HeTree/MevakerConcSen huggingface dataset:
סייבר, וכן הגדרת נוהלי הדיווח ושיטות הדיווח בין הגופים במגזר; ייזום ומימוש של פעילות .
רוחבית, לרבות הקמת תשתיות והפעלת מנגנונים שתכליתם שיפור הגנת הסייבר במגזר.
כמו כן, בהחלטת הממשלה נקבע כי המנכ"לים של משרדי הממשלה ומנהלי יחידות הסמך .
יידרשו לפעול להעלאת רמת הגנת הסייבר ולשם כך - למנות ממונה על הגנת הסייבר, להקים .
ועדת היגוי משרדית, להסדיר את אנשי המקצוע בתחום הגנת הסייבר המועסקים במשרד, .
להקצות תקציב ייעודי להגנת הסייבר במסגרת התקציב הקיים של המשרד ולקדם עמידה של .
המשרד בתקני אבטחת מידע.
משרד האנרגייה הקים אגף חירום, ביטחון מידע וסייבר אשר, בין היתר, אחראי להיערכות .
המשרד לאיומי סייבר ואבטחת מידע מסווג.
נוסף על כך הוקם במשרד האנרגייה מרכז קיברנטי .
מגזרי (להלן - מק"ם) לניטור של מתקני תשתית המק"ם פועל מספטמבר 2016 , ובמועד סיום .
הביקורת היו מחוברים אליו מתקנים ממגזרי תשתיות האנרגייה.
משרד מבקר המדינה ר ואה בחיוב את העובדה כי משרד האנרגייה הקים את המק"ם, .
המנטר את תשתיות האנרגייה, מתכלל מידע המתקבל מהן ומשקף תמונת מצב בנושא .
הגנת הסייבר של משק האנרגייה.
היחידה המגזרית ברשות המים פועלת באגף ביטחון מים, חירום, מידע וסייבר ברשות המים, .
והיא נושאת באחריות להכוונה ולבקרה בעניין תחום האבטחה והביטחון של כל ספקי המים .
אשר בתחום האחריות הרגולטיבית של רשות המים, ובכלל זה בעניין אבטחת מידע ותשתיות .
ממוחשבות החיוניות לרציפות התפקודית של המשק6.
על פי חוק להסדרת הביטחון הגדרת גוף תשתית כגוף תמ"ק מתבצעת מטעמים של ביטחון .
המדינה, שלום הציבור וביטחונו, וכרוכה באישור השר לביטחון הפנים, בהתייעצות עם השר .
5 בתקופת הביקורת- המס"ל.
6 רשות המים, נוהל אבטחת מחשב בספקי מים (2016.
היבטים באסדרה ובפיקוח בנוגע לספקי המים המקומיים בתחום הגנת הסייבר הממונה על הגוף הציבורי (או עם שר הממונה על ביצוע חוק המסדיר את פעולותיו של גוף .
ציבורי, לפי העניין); באישור ועדת ביטחון הפנים של הכנסת; ובאישור ראש הממשלה7.
חברת מקורות היא גוף התמ"ק היחיד במשק המים המונחה ישירות על ידי מס"ל מכוח החוק .
יוצא מכך כי חברת מקורות היא הגוף היחיד במשק המים המוגדר כגוף תמ"ק, אשר מס"ל .
מנחה אותו ומפקח עליו ישירות.
יתר הגופים במשק המים מונחים בהנחיה מגזרית.
כי סוגיית הגדרת גופי תשתית נוספים במשק המים, כגופי תמ"ק, טרם נבחנה ונידונה .
בוועדת ההיגוי הייעודית לכך (להלן - הוועדה).
מס"ל מסר למשרד מבקר המדינה בדצמבר 2021 כי יש תבחינים (קריטריונים) שלפיהם נבחנת .
מידת התאמתם של גופים להיכלל בהגדרת גופי תמ"ק, וכי תבחינים אלו נידונים בוועדה.
מסר מס"ל כי טרם נבחן הצורך לקבוע מתקנים נוספים במשק המים והביוב כגופי תמ"ק.
משרד מבקר המדינה ממליץ למס"ל לבחון מפעם לפעם את הנתונים העדכניים של .
הגופים הגדולים והמרכזיים במשק המים והביוב , כדי לקבוע אילו מהם יובאו על ידו לדיון .
בוועדת ההיגוי הייעודית לכך.
אסדרה של כללי ביטחון המים .
במועד סיום הביקורת, דצמבר 2021 , מועצת רשות המים לא אסדרה בכללים בהתאם .
לסמכותה על פי סעיף 18 א לחוק המים את חובת ספקי המים להפעיל מערך ניטור ובקרה .
ומערך הגנה מפני אירועי סייבר, את חובותיהם להגיש תוכנית לאבטחת מידע לאי שור .
רשות המים, ואת חובתם לחבר את מערכות המחשב שלהם למק"ם.
סמכות מנהל היחידה המגזרית ברשות המים לתת הנחיות לספקי המים, ולא אוסדרה .
סמכותם של הספקים לפעול על פיהן.
נמצא כי הצעת אסדרה כאמור נקבעה בטיוטת כללי המים (אירוע פגיעה במים), התשפ"ב- .
