משרד האוצר . ניהול אבטחת מידע ושרידות של תשתיות אינטרנט ומחשוב עבור משרדי ממשלה משרד מבקר המדינה העלה, כי הנהלת ממשל זמין לא הגדירה את הסיכונים ו את רמתם לגבי חלק מ הפרויקטים ותתי -הפרויקטים בממשל זמין. מומלץ שהנהלת ממשל זמין תשלים את עדכונו של הנוהל האמור, ותקבע את הסיכונים ו את רמתם לכל אחד מן הפרויקטים ותת י- הפרויקטים בממשל זמין. הביקורת העלתה כי רק בדצמבר 2010 , כחמש שנים לאחר פרסום נוהל מדיניות אבטחת המידע, מונתה ועדת היגוי לאבטחת מידע בממשל זמין, והרכבה לא תאם את ההרכב שנקבע בנוהל. נמצא כי ועדת ההיגוי לא התכנסה מאז מינויה בשנת 2010 . כמו כן חלק מחבריה התחלפו ולא מונו תחתיהם חברי ועדה אחרים. מאחר שהוועדה לא התכנסה כלל, היא ממילא לא מילאה את תפקידה כנדרש בנוהל. הביקורת העלתה, כי במועד חסימת גישת כתובת האינטרנט של חברה ג' לשרתי ממשל זמין לא היה נוהל לטיפול במתקפות מן הסוג של מניעת שירות. במאי 2012 פרסמה מחלקת אבטחת מידע טיוטת נוהל תפעולי שכותרתו "פעולות לביצוע בעת מתקפת מניעת שירות" . התברר שעד למועד סיום הביקורת לא אישרו לא מנהל אבטחת מידע ולא ועדת ההיגוי לאבטחת מידע את טיוטת הנוהל. עולה אפוא, כי למרות ההוראות המחייבות שנקבעו בנושא תכנית שיקום מאסון, ואף שכבר משנת 2008 קיים אתר חלופי ותכנית מפורטת להפעלת מערך השיקום מאסון ( DRP) ונקבעה תדירות התרגול הנדרשת, לאנערכו התרגילים כנדרש. הביקורת העלתה, כי הנהלת ממשל זמין לא תיקנה את הליקויים האמורים שהועלו בדוח של רא"ם. משרד מבקר המדינה מעיר להנהלת ממשל זמין, כי יש לתקן את הליקויים ולערוך בקרת שינויים וגרסאות באתר החלופי. הביקורת העלתה , כי עד מועד סיום הביקורת לא פורסם מכרז מרכזי לפרויקט DRP .ממשלתיכמו כן מכך לא יושם לוח הזמנים שנקבע ליישום תכנית DRP ,שעל-פיו היה הפרויקט א מור להיות מושלם עד אפריל 2012 , .וגם לא נקבע מועד חדש להשלמתו הביקורת העלתה, כי אין בממשל זמין נוהל לטיפול בהתקפות מסוג זה, ואף לא מוגדרת מהי הכמות הסבירה למשלוח דואר אלקטרוני מכתובת אינטרנט בפרק זמן נתון. עוד עלה , כי בשני המקרים שנחסמו כתובות אינטרנט לא ניתן ייעוץ משפטי לפני ביצוע החסימה, ולא התקבלה כל התייחסות בכתב מהייעוץ המשפטי לפנייתה של מנהלת צוות החירום. כמו כן, אירועים אלה לא הובאו אל שולחנה של ועדת ההיגוי, ולא נכתב עליהם דוח מסכם כנדרש בנוהל מדיניות אבטחת מידע. .