HeTree/MevakerConcSen huggingface dataset:
כיוון שפוליסת ביטוח הרכוש הכולל של החברה כללה חריג עבור נזקים לצד שלישי אשר עשויים להיגרם בשל מתקפות סייבר, משנת 2014 החברה רכשה ביטוחמפני נזקים העלולים להיגרם ממתקפת סייבר לצד שלישי כהרחבה19 .
לביטוח הרכוש הכולל שלה החברה מסרה למשרד מבקר המדינה באפריל 2021 כי "בפוליסת הרכוש שנרכשה לשנת2021 .
קיים חריג לסייבר, אשר התווסף בשנה האחרונה לכל פוליסות הביטוח בשוק הביטוח הבינ"ל".
לפיכך, רכשה החברה ביטוח סייבר לכיסוי נזקי רכוש הנובעים מסייבר שלא במסגרת ביטוח הרכוש הכולל.
גבול כיסוי ביטוח זה הוא עד סך של 100 מיליון דולר, והשתתפות העצמית היא בסך של מיליוני דולר.
משרד מבקר המדינה ממליץ לחח"י להמשיך ולבחון מעת לעת את היקף הכיסוי הביטוחי למקרי סייבר בהתאם להיקף ניסיונות התקיפה ולפוטנציאל הנזק מהם.
חח"י השיבה למשרד מבקר המדינה במאי 2021 כי ההמלצה מקובלת עליה וכי הנושא מטופל באופן שוטף.
הכרה תעריפית בעלויות הגנת סייבר .
הכנסותיה של חברת החשמל מבוססות על תעריף החשמל שהיא גובה מצרכני החשמל, מתוקף חוק משק החשמל, התשנ"ו-1996 (להלן - החוק, או חוק משק החשמל).
החוק מסמיך את רשות החשמל לקבוע את תעריף החשמל ולעדכנו, על בסיס עקרון העלות20 , בהתחשב, בין היתר, בסוג השירותים וברמתם.
התעריף שקובעת רשות החשמל מתעדכן אחת לכמה שנים.
בפברואר 2021 מסרה חח"י למשרד מבקר המדינה כי אין בתעריף החשמל הנוכחי משום חסם להוצאות הנדרשות בתחום הסייבר.
19 ההרחבה כללה כיסוי ביטוחי עבור הוצאות משפטיות וקנסות בגין הפרת הגנת הפרטיות, עבור נזקים והפסדים הנגרמים מפרצת מידע סודי, מכשל ביטחוני, או מאי-הודעה של החברה לרגולטור הרלוונטי על חשיפה לא מורשית של מידע אישי אשר החברה אחראית להגנה על פרטיותו מתוקף חוק.
יצוין כי הרחבה זו לא כללה, בין היתר, כיסוי ביטוחי בגין הפסדים שעלולים להיגרם מפעולות מלחמה וטרור (למעט טרור סייבר), מפגיעות בגוף ומנזק לרכוש או מהחרמת מערכות המחשוב של החברה על ידי גורמים ממשלתיים.
20 עקרון העלות על פי החוק, משמעותו, שהמחיר של כל שירות ישקף את העלות שלו בלבד וזאת בתוספת שיעור תשואה נאות על ההון.
בתחום הסייבר במדינת ישראל גופים השייכים למערכת הביטחון, כגון צבא ומשטרה, מנחים את עצמם; מתקנים רגישים ותעשיות ביטחוניות מונחים בידי הממונה על הביטחון במשרד הביטחון; גופים המופקדים על תשתיות קריטיות, מונחים בידי מס"ל או השב"כ.
בין התשתיות הקריטיות נכללות תשתיות הגז, האנרגייה, החשמל, המים, התחבורה ותשתיות תקשורת; משרדי ממשלה מונחים לגבי הפעילות הממשלתית הפנימית על ידי היחידה להגנת הסייבר בממשלה (להלן - יה"ב)21 ; המגזר העסקי ברובו אינו מונחה, מחוץ מאשר גופים כגון הבנקים, חברות אחרות הפעילות בשוק ההון, מפעלי אנרגייה ומוסדות בריאות המונחים על ידי רגולטור מגזרי.
החוק להסדרת הביטחון קובע סמכויות ואחריות לאבטחה פיזית, לאבטחת מידע ו לאבטחת מערכות מחשוב חיוניות של גופים ציבוריים כהגדרתם בחוק.
בין גופים אלה נכללים גופי ממשלה וגופים בבעלות פרטית, ובהם חח"י.
על פי החוק, עד אפריל 2017 האחריותלהנחיה בנושא אבטחת מערכות ממוחשבות חיוניות של חח"י הייתה בידי שירות הביטחון הכללי (להלן - שב"כ).
בדצמבר 2018 תוקן החוק, ובכלל זהנקבע בו כי האחריות להנחיה בנושא מערכות ממוחשבות חיוניות של חלק מהגופים, ובהם חח"י, היא בידי מערך הסייבר הלאומי (להלן -מס"ל), שהוקם על פי החלטת ממשלה22 (ראו להלן).
בתקופת הביניים האחריות בנושא לגביחח"י הייתה של הרשות הלאומית להגנת הסייבר.
