HeTree/MevakerConcSen huggingface dataset:
לדברי הוועדה הצורך לעמוד בלוחות הזמנים על אף הגידול במספר המעטפות בבחירות לכנסת ה-23 .
חייב הקצאת משאבים גדולה יותר 4.
:מספר לא מבוטל של מצביעים ללא זכות הצבעה בכל מערכת בחירות לפי מדיניות הוועדה יש לאפשר למי שמגיע לקלפי מיוחדת להצביע כדי למנוע מחלוקות מיותרות ביום הבחירות, ולאפשר בירורים מאוחר יותר.
מחוקק המשנה אף הכיר בכך באופן מהותי, וניתן לכך דגש בעת בדיקת המעטפות.
לפיכך, גם כאשר פנקס הבוחרים ימוחשב, ייתכן שתישאר האפשרות לבוחר להצביע באמצעות מעטפה כפולה, גם אם אין לו זכות הצבעה, שכן לאחר בירור מעמיק שלא ניתן לעשות בקלפי תיפסל הצבעתו, ויימנעו מחלוקות ביום הבחירות שעלולות לשבש את הסדר התקין של הבחירות.
:ההסדרה של תהליך ההצבעה בקלפיתהליך זה הוסדר בהוראות חוק הבחירות לכנסת ותקנותיו.
שינויים בתהליך ההצבעה תלויים גם בשינוי המסגרת החקיקתית, שאינה בסמכותה של ועדת הבחירות המרכזית.
אף שתהליך ההצבעה באמצעות המעטפות הכפולות מתנהל כפי שנקבע בדין הקיים, מוצע לוועדת הבחירות נוכח האמור לעיל לבחון מחדש את האפשרות למחשב את תהליך זיהוי הבוחר בקלפי ולבצע בדיקה מקוונת של פרטי הבוחר מול פנקס הבוחרים, זאת בהתחשבות במכלול השיקולים ובהם: הגידול הניכר בשיעור הבוחרים באמצעי זה מדי מערכת בחירות, העלויות הגבוהות של מבצע המעטפות הכפולות, עלויות מחשוב התהליך החדש, היבטי הגנת הסייבר והגנת הפרטיות במחשוב התהליך ועוד .
יצוין כי שינוי שיטת ההצבעה יצריך שינוי חקיקה ראשית.
זאת ועוד, פנקס הבוחרים המלא מופץ למפלגות מכוח החוק, וכאמור בפרק בנושא הפצת פנקס הבוחרים, כלל הגורמים המעורבים בהפצת הפנקס (היחידה הארצית לפיקוח על הבחירות, רשות האוכלוסין וההגירה, ועדת הבחירות והרשות להגנת הפרטיות) הביעו נכונות לבחון שיטת הפצה חדשה ומאובטחת יותר.
מוצע שוועדת הבחירות תבחן את האפשרות לפתח פתרון טכנולוגי לצורכי זיהוי הבוחרים ביום הבחירות.
| 1094 | מערכותהמידע והגנת הסייבר בבחירות לכנסות ה -21, ה-22 וה-23 בתשובתה כתבה ועדת הבחירות כי בכוונתה, לכשיהיה זמן מה בין מערכות הבחירות, לערוך בחינה מסודרת ושיטתית של כלל ההיבטים הכלולים במחשוב תהליך הזדהות הבוחר ובהם שיקולי עלות -תועלת והיבטי הגנת הסייבר והגנת הפרטיות של המידע, זאת לפני ההמלצה לכנסת על ביצוע שינויים בתהליך ההצבעה.
יוטעם כי כל שינוי בפנקס הבוחרים יהיה טעון שינוי חקיקה ראשית, שכן הליך ההצבעה קבוע כולו בחוק.
עוד נמסר כי הוועדה ממשיכה, ותמשיך, לבחון באופן שוטף את שיפור תהליך ההצבעה, לרבות מחשוב חלקים מתהליך עבודת הקלפי.
✰ לסיכום, נוכח העלויות הגבוהות של מבצע המעטפות הכפולות, הגידול במספר הבוחרים בשיטה זו מדי מערכת בחירות והסיכונים הכרוכים באבטחה הפיזית של המעטפות, מוצע שוועדת הבחירות תקיים הליך בחינה יסודי ונרחב לנושא מחשוב פנקס הבוחרים ותהליך הזדהות הבוחר בקלפי תוך בחינת מכלול השיקולים, השלכות השינוי והתאמתו להליך הבחירה בישראל.
מחשוב התהליך צפוי לייתר את מבצע המעטפות הכפולות וצפוי בעקיפין לתרום לטוהר הבחירות בישראל.
מומלץ לבצע באופן עיתי בחינה יסודית של מחשוב כלל מערכת הבחירות בישראל בהתאם להתפתחויות הטכנולוגיות ולניסיון שנצבר בנושא זה בעולם.
| 1095 | דוחמבקר המדינה | אדרב התשפ״ב | מרץ2022 .
ה | מערכות המידע והגנת הסייבר בבחירות לכנסות ה-21, ה-22 וה-23 מעמד ועדת הבחירות והאסדרה בתחום הגנת הסייבר .
האסדרה בתחום הגנת הסייבר .
מרחב הסייבר כולל בין היתר מערכות ממוחשבות, רשתות מחשבים ותקשורת, תוכנות, מידע ממוחשב, נתוני תעבורה ובקרה ואת המשתמשים של כל אלה.
