HeTree/MevakerConcSen huggingface dataset:
לדברי ראש תחום כספים באגף מידע , במערכת קיים מרכז מידע בנושא חובות דח"ש ו"לאחראי גבי יה ישנה גישה למאגר זה".
התברר כי מרכז המידע הקיים מיושן ונותן מידע חלקי בלבד; לדוגמה, הוא לא כולל חובות שאינם בנושא דמי חכירה שנתיים וגם לא את גיל החובות.
הממונה הארצית לגבייה עזבה את המינהל ב - 2007 .
ומשרתה טרם אוישה מבירור שעשה משרד מבקר המדינה עולה, כי בסוף 2010 הופעלה גרסה ראשונה של מרכז המידע בנושא חובות דח"ש, אך טרם פותחו בו נושאים עיקריים כגון חובות שאינם חובות דח"ש וגיול חובות.
משרד מבקר המדינה העיר למינהל כי עליו לפעול לזירוז הפיתוח של מרכז המידע.
כמו כן עליו למנות לאלתר אחראי ארצי לגביית חובות, ולחדש את התכנית לגביית החובות תוך שימוש במרכז המידע החדש.
עוד העיר משרד מבקר המדינה כי ניהול החובות חייב להיות מעודכן ולשקף את מצבם האמִתי.
שדרוג ניהול החובות במערכת עכ"א הוא חיוני ועשוי לתרום לשיפור הגבייה של המינהל.
דוח "גיול חובות" : דוח זה מציג את חשבונות החייבים לפי משך הזמן שהחוב קיים ("גיל החוב").
לבקשת משרד מבקר המדינה, הפיק המינהל דוח גיול חובות.
עולה ממנו כי יותר משני שלישים מהתיקים של החייבים במינהל (כ-71% ) הם תיקים שבהם רשומים חובות של חוכרים בני יותר משבע שנים, שהם כ-80% .
מכלל החובות מהדוח עולה כי ב-645 תיקים נרשם שחובות החוכרים הם בני60 עד99 .
שנה מבדיקת שני תיקים שבכל אחד מהם היה החוב הרשום כבן 90 שנה, התברר שגיל כל חוב היה כמחצית השנים שנרשמו בדוח.
הדבר מעורר ספקות בנוגע לאמינות הנתונים הרשומים במערכת.
19 חוב אבוד הוא חוב כספי שבעליו סבורים כי לא יצליחו לגבותו, לדוגמה: חוב של חייב שננקטו לגביו הליכי הוצאה לפועל או שהוכח שהחייב נפטר ובעיזבונו אין רכוש בר- מימוש בארץ.
בתשובתו מנובמבר 2010 הסביר המינהל כי שנות החובהחריגות נקבעו במקרים שבהם הייתה התערבות של פקיד בעדכון ידני של יתרת הדח"ש ללא עדכון מכסת הדח"ש ובתיקים ישנים מאוד שבהם חסר לעתים תאריך רכישת הזכויות והוא מאופס.
משרד הבינוי והשיכון 739 .
משרד מבקר המדינה העיר למינהל כי ריבוי הנתונים השגויים הרשומים במערכת ובדוחות המופקים על ידה מחייב, מחד גיסא, את צמצום מספר מקרי ההתערבות ידנית בבסיס הנתונים, ומאידך גיסא - בחינה לוגית של המערכת הקיימת עד שדרוגה או החלפתה למניעת כשלים כגון איפוס תאריכים בצורה אוטומטית, ללא התרעה על חריגים.
כדי לשפר את המעקב אחר חובות החוכרים על המינהל להשתמש בדוח גיול חובות תקופתי.
התברר שהמינהל אינו נוהג להפיק דוח כזה, אף שקיימת אפשרות טכנית להפקתו.
כתוצאה מכך אין למנהל המינהל, לאחראי הגבייה או לחשב המינהל מידע על התפתחות החובות.
כמו כן אין מפיקים במינהל דוחות חיוניים למעקב אחר הגבייה כגון דוח שמרכז את סכומי החובות והתפלגותם.
יצוין כי בביקורת שעשה במינהל ב -2003 המליץ החשכ"ל לספק לאחראית הגבייה הארצית מחולל דוחות שיאפשר לה להפיק בעצמה דוחות גבייה שונים ולעדכנם.
משרד מבקר המדינה העיר למינהל כי עליו לשפר את פעולות המעקב והבקרה על מצב החובות וגילם.
יש להפיק דוחות אלו באופן קבוע, לנתח את הנתונים שנמצאים בהם ולקבל החלטות בדבר מדיניות הגבייה ותכנית הגבייה.
המינהל לא עשה פעולות אלו ומן הראוי לקיימן כחלק מתהליכי העבודה שלו.
עסקות פטורות ממכרז: המינהל מקצה מקרקעין בשלוש דרכים עיקריות20: במכרז, בהרשמה ובהגרלה או ללא מכרז.
הקצאת קרקע ללא מכרז נעשית בהתאם לחוק חובת מכרזים , התשנ"ב- 1992 , .
