HeTree/MevakerConcSen huggingface dataset:
עוד נקבע כי מחזיק שברשותו לפחות חמישה מאגרי מידע החייבים ברישום, ימסור לרשם מדי שנה בשנה רשימה של מאגרים אלה בצירוף שמות בעליהם, תצהיר על כך שנקבעו בעלי זכות הגישה לכל אחד מהמאגרים בהסכם שנקבע בינו לבין בעליו, וכן שמו של הממונה על האבטחה.
בחוק הגנת הפרטיות מוגדר מאגר מידע כ"אוסף נתוני מידע, המוחזק באמצעי מגנטי או אופטי והמיועד לעיבוד ממוחשב" 30.
"מידע רגיש" מוגדר כ"נתונים על אישיותו של אדם, צנעת אישותו, מצב בריאותו, מצבו הכלכלי, דעותיו ואמונתו" וכל מידע ששר המשפטים קבע בצו, באישורה של ועדת החוקה חוק ומשפט של הכנסת, שהוא מידע רגיש.
בממשל זמין קיימים מאגרי מידע של הלקוחות השונים הכוללים מידע רגיש.
לדוגמה, בשירות הטפסים הממשלתי נאגרים מאות טפסים שונים של משרדים, המכילים מידע על אזרחים.
למשל, טופס בקשה להקלה ולתיאום בחישוב ניכויי מס מכיל מידע רגיש על אזרחים ומצבם הכלכלי; טופס בקשה לתעודת עיוור או לקוי ראייה מכיל פרטים אישיים ומידע על מצבו הבריאותי של האזרח; טופס פנייה למפקח על הביטוח שבמשרד האוצר מכיל נתונים אישיים של הפונה ויכול להכיל נתונים על מצבו הכלכלי.
בנוהל מדיניות אבטחת המידע של ממשל זמין נקבע בעניין התאמה לדרישות שעל פי דין כי כל הדרישות הרלוונטיות על פי חוק, יוגדרו במפורש, יתועדו וייושמו בעבור כל המערכות והיישומים של ממשל זמין.
הגנה על הנתונים ושמירה על הפרטיּות יובטחו כנדרש מתוקף הוראת חוק הגנת הפרטיות.
בקרות הצפנה ייושמו לפי כל ההסכמים, החוקים והתקנות הרלוונטיים.
30 "למעט- (1 ( ) אוסף לשימוש אישי שאינו למטרת עסק; או2 ) אוסף הכולל רק שם, מען ודרכי התקשרות, שכשלעצמו אינו יוצר אפיון שיש בו פגיעה בפרטיות לגבי בני האדם ששמותיהם כלולים בו, ובלבד שלבעל האוסף או לתאגיד בשליטתו אין אוסף נוסף" .
הביקורת העלתה כי לממשל זמין אין הסכם עם אף לא אחד מלקוחותיו, שלהם מאגר מידע כהגדרתו בחוק הגנת הפרטיות, המגדיר מי הם מורשי הגישה למאגרי המידע שלהם כנדרש בחוק הגנת הפרטיות.
ממשל זמין גם לא מסר דיווח שנתי לרשות למשפט, טכנולוגיה ומידע שבמשרד המשפטים כנדרש בחוק זה, בתוקף היותו מחזיק במאגרים של בעלים שונים.
משרד מבקר המדינה מעיר ל הנהלת ממשל זמין , כי עלי ה לקיים את הוראות חוק הגנת הפרטיות ותקנותיו בכל מאגרי המידע ש ממשל זמין מחזיק בהם; למשל, שרת הטפסים שבו מאגרי מידע של משרדי הממשלה השונים, המכילים מידע רגיש על אזרחים.
יישום מסקנות של דוחות בדיקה ושל אירועי אבטחת מידע .
: דוח הרשות הממלכתית לאבטחת מידע על רקע חיוניותה ההולכת וגוברת של תהיל"ה למדינת ישראל ולנוכח הנזק העלול להיגרם מפגיעה ניכרת בזמינות, באמינות או בסודיות של המידע הממשלתי והשירותים שהיא מספקת, הוכרזה תהיל"ה כתשתית חיונית המונחית על ידי רא"ם.
במסגרת הפעילות המשותפת של מערך ממשל זמין, משרד האוצר ורא"ם הקימו ועדת היגוי לעניין תחומי אחריותה של רא"ם בתהיל"ה (להלן - ועדת היגוי משותפת).
במרץ 2011 ערכה רא"ם, אשר החל ה לפעול כרגולטור מול תהיל"ה, ביקורת מיפוי בתהיל"ה, וסיכמה את ממצאיה בדוח (להלן - דוח רא"ם).
הבי קורת של רא"ם התמקדה במיפוי ובבחינה של נכסי המידע, והתהליכים בתהיל"ה.
מממצאי דוח רא"ם עולה כי מדיניות האבטחה ותפישת האבטחה בתהיל"ה נותנות מענה טוב לאיומים הקיימים.
עם זאת נמצאו בתהיל"ה כמה היבטים המצריכים בחינה: היבטי האבטחה הלוגית, האבטחה הפיזית, ההתאמה ה ביטחונית, כללים ותהליכים; וכן ההיערכות לחירום.
הדוח העלה, בין היתר, כי אין תכנית הדרכה ותהליך מוסדר ומחזורי להגברת מודעות העובדים לנושא אבטחת המידע.
