משרד האוצר . ניהול אבטחת מידע ושרידות של תשתיות אינטרנט ומחשוב עבור משרדי ממשלה משרד מבקר המדינה העלה, כי הנהלת ממשל זמין לא הגדירה את הסיכונים ו את רמתם לגבי חלק מ הפרויקטים ותתי -הפרויקטים בממשל זמין. מומלץ שהנהלת ממשל זמין תשלים את עדכונו של הנוהל האמור, ותקבע את הסיכונים ו את רמתם לכל אחד מן הפרויקטים ותת י- הפרויקטים בממשל זמין. הביקורת העלתה כי רק בדצמבר 2010 , כחמש שנים לאחר פרסום נוהל מדיניות אבטחת המידע, מונתה ועדת היגוי לאבטחת מידע בממשל זמין, והרכבה לא תאם את ההרכב שנקבע בנוהל. נמצא כי ועדת ההיגוי לא התכנסה מאז מינויה בשנת 2010 . כמו כן חלק מחבריה התחלפו ולא מונו תחתיהם חברי ועדה אחרים. מאחר שהוועדה לא התכנסה כלל, היא ממילא לא מילאה את תפקידה כנדרש בנוהל. הביקורת העלתה, כי במועד חסימת גישת כתובת האינטרנט של חברה ג' לשרתי ממשל זמין לא היה נוהל לטיפול במתקפות מן הסוג של מניעת שירות. במאי 2012 פרסמה מחלקת אבטחת מידע טיוטת נוהל תפעולי שכותרתו "פעולות לביצוע בעת מתקפת מניעת שירות" . התברר שעד למועד סיום הביקורת לא אישרו לא מנהל אבטחת מידע ולא ועדת ההיגוי לאבטחת מידע את טיוטת הנוהל. עולה אפוא, כי למרות ההוראות המחייבות שנקבעו בנושא תכנית שיקום מאסון, ואף שכבר משנת 2008 קיים אתר חלופי ותכנית מפורטת להפעלת מערך השיקום מאסון ( DRP) ונקבעה תדירות התרגול הנדרשת, לאנערכו התרגילים כנדרש. הביקורת העלתה, כי הנהלת ממשל זמין לא תיקנה את הליקויים האמורים שהועלו בדוח של רא"ם. משרד מבקר המדינה מעיר להנהלת ממשל זמין, כי יש לתקן את הליקויים ולערוך בקרת שינויים וגרסאות באתר החלופי. הביקורת העלתה , כי עד מועד סיום הביקורת לא פורסם מכרז מרכזי לפרויקט DRP .ממשלתיכמו כן מכך לא יושם לוח הזמנים שנקבע ליישום תכנית DRP ,שעל-פיו היה הפרויקט א מור להיות מושלם עד אפריל 2012 , .וגם לא נקבע מועד חדש להשלמתו הביקורת העלתה, כי אין בממשל זמין נוהל לטיפול בהתקפות מסוג זה, ואף לא מוגדרת מהי הכמות הסבירה למשלוח דואר אלקטרוני מכתובת אינטרנט בפרק זמן נתון. עוד עלה , כי בשני המקרים שנחסמו כתובות אינטרנט לא ניתן ייעוץ משפטי לפני ביצוע החסימה, ולא התקבלה כל התייחסות בכתב מהייעוץ המשפטי לפנייתה של מנהלת צוות החירום. כמו כן, אירועים אלה לא הובאו אל שולחנה של ועדת ההיגוי, ולא נכתב עליהם דוח מסכם כנדרש בנוהל מדיניות אבטחת מידע. .לדעת משרד מבקר המדינה, על מנהל אבטחת מידע ועל ועדת ההיגוי לכתוב ולתקף נוהלי אבטחת מידע תפעוליים לטיפול במצבי חירום היכולים להתרחש בממשל זמין, וכפי שכבר החלו לעשות. בנהלים יש להגדיר, בין ה שאר, את הסיכונים מהתקפות שונות ואת דרכי ההתמודדות עמם, ולקבוע הוראות ביצוע לצוותים המטפלים. כמו כן יש לבחון את ההחלטות לחסום כתובת דואר אלקטרוני גם מההיבט המשפטי לפני ביצוען ולא בדיעבד. נמצא כי רק במועד סיום הביקורת פורסם ללקוחות ממשל זמין מסמך אמנת שירות, הכולל מענה לתקלות, מענה לפניות שוטפות והתחייבות על רמת זמינות, כפי שדרשה ועדת ההיגוי של ממשל זמין. משרד מבקר המדינה מעיר לממשל זמין, כי לפי האיומים והתקיפות שחווה ממשל זמין, ולנוכח המסקנות שעלו בדיונים השונים שקוימו בנושא, מן הראוי שיוקם DRP ממשלתי, שייתן מענה אמיתי ומלא בעת חירום. התברר כי סקר זה על ממצאיו לא נדון בוועדת ההיגוי של ממשל זמין, ולא נעשתה כל בדיקה חוזרת לתיקון הליקויים. לדעת משרד מבקר המדינה, יש לנקוט פעולות זהירות ולהימנע מחיבור המחשב פעם לרשת האינטרנט ופעם לרשת תהיל"ה כדי להפחית סיכונים להחדרת וירוסים. יתרה מזאת, האירוע האמור מדגיש את החשיבות בקיומו של קובץ נהלים וסטנדרדים שעל הלקוחות למלא בעת שהם מתארחים בתהיל"ה, ומעלה את הצורך בהדרכתם של כל הנוגעים בדבר בעניין הנהלים וסטנדרדים אלה. .