HeTree/MevakerConcSen huggingface dataset:
נתוני האגף לשנת 2010 אינם מספקים תמונת מצב מלאה ומהימנה בדבר שיעור החריגות לכאורה שטופלו במוסדות להשכלה גבוהה, שהם מרבית הגופים הנתמכים, ובחברות הממשלתיות: (א) על פי נתוני אגף השכר, בשנת 2010 נמצאו חריגות לכאורה בשכרם של283 עובדים במוסדות להשכלה גבוהה, הנכללים בגופים הנתמכים, והאגף טיפל ב-87% מהן.
על פי דיווחי המוסדות לממונה על השכר, שיעור הגידול בשכר של עובדים אלה היה בין 5% ל-50% .
נמצא כי אגף השכר עשה בדיקות פרטניות רק בנוגע לחלק מהמוסדות להשכלה גבוהה שנמצאו בהם חריגות לכאורה, וגם באלה - נבדקו החריגות שנמצאו בשכר עובדי הסגל המי נהלי בלבד.
באותם מוסדות שבהם נעשו הבדיקות לא בוצעו בדיקות פרטניות בדבר חריגות לכאורה בשכרם של עובדי הסגל האקדמי29 .
)(ב על פי נתוני אגף השכר, בשנת 2010 נמצאו חריגות לכאורה בשכרם של138 עובדים בחברות ממשלתיות והאגף טיפל ב-95% .
מהן43 (30% ) מהעובדים האלה מועסקים בחברה ג'.
על פי דיווחי החברות, שיעור הגידול בשכר של אותם עובדים הוא 5% עד44% .
שונות זו בין שיעורי הגידול בשכר העובדים עשויה להעיד שהחריגות לכאורה הן ברכיבי שכר שונים.
נמצא כי אגף השכר טיפל בחריגות שנמצאו ברכיב שכר מסוים אחד בלבד, והן הוכשרו במסגרת המשא ומתן על הסכם השכר, ולא טיפל בחריגות ברכיבים אחרים.
אגף השכר טיפל אפוא בחריגות השכר לכאורה בחברות הממשלתיות ובגופים הנתמכים בשנת 2010 באופן חלקי בלבד.
עקב כך אי -אפשר לדעת אם נדרשת אכיפת חוק יסודות התקציב על הגוף הציבורי.
טיפול חלקי כזה פוגע ביעילות האכיפה ואף עלול להכשיר חריגות שכר ולמנוע טיפול בהן בעתיד.
לרבות מוסדות להשכלה גבוהה ומכללות אקדמיות 29 הסכם שכר משנת2011 הסדיר חריגות שכר ברכיב מסוים משכרם של עובדי הסגל האקדמי.
:שם הדוח פיקוח ובקרה על השכר במגזר הציבורי מסגרת הפרסום: דוח שנתי 64ג שנת פרסום: התשע"ד- 2014 4.
בלוח3 מוצגים נתוני אגף השכר על הטיפול בחריגות שכר לכאורה בשנת2010 בנוגע לחמשת המגזרים האחרים: לוח 3 טיפול בחריגות שכר לכאורהבשנת 2010 .
מקומיות 257 97,526 47 137 65 72 53% .
עירוניות 119 6,312 5 8 6 2 25% .
ערים 68 2,100 6 6 5 1 17% .
דתיות 133 2,594 9 9 0 9 100% .
לפי חוק 51 15,681 10 18 8 10 56% .
מהלוח עולה שעל פי נתוני אגף השכר הוא לא טיפל בכמחצית מהחריגות לכאורה ברשויות המקומיות ובתאגידים ולא ביצע פעולות אכיפה בעניינן.
טיפול שיטתי במאות חריגות שכר בעשרות גופים ציבוריים, שנכללות בדוח חריגות השכר מדי שנה, מצריך רישום של הבדיקות הפרטניות שנעשו ושל פעולות האכיפה שבוצעו בעקבותיהן.
בידי אגף השכר לא היו רשימות המתעדות את תוצאות הבדיקות הפרטניות ואת פעולות האכיפה שנקט לטיפול בחריגות השכר לכאורה.
רק בעקבות כך שמשרד מבקר המדינה ביקש מאגף השכר רשימות כאמור לשנים 2009 ו- 2010 החל אגף השכר להכינן.
אגף השכר השיב שהטיפול בחריגות שמתגלות יבוצע לפי סדר עדיפויות ובהתאם למגבלות כוח האדם באגף.
עוד השיב כי הוא הקים מערכת ממוחשבת לתיעוד החריגות לכאורה והטיפול בהן; וכי החל לקדם תכניות ממוחשבות לאיתור חריגות בזמן אמת, ובשנת 2014 המערכת עתידה לכלול מידע על שכר עובדים בכירים בשלטון המקומי.
שם הדוח: פיקוח ובקרה על השכר במגזר הציבורי מסגרת הפרסום: דוח שנתי 64ג שנת פרסום: התשע"ד- 2014 על הממונה על השכר לקבוע סדרי עבודה לטיפול בחריגות שכר לכאורה בגופים הציבוריים, שיבטיחו אכיפה יעילה של הוראות חוק יסודות התקציב.
כמו כן עליו לקבוע סדר עדיפויות לטיפול בחריגות, על פי הצורך.
