דוח ביקורת מיוחד . הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות בביקורת עלה כי משרד החינוך והחברה החיצונית לא גיבשו נוהל להקשחת שרתים .במערך המרב"ד כפי שהומלץ בתורת ההגנה בסייבר לארגון. .בסקר הסיכונים שביצעה החברה החיצונית ביוני 2021 בנוגע לרשת ג' (להלן - סקר .סיכונים לרשת ג') נמצא, כי עמדות הקצה אינן מוקשחות מספיק וקבוצת מנהלי הדומיין .רחבה מדי. .בביקורת עלה כי המשרד והחברה החיצונית לא קבעו נוהל הנוגע לגיבוי ולשחזור של .מערכת ד', ולא קבעו תוכנית המשכיות עסקית - BCP לפעילותמערך המרב "ד. עוד עלה .כי עותק של הגיבויים נשמר ללא הצפנה ברשת א' וכן ברשת ג'. החברה החיצונית מסרה .לצוות הביקורת כי בשנת 2021 .'בוצע תרגיל שחזור מגיבוי למערכת ד .על משרד החינוך לקבוע נהלים לנושא הגיבוי והשחזור ולנושא ההמשכיות העסקית - BCP .במרב"ד, ועל המשרד לוודא כי החברות המפעילות את מערך המרב"ד עבורו פועלות .לפיהם ולפי הנחיות יה"ב. . בביקורת עלה כימשרד החינוך והחברה החיצונית אינם מנהלים את מערך המחשבים .האישיים הפרטיים של המעריכים שדרכם מתחברים למערכת ד' , וכי החיבור שלהם .מאובטח חלקית. .על משרד החינוך לפעול על פי מתכונת עבודה שנקבעה בהנחיית יה"ב, ובכלל זה לדרוש .מהחברות המפעילות את מערך המרב"ד עבורו למנוע אפשרות לגלישה חופשית לא .מאובטחת במרשתת בעת החיבור למערכת ד'. .אשר להעברת קבצים אלו באותם ממשקים, עלה כלהלן: .• הקבצים נקלטים במערכת ד' בלא שנבדקו באמצעות תוכנות הלבנה לצורך זיהוי .פגיעות מסוימת. .יצוין כי במהלך הביקורת מסר משרד החינוך לצוות הביקורת כי הוא החל להטמיע מערכת .הלבנה ברשת ב' של המשרד, וכי התהליך נמצא בשלב בדיקות מקדימות שלפני התקנת .המערכת ברשת ג'. .• אף שהתקנות מחייבות הצפנה של מידע המועבר ברשת הציבורית או במרשתת, בפועל .רק אחד הקבצים מועבר בממשקים כשהוא מוצפן . שאר הקבצים (כ-33 ) מועברים .כשהם אינם בעלי דרישת הגנה מסוימת. .• כל הקבצים שיש בהם מידע רגיש מועברים ממערכת ד ' למשרד החינוך באמצעות .הכספות הווירטואליות, אולם יש קבצים כאמור המכילים מידע רגיש שמועברים .ממשרד החינוך למערך המרב"ד בדואר האלקטר וני של משרד החינוך, והדבר שמעלה .את הסיכון לדלף מידע רגיש ולפגיעה בפרטיות. .• קובץ מסוים המכיל מידע רפואי רגיש על תלמידים מועבר מספק חיצוני למשרד .החינוך, ומשם למערכת ד ' במערך המרב "ד בדואר האלקטרוני הציבורי , שאינו של .משרד החינוך, וזאת בלי שהוצפן. .כדי לצמצם את הסיכון הכרוך בהעברת קובץ שיש בו סיכון לפגיעה מסוימת לרשת ג' .ולמערכת ד', מומלץ שמשרד החינוך ישלים את ההטמעה של מערכת הלבנה ברשת א ' .