HeTree/MevakerConcSen huggingface dataset:
בביקורת רגולטור מסוים שנערכה לפני מספר שנים עלו פערים בניהול ובבקרה על רשימת .
העובדים בשע"ם הנדרשים בסיווג.
הביקורת העלתה כי קיימים פערים בין רמת הסיווג הביטחוני הנדרשת בהתאם .
לתפקידיהם של חלק מהעובדים לבין רמת הסיווג שלהם בפועל.
משרד מבקר המדינה ממליץ לשע"ם לפעול לכך שרמת הסיווג הנדרשת של כלל העובדים .
בשע"ם תותאם לתפקידיהם.
רשות המיסים מסרה בתשובתה כי צוות הביטחון בשע "ם יפעל למתן הכשר לעובדים בהתאם .
לרמת הסיווג הנדרשת לתפקידם.
בביקורת הרגולטור המסוים שנערכה לפני מספר שנים עלו פערים בפריסת רכיב מחשובי .
הביקורת העלתה כי ניתן מענה לפער שהעלתה ביקורת הרגולטור המסוים לפני מספר .
ה | הגנת סייבר והמשכיות עסקית ביחידת שירות עיבודים ממוכנים ברשות המיסים בדיקת חוסן - מערכת א' .
בפברואר 2022 ביצע משרד מבקר המדינה בדיקת חוסן אפליקטיבית, בסיוע יועץ חיצוני.
הבדיקה נעשתה במערכת א' התומכת בתהליך עסקי ברשות המיסים.
למדוד את רמת האבטחה של המערכת תוך שימת דגש על ההיבטים האלה: החוסן .
האפליקטיבי של המערכת 5, איתור פערים בין רמת אבטחת המידע של המערכת ובין רמת .
אבטחת המידע המיטבית האפשרית ואיתור של חולשות ומפגעים אפליקטיביים קיימים.
הבדיקה נעשתה במספר היבטים ובהם : מניעת השבתת פעילות המערכת, מניעת ביצוע פעולות .
לא רצויות, יישום מדיניות, עדכונים ושמירה מידע.
בבדיקה נבחנה כאמור רמת מוגנות אבטחת המידע ברמת האפליקציה, ובסביבת בדיקות, ומכאן .
שמנגנוני ההגנה ההיקפיים של שע"ם לא נבחנו ולא הופעלו בבדיקה זו.
זאת כדי לבחון את חוסן .
המערכת בהיעדר מנגנוני הגנה אלו או בהנחה שתוקף יכול להתגבר על הגנות אלו.
אלו יכולים לעכב או למנוע חלק מהתקיפות המועלות בבדיקה זו.
במבדק החדירה שביצע היועץ החיצוני מטעמו של משרד מבקר המדינה הועלו ממצאים .
אשר מסכנים מהבחינה עסקית את המידע ואת מוניטין הארגון.
משרד מבקר המדינה ממליץ לשע "ם לבחון ממצאים אלו, וכן לבחון את ההמלצות לתיקון .
הליקויים שהועלו על מנת להעלות את רמת החוסן האפליקטיבי של מערכת א'.
רשות המיסים מסרה בתשובתה כי היא מקבלת את המלצת משרד מבקר המדינה בנושא בדיקת .
החוסן האפליקטיבית, וכי היא פועלת לתיקון הליקויים שנמצאו בה.
המשכיות עסקית והתאוששות מאסון .
היערכות להמשכיות עסקית והתאוששות מאסון .
המשכיות עסקית ( (BCP - Business Continuity Program היא דוקטרינת ניהול של הפעולות .
שארגון נדרש לבצע כדי להבטיח שהפונקציות העסקיות החיוניות יהיו זמינות ללקוחות, לספקים, .
לגופי האסדרה ו לגופים אחרים בעלי עניין בארגון.
תוכנית המשכיות עסקית אינה נוגעת .
בפעולות ההצלה הראשוניות המתבצעות בהתרחש אירוע חירום, אלא בהתכוננות ו בהתארגנות .
להשגת יכולת תפקוד ולהתאוששות מהירה לאחר האירוע.
על פי הגדרת רשות התקשוב הממשלתי (להלן - רשות התקשוב)6 , תוכנית המשכיות עסקית .
ותפקודית (הנקראת גם "מערכת ניהול המשכיות עסקית") היא "תוכנית פעולה מקיפה ,הקובעת .
נהלים ומערכות הדרושים כדי לשמר את המשכיות פעילות המשרד במצב חירום ולשקמה, .
חוסן אפליקטיבי הוא מוגנות אבטחת המידע ברמת האפליקציה .
6 בהחלטת הממשלה135 מיולי2021 נקבע כי יוקם מערך הדיגיטל הלאומי, אשר יכלול את רשות התקשוב הממשלתי .
ואת המיזם הלאומי "ישראל דיגיטלית" ואליו יועברו סמכויותיהם.
הגנת סייבר והמשכיות עסקית ביחידת שירות עיבודים ממוכנים ברשות המיסים השירותים והתהליכים העסקיים של משרדי הממשלה מושתתים על טכנולוגיות מידע דיגיטליות.
השבתה של מערך המחשוב כולו או של חלקו עלולה ל הסב נזק של ממש לתחום העסקי, .
