HeTree/MevakerConcSen huggingface dataset:
בהיעדר מדיניות הגנה מלאה ועדכנית בתחומים שנסקרו בדוח זה, משרד מבקר המדינה השווה .
את הגנת הסייבר בצה"ל ל נורמות בין-לאומיות מקובלות, להנחיות שפרסמו רשות התקשוב .
ומערך הסייבר הלאומי (נורמות אשר מחייבות את כלל משרדי הממשלה) ולתקנות אבטחת .
מידע שמחייבות את צה"ל.
להלן יוצגו הנורמות שלאור ן נבחנו הנושאים בפרקים הבאים: .
תרשים 5: הנורמות שחלות על צה"ל בתחום מדיניות הגנת הסייבר .
מדיניות הגנת הסייבר .
הנחיות יה"ב וכן תורת ההגנה בסייבר של מערך הסייבר הלאומי יוצרות מסגרת של מוסכמות .
בתחום המדיניות על הגנת סייבר.
1 שפרסמה יה"ב בספטמבר2016 בנושא "מדיניות .
להגנת הסייבר בממשלה" (להלן - ההנחיה בנושא מדיניות) מפורטים עיקרי הנושאים שיש .
לכלול במסמך המדיניות של משרדי הממשלה, כמפורט בתרשים להלן: .
ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו תרשים 6: עיקרי הנושאים שיש לכלול במסמך המדיניות להגנת הסייבר .
נמצא כי מסמך מדיניות ההגנה של צה"ל כולל התייחסות לחלק מהנושאים שיה"ב הגדירה .
שיש לכלול ב מסמך מדיניות להגנת הסייבר כגון: הגנת רשומות, הגנה לוגית ופיזית .
והמבנה הארגוני אך אינו כולל התייחסות לנושאים כגון ניהול וסיווג נכסים, שרשרת .
האספקה, משאבי אנוש והתאמה לדרישות החוק (כמו תקנות אבטחת מידע).
| 137 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו לפי המדיניות הלאומית ליישומים ביומטריים, יש לעדכן את מסמך המדיניות מעת לעת בהתאם .
לתנאי השטח המשתנים ובהתבסס על הפקת הלקחים מתהליך ניהול הסיכונים.
המדיניות להגנת הסייבר בממשלה נדרש יה"ב לעדכן לפי הצורך.
נמצא כי מסמך מדיניות ההגנה של צה"ל לא עודכן מאפריל 2015 , במשך 7 שנים, .
שבמהלכן חלו שינויים טכנולוגיים וכן חלו שינויים בחובות החלות על צה"ל בנושא אבטחת .
מידע בעקבות פרסום תקנות אבטחת מידע משנת 2017 .
במצב זה מסמך מדיניות ההגנה .
אינו מספק מענה עדכני לסיכונים שנשקפים בתחום זה כנדרש.
מומלץ כי מצו"ב יעדכן את מסמך המדיניות כך שיכלול את הנושאים המפורטים במסמכי .
מדיניות מקובלים בתחום הגנת הסייבר כמו ההנחיה בנושא מדיניות של יה"ב, וכן יעדכן .
אותה באופן עתי בהתאם לשינויים הטכנולוגיים ולסיכונים בתחום, באופן שיעמדו .
בדרישות החוק והתקנות הרלוונטיים.
מענה ההגנה למערכות אמצעי הזיהוי .
כאמור, לפי תקנות אבטחת מידע, מאגר מידע המכיל מידע ביומטרי ויש בו יותר מ- 100,000 .
רשומות נדרש לעמוד ברמת אבטחה גבוהה, לכן מאגרי המידע של מערכת א' ומערכת ב' .
נדרשים על פי התקנות לעמוד ברמת אבטחה גבוהה.
סיווג מערכות אמצעי הזיהוי .
לפי מדיניות ההגנה בצה"ל, קצין האמל"ח, שהוא ראש הפרויקט, יהיה הגורם האחראי לגיבוש .
רמת ההגנה הנדרשת על מערכת תקשוב (להלן - מענה ההגנה) בתהליך הרכש שלה או .
בתהליך פיתוח עצמי של מערכת כאמור .
רמת ההגנה נקבעת לפי שני רכיבים: .
רמת הסודיות - משקפת את הנזק העלול להיגרם למדינה עקב דלף מידע.
על ידי קצין האמל"ח בהתאם להגדרות מחב"ם 13 .
רמתהחסינות - משקפת את הנזק העלול להיגרם עקב פגיעה בזמינות ובאמינות של מערכת .
תקשוב ו במידע האגור בה.
הגדרה זו נקבעת על ידי קצין האמל"ח בהתאם להגדרות .
נמצא כי מערכת א' ומערכת ב' הוגדרו בסיווג סודי עם חסינות בינונית למרות שמערכות .
אלו נדרשות לעמוד ברמת אבטחה גבוהה לפי תקנות אבטחת מידע, ולמרות הנזק הרב .
שעלול להיגרם מדליפת מידע ביומטרי רגיש שמוחזק במערכות אלו.
מומלץ כי מחב"ם יבחן מחדש ויתקף באופן עיתי את סיווג מערכות אמצעי הזיהוי באופן .
שיביא בחשבון את הסיכונים העדכניים הנשקפים למידע שמוחזק במאגרים אלו וכן את .
