HeTree/MevakerConcSen huggingface dataset:
זאת ועוד, היעדרה של ההיערכות הארגונית הנדרשת במשרד על פי חוק הגנת הפרטיות, ובכלל זה אי-מינוי מנהלי מאגרים וממונה אבטחת מידע, לא איפשר לקיים את תהליכי העברת המידע כנדרש בתקנות.
הוועדה להעברת מידע לא מילאה את תפקידה כגורם בקרה, ולא דרשה לשלב בתהליך אמצעי מעקב אחר השימוש במידע על ידי מורשי הגישה למידע, כנדרש על פי טופס הבקשה וכמפורט בהנחיית המשנה ליועץ המשפטי לממשלה.
יצוין כי המציאות הוכיחה שהיעדר בקרה על מורשי הגישה אינה פרצת אבטחה תיאורטית בלבד.
שכן, חוסר הערנות ואי-המודעות לנושא זה איפשרו מצב שבו עובדים מיחידת הפיצו"ח עשו לכאורה שימוש שלא כדין במידע, שבגינו הם הושעו והוגשה נגדם תובענה לבית הדין למשמעת של נש"ם.
משרד מבקר המדינה מעיר למשרד החקלאות כי עליו לבחון את תהליך אישור העברת המידע בין גופים ציבוריים ובין המשרד, ולוודא כי כל מנגנוני הבדיקה והבקרה הנדרשים על פי דין קיימים, כי ממלאי התפקידים הרלוונטיים מודעים לתפקידם ולאחריותם, וכי התהליך מתנהל בהתאם להוראות הדין והנחיות היועמ"ש.
יישום תקנות הגנת הפרטיות (אבטחת מידע) .
כאמור, במאי 2017 פורסמו תקנות הגנת הפרטיות (אבטחת מידע), ונקבע כי הן ייכנסו לתוקף במאי 2018 כדי לאפשר לארגונים להיערך אליהן.
מטרתהתקנות, כפי שנכתב בדברי ההסבר31, הייתה לפרט ולקבוע את עקרונות אבטחת המידע הקשורים בניהול המידע ובשימוש בו במאגרי מידע, בהתבסס על תקני אבטחת מידע מקובלים בעולם.
עוד נכתב בדברי ההסבר כי לעומת אבטחת מידע בכלל, שמטרתה להגן על המידע של ארגון כנכס של אותו ארגון, המטרה של ההסדר המוצע היא מימוש תכליות החוק, כלומר הגנה על זכויות נושאי המידע במאגר המידע מפני שימוש לרעה במידע על אודותם, הן על ידי גורמים מחוץ לארגון והן על ידי העובדים.
המנגנונים שנקבעו בתקנות החדשות נחלקים לרבדים אחדים: ברובד הראשון נדרש בעל המאגר לקבוע מהו המידע המוגן ומהם הסיכונים הקשורים אליו; ברובד השני נדרש הארגון לקבוע נהלים בתחום אבטחת המידע, ש יכללו הוראות בעניין אבטחה פיזית של אתרי המאגר, הרשאות גישה למאגר, תיאור אמצעים המיועדים להגן על המאגר, אופן התמודדות עם אירועי אבטחת מידע ועוד; הרובד השלישי בתקנות כולל הוראות מהותיות בתחום ניהול אבטחת המידע.
על מנת להיערך כראוי לתקנות, על הארגון להגדיר בר אש ובראשונה את המאגרים שלו.
לאחר מכן, על בעליו של מאגר להגדיר את מאפייניו.
בין היתר יפורטו מאפיינים אלו: תיאור כללי של פעולות איסוף המידע והשימוש בו, סוגי המידע השונים הכלולים במאגר המידע32 ,, פעולות עיבוד מידע באמצעות מחזיק פרטים על העברת המאגר או השימוש במידע האגור בו מחוץ לגבולות המדינה, סיכונים לפגיעה באבטחת המידע ואופן ההתמודדות איתם; שמו של מנהל מאגר המידע, של מחזיק המאגר ושל הממונה על אבטחת המידע בו אם מונה אחד כזה.
הגדרות אלו ירוכזו במסמך המכונה "מסמך הגדרות המאגר".
31 המבוא לדברי ההסבר לטיוטת התקנות, ששלחה שרת המשפטים ליו"ר ועדת החוקה, חוק ומשפט ח"כ סלומינסקי ב- 11.
32 ,)ובפרט סוגי המידע האלה: מידע על צנעת חייו האישיים של אדם, מידע רפואי (כולל נפשי מידע גנטי, מידע על דעות פוליטיות ואמונות דתיות, עבר פלילי, נתוני תקשורת, מידע ביומטרי, מידע כלכלי והרגלי צריכה של אדם שעל פיהם ניתן ללמוד על אישיותו, אמונתו או דעותיו.
משרד החקלאות ופיתוח הכפר | 2113 .
משרד מבקר המדינה בחן בינואר2018, כארבעה חודשים לפני כניסת התקנות החדשות לתוקף, את היערכות משרד החקלאות ליישומן, ולהלן הממצאים: 1.
הגדרת מאגרי המשרד על פי החוק והתקנות: במשרד קיימים לפחות עשרה מאגרים שמאפייניהם תואמים לקריטריונים שנקבעו בחוק למאגרי מידע, ואינם רשומים בפנקס.
