משרד האוצר . ניהול אבטחת מידע ושרידות של תשתיות אינטרנט ומחשוב עבור משרדי ממשלה משרד מבקר המדינה העלה, כי הנהלת ממשל זמין לא הגדירה את הסיכונים ו את רמתם לגבי חלק מ הפרויקטים ותתי -הפרויקטים בממשל זמין. מומלץ שהנהלת ממשל זמין תשלים את עדכונו של הנוהל האמור, ותקבע את הסיכונים ו את רמתם לכל אחד מן הפרויקטים ותת י- הפרויקטים בממשל זמין. הביקורת העלתה כי רק בדצמבר 2010 , כחמש שנים לאחר פרסום נוהל מדיניות אבטחת המידע, מונתה ועדת היגוי לאבטחת מידע בממשל זמין, והרכבה לא תאם את ההרכב שנקבע בנוהל. נמצא כי ועדת ההיגוי לא התכנסה מאז מינויה בשנת 2010 . כמו כן חלק מחבריה התחלפו ולא מונו תחתיהם חברי ועדה אחרים. מאחר שהוועדה לא התכנסה כלל, היא ממילא לא מילאה את תפקידה כנדרש בנוהל. הביקורת העלתה, כי במועד חסימת גישת כתובת האינטרנט של חברה ג' לשרתי ממשל זמין לא היה נוהל לטיפול במתקפות מן הסוג של מניעת שירות. במאי 2012 פרסמה מחלקת אבטחת מידע טיוטת נוהל תפעולי שכותרתו "פעולות לביצוע בעת מתקפת מניעת שירות" . התברר שעד למועד סיום הביקורת לא אישרו לא מנהל אבטחת מידע ולא ועדת ההיגוי לאבטחת מידע את טיוטת הנוהל. עולה אפוא, כי למרות ההוראות המחייבות שנקבעו בנושא תכנית שיקום מאסון, ואף שכבר משנת 2008 קיים אתר חלופי ותכנית מפורטת להפעלת מערך השיקום מאסון ( DRP) ונקבעה תדירות התרגול הנדרשת, לאנערכו התרגילים כנדרש. הביקורת העלתה, כי הנהלת ממשל זמין לא תיקנה את הליקויים האמורים שהועלו בדוח של רא"ם. משרד מבקר המדינה מעיר להנהלת ממשל זמין, כי יש לתקן את הליקויים ולערוך בקרת שינויים וגרסאות באתר החלופי. הביקורת העלתה , כי עד מועד סיום הביקורת לא פורסם מכרז מרכזי לפרויקט DRP .ממשלתיכמו כן מכך לא יושם לוח הזמנים שנקבע ליישום תכנית DRP ,שעל-פיו היה הפרויקט א מור להיות מושלם עד אפריל 2012 , .וגם לא נקבע מועד חדש להשלמתו הביקורת העלתה, כי אין בממשל זמין נוהל לטיפול בהתקפות מסוג זה, ואף לא מוגדרת מהי הכמות הסבירה למשלוח דואר אלקטרוני מכתובת אינטרנט בפרק זמן נתון. עוד עלה , כי בשני המקרים שנחסמו כתובות אינטרנט לא ניתן ייעוץ משפטי לפני ביצוע החסימה, ולא התקבלה כל התייחסות בכתב מהייעוץ המשפטי לפנייתה של מנהלת צוות החירום. כמו כן, אירועים אלה לא הובאו אל שולחנה של ועדת ההיגוי, ולא נכתב עליהם דוח מסכם כנדרש בנוהל מדיניות אבטחת מידע. .לדעת משרד מבקר המדינה, על מנהל אבטחת מידע ועל ועדת ההיגוי לכתוב ולתקף נוהלי אבטחת מידע תפעוליים לטיפול במצבי חירום היכולים להתרחש בממשל זמין, וכפי שכבר החלו לעשות. בנהלים יש להגדיר, בין ה שאר, את הסיכונים מהתקפות שונות ואת דרכי ההתמודדות עמם, ולקבוע הוראות ביצוע לצוותים המטפלים. כמו כן יש לבחון את ההחלטות לחסום כתובת דואר אלקטרוני גם מההיבט המשפטי לפני ביצוען ולא בדיעבד. נמצא כי רק במועד סיום הביקורת פורסם ללקוחות ממשל זמין מסמך אמנת שירות, הכולל מענה לתקלות, מענה לפניות שוטפות והתחייבות על רמת זמינות, כפי שדרשה ועדת ההיגוי של ממשל זמין. משרד מבקר המדינה מעיר לממשל זמין, כי לפי האיומים והתקיפות שחווה ממשל זמין, ולנוכח המסקנות שעלו בדיונים השונים שקוימו בנושא, מן הראוי שיוקם DRP ממשלתי, שייתן מענה אמיתי ומלא בעת חירום. התברר כי סקר זה על ממצאיו לא נדון בוועדת ההיגוי של ממשל זמין, ולא נעשתה כל בדיקה חוזרת לתיקון הליקויים. לדעת משרד מבקר המדינה, יש לנקוט פעולות זהירות ולהימנע מחיבור המחשב פעם לרשת האינטרנט ופעם לרשת תהיל"ה כדי להפחית סיכונים להחדרת וירוסים. יתרה מזאת, האירוע האמור מדגיש את החשיבות בקיומו של קובץ נהלים וסטנדרדים שעל הלקוחות למלא בעת שהם מתארחים בתהיל"ה, ומעלה את הצורך בהדרכתם של כל הנוגעים בדבר בעניין הנהלים וסטנדרדים אלה. .