הסיכון שקיים לנושאי המידע כתוצאה מדלף מידע.
0101 - ""אבטחת רשומות .
ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו בתשובת מחב"ם מיוני 2022 נמסר כי הם מקבלים את ההמלצה, וכי הם יבחנו ויתקפו א ת .
הסיווגים של מערכות אמצעי הזיהוי.
מענה ההגנה של מערכות אמצעי הזיהוי .
לפי הוראות המדיניות יש להגדיר את דרישות ההגנה במסמך אשר יכלול את ההיבטים האלו: .
סקירת איומים - איומים הנובעים מאופייה של המערכת, איומים מודיעיניים כלליים .
וקונקרטיים, איומים טכנולוגיים ואיומים הנובעים מתצורת השימוש המוגדרת באפיון .
פירוט דרישות ההגנה למערכת המידע - איסוף כלל הדרישות למערכת על פי רמת ההגנה .
הנדרשת בנושאים האלה: הזדהות, הרשאות, בקרה, תשתיות תוכנה, ממשקים ותקשורת, .
סביבת הפיתוח, אבטחה פיזית ומהימנות כ וח אדם.
עוד נקבע במדיניות ההגנה כי נוסף על האמור לעיל, רמת ההגנה על המערכת תיקבע גם .
בהתאם לצורך ולעניין הקונקרטיים ותעודכן מפעם לפעם.
נמצא כי למערכות אמצעי הזיהוי של צה"ל אין מענה הגנה מפורט במסמך הכולל את .
דרישות ההגנה הייעודיות למערכות אלו בהתאם לסיווג שלהן.
עקב כך לא ניתן לבחון את .
מידת עמידת מערכות אמצעי הזיהוי בדרישות אבטחת המידע שנקבעו במדיניות ההגנה.
כמו כן נמצא פער ביישום דרישות ההגנה במערכות אמצעי הזיהוי כפי שמפורט בפרקים .
על מקמש"ר לוודא שעקרונות מדיניות ההגנה מעוגנים במסמך מענה הגנה וכן מיושמים .
במערכות אמצעי הזיהוי הנמצאות בשלבי פיתוח ותחזוקה.
כמו כן, מומלץ שמדי שנה .
מקמש"ר יוודא שמענה ההגנה של המערכות מאפשר להתמודד באופן הולם עם הסיכונים .
הנשקפים באותה עת ועם תרחישי האיום העדכניים.
ועדות היגוי בנושא סייבר .
על פי הנחיית המסגרת להגנת הסייבר בממשלה 14 , ועדת ההיגוי המשרדית לנושא הגנת הסייבר .
היא פורום ניהולי שממונה על ידי מנכ"ל המשרד אשר יושב בראשו.
ועדת ההיגוי אחראית לגיבוש .
עקרונות המדיניות, להתוויית אסטרטגיה לפעילות, לפיקוח על תוכנית האב ותוכניות העבודה .
השנתיות, להער כת נזקים בעקבות תקלות ולגיבוש המלצות לטיפול בתקלות אלה על פי .
עקרונות מסמך המדיניות והמסגרת להגנת הסייבר הממשלתית.
כמו כן ועדת ההיגוי אחראית .
לביצוע בקרה על יישום המדיניות על פי מתווה הנחיות המסגרת להגנת הסייבר בממשלה.
בהוראות מדיניות ההגנה של צה"ל יועדה ועדת הגנת מערכות מידע שתפקידה לאשר את .
פתרונות ההגנה שניתנו לכל פרויקט ואת עמידתו במדיניות.
הצגת הפרויקט לפני הוועדה מוטלת .
| 139 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו על קצין האמל"ח של הפרויקט.
אם יידרש אישור לחריגה מהמדיניות, הנושא יועלה לדיון בוועדת .
הגנת מערכות מידע המטכ"לית.
בפגישה שקיים צוות הביקורת עם רע"ן תכלית נאמר כי צה"ל מקיים ועדות היגוי בנושאי סייבר, .
אך אלו לא דנות במערכות בשלבי תחזוקה עם כמות משתמשים מצומצמת כדוגמת מערכת א' .
נמצא כי למרות שמערכות אמצעי הזיהוי הן מערכות הכוללות מידע ביומטרי רגיש, הן אינן .
מוגדרות ככאלו המטופלות במסגרת עבודתה של ועדת הגנת מערכות מידע שמתפקידה .
לעקוב אחר יישום מדיניות הגנת הסייבר הלכה למעשה.
על מקמש"ר להעביר לאישור ועדת הגנת מערכות מידע את מענה ההגנה שיגובש .
למערכות אמצעי הזיהוי.
כמו כן על מקמש"ר לוודא שהוועדה בוחנת באופן ע יתי את מידת .
העמידה של המערכות במדיניות ההגנה בהתאם לסיכונים הכרוכים במידע האגור בהן.
ממונה על אבטחת מידע .
לפי סעיף 17 ב לחוק הגנת הפרטיות, גוף ציבורי חייב במינוי אדם בעל הכשרה מתאימה שיהיה .
ממונה על אבטחת מידע (להלן - ממונה אבטחת מידע) ויישא באחריות לאבטחת המידע .
שבמאגרים המוחזקים ברשות הגוף.