לדעת משרד מבקר המדינה, על מנהל אבטחת מידע ועל ועדת ההיגוי לכתוב ולתקף נוהלי אבטחת מידע תפעוליים לטיפול במצבי חירום היכולים להתרחש בממשל זמין, וכפי שכבר החלו לעשות. בנהלים יש להגדיר, בין ה שאר, את הסיכונים מהתקפות שונות ואת דרכי ההתמודדות עמם, ולקבוע הוראות ביצוע לצוותים המטפלים. כמו כן יש לבחון את ההחלטות לחסום כתובת דואר אלקטרוני גם מההיבט המשפטי לפני ביצוען ולא בדיעבד. נמצא כי רק במועד סיום הביקורת פורסם ללקוחות ממשל זמין מסמך אמנת שירות, הכולל מענה לתקלות, מענה לפניות שוטפות והתחייבות על רמת זמינות, כפי שדרשה ועדת ההיגוי של ממשל זמין. משרד מבקר המדינה מעיר לממשל זמין, כי לפי האיומים והתקיפות שחווה ממשל זמין, ולנוכח המסקנות שעלו בדיונים השונים שקוימו בנושא, מן הראוי שיוקם DRP ממשלתי, שייתן מענה אמיתי ומלא בעת חירום. התברר כי סקר זה על ממצאיו לא נדון בוועדת ההיגוי של ממשל זמין, ולא נעשתה כל בדיקה חוזרת לתיקון הליקויים. לדעת משרד מבקר המדינה, יש לנקוט פעולות זהירות ולהימנע מחיבור המחשב פעם לרשת האינטרנט ופעם לרשת תהיל"ה כדי להפחית סיכונים להחדרת וירוסים. יתרה מזאת, האירוע האמור מדגיש את החשיבות בקיומו של קובץ נהלים וסטנדרדים שעל הלקוחות למלא בעת שהם מתארחים בתהיל"ה, ומעלה את הצורך בהדרכתם של כל הנוגעים בדבר בעניין הנהלים וסטנדרדים אלה. .הביקורת העלתה כי לממשל זמין אין הסכם עם אף לא אחד מלקוחותיו, שלהם מאגר מידע כהגדרתו בחוק הגנת הפרטיות, המגדיר מי הם מורשי הגישה למאגרי המידע שלהם כנדרש בחוק הגנת הפרטיות. ממשל זמין גם לא מסר דיווח שנתי לרשות למשפט, טכנולוגיה ומידע שבמשרד המשפטים כנדרש בחוק זה, בתוקף היותו מחזיק במאגרים של בעלים שונים. משרד מבקר המדינה מעיר ל הנהלת ממשל זמין , כי עלי ה לקיים את הוראות חוק הגנת הפרטיות ותקנותיו בכל מאגרי המידע ש ממשל זמין מחזיק בהם; למשל, שרת הטפסים שבו מאגרי מידע של משרדי הממשלה השונים, המכילים מידע רגיש על אזרחים. בדצמבר 2011 הוקמהבממשל זמין ועדת היגוי לנושא DRP, והיא התכנסה פעמיים בלבד, בדצמבר 2011 ובינואר 2012 , ומאז לא התכנסה עוד. במועד סיום ה ביקורת פועל בנושא ההיערכות לחירום צוות עבודה המורכב מנציגי יחידות ב משרד ה אוצר במסגרת יחידת התקשוב הממשלתי. כמו כן עד מועד סיום הביקורת לא מונה יועץ לליווי, לתכנון ולהקמת מערך DRP. הביקורת העלתה כי עד מו עד סיום הביקורת לא הוכנה כל תכנית להמשכיות עסקית בממשל זמין. רק בנובמבר 2012 מינתה הנהלת ממשל זמין בעל תפקיד האחראי להיערכות להמשכיות עסקית. הביקורת העלתה כי מנהל אבטחת מידע בממשל זמין אינו מקיים את כל הוראות הנוהל. לדוגמה, הוא לא גיבש תכנית הדרכה כוללת להגברת מודעות העובדים בכל ההיבטים הנוגעים לאבטחת מידע; לא נמצא תיק ייעודי ובו מתויקים תכנית העבודה השנתית להגברת המודעות וטופס המעקב; נושא נוהלי אבטחת מידע אינו מופיע במצגות של הדרכות העובדים; ומנהל אבטחת מידע אינו מעודכן בנוגע לעובדים חדשים בממשל זמין, וממילא אין הם מקבלים את ההדרכה הנדרשת לפני קבלת