HeTree/MevakerConcSen huggingface dataset:
" השימוש בכוח אדם חיצוני במינהלת "חומה - נוכח הגידול בהיקף פעילותה ונוכח אי-קבלת תוספת תקנים אזרחיים וצבאיים, כמתואר לעיל, הסתייעה מינהלת "חומה", כאמור, במהלך שנות פעילותה בהיקפים הולכים וגדלים של כוח אדם חיצוני, על בסיס קבוע, שאותו היא מימנה מתקציבה.
מצב זה התקבע ונמשך לאורך שנים, בלי שנותחו משמעויותיו.
בביקורת עלה, כי מינהלת "חומה" לא עשתה בשנים האחרונות, אם בכלל, עבודה לניתוח המשמעויות התפקודיות והכלכליות של העסקת מפתחים לעומת העסקת אנשי קבע או עובדי משהב"ט.
גם גורמי מטה במפא"ת לא נדרשו לנושא, וממ ילא הוא לא הוצג לגורמים הנוגעים במשהב"ט ובנש"ם.
כך, בין היתר, קיים ההיבט התפקודי שבהפעלת כוח אדם חיצוני, ושיקולים הנוגעים לבניית היכולות המקצועיות הנדרשות ל"חומה".
כאמור, נוכח צורכי העבודה, המשיכה "חומה" להשתמש בכוח אדם חיצוני בהיקף רחב, ובפועל גברה חיוניותו עבורה, ועלתה תלותה בו, לרבות בביצוע משימות רגישות מהבחינה הביטחונית.
גורמים בכירים ב"חומה" מסרו לנציגי משרד מבקר המדינה, כי המפתחים מהווים מוקדי ידע בתחומי הפעילות השונים שלה, מעצם עבודתם לאורך שנים מולה וצבירת ניסיון רב וידע ייחודי לפרויקטים שבאחריותה .
לדבריהם, שעה שקציני הפרויקט ב"חומה" משרתים בקדנציות של כשלוש שנים בממוצע, ויש להם ידע טכני מוגבל יחסית, מהווים המפתחים, המלווים את פעילות "חומה" לאורך שנים, מומחים בתחומם.
להלן דוגמאות הממחישות את היות המפתחים גורם חשוב בעבודת מינהלת "חומה": א.
בנובמבר 2011 פנתה "חומה" לוועדת מפתחים בבקשה לקבל פטור ממכרז לגבי אחת מחברות המפתחים בליווי הסבר זה: "לחברה ידע הנדסי וניסיון מצטבר בפרויקטי 'חומה' שהפך לזיכרון ארגוני חיוני של המינהלת, בתחומה.
לחברה , המא]הממשל האמריקני[ מערכת קשרים ארוכת שנים וייחודית עם השותףפשרת שונים ברגישות ובמקצועיות הנדרשים, תוך ]שיתוף פעולה [ קידום נושאי שת"פ הסתמכות על אמון אשר נרכש במשך שנים רבות".
בדצמבר 2011 פנתה "חומה" לוועדת מפתחים לאישור פטור ממכרז לחברת מפתחים בנימוק זה: "לחברה ידע ייחודי וניסיון מצטבר רב בפרויקטי חומה.
ליוותה את האפיון והקמת התשתית הייצורית בארץ ובארה"ב במסגרת תכנית הייצור המשותף של חץ 2 .
וכן את הגדרת הדרישות לתשתית הייצורית בפרויקט שרביט קסמים ובכך צברה ידע ייחודי בעבודה עם השותף והקמת תשתיות בארה"ב" (ההדגשה במקור).
בביקורת עלה, כי המשמעות של בניית מוקדי ידע בגופים חיצוניים - מוקדים הנדרשים לפעילות השוטפת של מינהלת "חומה" - ויצירת תלות בהם, לא נבחנה.
" בחירת הרכב כוח האדם המיטבי במינהלת "חומה - אף כי "חומה" היא גוף מעורב צבאי -אזרחי, עד למועד סיום הביקורת (אוגוסט משרד הביטחון 67 .
2012 ) לא היה במעהב"ט גורם שבחן את תמונתכוח האדם הכוללת בה, לרבות כוח האדם החיצוני, אל מול צרכיה, ושהמליץ על מבנה והרכב מיטביים.
הוראת הארגון הגדירה, כאמור, את סוג התקן לכל תפקיד במינהלת "חומה" - אזרחי, אזרחי/צבאי או צבאי - בהתאם לאופי התפקיד.
כך למשל, נקבע בהוראה, שאת תפקיד ראש מחלקת תקציבים ובקרה יכול למלא אזרח או איש צבא, כאשר מתחתיו ישמשו בתחום התקציב רק אזרחים.
אולם בניגוד להוראה, בענף תקציבים ובקרה משמשים אנשי צבא.
בנוסף לכך, תפקידים, שהוגדרו בהוראת הארגון כאזרחיים/צבאיים, קובעו במהלך השנים לתקן אזרחי או לתקן צבאי, ובוטלה הגמישות באיושם.
בביקורת עלה, כי שינוי זה בהגדרת התפקידים לא לווה בעבודת מטה שבחנה את המשמעויות התפקודיות והכלכליות הנובעות מאיוש המשרות השונות באיש צבא או בעובד משהב"ט.
לשינויים בהיקף פעילות מינהלת "חומה" ובמאפייניה בעשור הראשון של שנות ה- 2000 ,היו משמעויות ניכרותלרבות הצורך להתאים את המבנה הארגוני שלה למאפייני הפעילות המעודכנים.
