HeTree/MevakerConcSen huggingface dataset:
סקר הסיכונים למערכת 1 הושלם בפברואר 2018 .
כמו כן במרץ2018 ערכה אותה חברה חיצונית סקר על מערכת 4 .
בנספחי אבטחת המידע של המכרזים שפרסמה ועדת הבחירות להקמת המערכ ות 1 ו-3 הגדירה הוועדה את המידע המצוי במערכות כמידע רגיש שיש להגן עליו.
להלן הנוסח שהופיע במכרזים: 1.
מערכת 141: "המערכת כוללת מידע רגיש ביותר, ושלצורך הגנה מיטבית על עדכוני המערכת הרגישים ובעיקר על תוצאות הבחירות תיקבע שיטת אבטחה ברמה גבוהה לצורכי עדכון".
40 מסמך בסימוכין 4266017 מ- 19.
בנושא סקר סיכוני סייבר פעולות שבוצעו 41 מערכת 1 - מחשוב ועדת הבחירות המרכזית לכנסת מהדורה2.
| 1108 | מערכותהמידע והגנת הסייבר בבחירות לכנסות ה -21, ה-22 וה-23 לאנמצא כי עד שנת 2018 הוגדרה שיטת אבטחהברמה גבוהה למערכת 1 , אף שוועדת ה בחירות ציינה בנספח אבטחת המידע להקמת המערכת ש"מערכת 1 כוללת מידע רגיש ביותר ושלצורך הגנה מיטבית על עדכוני המערכת הרגישים ובעיקר על תוצאות הבחירות תיקבע שיטת אבטחה ברמה גבוהה לצורכי עדכון".
ממועד הפעלת המערכת בשנת 2008 ועד לשנת 2018 לא בוצעו בה בדיקות אבטחה ובהן סקרי סיכונים כדי לבחון את רמת ההגנה על עדכוני המערכת הרגישים, זאת אף שהתקיימו בטווח זמן זה שלוש מערכות בחירות שבהן הופעלה המערכת ( 2009, 2013, 2015).
כמו כן לא נמצא שבוצעו סקרי סיכונים בתקופה זו על מערכות אחרות המתממשקות למערכת 1 .
מערכת 3: " המידע המו עבר במסגרת המערכת כולל את פרטי המצביעים בפועל בקלפיות.
נכס זה נחשב כרגיש מבחינת הוועדה, לפיכך נדרש ליישם במערכת אמצעי אבטחת מידע שונים".
כמו כן ועדת הבחירות הגדירה במסגרת ההתקשרות כי "באחריות הספק לבצע לכל רכיבי המערכת סקרי קוד ובדיקות חדירות לפני חשיפתה והשקתה של המערכת, הן כתנאי להעלאת גרסה ושדרוג התוכנה, והן מדי 18 חודשים מאז הסקר או הבדיקה הקודמים, וזאת גם אם לא בוצע בה כל שינוי בפרק זמן זה".
כמו כן על הספק היה להעביר למזמין את תוצאות הבדיקות והסקר המאשרים כי תוקנו כל הממצאים, וזאת כתנאי לקבלת אישור להשקת המערכת או לשדרוג הגרסה.
אף שוועדת הבחירות הגדירה את המידע המצוי במערכת 3 כמידע רגיש ודרשה במסגרת ההתקשרות בשנת 2017 עם החברה הזוכה שהחברה תבצע סקרי קוד ומבדקי חדירות (לפני חשיפת המערכת, בכל שינוי מהותי ומדי 18 חודשים לכל היותר גם אם לא בוצע בה כל שינוי) - לא נמצא כי לפני ההפעלה הראשונה של המערכות, בוצעו בהן בדיקות אבטחה ובהן סקרי קוד ומבדקי חדירות.
ביצוע סקרי סיכונים ומבדקי חדירות בשנת 2018 .
בשנת2018 ביצעה ועדת הבחירות באמצעות חברה חיצונית שלוש ביקורות: מיפוי סיכוני אבטחת מידע בתהליך הבחירות; מערכת 1 - סקר סיכונים תשתיתי ואפליקטיבי המבוסס על תשאול; וסקר סיכונים על מערכת 4.
במועד ביצוע הביקורת מערכת4 .
הייתה בשלבי פיתוח אחרונים בסקר הסיכונים על מערכת 4 מפברואר 2018 הועלו ממצאים שונים.
ועדת הבחירות כתבה בתשובתה כי היא אינה חולקת על ההערות הנוגעות למערכת 4 ותבחן אותן לגופן.
כמו כן נכתב כי בעקבות ההערות שהיו בסקר הסיכונים ביצעה הוועדה פעולות לגידור והפחתה של הסיכונים במערכת 4.
למשל: בבחירות לכנסת ה-22 העבירה הוועדה את מערך השרתים של מערכת 4 לסביבה התואמת יותר את הסדרי הביטחון הנדרשים.
עוד נכתב בתשובה כי בכוונת ועדת הבחירות להחליף או לשדרג את המערכת הזו (ולא רק משיקולי הגנת הסייבר).
| 1109 | דוחמבקר המדינה | אדרב התשפ״ב | מרץ2022 .
ה | מערכות המידע והגנת הסייבר בבחירות לכנסות ה-21, ה-22 וה-23 מוצע שוועדת הבחירות תאמץ את אחד מהתקנים המקובלים.