הביקורת העלתה כי לממשל זמין אין הסכם עם אף לא אחד מלקוחותיו, שלהם מאגר מידע כהגדרתו בחוק הגנת הפרטיות, המגדיר מי הם מורשי הגישה למאגרי המידע שלהם כנדרש בחוק הגנת הפרטיות. ממשל זמין גם לא מסר דיווח שנתי לרשות למשפט, טכנולוגיה ומידע שבמשרד המשפטים כנדרש בחוק זה, בתוקף היותו מחזיק במאגרים של בעלים שונים. משרד מבקר המדינה מעיר ל הנהלת ממשל זמין , כי עלי ה לקיים את הוראות חוק הגנת הפרטיות ותקנותיו בכל מאגרי המידע ש ממשל זמין מחזיק בהם; למשל, שרת הטפסים שבו מאגרי מידע של משרדי הממשלה השונים, המכילים מידע רגיש על אזרחים. בדצמבר 2011 הוקמהבממשל זמין ועדת היגוי לנושא DRP, והיא התכנסה פעמיים בלבד, בדצמבר 2011 ובינואר 2012 , ומאז לא התכנסה עוד. במועד סיום ה ביקורת פועל בנושא ההיערכות לחירום צוות עבודה המורכב מנציגי יחידות ב משרד ה אוצר במסגרת יחידת התקשוב הממשלתי. כמו כן עד מועד סיום הביקורת לא מונה יועץ לליווי, לתכנון ולהקמת מערך DRP. הביקורת העלתה כי עד מו עד סיום הביקורת לא הוכנה כל תכנית להמשכיות עסקית בממשל זמין. רק בנובמבר 2012 מינתה הנהלת ממשל זמין בעל תפקיד האחראי להיערכות להמשכיות עסקית. הביקורת העלתה כי מנהל אבטחת מידע בממשל זמין אינו מקיים את כל הוראות הנוהל. לדוגמה, הוא לא גיבש תכנית הדרכה כוללת להגברת מודעות העובדים בכל ההיבטים הנוגעים לאבטחת מידע; לא נמצא תיק ייעודי ובו מתויקים תכנית העבודה השנתית להגברת המודעות וטופס המעקב; נושא נוהלי אבטחת מידע אינו מופיע במצגות של הדרכות העובדים; ומנהל אבטחת מידע אינו מעודכן בנוגע לעובדים חדשים בממשל זמין, וממילא אין הם מקבלים את ההדרכה הנדרשת לפני קבלת הרשאות גישה. מנהלת האגף מסרה לצוות הביקורת, כי לפי דרישת משרד המשפטים קיימת אפשרות לאחזר עותק הטופס ואישור תשלום עד 48 שעות לאחר הרכישה המקוונת. אולם היא לא מצאה מסמכים המעידים על דרישה זו. משרד מבקר המדינה מעיר להנהלת ממשל זמין על כך, שבמשך כמעט שנה לא נפגשו נציגי ה עם נציגי מ שרד המשפטים כדי למצוא פתרון לבעיה זו, וזאת לנוכח החשד לחדירה המאפשרת לשלוף העתקי טפסים ללא תשלום ולנוכח הניסיונות להתקשר עם מזמיני הטופס המקוריים, כפי שבוצעו בספטמבר 2011 . כמו כן, מן הראוי שיהיו בידי ממשל זמין כל המסמכים הנוגעים לכל דרישות לקוחותיו משירות הפקת האישורים . לדעת משרד מבקר המדינה, יש מקום כי אירוע זה יידון בוועדת ההיגוי לאבטחת מידע ויופקו הלקחים המקצועיים מהמקרה. לדעת משרד מבקר המדינה, מן הראוי ש הנהלת ממשל זמין תקבע מתכונת דיווח לג ופים המתארחים בתהיל"ה על ניסיונות חדירה לאתריהם. עוד מוצע כי בנוהל שייקבע יפורטו, בין היתר, הפעולות שעל המשרד המתארח בתהיל"ה לבצע בעקבות קבלת הדיווח , וכן הגורמים שהוא נדרש לדווח להם על הפעולות שעשה ועל תוצאותיהן. נמצא כי נכון למועד סיום הביקורת, ביולי 2012, לא קבע מנהל אבטחת מידע את רמת האבטחה הנדרשת לכל סיווג של מידע המצוי ברשות ממשל זמין. נמצא כי מנהל אבטחת מידע לא הגדיר את האמצעים ואת התהליכים לטיפול באבטחת רשומות. נמצא כי במאי 2005 "הוכן נוהל "ממשק עסקי , אך הוא אינו מיושם. לדוגמה, מנהל אבטחת מידע לא התווה את התהליכים ואת שיטות הטיפול בממשקים עסקיים הפועלים בממשל זמין. נמצא כי מנהל אבטחת מידע לא התווה את רמת האבטחה הלוגית לרכיבים השונים של מערכות המחשוב והתקשורת. נמצא כי לא נקבעו נהלים המתווים את אופן ביצוע השינויים בנתונים, בתכנה ובחמרה, ולא נקבע מי אחראי לקביעתם. נמצא כי מנהל אבטחת מידע לא הגדיר למשתמשים הרשאות גישה לפרטי מידע הדרושים להם לביצוע עבודתם, וממילא לא שיתף בכך את בעלי המידע. עוד נמצא כי את הרשאות הגישה למשתמשים נותן מנהל המערכת ( סיסטם) ולא מנהל אבטחת מידע, וזאת שלא על פי נוהל מדיניות אבטחת מידע.
נמצא כי לא נקבעה תכנית ביקורת שנתית כפי שנקבע בנוהל וכי מנהל אבטחת מידע אינו עורך ביקורת על הפעילויות ה נערכות במידע.