HeTree/MevakerConcSen huggingface dataset:
מגזרית במשרד "גדול") ועד מועד הדיון משאבי היחידה המגזרית מסתכמים ב-1 מיליון ש"ח .
ומגלמים שני עובדים במיקור חוץ בלבד.
הודגש כי הסכום המבוקש הוא קטן ונדרש לפצות על .
הזנחה של כמה שנים, וכי בהשוואה להיקף הנזק אשר עשוי להיגרם, סכום זה בטל בשישים.
נציגי מערך הסייבר ציינו כי משרדי ממשלה מקבילים כדוגמת משרד האנרגיה ומשרד הבריאות .
מעסיקים ביחידת הסייבר המגזרית 17 מספר דו-ספרתי של בעלי תפקיד מקצועיים , וכי ליחידות .
אלו יכולות של ניטור המגזר והמשרד.
עוד הוסיפו כי נדרש לפתח יכולת סייבר חזקה במגזר, .
אשר תוכל לתת מענה מקצועי ב עת ההיערכות לקראת תקיפה ובזמן אירוע סייבר.
העובדה כי מערך הסייבר מחזיק בצוותים בהיקף מצומצם , ובמצב חירום ייעשה ת יעדוף ו תידרש .
יצוין כי בניגוד למשרד התחבורה, משרדים אחרים נקטו גישות שונות לצורך הסדרת תקני כוח .
כך למשל, במשרד האנרגיה עוסקים כ-30 עובדים בתחום הגנת הסייבר במגזר .
- מספר המאפשר ביצוע פעולות הנחיה, בקרה וניטור בגופים (הלאומיים והפרטיים) ורמת .
משרד התחבורה אף שונה באופן התקצוב והתקינה, ביחס למגזרים .
אחרים, בשל כך שתקציב יחידת הסייבר המגזרית אינה בבסיס התקציב18 , דבר המשפיע על .
יכולתו לממש את אחריותו.
כך לדוגמה, במשרד האנרגיה תקציב היחידה הוא חלק מהתקציב .
הקבוע של המשרד, עובדה המאפשרת תכנון רב-שנתי של המשימות.
באוגוסט 2021 שלח ראש מחלקת (רמ"ח) הכוונת המשק במערך הסייבר הלאומי מכתב .
למנהלת אגף הסייבר במשרד התחבורה, ובו ביקש לפעול בהקדם כדי לאייש את התפקידים .
באגף בהתאם למבנה שהציע המשרד עצמו, וזאת לנוכח העובדה שבמשך שנים לא אוישו .
התפקידים - דבר שצמצם מאוד את יכולות היחידה למלא את תפקידה באופן מיטבי.
17 משרד הבריאות ציין בתשובתו מיוני2022 כי הוא מעסיק מספר דו-ספרתי של בעלי תפקיד מקצועיים עבור הגנת .
18 בבסיס התקציב מופיעה פעילות באחת מרמות הפירוט של תקציב המדינה (סעיף, תחום, תוכנית או תקנה) שקרוב .
לוודאי שתתוקצב גם בשנים הבאות.
אפשר לתקצב פעולות גם שלא במסגרת זו (למשל באמצעות שימוש בסעיפים .
כלליים, רזרבות וכד'), אך במקרה כזה קיימת אי ודאות בדבר המשכיות התקציב ופגיעה אפשרית בתקציב העתידי.
הגנת הסייבר במגזר התחבורה בספטמבר 2021 אישרה ועדת המכרזים של משרד התחבורה גיוס של ארבעה עובדים במיקור .
חוץ לאגף הסייבר של המשרד: שני עובדים לתפקידי הנחיה ושני עובדים לתפקידי בקרה.
יצוין כי מעורבות אגף הסייבר במשרד התחבורה נדרשת במיוחד בפרויקטים חדשים, מתוך הבנה .
כי זול יותר לשלב את דרישות הגנת הסייבר בשלבי תכנון הפרויקט מלהכניסן בשלבים מאוחרים .
שבהם יידרשו שינויים והתאמות (תפיסת Security by Design), וכי למשרד התחבורה פרויקטים .
רבים בשלבי תכנון, כפי שיפורט בפרק "הגנת הסייבר בפרויקטים חדשים ".
בנובמבר 2021 אושר בכנסת תקציב המדינה לשנים2021 - 2022 .
בתקציב משרד התחבורה .
נכללו 70 מיליון ש"ח בסעיף תקציבי אחד עבור הנושאים האלה: הגנת הסייבר במגזר, טכוגרף .
ועלייה לענן, ללא חלוקה פנימית בין הנושאים.
בדצמבר 2021 התקיימה במשרד התחבורה ועדת היגוי סייבר ובה הוצג שנית כי התקציב הנדרש .
להגנת הסייבר בשנים 2021 - 2022 הוא30 מיליון ש"ח, אך בפועל הוקצו לנושא6.
לפי המשרד, אלה הנושאים הצפויים להיפגע בהיעדר תקציב, בין היתר: כוח אדם, יכולת .
אופרטיבית, כשירות ואחיזה בתמונת מצב רחבה.
במועד סיום הביקורת, באפריל 2022 , מנה אגף הסייבר במשרד התחבורה שלושה עובדים .