2022 , אשר נידונה במועצת הרשות בינואר2022 (להלן- כללי ביטחון מים).
מומלץ שמועצת הרשות ורשות המים יפעלו לקידום של הליכי אסדרת חובת ספקי המים .
להפעיל מערך ניטור ובקרה ומערך הגנה מאירועי סייבר, להכין תוכניות לאבטחת מידע .
ולעגן בכללי ביטחון מים את סמכות רשות המים לתת לספקי המים הנחיות בתחום .
7 סעיף18 (א) לחוקהסדרת הביטחון .
| 251 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | היבטים באסדרה ובפיקוח בנוגע לספקי המים המקומיים בתחום הגנת הסייבר רשות המים השיבה למשרד מבקר המדינה במאי 2022 כי הליך השימוע של כללי ביטחון מים .
שפורסמו בינואר 2022 הסתיים במרץ2022 , וכי לאחר השלמת השיח עם הגורמים הרלוונטיים .
בנוגע לסוגיות שעלו, יובאו הכללים לאישור מועצת הרשות.
היחידה המגזרית ברשות המים .
בהתאם להחלטת הממשלה מפברואר 2015 , מס"ל יסווג את היקף הפעילות הנדרשת של .
היחידה המגזרית בתחום הגנת הסייבר, זאת בהתאם לנזק הפוטנציאלי מפגיעה במערכות .
הממוחשבות של הגופים במגזרם, ובהתאם להיקף הפעילות של היחידה המגזרית.
עוד צוין בהחלטת הממשלה מפברואר 2015 כי המשרדים יאיישו את התפקידים ביחידה המגזרית .
בהתאם למפתחות המפורטים להלן: גוף בעל היקף פעילות גדול יאייש את תפקידיהם של מנהל .
וארבעה אנשי צוות; גוף בעל היקף פעילות בינוני יאייש את תפקידיהם של מנהל ושני אנשי צוות; .
וגוף בעל היקף פעילות קטן יאייש את תפקידו של מנהל בלבד.
התפקידים יאוישו באמצעות .
תקני כוח אדם ועובדים ממיקור חוץ למשרדי הממשלה.
נמצא כי בדצמבר 2021 מס"ל טרם קבע את היקף היחידה המגזרית ברשות המים, אך הוא גיבש .
תרשים 1: מבנה מומלץ על ידי מס"ל ביחידה המגזרית ברשות המים .
במועד סיום הביקורת, דצמבר 2021 , מערך הסייבר לא קבע תקן של יחידה מגזרית ברשות .
המים, ובפועל היחידה המגזרית פועלת בעיקר באמצעות מיקור חוץ.
הסייבר ישלים את הליך קביעת תקן כוח אדם הנדרש ביחידת המגזרית לסייבר ברשות .
היבטים באסדרה ובפיקוח בנוגע לספקי המים המקומיים בתחום הגנת הסייבר עוד מומלץ שרשות המים תפעל לתק נון כוח האדם הנדרש ביחידה המגזרית, בהתאם .
להנחיית המס"ל, וכן תפעל לאיושו.
בדיקת חדירה ( Penetration test , מכונה בקיצור גם Pentest ) היא מתקפה מתוכננת ומבוקרת על .
את הבדיקה מבצע בודק ("האקר", pen-tester ,) כדי לאתר חולשות אבטחה .
את פוטנציאל הגישה לחולשות אלו, השימושיות שניתן להפיק מהגישה אליהן ואל המידע שהן .
בדיקת חדירה מאפשרת בדיקת היתכנות של מתקפות סייבר על התאגי ד, זיהוי .
חולשות והערכת היקף הנזק העסקי והתפעולי שעלול להיגרם על ידי מתקפות סייבר ובדיקה .
של יכולות מערך ההגנה של המערכת המיועדת לתקיפה מבחינת זיהוי מתקפות ואופן הטיפול .
לביצוע בדיקות חדירה יש חשיבות רבה 8 בנוגע לבחינה של מימוש הבקרות בפועל ושל .
בביקורת נמצאו פערים בתחום זה.
להקמת סביבת בדיקות להיבטי סייבר נודעת חשיבות רבה, בין היתר כדי לאפשר בחינה מוגנת .
של תוכנות חדשות, עידכוני אבטחה וגרסאות תוכנה לתוכנות קיימות קודם העלאתן ל"סביבת .
מוצע כי רשות המים תבחן העלאת עדכוני תוכנה ועדכ וני אבטחה הרלוונטיים לכלל .
תאגידי המים והביוב, לסביבה שונה מ"סביבת הייצור וההפעלה", אם על ידי שימוש בשרת .
צדדי ואם על ידי הקמת סביבת בדיקות מלאה.
מומלץ כי מס"ל ינחה את רשות המים בעניין הכנת תוכנית עבודה רב -שנתית לביצוע .
בדיקות חדירה, וכי הוא יפקח על התקדמות יישומה.
רשות המים השיבה כי היא תבחן, בשיתוף עם מערך הסייבר, אפשרויות פעולה נוספות לשם .
בדיקת מערכות המופעלות במתקני מים וביוב.
מרכז קיברנטי מגזרי במשרד האנרגייה .
