HeTree/MevakerConcSen huggingface dataset:
(ב) רשומות מידע כוללות מידע פיזי כמו מסמכים, תדפיסים, דיסקים, קלטות וסרטים.
מנהל אבטחת מידע נדרש להגדיר לפי רגישות המידע את האמצעים והתהליכים לטיפול באבטחת רשומות, תוך כדי התייחסות לשיטות ולכלים של אבטחת מידע והשמדתו על פי סיווג המידע, לאמצעים ולתהליכים של שינוע מידע (פנים-ארגוני וחוץ -ארגוני), לטיפול בחריגים ולאופן ביצוע פיקוח ובקרה.
נמצא כי מנהל אבטחת מידע לא הגדיר את האמצעים ואת התהליכים לטיפול באבטחת רשומות.
(ג) על מנהל אבטחת מידע להתוות את רמת האבטחה הלוגית המחייבת בעבור מערכות המחשוב והתקשורת, לרבות מערכות הפעלה, תכנות, קבצים ובסיסי נתונים.
נמצא כי מנהל אבטחת מידע לא התווה את רמת האבטחה הלוגית לרכיבים השונים של מערכות המחשוב והתקשורת.
(ד) לצורך מניעת ביצוע שינוי לא מבוקר נקבע בנוהל , כי יוגדרו נהלים המתווים את אופן ביצוע השינויים בנתונים, בתכנה ובחמרה של מערכות ממשל זמין.
חל איסור על ביצוע שינוי בנתונים שלא במהלך הפעילות הרגילה , אלא אם הדבר נעשה באופן מאובטח ומבוקר ולפי הנחיות מנהל אבטחת מידע, תוך כדי התייעצות עם גורמי ההנהלה הרלוונטיים.
נמצא כי לא נקבעו נהלים המתווים את אופן ביצוע השינויים בנתונים, בתכנה ובחמרה, ולא נקבע מי אחראי לקביעתם.
)(ה על מנהל אבטחת מידע לבצע מידור של המידע ושל המשתמשים בו על פי סביבת עבודתם (פרופילי משתמשים).
לכל פרופיל משתמש עליו להגדיר ולהעניק הרשאות גישה רק לפרטי מידע הדרושים למשתמש לביצוע עבודתו בשיתוף עם בעלי המידע.
בנוסף לזאת עליו להגדיר את עקרונות המידור בכל תחום פעילות בממשל זמין.
זאת ועוד, נוהל "ניהול ותפעול מערך הרשאות וסיסמאות" (להלן - נוהל ניהול הרשאות) קובע, בין השאר, כי בעבור כל פ תיחת הרשאות חדשות לעובד חייב מנהלו לבקש את אישורו בכתב של מנהל אבטחת מידע.
נמצא כי מנהל אבטחת מידע לא הגדיר למשתמשים הרשאות גישה לפרטי מידע הדרושים להם לביצוע עבודתם, וממילא לא שיתף בכך את בעלי המידע.
עוד נמצא כי את הרשאות הגישה למשתמשים נותן מנהל המערכת ( סיסטם) ולא מנהל אבטחת מידע, וזאת שלא על פי נוהל מדיניות אבטחת מידע.
(ו) על מנהל אבטחת מידע להתוות תהליכים ושיטות טיפול אבטחתי בממשקים עסקיים, כמו תגבור כוח אדם, לרבות קריטריונים להגדרת סיווג הממשק העסקי, דרישות אבטחתיות בכפוף לסיווג הממשק העסקי, שיטות וכלים לאכיפת הדרישות ותהליכים ואמצעים לפיקוח ובקרה ולטיפול בחריגים.
נמצא כי במאי 2005 "הוכן נוהל "ממשק עסקי , אך הוא אינו מיושם.
לדוגמה, מנהל אבטחת מידע לא התווה את התהליכים ואת שיטות הטיפול בממשקים עסקיים הפועלים בממשל זמין.
(ז) על מנהל אבטחת מידע להגדיר ולה תוות את האמצעים והתהליכים של הבקרה בתחומי אבטחת המידע של ממשל זמין.
באחריותו לבקר, באופן שוטף או אקראי, את הפעילויות הנעשות על המידע , כדי לוודא שממשל זמין עומד בדרישות החוקים, התקנות, התקנים והנהלים ופועל על פי סדרי מינהל תקין.
כמו כן יינתנו למנהל אבטחת מידע כלים זמינים לבקרת פעילויות אבטחת המידע השוטף בגופים ובאתרי האינטרנט השונים של ממשל זמין.
בשנת 2009 "עודכן נוהל "התאמה לקווי מדיניות האבטחה ולתקני אבטחה בממשל זמין, ונקבע בו כי מנהל אבטחת מידע יכין בתחילת כל שנה תכנית ביקורת שנתית שתתייחס לנושאים המבוקרי ם, לתדירות הביקורת, לאתרי האינטרנט המיועדים לביקורת, לפורמט התיעוד של הביקורת, לגורמים נוספים האמורים להיות מעורבים ולתפקידם באירוע.
נמצא כי לא נקבעה תכנית ביקורת שנתית כפי שנקבע בנוהל וכי מנהל אבטחת מידע אינו עורך ביקורת על הפעילויות ה נערכות במידע.
