HeTree/MevakerConcSen huggingface dataset:
מדיניות ונוהלי עבודה .
המדיניות שפרסם משרד התחבורה קובעת כי המשרד יקים SOC שירכז את תמונת המצב של .
כלל הגופים במגזר התחבורה, לרבות גופי תמ"ק.
ה-SOC ,יאפשר זיהוי פעילויות חריגות בסייבר .
הן ברמת הגוף הבודד והן ברמה המגזרית, ויסייע לגופ ים בהתמודדות עם אירועי סייבר.
נקבע כי ה-SOC יהנה מגישה למידע ומודיעין ברמה הלאומית, נוסףעל מודיעין ייעודי בתחום .
התחבורה, וכי כלל הגופים במגזר יידרשו להתחבר אליו.
בשנת 2019 פרסם מערך הסייבר נוהל המגדיר את עבודת יחידות הסייבר המגזריות להגנת .
הסייבר מול מערך הסייבר21 .
בנוהל הוגדר כי באחריות ממונה הגנת הסייבר המגזרית לפעול .
יצוין כי משרדי ממשלה אחדים, כדוגמת משרד האנרגיה ומשרד הבריאות, מפעיליםSOC רחב .
המנטר את פעילות המשרד ואת המגזר.
בחודשים מאי עד יולי 2020 בוצעהבדיקה מקדמית (פיילוט ) של הפעלת SOC במגזר התחבורה .
באמצעות רש"ת, שבה השתתפו ארבעה גופים מתחומים שונים ובהם אחד המוגדר כתמ"ק.
כי לכל הגופים למעט אחד מהם לא היה ניטור עצמאי במועד ביצוע הבדיקה המקדמית.
ביולי 2020 דיווחהרש"ת לאגף הסייבר במשרד התחבורה על סיכום הפיילוט.
כי במהלך הפיילוט טופלו התראות ואירועים בשיתוף פעולה עם גופי התחבורה שחוברו ל-SOC; .
נבנתה תשתית לחיבור מהיר של גופי התחבורה השונים (כשבועימים לחיבור של כל גוף ל- .
SOC) ; נבנתה מערכת שמציגה תמונת מצב סייבר אחודה של גופי התחבורה המחוברים ל-SOC .
לטובת משרד התחבורה ; ו נבנה ותורגל מנגנון המאפשר טיפול מהיר באירועים מול גופי .
התחבורה שחוברו ל SOC- באופן ישיר.
במכתבה הדגישה רש"ת כי היא יצאה לפיילוט מתוך .
הבנה משותפת שעם סיום מוצלח שלה יתחיל תהליך של חיבור כלל גופי התחבורה לשירות ה- .
SOC במתכונת של שירות מנוהל; כי נדרשת החלטה של המשרד לגבי המשכיות התהליך, קרי .
המשך ניטור הגופים במתכונת שירות מנוהל ; וכי רש"ת ערוכה לספק את השירות לגופי .
מסיכום הפיילוט שבוצע באחד הגופים שהתחברו (חברה ז') עלה כי חיבור ל-SOC חדש הוא .
תהליך מו רכב מאוד המצריך עבודת ניהול, טיוב והתאמה רבה הן מצד ספק ה - MSSP והןמצד .
הגוף המתחבר אשר נמשכת זמן רב.
צוין כי קשה לאמוד בפיילוט של חודשיים את היכולות .
20 Managed Security Service Provider .
21 "נוהל אב להגדרת מסגרת אחריות משרדי הממשלה ויחידות הסייבר המגזריות למול אגף הכוונת ואסדרת המשק .
במערך הסייבר הלאומי בהיבטי הגנת מגזרי המשק למול איומי סייבר", גרסה 1.
| 81 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה הכלליות של השירות הניתן מכיון שלא נבחנו כלל היכולות, ולא בוצע תרגיל תקיפה במטרה .
לבחון את אופן הזיהוי והדיוו ח של האנליסטים.
עם זאת, חברה ז' הביעה שביעות רצון גבוהה .
מהפיילוט וציינה לחיוב כמה היבטים ובהם: האפשרות לשיתוף ידע מגזרי; התקשרות מול גורם .
MSSP עם ידע בעולמות ה-IT וה-OT22 (אף שעולמות ה-OT לא נבחנו בפיילוט); צוות תגובה .
לתחקור אירועים; חיסכון בעלויות - הפחתת תקורת הניהול של מחלקת אבטחת המידע; ביצוע .
פעולות יזומות; וקבלת דוח שבועי המסכם את ההתראות.
עם זאת צוינו גם כמה חסרונות ובהם .
העובדה שהידע והחוקה23 לא נשמרים בגוף המתחבר .
בדצמבר 2020 שלח מנהל רת"א מכתב למנהלת אגף הסייבר במשרד התחבורה ובו נימוקים .
להתקשרות עם רש"ת כספק יחיד לשירותי SOC במגזר התעופה.
במכתבו פירט מנהל רת"א כי .
מקומה המרכזי של רש"ת בתוך המערכת התעופתית הישראלית מקנה לה היכרות עם הגופים .
השונים והרבים המרכיבים את המערכת הזו, שעימם נבנו מנג נוני תיאום ושיתוף פעולה וממשקים .