מתקני ספקי המים שתגדיר רשות המים מיועדים להתחבר למק"ם משרד האנרגייה, שמנטר .
נמצא כי רק חלק מכלל ספקי המים שלדעת רשות המים יש לחברם, חוברו למק"ם משרד .
האנרגיה עד מאי 2022 .
8 מערך הסייבר הלאומי "תורת ההגנה בסייבר לארגון" אפריל2018 .
| 253 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | היבטים באסדרה ובפיקוח בנוגע לספקי המים המקומיים בתחום הגנת הסייבר רשות המים השיבה למשרד מבקר המדינה כי נכון למאי 2022 ,חוברו כמה ספקים למק"םוכמה .
ספקים נוספים "נמצאים בתהליך טיוב לקראת חיבורם למק"ם".
מומלץ שרשות המים תפעל לחיבור כל ספקי המים שלדעתה נדרש לחברם.
ביקורות מוכנות למתקפות סייבר בתאגידי המים .
רשות המים עושה מפעם לפעם ביקורת סייבר בתאגידים.
נמצא כי בשנים האחרונות בוצעו .
ביקורות סייבר בחלק מכלל התאגידים.
הביקורות בחודשים נובמבר 2020 - דצמבר2021 ,נעשו באמצעות יועץ חיצוני לרשות המים .
וכללו, בין היתר, מתן ציון למידת הציות של תאגיד המים לנוהל רשות המים בנושא עקרונות .
האבטחה וההגנה על מערכות מחשוב עבור ספקי מים.
פירוט הממצאים שהועלו הועברו למס "ל .
היבטים באסדרה ובפיקוח בנוגע לספקי המים המקומיים בתחום הגנת הסייבר תרשים 3: הנושאים שנבחנו במסגרת בדיקת הציות של תאגידי המים לנוהל .
רשות המים בנושא אבטחה והגנה על מערכות מחשוב .
משרד מבקר המדינה רואה בחיוב את פעולות רשות המים בשנת 2021 בנושא הבקרה על .
מוכנות תאגידי המים בתחום הסייבר.
עם זאת, עלה כי חלק מתאגידי המים שנבדקו בידי .
רשות המים בשנת 2021 , קיבלו ציון נמוך על מוכנותם למתקפות סייבר.
של תגובה מהירה באירועי סייבר, מומלץ כי רשות המים תשלים את ביקורות הסייבר .
בתאגידים ובספקי מים אחרים שטרם נבדקו בשנתיים האחרונות, וזאת כדי להביא לשיפור .
מוכנות ספקי המים למתקפות סייבר.
| 255 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | היבטים באסדרה ובפיקוח בנוגע לספקי המים המקומיים בתחום הגנת הסייבר כמו כן, מומלץ שרשות המים תפעל להגברת המוכנות למתקפות סייבר וכי היא תתמקד .
בתאגידים שקיבלו ציונים נמוכים.
על רשות המים לשים דגש על התאגידים שקיבלו ציונים .
נמוכים לצורך קיום הדרישות למוכנות להתקפות סייבר כנדרש, וכדי למנוע נזקים .
אפשריים לתושבים שאותם הם משרתים.
היבטים באסדרה ובפיקוח בנוגע לספקי המים המקומיים בתחום הגנת הסייבר סיכום .
בשנים האחרונות חלה החמרה באיומי הסייבר על מערכות המחשוב של משק המים .
קיימת חשיבות רבה להגנת סייבר עבור כלל הגורמים במשק המים, .
ובכלל זאת הספקים הרבים.
מומלץ שמועצת הרשות ורשות המים יפעלו לקידום מהיר של הליכי אסדרת חובת ספקי .
המים להפעיל מערך ניטור ובקרה ומערך הגנה מאירועי סייבר, להכין תוכניות לאבטחת .
מידע ולעגן בכללי ביטחון מים את סמכות ר שות המים לתת לספקי המים הנחיות בתחום .
כמו כן מומלץ שהרשות תפעל לחיבורם של כל ספקי המים הנדרשים למק"ם.
עוד מומלץ כי רשות המים תשלים את ביקורות הסייבר בתאגידי המים והביוב ובספקי מים .
אחרים שטרם נבדקו בשנים האחרונות, תפעל להגברת מוכנותם של תאגידי המים והביוב .
למתקפות סייבר ותתמקד בתאגידי המים והביוב שקיבלו ציונים נמוכים בביקורות שלה.
כמו כן, מומלץ שרשות המים תפעל לתיקון הפערים בתחום בדיקות החדירה.
מומלץ שמס"ל יבחן מפעם לפעם את הנתונים העדכניים של הגופים הגדולים והמרכזיים .
במשק המים והביוב, , כדי לקבוע אילו מהם צריכים להידון בהליכים להגדרה כגופי תמ"ק, .
ובהתאם, יפעל לקידום הליכים אלה.
על פי חוק הכללת אמצעי זיהוי ביומטריים ונתוני זיהוי ביומטריים במסמכי זיהוי ובמאגר מידע, .
התש''ע-2009 (להלן - חוק המאגר הביומטרי), ו תקנות הגנת הפרטיות (אבטחת מידע), ה תשע"ז- .