(ח) במסגרת הטיפול באירועי אבטחת מידע חריגים נקבע בנוהל כי לכל פעילות חריגה בעלת השלכות על אבטחת מידע יוגדר אופן רישומה, הדיווח עליה ואופן התגובה הנדרש.
חריגות בתחום אבטחת מידע, המאותרות על ידי גורמי ממשל 288 דוח שנתי63ב .
זמין או אחרים, ידווחו לצוות אבטחת המידע או למנהל הרלוונטי , וכי אירועי אבטחת מידע חריגים ידווחו לוועדת ההיגוי.
נמצא כי בנוהל לא פורט מהם אירועי אבטחת מידע חריגים בעלי השלכות על אבטחת המידע ולא הוגדר ו אופן רישומם, הדיווח עליהם ואופן התגובה הנדרש.
: כפיפותו של מנהל אבטחת מידע כאמור, החוק להסדרת הביטחון מטיל חובה על גוף ציבורי למנות ממונה ביטחון האחראי במסגרת תפקידו ל"פעולות אבטחה פיזית", לרבות שמירה על רכוש, ול"פעולות לאבטחת מידע" לשמירה על מידע מסווג ולמניעת פגיעה בו.
לגופים המנויים בתוספת הרביעית לחוק זה אחריות גם ל"פעולות לאבטחת מערכות ממוחשבות חיוניות" הכוללות את כל הפעולות הנדרשות לשמירה על המערכות הממוחשבות, על המידע שבהן ועל הפעולות למניעת פגיעה בהן.
גופים אלה חייבים במינוי אחראי לארגון ולביצוע פעולות לאבטחת מערכות ממוחשבות חיוניות ולפיקוח עליהן.
משרד האוצר נמנה עם הגופים שבתוספת הרביעית לחוק, ועל כן הוא מחויב במינוי אחראי על אבטחת מערכות ממוחשבות חיוניות, אשר מופקד על הטיפול בכלל המערכות הממוחשבות החיוניות של המשרד.
בנוהל המסגרת נקבע, בין השאר, כי לתחום אבטחת מידע בגוף ציבורי אחראי "הממונה על אבטחת מידע", והוא הגורם המוסמך ליישום המדיניות.
באחריותו של הממונה לבקר את הפעילויות הממוחשבות הנעשות, כדי לוודא עמידה בדרישות אבטחת המידע הקבועות בחוקים, בתקנות ובנהלים העוסקים בנושא זה.
עוד נכתב בנוהל המסגרת, כי המבנה הארגוני ליישום אבטחת מידע יושתת על עיקרון "הפרדת הסמכויות", ואין להכפיף, מהבחינה המינהלית או מכל בחינה אחרת, את הממונה על אבטחת מידע למנהל מערכות המידע "בשל ניגוד עניינים בין שני התפקידים!
באוקטובר 1998 מונה מנהל אגף בכיר חירום וביטחון של משרד האוצר ל"ממונה על אבטחת המידע במערכות המחשב של משרד האוצר וממשל זמין".
באוגוסט 2004 מונה מנהל אגף זה "לאחראי על הגנת מערכות ממוחשבות חיוניות במשרד האוצר וביחידות הסמך".
נמצא כי למרות זאת מנהל אבטחת מידע בממשל זמין כפוף מהבחינה המקצועית ומהבחינה המינהלית ישירות למנהל ממשל זמין.
כפיפות זו עלולה לפגום באי-תלותו, מפני שמתוקף תפקידו הוא נדרש לבקר חלק מפעילות מערכות המידע של הארגון המצויות בסמכותו ובניהולו של מנהל ממשל זמין.
לדעת משרד מבקר המדינה, אין להכפיף את מנהל אבטחת מידע בממשל זמין באופן שיפגע בעיקרון אי-התלות שלו.
בהתייחסותה מנובמבר 2012 מסרה הנהלת ממשל זמין, כי "היישום בפועל של מינוי מנהל אגף בכיר חירום ו[ מינוי זה לא בא לידי ביטוי בממשל זמין בכל ]ביטחון הנושאים שהועלו בדו"ח הביקורת ומוגדרים באחריות של הממונה על אבטחת המידע בממשל זמין, למעט בנושא הנחיית רא"ם בהם משמש אגף חירום ובטחון משרד האוצר 289 .
"כצינור הנחייה עבור ראם (הנחייה עקיפה)".
עוד השיבה הנהלת ממשל זמין, כי ימונה ממונה אבטחת מידע (CSO - Chief Security Officer ) שתפקידו יכלול הנחיה ובקרה של יחידות התקשוב (ממשל זמין, מרכב"ה, סע"ר); בניית אסדרה וסנכרון מול משרדי הממשלה; סנכרון נושאי אבטחת המידע מול רמו"ט (הרשות למשפט טכנולוגיה ומידע שבמשרד המשפטים) ומטה הסייבר; ועבודה לפי תקנים - נוהל מפת"ח ותקן 27001 .
הנהלתממשל זמין הוסי פה כי את אי -התלות ניתן יהיה להשיג על ידי הכפפת התפקיד (ממונה אבטחת מידע ) לממונה על התקשוב הממשלתי.
בהתייחס לתגובת הנהלת ממשל זמין מעיר משרד מבקר המדינה, כי מן הראוי שממונה אבטחת מידע לא יוכפף מהבחינה המינהלית , או מכל בחינה אחרת, לממונה על התקשוב הממשלתי, בשל חשש לניגוד עניינים.