במשר ה מלאה: מנהלת אגף שמונתה בשנת 2019 , ושני עובדים במיקור חוץ- רמ"ח פרויקטים .
תפקיד רמ"ח SOC לא מאויש בשלב זה מאחר שלא נמצאו במכרז .
בביקורת עלה כי לאגף הסייבר במשרד התחבורה אין תקציב בסיס קבוע אלא תקציב .
שמתעדכן מדי שנה בשנה.
במצב זה האגף אינו יכול לבצע תכנון רב-שנתי של המשימות .
בהתאם לתקציב, לכן אין וודאות להמשך תקציבי .
כן נמצא כי למול התקציב הנדרש .
המוערך ב-30 מיליון ש"ח, בשנים2021 עד2022 הוקצו לנושא כ- 6.
בשנים 2015 עד2022 פעל אגף הסייבר במשרד התחבורה באיוש חסר בהשוואה למספר .
התקנים שנדרש בהחלטה 2443 ( , והועסקו בו רק שלושה מתוך חמישה60% ) עובדים.
עלה כי מערך הסייבר לא פיקח על יישום ההחלטה ולא התריע על אי-יישומה לפני גורם .
במצב זה אין בידי משרד התחבורה משאבי כוח האדם והתקציב הדרושים לטובת .
מימוש אחריותו והוא אינו יכול לתת מענה לחלק מה איומים הניצבים בפני מגזר התחבורה.
משרד התחבורה מסר בתשובתו ביולי 2022 כי הוא טרם קיבל מהאוצר את המשאבים והתקנים .
בטענה שהחלט ת הממשלה 2443 אינה בתוקף, כיוון שטרם הושלמה עבודת המטה, וכי הוגדרו .
מדרגות של מימון משותף עם מערך הסייבר, כאשר מנגנון המימון המשותף נדרש להיות מוחלף .
בעבודת תקינה של נציבות שירות המדינה ותקצוב מתאים.
נציבות שירות המדינה מסרה בתשובתה מיולי 2022 כי למשרד התחבורה קיימת משרת מיישם .
הגנת סייבר א' המאוישת מתחילת שנת 2022, וככל שידרשו משרות נוספות בתחום זה, הנושא .
ייבחן ויטופל ע"י גורמי המקצוע בנציבות שירות המדינה.
| 71 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה מוצע כי משרד התחבורה ומערך הסייבר יבחנו את התקציב ואת הלימת תקינת כוח האדם .
המוקצת למול המשימות שעומדות לפתחו של אגף הסייבר ולצורך מתן מענה לאיומי .
הסייבר הניצבים בפני מגזר התחבורה.
חשיבה מחודשת על החלטה 2443 .
בחלוף שש שנים מהחלטה2443 , בשנת2021 , החל מערך הסייבר בתהליך חשיבה מחודשת .
החשיבה הייתה בין היתר בנוגע ל"מודל המגזרים" שנקבע - מתן אחריות בנושא .
הגנת הסייבר למשרדי הממשלה המשמשים מאסדרים בתחומם.
התהליך הותנע מכמה סיבות: .
הזמן שחלף מההחלטה והלקחים שנלמדו בתהליך יישומה במשרדים שונים; תובנות שעלו .
מתהליך קידום הוראת השעה הנוגעת למתן סמכויות אופרטיביות למערך הסייבר כלפי ארגונים .
"סרבנים"; ושינויים ארגונים ותפקודיים במכלול הרלוונטי במערך הסייבר.
בדיונים עלו כמה נושאים ובהם: השונות בין המגזרים השונים אשר אינה מאפשרת מודל אחיד .
לכולם; קשב נמוך לנושא מצד מנכ"לי המשרדים; חלוקת האחריות בין המערך ליחידות הסייבר .
המגזריות ומערכת היחסים ביניהם.
במרץ 2022 מסר מערך הסייבר למשרד מבקר המדינה כי תהליך החשיבה המחודשת על .
החלטה 2443 טרם הסתיים, בין היתר עקב כניסת ראש מערך חדש לתפקידו.
בשנת 2021 קייםמערך הסייבר כמה דיונים בעניין "מודל המגזרים", אולם עד מועד סיום .
הביקורת באפריל 2022 לא הסתיים התהליך, כך שהתשתית הנורמטיבית לפעילותן של .
יחידות הסייבר המגזריות (החלטה 2443 ), מספקת מענה חסר הטעון עדכון.
מומלץ כי מערך הסייבר ישלים את תהליך החשיבה המחודשת על החלטה 2443 כדי לתת .
מענה לאיומי הסייבר הקיימים ברמה הלאומית, תוך מתן כלים ליחידות הסייבר המגזריות .
או באמצעות מודל אחר שיימצא לנכון.
במסגרת זו מומלץ כי תבוצע חשיבה גם על נושא .
בהחלטה 2443 נקבע, בין היתר, כי לצורך שיפור רמת הגנת הסייבר של המשרד יש להקצות .
תקציב ייעודי להגנת הסייבר בשיעור של 8% .
מהשיעור של כלל תקציב המחשוב של המשרד .
החלטה 2443 הגדירה את התקציב הנדרש להגנת המערכות הפנים-משרדיות ; היא לא .
הגדירה את התקציב הנדרש לביצוע משימות יחידות הסייבר המגזריות (האחראיות להנחות .
