HeTree/MevakerConcSen huggingface dataset:
ה | מערכות המידע והגנת הסייבר בבחירות לכנסות ה-21, ה-22 וה-23 ועדת הבחירות מסרה בתשובתה כי לאחר הבחירות לכנסת ה -24 ובמהלך תקופת השגרההיא תפעל לכתיבת נוהל העוסק בניהול המשכיות תפקודית ותבצע לפני כל מערכת בחירות ובתדירות שתיקבע ניסוי של מערך השיקום וההתאוששות במקרה של אסון.
כמו כן לדברי הוועדה היעדר נוהל בנושא לא פגע בהיערכות הוועדה למקרה של תקלות בשלוש מערכות הבחירות כיוון שהייתה מצגת שהועברה לכל המעורבים והתייחסה למקרים ולתגובות.
נוהל חירום לחדרים המאובטחים .
ועדת הבחירות כתבה נוהל למצב חירום והפיצה אותו ב- 16.
19 - יום לפני הבחירות לכנסת ה -22 .
לאור זאת בבחירות לכנסת ה -22 לא בוצעו ת רגולים של מצבי חירום.
הדברים אמורים, בין היתר, בוועדה האזורית אשקלון, אשר בחזרה הגנרלית שקיימה לקראת הבחירות לכנסת ה-22 נשמעה אזעקה, וזאתסמוך ל בחירות.
בהוראות45 התגוננות בשעת חירום למערכת הבחירות לכנסת ה-23 נכתב כי מנהל אתר הדילוג יערוך לפחות סימולציה אחת של פינוי למרחב המוגן, בכדי לתרגל את עובדיו להגעה מהירה ויעילה בעת התרעה למרחב המוגן.
כמו כן הנוהל הנחה לאן יש להתפנות במצב חירום בהינתן תנאי אתר הדילוג (למשל: אם קיים מרחב מוגן מספק, מספר הקומות במבנה ועוד).
נמצא כי הוראות ההתגוננות בשעת חירום למערכת הבחירות לכנסת ה-23 לא פירטו כיצד על מנהלי הוועדות האזוריות לאבטח את החומר הרגיש במצב זה.
עוד נמצא כי במסגרת החזרה הגנרלית של הבחירות לכנסת ה-23 ערכה ועדת הבחירות תרגול של מצב חירום בחמש ועדות אזוריות.
לא נערך תרגול בוועדות אזוריות שמצויות בצפון ובדרום הארץ.
בשלוש מהוועדות התרגול בוצע באמצעות תשאול העובדים בנוגע להיכרותם עם הפעולות שיעשו אם תהיה התרעה.
בשאלון שהעביר משרד מבקר המדינה בבחירות לכנסות ה-22 וה-23 נמצא כי בשבע (35% ) מעשרים הוועדות האזוריות שנבדקו בשתי מערכות הבחירות, מנהלי הוועדות או מנהלי החדרים המאובטחים לא ידעו במדויק כיצד עליהם לפעול במצב חירום.
עוד עלו פערי מיגון בחלק מהאתרים, ולכן העובדים התבקשו להישאר במקומם ולפעול בהתאם להנחיות פיקוד העורף.
ראוי לציין לחיוב כי החדר עם ציוד המחשוב בוועדה אזורית אחת נקבע במחשבה תחילה כמרחב מוגן ולכן לא נדרש היה להתפנות ממנו במצב חירום.
מוצע שוועדת הבחירות תוודא מול מנהלי הוועדות האזוריות שהם יודעים כיצד עליהם לפעול במצב חירום.
כמו כן על הוועדה לתרגל תרחיש חירום לפני יום הבחירות.
עוד מומלץ לבחון את מיקומם של החדרים עם ציוד המחשוב במרחבים מוגנים, בפרט בוועדות אזוריות בדרום ובצפון.
| 1120 | מערכותהמידע והגנת הסייבר בבחירות לכנסות ה -21, ה-22 וה-23 ✰ לסיכום, תמונת המצב העולה מהפרק מלמדת כי בידי מקבלי ההחלטות בוועדת הבחירות אין תמונה מלאה ועדכנית של מערכות המידע והתשתיות המשמשות אותן (רשימת מצאי מעודכנת) ויחסי הגומלין בין המערכות (מסמך ארכיטקטורה).
כמו כן הועלה כי הוועדה לא הגדירה לכל נכס מידע את בעל הנ כס, סיווגו ורמת הדחיפות שלו במקרה של התאוששות מאסון.
נתונים אלו חיוניים בעת ביצוע סקרי סיכונים וכן כדי לאתר רכיבים פחות מוגנים - שאינם נתמכים על ידי היצרן או שיש להם חולשות מוכרות ועשויים להיות החוליה החלשה שבאמצעותה תוקפים ינסו לפגוע באמון הציבור.
כמו כן ועדת הבחירות פועלת ללא מסמך לניהול המשכיות תפקודית המגדיר את המערכות והתהליכים החיוניים להמשך פעילותה בתקופת הבחירות ואת הזמן הנדרש להתאוששותם.
ועדת הבחירות מסרה בתשובתה כי תשקול כיצד ליישם את ההערה הנוגעת לניהול תיקי מערכות ותיעוד ולמסמכי המשכיות ורציפות תפקודית.
| 1121 | דוחמבקר המדינה | אדרב התשפ״ב | מרץ2022 .