תכנית שיקום מאסון ותכנית המשכיות עסקית .
הנהלים הנוגעים להמשכיות עסקית ו לשיקום מאסון: בנוהל מדיניות אבטחת מידע נקבע כי תכנית היערכות להמשכיות עסקית ( BCP)21 נועדה לסכל הפרעות בפעילותו השוטפת של ממשל זמין ולהגן על נתונים במערכות המידע שלו מפני הרס, שיבוש ומחיקה הנגרמים ממקרי כשל או ממקרים כמו שריפה, הצפה, אסונות טבע וכדומה.
עוד נקבע בנוהל כי הנהלת ממשל זמין אחראית למנות בעל תפקיד האחראי לנושא ההיערכות להמשכיות עסקית.
בעל התפקיד, בתיאום ע ם מנהל אבטחת מידע, יקבע את עקרונות ההיערכות להמשכיות עסקית של מערכות המידע בממשל זמין.
עקרונות אלה יובאו לאישור ועדת ההיגוי העליונה טרם עיגונם בנהלים.
בעל התפקיד יפעל ליישום עקרונות ההיערכות להמשכיות עסקית, ויהיה אחראי לתחזוקתה ולעדכניותה של התכנית.
בנוהל תכנית היערכות לחירום של ממשל זמין נקבע כי במסגרת תכנית ההתאוששות של ממשל זמין מאסון ( להלן - DRP)22 יינתן מענה להמשכיות התפקוד של אתרי ממשלה קריטיים, כמו אתר משרד החוץ.
עוד נקבע בנוהל כי על מנהל מחלקת מערכות מידע, בשיתוף עם מנהל אבטחת מידע, לנסח ולתכנן תכנית לניהול המשכיות עסקית של ממשל זמין ולהגיש אותה לאישורה של ועדת ההיגוי.
הוועדה תאשר את התכנית ותקצה את המשאבים הנדרשים למימושה ולהפעלתה.
משתמשי מערכות המחשב יודרכו כיצד ליישם את הנוהל ואת ההנחיות הנלוות אליו.
באחריותו של מנהל מערכות מידע, בשיתוף מנהל אבטח ת מידע, להדריך את משתמשי הפרויקט כיצד לממש וליישם את התכנית בעת אסון.
באחריותו של מנהל אבטחת מידע לבדוק את יישומו של נוהל .
21 Business Continuity Plan - תכנית פעולה להפעלת המערכות הקריטיות של הארגון בשעת חירום כדי לוודא המשך פעילות עסקית במהירות וביעילות.
22 Disaster Recovery Planning - אוסף נהלים והנחיות המגדירים תהליכים חיוניים לארגון, פעולות הנחוצות להמשך מתן שירותים חיוניים, לוחות זמנים, מערך חלופי, הסכמי שירות וניסוי מערך התאוששות (לתרגול ולווידוא מוכנות הארגון למצב אסון).
זה במסגרת מבדק התאמה תקופתי.
יש לקיים, לפחות פעם בשנה, תרגיל מימוש לאחד משלבי התכנית, שבעקבותיו יופקו לקחים שיובילו לעדכון התכנית.
בינואר 2012 הגישה חברה א ' להנהלת ממשל זמין טיוטת דוח על תקלה במערכות ממשל זמין שקרתה בנובמבר 2011 (להלן- טיוטת דוח התקלה).
בטיוטת דוח התקלה נכתב כי בממשל זמין לא קיימת תכנית לניהול המשכיות עסקית.
במועד התקלה לא הייתה כל תכנית כתובה שעניינה אופן העלאת גיבויים, וגם לא היו שרתים פיזיים רזרביים באתר המרוחק המיועד להקמת מתקן מחשוב חלופי (להלן - האתר החלופי), למעט כמה שרתים שיועדו לפרויקט אחר ובהם השתמשו.
בדוח הומלץ להתחיל בפרויקט של ניהול המשכיות עסקית על פי מתודולוגיה מסודרת ותקנים מקובלים.
הביקורת העלתה כי עד מו עד סיום הביקורת לא הוכנה כל תכנית להמשכיות עסקית בממשל זמין.
רק בנובמבר 2012 מינתה הנהלת ממשל זמין בעל תפקיד האחראי להיערכות להמשכיות עסקית.
: תרגול מעבר לחירום באוקטובר 2008 פורסם נוהל "הפעלת מערך ה- DRP של פרויקט ממשל זמין" המגדיר את היערכות תהיל"ה לשלב א, של DRP .
בנוהל נקבע, בין השאר, כי כל ארבעה עד שישה חודשים יתבצע ניסוי להפעלת מערך DRP - מנהל ממשל זמין יקבע מראש את המועדים, והוא יפעיל את הניסויים.
מועדי הניסויים לא יימסרו למתקן שבו נמצא אתר השיקום מאסון, וזאת כדי לבדוק את מוכנות המתקן והעובדים.
גם בטיוטת נוהל "היערכות לשעת חירום" של ממשל זמין מיוני 2010 נקבע, בין היתר, כי אחת לשנה ייערך תרגיל מעבר לחירום.
התרגיל יכלול את כל הפעולות הדרושות כמפורט בנוהל, לרבות העלאת כוננות, מעבר לאתר חלופי, פעילות בחירום וחזרה לשגרה.