גורמים הכפופים למשרד ).
מומלץ כי מערך הסייבר, במסגרת החשיבה המחודשת על .
ההחלטה, ייתן דעתו גם על סוגיה זו.
מערך הסייבר מסר בתשובתו מיוני 2022 כי עם כניסת ראש המערך הנוכחי לתפקידו בפברואר .
2022 החלה בחינת חקיקת העבר, תוך ביצוע חשיבה מחודשת לגבי חקיקת ההמשך, וכחלק .
מהחלטת הממשלה 219 הוקם צוות מנכ"לים בין-משרדי אשר בוחן את כלל רגולציית הסייבר .
המערך הוסיף כי אבן דרך מרכזית היא בחינת מצב ההגנה במגזרים ודרכי השיפור .
הגנת הסייבר במגזר התחבורה מוצע שמערך הסייבר יעלה את נושא תקצוב היחידות המגזריות לדיון במסגרת פעילות .
הצוות הבין משרדי, שנכון למועד סיום הביקורת, אפריל 2022 ,לא השלים את עבודתו.
הגדרת גופי תמ"ק במגזר התחבורה .
חלק מהגופים הפועלים במגזר התחבורה מוגדרים כגופי תמ"ק: רכבת ישראל, רש"ת, נמל .
אשדוד, נמל חיפה, נת"ע וחנ"י.
אגף תמ"ק במערך הסייבר מנחה באופן ישיר את גופי התמ"ק .
והוא אחראי ללוות את הגוף באופן שוטף ולסייע לו בפעולות האלה: בניית תוכנית העבודה .
השנתית בתחום הגנת הסייבר ומעקב אחר ביצועה; יישום תורת ההגנה שנכתבה באופן ייעודי .
לגופי תמ"ק; ופיקוח על אופן יישומה באמצעות ביצוע ביקורות ובהן בדיקות חוסן.
תמ"ק במערך הסייבר מלווה את גוף התמ"ק ומסייע לו כשיש חשש לאירוע סייבר.
שהועברו למשרד מבקר המדינה עולה כי אירועי סייבר קרו בשנים האחרונות גם בגופי תמ"ק.
כיום, כדי להגדיר גוף כתמ"ק, נדרש להוסיפו לתוספת החמישית בחוק להסדרת הביטחון.
תהליך זה עלול להימשך לעיתים כמה שנים.
כך לדוגמה, מערך הסייבר המליץ להגדיר .
את חברה כ"ה בתחום הספנות והנמלים כגוף תמ"ק בנובמבר 2018 ,אך רק באפריל 2022 .
כדי לזרז את תהליכי ההכרה בגופים כתמ"ק החליטה הממשלה 19 באוגוסט2021 על הקמת צוות .
בין-משרדי שבין היתר יבצע בחינה של אסדר ה חכמה בסייבר , ובמסגרתה נקבע בין היתר כי .
יש לבחון "את המנגנון הקיים להמלצה בנוגע לשינוי הגופים המנויים בתוספת החמישית לחוק .
להסדרת הביטחון בגופים ציבוריים".
לצורך כך ניתנו 180 ימים לצוות שעליו הוטלה הבחינה .
נמצא כי בחינת המנגנון הקיים הנוגע להגדרת גופי התמ"ק לא הושלמה בהתאם להחלטת .
הממשלה מאוגוסט 2021 ,ולפיכך לא עודכן המנגנון המורכב ש בו נעשה שימוש, הכולל .
צורך בשינוי חקיקה עבור כל גוף לגביו הוחלט כי נדרש להגדירו כתמ"ק.
העיכובים בהגדרת גופי תמ"ק עלולים להביא לסיכונים בנושאים שטרם מטופלים וכן .
לניצול משאבים לא יעיל.
למשל: בגופים חדשים שטרם נכנסו לחוק - היעדר היכולת .
לדרוש מהעובדים בגופים לעבור תהליכי מהימנות וסיווג בטחוני; בגופים שטרם הוסרו .
מהחוק - בזבוז משאבים עקב הנחיה צמודה של הגופים ש אינה נדרשת יותר.
משרד התחבורה מסר בתשובתו מיולי 2022 כיהמתודולוגיה להכרה בגוף כתמ"ק אינה אחידה.
כך למשל, לעיתים ההגדרה היא על זכיין (מפעיל ), ולעיתים על חברה ממשלתית מבצעת.
19 החלטת הממשלה219" , בחינת רגולציה חכמה בסייבר וכללים והסמכות למתן הנחיות בזמן תקיפת סייבר שעודנה .
| 73 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה כן, המשרד פנה למערך הסי יבר בבקשה לקיים דיון על המתודולוגיה, נוכח השינויים בענף .
התחבורה והקמת אגף הסייבר במשרד.
מערך הסייבר מסר בתשובתו כי נכון ליולי 2022 כל הגופים אשר צריכים להיות תמ"ק הוגדרו .
במסגרת התוספת החמישית לחוק הסדרת הביטחון.
עוד הוסיף המערך כי נושא שינוי המנגנון .
להגדרת גופים כתמ"ק ייבחן במסגרת הצוות הבין- משרדי שהוקם בעקבות החלטת ממשלה 219 .
על מערך הסייבר והצוות הבין משרדי לפעול להשלמת בחינת שינוי המנגנון להגדרת גופי .
