יש לתת 2015-בעניין זה העיר משרד מבקר המדינה בדוח המבקר מ את הדעת על כך שעל פי ההוראות הקיימות, פרויקט מחשוב גדול מאוד, בהיקף של מאות מיליוני ש"ח, שמבצע גוף סטטוטורי המתוקצב על ידי המדינה בעשרות מיליארדי ש"ח בשנה, לא היה מחויב להיבחן בידי הוועדה המרכזית לתקשוב שבמשרד האוצר.
החליטה הממשלה להעביר את התקשוב הממשלתי לאחריותו של 322014-.
ב 2 - משרד ראש הממשלה ולהגדירו מחדש כ"רשות התקשוב הממשלתי" (להלן 33)2014-רשות התקשוב).
בהחלטה אחרת של הממשלה (להלן - ההחלטה מ הוחלט להרחיב את תחומי הפעילות של התקשוב הממשלתי ולקבוע כי ייעודו לשמש מרכז ידע ויועץ מקצועי בתחום התקשוב לממשלה יהיה כדלקמן: (ההדגשה לא במקור); לפעול לייעול מערך התקשוב ולקידום חדשנות טכנולוגית במשרדי הממשלה ויחידותיהם; להעמיד טכנולוגיות מתקדמות לשיפור השירות הממשלתי לציבור; להפחית את הנטל הבירוקרטי ולקדם מדיניות ממשל פתוח.
כי תפקידי התקשוב הממשלתי יכללו: גיבוש 2014-עוד נקבע בהחלטה מ מתודולוגיה לניהול מחזור החיים של מערכות מידע ולניהול יעיל של פרויקטים, של תשתיות ושל תהליכים בתחום התקשוב; קידום שיתוף ידע מקצועי בין , "העברת שטח הפעולה של התקשוב הממשלתי ממשרד האוצר למשרד ראש 2099 החלטת הממשלה 32 .
14 ( "הממשלה , "הרחבת תחומי פעילות התקשוב הממשלתי, עידוד חדשנות במגזר הציבורי 2097 החלטת הממשלה 33 .
14 ( "וקידום המיזם הלאומי ישראל דיגיטלית פרויקט תבל לשדרוג מערך המחשוב במוסד לביטוח לאומי| פרויקט תבל לשדרוג מערך המחשוב במוסד לביטוח לאומי|567 מוסדות המדינה, חברות ממשלתיות ותאגידים| פרק שלישי מוסדות המדינה, חברות ממשלתיות ותאגידים| פרק שלישי ; ליווי ובקרה של פרויקטי תקשוב משרדיים משמעותייםאגפי מערכות המידע (ההדגשה לא במקור); קידום פלטפורמות רוחביות ויישומים ייעודיים להנגשת מידע ושירותים ממשלתיים לציבור ולהפעלתם כגון פורטל השירותים והמידע ".
il" הממשלתי לאמץ מדיניות של קבלת מידע מהציבור פעם אחת 34 החליטה הממשלה2016-ב בלבד לשם שיפור השירות הממשלתי לציבור והפחתת הנטל הבירוקרטי עליו ).
2016-באמצעות שיתוף מידע בין גופי הממשלה (להלן - החלטת הממשלה מ ו' להחלטה הוטל על ראש רשות התקשוב לעודד גופים ציבוריים 5 בסעיף לשתף מידע בינם לבין עצמם ובינם לבין משרדי הממשלה לשם שיפור השירות לציבור בשים לב למאפיינים הייחודיים של הגופים הציבורים השונים.
בסעיף להחלטה נקבע להטיל על שר הרווחה והשירותים החברתיים לפנות לביטוח 11 הלאומי כדי לבחון את האפשרות לאמץ את האמור בחלק מהסעיפים בהחלטה ) לעניין שיתוף מידע בינו לבין משרדי ממשלה.
7-6 ,3-1 (סעיפים סקר המנכ"ל את 23.
18-בישיבה של ועדת המדע והטכנולוגיה של הכנסת מ מצב הפרויקט.