הביקורת העלתה כי לממשל זמין אין הסכם עם אף לא אחד מלקוחותיו, שלהם מאגר מידע כהגדרתו בחוק הגנת הפרטיות, המגדיר מי הם מורשי הגישה למאגרי המידע שלהם כנדרש בחוק הגנת הפרטיות. ממשל זמין גם לא מסר דיווח שנתי לרשות למשפט, טכנולוגיה ומידע שבמשרד המשפטים כנדרש בחוק זה, בתוקף היותו מחזיק במאגרים של בעלים שונים. משרד מבקר המדינה מעיר ל הנהלת ממשל זמין , כי עלי ה לקיים את הוראות חוק הגנת הפרטיות ותקנותיו בכל מאגרי המידע ש ממשל זמין מחזיק בהם; למשל, שרת הטפסים שבו מאגרי מידע של משרדי הממשלה השונים, המכילים מידע רגיש על אזרחים. בדצמבר 2011 הוקמהבממשל זמין ועדת היגוי לנושא DRP, והיא התכנסה פעמיים בלבד, בדצמבר 2011 ובינואר 2012 , ומאז לא התכנסה עוד. במועד סיום ה ביקורת פועל בנושא ההיערכות לחירום צוות עבודה המורכב מנציגי יחידות ב משרד ה אוצר במסגרת יחידת התקשוב הממשלתי. כמו כן עד מועד סיום הביקורת לא מונה יועץ לליווי, לתכנון ולהקמת מערך DRP. הביקורת העלתה כי עד מו עד סיום הביקורת לא הוכנה כל תכנית להמשכיות עסקית בממשל זמין. רק בנובמבר 2012 מינתה הנהלת ממשל זמין בעל תפקיד האחראי להיערכות להמשכיות עסקית. הביקורת העלתה כי מנהל אבטחת מידע בממשל זמין אינו מקיים את כל הוראות הנוהל. לדוגמה, הוא לא גיבש תכנית הדרכה כוללת להגברת מודעות העובדים בכל ההיבטים הנוגעים לאבטחת מידע; לא נמצא תיק ייעודי ובו מתויקים תכנית העבודה השנתית להגברת המודעות וטופס המעקב; נושא נוהלי אבטחת מידע אינו מופיע במצגות של הדרכות העובדים; ומנהל אבטחת מידע אינו מעודכן בנוגע לעובדים חדשים בממשל זמין, וממילא אין הם מקבלים את ההדרכה הנדרשת לפני קבלת הרשאות גישה. מנהלת האגף מסרה לצוות הביקורת, כי לפי דרישת משרד המשפטים קיימת אפשרות לאחזר עותק הטופס ואישור תשלום עד 48 שעות לאחר הרכישה המקוונת. אולם היא לא מצאה מסמכים המעידים על דרישה זו. משרד מבקר המדינה מעיר להנהלת ממשל זמין על כך, שבמשך כמעט שנה לא נפגשו נציגי ה עם נציגי מ שרד המשפטים כדי למצוא פתרון לבעיה זו, וזאת לנוכח החשד לחדירה המאפשרת לשלוף העתקי טפסים ללא תשלום ולנוכח הניסיונות להתקשר עם מזמיני הטופס המקוריים, כפי שבוצעו בספטמבר 2011 . כמו כן, מן הראוי שיהיו בידי ממשל זמין כל המסמכים הנוגעים לכל דרישות לקוחותיו משירות הפקת האישורים . לדעת משרד מבקר המדינה, יש מקום כי אירוע זה יידון בוועדת ההיגוי לאבטחת מידע ויופקו הלקחים המקצועיים מהמקרה. לדעת משרד מבקר המדינה, מן הראוי ש הנהלת ממשל זמין תקבע מתכונת דיווח לג ופים המתארחים בתהיל"ה על ניסיונות חדירה לאתריהם. עוד מוצע כי בנוהל שייקבע יפורטו, בין היתר, הפעולות שעל המשרד המתארח בתהיל"ה לבצע בעקבות קבלת הדיווח , וכן הגורמים שהוא נדרש לדווח להם על הפעולות שעשה ועל תוצאותיהן. נמצא כי נכון למועד סיום הביקורת, ביולי 2012, לא קבע מנהל אבטחת מידע את רמת האבטחה הנדרשת לכל סיווג של מידע המצוי ברשות