על פי הוראת הארגון של אגף אב"ם, מוטל עליו, בין היתר, ליזום, לתכנן ולבצע בדיקות ארגוניות, לשאת באחריות מטה לתכנון ולהקצאה של שיאי כוח האדם לסוגיו ולקבוע את היקף כוח האדם הדרוש.
עם זאת עלה בביקורת, כי מאז הקמת מינהלת "חומה" לא פעל אגף אב"ם מולה ומול מפא"ת ואג"ת לביצוע ניתוח ארגוני שלה, ובכלל זה צורכי כוח האדם למילוי תפקידיה - ההיקף והתמהיל הנדרשים.
זאת, על אף השינויים שחלו בפעילותה ואף שכאמור הוקצו לה תקנים נוספים במהלך השנים - רובם ככולם צב איים, ועל אף ההשפעות התפקודיות והכלכליות העשויות להיות לשינויים במבנה ובהרכב כוח האדם שלה - השפעות שכאמור לא נבדקו.
כאמור, מחלקת ארגון באג"ת ערכה בשנת 2010 בחינה ארגונית לכל מינהלות מפא"ת, ובהן ל"חומה", שמטרתה - "בחינת ייעוד, תפקידי ומבנה המינהלות ויחסי גומלין וממשקים מול הצרכנים והתאמתן לצורך העכשווי".
בסיכום העמ"ט ממרץ 2011 צוין, בין היתר, כי בחינת המינהלות נעשתה ביזמת מחלקת ארגון, היות שמאז הקמת המינהלות לא נערכה בחינה ארגונית כוללת בנושא.
בסיכום המליץ רמ"ח ארגון על תוספת כמה תקנים צבאיים ל"חומה" ושינוי במבנה מחלקת תיבה"ם שבה; המלצה שכאמור יושמה.
בביקורת עלה, כי בחינת מחלקת ארגון לא התייחסה להיקף ולתמהיל כוח האדם החיצוני התומך בעבודת מינהלת "חומה".
בנוסף לכך, בהיות מחלקת ארגון אחראית על התקנים הצבאיים בלבד, היא ממילא גם לא נדרשה לסוגיית התקנים האזרחיים שהקצה אגף אב"ם ל"חומה", ואף לא לתמהיל הרצוי לפעילותה.
רמ"ח ארגון מסר לנציגי משרד מבקר המדינה, מחד, כי מחלקת ארגון בונה גוף כך שיוכל בעזרת כוח האדם שהוגדר עבורו לבצע את כל משימותיו; אך מאידך מסר, כי כוח האדם החיצוני אינו בתחום האחריות והסמכות של מחלקת ארגון באג"ת.
משרד מבקר המדינה מעיר, כי בהיעדר ניתוח של צורכי מינהלת "חומה" אל מול כל סוגי כוח האדם שיש ברשותה, וללא בחינת המשמעויות של החלופות השונות - הניתוח הארגוני שעשתה מחלקת ארגון באג"ת לוקה בחסר, ואינו יכול להוות בסיס מספק לקביעת היקף התקנים הצבאיים שראוי לאשר לה.
צה"ל הודיע למשרד מבקר המדינה, כי עובדת קיומו של כוח אדם חיצוני המועסק במפא"ת, וממילא גם היקפו, לא הובאו לידיעת מחלקת ארגון באג"ת, לא במסגרת העמ"ט שהתקיימה בשנים 2006 ו- 2007 לכתיבת הפק"א של מפא"ת, ולא במסגרת העמ"ט שהתקיימה בשנת 2010 לבחינת מינהלות מפא"ת.
כיוון שכך, לא ניתן היה להתייחס למרכיב זה בעמ"ט האמורה.
עוד הודיע צה"ל, כי עם סיכום התכנית הרב-שנתית של מעהב"ט, הוא יבחן בשיתוף משהב"ט את הצורך בבחינה מחודשת של מבנה המינהלות במפא"ת.
משרד מבקר המדינה מעיר, כי על צה"ל ועל משהב"ט להפיק לקחים ממקרה זה, ולוודא שבעתיד כל בחינה ארגונית שתיעשה בגופי מעהב"ט תתבסס על מידע מלא בכל הנוגע לכוח האדם בגופים אלה, לרבות כוח אדם חיצוני.
נש"ם מהווה את יחידת המטה המרכזית לניהול משאבי האנוש של הממשלה, ומופקדת על מדיניות הממשלה בכל הנוגע למינהל כוח אדם.
כדי שנש" ם תוכל למלא את תפקידה, היא חייבת שיהיו בידיה נתונים מלאים ועדכניים על העובדים המועסקים בשירות המדינה, על תפקידיהם ועל היקף העסקתם, לרבות עובדי כוח אדם וקבלנים למיניהם כתחליף להעסקתם בתקנים של עובדי מדינה.
בביקורת נמצא, כי נש"ם לא ריכזה נתונים על כוח האדם ה חיצוני שבמינהלת "חומה", כמו גם בשאר יחידות משהב"ט, ולא בחנה את הסדרת העסקתם או את אפשרות המרתם בתקני כוח אדם.
