HeTree/MevakerConcSen huggingface dataset:
הבגרות פועלות כמה עשרות מערכות מידע, חלקן בשליטת משרד החינוך וחלקן בשליטה של .
ספקים חיצוניים (להלן - זכיינים), הנושאים שנבדקו במסגרת ביקורת זו מתייחסים ל -8 .
אבטחת בחינות הבגרות נחלקת לשני תחומים: אבטחה פיזית ואבטחה לוגית (דיגיטלית).
האבטחה הפיזית אחראי תחום אבטחת הבחינות שבאגף בכיר חירום ביטחון ובטיחות במשרד.
על האבטחה הלוגית אחראי מינהל תקשוב שבמשרד, אשר מספק לאגף הבחינות את השירותים .
בתחום טכנולוגיות המידע ובכלל זה את צורכי אבטחת המידע והגנת הסייבר של מערכות המידע .
שתומכות בתהליך הניהול והתפעול של בחינות הבגרות ומתן הציונים, ובסביבות התקשוב שבהן .
הוא מונחה על ידי יה"ב, שתפקידה להכווין ולהנחות מהבחינה המקצועית את משרדי .
הממשלה ויחידות הסמך בתחום הגנת הסייבר.
בחודשים פברואר 2021 - מאי 2022 בדק משרד מבקר המדינהאת אבטחת המידע של מערכות .
המידע המרכזיות שתומכות בניהול ובתפעול של ציוני בחינות הבגרות ובסביבות התקשוב שבהן .
הבדיקה בוצעה במטה המשרד, באגף הבחינות ובמינהל תקשוב, במרכז לבדיקת .
בחינות הבגרות והגמר (להלן - מערך המרב"ד) שמתופעל על ידי חבר ה חיצונית (להלן - החברה .
בדיקת השלמה בוצעה ביה"ב ובמשטרת ישראל.
במסגרת הביקורת קיים משרד מבקר המדינה היוועצות ב מומחים חיצוניים מתחום אבטחת מידע .
(להלן - היועצים) במתכונת דומה לסקר סיכונים "אבטחת מידע וסייבר" , בדגש על בדיקת .
שלושת היעדים העיקריים של אבטחת מידע : שלמות ( Integrity); ( סודיות Confidentiality) ; .
וזמינות ( Availability) המידע של ציוני הבגרות.
הדוח שבנדון הומצא לראש הממשלה ביום 6.
| 277 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
ממשל אבטחת מידע במשרד החינוך .
סקרי סיכונים ומבדקי חדירות במשרד החינוך .
תקנות הגנת הפרטיות אבטחת מידע, קובעות כי בעל המאגר שנדרש לרמה הגבוהה של .
אבטחת מידע אחראי לכך שייערך סקר לאיתור סיכוני אבטחת מידע (להלן - סקר סיכונים) .
ומבדקי חדירות למערכות המאגר אחת ל -18 חודשים לפחות.
עוד נקבע בתקנות כי בעל המאגר .
יפעל לתיקון הליקויים שהתגלו, ככל שהתגלו .
בהנחיית יה"ב "ניהול סיכוני סייבר במשרדי .
הממשלה"15 , נקבעביחס לכלל מערכות המידע של המשרד כי ביצוע סקר הסיכונים, לא יפחת .
מאחת ל-36 חודשים ויתוקף לפחות אחת ל-18 חודשים.
סקר סיכונים 2018: בשנת2018 ביצע משרד החינוך סקירה והערכת סיכוני סייבר רוחביים .
והערכת סיכוני סייבר עבור מערכות ליבה נבחרות (להלן - סקר סיכונים 2018 ); הוא ביצע את .
סקר הסיכונים בשיתוף מערך הסייבר (הרשות הלאומית להגנת הסייבר דאז) ויה"ב ובאמצעות .
ממצאי הסקר העידו כי רמת הגנת הסייבר במערכות המידע של משרד החינוך .
הייתה נמוכה, וכי נדרש לשפרה במידה רבה.
בסיכום הסקר צוין כי נוכח התלות הגבוהה של .
המשרד במערכות המידע ונוכח היקף המידע הנרחב המנוהל בהן, הרי שבפגיעה במערכות .
גלום סיכון שעשוי להיות בעל השפעות ניכרות מהבחינה התפעולית הנוגעות לפעילות השוטפת .
של המשרד, ואף עלולות להיות לכך "השלכות לאומיות משמעותיות ".
על פי דוח סקר סיכונים 2018 , הערכת רמת בקרות הגנת הסייברואבטחת מידע המיושמת .
במשרד החינוך בוצעה באופן רוחבי (ולא כבדיקה פרטנית למערכת בודדת).
והוערכו רוחבית 179 בקרותמתחום תורת ההגנה ; בתרשים שלהלן מוצגים ממצאי ההערכה: .
2017 , תאריך עדכון 16.
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד תרשים 5: ממצאי הערכת הבקרות על פי דוח סקר סיכונים 2018 .
על פי נתוני דוח סקר סיכונים2018 , בעיבוד משרד מבקר המדינה.
דוח סקר סיכונים 2018 המחיש גם את הפערים הקיימים במימוש הבקרות על פי פונקציות .