בד בבד עם התפתחות מרחב הסייבר ניכרת עלייה של ממש בשכיחותם של איומי סייבר ובחומרתם.
תקיפת סייבר היא פריצה או חדירה באמצעות טכנולוגיית מידע או ניסיונות לכך להשגת נגישות ללא רשות למערכות המידע או למידע ממוחשב ושיבושם או ניסיון לשיבושם מרחוק באמצעות שימוש בטכנולוגיית המידע.
בשנת 1988 הכירה מדינת ישראל בחשיבות העלאת רמת ההגנה של מערכות המחשוב החיוניות (להלן - תשתית מדינה קריטית או תמ"ק) מפני תקיפת סייבר.
החוק להסדרת הב יטחון בגופים ציבוריים, התשנ"ח-1988 (להלן- החוק להסדרת הביטחון), עוסק בהגנה על תשתיות מדינה קריטיות ומגדיר את הגופים שהמדינה מבקשת להנחותם ואת הגורם המנחה לכל גוף.
לפי החוק, הגופים המונחים ימלאו אחר ההנחיות המקצועיות שניתנו להם, והגוף המנחה יהיה רשאי להיכנס בכל עת לגוף הציבורי כדי לבדוק אם מולאו בנוגע אליו ההוראות לפי חוק זה וההנחיות שניתנו על פיו.
משנת 2002 התווספו גופים לרשימה הקבועה בחוק ובהם כנסת ישראל, רשות האוכלוסין וההגירה, רשות התקשוב הממשלתי - יחידת ממשל זמין, חברות תקשורת, חברת החשמל ועוד.
יצוין כי ועדת הבחירות אינה נכללת בחוק זה עקב עצמאותה (ראו את הפרק בנושא "עצמאות ועדת הבחירות").
בשנים 2011 עד2015 התקבלו שלוש החלטות ממשלה 31 בנושא קידום היכולת הלאומית במרחב הסייבר, אסדרה לאומית והסדרת האחריות לטיפול בתחום הסייבר.
במסגרת החלטות אלו הוקמו הרשות הלאומית להגנת הסייבר (כיום מערך הסייבר הלאומי) והיחידה להגנת הסייבר ברשות התקשוב (להלן - יה"ב).
גופים אלו אחראים בין היתר להנחיה ולהכוונה בתחום הגנת הסייבר, ובהחלטות אלו הוסדרו תחומי האחריות של כל אחד מהם (ראו תרשים להלן).
כמו כן הממשלה החליטה כי ההגנה על תפקודו התקין והבטוח של מרחב הסייבר מהווה יעד ביטחוני לאומי חיוני של המדינה.
31 החלטת הממשלה3611 ( ", "קידום היכולת הלאומית במרחב הקיברנטי 7.
2011 ); החלטת הממשלה2444 , "קידום היערכות הלאומית להגנת הסייבר" ( 15.
15 ); החלטת הממשלה2433 , "קידום אסדרה לאומית והובלה ממשלתית בתחום הגנת הסייבר" ( 15.
| 1096 | מערכותהמידע והגנת הסייבר בבחירות לכנסות ה -21, ה-22 וה-23 תרשים 11: הגופים האחראים בממשלה להנחיה ולהכוונה בתחום הגנת הסייבר כיום .
בהחלטת הממשלה 2444 הגנת הסייבר מוגדרת כמכלול הפעולות למניעת איומי סייבר ואירועי סייבר, לנטרולם, לחקירתם ולהתמודדות עימם ולצמצום השפעתם והנזק הנגרם מהם, וזאת לפני התרחשותם, במהלכם ולאחריהם.
מטרת החלטת הממשלה 244332 מ-2015 הייתה לקדם את התפיסה הלאומיתבתחום הגנת הסייבר לשם העלאה שיטתית ורציפה של רמת ההגנה במרחב הסייבר של מדינת ישראל.
על פי ההחלטה על המנכ"לים של המשרדי ם לפעול לשיפור רמת הגנת הסייבר ולשם כך למנות ממונה על הגנת הסייבר שיהיה אחראי בי ן היתר לגיבוש מדיניות הגנת הסייבר בהתאם לתהליך ניהול הסיכונים הארגוני ולבניית תוכנית עבודה להגנת הסייבר על פי המדיניות; להקים ועדת היגוי משרדית להגנת הסייבר; לקבוע אילו אנשי מקצוע יפעלו בתחום הגנת הסייבר; להקצות תקציב ייעודי לנושא; ולקדם עמידה בתקני אבטחת המידע.
תהליך הבחירות כרוך בסיכונים רבים.
בשנים האחרונות נוספו סיכונים שמקורם ניסיונות התערבות חיצונית ופגיעה בהליך הבחירות ובתוצאותיהן במדינות דמוקרטיות רבות בעולם .
32 החלטת הממשלה2443 ( ", "אסדרה לאומית והובלה ממשלתית בהגנת הסייבר 15.
| 1097 | דוחמבקר המדינה | אדרב התשפ״ב | מרץ2022 .
ה | מערכות המידע והגנת הסייבר בבחירות לכנסות ה-21, ה-22 וה-23 באמצעות תקיפות במרחב הסייבר33 .