מערך הסייבר עובד מול היחידה המגזרית במשרד התחבורה בעבודה שוטפת הכוללת בין היתר .
אישור תוכניות עבודה, פגישות עיתיות, ליווי פרויקטים וסיורים בארגונים.
בנובמבר 2020 פרסמה היחידה להנחיה מגזרית במערך הסייבר הנחיה המפרטת את שגרות .
הניהול המצופות מיחידות הסייבר המגזריות במשרדים (להלן - שגרות הניהול).
שגרות הניהול נועדו בעיקר לאפשר ליחידות הסייבר המגזריות לנהל מעקב .
אחר הנושאים הניהוליים והמבצעיים שבאחריותן וכן לאפשר למערך הסייבר לקבל תמונת מצב .
עדכנית באמצעות דיווחים.
לפי ההנחיה, מערך הסייבר מבקש לקבל דיווחים חודשיים, רבעוניים, .
חציוניים ושנתיים על אירועי אבטחת מידע ועל פעילות היחידה במגזר התחבורה בנוגע לנושאים .
האלו: פעילויות הנחיה, מודעות לאיומי סייבר, ביקורות וסקרים בגופי המגזר; תהליכי חקיקה .
ותיקון תקנות; אתגרים וניהול סיכונים במגזר וההתמודדות איתם; תרגילים ואימונים; פעילויות .
טכנולוגיות; פרויקטים חדשים שבכוונת המגזר להוביל; ופרויקטים בתחום שרשרת האספקה .
עוד מונחות יחידות הסייבר המגזריות לבצע שורת משימות מחזוריות: תכנון תוכנית .
עבודה על בסיס ניהול סיכונים, עדכון מסמכי מדיניות אבטחה, כתיבת נהלים ועדכונם ועוד.
מערך הסייבר מסר בתשובתו מיוני 2022 כי אופן העבודה מול היחידה המגזרית בהיבטי שגרת .
הניהול יעלה במסגרת החשיבה המחודשת שמתקיימת לאור השינוי הארגוני במערך.
עוד פרסם מערך הסייבר בספטמבר 2020 מסמך ליחידות הגנת הסייבר המגזריות המכיל את .
הפעילויות העיקריות שעל היחידות לשלב בתוכניות העבודה שלהן בשנת 2021 (להלן- עוגנים .
לתכנון תוכנית העבודה).
כמו כן הוגדר בהנחיה כי עד סוף יולי בכל שנה קלנדרית על ראש היחידה המגזרית (במשרד .
התחבורה - מנהלת אגף הסייבר) להעביר למנחה המגזרי במערך הסייבר דוח המסכם את .
פעילות היחידה בחציון א'.
הדוח יתמקד בנושאים האלו: הישגי ההגנה המשמעותיים במגזר; .
תקציר התכנון מול הביצוע של תוכנית העבודה לחציון א'; מספר אירועי הסייבר שחווה המגזר .
בחציון א' ומאפייניהם; הלקחים המרכזיים שעלו בביקורות שביצעה היחידה המגזרית; האתגרים .
הגנת הסייבר במגזר התחבורה או ניהול הסיכונים במגזר וההתמודדות עימם; סטטוס הנושאים והפערים המרכזיים הדורשים את .
מעורבות מערך הסייבר; סטטוס הכשירות היחידתי; היעדים והמשימות המתוכננים לחציון ב'.
בדצמבר 2020 , כחודש לאחר פרסום שגרות הניהול, פנתה מנהלת אגף הסייבר במשרד .
התחבורה למנחה המגזרי ומסרה כי המסמך כולל משימות ודרישות רבות מהיחידה, אך עקב .
המשאבים החסרים אין לאגף יכולת לבצע חלק משמעותי מהדרישות במסמך.
מסקירת תוכניות העבודה של אגף הסייבר במגזר התחבורה, כפי שהועברו למערך הסייבר, עולה .
כי משימות מסוימות שתוכננו לשנים 2019 עד2020 לא בוצעו עקב מחסור במשאבים, כך לדוגמה .
משימת "הקמת SOC תחבורה בבאר שבע" שתוכננה לשנת 2019 , החלה בשלב ה"מבצוע" שלה .
במועד סיום הביקורת באפריל 2022 (ראו פירוט בפרק "הקמתSOC .
)"עבור מגזר התחבורה .
בוועדת ההיגוי בנושא סייבר במגזר התחבורה שהתקיימה בדצמבר 2021 דווח כי יש משימות .
הנגזרות מדרישות מערך הסייבר בדבר עוגנים לתכנון תוכנית העבודה שלא בוצעו עקב היעדר .
בין משימות אלו: יכולת התערבות לאומית - כלומר התקשרות מיידית לצוות IR (צוות .
התערבות לניהול משברים ) לסיוע בעת אירוע בעל השפעות לאומיות ; העלאת החוסן במגזר - .
הבאה לידי ביטוי באמצעות גיבוש אסדרה מחייבת, הרחבת ביקורות סייבר לגופ י B , ליווי הגופים .
בטיפול שלהם ב ליקויים חמורי ם, ליווי פרויקטים והעלאת מודעות לאיומי סייבר באמצעות .
הכשרות, תרגילים וכנסים .