ועדת הבחירות כתבה בתשובתה כי היא תשקול כיצד ליישם את המלצת הביקורת לאמץ את תקן ISO 27001 .
)(או כל תקן אחרכמו כן כתבה הוועדה כי היעדר אימוץ תקן כזה או אחר אינו מסכן בהכרח את אמינות התוצאות וחישוב המנדטים.
עוד מוצע שוועדת הבחירות תבחן מול כל החברות החיצוניות שמתחזקות את מערכות המידע שלה את דרישות אבטחת המידע ותעגן במסגרת הסכם ההתקשרות עימן את הבקרות הרלוונטיות שיבוצעו בכל מערכת ואת תדירותן.
כמו כן מוצע שהוועדה תפקח על הספקים כדי לוודא שהם עומדים בדרישות שהוגדרו ותעדכן מדי תקופה את דרישות האבטחה בהתאם ל סיכונים שנמצאו בסקרים.
בכל התקשרות חדשה לצורך הקמת מערכת מידע מוצע כי ועדת הבחירות תגבש דרישות אבטחת מידע כפי שנקבעו בתקנים האמורים המחייבות את הספקים.
בדיקות להגנת הסייבר בשנים 2019 עד 2020 ( בשלוש מערכות הבחירות שנבדקו) .
לבקשת ועדת הבחירות, בשנים 2019 עד2020 ליווה מערך הסייבר את הוועדה וייעץ לה בנוגע להגנת הסייבר בתקופות הבחירות של שלוש מערכות הבחירות שנבדקו.
בין הפעולות שביצע מערך הסייבר היו ביקורות ובדיקות חוסן על רכיבים של חלק ממערכות המידע המרכזיות של ועדת הבחירות.
השלב הראשון בעבודה לפי תורת ההגנה בסייבר הוא מיפוי הנכסים בארגון והתהליכים העסקיים המרכזיים.
בסוף שלב זה ידע הארגון להגדיר מהם הנכסים בעלי רמת קריטיות גבוהה לתפקודו.
לפי תורת ההגנה בסייבר מיפוי הנכסים יכלול לפחות את סוגי הנכסים האלה: אפליקציה ארגונית (להלן - אפליקטיבי), תשתית, רשת,OT 42.
כמו כן בשלב השלישי יבחן הארגון את רמת ההגנה הנוכחית של הנכסים שהגדיר אל מול הנדרש (באמצעות סקרי סיכונים או מבדקי חדירות).
מערך הסייבר ערך ביקורות על מערכות המידע של ועדת הבחירות בשלוש מערכות הבחירות שנבדקו ויה"ב ערכה ביקורות על מערכת 2 .
בתשובת מערך הסייבר מפברואר 2021 נכתב כי הביקורות שעורך מערך הסייבר בודקות נגישות תקשורתית אסורה או מתירנית, ובמסגרתן מתגלות גם פגיעויות, אם היו.
נמצא כי לא בוצעו סקרי סיכונים מערכתיים על המערכות העוסקים בכל ההיבטים הנדרשים בתורת ההגנה בסייבר: אפליקציה ארגונית, רשת ותשתית.
נושא זה לא רלוונטי לוועדת הבחירות .
| 1110 | מערכותהמידע והגנת הסייבר בבחירות לכנסות ה -21, ה-22 וה-23 מוצע שוועדת הבחירות תבצע על המערכות המרכזיות שלה סקר סיכונים מערכתי שיעסוק בכלל ההיבטים הנדרשים בתורת ההגנה בסייבר: אפליקציה ארגונית, רשת ותשתית.
עוד מוצע כי סקרי הסיכונים יבוצעו באופן עתי כנדרש בהנחיית יה"ב.
כמו כן מוצע שוועדת הבחירות תבצע לפני כל מערכת בחירות מבדקי חדירות על מערכות אלו בהתאם לנדרש בתקנים מקובלים.
בתשובת ועדת הבחירות מינואר 2019 נכתב כי היא תשקול אם וכיצד ליישם את המלצת הביקורת.
עם זאת הוועדה אינה כפופה להנחיות יה"ב, ולדברי הוועדה הנחיות יה"ב אינן מתייחסות למערכות שמחזור הפעילות שלהן הוא אחת לתקופה ייחודית אלא למערכות הפועלות בשגרה.
בהתייחס לתשובת ועדת הבחירות, עמדת מערך הסייבר שליווה כאמור את ועדת הבחירות החל בשנת 2017 ומכיר את תצורת מערכותיה היא שמוצע שסקר הסיכונים ובדיקות החדירות יבוצעו או יתוקפו בתדירות שלא תפחת מאחת לשנה.
עוד נכתב בתשובת הוועדה לגבי מערכת 2 כי לקראת הבחירות לכנסת ה-24 החברה החיצונית שמתחזקת את המערכת תבצע בדיקות חוסן וחדירות למערכת, ומיד לאחר קבלת הממצאים תזמין ועדת הבחירות חברה צד ג' לבצע מבדקי חוסן וחדירות בלתי תלויים.
הוועדה מסכימה להמלצה לבצע בדיקות עיתיות למערכת 2 .
ותשקול את אופן יישומהכמו כן לגבי מערכת 1 נכתב כי הוועדה תשקול ביצוע בדיקות לממשק המשתמש באמצעות שיטות מתקדמות.