הפגיעה בהליך הבחירות עצמו יכולה להתבצע באמצעות כלים טכנולוגיים שנועדו לפגוע בין היתר במערכות המידע , במערכות ההצבעה וספירת הקולות, בזימון הבוחרים לקלפיות הנכונות , בפרסום תוצאות הבחירות, במערכות הסיקור ובכל פעולה במרחב הקיברנטי, כגון שיבוש, הטיה, חבלה או גניבת מידע שמטרתם להשפיע על הדמוקרטיה בכלל ולפגוע בטוהר תהליך הבחירות ובניהולו התקין בפרט.
תשתית היא מערכת המשלבת מתקנים שונים ומאפשרת לבצע פעולות שונות34 .
תשתית מוגדרת קריטית כאשר סבורים ששיבוש תפקודה יוביל למשבר כלכלי-חברתי ניכר או שהשיבוש הוא בעל פוטנציאל לערעור היציבות בחברה ויהיו לו השפעות פוליטיות, אסטרטגיות וביטחוניות.
בארה"ב התשתיות הקריטיות מוגדרות מערכות חיוניות העומדות בבסיסה של החברה האמריקאית ותומכות בביטחונה, בכלכלתה ובמערכות הבריאות שלה35 .
בינואר2017 הכריזה המחלקה לביטחון המולדת של ארצות הברית ( Homeland Security ) על הבחירות כתשתית קריטית36 , ובמרץ2017 הקציב הקונגרס380 .
מיליון דולר לשדרוג מערכת הבחירות .
עצמאות ועדת הבחירות .
ועדת הבחירות היא גוף סטטוטורי עצמאי אשר הוקם לפי חוק הבחירות.
הוועדה אחראית לניהול תהליך הבחירות ובכלל זה ניהול מערכות המידע והתשתיות המשתתפות בתהליך הבחירות והיבטי הגנת הסייבר בהן.
עצמאותה של ועדת הבחירות ואי-תלותה ברשות המבצעת עוגנו בדין במסגרת דברי חקיקה רבים, למשל: סעיפים 17 ,א25 או-134 לחוק הבחירות לכנסת.
בשל עצמאות הוועדה וכדי לשמור על אי-תלותה בממשלה, הרשות המבצעת אינה מופקדת על הגנת הוועדה ופעולותיה מפני התקפות סייבר.
לכן ועדת הבחירות אינה כפופה להנחיות של שירות הביטחון הכללי או של מערך הסייבר או של היחידה להגנת הסייבר בממשלה , ואף אין חלות עליה החלטות הממשלה והנחיות מחייבות שכתבו הגופים המנחים בתחומים אלו.
נוכח החשיבות הציבורית של עבודת הוועדה, סעיף 150 לחוק הבחירות קובע כי "כל משרדי הממשלה והרשויות המקומיות יגישו את העזרה שתדרוש מהן הוועדה המרכזית".
כלומר המחוקק הכיר בכך שהוועדה רשאית להיעזר במשרדי הממשלה וברשויות המקומיות לצורך .
33 ( ראו דודו סימן טוב, גבי סיבוני וגבריאל אראל, המכון למחקרי ביטחון לאומיINSS ), "איומים קיברנטיים על תהליכים דמוקרטיים", סייבר, מודיעין וביטחון, כרך 1 , גיליון3 ', עמ59 - 69 , דצמבר2017 .
34 ,"ראו ליאור טבנסקי, "הגנה על תשתיות קריטיות מפני איום קיברנטיצבא ואסטרטגיה, כרך 3 , גיליון2 , נובמבר 2011.
35 ראו דודי סימן טוב, גבי סיבוני, גבריאל אראל, "איומים קיברנטיים על תהליכים דמוקרטיים", סייבר, מודיעין וביטחון, כרך 1 , גיליון3 , דצמבר2017.
36 ,ראו רון שמיר ואלי בכר, המכון הישראלי לדמוקרטיה ומרכז המחקר להגנת הסייברהתקפות סייבר על מערכת הבחירות, איך מתמודדים?
", מחקר מדיניות 136 , פברואר2019 ', עמ40 , בהתבססעל: Statement by Secretary Jeh Johnson on the Designation of Election Infrastructure as a Critical Infrastructure Subsector, U.
Homeland Security (January 6, 2017).
| 1098 | מערכותהמידע והגנת הסייבר בבחירות לכנסות ה -21, ה-22 וה-23 ביצוע תפקידה ביעילות ותוך שמירה על משאבי הציבור, והפקיד את שיקול הדעת לכך בידיה של הוועדה.
כאמור רשות התקשוב (ובה יה"ב) ומערך הסייבר הם גופים האחראים להנחיית המשרדים והכוונתם בתחום התקשוב ובתחום הגנת הסייבר.
בהיעדר הנחיות של ועדת הבחירות בתחומים שנסקרו בדוח ז ה, משרד מבקר המדינה השתמש בנורמות מקובלות בין- לאומיות וכן בהנחיות שפרסמו רשות התקשוב ומערך הסייבר ומחייבות את המשרדים, ומן הראוי שוועדת הבחירות תבחן את אימוצן בהיעדר הנחיות אחרות.
שיתוף פעולה בין הוועדה לבין גורמים ממשלתיים בתחום הגנת הסייבר .
שיתוף הפעולה עד לשנת 2017: בתשובת ועדת הבחירות נכתב כי עד אמצע שנת 2017 לא זיהתה הוועדה את הזיקה הפוטנציאלית שבין תקיפת סייבר לבין מערכת הבחירות, וכי ועדת הבחירות לא הוגדרה בחוק להסדרת הביטחון כגוף בעל תשתיות מדינה קריטיות.
