HeTree/MevakerConcSen huggingface dataset:
את הוראות החוק או את הוראות התקנות או לא מילאו אחר דרישות שהוצגו לו, היא יכולה .
להתלות את תוקפו של רישום המאגר לתקופה מסוימת או אף לבטל את רישומו של מאגר .
המידע בפנקס מאגרי המידע4 .
מאגר שרישומו הותלה הוא מאגר שחל איסור לנהל אותו או .
המשמעות המעשית של הפסקת השימוש במאגרעשויה להיות הפסקת הפעילות .
העסקית של הגוף או פגיעה בו.
סמכות זו מסייעת לרשות לממש את תפקידה ולהבטיח שהגוף .
יתקן מהר את הנדרש תיקון .
הרשות להגנת הפרטיות מקיימת מדי שנה בשנה סקרי סיכונים במטרה למקד את פעילותה .
בשנה הבאה במוקדים שבהם הסיכון גבוה ולבנות את תוכנית העבודה באופן שיממש את ייעודה .
ואת יכולת השפעתה בצורה המיטבית.
לקראת השנים 2020 - 2021 קבעה הרשות כי סיכוני .
הפרטיות בעולם התחבורה מציבים את התחום כאחד מהתחומים שבהם יש להתמקד על בסיס .
הדירוג הבא: איום - 4 מתוך5 ; יכולת התמודדות ואכיפה- 4 מתוך5 ; סיכון ממשי- 4 מתוך5 .
כן מפרסמת הרשות להגנת הפרטיות מדריכים ומסמכי מדיניות: בשנת2020 פרסמה הרשות .
מדריך בנושא "הגנת הפרטיות בגופי תחבורה בסביבה דיגיטלית"; וביולי 2021 פרסמה הרשות .
מסמך מדי ניות בנושא "היבטי פרטיות ביישומונים לתשלום ותיקוף שימוש בשירותי תחבורה .
4 חוק הגנת הפרטיות, תשמ"א1981 , סעיף10 .
) לחוק הגנת הפרטיות, זולת אם בית המשפט קבע אחרת .
| 57 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה כלים לאכיפת דרישות סייבר במגזר התחבורה .
מאסדרים מגזריים יכולים לחייב גופים שמונחים על ידם לעמוד בדרישות סייבר בכמה אופנים: .
חוקים, תקנות, התניית מתן רישיון בעמידה בדרישות סייבר, מתן הנחיות והכללת דרישות סייבר .
להלן פירוט הכלים לאכיפת דרישות הסייבר ואופן השימוש של משרד .
התחבורה בכל כלי ע ל הגופים במגזר: .
אסדרה ברמת חקיקה ראשית והשלכות אי-השלמת .
בהתאם להחלטת הממשלה 2444 מפברואר2015 , תזכיר חוק הגנת הסייבר היה אמור להיות .
מובא לאישור ראש הממשלה בתוך כחצי שנה ממועד ההחלטה - באוגוסט 2015 , אך הוא הופץ .
בתזכיר נכלל פ רק בנושא "אסדרה לאומית בתחום הגנת הסייבר" שבו נקבע, בין .
היתר, כי רשות מאסדרת שמוסמכת להעניק לארגון היתר או רישיון לפעילות לפי דין, רשאית .
להתנות את מתן הרישיון או את חידושו בקיום הוראות הנוגעות לתחום הסייבר.
לאחר שמערך הסייבר פרסם את תזכיר חוק הסייבר הוא ק יבל הערות מגופים שונים, ובהם .
מחלקת הייעוץ המשפטי במשרד התחבורה, וקיים דיונים רבים הנוגעים בעיקר לעניין הגדרת .
הסמכויות והאיזונים ה נדר שים.
בשנת 2021 הפיץ מערך הסייבר טיוטה נוספת לחוק הסייבר6 , .
וזאת כהוראת שעה עד לחקיקת חוק הסייבר המלא, אשר נועדה להקנות לו סמכויות לתת .
הוראות או לפנות לבית המשפט במקרה של סיכון משמעותי להגנת הסייבר.
עסקה ביחידות הסייבר המגזריות ובסמכויות הרשויות המאסדרות.
יצוין כי באוגוסט 2021 התקבלה החלטת ממשלה192 בנושא בחינת האסדרה בתחום הסייבר7.
לפי ההחלטה, יוקם צוות בין-משרדי בראשות משרד ראש הממשלה שיגיש בתוך 180 יום את .
המלצותיו בנוגע להתאמות הנדרשות להיערכות של מרחב הסייבר האזרחי לאיומי הסייבר לנוכח .
השינויים באופי ובהיקף של תקיפות הסייבר בשנים האחרונות.
בביקורת עלה כי הצוות שהוקם בעקבות החלטה 219 התכנס לראשונה בפברואר2022 .
הדיונים של הצוות עלה כי הוא דן, בין היתר, בהצגת מאפייני הסיכון של המגזרים השונים במשק, .
הצגת הסמכויות הקיימות בידי המגזרים בתחום הסייבר והפערים למול המצב הרצוי, וכמו כן .
לפי לוח הזמנים המעודכן שקבע, הוא היה צפוי להגיש את המלצותיו .