התרשים הבא מתוך דוח סקר סיכונים 2018 מציג ממוצעשל ממצאי ההשוואה בין רמת .
הבקרות המיושמות בזמן ביצוע הסקר לבין רמת הבקרות הנדרשות על פי תורת ההגנה: .
| 279 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
תרשים 6: השיעור הממוצע של מימוש הבקרות , על פי פונקציית ההגנה .
על פי דוח סקר הסיכונים 2018.
עלה כי על פי סקר סיכונים 2018 שביצע המשרד, שיעור המימוש של הגנות הבקרה .
בפועל במשרד היה בין 26% מהיעד הארגוני, בכל הנוגע ל"התאוששות" ( Recovery) ,ל- .
63% "בכל הנוגע ל"תגובה ( Response) .
אשרלפונקציית "הגנה" ( Protection )- המשרד .
מיישם כ-56% מהבקרות הרלוונטיות לפונקצייתזו.
יצוין כי זו הפונקציה הרחבה ביותר .
בתורת ההגנה בסייבר לארגון16, והיא עוסקת בחסימת מתקפות סייבר המנסות לפגוע .
נכללות בה בקרות העוסקות ב הרשאות גישה, בהגנה על המידע, בהגנה על .
תחנות עבודה ועל שרתים, במניעת קוד זדוני, בהצפנה וכו'.
16 מערך הסייבר הלאומי, "תורת הגנה בסייבר לארגון2.
המסמך כולל מידע מקצועי תחום .
הסייבר, והוא נכתב לצורך קידום הגנת הסייבר במשק הישראלי.
il/he/departments/general/cyber_security_methodology_2 .
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד מבדק חדירה אפליקטיבי 2018: בשנת 2018 ביצע משרד החינוך גם מבדק חדירה .
אפליקטיבי 17 למערכתא', אשר הוגדרה בסקר הסיכונים כאחת ממערכות הליבה של המשרד.
המבדק בוצע באמצעות חברה חיצונית, ובפיקוח יה"ב.
המבדק העלה ממצאים קריטיים אשר .
מאששים את מסקנות סקר הסיכונים, לפיהן רמת המוגנות של המשרד אינה מספקת, ומוכיחים .
כי סיכוני הסייבר עלולים להתממש על ידי גורמים עוינים.
עלה כי באוקטובר 2021 , יותר משלוש שנים לאחר שביצע משרד החינוך בשנת2018 , סקר .
סיכונים מקיף של מערכות ליבה נבחרות שלו ומבדק חדירה בנוגע למערכת א', משרד .
החינוך לא ביצע סקר סיכונים מקיף עדכני ולא מבדקי חדירות בנוגע לאותן מערכות ליבה, .
אף שבשתי בדיקות אלו עלו ממצאים שנשקף בגינם סיכון רב, ואף שלפי תקנות הגנת .
הפרטיות אבטחת מידע חלה עליו חובה לבצעם אחת ל-18 .
יצוין שבשנים 2020 ו-2021 ביצע משרד החינוך מבדקי חדירותלמערכות אחרות; וכן הוא ביצע .
סקר סיכונים לתשתיות המשרד, ביצע סקר סיכונים ומבדק חדירות בנוגע לרשת ג' , וסריקות .
אבטחת מידע באמצעות מערכת סריקה אוטומטית שהפעילה יה"ב לאתרי המרשתת .
(האינטרנט ) החיצוניים של המשרד, כגון אתר "מומחים".
על משרד החינוך לפעול לעריכת סקרי הסיכונים ומבדקי חדירה למערכות הליבה שלו .
לכל הפחות אחת ל-18 חודשים כנדרש על פי חוק הגנת הפרטיות ותקנותיו, ולבצע סקרי .
סיכונים אחת ל-36 חודשים על פי הנחיות יה"ב.
אם אלה לא יבוצעו, נשקף סיכון משמעותי .
לאי-גילוי סיכונים וחולשות ש ל אבטחת מידע, ובכך להביא לחשיפה מוגברת לפגיעה .
בתשתיות המחשוב של המשרד, במערכות המידע ובמאגרי הנתונים שלו, עד כדי שיבושם, .
השבתתם וחשיפת הנתונים הפרטיים לגורמים לא מורשים.
בתשובתו למשרד מבקר מדינה מאוגוסט 2022 מסר משרד החינוך (להלן - תשובת המשרד) 18 , .
כי הוא ביצע מבדקים וסקרים בשנים 2020 ו-2021 , וכי הוא נערך לבצע סקרי סיכונים על .
התשתיות ועל כלל מערכות המידע ומאגרי המידע שברשותו בהתאם לתקנות הגנת הפרטיות.
יישום תוכנית העבודה ה תלת-שנתית .
נוכח ממצאי סקר הסיכונים 2018 גיבש המשרד תוכנית עבודה תלת-שנתית לשיפור הגנת .
הסייבר בתשתיות מערכות המידע שלו (להלן - תוכנית עבודה תלת-שנתית) .
התבססה, בין היתר, על סקר הסיכונים 2018 והיא כוללת פעילויות שתוכננו לשנת 2018 וטרם .
בהנחיית יה"ב "הנחיית מסגרת להגנת הסייבר בממשלה" (להלן - הנחיית המסגרת) נקבע כי .