והתקנות שהותקנו על פיו על פי תקנות חובת המכרזים, התשנ"ג-1993 , התקשרות של המינהל לביצוע עסקה במקרקעין של המדינה, של רשות הפיתוח או של קרן קיימת לישראל אינה טעונה מכרז כאשר נושא ההתקשרות הוא אחד מאלה: הענקת זכויות במקרקעין למי שהוא בעל זכויות באותם מקרקעין או למי שיורה בעל הזכויות להעניקן; לעניין זה, "בעל זכויות במקרקעין" - הוא צד לחוזה פיתוח, לחוזה חכירה או לחכירת משנה לתקופה של עשרים ואחת שנים לפחות; מי שזכאי כדין להיות צד לחוזה כאמור; וכן מי שהיה צד לחוזה כאמור או מחזיק במקרקעין באופן רצוף עשר שנים לפחות בהסכמת המינהל.
על פי נוהל של המינהל שפורסם באוקטובר 2006 , לאחר אישור המפרט הכספי על ידי היזם - יקלוט המחוז את העסקה במעמד אישור סופי.
ביום זה תקבל העסקה תוקף ויישלח ליזם שובר תשלום ובו יינתנו לו 60 יום לתשלום מיום תוקף העסקה.
אם לא תתקבל תגובת היזם למפרט הכספי בפרק הזמן שהוקצב לכך, או אם לא ישולם שובר התשלום בתוך 60 יום לאחר אישורה הסופי של העסקה, היא תבוטל, והמערכת תנפיק ליזם הודעה על כך.
לבקשת משרד מבקר המדינה הפיק המינהל דוח על עסקות בפטור ממכרז בשנים 2007-2010 שבהן הסתיימ ה הארכה שניתנה לתשלום.
מהדוח עולה כי היו יותר מ-1,300 עסקות פטורות ממכרז שלגביהן חלפה יותר משנה מאז הסתיימה הארכה לתשלום, ולגבי כ-800 ,מהן אף חלפו שנתיים.
למרות שעל פי הנוהל עסקות אלה היו אמורות להתבטל מאחר שלא שולם עבורן שובר התשלום בתוך 60 .
יום מיום תוקף העסקה, במערכת הממוחשבת הן לא בוטלוסכום החובות בגין .
01 בנושא הכנת עסקה שפורסם באוקטובר2006.
עסקות אלה היה יותר מ-442 מיליון ש"ח; ב-152 עסקות היו דמי החכירה בכל עסקה גבוהים מחצי מיליון ש"ח, וסכומן המצטבר היה כשני שלישים מהסכום הכולל של החוב.
משרד הבינוי והשיכון 741 .
משרד מבקר המדינה העיר למינהל כי ראוי שיעשה שימוש במערכת המידע שברשותו המאפשרת קיום מעקב ובקרה.
על המינהל לבנות תכנית גבייה ולהפיק דוחות מעקב שיאפשרו לו לשפרה.
העברת זכויות לחייבים : העברת זכויות משמעותה העברת זכות חכירה במקרקעין בשלמותה או בחלקה או הסבתה בדרך כלשהי לאחר, בתמורה או ללא תמורה.
על פי נוהלי המינהל, העברת זכויות חכירה כרוכה בתשלום דמי הסכמה21 אלאאם כן שולמו דמי היוון; העברת זכויות בקרקע של חוכר לחוכר אחר טעונה הסכמת המינהל, והיא נעשית בתנאי שלחוכר אין כל חובות כלפי המינהל.
הבדיקה העלתה כי על פי הנתונים שבמערכת הממוחשבת, בין ינואר 2005 למאי 2010 העביר המינהל זכויות של12,573 חוכרים למרות שסכום החובות שלהם למינהל הסתכם בכ-252.
1% מהמקרים האמורים הועברו זכויות אף שלחוכרים היה חוב גדול למינהל - מ-100,000 עד13 מיליון ש"ח- ובסה"כ כ-196 מיליון ש"ח שהם 78% מכל החובות בתיקים אלה.
עוד העלתה הבדיקה כי רוב התיקים (38 ) שבהם היה החוב גדול ממיליון ש"ח היו במחוז המרכז.
בתיקים אלו הסתכם החוב ביותר מ -114 מיליון ש"ח.
לדוגמה: המינהל השלים את העברת הזכויות בקרקע של חברה ב' לחברה ג' על אף חוב למינהל של 1.
לדעת משרד מבקר המדינה, על המינהל לשפר את הפיקוח והבקרה של עובדיו בתחום זה ולהיעזר במערכת הממוחשבת לבקרה שוטפת.
כמו כן עליו לשלב פעולות בקרה ממוחשבות בתהליך מתן האישורים ולנקוט את כל האמצעים הדרושים למניעת הישנות תופעות כאלה.
אישור תשלום דמי היוון: דמי היוון הם תשלום חד-פעמי מראש של דמי החכירה השנתיים, והם מחושבים לפי תקופת החכירה, שיעור דמי החכירה וריבית הניכיון.
הביקורת העלתה, כי המינהל אינו מפיק באופן שוטף דוחות שבהם נתונים על נכסים שהוונו למרות שדמי היוון לא שולמו או שולמו רק באופן חלקי.
לבקשת משרד מבקר המדינה, הפיק המינהל דוח כזה לתקופה ינואר 2005- אפריל 2010 , וממנו עולה כי מ-2,017 חוכרים שקיבלו אישור על תשלום דמי היוון- 592 (כ-29% ) לא שילמו אותם כלל, והאחרים שילמו רק חלק מהם.