עד יוני 2022 , אולם נכון ליולי2022 הוא לא התכנס שנית בתקופה שבין פברואר2022 ליולי .
6 טיוטת חוק הגנת הסייבר ומערך הסייבר הלאומי (סמכויות לצורך חיזוק הגנת הסייבר) (הוראת שעה), התשפ"א- .
7 החלטת הממשלה219" , בחינת רגולציה חכמה בסייבר וכללים והסמכות למתן הנחיות בזמן תקיפת סייבר שעודנה .
בעיצומה תוך שקילת שיקולים כלכליים" ( 1.
) בהחלטה מובאים העקרונות שלפיהם על חברי הצוות לנהוג .
בבואם להמליץ על יצירת אסדרה נפרדת לגופים שאינם מנויים בתוספות הרביעית והחמישית לחוק להסדרת .
הביטחון בגופים ציבוריים, ובכלל זה קביעת הכללים והסמכויות למתן הנחיות הנוגעות להיערכות למתקפת סייבר, .
או על יצירת כללים וסמכויות למתן הנחיות לעניין תקיפת סייבר שעודנה בעיצומה.
הגנת הסייבר במגזר התחבורה משרד ראש הממשלה מסר בתשובתו מיולי 2022 כי החלטת הממשלה מספר 219 הקימה .
והתוותה את אופן עבודתו של צוות בין-משרדי לבחינת האסדרה בתחום הסייבר , והגד ירה את .
סוגיות הליבה שבהן אמור הצוות לדון.
המשרד הוסיף כי בשל חילופי בעלי תפקידים במערך .
הסייבר ובמשרד ראש הממשלה במהלך החודשים האחרונים התעכבה עבודת הצוות, ובחודש .
הקרוב משרד ראש הממשלה יפעל לחידוש דיוני הצוות.
נכון למועד סיום הביקורת, באפריל 2022 , לא הושלמה חקיקת חוק הסייבר, וזאת יותר .
משבע שנים ממועד החלטת הממשלה 2444 , וכן אסדרת תחום הסייבר לא הושלמה .
במסגרת עבודת הצוות הבין-משרדי שהוקם באוגוסט 2021 .
נוכח זאת כל מאסדר, נדרש .
לפעול באופן עצמאי ולבצע תיקונים בחוקים ובתקנות שלו כדי ליישם את דרישות הסייבר .
במגזר שלו, בכלל זה משרד התחבורה (שלא ביצע זאת, כפי שיפורט בהמשך).
על מערך הסייבר להשלים את התהליך הנדרש לצורך חקיקת חוק הסייבר.
רלוונטי לכלל המגזרים, לכן מוצע כי מערך הסייבר יפעל יחד עם הצוות הבין-משרדי .
להשלמת בחינת אסדרת תחום הסייבר וידון גם בצורך בהכנסת אסדרה רוחבית שתיתן .
מענה לכלל המגזרים בתחום הסייבר .
אסדרה ברמת מגזר התחבורה .
החלטה 2443 הטילה על משרד התחבורה ומשרדים נוספיםלבצע, בתיאום עם מערך הסייבר8, .
עבודת מטה שתוגש לראש הממשלה, הבוחנת את התיקונים ו השינויים הנדרשים מ הבחינה .
המשפטית למימוש אפקטיבי של האחריות על הגנת הסייבר במגזר.
הרעיון העומד בבסיס החלטה 2443 הוא שהמשרד המאסדר את מכלול הפעילות במגזר הוא .
המתאים ביותר להסדיר גם את הטיפול בסיכונים הנוגעים למערכות הממוחשבות של הגופים .
עם זאת, יחידות הסייבר המגזריות מבססות את פעילות ההנחיה שלהן על סמכויות האסדרה .
הקיימות בכל משרד ומשרד, אשר מטבען שונות בכל אחד מהמשרדים ומשפיעות גם על .
אפשרויות ההנחיה, ה בקרה, הפיקוח והאכיפה של יחידות אלו.
במצב זה, שבו חקיקת חוק הסייבר לא הושלמה, נתקל משרד התחבורה בקשיים באכיפת .
דרישות הסייבר, כפי שיפורט בהמשך.
יצוין כי משרד האנרגיה 9 , המשרד להגנת הסביבה10 .
8 בהחלטה2443 " צוינה היחידה בשםהמטה הקיברנטי הלאומי ".
בשנת 2017 , החליטה הממשלה במסגרת החלטה .
3270 לאחד את המטה והרשות הלאומית להגנת הסייבר שהיו קיימות באותה עת, ולקרוא ליחידה החדשה "מערך .
9 " אמות מידה לרמה, לטיב ולאיכות השירות שנותן ספק שירות חיוני", לפי חוק משק החשמל, התשנ"ו- 1996 .
מידה 210 'ג3 נקבע כי יצרן חשמל המקים מתקנים בעלי הספק מותקן מצרפי העולה על 20 מגוואט שלהם מרכז .
בקרה משותף, יחוייב לעמוד בהנחיות הגנת סייבר כפי שיינתנו על ידי קצין הביטחון במשרד האנרגיה.
10 ""תנאים נוספים לעניין ניהול סיכוני סייבר- התניות נוספות על מתן היתר רעלים, מתוקף סמכות לפי סעיף 3 לחוק .