הממונה על מעהב"ט (בפועל) בנש"ם מסרה לנציגי משרד מבקר המדינה, כי ניתוח תמהיל כוח האדם הרצוי במפא"ת הוא עבודה שניתן וצריך לעשותה; עוד מסרה, כי במפא"ת עובדים בעיקר מהנדסים ואנשי מחקר, וכי יש קושי לגייסם נוכח תנאים פחות אטרקטיביים של המשרות בשירות המדינה.
עם זאת מסרה, כי ניתן למצוא הסדרי העסקה, דוגמת העסקה על פי חוזה מיוחד63 .
, שבהם היא תומכת יצוין בהקשר זה, כי על פי חוזר נש "ם משנת 2010 , במקרים שבהם העס קה נדרשת אינה עומדת בתנאים המפורטים בו וקיימת הצדקה למתן תוספת משרות בשיא כוח אדם לצורך הפעילות הנדרשת באמצעות עובדים של המדינה, על האחראי לפנות לנש"ם ולאגף התקציבים במשרד האוצר בבקשה לתוספת משרות בשיא כוח אדם וליצירת המשרות במבנה הארגוני של המשרד, כמקובל.
63 בהתאם לתקשי"ר, אדם, אשר נציב שירות המדינה קבע כי עבודתו חיונית למדינה וכי אין אפשרות מעשית להעסיקו במסגרת תנאי העבודה או השכר המקובלים בשירות, יועסק על פי חוזה מיוחד לתקופה של לא יותר מחמש שנים; חוזה מיוחד זה ניתן להארכה לתקופה של לא יותר מחמש שנים בכל פעם.
בביקורת עלה, כי מינהלת "חומה" ומפא"ת לא יזמו קידום פנייה לנש"ם ולמשרד האוצר בבקשה להמיר עבודת יועצים ומפתחים לתקני כוח אדם ב"חומה", ואף סמנכ"ל וראש אמ"ש לא פעל בנושא.
 לדעת משרד מבקר המדינה, נוכח צורכי מינהלת "חומה" ומאפייני התפקידים בה, על משהב"ט לבחון את היקף כוח האדם שלה ואת הרכבו בהתחשב בשיקולים מבצעיים ותפעוליים, ובשיקולי כדאיות כלכלית בביצוע משימותיה.
עם הקמת אמ"ש, אמורה התמונה המלאה של כל כוח האדם שברשות מינהלת "חומה" להיות מצויה בידיו.
כפועל יוצא מאחריותו וסמכותו, עליו לערוך, בתיאום עם מפא"ת וא ג"ת, בחינה מקיפה של צורכי מינהלת "חומה" נוכח משימותיה ובהתחשב בממשקי עבודתה מול התעשיות הביטחוניות, מול הממשל האמריקני ומול הגורמים השונים בצה"ל ובמשהב"ט.
כמו כן, מן הראוי, כי נש"ם ומשרד האוצר יבחנו את המלצת משהב"ט בעניין, לכשתוגש, במטרה לאפשר תמהיל כוח אדם מיטבי במינהלת "חומה".
אמ"ש הודיע למשרד מבקר המדינה, כי בסיום תהליך שבו הוחל בעקבות הביקורת, ולאחר שתהיה בידיו תמונה מלאה של התקינה והאיוש במינהלת "חומה", הוא יקיים עמ"ט בשיתוף מפא"ת ואג"ת לבחינת תמהיל כוח האדם האופטימאלי של "חומה".
בהתייחסותה לממצאי הביק ורת הודיעה הממונה על מעהב"ט (בפועל) בנש"ם באוקטובר 2012 למשרד מבקר המדינה, כי לכשיוגשו המלצות משהב"ט תפעל נש"ם בעניין.
סגן הממונה על התקציבים במשרד האוצר הודיע למשרד מבקר המדינה, כי למשהב"ט מעל 2,200 ,תקני כוח אדם, וכי "עם מספר כה רב של תקני כוח אדם בהנחה שמשהב"ט רואה בפרויקטי 'חומה' נדבך מרכזי בתכנית העבודה הצה"לית.
היה עליו לתעדף תקנים, במסגרת תקציב הביטחון ושיאי כוח האדם העומדים לרשותו, לפרויקט 'חומה', וזאת על חשבון תקנים באגפים ופרויקטים אחרים".
משרד מבקר המדינה מעיר למשרד האוצר, כי על מנת להגיע ליעי לות ארגונית, תפקודית וכלכלית של יחידה, יש לבחון אותה על מאפייניה, ולהעמיד את המשאבים המיטביים לתפקודה, בהתחשב בהיבטים השונים.
קל וחומר כאשר מדובר בהמרת שירותי כוח אדם חיצוני בתקינה; פעולה שעשויה להשיא את התועלת הארגונית בתקציב נתון או אף בתקציב נמוך יותר, ושגם למשרד האוצר אמור להיות עניין רב בביצועה.
מינהלת "חומה" שבמשרד הביטחון (משהב"ט) עוסקת מתחילת שנות התשעים, מועד הקמתה, בניהול פרויקטים של פיתוח וייצור מערכות הגנה מפני טילים קרקע -קרקע, רקטות קרקע -קרקע ואיומים נוספים מן האוויר, שחלקם כבר הבשילו לידי הישגים טכנולוגיים משמעותיים, והביאו תרומה רבה לביטחון המדינה.
פרויקטים אלה מהווים נדבך מרכזי בתכניות העבודה הצה"ליות, ומוקצים להם משאבי תקציב וכוח אדם ניכרים.