בשנת 2011 החליטה הממשלה23 ,, בין היתרעל הקמת מטה קיברנטי לאומי (להלן - המטה או מטה הסייבר) במשרד ראש הממשלה, שבין תפקידיו לייעץ לממשלה ולוועדותיה בנושא הסייבר , לרכז את עבודתן בנושא זה ולתת לראש הממשלה ולממשלה המלצות בנושא מדיניות הסייבר הלאומית.
בהחלטת ממשלה משנת 201524 (להלן- החלטה 2444 ) נקבע כי תוקם רשות לאומית להגנת הסייבר (להלן - רשות הסייבר או הרשות) במשרד ראש הממשלה, שייעודה הגנת מרחב הסייבר, ותפקידיה העיקריים הם ניהול, הפעלה וביצוע של שלל מאמצי ההגנה האופרטיביים במישור הלאומי במרחב הסייבר; הפעלת מרכז לסיוע בהתמודדות עם איומי סייבר25 הנוגעים לכלל המשק; עיצוב, יישום והטמעה של תור ה לאומית להגנת סייבר.
עוד החליטה המ משלה על הקמת מס"ל, אשר יכלול את הרשות והמטה כשתי יחידות סמך עצמאיות למשרד ראש הממשלה.
באותה החלטה גם קבעה הממשלה כי יש "להטיל על המטה להציג.
מתווה להעברת שטח הפעולה בתחום פעולות לאבטחת מערכות ממוחשבות חיוניות.
21 יה"ב הוקמה על פי החלטת ממשלה 2443 מ- 15.
15 , ותפקידיה הם, בין היתר, הכוונה והנחיה בהיבטי הגנת הסייבר, לרבות הגדרת המדיניות ודרישות האסדרה, ליווי מקצועי שוטף ומענה על פניות מקצועיות, בהתאם למאפיינים של הגופים אשר הפעילות נוגעת להם בנושאים שחל עליהם החוק להסדרת הביטחון בגופים ציבוריים ובנושאים שחל עליהם חוק הגנת הפרטיות תתבצע ההנחיה בתיאום עם הגורם המוסמך לפי חוקים אלה.
22 החלטת הממשלה 2444 ( 15.
15 ), "קידוםההיערכות הלאומית להגנת הסייבר".
23 החלטת הממשלה 3611 ( 7.
11 ), "קידוםהיכולת הלאומית במרחב הקיברנטי".
24 החלטת הממשלה 2444 ( 15.
25 המרכז הארצי לניהול אירועי סייבר ( CERT - Computer Emergency Response Team .
| 1028 | הגנת הסייבר בחברת החשמל לישראל בע"מ הביטחון הכללי לרשות"; וכי יש להטיל על המטה ועל הלשכה המשפטית במשרד ראש הממשלה בשיתוף עם משרד המשפטים להכין את תזכיר חוק הגנת הסייבר.
בסוף שנת 2017 , בהתאם להחלטת הממשלה 327026, מוזגו מטה הסייבר הלאומי והרשות הלאומית להגנת הסייבר ליחידה אחת: מערך הסייבר הלאומי הוא מס"ל.
ביוני 2018 הופץבקרב הציבור תזכיר חוק הגנת הסייבר, לקבלת הערותיו ותגובותיו בנושא.
ממסמכי מס"ל27 עולה כי "בעקבות ההערות בוצעה עבודת הטמעה והפנמה של ההערות ובוצעו סבבי דיונים עם גורמים שונים.
ונערכה עבודה משמעותית לטובת קידום הכנת תזכיר החוק לפורמט 'הצעות חוק'".
עלה כי בסיום תקופת הביקורת מס"ל ומשרד המשפטים טרם הניחו הצעת חוק על שולחן הכנסת.
תזכיר החוק המוצע נועד לממש את החלטות הממשלה ומדיניותה בתחום הגנת הסייבר, ובהתאם לכך גם את ההיבטים הקשורים במערך הסייבר הלאומי וסמכויותיו28 .
מס"ל פרסם באתר האינטרנט שלו29 כי תפקידיו על פי תקציר תזכיר חוק הגנת הסייבר הם: לנהל, להפעיל ולבצע בהתאם לצורך את מאמצי ההגנה הלאומיים האופרטיביים מפני תקיפות סייבר.
לקדם את יכולת ההתמודדות של ישראל עם תקיפות סייבר.
לקדם מדיניות ומובילות ישראלי ות בתחום הסייבר בהתאם למדיניות הממשלה ולהחלטותיה.
לקדם שיתופי פעולה בתחום הסייבר במישור הבין-לאומי ולגבש הסכמי שיתוף פעולה בתחום הסייבר.
לייעץ לממשלה ולוועדותיה בתחום הסייבר.
לבצע כל תפקיד אחר בתחום הגנת הסייבר שיקבע ראש הממשלה.
בדוח מבקר המדינה בנושא "היערכות גופים חיוניים להגנת הסייבר" מפברואר 2019 (להלן- הדוח הקודם)30 [נכתב כי "במועד סיום הביקורת31 ,] כשלוש שנים לאחר קבלתה של החלטת הממשלה, ועל אף החשיבות הלאומית שבהסדרת ההגנה על המרחב האזרחי, טרם הושלמו התהליכים הנדרשים לגיבוש נוסח חוק הסייבר", וכן לא הוסדרו בהחלטות הממשלה 2443 ו-2444 היבטים תפעוליים בעבודת עובדי מס"ל מול הגופים שהוא מנחה.
