דוח ביקורת מיוחד . הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות בביקורת עלה כי משרד החינוך והחברה החיצונית לא גיבשו נוהל להקשחת שרתים .במערך המרב"ד כפי שהומלץ בתורת ההגנה בסייבר לארגון. .בסקר הסיכונים שביצעה החברה החיצונית ביוני 2021 בנוגע לרשת ג' (להלן - סקר .סיכונים לרשת ג') נמצא, כי עמדות הקצה אינן מוקשחות מספיק וקבוצת מנהלי הדומיין .רחבה מדי. .בביקורת עלה כי המשרד והחברה החיצונית לא קבעו נוהל הנוגע לגיבוי ולשחזור של .מערכת ד', ולא קבעו תוכנית המשכיות עסקית - BCP לפעילותמערך המרב "ד. עוד עלה .כי עותק של הגיבויים נשמר ללא הצפנה ברשת א' וכן ברשת ג'. החברה החיצונית מסרה .לצוות הביקורת כי בשנת 2021 .'בוצע תרגיל שחזור מגיבוי למערכת ד .על משרד החינוך לקבוע נהלים לנושא הגיבוי והשחזור ולנושא ההמשכיות העסקית - BCP .במרב"ד, ועל המשרד לוודא כי החברות המפעילות את מערך המרב"ד עבורו פועלות .לפיהם ולפי הנחיות יה"ב. . בביקורת עלה כימשרד החינוך והחברה החיצונית אינם מנהלים את מערך המחשבים .האישיים הפרטיים של המעריכים שדרכם מתחברים למערכת ד' , וכי החיבור שלהם .מאובטח חלקית. .על משרד החינוך לפעול על פי מתכונת עבודה שנקבעה בהנחיית יה"ב, ובכלל זה לדרוש .מהחברות המפעילות את מערך המרב"ד עבורו למנוע אפשרות לגלישה חופשית לא .מאובטחת במרשתת בעת החיבור למערכת ד'. .אשר להעברת קבצים אלו באותם ממשקים, עלה כלהלן: .• הקבצים נקלטים במערכת ד' בלא שנבדקו באמצעות תוכנות הלבנה לצורך זיהוי .פגיעות מסוימת. .יצוין כי במהלך הביקורת מסר משרד החינוך לצוות הביקורת כי הוא החל להטמיע מערכת .הלבנה ברשת ב' של המשרד, וכי התהליך נמצא בשלב בדיקות מקדימות שלפני התקנת .המערכת ברשת ג'. .• אף שהתקנות מחייבות הצפנה של מידע המועבר ברשת הציבורית או במרשתת, בפועל .רק אחד הקבצים מועבר בממשקים כשהוא מוצפן . שאר הקבצים (כ-33 ) מועברים .כשהם אינם בעלי דרישת הגנה מסוימת. .• כל הקבצים שיש בהם מידע רגיש מועברים ממערכת ד ' למשרד החינוך באמצעות .הכספות הווירטואליות, אולם יש קבצים כאמור המכילים מידע רגיש שמועברים .ממשרד החינוך למערך המרב"ד בדואר האלקטר וני של משרד החינוך, והדבר שמעלה .את הסיכון לדלף מידע רגיש ולפגיעה בפרטיות. .• קובץ מסוים המכיל מידע רפואי רגיש על תלמידים מועבר מספק חיצוני למשרד .החינוך, ומשם למערכת ד ' במערך המרב "ד בדואר האלקטרוני הציבורי , שאינו של .משרד החינוך, וזאת בלי שהוצפן. .כדי לצמצם את הסיכון הכרוך בהעברת קובץ שיש בו סיכון לפגיעה מסוימת לרשת ג' .ולמערכת ד', מומלץ שמשרד החינוך ישלים את ההטמעה של מערכת הלבנה ברשת א ' .וברשת ג'. בכל הנוגע להעברת מידע רגיש בין מערכותיו לבין מערכות חיצוניות - על משרד .החינוך להתקין אמצעי הגנה מסוימות וכן לפעול להגנה על המידע המועבר בממשקים .אלו בהתאם לתקנות הגנת הפרטיות אבטחת מידע. מומלץ כי המשרד יפסיק להעביר את .