עוד עליו להשלים את ריכוז המידע בדבר כל פעולות האכיפה שנעשו בנוגע לחריגות האלה ולוודא שהמידע יעודכן באופן שיטתי ורציף.
,בדוח שמגיש הממונה על השכר לכנסת על פי חוק יסודות התקציב, מוצגים מקרים שבהם יש חריגות שכר לכאורה, המחושבות לפי שיעור השינוי בשכר בין שנה לשנה.
נמצא כי מתכונת הדיווח של הממונה על השכר אינה מאפשרת לאתר חריגות שכר לכאורה שהיה ראוי לבדוק: לא מוצגות חריגות שכר בבסיס השכר (שייתכן שהוא חורג) אל א רק חריגות שחושבו לשינוי בשכר הכולל בין שתי שנים; מוצגות חריגות שכר של עובדים שמסגרת העסקתם לא השתנתה, כלומר עובדים שעבדו הן בשנה הנבדקת והן בשנה שקדמה לה.
לדוגמה, לא מוצגים בה נתונים על שכר שחורג כבר בשנת העבודה הראשונה של העובד; לא מוצגות חריגות שכר של עובדים שבשנה הנבדקת מדווחים לראשונה באופן פרטני בקבוצת בעלי השכר הגבוה30", ובשנה שקדמה לה נכללו בקבוצת "עובדי דירוגים31 ושכרם לא דווח באופן פרטני.
מתכונת הבדיקה הזאת אינה מבטיחה שיאותרו החריגות האלה או שהן יתגלו בשנים הבאות.
הממונה על השכר קבע כי כאשר הגידול בשכר של עובדים בגוף הציבורי היה גדול מ - 5% מהגידול בשירות המדינה, ייחשב השינוי כחריגת שכר לכאורה.
בעקבות הנהגתה של שיטת הבדיקה האמורה, אגף השכר אינו מאתר גידול בשכרו של עובד בין שנה לשנה אם שיעורו קטן מ-5% , גם אם גידול כזה חל שוב ושוב, במשך כמה שנים, ומצטבר לכדי שינוי ניכר בשכר.
משרד מבקר המדינה מעיר כי המקרים הלא מדווחים עלולים לשקף - כל אחד בנפרד ובמצטבר - חריגות שכר שיש לתת להן ביטוי בדוחות הממונה על השכר.
אם נדרשים סדר עדיפויות ומדרגים לנוכח המגבלות במשאבים, הרי אפשר לקיים אותם בתחום האכיפה ולא בתחום השיקוף והדיווח.
אגף השכר מסר בתשובתו כי הוא מפתח מערכות מחשב לאיתור חריגות שכר בזמן אמת, ואיתור חריגות שכר באמצעות בדיקה מצטברת של נתוני השכר של העובד במשך שנים.
מערכות אלו נועדו לאפשר איתור חריגות בבסיס השכר של העובד והרתעת גופים ציבוריים מאישור חריגות שכר לעובדיהם.
30 ""בעל שכר גבוה- עובד ששכרו הכולל גדול מ-90% .
משכר המנכ"ל באותו הגוף 31 ""עובד דירוג- עובד שמועסק בדירוג מקצועי וקיבל דרגה באותו דירוג.
השכר של כל עובדי דירוג מסוים מדווח במרוכז כנתון אחד.
:שם הדוח פיקוח ובקרה על השכר במגזר הציבורי מסגרת הפרסום: דוח שנתי 64ג שנת פרסום: התשע"ד- 2014 על הממונה על השכר להשלים בהקדם את הפעולות שיאפשרו לו איתור חריגות שכר שונות, ובהן חריגות שכר לכאורה של עובדים חדשים ושל עובדים שמתמנים לתפקידים בכירים, ואיתור עובדים שהגידול בשכרם בין שנה לשנה שיעורו קטן מ-5% אך בטווח הארוך מצטבר לשיעור גדול.
חברה עירונית כהגדרתה בחוק יסודות התקציב היא כאמור חברה שיותר ממחצית כוח ההצבעה בה או הזכות למנות יותר ממחצית מספר הדירקטורים שלה הם בידי רשות מקומית או בידי רשות מקומית עם המדינה או עם חברה עירונית אחרת או חברת בת עירונית.
חברה עירונית נחשבת גוף מתוקצב לפי סעיף 21 לחוק.
רק חברות עירוניות שעונות על ההגדרה הזאת מחויבות לפי החוק למסור לממונה על השכר דוח על תנאי העסקתו של כל עובד ובעל תפקיד שהיא מעסיקה.
על פי נתוני המינהל לשלטון מקומי במשרד הפנים, בשנת 2011 היו236 .
חברות עירוניות אולם על פי דוח הממונה על השכר לשנים 2010 ו-2011 , הוא פנה ל-119 ול-122 חברות עירוניות בלבד בהתאמה, והן העבירו לו נתונים כנדרש.
מתשובתו של אגף השכר עולה שאין בידיו נתונים המאפשרים להבחין בין חברות עירוניות החייבות בדיווח על השכר ובין אלה שאינן חייבות בכך.
מתברר כי רק באמצע שנת 2013 .
פנה האגף לראשונה למשרד הפנים וביקש לקבל נתונים כאלה יוצא אפוא שלאגף השכר חסרים נתוני יסוד על חברות עירוניות, הוא אינו מקבל דיווחים על כמחצית החברות העירוניות, ועקב כך אין ברשותו נתונים על תנאי ההעסקה הנהוגים בהן ואם הן ממלאות את הוראות הדין.