הביקורת העלתה כי עבודת המטה שהחלה בנושא לעדכון רשימת המאגרים טרם הסתיימה, (בעניין זה ראו לעיל בפרק "אי -השלמת מיפוי, בחינה והגדרה של מאגרי מידע").
פרסום מסמך הגדרות מאגר: בתקנות נקבע כי על בעל המאגר להכין מסמך הגדרות המאגר ובו יפורטו, בין היתר, פעולות האיסוף והשימוש במידע; סוגי המידע השונים ופרטים נוספים כמוזכר לעיל.
לא נמצא כי פורסם מסמך הגדרות מאגר לגבי אף לא אחד מן המאגרים שיש לרשום כמאגרי מידע.
קביעת רמת האבטחה הנדרשת: התקנה קובעת שלוש רמות אבטחה למאגרי מידע - בסיסית, בינונית וגבוהה.
רמת האבטחה קובעת את דרישות ההגנה והאבטחה של המערכת בנושאים אחדים: רמת הדיווח על אירוע אבטחה חמור והטיפול בו; קיום ביקורת על אבטחת המידע במאגר; רמת הפירוט של נוהל אבטחת המידע שבעל המאגר נדרש להכין והנושאים שאליהם מתייחס הנוהל; קיום סקר סיכונים; קיום מבדקי חדירה; רמת האבטחה הפיזית; פעילות הדרכת עובדים; רמת הזיהוי והאימות של המשתמשים; הבקרה והתיעוד של הגישה למאגרים; רמת אבטחת התקשורת ועוד.
ממונה אבטחת המידע במשרד החקלאות מסר למשרד מבקר המדינה בינואר 2018 , כי רמת האבטחה הנדרשת נקבעה על פי סקר הסיכונים שערכה במשרד היחידה להגנת הסייבר בממשלה בשיתוף הרשות הלאומית להגנת הסייבר במחצית השנייה של שנת 2017 , כחלק ממימוש הגנת הסייבר במשרד על פי החלטות הממשלה (להלן - סקר הסיכונים של יה"ב).
משרד מבקר המדינה בחן את טיוטת סקר הסיכונים של יה"ב ומצא כי הוא נערך על פי טיוטת תורת ההגנה הלאומית בסייבר שאינה מבוססת על רמות האבטחה שנקבעו בתקנות הגנת הפרטיות (אבטחת מידע) ובנספחיהן, וממילא לא הביאו עורכי הסקר בחשבון את המאפיינים המשפיעים על רמות האבטחה על פי תקנות אלה.
משרד מבקר המדינה מעיר למשרד החקלאות כי על פי התבחינים שנקבעו בתקנות החדשות ובנספחיהן, רמת אבטחת המאגר נגזרת מהתכנים הקיימים במאגר לגבי הפרט, ממספר הרשומות וממספר המשתמשים במאגר.
לפיכך, סקר הסיכונים שנעשה על פי תורת ההגנה הלאומית בסייבר אינו בא במקום קביעת רמת האבטחה הנדרשת על פי תקנות הגנת הפרטיות.
עוד מעיר משרד מבקר המדינה למשרד החקלאות כי הגדרת המאגרים, הכנת מסמך הגדרות מאגר וקביעת רמת האבטחה של המאגרים שברשותו הם צעדים בסיסיים, המשפיעים על כל הפעילות שיערוך המשרד לצורך יישום התקנ ות החדשות.
ראוי היה שבמועד סיום הביקורת במרץ 2018 , חודשיים לפני כניסתן של התקנות החדשות לתוקף, יסיים המשרד לבצע את השלבים האלה, שכן לכך נועדה שנת ההכנה.
סקר סיכונים: על פי התקנות החדשות, מאגר שחלה עליו רמת אבטחה גבוהה הוא, בין היתר, מאגר שיש בו מידע על עברו הפלילי של אדם או על נכסיו של אדם ומצבו הכלכלי, ויש בו נתונים על 100,000 .
אנשים ומעלה במאגר מידע שחלה עליו רמת האבטחה הגבוהה אחראי בעל המאגר לעריכת סקר סיכונים אחת ל-18 חודשים לפחות, ועליו לפעול על פי תוצאותיו.
הנחיות יה"ב, המתפרסמות במסגרת הנחיות ראש רשות התקשוב הממשלתי, מחייבות את משרדי הממשלה ויחידות הסמך לנהל סיכוני סייבר, ובכלל זה עריכת סקר סיכונים.
סקר הסיכונים של יה"ב הוגש למשרד בנובמבר 2017 , ובשנת 2018 אמורהמשרד להשלים את סקר הסיכונים באמצעות ספק חיצוני33.
התקנות החדשות גם קובעות כי רשם מאגרי המידע רשאי להורות כי מי שיעמוד בהנחיות אבטחת מידע של רשות מוסמכת 34 החלות עליו, או בהוראות של מסמך מנחה בעניין אבטחת מידע החלות עליו35 , יראו אותו כמקיים את הוראות התקנות, כולן או חלקן.
זאת לאחר שהרשם השתכנע כי עמידה בתקנים רשמיים של אבטחת מידע או בהוראות הרשות המוסמכת מבטיחה את רמת האבטחה שנקבעה בתקנות לגבי אותו מאגר מידע.