החומרים המסוכנים, התשנ"ג -1993.
| 59 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה ומשרד התקשורת11 פתרו את הנושא באמצעות התניית מתן הרישינות בעמידה בדרישות הגנת .
הסייבר על הגופים העיקריים הפועלים במגזרים אלו.
מערך הסייבר מסר בתשובתו מיוני 2022 כי הסמכות להעניק רשיונות כוללת גם סמכות לתת .
הנחיות לעניין הגנת הסייבר, ומשכך ניתן לראות כי גם משרדים אחרים פועלים בנושא על אף .
היעדר חוק סייבר ייעודי.
משרד התחבורה מסר למשרד מבקר המדינה ביולי 2021 כימשנת 2018 הוא מסר הערות רבות .
לתזכיר חוק הסייבר , אולם עד היום הוא לא קיבל את תגובת מערך הסייבר .
הם סבורים שאין טעם בכפל אסדרה (כלומר טיפול בנושא במסגרת חוק הסייבר לכשיחוקק .
ובד בבד טיפול בחוקים נוספים הנוגעים לתחום התחבורה בלבד).
עוד מסר המשרד כי נכון יהיה .
לגבש חוק מתכלל שיבטיח עקביות באסדרה ובפיקוח, וכי לדעתו תיקון חקיקה ספציפי (במגזר .
התחבורה) חלף תיקון חקיקה כללי (במסגרת חוק הסייבר) עלול להחטיא את העיקר .
יצוין כי בנושא הרכב האוטונומי, שהוא נושא חדשני, בחר משרד התחבורה לעגן את דרישות .
הסייבר באמצעות חקיקה 12 .
ממסמכים שהעביר משרד התחבורה למשרד מבקר המדינה באפריל 2021 עולה כי משרד .
התחבורה מיפה את הפעילות המאוסדרת במגזר באמצעות אוסף של עשרות חוקים ותקנות.
תחומים אלו ניתן למנות את רישוי מפעילי התחבורה הציבורית, הפעילות בתחום רשות הספנות .
והנמלים, הפעילות בתחום ה תעופה, הפעילות בתחום ההיסעים וההובלה והפעילות בתחום .
יצוין כי רישוי בתחום התחבורה ניתן בחלק מהמקרים לתקופת זמן ארוכה.
בתחום הנמלים הרישוי להפעלת נמלים הוא ל-25 שנים, והרישוי להפעלת תחבורה ציבורית הוא .
כמו כן תהליך שינוי תקנות וחקיקה הוא תהליך מורכב שבו שותפים גורמים רבים, .
ולכן הוא עשוי להימשך כמה חודשים ואף כמה שנים.
עולה כי במשך יותר משבע שנים לא השלים משרד התחבורה את עבודת המטה אשר היה .
צריך להגיש לראש הממשלה בהתאם להחלטה 2443 , לבחינת התיקונים והשינויים .
הנדרשים לאסדרה בתחומי פעילותו למימוש אפקטיבי של האחריות להגנת הסייבר .
משרד התחבורה בחר להמתין לאסדרה במסגרת חוק הסייבר, למעט בתחום .
הרכב האוטונומי שהוא נושא אחד מיני רבים, זאת שעה שעלו עיכובים בחקיקתו.
משרד התחבורה החל בפעולות לעגן בחוק (בתחום הרכב האוטונומי) את נושא הסייבר .
ועליו להמשיך ולפעול לקדם חוקים ותקנות שנמצאים בתחום אחריותו, ל צורך מימוש .
אפקטיבי של האחריות להגנת הסייבר במגזר.
11 במאי2022 עדכן משרד התקשורת את הרישיונות למתן שירותי תקשורת על ידי הספקים כך שיכללו דרישות הנוגעות .
12 'ס16 , התשכ"ב]נוסח חדש[ יד לפקודת התעבורה-1961 .
במרץ 2022 תוקנה פקודת התעבורהכדי להסדיר, בין .
היתר, את הגנת הסייבר על הפעלה ניסיונית של רכב אוטונומי (עצמאי) ללא נהג.
הגנת הסייבר במגזר התחבורה אסדרה במסגרת הכנסת דרישות סייבר להתקשרויות .
עם מפעילים בתחום התחבורה .
דרישות סייבר יכולות להיות מוטמעות במסגרת חוקים ותקנות שחלים על כל הגופים הכפופים .
להם או במסגרת התקשרויות עם ספקים.
בוועדת היגוי בנושא סייבר שהתקיימה בדצמבר 2020 .
בראשות מנכ"ל משרד התחבורה דאז נדונו תחומי פעילות שבהם יש פער בין דרישות הסייבר .
הרצויות לאלו הקיימות בהתקשרות מול ספקי השירות של המשרד.
מכרזי הפעלה של תחבורה ציבורית: מרבית המכרזים שפורסמו בעבר לא כללו את כלל .
עם זאת במכרזי ההפעלה החדשים פרסם אגף הסייבר נספח סייבר.
זאת הנחה מנכ"ל המשרד דאז כי יש לפעול לעדכון הדרישות הקיימות בנספח הסייבר גם .