2017 (להלן- תקנות אבטחת מידע), מידע ביומטרי הוא מידע המשמש לזיהוי אדם, שהוא מאפיין .
אנושי פיזיולוגי ייחודי, הניתן למדידה ממוחשבת.
חוק המאגר הביומטרי מבחין בין "אמצעי זיהוי ביומטריים" לבין "נתוני זיהוי ביומטריים" (להלן - .
מידע ביומטרי) המופקים מהם אשר ניתן לעשות בהם שימוש לזיהוי.
מידע ביומטרי עשוי להיות .
מופק מאמצעי זיהוי ביומטריים שהם תכונות פיזיולוגיות, כדוגמת טביעת אצבע, טביעת כף יד, .
תמונת פנים, תמונת קשתית העין, תמונת הרשתית של העין ודנ"א, או תכונות התנהגותיות כגון .
אופן הליכה, חתימת קול וקצב הקלדה.
מידע ביומטרי יכול להישמר באמצעי אחסון כמו תעודה .
תרשים 1: תהליך הקמת מאגר מידע ביומטרי .
זיהוי ביומטרי הוא אמצעי מהימן ביותר לזיהוי אדם.
הזדהות ביומטרית משמשת בין היתר לכניסה .
לחשבון הבנק ולביצוע פעולות, לכניסה למקום העבודה ולמגוון יישומים רבים אחרים.
שירותים רבים המסופקים כיום לאזרחי מדינת ישראל מותנית בהזדהות של מבקש השירות.
הסיכונים הנשקפים למאגר מידע ביומטרי הם משמעותיים, היות שלהבדיל מאמצעי זיהוי אחרים .
כמו תעודה, סיסמה או אמצעי פיזי - מידע ביומטרי אי אפשר לבטל או להחליף בעקבות גנבה .
כמו כן, מידע ביומטרי כמעט אינו משתנה במהלך חייו של אדם (ראו פירוט בפרק .
הסיכונים למידע ביומטרי).
ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו לפי תקנות אבטחת מידע2, מאגר מידע המכיל מידע ביומטרי ויש בו יותר מ- 100,000 רשומות .
נדרש לעמוד ברמת אבטחה גבוהה.
התקנות מפרטות כיצד יש לשמור על רמת האבטחה .
מערכות המידע בצה"ל המשמשות לזיהוי חללים .
בצה"ל קיימים מאגרים ביומטריים המשמשים לזיהוי חללים.
על פי חוק שירות ביטחון (נוסח .
משולב), התשמ"ו-1986 ותקנות שירות ביטחון (אמצעי -זיהוי), התשמ"ט -1989 , יש ליטול ממועמד .
לשירות ביטחון המתגייס לצה"ל את אמצעי הזיהוי האלו: טביעת אצבעות ותצלומי שיניים.
כן, בהסכמת המתגייס ובהסתמך על פקודת ארגון (להלן - פק"א) הרבנות הצבאית, ניטלים .
מכל מתגייס גם כתמי דם המשמשים להפקת דגימת דנ"א בעת הצורך.
בצה"ל קיימות שלוש מערכות מידע מרכזיות לניהול תהליך הזיהוי (להלן - מערכות אמצעי .
מערכת א': תוכנת מדף, שנרכשה בשנת 2006 והותאמהלדרישת צה"ל .
משמשת לשמירה של טביעות האצבע של המתגייסים וכן להשוואה בין טביעת האצבע של .
החלל לטביעות הקיימות במערכת.
נכון לפברואר 2022 יש במאגר המידע של המערכת .
מאות אלפי רשומות, לכן זהו מאגר הנדרש לעמוד ברמת אבטחה גבוהה על פי תקנות .
מערכת ב': מערכת בפיתוח עצמי של צה"ל שהוכנסה לפעולה (להלן - מבצוע) בשנת .
המערכת משמשת, בין היתר, לשמירת תצלומי השיניים.
נכון לפברואר 2022 יש .
במאגר המידע מאות אלפי רשומות, לכן זהו מאגר הנדרש לעמוד ברמת אבטחה גבוהה על .
במערכת זו צפוי להתבצע שד רוג טכנולוגי ושינויים בממשק .
המשתמש בשנת 2022 (להלן- מערכת ב' החדשה).
מערכת ג': מערכת בפיתוח עצמי של צה"ל.
המערכת מובצעה בדצמבר 2021 .
המערכת היא לנהל ולתעד את הטיפול בחלל ובכלל זה את תהליך זיהוי החלל.
זו צפויים שינויים ושיפורים במהלך החציון השני של שנת 2022 .
נוסף על מערכות אלו, בצה"ל שמור אוסף פיזי של כתמי דם.
במערכת ב' נמצא קישור למיקום .
, תוספת ראשונה ותוספת שנייה בתקנות אבטחת מידע .
| 127 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו להלן פירוט הפרויקטים במערכות אמצעי הזיהוי, השלב במחזור החיים שבו הן נמצאות ומועדי .
ההתחלה והסיום הצפוי שלהם: .
לוח 1: הפרויקטים במערכות אמצעי הזיהוי .
הפרויקט שלב במחזור החיים מועד תחילת .
מערכת ב ' תחזוקה 2005 אין - מערכת .