ה | מערכות המידע והגנת הסייבר בבחירות לכנסות ה-21, ה-22 וה-23 סיכוני סייבר בשרשרת האספקה של שירותי מערכות המידע .
איומי שרשרת האספקה46 נוגעים לנזק הפוטנציאלי שעלול להיגרם לארגוני ליבה או לספקים כתוצאה מעבודה משותפת.
בעידן הנוכחי כמעט שלא קיימים חברות וארגונים האחראים לבדם לכל שלבי התכנון, הפיתוח, השיווק והאספקה של המוצרים והשירותים שהם מספקים.
לחלופין, ארגוני ליבה רוכשים את שירותיהן של חברות המתמחות בתחומים שונים ומנהלים תהליך עבודה יעיל וזול יותר.
שרשרת אספקה היא מונח המתייחס לכלל המשאבים והתהליכים הקשורים בספקים, בלקוחות ובקבלני ביצוע, אשר דרושים לצורך אספקת מוצר או שירות בארגון.
אף ששיטה זו מאפשרת תהליך ייצור יעיל, מקצועי וזול יותר משיטות ריכוזיות ומבודלות, היא כוללת גם איומים טכנולוגיים קריטיים שיש לתת עליהם את הדעת.
הסיבה לכך היא שלא די בכך שארגון הליבה יקפיד על נוהלי אבטחת מידע, מאחר שהוא חשוף בעקיפין לטעויות אנוש, לכשלי אבטחה ולפגיעויות במערכות של גורמי צד ג'.
נוסף על כך, גם לארגוני הליבה יכולה להיות גישה פיזית או לוגית למידע של הספק אם הם שולטים או מפקחים על תהליכי הייצור והאספקה שלו.
לפיכך הנזק הפוטנציאלי הוא הדדי.
בשנים האחרונות חל גידול ניכר במספר תקיפות הסייבר על ארגונים ובעוצמת ן.
מקורן של חלק מתקיפות אלו נובע מחולשה באחת או יותר מחוליות שרשרת האספקה של הארגון.
פרסמה יה"ב הנחיה בנושא שרשרת האספקה שמחייבת את משרדי הממשלה מטרת ההנחיה היא בין היתר להציג מתודה סדורה של השלבים השונים בתהליך מובנה של ניהול סיכוני סייבר בעת התקשרות עם ספק לשירותי תקשוב.
לפי ההנחיה בנושא שרשרת האספקה, כדי לתת מענה לאיומים הנובעים מחולשות אפשריות בשרשרת האספקה, על המשרדים להיערך ארגונית מבחינת מדיניות, אחריות ההנהלה וניהול מחזור חיי ההתקשרות עם הספק.
כמו כן יש לבצע מיפוי ודירוג של הספקים כדי להעריך את הסיכונים הכרוכים בהתקשרות עימם.
המשרדים יעמדו בקשר ישיר עם הספקים, יתדרכו אותם ויעגנו בהסכם ההתקשרות את הבקרות הרלוונטיות לפעילות המתבצעת מולם.
בהנחיה הוגדר ספק מהותי או ספק קריטי כספק שנותן שירותים כגון תמיכה במערכות מידע ותחזוקה שלהן, אחסון נתונים רגישים מחוץ למשרדים הממשלתיים ושירותי מיקור חוץ טכנולוגיים או ספק שפגיעה בו עלולה לגרום למשרדים נזק מהותי.
לפי ההנחיה, על המשרדים חלה חובה לבצע מיפוי של הספקים שאיתם הם מתקשרים ולהשלים אותו עד 31.
עוד לפי ההנחיה, ספקים אשר דורגו על ידי המשרדים כספקים מהותיים יידרשו להוכיח את רמת ההגנה שלהם באמצעות מענה לשאלון ספקים (שפיתח מערך הסייבר) הכולל כ-90 בקרות בארבעה תחומים: גישה מרחוק, דרישות רוחביות, אחסון בענן ופיתוח תוכנה מאובטח.
את המענה לשאלון יבדוק בודק ספקים אשר הוכשר לכך על ידי מערך הסייבר, ותוצאות הבדיקה יועברו לגוף התעדה אשר מורשה להנפיק תעודת "ספק מאושר" (להלן - תהליך ההתעדה).
46 על פי מאמר בסימוכין ב-ס-1009- ב של מערך הסייבר בשם "תקיפת ארגונים באמצעות שרשרת אספקה מ- 11.
20 - chain- ublications/reports/supply https://www.
| 1122 | מערכותהמידע והגנת הסייבר בבחירות לכנסות ה -21, ה-22 וה-23 המשרדים לא יורשו לבצע התקשרות עם ספק מהותי שלא עבר את תהליך ההתעדה לאחר תקופת ההיערכות, שמועד סיומה נקבע ל- 31.
עוד בהנחיה, על המשרדים לנהל את מחזור החיים של המערכות שלהם מול הספק ובכלל זה בעת חידוש התקשרות עם ספק קיים, לוודא כי חידוש החוזה מביא בחשבון את רמת ההגנה הנוכחית של הספק ואת אופן מימוש ההמלצות וסגירת הפערים47 שהעלו המשרדים מול הספק.
כמו כן בעת חתימה על הסכם התקשרות חדש על ההסכם לכלול את כל היבטי הגנת הסייבר של שרשרת האספקה, ועל המשרדים לצרף למכרז נספח אבטחת מידע.