ראש רשות התקשוב דאז אמר כי "יועצים בכירים מטעם רשות התקשוב מלווים פרויקטים מרכזיים בשירות הממשלתי", אך הביטוח הלאומי הוא תאגיד סטטוטורי ולכן אינו שותף לתהליך זה.
עוד ציין ראש הרשות כי הוא נפגש עם המנכ"ל וסיכם עימו להרחיב את שיתוף הפעולה ביניהם ולהעמיקו.
בפועל לא התייעץ הביטוח הלאומי עם רשות התקשוב לגבי פרויקט תבל.
מאחר שפרויקט תבל - מפרויקטי המחשוב הגדולים, המורכבים והיקרים במגזר הציבורי - סבל מקשיים ומעיכובים רבים, ומאחר שרשות התקשוב היא בעלת ניסיון בליווי פרויקטים בעלי מאפיינים דומים (פיתוח רב-שנתי, פלטפורמה של עשרות תת-מערכות, תקציב נרחב, חילוץ פרויקטים ממצבי משבר), ראוי שהביטוח הלאומי יבחן את האפשרות להדק את הקשר המקצועי עם רשות התקשוב.
זאת כדי שרשות התקשוב תתרום לו מניסיונה ומן הידע המקצועי שצברה במציאת פתרונות לבעיות שעלו בפרויקט ותסייע למניעת בעיות בעתיד.
, "שיפור העברת המידע הממשלתי והנגשת מאגרי מידע ממשלתיים לציבור" 1933 החלטת הממשלה 34 .
16 ( 568 2020- התש"ף | ג70 דוח ביקורת שנתי| מבקר המדינה2020- התש"ף | ג70 דוח ביקורת שנתי| מבקר המדינה כמו כן ראוי לבחון דרכים להרחבת שיתוף הפעולה בין הביטוח הלאומי לרשות התקשוב ולהעברת הידע המקצועי ביניהם גם בתחומי תקשוב אחרים.
בכלל זה ראוי לבחון את הצטרפות הביטוח הלאומי לאתר , המאגד את כל השירותים והמידע הממשלתיים לאזרח, וכן gov.
il שיתוף של מידע בין הביטוח הלאומי למשרדי הממשלה במסגרת החלטת .
זאת כדי לשפר את השירות לציבור ולייעלו, דבר 2016-הממשלה מ שיתרום לקידום תפיסת "המבוטח במרכז".
הביטוח הלאומי מסר בתשובתו כי הוא מוגדר כתאגיד סטטוטורי ולכן אינו כפוף לרשות התקשוב.
עם זאת, מדיניותה של הנהלת הביטוח הלאומי היא לשתף פעולה ולשדרג את המערכות המשרתות את הציבור הרחב תוך שמירה על עצמאות המוסד ועל ייחודיותו.
הוא הוסיף כי הנחה את יועץ המנכ"ל ואת הצוות המקצועי של תבל ליזום מפגשים עם התקשוב הממשלתי ברוח הערת הביקורת לשם סיעור מוחות והפריה הדדית.
כי לצורך 2019 מ"מ ראש רשות התקשוב השיב למשרד מבקר המדינה בנובמבר שיתוף פעולה מרבי בין רשות התקשוב לבין תאגידים סטטוטוריים ובפרט עם הביטוח הלאומי, יהיה נכון להרחיב את ייעוד הרשות ואת תפקידיה שנקבעו בהחלטות ממשלה אף ביחס לגופים אלו.
הקשר המקצועי בין גופים סטטוטוריים לבין רשות התקשוב הממשלתי, אשר לה ניסיון וידע מקצועי רב בליווי פרויקטי מחשוב גדולים, עשוי לתרום תשומות וכלים מועילים ואף חיוניים לניהול המקצועי של הפרויקטים ולהצלחתם.