עוד העיר מבקר המדינה כי היעדר מקור נורמטיבי לסמכות עובדי המערך עלול להקשות את שיתוף הפעולה עם .
26 החלטת הממשלה 3270 ( 17.
17 ), "איחודיחידות מערך הסייבר הלאומי".
27 אתר המרשתת של מערך הסייבר הלאומי, עדכון מ- 5.
20 של ההודעה שפורסמה ב- 12.
28 תזכיר חוק הגנת הסייבר ומערך הסייבר הלאומי, התש"ע - 2018 .
29 הודעה בנושא "תקציר תזכיר בנושא חוק הגנת הסייבר", פורסמה באתר המרשתת של מערך הסייבר הלאומי ביולי 2020.
30 משרד מבקר המדינה, דוח היערכות גופים חיוניים להגנת הסייבר, (2019 ) דוח שנתי69 'ב, עמ 2071-2070 .
הגופים ולגרום להימנעותם של עובדי המערך מביצוע פעולות מסוימות.
עקב חוסר בהירות בעניין תחומי הסמכות.
במועד סיום ביקורת זו, כחמש שנים לאחר שהתקבלה החלטת הממשלה 2444 וכשנתיים לאחר שהופץ תזכיר החוק, טרם הושלמו התהליכים הנדרשים לגיבוש נוסח חוק הסייבר.
משרד מבקר המדינה ממליץ למס"ל ולמשרד המשפטים להשלים את התהליכים הנדרשים לגיבוש טיוטת חוק הגנת הסייבר כפי שנקבע בהחלטת הממשלה 2444 , ולאסדר את כל הסמכויות הנדרשות כדי שמס"ל יוכל להשיג את המטרה שלשמה הוקם.
משרד המשפטים השיב למשרד מבקר המדינה באפריל 2021 " כיעקב התפזרות הכנסת החל מדצמבר 2018 ולנוכח משבר הקורונה.
לא ניתן היה להביא את הטיוטה לוועדת שרים לחקיקה".
עוד השיב המשרד כי הוא "רתום לסייע להשלמת המהלך החקיקתי כך שניתן יהיה להסדיר משפטית את הפעילות השלטונית להגנת הסייבר על מנת שיעמדו לרשות המדינה כלים מגוונים ואפקטיביים להתמודדות עם איומי סייבר בממשלה ובמשק האזרחי".
מס"ל השיב למשרד מבקר המדינה כי הוא "ממשיך לקדם מול כלל הגורמים הרלבנטיים חקיקת סייבר על מנת להעלות את רמת הגנת הסייבר במשק הישראלי".
הנחיה במשק האנרגייה .
בעשור האחרון החל תהליך הפרטה של תשתיות אנרגייה ומים, ובמסגרתו מוקמים מתקני תשתית פרטיים בתחומים אלה, כגון תחנות כוח לייצור חשמל ומתקנים להתפלת מי ים.
פגיעה במערכות חיוניות במתקנים אלה עלולה לגרום בין היתר לפגיעה בחיי אדם ולנזקים כלכליים.
על פי חוק משק החשמל, ייצור חשמל בהספק של יותר מ-16 מגה-ואט מותנה בקבלת רישיון לייצור חשמל מרשות החשמל32 במשרד האנרגייה.
על פי החוק, הרשות רשאית לתת רישיון, בין היתר, לייצור חשמל, ולקבוע בו תנאים וכן להגביל או שלא להגביל את תקופת תחולתו.
הרישיון יכלול, בין היתר, את הגבלת תחולתו, אם זו אכן הוגבלה, וכן את הכללים והחובות החלים על בעל הרישיון לפי חוק זה.
בהחלטת ממשלה 2443 משנת2015 נקבע, בין היתר, כי יחידות להכוונה מקצועית מגזרית בתחום הגנת הסייבר במשרדי הממשלה יפעלו להכוונה והנחיה מקצועית בתחום הגנת הסייבר "בהתאם לסמכויות הרגולציה המופעלות על המשרד הממשלתי או במסגרתו", ובהנחייה מקצועית של הרשות הלאומית להגנת הסייבר33 .
מתוקף החלטה זו והחלטות ממשלה נוספות (ראו לעיל) הנוגעות לפעילות ההגנה והאסדרה במרחב הסייבר של מדינת ישראל, מונחים מתקני התשתיות הפרטיים.
מתקנים אלו, הכוללים את יצרני החשמל הפרטיים (להלן - יח"פ) .
32 לצורך ייצור חשמל בהיקף של יותר מ-100 מגה-ואט נדרש בין היתר אישור שר האנרגייה.
33 הרשות הלאומית להגנת הסייבר אוחדה עם מטה הסייבר הלאומי ליחידת סמך אחת המשרד ראש הממשלה - היא מערך הסייבר הלאומי, החלטת ממשלה מס' 3270 מיום 17.
2017 בנושא איחוד יחידות מערך הסייבר הלאומי (ראו לעיל בפרק זה).
| 1030 | הגנת הסייבר בחברת החשמל לישראל בע"מ מונחים על ידי מערך החירום, הביטחון, המידע והסייבר במשרד האנרגייה (להלן - אגף חירום וביטחון במשרד האנרגייה).
ההנחיה כוללת הגנה בתחום הסייבר והתמודדות עם אירועי סייבר.