מערכת א' תחזוקה 2006 אין - מערכת .
(מערכת ב ' החדשה) בדיקות (לפני מבצוע) יולי 2021 יוני 2022 .
שלב א' תחזוקה תחילת 2018 אין - מערכת .
שלב א' אפיון יולי 2022 סוף 2022 .
להלן יוצגו אמצעי הזיהוי הביומטריים הניטלים לצורכי זיהוי חלל ומאגרי המידע שהם נשמרים .
תרשים 2 : מאגרי אמצעיהזיהוי .
ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו הגורמים המנהלים את מערכות אמצעי הזיהוי בצה "ל .
הגורמים העיקריים בצה"ל המעורבים בניהול מערכות אמצעי הזיהוי הם: .
אגף כוח אדם (להלן - אכ"א) .
מפקדת קצין משאבי אנוש ראשי (להלן - מקמש"ר): קצין אמצעי הלחימה .
(אמל"ח) במקמש"ר אחראי לאפיון הדרישות של המערכות לניהול אמצעי הזיהוי, ניהול .
הפרויקטים להקמתן ולתחזוקתן של מערכות אלו והגדרת מענה הגנת הסייבר של .
ענף אסטרטגיה , דיגיטל ומערכות מידע (להלן אד"ם): אחראי בין היתר להגדרת .
האסטרטגיה של מערכות המידע באכ"א, היבטי הגנת הפרטיות של המידע הנשמר .
במאגרים, הגדרת יכולת ההתאוששות העסקית של מערכות המידע ותכנון טכנולוגיות .
חדשות והשוואה לטכנולוגיות בשוק האזרחי.
ענף תכלית ביחידת שחר: הענף מוגדר כקצין הפרויקט ואחראי לתכנון, פיתוח ותחזוקה .
של מערכות אמצעי הזיהוי.
יחידת מיטב בבסיס קליטה ומיון: היחידה אחראית להרכשת אמצעי הזיהוי במסגרת .
שרשרת החיול (להלן - שר"ח).
הרבנות הצבאית, ענף זיהוי וקבורה (להלן - זו"ק): הענף אחראי לזיהוי חללים.
הענף הם המשתמשים העיקריים במערכות אמצעי הזיהוי.
ניהול אמצעי הזיהוי נחלק לשני תהליכים עיקריים: הרכשה וזיהוי חלל.
להלן יתוארו התהליכים .
והגורמים העיקריים בצה"ל המעורבים בביצועם: .
| 129 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו תרשים 3 : תהליכי ניהול אמצעי הזיהוי .
תהליך הרכשה של אמצעי זיהוי .
יחידת מיטב מרכישה את אמצעי הזיהוי במהלך יום הגיוס במסגרת השר "ח.
כל אמצעי זיהוי ניטל .
בתחנת הרכשה נפרדת, ובכל תחנה יש כמה עמדות הרכשה.
המתגייס מזדהה בכל תחנה .
באמצעות סריקת מדבקת ברקוד ובה פרטיו האישיים.
בסיום תהליך ההרכשה מתבצע תהליך .
של בקרת איכות שמטרתו לוודא כי אמצעי הזיהוי יוכלו לשמש לזי הוי בעת הצורך.
תהליכי ההרכשה ובקרת האיכות מתבצעים בהתאם לאמצעי הזיהוי: .
טביעות אצבע: הרכשת טביעות אצבע מתבצעת באמצעות קוראים אופטיים 3 .
באיכות שהוגדרה על ידי הרבנות כמספקת (הכוללות לפחות 12 נקודות זיהוי) מועברות .
במישרין למערכת א' (תמונה ונקודות זיהוי).
טביעות אצבע שמזוהות במערכת ככאלו שאינן .
באיכות מספקת (כ-30% ) עוברות תהליך טיוב במעבדת טביעת אצבעעל ידי חייל בתפקיד .
עם טביעת האצבעות ניטלת גם תמונת הפנים, שלא למטרת זיהוי חללים .
ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו "מקודד".
אם הטיוב הצליח נשמרת במאגר טביעת האצבע המטויבת.
2% )מהטביעותמסומנות כחסרות לצורך ביצוע הרכשה חוזרת.
תצלומי שיניים : הרכשת תצלומי השיניים מתבצעת בשתי תחנות נפרדות: צילום רנטגן .
וצילום אופטי של חלל הפה.
התמונות מועברות באופן מיידי לשרתי האחסון, ומדור זיהוי .
רפואי ברבנות מבצע בקרת איכות ידנית באופן מדגמי, לפי כמה קריטריונים הבוחנים את .
ממצאי בקרת האיכות משמשים בסיס ללמידה ולשיפור בתהליך ההרכשה.
כתמי דם: דגימות דם ניטלות מן המתגייסים על גבי כרטיס FTA4 פיזי ומשונעות לאוסף .
כתמי הדם הנמצא בארכיון צה"ל.
בדיקת איכות ראשונית מתבצעת באוסף כתמי הדם כדי .
לוודא כי כתם הדם ממלא כ-80% משטח העיגולהמוקצה לכך, וכי יש חתימה של המתגייס .
אם נמצאו בבדיקה דגימות כתמי דם לא תקינות, הן מסומנות במערכת ב' .