"פרטים נוספים על סקר הסיכונים ראו להלן בפרק "יישום ההחלטה בעניין הסייבר בממשלה 34 על פי התקנות- גוף ציבורי המוסמך על פי דין לתת הנחיות בעניין אבטחת מידע.
35 על פי התקנות- תקן רשמי, תקן ישראלי או תקן בין-לאומי כמשמעותם בחוק התקנים, התשי"ג - 1953 .
, או מסמך ייחוס, שהרשם אישר לעניין זה משרד החקלאות ופיתוח הכפר | 2115 .
משרד מבקר המדינה מעיר למשרד החקלאות כי עליו לקבוע את רמת האבטחה של מאגריו כאמור לעיל, בטרם ישלים את סק ר הסיכונים שנערך לפי הנחיות יה"ב ומערך הסייבר הלאומי.
בכך יבטיח כי ככל שיש למשרד מאגרי מידע הטעונים אבטחה ברמה גבוהה כאמור בתקנות החדשות, הם ישולבו במסגרת השלמת סקר הסיכונים.
את סקר הסיכונים, לכשיושלם, יוכל המשרד להציג בפני רשם מאגרי המידע, שעשוי להכיר בסק ר כעומד בהנחיות הרשות המוסמכת, קרי יה"ב ומערך הסייבר הלאומי, ובאורח זה יוכל לפטור את המשרד מעריכת סקר סיכונים נוסף בהתאם לתקנות החדשות ובכך לחסוך במשאבים.
הכנת נוהל אבטחת מידע: בתקנות הגנת הפרטיות (אבטחת מידע) נאמר כי בעל מאגר המידע יכין נוהל אבטחת מידע בה תאם למסמך הגדרות המאגר ולתקנות, ובו יובאו הוראות בעניינים הבאים: האבטחה הפיזית והסביבתית של המאגר; הרשאות הגישה למאגר המידע ולמערכות המאגר; הסיכונים שאליהם נחשף המידע במסגרת הפעילות השוטפת של בעל המאגר; אופן ההתמודדות עם אירועי אבטחת מידע; הוראות לעניין ניהול של התקנים ניידים והשימוש בהם ועוד.
הלשכה המשפטית של משרד החקלאות מסרה למשרד מבקר המדינה בינואר 2018 כי לא הוכן במשרד נוהל אבטחת מידע בשיתוף עם הלשכה המשפטית, ויש לבדוק את הנושא ביחידה לשירותי מידע.
עד מועד סיום הביקורת במרץ 2018 לא התקבלה תשובת היחידה לשירותי מידע.
בתשובתו מיולי 2018 מסר משרד החקלאות כי הוכן ופורסם נוהל אבטחת מידע בסיסי.
נוהל האבטחה שצורף לתשובת המשרד מתמקד ב הנחיית עובדי המשרד והמשתמשים ברשת המחשוב המשרדית בנוגע לכללי הזהירות ולאמצעי המנע שעליהם לנקוט כדי להפחית את הסיכוי לפגיעה במידע, בתשתיות המחשוב ובמהלך התקין של העבודה.
הנוהל עוסק בכל הקשור בגישה לרשת המשרדית, ובכלל זה השימוש בכרטיסים חכמים, ניהול סיסמאות והגנה עליהן, התחברות לשרתי דואר אלקטרוני באמצעות מכשירי קצה, טיפול במחשבים ניידים ואחסון מידע ברשת המשרד.
משרד מבקר המדינה מעיר למשרד החקלאות כי נוהל האבטחה שצורף לתשובת המשרד הוא ברמת הרשת המשרדית כולה, ואינו בגדר תחליף לנוהל אבטחה ספציפי לכל מאגר מידע במשרד, כנדרש בתקנות הגנת הפרטיות (אבטחת מידע ).
נוהל כזה צריך לכלול מרכיבים נוספים על אלו שכולל הנוהל המצורף, ובכלל זה הסיכונים שחשוף להם המידע במאגר, אמצעי אבטחה פיזית וסביבתית ורכיבים נוספים בהתאם לרמת האבטחה החלה על המאגר.
עריכת מבדקי חדירה: במאגר מידע שחלה עליו רמת האבטחה הגבוהה אחראי בעל המאגר לעריכת מבדקי חדירה למערכות המאגר, לצורך בחינת עמידותן לסיכונים שונים, אחת ל -18 חודשים לפחות.
כן עליו לוודא שתוצאותיהם יידונו ושהטעון תיקון יתוקן.
משרד מבקר המדינה מעיר למשרד החקלאות כי עליו להקדים ולקבוע את רמת האבטחה במאגריו, וככל שיש לו מאגרים שעליהם חלה רמת אבטחה גבוהה, יהיה צורך להיערך לקיים בהם מבדקי חדירה.
מכל האמור לעיל עולה כי המשרד לא נערך בצורה מספקת ליישום התקנות החדשות.
לא נמצא כי הייתה התארגנות ברמת הנהלת המשרד להגדרת כל המאגרים הרלוונטיים במשרד, לקביעת רמת האבטחה בהם וכן לקביעת יעדי היערכות ולוחות הזמנים ליישומם.
אלו צעדים ראשוניים, שאמורים לשמש נדבך בסיסי לתוכנית עבודה שבה מיושמים אמצעי אבטחת מידע הנדרשים על פי תקנות הגנת הפרטיות (אבטחת מידע).