על משרד הפנים למסור לאגף השכר בהקדם את המידע הדרוש להבחנה שבין חברות עירוניות שמחויבות לדווח לו על השכר ובין חברות אחרות שאינן חייבות בדיווח.
על אגף השכר לפנות אל כל החברות העירוניות החייבות בדיווח, להנחות אותן בדבר הדיווח הנדרש מהן על פי חוק ולפעול ל אכיפת הוראות חוק יסודות התקציב גם בעניינן.
הטיפול של אגף השכר במידע שנכלל בדיווחים על חריגות השכר לכאורה בגופים הציבוריים שקיבל מהגופים טעון שיפור.
עליו להגדיל את היקף הבדיקות הפרטניות של חריגות השכר לכאורה, לוודא כי הדוחות המרכזים את החריגות הלכאוריות יכללו את מֵרב החריגות האפשריות, ולדרוש מידע מכ לל החברות העירוניות.
כל זאת כדי להבטיח תשתית מיטבית לאכיפה.
שם הדוח: פיקוח ובקרה על השכר במגזר הציבורי מסגרת הפרסום: דוח שנתי 64ג שנת פרסום: התשע"ד- 2014 .
ממצאי הביקורת שהובאו לעיל מלמדים על חולשה באכיפת הוראות חוק יסודות התקציב הנוגעות לשכר ולתנאי ההעסקה.
מנתה יחידת האכיפה עשרה עובדים הממונה על השכר דאז הציג להנהלת משרד האוצר את הקשיים לפעול בתחום האכיפה: "עם כוח האדם המצומצם העומד לרשותנו, לא ניתן לבצע אכיפה יעילה ומקיפה.
יוער כי ישנם גופים רבים בהם מעולם לא נערכה אכיפה כלל.
המצב בו גופים רבים הכפופים לחוק יסודות התקציב לא בוקרו בשל מחסור בכוח אדם חמור ובעייתי מהבחינה הציבורית.
מצב זה יוצר את תסמונת החתול והעכבר - אין משאבים - סיכוי נמוך להיתפס".
פניות בנוסח זה נשלחו בשנים 2010 -2004 .
נציבות שירות המדינה (להלן- נש"ם) היא הגוף האחראי לקבוע מדיניות לניהול ענייני כוח האדם בשירות המדינה, לפקח על ביצועה, לאשר את המבנה הארגוני של משרדי הממשלה ולאשר תקנים של עובדים.
בתחילת שנת 2010 הסביר סגן הממונה על השכר בדיון עם סגן נציב שירות המדינה שפוטנציאל האכיפה אינו מנוצל בשל מחסור בכוח אדם מקצועי של יחידת האכיפה.
סגן נציב שירות המדינה הסכים ש"קיים יחס ישיר" בין תגבור היחידה בכוח אדם ובין הגברת האכיפה.
סוכם שכדי לבחון באופן מקצועי את בקשת אגף השכר לעשות שינוי ארגוני ביחידת האכיפה, הוא יגיש לנש"ם בקשה מפורטת, לרבות נימוקים ופירוט של התפוקות המצופות של היחידה בהתחשב בתשומות כוח האדם שהוא מבקש.
במאי2011 סיכם אגף השכר עבודה שנעשתה בסיוע יועץ ארגוני בנושא ההיערכות הארגונית של יחידת האכיפה, ובסיכומה הומלץ על מבנה ארגוני שיישומו דרש תוספת של ארבע משרות של כלכלנים, ובסך הכול 14 .
משרות ביחידה על סמך זאת וכן בשל נימוקי אגף השכר אישר אגף תקציבים במשרד האוצר תוספת של ארבע משרות בתקן החל משנת 2012.
נמצא שאגף השכר לא הגיש בקשה מפורטת לנש"ם כנדרש בסיכום מתחילת שנת 2010 , ולמותר לציין שנש"ם לא בחנה באופן מקצועי את בקשת האגף כנדרש.
לדברי מנהלת יחידת האכיפה, היחידה עוסקת במטלות רבות, לרבות טיפול במאות פניות בשנה (ובהן תלונות) הדורשות בדיקות מעמיקות נקודתיות; היא מייצגת את אגף השכר בהליכים משפטיים בעקבות עתירות של עובדים נגד המעסיקים שהם גופים ציבוריים; ומטפלת בפניות רבות מגופים ממשלתיים; בכלים העומדים לרשות היחידה, היא אינה נותנת מענה אמיתי לצורך באכיפה אפקטיבית ובהרתעה מפני חריגות שכר בטווח הארוך.
מינואר2009 ועד ינואר2013 כלל תקן יחידת האכיפה תשע משרות.
מספר המשרות המאוישות היה בין שבע לתשע, ובתחילת 2013 נוספו לתקן היחידה שלוש משרות.
ביולי 2013 עבדו ביחידה שמונה עובדים, בהם חמישה כלכלנים; ארבע משרות נוספות בתקן עדיין לא אוישו.
על פי תשובת אגף השכר, שלוש מהמשרות החדשות נמצאות בתהליך לאיושן, והרביעית תאויש לאחר השלמת תהליכי מכרז פנימי.