התברר כי ההפרש שבין סכום ההיוון שנקבע לבין התשלום בפועל היה כ-21.
לפי הנתונים שבדוח, רשם המינהל נכסים כנכסים מהוונים למרות שלא שולמו עבורם דמי היוון.
בשני מקרים שנבדקו שולמו דמי ההיוון - בניגוד לנתונים שבדוח.
נתון זה מעורר ספקות באשר למהימנות נתוני הדוח.
משרד מבקר המדינה העיר למינהל כי עליו לשפר את מערכות המידע שברשותו כדי שיוכל להקפיד על מעקב ובקרה על החובות האמורים.
מידע זה חייב להיות זמין בעת קבלת ההחלטות על מתן אישור ההיוון, ובכל מקרה יש להשתמש בו לקביעת תכנית גבייה של חובות אלו, לרבות קביעת יעדי גבייה תקופתיים.
21 :דמי הסכמההסכום שעל מעביר הזכויות לשלם למינהל בגין עליית ערך הקרקע .
חייבים: מדוח חייבים במערכת עכ"א של חובות דח"ש עולה כי ביולי 2010 היו 68,226 תיקים של49,014 חייבים.
על פי הדוח, החוב הסתכם בכ-1.
57 מיליארד ש"ח - סכום הגבוה ביותר מ-50% מחובות הדח"ש שצוינו בדוחות האחרים של המינהל (כמיליארד ש"ח).
בין החובות היו "חובות מומלצים למחיקה" של כ-87 מיליון ש"ח.
ב-283 תיקים לא צוין שם בעל הנכס והחובות שצוינו בהם הסתכמו בכשני מיליון ש "ח.
נמצא כי דוח החייבים במערכת עכ"א כולל חובות שהושמטו בדוחות אחרים.
כמו כן היו אי -התאמות בין הדוחות לבין הנתונים במערכת.
העובדה שבשני מאגרי מידע של המינהל נמצאים נתונים שיש ביניהם הבדלים ניכרים בנוגע לסכו מי חובות הדח"ש מעוררת ספקות בנוגע למהימנותם.
משרד מבקר המדינה העיר למינהל כי עליו לדאוג לכך שנתוני חובות הדח"ש הרשומים במאגריו יהיו זהים בכל המאגרים.
עסקות המאושרות ב"מסלול ירוק" : עסקות המאושרות ב"מסלול ירוק" הן עסקות שוועדת עסקות מחוזית מעבירה לוועדת עסקות ארצית כיוון שאינן בסמכותה, או עסקות שהן בסמכותה אך היא מצאה לנכון להעבירן לוועדת העסקות הארצית.
ועדת עסקות ב"מסלול ירוק" מטפלת גם במתן ארכה לתשלום של עד עשר שנים (כולל) לבנייה שאינה צמודת קרקע.
הוועדה מתכנסת פעם בשבוע ומאשרת בממוצע 12 עסקות בפגישה- והחלטותיה אמורות להתפרסם במערכת מידע "החלטות".
נמצא כי במערכת רשומות החלטות שהתקבלו בשבעה חודשים בלבד - מספטמבר 2008 עד מרס2009 - ומאז ועד מועד סיום הביקורת, אוגוסט2010 , לא נרשמו בה כל סיכומי החלטות.
יצוין כי מאפריל 2009 ועד אוגוסט2010 התקבלו71 החלטות בנושא, שלא נרשמו במערכת.
משרד מבקר המדינה העיר למינהל כי אי-רישום ההחלטות במערכת פוגע בבקרה ובפיקוח של ממלאי תפקידים במינהל שאמורים להיעשות לפי ההחלטות של ועדת עסקות ב"מסלול ירוק".
יש להקפיד על רישום מדויק של ההחלטות ולהשלים את רישום ההחלטות שהתקבלו.
אבטחת מידע במינהל התפתחות עולם המחשבים מאפשרת לאחסן בהם מידע רב.
במערכת עכ"א נמצא מידע רב על נכסי המדינה ועל חוכריה, ואי-הקפדה על אבטחת המידע עלולה לגרום לפגיעה בנכסי המדינה ובזכויות החוכרים.
היות שמאגרי מידע מכילים פרטים אישיים, עלולה להיגרם פגיעה בפרטיות האדם אם הנתונים נמסרים לאדם אחר, ולכן יש לאבטח את המידע.
במערכות ממוחשבות המידע מאובטח בשתי שיטות מקבילות ומשולבות: אבטחה פיזית הכוללת פעולות שיש לבצע בחמרה ובתשתיות כדי למנוע פגיעה פיזית במאגר המידע, ואבטחה לוגית על ידי הפעלה של מנגנוני תכנה ייעודיים כמו שם משתמש וססמה המוזנים כתנאי כניסה למחשב.
אמצעי בקרה מקובלים אחרים הם, בין היתר, הפרדת סמכויות; ניהול הרשאות גישה; הצפנת המידע וניתוק אוטומטי של מסופים כשאינם בשימוש.
משרד הבינוי והשיכון 743 .
עכ"אהיא מערכת מקוונת 22 הפועלת בכל המחוז ות ו משמשת לניהול עסקות ופעולות כספיות.