בביקורת עלה כי אגף הסייבר לא מסר ליחידה להכוונה מגזרית במערך הסייבר דיווחים .
חודשיים, רבעוניים, חצי-שנתיים וכן דיווח שנתי על שנת 2021 .
, כנדרש בשגרת הניהול שלה .
עוד נמצאו משימות של אגף הסייבר שלא בוצעו עקב היעדר משאבים - ביניהן: בניית יכולת .
התערבות לאומית באירועי סייבר; פעילויות ל העלאת החוסן במגזר ; הרחבת הביקורות לגופי .
B ; ליווי הגופיםבתיקון ליקויים חמורים; ליווי פרויקטים ; והעלאת מודעות לאיומי הסייבר .
נוכח אי ביצוע חלק ניכר מהמשימות שנדרשו באגף הסייבר, מוצע שמערך הסייבר ומשרד .
התחבורה יפעלו להכנת תוכנית עבודה בהתאם למשאבים הקיימים ויפעלו לבקרה עליה .
לצורך ביצוע תפקידיו למול רמת האיומים במגזר, נדרש האגף לכמה יכולות בסיסיות, .
אי-יכולת התערבות באירועים בזמן אמת ואי דיווח מצד הגופים : לאגף הסייבר אין .
כיום צוות התערבות היכול לסייע לגופים שהוא מנחה בקרות אירוע.
נמצא כי הגופים אינם .
מדווחים לאגף הסייבר על כלל האירועים שהם חווים, וכי האגף אינו מבצע תחקירים על .
אירועים שקרו כדי להעביר תובנות לכלל הגופים במגזר.
אי-קבלת חומרים מהגופים במגזר שהכרחיים להבנת מצב הגנ ת הסייבר שלהם: .
אגף הסייבר אינו משתתף בועדות היגוי בנושא סייבר שפועלות בגופים במגזר.
אינו מקבל מהגופים במגזר חומרים על פעולות שהגופים עצמם ביצעו בתחום הגנת הסייבר .
כמו סיכומי דיוני ועדות ההיגוי להגנת הסייבר , תוכניות העבודה בנושא הגנת הסייבר ונתוני .
הביצוע שלהן, הסיכונים שעימם מתמודד הגוף, הפרויקטים החדשים שהגוף מקים, תוצאות .
מבדקי החדירה והתוכניות לטיפול בממצאים שעלו.
יצוין כי לרוב חומרים אלו מסווגים היות .
שהם מצביעים על חולשות ופערים שקיימים בגופים.
יצוין כי בגופי A משרד התחבורה עשה .
| 75 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה ביקורות כדי לבחון את מידת עמידתם בדרישות המדיניות; ראו פירו ט בנושא בפרק .
"הממצאים שעלו בביקורות שביצע משרד התחבורה ".
אי קיום תשתית מסוימת .
:חוסר בכלים מקצועיים לאגף הסייבר אין כלים הדרושים לו לצורך מילוי תפקידו, .
לדוגמה רישיונות עבור שימוש בכלים להגנת הסייבר או גישה לתקנים מקצועיים ומקובלים .
בתחום, הכרוכה בדרך כלל בתשלום לגוף המנפיק אותם.
בביקורת עלה כי אגף הסייבר אינו מקבל מידע חיוני מהגופים על פעילויות שהם עצמם .
ביצעו כמו סיכומי ועדות היגוי להגנת הסייבר, סקרי סיכונים, תוצאות מבדקי חדירה ודיווח .
על אירועי סייבר - הנדרשים לאגף הסייבר כדי לייצר תמונה מערכתית של מצב ההגנה .
בסייבר של מגזר התחבורה, ולצורך עמידה בשגרות הניהול הנדרשות ממנו.
האגף אינו מבצע ביקורות ב כל הגופים לצורך בחינת מצב הגנת הסייבר בהם ולא עוקב .
אחר אופן תיקון הליקויים בביקורות שכבר ביצע - זאת עקב היעדר משאבים התואמים את .
מספר המשימות המוטלות על יחידת הסייבר המגזרית.
עוד עלה כי אגף הסייבר במשרד התחבורה לא הצטייד ביכולות מתאימות כנגד רמת .
מומלץ כי אגף הסייבר במשרד התחבורה יצטייד בכלים ו ביכולות .
מתאימות של עובדיו כנגד רמת האיומים על המגזר .
משרד התחבורה מסר בתשובתו מיולי 2022 כיבהיעדר חובה חוקית, אין ל ו סמכות להנחות גוף .
פרטי ללא הסדר חוזי, וכי הוא מקדם חוק סייבר בתחבורה, שיחיל חובת הנחיה ודיווח על כל .
דרישות הסייבר של המשרד, של כל הגופים המקבלים רישיון או זיכיון ממנו.
מומלץ כי משרד התחבורה יפעל בשני נתיבים: קידום ההסדרה החוקית שתתן מענה לכלל .
ההתקשרויות ומתן מענה לפערים הקיימים בהסדרה החוזית הקיימת למול הגופים במגזר .
גיבוש תמונת מצב מגזרית אחודה בתחום .
הסייבר בידי משרד התחבורה .
לפי החלטת הממשלה 2443 ,אחד מתפקידי יחידות הסייבר המגזריות במשרדי הממשלה (ובהן .