לצורך הסיוע למשרדים פרסמה יה"ב דוגמה לנספח אבטחת מידע.
על פי הגדרת יה"ב לספק מהותי עולה כי כל ספקי מערכות המידע של ועדת הבחירות הם ספקים מהותיים, היות שהם מספקים לוועדה שירותי פיתוח, תמיכה ותחזוקה של מערכות המידע שלה.
אף שוועדת הבחירות אינה כפופה להנחיות יה"ב, נוכח רגישות המידע במערכות, יש מקום שוועדת הבחירות תחיל על עצמה את הנחיית יה"ב בנושא או תגבש הנחיה מקבילה, תוודא כי ספקיה המהותיים מיישמים את תהליך ההתעדה וכן תבצע בחינת עמידות לספקים.
מומלץ שוועדת הבחירות תקפיד בכל התקשרות חדשה או חידוש התקשרות על כך שהספק יהיה בעל תעודה בתוקף של "ספק מאושר" בהיבט של אבטחת מידע.
47 בהנחיה נכתב כי אם במהלך ההתקשרות מחליט המשרד להגדיר את הספק כספק מהותי, על המשרד לוודא כי הספק משלים את מילוי הדרישות הנלוות להיותו ספק מהותי.
| 1123 | דוחמבקר המדינה | אדרב התשפ״ב | מרץ2022 .
ה | מערכות המידע והגנת הסייבר בבחירות לכנסות ה-21, ה-22 וה-23 נספחי אבטחת המידע .
נוהל מפת"ח (מתודולוגיית פיתוח ותחזוקה של מערכות) הוא נוהל מסגרת לטיפול כולל בתחום המחשוב בארגון הן במישור של מערכת המידע הבודדת (להלן - מערכת או פרויקט) והן במישור הארגון.
במישור המערכת - הנוהל מגדיר כיצד לנהל, לפתח, לתחזק ולתפעל מערכת ממוחשבת בכל היקף ומכל סוג.
במישור הארגון - הנוהל כולל מגוון שיטות וכלים המיועדים לדרג הניהולי, החל בשלב הכנתה של תוכנית עבודה שנתית, עבור דרך שלב המעקב אחר פיתוח ותחזוקה של מערכות בארגון, וכלה בשלב ניהול הדרישות והתכנון האסטרטגי.
נוהל מפת"ח מוגדר כמתודולוגיה פתוחה שמנחה את הארגון מה נדרש לנהל בכל שלב במחזור חיי המערכת אך מותירה לארגון חופש פעולה לבחור לעצמו כלים ושיטות ניהול.
כדי לסייע לארגונים לעבוד לפי הנוהל, החברה שכתבה את נוהל מפת"ח מפרסמת תבניות של מסמכים המפרטות את הנושאים שיש להגדיר לפי הנוהל, למשל: מסמך ל בקשה להצעת מחיר.
באוקטובר 1991 התקבלה החלטת ממשלה שחייבה את כלהמשרדים הממשלתיים והגופים הכפופים להם לפתח ולתחזק את מערכות המידע שלהם על פי נוהל אחיד - נוהל מפת"ח.
בהחלטת הממשלה 2097 מאוקטובר2014 בוטלה ההחלטה בדבר נוהל מפת"ח כנוהל מחייב.
כמו כן נקבה בהחלטת הממשלה האמורה כי רשות התקשוב תהיה אחראית בין היתר לקביעת סטנדרטים בתחומי טכנולוגיות מידע וסיוע בהטמעתם באגפי מערכות המידע במשרדים ולפרסום הנחיות מקצועיות מחייבות בתחומי סמכותה למנהלי אגפי מערכות המידע במשרדים.
ועדת הבחירות כתבה את מסמכי הבקשות להצעות המחיר שלה בהתאם לתבנית המסמכים של נוהל מפת"ח, שהיה תקף עד שנת 2014 .
19 בנוהל מפרט את דרישות אבטחת המידע מהמערכת וכולל את ההתייחסות לתתי-הסעיפים האלו: 1.
0 כללי- הגדרה כללית של רגישות המידע במערכת והסיווג הביטחוני או העסקי שלה; המודל הבטיחותי הכללי; עמידה בדרישות, בתקנים ובנוהלי אבטחת המידע בארגון.
1 סיכוני אבטחת המידע של המערכת- זיהוי הסיכון או החשיפה, פירוט ההסתברות לסיכון, מידת הנזק ודרגת החומרה.
2 אמצעי אבטחת מידע- הסעיף כולל דרישות אבטחת מידע בנושאים האלו: זיהוי המשתמש, סיסמאות והרשאות, מידור הגישה למערכת, רישום כניסות ויציאות למערכת, ניהול רישום גישה לקבצים ואמצעי אבטחה נוספים.
3 ניהול האבטחה - אמצעים המיועדים למנהל האבטחה עצמו לצורך ניהול המשתמשים, הקצאת סיסמאות והרשאות, ניהול רישום הכניסות למערכת והיציאות ממנה והגדרת מסלולי מידור.