מוצע לבחון את האפשרות שפרויקטי מחשוב בסדר גודל נרחב בגופים סטטוטוריים, בהתאם למאפיינים הייחודיים של כל גוף, יתנהלו בפיקוח ובקרה של רשות התקשוב.
פרויקט תבל לשדרוג מערך המחשוב במוסד לביטוח לאומי| פרויקט תבל לשדרוג מערך המחשוב במוסד לביטוח לאומי|569 מוסדות המדינה, חברות ממשלתיות ותאגידים| פרק שלישי מוסדות המדינה, חברות ממשלתיות ותאגידים| פרק שלישי היבטי אבטחת מידע בפרויקט (להלן - חוק הפרטיות), מגדיר "מידע רגיש" 1981-חוק הגנת הפרטיות, התשמ"א כנתונים על האזרח: אישיותו, צנעת אישיותו, מצב בריאותו, מצבו הכלכלי, דעותיו ואמונתו; "מאגר מידע" הוא אוסף של נתוני מידע, המוחזק באמצעי מגנטי או אופטי והמיועד לעיבוד ממוחשב; "אבטחת מידע" היא הגנה על שלמות המידע או הגנה על המידע מפני חשיפה, מפני שימוש או מפני העתקה, והכול ללא רשות כדין; "בעל מאגר מידע" הוא המחזיק במאגר מידע או מנהל מאגר המידע, וכל אחד מהם אחראי לאבטחת המידע שבמאגר.
, מפרטות את אופן יישומה 2017-תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז של חובת אבטחת המידע שמטיל חוק הפרטיות על כל גורם המנהל מאגר של מידע אישי (להלן - תקנות הפרטיות).
התקנות קובעות כי "מאגרי מידע שחלה עליהם רמת האבטחה הגבוהה" הם מאגרי מידע הכוללים מידע על צנעת חייו האישיים של אדם, לרבות התנהגותו ברשות היחיד, מידע רפואי, מידע על נכסיו של אדם, חובותיו והתחייבויותיו הכלכליות, מצבו הכלכלי או שינוי בו, לרבות מאגר של גוף אנשים ומעלה, או 100,000 הכולל מידע כאמור, שיש בו מידע על אודות35ציבורי .
100 שמספר בעלי ההרשאה בו עולה על מאגרי המידע בביטוח הלאומי מכילים מידע רב על מיליוני מבוטחים שחלקו מוגדר כ"מידע רגיש" על פי חוק הפרטיות והם אף מתאימים להגדרה של מאגרי מידע להלן מפרט את סוגי המידע במאגרי 9 שחלה עליהם רמת האבטחה הגבוהה.
תרשים המידע של הביטוח הלאומי.
) לחוק: "משרדי ממשלה ומוסדות מדינה אחרים, רשות מקומית וגוף 1( 23 כך מוגדר גוף ציבורי בסעיף 35 .
"אחר הממלא תפקידים ציבוריים על פי דין 570 2020- התש"ף | ג70 דוח ביקורת שנתי| מבקר המדינה2020- התש"ף | ג70 דוח ביקורת שנתי| מבקר המדינה: סוגי המידע במאגרי המידע של המוסד לביטוח לאומי9 תרשים על פי נתוני המוסד לביטוח לאומי, בעיבוד משרד מבקר המדינה.
פרויקט תבל לשדרוג מערך המחשוב במוסד לביטוח לאומי| פרויקט תבל לשדרוג מערך המחשוב במוסד לביטוח לאומי|571 מוסדות המדינה, חברות ממשלתיות ותאגידים| פרק שלישי מוסדות המדינה, חברות ממשלתיות ותאגידים| פרק שלישיניהול סיכוני אבטחת מידע ותקשוב במערכות תבל רקע , הליך ניהול סיכונים כולל 36)על פי הנחיית היחידה להגנת הסייבר בממשלה (יה"ב את השלבים האלה: זיהוי הסיכונים; ניתוח הסיכונים; אומדן רמת הסיכון (הערכה של הסבירות להתרחשות הסיכון ושל מידת הנזק בגינו); קביעת תוכנית להפחתת הסיכונים המהותיים; פיקוח על הסיכונים שזוהו ומעקב אחר יישום התוכנית .