לתחום הכלכלי ולתדמית של המשרד.
הנחיות רשות התקשוב מחייבו ת את אגפי תקשוב של .
הרשות פרסמה הנחיות בנושא שנועדו להדריך את משרדי הממשלה בנושא.
בשנת 20167 'פרסם ראש רשות התקשוב את הנחיה מס5.
2 במסגרת הנחיות היחידה להגנת .
הסייבר בממשלה (יה"ב), שכותרתה "הנחיית מסגרת להגנת הסייבר בממשלה".
עקרונות מנחים ל הבטחת ההמשכיות העסקית באגפי המחשוב: הגדרת מערכות ותהליכים .
חיוניים לפעילות הגוף והגדרת פרק הזמן הדרוש להתאוששותם, זיהוי תרחישי ייחוס והערכת .
השפעותיהם, הגדרת בעלי סמכות להסדרה, כתיבת תוכנית להמשכיות עסקית על רכיביה .
השונים והסדרת מערך בקרה.
בעקבות משבר הקורונה פורסמה הנחייתו של ראש רשות התקשוב הממשלתית בנושא .
"היערכות להמשכיות עסקית ותפקודית במצב חירום" (להלן - ההנחיה), התקפה מ- 18.
ההנחיה מרחיבה ומעמיקה את ההנחיה הקודמת.
היא קובעת תהליכי עבודה שנועדו להכין .
ארגונים לתרחישי חירום באופן שישפר את השרידות של מערכות המידע החיוניות ויאפשר להן .
להתאושש במהירות מקריסה.
ההנחיה עוסקת במסגרת העבודה, בנושאים ש יש לכלול בתוכנית .
ההמשכיות העסקית, בהטמע ת התוכנית ובתרגול ה, בהספקת כלי תקשורת ונגישות, בתיעוד כל .
המסמכים הרלוונטיים, בהסדרת שיטות עבודה בשעת חירום, בהסדרת העבודה עם הספקים .
לעניין זה נחשב שע "ם לאגף התקשוב של רשות המיסים היות שהוא הגוף האחראי לשירותי .
פעילות האגף לאיכות ולהמשכיות עסקית הסדרת פעילות האגף .
בנובמבר 2016 החליט מנהל שע"ם דאז כי לצורך הקמת אגף איכות והמשכיות עסקית (להלן - .
האגף) יתוכנן מבנה ארגוני לאגף בסיוע יועצים.
בישיבה בראשות מנהל שע"ם דאז ב- 20.
,דווח על הרכב צוות האגף: מנהל ושבעה עובדיםונקבעו תחומי עיסוקם - המשכיות עסקית, .
עמידה בתקינת איכות והטמעתה, ניהול סיכונים וניהול תהליכי הפקת לקחים (להלן - תחכימים).
על פי חוק שירות המדינה (מינויים), התשי"ט -1959 הסמכותלשינויי תקינה בשירות המדינה, .
ובכללם קביעת מבנים ארגוניים, נתונה בידי נציב שירות המדינה.
אגף בכיר משרדי הממשלה .
ויחידות הסמך בנציבות שירות המדינה (להלן - הנציבות) אחראי בין השאר להמליץ לנציב שירות .
המדינה על שינויי תקינה ועל שינויים מבניים שיאפשרו ליחידה ממשלתית להשיג את יעדיה .
קביעת מבנה ארגוני כוללת קביעת אופי ין ומהותן של המשרות באותה יחידה, קביעת .
דירוגם ה מתאים של העובדים מבין הדירוגים הקיימים בשירות המדינה, עריכה ואישור של תיאור .
התפקיד המתאר את המשרה אשר על פיו יפורסם מכרז לאיושה כמתחייב מחוק המינויים, וכל .
הליך אחר המתחייב על פי החוק והתקנות.
7 ההנחיה עודכנה בשנת2017.
ה | הגנת סייבר והמשכיות עסקית ביחידת שירות עיבודים ממוכנים ברשות המיסים נציבות שירות המדינה התנתה את אישור האגף באישור נחיצותו מטעם רשות התקשוב.
שהתקיימה בספטמבר 2018 בעניין זה בין מנהל האגף לבין נציג רשות התקשוב לא ראה נציג .
הרשות הצדקה להקמת האגף במבנה שהוצע, משום שלכאורה מדובר במשימות חד-פעמיות .
שאינן מצדיקות מבנה ועובדים כפי שהוצג לפניו.
בביקורת עלה כי האגף פועל מסוף שנת 2016 אף שהנציבות לא אישרה את שינוי המבנה .
הגדרות התפקיד של עובדי האגף הן הגדרות תפקידיהם הקודמות , והם מועסקים .
בתקנים שהוקצו לאגפים אחרים.
בעקבות זאת סמכות האגף ותפקידיו אינם מוסדרים.
במהלך השנים עזבו את האגף ארבעה עובדים, ולא ניתן היה לגייס עובדים חדשים בשל .
מצב שבו אגף איכות והמשכיות עסקית פועל חמש שנים ללא הסדרת תקן כנדרש אינו .
על שע"ם לוודא כי יוסדר תחום ההמשכיות העסקית בהתאם להוראות הנציבות.
בתשובת נציבות שירות המדינה מ- 25.