במכרזים הישנים ולקדם את השיח עם החברות שזכו במכרזים כדי לנסות ולשלב בהם את .
תחום הים : מנהלת אגף הסייבר דיווחה כי היא אינה מכסה את תחום הים מפאת מחסור .
נוכח זאת הנחה מנכ"ל המשרד לייצר נספחי סייבר עבור חברות הנ מל.
במצב הנוכחי שבו חלק מההתקשרויות הקיימות אינן מכילות דרישות סייבר, למשרד .
התחבורה חסר ים כלים רגולטוריים שיאפשרו לו לחזק את הגנת הסייבר.
דוגמאות: בתחום התחבורה הציבורית - המשרד לא הוסיף אפשרות להוסיף תנאי ם .
ברישיונות למפעילים (הניתנים לעשר שנים) בנושאי מדיניות הגנת סייבר; לגבי תחום הים .
(בגופים שאינם תמ"ק) - המשרד לא דרש מגופים אלה לגבש נוהל בקרת גישה וניהול .
חשבונות משתמשים, ולגבש נוהל שימוש בשירותי ענן .
בפברואר ומרץ 2022 מסר משרד .
התחבורה כי לגבי תחומי הרכב, הרכבות והנמלים - נושאים אלו עדיין מצויים בטיפול .
במרץ 2022 מסר משרד התחבורה למשרד מבקר המדינה כי נספחי סייבר הוכנו ו החל .
בספטמבר 2021 הם משולביםבהתקשרויות חדשות בתחומי התשתיות היבשתיות 13 .
ציין משרד התחבורה בתשובתו מיולי 2022 כיבכל המכרזים החדשים להפ עלת אשכולות .
תחבורה ציבורית, ובהסכם ההפעלה החדש המתגבש עם רכבת ישראל, כלולות דרישות סייבר .
גם מסקר סיכונים 14 שביצע אגף הביקורת הפנימית במשרד התחבורהבחודשים אוקטובר 2017 .
עד יוני2018 נמצא כילאגף הסייבר במשרד התחבורה אין סמכות חוקית להנחות בנושא את .
הגופים במגזר, וכי אין לו סמכות אכיפה על כלל הגופים לבצע מהלכים לעמידה בהנחיות.
בסקר זה נמצאו בתחום הסייבר 22 סיכונים- כולם ברמת החומרה הגבוהה ביותר.
בדיון ועדת היגוי סייבר במשרד התחבורה שהתקיים באוקטובר 2021 נידון נושא מקור הסמכות .
והפעילות המשפטית הנדרשת לאסדרת תחום הסייבר במגזר.
לצורך "ייצור מקור סמכות .
13 נוהל עבודה להטמעת דרישות סייבר בפרויקטים תשתיתיים , תאריך עדכון ספטמבר 2021 .
בסלילת כבישים חדשים או מסילות רכבת חדשות המבוצעים באמצעות חברות הביצוע של המשרד.
14 " סקר סיכונים למיפוי נושאים לביקורת באגף ביטחון, חירום וסייבר במשרד התחבורה.
| 61 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה לקביעת דרישות מחייבות בתחום הגנת הסייבר בתחבורה" הנחתה מנכ"לית המשרד את .
הלשכה המשפטית לפעול בחמש דרכי פעולה: .
,בעדיפות ראשונה ינוצלו כלים קיימים המאפשרים להעמיד דרישות מחייבות בתחום הסייבר .
תוך וידוא כי יש יכולת לאכוף אותן.
בתחומים שבהם לא ניתן לקבוע דרישות מחייבות בתחום הגנת הסייבר תוצג תוכנית פעולה .
הכוללת תיקוני חקיקה נדרשים ותיעדוף מדורג לטיפול בהם.
ייבחן כיצד ניתן להחיל דרישות על גופים אשר קיבלו ר י שיונות בלי להמתין שנים עד למועד .
חידושם, תוך בחינה אם ניתן לשייך את תחום הסייבר לתחום הבטיחות שבו ניתן לקבוע .
דרישות באופן מיידי לנוכח סיכונים חדשים.
ייבחנו מודלים של משרדים מקבילים כמו משרדי האנרגיה, הגנת הסביבה והתקשורת, כדי .
להיעזר בידע ובניסיון שצברו לביצוע פעולות דומות.
תיבחן אפשרות לתיקון חקיקה ראשית אחודה שתספק מענה לכלל המגזרים בתחבורה .
(התחבורה הימית, האווירית והיבשתית) במקום לתקן כל חוק בנפרד.
עוד הנחתה מנכ"לית משרד התחבורה בדיון זה כי יש לוודא שבכל מכרז חדש מופיע פרק העוסק .
בדרישות סייבר ברמה מספקת ובבקרה והכוונה של אגף הסייבר במשרד.
משרד התחבורה החל בספטמב ר 2021 בהכנסת נספחי סייבר מחייבים בהתקשרויות .
חדשות בתחומי התשתיות היבשתיות, אולם עדיין ישנם תחומים בהם המשרד אינו מחייב .
לכלול דרישות סייבר בהתקשרויות חדשות.
יודגש כי בתחומי פעילותו של המשרד חלק .
מההסכמים נחתמים לתקופה ארוכה, כאשר בהסכמים שנחתמו בעבר אין דרישות סייבר.