במערכת מותקנים מאגרי מידע כמשמעותם בחוק הגנת הפרטיות, התשמ"א -1981 (להלן- חוק הגנת הפרטיות ), המכילים נתונים על זהותם של חוכרים, על זכויותיהם במקרקעין, על תשלומיהם ו על חובותיהם למינהל.
נתונים אלה הם בחלקם בגדר "מידע רגיש" 23 כמשמעותו בחוק הגנת הפרטיות.
לפי חוק הגנת הפרטיות אבטחת מידע היא "הגנה על שלמות המידע, או הגנה על המידע מפני חשיפה, שימוש או העתקה, והכול ללא רשות כדין".
החוק מטיל על בעל מאגר המידע את החובה להגן עליו.
אבטחת מערכת מידע כספית מקוונת אמורה גם למנוע טעויות או שימוש לרעה.
ככל שגדל מספר המשתמשים במערכת, יש להגביר ולשכלל את אמצעי האבטחה שלה ואת בקרת הגישה אליה.
כמו כן יש למנוע שימוש לא מורשה במערכת וחדירה לא מורשית אליה ולהתקין אמצעים לגילוי ניסיונות לפעולות כאלה.
הממונים על הפעלת עכ"א חייבים להקפיד על יישום הוראות הדין והנהלים בעניין בקרה ואבטחה - על הגישה למערכת להיות מבוקרת כיאות כדי למנוע גישה לתכניות ולנתונים ממי שאינם מורשים לכך ; כדי להבטיח את תקינות פעולות המינהל והטיפול בלקוחותיו ולמנוע ניצול לרעה של המערכת הממוחשבת על ידי חיובים וזיכויים בידי מי שאינם מוסמכים לכך; כדי למנוע רישום לא נכון של זכויות בקרקעות ועוד.
מנגנון פיקוח ובקרה ראוי חייב לכלול מחויבות לאיתור הליקויים ותיקונם בכמה שלבים - ביקורת, דיון בתוצאותיה, החלטה על אימוץ המסקנות וההמלצות, תיקון ליקויים ווידוא שאכן תוקנו.
הכנת דוחות והזמנת מומחים מחייבת נכונות להשתמש במסקנות בדרך שתבטיח את שמירת המידע והגנתו.
הביקורת העלתה כי מ - 1998 עד 2009 ,בדקו משרד מבקר המדינה היחידה לביקורת של החשכ"ל, יחידת הביקורת הפנימית במינהל וחברה א' את מערכת עכ"א בכלל ואת בקרת הפעולות בפרט, וכן את אבטחת המידע במינהל.
הבודקים העלו ממצאים והמליצו המלצות, אך הנהלת המינהל לא יישמ ה את רוב ההמלצות ולא תיקנה את רוב הליקויים, ולמעשה - המצב במינהל לא השתפר.
התמונה המצטיירת היא כי הושקעו במינהל משאבים רבים בביקורות חוזרות ונשנות, אך בממצאיהן נעשה שימוש מועט.
להלן פרטים: סקר סיכונים על פי נוהל מפת"ח, נועד סקר סיכונים לזהות סיכונים לנכסי המידע ולמערכות המחשב של הארגון בהתבסס על איומים ידועים, על חולשות במערכות ועל אמצעי אבטחה קיימים.
לאחר זיהוי הסיכונים מעריכים את השפעתם על ה דרישות העסקיות של הארגון מהיבטים של אמינות ( Integrity), חיסיון ( Confidentiality ( ) וזמינות Availability )של המידע.
במסגרת התהליך נקבע סדר עדיפויות ( Prioritization ) של הנכסיםלפי ערכם העסקי ורמת .
22 ( מערכת מקוונת( On line - היא מערכת ממוחשבת שבה עיבוד התנועות מקוון, ז"א הן מעובדות ישירות בידי המשתמשים העובדים עם המערכת באופן אינטראקטיבי.
23 מידע רגיש - לפי חוק הגנת הפרטיות, מידע רגיש כולל "נתונים על אישיותו של אדם, צנעת אישותו, מצב בריאותו, מצבו הכלכלי, דעותיו ואמונתו" וכן מידע ששר המשפטים קבע בצו באישור ועדת החוקה חוק ומשפט של הכנסת שהוא מידע רגיש.
בעקבות הדוחות של מבקר המדינה והדוח "בקרת פעילויות חריגות" שהכינה בשנת 1998 מנהלת האגף לביקורת פנים במינהל ובשל העובדה ש הטיפול באבטחת מידע במינהל לא נבחן תקופה משרד הבינוי והשיכון 745 .
ארוכהבידי גורם חיצוני - החליט המינהל להתקשר בשנת 2000 עם חברה א' והזמין אצלה סקר סיכונים לאבטחת מידע.
הסקר הוגש למינהל בדצמבר 2000 :.