וברשת ג'. בכל הנוגע להעברת מידע רגיש בין מערכותיו לבין מערכות חיצוניות - על משרד .החינוך להתקין אמצעי הגנה מסוימות וכן לפעול להגנה על המידע המועבר בממשקים .אלו בהתאם לתקנות הגנת הפרטיות אבטחת מידע. מומלץ כי המשרד יפסיק להעביר את .הקובץ שמכיל מידע רגיש על תלמידים ברשת הציבורית כשאינו בעל דרישת הגנה מסוימת .ויפעל לכך שקבצים שיש בהם מידע רגיש יועברו באמצעות פתרון מאובטח כגון כספות .וירטואליות. עלה, כי משרד החינוך, לא ביצע סקר סיכונים בנוגע לרשת ג' או מבדק חדירות למערכת .ד' בשלוש השנים שקדמו למאי 2021 , בין בעצמו, ובין באמצעות חברות המפעילות את .מערך המרב"ד עבורו. וכי במהלך הביקורת ובעקבותיה, במאי 2021 , ביצעה החברה .החיצונית 36 , מבדק חדירות לאתרים החיצוניים ולסביבה ו' (להלן - מבדק חדירות סביבה .ו'), כמו כן, ביוני 2021 , היא ביצעה סקרסיכונים לרשת ג'. .במבדק החדירות סביבה ו' משנת 2021 נמצא שהסיכון לפגיעה באתרים החיצוניים .ולעקיפת מנגנוני ההגנה וההפרדה הפנימיים היה קטן. עם זאת, עלו חמישה ממצאים .שכללו: ממצא קריטי אחד; ממצא ברמת חומרה גבוהה; וממצא ברמת חומרה בינונית. .מממצאי סקר הסיכונים רשת ג' משנת 2021 עלה שנשקף סיכון גבוה לרשת, שכן13 מ- .21 הממצאים שעלו היו ברמת חומרה גבוהה, ושישה ברמת חומרה בינונית. למשל: כללי .רכיב אבטחת מידע מסוים אינם מוקשחים דיים; קבוצות מינהלני רשת ( Admins ) היו .מתירניות מדי; בחלק מעמדות הקצה אין מערכת אנטי-וירוס מעודכ נת; וגרסאות מערכות .מסוימות אינן מעודכנות. .מומלץ שמשרד החינוך ידרוש שסקר הסיכונים והמבדקים יבוצעו במועדים ובתדירות .הנדרשים ועל ידי גורם מקצועי שיהיה בלתי תלוי. עוד מומלץ כי המשרד יוודא כי הממצאים .שעלו בסקר הסיכונים רשת ג' ובמבדק החדירה לסביבה ו' משנת 2021 .יתוקנו .עלה כי שלא בהתאם לתקנות הגנת הפרטיות אבטחת מידע ושלא ב התאם ל הנחיית .המסגרת בנוגע לאמצעי הגנה שיש להתקין כנגד תקיפה ופגיעה במערכות המחוברות .לרשתות חיצוניות, נכון לספטמבר 2021 משרד החינוך לא סרק במערכת הלבנה קבצים .לפני העברתם לסביבה ב'. עוד עלה כי נכון לנובמבר 2021 גםהחברה החיצונית לא סרקה .את אותם קבצים לפני שייבא אותם לסביבה שלו או לפני שקלט אותם במערכת ד '. .יצוין כי במהלך הביקורת מסר משרד החינוך לצוות הביקורת כי הוא ה חל להטמיע מערכת .הלבנה לסריקת קבצים כדי לוודא כי אין בהם סיכון לפגיעה מסוימת לממשקים החיצוניים .שבאמצעותם מועברים קבצים לרשת ב' שלו, וכי התהליך נמצא בשלב הבדיקות .המקדימות הקודמות להתקנת המערכת ברשת ג'. .משרד מבקר המדינה ממליץ למשרד החינוך להשלים את פריסת מערכת ההלבנה בכל .