בעקבות ממצאי הדוח הוציאה רא"ם ביולי 2011 הנחיות מפורטות לטיפול בליקויים שהועלו בדוח.
ההנחיות נחלקו להנחיות לביצוע מידי (עד סוף שנת 2011 ) ולהנחיות לביצוע לפי תכנית ההטמעה הרב - שנתית (להלן - תכנית ההטמעה) של תשתית מידע קריטי בתהיל"ה.
מסיכום דיון של ועדת ההיגוי המשותפת מפברואר 2012 , שעסק בפעילויות שנעשו בעקבות דוח רא"ם בשנת 2011 ובפערים שנותרו ביישום אבני דרך של תכנית ההטמעה, עולה גם שבאותה עת עדיין לא הועברו כל טופסי הסיווג החתומים על ידי העובדים בתהיל"ה , וכן נדרש להשלים את כתיבת המסמכים המתעדים את המערכות הקריטיות, שאמורים היו להיות כתובים עד סוף שנת 2011 .
עוד עולה ממצגת שהוצגה בדיון, כי יש חריגות בביצוע משימות במסגרת ההנחיה של רא"ם.
משרד מבקר המדינה בדק את תיקון הליקויים שהועלו בדוח רא"ם הביקורת העלתה כי כמה מהליקויים, שהיה צריך לתקנם עד סוף שנת 2011 , טופלו חלקית בלבד או לא טופלו כלל.
לדוגמה, בדיקות להתאמה ולסיווג של העובדים טרם הושלמו; מסמך מדיניות אבטחת המידע טרם עודכן באופן שיכלול את כל המערכות והרשתות בתהיל"ה; והגדרת הגבלת גישה בערכות שליטה ובקרה נעשתה באופן חלקי בלבד.
עוד עלה כי יש חריגות מלוחות הזמנים שנקבעו בתכנית ההטמעה.
למשל, במועד סיום הביקורת, ביולי 2012 , עדיין לא קיים ממשל זמין את הפעילויות הנכללות בתכנית ההטמעה שנקבעו לביצוע עד סוף ינואר 2012, ובכלל זה: לאנערך תרגיל חירום, וממילא לא הופקו ממנו לקחים, ולא נערך במלואו מיפוי המערכות הקריטיות.
כמו כן נמצא , כי כמה מהפעילויות נעשו באופן חלקי בלבד: כתיבתו והפצתו של מסמך מדיניות אבטחת תשתית מידע קריטי נמצא בשלב טיוטה לאחר הערות.
בהתייחסותה מנובמבר 2012 מסרה הנהלתממשל זמין , כי "החלק האחרון בסקר הערכת הסיכונים הסתיים בחודש אוגוסט 2012 .
כמו כן סיווג המשרות הושלם אך .
]חלק מסוגיות הביטחון[ .
"עדיין בטיפול באמצעות אגף חירום ובטחון 2.
מבדקים לתקן ישראלי 27 0 0 1: בהצהרת מדיניות אבטחת מידע מאוגוסט 2007 הצהירה הנהלת ממשל זמין על הקמת מערכת ניהול אבטחת איכות ומידע שתעמוד בדרישות תקן 27001 .
בשנת 2008 אישר מכון התקנים הישראלי את ממשל זמין כמי שעומד בדרישות תקן זה, והוא עובר מבדקי מעקב שנתיים, על ידי חברה פרטית, כד י לבדוק את עמידתו בהוראות התקן.
במבדק שנערך באפריל 2009 נקבע, כי המבדק הבא יהיה במרץ 2010 .
קיבל ממשל זמין לראשונה תעודת הסמכה לתקן למשך שלוש שנים בנוהל "סקר הנהלה" של ממשל זמין נקבע כי סקרי הנהלה ייערכו פעמיים בשנה או בעת שחלים שינויים ניכרים.
סקר הנהלה הוגדר בנוהל כדיון תקופתי שמטרתו סקירת מערך אבטחת המידע בממשל זמין והתאמתו לתקן 27001 , לנהלים ולחוקים.
עוד נקבע בנוהל כי באחריות ועדת ההיגוי לאבטחת מידע להתוות את עקרונות האבטחה של ממשל זמין ולסקור ולבקר את פעולותיו של ממשל זמין בתחום ניהול אבטחת מידע.
בנוסף לזאת נקבע, כי ועדת ההיגוי תתכנס לפחות פעמיים בשנה.
על מנהל אבטחת מידע לבקר ולאכוף יישום הנחיות נוהל זה.
הביקורת העלתה כי למעט סיכום ישיבה אחת בנושא סקר הנהלה, שהתקיימה בנובמבר 2010 , לא נמצאו מסמכים המעידים על קיום סקרי הנהלה בשנים 2009 -2012 .
כמו כן לא נמצאו מסמכים המעידים על כך שההחלטות שהתקבלו בסקר ההנהלה מנובמבר 2010 והיו אמורות להתבצע עד סוף 2011, אכן יושמו.
עוד הועלה, כי לא נערך מבדק בשנת 2010 לשנת 2009.
דוחות חדירה למערכת ניהול ותיעוד הרכש הממשלתי (להלן - מנור"ה): פרויקט מנור"ה החל בשנ ת 2008 במטרה ליצור מערכת תשתית טכנולוגית לניהול מקוון של מכרזים ממשלתיים.
מערכת זו נועדה לאפשר למשרדי הממשלה לנהל באופן מקוון את השלבים הפנים-ממשלתיים של 300 דוח שנתי63ב .