למשל: הפעלת נמלים - זיכיון ל-25 שנים; הפעלת אשכולות תחבורה ציבורית - 10 .
עוד עלה כי למשרד אין מיפוי מרוכז של ההתקשרויות הקיימות לרבות מועד סיומן, וממילא .
אין בידו רישום אם קיימות בחוזים אלה דרישות סייבר .
נוכח זאת קיים סיכון שגם .
ההתקשרויות שצפויות להסתיים בשנים הקרובות יוארכו, מבלי שיתווספו להן דרישות .
סייבר במסגרת הארכתן וחידושן.
במצב האמור אין למשרד התחבורה סמכות חוקית או חוזית על חלק מה גופים במגזר .
בנושא הגנת הסייבר, דבר המשפיע על מידת יכולתו של אגף הסייבר במשרד התחבורה .
לממש את אחריותו ולהעלות את רמת הגנת הסייבר .
כמו כן יכולת משרד התחבורה .
להכניס דרישות סייבר חדשות ברישיונות שכבר ניתנו למפעילים, אף שהרישוי תקף לשנים .
מערך הסייבר מסר בתשובתו ביוני 2022 כי יש מקום לבחון את נושא שינוי הרישיונות באמצע .
תקופתם עם מחלקת ייעוץ וחקיקה במשרד המשפטים, מאחר שמדובר במעין חוזה יחס שאמור .
להתאים את עצמו לנסיבות משתנות על מנת למנוע מגבלות פורמליות שיגרמו להפקרת נושא .
הגנת הסייבר במגזר התחבורה מוצע כי משרד התחבורה יבחן את התיקונים הנדרשים מבחינה משפטית, תוך השלמת .
מיפוי ההתקשרויות הקיימות של המשרד, כדי לממש בצורה אפקטיבית את אחריותו .
לטיפול בסיכוני הסייבר במגזר.
עוד מומלץ כי המשרד יפעל להטמיע דרישות סייבר .
במסגרת כל הליך רישוי או חידוש של רישוי שנעשה מול מפעיל.
במסגרת זו יש לתת את .
הדעת על האיומים המתג ברים בתחום הסייבר מחד ועל חלון הזמן להכנסת דרישות .
להגנת סייבר ברישיונות שאמורים להינתן בשנים הקרובות מאידך.
מנכ"לית המשרד, מומלץ כי המשרד יבחן אם ניתן להחיל דרישות על גופים אשר קיבלו .
רישיונות מבלי להמתין שנים עד למועד חידושם, תוך בחינה אם ניתן לשייך את תחום .
הסייבר לתחום הבטיחות בו ניתן לקבוע דרישות באופן מיידי לאור סיכונים חדשים.
פרסום מדיניות הגנת הסייבר במגזר התחבורה לצורך .
בינואר 2021 פרסם אגף הסייבר במשרד התחבורה מסמך מדיניות להגנת הסייבר במגזר (להלן .
- המדיניות), במעמד של הוראת מנכ"ל מחייבת.
לפי המדיניות, גופי התחבורה שעליהם היא .
חלה מחויבים לנהוג בהתאם לעקרונות המובאים בה, ובהתאם לנהלים, תקנים והנחיות שיפרטו .
את העקרונות האלה ויופצו מ פעם לפעם על ידי אגף הסייבר או הרשויות המאסדרות הכפופות .
במכתב הנלווה למסמך המדיניות צוין כי לגופים תינתן תקופת התארגנות של שנתיים .
להטמעת כל עקרונות המדיניות ובקרות התקן שבו בחר הגוף לעמוד ( 27001ISO או תורת .
ההגנה בסייבר לארגון 2.
0 של מערך הסייבר), ובפרק זמן זה יפעל המשרד לצורך עיגון המדיניות .
למדיניות שתי מטרות: הראשונה - להגדיר לגופים את קווי היסוד להגנה על נכסי הסייבר של .
הארגון כדי לצמצם את הסיכונים לפגיעה בסודיות, בשלמות ובזמינות של נכסים אלה, ולהבטיח .
רציפות תפקודית של הארגון עצמו ושל מגזר התחבורה בכללותו.
המטרה השנייה - להגדיר את .
ממשקי העבודה וערוצי העדכון והדיווח בין הגופים לבין אגף הסייבר במשרד התחבורה.
במדיניות נקבע כי הגופים יסווגו לשלוש רמות דירוג: A, B, C בהתאם לחומרת הפגיעה האפשרית .
באינטרס חיוני למדינה כתוצאה מתקיפת סייבר נגדם ובהתאם לחומרת חשיפתם לתקיפה.
זה יתבצע על פי שיטה ותבחינים שקבע מערך הסייבר.
ואלה תבחיני הנזק אשר לפיהם מתבצע .
תהליך דירוג הגופים: הפגיעה בחיי אדם, הנזק הכלכלי, החיוניות לציבור, הפגיעה באמון הציבור, .
הקריטיות בחירום (תמיכה ביעדי שירות לאומי ים), קיומן של חלופות במגזר, ההחזקה בנכסי .
מידע חיוניים למדינה ו הבחינה אם הגוף מספק למדינה נכסי סייבר תשתיתיים.