37להפחתתם סיכוני תקשוב כוללים כמה סוגים, ובהם (א) סיכוני תקשוב בפרויקט בשל אירועי כשל העלולים לפגוע בהשגת מטרות הפרויקט; (ב) סיכוני תקשוב במערכת מידע ובתהליך העסקי שבו היא תומכת לרבות דיוק הנתונים בממשקים ושלמותם, ניהול הרשאות ועוד; (ג) סיכוני אבטחת מידע הנובעים מהאפשרות לחשיפה או לפגיעה .
38וגרימת נזק לנכסי המידע בארגון עקב ניצול חולשה של המערכת הממוחשבת סיכון אבטחת מידע הוא שילוב של שלושה מרכיבים: (א) נכסי המידע - המידע, מערכות המחשוב המעבדות אותו והמאכסנות אותו, וכן התקשורת, האמצעים והציוד שעליהם הוא מושתת; (ב) חולשה או פגיעוּת - פרצה במערכת הממוחשבת, אשר עלולה לפגוע בסודיות המערכת ובמידע שהיא מכילה, בשלמותה או בזמינותה; (ג) איום - כל שילוב מצבים העלולים להשפיע לרעה על פעולות הארגון, על נכסיו או על אנשים באמצעות מערכת המידע לצורך השגת גישה לא מורשית למידע, הרס המידע, חשיפתו או שינויים בו.
כדי לאמוד את הסיכון יש לנתח את המצב של כל להלן.
10 אחד משלושת המרכיבים - ראו פרטים בתרשים הוקמה היחידה להגנת הסייבר בכפיפות לראש רשות התקשוב ובהנחיה מקצועית של הרשות 2015- ב36 הלאומית להגנת הסייבר.
היחידה נועדה להיות גוף הכוונה והנחיה מקצועית בתחום הגנת הסייבר עבור כל משרדי הממשלה ויחידות הסמך, ובין תפקידיה גיבוש מדיניות ארגונית, שיטות עבודה ונהלים.
כאמור, הביטוח הלאומי אינו מחויב לפעול על פי הנחיותיה של רשות התקשוב.
של היחידה להגנת הסייבר בממשלה בנושא "ניהול סיכוני סייבר במשרדי ממשלה".
" של ראש רשות התקשוב בנושא "עקרונות לניהול סיכוני תקשוב במשרדי ממשלה 1.
01 ' הנחיה מס 38 572 2020- התש"ף | ג70 דוח ביקורת שנתי| מבקר המדינה2020- התש"ף | ג70 דוח ביקורת שנתי| מבקר המדינה: שלושת המרכיבים היוצרים סיכון לאבטחת המידע10 תרשים על פי הנחיות היחידה להגנת הסייבר בממשלה, בעיבוד משרד מבקר המדינה.
(ג) לתקנות הפרטיות, במאגר מידע שחלה עליו רמת האבטחה 5 על פי סעיף הגבוהה, בעל המאגר אחראי לביצוע סקר לאיתור סיכוני אבטחת המידע (להלן - סקר סיכונים): בעל מאגר המידע ידון בתוצאות סקר הסיכונים שיועברו לו, ובעקבותיהן יבחן את הצורך בעדכון של מסמך הגדרות המאגר או של נוהל האבטחה ויפעל לתיקון הליקויים שהתגלו במסגרת הסקר, אם התגלו; סקר סיכונים כאמור חודשים לפחות.
18-ייעשה אחת ל (להלן - מסמך תורת ההגנה) שפרסם 39"על פי מסמך "תורת ההגנה בסייבר לארגון (להלן - מערך 201840 מערך הסייבר הלאומי במשרד ראש הממשלה באפריל הסייבר), יש להעריך את סיכוני הסייבר ואבטחת המידע הקשורים לפיתוח ולרכש של מערכת חדשה ולנהלם על פי תהליכי ניהול הסיכונים בארגון, וזאת כדי לוודא כי היבטי ההגנה שולבו עוד בשלב הייזום והתכנון ולאחר מכן בפיתוח ובהעברה .