המכרז, משלב הייזום ועד שלב ההתקשרות עם הספק.
באמצעות מנור"ה יכולים קניינים במשרדים הממשלתיים לפרסם מכר זים ישירות למציעים הממשלתיים, ובעצם, לבטל את הצורך בהגעה פיזית לכל אחד משלבי המכרז ולחסוך בעלויות ובשעות עבודה.
פיתוח הפרויקט החל באפריל 2009 , ונכון למועד סיום הביקורת כמאה מכרזים פעילים במערכת מנור"ה.
ביולי 2011 נכנסה לתוקף הוראת תכ"ם31 בדבר ניהול הליכים במערכת מנור"ה , ופריסתה החלה בכל משרדי הממשלה וביחידות הסמך.
בהוראה נכתב כי המערכת נוקטת, באורח סדיר, אמצעי הגנה סבירים מפני חדירה ומפני שיבוש בעבודתה העלולים לפגום במהימנות המידע שבה.
מטרת ההוראה היא "להנחות בעלי תפקידים במשרדי ממשלה בניהול מכרזים ממוכנים במערכת מנור"ה" .
למערכת מנור"ה נערכו מבדקי חדירה על ידי גורם ממלכתי (להלן - דוח חדירות).
מטרת הבדיקה הייתה להעריך את רמת החסינות של מנור"ה ביחס לאיומי לוחמת מידע ולזהות כשלי אבטחה.
מדוח החדירות עולה כי התגלו בעיות המוגדרות כסיכון לתהליכים המבצעיים העיקריים ברשת.
גם צוות אבטחת המידע של ממשל זמין ערך בדיקה לפרויקט מנור"ה.
מדוח הצוות עלה, כי לא כל הבעיות שדורגו בעדיפות גבוהה תוקנו בהצלחה, ויש לערוך בדיקות חוזרות כדי לוודא פתרון לכלל הבעיות שהתגלו בה.
עוד עלה בדוח כי לא כל החשיפות לסיכונים תוקנו במערכת מנור"ה.
בהמשך נתן מנהל אבטחת מידע בממשל זמין אישור זמני להפעלת מערכת מנור"ה.
באישור נכתב כי כל הליקויים שאנשי המערכת התחייבו לתקן בדוח צוות הבדיקה של ממשל זמין תוקנו לפי הדרישה.
שאר הליקויים שנמצאו בבדיקה יתוקנו על פי תכנית העבודה.
בגמר התיקונים שוב תיבדק המערכת כד י לתת אישור אבטחה על כלל המערכת.
חצי שנה לאחר מכן ערך צוות הבדיקה של ממשל זמין בדיקה נוספת.
בבדיקה עלה, כי לא כל הבעיות שדורגו בעדיפות גבוהה תוקנו בהצלחה.
כמו כן נמצאו חשיפות חדשות שלא עלו בדוח הקודם.
משרד מבקר המדינה העלה , כי מנור"ה הופעלה במרץ 2010 למרות הימצאותן של בעיות במערכת בתחום אבטחת המידע.
אישור זמני להפעלת המערכת, שנתן מנהל אבטחת מידע כשנה וחצי לאחר שהמערכת הופעלה ולאחר שנוהלו בה תשעה מכרזים - ניתן אף על פי שלא כל הבעיות במערכת טופלו.
משרד מבקר המדינה מעיר להנהלת ממשל זמין, כי על יה להקפיד על ביצוע בדיקות מעשיות של תיקון הליקויים.
כמו כן על מנהל אבטחת מידע להעניק את אישור אבטחת המידע להכנסת כל פרויקט בממשל זמין לשלב הייצור, רק לאחר בדיקה שכל סיכוני אבטחת המידע הוסרו.
שליפת עותקי טופס ממשלתי : בספטמבר 2011 ראתה מנהלת צוות החירום בממשל זמין ניסיונות להוריד עותק של טופס ממשלתי ללא תשלום.
הממונה על אבטחת מידע במשרד המשפטים, שעודכן בפרטי המקרה ממנהלת צוות החירום, הגיש תלונה במשטרה בעניין זה.
באפריל 2012 כתב הממונה על אבטחת מידע במשרד המשפטים למנהלת האגף הרלוונטי כי החשוד הציג בחקירתו אישורי תשלום לכל עותקי הטופס לצפייה שהיו במחשבו בתקופת התלונה.
כמו כן נבדקה התכנה שבנה החשוד לשליפת הטופס באופן אוטומטי.
מהבדיקה עולה כי לצורך שליפת מידע יש להזין, בנוסף להזנת פרטים מסוימים, גם מספר אסמכתה לתשלום.
לנוכח הממצאים החליטה משטרת ישראל לסגור את התיק.
לשאלת המ מונה על אבטחת מידע במשרד המשפטים בנוגע למסמכים היסטוריים שלאו דווקא הוצאו בתקופת החקירה ונמצאו במחשב, השיבה המשטרה כי הם לא חקרו את הנושא כיוון שאין הם יכולים לסנכרן את המידע מול תהיל"ה, מפני שבתכנה שבנה החשוד נדרש להכניס מספר אסמכתה לאישור תשלום.
מנהלת האגף מסרה לצוות הביקורת, כי לפי דרישת משרד המשפטים קיימת אפשרות לאחזר עותק הטופס ואישור תשלום עד 48 שעות לאחר הרכישה המקוונת.