כאמור, בהנחיה בנושא שרשרת האספקה נקבע כי על המשרדים לנהל את מחזור החיים של מערכות המידע שלהם מול הספק, ובכלל זה בעת חידוש ההתקשרות עם ספק קיים לוודא כי חידוש החוזה מביא בחשבון את רמת ההגנה הנוכחית של הספק ואת אופן מימוש ההמלצות וסגירת הפערים שהעלו המשרדים מול הספק.
| 1124 | מערכותהמידע והגנת הסייבר בבחירות לכנסות ה -21, ה-22 וה-23 פיתוח מערכת מידע חדשה הוא תהליך מורכב המכיל נדבכים רבים, ובהם הגדרת התהליכים שבהם תתמוך המערכת, הטכנולוגיה, החומרה, היבטי אבטחת המידע ועוד.
נמצא כי הפירוט שכתבה ועדת הבחירות בנספחי אבטחת המידע במסגרת הבקשות להצעות המחיר היה חסר לעומת הפירוט הנדרש בנוהל מפת"ח, ואף דרישות אבטחת המידע מהחברות החיצוניות לא עודכנו במהלך השנים בעת תהליך חידוש ההתקשרויות.
כמו כן נמצא כי נספחי אבטחת המידע לא נכתבו בפורמט קבוע, ובכל נספח הופיעו נושאים שונים.
מומלץ שוועדת הבחירות תאמץ מתודולוגיה מקובלת בתחום התקשוב ותכסה את כל הנדבכים הרלוונטיים בעת כתיבת מכרז להקמת מערכת מידע ובפרט כל נושאי האבטחה.
ועדת הבחירות כתב ה כי בכוונת ה לאמץ מתודולוגיה מקובלת בתחום התקשוב.
הגדרת המתודולוגיה והתאמתה לצורכי הוועדה תיעשה במסגרת תוכנית אסטרטגית למחשוב.
כאמור מכרז לייעוץ בנושא תוכנית אסטרטגית למחשוב נמצא בשלבי גיבוש סופיים, ופרסומו נדחה עקב הקדמת מועד הבחירות לכנסת ה- 24 .
להלן דוגמאות לנושאים חסרים בנספחי אבטחת המידע מול הנדרש בנספח אבטחת המידע לפי נוהל מפת"ח: 1.
מערכת 1 ( 2002:) ,כאמור בנספח אבטחת המידע נכתב כי המערכת כוללת מידע רגיש ביותר, ושלצורך הגנה מיטבית על עדכוני המערכת הרגישים ובעיקר על תוצאות הבחירות תיקבע שיטת אבטחה ברמה גבוהה לצורכי עדכון.
אולם לא פורטו עקרונות השיטה ולא פורטו דרישות האבטחה מהמערכת, ובה ן אמצעי זיהוי המשתמשים וניהול ההרשאות הנדרשות, אמצעי המידור והניטור.
יוצא אפוא ש לא סוכמו העקרונות של אבטחת המערכת כך שיהיו מקובלים גם על ועדת הבחירות וגם על הספק.
מערכות אחרות כמו מערכת 2 ( 2016 ) ומערכת 3 ( 2017:) נספחי אבטחת המידע לא כללו פירוט על נושאים מהותיים ונחוצים שנכללים גם בנוהל מפת"ח.
כמו כן אף שנדרש מהספקים לעמוד במידור המערכת לא פורטו נושאים נוספים הקשורים לאבטחה הלוגית הנדרשת ולאבטחה הפיזית והסביבתית במתקני הספק.
זאת ועוד, נספחי אבטחת המידע נכתבו בפורמטים שונים כך שנושאים שנכללו בנספח של מערכת 2 (2016 )לא הופיעו בנספח של המערכת לסריקת חומרי ההצבעה (2017 ,) למשל תאימות הספק לחוקים ותקנות ולנהלים ובקרות גישה.
נספח אבטחת המידע של יה"ב מנובמבר 2019 הוא מסמך מנחה הכולל סעיפים ליישום ההנחיה בנושא שרשרת האספקה ומשמש ארגז כלים אשר המשרדים יכולים להשתמש בו כחלק מתהליך ההתקשרות עם ספק לצורך יישום תשומות אבטחה מתאימות להגנת הסייבר שיסופקו על ידי הספק לאורך תקופת ההתקשרות ובסיומה.
הנספח כולל פירוט עבור כל אחת מהדרישות האלה: סיווג המידע ומיפויו; אפיון השירות המוצע; שמירה על סודיות ופרטיות; אופן השימוש במאגרי המידע, אופן התחזוקה והניהול שלהם (למשל התייחסות לבעלות על קוד המקור של המערכת); זיהוי סיכונים וניהולם על ידי הספק; אבטחת המידע במישור משאבי האנוש והעובדים; אבטחה פיזית וסביבתית במתקני הספק; אבטחה לוגית; תיעוד ובקרה; ניהול .
| 1125 | דוחמבקר המדינה | אדרב התשפ״ב | מרץ2022 .
ה | מערכות המידע והגנת הסייבר בבחירות לכנסות ה-21, ה-22 וה-23 ;משתמשים והרשאות; אבטחת רכיבי תקשורת; אבטחת עמדות הקצה; שימוש בהתקנים ניידים גיבוי, שחזור והתאוששות; פיתוח מאובטח; סיום ההתקשרות.
נוכח רגישות המידע במערכות המידע של ועדת הבחירות, מומלץ כי הוועדה תבחן אימוץ הנחיית יה"ב ותייצר תבנית קבועה לנספח אבטחת המידע שתתבסס על נספח אבטחת המידע שפרסמה יה"ב למשרדים, זאת תוך ביצוע התאמות למאפייני ה הייעודים של הוועדה ולמאפייני כל מערכת.