41לייצור המסמך מגדיר שיטה סדורה שבאמצעותה יכיר הארגון את הסיכונים הרלוונטיים לו, יגבש פתרון להגנתו 39 .
ויממש תוכנית לצמצום הסיכונים שקבעה כי יש לאחד את שני גופי מערך הסייבר הלאומי 3270 התקבלה החלטת הממשלה 2017 בדצמבר 40 - מטה הסייבר הלאומי והרשות הלאומית להגנת הסייבר - ליחידה ארגונית אחת.
בהחלטה נקבע כי מערך הסייבר הלאומי יהיה אחראי לכל ההיבטים של הגנת הסייבר במרחב האזרחי, מגיבוש מדיניות ובניין כוח טכנולוגי ועד הגנה מבצעית.
3 בקרה בתחום אבטחת הרכש ופיתוח ובנושא ניהול סיכוני סייבר, סעיף 41 פרויקט תבל לשדרוג מערך המחשוב במוסד לביטוח לאומי| פרויקט תבל לשדרוג מערך המחשוב במוסד לביטוח לאומי|573 מוסדות המדינה, חברות ממשלתיות ותאגידים| פרק שלישי מוסדות המדינה, חברות ממשלתיות ותאגידים| פרק שלישי , מנהל הפרויקט ישלב בפרויקט עקרונות42על פי נוהל מינהל תקשוב ומערכות מידע ושיקולים לאבטחת המידע בכל שלבי מחזור החיים של הפרויקט בתיאום עם חטיבת אבטחת המידע, ובהם ביצוע סקר סיכוני אבטחת מידע לפרויקט ולמערכת לפני סיום האפיון המפורט ושילוב פתרונות לסיכונים באפיון המפורט, שילוב בדיקות אבטחת מידע בשלב הבדיקות וקבלת אישור מחטיבת אבטחת מידע לעלייה לאוויר.
צוות תבל מנהל את סיכוני התקשוב בפרויקט על פי המסמך "מפת הסיכונים בפרויקט", הכולל סיכונים כגון אי-עמידה בתוכנית הפריסה הארצית של מערכת נכות כללית ושירותים מיוחדים, מחסור במשאבי כוח אדם מיומן וריבוי תקלות.
לכל סיכון נקבעה ההסתברות להתרחשותו והנזק הפוטנציאלי בגינו, וכן נקבעו משימות להפחתת הסיכונים המהותיים.
ב"מפת הסיכונים בפרויקט" לא נכללו סיכוני אבטחת מידע כהגדרתם לעיל.
לעניין זה הסביר מנהל הבטחת האיכות בפרויקט (להלן - מנהל האיכות) כי סיכונים הקשורים באבטחת המידע מנוהלים במסגרת הליך ניהול סיכונים שמבצע מינהל תקשוב ומערכות מידע בכל מערכות המידע בביטוח הלאומי.
העביר מנהל האיכות למשרד מבקר המדינה את מסמך "טיוטת מפת 2019 במאי סיכוני תמ"מ" (להלן - מפת הסיכונים) ובו המיפוי של סיכוני אבטחת המידע בביטוח הלאומי, ובהם: סיכון ל"דלף מידע" (למשל בגין חיבור של גורמים חיצוניים למערכות הליבה של הביטוח הלאומי או שימוש במידע על ידי עובדים שאינם מורשים לכך), וסיכון למתקפת סייבר (למשל בגין מדיניות סיסמאות חלשה או בגין שכבת הגנה שאינה מספקת).
עלה כי במסגרת הליך סקר סיכונים שביצע הביטוח הלאומי לכל מערכות המידע בארגון מופו חלק מסיכוני התקשוב ואבטחת המידע, ולא נאמדו הסבירות והנזקים לכל סיכון, אף שחלק מהמערכות כוללות מידע רגיש ונדרשת בהן רמת האבטחה הגבוהה כמוגדר בחוק הפרטיות ובתקנותיו.