הרשאות גישה. מנהלת האגף מסרה לצוות הביקורת, כי לפי דרישת משרד המשפטים קיימת אפשרות לאחזר עותק הטופס ואישור תשלום עד 48 שעות לאחר הרכישה המקוונת. אולם היא לא מצאה מסמכים המעידים על דרישה זו. משרד מבקר המדינה מעיר להנהלת ממשל זמין על כך, שבמשך כמעט שנה לא נפגשו נציגי ה עם נציגי מ שרד המשפטים כדי למצוא פתרון לבעיה זו, וזאת לנוכח החשד לחדירה המאפשרת לשלוף העתקי טפסים ללא תשלום ולנוכח הניסיונות להתקשר עם מזמיני הטופס המקוריים, כפי שבוצעו בספטמבר 2011 . כמו כן, מן הראוי שיהיו בידי ממשל זמין כל המסמכים הנוגעים לכל דרישות לקוחותיו משירות הפקת האישורים . לדעת משרד מבקר המדינה, יש מקום כי אירוע זה יידון בוועדת ההיגוי לאבטחת מידע ויופקו הלקחים המקצועיים מהמקרה. לדעת משרד מבקר המדינה, מן הראוי ש הנהלת ממשל זמין תקבע מתכונת דיווח לג ופים המתארחים בתהיל"ה על ניסיונות חדירה לאתריהם. עוד מוצע כי בנוהל שייקבע יפורטו, בין היתר, הפעולות שעל המשרד המתארח בתהיל"ה לבצע בעקבות קבלת הדיווח , וכן הגורמים שהוא נדרש לדווח להם על הפעולות שעשה ועל תוצאותיהן. נמצא כי נכון למועד סיום הביקורת, ביולי 2012, לא קבע מנהל אבטחת מידע את רמת האבטחה הנדרשת לכל סיווג של מידע המצוי ברשות ממשל זמין. נמצא כי מנהל אבטחת מידע לא הגדיר את האמצעים ואת התהליכים לטיפול באבטחת רשומות. נמצא כי במאי 2005 "הוכן נוהל "ממשק עסקי , אך הוא אינו מיושם. לדוגמה, מנהל אבטחת מידע לא התווה את התהליכים ואת שיטות הטיפול בממשקים עסקיים הפועלים בממשל זמין. נמצא כי מנהל אבטחת מידע לא התווה את רמת האבטחה הלוגית לרכיבים השונים של מערכות המחשוב והתקשורת. נמצא כי לא נקבעו נהלים המתווים את אופן ביצוע השינויים בנתונים, בתכנה ובחמרה, ולא נקבע מי אחראי לקביעתם. נמצא כי מנהל אבטחת מידע לא הגדיר למשתמשים הרשאות גישה לפרטי מידע הדרושים להם לביצוע עבודתם, וממילא לא שיתף בכך את בעלי המידע. עוד נמצא כי את הרשאות הגישה למשתמשים נותן מנהל המערכת ( סיסטם) ולא מנהל אבטחת מידע, וזאת שלא על פי נוהל מדיניות אבטחת מידע. נמצא כי לא נקבעה תכנית ביקורת שנתית כפי שנקבע בנוהל וכי מנהל אבטחת מידע אינו עורך ביקורת על הפעילויות ה נערכות במידע. .משרד מבקר המדינה מעיר להנהלת ממשל זמין, כי אם היא סבורה שוועדת ההיגוי שמונתה לפי הנחיות רא"ם מייתרת את הצורך בוועדת ההיגוי שאמורה לקום מכוחו של נוהל מדיניות אבטחת מידע ומקיפה את כלל פעילותה, עליה לפעול לשינוי הנוהל או לביטולו. נמצא כי בנוהל לא פורט מהם אירועי אבטחת מידע חריגים בעלי השלכות על אבטחת המידע ולא הוגדר ו אופן רישומם, הדיווח עליהם ואופן התגובה הנדרש. נמצא כי למרות זאת מנהל אבטחת מידע בממשל זמין כפוף