אולם היא לא מצאה מסמכים המעידים על דרישה זו.
משרד מבקר המדינה מעיר להנהלת ממשל זמין על כך, שבמשך כמעט שנה לא נפגשו נציגי ה עם נציגי מ שרד המשפטים כדי למצוא פתרון לבעיה זו, וזאת לנוכח החשד לחדירה המאפשרת לשלוף העתקי טפסים ללא תשלום ולנוכח הניסיונות להתקשר עם מזמיני הטופס המקוריים, כפי שבוצעו בספטמבר 2011 .
כמו כן, מן הראוי שיהיו בידי ממשל זמין כל המסמכים הנוגעים לכל דרישות לקוחותיו משירות הפקת האישורים .
לדעת משרד מבקר המדינה, יש מקום כי אירוע זה יידון בוועדת ההיגוי לאבטחת מידע ויופקו הלקחים המקצועיים מהמקרה.
אבטחת מידע במערכת ממוחשבת : אחד מתת -הפרויקטים הכלולים בממשל זמין הוא מערכת ממוחשבת המאפשרת לאזרחים לבצע תשלומים ולקנות מוצרים באמצעו ת האינטרנט.
תת -פרויקט זה עלה לאוויר בנובמבר 2001.
לפי אתר השירותים והמידע הממשלתי, נכון ליוני 2011 , ניתן היה לשלם באמצעותו 186 סוגי תשלומים ל-39 גופים ומשרדים ממשלתיים- אפשרות לתשלום בשוברי תשלום, אפשרות לתשלום אגרות, כמו רישיון רכב או רישיון נהיגה, ואפשר ות לרכישת מוצרים.
כאמור, בשנת 2011 שולמובאמצעותו כ-17 מיליארד ש"ח בכ-3.
מיליון עסקאות במהלך דצמבר 2011 נערך סקר על ידי חברה חיצונית על המערכת , שכלל מבדק חדירה32.
מהסקר עלה, כי במערכת קיימים סיכונים מהותיים העלולים לגרום נזק ללקוחות הארגון ולתדמיתו.
התברר כי סקר זה על ממצאיו לא נדון בוועדת ההיגוי של ממשל זמין, ולא נעשתה כל בדיקה חוזרת לתיקון הליקויים.
32 מבחנים שמטרתם לבדוק את חוסן אבטחת המידע של מערכת מחשוב או של כלל הארגון.
בהתייחסותה מנובמבר 2012 לממצאי הביקורת מסר ה הנהלת ממשל זמין , כי הממצאים שהועלו תוקנו, אך לא נערכה בדיקה חוזרת מפאת חוסר משאבים.
נוהלי החלטה וטיפול בהעברות מידע חריגות במערכת .
בנוהל מדיניות אבטחת המידע בממשל זמין נקבע כי פעילותו התקינה של ממשל זמין מושפעת ותלויה, בין השאר, בזמינות המידע ובשרידותו, ויש להתוות ולייעד מדיניות זו לצמצום הפגיעה במידע, במאגריו ובמערכותיו, ומתוך כך לצמצם את סיכוני הפגיעה בתפעולו הסדיר של ממשל זמין, וכפועל יוצא גם במקבלי השירות.
אשר לטיפול באירועי אבטחת מידע חריגים נקבע במסמך המדיניות כי לכל פעילות חריגה בעלת השלכות על אבטחת המידע יוגדר אופן רישומה, הדיווח עליה ואופן התגובה הנדרש.
חריגות בתחום אבטחת המידע, שמאתרים גורמי ממשל זמין או אחרים, ידווחו לצוות אבטחת מידע או למנהל הרלוונטי.
הנהלת ממשל זמין תגיב על אירועי אבטחת מידע חריגים.
אירועי אבטחת מידע חריגים, ידווחו לוועדת היגוי לאבטחת המידע.
ישנן כל מיני דרכים לתקוף את אתר ממשל זמין, ובהן מניעת שירות ( Denial Of Service) - הפסקה פתאומית של שרתי האתר עקב עומס פניות (להלן - מניעת שירות), והשחתת עמוד האינטרנט של הארגון ( Defacing ) באופן שוטף.
לפי הסיכונים הנובעים מהתקפות אלה נדרשים לעתים אנשי ממשל זמין להחליט על חסימת הגישה לכתובות אינטרנט שמהן מגיעות התקפות אלה לאתר של ממשל זמין.
צוות החירום בממשל זמין עוסק במתן מענה מידי לאירועי אבטחת מידע בארגונים ממשלתיים.
צוות זה מורכב מעובדים , ומשמש מוקד מענה זמין לכל תופעה של תקיפות ברשת שהם אמונים עליה ולכל הקשור לניהול סיכונים, ליצירת נוהלי אבטחת מידע, לבקרת תעבורה, להתפרצויות וירוסים, למניעת דואר זבל, לפיראטיות ברשת, לזיוף זהויות, לשמירה על פרטיות המידע, להגברת המודעות האבטחתית ולשיתוף ועדכון של ספקי אינטרנט, של גופים צבאיים, של גופים משטרתיים, של השירות החשאי ושל מקביליהם בעולם בתופעות חדשות בתחומים אלה.
עתירת חברה ג ': בנובמבר 2011 הגישה חברה ג' עתירה לבג"ץ נגד שר המשפטים בגין שיבוש גישה לאתרי האינטרנט של משרד המשפטים וחסימתה.