בהתאם לתקנה 3 לתקנות אבטחת מידע, על ממונה אבטחת מידע להכין נוהל אבטחת מידע .
ולהביאו לאישור בעל המאגר.
כמו כן, על ממונה אבטחת מידע להכין תוכנית לבקרה שוטפת .
על העמידה בדרישות תקנות אבטחת מידע, לבצע אותה ולהביא את ממצאיו לידיעתם של בעל .
מאגר המידע ומנהל מאגר המידע.
גם לפי הנחי ית יה"ב, יש למנות ממונה על הגנת הסייבר שיהיה אחראי לניהול תחום הגנת .
הסייבר, להנחיה מקצועית שוטפת בתחום זה וליישום בפועל של ההחלטות והסיכומים של ועדת .
כאמור, בצה"ל יש כמה גורמים העוסקים ביישום של אבטחת מידע ובהנחיה בנושא: .
יחידת הגנת הסייבר במרכז המחשבים ומערכות המידע (להלן - ממר "ם): אחראית ליישום .
מדיניות ההגנה בתשתיות המחשוב ורשת התקשורת, ולא אחראית ברמת המערכות .
קצין ביטחון מידע (להלן - קב "ם): בכל יחידה בצה"ל, לרבות ברבנות, ממונה קב"ם שהוא .
הקב"ם אחראי ליישום הנהלים בתחום ביטחון המידע ובין תפקידיו: .
נוהלי מסירת מידע לגורם שמחוץ לצה"ל ונוהלי העסקת עובדים אזרחים במתקנים צבאיים.
קצין האמל "ח: לפי מדיניות ההגנה, הוראות ההגנה להפעלת מערכת התקשוב יגובשו על .
ידי קצין האמל"ח ויובאו לאישורה של ועדת הגנת מערכות תקשוב.
ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו 4.
ראש אגף התקשוב או מי שיוסמך לכך מטעמו: כאמור במדיניות ההגנה, באחריותם לפקח .
על יישום פעולות הגנת מערכות התקשוב ועל עדכניותן.
נמצא כי בצה"ל יש כמה גורמים העוסקים בהיבטים שונים בתחום אבטחת המידע של .
מערכות מידע ובהם: יחידת הגנת הסייבר בממר"ם, מחב"ם, קצין האמל"ח וגורמי מדיניות .
ההגנה באגף התקשוב, אולם אין גורם אחד שנושא באחריות לכל היבטי אבטחת המידע .
של מערכות אמצעי הזיהוי ותפקידו ואחריותו הוגדרו בהתאם לתקנה 3 בתקנות אבטחת .
מידע ובהתאם למדיניות ההגנה של צה"ל.
מומלץ כי צה"ל ימנה ממונה אבטחת מידע האחראי למערכות אמצעי הזיהוי כנדרש בחוק .
הגנת הפרטיות ובתקנות אבטחת מידע.
בתשובת צה"ל נמסר כי עד מועד סיום הביקורת באפריל 2022 לא מונה ממונה אבטחת מידע .
של מאגר כוח האדם הצה"לי.
תקנה 4 בתקנות אבטחת מידע מגדירה את הנושאים שיש לכלול בנוהל האבטחה במטרה .
להבטיח את יישום מדיניות האבטחה הנדרשת במאגר .
בנוהל יש לכלול, בין השאר , נושאים .
אלה: הוראות בעניין האבטחה הפיזית והסביבתית של אתרי המאגר ; הרשאות גישה למאגרי .
המידע ולמערכות המאגר ; הסיכונים שחשוף להם המידע שבמאגר , לרבות אלה הנובעים .
ממבנה מערכות המאגר, אופן קביעת סיכונים אלו ואופן הטיפול בהם, לרבות על ידי מנגנוני .
הצפנה מקובלים; אופן ההתמודדות עם אירועי אבטחת מידע; הוראות לעניין ניהול של התקנים .
נמצא כי הגורמים העוסקים באבטחת המידע לא גיבשו ואישר ו נוהלי אבטחה למערכות .
אמצעי הזיהוי כנדרש בתקנות אבטחת מידע שיבטיחו את רמת האבטחה הנדרשת במאגר .
כתוצאה מכך מסמכים שמתייחסים להיבטי אבטחה מסוימים נכתבו על ידי גורמים שונים .
באופן שאינו מספק את המענה הדרוש על פי התקנות.
למשל, הרבנות כתבה נוהל .
הרשאות משתמשים למערכת א' אשר מכיל הגדרות בעלי תפקידים אך חסר בו מידע כמו .
הצורך במידור - הגדרת הרשאות לפי תפקידים כמקובל במסמכי ניהול הרשאות; נאסר .
להכניס טלפון נייד למעבדת טביעות האצבע, אך הגבלה זו אינה מתועדת בנוהל כתוב; .
לא קיים נוהל פיתוח מאובטח (ראו תת-פרק בהמשך).
מומלץ כי ממונה אבטחת מידע יגבש ויאשר נהלים בתחום אבטחת המידע למערכות .
אמצעי הזיהוי, בדומה לנוהלי יה"ב שיבטיחו את רמת האבטחה הנדרשת במערכות .
| 141 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו תיעוד אירועי אבטחת מידע .
