HeTree/MevakerConcSen huggingface dataset:
ברשויות המקומיות - מיזם ערים חכמות", עמ' 412 - 413 .
| 93 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה תרשים 14: מצב ההגנה בתחומים שנבדקו במסגרת שאלון בתחום התחבורה .
הגנת הסייבר במגזר התחבורה החלת המדיניות על הגופים שאליהם הועבר השאלון: במועד סיום הביקורת, המדיניות .
חלה על שלושה גופים בתחום התחבורה המוגדר ים כגופ י A 35 .
כאמור, המדיניות קובעת כי גופי .
מגזר התחבורה יסווגו לשלוש רמות דירוג: A,B,C , בהתאם לחומרת הפגיעה האפשרית באינטרס .
חיוני למדינה כתוצאה מתקיפת סייבר.
דירוג זה נקבע על ידי ועדה בראשות ראש אגף בכיר .
ביטחון חירום וסייבר במשרד התחבורה, כאשר אחת לשנה אמורה הוועדה לדון בהוספת או .
הסרת גופים מהרשימה בהתאם לקריטריונים ולאפיון הגופים.
הליקויים שעלו בשאלון נמצאו גם בעיריות שבהן מערכות בתחום התחבורה טרם סווגו, ולכן .
אינן נדרשות לעמוד בדרישות המדיניות.
בהתאם לתבחיני הנזק אשר למולם מתבצע תהליך דירוג הגופים, לדעת משרד מבקר .
המדינה העיריות העוסקות בהיבט שנבחן בדוח זה ב תחום התחבורה עומדות בתבחינים .
לשם סיווגן כגוף A אוB ,.
לכןמומלץ כי משרד התחבורה יעדכן את סיווג הגופים כך .
שעיריות אלו יידרשו לעמוד בדרישות המדיניות.
מתוך ראייה צופה פני עתיד, הדוח כולל המלצות גם עבור עיריות העוסקות בהיבט שנבחן בדוח .
זה בתחום התחבורה שאינן מסווגות כיום כגופי A אוB ולפיכך המדיניות אינה מחייבת אותן כיום .
מבחינה פורמלית, אך צפויה לחייבן לאחר ביצוע עדכון סיווג הגופים על ידי משרד התחבורה.
עירייה י' מסרה בתשובתה כי היא רואה חשיבות בביצוע פעולות שתכליתן להיערך לקראת .
החלת המדיניות גם עליה, ולפיכך מינתה גורם בעירייה שיוכשר להתמודדות עם אתגרי הסייבר .
היעדר מערכות בתחום ה תחבורה : עיריות מסויימות השיבו כי אין להן מערכת מרכזית .
ספקים : נמצא כי חברות אחדות נותנות שירות למערכות בתחום התחבורה לכל הגופים בתחום, .
וכן נמצא כי מערכות אלה מבוססות על מספר מועט של תוכנות.
אירועים שהתרחשו: כל הגופים דיווחו כי למיטב ידיעתם לא התרחשו אצלם אירועי סייבר .
הקשורים למערכות בתחום ה תחבורה בשנים 2019 עד 2021 .
פירוט הממצאיםהעיקריים שעלו בשאלונים 1.
מבנה ארגוני תומך הגנת הסייבר .
לפי המדיניות, בגוף עליו חלה המדיניות, יש למנות לפחות את בעלי התפקידים האלה: .
ממונה הגנת הסייבר , מנהל הגנת הסייבר וכן ועדת היגוי להגנת הסייבר .
רבים המחזיקים מאגרי מידע, בעלי תפקידים וחברי ועדות אלה מכהנים בתפקידם בגוף .
35 משרד התחבורה מסר בתשובתו ביולי2022 כי שני גופים אמנם מסווגים כגופיA , אך אינם כפופים לאגף הסייבר .
במשרד ונעזרים בשירותיו באופן וולנטרי וזמני.
| 95 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה ממילא מתוקף החובות לפי תקנות אבטחת מידע.
נוסף על כך, לפי המדיניות, על ועדות .
היגוי הסייבר להתכנס אחת לחצי שנה לפחות.
ממשל תאגידי האם יש בגוף בעלי תפקידים שאחראים להגנת הסייבר ולאבטחת המידע .
במערכות בתחום התחבורה ?
ממשל תאגידי האם מונתה ועדת היגוי סייבר במסגרת הגוף?
נמצא כי בשיעור קטן ב גופים שהשיבו על השאלון לא קיימים בעלי תפקידים .
שאחראים בצורה רשמית ומעשית להגנת הסייבר בגוף ככלל ובתחום התחבורה .
בעיריי ה ה' נמצא כי קיימים בעלי תפקידים בתחום הגנת הסייבר, אך הם .
אינם עוסקים בתחום התחבורה.
עוד נמצא כי בשיעור בינוני בגופים שנבדקו לא .
קיימות ועדות היגוי העוסקות בנושא הגנת הסייבר .
על העיריות האמורות למנות את בעלי התפקידים הנדרשים וכן למנות ועדת היגוי .
בנושא סייבר ולכנסה בקביעות.
מינוי בעלי התפקידים והתכנסות ועדת ההיגוי .