יש לבצע מידור בין החלקים השונים ברשת, באמצעות חלוקתה לסגמנטים והגבלת אפשרות .
17 במבדק חדירה אפליקטיבי מייצרים מצב שבו תוקף מנסה לחדור לאפליקציה וכך לגלות את החולשות שבה.
השאר, במבדק נבחנת האפשרות לקבל גישה לבסיסי נתונים, לשנות או לעקוף הרשאות גישה, להשבית או לשבש .
18 משרד החינוך מסר למשרד מבקר המדינה כי הוא כלל בתשובתו גם את תגובת החברה החיצונית על ממצאים .
שמשרד מבקר המדינה העביר אליה.
| 281 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
הקישור ביניהם בהתאם לרמת הרגישות של המערכות.
עוד נקבע בהנחיה כי במסגרת ההגנה .
מפני תקיפה ופגיעה במערכות, נדרשים, כחובה מינימלית, בין השאר: אמצעי טכנולוגי מתאים .
להתמודדות עם הדבקה או למניעת הורדה של קוד עוין למחשב ; הקשחה19 ואבטח ה של .
מערכות ההפעלה , היישומים , בסיסי הנתונים, ציוד התקשורת והתקני המחשב באמצעות הסרת .
רכיבים המותקנים כברירת מחדל ואינם נחוצים לפעילות השוטפת .
בהנחיית יה"ב "הקשחת .
רכיבי תקשורת" 20 נקבע כיעל המשרד להטמיע מערכת בקרת גישה לרשת - Network Access .
Control (להלן- NAC ) אשר תנהל את הגישהשל מרכיבי הקצה (למשל עמדות עבודה) לרשת .
צוות הביקורת בחן את סטטוס הטיפול בשבע המשימות, שהוגדרו ברמה קריטית או גבוהה .
בתוכנית העבודה התלת-שנתית, מתוך 17 המשימות שהמשרד קבע שיש ליישמן במהלך שנת .
הבדיקה התבצעה בהסתמך על דיווחשמסר משרד החינוך לצוות הביקורת באוקטובר .
עלה כי מתוך שבע המשימות שנבדקו והוגדרו ברמת סיכון "קריטית" או "גבוהה" לביצוע .
ושהמשרד קבע שיש ליישמן בשנת 2019 , נכון לאוקטובר 2021 , המשרד סיים לטפל .
בשלוש משימות באופן מלא, ובארבע משימות הוא טיפל חלקית.
על משרד החינוך להשלים את הפעולות הנדרשות כדי לטפל בממצאים שהועלו בבדיקות .
ונקבעו כמשימות בתוכנית העבודה.
המשרד ציין בתשובתו כי בשנת 2022 הוא המשיך ליישם את תוכנית העבודה.
שבעקבות הביקורת "בוצעו חידודים ותיקונ ים בתוכנית העבודה".
מוכנות משרד החינוך להתאוששות מאסון (DR - .
Disaster Recovery ) .
בהנחיית יה"ב "גיבוי ושחזור מידע" 21 משנת2021 " נקבע כימערך הגיבוי והשחזור בארגון הינו .
מנגנון קריטי המאפשר להתמודד עם סוגיות הנוגעות לסודיות, שלמות, אמינות וזמינות המידע".
על פי ההנחיה, יש לבצע בדיקה לתקינות שחזור המידע לפחות אחת לחצי שנה, ליזום ניסיונות .
שחזור מדגמיים כדי לוודא את תקינות מערך הגיבוי וכן להצפין את עותק הגיבויים לפני הוצאתו .
לשמירה מחוץ לאתר הראשי או לאתר הגיבויים ( Disaster Recovery , להלן- DR.
19 הקשחההיא אוסף פעולות פיזיות ולוגיות שמבוצעות בציוד מחשובי (למשל ביצוע שינויים בפרמטרי ההפעלה או .
הקונפיגורציה של מערכת מחשב) שמטרתן צמצום משטח התקיפה של גורמים עוינים ובכך להקשות את פעולת .
החדירה הלא מורשית למערכות המחשוב.
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד במאי 2019 הוסמך משרד החינוך לתקןישראלי :2013(E) 27001IEC/ISO22 (להלן- תקן -ISO .
) במסגרתההסמכה לתקן נכתבו ואושרו במשרד נוהלי עבודה ובהם נוהל "אבטחת מידע .
בהמשכיות עסקית" ( Business Continuity Plan , להלן- נוהל BCP .
) ונוהל גיבוי מערכות .
מדיניות הגיבויים של משרד החינוך: על פי הדיווח שמסר משרד החינוך לצוות הביקורת, .
הוא הקים אתר גיבוי (DR ) השוכן בחוות השרתים, אצל חברה חיצונית הנותנת שירותים למשרד.
באתר ה-DR משוכפלות באופן רציף ושוטף כל המערכות הקריטיות של המשרד (והמידע .
הדיגיטלי שלהן), למעט מערכת מחשב ייעודית.
בעניינה של מערכת זו מקיים המשרד מדיניות .
גיבויים נפרדת, על פי התדירות ופרק הזמן לשמירה שהוא קבע, בכלל זה נשמרים עותקים של .