המדיניות חלה על גופים המפוקחים על ידי משרד התחבורה, לרבות זכייני הפעלה של תשתיות .
שירותי תחבורה, המדורגים ברמה A אוB , וכן על החברות הממשלתיות המשמשות זרועות ביצוע .
| 63 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה של המשרד.
עבור גופים בדירוג C המדיניות משמשת המלצה בלבד.
המדיניות אינה חלה על .
גופי תמ"ק ועל גופים בתחום התעופה האזרחית, המונחים על ידי מערך הסייבר בשיתוף רת"א 15.
להלן סיווג הגופים במגזר התחבורה נכון לחודש פברואר2022 : .
תרשים 6: סיווג הגופים במגזרהתחבורה נכון לחודש פברואר 2022 .
חלק מהגופים המופיעים בטבלה כתמ"ק עדיין .
לא מוגדרים בתוספת החמישית לחוק הסדרת הביטחון בגופים ציבוריים, אך מונחים בפועל על ידי מערך .
מערך הסייבר מסר בתשובתו מיוני 2022 כי בשנת2021 התקבלה החלטה במערך שקביעת .
הגופים הרגישים תיעשה על ידי המאסדרים, על פי תבחינים של המשרד הרלוונטי ובהתייחס .
לערכיות הארגון במגזר והרציפות התפקודית, ולא לפי אמות המידה שנקבעו על ידי המערך.
15 בינואר2022 פורסמה "מדיניות לאומית להגנת סייבר בתעופה אזרחית", בהמשך להחלטה4814 .
נוסף על מערך הסייבר ורת"א, האחראים לפעילות השוטפת בתחום הסייבר במגזר התעופה, משרד התחבורה יבטיח .
את אספקת שירותי ה-SOC .
עבור גופים תעופתיים .
הגנת הסייבר במגזר התחבורה מוצע כי משרד התחבורה יבחן את סיווג הגופים ואת התבחינים לקביעתם לאור ההנחיה .
המעודכנת של מערך הסייבר המגדירה כי המאסדר הוא הקובע את סיווג הגופים על פי .
תבחיני המשרד, וכן יעדכן את המדיניות בהתאם.
הפעולות לאכיפת המדיניות .
לאחר הפצת טיוטת המדיניות בחודש אוקטובר 2020 נתקל משרד התחבורהבקשיים לאכוף את .
המדיניות בין היתר מאחר שיישומה מצריך הקצאת תקציב מצד הגופים, שאותו משרד התחבורה .
אינו מעניק להם בצורה ישירה.
מפעילה א' בתחום התשתיות השיבה למשרד התחבורה על טיוטת המדיניות כי להבנתה .
בהחלטה 2443 אין כדי לייצר מקור סמכות על פעילות חברה פרטית מאחר שפעילות .
החברה מוסדרת בכללים ובתנאים המפורטים בתנאי המכרז שפרסמה המדינה .
מפעילה ב' בתחום התשתיות, הפועלת באמצעות חוזה מול חברהממשלתית ג' , השיבה .
למשרד התחבורה על טיוטת המדיניות כי "הפורמט בו אנו מונחים הוגדר כהנחיה וולונטרית .
ותחת הגדרה זו אנו מתנהלים בשיתוף פעולה שנים מספר, הנחיה חדשה זו משמעותית .
ונרחבת מהנחיות שהיו בעבר, מבקש לקבל הנחייה זו מבעל החוזה שלי, קרי חברה .
קשיים בהטמעת המדיניות עלו גם מצד גופים המשמשים זרועות ביצוע של המשרד.
במכתב מחודש מרץ 2021 הודיעה חברה ז', שסווגה כגוףA במועד הפצת טיוטת המדיניות, .
למשרד התחבורה כי היא נערכת להטמיע את המדיניות במהלך השנתיים הקרובות, אך מציינת .
כי קיימים פערים שונים ומשמעותיים בדגש על המשאבים והתקציבים הייעודיים שיש להקצות .
לנושא ושבלעדיהם לא תוכל לממש אותה.
יצוין עוד כי בתשובת חברה ז' למשרד מבקר המדינה .
מיוני 2022 היא ציינה כי היא פועלת להטמיע את המדיניות שפרסם משרד התחבורה, והיא .
הגדירה תקציבים ייעודיים למימושה.
חברה ז' הוסיפה כי תידרש לכך הקצאת משאבים .
תקציביים כדי שתתאפשר עמידה מלאה במדיניות.
משרד התחבורה מסר למשרד מבקר המדינה ביולי 2021 כי כל זמן שאין למשרד מקור אסדרתי .
(סמכות חוקית) לקבוע הנחיות בנושא, הרי שהמדיניות שהופצה אינה מחייבת והיא בגדר המלצה .
יצוין כי משרד התחבורה עצמו ציין במדיניות כי "המשרד יטמיע את החובה להגנת הסייבר בכלים .
הרגולטוריים והחוזיים העומדים לרשותו מתוקף החוקים המסדירים את סמכויותיו".
בביקורת עלה כי במצב האסדרה החוקית הנוכחי אין בידי משרד התחבורה כלים להטמיע .