ועדת הבחירות מסרה בתשובתה כי היא מקבלת את ההמלצה לעניין אבטחת מידע.
לעניין נספח "הגנת הסייבר", הוועדה תפעל ליישם את ההערה לאחר שתבחן מהו המבנה הראוי לנספח כאמור, מה הם מאפייני תכולתו ואם יש בו צורך בכל התקשרות או פרויקט.
הביקורת העלתה כי בחלק מההתקשרויות של ועדת הבחירות עם ספקי מערכות המידע הופיעו דרישות אבטחת מידע שלא מולאו בידי הספקים, ואף ועדת הבחירות לא וידאה שדרישות אלו מולאו.
להלן דוגמה: קבלת דוחות מהספקים על ביצועי המערכות: בפגישה שערך משרד מבקר המדינה עם נציגי אגף המחשוב ועם היועץ המשפטי של ועדת הבחירות ב- 25.
20 נמצא כי הוועדה לא ביקשה מהספקים דוחות על ביצועי המערכת והתשתיות שלהם כדי לבחון עמידה במדדי רמת השירות (SLA ), שחלקם הוגדרו במסגרת ההתקשרויות.
למשל: לא התקבלו מסמכים המתעדים את מועדי נפילת המערכות ואת מדידת הזמנים שבהם לא הייתה המערכת פעילה עקב כך או כשהגיעה לניצול נפח דיסק של כ-90% .
עוד נאמר בפגישה ב- 25.
20 כיועדת הבחירות אינה מבקרת את הנתונים האלו, וכי האחריות המלאה לכל הנושאים התפעוליים היא של הספקים.
נמסר לצוות הביקורת כי הוועדה יודעת בתקופת הבחירות מתי המערכת אינה פועלת ("למטה") וזאת לפי פרמטרים שהיא מנטרת.
מוצע שוועדת הבחירות תפעל בהתאם להנחיית שרשרת האספקה של יה"ב , תקבל דוחות על ביצועי המערכת בכל תקופה ותבחן מפעם לפעם את עמידת הספקים בדרישות אבטחת המידע שהיא קבעה בהתקשרויות עימם.
כמו כן מומלץ להגדיר את חלוקת תחומי האחריות בין הוועדה ובין הספק וכן את התוצרים המצופים בכל תקופה.
ועדת הבחירות מסרה בתשובתה כי היא מקבלת את ההערה העקרונית ותפעל לשיפור המעקב אחר מילוי הדרישות המופיעות בהסכמי ההתקשרות שלה עם הספקים.
עם זאת, הוועדה מבקשת להדגיש שהיא אינה מקלה ראש בחשיבות ההגנה על מערכותיה ומקדישה משאבים רבים לנושא.
עוד נכתב בתשובת הוועדה כי היא תשקול כיצד ליישם את ההערה ואם לאמץ את הנחיית שרשרת האספקה של יה"ב.
| 1126 | מערכותהמידע והגנת הסייבר בבחירות לכנסות ה -21, ה-22 וה-23 אבטחת מידע לוגית .
בהנחיית המסגרת הוגדר כי ההגנה הלוגית היא השכבה העיקרית והקרובה ביותר בהגנה על המידע המצוי במערכות המחשוב והתקשורת, וכי היעדר יישום נכון של שכבה זו חושף את המידע לפעילויות שונות אשר חלקן עלול להסב נזק רב למשרד.
ממונה הגנת הסייבר יתווה רמת הגנה לוגית מחייבת עבור רכיביהן השונים של מערכות המחשוב והתקשורת.
רובדי ההגנה על המידע יקיפו את הנדבכים המרכזיים האלו: הזדהות, הרשאות ובקרת גישה לוגית, הגנה וניטור של התקני קצה, הגנה וניטור של מערכי תקשורת, הגנה וניטור של תשתיות מחשוב, הגנה וניטור של תשתיות אחסון, הגנת תשתיות ניטור ובקרות מובנות.
בפרק זה יובא פירוט על אופן הטיפול של ועדת הבחירות בכל אחד מהנדבכים.
כאמור ועדת הבחירות כתבה נהלים ייעודיים, ואולם אלו לא פירטו את כלל הנדבכים שנדרשו בנושא ההגנה הלוגית בהנחיית המסגרת של יה"ב המחייבת את המשרדים.
אף שהוועדה היא גוף סטטוטורי ואינה כפופה להנחיות יה"ב, מוצע שתגדיר את רמת ההגנה הלוגית המתאימה למאפייניה הייחודיים ותתבסס על כלל הנדבכים שהוגדרו בהנחיה.
עבור חלק מהוועדות האזוריות מוקם אתר נוסף הנקרא אתר דילוג המשמש לקליטת חומרי ההצבעה של ועדות הקלפי במוצ אי יום הבחירו ת.
חלק מהוועדות האזוריות אינן משתמשות באתר דילוג אלא מבצעות את הקליטה באתר שבו הן שוהות כל תקופת הבחירות.
הניהול והתפעול של הסיסמאות במערכת 1 .
הניהול והתפעול של הסיסמאות בתקופת הבחירות .
יש שלושה סוגים של מנגנוני הזדהות: 1.