להלן ממצאיו העיקרייםאבטחת המידע במינהל מנוהלת באופן מבוזר בין גורמי התכנון, הביצוע והפיקוח; אין במינהל מסמך המגדיר את מדיניות האבטחה הנחוצה; לא מתקיים דו-שיח בנושא אבטחת מידע עם שאר גורמי המינהל, והוא נתפס כעניין טכני בלבד שהוא בתחומו הבלעדי של אגף מידע; הממונה על אבטחת המידע במינהל כפוף לראש אגף מידע ומטפל בנושאים שוליים ב תחום; האחריות לאבטחת המידע, לססמאות או להרשאות היא בידי איש המערכת (ה- System ;) איתור ורישום של חריגים (בקרת פעילויות) ככלי לגורמי ניהול במינהל אופיין ונכתב בידי אגף מידע בלבד; מרכיבי פיקוח ובקרה מחולקים על פי נוהל אבטחת מידע בין גורמים מקצועיים באגף מידע , קצין אבטחת מידע ומנהלי מחוזות; מנהלי המחוזות מתקשים להשתמש בכלי הפיקוח, ולפיכך רבים מהם מתעלמים ממנו; למרות שמאגרי המידע במינהל כוללים מידע רגיש, אין אחראי לטיפול בתרחישים שונים הדורשים כלים ממו חשבים ל אבטחת המידע לצורך הטיפול בהם.
בעקבות הסקר המליצה חברה א' להנהלת המינהל לנקוט את הפעולות הבאות: הגדרת מדיניות לאבטחת מידע במינהל שתאושר ותאומץ על ידי הנהלתו; קביעת אחראי לאבטחת מידע שתהיה לו ה סמכות המתאימה ויסופקו לו האמצעים הנדרשים לביצוע תפקידו על פי יעדי אבטחת המידע שייקבעו במינהל; הרחבת אחריותו של קצין הביטחון גם לתחום של אבטחת מידע ושקילת האפשרות כ י האחריות להגדרת הדרישות, להכוונה ולפיקוח ובקרה תוטל עליו ; הגדרת פרויקט ליישום, פיקוח ובקרה על חריגים כדי לזהות מאפייני שימוש בלתי-מוסמך במערכות המידע ושיתוף המנהלים והעובדים המשתמשים במערכות בפרויקט זה; הגדרה מחודשת של האחריות והסמכויות של הגורמים הנוטלים חלק באבטחת מאגרי המידע ומערכות התקשוב במינהל בכל התחומים הרלוונטיים; ביצוע פרויקט ארגון ושיטות יחד עם מנהלי המחוזות שבו יוגדרו דרישות השימוש של בעלי התפקידים השונים במשאבי המערכת , ובהמשך - בניית מערך מעודכן של פרופילי משתמשים.
הביקורת העלתה כי למרות הנחיצות שביישום המלצות חברה א ' לפעילותו התקינה והיעילה של המינהל - רובן לא יושמו.
חלק ניכר מן הליקויים שצוינו היו קיימים גם בזמן הביקורת.
עוד העלתה הביקורת כי מאז שנת 2000 לא עשה המינהל סקר סיכונים נוסף ולא נקבע אחראי לאבטחת המידע, כנדרש.
מדיניות אבטחת המידע החלטת הממשלה24 בנושא "הקמת מערכות ממוחשבות" משנת1997 קובעת שתכנית העבודה של ועדת ההיגוי לענייני מחשוב בכל משרד תכלול, בין היתר, את קביעת מדיניות אבטחת המידע ; את ה סיווג ו המיפוי של "המידע הרגיש"; את אישור תכנית אבטחת המידע של המשרד ותקצובה ומעקב אחר יישו מה.
המועצה המייעצת לביקורת ולאבטחת מידע שבאגף בכיר לביקורת המדינה וביקורת פנימית במשרד ראש הממשלה פרסמה בספטמבר 2005 "נוהל מסגרת .
24 /החלטה מס' בק9 מ- 20.
לאבטחת מידע" (להלן - נוהל המסגרת) שבו 38 נהלים ופירוטהעקרונות והכללים לאבטחת מידע במשרדי הממשלה.
הוא כולל את הפרקים האלה: קביעת מדיניות ומיפוי מידע; הגורם האנושי ואבטחת המידע; אבטחה לוגית; משרד הבינוי והשיכון 747 .
אבטחה פיזית; גיבוי, שחזור והתאוששות; אבטחת תקשורת ושימושי אינטרנט ואבטחת מידע במחשבים המנותקים מרשתות המשרד.
נוהל המסגרת קובע כי על המנהל הכללי במשרד חלה אחריות כוללת להכנת "מסמך מדיניות לאבטחת מידע רגיש, מערכי מידע, שליטה ובקרה" ולפיקוח על יישום המדיניות שנקבעה.
על הממונה על אבטחת המידע חלה אחריות להכנת מסמך המדיניות של המשרד (בהיוועצות עם מנהל מערכות המידע) אשר לא יגרע מהאמור בנוהל המסגרת, ולהבאתו לאישור ו לחתימה של המנהל הכללי.
כל אחד מעובדי המשרד, ללא יוצא מהכלל, חייב לפעול על פי ההנחיות המפורטות במסמך המדיניות של המשרד ולפי נוהלי האבטחה המשרדיים הנגזרים ממנו.
בפברואר 2008 פרסם מנהל המינהל דאז, מר יעקב אפרתי, "נוהל אבטחת מידע ממוחשב".
בנוהל לא נקבעו ו עדת היגוי לאבטחת מידע ופורום אבטחת מידע.
הביקורת העלתה כי המינהל לא קיים את מה שנקבע בהחלטת הממשלה בעניין אבטחת מידע.