אגף הסייבר במשרד התחבורה) הוא בנייה והפעלה של תהליכי שיתוף מידע פנימיים וחיצוניים .
בתוך המגזר, לרבות דיווח על אירועים, איומים, חולשות, פוגענים ונוזקות למרכז הממשלתי .
לסיוע בהתמודדות עם איומי סייבר וכן הגדר ה של נהלים ושיטות דיווח בין הגופים במגזר .
לפי ההחלטה תפקיד היחידה הוא ייזום ומימוש של פעילות רוחבית, לרבות הקמת תשתיות .
והפעלת מנגנונים שתכליתם שיפור הגנת הסייבר במגזר .
יוזכר כי גם שגרות הניהול מבהירות כי אלו נועדו, בין היתר, כדי לאפשר למערך הסייבר הלאומי .
לקבל תמונת מצב עדכנית באמצעות דיווחים.
הגנת הסייבר במגזר התחבורה להלן תרשים המתאר את תחומי הפעילות של המאסדרים בתחום ומציג כי בכל תחום (רכבות, .
תעופה, נמלי ים) פועלים כמה מאסדרים שאחראים להנחיית גופים שונים: .
תרשים 9 : סוגי הגופים במגזר התחבורהוהמאסדרים שלהם בתחום .
* לפי המדיניות הלאומית להגנת הסייבר בתעופה אזרחית, פעילות שוטפת תהיה באחריות מערך הסייבר .
בגופי תמ"ק ובאחריות רת"א בגופים שאינם תמ"ק.
** לפי המדיניות הלאומית להגנת הסייבר בתעופה אזרחית, פעילות זמן אמת (ניטור באמצעות SOC ) תהיה .
באחריות משרד התחבורה, תוך קיום ממשקים עם רת"א ועם מערך הסייבר.
| 77 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה מהתרשים עולה כי במצב הנוכחי למשרד התחבורה , שעליו הוטל בהחלטת הממשלה .
2443 לקדם את הטיפול בהיערכות לאיומי סייבר במגזר, אין את התמונה המגזרית כולה .
של מצב הגנת הסייבר נוכח העובדה שאינו מודע לנעשה בחלק מגופי התחבורה (בגופי .
התמ"ק ו בחברות התעופה שמנחה מערך הסייבר) ונוכח היעדר הסמכות של האגף לקבל .
עוד עולה מהתרשים כי בחלק מתחומי הפעילות, כמו התחבורה .
הציבורית והתחבורה הימית, לא פועל מאסדר אחד שרואה את התמונה המלאה והעדכנית .
למשל: בתחבורה הימית, את חלק מהנמלים מנחה מערך הסייבר ואת חלקם .
מנחה אגף הסייבר במשרד התחבורה.
מערך הסייבר מסר בתשובתו מיוני 2022 כי במסגרת השינוי הארגוני במערך, עבודת התמ"ק .
והמגזרים ישולבו באופן שלראש הפעילות במערך הסייבר תהיה תמונה רחבה על כל מגזר, וכך .
עוד עלה כי אגף הסייבר במשרד התחבורה ואגף תמ"ק במערך הסייבר לא נפגשים .
בקביעות כדי לקבל תמונת מצב האחד מהשני , ולכן עלול להיווצר חוסר סינכרון .
מערך הסייבר מסר בתשובתו מיוני 2022 כיאין מנגנון לקבלת תמונת מצב בין משרד התחבורה .
המערך הוסיף כי במסגרת השינוי הארגוני ייקבעו נהלים ותהליכי עבודה משולבים .
בין אגף תמ"ק ואגף הסייבר במגזר התחבורה.
מוצע כי מערך הסייבר ומשרד התחבורה יקבעו נהלי דיווח ביניהם בכל הנוגע לגופי התמ"ק .
המונחים על ידי המערך ויפעלו לממשם, כדי שלמשרד התחבורה תהיה תמונה כוללת של .
מצב הגנת הסייבר גם בגופי התמ"ק.
מומלץ כי נהלים אלו יתייחסו, בין השאר, לנושאים .
הבאים: שיתוף מידע; דיווחים שוטפים; חולשות ואירועים; נוהל טיפול באירוע; נוהל סגירת .
חולשה; הערכות מצב עיתיות; תיאום תוכניות עבודה וביקורות; ודיווח על תוצאות איר ועים, .
בחלק מהגופים במגזר התחבורה קיימים מאגרי מידע המכילים מידע פרטי ובו מעל 100,000 .
רשומות, ולכן הם מוגדרים כמאגרי מידע שבהם נדרשת רמת אבטחה גבוהה לפיתקנות אבטחת .
בעל מאגר מידע שחלה עליו רמת אבטחה בינונית או גבוהה מחויב להודיע לרשות להגנת .
הפרטיות באופן מיידי על אירוע אבטחה חמור (כהגדרתו בתקנות), וכן לדווח לרשות על הצעדים .
מערך הסייבר מסר בתשובתו ביוני 2022 כי כל אירוע בגופי התחבורה מרוכז במרכז הניטור של .
המערך הוסיף כי מבוצע עדכון מצד המנחה המגזר י במערך ליחידת .
הסייבר המגזרית, וכי מבוצע עדכון בין מרכזי הניטור של המשרדים לזה של המערך.