בכתב התגובה מינואר 2012 שהגישו נציגי הממשלה צוין, בין השאר, כי באוקטובר 2011 תועדו בממשל זמין יותר מ - 80,000 שאילתות לאתר המשרדי של מחלקת סימני מסחר ברשות הפטנטים.
השאילתות בוצעו באופן עקבי ורציף על ידי רובוט33 של חברה ג' והיו בעלות קווי מתאר של תקיפה מקוונת מסוג מניעת שירות.
למניעת מצב זה הותקנה במערכות ההגנה של ממשל זמין מערכת ניטור תוכן שחסמה לסירוגין את הרובוט.
בדצמבר 2011 הותקן מנגנון אתגר -מענה שמטרתו להבטיח כי התשובה המוזנת א ינה מופקת על ידי מחשב ( CAPCHA), וחסימת הרובוט הוסרה.
בעקבות השינויים ביקשה העותרת ארכה כדי לבחון את .
33 תכנת מחשב המותקנת בשרתיה של העותרת ומתחברת באמצעות האינטרנט אל אתרי משרד המשפטים, מגישה להם שאילתות של מספרי חברה וסימני מסחר, מקבלת תוצאות ומשלבת אותן יחד באתרים של העותרת, בצירוף מידע ממקורות נוספים.
האמצעים החדשים שהמשיבים מפעילים.
בנסיבות האמורות הוחלט למחוק את העתירה.
הביקורת העלתה, כי במועד חסימת גישת כתובת האינטרנט של חברה ג' לשרתי ממשל זמין לא היה נוהל לטיפול במתקפות מן הסוג של מניעת שירות.
במאי 2012 פרסמה מחלקת אבטחת מידע טיוטת נוהל תפעולי שכותרתו "פעולות לביצוע בעת מתקפת מניעת שירות" .
התברר שעד למועד סיום הביקורת לא אישרו לא מנהל אבטחת מידע ולא ועדת ההיגוי לאבטחת מידע את טיוטת הנוהל.
חסימת דוא ר אלקטרוני: באוגוסט 2011 חסם ממשל זמין את הגישה מכתובות אתר אינטרנט של ארגון עולמי העוסק בפרסום מקוון, עקב חשד למתקפה מסוג SMTP34 על שרתי הדואר האלקטרוני שלו.
מתכתובות בדואר אלקטרוני מאוגוסט 2011 בין מנהלת צוות החירום לנציגי הארגון עולה כי מכתובות האינטרנט של הארגון התבצעו יותר מ- 250,000 חיבורים בשעה לשרת הדואר של ממשל זמין, והן נחסמו.
נציגת הארגון כתבה למנהלת צוות החירום כי הארגון הופתע לגלות ששליחת הודעות דואר אלקטרוני לחברי הכנסת נחסמה ומוגדרת כמתקפת "דואר זבל" ( SPAM)35.
מנהלת צוות החירום השיבה כי ממשל זמין ישמח להסיר את החסימה לשרתי הארגון אם הוא יתחייב שהמתקפה לא תחזור על עצמה.
באותו החודש העבירה מנהלת צוות חירום את כל התכתובות שלה עם נציגת הארגון לאחת מהיועצות המשפטיות של משרד האוצר.
בינואר 2012 פנתה נציגה אחרת של הארגון לממשל זמין וטענה כי כתובותיהם נחסמו לחלוטין , והם אינם יכולים לשלוח הודעות לתיבות הדואר האלקטרוני של אנשי ממשל בישראל ואף לממשל זמין עצמו.
מנהלת צוות החירום ענתה לה, כי כתובת הארגון אינה חסומה לשליחת דואר אלקטרוני והמערכת לסינון דואר עוצרת אוטומטית כמויות חריגות של דואר כדי למנוע עומס יתר על המערכת.
עוד כתבה המנהלת כי לדעתה שליחת 50,000 הודעות בשעה אינה לגיטימית, והארגון מתבקש לבצע את הקמפיינים שלהם בתבונה ובהתחשבות ביכולות הניהול והעיבוד של שרתי הדואר.
הביקורת העלתה, כי אין בממשל זמין נוהל לטיפול בהתקפות מסוג זה, ואף לא מוגדרת מהי הכמות הסבירה למשלוח דואר אלקטרוני מכתובת אינטרנט בפרק זמן נתון.
עוד עלה , כי בשני המקרים שנחסמו כתובות אינטרנט לא ניתן ייעוץ משפטי לפני ביצוע החסימה, ולא התקבלה כל התייחסות בכתב מהייעוץ המשפטי לפנייתה של מנהלת צוות החירום.
כמו כן, אירועים אלה לא הובאו אל שולחנה של ועדת ההיגוי, ולא נכתב עליהם דוח מסכם כנדרש בנוהל מדיניות אבטחת מידע.
34 Simple Mail Transfer Protocol - בהתקפה מסוג זה נשלחות הרבה מאוד פניות לשרת הדואר כדי להאט את שירותיו או להפסיקם.
35 דואר אלקטרוני הנשלח בכמויות היכולות להגיע למיליונים, ללא כל אישור או בקשה של הנמענים.
לדעת משרד מבקר המדינה, על מנהל אבטחת מידע ועל ועדת ההיגוי לכתוב ולתקף נוהלי אבטחת מידע תפעוליים לטיפול במצבי חירום היכולים להתרחש בממשל זמין, וכפי שכבר החלו לעשות.