הקובץ שמכיל מידע רגיש על תלמידים ברשת הציבורית כשאינו בעל דרישת הגנה מסוימת .ויפעל לכך שקבצים שיש בהם מידע רגיש יועברו באמצעות פתרון מאובטח כגון כספות .וירטואליות. עלה, כי משרד החינוך, לא ביצע סקר סיכונים בנוגע לרשת ג' או מבדק חדירות למערכת .ד' בשלוש השנים שקדמו למאי 2021 , בין בעצמו, ובין באמצעות חברות המפעילות את .מערך המרב"ד עבורו. וכי במהלך הביקורת ובעקבותיה, במאי 2021 , ביצעה החברה .החיצונית 36 , מבדק חדירות לאתרים החיצוניים ולסביבה ו' (להלן - מבדק חדירות סביבה .ו'), כמו כן, ביוני 2021 , היא ביצעה סקרסיכונים לרשת ג'. .במבדק החדירות סביבה ו' משנת 2021 נמצא שהסיכון לפגיעה באתרים החיצוניים .ולעקיפת מנגנוני ההגנה וההפרדה הפנימיים היה קטן. עם זאת, עלו חמישה ממצאים .שכללו: ממצא קריטי אחד; ממצא ברמת חומרה גבוהה; וממצא ברמת חומרה בינונית. .מממצאי סקר הסיכונים רשת ג' משנת 2021 עלה שנשקף סיכון גבוה לרשת, שכן13 מ- .21 הממצאים שעלו היו ברמת חומרה גבוהה, ושישה ברמת חומרה בינונית. למשל: כללי .רכיב אבטחת מידע מסוים אינם מוקשחים דיים; קבוצות מינהלני רשת ( Admins ) היו .מתירניות מדי; בחלק מעמדות הקצה אין מערכת אנטי-וירוס מעודכ נת; וגרסאות מערכות .מסוימות אינן מעודכנות. .מומלץ שמשרד החינוך ידרוש שסקר הסיכונים והמבדקים יבוצעו במועדים ובתדירות .הנדרשים ועל ידי גורם מקצועי שיהיה בלתי תלוי. עוד מומלץ כי המשרד יוודא כי הממצאים .שעלו בסקר הסיכונים רשת ג' ובמבדק החדירה לסביבה ו' משנת 2021 .יתוקנו .עלה כי שלא בהתאם לתקנות הגנת הפרטיות אבטחת מידע ושלא ב התאם ל הנחיית .המסגרת בנוגע לאמצעי הגנה שיש להתקין כנגד תקיפה ופגיעה במערכות המחוברות .לרשתות חיצוניות, נכון לספטמבר 2021 משרד החינוך לא סרק במערכת הלבנה קבצים .לפני העברתם לסביבה ב'. עוד עלה כי נכון לנובמבר 2021 גםהחברה החיצונית לא סרקה .את אותם קבצים לפני שייבא אותם לסביבה שלו או לפני שקלט אותם במערכת ד '. .יצוין כי במהלך הביקורת מסר משרד החינוך לצוות הביקורת כי הוא ה חל להטמיע מערכת .הלבנה לסריקת קבצים כדי לוודא כי אין בהם סיכון לפגיעה מסוימת לממשקים החיצוניים .שבאמצעותם מועברים קבצים לרשת ב' שלו, וכי התהליך נמצא בשלב הבדיקות .המקדימות הקודמות להתקנת המערכת ברשת ג'. .משרד מבקר המדינה ממליץ למשרד החינוך להשלים את פריסת מערכת ההלבנה בכל .הסביבות, המערכות ותחנות הקצה שבאחריותו, שכן מדובר באמצעי אבטחת מידע בסיסי .וחיוני ביותר. .עלה כי מתוך שבע המשימות שנבדקו והוגדרו ברמת סיכון "קריטית" או "גבוהה" לביצוע .ושהמשרד קבע שיש ליישמן בשנת 2019 , נכון לאוקטובר 2021 , המשרד סיים לטפל .בשלוש משימות באופן מלא, ובארבע משימות הוא טיפל חלקית. .על משרד החינוך להשלים את הפעולות הנדרשות כדי לטפל בממצאים שהועלו בבדיקות .ונקבעו כמשימות בתוכנית העבודה. .עלה כי משרד החינוך לא ביצע תרגילים מסוימים לשחזור מידע ולהתאוששות מאסון .כנדרש בהנחיית יה"ב "גיבוי ושחזור מידע". .