רק לאחר שעלה חשש לשיבוש תוצאות הבחירות בארה"ב בבחירות שהתקיימו בנובמבר 2016 , החלה הוועדה לראות את תחום הסייבר כאיום ומאז נקטה שורה של פעולות בעיקר לקראת מערכות הבחירות שנערכו בשנים 2019 ו-2020 ובמהלכן.
מהאמור לעיל עולה כי ועדת הבחירות החלה לראות בתחום הסייבר איום על הבחירות רק באמצע שנת 2017 , ועיקרהפעולות שביצעה בתחום זה נעשו בשנים 2019 ו-2020 לקראת שלוש מערכות הבחירות שנערכו בשנים אלו ובמהלכן.
ההיערכות הממשלתית לטיפול בתחום הגנת הסייבר החלה לפני למעלה מעשור, ובשנים 2011 ו-2015 קיבלה הממשלה החלטות להסדרת התחום.
בתשובת נוספת של ועדת הבחירות מפברואר 2021 היא ציינה כי מדינת ישראל כולה לא נערכה לפני שנת 2017 .
לטפל בזיקה שבין מערכת הבחירות לבין תקיפות סייבר הפעילות הממשלתית בתחום הגנת הסייבר במהלך השנים הייתה אמורה להוביל לקיום פעולות היערכות של הוועדה בשלבים מוקדמים יותר ובכלל זה גיבוש מדיניות הגנת הסייבר, היערכות לעמידה בתקני אבטחת המידע, הפעלת ועדת היגוי להגנת הסייבר ויישום החלטותיה.
היערכות מוקדמת יותר ככל שהייתה נעשית בתקופה שבין מערכות הבחירות עשויה הייתה לתת מענה רחב ויסודי יותר לתחום רגיש זה.
שיתוף הפעולה מאמצע שנת 2017: בשנת2017 החלה ועדת הבחירות לשתף פעולה עם הרשות להגנת הסייבר (כיום מערך הסייבר).
במהלך שנה זו בוצעו כמה פעולות.
שיתוף הפעולה במהלך מערכות הבחירות בשנים 2019 עד 2020: בכל אחת משלוש תקופות הבחירות שנבדקו פנו יו"ר ועדת הבחירות וועדת הבחירות למערך הסייבר כדי שילווה את הוועדה וייעץ לה בתקופת הבחירות.
שיתוף הפעולה של הוועדה עם מערך הסייבר במהלך מערכות הבחירות היה שוטף וכלל פעילויות שהעיקריות שבהן מפורטות בלוח להלן: .
| 1099 | דוחמבקר המדינה | אדרב התשפ״ב | מרץ2022 .
ה | מערכות המידע והגנת הסייבר בבחירות לכנסות ה-21, ה-22 וה-23 לוח4: הפעולות העיקריות של ועדת הבחירות ומערך הסייבר בתחום הגנת הסייבר בשנים 2019 עד 2020 .
גיבוש מתווה פעילות  הסדרת תהליכי העבודה בין ועדת הבחירות לבין מערך הסייברתוך .
מתן הדעת למעמד הייחודי של הוועדה .
 מתווההפעילות הובא לפני היועץ המשפטי לממשלה .
והתקשורת המרכזיות  מערך הסייבר גיבש מעטפת ההגנה לשלוש מערכות הבחירות.
המעטפת אושרה על ידי ועדת הבחירות .
 הגדרת איומי הייחוס .
 הגדרת המערכות הקריטיות של הוועדה .
 כתיבת פקודת מבצע עבור כל מערכת בחירות .
 ביצוע הפקת לקחים ותיקוף מעטפת ההגנה בזיקה למערכת בחירות .
הבחירות  מערך הסייבר - על רכיבים של חלק ממערכות המידע המרכזיות .
 יה"ב - על רכיבים של מערכת 2 .
לחקירת אירוע סייבר  חלוקת תחומי האחריות בין מערך הסייבר לבין ועדת הבחירות .
לתקיפות סייבר  פיתוח לומדות לשם העלאת המודעות לתקיפות סייבר בקרב עובדי .
הוועדה ונציגי סיעות .
חריגות  הקמת חדר כוננות של מערך הסייבר בכנסת שבו נכחו נציגים מגופים .
 נציגי מערך הסייבר נכחו באתרי הניהול המרכזיים של מערכות .
בדיקת מהימנות  הבדיקות בוצעולעובדי ועדת הבחירות ונותני השירותים שלה .
באמצעות שירות הביטחון הכללי .
 הוועדה פעלה להתקנת תקנה בנושא .
איומי ייחוס ותרחישי .
ייחוס  ועדת הבחירות גיבשה מסמךלתקופת שגרה ולתקופת בחירו ת .
| 1100 | מערכותהמידע והגנת הסייבר בבחירות לכנסות ה -21, ה-22 וה-23 נושא תיאור הפעולות .
מערכות הבחירות  ועדת הבחירות גיבשה תפיסת הגנה שנגזרת משני איומים עיקריים .
 הוועדה פעלה ליישום תפיסת ההגנה בפגישה שקיים צוות הביקורת עם היועץ המשפטי של ועדת הבחירות ב- 25.