כוח האדם שעמד לרשות יחידת האכיפה במועד סיום הביקורת, יולי 2013 , נותר אפוא כפי שהיה בשנת 2009 .
:שם הדוח פיקוח ובקרה על השכר במגזר הציבורי מסגרת הפרסום: דוח שנתי 64ג שנת פרסום: התשע"ד- 2014 החולשה באכיפת הוראות חוק יסודות התקציב על הגופים הציבוריים הועלתה שוב ושוב במשך כעשור, והגורמים השונים סברו שמקורה, במידה רבה, במחסור בכוח אדם ביחידת האכיפה.
הדבר מחייב את הממונה על השכר להשלים את תהליך הבדיקה וההחלטה, שהוחל לבצעו עוד בתחילת שנת 2010 , ולהגיש לנש "ם את הבקשה המפורטת והמנומקת של יחידת האכיפה.
אם יימצא שיש צורך לפעול להוספת תקנים, על הנוגעים בדבר להוסיפם כדי להבטיח שיפור באכיפה, שעשוי לחסוך לקופת המדינה כסף רב.
בהחלטתה משנת 1997 ביקשה הממשלה ליצור מערכת של פיקוח ובקרה על תנאי השכר והעבודה של כ- 330,000 עובדים וגמלאים בכ-750 גופים ציבוריים.
ממצאי הביקורת מלמדים על חוסר תיאום בין האחראים לנושא - אגף השכר, משרד הפנים, המשרד לשירותי דת ורשות החברות - ועל פיקוח לקוי וח סר על תחום השכר ותנאי העבודה בגופים הציבוריים שיש בו כדי לפגוע ביעילות האכיפה של הוראות חוק יסודות התקציב וביכולת ההרתעה של הממשלה מפני אישור חריגות שכר.
אכיפה יעילה היא משימה מורכבת, וזו הוטלה על יחידת האכיפה באגף השכר.
על האגף לפעול עם נציבות שירות המדינה כדי להבטיח שמשאבי היחידה ייקבעו על פי היקף תפקידיה.
על הממונה על השכר להשלים את התיאום עם הגופים המאסדרים ואת חלוקת עבודת הבקרה ביניהם, ובכלל זה לקבוע אילו נושאים יש לכלול בבדיקות השכר.
כמו כן עליו לגבש תכנית רב -שנתית לפעילות הבקרה, לרכז את הנתונים על בדיקות אופקיות שנעשו במשך השנים; לקבוע סדרי עבודה לטיפול בחריגות שכר לכאורה בגופים הציבוריים; ולהשלים את מאגר הנתונים על חריגות השכר לכאורה ועל הטיפול בהן.
על מנכ"ל משרד הפנים ומנכ"ל המשרד לשירותי דת לוודא שתגובש תכנית רב- שנתית לביקורת על השכר ולעשות בדיקות בתיאום עם הממונה על השכר.
עוד על מנכ"ל משרד הפנים לפעול לקיום בדיקות שכר של העובדים בתאגידים העירוניים.
על מנהל רשות החברות לוודא שיבוצעו מדי שנה ביקורות בחברות הממשלתיות, בתיאום עם הממונה על השכר.
כל אלה נדרשים כדי להבטיח תשתית מיטבית לאכיפה.
אבטחה פיזית של מערכות מידע הינה "מכלול ה שיטות, אמצעי הגנה פיזיים ונהלים, שמטרתם למדר את מערכות המידע ולהגן פיזית על אזור מוגדר כדי לאפשר גישה לאזור זה או למנוע אותה, לפי הצורך, וכן להגן על הנכסים הנמצאים בו מפני השמדה, השחתה או גניבה"11 .
אבטחת מידע מוגדרת בחוק הגנת הפרטיות, התשמ"א - 1981 (להלן- חוק הגנת הפרטיות), כ"הגנה על שלמות המידע12 ,, או הגנה על המידע מפני חשיפה, שימוש או העתקה והכל ללא רשות כדין".
בשנת 1997 החל אגף החשב הכללי במשרד האוצר בפרויקט להסדרת תשתית האינטרנט למשרדי הממשלה (להלן - תהיל"ה)13 , ובשנת 1999 החל בביצוע תת-פרויקטים במסגרת מה .
11 מתוך תקן ישראלי 1495 חלק5" , אבטחת מערכות מידע ממוחשבות - היערכות למצב אסון".
12 "מידע" מוגדר בחוק הגנת הפרטיותכ"נתונים על אישיותו של אדם, מעמדו האישי, צנעת אישותו, מצב בריאותו, מצבו הכלכלי, הכשרתו המקצועית, דעותיו ואמונתו".
13 פרויקט שמטרתו חיבור משרדי הממשלה לאינטרנט, ויצירת תשתית מאובטחת לאחסון ולניהול של אתרי אינטרנט ממשלתיים ולמתן שירותים נלווים.
אבטחה פיזית ושרידות של תשתיות אינטרנט ומחשוב עבור משרדי ממשלה 1589 .
:שם הדוח אבטחה פיזית ושרידות של תשתיות אינטרנט ומחשוב עבור משרדי ממשלה מסגרת הפרסום: דוח שנתי 64ג שנת פרסום: התשע"ד- 2014 שכונה לאחר מכן "פרויקט ממשלזמין"14 .