הסביבות, המערכות ותחנות הקצה שבאחריותו, שכן מדובר באמצעי אבטחת מידע בסיסי .וחיוני ביותר. .עלה כי מתוך שבע המשימות שנבדקו והוגדרו ברמת סיכון "קריטית" או "גבוהה" לביצוע .ושהמשרד קבע שיש ליישמן בשנת 2019 , נכון לאוקטובר 2021 , המשרד סיים לטפל .בשלוש משימות באופן מלא, ובארבע משימות הוא טיפל חלקית. .על משרד החינוך להשלים את הפעולות הנדרשות כדי לטפל בממצאים שהועלו בבדיקות .ונקבעו כמשימות בתוכנית העבודה. .עלה כי משרד החינוך לא ביצע תרגילים מסוימים לשחזור מידע ולהתאוששות מאסון .כנדרש בהנחיית יה"ב "גיבוי ושחזור מידע". .על משרד החינוך לבצע תרגילי שחזור תקופתיים בהתאם להנחיות יה"ב, וזאת כדי לבחון .את מידת היערכותו ומוכנותו להתמודדות עם תרחישים אפשריים. מומלץ שהמשרד יקדם .את הטיפול להתאוששות מאסון לכלל מערכותיו, לרבות למערכת ג', ויבצע הצפנה של .המידע כנדרש. .עלה בביקורת כי, שלוש שנים לאחר כניסת תקנות הגנת הפרטיות אבטחת מידע לתוקף .(במאי 2018 ,) משרד החינוך גיבש את מסמכי מבנה המאגר, את הגדרות המאגר ואת .רשימת המצאי עבור חמישה (כ-10%) מ-50 מאגרי המידע שרשומים בפנקס רשם מאגרי .מידע. .ממצאי בדיקת תיק המאגר "תלמידים" 23, שמסר משרד החינוך לצוות הביקורת, העלו כי .מסמך הגדרות המאגר אינו מעודכן בכל הנוגע לזהות ממונה אבטחת המידע, וכי רשימת .המצאי אינה מלאה, למשל, לא מתועדים בה תוכנות וממשקי תקשורת עם מערכות .המאגר. .על משרד החינוך לפעול על פי תקנות הגנת הפרטיות אבטחת מידע ולהשלים לגבי כלל .מאגרי המידע שהוא מנהל או מחזיק את גיבוש המסמכים העוסקים בהגדרות המאגר .ובמבנה המאגר ואת גיבוש רשימת המצאי לכלל מאגרי המידע שהוא מנהל או מחזיק. כמו .כן על משרד החינוך לוודא כי המסמכים והרשומות האמורים שלמים ומעודכנים. . בביקורת עלה כי אף שנכון לדצמבר2021 למשרד החינוך יש הסמכה בתוקף לתקןISO- .27001 , הוא אינו מקיים את כל ההוראות ואת כל הבקרות שמפורטות בתקן, ובפרט לעניין .ביצוע תרגילי שחזור תקופתיים, ו הוא אינו מנהל מסמך הגדרות המאגר, מסמך מבנה .המאגר ורשימת מצאי עבור כל מאגרי המידע שברשותו, ואינו מבצע סקרי סיכונים ומבדקי .חדירות, כנדרש בסעיפי התקנות וכאמור בהנחיה. .מומלץ למשרד החינוך לקדם את התהליך למיפוי מלא ועדכני של כלל מאגרי המידע. .מיפוי זה נדרש לשם קבלת תמונת מצב שלמה של כלל מאגרי המידע ווידוא כי משרד .החינוך עומד בדרישות שנקבעו בתקנות הגנת הפרטיות אבטחת מידע. .על משרד החינוך לפעול לעריכת סקרי הסיכונים ומבדקי חדירה למערכות הליבה שלו .לכל הפחות אחת ל-18 חודשים כנדרש על פי חוק הגנת הפרטיות ותקנותיו, ולבצע סקרי .