דוח ביקורת מיוחד . הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות בביקורת עלה כי משרד החינוך והחברה החיצונית לא גיבשו נוהל להקשחת שרתים .במערך המרב"ד כפי שהומלץ בתורת ההגנה בסייבר לארגון. .בסקר הסיכונים שביצעה החברה החיצונית ביוני 2021 בנוגע לרשת ג' (להלן - סקר .סיכונים לרשת ג') נמצא, כי עמדות הקצה אינן מוקשחות מספיק וקבוצת מנהלי הדומיין .רחבה מדי. .בביקורת עלה כי המשרד והחברה החיצונית לא קבעו נוהל הנוגע לגיבוי ולשחזור של .מערכת ד', ולא קבעו תוכנית המשכיות עסקית - BCP לפעילותמערך המרב "ד. עוד עלה .כי עותק של הגיבויים נשמר ללא הצפנה ברשת א' וכן ברשת ג'. החברה החיצונית מסרה .לצוות הביקורת כי בשנת 2021 .'בוצע תרגיל שחזור מגיבוי למערכת ד .על משרד החינוך לקבוע נהלים לנושא הגיבוי והשחזור ולנושא ההמשכיות העסקית - BCP .במרב"ד, ועל המשרד לוודא כי החברות המפעילות את מערך המרב"ד עבורו פועלות .לפיהם ולפי הנחיות יה"ב. . בביקורת עלה כימשרד החינוך והחברה החיצונית אינם מנהלים את מערך המחשבים .האישיים הפרטיים של המעריכים שדרכם מתחברים למערכת ד' , וכי החיבור שלהם .מאובטח חלקית. .על משרד החינוך לפעול על פי מתכונת עבודה שנקבעה בהנחיית יה"ב, ובכלל זה לדרוש .מהחברות המפעילות את מערך המרב"ד עבורו למנוע אפשרות לגלישה חופשית לא .מאובטחת במרשתת בעת החיבור למערכת ד'. .אשר להעברת קבצים אלו באותם ממשקים, עלה כלהלן: .• הקבצים נקלטים במערכת ד' בלא שנבדקו באמצעות תוכנות הלבנה לצורך זיהוי .פגיעות מסוימת. .יצוין כי במהלך הביקורת מסר משרד החינוך לצוות הביקורת כי הוא החל להטמיע מערכת .הלבנה ברשת ב' של המשרד, וכי התהליך נמצא בשלב בדיקות מקדימות שלפני התקנת .המערכת ברשת ג'. .• אף שהתקנות מחייבות הצפנה של מידע המועבר ברשת הציבורית או במרשתת, בפועל .רק אחד הקבצים מועבר בממשקים כשהוא מוצפן . שאר הקבצים (כ-33 ) מועברים .כשהם אינם בעלי דרישת הגנה מסוימת. .• כל הקבצים שיש בהם מידע רגיש מועברים ממערכת ד ' למשרד החינוך באמצעות .הכספות הווירטואליות, אולם יש קבצים כאמור המכילים מידע רגיש שמועברים .ממשרד החינוך למערך המרב"ד בדואר האלקטר וני של משרד החינוך, והדבר שמעלה .את הסיכון לדלף מידע רגיש ולפגיעה בפרטיות. .• קובץ מסוים המכיל מידע רפואי רגיש על תלמידים מועבר מספק חיצוני למשרד .החינוך, ומשם למערכת ד ' במערך המרב "ד בדואר האלקטרוני הציבורי , שאינו של .משרד החינוך, וזאת בלי שהוצפן. .כדי לצמצם את הסיכון הכרוך בהעברת קובץ שיש בו סיכון לפגיעה מסוימת לרשת ג' .ולמערכת ד', מומלץ שמשרד החינוך ישלים את ההטמעה של מערכת הלבנה ברשת א ' .וברשת ג'. בכל הנוגע להעברת מידע רגיש בין מערכותיו לבין מערכות חיצוניות - על משרד .החינוך להתקין אמצעי הגנה מסוימות וכן לפעול להגנה על המידע המועבר בממשקים .אלו בהתאם לתקנות הגנת הפרטיות אבטחת מידע. מומלץ כי המשרד יפסיק להעביר את .הקובץ שמכיל מידע רגיש על תלמידים ברשת הציבורית כשאינו בעל דרישת הגנה מסוימת .ויפעל לכך שקבצים שיש בהם מידע רגיש יועברו באמצעות פתרון מאובטח כגון כספות .וירטואליות.
עלה, כי משרד החינוך, לא ביצע סקר סיכונים בנוגע לרשת ג' או מבדק חדירות למערכת .ד' בשלוש השנים שקדמו למאי 2021 , בין בעצמו, ובין באמצעות חברות המפעילות את .מערך המרב"ד עבורו. וכי במהלך הביקורת ובעקבותיה, במאי 2021 , ביצעה החברה .החיצונית 36 , מבדק חדירות לאתרים החיצוניים ולסביבה ו' (להלן - מבדק חדירות סביבה .ו'), כמו כן, ביוני 2021 , היא ביצעה סקרסיכונים לרשת ג'. .במבדק החדירות סביבה ו' משנת 2021 נמצא שהסיכון לפגיעה באתרים החיצוניים .ולעקיפת מנגנוני ההגנה וההפרדה הפנימיים היה קטן. עם זאת, עלו חמישה ממצאים .שכללו: ממצא קריטי אחד; ממצא ברמת חומרה גבוהה; וממצא ברמת חומרה בינונית. .מממצאי סקר הסיכונים רשת ג' משנת 2021 עלה שנשקף סיכון גבוה לרשת, שכן13 מ- .21 הממצאים שעלו היו ברמת חומרה גבוהה, ושישה ברמת חומרה בינונית. למשל: כללי .רכיב אבטחת מידע מסוים אינם מוקשחים דיים; קבוצות מינהלני רשת ( Admins ) היו .מתירניות מדי; בחלק מעמדות הקצה אין מערכת אנטי-וירוס מעודכ נת; וגרסאות מערכות .מסוימות אינן מעודכנות. .מומלץ שמשרד החינוך ידרוש שסקר הסיכונים והמבדקים יבוצעו במועדים ובתדירות .הנדרשים ועל ידי גורם מקצועי שיהיה בלתי תלוי. עוד מומלץ כי המשרד יוודא כי הממצאים .שעלו בסקר הסיכונים רשת ג' ובמבדק החדירה לסביבה ו' משנת 2021 .יתוקנו