למימוש משימותיה נעזרת מינהלת "חומה" בכוח אדם שמקצים לה צה"ל ומשהב"ט וכן בכוח אדם חיצוני.
עם זאת, כפי שעולה מדוח זה, קיימים ליקויים בתחומי הארגון והניהול של כוח האדם שברשותה; ליקויים, הפוגעים בחלקם בכללי מינהל תקין, בניהול ובבקרה המיטביים של הפרויקטים, וכפועל יוצא מכך - בעקרונות היעילות והחיסכון.
על אף החשיבות והמרכזיות של פעילות מינהלת " חומה", במהלך 20 השנה שחלפו מהקמתה, לא נעשתה במערכת הביטחון עבודה מקיפה לבחינת המבנה ותמהיל כוח האדם הדרושים לה, ובפועל הם תולדה של אילוצים ונסיבות ולאו דווקא פרי של ניתוח ותכנון.
כמו כן, העסקת רוב המפתחים בידי מינהלת "חומה" נעשתה שלא בהתאם לחלק מהוראות התקשי"ר, להנחיות היועץ המשפטי לממשלה ולהוראות משהב"ט.
לדעת משרד מבקר המדינה, מן הראוי שמינהלת "חומה", המינהל למחקר פיתוח אמצעי לחימה ותשתית טכנולוגית (מפא"ת) ואגף מינהל ומשאבי אנוש (אמ"ש) יבחנו את התמהיל הקיים של המפתחים המועסקים ב"חומה", כדי לאתר ולמפות את אלה שאינם עונים על הגדרת "מפתח", ויעבירו את הבקשות להעסקתם במסלול המיועד לכך.
כמו כן, על מנת להגביר את הפיקוח והבקרה על העסקתם של המפתחים, מן הראוי, כי ועדת מפתחים במפא"ת תפעל, בתיאום עם מינהלת "חומה" ובשיתוף אמ"ש, לריכוז המידע הנוגע לכל אחד מהם, ותאשרם מכא ן ואילך באופן פרטני.
יתרה מכך, יש מקום שמנכ"ל משהב"ט יבחן אם העסקת המפתחים, המועסקים בקביעות על בסיס שעות עבודה במינהלת "חומה", צריכה להמשיך ולהיות מאושרת באמצעות ועדת מפתחים, או שמוטב לאשרה באמצעות ועדת היועצים שבאמ"ש.
נוסף על כך, על מינהלת "חומה" לרכז ללא דיחוי את המידע הנדרש על חברות המפתחים ועובדיהן, כדי לפעול למניעת ניגוד עניינים, וכן לנקוט צעדים שמטרתם למנוע העברת מידע עסקי בין התעשיות הביטחוניות באמצעות חברות המפתחים ועובדיהן.
אשר לסוגיית מניעת הכרה שיפוטית בדיעבד ביחסי עובד ומעביד, על משהב"ט לבחון מ ול נציבות שירות המדינה (נש"ם) את הסדרי העסקת כוח האדם החיצוני שבמינהלת "חומה", ולפעול להסדרתם התקינה.
,עוד לדעת משרד מבקר המדינה, באחריות אמ"ש ובסמכותו לערוך בתיאום עם מפא"ת ואגף התכנון בצה"ל (אג"ת), בחינה מקיפה לצורכי מינהלת "חומה", נוכח משימותיה ובהתחשב בממשקי עבודתה מול התעשיות הביטחוניות, מול הממשל האמריקני ומול הגורמים השונים בצה"ל ובמשהב"ט, ולהמליץ על מבנה ארגוני ותמהיל כוח אדם מיטביים.
זאת, בהתחשב בשיקולים מבצעיים ותפעוליים, ובשיקולי כדאיות כלכלית בביצוע משימותיה.
כמו כן, מן הראוי, כי נש"ם ומשרד האוצ ר יבחנו את המלצת משהב"ט, לכשתוגש, במטרה לאפשר תמהיל כוח אדם מיטבי במינהלת "חומה".
נוסף לאמור לעיל, נוכח הממצאים שעלו בדוח ביקורת זה, בנוגע לארגון ולניהול כוח האדם במינהלת "חומה", שהיא אחת מיחידות מפא"ת, מן ראוי שראש מפא"ת, סמנכ"ל וראש אמ"ש ומנכ"ל משהב"ט ב ראשם, יבחנו, בשיתוף עם אג"ת, את הלקחים הנדרשים גם בהקשר ליתר יחידות מפא"ת.
מעבר לכך ראוי, כי אמ"ש, בשיתוף אג"ת, יבדוק באיזו מידה הליקויים שעלו בדוח נוגעים ליתר יחידות משהב"ט, וזאת בעיקר בתחומי הארגון, התקינה הצבאית והעסקת כוח האדם החיצוני, ויפעל לתיקונם, במידת הצורך.
"מידע" מוגדר בחוק הגנת הפרטיות, התשמ" א- 1981 (להלן- חוק הגנת הפרטיות): "נתונים על אישיותו של אדם, מעמדו האישי, צנעת אישותו, מצב בריאותו, מצבו הכלכלי, הכשרתו המקצועית, דעותיו ואמונתו".
אבטחת מידע מוגדרת בחוק הגנת הפרטיות, כ"הגנה על שלמות המידע, או הגנה על המידע מפני חשיפה, שימוש או העתקה, והכל ללא רשות כדין".