לפי סעיף 11 לתקנות אבטחת מידע, בעל מאגר מידע אחראי לתיעוד כל אירוע המעורר חשש .
לפגיעה בשלמות המידע, לשימוש בו בלא הרשאה או לחריגה מהרשאה (להלן - אירועי אבטחת .
בנוהל האבטחה ייקבעו הוראות לעניין ההתמודדות עם אירועי אבטחת מידע, לפי חומרת .
האירוע ומידת רגישות המידע.
לפי מדיניות ההגנה בצה"ל, במקרה של תקלה במערכות התקשוב או במצע אחסון מידע .
צה"ליים, הטיפול התקשובי בהם יהיה בהתאם לסיווג התקלה אשר יתבסס על מידת הנזק .
העשוי להיגרם בגינה למערכת התקשוב ומידת תפוצתה של התקלה ברשת הצה"לית.
הצורך, במקביל לטיפול התקשובי תיערך גם חקירה ביטחונית של המקרה.
נמצאו פערים באופן תיעוד האירועים, מוצע כי צה"ל יפעל לתקנם.
בקרה, ביקורת ותאימות של הגנת הסייבר .
מיפוי מערכות אמצעי הזיהוי .
לפי תקנה 5 לתקנות אבטחת מידע על בעל מאגר מידע להחזיקמסמך מעודכן בעניין מבנה .
מאגר המידע וכן רשימה מעודכנת בדבר המצאי של מערכות המאגר .
תשתיות ומערכות חומרה, סוגי רכיבי תקשורת ואבטחת מידע.
מערכות התוכנה המשמשות להפעלת מאגר המידע, לניהול המאגר ולתחזוקתו, לתמיכה .
בפעולתו, לניטור שלו ולאבטחתו.
תוכנות וממשקים המשמשים לתקשורת עם מערכות המאגר .
תרשים של הרשת שפועל בה המאגר , המציג בין היתר את הקשרים בין רכיבי המערכת .
השונים ואת מקומם הפיזי של רכיבים אלה.
תאריך העדכון האחרון של המסמך ושל רשימת המצאי.
ענף תכלית הכין תרשים רשת של מערכת א' ומערכת ב', המציג בין היתר את המבנה .
עם זאת, נמצא כי תרשים הרשת של מערכת א' ומערכת ב' לא מכיל .
את כל הפירוט הנדרש בתקנות אבטחת מידע, ובכלל זה פירוט בנוגע לתשתיות ולמערכות .
החומרה, לסוגי תקשורת ולרכיביה, ולמערכות התוכנה המשמשות להפעלת המאגר .
כן, בתרשים לא צוין מועד העדכון האחרון שלו.
היעדר מיפוי עדכני בדבר הטכנולוגיות .
הקיימות עלול לפגוע ביכולת של צה"ל לזהות את הסיכונים והאיומים הנשקפים למאגרים .
ובכלל זה לזהות פרצות אבטחה ידועות בחלק מהרכיבים ולהתגונן מפני הסיכונים .
ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו מומלץ כי ענף תכלית יעדכן את תרשים הרשת של מערכות אמצעי הזיהוי כנדרש בתקנות .
לפי תקנה 2 לתקנותאבטחת מידע, במסמך הגדרות מאגר יש לפרט, בין היתר , את הסיכונים .
העיקריים של פגיעה באבטחת המידע ואת אופן ההתמודדות מולם.
הבנת הסיכונים והאיומים .
הנשקפים למאגרים היא הבסיס לקביעת תוכנית העבודה ולביצוע הבקרות הנדרשות להגנה על .
המידע הנשמר במאגרים הללו.
תקנה 15 לתקנות אבטחת מידע קובעת שגם בהתקשרות עם גורם חיצוני יש לבחון את סיכוני .
אבטחת המידע הקשורים בהתקשרות.
הנחת העבודה בממר"ם היא שרמת ההגנה על הרשת הצה"לית גבוהה ביותר , ומכאן שאיום .
הייחוס העיקרי על מאגרי המידע הוא האיום הפנימי של דלף מידע.
לפי תקנה 5 (ג) לתקנות אבטחת מידע, בעליו של מאגר מידע שחלה עליו רמת אבטחה גבוהה .
אחראי לביצוע סקר לאיתור סיכוני אבטחת מידע (להלן - סקר סיכונים); לאחר שיקבל בעל .
מאגר המידע את ממצאי הסקר הוא ידון בהם, יבחן את הצורך בעדכון מסמך הגדרות המאגר .
או נוהל אבטחת המידע, ואם התגלו ליקויים בתחום האבטחה הוא יפעל לתיקונם.
סקר סיכונים אחת ל-18 חודשים לפחות.
לצוות הביקורת נמסר כי על פי מדיניות הגנת הסייבר, צה"ל מכין סקר סיכונים בנוגע למערכות .
המידע רק במועד הקמת המערכות ובמסגרת תהליכי ההגנה עליהן.
הוא גורם האמל"ח, ומשתתפים בתהליך גם ענף תכלית והקב"ם של המשתמש המוביל.
ההגנה מוסמכת לאשר את הסקר .
נמצא כי ממועד הקמת מערכת א' ומערכת ב' בשנים 2005 - 2006 ועד למועד סיום .