20 , היועץ המשפטי ציין כי לאור עצמאות הוועדה כל הפעילויות שמערך הסייבר ויה"ב ביצעו היו בהתאם לתכלית הוועדה, לבקשתה ובאישורה, וההחלטה אם לאמץ את ההמלצות שהתקבלו מגופים אלו נתונה לשיקול דעתה הבלעדי.
לדבריו חלק מהנושאים מועברים גם לאישור יו"ר ועדת הבחירות.
לא נמצא כי הוועדה דנה באימוץ תקנים או הנחיות סדורות לפעולות בתחום הגנת הסייבר.
משרד מבקר המדינה מציין כי אומנם ועדת הבחירות אינה כפופה להנחיות מערך הסייבר הלאומי ויה"ב, וזאת מכוח עצמאותה ואי-תלותה בממשלה.
אולם דווקא הפעולות ושיתוף הפעולה שנעשו במהלך מערכות הבחירות מלמדים יותר מכול שקשרי הגומלין של הוועדה עם הגורמים הממשלתיים האמונים על הטיפול בתחום הסייבר ראויים לבחינה, במטרה להבטיח היערכות יסודית ומקיפה של הוועדה מבעוד מועד.
לדעת משרד מבקר המדינה יש מקום שוועדת הבחירות תבחן את האפשרות לשתף פעולה עם מערך הסייבר באופן שוטף, גם בתקופת שגרה וגם בתקופת בחירות, כך שמערך הסייבר ילווה את ועדת הבחירות וייע ץ לה בכל התהליכים העיקריים, ובהם גיבוש תוכנית העבודה השנתית שלה, תכנון וביצוע של סקרי סיכונים, ביקורות ובדיקות חוסן באופן שוטף על המערכות והגדרת אופן הטיפול בממצאים שיעלו בסקרים.
בתשובתה כתבה ועדת הבחירות כי היא משתפת פעולה עם מערך הסייבר באופן שוטף, אך מטבע הדברים עיקר הפעילות המשותפת נעשית במהלך תקופת בחירות.
עצמאותה של הוועדה נשמרת, בין היתר, באמצעות שימוש ביועצים-מומחים, בני סמכא בתחומם , המחווים דע ה בנוגע להנחיות מערך הסייבר ומשמע ויותיהן.
עוד נכתב בתשובה כי כבר במכתבה של מנכ"לית הוועדה לראש מערך הסייבר הלאומי לעניין מעטפת ההגנה על הבחירות לכנסת ה-24 , ביקשה מנכ"לית הוועדה לבחון מול המערך ליווי של נציגיו גם בתקופת שגרה.
בשל חשיבות פעילותה של ועדת הבחירות לדמוקרטיה בישראל ובשל הסיכון הרב לדמוקרטיה עקב תקיפות סייבר שעשויות להטות את תוצאות הבחירות והסיכון לשיבוש תהליך הבחירות ולפגיעה באמון הציבור, מוצע שוועדת הבחירות תאמץ כללים מחמירים בכל הנוגע להגנת הסייבר.
מכיוון שאין כללים שמנחים את הוועדה בתחום הגנת הסייבר בדומה להנחיותיהם של יה"ב ומערך הסייבר, באופן שנותן מענה מיטבי לבעיות בתחום הגנת הסייבר, לדעת משרד מבקר המדינה מן הראוי שהוועדה תאמץ כנורמות מקצועיות מחייבות (בשינויים המחויבים) את הכללים המנחים של מערך הסייבר ויה"ב או כללים אחרים לפי סטנדרטים בין-לאומיים.
| 1101 | דוחמבקר המדינה | אדרב התשפ״ב | מרץ2022 .
ה | מערכות המידע והגנת הסייבר בבחירות לכנסות ה-21, ה-22 וה-23 בתשובתה כתבה ועדת הבחירות כיאימוץ תקנים רל וונטיים הוא שלב בעל חשיבות רבה לצורך ניהול וארגון מסודרים של תשתיות המערכות וההגנה עליהן, ואין כל מחלוקת על כך שאם מערך הסייבר מגדיר תקנים ומתודולוגיות להגנת סייבר, נכון יהיה שהוועדה תבחן, תשקול ותיישם זאת בהתאם לאופי פעילותה בשגרה, אך כל זאת במידת ההתאמה הנדרשת הנובעת מאופייה הייחודי של הוועדה ופעילותה ולמיטב שיקול דעתה המקצועי.
עוד ציינה הוועדה כי בתקופת בחירות הדרך הטובה ביותר להתגבר על תקיפות סייבר היא הכנסת שינויים ייחודיים ובלתי מוכרים לתקנים המוכרים, במגוון רחב של עולמות תוכן.
| 1102 | מערכותהמידע והגנת הסייבר בבחירות לכנסות ה -21, ה-22 וה-23 מדיניות להגנת הסייבר, נהלים, סקרי סיכונים ותוכניות עבודה .
כאמור מטרת החלטת הממשלה 244337 מ-2015 הייתה לקדם את התפיסה הלאומית להגנת הסייבר לשם העלאה שיטתית ורציפה של רמת ההגנה במרחב הסייבר של מדינת ישראל.
על פי סעיף 2ב בהחלטת הממשלה, על המנכ"לים של המשרדי ם לפעול לשיפור רמת הסייבר ולשם כך: 1.