משרד מבקר המדינה מעיר למשרד החקלאות על שלא עשה את הצעדים הראשוניים ההכרחיים לתחילת יישומן של התקנות החדשות.
תוצאתו של דבר, שאף על פי שהתקנות החדשות נכנסו לתוקף, משרד החקלאות, שהוא הבעלים של מאגרי מידע רבים וחלקם רגישים, אינו ערוך ליישומן.
יישום ההחלטה בעניין הגנת הסייבר בממשלה במשרד החקלאות36 .
באפריל2015 כתבראש מטה הסייבר דאז למנכ"לי המשרדים שעליהם למנות ממונה הגנת סייבר במשרדיהם, וכי עליהם להיערך להקצות תקציב נפרד לסייבר בשנת 2016 .
מונה ממונה הגנת סייבר במשרד החקלאות שיהוי בביצוע סקר סיכונים: אחד מתפקידי ממונה הגנת הסייבר במשרד הוא גיבוש מדיניות הגנת הסייבר במשרד בהתאם לתהליך ניהול סיכונים ארגוני.
בישיבת הוועדה המשרדית להגנת הסייבר (להלן - ועדת הסייבר המשרדית) מאפריל 2016 נאמר שהשלב הראשון במימוש הגנת הסייבר במשרד הוא מיפוי מערכות המשרד.
שלב ז ה אמור להימשך כרבעון, ואחריו יש לערוך סקר .
36 'החלטה מס1443 מיום 15.
", "קידום אסדרה לאומית והובלה ממשלתית בהגנת הסייבר משרד החקלאות ופיתוח הכפר | 2117 .
סיכונים, שיכול להתבצע באמצעות חברה פרטית שנבחרה במכרז מרכזי שערך משרד האוצר37 .
בישיבת ועד ת הסייבר המשרדית מאוגוסט 2016 נאמר כי ה חברה הפרטית עובדת כרגע עם משרדי ממשלה אחרים, וניתן להתייעץ עמה לגבי הפורמט שבו הם משתמשים לביצוע הסקר במשרדים האחרים (על מנת לשמור על אחידות) ולהתחיל בעבודה.
בישיבה נוספת מספטמבר 2016 נאמר כי צריך להזמין את החברה הפרטית לוועדה.
בישיבה נוספת של ועדת הסייבר המשרדית מפברואר 2017 אמר מנהל יה"ב שסקר הסיכונים נקבע בהחלטת ה ממשלה כהמלצה לציבור אך כהנחיה למשרדי הממשלה, וכי ישנם משרדים שכבר עשו אותו.
עוד אמר כי לפי ת וכנית העבודה של יה"ב לשנת 2017 , יעברו עוד 15 משרדי ממשלה את התהליך.
נקבעה מתודולוגיה אחידה לתהליך וכן נקבעו החברות העתידות לבצע את סקר הסיכונים.
סקר הסיכונים של יה" ב החל באמצע שנת 2017 , וטיוטה שלו הוגשה למשרד בנובמבר 2017 .
אי-השלמת סקר הסיכונים: בטיוטת סקר הסיכונים נאמר כי לא נכללו בו הרשתות המסווגות של המשרד, יחידות הסמך שלו וממשקי עבודה חיצוניים של המשרד.
ממונה הסייבר המשרדי מסר למשרד מבקר המדינה בינואר 2018 כיצוות סקר הסיכונים מטעם יה"ב ביצע סקר הטעון השלמה.
בכוונת משרד החקלאות לגייס חברה חיצונית לביצוע ההשלמה, כמומלץ בטיוטת הסקר.
הנושא טעון אישור סופי של מנכ"ל המשרד במסגרת תקציב 2018 .
יוצא אפוא שסקר הסיכונים שבוצע לא כלל יחידות סמך חשובות.
בתשובתה מיולי 2018 מסרה רשות התקשוב הממשלתי כי סוכם מראש עם משרד החקלאות כי סקר הסיכונים לא יכלול את יחידות הסמך של המשרד.
לדברי הרשות, בשנת 2018 מתבצע סקר סיכוני סייבר במינהל המחקר החקלאי - מכון וולקני על ידי חברה חיצונית, ורשות התקשוב משתתפת במימון מחצית מעלות הסקר.
מימוש המלצות סקר הסיכונים: סקר הסיכונים כלל מיפוי וסקירה של יעדי ההגנה העיקריים ברשת הבלתי מסווגת של המשרד ומערכות המידע והתשתית הפועלות בה.
יעדי ההגנה נקבעו על ידי המשרד וכוללים מערכות, מאגרי מידע ושירותים המהותיים לתִפקודו השוטף.
עורכי הסקר בחנו את רמת הקריטיות של .
37 ,יש להבחין בין סקר סיכונים זההנערך לפי ההחלטה בעניין הגנת הסייבר בממשלה, ומיועד לטפל בסיכונים לכל מערכות ומאגרי המשרד, לבין סקר הסיכונים הנערך מתוקף תקנות הגנת הפרטיות (אבטחת מידע) החל רק על מאגרי מידע כהגדרתם לפי חוק הגנת הפרטיות ורק על כאלה שהוגדרו על פי התקנות כמאגרים ברמת אבטחה גב והה.
סקר זה אוזכר בפרק הקודם.