בתום התרגיל יבוצע תהליך הפקת לקחים, ובמידת הצורך יעודכנו נהלים והוראות עבודה רלוונטיים.
אחת לשישה חודשים ייערך תרגיל מצומצם לבדיקת מוכנות האתר החלופי.
בתרגיל תופעל אחת מהמערכות של ממשל זמין מתוך האתר החלופי.
מנהל ממשל זמין יקבע מראש את מועדי התרגילים, והם לא יתואמו עם אנשי הקשר באתר החלופי, וזאת כדי לבדוק את מוכנותם.
התברר כי רק ביוני 2010 נערך תרגיל שכלל שינוי כתובת אינטרנט לאחד מאתרי ממשל זמין באופן שהגלישה אליו תתבצע לאתר הגיבוי.
עולה אפוא, כי למרות ההוראות המחייבות שנקבעו בנושא תכנית שיקום מאסון, ואף שכבר משנת 2008 קיים אתר חלופי ותכנית מפורטת להפעלת מערך השיקום מאסון ( DRP) ונקבעה תדירות התרגול הנדרשת, לאנערכו התרגילים כנדרש.
במרץ 2011 מיפתה רא"ם כמה ממערכות הליבה של ממשל זמין (בעניין זה ראו להלן).
בין השאר נכתב בדוח, כי בתהיל"ה לא מצויה תכנית התאוששות מאסון משרד האוצר 291 .
וטרםנערך מיפוי וסיווג נכסים על פי רמת הקריטיות, השרידות והיתירות 23 .
שלהם כמו כן הודגש כי לא נערכות בדיקות כמו בקרת שינויים וגרסאות באתר DRP.
הביקורת העלתה, כי הנהלת ממשל זמין לא תיקנה את הליקויים האמורים שהועלו בדוח של רא"ם.
משרד מבקר המדינה מעיר להנהלת ממשל זמין, כי יש לתקן את הליקויים ולערוך בקרת שינויים וגרסאות באתר החלופי.
הקמת מערכת DRP : בפרוטוקול ישיבת ועדת המדע והטכנולוגיה של הכנסת מפברואר 2011 , בנושא מוכנות מערכות המידע והמחשוב לשעת חירום במגזר הממשלתי, העסקי והפרטי, אמר חבר הכנסת מאיר שטרית , שמערכות המידע והמחשוב לשעת חירום במגזרים אלה אינן ערוכות לשעת חירום.
עוד ציין כי צריך לדאוג שלמערכות הקריטיות במדינת ישראל יהיו DRP, ואולי גם BCP, כך שאם יקרה חלילה אירוע חירום יהיה אפשר להמשיך ולהפעיל את המערכות הקריטיות האלה.
סגן החשב הכללי דאז, מר טל הרמתי, שהיה אחראי באותה עת במשרד האוצר לממשל זמין, ציין בדיון כי היערכות חירום ממשלתית תיעשה בעיקר בהיבטים הארגוניים ולא רק בהיבט הטכנולוגי.
הוא הוסיף כי אין אתר DRP ממשלתי אחד לכל הממשלה, וכי בשנת 2011 אמור להתפרסם מכרז לפרויקט DRP .
ממשלתי באפריל 2011 נכתבה בממשל זמין גרסה של מסמך "ה קמת תשתיות גיבוי חרום (DR ") עבור ממשל זמין.
ממסמך זה עולה, כי מתן המשכיות תפקודית מלאה לכלל המערכות שבאחריות ממשל זמין הוא פרויקט בעל מורכבות תפעולית גבוהה, ולכן השירות שיינתן במקרה אסון יתחלק לשלושה שלבים לפי רמת הקריטיות שלהם.
המסמך מפרט את הפתרונות הטכנ ולוגיים הנדרשים ליישום הפרויקט , ונקבע בו גם לוח זמנים - 12 חודשים המסתיימים בניסוי הפעלה באפריל 2012.
הביקורת העלתה , כי עד מועד סיום הביקורת לא פורסם מכרז מרכזי לפרויקט DRP .
ממשלתיכמו כן מכך לא יושם לוח הזמנים שנקבע ליישום תכנית DRP ,שעל-פיו היה הפרויקט א מור להיות מושלם עד אפריל 2012 , .
וגם לא נקבע מועד חדש להשלמתו בתגובתה מנובמבר 2012 מסרה הנהלת ממשל זמין , כי "המכרז הממשלתי ל - .
DRP הינו מכרז ל-'שטח רצפה' שכירת מקום בו יוקם אתר [ DRP] ולא לפתרון DRP עובד.
המכרז המדובר יצא השנה בחודש אוגוסט, עדיין המרחק בין אתר DRP לפתרון DRP זמין ועובד יכול להיות משמעותי ביותר".
משרד מבקר המדינה מעיר לממשל זמין, כי לפי האיומים והתקיפות שחווה ממשל זמין, ולנוכח המסקנות שעלו בדיונים השונים שקוימו בנושא, מן הראוי שיוקם DRP ממשלתי, שייתן מענה אמיתי ומלא בעת חירום.
23 ,נתונים המופיעים מספר פעמים ומאפשרים המשך מתן שירות גם במקרה של תקלות ויכולת גיבוי והתאוששות מהירים.