בשנת 1997 החל אגף החשב הכללי במשרד האוצר בפרויקט להסדרת תשתית האינטרנט למשרדי הממשלה (תהיל"ה) 8 , ובשנת 1999 החל בביצוע תת -פרויקטים במסגרת מה שכונה לאחר מכן "פרויקט ממשל זמין"9 .
במאי 2002 החליטה הממשלה10 לבסס את מימוש "פרויקט ממשל זמין " מול הציבור באמצעות פרויקט תהיל"ה , שייעל את זרימת המידע בין הממשלה לציבור ולהיפך, על ידי יצירת מנגנון מאובטח ברשת האינטרנט, המקשר בין "מערכת רוחבית כוללת במשרדי הממשלה " (להלן - מרכב"ה)11 ומערכות מידע ממשלתיות לבין הציבור (להלן - ממשל זמין או תהיל"ה).
ממשל זמין ס יפק בשנת 2012 לכ- 50,000 משתמשים במשרדי הממשלה את השירותים האלה: תשתית למתן שירותי רשת מאובטחים, שירותי גלישה מאובטחת באינטרנט, דואר אלקטרוני, אירוח אתרים ועוד.
כמן כן, ממשל זמין מנהל את פרויקט כרטיס חכם, את מנור"ה (מערכת ניהול ותיעוד הרכש הממשלתי), את שירות הטפסים הלאומי ועוד.
בממשל זמין מועסקים כ -250 עובדים במקומות שונים באמצעות חברות כוח אדם ובתי תכנה.
במרץ 2011 החליטה הממשלה 12 על הקמת יחידת מטה ותקשוב ממשלתי במשרד האוצר (להלן - יחידת תקשוב ממשלתי), במטרה לקדם ולייעל את מערך התקשוב הממשלתי ואת שיתוף הפעולה בין המגזר הממשלתי לגופים ציבוריים נוספים בתחומי המחשוב , כדי לשפר את רמת השירות לאזרח.
עוד נקבע בהחלטה, כי האחריות על ממשל זמין תועבר למנהל היחידה.
עד לאותו מועד היה סגן החשב הכללי שבמשרד האוצר אחראי לממשל זמין.
בשנת 2011 עמד תקציב ממשל זמין על כ-116 מיליון ש"ח, והוא אירח כ -300 אתריאינטרנט ממשלתיים (להלן - לקוחות ממשל זמין).
באותה שנה נרשמו יותר מ-5.
5 מיליון כניסות לאתר האינטרנט של ממשל זמין, ובאמצעות המערכת הממוחשבת שולמו כ-17 מיליארד ש"ח בכ-3.
אתר ממשל זמין עומד מדי שנה בשנה בכ-5 מיליון ניסיונות תקיפה, לרבות התקפות על שרתי דואר והתקפות למניעת מתן שירות (בעניין זה ראו להלן).
8 פרויקט שמטרתו חיבור משרדי הממשלה לאינטרנט ויצירת תשתית מאובטחת לאחסון ולניהול של אתרי אינטרנט ממשלתיים ולמתן שירותים נלווים.
9 לסקירה על פעולות הממשלה בנושא בשנים 1997 -2002 : ראומבקר המדינה, דוח שנתי 53ב ( 2003) , השימוש בטכנולוגיית התקשוב למתן שירותים ממשלתיים לציבור, עמ' 202-210 .
10 'החלטה מס 1812 מיום 12.
11 פרויקט שיזם אגף החשב הכללי במשרד האוצר בשנת 2000 להקמה ולהטמעה של מערכת מחשוב אחידה במשרדי הממשלה, לניהול המשאבים בתחומים האלה: כספים, כוח אדם, רכש (לוגיסטיקה) ונכסים ולביצוע פעולות נוספות כגון פניות לקבלת תמיכות ולהקצאתן.
12 'החלטה מס 3058 מיום 27.
מחלקת אבטחת המידע בממשל זמין מונה מספר עובדים.
המחלקה אחראית לתחומי הקמה, הטמעה ותפעול של מערכות אבטחת המידע, סייבר13 , מתודולוגיה וחסינות מערכות, CERT14 וניתוח אירועים (להלן - צוות החירום).
בחודשים מרץ -יולי 2012 בדק משרד מבקר המדינה כמה היבטים של אבטחת מידע ושרידות מערכות בתהיל"ה, ובהם ניהול אבטחת מידע, תכנית שיקום מאסון ותכנית המשכיות עסקית, טיפול באירועי אבטחת מידע, יישום מסקנות של דוחות בדיקה ושל אירועי אבטחת מידע ותהליך קבלת החלטות לחסימת גישה לשירותים הניתנים באתר.
הביקורת נעשתה במשרדי ממשל זמין שבמשרד האוצר.
בדיקות השלמה נעש ו, בין היתר, במשרד החקלאות ופיתוח הכפר (להלן - משרד החקלאות), במשרד המשפטים, במשרד התחבורה , התשתיות הלאומיות והזהירות בדרכים (להלן - משרד התחבורה), במשרד להגנת הסביבה וברשות למשפט, טכנולוגיה ומידע שבמשרד המשפטים.
חוק הגנת הפרטיות ותקנ ות הגנת הפרטיות (תנאי החזקת מידע ושמירתו וסדרי העברת מידע בין גופים ציבוריים), התשמ"ו - 1986, קובעים, כי האחריות לאבטחת המידע מוטלת על בעלי מאגר המיד ע, על המחזיקים בו ועל מנהליו.