גיבויים אלו באתרים שונים בלי שהמידע הוצפן.
עלה כי משרד החינוך לא ביצע תרגילים מסוימים לשחזור מידע ולהתאוששות מאסון .
כנדרש בהנחיית יה"ב "גיבוי ושחזור מידע".
על משרד החינוך לבצע תרגילי שחזור תקופתיים בהתאם להנחיות יה"ב, וזאת כדי לבחון .
את מידת היערכותו ומוכנותו להתמודדות עם תרחישים אפשריים.
את הטיפול להתאוששות מאסון לכלל מערכותיו, לרבות למערכת ג', ויבצע הצפנה של .
בתשובתו ציין המשרד, כי ביצע ניסוי להפעלת אתר ה-DR ,בסביבה מבודדתוכי במסגרת תכנית .
העבודה שלו הוא מתכנן לשדרג את מערכת המחשב הייעודית, כך שגם לה יינתן מענה לביצוע .
עמידת משרד החינוך בחובותהנקבעות לפי תקנות .
הגנת הפרטיות אבטחת מידע .
חוק הגנת הפרטיות מטיל, בין השאר, אחריות לאבטחת המידע במאגרי המידע על כל גורם, .
ציבורי או פרטי, שהוא בעל מאגר מידע, מנהל מאגר מידע או מחזיק מאגר מידע כהגדרתו בחוק.
כמו כן, הוא מטיל על גורמים אלה את החובה לרשום את המאגר אצל רשם מאגרי מידע.
הגנת הפרטיות אבטחת מידע מגדירות את רמת אבטחת המידע הנדרשת מכל גורם בנוגע לכל .
מאגר מידע, ובהתאם לכך את החובות שחלות עליו.
התקנות הותקנו בשנת 2017 ונכנסו לתוקפן .
במאי 2018 , שנה מיום פרסומן.
בדיקה שעשה צוות הביקורת בפנקס רשם מאגרי מידע שב רשות להגנת הפרטיות שבמשרד .
המשפטים העלתה שנכון למרץ 2020 משרד החינוךרשום כבעלים של כ -50 .
חובת גיבוש וניהול מסמכים : לפי תקנות הגנת הפרטיות אבטחת מידע, על בעל המאגר .
לנהל מסמך הגדרות מאגר ועליו לעדכנו בכל עת שנעשה שינוי משמעותי בנושאים המפורטים .
בהוראה וכן עליו לבחון את הצורך בעדכון המאגר בשל שינויים טכנולוגים ארגוניים או אירועי .
אבטחה, בכל שנה עד ה- 31 בדצמבר (להלן - מסמך הגדרות המאגר).
התקנות קובעות גם כי .
על בעל מאגר המידע להכין מסמך מעודכן של מבנה מאגר המידע וכן רשימת מצאי מעודכנת .
22 ת"י ISO/IEC27001 :2013(E) - תקן ישראלי שאומץ מתקןISO בינלאומי העוסק במיסוד מערכת לניהול אבטחת מידע .
ארגונית ושיפורה המתמיד ISMS (Informat ion Security Management System) .
| 283 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
של מערכות המאגר , שתכלול, בין השאר, תוכנות וממשקים המשמשים לתקשורת עם מערכות .
המאגר (להלן - מסמך מבנה המאגר ורשימת המצאי).
משרד החינוך מסר לצוות הביקורת כי הוא פ ועל למיפוי מידת העמידה של חמשת מאגרי המידע .
המפורטים להלן בתקנות הגנת הפרטיות אבטחת מידע: מערכת תיק תלמיד, מערכת קידום .
נוער ברשויות, מערכת פורטל חינוך מיוחד, מערכת משתמשים והרשאות, ומערכת תלמידים .
עוד מסר כי הוא הקים "תי ק מאגר" כהגדרתו (שאמור לכלול את מסמך הגדרות .
המאגר, מסמך מבנה המאגר ורשימת המצאי) לכל אחד מחמשת המאגרים , וכי בת וכנית .
העבודה שלו לשנת 2022 נכללת הרחבה של מיפוי המאגרים ובדיקת עמידתם בתקנות הגנת .
הפרטיות אבטחת מידע, זאת בכפוף להקצאה תקציבית.
עלה בביקורת כי, שלוש שנים לאחר כניסת תקנות הגנת הפרטיות אבטחת מידע לתוקף .
(במאי 2018 ,) משרד החינוך גיבש את מסמכי מבנה המאגר, את הגדרות המאגר ואת .
רשימת המצאי עבור חמישה (כ-10%) מ-50 מאגרי המידע שרשומים בפנקס רשם מאגרי .
ממצאי בדיקת תיק המאגר "תלמידים" 23, שמסר משרד החינוך לצוות הביקורת, העלו כי .
מסמך הגדרות המאגר אינו מעודכן בכל הנוגע לזהות ממונה אבטחת המידע, וכי רשימת .
המצאי אינה מלאה, למשל, לא מתועדים בה תוכנות וממשקי תקשורת עם מערכות .
המשרד ציין בתשובתו, כי הוא נמצא בתהליך הסדרה של מאגרי המידע, ובכלל זה - ביעור .