ביוני 2020 פרסמה מועצת רשות החשמל עדכון34 הכולל דרישה מיזם פרטי המקים תחנת כוח ברשת המתח הגבוה ( בהספק של 630 קילו-ואט עד 16 מגה-ואט) לעמוד בדרישות משרד האנרגייה בנושאי אבטחה פיזית וחמושה ואבטחת סייבר כתנאי לחיבור לרשת החשמל.
כדי לעמוד בדרישה זו, עליו לפנות לאגף חירום וביטחון במשרד האנרגייה כדי לקבל אישור לכך שהוא עומד בדרישות הסייבר בשלב הסנכרון לרשת החשמל.
מתקן שאינו עומד בדרישות המשרד לא יחובר לרשת החשמל.
אגף חירום וביטחון במשרד האנרגייה הוציא הנחייה להתמודדות עם אירועי סייבר ושמירה על רציפות תפקודית של משק האנרגייה והמים במדינת ישראל.
הנוהל כולל עקרונות, נהלים ובקרה בכל הנוגע לתכנון ולביצוע של אבטחה ומיגון של מערכות מחשוב חיוניות משלב הייזום, דרך שלב ההקמה וכלה בשלבי תפעולו ותחזוקתו השוטפת של הגוף המונחה.
הנוהל חל על כל גוף מונחה אשר על פי דין או על פי תנאי הרישוי שלו כפוף להנחיה אבטחתית או ביטחונית של משרד האנרגייה.
משרד האנרגיה מסר למשרד מבקר המדינה בפברואר 2021 כי יחידת הסייבר המגזרית הפועלת במערך, מלווה את היח"פ משלב הייזום, דרך שלב ההקמה ולכל אורך חיי הפעלתו המסחרית, וכי ההנחיות ואמצעי הסייבר מוטמעים במיזם כבר בשלביו המוקדמים, באופן שמתקן המקבל את אישור ההפעלה מידי משרד האנרגייה עומד במלוא דרישות הגנת הסייבר ודרישות האבטחה הפיזית.
לאחר הפעלתו המסחרית של המתקן מתקיימת הנחיה שוטפת לחיזוק, לשימור ולתחזוקה של ההגנה, וכן תרגול וביקורת סייבר.
כמו כן, משרד האנרגייה הקים מרכז קיברנטי מגזרי (להלן - מק"ם) לניטור כלל תשתיות האנרגייה הלאומיות והפרטיות.
המק"ם מנטר גם גופי תמ"ק המונחים על ידי מס"ל.
המק"ם פועל החל מספטמבר 2016 , ובמועד סיום הביקורת היו מחוברים אליו מתקנים ממגזרי תשתיות האנרגייה.
משרד מבקר המדינה רואה בחיוב את העובדה כי משרד האנרגייה הקים את המק"ם, המנטר את כלל תשתיות האנרגייה, מתכלל מידע המתקבל מהן ומשקף תמונת מצב בנושא הגנת סייבר על משק האנרגיה.
במשק החשמל קיימים שני גופי רגולציה בתחום הסייבר המנחים את הגורמים הנמצאים תחת אחריותם.
בהשוואה בין הנחיות שני הגופים האמורים נמצאו מספר הבדלים.
4 על פי סעיף 30 לחוק משק החשמל התשנ"ו - 1996 בין תפקידי הרשות: "קביעת אמות מידה לרמה, לטיב ולאיכות השירות שנותן בעל רישיון ספק שירות חיוני לצרכן, לבעל רישיון הספקה, ליצרן חשמל, ליצרן חשמל פרטי, לבעל רישיון אגירה או לבעל רישיון ספק שירות חיוני אחר (להלן אמות מידה) ופיקוח על מילוי חובותיו על פי אמות המידה".
מומלץ כי הגופים הרלוונטיים ובהם שני גופי הרגולציה יבחנו הגדרתן של הנחיות אחידות עבור כלל הגורמים המונחים על ידם.
אחד הגופים הרגולטוריים השיב למשרד מבקר המדינה במאי 2021 כי הוא כתב נוהל בין היתר בהתאם לתקינה מקובלת ומשלב בין היתר הנחיות חופפות להנחיותיו של הרגולטור האחר וכי הוא מתעדכן באופן שוטף הגוף הרגולטורי השני השיב למשרד מבקר המדינה כי בינו לבין הגוף הרגולטורי האחר מתקיימים קשרי עבודה שוטפים.
הנחיית סייבר בישראל לעומת מדינות אחרות .
במדינות המערב מקודמת מדיניות הגנת סייבר לאומית.
בשנת 2015 המליץ ה- OECD למדינות הארגון לגבש מדיניות הגנת סייבר הכוללת התמודדות עם הסיכונים במרחב הדיגיטלי 35 .
בשנת 2016 נקבעה באיחוד האירופי (התקף ממאי 2018 ) דירקטיבה36 המחייבת את החברות באיחוד לגבש מדיניות הגנת סייבר, לקבוע את אופן האסדרה של תשתיות קריטיות ולהקים מרכז טיפול לאומי באירועי סייבר.
בדוח הפורום הכלכלי העולמי לשנת 2018 נקבע כי סיכון הסייבר הוא אחד מחמשת הסיכונים הגדולים בעולם37 והומלץ להגביר את ההיערכות לאירועי סייבר.
org/sti/ieconomy/digital -security -risk-managment.
europa/eu/digital -single -market/en/network -and-information -security -nis-directive 37 https://www.
org/reports/the -global -risks-report -2018 .
| 1032 | הגנת הסייבר בחברת החשמל לישראל בע"מ הנחיית סייבר בחברת החשמל הפיקוח על ביצוע ההנחיות הניתנות לחברת החשמל .