הגופים המוזכרים בחוק זה, ובהם משרדי ממשלה, חייבים למנות ממונה על אבטחת מידע שיופקד על אבטחת המידע במאגרים המוחזקים ברשותם.
החוק להסדרת הביטחון בגופים ציבוריים, התשנ"ח - 1998 (להלן- החוק להסדרת הביטחון), מטיל חובה על גוף ציבורי, המנוי בתוספת לחוק, למנות ממונה ביטחון האחראי במסגרת תפקידו ל"פעולות אבטחה פיזית", לרבות שמירה על רכוש, ול"פעולות לאבטחת מידע" לשמירה על מידע מסווג ולמניעת פגיעה בו.
לגופים המנויים בתוספת הרביעית 15 לחוק זה אחריות גם ל"פעולות לאבטחת מערכות ממוחשבות חיוני ות", הכוללות את כל הפעולות הנדרשות לשמירה על המערכות הממוחשבות, על המידע שבהן ועל הפעולות למניעת פגיעה בהן.
על פי החלטת ממשלה16 ( נקבע נוהל מפת"חמתודולוגיית פיתוח ותחזוקה ) כנוהל מחייב במשרדי הממשלה ובגופים ציבוריים.
נוהל מפת"ח מהווה מסגרת לניהול המחשוב בארגון הן במישור הפרויקט והן במישור הארגון כולו, לרבות נושא אבטחת מידע.
בנוהל נקבע כי אבטחת מידע כוללת כמה רכיבים: שמירה על חיסיון המידע ( Confidentiality ), זמינות מערכות המידע ( Availability ( ) ושלמות המידע Integrity ).
אבטחת מידע באה להגן על ארבע הפעולות הבסיסיות הנעשות בכל מערכת ממוחשבת ובכל בסיס נתונים , ואלה הן: יצירה והוספה של מידע חדש ( Create ( ), קריאה ושליפה של מידע Read ), עדכון .
13 מרחב מטפורי של מערכות ורשתות מחשב שבהן נאגרים נתונים אלקטרוניים ונעשית תקשורת מקוונת ואינטראקטיבית ללא תלות במיקום הגיאוגרפי של המשתמשים בו.
14 Computer Emergency Response Team - .
צוות מענה חירום למחשוב 15 תוספת זו כוללת את משרד הפנים ו משרד האוצר וכן תאגידים העוסקים בין היתר בתשתיות.
16 /החלטת ממשלה (ועדת השרים לענייני כלכלה) כל103 מאוקטובר 1991.
( ושינוי של מידע Update ( ) ומחיקה וביטול של מידע Delete ).
פגיעה במערכות הממוחשבות במגזר הציבורי עלולה לגרום לנזקים כמו פגיעה בשירותים הניתנים לאזרח ובצנעת הפרט.
בפברואר 2007 פרסם מכון התקנים הישראלי את התקן הישראלי 27001 (להלן- תקן 27001 ,) שנועד לשמש מודל להקמה, להפעלה, לניטור, לסקירה לתחזוקה ולשיפור של מערכת לניהול אבטחת מידע.
הטמעת הנוהל בארגון מחייבת קביעת מדיניות, מטרות, תהליכים ונהלים לניהול סיכונים ולשיפור אבטחת המידע.
ממשל זמין קיבל כתב הסמכה לתקן זה עד פברואר 2014 , והוא עובר מבדקים שנתיים לתיקוף הסמכה זו (בעניין זה ראו להלן).
בספטמבר 2005 פרסם האגף הבכיר לביקורת המדינה במשרד ראש הממשלה "נוהל מסגרת לאבטחת מידע" (להלן - נוהל המסגרת).
נוהל המסגרת כולל 38 נהלים לאבטחת מידע במשרדי הממשלה, שעניינם קביעת מדיניות ומיפוי מידע, הגורם האנושי ואבטחת המידע, אבטחה לוגית 17 ,, אבטחה פיזית, גיבוי שחזור והתאוששות, אבטחת תקשורת ושימושי אינטרנט ואבטחת מידע במחשבים המנותקים מרשתות המשרד.
לפי נוהל המסגרת, על תחום אבטחת מידע בגוף ציבורי יהיה מופקד "הממונה על אבטחת מידע", ובאחריותו לבקר את הפעילויות הממוחשבות כדי לוודא שהמשרד עומד בדרישות אבטחת המידע שמקורן בחוקים, בתקנות ובנהלים.
נוהל המסגרת לא נקבע כמחייב במשרדי הממשלה, אך ניתן ללמוד ממנו על התשתית הנדרשת לאבטחת המידע ולשמירה על הפרטיות בגופים ציבוריים.
לדעת משרד מבקר המדינה, מן הראוי שהממונה על התקשוב הממשלתי תבחן לאמץ את נוהל המסגרת כנוהל מחייב לאבטחת מידע במשרדי הממשלה.
במאי 2004 קיבלה הממשלה 18 החלטה בנושא ממשל זמין , ובה נקבע, בין השאר, שיש להנחות את משרדי הממשלה לפעול על פי נוהלי העבודה המקובלים ב"פרויקט ממשל זמין", ובהם: 1 .
אתר שער הממשלה החדש יפורסם בכל אתר מידע ממשלתי.
באתר המכרזים המקוונים יתפרסמו כל מכרזי הממשלה 3.
על כל משרד ממשלתי לאפשר תשלום של כל שובר בשירות התשלומים הממשלתי באינטרנט באמצעות כרטיס אשראי או לאפשר תשלום באמצעות בולי הכנסה.