הביקורות שערכו מערך הסייבר ויה"ב על המערכות המרכזיות של ועדת הבחירות נעשו בתקופות הבחירות של שלוש מערכות הבחירות שנבדקו (בשנים 2019 עד 2020 ) וסמוך למועד הבחירות.
ממסמך מערך הסייבר עולה כי ב- 24.
19 , במהלך תקופת מערכת הבחירות לכנסת ה -21 , התקיים דיון בראשות יו"ר ועדת הבחירות דאז בו הוא ביקש ממערך הסייבר "לבצע בדיקה מהירה".
ממסמכי מערך הסייבר עלה כי ביצוע ביקורות בתקופת הבחירות, שבה מופעלות המערכות, השפיע על תכולת הביקורות שנעשו, ובטווח הזמן הנתון לא היה אפשר לבצע בדיקות מקיפות ומורכבות, ולכן לא נבדקו חלק מהנושאים שנכללים בתורת ההגנה בסייבר.
כמו כן בחלק מהביקורות לא התקבלו כל החומרים הנדרשים לבדיקה, דבר שהשפיע על התוצאות.
מוצע שוועדת הבחירות תקיים את הביקורות בתקופת שגרה, שבה תכולת הביקורות לא תהיה מושפעת מאילוצי הזמן של מועד הבחירות.
באופן זה הוועדה תוכל להיערך לביקורות ולוודא מול כל הגורמים שכל החומר הנדרש לביצוען קיים.
בתשובת ועדת הבחירות נכתב כי היא מקבלת את ה המלצה לבצע ביקורות במערכות המידע שלה בתקופת שגרה, שבה תכולת הביקורות אינה מושפעת מאילוצי הזמן של הוועדה, אולם רצף מערכות הבחירות דרש מהוועדה להתמקד בשנתיים אלה בתקופות הבחירות.
| 1111 | דוחמבקר המדינה | אדרב התשפ״ב | מרץ2022 .
ה | מערכות המידע והגנת הסייבר בבחירות לכנסות ה-21, ה-22 וה-23 עוד נמסר בתשובת הוועדה כי היא גידרה את הסיכון של היעדר היכולת לבצע ביקורות מקיפות בתקופות הבחירות באמצעות פעולות ובהתאם לתפיסת ההגנה שגיבשה עבור שלוש מערכות הבחירות שנבדקו.
בהתייחס לתשובת הוועדה, משרד מבקר המדינה מציין שהיערכות מוקדמת של ועדת הבחירות וביצוע ביקורות באופן שוטף בתקופות שגרה, כמו זו שהייתה לפני הבחירות לכנסת ה-21 ונמשכהכשלוש שנים, עשויים היו לתת מענה משופר בתחום הגנת הסייבר.
הטיפול בפערים שעלו בביקורת שנעשתה בשלוש מערכות הבחירות שנבדקו .
השלב האחרון לפי תורת ההגנה בסייבר הוא בניית תוכנית עבודה - כל בקרה בפרקי הבקרות שבתורת ההגנה מגינה מפני סיכון שנובע מפגיעת סייבר.
בבניית תוכנית העבודה לסגירת פערי הבקרות יש להביא בחשבון את אפקטיביות הבקרה (תרומתה להפחתת הסיכון), את עלות מימוש הפתרון ואת מהירות היישום שלו, והארגון יבחר את הבקרות שהוא רוצה לממש כדי להגיע לרמת הסיכון הרצויה (ובכלל זה הבנה של מהות החשיפה לסיכון במקרה שלא מממשים את הבקרות).
ועדת הבחירות מנהלת תוכנית עבודה לכל מערכת בחירות להעלאת רמת ההגנה של המערכות וליישום תפיסת ההגנה שגיבשה.
תוכנית העבודה כוללת עשרות פעולות שיש לבצע ובהן גם פעולות לגישור על ה פערים שהועלו בביקורות שעשו מערך הסייבר ויה"ב.
עבור כל פעולה הגדירה ועדת הבחירות נתונים נוספים ובהם: תיאור הפעולה, עדיפות, אחריות, סטטוס, בדיקה חוזרת ואישור סופי, המתארים כיצד הוועדה עומדת לטפל בפער שנמצא.
ועדת הבחירות הקימה צוות מעקב בהובלה של ממונה הגנת הסייבר דאז של הוועדה, בהשתתפות קבועה של נציג מערך הסייבר, נציגים של חברה א' ויועץ מקצועי מטעם הוועדה.
צוות המעקב התכנס בכל שבוע בתקופות הבחירות ועקב אחר המשימות השונות בתוכנית העבודה וקצב התקדמותן.
בעיון בתוכנית העבודה שניהלה ועדת הבחירות נמצאו הפערים האלה: הפעולות בתוכנית העבודה ובהן הטיפול לגישור על הפערים שהועלו בביקורות של מערך הסייבר נרשמו בהתייחס למערכת הבחירות שבה התגלו הפערים, והשדה "סטטוס" התייחס לאפשרות ליישם בקרה מתאימה באותה מערכת בחירות.
כמו כן הוועדה לא ניהלה את השדות "בדיקה חוזרת" ו"אישור סופי" ולפיכך אי אפשר להסיק מהמסמך אם פערים שהוחלט שאי אפשר לתקן אותם במסגרת מערכת הבחירות שבה התגלו, תוקנו בהמשך ולא חזרו במערכות הבחירות הבאות.