במאי 2002 החליטה הממשלה15 לבסס את מימוש "פרויקט ממשל זמין " מול הציבור באמצעות פרויקט תהיל"ה, שייעל את זרימת המידע בין הממשלה לציבור ולהיפך, על ידי יצירת מנגנון מאובטח ברשת האינטרנט , המקשר בין "מערכת רוחבית כוללת במשרדי הממשלה " (להלן - פרויקט מרכב"ה)16 ומערכות מידע ממשלתיות לבין הציבור (להלן - ממשל זמין או תהיל"ה).
ממשל זמין ס יפק בשנת 2012 למשרדי הממשלה ולגופים ציבוריים וכן לכ- 50,000 ממשתמשי הם את השירותים האלה: תשתית למתן שירותי רשת מאובטחים, שירותי גלישה מאובטחת באינטרנט, דואר אלקטרוני, אירוח אתרים - תשתית מחשבים (חוות שרתים) לאחסון של דפי אינטרנט ועוד.
כמן כן, ממשל זמין מנהל את פרויקט כרטיס חכם 17 , את מנור"ה (מערכת ניהול ותיעוד הרכש הממשלתי), את שירות הטפסים הלאומי ועוד.
בממשל זמין מועסקים כ-250 עובדים במקומות שונים באמצעות חברות כוח אדם ובתי תכנה.
בחודשים אפריל ומאי 2013 בדק משרד מבקר המדינה כמה היבטים של אבטחה פיזית ושרידות מערכות של תשתיות אינטרנט ומחשוב בתהיל"ה.
בדיקה זו נערכה כבדיקת השלמה לביקורת שערך משרד מבקר המדינה בנושא ניהול אבטחת מידע ושרידות תשתיות אינטרנט ומחשוב עבור משרדי ממשלה18.
נבדקו בעיקר אבטחה פיזית וההיערכות לסיכונים ביטחוניים, סיכוני אש וסיכוני מים.
הביקורת נערכה במשרדי ממשל זמין שבמשרד האוצר ובאתר החלופי ( DRP)19 .
של ממשל זמין בטירת הכרמל אתר ממשל זמין נמצא בירושלים.
הבניין בנוי מאגף אחד הכולל שבעה מפלסים, וצורתו מלבנית: אורכו 60 מטרים, רוחבו 40 מטרים וגובהו14.
5 קומות של חדרים טכניים וקומת חניה בשטח של כ- 1,500 מ"ר.
הבניין מוקף בחלקו בגדר אבן טבעית בגובה 2-2.
מטרים ובצדו הצפוני כביש גישה ללא מוצא 2.
על פי החלטת ממשלה נוהל מפת"ח - נוהל מסגרת לניהול המחשוב בארגון הן במישור הפרויקט והן במישור הארגון כולו, הוא נוהל מחייב במשרדי הממשלה20 .
נקבע בו כיאבטחת מידע כוללת כמה רכיבים: שמירה על חיסיון המידע ( Confidentiality) ; זמינות מערכות המידע ( Availability) ; ושלמות המידע( Integrity) .
אבטחתהמידע מטרתה לה גן על ארבע הפעולות הבסיסיות הנעשות ב כל מערכת ובסיס נתונים: יצירה והוספה של מידע חדש ( Create ( ); קריאה ושליפה של מידע Read ( ); עדכון ושינוי של מידע Update ); ומחיקה וביטול של מידע ( Delete.
) פגיעה במערכות הממוחשבות במגזר הציבורי עלולה לגרום לנזקים כבדים, כמו פגיעה בשירותים הניתנים לאזרח , פגיעה בצנעת הפרט וניתוק משרדי הממשלה מרשת האינטרנט.
14 לסקירה על פעולות הממשלה בנושא בשנים 2002 -1997 : ראומבקר המדינה, דוח שנתי 53ב ( 2003) , ,השימוש בטכנולוגיית התקשוב למתן שירותים ממשלתיים לציבורעמ' 210-202 .
15 'החלטה מס 1812 מיום 12.
16 פרויקט שיזם אגף החשב הכללי במשרד האוצר בשנת 2000 להקמה ולהטמעה של מערכת מחשוב אחידה במשרדי הממשלה, לניהול המשאבים בתחומים האלה: כספים, כוח אדם, רכש (לוגיסטיקה) ונכסים ולביצוע פעולות נוספות, כגון פניות לקבלת תמיכות ולהקצאתן.
פרויקט שנועד לספק תשתית לחתימה אלקטרונית ולזיהוי 18 ,מבקר המדינהדוח שנתי 63ב, ( 2013 ) ניהול אבטחת מידע ושרידות תשתיות אינטרנט ומחשוב עבור משרדי ממשלה, עמ' 277.
19 Disaster Recovery Planning - אוסף נהלים והנחיות המגדירים תהליכים חיוניים לארגון, פעולות הנחוצות להמשך מתן שירותים חיוניים, לוחות זמנים, מערך חלופי, הסכמי שירות וניסוי מערך התאוששות (לתרגול ולווידוא מוכנות הארגון למצב אסון).
20 /החלטת ממשלה (ועדת השרים לענייני כלכלה) כל103 מאוקטובר 1991 .
שם הדוח: אבטחה פיזית ושרידות של תשתיות אינטרנט ומחשוב עבור משרדי ממשלה מסגרת הפרסום: דוח שנתי 64ג שנת פרסום: התשע"ד- 2014 האגף הבכיר לביקורת המדינה במשרד ראש הממשלה פרסם בספטמבר 2005 "נוהל מסגרת לאבטחת מידע" (להלן - נוהל המסגרת).