עוד פירט כי במהלך הקיץ האחרון התבצע פיילוט מוצלח, שבמסגרתו חוברה, .
בין היתר, גם חברת תעופה אזרחית ל -SOC של רש"ת , ומידע משמעותי וערכי עבור חברת .
התעופה הצליח להתקבל ולתרום תרומה ניכר ת בהיבט של הגנת סייבר עבור חברת תעופה זו.
בדיון שהתקיים בחודש ינואר 2021 בהשתתפות משרד התחבורה ונציגי אגף התקציבים במשרד .
האוצר ומערך הסייבר ציינה סמנכ"לית מדיניות במערך הסייבר כי כיום אין בידי המדינה תמונת .
מצב של מגזר התחבורה, ובכלל זה של גופי תמ"ק כמו נמלים, רכבות וגופים בתחום ה תעופ ה, .
וכי תפיסת העולם של מערך הסייבר היא שנדרש לייצר תמונה אחודה של מגזר התחבורה - .
משרד, מגזר ותמ"ק, כדי לאפשר לכל מקבלי ההחלטות, ובכלל זה ראש הממשלה, לרכז תמונת .
מצב עדכנית בזמן משבר או בעת חירום.
עוד בדיון תיאר רמ"ח הנחיה במערך הסייבר את הצורך .
ביכולת עצמאית במשרד התחבורה, זאת בשל המומחיות ה מקצועית הנדרשת ו ההיכרות .
המעמיקה עם סוגי הכלים השונים ועם ה אלמנטים בתחום הבטיחות שעליהם המשרד מופקד , .
העשויים להיפגע כתוצאה מהתקפה במימד הסייבר .
ביולי 2021 פנה ראש מערך הסייבר אל שרת התחבורה וביקש, בין היתר, את השלמתהטיפול .
בדיון שהתקיים באוקטובר2021 בנושא הגנת הסייבר במגזר התחבורה בראשות מנכ"לית משרד .
התחבורה הודגש כי פרויקט ה-SOC מתועדף גבוה על ידי השרה, וכי המשרד נדרש לפעול כדי .
להחזיק תמונת מצב בזמן אמת של גופי התחבורה במגזר, אשר כיום אינה בהישג יד של אף .
בדיון צוין כי החלופה שבחר המשרד להקמת ה -SOC היא באמצעות .
רש"ת, וכי המנכ"לית מבקשת לפעול כדי לחנוך את ה-SOC עד סוף2021 תוך טיפול בהיבטים .
המשפטיים (רש"ת כספק יחיד או הסכם שותפות של המשרד ורש"ת), התקציביים והמכרזיים.
בנובמבר 2021 אישרהועדת המכרזים במשרד התחבורה התקשרות בפטור ממכרז עם רש"ת .
לצורך הקמה ותפעול של SOC לשישה חודשים עם אפשרות להארכה של שישה חודשים נוספים .
בהיקף כספי כולל של כ-4 מיליון ש"ח לשנה, בהתאם לפרוטוקול מיום 24.
22 Operational Technology - OT - מערכות המשמשותלתפעול , שליטה ובקרה.
עם התפתחות הטכנולוגיה והקישוריות .
הארגונית לרשת האינטרנט, החלו ארגונים ומפעלים לשלב טכנולוגיות IT-Information Technology מודרניות .
במערכות OT ולעיתים אף לקשרן ישירות לרשת.
התפתחות טכנולוגית זו חושפת את סביבת ה -OT - המערכות .
התפעוליות, לסיכונים ולאיומים שבעבר לא היו קיימים - איומי הסייבר.
23 אוסף ההגדרות והחוקים שבעזרתה מסווגות התראות על פעילות חשודה.
הגנת הסייבר במגזר התחבורה החוזה נקבע כי התמורה שתשולם לרש"ת תהיה תלויה בין היתר בהיקף המידע המועבר מכל .
גוף המחובר ל-SOC , לפי שלוש מדרגות שנקבעו לשם כך: עד 1,000 EPS 24 , 1,000 - 3,000 EPS , .
בדצמבר2021 החלה רש"ת בהפעלת SOC עבור מגזר התחבורה.
ביולי 2022 מסר משרד .
התחבורה למשרד מבקר המדינה כי עד כה חוברו ל-SOC 14 מתוך35 גופים, מהם חמישה .
נמצאים בסטטוס "מבצעי", ותשעה מחוברים אך טרם "מבצעיים".
סטטוס חיבור הגופים ל-SOC ( המגזרי, תחום הפעילות של הגוף והסיווג שלוC,B,A :) .
תרשים 10: סטטוס חיבור הגופים ל- SOC של מגזר התחבורה .
נכון ליולי 2022 , עלפי נתוני משרד התחבורה, בעיבוד משרד מבקר המדינה.
* לפי המדיניות הלאומית להגנת הסייבר בתעופה אזרחית, פעילות זמן אמת (ניטור באמצעות SOC ) תהיה .
עוד מסר משרד התחבורה למשרד מבקר המדינה בפברואר 2022 ,כי עקב תקציב מוגבלהוקצו .
לארגונים מאוד גדולים (שלושה לפי הערכת משרד התחבורה) אמצעים שלא הספיקו לניטור .
כל הרכיבים החשובים בכל ארגון.