את המדיניות שקבע ולממש את אחריותו על הגנת הסייבר במגזר התחבורה.
מפעילה א' ומפעילה ב' מסרו בתשובותיהן מיוני 2022 כיכל דרישה נוספת מעבר לתנאי הרישיון .
תחייב הוראת שינוי וכיסוי העלות הכספית בהתאם.
| 65 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה במהלך שנת 2021 (שנה וחצי לפני המועד הסופי ליישום המדיניות) ביצע אגף הסייבר במשרד .
התחבורה ביקורות בחלק מגופי A כדי לבחון אתמצב הגנת הסייבר שלהם ואת מידת יישום .
המדיניות החדשה שפרסם.
להלן תרשים הממחיש את הסיכונים הפוטנציאליים בגופי תחבורה .
כתוצאה מאי-עמידה בדרישות המדיניות, ודוגמאות לגופים (שחלקם בעלי רישוי לתקופה ארוכה) .
שבהם נמצאו הסיכונים במסגרת הביקורות: .
תרשים 7: סיכוני הגנת הסייבר כתוצאה מאי-עמידה בדרישות המדיניות .
בביקורת עלו פערים ביכולת משרד התחבורה לעדכן דרישות סייבר בהתקשרויות ארוכות .
טווח ולכן בהיעדר כלים רגולטוריים, אין למשרד סמכות להנחות גוף פרטי ללא הסדר .
חוזי - כך שהמשרד צפוי להתקל בקשיים ביכולת להנחות את הגופים במגזר ולפקח על .
עוד נמצאו פ ערים בין דרישות הסייבר שהוגדרו במדיניות ובין היכולת .
ליישמן בחלק מהגופים, בטווח הזמן שנקבע ליישומה ופערים בתחום מוגנות הסייבר בגופי .
A בהתאם לביקורות שביצע אגף הסייבר משנת2021 .
הגנת הסייבר במגזר התחבורה מוצע כי משרד התחבורה ייזום תיקון לחוקים ולתקנות ויגדיר סדר עדיפות להתחלת .
הפעילות בתחום תוך מתן עדיפות לתחומים שבהם מוקמים פרויקטים חדשים רחבי היקף; .
ותחומים שבהם יש סיכוני סייבר רבים ומצב ההגנה הנוכחי של הגופים אינו מספק להם .
פעילות זו תעלה בקנה אחד עם פעילות חלק מיחידות הסייבר המגזריות .
האחרות שהחלו להפעיל את הרישוי רק בחלק מהתחומים בהתאם לניהול סיכונים .
כמו כן מוצע כי משרד התחבורה יבחן את האפשרות לעדכן את הזיכיונות, .
הרישיונות וההתקשרויות הקיימות ולהוסיף להן דרישות מתחום הגנת הסייבר, בפרט לאלו .
משרד התחבורה מסר בתשובתו ביולי 2022 כיבגופים שבהם הוסדרה ה סמכות של משרד .
התחבורה, ובהם מפעילות תחבורה ציבורית וחברות הביצוע, מועברים חומרים, ממצאים, .
בדיקות, סיכומים ועוד.
בהיעדר חובה חוקית, אין למשרד סמכות להנחות גוף פרטי ללא הסדר .
משרד התחבורה הוסיף כי הוא מקדם חוק סייבר בתחבורה, שיחיל חובת הנחיה ודיווח על .
כל דרישות הסייבר של המשרד, של כל הגופים המקבלים רישיון או זיכיון ממנו.
חוק הסייבר בתחבורה המשרד מכניס דרישות סייבר להתקשרויות חדשות עם מפעילים בתחום .
כך, למשל, בכל המכרזים החדשים להפעלת אשכולות תחבורה ציבורית, ובהסכם .
ההפעלה החדש המתגבש עם רכבת ישראל, כלולות דרישות סייבר מחמירות.
מקיים הליך מול זכיינים קיימים, חלקם משתפים פעולה מרצון.
משרד התחבורה הוסיף כי בדיון .
שהתקיים עם מערך הסייבר, תמך המערך בביצוע "תיקוני חקיקה שיאפשרו (למשרד התחבורה) .
לבצע בקרה ואכיפה של רמת האבטחה הנדרשת".
החלטת הממשלה 2443 כללה הנחיות בנושא תקינת כח האדם הנדרשת מהיחידה להנחיית .
הסייבר המגזרי: במשרד שהוגדר כמשרד "גדול" - למשל משרד התחבורה - נקבע כי נדרשים .
חמישה עובדים לפי החלוקה הזאת: מנהל, שני עובדים בתחום ההכוונה ושני עובדים בתחום .
עוד נקבע בהחלטה כי איוש התפקידים יבוצע באמצעות תקני כוח אדם ועובדים ממיקור חוץ .
בשנתיים הראשונות התקציב לאיוש התפקידים יתבסס על מקורות מערך .
הסייבר בסכום שלא יסתכם ביותר מ - 500,000 ש"ח בשנה לתפקיד, ובשלוש השנים שלאחר .
מכן מחצית מהתקציב תהיה ממקורות המערך ומחציתו ממקורות המשרד הממשלתי הרלוונטי, .
והמערך ישתתף בתקציב עד לתקרה של 500,000 .