יעד ההגנה לארגון, כפי שעלה מראיונות עם משתמשי המערכת, וכן את רמת ההגנה הנוכחית על אותו יעד הגנה, ובהתאם קבעו ציון משוקלל המודד את דרגת הסיכון הצפויה לארגון מפגיעה באותו יעד.
מה סקר עולה שקיימות מערכות ברמת דחיפות גבוהה לטיפול, מערכות ברמת דחיפות בינונית -גבוהה, מערכות ברמת דחיפות בינונית -נמוכה וכן מספר מערכות ברמת דחיפות נמוכה .
לסקר הסיכונים צורפה המלצה לתוכנית עבודה לשנת 2018 בתחום הגנת הסייבר, הכוללת בין היתר משימות כגון אלו: כתיבת נוהלי עבודה וביצוע סקרי סיכונים ומבדקי חדירה; אבטחה ברכש ובפיתוח; הגנה על שרתים ועמדות קצה; אבטחת טלפונים סלולריים; הצפנת מחשבים ניידים; ביצוע בקרת גישה למשאבים ברשת הארגונית.
בדיון שנערך אצל מנכ"ל המשרד במרץ 2018 הוצג סקר הסיכונים ונדונה תוכנית העבודה לאבטחת מידע וסייבר.
בסיכום הדיון נאמר כי הנהלת המשרד תשקול, לאחר שתקבל תוצאות של בחינה הנעשית בנושא השירות למערכות מידע של המשרד, את תוכנית העבודה של השירות ובכלל זה את נושאי הסייבר.
עולה שאף על פי שההמלצות לפעולה בעקבות סקר הסיכונים הובאו לידיעת המשרד בנובמבר 2017 , הן נדונו אצל המנכ"ל רק במרץ 2018 .
זאת ועוד, טרם גובשה תוכנית עבודה, לא נקבע תקציב מוסכם לנושא הסייבר ולא הובהר אילו מהמלצות סקר הסיכונים לביצוע בשנת 2018 יתוקצבו ויבוצעו בשנה זו.
גם טרם הוקצה תקציב להשלמת סקר הסיכונים.
בתשובתו מיולי 2018 מסר משרד החקלאות כי אכן סקר הסיכונים שבוצע היה חלקי, כיוון שמומן מתקציב יה"ב.
עוד הוסיף המשרד כי באחד המנהלים נערכים בימים אלה לסקר סיכונים מקיף, וכי מנכ"ל המשרד אישר לאחרונה עקרונית את המשך ביצוע סקר הסיכונים בשאר יחידות המשרד.
משרד מבקר המדינה מעיר כי בנוסף לאישורים העקרוניים , השלמת סקר הסיכונים וביצוע ההמלצות של הסקר החלקי לשנים 2018 ו- 201938 צריכים להיות מעוגנים בתוכניות העבודה של המשרד והגופים הרלוונטיים בו וכן בתקציב המשרד, כדי להבטיח כי הדברים יבוצעו.
בתשובת המשרד מיולי 2018 נאמר כי במקביל לבדיקת משרד מבקר המדינה נעשה במשרד תהליך בנושאי ההגנה על הפרטיות, אבטחת המידע והגנת הסייבר, וכי המשרד מנסה בשנתיים האחרונות לשנות תהליכים ומדיניות.
בתקופה זאת מונו ועדות לנושא הסייבר, מונתה ועדה חדשה להעברת מידע בין גופים ציבוריים, התמנה ממונה אבטחת מידע והוחל בבחינת הנהלים בתחומים אלה.
עוד נאמר בתשובת המשרד כי הוא נזקק להנחיות ולהדרכה מסמכות מרכזית בנושא ההגנה על הפרטיות.
38 סקר הסיכונים כולל המלצות לתוכנית עבודה גם לשנת2019.
משרד החקלאות ופיתוח הכפר | 2119 .
משרד מבקר המדינה מעיר למשרד החקלאות כי עליו לעגן את הפעילויות הנעשות בתחומים אלו בתוכניות עבודה ולפעול ליישומן, כדי לשפר את המצב בתחומים אלה.
איוש משרת מנהל הגנת הסייבר ביחידת מערכות מידע .
ההחלטה בעניין הסייבר מפברואר 2015 קבעה כי משרדי הממשלה ימנו מנהל הגנת סייבר ביחידת מערכות מידע.
המנהל יעמוד בדרישות המקצועיות שייקבעו על ידי ועדת ההיגוי הממשלתית להגנת הסייבר, כמוגדר באותה החלטה39 .
מהתכתבות בין מנהל היחידה לשירותי מידע לסמנכ"ל משאבי אנוש במשרד החקלאות מינואר 2015 עולה, כי היחידה לשירותי מידע עסקה כבר אז בחיפוש איש מקצוע בתחום אבטחת מידע והגנת הסייבר.
מתברר כי עד אותו מועד היו כבר שני מכרזים פומביים, ולמכרז השני ניגש רק מועמד אחד, שנפסל במכרז הפומבי הראשון.
בישיבת ועדת הסייבר ה משרדית באפריל 2016 דווח כי התפקיד אינו מאויש, וכי מדובר ב תפקיד מקצועי טכנולוגי.
התפקיד הוגדר על ידי המשרד כ מיועד למכרז במסגרת של העדפה מתקנת עבור מועמד מאחד המגזרים הזכאים לכך, ובכל סבבי הראיונות לא נמצא מועמד מתאים.