ערך הביטוח הלאומי בדיקות אבטחת מידע בתבל (ראו 2018 יצוין כי בשנת להלן).
על הביטוח הלאומי לנהל את סיכוני התקשוב ואבטחת המידע במערכות תבל באופן ייעודי, שוטף ויסודי בכל שלבי הפרויקט (אפיון, עלייה לאוויר וכיו"ב).
זאת כדי לזהות מבעוד מועד סיכונים הנובעים מפיתוח לא נכון או לא עקבי של המערכת או מדרישות אבטחת מידע לא מספקות בשלבי הפיתוח, אשר עלולים לפגוע בשלמות הנתונים במערכת ובמהימנותם.
נוהל מינהל תקשוב ומערכות מידע בנושא "נוהל כללי למנהל פרויקט".
42 574 2020- התש"ף | ג70 דוח ביקורת שנתי| מבקר המדינה2020- התש"ף | ג70 דוח ביקורת שנתי| מבקר המדינה ביצוע בדיקות חוסן בפרויקט תבל רקע ככלל, תוכנה עלולה להיפגע מסיבות שונות: פיתוח לא נכון או לא עקבי של המוצר, דרישות אבטחת מידע לא מספקות בכל שלבי הפיתוח, גילוי חולשות חדשות ועד לעדכון המערכת 43במערכות המידע ועוד.
בטווח הזמן שלאחר פרסום החולשה גוברת ההסתברות לתקיפת הארגון באמצעות החולשה ואיתה גוברים גם החשיפה ועל גורמי אבטחת המידע בארגון לנצלו תחום זמן זה מוגדר קריטי והסיכון לארגון.
44כדי לפעול במהירות וביעילות המרביות (ד) לתקנות הפרטיות קובע כי במאגר מידע שחלה עליו רמת האבטחה 5 סעיף הגבוהה, בעל המאגר אחראי לכך שייעשו מבדקי חדירות (להלן גם - בדיקות חוסן) למערכות המאגר לבחינת עמידותן בפני סיכונים פנימיים וחיצוניים אחת חודשים לפחות; בעל המאגר ידון בתוצאות מבדקי החדירות ויפעל לתיקון 18-ל .
הליקויים שהתגלו יש לבצע בדיקות אבטחת מידע ולטפל בחשיפות 45על פי מסמך תורת ההגנה שנתגלו בהן לפני הטמעת המערכות והשירותים.
בדיקות אלה יכללו לכל הפחות בדיקה של פונקציונליות האבטחה ובדיקה של חשיפות האבטחה.
הארגון יוודא כי בוצעו בדיקות אבטחת מידע לפני העלאת מערכות חדשות או שירות חדש לאוויר או בעת ביצוע העדכונים במערכת.
בדוח היועצים, בפרק העוסק בהמלצות בהיבטים המקצועיים והטכנולוגיים בפרויקט, נכתב בין היתר כי יש להטמיע מרכיבים של אבטחת מידע החל מהשלב הראשון בתהליך הפיתוח של המערכת החדשה, וכי יש לבצע אחת לרבעון מבדקי חדירות למערכות הנמצאות בתפעול שוטף.
המידע בדבר חולשה חדשה במערכת המידע עשוי לבוא מגורמים אחדים כגון יצרן התוכנה, גורם רגולטיבי 43 ,(למשל יה"ב) או מקורות מידע פנימיים בארגון: עובדים ערניים, בדיקות חוסן ליישומים ולתשתיות בדיקות קוד ועוד.
18 - בנושא "מדיניות עדכון מערכות מידע בממשלה", בתוקף מ 5.
15 ' הנחיית יה"ב מס 44 .