יאפשר ו להנהלת העירייה לקבל תמונת מצב ברורה של מצב הגנת הסייבר של .
מערכות הארגון ביחס לסיכונים הקיימים, לטפל בפערים הקיימים, לדון באירועי .
סייבר שהארגון חווה ולעקוב אחר העמידה במימוש ת וכנית העבודה המוגדרת.
עירייה ח' מסרה בתשובתה כי היא מקבלת את ההערה בנושא ועדת היגוי סייבר , והיא .
תפעל להקים ועדה שכזאת עם בעלי התפקידים הרלוונטי ים ברשות.
עירייה י' מסרה בתשובתה כי אף שהמדיניות אינה חלה על העירייה, היא תפעל למנות .
ממונה או מנהל הגנת סייבר וכן תפעל להקמת ועדת היגוי סייבר.
קיום דרישות בתחום הסייבר או אבטחת המידע במכרז לבחירת ספקים בתחום התחבורה .
שרשרת האספקה משמשת במקרים רבים ערוץ לתקיפת הארגון: מחד התוקפים מנצלים .
את האמון הקיים בין הספק ללקוח, ומאידך את החולשות ו הפרצות אצל הספק שעלולות .
לאפשר גישה לרשת הארגון.
לפיכך הארגון נדרש להבטיח את רמת ההגנה בסייבר גם .
אצל הספקים ואצל קבלני המשנה שלו.
מערך הסייבר פרסם מתודולוגיה סדורה בנושא .
שרשרת האספקה וסיפק כלים לבחינת מידת ההגנה של הספק.
לגבי התקשרויות קיימות , הגוף נדרש למפות ולהעריך את הסיכונים הגלומים .
בהתקשרויות הקיימות עם כל אחד מהספקים הרלוונטיים, ו עבור ספקים מהותיים יש לבצע .
מבדק בידי בודק תאימות סייבר שמוסמך לבדוק את שרשרת האספקה הארגונית .
לממצאי המבדקים והשאלונים, הגוף נדרש לגבש וליישם תוכנית לצמצום הסיכונים מול .
הספקים בכלים העומדים לרשותו.
כלים אפשריים לדוגמה: סיום ההתקשרות עם הספק .
במקרה של סיכון חמור לארגון; בניית תוכנית משותפת עם הספק לטיפול בליקויים ופיצוי .
כספי במידת הצורך; ובקרות מפצות פנים -ארגוניות .
במכרזים והתקשרויות חדשות הגוף .
הגנת הסייבר במגזר התחבורה נדרש לכלול דרישות סייבר, בהתאם לדירוג הסיכון של הספק , כך ש ספקים מהותיים .
יידרשו להציג תעודת "ספק מאושר" מטעם גוף בדיקה מורשה.
כללי האם היו דרישות בתחום הסייבר או אבטחת המידע במכרז לבחירת ספקים של .
מערכות בתחום התחבורה?
נמצא כי בשיעור גבוה בגופים שנבדקו לא היו בהתקשרות עם ספקי מערכות בתחום .
התחבורה דרישות הנוגעות להגנת הסייבר .
יצוין כי לספקים אלו יכולת התחבר ות .
למערכות ועדכון התוכניות מרחוק.
עוד יצוין כי החוזים בתחום זה הם לעיתים ארוכי .
טווח - לדוגמה בעירייה ב' חלק מהחוזים יסתיימו בשנת 2031, ובעירייה ה' החוזה .
יסתיים בשנת 2025 עם אפשרות הארכהלחמש שנים נוספות.
מוצע כי העיריות האמורות ימפו ויעריכו את הסיכונים הגלומים בהתקשרויות קיימות .
שאינן כוללות דרישות סייבר , ויבצעו את דרישות המדיניות לגבי התקשרויות חדשות .
- נושא זה מהותי בעיקר בהתקשרויות שעתידות להסתיים בעוד שנים רבות.
עוד מוצע כי משרד התחבורה יכין בשיתוף מערך הסייבר ומשרד הפנים נספח .
דרישות סייבר אחיד הנוגע למערכות בתחום התחבורה.
עירייה ב' מסרה בתשובתה כי בחוזה יש דרישה למערכת בקר ת גישה מסוימת וכי בימים .
עירייה ו' מסרה בתשובתה כי מוטמע בכל המכרזים החדשים נספח אבטחת מידע, אך .
ההסכם עם הספק נחתם קודם הטמעת הנספח וישולב בחידוש ההסכם הבא.
הוסיפה כי היא מבצעת סקרי אבטחת מידע גם לתחום התחבורה ועומדת על השלמת .
עירייה ה' מסרה בתשובתה כי היא תידרש לבצע סקר סיכונים והגדרת דרישות אבטחת .
מידע וסייבר למול ספק בתחום התחבורה.
עירייה ז' מסרה בתשובתה כי היא תעביר דרישה לספק להחיל את דרישות הרגולציה .
בתחום אבטחת המידע במסגרת ההסכם בינו לבין העירייה.
עירייה ט' מסרה בתשובתה כי תשמח אם משרד התחבורה או משרד הפנים יוציאו הנחיות .