על פי סעיף 15 לחוק להסדרת הביטחון, מס"ל רשאי לגבי הגופים שבאחריותו "להיכנס בכל עת לגוף ציבורי כדי לבדוק אם מולאו ביחס אליו ההוראות לפי חוק זה וההנחיות שניתנו על פיו".
על פי הנחיות מס"ל, הנחיית הגופים המונחים על ידי מס"ל יכולה להתבצע בשלוש תצורות אפשריות: הנחיה ישירה, הנחיה עקיפה והסכם שיתוף פעולה.
בתצורת הנחיה ישירה מס"ל מקיים קשרי עבודה ישירים עם הגוף המונחה, והמשרד הממשלתי הרגולטורי של הגוף המונחה מתעדכן ומתואם על פי צורך; ולעומת זאת בתצורת הנחיה עקיפה חלק מקשרי העבודה מתקיימים מול המשרד הממשלתי הרגולטורי הממונה על הגוף המונחה.
נמצא כי מס"ל לא הסדיר בכללים את האופן שבו חח"י צריכה לדווח לו כדי שיוכל לעקוב אחר ביצוע הנחיותיו ואחר תיקון הליקויים שמצא.
משרד מבקר המדינה בחן את הפיקוח בפועל של מס"ל על יישום כמחצית מההנחיות שמסר מס"ל לחח"י בשנים 2018 - 2020 ושנמסרו למשרד מבקר המדינה במהלך תקופת הביקורת.
עולה כי מס"ל לא ביצע מעקב ופיקוח מלא בעניין ביצוע כל הנחיותיו בידי חברת החשמל וכי לגבי חלק מתוך ההנחיות, מס"ל מסר לצוות הביקורת במשרד מבקר המדינה כי לא התקבל מידע על סטטוס ההנחיה בכתב או בעל-פה.
יצוין כי חח"י גיבשה את הוראת העבודה "מודל תהליכי עבודה בין חברת חשמל למערך הסייבר הלאומי" (להלן - ההוראה), התקפה ממרץ 2020 , כשנתיים לאחר שמס"ל החל להנחותאותה.
ההוראה עודכנה ביוני 2020 ובינואר 2021 .
בהוראה צוין בין היתר כי אחת לשבוע או שבועיים יתקיים מפגש עבודה בין מס"ל למטה הסייבר בחח"י; בכל מפגש ירוכזו הנושאים שלשני הגורמים חשוב לדון בהם וכן יתבצע מעקב שוטף אחר סטטוס יישום ההחלטות.
חח"י השיבה למשרד מבקר המדינה כי היא מגישה "באופן שוטף סטאטוס יישום הנחיות מס"ל", וכי "מתקיימות פגישות שוטפות ברמה שבועית לטובת דיווחים בין שני הצדדים".
עוד היא השיבה כי הפערים ביישום חלק מההנחיות נמצאים בבדיקה מול מס"ל, וחלק מההנחיות האחרות לטענת חח"י היא עדכנה את מס"ל.
מס"ל השיב למשרד מבקר המדינה כי "האחריות על ביצוע ההנחיה והדיווח לאגף תמ"ק מוטלת קודם כל על הגוף עצמו.
על רקע היכרותו של אגף תמ"ק ]במס"ל[עם מאפייני הגוף, הוא נמנע בדרך כלל, מלקבוע סד זמנים נוקשה למימוש ההנחיה, אלא עוקב באופן עתי אחר ביצועה בפרק זמן סביר".
יצוין כי על אף הפגישות כאמור בין הצדדים והקשר השוטף המתקיים בין חח"י לבין מס"ל, יש פער בין סטטוס יישום ההנחיות על פי מסמכי חח"י לבין זה הידוע למס"ל, כפי שעולה ממסמכיו.
בהוראה שגיבשה חח"י יחד עם מס"ל לא נקבעו סדרי הדיווח של חח"י בכתב למס"ל, לרבות קביעת לוחות זמנים להגשת דיווח זה.
על מנת למנוע את הפער בין סטטוס יישום ההנחיות על ידי חח"י בפועל לבין זה הידוע למס"ל, מומלץ כי מס"ל כמאסדר יפעל לאסדרה של סדרי הדיווח והבקרה שלו על חברת החשמל.
בכלל זה, מומלץ לקבוע הוראות בדבר הדיווח בכתב שחח"י צריכה למסור לו בעניין אופן ביצוע הנחיותיו, בעניין תיקון ליקויים שנמצאו על ידו או על ידי גורמים אחרים בביקורות חיצוניות או פנימיות, ומהם ההסברים הנדרשים בדיווח.
כמו כן, מומלץ כי מס"ל יקבע את המועדים הנדרשים למסירת דיווחים בכתב כאמור, לרבות דיווחים עיתיים ומיידיים, ואת הפרטים שחח"י נדרשת למסור בדיווחיה.
עוד מומלץ כי מס"ל יפעל לקבל מחח"י מידע באופן סדור לגבי יישום כלל הנחיותיו מהשנים שחלפו.