במינהל לא היה מסמך שבו הוגדרה מדיניות האבטחה הנחוצה מתוקפם של חוקים ותקנות להגנה על מערכי המ חשוב ולפי יעדי המינה ל בתחום זה; כמו כן לא נקבעו הגורמים האחראים לכך מבחינה ניהולית וביצועית ו הזיקה ביניהם, ולא נקבעו פורומים ניהוליים לקידום העניין.
ה נוהל שפרסם המינהל קבע את ה גורמים האחראיים לאבטחת המידע, אך הוא אינו תחליף למסמך מד יניות.
המינהל גם לא בנה תכנית אבטחת מידע מתוקצבת כנדרש.
משרד מבקר המדינה העיר למינהל כי עליו להגדיר מדיניות לאבטח ת מידע שתובא לאישור הנהלתו ולעגנה בנוהל .
יש לקבוע בה את יעדי אבטחת המידע ; את ה אחראים לה; סדרי פיקוח ובקרה ; מסגרות לדיון ופעולה כגון ועדת היגוי לאבטחת מידע.
גיבוש המדיניות ויישומה אמורים להפוך את אבטחת המידע לחלק מהתרבות הארגונית של המינהל.
מן הראוי שהמינהל יבחן לאמץ את נוהל המסגרת כנוהל מחייב לאבטחת מידע בהתאמות המחייבות.
הממונ ה על אבטחת המידע החוק להסדרת הביטחון בגופים ציבוריים, התשנ"ח-1998 (להלן- חוק הסדרת הביטחון), מטיל חובה על גוף ציבורי למנות ממונה ביטחון האחראי במסגרת תפקידו לפעולות אבטחה אלה: "פעולות אבטחה פיזית" לרבות שמירה על רכוש; "פעולות לאבטחת מערכות ממוחשבות חיוניות" הכוללות את כל הפעולות הנדרשות לשמירה על המערכות הממוחשבות על המידע שנמצא בהן ופעולות למניעת פגיעה בהן; "פעולות לאבטחת מידע" לשם שמירה על מידע מסווג ומניעת פגיעה בו.
חוק הסדרת הביטחון קובע כי גופים ציבוריים המנויים בתוספת השנייה ובכללם רשות מקרקעי ישראל 25 חייבים במינוי אחראי לאבטחת מערכות ממוחשבות חיוניות ולפיקוח עליהן.
בשנת 2005 הוספה רשות מקרקעי ישראל לתוספת לחוק להסדרת הביטחון, ומכוח זה הוחלו עליה כללי שירות הביטחון הכללי (אבטחת מידע), התשס"ד-2004 , אשר קובעים את האחריות של ממונה הביטחון לפעולות אבטחה ואת סמכותו בעניין.
25 בתיקון לחוק מינהל מקרקעי ישראל נקבע שהמינהל יהפוך לרשות מקרקעי ישראל אשר תבוא במקום המינהל.
לפי נוהל המסגרת - לאבטחת מידע בגוף ציבורי אחראי "הממונה על אבטחת מידע", והוא הגורם המו סמך ליישום המדיניות בעניין במשרד.
באחריותו של הממונה לבקר את הפעולות הממוחשבות משרד הבינוי והשיכון 749 .
,כדי לוודא שהמשרד עומד בדרישות לאבטחת המידע הנובעות מהחוקים מהתקנות ומהנהלים העוסקים בכך.
בפברואר 2008 פרסם מנהל המינהל דאז "נוהל אבטחת מידע" (להלן- נוהל המינהל).
מטרת נוהל המינהל הייתה לקבוע את הטיפול במידע ממוחשב כדי להבטיח את שלמותו ואבטחתו; למנוע שינוי, חשיפה, השמדה של נתונים או מסירתם ללא הרשאה במזיד או בשוגג; הסדרתה של העברת מידע ממוחשב לחברות הפועלות מטעם המינהל, ל גופים פרטיים ול גופים ציבוריים; הסדרת הטיפול בתיקון מידע על פי בקשת גופים ציבוריים ו קבלת המידע מהם.
על פי נוהל המסגרת, הממונה הישיר על ממונה אבטחת המידע הוא מנכ"ל המשרד, המשנה למנכ"ל או הסמנכ"ל הבכיר למינהל.
עוד נאמר בנוהל כי הממונה על אבטחת מידע רגיש (להלן - הממונה) מכוון את בעלי התפקיד ים ואת כל המשתמשים ליישום נוהלי אבטחת מידע רגיש ומערכי המידע.
הוא לא יהיה כפוף מינהלית או מקצועית למנהל מערכות המידע בשל ניגוד עניינים של ממלאי שני התפקידים.
הממונה יהיה במשרדו גורם מנחה מקצועי-אבטחתי הפועל על פי המדיניות של משרדו ונוהלי המסגרת של ו.
הוא יהיה מוסמך לערוך ביקורות לבחינת יישום הנהלים האבטחתיים המחייבים ולקבוע אירועים ופעילויות מסוימים כ"חריגים אם יסכנו בפועל או בכוח את הניהול התקין של המשרד או את משק המדינה".
בהתאם לנוהל המינהל, "מנהל אגף מידע אחראי על אבטחת ניהול מאגרי המידע .
הממוחשבים ומערכות המידע של המינהל".