נוהל המסגרת כולל 38 נהלים לאבטחת מידע במשרדי הממשלה, לרבות אלה: קביעת מדיניות ומיפוי מידע; הגורם האנושי ואבטחת המידע; אבטחה לוגית; אבטחה פיזית; גיבוי, שחזור והתאוששות; אבטחת תקשורת ושימושי אינטרנט; ואבטחת מידע במחשבים המנותקים מרשתות המשרד.
לפי נוהל המסגרת, על תחום אבטחת מידע בגוף ציבורי יהיה מופקד "הממונה על אבטחת מידע", ובאחריותו לבקר את הפעילויות הממוחשבות, כדי לוודא שהמשרד עומד בדרישות אבטחת המידע שמקורן בחוקים, בתקנות ובנהלים.
נוהל המסגרת אינו מחייב, ואולם יש בו כדי ללמד על התשתית הדרושה לאבטחת המידע ולשמירה על הפרטיות בגופים ציבוריים.
מכון התקנים הישראלי פרסם כמה תקנים (לא רשמיים) בעניין אבטחת מידע, ובכללם: תקן ישראלי 1243 בנושא בטיחות אש של מחשבים וציוד היקפי; ותקן 27001 , שנועד לשמש מודל להקמה, להפעלה, לניטור, לסקירה, לתחזוקה ולשיפור של מערכת לניהול אבטחת מידע.
מכלול תקנים אלה משמש נורמה מקיפה לאבטחת מידע בארגונים (להלן - התקנים הישראליים).
בהיעדר חלק מהנהלים לממשל זמין, בחר משרד מבקר המדינה להציג בחלק מפרקי דוח זה את נוהל המסגרת, שנועד להנחות את משרדי הממשלה וגופים ציבוריים, וכן את התקנים הישראליים, כאבן בוחן להערכת נקודות התורפה בממשל זמין.
טיפול ממשל זמין בליקויים שהעלתה הרשות הממלכתית לאבטחת מידע .
מאז הקמת תהיל"ה בשנת 1997 ועד לשנת 2011 לא הונחה ממשל זמין על ידי אף גורם רגולטורי.
על רקע חיוניותה ההולכת וגוברת של תהיל"ה למדינת ישראל, ולנוכח הנזק העלול להיגרם מפגיעה ניכרת בזמינות, באמינות או בסודיות של המידע הממשלתי והשירותים שהיא מספקת, הוכרזה תהיל"ה בשנת 2011 על ידיהרשות הממלכתית לאבטחת מידע של שירות הביטחון הכללי (להלן - רא"ם), כתשתית חיונית המונחית על ידיה.
משרד מבקר המדינה העלה, כי לממשל זמין הוגשו כמה דוחות ביקורת, שנעשו על ידי גורמים שונים, אך לא כל הליקויים שהועלו בהם תוקנו.
להלן הפרטים: במרץ 2011 הגישה רא"ם לממשל זמין דוח "ביקורת למיפוי מערכת ממוחשבת קריטית במשרד האוצר - תהיל"ה" (להלן - דוח רא"ם הראשון).
דוח רא"ם הראשון חשף ליקויים בתחום האבטחה הפיזית, ובהם פערים באבטחת המבנה.
ביולי 2012 , כשנה וחצי לאחר שהוגש דוח רא"ם הראשון, הגישה רא"ם לממשל זמין דוח ביקורת נוסף - "ביקורת אבטחת מערכת ממוחשבת קריטית במשרד האוצר מערכת תהיל"ה" (להלן - דוח רא"ם השני).
מדוח רא"ם השני עולה, כי חלק מהליקויים שהועלו בדוח רא"ם הראשון לא תוקנו, וכי רמת האבטחה של המערכות שהוגדרו כקריטיות נמצאה נמוכה.
בתחום האבטחה הפיזית עלו בדוח ליקויים באבטחת מבנה ממשל זמין.
אבטחה פיזית ושרידות של תשתיות אינטרנט ומחשוב עבור משרדי ממשלה 1591 .
:שם הדוח אבטחה פיזית ושרידות של תשתיות אינטרנט ומחשוב עבור משרדי ממשלה מסגרת הפרסום: דוח שנתי 64ג שנת פרסום: התשע"ד- 2014 בהתייחסותו לליקויים האמורים השיב ממשל זמין למשרד מבקר המדינה באוגוסט 2013 , כי הותקן תא סינון בכניסה לחדר השרתים, והותקנה " דלת מוטרדת" בכניסה לחדר מעדכני האתרים.
כמו כן הועלו בדוח רא"ם השני ליקויים בתחום אמצעי אבטחה היקפיים במתחם ממשל זמין, שעלו כבר בדוח רא"ם הראשון, אך עדיין לא תוקנו.
בהתייחסותו מאוגוסט 2013 מסר ממשל זמין, כי בדוח "סטאטוס טיפול בפערים בעקבות " מיולי ]תשתית מידע קריטי [ ביקורת תמ"ק 2013 נמצא שנושא הסורגים בחלונ ות נמצא תקין, וכי כל החלונות הינם ממוגני הדף.