22 נמסר כיבתקופה זו מגובש שינוי ארגוני בשע"ם, אך .
עדיין לא הוגשה בקשה לשינוי והמבנה הארגוני החדש לא הוצג לה.
במסגרת השינוי הארגוני .
נדרש להסדיר, בין היתר, את המבנה הארגוני של אגף המשכיות עסקית.
מינוי ממונה והגדרת תפקידו .
בהנחיה מוטלת חובה על אגף התקשוב של משרד ממשלתי כדלקמן: "האגף ימנה אחראי .
המשכיות עסקית ותפקודית ויגדיר את תחומי אחריותו וסמכויותיו, שיכללו, לכל הפחות, ווידוא .
קיום תוכנית להמשכיות עסקית ותפקודית, עדכונה כנדרש, הצפת נושאים לדיון בפני הנהלת .
האגף והנהלת המשרד, לרבות בנושא האפקטיביות של תהליכי הטמעה ותרגול שנערכו באגף".
בביקורת עלה כי האחראי בפועל, שהוא ראש אגף איכות והמשכיות עסקית, לא קיבל .
כתב מינוי לתפקיד, ולא הוגדרו בכתב תחומי אחריותו וסמכותו.
על שע"ם למנות בכתב את האחראי להמשכיות עסקית ולהגדיר בכתב את סמכויותיו ואת .
ביצוע תוכנית העבודה בתחום המשכיות עסקית .
תוכנית עבודה היא הכלי של גופים להוציא לפועל את מטרותיהם.
לפני כל שנת תקציב מתכנן .
שע"ם תוכנית עבודה; לכל אגף נקבעות המשימות שעליו לבצע בשנה זו ונקבעים המשאבים .
תוכנית העבודה המלאה של האגף משקפת את תפקידיו בתחומים אל ה: .
המשכיות עסקית, ניהול סיכונים, עמידה בתקינת איכות והטמעתה וניהול תהליכי הפקת לקחים .
מהנתונים עולה כי בשנים 2021-2019 .
היה ניצול חלקי של ימי העבודה המתוכננים .
האגף ציין כי תוכנית העבודה שלו לשנת 2021 לא בוצעה מאחר שהתהליכים בשע"ם לא .
הושלמו ולא עודכנו במלואם.
הגנת סייבר והמשכיות עסקית ביחידת שירות עיבודים ממוכנים ברשות המיסים מומלץ כי האגף והנהלת שע"ם יפעלו במשותף למימוש תוכנית העבודה והמשאבים .
שהוקצו לנושא ההמשכיות העסקית על בסיס שנתי.
תוכנית המשכיות עסקית .
על פי ההנחיה, יש לקבוע את תוכנית ההמשכיות העסקית והתפקודית של המשרד בהתאם .
להנחיות הגורמים המוסמכים לעניין תפקוד במצבי חירום.
במסגרת התוכנית להמשכיות עסקית .
יש לבחון את היבטי התקשוב.
כהיערכות לביצוע התוכנית יש לנקוט פעולות אלה: .
מיפוי של תרחישי ייחוס; .
ניתוח הסיכונים הנוצרים עקב התממשות תרחישי הייחוס (BIA8).
לזהות ולמפות את התהליכים החיוניים ואת השירותים החיוניים ולנתח את ההשפעות .
העסקיות ו התפקודיות של הפסק ת הפעילויות במצב חירום או של הפרעה להן.
בשלב זה יש להגדיר עבור כל אחד מהשירותים החיוניים את פרק הזמן שהמשרד יכול .
לפעול באופן תקין כשהשירות אינו פעיל ומהו היקף המידע שהמשרד יכול לאבד בלא .
שייגרם לו נזק ממשי; .
הגדרת יעדי השירות למצב החירום: הגדרת השירותים שתיתן יחידת המחשוב בעת חירום .
כדי לתמוך בפעילות החיונית של המשרד.
פיתוח התוכנית להמשכיות עסקית מאפשר בין היתר לממש את יעדי השירות בעת חירום.
התוכנית לכלול הנחיות לפעולה בתחומים אלה: .
כוח אדם - דרכים ושיטות לתפקוד באמצעות כוח אדם מצומצם, לרבות הגדרת כוח האדם .
החיוני והכנת תוכנית גיבוי; .
אתרי עבודה - היערכות מראש לחלופות למקום העבודה - באתרים שונים או בבית העובד; .
זיהוי ומיפוי של רכיבי הטכנולוגיה הנדרשי ם לתמיכה בהמשכיות העסקית, לרבות .
תשתיות ומשאבים, ממשקים לגורמים חיצוניים, תשתיות לאבטחת מידע ותשתיות .
קביעת נהלים לגיבוי ולאחזור של נתונים בהתאם ליעדי השירות הנדרשים; .
תוכנית התאוששות מאסון (DRP9 )- תוכנית להתאוששות מערך המחשוב; .
הטמעה ותרגול באמצעות כתיבת נהלים, הדרכה ותרגול בעת שגרה; .
Business Impact Analysis - BIA .
9 Disaster Recovery Plan – DRP .
ה | הגנת סייבר והמשכיות עסקית ביחידת שירות עיבודים ממוכנים ברשות המיסים 5.