הרקע לתקלה מש נת 2 0 1 1 והליקויים שנחשפו בבדיקתה: מטיוטת דוח התקלה שהגישה חברה א' עולה כי בסוף 2011 התגלתה אי -זמינות של מערך אחסון מסוג מסוים ; תקלה זו השביתה אתרים ושירותים הניתנים על ידי ממשל זמין.
התקלה התגלתה על ידי עובדי ממשל זמין כבעיה רוחבית של מספר מערכות שאינן מגי בות.
כל המערכות חזרו לזמינות מלאה תוך זמן קצר יחסית.
בפרוטוקול ישיבת ועדת המדע והטכנולוגיה של הכנסת מיום 16.
11 , בנושא קריסת אתרי האינטרנט של משרדי הממשלה, ציינה מנהלת ממשל זמין, בין השאר, כי היקף השימוש הגדל מחייב ניהול ותפעול שונים , ואין מדובר בחברת הזנק (סטרט -אפ) קטנה.
מממצאי טיוטת דוח התקלה עולה , כי התקלה חשפה כשלים בכל הקשור להיערכות הכוללת בממשל זמין בנושא ניהול המשכיות עסקית, שעת חירום וגיבויים.
ביולי 2008 נחתם חוזה עם חברת האתר החלופי - אתר גיבוי DRP ליחידות ממשל זמין ופרויקט מרכב"ה- לאירוח ארונות שרתים.
במסגרת ההסכם הוצבו ארונות שרתים של ממשל זמין לצורך גיבוי, אך לא נעשה בהם כל שימוש, ולא הייתה כל תקשורת בין הגיבוי לבין המערכת הראשית.
ביוני 2011 נחתם הסכם המשך עם חברת האתר החלופי.
עוד נכתב בדוח כי מהניסיונות להפעיל ולסנכרן את אתר הגיבוי וליצור גי בוי לנתונים עם האתר הראשי עלה כי , בגלל בעיות טכניות לא צלח הנושא.
תכנית הגיבוי באתר החלופי לא עבדה.
בשנת 2011 גובשה תכנית DRP חלופית, אך גם היא לא יושמה בשל בעיות מבעיות שונות שפורטו בהמשך טיוטת דוח התקלה.
עוד צוין בדוח כי במועד התקלה פעל קוד לא מעודכן על המערכת הראשית באתר.
התקלה הטכנית בקוד הייתה ידועה לחברה ב ' (ספקית ציוד מחשוב של ממשל זמין), שהתריעה עליו בפני ממשל זמין, והיא המליצה על שדרוגו.
בסופו של יום לא נעשה השדרוג האמור עקב חילוקי דעות בנושאים טכניים בין החברה לממשל זמין.
בהמלצות טיוטת דוח התקלה נכתב כי יש צורך ליישם את פרויקט DRP בלוחות זמנים מידיים.
וכי באתר החלופי לא קיים בפועל גיבוי שניתן להפעילו, אף שקיימת התקשרות חתומה.
כמו כן, תכנית DRP החדשה שהכינו אנשי ממשל זמין אינה בת-ביצוע בגלל בעיות טכניות ופערים טכנולוגיים שנוצרו מאז הכנתה של התכנית הישנה.
עוד הומלץ, לקבוע ועדת היגוי לפרויקט שתאשרר בהקדם את תכנית DRP החדשה מהבחינה הטכנולוגית.
בנוגע להמלצה זו השיבה מנהלת ממשל זמין, כי ההמלצה מקובלת עליה, והוסיפה כי ממשל זמין נערך במסגרת ועדת היגוי פנימית לבניית תכנית DRP בשני שלבים: שלב א ' - גיבוי מידי לעשרה אתרי אינטרנט מרכזיים שגיבש שירות הלקוחות, ושלב ב ' - יציאה למכרז ייעוץ לליווי תכנון, ובהמשך גם להקמת מערך DRP .
מקיף בדצמבר 2011 הוקמהבממשל זמין ועדת היגוי לנושא DRP, והיא התכנסה פעמיים בלבד, בדצמבר 2011 ובינואר 2012 , ומאז לא התכנסה עוד.
במועד סיום ה ביקורת פועל בנושא ההיערכות לחירום צוות עבודה המורכב מנציגי יחידות ב משרד ה אוצר במסגרת יחידת התקשוב הממשלתי.
כמו כן עד מועד סיום הביקורת לא מונה יועץ לליווי, לתכנון ולהקמת מערך DRP.
בתגובתה מנובמבר 2012 השיבה הנהלת ממשל זמין, כי בימים אלו מתחיל את עבודתו אחר אי ל- Data Centers ו- DRP .
בד בבד נעזר ממשל זמין החל מיולי 2012 גם בשירותי ייעוץ בתחום היערכות לחירום באמצעות יועץ של אגף חירום וביטחון במשרד האוצר.
לדעת משרד מבקר המדינה, על הנהלת ממשל זמין להכין תכניות התאוששות מאסון והמשכיות עסקית לתשתית המידע הקריטי של ה, לקיים במלואם תרגילים לישימותן, הן מהבחינה הטכנולוגית והן מהבחינה האנושית, לתחקר אותם ולהפיק מהם לקחים.