מהבחינה המקצועית ומהבחינה המינהלית ישירות למנהל ממשל זמין. כפיפות זו עלולה לפגום באי-תלותו, מפני שמתוקף תפקידו הוא נדרש לבקר חלק מפעילות מערכות המידע של הארגון המצויות בסמכותו ובניהולו של מנהל ממשל זמין. לדעת משרד מבקר המדינה, אין להכפיף את מנהל אבטחת מידע בממשל זמין באופן שיפגע בעיקרון אי-התלות שלו. בהתייחס לתגובת הנהלת ממשל זמין מעיר משרד מבקר המדינה, כי מן הראוי שממונה אבטחת מידע לא יוכפף מהבחינה המינהלית , או מכל בחינה אחרת, לממונה על התקשוב הממשלתי, בשל חשש לניגוד עניינים. .אבטחת מידע היא אבן יסוד בפעילותו של ממשל זמין , ומשום כך עליו להעלות את הנושא לר אש סדר עדיפויותיו. כספק העיקרי של תשתיות מחשוב ושל שירותי מחשוב למשרדי ממשלה ולגופים ציבוריים, נדרש ממשל זמין לקיים פעילות מלאה ושוטפת בתחום אבטחת המידע במטרה למנוע פגיעה בזמינות המידע הממשלתי לציבור. ממצאיו של דוח זה מלמדים על כך שממשל זמין לא יישם בהיבטים שונים הוראות ונהלים בתחום אבטחת המידע ובכך גדלה רמת הסיכון לפגיעה בתשתיות המחשוב ובשירותי המחשוב למשרדי ממשלה וגופים ציבוריים. לנוכח הליקויים שהועלו בדוח נדרש ת הנהלת ממשל זמין לנקוט כמה וכמה פעולות. עלי ה לקבוע את הסיכונים הנשקפים לכל הפרויקטים בממשל זמין ואת רמת הסיכון הנשקפת מכל אחד מהם; אין להכפיף את מנהל אבטחת מידע בממשל זמין באופן שיפגע בעיקרון אי-התלות שלו; יש ליישם תכניות התאוששות מאסון והמשכיות עסקית בכל הנוגע לתשתית המידע הקריטי שלו, ולבדוק ולתרגל במלואן את ישימותן הן מהבחינה הטכנולוגית והן מהבחינ ה האנושית. כמו כן, מומלץ ש ממשל זמין ייקבע קובץ נהלים לגופים הציבוריים המתארחים בו שלפיהם עליהם לפעול. על הנהלת ממשל זמין לבצע את פעולות ההדרכה הדרושות בתחום אבטחת מידע, לרבות הכנת תכנית הדרכה שנתית ומימושה, וכן בקרה על מידת הטמעתן של ההוראות וההנחיות בתחום זה. .לדעת משרד מבקר המדינה, מן הראוי שהנהלת ממשל זמין תיישם את פעולות ההדרכה בתחום אבטחת המידע לפי הקבוע בנוהל מודעות לנושאי אבטחת איכות ומידע, לרבות גיבוש תכנית הדרכה שנתית. כמו כן, על מנהל אבטחת מידע להקפיד ולנהל באופן קבוע את רישום ההדרכות כנדרש בנוהל, וזאת לצורך ניהול מערך ההדרכה ומעקב אחריו. משרד מבקר המדינה העלה , כי מנור"ה הופעלה במרץ 2010 למרות הימצאותן של בעיות במערכת בתחום אבטחת המידע. אישור זמני להפעלת המערכת, שנתן מנהל אבטחת מידע כשנה וחצי לאחר שהמערכת הופעלה ולאחר שנוהלו בה תשעה מכרזים - ניתן אף על פי שלא כל הבעיות במערכת טופלו. משרד מבקר המדינה מעיר להנהלת ממשל זמין, כי על יה להקפיד על ביצוע בדיקות מעשיות של תיקון הליקויים. כמו כן על מנהל אבטחת מידע להעניק את אישור אבטחת המידע להכנסת