משרד מבקר המדינה ממליץ למס"ל להקים מערכת ממוחשבת להזנת כלל ההנחיות לגופים המונחים הכוללת התראות על סטטוס תיקון הליקויים, אשר תשמש לו ככלי בקרה על ביצוע הנחיותיו.
מס"ל השיב למשרד מבקר המדינה ביוני 2021 (להלן- תשובת מס"ל) כי הוא "מקבל את נקודת המבט של צוות המבקר אודות חשיבות "פירמול" התקשורת עם חח"י.
מאפייני פעילות אגף תמ"ק, כפי שמבוצעים מחייבים התאמה של שיטה רגולטורית זו למול כלים אחרים כדי להשיג את התוצאה הרצויה - אפקטיביות והנעה לפעולה מהירה של הארגון, ולדעתו פירמול נהלים הינו אמצעי ולא מטרה בפני עצמה".
עוד השיב המס"ל כי "הליכי ההנחיה הישירים בין אגף תמ"ק לארגונים המנויים בתוספת לחוק להסדרת הבטחון מתאפיינים בקשר שוטף ורציף בין המנחה לגוף המונחה (באמצעות ממונה התמ"ק), ופגישות עבודה עתיות ביניהם שבסופן יוצא סיכום דיון" עם זאת, "בימים אלו החלה להיערך באגף תמ[ "ק ]במס"לעבודת מטה אודות יצירת קובץ הנחיות והאחדת תהליכים בין האגף לגופים המונחים, ובכוונת האגף לבחון במסגרת עבודת מטה זו גם את הצורך לגבש נהלים , ]ביקורת זה[ ברורים ואחידים למימוש הפיקוח והבקרה על הגופים כמתואר בדוחלרבות עיגון הדברים בכתב תוך קביעת לוחות זמנים ברורים ומוגדרים".
לפי ההנחיות המקצועיות, על גופי התמ"ק לכלול תוכנית לצמצום פערים ולהטמעת המענה האבטחתי.
במהלך הביקורת עלו פערים מסוימים בעמידת חח"י בחלק מן ההנחיות.
יצוין כי תוך כדי ביצוע הביקורת נקטה חח"י בפעולות על מנת ל צמצם ולבטל פערים אלו.
כמו כן, לאחר מועד סיום הביקורת, במאי 2021 , מסרה חח"י למשרד מבקר המדינה תוכנית עבודה רב-שנתית ובה יעדים לעמידה בהנחיות.
| 1034 | הגנת הסייבר בחברת החשמל לישראל בע"מ לנוכח החשיבות של תשתיות החברה מבחינת כלל פעילות המשק, מומלץ שחח"י תשלים יישומה של התוכנית תוך קביעת אבני דרך ולוחות זמנים ותדווח עליהם למס"ל.
מדיניות אבטחה פנים-ארגונית .
עפ"י ההנחיות הרגולטוריות, על ארגון להגדיר, בין היתר, את הסדרת הסמכויות בהיבטי הגנת הסייבר ואת התמיכה הניהולית.
ועדת היגוי עליונה הגנת מרחב הסייבר ואבטחת מידע (להלן - ועדת היגוי עליונה לסייבר) - בראשות מנכ"ל החברה.
לצד ועדה זו פועלות ועדות נוספות.
ועדת ההיגוי העליונה מגבשת היבטים בתחום הסייבר הוועדה מתכנסת אחת לשנה.
ועדת ההיגוי העליונה להגנת הסייבר ולאבטחת מידע התכנסה פעם אחת בכל אחת מהשנים 2019 ו-2020 .
בדיוני הוועדה הוצגו: סיכום הפעילות השנתית בנושאי הסייבר ואבטחת מידע בחברה, עיקרי תוכנית העבודה לאותה שנה ותקציב הסייבר בחברה לאותה שנה.
הוועדה קבעה בין היתר כי עד למועד מסוים תושג עמידה ביעד מסוים אולם הוועדה לא דנה בצורך לקבוע תוכנית עבודה רב-שנתית לגבי יעדים נוספים.
נמצא כי חלק מנוהלי החברה שנדרשים במסמכי מס"ל בנושא הגנת סייבר נכתבו בתקופת הביקורת בשנת 2020 .
יצוין כי גם מסמך מדיניות הגנת הסייבר של החברה נכתב והושלם בשנת 2020 .
מומלץ כי החברהתבדוק בשיתוף מס"ל אילו נהלים נוספים נדרשים לה ותכין תוכנית עבודה להכנתם.
חח"י השיבה למשרד מבקר המדינה כי הנושא מטופל ומיושם באופן שוטף עם מס"ל.
תוכניות שנתיות ורב-שנתיות .
עפ"י ההנחיות הרגולטוריות, על חח"י להגדיר תוכנית רב-שנתית.
כמו כן, ההנחיות קובעות, בין היתר, כי יש להציג את התוכנית לוועדת ההיגוי ולעדכנה בהתאם לעדכונים .
בהוראת עבודה של החברה בנושא תוכנית עבודה ובקרות להגנת הסייבר ואבטחת מידע, צוין כי תוכנית עבודה שנתית או רב-שנתית , בקרה, סקרים וביקורת הם כלי ניהול חיוניים לתכנון פעילות החברה בתחום הגנת הסייבר ואבטחת המידע, להצבת יעדים ולצמצום פערים, תוך הקצאת משאבים יעילה.