כמו כן נמצאו מספר חסמים עיקריים שמונעים את החיבור ל-SOC , בהם היעדר מיפוי נכסים .
עצמאי של הארגון הנדרש כהיערכות מקדימה לתהליך החיבור ל-SOC ; זמינות גורמים טכניים .
24 Events Per Second - אירועים לשנייה- מדד המתאר את נפח המידע המועבר מהגוף אל ה-SOC .
| 83 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה רלוונטיים בגוף המתחבר; והיעדר מוטיבציה מצד הגופים המתחברים.
יצוין כי משרד התחבורה .
מציע את החיבור ל-SOC .
ללא עלות מצד הגופים אף שהוא משלם בעבורה .
בביקורת עלה כי לא נקבעה תוכנית עבודה מפורטת לחיבור ול"מיבצוע" של כלל הגופים .
ל-SOC , אף שההתקשרות מולרש"ת מתוכננת להסתיים לאחר כשנה (בדצמבר 2022 ) ואף .
שנכון ליולי 2022 מחוברים ל-SOC פחות ממחצית מהגופים ( 14 מתוך 35 ,)מהם חמישה .
בלבד בסטטוס "מבצעי", 9 ,"מחוברים אך לא "מבצעיים18 ,"בסטטוס "ממתינים לחיבור .
ושלושה בסטטוס "לא הותנע".
עוד עלה כי ההתקשרות הנוכחית עם רש"ת אינה נותנת .
מענה מלא לארגונים גדולים.
מוצע כי משרד התחבורה יקבע לוח זמנים מפורט לחיבור כלל הגופים ולהפיכת חיבור זה .
בנוסף מוצע כי המשרד ימפה את החסמים לחיבור ל- SOC של גופים שהוגדרו .
"ממתין לחיבור " או "לא הותנע" ויפעל לשחרור החסמים.
במועד סיום הביקורת, באפריל 2022 , החל משרד התחבורה להקיםSOC מגזרי זמני ולחבר .
אליו גופים בהדרגה - מהלך חשוב ומורכב שעשוי לתרום רבות למשרד בנוגע לקב לת .
תמונת מצב על הגנת הסייבר בגופים המנחים על ידו.
נוכח טווח הזמן של כשנה שאושר .
להפעלת ה-SOC ברש"ת ומשך הזמן הדרוש לביצוע התקשרות מורכבת להקמת SOC , .
מומלץ כי משרד התחבורה יבחן, עוד במהלך תקופת ההתקשרות עם רש "ת, את .
האפשרויות העומדות לפניו להפעלת SOC בצורה קבועה.
כן מומלץ למשרד התחבורה .
לבחון כיצד לנטר בצורה אפקטיבית גופים גדולים.
נוכח העובדה שייקח זמן לחבר את כל .
הגופים ל-SOC , מוצע למשרד התחבורהלתעדף את הטיפול בגופים שונים ובגופים שאינם .
חברה ז' מסרה בתשובתה ביוני 2022 כי מספר חודשים לאחר סיום הפיילוט התנתקה החברה .
מה-SOC שאליו היתה מחוברת והתחברה ל-SOC המגזרי, אשר להבנתה היה אמור להיות מבצעי .
לחלוטין ולספק כיסוי התראתי מלא לאירועי סייבר המאותרים במערכות החברה, זאת נוסף על .
סיוע ראשוני במקרה של אירוע.
בפועל, לדעת חברה ז', ה-SOC המגזרי היה רחוק מלתת את .
המענה הנדרש לצורכי החברה - הן בנושא הגילוי וההתראה והן בנושא החקירה והתגובה, כאשר .
רמתו היתה נמוכה הן מהרמה שהתקבלה בפיילוט והן מזו של ה-SOC הקודםשהפעילה החברה.
לפיכך, לאחר התייעצות עם משרד התחבורה, החברה הפסיקה להשתמש ב -SOC המגזרי .
לצורכי ניטור וקבלת התראות.
לבקשת מ שרד התחבורה , חברה ז' נשארה מחוברת ל-SOC .
במטרה לאפשר למשרד לקבל תמונת מצב מגזרית (דשבורד).
במקביל, חברה ז' התחברה .
לSOC- אחר באופן פרטני, ומאז היא מקבלת את שירותי הניטור וההתראות מ- SOC .
משרד התחבורה מסר בתשובתו הנוספת מיולי 2022 כי הוא דוחה את טענות חברה ז'.
ציין כי חברה ז' השתתפה בפיילוט והביעה שביעות רצון, ותוכננה להתחבר ל-SOC כגוף לצפייה .
בלבד ולא בחיבור מלא, אך עברה לניטור מלא עקב פער זמנים בהתקשרות עם חברה פרטית .
שתספק לה את השירות על מנת שיישמר לה רצף הניטור.
המשרד הוסיף כי חברה ז' מנוטרת .
כיום על ידי ה-SOC המגזרי ובמקביל על ידי ספק פרטי, וכי השירות ב-SOC ,משתפר בעקביות .
עם קבלת תמונת מצב ענפית ברורה וטיוב החיבור ים וכח האדם.
המשרד הוסיף כי תהליך הפיכת .
גוף ל"מבצעי" דורש זמן וכי לאחר השלמת חיבור של גוף, מוזרמת תמונה מלאה על אודותיו .