מנגנון חד-שלבי ( FA1 )- שם משתמש וסיסמה.
מנגנון דו-שלבי ( FA2 )- שם משתמש וסיסמה ומידע שמצוי ברשות המשתמש (למשל: כרטיס חכם או קוד בטלפון).
מנגנון מולטי (MFA )- שם משתמש וסיסמה, מידע שמצוי ברשות המשתמש ומידע ייחודי של המשתמש (טביעת אצבע או זיהוי פנים).
12 של יה"ב מספטמבר 2017 בנושא ניהול הרשאות ותפעולן (להלן- ההנחיה בנושא הרשאות) קיימים שלושה סוגי חשבונות משתמשים: משתמש רגיל, משתמש פריווילגי (איש system) , מינהלן מערכת ( Administrator ,) משתמש עבור יישום או מערכת (משתמש אפליקטיבי).
11 של יה"ב מאוקטובר2017 בנושא ניהול סיסמאות ותפעולן נקבע כי יש לבחון את הנושאים האלה: בקרות גישה ושימוש במנגנון הזדהות, שימוש בסיסמה אישית שאינה ניתנת .
| 1127 | דוחמבקר המדינה | אדרב התשפ״ב | מרץ2022 .
ה | מערכות המידע והגנת הסייבר בבחירות לכנסות ה-21, ה-22 וה-23 להעברה, קריטריונים לקביעת סיסמה של סוגי משתמשים שונים (משתמש פריווילגי ומשתמש רגיל), היסטוריית הסיסמאות; תחזוקת הסיסמה (למשל: אין לרשום את הסיסמה במקום נגיש לאחרים), מועד החלפת סיסמאות, נעילת משתמש ועוד.
בהנחיה בנושא הרשאות הוגדרו אופן הניהול, התפעול והקביעה של הרשאות גישה למשתמשי רשת התקשוב הממשלתי.
ההנחיה עסקה בין היתר בנושאים האלו: סוגי קוד המשתמש ברשת (פרופיל); פירוט לגבי שלושת סוגי חשבונות המשתמשים שיש לנהל; התנאים הכלליים למתן הרשאות והנחות יסוד, למשל: לכל משתמש יוגדר שם משתמש ייחודי.
בנוהל בשם "שימוש בסיסמאות" שפרסמה ועדת הבחירות48 לפני הבחירות לכנסת ה-23 הוגדרו בין היתר ההנחיות האלו: הגדרת מבנה הסיסמה; הסיסמה היא אישית ולא ניתנת להעברה; אין לרשום את הסיסמה בקרבת המחשב או בכל מקום אחר שבו היא עשויה להיות חשופה או נגישה; אין לשלוח את הסיסמה בדואר אלקטרוני או באמצעות רשת חברתית, כגון ווטסאפ או פייסבוק.
היועץ ששכרה ועדת הבחירות כתב למנכ"לית הוועדה בינואר 2019 מסמך המלצות בנושא סיווג משרות.
במסמך פורט מהו סוג בדיקת המהימנות של שירות הביטחון הכללי הנדרש עבור כל משרה.
בעלי תפקיד עם הרשאות חזקות49 כמו מנהל בסיס הנתונים של מערכת1 רשאי לבצע מתוקף תפקידו פעולות נרחבות בבסיס הנתונים.
מוצע כי ועדת הבחירות תכתוב מדיניות ועקרונות יסוד בנושא ניהול הרשאות ותפעולן שתתייחס באופן שונה לסוגי מערכות המידע ולסוגי המשתמשים בכל מערכת בהתאם לרגישות המערכות ולהרשאות בעלי התפקידים ולסיווג הביטחוני שהגדירה עבורם.
כמו כן יש מקום שוועדת הבחירות תבצע בקרה שוטפת על מידת החוזק ושיתוף הסיסמאות של משתמשים חזקים.
ועדת הבחירות השיבה כי תשקול ליישם את ההמלצה לאחר תקופת הבחירות לכנסת ה-24 , ובהתחשב בסדר העדיפויות לפעילויות שבכוונתה לבצע בתקופת שגרה.
48 הנוהל פורסם במסגרת תיק אתר הדילוג בבחירות לכנסת ה-23.
49 הרשאות של "ניהול", לרבות הרשאות המאפשרות הרצה של קוד תוכנה (משתמש אפליקטיבי) .
| 1128 | מערכותהמידע והגנת הסייבר בבחירות לכנסות ה -21, ה-22 וה-23 הניהול והתפעול של הרשאות הגישה למערכת 1 .
הרשאות הגישה למערכת 1 .
בתקנה 8 לחוק הגנת הפרטיות נקבע כי יש לקבוע הרשאות גישה למאגר לכל עובד רק במידה הנדרשת לו לצורך ביצוע תפקידו.
כמו כן לפי התקנה יש לנהל רשימת הרשאות מעודכנת.
נושא זה מופיע גם בהנחיה בנושא הרשאות , ובה נקבע כי ההרשאות ברשת יתבססו על העקרונות ולפיהם כל עובד יקבל את מספר ההרשאות המזערי שנדרשות לו לצורך מילוי תפקידו ( Least Privileges ,) והחשיפה למידע תהיה לפי עקרון הצורך לדעת ( Need to Know.