מאגרים ישנים, צמצום מספר המאגרים הרשומים ורישום מחדש של שמונה מאגרים, ובכלל זה .
הכנת תיק לכל מאגר שיכלול מסמך הגדרות למאגרים, סקרי סיכונים ומבדקי חדירות לכל .
המערכות הניגשות למאגר.
על משרד החינוך לפעול על פי תקנות הגנת הפרטיות אבטחת מידע ולהשלים לגבי כלל .
מאגרי המידע שהוא מנהל או מחזיק את גיבוש המסמכים העוסקים בהגדרות המאגר .
ובמבנה המאגר ואת גיבוש רשימת המצאי לכלל מאגרי המידע שהוא מנהל או מחזיק.
כן על משרד החינוך לוודא כי המסמכים והרשומות האמורים שלמים ומעודכנים.
הסמכת המשרד לתקן 27001-ISO: רשם מאגרי מידעהורה בהנחיה משנת 201824 , מכוח .
סמכותו בסעיף 20 (ב) לתקנות הגנת הפרטיות אבטחת מידע, כי ארגון אשר הוסמך לתקן .
ישראלי 27001ISO- ,ושמקיים בפועל את הוראותיו לרבות הבקרות שמפורטות בנספח לתקןיראו .
אותו כמי שמקיים את תקנות הגנת הפרטיות אבטחת מידע במלואן ביחס למאגרים עליהם ניתנה .
ההסמכה לתקן וכל עוד ההסמכה עומדת בתוקפה, וזאת אם ימלא סעיפים מסוימים בתקנות .
23 תיק מאגר המידע "תלמידים" מס' 980046606.
24 תחולת תקנות הגנת הפרטיות (אבטחת מידע) על ארגונים המוסכמים לתקן ISO/ICE 27001 , הנחיה 03/2018.
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד בנובמבר 2020 ביצע הגוף המסמיך לתקן ISO-27001 בדיקתמעקב בעניין, ובעקבות כך הוארך .
מועד ההסמכה של המשרד, זאת אף שנרשמה הערה בדבר "אי-התאמה" של המשרד לדרישות .
התקן לעניין אתר ה- DR ולתוכנית המשכיות עסקית ( BCP .
בביקורת עלה כי אף שנכון לדצמבר2021 למשרד החינוך יש הסמכה בתוקף לתקןISO- .
27001 , הוא אינו מקיים את כל ההוראות ואת כל הבקרות שמפורטות בתקן, ובפרט לעניין .
ביצוע תרגילי שחזור תקופתיים, ו הוא אינו מנהל מסמך הגדרות המאגר, מסמך מבנה .
המאגר ורשימת מצאי עבור כל מאגרי המידע שברשותו, ואינו מבצע סקרי סיכונים ומבדקי .
חדירות, כנדרש בסעיפי התקנות וכאמור בהנחיה.
מומלץ למשרד החינוך לקדם את התהליך למיפוי מלא ועדכני של כלל מאגרי המידע.
מיפוי זה נדרש לשם קבלת תמונת מצב שלמה של כלל מאגרי המידע ווידוא כי משרד .
החינוך עומד בדרישות שנקבעו בתקנות הגנת הפרטיות אבטחת מידע.
מינוי של ממונה הגנת סייבר, מנהל הגנת סייבר וועדת .
בהחלטת הממשלה מס' 2097 ,על ישראל דיגיטליתהוחלט בין היתר "להטיל על הממונה על .
להנחות את משרדי הממשלה ויחידות הסמך למנות אחראי לניהול סיכוני .
בהחלטת ה ממשלה 2443 בעניין הגנת הסייברנקבע כי יש להטיל על .
המנכ"לים של משרדי הממשלה ומנהלי יחידות הסמך לפעול לשיפור רמת הגנת הסייבר ולשם .
כך למנות ממונה הגנת סייבר שיהיה כפוף ישירות למנכ"ל או מי מטעמו 25 , עוד נקבע כי .
המשרדים ימנו מנהל הגנת סייבר ביחידת מערכות המידע שיהיה כפוף ישירות למנהל מערכות .
המידע במשרד, וכי על משרדי הממשלה להקים ועדת ה יגוי משרדית לנושא הגנת הסייבר .
שתפעל לשיפור רמת הסייבר של המשרד ותפקח על הפעילות השוטפת המבוצעת במשרד .
בנושא זה (להלן - ועדת היגוי סייבר) 26 .
מנכ"ל המשרדישמש יו"ר הוועדה, וחברי הוועדה יהיו .
נציגים בכירים במשרד בעלי אחריות לתחום הגנת הסייבר , לרבות נציגים של הייעוץ המשפטי .
של המשרד ונציגים של יה"ב.
בהחלטה נקבע כי גם כי על הוועדה להתכנס לכל הפחות פעם .
בהנחיית המסגרת נקבעו תפקידי ועדת היגוי סייבר, ובין השאר נקבע כי עליה ליזום ביצוע של .
סקרי הנהלה כדי לבדוק את מידת הישימות ו הביצוע של הפעילויות המוגדרות למערכת ניהול .
הגנת הסייבר במשרד, לבחון את ממצאי הסקרים ולשקול הטמע ה של ההמלצות וביצוע שינויים .