הגנת הסייבר במגזר התחבורה מוצע שמשרד התחבורה יבחן בשיתוף חברה ז' את הסיבות לכך שה-SOC המגזרי לא סיפק .
עבור חברה ז' מענה הולם, ויבצע את הפעולות הנדרשות לתיקון.
הגנת הסייבר בפרויקטים חדשים .
משרד התחבורה אחראי מטעם הממשלה להקמה ולניהול של התשתית התחבורתית במדינה, .
ומתוקף אחריות זו הוא יוזם ומבצע פרויקטים תחבורתיים שונים, אשר חלקם נשענים על תשתית .
טכנולוגית הפגיעה מטבעה לאיומי סייבר .
עלות פרויקטים אלה מתוקצבת במיליארדי ש"ח מדי .
כך לדוגמה, ביצוע התקציב של סעיף "פיתוח תחבורה" 25 הסתכם בשנת2019 בכ-25 .
מיליארד ש"ח ובשנת2020 בכ-30 .
העלאת המודעות לחשיבות הטמעת הגנת הסייבר והקצאת משאבים לטובת יישומה בפועל, .
החל בשלב הייזום, דרך כל שלבי הקמת הפרויקט וכלה בהפעלתו השוטפת, חיוניות כדי למזער .
את פגיעותה של התשתית לאיומים המתעצמים.
המדיניות מגדירה כי חברות התשתית המבצעות פרויקטים תשתיתיים עבור המשרד, הכוללים .
מערכות ורכיבים טכנולוגיים, נושאות באחריות להגנת הסייבר של הפרויקט בכל שלביו, תוך .
ליווי ובקרה של אגף הסייבר.
פרויקטים שיסווגו כתמ"ק יונחו על ידי מערך הסייבר הלאומי.
בספטמבר 2021 " פרסם משרד התחבורה נוהל עבודה להטמעת דרישות סייבר בפרויקטים .
בנוהל נקבע כי אגף הסייבר אחראי על הנחיה מקצועית ובקרה על הטמעת דרישות .
הגנת סייבר בפרויקטים.
הנוהל גם מגדיר עקרונות כלליים להגנת הסייבר, לרבות תקצוב הנושא, .
איוש תפקיד של יועץ סייבר וקיום פגישות בקרה תקופתיות בהשתתפות הגורמים הרלוונטיים .
מטעם חברת התשתית המבצעת ואגף הסייבר.
לפי הנוהל, בתקצוב פרויקט יש להקצות משאבים לצורך הטמעת דרישות הגנת הסייבר בכל .
בפרויקטים זכייניים התקצוב יכלול גם את ההפעלה השוטפת בהתאם לאומדן .
יועץ לתכנון וביצוע- 60 שעות עבודה ח ודשיות, 300 ש"ח לשעה לכל אורך חיי הפרויקט .
השקעה במערכות הגנה- 10% מתקציב הטכנולוגיות.
תפעול שוטף- 8% מתקציב ה-IT , ובכלל זה: כוח אדם, רישיונות ושירותים בתשלום (ייעוץ, .
מבדקי חדירה, סקרי סיכונים, מודעות עובדים,SOC , צוותי התערבות וכדומה).
למשרד התחבורה פרויקטים רבים בשלבי תכנון בלבד או בשלבי ביצוע מוקדמים, ובהם: הרכבת .
הקלה חיפה -נצרת (רק"ל נופית); רכבל ירושלים; הקו הירוק והקו הכחול ברכבת הקלה .
בירושלים; הקו הירוק והקו הסגול ברכבת הקלה בגוש דן; ומערך המטרו בגוש דן.
המפרט כמה מהפרויקטים החדשים המתוכננים בשנים הקרובות: .
25 'סעיף תקציבי מס 79 הכולל את תתי -הסעיפים האלה: תחבורה ציבורית; כבישים; בטיחות בדרכים; תמיכות .
| 85 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה תרשים 11: פרויקטים חדשים במגזר התחבורה .
המקור: משרד התחבורה, בעיבוד משרד מבקר המדינה.
בשנת 2017 , במסגרת ההיערכות להקמת שני הנמלים החדשים, נערך דיון בהשתתפות נציגי .
משרד התחבורה, רשות הסייבר הלאומית (כיום - מערך הסייבר), חנ"י ונציגי הזכיינים המפעילים.
בדיון זה הועלה הצורך בליווי הנמלים מבחינת היבטי הסייבר כבר בשלבים המוקדמים להקמתם .
מפאת המאפיינים הייחודיים שלהם.
בסיכום הדיון נכתב כי "על בסיס החלטת ממשלה 2443 .
15 , ההכוונה המקצועית בתחום הגנת הסייבר תהיה בהתאם לסמכות הרגולציה .
המופעלת על ידי משרד התחבורה.
בהקשר האמור , הרשות הלאומית להגנת הסייבר תשמש .
כגורם מקצועי, אשר ינחה את משרד התחבורה בעניין זה".
בעניין נמלי הים החדשים, בפברואר 2020 שלחה מנהלת אגף הסייבר מכתב אל מנהל רשות .
הספנות והנמלים ובו ציינה כי בימים אלה נמצא המשרד בעיצומו של תהליך תכנון טכנולוגי .
במסגרת הקמת הנמלים החדשים .