למנות ממונה הגנת הסייברשאלה יהיו תפקידיו: גיבוש מדיניות הגנת הסייבר בהתאם לתהליך ניהול הסיכונים הארגוני; בניית תוכנית עבודה להגנת הסייבר על פי המדיניות; ניתוח והערכה שוטפים של תוכנית ההגנה בסייבר; גיבוש תוכנית תקציבית לטיפול בהגנת הסייבר ולניהולה השוטף; בקרה על יישום הגנת הסייבר וניהולה.
להקים ועדת היגוי משרדית 3.
לקבוע אילו אנשי מקצוע יפעלו בתחום הגנת הסייבר 4.
להקצות תקציב ייעודי לנושא 5.
לקדם עמידה בתקני אבטחת המידע ובהם תקן ישראלי ISO 27001 )(נוהלי אבטחת מידע (להלן - ת"י ISO 27001 .
) בפרק זה ייסקרוהנושאים העיקריים שקשורים לממשל תאגידי ולמדיניות הגנת הסייבר של ועדת הבחירות.
המדיניות להגנת הסייבר .
המדיניות להגנת הסייבר מבוססת על סיכונים למידע, למערכות המחשוב המעבדות והמאחסנות אותו ו לרשתות ההתקשרות, תוך התאמה לצרכים התפעוליים והארגוניים של המשרדים.
העקרונות במדיניות להגנת הסייבר מהווים בסיס לנ והלי העבודה בתחום הגנת הסייבר.
המדיניות להגנת הסייבר בממשלה נגזרת מחוקים, תקנות ות"י ISO27001, שבהם מחויבים לעמוד משרדי הממשלה והעובדים בהם וכן מתורת ההגנה בסייבר של מערך הסייבר.
1 שפרסמה יה"ב בספטמבר2016 בנושא "מדיניות להגנת הסייבר בממשלה" (להלן - ההנחיה בנושא מדיניות) מפורטים עיקרי הנושאים שצריכים להופיע במסמך המדיניות של המשרדים: .
37 החלטת הממשלה2443 ( ", "אסדרה לאומית והובלה ממשלתית בהגנת הסייבר 15.
| 1103 | דוחמבקר המדינה | אדרב התשפ״ב | מרץ2022 .
ה | מערכות המידע והגנת הסייבר בבחירות לכנסות ה-21, ה-22 וה-23 תרשים12: עיקרי הנושאים שצריכים להופיע במסמך מדיניות להגנת הסייבר .
על פי ההנחיה בנושא מדיניות, ועדת ההיגוי המשרדית לנושא הגנת הסייבר היא פורום ניהולי שממונה על ידי מנכ"ל המשרד ובראשו יושב מנכ"ל המשרד.
ועדת ההיגוי אחראית לגיבוש עקרונות המדיניות, להתוויית אסטרטגיה לפעילות, לפיקוח על תוכנית האב ותוכניות העבודה השנתיות, לקיום הערכת נזקים בעקבות תקלות ולגיבוש המלצות לטיפול על פי עקרונות מסמך המדיניות והמסגרת להגנת הסייבר הממשלתית.
כמו כן ועדת ההיגוי אחראית לביצוע בקרה על ישימות המדיניות על פי מתווה הנחיות המסגרת להגנת הסייבר בממשלה.
עוד על פי ההנחיה, הממונה על הגנת הסייבר אחראי לניהול ולהנחיה מקצועית שוטפת בתחום הגנת הסייבר ולהנחלה בשטח של ההחלטות והסיכומים של ועדת ההיגוי להגנת הסייבר.
| 1104 | מערכותהמידע והגנת הסייבר בבחירות לכנסות ה -21, ה-22 וה-23 ,כאמורבתשובת ועדת הבחירות נכתב כי עד אמצע שנת 2017 לא זיהתההוועדה את הזיקה הפוטנציאלית שבין תקיפת סייבר לבין מערכת הבחירות, וכאמור ועדת הבחירות לא הוגדרה בחוק להסדרת הביטחון כגוף בעל תשתיות מדינה קריטיות.
ועדת היגוי להגנת סייבר .
ועדת הבחירות הקימה בנובמבר 2018 ועדת היגוי להגנת סייבר ומינתה ממונה על הגנתסייבר.
פחות מחודשיים לאחר מכן כבר פוזרה הכנסת ה-20 .
ועדת ההיגוי להגנת הסייבר, שהוקמה ב נובמבר 2018 , לא התכנסה עד מועד סיום הביקורת באוגוסט 2020 , בתקופה שבה עסקה ועדת הבחירות בקיום שלוש מערכות בחירות.
ועדת הבחירות ציינה בתשובתה שאף שוועדת ההיגוי לא התכנסה מהרבעון האחרון של שנת 2018 , פעלה ועדת הבחירות בתחום הגנת הסייבר בשיתוף מערך הסייבר (בעניין זה ראו את לוח 4 ) לרבות גיבוש תפיסת הגנה לכל אחת משלוש מערכות הבחירות שנבדקו.
גיבוש תפיסת הגנה לתקופות הבחירות ( 2019) .
ועדת הבחירות מסרה בתשובתה כי לקראת הבחירות לכנסת ה-21 היא גיבשה תפיסת הגנת סייבר לתקופת הבחירות (להלן - תפיסת ההגנה).
יו"ר ועדת הבחירות לכנסות ה -21 וה-22 אישר את תפיסת ההגנה של הוועדה, ובשלוש מערכות הבחירות שנבדקו פעלה ועדת הבחירות לפיה.