ספקים וקבלנים בשעת חירום - הסדרת קבלת השירותים הנדרשים לרשות בשעת חירום .
אשר תלויים בספקים או בקבלנים.
פעילות שע"ם בתחום ההמשכיות העסקית עד להקמת האגף .
בשנת 2014 , לפני הקמתו של אגף איכות והמשכיות עסקית, החלשע"ם לנקוט פעולות להסדרת .
ההמשכיות העסקית בסיוע יועצים חיצוניים.
באותה שנה הוכן אוגדן היערכות לחירום (להלן - .
הפק "ל כלל מיפוי של יחידות שע"ם ושל תחומי אחריותן, סקירת תרחישי ייחוס, .
ניתוח השפעת תרחישי הייחוס על תפקוד האגפים בשע"ם והתווי ית צעדים לכתיב ת תוכנית .
בשנת 2015 החלשע"ם בתהליך התעדה של תקן איכות ישראלי.
תקן זה קובע מסגרת לניהול .
הרציפות העסקית וכולל מפרט דרישות ליצירת מערכת ניהול מתועדת .
תהליך ההתעדה לתקן ל-16 .
שלביםעד אמצע שנת 2015 .
בשנת 2016 הכינו היועצים מדריך ליישום תוכנית המשכיות עסקית בשע"ם, המסביר כיצד .
מנוהלת התוכנית להמשכיות עסקית וכיצד יש למלא את דרישות התקן בארגון.
טיוטה חלקית לתוכנית ההמשכיות העסקית.
בסיום עבודת היועצים ב שנת 2017 עדייןלא .
עלה כי תהליך ההתעדה של שע"ם לתקן האיכות הישראלי לא הושלם, על אף המשאבים .
בשנת 2019 הכין האגף, בסיוע יועץ רשות המיסים להמשכיות עסקית, מסמך ייזום לתוכנית .
המשכיות עסקית ב עת חירום בשע"ם.
המסמך נועד להגדיר את השלבים הנדרשים לביצוע .
תוכנית ההמשכיות העסקית, והוא כולל מסגרת מושגית לתחום ההמשכיות העסקית, תרחישי .
ייחוס בסביבת הפעילות של שע"ם וכן פעולת שיש לנקוט כדי לקדם את התחום: .
מיפוי של המערכות ושל השירותים העיקריים; .
מיפוי בעלי העניין, צו רכיהם וציפיותיהם; .
;מיפוי האיומים והסיכונים .
;הכנת תוכנית ניהול סיכונים .
בדיקתההשפעות של איומים וסיכונים על רציפות השירותים; .
תכנון תגובה על האיומים והסיכונים או למניעתם וקביעת סידורים לחידוש הפעילויות הללו .
קביעת נהלים שלהם יזדקק שע"ם כדי ליישם את הדרישות.
הגנת סייבר והמשכיות עסקית ביחידת שירות עיבודים ממוכנים ברשות המיסים עדכון אוגדן היערכות לחירום ( פק"ל שע"ם) .
תוכנית התאוששות מאסון ( Disaster Recovery Plan - DRP ) היא תוכנית לחידוש הפעילות של .
הטכנולוגיות ושל מערכות מידע.
תוכנית זו היא רכיב מרכזי בתוכנית ההמשכיות העסקית .
בהנחיית רשות התקשוב נקבע בעניין זה כי "האגף יקבע, תחת הנחיית ]מחשוב[ .
המנכ"ל ובתיאום עם אגף החירום במשרד, במידה וקיים, את יעדי ההתאוששות שלו במצב .
החירום, לרבות רמת התאוששות, וזמני התאוששות צפויים, עד לחזרה לתפקוד מלא בעת החזרה .
על פי נוהל מפתח10 , תוכנית התאוששות מאסון כוללת תוכניתלהתאוששות המערך הטכנולוגי.
התוכנית כוללת את תהליך הפעלת מצב החירום, את תהליך החזרה ממצב החירום, את תרגילי .
החירום ומדדים עיקריים להתאוששות: .
Return Point Objective (RPO )- .
כמות המידע שאבד (במונחי זמן פעילות) בהתרחש אסון .
Return Time Objective (RTO ) - פרק הזמן המרבי מרגע קבלת ההחלטה עד להפעלת אתר .
עם הקמתו החל האגף לעדכן את פק"ל שע"ם, שנכתב בשנת 2014 .
המסמך כולל רכיבים של .
תהליך הכנתה של תוכנית ההמשכיות העסקית והשפעתם על תשומות שע"ם ויחידותיו.
בשנת 2018 הסתיים עדכון הפק"ל בסיוע יועץ חיצוני נוסף מטעם רשות המיסים, אך לא .
צוינו בו היבטים מסוימים.
ביולי 2019 העביר הממונה על החירום ברשות המיסים לאגף המשכיות עסקית מסמך ובו הגדיר .
הביקורת העלתה פערים בנוגע להשלמת תוכנית התאוששות מאסון.
בתהליך גיבוש תוכנית ההמשכיות העסקית ובהשלמתה.
על שע"ם לתקן את הליקויים שעלו בתהליך גיבוש תוכנית המשכיות עסקית ובהשלמתה.
רשות המסים מסרה בתשובתה כי תשלים את תיקון הליקויים בכפוף למשאבים הנדרשים.