על ועדת ההיגוי לגבש מדדים כמותיים בנושאי הגנת הסייבר, אשר .
באמצעותם ניתן יהיה לבחון ולמדוד את רמת האפקטיביות של יישום תשתית הגנת הסייבר .
ולבחון את מידת היישום בתום כל חציון, במסגרת סקר ההנהלה.
ביולי 2015 מינתה מנכ"לית משרד החינוך דאז אתסמנכ "ל מינהל תקשוב (דאז) כממונה הגנת .
סייבר במשרד החינוך (להלן - סמנכ"ל התקשוב).
| 285 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
עלה כי בסוף שנת 2020 פרש סמנכ"ל התקשוב ממשרד החינוך, ומאז ונכון לאוקטובר .
לא מונה לו מחליף כממונה הגנת סייבר במשרד .
עוד עלה כי ועדת היגוי סייבר התכנסה לאחרונה ב נובמבר 2019, ומאז ועד לסוף שנת .
עיון בסיכום הדיון של ועדת ההיגוי מנובמבר 2019 מעלה כיבדיון .
הוצג סטטוס תכנית העבודה לשנים 2018 - 2019 , נסקרו אירועי אבטחת מידע בשנים 2018 .
- 2019 ,וכי הוועדה אישרה את תכנית העבודה לשנת 2020 בהתבסס על סקר הסיכונים .
ואולם, לא צוין בסיכום האם הוועדה דנה במרכיבים אחרים שהם בתחום אחריותה .
לפי הנחיית המסגרת, ובכלל זה בגיבוש מדדים כמותיים בעניין הגנת הסייבר , אשר .
באמצעותם ניתן יהיה לבחון ולמדוד את מידת היישום של הגנה זו בתום כל חציון.
המשרד בתשובתו ציין כי ביוני 2022 הוא מינה מנהלת מערכות מידע ראשית (מנמ"רית) חדשה .
למשרד ומינה אותה גם לתפקיד הממונה על הגנת הסייבר.
המשרד הוסיף כי בשנת 2022 (לאחר .
הביקורת) הוא כינס פעמיים את ועדות ההיגוי לאבטחת מידע וסייבר, והיא עתידה להתכנס פעם .
נוספת לקראת מבדק מחודש של תקן ISO-27001 .
על המשרד להמשיך להקפיד על כינוסה כנדרש של ועדת היגוי סייבר - לכל הפחות פעם .
בחציון, ולוודא שהיא תדון בכלל הנושאים המצויים בתחומי אחריותה כפי שנקבע בהנחיית .
הקצאת תקציב להגנת הסייבר .
בהחלטת הממשלה 2443 בעניין הגנת סייבר נקבע כי על המנכ"לים של משרדי הממשלה .
ומנהלי יחידות הסמך, במסגרת סמכותם ואחריותם הקיימת, להסדיר את מבנה התקציב השנתי .
של משרדם באופן שלכל הפחות 8% מתקציב תחום טכנולוגיית המידעיוקצה להגנת הסייבר .
החלטת הממשלה באה לידי ביטוי גם בהנחיית יה"ב שבה נקבע, בעניין זה, כי יש ל הקצות .
משאבים ליישום דרישות תשתית הגנת הסייבר (לכל הפחות 8% מתקציב תחום טכנולוגיית .
המידע יופנה להגנת הסייבר ).
עולה כי הנחיית יה"ב המבטאת את החלטת הממשלה 2443 , בנוגע לתקצוב הגנת הסייבר .
מתוך תקצוב תחום טכנולוגיית המידע היא כללית, ואינה קובעת אילו מרכיבים נכללי ם .
ב"טכנולוגיות המידע" וב"הגנת הסייבר".
עלה גם כי יה"ב אינה מנחה את משרד החינוך .
בנוגע לאופן יישום הדרישה שנקבעה בהחלטה, ואינה בודקת אם היא יושמה.
בתשובת יה"ב למשרד מבקר המדינה מאוגוסט 2022 (להלן- תשובת יה"ב) היא ציינה, כי כוח .
האדם העוסק בפועל בתחום אבטחת מידע כולל עובדים שנמנים עם צוותי אבטחת המידע וכן .
אחרים העובדים באגף טכנולוגיות המידע ואשר עוסקים בתחומים כמו תקשורת נתונים, פיתוח .
,על כןלעיתים קשה לכמת את כלל ההוצאות בגין השימוש במשאבי ההון .
האנושי ולדעת למה לשייכן.
יה"ב הוסיפה שמתבצעות פעולות בתחום הגנת הסייבר גם בנוגע .
למערכות שאינן מוגדרות בהכרח כמערכות אבטחת מידע.
בשל הקושי להגדיר במדויק את .
המרכיבים הנכללים ב תחום הגנת הסייבר, מקנה יה"ב למשרד גמישות בהגדרות אלו.
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד ההנהלה וב ישיבות ועדות היגוי שמתקיימים בנושא הגנת הסייבר מעלה יה"ב פערים, אם לדעתה .
אכן יש פערים, כדי לתת מענה עליהם ולקדם את הנושא.
משרד מבקר המדינה ממליץ ליה"ב להגדיר באופן ברור עבור משרדי הממשלה את .