על פ י הנוהל הממונה כפוף אפוא למנהל אגף מידע שאותו הוא אמור גם לבקר, ולא למנהל המינהל.
משרד מבקר המדינה העיר למינהל כי הטיפול באבטחת מידע חייב להיות מחוץ לאגף המידע ולא באחריותו.
אין להסכים שהאחראי לפעילות מערכות המידע יהיה אחראי גם לאבטחתן.
על המינהל לפעול לתי קון הנוהל כדי להבטיח כי הטיפול בנושא אבטחת המידע לא יהיה באחריות מנהל אגף המידע במינהל.
על פי נוהל המינהל, מנהל אגף מידע ימנה ״ממונה אבטחת מידע״, והוא אמור להכין תכנית רב-שנתית לשם כך; הוא אחראי שאבטחת המידע תהיה כמפורט בהוראות אגף מידע ולהדרכת עובדי המינהל והעובדים מטעמו למודעות לבעיות בתחום זה.
הביקורת העלתה כי גם הנוהל שפרסם המינהל לא קוים: במבנה הארגוני של אגף מידע יש בתקן משרה של ראש "תחום בקרה, אבטחת מידע ומשימות מיוחדות", ואולם תפקידיו העיקריים של העובד המשובץ בה הם סיוע בהעסקת כוח אדם חיצוני באגף ו תיאום בין המינהל לבין גופים ציבוריים המעוניינים לקבל ממנו מידע על פי חוק חופש המידע, כך שלמעשה הוא אינו מטפל באבטחת מידע.
בספטמבר 2005 העביר מנהל אגף בכיר לביקורת המדינה וביקורת פנימית במשרד ראש הממשלה למינהל שאלון על אבטחת מידע.
בעקבות פנייתו כתב קב"ט המינהל למנהל המינהל דאז, מר יעקב אפרתי, כי " כיום אין ממונה אחראי על אבטחת המידע במשרד.
העוסק בנושא היום הינו רכז תכניתנים .
אשר קיבל כתב מינוי על אבטחת המידע ממנהלת אגף מידע .
עוד טען כי "לא קיימת הפרדת סמכויות בין אחראי על האבטחה לבין מנהל אגף מידע".
באפריל 2010 מסר 750 דוח שנתי61ב .
הקב"ט למשרד מבקר המדינה כי פנה שוב בנושא האמור למנהל המינהל, מר ירון ביבי, אך לא נענה.
משרד הבינוי והשיכון 751 .
משרד מבקר המדינה העיר למינהל כי מן הראוי שהנהלתו תמנה אחראי לאבטחת מידע, בעל הכשרה מתאימה בנושא, שזה יהיה עיסוקו העיקרי, והוא יהיה כפוף ישירות למנהל המינהל.
העובדה שאין עובד שזה עיסוקו העיקרי בגוף שעוסק בעניינים כל כך רגישים ובטיפול בסכומי כסף עצומים - הוא בגדר מחדל של ממש.
ניהול הרשאות גישה בסקר הסיכונים הציעה חברה א ' לבצע פרויקט שבו יוגדר ו דרישות השימוש במשאבי המערכת של בעלי התפקידים השונים כדי לבנו ת מערך מעודכן של פרופילי משתמשים, שיישמר בו עקרון המידור של משאבי המערכת על בסיס "הצורך לדעת" ( need to know ), כלומר לכל עובד תהיה גישה אך ורק למידע ולכלים שהוא זקוק להם בעבודתו.
הביקורת העלתה כי המינהל לא דירג את התפקידים לצורך קביעת הרשאות גישה למערכת ולא קבע הגדרה של הרשאות לפי תפקיד.
אגף מידע נוהג לתת לעובד חדש הרשאות גישה על פי בקשתו של מנהל המחוז, מנהל אגף או מי שהוסמך על ידם.
התברר כי הרשאות הגישה ניתנות על פי הרשאות הגישה של עובד אחר במחלקה בלי לבדוק אם הן נחוצות לו.
לדוגמה - עובדת במינהל מטעם משרד של רואה חשבון שתפקידה אינו כולל עיבוד נתונים אלא רק פיקוח, קיבלה ביולי 2009 .
הרשאות נרחבות כמו אלה של מנהלת מדור בגזברות משרד מבקר המדינה העיר למינהל כי ההרשאות הניתנות לכל עובד צריכות להיות מותאמות לתפקיד שאותו הוא ממלא ובאישורו של הממונה עליו.
להרשאות שמקבל עובד יכולות להיות השפעות מרחיקות לכת.
לדוגמה: במינהל אין נוהל המפרט מי מהעובדים מוסמך לבצע שינויים בפרטי התיקים של המשתכנים במערכת "חוכרים", ולכן כל עובד יכול לבצעם; בעת פתיחת תיק ניתן לקלוט אותו במעמד של תיק מהוון ללא כל צורך במסמכים מבססים, דבר המאפשר להימנע מתשלום דמי חכירה שוטפים.
היעדרם של כללים למתן הרשאות ואי-קיומה של בקרה תהליכית מאפשרים ל כל עובד בעל הרשאה לבצע פעולות העלולות להשפיע על זכויות החוכרים בנכס ועל חובותיהם למינהל.
חשבונות מחשב 26: עקרונות של אבטחת מידע קובעים כי יש למחוק חשבונות שאין בהם שימוש, כדי למנוע את ניצולם לרעה.