כמו כן נוכח העובדה שכל ביקורת שנערכה על אותה המערכת לא כללה גם בדיקת פערים שנמצאו בביקורות קודמות ולעיתים לא בחנה את אותם הנושאים, אי אפשר היה להסיק ממסמכי הביקורות שנערכו על שלוש מערכות הבחירות אם כל הפערים טופלו.
| 1112 | מערכותהמידע והגנת הסייבר בבחירות לכנסות ה -21, ה-22 וה-23 מוצע שוועדת הבחירות תנהל את תוכנית העבודה ואת אופן הטיפול שהיא בוחרת בכל פער שנתגלה בראייה קצרת טווח (לאותה מערכת בחירות) ובראייה ארוכת ט ווח (כמשימה עתידית לטיפול במערכות הבחירות הבאות, אם בחרה לטפל בפער).
כמו כן מוצע שוועדת הבחירות תוודא במסגרת ביקורות חוזרות שהפערים שבחרה לטפל בהם אכן תוקנו, ותנהל זאת בתוכנית העבודה.
עוד מוצע שכל פער שהתגלה יהיה משויך לתרחיש ייחוס שהגדירה הוועדה עבור אותה מערכת בחירות כדי שיהיה אפשר לנתח את הפעולות להפחתת תרחישי הייחוס.
ועדת הבחירות כתבה בתשובתה כי היא מקבלת את ההמלצה הנוגעת לניהול הרשימה לטווח הקצר, וכך היא נוהגת בפועל.
לגבי יצירת הרשימה לטווח הארוך, הוועדה תבחן אם יש תועלת בכך ומהי.
בעיון במסמך האחוד שניהלה ועדת הבחירות נמצא כי לגבי חלק מהפערים שהתגלו בביקורות שערכו מערך הסייבר ויה"ב במהלך תקופות הבחירות, הוועדה לא יכלה לטפל בגלל אילוצי הזמן והסיכון שביצוע שינויים במערכות סמוך לבחירות יביא לפגיעה תפקודית במערכות.
בנוגע לחלק מפערים אלו הגדירה ועדת הבחירו ת פעולות גידור להפחתת הסיכון באמצעים חליפיים או פעלה לטיפול בהם במסגרת מערכות הבחירות העוקבות לכנסות ה-22 או ה-23 או ה-24 .
נוכח העובדה שאי אפשר לשנות את מועד הבחירות ומכאן את מועד הפעלת המערכות ונוכח החולשות שנמצאו בביקורות שנעשו בתקופת הבחירות, מוצע שוועדת הבחירות תקיים את הבדיקות לבחינת אבטחת המידע של המערכות בתקופת שגרה כך שיהיה די זמן לטפל בפערים שיועלו.
כמו כן מוצע שלפחות למערכות המרכזיות יתבצעו סקרי סיכונים ומבדקי חדירות לפני כל תקופת בחירות כדי לוודא שהפערים המרכזיים תוקנו.
עוד מומלץ שוועדת הבחירות תשלים את הטיפול בכל הפערים שעלו בביקורות במהלך שלוש מערכות הבחירות וטרם טופלו בשל המגבלות שפורטו.
ועדת הבחירות כתבה בתשובתה כי היא מקבלת את המלצת הביקורת לקיים בדיקות אבטחת מידע בתקופת שגרה, שבה היכולת לטפל בפערים שיימצאו לא תהיה מושפעת מאילוצי הזמן של הוועדה, אולם במרבית תקופת הביקורת לא היו זמני שגרה.
גיבוש תוכנית עבודה בנושא הגנת הסייבר .
לצורך גזירת פעולות מעשיות בנוגע לכל אחד מהפערים שהתגלו בביקורות ובמבדקי החדירה נדרשת הוועדה לקיים הליך שיטתי שבמסגרתו היא בוחנת לגבי כל פער אם קיימות בקרות מפצות, ומה השפעת הפער על תרחישי הייחוס ועל התהליכים העסקיים הרגישים, ואף מביאה בחשבון היבטים של אפקטיביות הבקרה (תרומתה להפחתת הסיכון), עלות מימוש הפתרון ומהירות יישום הבקרה.
מומלץ בתום בחינת כל הפערים שוועדת הבחירות תקבל החלטה בדבר מרכיבי ביצוע לצורך צמצום הפערים ותג בש תוכנית עבודה כוללת עם לוחות זמנים והקצאת משאבים.
| 1113 | דוחמבקר המדינה | אדרב התשפ״ב | מרץ2022 .
ה | מערכות המידע והגנת הסייבר בבחירות לכנסות ה-21, ה-22 וה-23 מוצע כי ועדת הבחירות תבקש ממערך הסייבר ללוות אותה באופן שוטף.
ועדת הבחירות כתבה בתשובתה כי היא תשקול כיצד ליישם את ההמלצה לעניין בנייה ויישום של תוכנית עבודה .
כמו כן הוועדה כתבה כי היא סבורה שיש מקום לליווי של מערך הסייבר גם בתקופת שגרה, ומנכ"לית הוועדה אף פנתה למערך הסייבר בנושא.
✰ לסיכום, תמונת המצב העולה מהפרק מ למדת כי ועדת הבחירות הכירה באמצע שנת 2017 באיום של תקיפת סייבר על תהליך הבחירות, זאת לאחר שהיה חשש לשיבוש הבחירות בארה"ב בסוף שנת 2016 .