המרכיבים שניתן להביאם בחשבון במסגרת תחום טכנולוגיית המידע ותחום הגנת הסייבר .
ולקבוע אילו מרכיבים הכרחי לכלול בהם; בהתאם לכך, יהיה על כל משרד לעקוב אחר .
יישום החלטת הממשלה והנחיית יה"ב בדבר הצורך להקצות תקציבים להגנת הסייבר .
בשנת 2019 הסתכם התקציב המקורי של מינהל תקשוב במשרד החינוך ב-169 מיליוןש"ח, .
סכום התקציב המאושר על שינוייו היה כ -344 מיליון ש"ח, והתקציב שבוצע בפועל היה כ-255 .
משרד החינוך מסר לצוות הביקורת את הערכתו לתקציב שהוקצה בפועל לתחום .
טכנולוגיות המידע, וכמה מתוכו הושקע בתחום הגנת הסייבר (בכלל זה עלות כוח אדם ייעודי .
לנושא), כפי שמוצג בתרשים שלהלן.
תרשים 7: ,חלוקת תקציב טכנולוגיות המידע במשרד החינוך 2019 ו- 2020 .
)(במיליוני ש"ח על פי נתוני משרד החינוך, בעיבוד משרד מבקר המדינה .
לרבות תקציב טכנולוגיות הגנת סייבר ועלות כוח אדם ייעודי שמוקצה לנושא.
27 על פי מידע שפורסם באתר "ביצוע תקציב מפורט לפיתקנות" של אגף החשב הכללי במשרד האוצר.
publications-exec- https://www.
il/he/departments/publications/reports/budget .
| 287 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
מהתרשים עולה שהמשרד לא עמד בהנחיה ולפיה יש להקצות לכל הפחות 8% מתקציב .
תחום טכנולוגיית המידע עבור הגנת הסייבר - בפועל שיעור התקציב הייעודי שהוקצה לכך .
66% , ובשנת2020 הוא פחת לכ- 5.
המשרדבתשובת ו ציין, כי התקציב לשנת 2020 היה תקציב המשכי(שכן לא אושר תקציב מדינה .
לשנה זו), וכי בעקבות התפרצות מגפת הקורונה במרץ 2020 הוקצו תקציבים ייעודיים לטיפול .
בצרכים שהתעוררו בשל המגפה.
עוד הוא ציין, כי בשנת 2022 הוא הקצה 19 מיליון ש"ח .
(ששיעורם כ-11% מתקציבמינהל תקשוב לפיתוח רכש והתקשרויות, לא כולל עלות כוח אדם .
בתחום ) לאבטחת מידע וסייבר , וזאת בהתאם לתוכנית העבודה שגיבש מנהל אבטחת מידע .
וסייבר , לצורך צמצום הפערים הקיימים ולצורך הפעילות השוטפת והאתגרים שעמדו לפני .
המשרד הוסיף שצוות עובדי אבטחת המידע הוגדל מחמישה עובדים בשנת 2019 .
בתשובת יה"ב היא ציינה , כי היא תומכת בעמדת משרד מבקר המדינה לגבי הצורך לעמוד .
בדרישת ה תקציב הייעודי להגנת הסייבר .
יה"ב הוסיפה, כי מדד יה"ב, אשר מטרתו להציג את .
רמת החוסן של המשרד בהיבט הגנת הסייבר, מציג את העמידה בתקציב והוא אחד הפרמטרים .
הנכללים בתוכנית העבודה.
על משרד החינוך להקפיד לפעול בהתאם להחלטת הממשלה ולהנחיי ת יה"ב בנוגע .
לעמידה בתקציב הייעודי להגנת הסייבר, לקבוע תוכנית עבודה ולגבש מדדים שיאפשרו .
מומלץ כי יה"ב תעקוב אחר הקצאת תקציבי הסייבר ומימושם.
מבדק יה"ב לבקרות בתחום הגנת סייבר .
במסגרת ביצוע תפקידה, גיבשה יה"ב סרגל בדיקה אחיד למשרדי הממשלה בתחום אבטחת .
המידע והגנת הסייבר ושמו מדד יה"ב (להלן - מבדק מדד יה"ב); המדד כולל יותר מ-200 בקרות .
המתבססות על תורת ההגנה בסייבר, על הנחיות יה"ב, על תקנות הגנת הפרטיות ועל תקן ISO- .
משרד ממשלתי שמבצע את מבדק מדד יה"ב, אם בעצמו ו אם באמצעות חברה חיצונית, .
מקבל דירוג של רמת הגנת הסייבר שלו על פי תרשים מדד יה"ב (ראו להלן).
יה"ב מסרה לצוות הביקורת כי אין לה הנחיה כתובה לעניין ביצוע מבדק מדד יה"ב, וכי כל .
משרד ממשלתי שמבצע סקר סיכונים או מחדש עמידה בתקן ISO-27001 מבצע את מבדק מדד .
יה"ב במסגרת התהליך, וזאת באמצעות חברות ייעוץ חיצוניות, וכי נציג מטעמה בודק בשיתוף .
עם המשרד את ממצאי הבדיקות.