סיכונים אחת ל-36 חודשים על פי הנחיות יה"ב. אם אלה לא יבוצעו, נשקף סיכון משמעותי .לאי-גילוי סיכונים וחולשות ש ל אבטחת מידע, ובכך להביא לחשיפה מוגברת לפגיעה .בתשתיות המחשוב של המשרד, במערכות המידע ובמאגרי הנתונים שלו, עד כדי שיבושם, .השבתתם וחשיפת הנתונים הפרטיים לגורמים לא מורשים. עלה כי בסוף שנת 2020 פרש סמנכ"ל התקשוב ממשרד החינוך, ומאז ונכון לאוקטובר .2021 .לא מונה לו מחליף כממונה הגנת סייבר במשרד .עוד עלה כי ועדת היגוי סייבר התכנסה לאחרונה ב נובמבר 2019, ומאז ועד לסוף שנת .2021 היא לא התכנסה. עיון בסיכום הדיון של ועדת ההיגוי מנובמבר 2019 מעלה כיבדיון .הוצג סטטוס תכנית העבודה לשנים 2018 - 2019 , נסקרו אירועי אבטחת מידע בשנים 2018 .- 2019 ,וכי הוועדה אישרה את תכנית העבודה לשנת 2020 בהתבסס על סקר הסיכונים .שבוצע. ואולם, לא צוין בסיכום האם הוועדה דנה במרכיבים אחרים שהם בתחום אחריותה .לפי הנחיית המסגרת, ובכלל זה בגיבוש מדדים כמותיים בעניין הגנת הסייבר , אשר .באמצעותם ניתן יהיה לבחון ולמדוד את מידת היישום של הגנה זו בתום כל חציון. .על המשרד להמשיך להקפיד על כינוסה כנדרש של ועדת היגוי סייבר - לכל הפחות פעם .בחציון, ולוודא שהיא תדון בכלל הנושאים המצויים בתחומי אחריותה כפי שנקבע בהנחיית .המסגרת. .עולה כי הנחיית יה"ב המבטאת את החלטת הממשלה 2443 , בנוגע לתקצוב הגנת הסייבר .מתוך תקצוב תחום טכנולוגיית המידע היא כללית, ואינה קובעת אילו מרכיבים נכללי ם .ב"טכנולוגיות המידע" וב"הגנת הסייבר". עלה גם כי יה"ב אינה מנחה את משרד החינוך .בנוגע לאופן יישום הדרישה שנקבעה בהחלטה, ואינה בודקת אם היא יושמה. .עלה כי אף שעדכון של ציוני התלמידים הוא תהליך רגיש ביותר, שלשם ביצועו נדרשים .רמת אמינות גבוהה ותהליך סדור ומבוקר, משרד החינוך לא הסדיר לשם כך נוהל המגדיר .את שלבי התהליך, את הגורמים המעורבים בו, את האחראים לכל שלב ואת הבקרה על .התהליך. בפועל, עלו פערים במנגנוני הניטור והבקר ה של משרד החינוך. המשרד גם לא .מבצע בקרה בדיעבד - הוא לא הסדיר תהליך לקבלת דוח תקופתי קבוע המציג את .הפעולות שבוצעו במערכת והמאתר פעולות החשודות כחריגות. כמו כן, עלו פערים באגף .הבחינות בהיבטי בקרה פנימית. .העברת בקשה לשינוי ציונים בדואר האלקטרוני חשופה לסיכונים מסוימים. משרד מבקר .המדינה ממליץ למשרד החינוך לקבוע נוהל המסדיר את תהליך עדכון הציונים במערכת .ז'. בכלל זה מומלץ שהנוהל יגדיר את הגורמים המעורבים בתהליך עדכון הציונים, את רמת .ההרשאות שלהם ואת הפעולות הרגישות שיש לבצע מעקב קבוע אחריהן. כמו כן, מומלץ .