כתוצאה מכך החלה ועדת הבחירות בגיבוש תפיסת ההגנה שלה לתקופת הבחירות ובביצוע פעולות להעלאת רמת ההגנה של מערכותיה ולהגנה על דיוק תוצאות הבחירות.
נוסף על כך החלה הוועדה בשלוש תקופות הבחירות שנבדקו לשתף פעולה עם מערך הסייבר, שביצע פעולות ובהן גיבוש מעטפת הגנה לכל מערכת בחירות, וביצוע כעשר ביקורות ובדיקות חדירות למערכות.
מוצע כי שיתוף פעולה זה יתקיים גם בתקופת שגרה.
עם זאת נמצא כי עלו פערים בעניין גיבוש מדיניות הגנת הסייבר.
כמו כן נמצא כי במסגרת הביקורות שנערכו בשלוש מערכות הבחירות עלו פערים שלעיתים לא היה אפשר לטפל בהם מפאת החשש לפגיעה תפקודית במערכות בתקופת בחירות ובגלל אילוצי הזמן.
בנסיבות הללו ועדת הבחירות גידרה חלק מהפערים שנמצאו בביקורות באמצעים חליפיים.
לפיכך מוצע שוועדת הבחירות תכנס את ועדת ההיגוי להגנת הסייבר ותגבש מדיניות לתקופת בחירות ולתקופת שגרה, השונות זו מזו באופן ניכר.
כמו כן מוצע שוועדת הבחירות תנהל באופן שוטף את סיכוני הסייבר ברמת הארגון וברמת המערכות.
עוד מוצע שוועדת הבחירות תנהל את כל המשימות לתיקון הפערים במסגרת תוכנית עבודה שנתית ורב-שנתית ותבצע מעקב אחר הטיפול בפערים באמצעות ביקורות חוזרות.
| 1114 | מערכותהמידע והגנת הסייבר בבחירות לכנסות ה -21, ה-22 וה-23 האסטרטגיה והמדיניות בנושא תקשוב .
בתקנים ובהנחיות בין-לאומיים מקובלים, ובהם ת"י 27001 ISO והנחיות הארגון העולמי של מבקרי מערכות מידע ( ISACA ,) נדרש מהארגון לגבש מדיניות בנושא תקשוב.
כמו כן, נוסף על החלטת הממשלה 2443 , שהטילה על המשרדים להקים ועדת היגוי משרדית להגנת הסייבר ולגבש מדיניות להגנת סייבר ותוכנית עבודה ליישומה, בהחלטת הממשלה 2097 מאוקטובר 201443 הוטל על מנכ"לי המשרדים לבחון הקמת ועדת היגוי משרדית לתחום התקשוב.
ועדת ההיגוי לתחום התקשוב תפעל "לרתימת מערכות המידע וטכנולוגיות מתקדמות להשגת יעדי המשרד ושיפור תהליכי הליבה העסקיים בו, תוך דיון בתוכנית העבודה של אגף מערכות המידע ועריכת מעקב שוטף אחר ביצועה".
בהתאם להחלטת הממשלה האמורה, בינואר 2016 פרסמה רשות התקשוב הנחיה בנושא "ועדות היגוי משרדיות לתקשוב", הנ וגעת להקמתן ולאופן פעולתן של ועדות אלו.
על פי ההנחיה, אלה יהיו תפקידי הוועדה: לקבוע את האסטרטגיה והמדיניות של המשרד בנושאי תקשוב בכפוף למדיניות הכלל-ממשלתית; לאשר את יעדי אגף מערכות המידע ולוודא את התאמתם למטרות המשרד ויעדיו; לאשר את תוכניות העבודה והתקציבים הרב -שנתיים והשנתיים של כלל הפעילויות המתקיימות במשרד בתחומי מערכות המידע והתקשוב; לקבוע ולאשרר סדרי עדיפויות וחלוקת משאבים; לוודא את ביצוע התוכניות ולאשר שינויים מהותיים בתקציב ובתוכניות העבודה במהלך השנה.
במועד סיום הביקורת באוגוסט 2020 ועדת הבחירות טרם הקימה ועדת היגוי לתחום התקשוב שתפקידיה הם בין היתר לקבוע את האסטרטגיה והמדיניות של המשרד בנושאי תקשוב ומעקב ובקרה אחר תוכניות העבודה והתקציבים השנתיים והרב-שנתיים של כלל פעילויות אגף המחשוב.
כמו כן ועדת הבחירות טרם גיבשה אסטרטגיה ומדיניות בנושאי תקשוב, כנדרש בתקנים מקובלים ובהם ת"י 27001 ISO .
יוצא אפוא שו ועדת הבחירות פעלה בתחום התקשוב בשנים 2019 עד2020 בלי שהגדירה את יעדי-העל של אגף המחשוב.
מוצע כי מנכ"לית ועדת הבחירות תבחן את האפשרות להקים ועדת היגוי לתקשוב על פי המתווה שנקבע בהחלטת הממשלה, שתהיה אחראית בין היתר לקבוע את האסטרטגיה והמדיניות של הוועדה בנושאי תקשוב, לאשר את יעדי אגף המחשוב ולוודא את התאמתם ליעדי ועדת הבחירות ולאשר את תוכניות העבודה והתקציבים הרב-שנתיים והשנתיים של כלל הפעילויות המתקיימות בתחומי מערכות המידע והתקשוב.