בנהלים יש להגדיר, בין ה שאר, את הסיכונים מהתקפות שונות ואת דרכי ההתמודדות עמם, ולקבוע הוראות ביצוע לצוותים המטפלים.
כמו כן יש לבחון את ההחלטות לחסום כתובת דואר אלקטרוני גם מההיבט המשפטי לפני ביצוען ולא בדיעבד.
היבטים נוספים של פעולות אבטחת מידע בממשל זמין .
הדרכות והכשרות של עובד ים בתחום אבטחת מידע: הדרכת עובדים, ובייחוד עובדים חדשים, בנושאי אבטחת מידע נדרשת , כדי להבטיח מודעותם של עובדי הארגון לקיומם של גורמי סיכון בשימוש במערכות המידע ולחשיבות הפעולות לאבטחת המידע בארגון.
בנוהל "מודעות לנושאי אבטחת איכות ומידע" של ממשל זמין נקבע, בין השאר, כי מנהל אבטחת המידע ישא באחריות לבקרת ביצוע הנחיות הנוהל ולעדכונו.
כמו כן עליו להגיש בתחילת כל שנה תכנית הדרכה כוללת להגברת מודעות העובדים בכל ההיבטים הנוגעים לאבטחת איכות ומידע.
עוד נקבע בנוהל כי כל עובד ממשל זמין ישתתף בהדרכה בתחום אבטחת איכות מידע, לפחות אחת לשנתיים, לרבות רענון הנהלים הרלוונטיים בתחום זה.
המדריך יתעד את העברת ההדרכה בטופס מעקב הדרכות המצורף לנוהל.
תכנית העבודה השנתית להגברת המודעות וטופס המעקב יתויקו בתיק ייעודי ויישמרו במשרד מנהל אבטחת מידע למשך שלוש שנים לפחות.
עוד נקבע כי מנהל אבטחת מידע אחראי להדרכתו של כל עובד חדש בנושאי אבטחת מידע ולתדרוכו של כל עובד שעוזב את הארגון בכל הקשור להתחייבותו לשמירת חיסיון המידע שנחשף בפניו.
בנוגע להדרכה ולהטמעה של אבטחת מידע נקבע בנוהל מדיניות אבטחת מידע כי מנהל אבטחת מידע יפעל להטמעת הנושא בכל מערכי המחשוב בסביבות העבודה בכלל ובמערכי התקשוב ובאמצעי העבודה הקשורים לאבטחה פיזית ולאבטחת רשומות בפרט.
מנהל אבטחת מידע יפעל להגברת המודעות לנושא בקרב עובדי ממשל זמין, ממשקיו וגורמים אחרים בעלי נגישות למידע.
הביקורת העלתה כי מנהל אבטחת מידע בממשל זמין אינו מקיים את כל הוראות הנוהל.
לדוגמה, הוא לא גיבש תכנית הדרכה כוללת להגברת מודעות העובדים בכל ההיבטים הנוגעים לאבטחת מידע; לא נמצא תיק ייעודי ובו מתויקים תכנית העבודה השנתית להגברת המודעות וטופס המעקב; נושא נוהלי אבטחת מידע אינו מופיע במצגות של הדרכות העובדים; ומנהל אבטחת מידע אינו מעודכן בנוגע לעובדים חדשים בממשל זמין, וממילא אין הם מקבלים את ההדרכה הנדרשת לפני קבלת הרשאות גישה.
לדעת משרד מבקר המדינה, מן הראוי שהנהלת ממשל זמין תיישם את פעולות ההדרכה בתחום אבטחת המידע לפי הקבוע בנוהל מודעות לנושאי אבטחת איכות ומידע, לרבות גיבוש תכנית הדרכה שנתית.
כמו כן, על מנהל אבטחת מידע להקפיד ולנהל באופן קבוע את רישום ההדרכות כנדרש בנוהל, וזאת לצורך ניהול מערך ההדרכה ומעקב אחריו.
אבטחת מידע היא אבן יסוד בפעילותו של ממשל זמין , ומשום כך עליו להעלות את הנושא לר אש סדר עדיפויותיו.
כספק העיקרי של תשתיות מחשוב ושל שירותי מחשוב למשרדי ממשלה ולגופים ציבוריים, נדרש ממשל זמין לקיים פעילות מלאה ושוטפת בתחום אבטחת המידע במטרה למנוע פגיעה בזמינות המידע הממשלתי לציבור.
ממצאיו של דוח זה מלמדים על כך שממשל זמין לא יישם בהיבטים שונים הוראות ונהלים בתחום אבטחת המידע ובכך גדלה רמת הסיכון לפגיעה בתשתיות המחשוב ובשירותי המחשוב למשרדי ממשלה וגופים ציבוריים.
לנוכח הליקויים שהועלו בדוח נדרש ת הנהלת ממשל זמין לנקוט כמה וכמה פעולות.
עלי ה לקבוע את הסיכונים הנשקפים לכל הפרויקטים בממשל זמין ואת רמת הסיכון הנשקפת מכל אחד מהם; אין להכפיף את מנהל אבטחת מידע בממשל זמין באופן שיפגע בעיקרון אי-התלות שלו; יש ליישם תכניות התאוששות מאסון והמשכיות עסקית בכל הנוגע לתשתית המידע הקריטי שלו, ולבדוק ולתרגל במלואן את ישימותן הן מהבחינה הטכנולוגית והן מהבחינ ה האנושית.