שהנוהל יעסוק בסגירת הפערים הנובעים מהשימוש בדואר האלקטרוני. מומלץ גם .שהמשרד יטמיע את הנוהל הן במשרד והן בקרב מנהלי בתי הספר. .בביקורת עלה כי שרת א' ושרתי ב' אינם מופרדים; הדבר מקנה לעובדים מסוימים גישה .לשרתי ב' אף שלא אמורה להיות להם גישה כזו. עוד עלה כי בשרת א' נשמר עותק של .מסד נתונים מסוים, והוא מונגש למשתמשים מורשים מסוימים ; יוצא כי לאותם משתמשים .יש גישה גם למאגר אף שאינם מורשים לכך. עוד עלה כי הפעולות המתבצעות בשרת א' .אינן מנוטרות. .מומלץ למשרד החינוך לפעול לביצוע הפרדה בין שרת א' לשרתי ב'. מומלץ גם שבשרת .א' לא ייעשה שימוש במסד הנתונים המלא והעדכני של הנתונים. .בביקורת עלה, כי אף שתקנות הגנת הפרטיות נכנסו לתוקפן בשנת 2018 , משרד החינוך .לא פעל להבטיח כי החברה החיצונית תבצע בדיקה באשר לעמידתה בדרישות התקנות, .סקרי סיכונים ומבדקי חדירה במועד, תשתמש רק במוצרים שנתמכים על ידי היצרן, ותהיה .בעלת מערכות אבטחת מידע מסוימות. .מומלץ שמשרד החינוך יפעל להבטיח כי החברות המפ עילות את מערך המרב"ד עבורו, .במסגרת ההתקשרות עמן, יעמדו בכל החובות שחלות עליהן בחוק הגנת הפרטיות .ובתקנות הגנת הפרטיות אבטחת מידע. .בביקורת עלה, שמבדק ההסמכה של החברה החיצונית לעמידה בתקן ISO-27001 לא .כלל את פעילות מערך המרב"ד שהיא מבצעת עבור משרד החינוך. עוד עלה שהחברה .ביצעה את מבדק ההסמכה בהתייחס לסביבת מחשוב שהיא אחרת ונפרדת מזו של סביבת .המחשוב של מערך המרב"ד. .מומלץ כי משרד החינוך יפעל להבטיח כי החברות המפעילות את מערך המרב "ד עבורו, .שהן "ספק מהותי" שלו, יעמדו בתקן 27001-ISO . .צוות הביקורת בדק בחודשים יוני 2021 עד פברואר2022 הפצה לא מורשית של בחינות .בגרות שמתבצעות ביישומון מס וים למסרים מיידיים (להלן - היישומון). בבדיקה נמצאו .שבע קבוצות הפעילות במגזר היהודי ו במגזר הערבי, שבהן התבצעה פעילות הפצה לא .מורשית של שאלונים ושל הפתרונות לשאלונים - למשל קבוצה ובה מעל 12 אלף חברים . .יצוין כי לא נצפה שום מקרה של הדלפת שאלון בחינה לפני המועד המוגדר לפתיחת .הכספות, אלא רק הפצה לא מורשית לאחריו, והדבר הוא בגדר עבירת משמעת לפי חוזר .טוהר הבחינות, המקנה לנבחן זמן לפתרון שאלון הבחינה ולהפצת התשובות בזמן הבחינה .ולעתים אף לפני. .עלה כי בשנים 2018 - 2020 הגיש משרד החינוך ארבע תלונותבלבד במשטרת ישראל .(להלן - המשטרה) בגין עבירת "קבלת דבר במרמה" בעקבות הפצה לא מורשית של .שאלונים או של תשובות של בחינות הבגרות, יצוין באשר לכך כי בשנת 2020 פסל המשרד .למעלה מ- 16,000 מחברות בחינה בשל חשד להפרת טוהר הבחינות. בדצמבר2019 פנה .