ועדת הבחירות כתבה בתשובתה כי היא רואה חשיבות מרובה בגיבוש תוכנית אסטרטגית למחשוב, וכי היא מקבלת את ההמלצה הנוגעת להקמת ועדת היגוי לנושא המחשוב ותפעל להקמתה בעת שגרה בהתאמות הנדרשות לוועדה.
כמו כן הוועדה ציינה כי כבר בשנת 2020 היא קידמהפעולות שיסייעו לגיבוש התוכנית האסטרטגית ובהן גיבוש מבנה ארגוני חדש לאגף .
43 החלטת הממשלה2097 , "הרחבת תחומי פעילות התקשוב הממשלתי, עידוד חדשנות במגזר הציבורי וקידום המיזם הלאומי 'ישראל דיגיטלית'" ( 10.
| 1115 | דוחמבקר המדינה | אדרב התשפ״ב | מרץ2022 .
ה | מערכות המידע והגנת הסייבר בבחירות לכנסות ה-21, ה-22 וה-23 טכנולוגיות דיגיטליות וגיבוש מכרז לכתיבת תוכנית אסטרטגית ארוכת טווח, שפרסומו נדחה עקב הבחירות לכנסת ה-24.
מיפוי נכסי הוועדה וסיווגם .
2 להגנת הסייבר בממשלה (להלן - הנחיית ה מסגרת) שפרסמה יה"ב בספטמבר 2016 ומחייבת את ה משרדים, נכתב כי על הארגון להבטיח כי נכסי המידע של המשרד מפוקחים, ויש גורם הנושא באחריות לגבי כל אחד מהם.
כמו כן על הארגון למפות את כל המידע הקיים בו וכן נכסים ארגוניים (נכסי מידע, נכסי תוכנה, נכסי ) ]חומרה[ מידע פיזי ושירותים שהמשרד מספק.
כל נכסי המידע של הארגון ינוהלו במסגרת רשימות מצאי מעודכנות, ועבור כל נכס ימונה "בעלים".
רשימות נכסי המידע יכללו את פירוט הנכס, ציון בעל הנכס, סיווג הנכס ורמת הקריטיות שלו (רמת הדחיפות באחזור הנכס במקרה של התאוששות מאסון).
על פי תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 ,על כל מאגרי המידע של ועדת הבחירות חלה רמת אבטחה בינונית היות שבעל המאגר הוא גוף ציבורי.
על פי סעיף 5 (א) בתקנות הגנת הפרטיות (אבטחת מידע), על בעל מאגר מידע להחזיק במסמך מעודכן של מבנה מאגר המידע וכן רשימת מצאי מעודכנת של מערכות המאגר, ובכלל זה תשתיות ומערכות חומרה, סוגי רכיבי התקשורת ואבטחת המידע; מערכות התוכנה המשמשות להפעלת מאגר המידע, לניהול המאגר ולתחזוקתו, לתמיכה בפעילותו, לניטורו ולאבטחתו; תוכנות וממשקים המשמשים לתקשורת אל מערכות המאגר ומהן; תרשים הרשת שבה פועל המאגר, הכולל תיאור של הקשרים בין רכיבי המערכת השונים ומיקומם הפיזי של רכיבים אלה; תאריך העדכון האחרון של המסמך ושל רשימת המצאי.
נמצא כי אין בידי ועדת הבחירות רשימת מצאי מעודכנת של כל הנכסים הארגוניים שלה הכוללים את פירוט הנכס, ציון בעל הנכס, סיווג הנכס ורמת הדחיפות של אחזורו במקרה של התאוששות מאסון, כנדרש מבעל מאגר המידע בתקנות הגנת הפרטיות (אבטחת מידע).
מוצע שוועדת הבחירות תנהל רשימת מצאי של ציוד התקשורת, התשתיות והציוד האפליקטיבי המצוי בכל מערכות המידע בתקופת בחירות ובתק ופת שגרה.
פירוט נכסי המידע, כמו גרסת הציוד, חיוניים לאופן קבלת ההחלטות של הוועדה על מועד החלפת הציוד או שדרוגו ולניהול תקין ויעיל שלו.
כמו כן מוצע שהוועדה תקבע את הסיווג של כל נכס ואת רמת הקריטיות שלו כדי לקבוע אילו מעגלי הגנה נדרשים לו ומה רמת הדחיפות באחזורו במקרה של התאוששות מאסון.
ועדת הבחירות מסרה בתשובתה כי היא מקבלת את ההמלצה ותפעל ליישומה.
| 1116 | מערכותהמידע והגנת הסייבר בבחירות לכנסות ה -21, ה-22 וה-23 ארכיטקטורה .
ארכיטקטורה של מערכות תוכנה היא תכנון מופשט של ההיבטים השונים של התוכנה, ובכלל זה הגדרת המבנים העיקריים, הממשקים הפנימיים והחיצוניים, היחסים בין המרכיבים השונים והחוקים החלים עליהם.
ארכיטקט הגנת הסייבר אחראי לתכנון ולבנייה של ההגנה על מערכות ההפעלה, רשתות התקשורת, הקוד והיישומים כנגד האיומים על אבטחת המידע של הארגון.