ממשל זמין. נמצא כי מנהל אבטחת מידע לא הגדיר את האמצעים ואת התהליכים לטיפול באבטחת רשומות. נמצא כי במאי 2005 "הוכן נוהל "ממשק עסקי , אך הוא אינו מיושם. לדוגמה, מנהל אבטחת מידע לא התווה את התהליכים ואת שיטות הטיפול בממשקים עסקיים הפועלים בממשל זמין. נמצא כי מנהל אבטחת מידע לא התווה את רמת האבטחה הלוגית לרכיבים השונים של מערכות המחשוב והתקשורת. נמצא כי לא נקבעו נהלים המתווים את אופן ביצוע השינויים בנתונים, בתכנה ובחמרה, ולא נקבע מי אחראי לקביעתם. נמצא כי מנהל אבטחת מידע לא הגדיר למשתמשים הרשאות גישה לפרטי מידע הדרושים להם לביצוע עבודתם, וממילא לא שיתף בכך את בעלי המידע. עוד נמצא כי את הרשאות הגישה למשתמשים נותן מנהל המערכת ( סיסטם) ולא מנהל אבטחת מידע, וזאת שלא על פי נוהל מדיניות אבטחת מידע. נמצא כי לא נקבעה תכנית ביקורת שנתית כפי שנקבע בנוהל וכי מנהל אבטחת מידע אינו עורך ביקורת על הפעילויות ה נערכות במידע. .משרד מבקר המדינה מעיר להנהלת ממשל זמין, כי אם היא סבורה שוועדת ההיגוי שמונתה לפי הנחיות רא"ם מייתרת את הצורך בוועדת ההיגוי שאמורה לקום מכוחו של נוהל מדיניות אבטחת מידע ומקיפה את כלל פעילותה, עליה לפעול לשינוי הנוהל או לביטולו. נמצא כי בנוהל לא פורט מהם אירועי אבטחת מידע חריגים בעלי השלכות על אבטחת המידע ולא הוגדר ו אופן רישומם, הדיווח עליהם ואופן התגובה הנדרש. נמצא כי למרות זאת מנהל אבטחת מידע בממשל זמין כפוף מהבחינה המקצועית ומהבחינה המינהלית ישירות למנהל ממשל זמין. כפיפות זו עלולה לפגום באי-תלותו, מפני שמתוקף תפקידו הוא נדרש לבקר חלק מפעילות מערכות המידע של הארגון המצויות בסמכותו ובניהולו של מנהל ממשל זמין. לדעת משרד מבקר המדינה, אין להכפיף את מנהל אבטחת מידע בממשל זמין באופן שיפגע בעיקרון אי-התלות שלו. בהתייחס לתגובת הנהלת ממשל זמין מעיר משרד מבקר המדינה, כי מן הראוי שממונה אבטחת מידע לא יוכפף מהבחינה המינהלית , או מכל בחינה אחרת, לממונה על התקשוב הממשלתי, בשל חשש לניגוד עניינים.
.אבטחת מידע היא אבן יסוד בפעילותו של ממשל זמין , ומשום כך עליו להעלות את הנושא לר אש סדר עדיפויותיו. כספק העיקרי של תשתיות מחשוב ושל שירותי מחשוב למשרדי ממשלה ולגופים ציבוריים, נדרש ממשל זמין לקיים פעילות מלאה ושוטפת בתחום אבטחת המידע במטרה למנוע פגיעה בזמינות המידע הממשלתי לציבור. ממצאיו של דוח זה מלמדים על כך שממשל זמין לא יישם בהיבטים שונים הוראות ונהלים בתחום אבטחת המידע ובכך גדלה רמת הסיכון לפגיעה בתשתיות המחשוב ובשירותי המחשוב למשרדי ממשלה וגופים ציבוריים. לנוכח הליקויים שהועלו בדוח נדרש ת הנהלת ממשל זמין לנקוט כמה וכמה פעולות. עלי ה לקבוע את הסיכונים הנשקפים לכל הפרויקטים בממשל זמין ואת רמת הסיכון הנשקפת מכל אחד מהם; אין להכפיף את מנהל אבטחת מידע בממשל זמין באופן שיפגע בעיקרון אי-התלות שלו; יש ליישם תכניות התאוששות מאסון והמשכיות עסקית בכל הנוגע לתשתית המידע הקריטי שלו, ולבדוק ולתרגל במלואן את ישימותן הן מהבחינה הטכנולוגית והן מהבחינ ה האנושית. כמו כן, מומלץ ש ממשל זמין ייקבע קובץ נהלים לגופים הציבוריים המתארחים בו שלפיהם עליהם לפעול. על הנהלת ממשל זמין לבצע את פעולות ההדרכה הדרושות בתחום אבטחת מידע, לרבות הכנת תכנית הדרכה שנתית ומימושה, וכן בקרה על מידת הטמעתן של ההוראות וההנחיות בתחום זה.