מערך הדיגיטל הלאומי מסר בתשובתו מ- 8.
2022 כי עמדתו כעמדת משרד מבקר המדינה .
בנוגע להמשכיות עסקית ולהתאוששות מאסון.
השפעותיו של היעדר תוכנית להמשכיות עסקית .
היעדר תוכנית להמשכיות עסקית בשע "ם מצמצם את יכולתו של הארגון לתפקד במצבי חירום .
מסוימים, ואכן הדבר בא לידי ביטוי בעת משבר הקורונה.
בתחקיר הפקת לקחים שנערך בשע "ם .
עלה כי לא הייתה לשע"ם תוכנית סדור ה לפעולה בעת התפרצות המגפה, והמשבר נוהל אד .
הוק על ידי מנהלת שע "ם דאז בשיתוף צוות החירום.
עוד עלה כי "מחסור במחשבים ניידים, .
10 נוהל מפתח- קובץ נהלים גנריים שאימצה רשות התקשוב כברירת מחדל בהיעדר נוהל אחר שאישר המשרד.
ה | הגנת סייבר והמשכיות עסקית ביחידת שירות עיבודים ממוכנים ברשות המיסים והפגיעה במרכיבי שכר משמעותיים בעבודה מהבית (כמו כוננויות ושעות נוספות), גרמו לעובדים .
רבים להגיע למשרד, במגבלות התו הסגול, אך תוך תוספת סיכון לבריאותם ולבריאות שאר .
העובדים והגברת הסיכון לפגיעה בשירותים לרשות המיסים".
ממצאי התחקיר בדבר היעדר תוכנית להמשכיות עסקית בעת התפרצות מגפת הקורונה .
ממחישים את הצורך בהשלמת כתיבתה של התוכנית להמשכיות עסקית על פי הנחיות .
ועדת היגוי להמשכיות עסקית .
בשנת 2019 הוקמהבשע"ם ועדת היגוי להמשכיות עסקית.
בראשות הוועדה עמדה מנהלת .
שע"ם דאז, והשתתפו בה נציגים משע"ם: הסמנכ"ל למינהל ומשאבי אנוש, מנהל אגף המשכיות .
עסקית ועובד מהאגף, מנהל אגף תשתיות ותקשורת, סמנכ"לית טכנולוגיות ומנהלת שירות .
בישיבתה הראשונה שהתקיימה באוגוסט 2019 צוין שהוועדה התכנסה כדי להניע .
מהלך של פיתוח תוכנית המשכיות עסקית בשע"ם.
בישיבת הוועדה שהתקיימה ב- 8.
כי היא תתכנס אחת לרבעון.
בביקורת עלה כי לא הונפק כתב מינוי לחברי ועדת ההיגוי להמשכיות עסקית ולא נקבעו .
נוסף על כך, עד למועד סיום הביקורת התכנסה הוועדה פעם אחת נוספת, .
ביולי 2021 , ולמעשה התכנסה שלוש פעמים עד למועד סיום הביקורת, ולא בכל רבעון .
מומלץ לוועדת ההיגוי להמשכיות עסקית להתכנס בהתאם לתדירות שנקבעה ולבחון את .
החסמים העומדים בפני קידום הפרויקט ואת הדרכים להסרתם.
תרגול ובקרה שוט פים .
כדי לשמור על כשירות המערכות ועל מקצועיותו של כוח האדם, יש לבצע תרגילים תקופתיים .
של המעבר לאתר ה -DR ושל תפעולו.
במסמך מדיניות אבטחת מידע וסייבר של שע"ם נקבע כי .
שע"ם יבצע תרגול תקופתי בתדירות שתקבע הנהלת שע"ם, וזאת לשם בחינת אופן .
ההתאוששות ממצבי אסון.
בביקורת נמצא כי שלא בהתאם למסמך מדיניות אבטחת מידע וסייבר של שע"ם, הנהלת .
שע"ם לא קבעה את תדירות התרגול ה תקופתי הנדרש.
עוד נמצא כי לשע"ם יש נוהל .
העוסק בתרגול המעבר לאתר ה-DR .
הנוהל עוסק בהיבטים שונים הנדרשים לתרגול, אך .
לא נקבעה בנוהל תדירות התרגול.
בביקורת עלה כי תרגיל מסוים בוצע באופן חלקי.
מומלץ לשע"ם לשקול לבצע את התרגילים במתכונת מלאה, לקבוע בנוהל את תדירות .
התרגול והוראות מסוימות לתיקון הליקויים שנמצאו בתרגול.
הגנת סייבר והמשכיות עסקית ביחידת שירות עיבודים ממוכנים ברשות המיסים סיכום .
שע"ם הוא גוף ה-IT של רשות המיסים, וככזה הוא מפתח מערכות מידע עבורה, מתחזק .
מערכות קיימות ומחזיק במידע.
על כן, יש חשיבות גדולה לרמה גבוהה של הגנת סייבר .
בשע"ם וכן לתפקוד מלא של שע"ם בעיתות משבר ולהתאוששות מהירה שלו מאסון.
ממצאי הביקורת מעלים כי על שע"ם לפעול לשיפור הגנת הסייבר על מערכותיו.