כמו כן, מומלץ ש ממשל זמין ייקבע קובץ נהלים לגופים הציבוריים המתארחים בו שלפיהם עליהם לפעול.
על הנהלת ממשל זמין לבצע את פעולות ההדרכה הדרושות בתחום אבטחת מידע, לרבות הכנת תכנית הדרכה שנתית ומימושה, וכן בקרה על מידת הטמעתן של ההוראות וההנחיות בתחום זה.
במסגרת התקשרויותיו של משרד הביטחון (להלן - משהב"ט או המשרד) עם יצרנים ומפתחים 11 לביצוע עבודות של פיתוח, של ייצור ושל מתן שירותים ואחזקה עבור מערכת הביטחון, המשרד רוכש ציוד ומבנים הדרושים לו לביצוע הזמנותיו - קרי נכסים בבעלותו, שהוא מממן ממקורות תקציב הביטחון, שהתעשיות רוכשות או מייצרות, והם ממוקמים פיזית אצלן (להלן - רכוש קבוע של משהב"ט).
על פי נתוני משהב"ט, הערך הכספי של רכושו שהצטבר בתעשיות ואצל יצרנים שונים הסתכם ב - 31.
10 בכ-798 מיליון ש"ח, מזה כ -272 מיליון ש"ח (כ -34% ) בתעשייה האווירית לישראל בע"מ (להלן - התע"א), והעלות המופחתת 12 שלו הסתכמה בכ-149 מיליון ש"ח, מזה כ-38 מיליון ש"ח בתע"א (כ -26% .
) הרכוש הקבוע13 הנמצא בתע"א, בבעלותה או בבעלות אחרת14 , רב ומגוון, ומקורו ברכישה מגורמים שמחוץ לתע"א, מייצור עצמי, מחכירה או משאילה.
הרכוש הקבוע בתע"א הנמצא במפעלים, במטה ובחו"ל כולל מאות אלפי פריטים, ובהם: קרקע, מבנים, מכונות, ציוד, כל ים, מחשבים וציוד משרדי.
עלות הרכוש הקבוע בבעלות התע"א15 הרשום במאזנים שלה ל- 31.
67 מיליארד דולר16 ובכ-1.
6 מיליארד דולר, בהתאמה, והעלות המופחתת שלו לשנים אלו הסתכמה בכ-619 מיליון דולר ובכ-599 .
מיליון דולר, בהתאמה .
בין היתר, תעשיות ביטחוניות ממשלתיות ופרטיות ומוסדות מחקר 12 עלות רכישה בניכוי פחת מצטבר.
על פי תקן הביקורת הישראלי, הפחתה הינה הקצאת סכום על בסיס שיטתי על פני אורך החיים השימושיים של הנכס.
13 הרכוש הקבוע כולל פריטים מוחשיים אשר מוחזקים לשימוש בתהליכי הפיתוח והייצור, בהספקת סחורות או שירותים ולצרכים מנהליים, ואשר תקופת השימוש בהם מעל לשנה אחת.
בתע"א נמצא, בין היתר, רכוש קבוע בבעלות משהב"ט 15 על פי נתוני התע"א, עלות הרכוש הקבוע בבעלות התע"א ל- 31.
9 מיליארד ש"ח, בהתאמה, והעלות המופחתת לשנים אלו הסתכמה בכ-2.
מיליארד ש"ח, בהתאמה 16 .
נתוני הרכוש הקבוע בדוח זה מוצגים לפי מחירי עלות תעשיות ביטחוניות 215 .
בשנת 1992 ערך מש רד מבקר המדינה ביקורת בנושא ניהול רכוש משהב"ט בתע"א17 , ובשנת 1993 ערך ביקורת בנושא ניהול הרכוש הקבוע בתע"א18 .
בתקופה שממרץ עד יולי 2012 בדק משרד מבקר המדינה את ניהול הרכוש הקבוע של משהב"ט בתע"א, וכן נבדקו בתע"א היבטים בניהול הרכוש הקבוע שבבעלותה, בדגש על ביצוע מפקדי רכוש קבוע.
הביקורת נערכה במשהב"ט - במינהל ההרכשה והייצור (להלן - מנה"ר), במינהלת מסוימת (להלן - המינהלת) שבמינהל למחקר ופיתוח אמצעי לחימה ותשתית טכנולוגית (להלן - מפא"ת), באגף הכספים (להלן - אכ"ס) ובאגף הייעוץ המשפטי; ובתע"א - בארגון הסמנכ"ל לכספים, בארגון שירותים תעשייתיים, במרכז מערכות נתונים (להלן - ממן), במפעל מטוסים שבחטיבת בדק מטוסים, בחטיבת מערכות טילים וחלל (להלן - חטיבת מטח), במפעל מטוסי מנהלים שבחטיבת כלי טיס אזרחיים ובמפעל מסוים שבחטיבת כלי טיס צבאיים (להלן - המפעל).
חיסיון נתונים אלה אינו מונע את הבנת מהו]נוסח משולב[ .
חלק א': היבטים בניהול הרכוש הקבוע של משהב"ט בתע"א .
הוראת משהב"ט בנושא רכוש המשרד במפעלים (להלן - הוראת משהב"ט) קובעת, כי התע"א משמשת כ"נאמן" בכל הקשור לניהול הרישום של רכוש משהב"ט שנרכש או שנוצר בתע"א במימון משהב"ט.