מפרוטוקול ועדת הסייבר המשרדית עולה כי ביוני 2016 .
אויש התפקיד סמנכ"לית משאבי אנוש מסרה למשרד מבקר המדינה בפברואר 2018 כי בעל התפקיד פוטר לאחר תקופת ניסיון בשל אי התאמה לתפקידו.
עולה כי אף שהצורך בהעסקת עובד מקצועי בתחום הגנת הסייבר ביחידה לשירותי מידע הוכר עוד בשנת 2015 , והמשרד פעל מאז כדי לאתר עובד מתאים לאיוש התפקיד.
במועד סיום הביקורת, מרץ 2018 , אין למשרד החקלאות מנהל הגנת סייבר.
39 החלטת ממשלה2443 מ- 15.
חוק הגנת הפרטיות ותקנותיו כּוננו לפני יותר משלושה עשורים, בין היתר, כדי להגן על המידע הרגיש האגור במאגרים ולמנוע את חשיפתו לשימוש שלא על פי דין.
הביקורת העלתה כי על אף הזמן הרב שעבר, היערכות משרד החקלאות ליישום החוק לא נעשתה בצורה מספקת : לא זוהו, הוגדרו ונרשמו כל מאגרי המידע הטעונים הגנה על פי חוק הגנת הפרטיות; לא מונו בעלי תפקידים כנדרש לפי החוק ותקנותיו; תהליכי האישור והבקרה על העברת מידע בין המשרד לבין גופים ציבוריים אחרים מבוצעים באופן חלקי ולוקים בתהליך הבקרה.
ליקויים אלה בהיערכות המשרד הם הרקע לחשש שהועלה כי ביחידת הפיצו"ח נעשה בשנים 2014 - 2016 שימוש שלא כדין במאגרי מידע שהועמדו לרשותה.
בעקבות חקירה שנפתחה על ידי אגף החקירות בנש"ם הושעו שלושה עובדים ביחידה והוגשו נגדם כתבי תובענה לבית הדין למשמעת של עובדי המדינה.
במאי 2018 ,)נכנסו לתוקף תקנות הגנת הפרטיות (אבטחת מידע התשע"ז-2017 , הכוללות הוראות מפורטות ליישום אבטחת מידע במאגרי מידע.
ואולם, המשרד לא נערך ליישום התקנות כיאות ובשל כך לא יישם אותן באופן מספק, אף שנקבעה תקופת היערכות של שנה עד כניסתן של התקנות לתוקף כדי לאפשר לגופים במשק ליישמן.
על מנכ"ל המשרד לפעול ליישום חוק הגנת הפרטיות ותק נותיו בהקדם האפשרי.
במסגרת זו, עליו להפוך את הטיפול בהגנת הפרטיות לשגרה מחייבת במסגרת פעילות המשרד בכלל והפעילות להגנת הסייבר ונכסי המידע של המשרד בפרט.
התנהלות משרד החקלאות המתוארת בדוח, שגרמה לכך שההיערכות הארגונית ליישום החוק במשרד הייתה חלקית, עלולה להיווצר גם בגופים ציבוריים אחרים.
על הרשות להגנת הפרטיות לתת את דעתה לנושא ולבחון אם יש צורך בשינויים בתחום, ובכלל זה הגדרה ברורה יותר של תכולת כל אחד מהתפקידים המוגדרים בחוק ה גנת הפרטיות ובתקנותיו והגברת האכיפה בתחום.
חוק שירות המדינה (סיוג פעילות מפלגתית ומגבית כספים), התשי"ט -1959 (להלן- חוק הסיוג), אוסר על עובד מדינה להתרים כספים ולגבות או לקבל כספים שנתרמו למטרה מסוימת, זולת לאוצר המדינה ובתוקף תפקידו.
הממשלה רשאית להתיר גיוס וקבלה של כספים למטרה ציבורית בדרך כלל או למקרה מסוים ולפרסם את ההיתר ברשומות.
ההגבלות המוטלות על עובד מדינה לקבל תרומות כאמור עוגנו ג ם בהוראות תקנון שירות המדינה (להלן - התקשי"ר)8 .
בנוהלי משרד החוץ (להלן גם - המשרד) הוחל איסור זה לא רק על עובדי המשרד בארץ אלא גם על נציגויות ישראל בחו"ל.
תקנון שירות החוץ (להלן גם - התקנון) אוסר על הנציגויות בחו"ל לקבל כספים ממקורות חיצוניים לשם מימון פעילותן השוטפת או לשם ביצוע פעולות כלשהן9.
", למעט לצורך מימון אירועי יום העצמאות ו"אירועי שנת היובלות התנאים לגיוס תרומות למימון אירועים אלה הוגדרו בנוהל ייחודי מנובמבר 2017 .
ההגבלות על קבלת מימון חיצוני לפעילות המשרד נועדו למנוע פגיעה בטוהר המידות וקבלת טוב ות הנאה, למנוע חשש לניגוד עניינים והשפעה פסולה ולשמור על סדרי מינהל תקין.
ההגבלות האמורות הורחבו גם לגבי מתן תמורה בגין התרומות.