לשלטון המקומי המפרטות מה נדרש לכלול במכרזים אלו.
קיום פורום לשיתוף ידע בתחום התחבורה .
מערכות בתחום התחבורה בגופים השונים מתמודדות עם איומים דומים ולעיתים אף זהים .
הנוגעים לתחום התחבורה.
הקמת פורום לשיתוף ידע בין הגופים השונים עשויה לתרום .
להעלאת הרמה המקצועית של העוסקים בתחום, תוך שיתוף הדדי של מידע על הסיכונים .
ועל דרכי ההתמודדות שנקט כל גוף, על הכלים ועל הפתרונות שיושמו.
| 97 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה תובנות מתהליכי יישום רכיבי אבטחה כמו חומת אש ואנטי וירוס; תובנות מתהליך חיבור .
למרכזי SOC בהם בחרו הגופים להשתמש; ושיתוף מידע אודות התקפות אותן חוו הגופים .
והדרך בה נקטו לטיפול בהן.
כללי האם יש לכם פורום לשיתוף ידע בתחום התחבורה?
הועלה כי אין פורום ממוסד לשיתוף מידע בין הגופים השונים העושים שימוש .
במערכות בתחום ה תחבורה.
עוד עלה כי לשיעור בינוני בגופים שנבדקו אין קשר .
מקצועי עם גופים אחרים בעניין הגנת הסייבר על תחום התחבורה ברשות.
מוצע כי משרד התחבורה ייצור בשיתוף מערך הסייבר ומשרד הפנים, פורום לשיתוף .
ידע במערכות בתחום התחבורה , זאת לצורך שיפור רמת ההגנה בסייבר בתחום זה.
עירייה ה' מסרה בתשובתה כי אם יקום פורום לשיתוף ידע בתחום התחבורה, העירייה .
תשתתף בו, וכי קיים פורום מקצועי למנהלי אבטחת מידע ברשויות.
במדיניות נקבע כי הגוף המגזרי נדרש להכין תוכנית רב - שנתית ולבצע סקרי סיכוני סייבר .
ומבדקי חדירה תקופתיים למוצרי אבטחה, למערכות, לתשתיות ו לתהליכים מרכזיים, וכי .
הטיפול בממצאי הסקרים ישולב בתוכניות העבודה השנתיות.
הת וכנית תכלול סקר מקיף .
של כלל תשתיות הארגון אחת לשנתיים, ומומלץ לשלב סקרי עומק ייעודים על מערכות או .
תשתיות ייעודיות באופן עיתי.
קיום מבדקי חדירות וסקרי סיכונים יאפשר ל ארגון לקבל .
תמונת מצב מפורטת ב נוגע לפערי ההגנה בסייבר הקיימים בתשתיות ובמערכות הארגון .
ממשל תאגידי האם בוצעו סקרי סיכונים בעניין מערכות בתחום התחבורה בשנים .
ממשל תאגידי האם בוצעו מבדקי חֲדִירּות לאיתור פרצות אבטחה במערכות בתחום .
התחבורה בשנים 2019 - 2021 ?
נמצא כי בשיעור גדול בגופים שנבדקו לא בוצעו סקרי סיכונים בשנים 2019 עד2021 .
כמו כן נמצאכי בשיעור גדול ב גופים שנבדקו לא בוצעו מבדקי חדירה בשנים 2019 .
על הגופים האמורים לקיים סקרי סיכונים בהתאם למדיניות הגנת הסייבר של משרד .
הגנת הסייבר במגזר התחבורה על הגופים האמורים לקיים מבדקי חדירות בהתאם למדיניות הגנת הסייבר של .
חברה ז' מסרה בתשובתה כי היא בתהליך התקשרות עם יועץ לצורך ביצוע סקר סיכונים .
כולל למערכות הארגוניות, וכי לפי תוכנית העבודה של החברה יבוצעו בשנת 2023 מבדקי .
עירייה ב' מסרה בתשובתה כי בדצמבר 2021 היא ביצעה סקר סיכונים, ובכוונתה לבצע .
מבדקי חדירות לאחר קבלת המסקנות וההמלצות ממנו, או בתוך 18 ,חודשים מביצוע הסקר .
עירייה ג' מסרה בתשובתה כי סקר סיכונים במערכות בתחום התחבורה בוצע בשנת 2017 , .
וכי רוב המלצות הסקר בוצעו.
העירייה הוסיפה כי סקר נוסף מתוכנן לשנת2022 .
עירייה ה' מסרה בתשובתה כי ההערה מקובלת, וכי סקרי סיכונים ומבדקי חדירות בתחום .
התחבורה יבוצעו עד סוף שנת 2022 .
עירייה ז' מסרה בתשובתה כי היא תיזום התקשרות עם חברה שעוסקת באבטחת מידע .
לצורך ביצוע סקר סיכונים ומבדקי חדירות.
תוכניות המשכיות עסקית והתאוששות מאסון .
במדיניות נקבע כי הנהלת הגוף המגזרי נושאת באחריות הכוללת להיערכות בסייבר למצבי .
משבר, ויהיה עליה לנהל את המשבר אם יתממש.
במסגרת זו עליה להכין ת וכנית המשכיות .