כחסרות לצורך ביצוע הרכשה חוזרת.
דנ"א מופק מכתמי הדם רק כשיש צורך בזיהוי חלל .
בתהליך בקרת האיכות ניטלות דגימות מתקופות זמן שונות .
למעבדת הדנ"א כדי לבדוק אם אפשר לפענח אותן ולהפיק מהן פרופיל דנ"א.
תהליך הזיהוי מוסדר בפקודות מטכ"ל העוסקות בטיפול בחללים בעיתות שגרה וחירום 5 והוא .
כולל זיהוי של החלל באמצעות נתוני זיהוי ביומטריים.
את איסוף אמצעי הזיהוי מחללים מבצעת .
הרבנות הצבאית במרכז איסוף נתוני חללים (להלן - מאנ"ח).
מהחלל נאספים חפצים אישיים .
(כגון דיסקית, בגדים, מסמכים) שהם " מכווני זיהוי" המספקים השערה ביחס לזהותו של החלל .
וכן אמצעי זיהוי ביומטריים.
זיהוי החלל מתבצע באמצעות לפחות שני אמצעי זיהוי: היכרות אישית ואמצעי זיהוי ביומטרי אחד .
(טביעת אצבע, תצלומי שיניים, דנ"א) או שני אמצעי זיהוי ביומטריים.
ענף זו"ק ברבנות הצבאית .
הוא שמבצע את הזיהוי, באמצעות השוואת הנתונים הביומטריים שניטלו מהחייל בשר"ח קודם .
המוות ( AM - Ante Mortem )לאלו שניטלו מהחלל לאחר המוות ( PM - Post Mortem .
אופן התיעדוף של אמצעי הזיהוי שנעשה בהם שימוש בתהליך הזיהוי: .
זיהוי באמצעות טביעת אצבע: חיפוש טביעת האצבע של החלל בקרב כל טביעות .
האצבע השמורות במאגר טביעות האצבע (חיפוש (1:N .
החיפוש מתבצע באמצעות השוואה .
ממוחשבת של טביעת האצבע, ללא שימוש במידע מזהה נוסף.
חייל בתפקיד "משווה" בוחן .
במעבדה את התוצאות שהתקבלו מהמערכת ומאמת את התוצאה הטובה ביותר .
לאחר אישוש של משווה נוסף או של מומחה, מתקבל הזיהוי.
מסמך זיהוי המועבר לרבנות כחוות דעת מומחה לצורך קביעת הזיהוי.
זיהוי באמצעות תצלומי שיניים : לצורך הזיהוי נדרשת זהות חלל משוערת, והוא מתבצע .
באמצעות איתור תמונות השיניים (רנטגן ואופטי) של החייל שהוערך כי הוא החלל, והשוואה .
ידנית של הצילומים במעבדה.
4 FTA ( Fast Technologies for Analysis ) - טכנולוגיה על בסיס נייר ייחודי הסופג דם או רוק.
הנייר מבצע פירוק של .
התאים וקושר את הדנ"א אל תוך סיבי הנייר.
| 131 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו 3.
זיהוי באמצעות דנ"א: לצורך הזיהוי נדרשת זהות חלל משוערת, והוא מתבצע באמצעות .
של החייל שמוערך כי הוא החלל מאוסף כתמי הדםדגימת ה- .
AM וכן דגימת ה- PM ,מהחלל מועברות למעבדת הדנ"אובה ממצים את הדנ"א מהדגימות .
ומשווים ביניהן לצורך זיהוי או אימות הזיהוי.
הסיכונים למידע הביומטרי .
שמירת מידע ביומטרי של חיילי צה"ל חיונית לצורך זיהוי חללים.
עם זאת, החזקת מאגרים .
ביומטריים טומנת בחובה סיכונים בהיבטי אבטחת המידע וההגנה על הפרטיות.
המידע במאגרי אמצעי הזיהוי חשוף לשלושה סוגי סיכונים (לפי מבחן ה- CIA 6 ), אשר מקורם .
באירועי סייבר או באירועים תפעוליים: .
פגיעה בסודיות הנתונים ( Confidentiality ) .
גנבת זהות: אם נתונים ביומטריים ייחשפו וייקשרו לאדם מסוים ולנתוניו האישיים, .
עלולה להיגרם פגיעה של ממש בזהותו (עד כדי גנבת זהותו) או בפרטיותו.
אפשר לבצע "השתלת" טביעות אצבע של אנשים חפים מפשע, שנגנבו מהמאגר, .
חשיפת מידע ביטחוני או מודיעיני: אמצעי הזיהוי עלולים להסגיר מידע שיש לשמור .
חשיפת מידע רגיש: מידע אשר לפי חוק הגנת הפרטיות, התשמ"א-1981 (להלן- חוק .
הגנת הפרטיות), כולל נתונים על אישיותו של אדם, צנעת אישיותו ומצב בריאותו - .
אמצעי זיהוי ביומטריים כמו דנ "א עשויים לספק מידע על המצב הבריאותי או האישי .
פגיעה באמינות (שלמות) הנתונים ( Integrity:) אם נתוני אמצעי הזיהוי ישובשו, באופן .