) ועדת הבחירות מנהלת את הרשאות המשתמשים במערכת1 באופן אפליקטיבי: כל משתמש יכול להיות משויך לכמה קבוצות, ולכל קבוצה משויכות הרשאות מסוג צפייה, עדכון ומחיקה בכל מסך במערכת.
נמצא כי בשני מקרים בבחירות לכנסת ה-23 ניתנו לקלדנים הרשאות גבוהות מאלו שהם היו צריכים לקבל.
ועדת הבחירות מסרה בתשובתה כי תנחה את חברה א' להקפיד על ביצוע ההנחיות בחדרי הקלידה ותחדד את הנושא בהדרכות המועברות למנהלי חדרים אלו, למניעת מצבים דומים בעתיד.
כמו כן נכתב כי הדוגמאות שהובאו הן תקלות נקודתיות וחריגות, ולאחר קבלת המידע הוועדה בחנה את הקלפיות ווידאה שנתוני ההצבעה באותן הקלפיות תקינות.
מוצע שוועדת הבחירות תוודא שההרשאות בכל מערכות המידע שלה ניתנות לפי עקרון מספר ההרשאות המזערי הנדרש למילוי תפקיד העובד וכן לפי עקרון הצורך לדעת ותחדד את ההנחיות בנושא.
ניטור מערכות המידע של הוועדה .
סביבת עבודה היא אוסף רכיבי מחשב המאפשרים לבצע משימות המוגדרות לאותו השלב בפרויקט מחשוב.
סטנדרטים מקובלים לניהול מערכות מידע הביאו ארגונים ליישם הפרדה בין סביבות המחשוב כדי לתמוך בתהליך ניהול שינויים ולמנוע מקרים של שיבוש מידע בסביבת הייצור התפעולית.
מקובל להפריד בין סביבת הפיתוח לסביבת הבדיקות ולסביבת הייצור.
במערכות המידע יש יומן אירועים (להלן - לוג) שתפקידו לתעד פעולות ואירועים שקרו במערכת ולשמש אמצעי לתחקור ולניטור שלהם.
קיימים שני סוגי לוגים: (א) לוגים תשתיתיים; (ב) לוגים אפליקטיביים ולוגים על פעילויות אבטחה.
להלן הפירוט: לוגים תשתיתיים - מבוססים על חוקים שמזהים התנהגויות חריגות הנוגעים לרשת ו לתקשורת, למשל: כניסת משתמשים בשעות שאינן שעות עבודה, ניסיונות התחברות לרשת ולתשתיות.
| 1129 | דוחמבקר המדינה | אדרב התשפ״ב | מרץ2022 .
ה | מערכות המידע והגנת הסייבר בבחירות לכנסות ה-21, ה-22 וה-23 לוגים אפליקטיביים ולוגים על פעילויות אבטחה בתקופת בחירות - במערכת 1 הוגדרו התנהגויות חריגות שנרשמות ביומן האירועים בטבלאות ייעודיות בהן הוספת הרשאות, שחרור נעילת משתמש, מחיקת טבלה וייצוא נתונים באמצעות קבצים.
לפי ההנחיה בנושא שרשרת האספקה של יה"ב (סעיף 7.
4 ), על המשרדים ליישם את הבקרות האלה בהתקשרות עם ספקים מהותיים (כל ספקי מערכות המידע של ועדת הבחירות עונים להגדרות של ספקים מהותיים, ראו את הפרק בנושא שרשרת האספקה): 1.
לתקף את רמת ההגנה של הספק אחת לשנה ואת עמידתו בהתחייבויות שבחוזה ההתקשרות.
להשתמש בכלי ניטור המאפשרים קבלת אינדיקציה בזמן אמת וביקורת רציפה על רמות ההגנה של הספק.
בשלוש מערכות הבחירות שנבדקו הועלו פערים הקשורים לניטור לוגים.
דיווח על אירועי אבטחת מידע למערכת SIEM .
נמצאו פערים בנושא דיווח על אירועי אבטחת מידע למערכת SIEM .
מוצע שוועדת הבחירות תטפל בפערים שעלו ותקבל באופן עצמאי כל התרעה על אירוע חריג במערכות.
מוצע כי ועדת הבחירות תתקף את רמת ההגנה של הספקים אחת לשנה ואת מידת עמידתם בחוזה ההתקשרות.
בתשובת ועדת הבחירות נכתב כי הוועדה מקבלת את ההמלצה בכפוף לחוזי ההתקשרויות השונים.
לפי הנחיית המסגרת שפרסם יה"ב, על המשרדים להגדיר תהליכי הגנה על היישומים.
בהנחיה מפורטות פעולות רבות שעל המשרדים לבצע ובה ן תהליך הקשחה - תהליך של אבטחת מערכות הפעלה, יישומים, בסיסי נתונים, ציוד תקשורת והתקנים משובצי מחשב.
עיקר התהליך בהסרת רכיבים המותקנים כברירת מחדל ואינם נחוצים לפעילות השוטפת.
עוד לפי ההנחיה, על המשרדים למנוע התפשטות של תוקף בתוך הרשת הארגונית באמצעות יישום הגבלת התקשורת בין יישומים.
חדירה להתקן קצה פותחת דלת אחורית לתוקף ומאפשרת לו לעבור מהתקן להתקן ברחבי הרשת הארגונית.