עסקית והתאוששות מאסון, הכוללת בין היתר ת וכנית להתמודדות עם משבר שמקורו .
בסייבר, ולהקים אתר חלופי (DR ) מופרדומרוחק ג יאוגרפית.
כן יש ליזום ולבצע אחת לשנה .
לפחות תרגילים ניהוליים ותרגילים טכניים לבדיקת ההיערכות ויכולת ההתאוששות .
ממשבר, לזיהוי פערים ו להנעת ת וכנית פעולה לשיפור.
ממשל תאגידי האם יש ברשותכם תוכנית להתאוששות עסקית הנוגעת לתחום התחבורה ?
ממשל תאגידי האם יש ברשותכם שרתי גיבוי?
נמצא כי בשיעור בינוני בגופים שנבדקו אין תוכנית התאוששות עסקית, וממילא הם .
על ה גופים האמור ים להגדיר ת וכנית התאוששות עסקית הכוללת פירוט של .
התהליכים העסקיים, הסיכונים החלים עליהם והגדרת המענים הניהוליים .
והטכנולוגיים להתמודדות איתם.
| 99 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה עיריית ה' מסרה בתשובתה כי המערכת בתחום התחבורה נמצאת אצל הספק.
העירייה הוסיף כי אם יתבקש על ידי העירייה להכין תוכנית התאוששות עסקית הוא ישתף .
סביבת בדיקות להיבטי הסייבר במערכות בתחום התחבורה .
להקמת סביבת בדיקות נודעת חשיבות רבה, וזאת כדי לאפשר בחינה מוגנת של תוכנות .
חדשות, עדכוני אבטחה וגרסאות תוכנה לתוכנות קיימות קודם העלאתם לסביבת הייצור.
וטכנולוגיה האם יש ברשותכם סביבת בדיקות, שבה נבדקים היבטי סייבר?
נמצא כי בשיעור גדול בגופים שנבדקו אין סביבת בדיקות, וגם אם יש, היא משמשת .
לבחינה פונקציונלית ולא לבחינת היבטי סייבר.
במצב זה העלאת עדכוני תוכנה עם .
נוזקה ישירות לסביבת הייצור עשוי ה לגרום לאירוע סייבר ואף להפ סקת השירות .
עירייה ב' מסרה בתשובתה כי היא ביצעה בדצמבר 2021 סקר סיכונים, וכי לאחר יישום .
המלצותיו תישקל הקמת סביבת בדיקות.
עירייה ג' מסרה בתשובתה כי עדכוני תוכנה מבוצעים ישירות על השרתים עם יכולת חזרה .
לאחור ברזולוציה של שעה, וכי לא קיימת סביבה או יכולת לבדיקות סייבר של תוכנות.
העירייה הוסיפה כי עדכוני תוכנה או קושחה אינם יכולים להתבצע מרחוק.
עירייה ו' מסרה בתשובתה כי ברשותה מערכת אבטחת מידע ב' לסריקת עדכונים קודם .
הכנסתם לרשת המוגדרת כרשת רגישה ונפרדת, וכי שרת המערכת הווירטואלי מוקשח .
לגישה רק מכתובות IP .
משרד מבקר המדינה מציין כי הכלים שצוינו בתשובות חלק מהעיריות אינם נותנים .
מענה מלא לסיכון שקיים בהכנסת פוגען או חולשה ישירות לסביבת הייצור, זאת .
בהיעדר שימוש בסביבת בדיקות.
מוצע לגופים האמורים לבחון העלאת עדכוני תוכנה ועדכוני אבטחה לסביבה שונה .
מסביבת הייצור, אם על ידי שימוש בשרת צדדי ואם על ידי הקמת סביבת בדיקות .
עוד מוצע כי משרד התחבורה יבחן את הסיכון הקיים בהיעדר סביבת בדיקות .
במרבית הגופים ויקים סביבת בדיקות אחודה עבור הגופים השונים במסגרת המרכז .
לסייבר בתחבורה חכמה הממוקם בבאר שבע.
הגנת הסייבר במגזר התחבורה 7.
שימוש במערכות הפעלה ישנות שאינן נתמכות עוד על ידי היצרן : מערכת הפעלה .
היא תוכנה המנהלת את משאבי החומרה והתוכנה במחשב.
יצרניות מערכות ההפעלה .
מפיצות מפעם לפעם עדכוני תוכנה, ובהם כאלה המיועדים לצורך תיקוני פרצות אבטחה .
מערכות ההפעלה נתמכות שנים אחדות לאחר הפצתן, ולאחר מכן .
היצרן מפסיק להפיץ עדכונים למערכת, לרבות עדכוני אבטחה.
ולקבל את עדכוני האבטחה, על משתמשי מערכות ההפעלה לדאוג לשדרוג הגרסאות .
מפעם לפעם לצורך המשך קבלת העדכונים מצד היצרן.
עדכוני אבטחת מידע למערכות בתחום ה תחבורה: בדומה למערכות ההפעלה, גם .
לרכיבים בתחום התחבורה מופצים מפעם לפעם עדכוני תוכנה על ידי היצרנים, ובהם .