כאמור על פי תקנה 5 (א) בתקנות הגנת הפרטיות (אבטחת מידע), בעל מאגר מידע יחזיק מסמך מעודכן של מבנה מאגר המידע, ובכלל זה תרשים הרשת שבה פועל המאגר הכולל תיאור של הקשרים בין רכיבי המערכת השונים ומיקומם הפיזי של הרכיבים.
נמצא כי אין בידי ועדת הבחירות מסמך ארכיטקטורה מערכתי המכיל מידע על כלל התשתיות, המערכות, רכיבי האבטחה והאפליקציות , כנדרש בתקנות הגנת הפרטיות.
מסמך זה חיוני למקבלי ההחלטות כדי לראות את התמונה המלאה של המערכות ואת יחסי הגומלין ביניהן וכדי לאתר מערכות שמשיקות למערכת 1 אך מוגנות פחות ועשויות להיות החוליה החלשה שבאמצעותה תוקפים ינסו להגיע למערכת.
ועדת הבחירות כתבה בתשובתה כי היא מקבלת את ההמלצה ותפעל ליישומה.
לאחר מערכת הבחירות לכנסת ה-24 אגףהמחשוב מתכוון לגבש מסמך ארכיטקטורה מערכתי המשקף את כל השינויים והעדכונים שבוצעו במהלך מערכות הבחירות.
לגבי תקנות הגנת הפרטיות, הוראותיהן ייבחנו על ידי הייעוץ המשפטי של הוועדה ויינתנו הנחיות מתאימות.
הנחיית המסגרת הגדירה את המסגרות הארגוניות והחברים בהן, את סוגי התפקידים, הסמכויות שהם מקנים ויחסי הגומלין ביניהם: ועדת ההיגוי לנושא הגנת הסייבר, יו"ר ועדת ההיגוי (מנכ"ל), הממונה על הגנת הסייבר, ממונה הביטחון (הגנה פיזית), מ נהל מערכות המידע ומנהל הגנת הסייבר.
נכון לאוגוסט 2020 , בעת שגרה חברים בוועדת הבחירות שני בעלי תפקידים במשרה מלאה האחראים לתחום מערכות המידע והגנת הסייבר: מנהלת אגף המחשוב וסגנה דאז, שמילא גם תפקיד של ממונה על הגנת הסייבר.
נוסף על התפקידים האלו הוועדה נעזרת באופן שוטף ביועצים מקצועיים בתחום מערכות המידע והגנת הסייבר.
בתקופת הבחירות הוועדה מעסיקה גם ממונה ביטחון.
ביולי 2020 אישרה ועדת הבחירות להרחיב את מבנה אגף המחשוב בשלוש וחצי משרות : סגן ראש אגף מנהל יישומי ליבה, מנהל רכש תוכניות עבודה ובקרה, ממונה שירותי ם רוחביים ותשתיות וממונה מערך תכנון ובדיקות (חצי משרה ).
מפגישה שקיים צוות הביקורת ב- 5.
19 עם היועץ המשפטי של ועדת הבחירות ועם ממונה הביטחון שלה בתקופת הבחירות לכנסת ה -22 כדי להבין את חלוקת האחריות בין בעלי .
| 1117 | דוחמבקר המדינה | אדרב התשפ״ב | מרץ2022 .
ה | מערכות המידע והגנת הסייבר בבחירות לכנסות ה-21, ה-22 וה-23 התפקידים, עלה כי הממונהעל הגנת הסייבר של הוועדה אחראי לתחום האבטחה הלוגית, והאחריות לאבטחה הפיזית היא בידי הגורמים האלה: 1.
ממונה הביטחון: מועסק כאמור רק בתקופת הבחירות ואחראי בעיקר לעבודה מול הוועדות האזוריות ומול ה מרכז הלוגיסטי (הכנת תיקי שטח44 לוועדות האזוריות, קיום ביקורות פתע).
ביום הבחירות הוא אחראי לנושאים האלו: ליווי הגעת הקלפיות לכנסת, וידוא שלא מצלמים חומרים ושלא נעלמות מעטפות כפולות בתהליך ספירת הקולות בכנסת וכן דיווח למשמר הכנסת על אירועים חריגים שקורים בכנסת.
משמר הכנסת: אחראי לאבטחת החדרים בכנסת.
ועדת הבחירות לא הגדירה את חלוקת האחריות בין הממונה להגנת הסייבר לממונה הביטחון, ואף נמצא כי בתקופת שגרה , שבה הוועדה אינה מעסיקה ממונה ביטחון , נושאים בתחום האבטחה הפיזית נותרים לא מטופלים.
מוצע כי ועדת הבחירות תגדיר את תחומי האחריות של כל בעל תפקיד העוסק בתחום הגנת הסייבר ותוודא שלא קיימים נושאים חיוניים שאינם מטופלים.
ועדת הבחירות מסרה בתשובתה כי היא תשקול כיצד ליישם את המלצת הביקורת.
לדברי הוועדה בשלוש תקופות הבחירות שנבדקו גורמי המקצוע בוועדה ויועציה פעלו בשיתוף פעולה מלא, בגישה המקובלת בעולם הביטחון, ולפיה קו ההשקה בין הממונה על הגנת סייבר לממונה על אבטחה פיזית נמצא על הגבול שבו מצד אחד הגנה פיזית באה לעכב או למנוע מגורם אנושי לסייע בתקיפה טכנולוגית, ומצד שני ההגנה הטכנולוגית אינה פוגמת בחיישנים, מצלמות ושאר אביזרי אבטחה פיזית הנשענים על טכנולוגיות וקישוריות.