עוד צוין כי בשונה מהנמלים הקיימים, החדשים יהיו נמלים .
מודרניים שתפעולם יושתת על מערכות טכנולוגיות ממוחשבות לתפעול ואוטומציה, דבר המקנה .
יתר חשיבות לתכנון וליישום מדיניות, נהלים ואמצעי הגנה יעילים ומתקדמים להגנה מפני איומי .
הסייבר, וכי כל נמל כנכס אסטרטגי של מדינת ישראל, נדרש בהנחיה להתמודדות נגד איום .
במכתבה סקרה את הסיכונים האפשריים העומדים בפני הנמלים ואת פוטנציאל הנזק .
בהם - פגיעה בחיי אדם ובבריאות הציבור, וגרימת נזק כלכלי.
מנהלת אגף הסייבר סיכמה את .
מכתבה בכך שבשלב הנוכחי, אין ביכולתה לפעול מול הנמלים החדשים ללא סמכות ואחריות.
כאמור בדיון ועדת היגוי סייבר במשרד התחבורה שהתקיים בנובמבר 2020 בראשות מנכ"ל .
המשרד דווח כי המשרד לא ביצע עד כה ביקורות בגופים בהיבטי סייבר, וכי בתחום התחבורה .
הימית לא מבוצעת פעילות סייבר .
משרד התחבורה מסר בתשובתו ביולי 2022 כיבעקבות הפני י ה שלו לר שות הספנות והנמלים .
(שבוצעה כאמור בפברואר 2020 ) הובהר שקיימת למשרד סמכות מלאה באמצעות החוק להסדרת .
הביטחון26 למתן הוראות לנמלים בענייני סייבר במסגרת כתבי ההסמכה של התאגידים המוסמכים .
בהתאם לכך הוסדרה הפעילות אל מול המפעילים השונים בנמל , ו מאז ביצע המשרד .
ביקורות בנמלים והוסכם בין הצדדים על ת ו כנית עבודה, המנוהלת בשיתוף פעולה .
כי ממועד פרסום נוהל " עבודה להטמעת דרישות סייבר בפרויקטים תשתיתיים" בספטמבר 2021 , .
כל פרויקט שעומד בתבחינים שהוגדרו עובר ליווי והכוונה של אגף הסייבר .
לגבי הנמלים החדשים, .
26 'תיקון מס10 לחוק להסדרת הביטחוןמשנת 2019 .
הגנת הסייבר במגזר התחבורה בשל התשתית המשפטית של הקמת הנמלים והפעלתם לא חלו לגביהם הוראות החוק להסדרת .
הביטחון בגופים ציבוריים.
יחד עם זאת הדגשים לעניין סייבר ניתנו לנמלים החדשים על ידי המשרד .
כבר בהליך ההקמה, וקודם לאמצע שנת 2021 , וזאתבאמצעות גורם אחר על בסיס ההסכם מול .
כש הועברו התשתיות אל מפעילי המסופים תוקן החוק בהתאמה והחלה עבודת .
הפיקוח בנושא הסייבר ישירות מולם .
נמצא כי בשנים 2017 עד2020 לא היה ברור מי המאסדר האחראי להנחיית הנמלים .
החדשים, והנמלים לא הונחו באופן סדור שהולם את הסיכונים בנוגע להיערכותם .
להתמודדות עם איומי סייבר, זאת עד שנת 2020 שבה הובהר למשרד התחבורה שקיימת .
בהמשך לכך, בספטמבר 2021 פרסם המשרד נוהל עבודה להטמעת .
דרישות סייבר בפרויקטים תשתיתיים וביצע ביקורות בשני הנמלים החדשים באוקטובר .
ובנובמבר 2021 , כאשר אחת מהביקורות בוצעה בסמוך להפעלת הנמל והועלו בה פערים .
שיש לתקן כתנאי להפעלת הנמל.
מומלץ כי משרד התחבורה יהיה מעורב בהיבטי הסייבר בפרויקטים חדשים עוד בשלבי .
התכנון, שכן בהתאם לתפיסת Security by Design זול יותר לשלב את דרישות הגנת .
הסייבר בשלבי תכנון הפרויקט מלהכניסן בשלבים מאוחרים שבהם יידרשו שינויים .
והתאמות, ויעקוב אחר יישום הדרישות בטרם מתן רישיון ההפעלה.
בשנים האחרונות מתקדם בכל העולם פיתוחו של רכב אוטונומי, דהיינו רכב שמסוגל ל נווט .
ולנסוע ללא התערבות פעילה של נהג אנושי באמצעות מערכת נהיגה עצמאית המשלבת רכיבי .
חומרה ותוכנה שמאפשרים לה שליטה על הרכב.
מדינת ישראל מצויה ב חזית ה פיתוח בתחום , וכיום יש כמה חברות, ישראליות וזרות, ה מבצע ות .
ב ישראל ניסויים המדמים נסיעות של רכב אוטונומי .
בניסויים אל ו מערכת הנהיגה העצמאית מסיעה .
את הרכב אך יושב בו נהג בטיחות שתפקידו להשתלט על הרכב במקרה חירום .
לא מעורבים בניסויים נוסעים אחרים, והם אינם בעלי אופי מסחרי (כלומר, אין הסעות בתשלום ).