על משרד החינוך לבצע תרגילי שחזור תקופתיים בהתאם להנחיות יה"ב, וזאת כדי לבחון .את מידת היערכותו ומוכנותו להתמודדות עם תרחישים אפשריים. מומלץ שהמשרד יקדם .את הטיפול להתאוששות מאסון לכלל מערכותיו, לרבות למערכת ג', ויבצע הצפנה של .המידע כנדרש. .עלה בביקורת כי, שלוש שנים לאחר כניסת תקנות הגנת הפרטיות אבטחת מידע לתוקף .(במאי 2018 ,) משרד החינוך גיבש את מסמכי מבנה המאגר, את הגדרות המאגר ואת .רשימת המצאי עבור חמישה (כ-10%) מ-50 מאגרי המידע שרשומים בפנקס רשם מאגרי .מידע. .ממצאי בדיקת תיק המאגר "תלמידים" 23, שמסר משרד החינוך לצוות הביקורת, העלו כי .מסמך הגדרות המאגר אינו מעודכן בכל הנוגע לזהות ממונה אבטחת המידע, וכי רשימת .המצאי אינה מלאה, למשל, לא מתועדים בה תוכנות וממשקי תקשורת עם מערכות .המאגר. .על משרד החינוך לפעול על פי תקנות הגנת הפרטיות אבטחת מידע ולהשלים לגבי כלל .מאגרי המידע שהוא מנהל או מחזיק את גיבוש המסמכים העוסקים בהגדרות המאגר .ובמבנה המאגר ואת גיבוש רשימת המצאי לכלל מאגרי המידע שהוא מנהל או מחזיק. כמו .כן על משרד החינוך לוודא כי המסמכים והרשומות האמורים שלמים ומעודכנים. . בביקורת עלה כי אף שנכון לדצמבר2021 למשרד החינוך יש הסמכה בתוקף לתקןISO- .27001 , הוא אינו מקיים את כל ההוראות ואת כל הבקרות שמפורטות בתקן, ובפרט לעניין .ביצוע תרגילי שחזור תקופתיים, ו הוא אינו מנהל מסמך הגדרות המאגר, מסמך מבנה .המאגר ורשימת מצאי עבור כל מאגרי המידע שברשותו, ואינו מבצע סקרי סיכונים ומבדקי .חדירות, כנדרש בסעיפי התקנות וכאמור בהנחיה. .מומלץ למשרד החינוך לקדם את התהליך למיפוי מלא ועדכני של כלל מאגרי המידע. .מיפוי זה נדרש לשם קבלת תמונת מצב שלמה של כלל מאגרי המידע ווידוא כי משרד .החינוך עומד בדרישות שנקבעו בתקנות הגנת הפרטיות אבטחת מידע. .על משרד החינוך לפעול לעריכת סקרי הסיכונים ומבדקי חדירה למערכות הליבה שלו .לכל הפחות אחת ל-18 חודשים כנדרש על פי חוק הגנת הפרטיות ותקנותיו, ולבצע סקרי .סיכונים אחת ל-36 חודשים על פי הנחיות יה"ב. אם אלה לא יבוצעו, נשקף סיכון משמעותי .לאי-גילוי סיכונים וחולשות ש ל אבטחת מידע, ובכך להביא לחשיפה מוגברת לפגיעה .בתשתיות המחשוב של המשרד, במערכות המידע ובמאגרי הנתונים שלו, עד כדי שיבושם, .השבתתם וחשיפת הנתונים הפרטיים לגורמים לא מורשים. עלה כי בסוף שנת 2020 פרש סמנכ"ל התקשוב ממשרד החינוך, ומאז ונכון לאוקטובר .2021 .לא מונה לו מחליף כממונה הגנת סייבר במשרד .עוד עלה כי ועדת היגוי סייבר התכנסה לאחרונה ב נובמבר 2019, ומאז ועד לסוף שנת .2021 היא לא התכנסה. עיון בסיכום הדיון של ועדת ההיגוי מנובמבר 2019 מעלה כיבדיון .הוצג סטטוס תכנית העבודה לשנים 2018 - 2019 , נסקרו אירועי אבטחת מידע בשנים 2018 .- 2019 ,וכי הוועדה אישרה את תכנית העבודה לשנת 2020 בהתבסס על סקר הסיכונים .שבוצע. ואולם, לא צוין בסיכום האם הוועדה דנה במרכיבים אחרים שהם בתחום אחריותה .