כאלה המיועדים לצורך תיקוני פרצות אבטחה שהתגלו במערכת.
וטכנולוגיה אילו מערכות הפעלה משמשות את המערכות בתחום התחבורה?
נועדה לבחון אם נעשה שימוש במערכות הפעלה שאינן נתמכות על ידי .
וטכנולוגיה באיזו תדירות ביצעתם בשנים 2019 - 2021 עדכוני אבטחת מידעבמערכות .
שימוש במערכות הפעלה ישנות שאינן נתמכות עוד על ידי היצרן: באף אחד .
מהגופים שנבדקו לא קיימת גרסה ישנה של מערכת הפעלה אשר אינה נתמכת עוד .
עדכוני אבטחת מידע במערכות בתחום ה תחבורה : נמצא כי בשיעור בינוני .
בגופים שנבדקו לא בוצעו בשנים 2019 עד 2021 התקנות סדירות של עדכוני אבטחת .
המידע (כלומר בתדירות של פעם בשנה לפחות), ובעירייה ז' לא בוצעו כלל עדכונים .
על העיריות האמורות לקיים תהליך ניהול עדכונים שוטף לצורך טיפול בחולשות .
אבטחה המתגלות מפעם לפעם בתשתיות המחשוב שבאחריותן כדי להפחית את .
הסיכון להתרחשותם של אירועי סייבר.
עירייה ז' מסרה בתשובתה כי היא תבחן לשלב את המערכות בתחום התחבורה בנוהל .
עדכוני אבטחת המידע של כלל מערכות העירייה.
רכיבי אבטחה המותקנים במערכות בתחום התחבורה .
קיימים כמה רכיבי הגנה מקובלים המיושמים ברשתות מחשבים רגישות בכלל וברשתות .
המשמשות את תחום התחבורה בפרט: חומת אש - רכיב ברשתות מחשבים החוסם או .
מאפשר תעבורת רשת על פי סט קבוע או משתנה של חוקים; אנטי -וירוס - תוכנה שמיועדת .
לאתר וירוסי מחשב ולהגן על המחשב מפני פעילותם .
| 101 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה התחום השאלה .
וטכנולוגיה אנא ציינו אם כל אחד מרכיבי האבטחה הבאים מיושם במערכות בתחום .
מערכת אבטחת מידע א' .
מערכת אבטחת מידע ב' .
חומת אש: נמצא כי רכיב זה מיושם בכל הגופים שנבדקו.
אנטי-וירוס : נמצא כי רכיב זה מיושם בשיעור גדול בגופים שנבדקו .
מערכת אבטחת מידע א': נמצא כי מערכת זו אינה מיושמת ב שיעור גדול בגופים .
כן נמצא כי בעיריי ה ו' רכיב זה מיושם חלקית.
מערכת אבטחת מידע ב': נמצא כי מערכת זו אינה מיושמת בשיעור גדול בגופים .
חברה ז' מסרה בתשובתה כי בוצעה בחינה על ידי החברה, ונמצא כי פתרונות מערכת .
אבטחת מידע א' אינה מתאימה ליישום בסביבת המערכ ות בתחום התחבורה של החברה, .
ולפיכך החברה פועלת להגדרת בקרות מפצות ונמצאת לקראת ביצוע הוכחת היתכנות .
(POC ) לבחינת הפתרון המתאים.
עירייה ב' מסרה בתשובתה כי קיימת ברשותה מערכת דומה למערכת אבטחת מידע ב' .
והיא סבור ה שאין לה צורך במערכת אבטחת מידע ב'.
עירייה ג' מסרה בתשובתה כי מערכות א' וב' לא יושמו מפאת היעדר תקציב.
עירייה ד' מסרה בתשובתה כי אכן מערכת אבטחת מידע א' אינה מיושמת.
שהמערכת בתחום התחבורה היא מערכת עצמאית שאינה מקושרת למערכות העירייה, אין .
עירייה ה' מסרה בתשובתה כי היא תבצע סקר סיכונים מול ספק מסוים בתחום התחבורה, .
ובמסגרתו יועברו המלצות לתיקון פערים אם יימצאו.
עירייה ז' מסרה בתשובתה כי היא תפעל בהקדם להתקנת אנטי וירוס ומערכת אבטחת .
מידע א' בתחום התחבורה.
עירייה ו' מסרה בתשובתה כי היא תבחן את הנושא.
הגנת הסייבר במגזר התחבורה על הגופים האמורים לבחון את הצורך ביישום כל אחד מרכיבי ההגנה לעיל שאינם .
מיושמים אצלם ולהתקינם במידת הצורך.
יובהר כי כל אחד מרכיבי ההגנה מספק .
מענה לצורך אחר ואינם מהווים תחליף האחד לשני.
קיום תהליכי תיעוד וניטור אפקטיביים הוא מרכיב חשוב במעטפת ההגנה בסייבר בארגון, .
המאפשר לזהות אירועי סייבר בזמן אמת ולקיים תחקור טכני של האירועים לצורך .
התמודדות איתם ומניעת חזרתם.
נמצאו פערים בתחום התיעוד והניטור של מערכות בתחום התחבורה.