הביקורת באפריל 2022 ( פרק זמן של יותר מ-16 )שניםצה"ל לא ביצע סקרי סיכונים בנוגע .
זאת אף שלפי תקנות אבטחת מידע נדרש לבצע במערכות אלו שחלה עליהן .
רמת אבטחה גבוהה, סקר סיכונים מדי 18 חודשים.
על אכ"א לוודא ביצוע סקרי סיכונים בנוגע למערכות אמצעי הזיהוי שנדרשות לעמוד ברמת .
אבטחה גבוהה, מ די 18 חודשים לפחות כנדרש בתקנות אבטחת מידע.
לפי תקנה 5 (ד) לתקנות אבטחת מידע בעליו של מאגר מידע שחלה עליו רמת אבטחה גבוהה .
אחראי לביצוע מבדקי חדירה למערכות המאגר , ל שם בחינת עמידותן בפני סיכונים פנימיים .
את מבדקי החדירה למערכות המאגר יש לבצע אחת ל -18 חדשים לפחות.
המאגר ידון בממצאיהם של מבדקי החדירה ואם יתגלו במבדקים ליקויים הוא יפעל לתיקונם.
| 143 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו לפי מדיניות ההגנה בצה"ל על מנת לאתר ליקויים ונקודות תורפה בהגנה של מערכות תקשוב, .
יופעלו צוותי חדירה כחלק מהגנת מערכות תקשוב.
יש שני סוגים של מבדקי חדירה: .
מבדק תשתית ורשת תקשורת: צה"ל מבצע מבדק חדירה מסוג תשתית ורשת .
מבדק אפליקטיבי: מבדקי חדירות מבוצעים במערכות ניהוליות החשופות למרשתת.
נמצא כי אף שבמערכת א' ובמערכת ב' שמור מידע ביומטרי רגיש והן מחויבות בביצוע .
מבדקי חדירה מדי 18 חודשים, לפי תקנה5 (ד) לתקנות אבטחת מידע, לא בוצעובהן .
מבדקי חדירה ממועד הקמתן בשנים 2005 - 2006 ועד מועד סיום הביקורת באפריל 2022 .
(פרקזמן של כ-16 שנה).
עקב כך לא ניתן להעריך את מידת עמידות המערכות בפני .
איומים וחולשות ידועים ולהכין תוכניות להתמודדות עימם.
כמו כן, נמצא כי גם במערכת .
ב' החדשה הנמצאת בשלב בדיקות לפני מבצוע לא בוצעו מבדקי חדירה.
על אכ"א לוודא ביצוע מבדקי חדירה למערכות אמצעי הזיהוי הנדרשים ברמת אבטחה .
חודשים לפחות כנדרש בתקנות אבטחת מידע .
בדיקות תאימות לתקנות אבטחת מידע .
בקרת צה"ל על העמידה בדרישות התקנות .
לפי תקנה 3(3 ) לתקנות אבטחת מידע, על ממונה אבטחת מידע להכין תוכנית לבקרה שוטפת .
על העמידה בדרישות התקנות, לבצע אותה ולהודיע לבעל מאגר המידע ולמנהל המאגר על .
תקנות 16 )(או-16 )(בקובעות כי במאגר מידע שחלה עליו רמת אבטחה בינונית או .
גבוהה, בעל המאגר אחראי לכך שתיערך אחת ל-24 חודשים לפחות ביקורת פנימית או חיצונית, .
על ידי גורם בעל הכשרה מתאימה לביקורת בנושא אבטחת מידע שאינו ממונה האבטחה של .
המאגר, כדי לוודא שמאגר המידע עומד בהוראות התקנות.
בדוח הביקורת ידווח המבקר על .
התאמת אמצעי האבטחה לנוהל האבטחה ולתקנות אבטחת מידע, יזהה ליקויים ויציע אמצעים .
נמצא כי אין בידי אכ"א ת וכנית לבקרה שוטפת על העמידה של מאגרי אמצעי הזיהוי .
בדרישות תקנות אבטחת מידע, וכן לא בוצעו ביקורות בנושאים אלו.
המטכ"ל בנושא הגנת הפרטיות 15 לא עודכנו ממועד כתיבתן בשנת 1996 (פרק זמן של26 .
,)שניםלכן אינן מתייחסות לתקנות אבטחת מידע שפורסמו בשנת 2017 .
בתשובת צה"ל נמסר כי במסגרת שיתוף הפעולה בינו ובין הרשות להגנת הפרטיות, עדכון .
פקודת המטכ"ל החל בשנת 2021 ונכון ליוני 2022 הוא נמצא בשלבי טיוטה.
": "הגנת הפרטיות ויישומה במאגר המידע הצה"לי .
ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו נוכח רגישות המאגרים של אמצעי הזיהוי, על אכ"א להכין תוכנית לבקרה שוטפת על .
מידת העמידה של המאגרים בתקנות אבטחת מידע ולוודא את ביצועה אחת לשנתיים או .
עוד מומלץ כי אכ"א בשיתוף אגף התקשוב יפעלו להשלמת עדכון .
פקודות המטכ"ל בנושא הגנת הפרטיות.
ממשקי עבודה מול הרשות להגנת הפרטיות .
הרשות להגנת הפרטיות היא רגולטור כלל-משקי, המופקד על הרגולציה, לרבות על אכיפה .