בהתאם לכך נקבע בהוראה הסדר מיוחד לפיקוח ולבקרה של משהב"ט על רכושו בתע"א.
הביקורת התמקדה בנושא ניהול הרכוש הקבוע של משהב"ט בתע"א, שעה שהוראת משהב"ט מתייחסת גם לניהול רכוש בלתי מוחשי19.
, ובכלל זה ידע הוראת משהב"ט מסדירה, בין היתר, את הטיפול של המשרד ברכוש הקבוע שבבעלותו - קרי בנכסים שה וא מוסר ליצרנים, לספקים, למפתחים ולמוסדות מחקר ופיתוח, או בנכסים שהם יוצרים או רוכשים במימון תקציב הביטחון, והמיועדים לשמש לצורך ביצוע עבודות עבור מערכת הביטחון.
17 ,מבקר המדינהדוחות ביקורת על איגודים הקשורים למערכת הביטחון, יוני 1994 , 'עמ 103-109 .
18 ,מבקר המדינהדוח שנתי 44 , 1994 ', עמ 1147 -1159 .
נכס לא כספי, ניתן לזיהוי, חסר מהות פיזית 216 דוח שנתי63ב .
כל הזמנות משהב"ט במפעלים, הכוללות יצירת רכוש קבוע של משהב"ט, ומטרתה להבטיח בקר ה על רכוש בבעלות המשרד הנמצא במפעלים, הן מבחינת אישור רכישתו והן מבחינת ניהולו, רישומו והשימוש בו.
בהוראת משהב"ט הוגדרו אמות מידה ליצירת רכוש משהב"ט במפעלים, ונקבע כי ככלל, יש להימנע מיצירת רכוש כזה.
הוראת משהב"ט קובעת, כי אחראים לביצועה שני גורמים עיקריים: 1 .
סגן ראש מנה"ר לתיעוש, הנושא באחריות מטה לנושא רכוש משהב"ט במפעלים.
הגופים המזמינים20 במשרד, ובכלל זה מינהלות תכנית21 במשהב"ט, כל אחד בתחום פעולתו.
בקרת מנה"ר על הרכוש הקבוע של המשרד בתע"א .
בהוראת משהב"ט נקבע, כי המשרד מסתייע ברישום הממוחשב שבתע"א כ"נאמן" ובקבלת הדיווחים הדרושים, כדי לחסוך באמצעים ובצורך לנהל מערכות רישום כפולות, וכי רישום זה הוא חלק ממערכת ניהול רכוש משהב"ט.
ארגון הסמנכ"ל לכספים בתע"א אחראי, בין היתר, לניהול מערכת הרכוש הקבוע בתע"א.
החשבונאי הראשי בארגון הסמנכ"ל לכספים (להלן - החשבונאי הראשי), הכפוף לסמנכ"ל לכספים, אחראי בין היתר, לפקח ולוודא רישום וניהול חשבונאי תקין של הרכוש הקבוע, בין היתר של משהב"ט, על ידי יחידות התע"א באמצעות מודול לניהול הרכוש הקבוע במערכות הממוחשבות.
עוד קובעת הוראת משהב"ט, כי כללי הרישום של רכוש המשרד בתע"א יהיו תואמים את כללי הרישום שנקבעו לניהול רכוש משהב"ט.
על פי ההוראה, סגן ראש מנה"ר לתיעוש נושא באחריות להפעיל בקרה מטעם המשרד על ניהול הרישום של רכוש המשרד בתע"א, וראש תחום תשתיות במנה"ר יקיים בקרה שאכן הציוד שמממן המשרד יירשם ברישומי התע"א.
בביקורת עלה, כי נתוני הזמנות משהב"ט לרכוש קבוע בתע"א בשנים 2007 -2012 , שנרשמו במערכת הממוחשבת במנה"ר, לא כללו את המספרים האינוונטריים (מספרים מזהים) של נכסי המשרד שרשמה התע"א.
גופים הרוכשים רכוש קבוע עבור משהב"ט וביניהם מנה"ר ומפא"ת 21 גוף במשהב"ט שהוקם במיוחד לצורך ביצוע משימה מוגדרת.
עומדים לרשותו משאבי תקציב וכוח אדם, והוא נושא באחריות למימושה של המשימה.
תעשיות ביטחוניות 217 .
משרד מבקר המדינה מעיר, כי במצב זה לא היה באפשרותו של ראש תחום תשתיות במנה"ר לערוך השוואה בין נתוני הרכוש הקבוע של המשרד, שהתע"א העבירה לו מדי שנה בשנה, לבין הנתונים של משהב"ט אודות הרכוש הקבוע שהזמין.
בין היתר, הדבר פגע בבקרה, ולא איפשר לו לוודא שהתע"א אכן רשמה במערכות הממוחשבות שלה את הרכוש הקבוע שהוזמן אצלה במימון משהב"ט, כרכוש קבוע של משהב"ט.
על כן, חשוב שסגן ראש מנה"ר לתיעוש ידרוש מהתע"א להעביר למשהב"ט גם את המספרים המזהים של הרכוש הקבוע בתע"א, בעת שנוצר או נרכש בהזמנותיו, כדי לאפשר בקרה על הרישום בתע"א, כנדרש בהוראת משהב"ט.
הוראת משהב"ט קובעת, כי בתמורה לשימוש בנכסים של המ שרד שלא לצורכי הזמנותיו, תשלם התע"א אחת לשנה דמי שימוש.