משרד מבקר המדינה בדק את הדיווחים שנמסרו על אירועי סייבר וההגנה על הפרטיות בתקופה .
שבין ינואר 2019 עד יוני2021 לגופים הבאים: משרד התחבורה, מערך הסייבר והרשות להגנת .
בבדיקה נמצא כי התרחשו 21 ( אירועים, וכל אירוע דווח למאסדר אחר13 - למערך .
הסייבר, 4 - ,לאגף הסייבר במשרד התחבורה4 - .
)לרשות להגנת הפרטיות .
הגנת הסייבר במגזר התחבורה עוד נמצא בבדיקה כי דיווחים על אירועים שבהם הייתה השפעה אפשרית על פרטיות .
משתמשים, אשר נמסרו למשרד התחבורה לא דווחו לרשות להגנת הפרטיות - או להפך.
דוגמאות לדיווחים שנמצאו רק בידי הרשות להגנת הפרטיות ולא הועברו למשרד התחבורה: .
אירוע בו נתגלתה חולשה באתרים של שתי חברות פרטיות המספקות שירות לתהליך רישום .
לקורסי תיקון נהיגה של משרד התחבורה.
חולשה זו אפשר ה, ללא צורך בהז דהות, גישה .
לנתוני הנרשמים ובהם: שם, דוא"ל, תאריך מבחן , מיקום בו התבצע המבחן, סטאטוס .
הצלחה, האם בוצע תשלום וסכום התשלום.
שני אירועים ש קשור ים בספקי משנה של חברה לתחבורה ציבורית: באירוע הראשון .
נתגלתה פרצה במנגנון הפקת החשבוניות של החברה אשר אפשרה לצפות ולהורי ד .
חשבוניות שנשלחו ללקוחותיה ללא צורך במנגנון זיהוי כלשהו; באירוע השני התגלתה .
תקלה באתר האינטרנט שאפשרה גישה למסמכים אשר כללו מידע על חלק ממבקשי .
זכאות לקבלת תעריף לאזרחים ותיקים, לרבות צילומי תעודות זהות, ותעודת אזרח ותיק.
בביקורת עלה כי קיימים שלושה גורמים בתחום הגנת הסייבר והגנת הפרטיות שאליהם .
מדווחים אירועי הגנת הסייבר במגזר התחבורה, וכי אין גורם אחד שמחזיק בתמונה .
הרוחבית של כלל האירועים, אף לא משרד התחבורה שאחראי ל פי החלטה 2443 לטפל .
כך למשל: אירועים המתרחשים בגופי תמ"ק מטופלים בידי אגף תמ"ק .
במערך הסייבר ללא העברת תחקירים ליחידת להכוונת מגזרים במערך הסייבר, לאגף .
הסייבר במשרד התחבורה, לרשות להגנת הפרטיות (אם נדרש) או לגופים הדומים לגוף .
כך לדוגמה, בבדיקת משרד מבקר המדינה נמצא כי בתקופה שבין .
ינואר 2019 עד יו ני 2021 דווחו21 ( אירועים, וכל אירוע דווח לגורם אחר 13 - למערך .
הסייבר, 4 - ,לאגף הסייבר4 - לרשות להגנת הפרטיות).
עוד נמצא כיאירוע שהתרחש .
בנמל כ' בפברואר 2020 דווח רק למערך הסייבר ולא לאגף הסייבר במגזר התחבורה או .
עוד עלה כי משרד התחבורה אינו מקבל מהרשות להגנת הפרטיות וממערך הסייבר .
דיווחים על אירועי סייבר שהתרחשו בגופי המגזר , דבר שמקשה על המשרד ליצור תמונת .
מצב בזמן אמת, תוך שיתוף הידע עם גופי המגזר שלהם הוא עשוי להיות חיוני.
מומלץ כי משרד התחבורה, בשיתוף מערך הסייבר והרשות להגנת הפ רטיות, יבחן כיצד .
ניתן להעביר את המידע הרלוונטי ביניהם, לצורך הפקת לקחים מאירועים, נקיטת פעולות .
להעלאת החוסן של הגופים במגזר וטיוב ההנחיות.
משרד התחבורה אחראי לקדם את הטיפול בהיערכות לאיומי הסייבר של כל מגזר .
התחבורה אולם הוא מתקשה במילוי תפקידו מהסיבות ה אלו: המשרד אינו רואה את .
התמונה המגזרית כולה על תתי-המגזרים שבה (למשל תחום התחבורה האווירית וגופי .
התמ"ק שמנחה מערך הסייבר ); הוא אינו רואה את מפת הסיכונים ואת הפערים הקיימים .
בכל גוף; והוא אינו מקבל מידע חיוני מהגופים כמו מבדקי חוסן , תוכניות עבודה לתיקון .
הליקויים, דיווח על אירועי סייבר ותחקירים עליהם שביצע הגוף.
| 79 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | הגנת הסייבר במגזר התחבורה מוצע כי משרד התחבורה יסדיר ויפעל לאסוף נתונים מהגופים ומיתר המאסדרים בתחום .
הסייבר כדי לייצר תמונת מצב מגזרית, למשל באמצעות פגישות סטטוס עיתיות עם הרשות .