ציון מדד יה"ב מבוסס על שקלול של חמישה רבדים של הגנה ואבטחה שביחד מייצגים את רמת .
טווח ציוני המדד הוא 1 - 5 .
בדוח מבדק מדד יה"ב משנת 2019 המדד .
של משרד החינוך היה 3, ובשנת2020 - 4.
התרשים שלהלן מציג את השיפור, ברמת ההגנה .
במשרד לפי חמשת רובדי ההגנה של מדד יה"ב כפי שעלו בדוחות המבדק: .
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד תרשים 8: ,רמות ההגנה במשרד לפי רובד 2019 ו- 2020 .
על פי דוחות מדד יה "ב של משרד החינוך לשנת 2019 ולשנת2020 , בעיבוד משרד מבקר המדינה.
להלן השוואה בין דוחות מדד יה"ב של משרד החינוך לשנים 2019 ו-2020 לבין המצב .
בפועל בשנים אלו כפי שעלה בביקורת ופורט לעיל: .
| 289 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
לוח 1: השוואה בין דוחות מדד יה"ב לשנים 2019 ו- 2020 לעומת .
2020 הממצא ים בפועל שעלו .
הקצאת תקציב ייעודי של .
8% לפחות לתחום הגנת .
100% 75% הוקצו פחות מ 8% מהתקציב .
כינוס ועדת היגוי סייבר .
ועדת היגוי סייבר לא התכנסה .
פעמיים בשנה; ישיב תה האחרונה .
התקיימה בנובמבר 2019.
מסמך המדיניות יכלול פרק .
"הגנת הפרטיות" אשר ייתן .
100% מסמך המדיניות אינו כולל פרק .
"הגנת הפרטיות" , ואינו נותן מענה .
מלא על הדרישות שבתקנות.
בין המשימות שעל ועדת .
היגוי סייבר לבצע: לדון .
לפחות פעם בשנה במאגרי .
שחלה עליו רמת האבטחה .
הגבוהה - אחת לרבעון .
לפחות; לאשר בכל שנה .
את מדיניות אבטחת המידע .
והגנת הסייבר ולהקצות .
100% 100% בדיון האחרון של הוועדה ב נובמבר .
2019 הוועדה לא דנה במאגרי .
המידע ולא עדכנה ואישרה את .
גיבוש וניהול של המסמכים .
הנדרשים בתקנות הגנת .
0% 50% במועד הביקורת סייםהמשרד .
להכין מסמך הגדרות ל -5 (10%) .
מהלוח עולים פערים בין מבדקי מדד יה"ב כפי שדיווח משרד החינוך לבין הממצאים שעלו .
נוכח הפערים המוצגים בלוח מומלץ כי יה"ב תבחן את הסיבות לכך, וכי היא תנחה ותדריך .
את משרד החינוך בנוגע לאופן שבו יש לבצע את הבדיקה לפי מדד יה"ב ואת הרישום .
והתיעוד בדוח מדד יה"ב.
עוד מומלץ כי יה"ב תבצע בקרה על מידת יישום הבקרות בפועל.
יה"ב ציינה בתשובתה, כי מדד יה"ב עודכן כדי שהתוצאות המתקבלות יהיו מדויקות יותר .
ציינה כי המדד מתבסס, בחלק ו, על המענה של הגורם המקצועי במשרד , וכי עבור חלק .
מהבקרות שנכללות במסגרתו, נדרש לצרף אסמכתאות המתעדות את ביצוע הבקרה.
הוסיפה כי היא תחדד לפני הספקים את הנהלים וההנחיות ותדריך אותם בנוגע למתכונת הנכונה .
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד אבני דרך עיקריות בתהליך בחינת בגרות .
התהליך שתחילתו בגיבוש שאלון בחינת הבגרות וסיומו במסירת הציון לנבחן הוא תהליך מורכב .
מעורבים בו גורמים מתוך משרד החינוך ומחוצה לו, ובהם עשרות אלפי תלמידים .
להלן תיאור אבני דרך עיקריות של התהליך: .
גיבוש שאלוני בחינות הבגרות מתחיל כשמונה חודשים לפני מועד הבחינה.
מודפסים במדפיס הממשלתי ומופצים לכספות פיזיות שבבתי הספר באמצעות חברות בלדרות.
הכספות נשלטות מרחוק ונפתחות ביום הבחינה על פי לוחות זמנים קבועים מראש, שקבע אגף .
לאחר פתיחת הכספות שאלוני הבחינות נמסרים למשגיחים, ואלה מחלקים אותם .
בסיום הבחינה אמורים משגיח ונציג של בית הספר להעביר את מחברות הבחינה של .
התלמידים לתחנות קליטה אזוריות, ותחנות אלה מעבירות את מחברות הבחינה לסריקה .
בסיום הסריקה מחברות הבחינה הסרוקות מועברות למערכת המחשוב ד', ומעריכים .
הפועלים מרחוק מקבלים גישה אליה לצורך הערכת הבחינות ומתן ציונים.
על ידי שני מעריכים שונים לפחות.
בתום תהליך ההערכה, מערך המרב"ד מבצע בקרה על .
בסיום התהליך ציוני המעריכים שהוזנו ב מערכת ד' והציונים השנתיים (מגן) מועברים .