בתקנה 8 לתקנות הגנת הפרטיות (אבטחת מידע), נקבע כי יש לקבוע הרשאות גישה למאגר לכל עובד רק במידה הנדרשת לו לצורך ביצוע תפקידו.
| 1130 | מערכותהמידע והגנת הסייבר בבחירות לכנסות ה -21, ה-22 וה-23 הגנה על האמינות, הסודיות והזמינות של המידע נעשית באמצעות הגדרת מדיניות טכנולוגית במערכות המידע, לרוב על בסיס שינוי הגדרות ברירת המחדל של היצרן והגדרת חוקים והרשאות לכל מערכת בהתאם להרשאות הגישה שהוגדרו.
מתצפיות של צוותי הביקורת של משרד מבקר המדינה שנכחו בליל הבחירות לכנסת ה- 23 בשני מקרים נמצא כי עמדות קצה לא היו מוקשחות כנדרש.
מוצע שוועדת הבחירות תוודא שעל עמדות הקצה בחדרים המאובטחים מותקנות רק תוכנות הנדרשות לעבודה ביום הבחירות.
בתשובת ועדת הבחירות נכתב כי הערת הביקורת מקובלת במלואה.
מדובר בתקלות שלא צריכות היו להתרחש, העניין ייחקר והוועדה תפעל להטמיע את הלקחים.
ועדת הבחירות פעלה בשלוש תקופות הבחירות שנבדקו כדי להעלות את רמת בקרת הגישה של המערכות ורכיבי התקשורת.
החל מהבחירות לכנסת ה-22 יישמה הוועדה רכיבים טכנולוגיים למניעת גישה לא מורשית למתגים ולתחנות הקצה והקשיחה את המתגים בהתאם להוראות היצרן ולשיטות מקובלות.
נמצא כי לוועדת הבחירות אין מדיניות בנושא הקשחה.
ראוי שוועדת הבחירות תגדיר מדיניות הקשחה ותוודא מפעם לפעם מול החברות החיצוניות שמתחזקות את מערכות המידע שלה שהן פועלות ומתחזקות את מאגרי המידע לפי תקנות הגנות הפרטיות ושמורשים לגשת למערכות רק הגורמים שהגדירה הוועדה ככאלה.
ועדת הבחירות כתב בתשובתה כי היא מקבלת את הביקורת שממנה עולה כי נדרש להסדיר את מדיניות ההקשחה גם באופן פורמלי ובתיעוד מסודר.
✰ לסיכום, תמונת המצב העולה מהפרק מלמדת כי ועדת הבחירות לא הגדירה את רמת ההגנה הלוגית המתאימה להגנה על המידע המצוי במערכותיה ובפרט על מידע רגיש, ונמצאו פערים בנדבכים שונים בהגנה הלוגית.
מוצע שוועדת הבחירות תגדיר את רמת ההגנה הלוגית המתאימה להגנה על המידע ועל התהליכים העסקיים הרגישים שהיא מנהלת.
עוד מוצע שהוועדה תאמץ את הנחיות יה"ב ליישום מנגנוני הגנה.
| 1131 | דוחמבקר המדינה | אדרב התשפ״ב | מרץ2022 .
ה | מערכות המידע והגנת הסייבר בבחירות לכנסות ה-21, ה-22 וה-23 אבטחת מידע פיזית .
הבקרה על הגישה לחדר עם ציוד מחשוב .
בשלוש מערכות הבחירות נמצאו פערים בנושא הבקרה על הגישה לחדרים עם ציוד מחשוב.
מוצע שוועדת הבחירות תפעל לתיקון הפערים שהועלו.
לפי הלומדה של ועדת הבחירות למיון מזכירי ועדת קלפי בבחירות לכנסת ה-23 , בתהליך ספירת הקולות תהיה ישיבת ועדת הקלפי חוקית רק אם נכחו בה חברי ועדת הקלפי מטעם שתי סיעות לפחות ומזכיר ועדת הקלפי.
זאת כדי למנוע סיכון של שינוי נתוני ההצבעה.
עוד על פי הלומדה של ועדת הבחירות בנושא מעטפות כפולות, על חברי ועדת הספירה מוטלים תפקידים שונים, למשל: על יו"ר הוועדה להציג את המעטפה, ועל חברי הוועדה להחליט על הכשרות שלה.
בביקורת50 משנת2014 שערך משרד מבקר המדינה עלה כי חלק מוועדות הספירה בכנסת לא אוישו בהתאם לנדרש, וכמה מהן אף פעלו ללא מזכירים.
גם בביקורת זו נמצא כי חלק מוועדות הספירה בכנסת לא פעלו בהתאם לנוהל.
להלן פירוט על מקרים שנצפו בבחירות לכנסת ה-23 : 1.
ב-11 (23% ) מ-48 ועדותהספירה נצפה איוש חסר.
למשל: בקלפיות 93 ו-71 רק מזכיר וחבר ועדה אחד ספרו את המעטפות הפתוחות, ובקלפי 21 המעטפות נספרו ללא מזכיר.
ב-10 (21% ) מ-48 ועדות הספירה חבר ועדת הספירה לא הציג את הפתקלכל החברים בוועדה לפני רישום התוצאה או שחלק מחברי הוועדה לא הסתכלו על הפתקים.
ב-7 (15% )מ-48 ועדותהספירה לא בדקו כיאות את כשרות המעטפות, למשל: בקלפי 242 לא סומנה מעטפה פסולה ולא אוחסנה במקום הנדרש.