כמו כן, על בעל התפקיד , שמונה לנושא התאוששות מאסון בממשל זמין , להכין מסמך אסטרטגי לנושא, שיתוקף בוועדת ההיגוי ויעוגן כנוהל, כפי שנקבע במסמך מדיניות אבטחת מידע.
ממשל זמין ולקוחותיו .
במרץ 1998 החליטה הממשלה 24, שכל אתרי האינטרנט הממשלתיים יופעלו בתהיל"ה או שקישורם לרשת האינטרנט יהיה באמצעותה.
עוד נקבע כי המידע שיירשם במאגרים יהיה מוגן במערכת הגנה שתבטיח קיום ביטחון מידע שימנע מגורמים לא מורשים לשבשו.
על סמך החלטת ממשלה25, מדצמבר 2002, הוקמה ועדת היגוי עליונה להגנה על מערכות ממוחשבות במשרד ראש הממשלה.
בינואר 2012 אישרה הוועדה מסמך מדיניות לאומית בנושא חיבור גופים ממשלתיים לאינטרנט (להלן - מדיניות חיבור לאינטרנט).
מסמך המדיניות קובע עקרונות חיבור לאינטרנט לכל ה גופים הממשלתיים לצורכי גלישה באינטרנט, אירוח אתר אינטרנט, דואר אלקטרוני, העברת קבצים, גישה מרחוק ועוד.
בעקרונות מדיניות חיבור לאינטרנט נקבע כי חיבור קבוע של גופים ממשלתיים לרשת האינטרנט יבוצע באמצעות תשתית ממשל זמין לפי הסטנדר דים שהוא יקבע ויפרסם.
ממשל זמי ן ייתן מענה מיטבי לצרכים התפעוליים של הגופים הממשלתיים בחיבור לאינטרנט, תוך כדי שמירה על רמת שירות גבוהה, על פי אמנת שירות שתיקבע ביניהם.
עוד נקבע כי כל גוף ממשלתי המקבל שירותים מממשל זמין יזכה למעטפת שירותי הגנה מתקדמת, שתכלול, בין השאר, יכולת גיבוי באתר אחר וצוות אבטחת מידע מקצועי.
עוד נקבע במדיניות החיבור לאינטרנט, כי ממשל זמין יפרסם תקנים נדרשים בכל הנוגע לאבטחת המידע הנדרשת בין מערכות המידע של הגופים הממשלתיים לרשת ממשל זמין.
מנהל מערכות המידע בגוף הממשלתי ומנהל אבטחת מידע יהיו אחראים לתיאום ולעמידה ב תקני אבטחת המידע שיפורסמו.
24 'החלטה מס 3573 /(מט9 ) של ועדת השרים לענייני מדע וטכנולוגיות מיום 15.
98 , שקיבלה תוקף של החלטת ממשלה ביום 1.
25 /החלטת ממשלה ב84 מיום 11.
המדיניות יבוצע לפי הוראת שעה שתופץ מטעם המנמ"ר 26 הממשלתי.
הוראת השעה תכלול את התכנית להיערכות ממשל זמין ואת היערכות הגופים הממשלתיים ליישום שיושלם עד סוף 2013 .
( אמנת שירות S L A - Service Level Agreemet ) ונוהלי עבודה בנושא אבטחת מידע מול הלקוחות: אמנת שירות מגדירה את רמת השירות שהספק מתחייב לתת ללקוח בגין שירותים (או מוצרים) שהוא מספק.
רמת השירות מתמקדת במאפייני שירות כמו זמינות, שעות הפעלה, זמני השבתה, זמני קריאה, תפוקות, זמני תגובה וזמני סבב.
למאפיינים אלה מוגדרים מדדים כמותיים, יחידות מדידה, תדירות ותקופות מדידה ואופן דיווח ללקוח, למשל, הזמן המרבי למענה טלפוני במוקד שירות לא יעלה על 30 שניות ב-90% מהמקרים.
לעתים תכלול אמנת השירות גם מנגנון של פיצוי מוסכם (קנס) בגין אי- עמידה ברמת השירות או מתן פרס אם נתוני המדידה בפו על טובים מהמדד המוסכם.
מפרוטוקול ישיבת ועדת ההיגוי של ממשל זמין מנובמבר 2009 שבה הוצגה תכנית העבודה לשנים 2009 -2011 , עולה, כי נדרש להגדיר אמנת שירות למערך ממשל זמין באמצעות הוראות וחקיקה.
נמצא כי רק במועד סיום הביקורת פורסם ללקוחות ממשל זמין מסמך אמנת שירות, הכולל מענה לתקלות, מענה לפניות שוטפות והתחייבות על רמת זמינות, כפי שדרשה ועדת ההיגוי של ממשל זמין.
: הפצת דוחות ללקוחות ממשל זמין והטיפול בהם בשנת 2009 החל צוות אבטחת המידע של תהיל"ה להפיץ דוחות שבועיים לכל לקוחותיו.
דוחות אלה כוללים, בין השאר, את ה נתונים האלה: סקירות על כלי אבטחת מידע שונים כמו כלי סריקה אוטומטיים למחשבים; הערות לדוח ובהן מפורטות כתובות מכל מיני מדינות בעולם שניסו לבצע פעולות זדוניות לאתרי לקוחות תהיל"ה, כמו ניסיון להכניס פרמטרים משובשים לאתר משרד ממשלתי וסטטיסטיקות שבועיות המדרגות את הלקוחות לפי כמות ניסיונות הגישה לאתרים החשודים כערוצי שליטה של "סוסים טרויאנים "27, ואף הצגה גרפית של הפעילות הטרויאנית לפי התפלגות הלקוחות.