מומלץ כי שע"ם יפעל בהקדם לתיקון הליקויים שהועלו בדוח זה תוך בחינת יישום המלצות .
בחינות הבגרות נועדו להעריך את רמת ידיעותיהם של התלמידים על פי קנה מידה אחיד, והן .
בגדר נקודת הסיום של לימודי התלמיד בחטיבה העליונה.
תלמיד זכאי לתעודת בגרות אם עמד .
בהצלחה בבחינות הבגרות על פי הכללים שקבע משרד החינוך (להלן - המשרד).
תלמיד לתעודת בגרות ולציונים שלו בתעודת הבגרות יש השפעה רבה על סיכוי יו להתקבל .
למוסדות להשכלה גבוהה ועל יכולתו להשתלב בעתיד בשוק העבודה.
אגף בכיר בחינות משתייך למינהל הפדגוגי במשרד החינוך (להלן - האגף או אגף הבחינות), .
הוא מופקד על הארגון והניהול של בחינות הבגרות מטעם המשרד וממונה, בין היתר , על יישום .
ההנחיות הנוגעות לטוהר הבחינות ואחראי לקי ים את הבחינות במועדים שנקבעו.
ההיבחנות, אחראי האגף על הפקת תעודות הבגרות לזכאים לכך ועל מתן אישור לציונים .
בהקדם האפשרי, כדי ש לא לעכב את קבלת התלמיד ללימודים במוסדות להשכלה גבוהה.
ככלל, בחינות הבגרות מתקיימות בכתב , באמצעות שאלוני בחינה שגיבש המשרד, והנבחן .
משיב עליהם במחברת בחינה ייעודי ת.
יש גם בחינות מתוקשבות , שמתקיימות באופן מקוון .
באמצעות מערכת ייעודית, וכן בחינות בעל פה - במסגרת שאלונים במקצועות מסוימים למשל .
אנגלית, וכן כהתאמה לנבחנים עם צרכים מיוחדים.
ניתן להיבחן במקצוע לימוד לבגרות בכמה .
ר מות קושי, בהתאם למספר יחידות הלימוד שהנבחן למד.
זכאי לתעודת בגרות הוא מי שעמד .
בדרישות הזכאות שקבע משרד החינוך 3 .
להלןיוצגו נתונים על פעילות משרד החינוך בתחום .
בחינות הבגרות בשנת הלימודים התשפ"א (ספטמבר 2020 - יולי2021) .
3 היבחנות בהצלחה במקצועות החובה לפי מסלול הלימודים בבית הספר ולפי המגזר והפיקוח.
במקצוע מוגבר אחד לפחות, ברמה של חמש יחידות לימוד.
עמידה בתנאי קבלת ציון סף במקצועות הפנימיים וצבירה .
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד תרשים 1: נתונים על בחינות הבגרות בשנת הלימודים התשפ"א .
* מחברות בחינה פיזיות - מחברות נייר שהנבחנים כותבים בהן את תשובותיהם.
מתוקשבות - קובצי מחשב שכוללים את תשובות הנבחנים שנבחנו באופן מתוקשב .
** תלמידי י"ב שנבחנו בשנת הלימודים התשפ"א.
*** מספר התלמידים הזכאים נכון לינואר 2022.
המספרעשוי להשתנות בהתאם ל תוצאות הערעורים .
הצורך בהגנה על מאגרי המידע הנוגעים לבחינות הבגרות: חוק הגנת הפרטיות , .
התשמ"א-1981 (להלן- חוק הגנת הפרטיות), מגדיר את החובות של בעל מאגר מידע, מחזיק .
מאגר מידע או מנהל מאגר מידע כהגדרתו בחוק, לאבטחת המידע שבו.
תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז -2017 (להלן- תקנות הגנת הפרטיות אבטחת .
מידע) קובעות את החובות שחלות על בעל מאגר המידע ועל מנהל המאגר, על מחזיק מאגר .
מידע (למעט החובות לעניין מסמך הגדרות המאגר ומיקור חוץ), בשינויים המחויבים ולפי העניין.
| 271 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
ה | הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד .
התקנות קובעות שלוש רמות של מאגרי מידע, עליהן חלות שלוש רמות אבטחה שונות: בסיסית, .
בינונית וגבוהה, בהתאם לסיכוני האבטחה שהם מייצרים 4.
רוב המידע שמשר ד החינוך אוסף, שומר ומנהל בעניין בחינות הבגרות הוא מידע רגיש על .
תלמידים ועובדים, שכולל יותר מ- 100,000 ,רשומותשלפי תקנות הגנת הפרטיות אבטחת מידע .
הוא הסף שממנו חלה חובה לרמת אבטחה הגבוהה ביותר , ו בהיותו כזה הוא נדרש לרמת .
האבטחה הגבוהה ביותר שבתקנות, ובכלל זה על משרד החינוך מוטלת החובה לשמור על .
המידע ולוודא שהוא משמש אך ורק למטרות שלשמן הוא נמסר או לצורכי מילוי חובותיו של .
נוסף על הצורך להגן על מאגרי המידע מתוקף חוק הגנת הפרטיות ותקנותיו, המשרד נדרש .