הפעלת ה תחבורה האוטונומית מעורר ת אתגרים וסיכונים בתחומים ש ונים הנוגעים להגנת .
הסייבר והפרטיות, ובהם: סיכונים לפגיעה בחיי המשתמשים או משתמשי הדרך הסמוכים .
לרכבים האוטונומים, באמצעות שיבוש מערכות הרכב בעת נסיעה באמצעות תקיפות במרחב .
הסייבר; וסיכונים לפגיעה בפרטיות באמצעות מידע הנאסף על ידי החיישנים והמצלמות הרבים .
המותקנים ברכבים אלו, האוספים מידע על המשתמשים ויתר משתמשי הדרך הסמוכים.
במרץ 2022 נחקק חוק לתיקון פקודת התעבורה27 במטרה לאפשר נסיעה של רכבים אוטונומים .
החוק, שהוכן בשיתוף של משרד התחבורה ומערך הסייבר, נועד להסדיר את .
שלב המעבר מניסויים ברכבים אוטונומיים שבהם יושב נהג בטיחות כאמור, לנסיעות ניסיוניות .
ברכבים אוטונומיים ללא נהג כלל, ואף במסגרת של הסעת נוסעים בשכר או שלא בשכר .
כולל דרישות סייבר שעל המפעילים לעמוד בהן כתנאי לקבלת היתר הפעלה.
27 חוק לתיקוןפקודת התעבורה ( תיקון מס' 130 "), התשפב-2022.
| 87 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה אחראי לבחון בשלב הניסויים, בליווי גורמים מומחים, את עמידת המפעילים בדרישות החוק.
פ רסם משרד התחבורה נוהל28 שדורש מעבר במרכז הסייבר (אותו הקימו משרד התחבורה .
בשיתוף מערך הסייבר וחברת נתיבי איילון באמצעות קבוצת חברות שזכו במכרז) לבדיקות .
מקיפות של סייבר (אר בעה עד חמישה חודשי בדיקה) כתנאי למתן ההיתר .
מידת העצמאות של מערכות הנהיגה האוטונומיות מסווגת לחמש דרגות: .
תרשים 12: דרגות העצמאות של מערכות הנהיגה האוטונומיות .
המקור: מ רכז המחקר וה מידע של הכנסת, כלי רכב אוטונומיים - מדיניות ממשלתית, אתגרים והזדמנויות, .
דצמבר 2019 , בעיבוד משרד מבקר המדינה.
28 הוראת נוהל- "הגנה בסייבר לרכב עצמאי" מיום 1.
הגנת הסייבר במגזר התחבורה דרגה 5 נוגעת לרכב המסוגל לבצע את מכלול פעולות הנהיגה.
דרגה זו עדיין מצויה בפיתוח, .
ובהתאם לדברי ההסבר להצעת החוק, רכבים מסוג זה אינם צפויים להגיע לבשלות תפעולית .
משרד מבקר המדינה מציין לחיוב את הפעילות שנעשתה בתחום הרכב האוטונומי, לרבות .
תיקון החוק, פרסום הנוהל והקמת מרכז הניסויים בבאר שבע.
עם זאת משרד התחבורה .
טרם החל בביצוע ביקורות בתחום זה.
מוצע שאגף הסייבר יבצע ביקורות באופן עצמאי על החברות שמבצעות ניסויים ברכב .
אוטונומי קודם הפעלת יכולת זו בכבישי ישראל ויחווה את דעתו בנוגע לסיכונים הקיימים .
בתחום זה ויוודא טיפול החברות בפערים שנמצאו בניסויים, ככל שאלו קיימים.
משרד התחבורה מסר בתשובתו מיולי 2022 כיההצעה הוטמעה בחוק, ה מסמיך את מנהלת .
אגף הסייבר בשילוב גורמים מומחים לביצוע מעקב ובקרה.
המשרד הוסיף כי הוראת הנוהל .
שפרסם באה לענות על דרישה זו והיא מיועדת להוות מסמך דרישות מפורט לבחינה מרגע .
הגשת הבקשה ועד למתן אישורי המשרד להפעלתם של רכבים עצמאיים בדרך ציבורית, כולל .
הוכחת היצרן להגנה בפני הגנת סייבר ואבטחת מידע.
שיתוף ידע בין הגורמים במגזר התחבורה .
שיתוף ידע בין מתחרים .
הגופים השונים במגזר התחבורה מתמודדים לרוב מול איומים דומים, ללא תלות בהגדרה של .
הגופים - גופי תמ"ק או גופים שאינם גופי תמ"ק, או בזהות החברה המפעילה.
תקיפת סייבר המתרחש באחד מנמלי ישראל רלוונטי לידיעת כל יתר הנמלים כדי שיוודאו כי .
נתיב התקיפה של התוקפים אינו ניתן לניצול דומה בנמל אחר.
רשות התחרות פרסמה את עמדתה בנושא 29, ולפיה אף ששיתוף מידע בין מתחרים עשוי להוות, .
בנסיבות מסוימות, הסדר כובל על פי חוק התחרות הכלכלית, התשמ"ח -198830, אם שיתוף .
המידע אינו נוגע לפעילותם העסקית של הצדדים אלא אך ורק למידע הנדרש לצורך הגנת .