במרץ 2011 החליטה הממשלה 19 , להפעיל את אתר הממשל הפתוח הישראלי באינטרנט, בכתובת OPEN.
IL, כדי לאפשר שימוש במידע הממשלתי - על ידי הציבור ולטובת הציבור.
באתר יוכל אדם, בין השאר, לקבל מידע על מאגרי המידע המפורסמים לטובת הציבור; לשלוח משוב הנוגע לאיכות המידע המופיע באתר; לספק מידע הנוגע לתעדוף של סוגי מידע לפרסום; לקבל מידע על תכניות הממשל הפתוח של ממשלת ישראל.
17 הפעלת מנגנוני תכנה ייעודיים, כגון שם משתמש וססמה המוזנים כתנאי להפעלת מחשב.
18 'החלטה מס 1912 /(חכ83 ) מיום 20.
19 'החלטה מס 2985 /(שמצ4 ) מיום 14.
11 , 'בהמשך להחלטת ממשלה מס 2201 מיום 8.
ניהול אבטחת מידע בממשל זמין .
בתקנון כספים ומשק (להלן - תכ"ם) של החשב הכללי ב משרד האוצר ובתקנון שירות המדינה (התקשי"ר) נקבע כי נוהל צריך להיות מאושר על ידי סמנכ"ל בכיר ולהיות נדון בוועדה רלוונטית , וכי יש לפרסם את מועד כניסתו לתוקף.
כל עדכון בנוהל מחייב שינוי מספר מהדורה.
הביקורת העלתה כי על נוהלי אבטחת המידע, שהוכנו בעקבות הטמעת תקן 27001 בממשל זמין, מופיע שמו של סגן מנהל ממשל זמין כמאשר הנוהל, אך ללא חתימתו.
עוד הועלה כי בכל הנהלים שנכתבו לא נרשם מתי ייכנסו לתוקף, ולחלקם אף לא נמצאו מסמכים המעידים על ניהול מהדורות.
בנוהל "מדיניות אבטחת המידע" של ממשל זמין (להלן - נוהל מדיניות אבטחת מידע), שהוציא אגף הביטחון של משרד האוצר בדצמבר 2005 , ועודכן על ידי ממשל זמין במשך השנים כמה פעמים עד גרסתו האחרונה מפברואר 2012 , נקבע כי פעילותו התקינה של ממשל זמין תלויה בשלמות המידע, סודיותו, אמינותו, עדכניותו, זמינותו ושרידותו.
מדיניות זו היא הבסיס הארגוני להחלטות ההנהלה, שלפיו יש לתת מענה ארגוני, אמצעים ומשאבים כלכליים, תוך כדי מיסוד נכון של תהליכי קבלת החלטות הנוגעות לניהול ולבקרה במסגרת אחריות מוגדרת שמטרתה להתוות את מדיניות אבטחת המידע בממשל זמין לצורך צמצום הפגיעה במידע, במאגריו ובמערכותיו.
צמצום ה פגיעה יביא לידי הקטנת סיכוני הפגיעה בתפעולו של ממשל זמין, וכפועל יוצא מכך, יקטן הסיכון לפגיעה גם במקבלי השירות.
עוד נקבע בנוהל כי אבטחת המידע בממשל זמין כוללת אבטחה פיזית, אבטחת רשומות, אבטחה לוגית, מהימנות עובדים ואבטחת ממשקים עסקיים.
היא תיושם בכפוף ובצמידות לחוקים, לתקנות ולהנחיות הנוגעים לתחום אבטחת מידע, לרבות חוק המחשבים, התשנ"ה - 1995 , וחוק הגנת הפרטיות ותקנותיו, ובהתייחס להחלטות ועדת ההיגוי לאבטחת מידע , שמערך אבטחת המידע צריך לעמוד בדרישות תקן 27001 לצורך שיפור מתמיד שיענה לדרישות מודל PDCA20 של התקן הישראלי 9001:2008ISO .
: קביעת רמות סיכון לפרויקטים בתהיל"ה בנוהל מדיניות אבטחת מידע נקבע כי הנהלת ממשל זמין מחויבת גם לקבוע את הסיכונים ורמתם בתחום אבטחת מידע.
בנוהל "טבלת סיכונים ונכסים של תתי פרויקטים בממשל זמין" נקבעה טבלת הסיכונים בעבור פרויקטים ותת -פרויקטים בממשל זמין הכוללים , בין היתר, את .
20 PDCA ( Plan, Do, Check, Act )- ,סבב פעילויות הכולל ארבע "תחנות" עיקריות: תכנן עשה, בדוק, פעל.
מודל זה מקו בל בעיקר בבקרת איכות (איתור תקלות), שם ה"תחנות" הן: תכנן - הגדר מטרות ותהליכים לנוכח ספציפיקציות (דרישות) מוגדרות, עשה - יישם תהליכים אלה, בדוק - מדוד והערך את התוצאות שהושגו מול המטרות והספציפיקציות שהוגדרו, פעל - בצע פעולות לתיקון ולשיפור תהליכים, כולל שיפור מעגל PDCA .
מובן שהמעגל הוא "אינסופי" ומתבצע כל הזמן משרד האוצר 285 .
שירות הכרטיס החכם, את פרויקט כספת ואת שירות הטפסים.