במועדסיום הביקורת, דצמבר 2020 ,חח"י טרם הגיש ה תוכנית רב-שנתית .
כמו כן, על פי הפרוטוקולים של ועדת ההיגוי העליונה, במועד סיום הביקורת תוכנית עבודה רב-שנתית כאמור טרם הוצגה לוועדה.
עוד נמצא כי במועד סיום הביקורת, תוכניות העבודה השנתיות שחח"י הציגה לשנים 2021- 2019 אינן כוללותאת מלוא הפירוט לגבי אופן יישומן.
משרד מבקר המדינה ממליץ שהחברה תכין ת וכנית עבודה רב -שנתית מפורטת יותר בתחום הסייבר בהתאם להוראת העבודה בנושא, הכוללת את מלוא הפירוט הנדרש.
כמו כן, מומלץ שהחברה תכין תוכניות שנתיות מפורטות כאמור.
עוד המליץ משרד מבקר המדינה כי תוכניות העבודה השנתית והרב-שנתית כאמור תוצגנה לגורמים הרלבנטיים ותעודכנה כפי שנדרש.
חח"י השיבה למשרד מבקר המדינה כי לאחר מועד סיום הביקורת, בפברואר וביוני 2021 , היא הציגה לגורמים הרלבנטים את תוכנית העבודה השנתית לשנת 2021 .
עוד היא השיבה כי "תכנית עבודה רב שנתית ושנתית הוצגה " במאי 2021 .
בנוסף היא השיבה כי תוכניות העבודה השנתיות מוצגות ונדונות עם הגורמים הרלבנטים באופן שוטף.
כמו כן, ציינה חח"י כי היא "רואה חשיבות רבה בתוכנית עבודה שנתית ורב שנתית".
בקרות בהגנת סייבר ובאבטחת מידע .
דרישות הגנת סייבר בהתקשרויות מסוימות .
בהנחיות מס"ל יש פרק העוסק בשרשרת האספקה.
מטרת הפרק היא קביעת הנחיות לגבי הסדרי האבטחה הנדרשים בקרב ספקי הגופים המונחים, על מנת לאפשר אבטחה של נכסי המידע המסווגים ושל רכיבי המערכות הקריטיות, אשר גורמים חיצוניים מופקדים על תחזוקתם, תפעולם, התקנתם, ניהולם ואספקתם.
על פי מסמך מדיניות הגנת הסייבר ואבטחת המידע של חח"י, אחריות כוללת של מנהל כל פרויקט מטעם חח"י היא בין היתר להגדיר את אופן היישום של כל דרישות אבטחת המידע לפרויקט במסגרת כל מחזור החיים של הפרויקט, החל בשלב התכנון, דרך הפיתוח וכלה בשלב התחזוקה השוטפת של התשתית, ולפקח על יישומן של דרישות אלה.
בהנחיות הרגולטוריות ובהוראות חח"י מפורטים כללים הנוגעים ל דרישות אבטחת המידע בהתקשרויות מסוימות.
משרד מבקר המדינה בדק את יישום הכללים האמורים באחת מהתקשרויות חח"י.
נמצא כי באחת העסקאות חברת חשמל לא ביצעה את כל הפעולות שהיה עליה לבצע לפי הכללים .
| 1036 | הגנת הסייבר בחברת החשמל לישראל בע"מ בין היתר נמצא כי אחד המסמכים נחתם ע"י עובדת חח"י בתפקיד מסויים ולא ע"י מורשי החתימה של החברה.
עד מועד סיום הביקורת טרם הסתיים התהליך וטרם נקבע מענה מספיק לכל הפערים.
משרד מבקר המדינה ממליץ למס"ל ולחח"י לפעול להשלמת כלל הפעולות הנדרשות כדי לעמוד בדרישות הסייבר.
חח"י השיבה למשרד מבקר המדינה כי המלצה זו מקובלת עליה וכי היא גם פועלת לפיה.
משרד מבקר המדינה מציין כי היה ראוי שהמסמך, בפרט בעסקה בהיקף כספי משמעותי, ייחתם בהתאם לנהלי החברה ע"י מורשי החתימה, ככל שאר מסמכי ההסכם, לאחר ביצוע הבקרות הנדרשות.
מומלץ שהחברה תבחן עם מס"ל כיצד ניתן למנוע את הישנותם של הליקויים שנמצאו בהליך חתימת המסמך, וכי תוודא מול מס"ל שהבקרות בתהליך יהיו מקובלות עליו ויאושרו על ידו.
סקרי סיכונים ומבדקי חדירה .
החוק להסדרת הביטחון38 מסמיך את מס"ל לתת הנחיות מקצועיות לגופיםשהוא מנחה, ובהם חח"י, בכל הנוגע לפעולות אבטחה, לרבות בעניין בקרה ודיווח.
כאמור, מס"ל מנחה את חח"י בתצורת הנחיה ישירה, באמצעות הנחיות ונהלים, טיפול באירועים, משוב, הזרמת מידע ודיווחים, ניתוח איומים והתאמת המענה, בקרה (ביקורות, תרגילים, מעקב הנחיות), הדרכה והכשרה.
על פי ההנחיות הרגולטוריות, יש לבצע סקר סיכונים עבור תהליכים מסויימים אחת לתקופה.
כמו כן מנחות ההנחיות הרוגלטוריות לבצע מבדק חדירה אחת לתקופה מסוימת.