הוצגו לגופים והם מסרו בתשובתם כי הם פועלים לטיפול בממצאים.
תיעוד וניטור האם קיים חיבור למרכז בקרה?
תיעוד וניטור האם מתקבלת התראה אוטומטית בנושא מסוים?
תיעוד וניטור האם נשמרים לוגים של הפעילות במערכות בתחום התחבורה?
חיבור למרכז בקרה : נמצא כי בשיעור גדול בגופים שנבדקו מערכות בתחום .
התחבורה אינן מחובר ות למרכז בקרה בנושא מסוים.
שמירת לוגים של הפעילות במערכות בתחום התחבורה : בכל הגופים שנבדקו .
נשמרים הלוגים במערכ ות בתחום התחבורה ונבדקים בידי בעלי תפקידים שונים .
נמצא כי בעירייה ד' אומנם הלוגים נשמרים, אך הם אינם נבדקים .
התראה אוטומטית בנושא מסוים : בשיעור גדול בגופים שנבדקו נשלחת התראה .
למרכז הבקרה בנושא מסוים, למעט ב עיריות ב' וד'.
ניהול משתמשים והרשאותבמערכות בתחום התחבורה .
נמצאו פערים בתחום ניהול ה משתמשים וההרשאות.
נושאים אלו הוצגו לגופים והם .
מסרו בתשובתם כי הם פועלים לטיפול בממצאים.
ישנם כלים המאפשר ים ניהול ושליטה מרכזיים של משתמשי המחשוב ומשאבי המחשוב .
בארגון ו כן החלת מדיניות ארגונית, הגדרת הרשאות עבור משתמשים והתקנת תוכנות .
שימוש נכון בכלים אלו משפר את רמת אבטחת המידע באמצעות ניהול הרשאות .
יעיל ואף חוסך עלויות באמצעות ייעול ניהול המחשוב בארגון.
| 103 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה שינוי סיסמאות באופן עיתי והסרת משתמשים שאינם פעילים מקטינים את הסיכון לחדירה .
לארגון מצד גורם זדוני.
והרשאות האם מבוצע מנגנון בקרה מסוים?
והרשאות נושא א' בתחום ניהול המשתמשים וההרשאות.
והרשאות האם קיים נוהל להסרת משתמשים (למשל לא פעילים או כאלו שעזבו את .
הסרת משתמשים : נמצא כי בשיעור בינוני בגופים שנבדקו לא קיים נוהל להסרת .
משתמשים - למשל משתמשים שאינם פעילים או כאלה שעזבו את הארגון.
ד' ציינו כי א ומנם קיים נוהל, אך בשנים 2019 עד 2021 בוצעהבעירייה בקרה .
בתדירות "נמוכה מאוד" על כך שלא קיימים משתמשים לא פעילים.
מדובר בעובדים בעלי מודעות נמוכה לאבטחת מידע, ובהם עובדי הארגון ועובדי .
הספק המתחברים מרחוק, שלהם הרשאות גישה לכלל התחום ולכן יש חשיבות .
עליונה להסרתם בעת שהם הופכים למשתמשים שאינם פעילים.
מומלץ לגופים האמורים ליישם את השינויים הנדרשים בתחום ניהול המשתמשים .
עירייה ה' מסרה בתשובתה כי ייקבעו למול ספק מסוים בתחום התחבורה דרישות אבטחה .
והגנת הסייבר מותאמים לדרישות מערך הסייבר הלאומי.
עירייה ו' מסרה בתשובתה לגבי הסרת משתמשים כי הרשאותיו של משתמש שעוזב את .
הארגון נמחקות מהרשת, וקיים דוח בקרה המוודא כי אין עובדים שעזבו וברשותם משתמש .
כן הוסיפה העירייה כי תפעל לסגירת הפער.
יכולת גישה מרחוק של עובדי הארגון או ספקיו לתשתיות הארגון מאפשרת לארגון לבצע .
את משימותיו בצורה אפקטיבית.
עם זאת, החיבור מגדיל את "משטח התקיפה" ומשית .
סיכונים רבים על הסודיות, הזמינות ו ה מהימנות של המידע בארגון.
באחריות הארגון לבצע .
ניהול סיכונים לתהליך הגישה מרחוק וליישם בקרות מתאימות להגנה בסייבר על מנת .
כך לדוגמ ה, באפר יל 2022 היו בעירייה א' 38 משתמשים המורשים .
להשתמש בהיבט מסוים בתחום התחבורה - מתוכם 11 משתמשים חיצוניים שהם עובדי .
חברות פרטיות המספקות שירות לעירייה (מפתחי ם, טכנאי ויועץ), והם בעלי הרשאה .
הגנת הסייבר במגזר התחבורה התחום השאלה .
גישה מרחוק האם יש נוהל עבודה המסדיר את אופן הגישה מרחוק של ספקי המערכת?
גישה מרחוק האם יש הקלטה או שמירה של לוג של פעילות של ספקי המערכת בעת .
נמצא כי בכלל הגופים קיימת גישה מרחוק לתשתיות הארגון עבור ספקים ומפתחים.
עם זאת, נמצא כי בחלק מהארגונים מענה ההגנה בסייבר הקיים בתשתית הגישה .