מלא או חלקי, או יימחקו ייתכן שלא יהיה אפשר לזהות חללים או שיהיו אמצעי זיהוי חסרים .
או באיכות נמוכה שיקשו את תהליך הזיהוי.
פגיעה בזמינות הנתונים ( Availability:) אירועי טילים ואסונות טבע כמו רעידות אדמה .
עשויים להשבית את מערכות המידע ואת המכשור המשמש להרכשה ולניהול של אמצעי .
זיהוי החללים לטווח ממושך.
כמו כן, נשקף סיכון שבעת אסון רב-נפגעים או בעת אירוע .
לחימה התשתית הטכנולוגית לא תצליח להתמודד עם עומס הבקשות לזיהוי חללים.
כן, מתקפת סייבר על השרתים ועל תשתיות התקשורת עלולה אף היא לפגוע בזמינות .
6 :מבחן מקובל בתחום הסייבר ואבטחת המידע לבחינת הנזק העלול להיגרם באמצעות חלוקה לשלוש קטגוריות .
Confidentiality, Integrity, Availability.
ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו בתרשים להלן מוצגים הסיכונים הנשקפים למידע הביומטרי: .
תרשים 4 : הסיכוניםהנשקפים למאגרי אמצעי הזיהוי .
בחודשים אוגוסט 2021 - אפריל2022 בדק משרד מבקר המדינה את נושא "ניהול מידע ביומטרי .
בצה"ל והגנת הסייבר עליו".
הביקורת נעשתה בצה"ל: באכ "א - בענף אסטרטגיה, דיגיטל .
ומערכות (אד"ם) ובמקמש"ר; במדור קליטה ומיון - ביחידת מיטב; ביחידת שחר - בענף תכלית; .
ברבנות הצבאית - בענף זו"ק.
בדיקות השלמה נעשו בעמותה א' וברשות להגנת הפרטיות .
]נוסח משולב[ ובשים לב לנימוקי הממשלה, לאחר היוועצות עם הגופים האמונים על אבטחת .
המידע הביטחוני ובתיאום עם יו"ר הכנסת, משלא התכנסה ועדת המשנה של הוועדה לענייני .
ביקורת המדינה בכנסת, הוחלט לפרסם דוח זה תוך הטלת חיסיון על חלקים ממנו.
לא יונחו על שולחן הכנסת ולא יפורסמו.
| 133 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו מדיניות הגנת הסייבר על מערכות .
מדיניות להגנת הסייבר מבוססת על סיכונים למידע, למערכות המחשוב, למעבדות המאחסנות .
אותו ולרשתות התקשורת, תוך התאמה לצרכים התפעוליים והארגוניים.
להגנת הסייבר משמשים בסיס לנוהלי העבודה בתחום הגנת הסייבר .
בשנים 2011 עד2015 התקבלו שלושהחלטות ממשלה 7 בנושא קידום היכולת הלאומית במרחב .
הסייבר, אסדרה לאומית והסדרת האחריות לטיפול בתחום הסייבר.
מכח החלטות אלו הוקמו .
הרשות הלאומית להגנת הסייבר (כיום מערך הסייבר הלאומי) והיחידה להגנת הסייבר בממשלה .
(להלן - יה"ב) ברשות התקשוב.
גופים אלו אחראים בין היתר להנחיה ולהכוונה בתחום הגנת .
הסייבר, ובהחלטות אלו הוסדרו תחומי האחריות של כל אחד מהם.
כמו כן, הממשלה החליטה .
כי ההגנה על תפקודו התקין והבטוח של מרחב הסייבר מהווה יעד ביטחוני לאומי חיוני של .
במישור הלאומי, מדיניות בתחום הגנת הסייבר מתבססת על הקווים המנחים הבאים: .
0, שפרסם מערך הסייבר הלאומי: מדריך יישומי להגנת הסייבר בארגון .
מדיניות להגנת הסייבר בממשלה והנחיית מסגרת להגנת הסייבר בממשלה (להלן - הנחיית .
מסגרת), שפרסמה יה"ב: מדיניות ומסגרת של נהלים והנחיות המחייבים את המשרדים .
ומגדירים ניהול תהליכים מרכזיים בנושא הגנת הסייבר .
תקן ISO27001 : לפי החלטת ממשלה2443 משנת 2015 , על המנכ"לים של משרדי ממשלה .
להגדיר בתוך 120 יום מיום קבלת ההחלטה תכנית מדורגת להטמעה, התעדה והסמכה .
לתקן אבטחת מידע ארגוני ממשפחת ת"י ISO27001 .
מכלול ההוראות והנורמות האמורות מהווה נורמות מקובלות במישור הלאומי ואולם אלו אינן .
יישומים ביומטריים מכילים מידע רגיש, לכן בהתאם להחלטת הממשלה8 הממונה על היישומים .
הביומטריים במערך הסייבר הלאומי (להלן - הממונה על היישומים הביומטריים) גיבש מדיניות .
לאומית ייעודית ליישומים ביומטריים הכוללת קווים מנחים כלליים ליישום המדיניות.
הממונה כלי עזר שמטרתם לסייע לגופים לבחון את מידת עמידתם במדיניות הלאומית ליישומים .