בדוח רא"ם השני נכתב גם, כי דרישות האבטחה בהיערכות לחירום אינן עומדות ברמה הנדרשת של רא"ם, ובכללן: נוהל חירום שנכתב עונה חלקית לדרישות רא"ם - הוא אינו מתייחס לפעולה הנדרשת מאיש הצוות האחראי; בוצע תרגיל להעלאת רמת כוננות לרמה 3 בלבד, ללא שילוב כלל המעורבים בחירום; אין תהליך של שימור ידע, תיעוד תהליכים והפקת לקחים אפקטיבית; כמו כן לא נקבע נוהל המגדיר מהם אירועי אבטחה.
עוד ציין ממשל זמין בתגובתו למשרד מבקר המדינה, כי נוהל החירום (פק"מ חירום) אושר במאי 2013 כחלק מהליכי ההסמכה של ממשל זמין.
כמו כן החליטה רא"ם לפטור את ממשל זמין מתרגול חירום לשנים 2011 ו- 2012 בעקבות שני אירועי אמת שהתרחשו בנובמבר 2011 ובנובמבר 2012.
יוצא אפוא מדוח רא"ם השני, מיולי 2012 , כי חלק מהליקויים שהועלו בדוח רא"ם הראשון, ממרץ 2011 , בנושא אבטחה פיזית לא תוקנו.
בעקבות הנחיית ממשל זמין על ידי רא"ם ולצורך טיפול בבעיות ובהטמעת נוהלי תמ"ר בממשל זמין, הוקמה ועדת היגוי משותפת, ובה נציגים של רא"ם, אגף הביטחון של משרד האוצר ונציגי ממשל זמין (להלן - ועדת ההיגוי).
בפברואר 2013 התכנסה ועדת ההיגוי לדון בענייניה השוטפים.
מסיכום ועדת ההיגוי מפברואר 2013 עלה, בין השאר, כי קיים עיכוב משמעותי ביישום נוהלי תמ"ר בממשל זמין; הושגו "ציונים נמוכים מהמצופה" בביקורות שעשתה רא"ם בתהיל"ה; קיימים התעלמות וחוסר הטמעה בקרב העובדים לנהלים, והיעדר נהלים.
משרד מבקר המדינה מעיר, כי מן הראוי, שממשל זמין יטפל בליקויים שעלו בסיכום ועדת ההיגוי, כדי לעמוד ברמת האבטחה הנדרשת מארגון ממשלתי האחראי על תשתית חיונית.
בתשובתו מאוגוסט 2013 מסר ממשל זמין, כי ב- 12.
13 , במהלך הביקורת, קיבל הסמכות ראשונות במסגרת תהליך ההסמכה של תמ"ר.
עוד ציין ממשל זמין, כי הוא כתב ואישרר את נוהלי תקן 27001 .
לפי הנחיות רא"ם, וזאת כחלק מתכנית ההסמכה האמורה 3.
ביולי 2011 "ערכה רא"ם תרגיל אבטחת מידע בתהיל"ה.
"התרגיל הסתיים בכישלון לממשל זמין, כאשר המתרגל הצליח להגיע עד לחדר השרתים, והטמין בו מדמה של אמצעי לחימה.
שם הדוח: אבטחה פיזית ושרידות של תשתיות אינטרנט ומחשוב עבור משרדי ממשלה מסגרת הפרסום: דוח שנתי 64ג שנת פרסום: התשע"ד- 2014 בעקבות התרגיל, הוציא באוגוסט 2011 סגן קצין הביטחון (האחראי על המתחם שבו ממוקמים משרדי ממשל זמין) מסמך ולפיו יינקטו הפעולות הבאות לתיקון הליקויים: יבוצע תרגיל ערנות בתיאום עם קב"ט המתקן; כל מבקר או ספק או נותן שירותים יירשם ביומן אירועים; מערך האבטחה יתודרך בנוהלי העבודה ופרטי האירוע יועברו לידיעתם; נקודות תורפה בבניין בתחום אמצעים פיזיים ואלקטרוניים יטופלו; ייעשו פעולות לקידום המודעות וליישום הנחיות בסיסיות וגילוי אחריות בפתיחת דלתות בכניסה למתחם ממשל זמין ובחדרים רגישים השייכים לממשל זמין; כמו כן הומלץ לבחון אפשרות למיגון פיזי ואלקטרוני, כולל צפייה מעמדת בקרה למתחם הראשי ולחדר הרגיש.
רא"ם ערכה תרגיל נוסף כשנה ושלושה חודשים מאוחר יותר, באוקטובר 2012 .
בסיכום התרגיל נרשם, כי "תוצאת התרגיל הינה - כישלון".
ממסקנות התרגיל עולה, כי הכניסות לבניין אינן מפוקחו ת ומבוקרות ברמה מספקת; מודעות העובדים לגורמים שאינם מוכרים נמוכה.
בעקבות תרגיל רא"ם מאוקטובר 2012 , הכין קצין הביטחון באותו החודש תחקיר, ובו נכתב כי "מערך האבטחה הפיזי נכשל כמו כן נכשלו העובדים 'בשטח הפרטי' של משרדי תהילה".
בתחקיר עלה גם כי בבניין ממשל זמין מספר נקודות תורפה שלא טופלו בגלל היעדר תקציב.