נוהל זה, שעודכן לאחרונה בפברואר 2012 לצורך התאמה לתקן 27001 ,)(בעניין זה ראו להלן נמצא בשלב טיוטה, והוא אינו מקיף את כל הפרויקטים של ממשל זמין.
משרד מבקר המדינה העלה, כי הנהלת ממשל זמין לא הגדירה את הסיכונים ו את רמתם לגבי חלק מ הפרויקטים ותתי -הפרויקטים בממשל זמין.
מומלץ שהנהלת ממשל זמין תשלים את עדכונו של הנוהל האמור, ותקבע את הסיכונים ו את רמתם לכל אחד מן הפרויקטים ותת י- הפרויקטים בממשל זמין.
ועדת היגוי לאבטחת מ ידע: בנוהל מדיניות אבטחת מידע משנת 2005 נקבע, כי באחריותה של ועדת ההיגוי לאבטחת מידע בממשל זמין (להלן- ועדת ההיגוי) לטפל במכלול נושאים, ובהם גיבוש ועדכון המדיניות בתחום אבטחת מידע, התוו יית אסטרטגיות פעילות, פיקוח על תכניות העבודה השנתיות, קיום הערכת נזקים בעקבות תקלות , וגיבוש המלצות לטיפול בהן.
עוד נקבע בנוהל המבנה של ועדת ההיגוי - צוות של 11 עובדים ממשרד האוצר.
בעדכון משנת 2009 ,נקבע כי בעלי תפקידים בוועדה יהיו מנהל ממשל זמין שישמש יו"ר הוועדה מנהל אבטחת מידע בממשל זמין (להלן - מנהל אבטחת מידע) שישמש מזכי ר הוועדה ומנהלי תתי-פרויקטים רלוונטיים.
עוד נקבע בנוהל כי ועדת ההיגוי נדרשת לגבש קריטריונים להגדרת סיווג רגישות המידע וחיוניותו לפי מידת הנזק שייגרם לממשל זמין, למדינת ישראל או לגורמים אחרים עקב חשיפה, חבלה או שיבוש של מידע - מאגריו או מערכותיו - בין במזיד ובין בשוגג.
סיווג המידע יתייחס לכל מצע או מאגר שהמידע קיים בהם.
סיווגו של המידע ייקבע על פי רמת הרגישות הגבוהה ביותר הקיימת בקובץ, במאגר או במצע הפיזי שהמידע אגור בהם.
הביקורת העלתה כי רק בדצמבר 2010 , כחמש שנים לאחר פרסום נוהל מדיניות אבטחת המידע, מונתה ועדת היגוי לאבטחת מידע בממשל זמין, והרכבה לא תאם את ההרכב שנקבע בנוהל.
נמצא כי ועדת ההיגוי לא התכנסה מאז מינויה בשנת 2010 .
כמו כן חלק מחבריה התחלפו ולא מונו תחתיהם חברי ועדה אחרים.
מאחר שהוועדה לא התכנסה כלל, היא ממילא לא מילאה את תפקידה כנדרש בנוהל.
בהתייחסותה לממצאי הביקורת מסרה הנהלת ממשל זמין בנובמבר 2012 כי הדרישות לוועדות היגוי לאבטחת מידע מקורן בכמה הנחיות שממשל זמין כפוף להן, לרבות עמידה בדרישות תקן 27001 ובהנחיות הרשות הממלכתית לאבטחת מידע של שירות הביטחון הכללי (להלן - רא"ם).
הפעילות על פי הנחיות ר א"ם החלה רק בינואר 2011 .
ועדת היגוי שמונתה על פי הנחיות רא"ם התכנסה פעמיים, בשנת 2011 ובשנת 2012 )(בעניין זה ראו להלן.
זאת ועוד, ההנחיות של רא"ם מקיפות כיום כ-90% .
מפעילותו של ממשל זמין והן צפויות להתרחב בעתיד לכן אין צורך, לדעתה, בוועדות היגוי שונות לאבטח ת מידע אלא יש לרכז את כל הנושאים במסגרת אחת.
משרד מבקר המדינה מעיר להנהלת ממשל זמין, כי אם היא סבורה שוועדת ההיגוי שמונתה לפי הנחיות רא"ם מייתרת את הצורך בוועדת ההיגוי שאמורה לקום מכוחו של נוהל מדיניות אבטחת מידע ומקיפה את כלל פעילותה, עליה לפעול לשינוי הנוהל או לביטולו.
יישום נוהל מדיניות אבטחת מידע על ידי מנהל אבטחת מידע בממשל זמין: נוהל מדיניות אבטחת מידע מגדיר את תפקידיו של מנהל אבטחת מידע במתן תמיכה שוטפת בתחום אבטחת מידע והטמעה בשטח של סיכומי ישיבות ועדת ההיגוי ושל החלטותיה.
הנוהל גם מפרט את הנושאים והתחומים שבאחריותו של מנהל אבטחת מידע.
(א) על מנהל אבטחת מידע לקבוע את רמת האבטחה הנדרשת לכל סיווג מידע.
עליו להתייחס לכל מאגר שהמידע קיים ב ו - קבצים, בסיסי נתונים, מדיה אלקטרונית או אופטית, מסמכים, דוחות ועוד.
נמצא כי נכון למועד סיום הביקורת, ביולי 2012, לא קבע מנהל אבטחת מידע את רמת האבטחה הנדרשת לכל סיווג של מידע המצוי ברשות ממשל זמין.