להגנת הפרט יות ועם מערך הסייבר שמנחה את גופי התמ"ק במגזר; קבלת מסמכים .
עיקריים מהגופים וקבלת דיווח על אירועי סייבר.
כן מוצע כי מערך הסייבר ומשרד .
התחבורה האחראים להנחיית הגופים במגזר יגבשו בסיס נהלי ליישום שגרת הניהול .
השוטפת שיתייחס, בין השאר, לנושאים הבאים: שיתוף מידע; דיווחים שוטפים; הערכות .
מצב עיתיות; תיאום תוכניות עבודה וביקורות; ודיווח על תוצאות אירועים, תחקורים .
עם השלמת איסוף המידע, מוצע כי משרד התחבורה יממש את תפקידו כאחראי .
על הגנת הסייבר של כל המגזר וינחה בהתאם למידע שירוכז על ידו את כלל המגזר באופן .
הרשות להגנת הפרטיות מסרה בתשובתה מיוני 2022 כיבנובמבר 2021 נערכה פגישה בין ממלא .
מקום ראש הרשות להגנת הפרטיות לבין מנכ"לית משרד התחבורה, ובה עלה לדיון בין היתר .
נושא אבטחת המידע והגנת הפרטיות במגזר התחבורה.
במהלך הישיבה סוכם כי משרד .
התחבורה יגבש רשימת נוש אים המשלבים היבטי פרטיות, ויוקם צוות חשיבה ומשימה לגבי .
פרויקטים וממשקים עתידיים.
עם כניסתו לתפקיד של ראש הרשות הנוכחי, הוא צפוי לקיים .
פגישה נוספת עם מנכ"לית משרד התחבורה, בין היתר כדי לדון ברשימת הנושאים האמורה.
הקמת SOC עבור מגזר התחבורה .
מרכז שליטה ובקרה לאיומי סייבר (להלן - SOC) הוא פתרון מקובל לאיגום ולניטור של אירועים .
תפקידו של ה-SOC הואלסייע לארגון לזהות פרצות, אירועים חריגים, ניסיונות .
לתקיפות סייבר, לתחקר אותם ולהגיב עליהם בזמן אמת.
הזיהוי נעשה באמצעות איסוף מידע .
בנוגע ל תהליכים, אירועים, איומים, חולשות, פוגענים ונוזקו ת הקשורים ל מערכות המידע .
ולמערכות הטכנולוגיות והתפעוליות של הארגון; עיבוד המידע; זיהוי אנומליות; והקפצת .
התראות למערכת השליטה והבקרה.
במרכז מועסקים מומחי סייבר שמתחקרים את ההתראות .
ואת המידע שמתקבל ובמידת הצורך מפעילים צוותי תגובה לטיפול באירוע.
תהליך הקמת SOC הוא תהליך מורכב הכולל בין היתר את תתי-התהליכים האלה: אפיון צרכים; .
הגדרות המערכות הנדרשות לניטור; הגדרת חוקים לניטור ; ביצוע התקשרות לקבלת מרכז .
השליטה כשירות מנוהל (אפשרות) או הקמה עצמית; טיוב החוקים במערכת; פיתוח, בדיקות .
פתרון הקמת SOC יכול להתבצעבאמצעות כוח האדם של הארגון או באמצעות מיקור .
כדי לשפר את יכולות ההגנה בסייבר קיימת אפשרות לחבר כמה מערכות של ארגונים למרכז .
שליטה ובקרה מערכתי (מגזרי או ממשלתי).
מרכז זה אחראי לרכז את אירועי הסייבר .
המתרחשים בגופים הכפופים לו וממקורות מידע נוספים כמו גופי מודיעין; לתכלל את הדיווחים .
לתמונת מצב מערכתית; ולהתריע לפני כל הגופים הרלוונטיים על תקיפות שמתרחשות באותו .
קיימים שלושה סוגי SOC : ברמת הארגון- ניטור אירועי סייבר , הצגת תמונת מצב, הצגת .
מידע פרטני; ברמת המגזר - איגום מידע מעובד הכולל אירועי שמתרחשים במגזר מסוים; וברמת .
המדינה - איגום מידע מעובד הכולל אירועי סייבר שמתרחשים בכלל המגזרים.
קיימות שתי חלופות נפוצות לאופן ההקמה וההפעלה של SOC : .
הגנת הסייבר במגזר התחבורה 1.
הפעלה עצמית של הארגון : בשיטה זו נדרש צוות מיומן ומשאבים טכנולוגיים גדולים .
כן יש להביא בחשבון זמן הקמה ארוך יחסית של כמה חודשים.
היתרון המרכזי בשיטת .
הפעלה זו הוא ההיכרות הצמודה עם מערכות הארגון והאיומים שאיתם הוא מתמודד.
שירותי MSSP 20 מנוהלים: שירות הניתן כמיקור חוץ מטעם חברות המתמחות בכך.
ארגונים מסוימים מעדיפים הפעלה בצורה כזו עקב הצורך בכוח אדם מומחה, בצוותי תגובה .
לאירועים ובזמינות במשך 24 שעות שבעה ימים בשבוע.
בדרך זו לעיתים ניתנות ללקוח .
שירותים נוספים בתחומי הגנת הסייבר, כגון מבדקי חדירה ת קופתיים ובנייה ותחזוקה של .