מטרת מבדק החדירה היא לבחון את היכולת לפגיעה בזמינותה, באמינותה, בשלמותה או בהפעלתה של המערכת.
ממסמכי החברה מפברואר 202039 עולה כי נכון ליולי2019 , לחטיבת התקשוב בחברה לא היה מסמך מדיניות כתוב או נוהל או הוראת עבודה בנושא ביצוע סקרי סיכונים ומבדקי חדירה.
מסמך מדיניות הגנת סייבר ואבטחת מידע הוכן ואושר במאי 2020 (להלן- מסמך המדיניות)40 .
במסמך המדיניות הוגדרו תכנון פעילות סקרי הסיכונים ומבדקי החדירה לפי דרישות הרגולציה השונות.
39 חברת החשמל, דוח ביקורת פנימי 40 מסמך המדיניות תקף מיוני 2020.
ממסמכי חברת חשמל עולה כי ביולי 2019 היא לא גיבשה תוכנית עבודה רב-שנתית או שנתית לביצוע סקרי סיכונים ומבדקי חדירה.
בפועל, עלו פערים בביצוע סקרי סיכונים ומבדקי חדירה עד יולי 2019.
במאי 2020 הכינה חח"י תוכנית עבודה בנושא מבדק סיכונים או חדירה תלת-שנתית לשנים 2020 - 2023 .
חח"י השיבה למשרד מבקר המדינה כי באותה שנה "הוקצו משאבים נוספים לקידום פעילות זו".
הועלה כי בשנת 2020 ביצעו חח"י ומס"ל מבדקים כאמור.
עלו פערים בתוכנית העבודה להכנה ויישום של סקרי סיכונים ומבדקי חדירה.
מומלץ כי חברת חשמל תשלים הכנת תוכניות עבודה לביצוע סקרי סיכונים ומבדקי חדירה בכלל מערכותיה ותפעל ליישומה ולמעקב אחר תיקון הליקויים שיעלו.
חח"י השיבה למשרד מבקר המדינה כי במאי 2020 החברה אישרה נוהל ביצוע סקרי סיכונים ומבדקי חדירה בתשתיות התקשוב, ובשנת 2020 היא השלימה סקרי סיכונים לכל היישומים בתחומים מסויימים וכי באותה שנה הוקמה ועדת היגוי ייעודית ברשות סמנכ"ל תקשוב לצורך מעקב ובקרה על פעילות זו.
עוד השיבה החברה, כי במאי 2021 הכינה חח"י תוכנית עבודה תלת-שנתית עדכנית לנושא זה.
סקרי סיכונים שביצע מס"ל בחח"י בשנים האחרונות .
משרד מבקר המדינה בחן מספר סקרי סיכונים שביצע מס"ל בחח"י בשנים האחרונות ואת אופן יישום המלצות מס"ל על ידי חח"י.
מבחינה זו עלה כי עבור מספר סקרים נמצאה חוסר התאמה בדבר תיקון הליקויים שהעלה הסקר, בין הדיווח שהמציאה חח"י לביקורת לבין הדיווח שהיה בידי מס"ל.
משרד מבקר המדינה ממליץ למס"ל בשיתוף עם חח"י להשלים מתכונת מעקב ודיווח אחר תיקון הליקויים.
ההנחיות הרגולטוריות והוראות החברה קובעות כללים באשר למנגנוני הבקרה השונים שעל החברה ליישם ובאשר לתהליכי העבודה השונים הקשורים לתחום הגנת הסייבר.
עלה כי עבור חלק ממנגנוני הבקרה ותהליכי העבודה שנבדקו בביקורת, החברה אינה עומדת באופן מלא בכלל ההנחיות הרגולטוריות והוראות החברה.
יצוין כי החברה מסרה למשרד מבקר המדינה כי התהליכים השונים שנועדו ליישום ההנחיות וההוראות הרלוונטיות הושלמו או שנמצאים בפעילות לצורך השלמתם.
| 1038 | הגנת הסייבר בחברת החשמל לישראל בע"מ משרד מבקר המדינה מציין כי על החברה לעמוד בהנחיות ובהוראות הרלוונטיות.
כמו כן, מומלץ כי מס"ל יעקוב אחר סטטוס ביצוע הנחיותיו.
היערכות לתגובה על אירועי סייבר ולהתאוששות מהם .
כושר התאוששות של העסק ( business resilience ) משמעו יכולתו של הארגון להסתגל להפרעות ואירועים על מנת לשמור על רציפות בפעילותו ולהגן על נכסיו.
על פי הנחיות מס"ל תהליך קריטי הוא סדרת פעילויות המבוצעות על ידי מספר גורמים בארגון (אנשים, מערכות ממוחשבות) על מנת לממש את יעודו העסקי של הגוף אשר פגיעה קיברנטית מולו היא בעלת פוטנציאל נזק ברמה המדינתית; מערכת קריטית הוגדרה כמערכת ממוחשבת אשר פגיעה בזמינותה, אמינותה, שלמותה או הפעלתה שלא בהתאם לייעודה עלול לגרום לנזק לתהליך הקריטי בהתאם לתבחינים שהוגדרו על ידי מערך הסייבר הלאומי.
חח"י הגדירה את המושג "נכס מידע" כמאגר נתונים, או כל צבר של נתונים או מידע, המשמש במערכות טכנולוגיית המידע.