הנחיית היועץ המשפטי לממשלה בנושא "מתן חסות על ידי עובדי ציבור"10 (להלן- הנחיית היועמ"ש) אוסרת על עובד ציבור לעשות מעשה העשוי ליצור רושם כי הוא או המשרד הממשלתי שאליו הוא משתייך תומך בגוף חיצוני או בפעילות שהוא עורך או שפעילות זו נעשית מטעמם או באישורם (להלן - מתן חסות).
האיסור על מתן חסות כולל, בין היתר, הטלת מגבלות אישיות על השתתפות באופן פעיל בפעילויות אלה (כגון, נשיאת דברים באירוע), בין באופן קבוע ובין באופן זמני או חד-פעמי.
ההנחיה האמורה, שעוגנה בתקשי"ר 11, וכן הוראת תקנון כספים ומשק (להלן - תכ"ם) בנושא "פרסומת מסחרית, חסות ממשלתית והשתתפות משרדי ממשלה בכנסים"12 מסדירות את הליך האישור להשתתפותם של משרד ממשלתי ושל עובד ציבור לפעילויות כאמור ואת תנאיו של האישור.
תוכנית העבודה של משרד החוץ לשנת 2017 כוללת פעילויות לציון אירועי מפתח בתולדות התנועה הציונית לכבוד אירועי שנת היובלות13.
במסגרת זו התקיים בנובמבר 2017 בניו יורק אירוע מיוחד לציון שנת השבעים להחלטה ההיסטורית על החלוקה שקיבלה העצרת הכללית של האו"ם ב - 29.
13 120 ,שנה לקונגרס הציוני הראשון100 ,שנה להצהרת בלפור70 שנה להחלטת החלוקה ו-50 ,שנה למלחמת ששת הימים.
ראו משרד ראש הממשלה ספר תכניות העבודה לשנים 2017 -8 (מרץ2017.
) 882 |דוח שנתי 69ב .
באותה עת כיהן בתפקיד שגריר ישראל למוסדות האו"ם בניו יורק, מר דני דנון (להלן - השגריר באו"ם).
בדצמבר 2017 התפרסמה במרשתת כתבה על אודות קיום אירוע כ"ט בנובמבר (להלן - הכתבה במרשתת).
באותה עת הגישה חברת הכנסת קארין אלהרר למבקר המדינה תלונה בנושא "תחקיר אתר החדשות 'וואלה' אודות גיוס תרומות ואי תאום עם משרד החוץ עבור אירוע 70 שנים לכ"ט בנובמבר, המשלחת הישראלית לאו"ם בראשות השגריר מר דני דנון" (להלן - התלונה).
בחודשים פברואר עד יולי 2018 בדק משרד מבקר המדינה במשרד החוץ את נושא קבלת התרומות ומתן החסויות על ידי נציגויות ישראל בחו"ל.
הביקורת עסקה בעניינים אלה: קבלת תרומות המיועדות לנציגויות בחו"ל; מתן חסויות של הנציגויות לפעילויות של גופים חיצוניים בחו"ל; וקבלת תרומות ומתן חסויות לשם קיום אירועים מיוחדים בחו"ל.
במסגרת זו נבדקה התלונה בעניין אירוע כ"ט בנובמבר.
בדיקות השלמה נעשו במשרד האוצר ובמשרד המשפטים.
קבלת תרומות המיועדות לנציגויות בחו"ל .
ככלל, תקנון שירות החוץ אוסר על הנציגויות בחו"ל לקבל תרומות כספיות למימון פעילות שלא הותרה בנוהל מיוחד שאישרה הממשלה.
ממסמכי מחלקת ייעוץ וחקיקה במשרד המשפטים ואגף משפט במשרד החוץ אף עולה כי כל תרומה עבור משרד ממשלתי ייעודי (להלן - תרומה ייעודית) - אסור לקבלּה, אלא אם כן אושרה על ידי הממשלה14.
באוגוסט2003 מינה היועץ המשפטי לממשלה דאז ועדה בין-משרדית להסדרת הליך קבלת תרומות ייעודיות.
הוועדה גיבשה טיוטת נוהל הקובעת את אופן קבלת התרומות.
בטיוט ה נקבע כי לקבלת התרומות נדרש אישור ועדות משרדיות ּוועדה בין-משרדית במשרד האוצר, ולגיוס תרומות מעל סכום מסוים נדרשת החלטת ממשלה.
בדצמבר 2007 הוגשה טיוטת הנוהל למנכ"ל משרד ראש הממשלה דאז לשם הבאתה לאישור הממשלה.
בתחילת שנת 2008 הפיץ משרד הממשלה את טיוטת הנוהל למשרדי הממשלה במסגרת הצעת החלטה לממשלה.
בסופו של דבר, ההצעה האמורה לא הובאה לפני הממשלה.
בשנת 2015 קבע היועץ המשפטי לממשלה דאז מדיניות חדשה ולפיה משרד המשפטים רשאי להכריע בבקשות לקבלת תרומות שאין ולא יכולה להיות להם כל השפעה ממשית על תקציב או על פעילות המשרד או היחידה הממשלתית הרלוונטית.
בהתאם לזאת, בקשות של גופים ממשלתיים שונים לקבל תרומות בשווי של עד 100,000 ש"ח נבחנוואושרו במשרד המשפטים בכפוף לעמידה בתנאי טיוטת הנוהל הבין-משרדי האמור.
מדיניות זו לא עוגנה בהוראת נוהל מפורשת.