"סוס טרויאני " יכול להסב נזק לארגון אם יצליח להעביר מידע רגיש או עסקי של הארגון למתחריו, או בארגונים ביטחוניים לאויביו.
משרד מבקר המדינה בדק את אופן הטיפול בממצאים שעלו בדוחות השבועיים המופצים לחלק מלקוחות ממשל זמין.
להלן הממצאים: (א) לגורם ממלכתי המתארח בתהיל"ה זה כ -12 שנים קיימת רשת תקשורת מחשבים.
מתחקיר שערכה מחלקת אבטחת המידע של תהיל"ה (להלן - התחקיר) עלה, כי באוקטובר 2009 נשלחו למשרדיהגורם המתארח שני נציגים של תהיל"ה לצורך איתור מחשב המכיל "סוס טרויאני " או וירוס, שאם היה חודר לשרתי ממשל .
26 מנהל מערכות מידע ראשי, האחראי בארגון על תכנון ויישום של פתרונות טכנולוגיים שיתמכו בהשגת יעדי הארגון, על הטמעת מערכות המידע שנבחרו בתוך הארגון, ועל התפקוד התקין שלהן.
27 תכנת "ריגול" הנשתלת במחשב כשהיא מצורפת לתכנה אחרת, לרוב ללא ידיעת המשתמש, ועוקבת בחשאי אחר כל פעולות הגלישה שלו.
זמין היה מהווה סכנה לכל הגופים המחוברים אליו.
הבדיקה העלתה כי לא נשלפו נתונים פיננסיים מהמחשב או מידע רגיש אחר.
הווירוס שהתגלה היה אמור לחפש במחשב נתונים פיננסיים כדי להעבירם ליוצר הווירוס ולצרף אותו לרשת של מחשבים נגועים המשמשים את השולט בהם למתקפות רשת מבוזרות ולביצוע עברות מחשב שונות.
ממסקנות התחקיר עלה, כי יש לבצע עדכון לתכנות האנטי -וירוס על בסיס יו ם-יומי, וכי תכנת האנטי -וירוס במחשב הנגוע לא עודכנה למעלה מחצי שנה; לו הייתה מעודכנת היא הייתה מונעת את חדירתו של הווירוס למחשב כבר בהגעתו.
בתחקיר צוין כי קיים שימוש בהחסנים ניידים שאינם נבדקים לפני חיבורם למחשב.
במאי 2011 כתב עובד הגורם הממלכתי המתארח בתהיל"ה לצוות בקרה בתהיל"ה כי הו א א ינו מצליח להתחבר לאתר אינטרנט מסוים; בכל פעם שהוא מנסה להתחבר לאתר, הוא מקבל הודעה שעליו להתקין תכנה שכבר קיימת במחשבו.
הוא הוסיף שעליו לנתק את המחשב שלו מרשת התקשורת של תהיל"ה ולחבר אותו לרשת האינטרנט של אותו גורם ( ADSL), כדי להיכנס לאתר ה זה.
בעקבות התלונה כתבה מנהלת צוות החירום בממשל זמין (להלן - מנהלת צוות החירום) באוגוסט 2011 למנמ"ראותו גורם, שכנראה יש במערכת המחשוב שלהם "סוס טרויאני " או תכנה זדונית אחרת.
הביקורת העלתה , כי לאחר ביצוע התחקיר, באוקטובר 2009 , המשי ך הגורם הממלכתי להופיע בדוחות השבועיים של תהיל"ה, ובכמה מהם אף במקום הראשון, בכל הנוגע לכמות הניסיונות של תכנות זדוניות להתקשר עם יוצרן.
עוד הועלה כי עד מועד סיום הביקורת עדיין לא הותקנו במערכת המחשוב של אותו גורם מערכות "הלבנה "28 להתקני אחסון ניידים, אף שכבר הומלץ בתחקיר להגביל את השימוש בהתקנ י אחסון ניידים רק לאחר הלבנתם.
בהתייחסותה מנובמבר 2012 לממצאי הביקורת מסר הגורם, כי "החל מחודש אוגוסט 2012 ,הותקנה מערכת חדשה.
לראיה אודות איכות המערכות שהותקנו דוחות אבטחת המידע שמנפיקה תהיל"ה מציגים ירידה דרמטית בכמות התוכנות הזדוניות".
לדעת משרד מבקר המדינה, יש לנקוט פעולות זהירות ולהימנע מחיבור המחשב פעם לרשת האינטרנט ופעם לרשת תהיל"ה כדי להפחית סיכונים להחדרת וירוסים.
יתרה מזאת, האירוע האמור מדגיש את החשיבות בקיומו של קובץ נהלים וסטנדרדים שעל הלקוחות למלא בעת שהם מתארחים בתהיל"ה, ומעלה את הצורך בהדרכתם של כל הנוגעים בדבר בעניין הנהלים וסטנדרדים אלה.
(ב) מבדיקה שנעשתה במאי 2012 במשרד החקלאות, בהשתתפותם של מנמ"ר המשרד, של מנהל אבטחת מידע ושל מנהל תפעול - שירות למערכות מידע, .