כמו כן תפיסת ההגנה שופרה מדי מערכת בחירות בעקבות הפקת לקחים מהבחירות הקודמות.
גיבוש מדיניות לתקופת הבחירות ולתקופת השגרה .
השינויים באים לידי ביטוי בין היתר במספר מערכות המידע שבהן משתמשים, במספר המשתמשים בהן, בהיקפי השימוש בהן ובפריסתן הגיאוגרפית וכן במספר העובדים שמועסקים על ידי החברות שמתחזקות את מערכות המידע בכל אחת מהתקופות.
עלו פערים בעניין גיבוש מדיניות להגנת הסייבר.
מוצע שוועדת ה בחירות תכנס את ועדת ההיגוי להגנת הסייבר, תגבש את עקרונות המדיניות לעבודת ועדת הבחירות בתקופת בחירות ובתקופת שגרה, תתייחס ליעדי-העל של הוועדה ולפעולות ארוכות הטווח וקצרות הטווח שיש לבצע כדי לעמוד במדיניות שנקבעה.
עוד מוצע שעקרונות המדיניות יכללו את כל הנדבכים הקיימים בהנחיית יה"ב, וכן שהמדיניות ותפיסת ההגנה שיגובשו יתועדו ויאושרו מדי תקופה שתיקבע.
| 1105 | דוחמבקר המדינה | אדרב התשפ״ב | מרץ2022 .
ה | מערכות המידע והגנת הסייבר בבחירות לכנסות ה-21, ה-22 וה-23 ועדת הבחירות כתבה בתשובתה כי היא אינה חלוקה על ההצעה לתקף את המדיניות להגנת הסייבר מפעם לפעם.
כאמור, לפי החלטת ממשלה 2443 מ-2015 על המשרדים לקדם עמידה בתקני אבטחת המידע ובהם ת"י ISO27001 .
ועדת הבחירות כתבה נהלים בנושא מחשוב ואבטחת מידע שטיפלו בעיקר בנושאים נקודתיים הנוגעים לתקופת הבחירות, למשל: תיאור תפקיד תומך מחשוב, נוהל תמיכה ודיווח על תקלות במערכת 1 בכנסת ה-23 ,דף הנחיות לעובד בנושא אבטחת מידע, דף הנחיות לבקרה על אתר הדילוג - אבטחת מידע.
לקראת סוף שנת 2018 פעלה ועדת הבחירות לקידום התקשרות עם חברה שתסמיך אותה לת"י ISO27001 באמצעות מכרז מרכזי, אולם עקב הקדמת הבחירות לכנסת ה -21 וסיום המכרז המרכזי נדחתה ההסמכה.
ועדת הבחירות החליטה38 להתמקד בהיבטים ובשיפורים הנדרשים במערכות הבחירות, ולקדם את ההסמכה לאחר הבחירות בעדיפות גבוהה.
ועדת הבחירות מסרה בתשובתה כי ההחלטה לקדם את ההסמכה לאחר הבחירות בעדיפות גבוהה עומדת בעינה אך רצף מערכות הבחירות טרם איפשר זאת.
מוצע כי ועדת הבחירות תחדש את פעילותה בנושא אימוץ ת"י ISO27001 או נהלים מוכרים אחרים ובהם הנחיות הגופים הממשלתיים הפועלים בתחום כמו יה"ב ומערך הסייבר , ותכתוב נוהלי אבטחת מידע שמטרתם להנחות כיצד יש לפעול בתקופת בחירות ובתקופת שגרה ותחייב את כל ספקי מערכות המידע שלה לעבוד לפיהם.
בתשובת ועדת הבחירות נכתב כי הנהלת הוועדה הטילה על אגף טכנולוגיות דיגיטליות ומידע לקדם את הסמכת הוועדה לתקן ISO27001 .
, וכך ייעשה בתקופת שגרה .
38 מסמך של ועדת הבחירות בנושא תקן אבטחת מידע בסימוכין 824319 .
| 1106 | מערכותהמידע והגנת הסייבר בבחירות לכנסות ה -21, ה-22 וה-23 ניהול סיכוני סייבר ובניית תוכנית עבודה להגנה על הארגון .
ביצוע סקרי סיכונים ומבדקי חדירות על מערכות המידע עד פברואר 2018 .
קיימים כמה תקנים מקובלים שלפיהם נדרש הארגון לבצע סקרי סיכוני סייבר באופן תקופתי כדי לוודא עמידה בתקנים, במדיניות להגנת הסייבר ובתקני אבטחה: 1.
תורת ההגנה בסייבר לארגון שפרסם מערך הסייבר 3.
הנחיה מחייבת שפרסמה יה"ב בנושא ניהול סיכוני סייבר במשרדי ממשלה ת"י 27001 ISO: בסעיף6 בת"י 27001 ISO (אבטחת מידע) מפברואר2007 , שהוא תרגום של התקן הבין-לאומי משנת 2005 , נכתב כי הארגון יערוך מבדקים פנימיים של המערכת לניהול אבטחת המידע במרווחי זמן קבועים כדי לקבוע אם מטרות הבקרה, אמצעי הבקרה, התהליכים והנהלים של המערכת לניהול אבטחת המידע: מתאימים לדרישות של תקן בין -לאומי זה ולדרישות הרלוונטיות שעל פי הדין; מתאימי ם לדרישות המוגדרות של אבטחת המידע; ומיושמים ומתוחזקים באופן אפקטיבי ומתפקדים כמצופה מהם.