ש"ח בשנה ליועץ כן נקבע כי המערך יבחן .
חמש שנים לאחר קבלת ההחלטה את מנגנון האיוש ו התקצוב של התפקידים - קרי בפברואר .
באוקטובר2020 דיווחה מנהלת אגף הסייבר במשרד התחבורה לראש מחלקת הכוונת המשק .
במערך הסייבר כי עד כה מילאה היחידה רק חלק ממשימותיה, וזאת לנוכח פער בניהול ופער .
בכוח אדם שמיומן לביצוע הבקרה ו לעמידה בדרישות ה אסדרתיות.
מנהלת האגף הוסיפה כי .
האיום האיראני במרחב הסייבר ומשבר הקורונה מייצרים אתגר גדול אף יותר בהגנה על מגזר .
התחבורה, וביקשה גיבוי ממערך הסייבר להצעתה להוספת שני יועצים: האחד בתחום ההנחיה .
והשני בתחום הבקרה; לדבריה מצב זה אינו מיטבי, אך הוא יאפשר לצאת לשטח ולייצר תמונת .
| 67 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה בדיון ועדת היגוי סייבר במשר ד התחבורה שהתקיים בנובמבר 2020 בראשות מנכ"להמשרד .
דווח כי המשרד לא ביצע עד כה ביקורות בגופים בהיבטי סייבר, וכי בתחום התחבורה הי מית .
לא מבוצעת פעילות סייבר .
מנהלת אגף הסייבר עדכנה כי משאבי כוח האדם המצומצמים אינם .
מצויים בהלימה להחלט ת הממשלה 2443 ,וכי אגף הסי יבר מבקש שהנהלת המשרד תתעדף .
את פעילותו - הכוונת פרויקטי תחבורה או יציאה לביקורות של הגופים בשטח.
עוד הוצג בדיון כי המבנה המיטבי של אגף הסייבר המגזרי צריך להיות רחב בהרבה מהקיים .
ולכלול בעלי תפקידים שיעסקו בביצוע ביקורות בכלל גופי התחבורה ובמחקר ופיתוח (מו"פ); .
צוותי התערבות באירועי סייבר ברמה הלאומית; צוותי ניהול SOC 16 מגזרי ועוד.
פירוט המבנה הנדרש של אגף הסייבר, לפי אגף הסייבר במשרד התחבורה, למול המבנה .
שנקבע בהחלטת הממשלה: .
16 Security Operation Center .
הגנת הסייבר במגזר התחבורה תרשים 8: המבנה שנקבע בהחלטת הממשלה למול המבנה הנדרש .
בדיון בחודש דצמבר 2020 בין מערך הסייבר למשרד התחבורה ציין המערך כי אגף הסייבר .
במשרד התחבורה הוא אגף חסר במשאבים באופן שאינו מאפשר לו להתמודד באופן נאות עם .
הצורך המבצעי ועם מספר הפרויקטים העצום במגזר .
בהמשך לדיון זה, בדצמבר 2020 שלחה שרת התחבורה דאז מכתב לשר האוצר דאז בנושא .
"פערים ביטחוניים להגנת הסייבר של תשתיות תחבורה בים , באוויר וביבשה ".
הבהירה השרה כי לפי עבודת המטה שבוצעה במשרדה נדרש תקצוב של 30 מיליון ש"ח כדי .
לאפשר למשרד לממש את אחריותו, וכי כל הפניות למשרד האוצר בעניין זה סורבו.
טענה עוד כי גם הצעות להסיט תקציב בתוך המשרד נענו בשלילה , וביקשה מהשר כי "יורה .
באופן מיידי לפקידי אגף התקציבים להקצות סך של 30 מיליון ש"ח שיאפשרו למשרד .
| 69 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה התחבורה לממש תוכנית מיידית להגנת סייבר של תשתית התח בורה הלאומית בים, .
באוויר וביבשה , או לחילופין הסטת תקציב משרדי לצמצום פערים אלו " (ההדגשה .
בעקבות המכתב לעיל התקיים בחודש ינואר 2021 דיון בהשתתפות נציגי משרד התחבורה, אגף .
התקציבים במשרד האוצר ומערך הסייבר, שאותו סיכם מנכ"ל משרד התחבורה באומרו כי נושא .
הסייבר הודגש והונח במרכז סדר היום, וכי הוא קורא לעזרה לנוכח הפערים שהצטברו והכוננות .
שבה נמצא המשרד, והוסיף כי במצב דברים זה המשרד אינו יכול לממש את אחריותו.
בדיון טען משרד התחבורה כי אין בידיו התקנים ו התקציב הדרושים להקמה ולהפעלה של הגנת .
סייבר על מגזר התחבור ה, והציג דרישות בפני נציגי אגף התקציבים המסתכמות ב-30 מיליון .
ש"ח לצורך משאבי כ וח האדם, היכולות האופרטיביות, ריכוז תמונת המצב בזמן אמת, המערכות .
הטכנולוגיות והכלים להעלאת הכשירות ו המודעות .
נציגי משרד התחבורה הוסיפו כי מאז .
החלטת הממשלה 2443 שהתקבלה בשנת 2015 (אשר קבעה תקן של חמישה עובדים ליחידה .