באוגוסט 2015 כתב נציג היועץ המשפטי במשרד לוועדת המתנות: "מעתה ועד שלא יוסדר הנושא באגף משפט.
אנו לא יכולים לקבל תרומות".
לדוגמה, ביוני 2016 ביקשה הקונסוליה בסן פרנסיסקו מאגף כספים במטה המשרד אישור לקבל תרומה בסך 20,000 .
דולר עבור אירוח משלחת בארץ סגנית חשבת המשרד הפנתה את הבקשה למחלקת עיזבונות באפוטרופוס הכללי, המטפלת בתרומות למדינה.
ואולם לדברי סגנית החשבת נאמר לה כי המחלקה מטפלת "רק בתרומות כלליות למדינת ישראל ולא בתרומות למשרדים ספציפיים".
בפנייתה לנציג היועץ המשפטי במשרד כתבה הסגנית: "עניין זה מציב את המשרד בפני שוקת שבורה, כאשר אין ביכולתנו לקבל את הסכום האמור בנסיבות העניין, מאחר שלא ניתן להעביר את התרומה באמצעות האפוטרופוס הכללי".
14 זאת לאחר התייעצות עם משרד האוצר ולאחר שהיועץ המשפטי למשרד הרלוונטי, בתיאום עם היועץ המשפטי לממשלה, בחן את התרומה בהיבט של טוהר מידות.
בתגובתו על ממצאי הביקורת מדצמבר 2018 כתב משרד החוץ כי בנסיבות המתוארות לעיל ניצבות הנציגויות בחו"ל "בפני שוקת שבורה", מאחר שהן אינן רשאיות לקבל אפילו תרומות פחותות ערך.
בינואר 2019 כתב משרד המשפטים למשרד מבקר המדינה כי מחלקת ייעוץ וחקיקה במשרד המשפטים מאשרת מדי שנה בקשות לקבלת תרומות בסכום שאינו עולה על 100,000 ש"ח בהתאם לאמות המידה שנקבעו בטיוטת נוהל התרומות, הגם שנוסחו עדיין "לא הבשיל לכדי נוהל סופי ומוסכם.
ומשכך אף לא אומץ על ידי הממשלה".
אי לכך, עומדת בידי משרד החוץ הדרך לקבל גם תרומות המוגדרות כפחותות ערך.
נמצא כי מדיניות משרד המשפטים שהוחל ביישומה משנת 2015 ואילך, לאשר בתנאים מסוימים קבלת תרומות בסכום של עד 100,000 ,ש"חלא פורסמה בנוהל מחייב ולא שוקפה ב מפורש למשרד החוץ.
בתגובה משלימה מפברואר 2019 כתב משרד המשפטים, כי הגם שמדיניותו האמורה לא פורסמה ולא נמסרה למשרד החוץ, היה על המשרד ללמוד על האפשרות לאשר בקשה לקבלת תרומה מטיוטת הנוהל הבין -משרדי שהופצה לכלל משרדי הממשלה כבר בשנת 2008 .
עם זאת וככל שהנוהל האמור לא ייכנס לתוקף בזמן הקרוב, יבחן משרד המשפטים "באם יש מקום להפיץ לכלל משרדי הממשלה" את מדיניותו בנוגע לאישור קבלת תרומות בסכום מוגבל כאמור.
בדצמבר2016 פנתה נציגת מחלקת ייעוץ וחקיקה במשרד המשפטים לגורמים הרלוונטיים במשרדי הממשלה, לרבות משרד החוץ, בבקשה "לקדם שוב את התהליך להשלמת גיבושו של נוהל לאישור קבלת תרומות למשרדי הממשלה ויחידותיה".
בינואר 2017 כתבה המשנה ליועץ המשפטי של משרד החוץ לסמנכ"ל למינהל של המשרד כי "עד היום, לא הצליחו משרדי הממשלה להסכים על נוסח הנוהל" (ההדגשה במקור).
בתגובתו על ממצאי הביקורת כתב משרד החוץ, כי במאי 2018 הועברה לו טיוטת הנוהל לאישור קבלת תרומות במשרדי הממשלה.
נוהל זה קובע בין היתר כי לקבלת תרומות כאמור נדרש אישור מחלקת ייעוץ וחקיקה במשרד המשפטים, ואולם נוהל זה טרם אושר וטרם נכנס לתוקף כאמור.
בפברואר 2019 הודיע משרד המשפטים למשרד מבקר המ דינה כי בעת הזאת הוא פועל "ללא לאות במטרה להביא את טיוטת הנוהל הסופית.
כ-16 שנה לאחר מינוי .
לנציגויות בחו"ל לקבל .
בפברואר 2019, כ -16 שנה לאחר מינוי ועדה בין -משרדית להסדרת הליך קבלת התרומות הייעודיות, עדיין לא הביא משרד המשפטים לאישור הממשלה נוהל שייקבע את התנאים שיאפשרו, בין היתר, לנציגויות בחו"ל לקבל תרומות לצורך קידום פעילותן.
הוראות חוק הסיוג והתקשי"ר אינן עוסקות בקבלת תרומות שאינן כספיות15 על ידי גופים ממשלתיים.
גם תקנון שירות החוץ, המחיל את הוראות החוק והתקשי"ר על הנציגויות בחו"ל, אינו קובע הוראות מפורשות לגבי תרומות שאינן כספיות.