ניהול ההמשכיות התפקודית של מערכות המידע .
תקנים והנחיות בין-לאומיים מקובלים, ובהם ת"י ISO 22301 והנחיות הארגון העולמי של מבקרי מערכות מידע ( ISACA ), עוסקים בניהול ההמשכיות התפקודית של הארגון.
גם בהנחיית המסגרת בממשלה, שמבוססת כאמור על תקנים בין-לאומיים, נכתב כי על הארגון להגדיר עקרונות שיאפשרו את המשך הפעילות של מערכות התקשוב החיוניות של המשרד בעת חירום ואלו הם: 1.
תיעשה היערכות להמשכיות תפקודית שנועדה לסכל הפרעות לפעילות השוטפת של המשרד ולהגן על הנתונים מפני הרס, שיבוש ומחיקה הנגרמים בהשפעת מקרי כשל מהותיים או מקרי אסון (שריפה, הצפה, מלחמה, אסונות טבע ועוד) במערכות התקשוב הפיזיות והלוגיות של המשרד.
יוגדרו המערכות והתהליכים החיוניים להמשך פעילות המשרד , ויוגדר הזמן הדרוש להתאוששותם.
44 אוסף נתונים על המתקן וסביבתו, המסייע למערך האבטחה, כוחות חירום והצלה וקיום בקרות בעת אירוע חריג.
| 1118 | מערכותהמידע והגנת הסייבר בבחירות לכנסות ה -21, ה-22 וה-23 3.
יזוהו האסונות והכשלים האפשריים העלולים להפריע לפעילותו של המשרד , ויוערכו השפעותיהם.
מנהל מערכות המידע בתיאום עם הממונה על הגנת הסייבר יקבע את עקרונות ההיערכות להמשכיות התפקודית של מערכות המידע במשרד.
עקרונות אלו יובאו לאישור ועדת ההיגוי.
תגובש תוכנית להמשכיות תפקודית (BCP ,)אשר תכלול תוכנית להתאוששות מאסון (DRP ,) המבוססת על הערכת סיכונים ומפרטת את כלל האמצעים שיש לנקוט בעקבות אירוע חירום המסכן את פעילותו התקינה של המשרד.
התוכנית תעסוק בשלב התגובה, שלב ההתאוששות, שלב השיקום ושלב התחקור.
אחת לתקופה שתיקבע בתוכנית, ולא פחות מפעם בחמש שנים, יתבצע ניסוי לבחינת מערך השיקום וההתאוששות של המשרד.
ועדת הבחירות משתמשת בכמה תוכניות גיבוי עבור מערכת 1 .
ועדת הבחירות מבצעת לפני מועד הבחירות חזרה גנרלית שמטרתה לוודא את מימושם התקין של תהליכי העבודה, את פעילותן התקינה של המערכות הטכנולוגיות ואת הממשקים בהן.
בתוכנית הפעולה לחזרה הגנרלית של מערכת הבחירות לכנסת ה-23 הוגדרו תרחישים הקשורים לתקלות במערכת1 .
ואופן התגובה בישיבת ועדת מכרזים 12/23 שהתקיימה בפברואר2020 לפני הבחירות לכנסת ה-23 , ועדת הבחירות אישרה תקציב בסך 1.
114 מיליוןש"ח עבור התאוששות מאסון של מערכת 3 .
בתקופת שלוש מערכות הבחירות שנבדקו פעלה ועדת הבחירות לשיפור יכולות הגיבוי והשרידות של חלק מהמערכות, מתוך הכרה בכך שמדובר במערכות ליבה בעלות חשיבות קריטית בתהליך צבירת הקולות וספירתם וחישוב חלוקת המנדטים.
בתשובת ועדת הבחירות נכתב כי "במהלך ההיערכות לבחירות לכנסות ה -22 וה-23 בוצעו פעולות בדיקת הגיבוי והרציפות .
אף שנפילת אחת המערכות בליל הבחירות מצריכה פעילויות מורכבות ומשולבות מצד גורמים רבים, ועדת הבחירות פועלת ללא מסמך לניהול המשכיות תפקודית המגדיר את המערכות והתהליכים החיוניים להמשך פעילות ועדת הבחירות בתקופת הבחירות ואת הזמן הנדרש להתאוששותם.
לאור ייחודיות פעילות ועדת הבחירות והעובדה שמרבית מערכות המידע והתשתיות שלה מופעלות רק בתקופת הבחירות והן נדרשות לזמינות מלאה ביום הבחירות, יש מקום שוועדת הבחירות תכתוב נוהל העוסק בניהול המשכיות תפקודית ותבצע לפני כל מערכת בחירות ובתדירות שתיקבע ניסוי של מערך השיקום וההתאוששות במקרה של אסון.
כמו כן מוצע שהוועדה תוודא שבכל המערכות שהגדירה שנדרשת עבורן המשכיות תפקודית מתקיימים תרגולים, והממצאים מועברים אליה ומטופלים.
| 1119 | דוחמבקר המדינה | אדרב התשפ״ב | מרץ2022 .