נקודות תורפה אלה אפשרו לכוח המתרגל לבצע את התרגיל בהצלחה; עוד נכתב בתחקיר שישנם פערים בתשומות הפיזיות והאלקטרוניות בבניין הידועים "גם מתרגיל דומה שבוצע לפני כשנה.
" (ההדגשה במקור); ושמערכת האבטחה לא פעלה לפי הנהלים.
בין ההמלצות שיש לנקוט נוכח הממצאים שהועלו במסמך צוינו: מיגון נקודות תורפה; עדכון נוהלי עבודה; רענון נוהלי עבודה לעובדי מערך האבטחה ולעובדי ממשל זמין; ותדרוך כל מערך האבטחה על התרגיל.
בביקורת לא נמצא כי תועדו הצעדים שנעשו בעקבות הליקויים שהועלו בתרגילים מיולי 2011 ומאוקטובר 2012 .
במצב זה לא ניתן לדעת אילו צעדים ננקטו לשם תיקון הליקויים, אם בכלל.
בהתייחסותו מאוגוסט 2013 מסר ממשל זמין כי בעקבות הליקויים ננקטו בין השאר הצעדים הבאים: נקבעו הנחיות למבקר במתקן ממשל זמין הכוללות הצהרה על שמירת סודיות; הותקנ ו אמצעי אבטחה פיזיים מתקדמים, כגון: דלת מבוקרת בקומה הראשונה, תריס גלילה בכניסה לחניון הרכבים; עמדת השומרים נבנתה מחדש תוך התקנת אמצעי אבטחה מהמתקדמים בשוק; הותקן אמצעי בקרה על דלת הכניסה מגרם המדרגות; התקיימה הדרכה בנושא אבטחת מידע בסוף שנת 2012 ; והוסף מאבטח נוסף.
משרד מבקר המדינה מעיר, כי הליקויים שעלו בתרגילים מצביעים על חולשות ממשיות בתחום האבטחה.
ואולם חמורה בעיקר העובדה, כי ליקויים משמעותיים שהועלו בתרגיל הראשון שבו ועלו בתרגיל השני.
יש לתת גם את הדעת לכך, שלגבי חלק מהנושאים שעלו כליקויים בתרגילים הוע ר כבר בעבר בביקורות שערכה רא"ם בנושא.
תגובת ממשל זמין מצביעה אמנם על נקיטת פעולות לתיקון הליקויים, אולם נדרשות פעולות נוספות בעיקר בכל הנוגע להתקנת אזעקה במתחם התקשורת בין אתרים והכנסת מערכת מבקרים ממוכנת.
כמו כן, על הנהלת ממשל זמין ועל קב"ט משרד האוצר להד ריך ולהטמיע בקרב העובדים נושאים בתחום האבטחה הפיזית ומשמעותה, על מנת לבסס את ההיערכות בתחום זה.
אבטחה פיזית ושרידות של תשתיות אינטרנט ומחשוב עבור משרדי ממשלה 1593 .
:שם הדוח אבטחה פיזית ושרידות של תשתיות אינטרנט ומחשוב עבור משרדי ממשלה מסגרת הפרסום: דוח שנתי 64ג שנת פרסום: התשע"ד- 2014 .
טיפול ממשל זמין בממצאי סקר מערכות של חדר השרתים .
בנוהל "מדיניות אבטחת המידע" של ממשל זמין (להלן - נוהל מדיניות אבטחת מידע), שהוציא אגף הביטחון של משרד האוצר ב דצמבר 2005 ,, ועודכן על ידי ממשל זמין במשך השנים נקבע כי באחריותה של ועדת ההיגוי לאבטחת מידע בממשל זמין (להלן - ועדת ההיגוי) לטפל במכלול נושאים, ובהם גיבוש ועדכון המדיניות בתחום אבטחת מידע, התוו יית אסטרטגיות פעילות, פיקוח על תכניות העבודה השנתיות, קיום הערכ ת נזקים בעקבות תקלות , וגיבוש המלצות לטיפול בהן.
: סיכוני מים פעולתם השוטפת של מחשבים פולטת חום.
חום זה אם לא יסולק ממערכת המחשוב עלול להביא לעליית טמפרטורת העבודה של המעבד ולקריסתו.
לצורך עבודתם התקינה של מחשבים בכלל וחוות שרתים בפרט, נדרשת שמירה על טמפרטורה של עד co2521 .
קיימות מגוון שיטות לקירור חדרי מחשב, חלקןמבוססות מים וחלקן לא, ובהן: מזגני אוויר וצ'ילרים.
בחדר השרתים של ממשל זמין מותקנות מערכות קירור מבוססות מים (צ'ילרים) לצורך שמירה על טמפרטורה נאותה.
לבקשת ממשל זמין, ערכה חברה א' ביולי 2012 סקר מערכות ותחזוקה לחדר השרתים של ממשל זמין (להלן - סקר המערכות).
ממצאי הסקר בתחום מערכות מיזוג האוויר העלו פערים שיש להם השלכות לעניין חשיפת שרתי ממשל זמין לסיכוני מים.
עוד נמצא בסקר, כי ביצוע תחזוקת מערכות המיזוג הינו מינימאלי, ותואם רק חלקית לדרישות יצרני המערכות.
הביקורת העלתה, כי ממצאי סקר המערכות לא נדונו בוועדת הה יגוי לאבטחת מידע, כפי שנדרש בנוהל מדיניות אבטחת מידע.