מינהלית ופלילית, ביחס לכלל מאגרי המידע האישי בישראל, בגופים פרטיים וציבוריים כאחד, .
בהתאם להוראות חוק הגנת הפרטיות ותקנותיו.
לנוכח מספרם הרב של הגופים המפוקחים מחד .
גיסא ומגבלת המשאבים מאידך גיסא, תוכניות האכיפה והפיקוח של הרשות מבוססות ברובן .
על ניהול סיכונים ותיעדוף.
בקביעת תוכנית אכיפה, המתבססת על תוכנית העבודה השנתית .
ומדיניות הרשות הכוללת, מובאים בחשבון פרמטרים שונים, ובין היתר, מידת ההשפעה הרוחבית .
של פעילות האכיפה, מתן עדיפות לטיפול בגופים המחזיקים במידע רגיש בהיקף נרחב, ומתן .
קדימות לנושאים רגישים.
בפגישה שקיים משרד מבקר המדינה במרץ 2022 עם הנהלת הרשות להגנת הפרטיותנאמר כי .
במהלך שנת 2021 זיהתה הרשות כי גוף גדול כמו צה"ל, מחזיק במאגרי מידע בעלי חשיבות .
רבה מבחינת הרשות, ובהתאם לכך החלה הרשות בהליך הסדרה רוחבי של הגנת הפרטיות .
בצה"ל, בשיתוף גורמים בכירים באכ"א: במאי 2021 התקיימה פגישה ראשונה של צוות ההנהלה .
של הרשות להגנת הפרטיות עם צה"ל (רמ"ח תכנון וארגון וממונת הגנת הפרטיות באכ"א), .
ובמהלכה סוכם כי תגובש תוכנית עבודה כוללת שתיתן מענה על נושאים שונים ובהם: מינוי .
ממונה הגנת הפרטיות ביחידות השונות, הסברה פנים -צה"לית בנושא חיזוק תפיסת הגנת .
הפרטיות בצה"ל, הכללת נושא הגנת הפרטיות בין שאר הנושאים שעליהם חלה הביקורת .
שמבצע אכ"א ותיקון פקודות מטכ"ל.
במרץ 2022 נערכה פגישת המשך ובה הוצגה תוכנית .
לרשות להגנת הפרטיות נתונה סמכות לבצע הליכי פיקוח ואכיפה במאגרי המידע של צה"ל, .
וזאת בכפוף להוראת סעיף 10 (ה1()2 ) לחוק הגנת הפרטיות, המחייבת תיאום עם הגורם .
המפוקח לפני כניסה למתקן צבאי.
במסגרת הצעת חוק הגנת הפרטיות (תיקון מס' 14 ,) .
התשפ"ב-2022 , אשר נכון למועד סיום הביקורת באפריל 2022 נידונה בוועדת החוקה, חוק .
ומשפט של הכנסת בהכנה לקריאה שנייה ושלישית, קיים הסדר מקיף בנוגע לאופן קיום הליכי .
פיקוח בגופים ביטחוניים, ובכלל זה בצה"ל.
בין היתר, ההסדר הנכלל בהצעת החוק מטיל חובה .
למנות מפקח פרטיות פנימי בגופים הביטחוניים, לרבות צה"ל, אשר יפקח על קיום הוראות חוק .
הגנת הפרטיות בגוף הביטחוני וידווח לרשות בהתאם לכך.
בפגישה של הרשות להגנת הפרטיות .
עם צוות הביקורת נאמר כי יכולת האכיפה והפיקוח של הרשות על גוף כמו צה"ל היא מוגבלת, .
למשל: לרשות אין אפשרות להתלות מאגר מידע שצה"ל מחזיק.
| 145 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו נמצא כי אף שצה"ל מחזיק במאגרי מידע רבים שבהם שמור מידע רגיש ומידע אישי על .
אזרחים רבים, עד מועד סיום הביקורת באפריל 2022 לא ביצעה הרשות להגנת הפרטיות .
ביקורות ופעולות פיקוח רוחביות על מאגרי המידע בצה"ל בכלל, ועל מאגרי אמצעי הזיהוי .
בפרט, כדי לוודא שהמאגרים עומדים בתקנות אבטחת המידע.
יצוין כי במאי 2021 קיימה .
הרשות להגנת הפרטיות פגישת עבודה עם אכ "א לקידום נושא הגנת הפרטיות בצה"ל .
אולם נושא יכולת ביצוע הפיקוח והאכיפה טרם הוסדר.
מומלץ כי בד בבד עם הליך תיקון החקיקה המתקיים תפעל הרשות להגנת הפרטיות .
להסדיר את יכולת הפיקוח והאכיפה על מאגרי המידע שברשות צה"ל, ובכללם מאגרי .
עוד מומלץ כי אכ"א בשיתוף הרשות להגנת הפרטיות יוציאו לפועל את .
תוכנית העבודה שגובשה כתוצאה מהפגישה במאי 2021 ובכלל זהיקדמו את ההדרכות .
בצה"ל בנושא עמידה בתקנות אבטחת מידע ויגבשו תכנית להכשרת בעלי תפקיד שיוכלו .
לשמש מפקחים פנימיים בתוך צה"ל.