1 ,בתקן ההנהלה תסקור את מערכת ניהול אבטחת המידע של הארגון במרווחי זמן מתוכננים (אחת לשנה לפחות) כדי להבטיח התאמה מתמדת, נאותות מתמדת ואפקטיביות מתמדת.
2 נכתב כי תיושם ותתוחזק רמה נאותה של אבטחת מידע והספקת שירותים המתאימים להספקת שירותים עם צד שלישי.
תורת ההגנה בסייבר: ביוני 2017 פרסם מערך הסייבר את תורת ההגנה בסייבר לארגון (להלן - תורת ההגנה בסייבר).
המסמך מציג מתודה סדורה שהיא בגדר המלצה לארגונים אשר מובילה את נושאי האחריות בארגון לבניית ת וכנית עבודה רב -שנתית להגנה על הארגון.
באמצעות המתודה הארגון מכיר את הסיכונים הרלוונטיים לו ומגבש מענה הגנתי ות וכנית להפחתת סיכונים בהתאם.
להלן השלבים בתהליך העבודה ע ל פי תורת ההגנה בסייבר לארגונים: 1.
מיפוי נכסים: הארגון ימפה את נכסיו, את ייעודם ואת הממשקים של הנכס.
שלב מיפוי הנכסים יקשור גם בין נכסי הארגון לתהליכים העסקיים ה מרכזיים.
בסוף שלב זה יגדיר הארגון מהם הנכסים בעלי רמת קריטיות גבוהה לתפקודו.
מיפוי הנכסים יכלול לפחות את סוגי הנכסים האלה: אפליקציה ארגונית, תשתית, רשת, OT39 .
הגדרת רמת ההגנה הנדרשת : הגדרת רמת הערכיות של כל נכס בהתאם לרמת הנזק שעלול להיגרם כתוצאה מפגיעה בסודיות הנתונים (למשל : הדלפת המידע), פגיעה באמינות הנתונים ופגיעה בזמינות הנתונים.
הנכסים מדורגים לפי ארבע רמות ערכיות: הציון .
39 Operational Technology - .
בקרים תעשייתיים, טלוויזיה במעגל סגור .
| 1107 | דוחמבקר המדינה | אדרב התשפ״ב | מרץ2022 .
ה | מערכות המידע והגנת הסייבר בבחירות לכנסות ה-21, ה-22 וה-23 1 מציין רמת ערכיות נמוכה ו-4 מציין רמת ערכיות גבוהה.
רמת הסיכון לנכס מחושבת לפי עוצמת הנזק עם ההסתברות שאירוע סייבר יתרחש בנכס זה.
בחינה של רמת ההגנה הנוכחית של כל נכס אל מול הנדרש (באמצעות סקרי סיכונים או מבדקי חדירות): איתור פערי הגנה לעומת הבקרות הנדרשות.
תורת ההגנה מפרטת בקרות בתחומים שונים שעל הארגון לממש.
כל בקרה סווגה ברמות 1 עד 4 .
על פי התורה לכל נכס מוצע לממש את הבקרות שהערךשלהן קטן או שווה לרמת הסיכון של הנכס.
בניית תוכנית עבודה: כל בקרה בפרקי הבקרות מגינה מפני סיכון שנובע מפגיעת סייבר.
בבניית תוכנית העבודה לסגירת פערי הבקרות יש להביא בחשבון את אפקטיביות הבקרה (תרומתה להפחתת הסיכון), את עלות מימוש הפתרון ואת מהירות היישום ש לו, והארגון יבחר את הבקרות שהוא רוצה לממש כדי להגיע לרמת הסיכון הרצויה (ובכלל זה הבנה של מהות החשיפה לסיכון אם לא ימומשו הבקרות).
הנחיית יה"ב: ביולי 2017 פרסמה יה"ב הנחיההמחייבת את משרדי הממשלה בנושא ניהול סיכוני סייבר במשרדי ממשלה.
בהנחיה נקבע כי מתודולוגיית ניהול סיכוני הסייבר בממשלה תהיה בהתאם לתורת ההגנה בסייבר.
עוד נקבע כי תדירות ביצוע סקר הסיכונים לא תפחת מאחת ל-36 חודשים ותתוקף לפחות אחת ל-18 חודשים, וכי סקר הסיכונים ישמש את המשרדים בבניית תוכנית עבודה רב -שנתית ושנתית.
דוח הערכת הסיכונים יהיה בגדר המלצה מקצועית למשרד ויכלול לפחות: תקציר מנהלים, פירוט ממצאים והצעה לתוכנית עבודה מתועדפת לטיפול בממצאים שנתגלו.
בתשובת מערך הסייבר מ- 10.
21 נכתב כי מוצע לוועדה לבצע סקרי סיכונים או לתקפם בכל שנה ולא בתדירות נמוכה יותר, בשל המורכבות והזמן הדרוש להנעת התהליכים המורכבים ולטיפול בפערים.
ביולי 2017 החליטה ועדת הבחירות40 לבצע סקר סיכוני סייבר ובדיקת חדירות על מערכת1 .
עד חודש נובמבר2017 פעלה הוועדה להגדרת תיחום סקר הסיכונים ולבחירת חברה חיצונית שתבצע אותו.