סייבר, כגון מידע על איומי סייבר, סממנים, חולשות, פוגענים ונוזקות וכן מתודולוגיות וכלי .
התמודדות עם איומי סייבר, רשות התחרות לא תראה בהעברתו כפעולה העלולה למנוע או .
להפחית את התחרות בעסקים, וזאת אף אם העברת המידע נעשית בין מתחרים.
ששיתוף מידע בעל ערך אבטחתי הוא חלק משמעותי מיכולת ההתמודדות של גופים עם איומי .
סייבר , ומדינת ישראל רואה חשיבות רבה בעידוד גופים במשק לשתף ביניהם מידע בעל ערך .
29 גילוי דעת3/17 : שיתוף מידע לצורך התמודדות עם איומי סייבר.
שמו המתוקן של חוק ההגבלים העסקיים .
| 89 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה בביקורת עלה כי אף שרשות התחרות לא רואה בהעברת מידע על איומי סייבר כפעולה .
העלולה לפגוע בתחרות, הרי שבפועל שיתוף המידע בין גופים דומים הוא חלקי.
במערכות בתחום התחבורה - רק בשישה מתוך שנים עשר הגופים שנבדקו (50% ) קיים .
שיתוף ידע בנושא הגנת הסייבר31; בתחום הים - נמצא כי נמל כ' ונמל כ"א, הנמצאים .
שניהם בתהליכים דומים לצורך שיפור רמת ההגנה בסייבר, אינם משתפים ידע אחד עם .
השני בתחום הגנת הסייבר.
היעדר שיתוף מידע בתחום איומי הסייבר עלול לגרום לכך שחברה אשר מצוי בידיה מידע קריטי .
(למשל ניסיון פגיעה באמצעות ניצול חולשה במערכת) , לא תעביר מידע זה למקבילתה אף .
שבכך תוכל למנוע נזק משמעותי.
מומלץ כי משרד התחבורה יפעל למסד תשתית מתאימה (למשל באמצעות הקמת פורומים .
מקצועיים ומערכת שיתוף מידע) ולעודד את הגופים השונים לשתף האחד את השני במידע .
מקצועי בנושא הסייבר, גם כאשר הם מתחרים זה בזה, ובהתאם לכללי התחרות והסייגים .
לעניין הסייבר החלים עליהם.
מומלץ כי המשרד ישקול להשתמש ב -SOC המגזרי גם .
כתשתית לשיתוף אירועים ופעולות לטיפול באירועים אלו שקורים בכלל המגזר.
באופן זה אף עשוי להגביר את התועלת של הגופים משימוש ב-SOC .
חברת נמל כ"א מסרה בתשובתה ביוני 2022 כי שיתוף ידע בין הנמל לגורמים הנוספים מבוצע .
באמצעות מערך הסייבר אשר מעביר לידיעתם עדכונים בדבר אירועי אבטחת מידע שאירעו, .
לרבות בנמל כ', וכי אין לה התנגדות להשתתפות בפורומים משותפים ביוזמת משרד התחבורה.
חברת נמל כ' מסרה בתשובתה ביוני 2022 ,כי היא מברכת על ההמלצה ומעוניינת בשיתוף הידע .
בתיווכו ובניהולו של מערך הסייבר.
הכנת תבנית לצורך פרסום מכרזים בתחום הסייבר .
מינהל הרכש במשרד האוצר מפרסם מכרזים מרכזיים עם ספקים בתחום הסייבר עבור רכש .
תוכנה ושירותים במחירים ובתנאים שסוכמו בין המדינה לבין הספק 32 .
לשימוש משרדי הממשלה ויחידות הסמך בלבד.
במגזר התחבורה, בדומה למגזרים אחרים, כל גוף - לרבות חברות ממשלתיות המשמשות זרועות .
ביצוע של משרד התחבורה, מכין בעצמו את המכרזים.
מכרזים אלו עוסקים לעיתים באותם .
הצרכים, וזוכים בהם אותם הספקים, למשל בנושאים כגון הקמת SOC ארגוני, רכש מערכות .
31 מפורט להלן בממצאיהשאלונים בפרק "מצב ההגנה בסייבר במגזר התחבורה ".
32 ""מכרז הנערך מטעם החשב הכללי בעבור המשרדים- הוראת תכ"ם בעניין "מכרז מרכזי והתחייבות ספק למחירים .
מרביים" קובעת כי "במקרים שבהם מצא מינהל הרכש כי מרבית משרדי הממשלה רוכשים טובין/שירותים/עבודות, .
שחלקם ברי תחרות וחלקם לא, יבחן עריכת מכרז מרכזי או חתימה על התחייבות ספק למחירים מרביים, במטרה .
להסדיר את תנאי ההתקשרות ולנצל את יתרון הגודל של כלל המשרדים".
הגנת הסייבר במגזר התחבורה הלבנה או גיוס יועצים בתחום הסייבר.
תהליך הכנת מכרז בגוף ציבורי, משלב הכנתו ועד .
ההחלטה על הספק הזוכה, הוא תהליך מורכב שנמשך זמן רב וכרוך במשאבים רבים33.
בשנת 2016 הכין מערך הסייבר תבנית אחידה לצורך גיוס יועצי סייבר על ידי משרדי .