על המינהל לבדוק מי מבין בעלי חשבונות המחשב הפעילים פרשו מהמינהל ולבטל את חשבונותיהם.
בידי המינהל אין נתונים מדויקים ומעודכנים על עובדים שפרשו ממנו.
כמו כן נמצאו אי-דיוקים במועדי הפרישה הרשומים באגף האמרכלות.
לצורך בדיקת בעלי ההרשאות קיבל משרד מבקר המדינה מהמינהל בשני מועדים שונים שתי רשימות של בעלי חשבונות מחשב שיש להם הרשאות פעילות, ומצא שלא הייתה חפיפה מלאה ביניהן: 58 בעלי חשבונות שהופיעו ברשימה א' לא .
26 חשבון מחשב - מכלול משאבי המחשב שהוקצו למשתמש.
הופיעו ברשימה ב', ו-16 אחרים הופיעו ברשימה ב' ולא ברשימה א'.
הדברמעיד על אי-אמינות הנתונים של בעלי ההרשאות.
נמצא כי בין חשבונות המחשב הפעילים שהמינהל לא ביטל היו חשבונות של עובדים שלא עבדו בו כבר שנים, וביניהם עובד בכיר בעל הרשאות רבות במיוחד.
משרד הבינוי והשיכון 753 .
בתשובתה מנובמבר2010 הסבירה מנהלת אגף מידע, כי "במשך שנים אגף מידע ביקש לקבל מידע שוטף ולא צלח בידו.
עובד אגף שהיה בודק רשימות כאלה פרש לגמלאות והתקן בוטל.
כיום מערכת טפסים שהוקמה לדווח על קליטת/מעבר או עזיבה של עובדים ומיושמת מיולי 2007 .
"אמורה לסגור את הפרצות בתשובתו מינואר 2011 הודיע מנהל המינהל, כי הנחה בנובמבר 2008 את הסמנכ"ל לאמרכלות, את מנהלת אגף מידע ואת הקב"ט לבטל את ההרשאות של עובדים ששינו את תפקידיהם, יצאו לחופשה ללא תשלום או פרשו.
הביקורת העלתה כי הפרצות טרם נסגרו.
משרד מבקר המדינה העיר למינהל כי הותרת הרשאות פעילות שניתנו בעבר לעובדים שפרשו היא בגדר פרצה בעייתית המחייבת מענה מ י די, מאחר שהרשאות אלו יכולות להיות מנוצלות שלא כדין.
על המינהל לבדוק מי מבעלי החשבונות האמורים אינם עובדים במינהל, לבטל את חשבונו ולבדוק אם נעשו פעולות חריגות באמצעותם.
על היחידה למשאבי אנוש, על האגפים ועל המחוזות להעביר לאגף מידע דיווח שוטף על עובדים שמפסיקים לעבוד כדי שחשבונותיהם ייסגרו מיד עם הפסקת עבודתם.
יומן אירועים ( l o g f i l e): יומן אירועים הוא קובץ המתעד את כל הפעולות המקוונות שנעשו במערכת הממוחשבת כגון ניסיונות כניסה באמצעות ססמה לא תקפה, המסוף שבו נעשתה הפעולה, מועד הפעולה ופרטי המשתמש שעשה אותה כביכול.
הוראות תכ"ם27 קובעות שמערכת המידע תרשום את כל ניסיונות הגישה הבלתי -מורשים.
גם נוהל "אבטחת תוכנה ברשתות מקומיות" שבנוהל המסגרת קובע כי כדי להגביל את הכניסה למאגרי הנתונים ברשתות תקשורת מקומיות יש לנקוט צעדים וביניהם "תופעל אופציה של רישום LOG של כל הניסיונות הכושלים להיכנס למערכת כמפורט בנוהל 'מעקב ופיקוח לוגי' בו יירשמו: התחנה, הזמן והמשתמש".
על פי נוהל המסגרת, מנהל רשת התקשורת יבדוק וינתח את יומני האירועים באמצעות כלים ממוחשבים מדי שבוע ויעביר את הממצאים החריגים מיד לממונה .
על אבטחת המידע ולמנהל מערכות המידע.
ה ממונה על אבטחת המידע, בתיאום עם מנהל מערכות המידע, יערוך בירור מידי לגבי הממצאים החריגים שאותרו וינקוט צעדים כנדרש.
ממצאים המעידים על פעילויות חריגות שבוצעו בכוונה תחילה על ידי העובדים או בידי גורמי חוץ הפועלים במשרד - יועברו בדחיפות ובדיסקרטיות להנהלה ויטופלו טיפול משמעתי בהתאם.
משרד מבקר המדינה בדק את רישום יומן האירועים והעלה שנתוני האירועים נרשמו ביומן אך ורק במערכות הישנות VMS) ), והמינהל שמר את היומנים במערכת במשך שלוש שנים; למינהל אין נוהל ואין אחראי לבדיקות של יומן האירועים.
במער כות החדשות ( Windows ) כגון מערכות מינהליות ומערכת "כוכב" (עסקות) לא נרשם כל יומן אירועים.
בעקבות הביקורת מאוגוסט 2010 מופעל יומן אירועים גם במערכות ה- Windows .