28 מערכת מחשוב ה בודקת שמדיה נתיקה אינה מכילה וירוסים או תכנות זדוניות אחרות.
המשמש גם איש הקשר של משרד החקלאות עם תהיל"ה, עולה כי איש מן מהנוכחים לא הכיר את הדוח השבועי שתהיל"ה מפיצה.
בהתייחסותו מאוקטובר 2012 לממצאי הביקורת מסר משרד החקלאות: "עד מאי [ לאותה ישיבה 2012 עם נציגי משרד מבקר המדינה, איש מבין שלושת בעלי] התפקידים במשרד החקלאות לא הכיר את הדוח השבועי של תהיל"ה.
עם גילוי הכשל, פנה המשרד מידית לתהיל"ה בבקשה לפעול לאלתר לתיקונו, התיקון תוקן באופן חלקי.
הדוחות המלאים נשלחים למנהל השל"מ (השירות למערכות מידע) באורח שוטף וקבוע, אולם שני גורמי המקצוע האחרים (ממונה אבטחת מידע, .
אנו ]הדוח השבועי [ ומנהל התפעול), מקבלים מתהיל"ה רק את הדוח הראשון פועלים יחד עם תהיל"ה להשלמת הטיפול בתקלה.
בשלב זה המסמכים החסרים מופצים על ידי מנהל היחידה, לממונה האבטחה, ולמנהל התפעול, ומתבצע מעקב שוטף על הנתונים, ועל האירועים הנוגעים למשרד החקלאות".
גם משרד החקלאות מופיע בדוחות השבועיים של תהיל"ה כמי שיש במערכת המחשוב שלו וירוסים.
(ג) מבדיקה שנע שתה במשרד התחבורה במאי 2012 , בהשתתפותו של איש הקשר לתהיל"ה האחראי למערכות ההפעלה במשרד, עולה כי הטיפול בדוחות תהיל"ה כולל איתור התחנה החשודה, פירמוטה 29 .
או ניתוקה מרשת האינטרנט משרד התחבורה אינו מדווח בכתב לתהיל"ה על אופן הטיפול בווירוס, והוא מטפל באירועים באופן מקוון.
עוד עולה כי אף על פי שהותקנה מערכת בקרה על התקני אחסון נתיקים, ואף מצוין שאסור להכניס למערכת המחשוב התקני אחסון נתיקים לא מוצפנים או לא מאושרים על ידי המשרד, עדיין מוכנסים התקנים כאלה שלעתים נגועים בווירוסים.
גם משרד התחבורה מופי ע בדוחות השבועיים של תהיל"ה כמי שיש במערכת המחשוב שלו וירוסים.
(ד) מבדיקה שנע שתה במשרד המשפטים במאי 2012 , בהשתתפותם של מנמ"ר המשרד, של יועץ אבטחת מידע חיצוני ושל נציג אבטחת המידע ומנהל הטכנולוגיות במשרד, עולה כי הטיפול בדוחות תהיל"ה נעשה על פי האירועים.
לדוגמה, לפני כשנה וחצי נמצא "סוס טרויאני " בשני מחשבים ניידים, והם פורמטו.
לאירוע הזה לא כתבה מחלקת מערכות מידע דוח טיפול.
גם משרד המשפטים מופיע בדוחות השבועיים של תהיל"ה כמי שיש במערכת המחשוב שלו וירוסים.
(ה) מבדיקה שנע שתה במשרד להגנת הסביבה ביוני 2012, ב השתתפותו של איש הקשר לתהיל"ה, עולה כי הוא מקבל פעם בחודש דוח ובו חשד לווירוסים.
איש הקשר ציין כי אין נוהל מסודר בעבודה מול ממשל זמין בנושא זה.
גם המשרד להגנת הסביבה מופיע בדוחות השבועיים של תהיל"ה כמי שיש במערכת המחשוב שלו וירוסים.
בהתייחסותה מנובמבר 2012 לממצאי הביקורת מסרה הנהלת ממשל זמין, כי "יש לציין כי האחריות על ניהול המערכות ואבטחת המידע בכל משרד ומשרד הינה על .
29 התקנה מחדש של ק ובצי מערכת ההפעלה על ידי מחיקת כל הכונן או חלק ממנו (מחיצה).
מנמ"ר המשרד ולממשל זמין אין כל סמכות להתערב בנעשה בתוך הרשת המשרדית".
לדעת משרד מבקר המדינה, מן הראוי ש הנהלת ממשל זמין תקבע מתכונת דיווח לג ופים המתארחים בתהיל"ה על ניסיונות חדירה לאתריהם.
עוד מוצע כי בנוהל שייקבע יפורטו, בין היתר, הפעולות שעל המשרד המתארח בתהיל"ה לבצע בעקבות קבלת הדיווח , וכן הגורמים שהוא נדרש לדווח להם על הפעולות שעשה ועל תוצאותיהן.
ניהול מאגרי מידע של גופים ציבוריים המתא רחים בממשל זמין: בחוק הגנת הפרטיות נקבע כי המחזיק במאגרי מידע של בעלים שונים יבטיח כי אפשרות הגישה לכל מאגר תהיה נתונה רק למי שהורשה במפורש לעשות זאת בהסכם בכתב בינו לבין בעליו של אותו מאגר.