להגן על סודיותו, אמינותו, זמינותו ומהימנות ו של המידע בעניין בחינות הבגרות, לרבות .
השאלונים, מחברות הבחינה והציונים.
כמו כן המשרד נדרש לוודא כי הם לא ישונו או יימחקו, .
וכי הם י יחשפו למי שמורשה לגשת אליהם בלבד, מתוקף תפקידו או מתוקף היותו הגורם .
שהמידע נוגע לו, כגון התלמידים או הוריהם, או למוסדות השכלה גבוהה ולגורמים אחרים .
שנדרשים להם תעודת הבגרות וציוני התלמידים.
היבט נוסף המחייב נקיטה של אמצעים כדי למנוע פגיעה במאגרי מידע הוא תקיפות במרחב .
הקיברנטי 5 (להלן- תקיפות סייבר ) ששכיחותן הולכת וגדלה, הגורמות לנזקים משמעותיים ורחבי .
המניעים לכך שונים, ובהם כוונה לפגוע במערכות עצמן וכך לשבש את הפעילות התקינה .
והשוטפת של הארגון, החברה ואף המדינה, למטרת סחיטה, למטרת שינוי מידע כדי ליהנות .
מהטבות ומרווחים ואף במסגרת אתגר טכנולוגי לשמו.
כך, בשנת 2021 טיפל מערך הסייבר .
הלאומי6 (להלן- מס"ל) בגילוי, זיהוי, הכלה וסילוק תקיפות סייבר משמעותיות כנגד חברות .
וגופים במשק הישראלי 7 .
מס"ל טיפל ב כ- 2,200 אירועי סייבר (עלייה של כ-33% ביחס לשנה .
איתר כ- 9,000 חולשות אבטחה חמורות בכ- 3,300 ,גופיםוהעביר כ- 4,400 דיווחים .
ממוקדים לארגונים בגין הממצאים שאותרו.
על פי מס"ל, בשנת 2021 נרשמה עלייה של 20% .
במספר הדיווחים שאותם הוא קיבל ואימת כאירועי סייבר בהשוואה לשנת 20208.
בהחלטתהממשלה על "הרחבת תחומי פעילות התקשוב הממשלתי, עידוד חדשנות במגזר .
הציבורי וקידום המיזם הלאומי 'ישראל דיגיטלית'" מ-20149 (להלן- החלטת הממשלה 2097 על .
ישראל דיגיטלית) הורחבו והוגדרו מחדש היעדים, התפקידים והסמכויות של רשות התקשוב .
הממשלתי והעומד בראשה.
במסגרת התפקידים והסמכויות שהוגדרו: גיבוש מדיניות לניהול .
סיכוני תקשוב וסיוע בהטמעת מתודולוגיה לניהול סיכוני תקשוב באגפי מערכות המידע והטמעת .
חובות אבטחת מידע לפי דין; על הממונה על התקשוב הממשלתי הוטל לפרסם הנחיות .
4 :ראו את המדריך המלא לתקנות הגנת הפרטיות אבטחת מידע באתר .
/he/departments/Guides/data_security_guide www.
5 המרחב הקיברנטי הוא מרחב טכנולוגיהכולל מחשבים, רשתות מחשבים, תוכנות, מידע ממוחשב, תוכן דיגיטלי .
ובסיסי נתונים, שמתקיים, בין היתר, הודות לרשת האינטרנט ולטכנולוגיית ממשק בין מחשבים.
6 מערך הסייבר הלאומי הואהוא ג וף ביטחוני-טכנולוגי המופקד על הגנת הסייבר בישראל מכוח החלטת הממשלה .
7 ראו סיכום שנת 2021 - מערך הסייבר הלאומי.
9 החלטת הממשלה2097 ( 10.
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד מקצועיות מחייבות בתחומי סמכותו למנהלי אגפי מערכות המידע, שבמשרדי הממשלה ו ביחידות .
הסמך, וזאת בתיאום עם הרגולטורים הרלוונטיים לעניין.
על פי החלטת הממשלה 2443 בדבר "קידום אסדרה לאומית והובלה ממשלתית בהגנת הסייבר" .
מ- 201510 (להלן- החלטת הממשלה 2443 בעניין הגנת הסייבר או החלטת הממשלה2443,) .
ייעוד היחידה להגנת הסייבר בממשלה (להלן - יה"ב) הפועלת במסגרת רשות התקשוב .
הממשלתית, היא להיות הגוף המנחה מהבחינה ה מקצועית את משרדי הממשלה ויחידות הסמך .
בתחום הגנת הסייבר 11.
טוהר בחינות ה בגרות: לבד מהצורך להגן על שלמות מאגרי המידע הנוגעים לבחינות הבגרות .
ועל אמינותם, למנוע את הפגיעה בהם ואת חשיפתם למי שאינו מורשה לכך, יש גם צורך לשמור .
על טוהר הבחינות של בחינות הבגרות.
משרד החינוך12 קבע כי השמירה על טוהר הבחינות היא .
משימה חינוכית, מוסרית וערכית, אשר נועדה להבטיח שוויוניות, הגינות ומתן ביטוי נאות לרמת .
על הבחינות לשקף את בקיאות הנבחנים באופן עצמאי.