9 סעיף 45 פרויקט תבל לשדרוג מערך המחשוב במוסד לביטוח לאומי| פרויקט תבל לשדרוג מערך המחשוב במוסד לביטוח לאומי|575 מוסדות המדינה, חברות ממשלתיות ותאגידים| פרק שלישי מוסדות המדינה, חברות ממשלתיות ותאגידים| פרק שלישי2018 בדיקות החוסן שעשה הביטוח הלאומי בתבל בפברואר ובנובמבר ביצעה חברה חיצונית (להלן - החברה) בדיקות חדירות בתבל (להלן 2018 בפברואר ).
הבדיקות נעשו לבקשת הביטוח הלאומי, בין היתר 2018 - הבדיקות מפברואר במסגרת יישום ההמלצות שבדוח היועצים כאמור, והן נועדו לבחון את חוסנה של המערכת ולאמוד את רמת האבטחה שלה.
התמקדו ביישומו של הרובד הטכנולוגי במערכת ובבחינת 2018 הבדיקות מפברואר עמידות הלוגיקה העסקית בתהליכים השונים המרכיבים אותה.
הן נועדו לחשוף את הסיכונים בהיבטי אבטחת מידע כגון זליגת מידע אישי וארגוני, וכן פגיעה בזמינות המערכת ובמערכת עצמה לרבות בשרתים, בארגון ובמשתמשי המערכת.
- נזק נבחנו על בסיס שני מרכיבים: 2018 החולשות שנתגלו בבדיקות מפברואר סבירותהערכת התוצאה הסופית, כלומר הנזק שייגרם בעקבות התממשות החולשה, ו - הערכת הסיכוי שייגרם נזק בעקבות אותה החולשה.
שקלול שני המרכיבים קבע את רמת הסיכון הסופית של הממצא, כמפורט ב"מודל לקביעת רמת הסיכון למימוש .
46 להלן11 חולשה באבטחת המידע של המערכת" המוצג בתרשים המודל לקביעת רמת הסיכון להתממשות חולשה באבטחת :11 תרשים המידע של המערכת רמת הנזק הסבירות גבוהבינונינמוךלהתממשות בינוניתנמוכהאינפורמטיביתנמוכה גבוההבינוניתנמוכהבינונית קריטיתגבוההבינוניתגבוהה המקור: הביטוח הלאומי.
נמצאו שש חולשות באבטחת המידע בפרויקט תבל 2018 בבדיקות מפברואר ברמות חומרה שונות.
הביקורת העלתה כי אף שמסמך תורת ההגנה קובע כי בדיקות אבטחת המידע יבוצעו לפני העלאת מערכות או שירות חדש לאוויר, הביטוח הלאומי ביצע בדיקות חוסן לאחת ממערכות תבל יותר משנה אחרי שהמערכת עלתה לאוויר.
OWASP נקבעה על פי הנוסחה שהגדיר ארגון 2018 רמת הסיכון בבדיקות מפברואר 46 ).
ארגון זה מפרסם מאמרים, מתודולוגיות, תיעוד, כלים Open Web Application Security Project ( .
וטכנולוגיות בתחום של אבטחת יישומי אינטרנט 576 2020- התש"ף | ג70 דוח ביקורת שנתי| מבקר המדינה2020- התש"ף | ג70 דוח ביקורת שנתי| מבקר המדינה בממצאי בדיקת החוסן שנעשתה2018 עוד עלה כי הביטוח הלאומי דן במאי - כשלושה חודשים לאחר ביצוע הבדיקה, אף שבטווח הזמן 2018 בפברואר שלאחר גילוי החולשה ועד לעדכון המערכת גוברת ההסתברות לתקיפת הארגון באמצעות אותה החולשה, ולכן תחום זמן זה מוגדר קריטי ועל גורמי אבטחת המידע בארגון לפעול בו במהירות.
2018 בבדיקת חוסן נוספת שעשתה החברה לבקשת הביטוח הלאומי בנובמבר נמצאו שלוש חולשות ברמות חומרה שונות.
שתי חולשות מתוך השלוש כבר .