בהיעדר בקרה של צה"ל על מידת עמידת מאגרי אמצעי הזיהוי בתקנות אבטחת מידע, בדק .
משרד מבקר המדינה את מידת עמידתם של המאגרים בסעיפי החוק והתקנות, כפי שיפורט .
להלן תרשים המסכם את מידת עמידת מאגרי אמצעי הזיהוי בסעיפי החוק או התקנות הרלוונטיות: .
ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו תרשים 7: עמידתמאגרי אמצעי הזיהוי בדרישות תקנות אבטחת מידע .
| 147 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו איסוף מידע והשימוש בו .
תקנות אבטחת מידע מפרטות דרישות שאותן יש ליישם במאגר מידע, ובהן דרישות הנוגעות .
לתפעול ולתחזוקה של המאגר וכן לביקורות התקופתיות שיש לבצע כדי לוודא שהמאגר .
לפי דברי ההסבר לתקנות: "האחריות הכוללת לעמידה בתקנות היא של בעל .
מאגר המידע (כלומר הגוף הציבורי או הפרטי שלמטרותיו ולצרכיו המידע נאסף ומעובד) ושל .
מנהל המאגר (כלומר מנכ"ל הגוף או בכיר אחר שהוא הסמיך לכך)" 16 .
בפגישות שקיים צוות הביקורת עם גורמים ביחידות שונות הקשורים למאגרי אמצעי הזיהוי עלה .
כי אין גורם שהוא מנהל המאגר.
נמצא כי צה"ל (שלפי התקנות הוא בעל מאגר המידע) לא מינה גורם לתפקיד מנהל .
המאגר הביומטרי כנדרש בתקנות אבטחת מידע ולא הגדיר את תחומי אחריותו וסמכותו .
מומלץ כי צה"ל ימנה מנהל מאגר שהוא קצין בכיר כנדרש בתקנות.
בתשובת צה"ל נמסר כי עד מועד סיום הביקורת באפריל 2022 , לא מונה מנהל מאגר מידע .
שמירת מידע אישי במאגר, ובפרט מידע ביומטרי, עלולה לגרום לפגיעה בפרטיות.
מוטלות על בעל מאגר ועל מנהל מאגר חובות בנושא אבטחת המידע של המאגר.
נקבעו בחוק הגנת הפרטיות ובתקנות שהותקנו מכוחו , והן מחייבות את הארגון להגדיר את .
מטרות המאגר ואת אופן הטיפול במידע שבו, וכן למנות בעלי תפקידים הקשורים למאגר .
סעיף 8 (ג) לחוק הגנת הפרטיות מחייב, בתנאים מסוימים, לרשום מאגרי מידע אצל רשם מאגרי .
סעיף 9 ,(ב) לחוק מפרט מה תכלול בקשה לרישוםובכלל זה: זהות בעל המאגר ומנהל .
המאגר ; מטרות הקמת המאגר והמטרות שלהן נועד המידע (אסור להשתמש במידע במאגר .
עבור מטרות שלא הוגדרו); סוגי המידע שייכללו במאגר .
נוסף על חובת רישום המאגר, תקנה 2 לתקנות אבטחת מידע מחייבת את בעל המאגר להכין .
"מסמך הגדרות מאגר", ולהגדיר בו מידע חיוני הקשור למידע ולאופן השימוש בו, ובכלל זה: .
תיאור כללי של פעולות איסוף המידע והשימוש בו; תיאור מטרות השימוש במידע; סוגי המידע .
הכלולים במאגר; סיכוני אבטחת המידע שהמאגר חשוף אליהם ודרכי ההתמודדות של הארגון .
16 מסמך "טיוטת תקנות הגנת הפרטיות(אבטחת מידע) התשע"ו -2016 ,"; מכתב משרת המשפטים אל יו"ר ועדת חוקה .
חוק ומשפט, טיוטת חוק ודברי הסבר ( 11.
), בחלק המבוא שלפני דברי ההסבר לטיוטת החוק .
ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו עימם; פרטי בעלי התפקיד במאגר - מנהל המאגר וממונה אבטחת המידע (אם מונה בעל תפקיד .
באתר מאגרי המידע הממשלתיים שבמרשתת ניתן למצוא את פנקס מאגרי המידע (המאגרים .
הרשומים אצל רשם מאגרי המידע) 17 .
מאגרי אמצעי הזיהוי אינם ברשימה זו.
להגנת הפרטיות נמסר כי צה"ל לא רשם את המאגרים שברשותו אצל רשם מאגרי המידע.
נמצא כי אף שמאגרי אמצעי הזיהוי שברשות צה"ל מקיימים את התנאים שנקבעו בחוק .
ולכן חייבים ברישום, צה"ל לא רשם אותם.
עוד נמצא כי צה"ל לא גיבש מסמך הגדרות .
למאגרי אמצעי הזיהוי כנדרש בתקנות אבטחת מידע, הכולל מידע חיוני הקשור למאגרים .
ולאופן השימוש בהם כמו פירוט הסיכונים העיקריים של פגיעה באבטחת המידע ואופן .
בתשובת צה"ל נמסר כי למיטב ידיעתם מאגר המידע הצה"לי נרשם ברשם מאגרי המידע .
בתחילת שנות התשעים של המאה העשרים.