כל פרויקט בממשל זמין לשלב הייצור, רק לאחר בדיקה שכל סיכוני אבטחת המידע הוסרו. לדעת משרד מבקר המדינה, על הנהלת ממשל זמין להכין תכניות התאוששות מאסון והמשכיות עסקית לתשתית המידע הקריטי של ה, לקיים במלואם תרגילים לישימותן, הן מהבחינה הטכנולוגית והן מהבחינה האנושית, לתחקר אותם ולהפיק מהם לקחים. כמו כן, על בעל התפקיד , שמונה לנושא התאוששות מאסון בממשל זמין , להכין מסמך אסטרטגי לנושא, שיתוקף בוועדת ההיגוי ויעוגן כנוהל, כפי שנקבע במסמך מדיניות אבטחת מידע. הביקורת העלתה , כי לאחר ביצוע התחקיר, באוקטובר 2009 , המשי ך הגורם הממלכתי להופיע בדוחות השבועיים של תהיל"ה, ובכמה מהם אף במקום הראשון, בכל הנוגע לכמות הניסיונות של תכנות זדוניות להתקשר עם יוצרן. עוד הועלה כי עד מועד סיום הביקורת עדיין לא הותקנו במערכת המחשוב של אותו גורם מערכות "הלבנה "28 להתקני אחסון ניידים, אף שכבר הומלץ בתחקיר להגביל את השימוש בהתקנ י אחסון ניידים רק לאחר הלבנתם. הביקורת העלתה כי למעט סיכום ישיבה אחת בנושא סקר הנהלה, שהתקיימה בנובמבר 2010 , לא נמצאו מסמכים המעידים על קיום סקרי הנהלה בשנים 2009 -2012 . כמו כן לא נמצאו מסמכים המעידים על כך שההחלטות שהתקבלו בסקר ההנהלה מנובמבר 2010 והיו אמורות להתבצע עד סוף 2011, אכן יושמו. עוד הועלה, כי לא נערך מבדק בשנת 2010 לשנת 2009. לדעת משרד מבקר המדינה, מן הראוי שהממונה על התקשוב הממשלתי תבחן לאמץ את נוהל המסגרת כנוהל מחייב לאבטחת מידע במשרדי הממשלה. הביקורת העלתה כי על נוהלי אבטחת המידע, שהוכנו בעקבות הטמעת תקן 27001 בממשל זמין, מופיע שמו של סגן מנהל ממשל זמין כמאשר הנוהל, אך ללא חתימתו. עוד הועלה כי בכל הנהלים שנכתבו לא נרשם מתי ייכנסו לתוקף, ולחלקם אף לא נמצאו מסמכים המעידים על ניהול מהדורות.
. .משרד מבקר המדינה בדק את תיקון הליקויים שהועלו בדוח רא"ם הביקורת העלתה כי כמה מהליקויים, שהיה צריך לתקנם עד סוף שנת 2011 , טופלו חלקית בלבד או לא טופלו כלל. לדוגמה, בדיקות להתאמה ולסיווג של העובדים טרם הושלמו; מסמך מדיניות אבטחת המידע טרם עודכן באופן שיכלול את כל המערכות והרשתות בתהיל"ה; והגדרת הגבלת גישה בערכות שליטה ובקרה נעשתה באופן חלקי בלבד. עוד עלה כי יש חריגות מלוחות הזמנים שנקבעו בתכנית ההטמעה. למשל, במועד סיום הביקורת, ביולי 2012 , עדיין לא קיים ממשל זמין את הפעילויות הנכללות בתכנית ההטמעה שנקבעו לביצוע עד סוף ינואר 2012, ובכלל זה: לאנערך תרגיל חירום, וממילא לא הופקו ממנו לקחים, ולא נערך במלואו מיפוי המערכות הקריטיות. כמו כן נמצא , כי כמה מהפעילויות נעשו באופן חלקי בלבד: כתיבתו והפצתו של מסמך מדיניות אבטחת תשתית מידע קריטי נמצא בשלב טיוטה לאחר הערות.