מרחוק אינו מותאם לסיכונים הרבים הנשקפים בגישה מרחוק.
נוהל עבודה המסדיר את אופן הגישה מרחוק של ספקי מערכות בתחום .
התחבורה: נמצא כי בשיעור בינוני בגופים שנבדקו לא קיים נוהל כאמור.
הקלטה או שמירה של לוג של פעילות ספקי המערכת בעת החיבור מרחוק: .
נמצא כי ב שיעור קטן בגופים שנבדקו אין הקלטה או שמירה של לוג כאמור .
על הגופים האמורים לקיים תהליך ניהול סיכונים ובחינת מענ ה ההגנה המיוש ם .
בתהליך הגישה מרחוק ולפעול לטיפול בליקויים שיימצאו בתהליך זה.
נוכח הממצאים שעלו מהשאלון, על הגופים שנבדקו לקיים הערכת מצב ולקבוע .
תוכנית עבודה לתיקון הליקויים.
מבדק חדירה במערכות בתחום התחבורה של .
משרד מבקר המדינה ביצע בעירייה א' מבדק חדירה.
מטרת ה מבדק הייתה לזהות חולשות .
העשויות לגרום לסיכוני ם הנוגעים לזמינות, למהימנות ו לסודיות התשתיות, זאת באמצעות .
תרחישי תקיפה שונים העושים שימוש בחולשות אבטחה.
הבדיקה בוצעה בסביבת הייצור , ולכן ננקטו פעולות להפחתת הסיכונים שהשפיעו על תכנון .
המבדק ובהן: ביצוע המבדק רק על רכיבים ייעודיים שנבחרו בשלב תכנון המבדק; ביצוע .
המבדק על שרתי גיבוי ככל הניתן; הפעלת כלים אוטומטיים באמצעות סריקה מדורגת כדי שלא .
לפגוע בעומסים על השרתים; תשאול בנוגע לחלק מהרכיבים שהועלה חשש מהפעלת כלים .
עליהם; והיעדר ניצול חולשות שנמצאו במבדק אלא רק הוכחת יכולת.
משרד מבקר המדינה מציין לחיוב את שיתוף הפעולה מצד עריייה א' בכל שלבי מבדק .
החדירה: החל בתכנונו, דרך ביצועו, תהליך הצגת הממצאים והנכונות לשפר את .
התהליכים הקיימים וכלה בטיפול בחלק מהליקויים שנמצאו בזמן קצר ביותר.
להלן פירוט הממצאים שעלו במבדק החדירה בלבד.
יצוין כי מבדק החדירה אומנם בוצע רק .
בעירייה א', אולם הממצאים העולים מהשאלונים הרוחביים מלמדים כי הליקויים בתחום זה על .
| 105 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה פי רוב אינם ייחודים לרשות כזו או אחרת, זאת עקב העובדה כי תחום התחבורה ברשויות רבות .
להלן תרשים המציג את השלבים בתהליך מבדק החדירה: .
תרשים 15: שלבי מבדק החדירה* .
* המבדק לא כלל שלב של ניצול חולשות שהתגלו כדי שלא לייצר סיכון לרשת התפעולית.
להלן התחומים שבהם נמצאו ליקויים במסגרת מבדק החדירה: .
תרשים 16: התחומים שבהם נמצאו ליקויים במבדק החדירה (חלקם תוקנו עד .
הממצאים דורגו על פי שני תבחינים: חומרת ה נזק הגלומה בה ם, הנקבעת בהתאם לרמת .
ההשפעה על יכולת עירייה א' לקיים את התהליכים התפעוליים במקרה של התממשות הסיכון; .
והסבירות להתממשות הסיכון, המתייחסת לכל ממצא בנפרד ומביאה בחשבון את רמת .
הגנת הסייבר במגזר התחבורה מורכבות ניצול הפער שהתגלה במסגרת הממצא.
לכל תבחין ארבע דרגות אפשריות: גבוהה .
מאוד, גבוהה, בינונית ונמוכה.
המכפלה בין שני התבחינים יוצרת את הערך הנקרא רמת .
תרשים 17: טבלת דירוג ניהול הסיכונים .
במהלך מבדק החדירה והתשאול שהתבצעו בעירייה א' זוהו 16 ממצאים משמעותיים בתחומים .
הבאים: ניהול משתמשים והרשאות; תיעוד וניטור; בקרת גישה לרשת; הגנת עמדות ושרתים; .
סגמנטציה ובקרת זרימה; עדכניות התכנה; ואבטחת הגישה .
ממצאים אלו הוצגו לעירייה א' כבר .
בדצמבר 2021 לצורך תיקון וטיפול בהם וחלקם תוקנו עד מועדסיום הביקורת.
הממצאים לפי חומרתם: .
תרשים 18: פילוח הממצאים במבדק החדירה לפי חומרתם .
עירייה א' מסרה בתשובתה מיוני 2022 כיהיא קיבלה את דוח הביקורת ולמדה היטב את ממצאיו .
במטרה לשפר באופן מתמיד את השירות שהיא מעניקה לציבור , והיא תפעל לתקן את הליקויים .
| 107 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה נוכח הממצאים שעלו ממבדק החדירה, על עירייה א' לקיים הערכת מצב ולקבוע תוכנית .