לא התקבל מצה"ל מסמך המוכיח זאת.
מומלץ כי צה"ל יכין מסמך הגדרות למאגרי אמצעי הזיהוי כנדרש בתקנות, ויפעל מול .
הרשות להגנת הפרטיות בנושא רישום המאגרים.
העברת מידע מהמאגר לעמותה א' .
נמצא כי במאגרי המידע של עמותה א' נשמר מידע אישי המזוהה עם חיילים, וכי במרשתת .
יש אינדקציה שעמותה א' מחזיקה במידע רגיש זה.
מומלץ כי צה"ל יבחן להעביר לעמותה א', המחזיקה במאגרי מידע שבהם פרטי חיילים, .
מזהה אחר במקום המספר האישי.
בתשובת צה"ל נמסר כי יהיה נכון לתקף מחדש את ההסכם עם עמותה א' ולזהות את החיילים .
לפי מספר הזהות, ולא להעביר פרט מזהה שיסמן אותם במאגר כחיילים.
בתשובת עמותה א' נמסר כי אם צה"ל יאשר צירוף חיילים באמצעות מספר זהות, שם מלא ופרטי .
מידע עודף במערכות אמצעי הזיהוי .
בעידן הדיגיטלי איסוף מידע ושמירתו במאגרי מידע נתפסים כהליכים הכרחיים.
במקרים רבים המידע הנשמר אינו נחוץ או שאינו רלוונטי להשגת המטרה שלשמה הוא נאסף .
מלכתחילה או מטרות המאגר שבו הוא נשמר.
| 149 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו סעיף 2(9 ) לחוק הגנת הפרטיות קובע כי פגיעה בפרטיות היא, בין היתר : "שימוש בידיעה על .
ענייניו הפרטיים של אדם.
שלא למטרה שלשמה נמסרה" (להלן - עקרון צמידות המטרה).
הרשות להגנת הפרטיות הפיצה לציבור טיוטת מסמך מדיניות, הסוקר את הוראות הדין ומציג .
את פרשנות הרשות והמלצותיה בנושא צמצום מידע 18.
במסמך הוגדר כי מידע שנשמר במאגר .
מידע, אשר אינו רלוונטי או אינו נדרש להשגת המטרה שלשמה הוא נאסף או למטרות המאגר .
שבו הוא נשמר, נחשב כמידע עודף.
מידע עודף יכול להיווצר כבר בשלב איסוף המידע הראשוני .
או להפוך לכזה במהלך שמירתו לאורך זמן במאגרי מידע.
גם בית המשפט העליון בשבתו כבית .
משפט גבוה לצדק קבע כי הטלת מגבלות על איסוף מידע ועל אגירתו באופן אלקטרוני הן חלק .
אינטגרלי מהזכות לפרטיות19.
בנוסף על האמור, החזקת מידע עודף במאגרים גורמת לגידול מיותר בעלויות הניהול והתחזוקה .
תקנה 2 (ג) לתקנות אבטחת מידע קובעת כי על בעל מאגר מידעלוודא אחת לשנה שהמידע .
השמור במאגר אינו רב מן הנדרש בהתאם למטרות המאגר .
נמצא כי צה"ל לא בחן אחת לשנה כנדרש בתקנות אם שמור מידע עודף במאגרי אמצעי .
הזיהוי, וכן נמצא כי במאגרי המידע של מערכות אמצעי הזיהוי ( מערכת א' ומערכת ב') .
מומלץ כי צה"ל יבחן אחת לשנה כנדרש בתקנות אם שמור מידע עודף במאגרי אמצעי .
עוד מוצע כי במסגרת הבחינה, ככל שימצא מידע שנדרש אולם אין לו הסמכה .
בדין, צה"ל ידאג להסדרת ההסמכה של מידע זה.
מידע בנוגע לפטורים משירות ולנפטרים .
צה"ל מנהל מעקב אחר מקבלי הפטור מחובת שירות צבאי, וזאת באמצעות סימונם כמשתייכים .
כמו כן צה"ל מקבל ממשרד הפנים עדכון תקופתי בדבר מוות של אזרחים .
כדי לחדול מלזמנם למילואים, ומסמן אותם במאגרי המידע כמשויכים ליחידת "נפטרים".
נמצא כי צה"ל אינו מוחק ממאגרי אמצעי הזיהוי את רשומות המידע, ובפרט את המידע .
הביומטרי על חיילים אשר הלכו לעולמם (נפטרים) ואשר לא בוצע לגביהם תהליך זיהוי.
מכיוון שכבר אין צורך בזיהוים, המידע עליהם אשר נשמר במאגרים הוא מידע עודף ויש .
יודגש כי מידע ביומטרי על נפטרים עלול לשמש ביתר קלות למטרת התחזות .
וגנבת זהות, שכן אין מי שיתלונן על השימוש שנעשה במידע זה.
מומלץ כי צה"ל ימחק ממאגרי אמצעי הזיהוי אחת לתקופה את המידע הביומטרי על חיילים .
שהלכו לעולמם ואשר לא בוצע לגביהם תהליך זיהוי.
18 "צמצום מידע עודף- מסמך מדיניות, טיוטה להערות הציבור", הרשות להגנת הפרטיות (מאי) 2020.