מקנה יתרון לנבחנים מסוימים, ומשפיעה על כלל הנבחנים ועל התפיסה בעניין אמינות הבחינות .
בחוזר מנכ"ל המשרד "טוהר הבחינות" מדצמבר 201913 (להלן- חוזר טוהר הבחינות) הוגדרו .
תחומי האחריות של כל הגורמים (הנבחן, בעלי התפקידים בבית הספר ומשרד החינוך) לשמירה .
אגף הבחינות, המופקד על הארגון והניהול של בחינות הבגרות מטעם .
המשרד, ממונה גם על יישום ההנחיות הנוגעות לטוהר הבחינות.
אחריותו באה לידי ביטוי הן .
בעת שקודמת לבחינה, הן ביום הבחינה והן לאחריה.
בעידן הדיגיטלי, שבו משרד החינוך .
משתמש במערכות מידע רבות לצורך ניהול ותפעול של בחינות הבגרות מתחילתן ועד סיומן, .
קיום ממשל אבטחת מידע והגנת סייבר תקין הם מרכיבים חיוניים לשם שמירה על טוהר .
משרד החינוך מדרג מדי שנה את בתי הספר לפי מדד טוהר הבחינות הבוחן את התנהגות .
התלמידים במהלך בחינות הבגרות, ובה בעת אמור להעיד על מידת הצלחתו של בית הספר .
להקנות לתלמידים ערכי יושר, אמינות והגינות.
מדד טוהר הבחינות מסווג את בתי הספר לשלוש .
רמות, המשקפות את טוהר הבחינות של אותו בית ספר לאותה שנה.
למסלול הירוק משתייכים .
בתי ספר שלא נמצאה בהם פגיעה בטוהר הבחינות או שהפגיעה בטוהר המידות בהם מועטה .
למסלול הצהוב משתייכים בתי ספר שהשמירה על טוהר הבחינות בהם אינה משביעת .
רצון, ו למסלול האדום משתייכים בתי ספר שבהם הפג יעה בטוהר הבחינות הייתה רבה, ומשכך .
המשרד אינו מאפשר להם לנהל בעצמם את הבחינות והן מתקיימות בניהול חברה חיצונית .
בשנת הלימודים התשפ"א (ספטמבר 2020 - יולי 2021,) כ- 12,000 מכ- .
מיליון מחברות בחינה נמצאו "חשודות", ולכן נדרש לבחון את אמינותן הנתונים המובאים .
בתרשים להלן משקפים את סיווג בתי הספר שמגישים לבגרות לפי מדד טוהר הבחינות בשנת .
10 החלטת הממשלה2443 ( 15.
11 בדברי ההסבר להחלטת הממשלה נקבע כי הנחיות יה"ב מחייבות את משרדי הממשלה ואת יחידות הסמך.
13 "טוהר הבחינות" הוראת קבע 0237 - החלפה מדצמבר2019 .
| 273 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
תרשים 2: סיווג בתי הספר לפי מדד טוהר הבחינות בשנת הלימודים התשפ"א .
ה גופים העיקריים המעורבים בתהליך הניהול והתפעול של בחינות הבגרות : .
לצורך ניהול בחינות הבגרות, תפעול ן ואבטחת המידע שלהן מסתייע אגף הבחינות בגורמים .
פנים-משרדי ים ובגורמים חיצוניים.
בין הגורמים החיצוניים נכללים ספקים וזכיינים ש עימם .
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד תרשים 3: הגורמים העיקריים המעורבים בתהליך הניהול והתפעול של .
* המדפיס הממשלתי הינו יחידת סמך במשרד האוצר.
תפקידו העיקרי ביצוע והפקת עבודות הדפוס למשרדי .
הממשלה ויחידות הסמך באמצעות ייצור עצמי או באמצעות התקשרויות עם קבלני משנה חיצוניים.
| 275 | התשפ"ג| סייבר ומערכות מידע| דוח מבקר המדינה-2022 .
עלות תפעול בחינות הבגרות: ב שנת 2021 הסתכמה עלות התפעול של מערך בחינות .
מיליון ש"חבתרשים שלהלן מוצגים תחומי ההוצאות העיקריות של משרד .
החינוך לצורך תפעול וניהול של בחינות הבגרות.
תרשים 4: תחומיה הוצאות העיקריות על תפעול וניהול של מערך הבחינות, .
המספרים שבתרשים מעוגלים .
הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות- דוח מיוחד ניהול המידע על בחינות הבגרות: מינהל טכנולוגיות דיגיטליות ומידע (להלן - מינהל תקשוב) .
במשרד החינוך אחראי לתחום מערכות המידע במשרד החינוך.
הוא מופקד על פיתוח הניהול .
וההטמעה של תשתיות המחשוב, מערכות מידע ומאגרי מידע ו כן הוא אחראי ל אבטחתם, .
בהתאם למקובל ולדרישות הדין.
למשרד החינוך יותר מ-200 מערכות מידע, חלקן ניהוליות-תפעוליות ומשמשות , למשל, לניהול .
של מערך התלמידים, מערך עובדי ההוראה ומערך עובדי המשרד עצמו; וחלקן מערכות .
ייעודיות-מקצועיות המשמשות לצרכים פדגוגיים.
בתהליך הניהול והתפעול של בחינות וציוני .