עבודה לתיקון הליקויים.
בסקר שערך משרד מבקר המדינה בעשר עיריות ובשתי חברות ממשלתיות עלו פערים .
מהותיים בין מצב הגנת הסייבר במערכות בתחום התחבורה לבין דרישות הסייבר של .
משרד התחבורה מסר בתשובתו מי ולי 2022 כי אין לו סמכות הנחיה על מערכות בתחום .
התחבורה המופעלות ומתוקצבות על ידי הרשויות המקומיות עצמן, למעט מערכות בתחום .
התחבורה המנוהלות על ידי חברות התשתית ובעירייה א'.
משרד הפנים מסר בתשובתו מיולי 2022 כי הטיפולבמערכות העירוניות בתחום התחבורה אינו .
בתחום עיסוקו, וכי הוא מסייע לרשויות המקומיות רק בנושאי מחשוב הקשורים לרשתות .
המינהלתיות הפנימיות שלהן.
עוד מסר כי קיימים תחומי מחשוב נוספים שהעירייה אמונה עליהם .
והם אינם מטופלים על ידי אגף הסייבר במשרד הפנים, למשל מים וביוב.
מערך הסייבר מסר בתשובתו מיוני 2022 כימערכות עירוניות בתחום התחבורה הן באחריות .
מלאה של הרשויות המקומיות הרלוונטיות, וכל היבטי התפעול בתחום זה נעשים על ידי הרשות.
יצוין כי בדוח מבקר המדינה משנת 2022 בנושא "ניהול מערכות מידע ברשויות מקומיות" 36 צוין .
כי משרד הפנים ומערך הסייבר לא השלימו את הסדרת הסמכויות החסרות בכל הנוגע לאסדרה .
ולהנחיה מקצועית של הרשויות המקומיות בתחומי אבטחת מידע והגנת הפרטיות, וכפועל יוצא .
מכך זה שנים הרשויות פועלות ללא הנחיות מקצועיות ברורות בנושא, וכל רשות פועלת בעניין .
נמצא כי כל המערכות בתחום התחבורה (למעט אלו המופעלות על ידי חברות התשתית .
ועירייה א') אינן מונחות על ידי משרד הפנים או משרד התחבורה, אף שיש בהם כאלו .
שפגיעה בהם עשויה לגרום לפגיעה כלכלית ניכרת ואף לפגיעה בחיי אדם.
נוכח הממצאים שעלו מהשאלון וממבדק החדירה בנושא הגנת הסייבר , מומלץ כי משרד .
הפנים ומשרד התחבורה בשיתוף מערך הסייבר יפעלו יחד להסדרת תחומי האחריות .
ביניהם ולקביעת נהלים מתאימים כך שנושא הגנת הסייבר במערכות בתחום התחבורה .
ברשויות המקומיות יקבל את המענה האסדרתי ההולם.
זאת על מנת שגורם מנחה יבצע .
פיקוח ובקרה על תיקון הליקויים ועל הגנת המערכות מפני תקיפות סייבר .
36 מבקר המדינה, דוח על הביקורת בשלטון המקומי (2022 '), "ניהול מערכות מידע ברשויות מקומיות", עמ1269.
הגנת הסייבר במגזר התחבורה הממצאים שעלו בביקורות שביצע משרד .
לפי שגרות הניהול, על יחידות הסייבר המגזריות להעביר למערך הסייבר דיווחים עיתיים, בין .
היתר, בדבר ביקורות וסקרים בגופי המגזר.
בשנת 2021 ביצע אגף הסייבר במשרד התחבורהביקורות ב חלק מגופי A כדי לבחון אתמצב .
הגנת הסייבר שלהם ואת מידת יישום המדיניות החדשה שפרסם.
יצוין כי עקב היעדר איוש מלא .
של תקני כוח האדם באגף הסייבר בוצעה הביקורת באמצעות תשאול ושאלון למילוי עצמי.
להלן תמונת המצב שעלתה מהביקורת שביצע משרד התחבורה: .
תרשים 19: תמונת המצב העולה מהביקורות שביצע משרד התחבורה .
בביקורות שביצע מצא משרד התחבורה עלו ליקויים רוחביים בגופים שונים במגזר ביחס .
לדרישות שפורטו במדיניות.
בהם ניתן למנות את הנושאים האלו: .
:ניטור ובקרה ארגונים ללא ניטור או ניטור ברמה שאינה מספקת.
כו ח אדם : בחלק מהארגונים אין כוח אדם ייעודי לניהול תחום הסייבר .
| 109 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה 3.
ניהול סיכונים ב שרשרת האספקה: היעדר סיווג, היעדר נהלים, היעדר בקרות .
:נהלים פער בנוהלי ארגון בסיסי ם לניהול סייבר .
:תקצוב העדר תקציב הפוגע בתוכנית עבודה לקידום ו לשיפור, ל רכש מערכות ולרישיונות .
כך לדוגמה, בחברה ו' נמצאו פערים בתחום ניהול שרשרת האספקה; נמצא כי כל המשתמשים .