ביומטריים, להלן פירוט הכלים: .
7 החלטת הממשלה3611 ( ", "קידום היכולת הלאומית במרחב הקיברנטי 7.
2011 ); החלטת הממשלה2444 , "קידום .
ההיערכות הלאומית להגנת הסייבר" ( 15.
15 ); החלטת הממשלה2443 , "קידום אסדרה לאומית והובלה ממשלתית .
8 החלטת ממשלה4510 ( ", "תפקידיו וסמכויותיו של הממונה על היישומים הביומטריים 1.
ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו 1.
מחשבון "תבחינים ובקרות - יישומים ביומטריים" - כלי עזר המאפשר לארגון לסווג יישומים .
ביומטריים לאחת משלוש רמות סיכון ובהתאם לכך לקבל את רשימת הבקרות (הנחיות) .
נספח "קווים מנחים" - כלי עזר שמסייע לגוף להבחין אלו סעיפים בקווים המנחים הכלליים .
במדיניות ליישומים ביומטריים חלים על היישום בהתאם לסיווגו.
בהחלטת הממשלה 4510 נקבע כי המדיניות ליישומים ביומטריים לא תחול על הגופים המיוחדים .
ובכללם צה"ל, וכי על הגופים המיוחדים יחולו הסדרים מיוחדים כפי שיסוכמו בינם ובין הממונה.
במסמך ההסדרה9 שגובש בדצמבר2015 בין מחלקת ביטחון מידע (להלן - מחב"ם) בצה"ל .
ליחידת הממונה על היישומים הביומטריים (להלן - מסמך ההסדרה) נקבע כי יישומים מרכזיים, .
שבהם מעובדים נתונים ביומטריים של חיילים או אזרחים רבים, ואשר המידע שלהם נשמר לאורך .
זמן ממושך, סיווגם יהיה "סודי " או "סודי ביותר" ומדיניות הביטחון בהגנה עליהם תהיה בהלימה .
למדיניות הביטחון המקובלת בצה"ל לגבי אותו סיווג ביטחוני .
במסמך ההסדרה מול צה"ל אין .
התייחסות לעמידה במדיניות הלאומית ליישומים ביומטריים ולא נקבע מנגנון לבחינת עמידה .
בקווים המנחים של היישומים הביומטריים בהתאם לרמת הסיכון שלהם.
מסמכי ההסדרה שגיבש הממונה על היישומים הביומטריים עם גופים מיוחדים אחרים גובשו על .
בסיס הקווים המנחים לניהול יישומים ביומטריים שהוגדרו במדיניות ליישומים ביומטריים, .
במסמכי ההסדרה עם חלק מהגופים אף גובש מנגנון לעדכון הדדי אחת .
לשנה ולתיקוף הסדרים קיימים.
בתשובת צה"ל מיוני 2022 (להלן- תשובת צה"ל) נמסר כי מחב"ם, האמונה על ביטחון המידע .
בצה"ל, לא הכירה את מסמך ההסדרה, וכי לא ברורים לה התבחינים שלפיהם המידע עשוי .
להגיע עד לרמת סיווג "סודי ביותר".
מומלץ כי הממונה על היישומים הביומטריים יציג לצה"ל את מסמך ההסדרה שגיבש .
בדצמבר 2015 עם מחב"םויבחן יחד עמו את הצורך בעדכונו בהלימה למתכונת העבודה .
שהוסדרה עם גופים מיוחדים דומים.
צה"ל, כאמור, איננו כפוף לקווים המנחים שהוזכרו במישור הלאומי, אלא למדיניות הגנת מערכות .
תקשוב של צה"ל 10 (להלן- מדיניות ההגנה) שגובשה על ידי יחידת מרכז צופן וביטחון (להלן - .
מצו"ב)11 בחטיבת ההגנה בצה"ל בשנת2012 , ועודכנה לאחרונה בשנת 2015 .
של צה"ל מפורטת בהוראת קבע אגפית (להלן - הק"א) שפרסם אגף התקשוב לראשונה בשנת .
200112 (להלן- הוראות המדיניות).
9 במסגרת החלטת הממשלה4510 , "תפקידיו וסמכויותיו של הממונה על היישומיםהביומטריים" ( 1.
צה"ל כ"גוף מיוחד" שעליו לא תחול ההחלטה אלא יחולו הסדרים מיוחדים כפי שי יקבעו בינו לבין הממונה על .
"בנושא "הגנת מערכות תקשוב והמידע האגור בהן .
11 היחידה אחראית לפיתוח פתרונות צופן והגנהבסייבר לגופים הביטחוניים השונים.
", "מדיניות צה"ל להגנת מערכות מידע .
| 135 | דוח התשפ"ג | סייבר ומערכות מידע| מבקר המדינה-2022 .
ה | ניהול מידע ביומטרי בצה"ל והגנת הסייבר עליו מלבד מדיניות ההגנה, על המאגרים הביומטריים בצה"ל חלים חוק הגנת הפרטיות, ותקנות .
הרשות להגנת הפרטיות אחראית ליישום של החוק והתקנות שחלים על צה"ל .
למעט סייגים שמופיעים בחוק בעניין פיקוח ואכיפה.