משרד החינוך למשטרה בכתב בבקשה לפתוח בחקירה בנושא ההונאות במסגרת קיום .בחינות הבגרות. .בנובמבר 2021 דיווחה המשטרה לצוות הביקורת כי שניים מהתיקים נסגרו בעילה של ."עבריין לא נודע", תיק אחד נסגר בעילה של "היעדר עבירה פלילית", ותיק אחד עדיין .נמצא בחקירה. .משרד מבקר המדינה ממליץ למשרד החינוך לשקול לשנות את שיטת הקצאת ההרשאות, .באופן שכל משתמש יקבל גישה לסביבת המחשוב שלה הוא נדרש לצורך מילוי תפקידו .בלבד, וכך לשמור על עקרון "הצורך לדעת". לחלופין, מומלץ שהמשרד ככלל ימנע .מעובדים מסוימים גישה לסביבה ו', זאת על מנת שלא לאפשר שינויים שלא בסביבה ז' .וחשיפ ה למידע שעובדים אלו אינם נדרשים לו. .• ברשימה שבה מתועדות הפעולות האחרונות במערכת ד' נמצאו שלושה משתמשים .שהגדרת תפקידם הייתה "תלמיד", ואולם במערכת לא הוגדר תפקיד כזה; עלה שהם .הוגדרו לצורך ביצוע בדיקות אך בפועל הם אינם נכללים ברשימות ה-AD . .• נמצא כי שני משתמשים שנכללו ברשימה המתעדת את הפעולה האחרונה במערכת .ד' לא נכללו ברשימת המשתמשים ב-AD, וכי הפעולה האחרונה של אחד מהם הוא .משנת 2011 ושל השני- משנת 2016 . הבדיקה העלתה כי אין מדובר במשתמשים בעלי .זהות אמיתית. .• נמצא כי זיהוי מסוים של אחד המשתמשים, ששמו נכלל ברשימה המתעדת פעולה .אחרונה במערכת ד', הופיע ללא ערך (NULL ). עלה כי לחברה החיצונית אין יכולת .להתחקות על הסיבה לכך. .• ברשימה המתעדת את הפעולה אחרונה במערכת ד' נמצאו 18 משתמשים42 שתפקידם .הוגדר כ"סגן מנהל אגף ומנהל מחלקת נבחנים". עלה שאין מדובר במשתמשים בעלי .זהות אמיתית, וכי הם נרשמו במערכת לצורך שימוש בה בעת התכנסות ועדות ערעורים .לעניין טוהר הבחינות. .מהממצאים עולים ליקויים בכל הנוגע לניהול מערך הרשאות המשתמשים: מתן הרשאות .החורגות מהנדרש לתפקיד ושלא על פי עקרון "הצורך לדעת". זיהוי שלעיתים אינו חד- .ערכי של משתמשים ומקרים שבהם עלה חוסר פירוט של הפעילות שבוצעה . עלה כי הפעולות הנעשות במערכת ד' נרשמות ומתועדות בקובצי ה -log , אך הן אינן .מבוקרות ואינן מנוטרות: לא באמצעות מנגנון מסוים ל ניטור ובקרה, כפי שהומלץ בהנחיית .המסגרת, ולא באמצעות מנגנון בקרה אחר . .מומלץ שמשרד החינוך יפעל לשיפור יכולת הניטור והבקרה של מערכת ד', ושינתח בסמוך .ככל הניתן לזמן אמת את קובצי ה-log של המערכת לאיתור של חריגה מהרשאות ושל .ניסיונות תקיפ ה.
.על משרד החינוך להטמיע תהליך של בדיקה, סריקה והלבנה של הקבצים באמצעות .מערכת הלבנה בעלת מנגנונים מסוימים לפחות כנדרש בהנחיות יה"ב, לפני העתקתם .לרשת ב', וקודם להעלאתם למערכת ו' ולהפצתם לבתי הספר.