ממשלה, המבוססת על מכר זים שפרסמו קודם לכן יחידות סייבר מגזריות שונות.
של דבר לא אושרה תבנית זו והתהליך הופסק.
בשנת 2021 , במסגרת תהליכי החשיבה המחודשת על החלטה 2443 , צוין כי בנושא הרכש .
הממשלתי "דרוש שיפור של המנגנון ויישומו בפועל.
אולי גם לעשות את הרכש המרוכז על ידי .
נדרשת תפיסה הוליסטית בנושא".
בביקורת עלה כי לא קיימת תבנית לצורך פרסום מכרזים בתחום הסייבר לשימוש הגופים .
מומלץ כי מערך הסייבר ואגפי הסייבר המגזריים, ובהם אגף הסייבר במשרד .
התחבורה, יעלו צרכים משותפים בתחום הסייבר לצורך הכנת תבניות שיוכלו לשמש את .
כלל הגופים במגזר (לדוגמא: גיוס יועצים; רכש כלים; רכש שירותי התערבות באירועים .
(IR ); הקמת ותפעולSOC ), תבניות אלו יוכלו לשמש את כותבי המכרז ולחסוך להם זמן .
וכן ליצור אחידות בדרישות הבסיס של כל תחום התקשרות, אליהם יוסיף כל גוף את .
הנושאים הרלוונטים לו.
33 ,ראו פירוט: מבקר המדינהדוח שנתי 69ב (2019 .
"), "היבטים בהתקשרויות משרדי ממשלה בתחום התקשוב .
| 91 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה מצב ההגנה בסייבר במגזר התחבורה .
פערי ידע בתחומים מסויימים .
נמצא כי הנחיות מסויימות בנוגע למערכות בתחום הת חבורה, כוללות פרקים אשר לא .
התעדכנו משנת 1981 ,ואינן כוללות את היבטי הגנת הסייבר הנדרשים על מערכות אלו.
מומלץ כי משרד התחבורה יעדכן את ההנחיות כך שיכללו גם דרישות בנושא הגנת .
בדיקת מצב הגנת הסייבר בתחום התחבורה .
באמצעות מבדק חדירה ושאלונים .
משרד מבקר המדינה בדק את מצב הגנת הסייבר ב תחום התחבורה באמצעות הכלים האלו: .
מבדק חדירה, תשאול בעלי תפקיד בתחום הגנת הסייבר והעברת שאלונים.
והתשאול בוצעו בעירייה א'.
שאלונים הבודקים את רמת הגנת הסייבר נשלחו ל עשר רשויות .
מקומיות ולשתי חברות ממשלתיות.
תרשים 13: שיטות הבדיקה של הגנת הסייבר .
משרד הפנים מופקד על תכנונה ויישומה של המדיניות הלאומית בנושאי השלטון המקומי.
פעילות המשרד כמאסדר מתבצעת בשני מישורים: במישור הארצי - מתן הנחיות וקביעת .
מדיניות, ובמישור המחוזי - קיום קשר עם הרשויות באמצעות הדרג הביצועי.
הגנת הסייבר במגזר התחבורה מטעם הממשלה על הרשויות המקומיות ואחראי להכוונת פעולותיהן בהתאם לחוק ולמדיניות .
אגף הסייבר במשרד הפנים: החלטת הממשלה 2443 עסקה במשרדי הממשלה המחילים את .
סמכויות הרגולציה שלהם על גופים או פעילויות החשופים לאיומי סייבר.
החלטת הממשלה האמורה, הוקם בשנת 2017 אגף הסייבר במשרד הפנים כיחידה מקצועית .
מגזרית בתחום הגנת הסייבר ואבטחת המידע הכפוף למינהל לשירותי חירום במשרד הפנים .
ובהנחיה מקצועית של מערך הסייבר, ובין היתר הוטלה על האגף האחריות להסדרת היערכותן .
של הרשויות המקומיות לאיומי סייבר.
באגף מועסקים ארבעה יועצים חיצוניים המומחים .
לאבטחת מידע, אשר נותנים שירות לרשויות המקומיות.
תפקיד היועצים ללוות את הרשויות .
המקומיות בתחום אבטחת המידע והגנת הסייבר, לייעץ להן באופן שוטף ולסייע בקביעת .
מדיניות ותוכניות עבודה ולהציב יעדים להגברת החוסן של הרשויות המקומיות.
אגף הסייבר במשרד התחבורה אחראי להנחיית מערכות בתחום התחבורה המנוהלות על ידי .
חברות התשתיות (שתי חברות ממשלתיות) ועירייה א'.
במסגרת זאת אגף הסייבר סיווג את .
הגופים האלו כגופי A , והנחה אותם במסגרת פרסום המדיניות בינואר2021 , כמו את יתר גופיA , .
ליישם אותה עד ינואר2023.
ממצאי השאלונים שעלו ממענה הרשויות .
המקומיות ושתי חברות ממשלתיות .
פירוט הממצאים הכלליים שעלו בשאלונים .
להלן סיכום מצב ההגנה בתחומים שנבדקו, על בסיס הממצאים שעלו בשאלונים: .
34 בעניין זה ראו מבקר המדינה, דוח שנתי 70ב (2020 " ), בפרקההיערכות הממשלתית ליישום טכנולוגיות מתקדמות .