לפי הנחיית המסגרת, ובכלל זה בגיבוש מדדים כמותיים בעניין הגנת הסייבר , אשר .באמצעותם ניתן יהיה לבחון ולמדוד את מידת היישום של הגנה זו בתום כל חציון. .על המשרד להמשיך להקפיד על כינוסה כנדרש של ועדת היגוי סייבר - לכל הפחות פעם .בחציון, ולוודא שהיא תדון בכלל הנושאים המצויים בתחומי אחריותה כפי שנקבע בהנחיית .המסגרת. .עולה כי הנחיית יה"ב המבטאת את החלטת הממשלה 2443 , בנוגע לתקצוב הגנת הסייבר .מתוך תקצוב תחום טכנולוגיית המידע היא כללית, ואינה קובעת אילו מרכיבים נכללי ם .ב"טכנולוגיות המידע" וב"הגנת הסייבר". עלה גם כי יה"ב אינה מנחה את משרד החינוך .בנוגע לאופן יישום הדרישה שנקבעה בהחלטה, ואינה בודקת אם היא יושמה. .עלה כי אף שעדכון של ציוני התלמידים הוא תהליך רגיש ביותר, שלשם ביצועו נדרשים .רמת אמינות גבוהה ותהליך סדור ומבוקר, משרד החינוך לא הסדיר לשם כך נוהל המגדיר .את שלבי התהליך, את הגורמים המעורבים בו, את האחראים לכל שלב ואת הבקרה על .התהליך. בפועל, עלו פערים במנגנוני הניטור והבקר ה של משרד החינוך. המשרד גם לא .מבצע בקרה בדיעבד - הוא לא הסדיר תהליך לקבלת דוח תקופתי קבוע המציג את .הפעולות שבוצעו במערכת והמאתר פעולות החשודות כחריגות. כמו כן, עלו פערים באגף .הבחינות בהיבטי בקרה פנימית. .העברת בקשה לשינוי ציונים בדואר האלקטרוני חשופה לסיכונים מסוימים. משרד מבקר .המדינה ממליץ למשרד החינוך לקבוע נוהל המסדיר את תהליך עדכון הציונים במערכת .ז'. בכלל זה מומלץ שהנוהל יגדיר את הגורמים המעורבים בתהליך עדכון הציונים, את רמת .ההרשאות שלהם ואת הפעולות הרגישות שיש לבצע מעקב קבוע אחריהן. כמו כן, מומלץ .שהנוהל יעסוק בסגירת הפערים הנובעים מהשימוש בדואר האלקטרוני. מומלץ גם .שהמשרד יטמיע את הנוהל הן במשרד והן בקרב מנהלי בתי הספר. .בביקורת עלה כי שרת א' ושרתי ב' אינם מופרדים; הדבר מקנה לעובדים מסוימים גישה .לשרתי ב' אף שלא אמורה להיות להם גישה כזו. עוד עלה כי בשרת א' נשמר עותק של .מסד נתונים מסוים, והוא מונגש למשתמשים מורשים מסוימים ; יוצא כי לאותם משתמשים .יש גישה גם למאגר אף שאינם מורשים לכך. עוד עלה כי הפעולות המתבצעות בשרת א' .אינן מנוטרות. .מומלץ למשרד החינוך לפעול לביצוע הפרדה בין שרת א' לשרתי ב'. מומלץ גם שבשרת .א' לא ייעשה שימוש במסד הנתונים המלא והעדכני של הנתונים. .בביקורת עלה, כי אף שתקנות הגנת הפרטיות נכנסו לתוקפן בשנת 2018 , משרד החינוך .לא פעל להבטיח כי החברה החיצונית תבצע בדיקה באשר לעמידתה בדרישות התקנות, .סקרי סיכונים ומבדקי חדירה במועד, תשתמש רק במוצרים שנתמכים על ידי היצרן, ותהיה .בעלת מערכות אבטחת מידע מסוימות. .מומלץ שמשרד החינוך יפעל להבטיח כי החברות המפ עילות את מערך המרב"ד עבורו, .במסגרת ההתקשרות עמן, יעמדו בכל החובות שחלות עליהן בחוק הגנת הפרטיות .ובתקנות הגנת הפרטיות אבטחת מידע. .בביקורת עלה, שמבדק ההסמכה של החברה החיצונית לעמידה בתקן ISO-27001 לא .כלל את פעילות מערך המרב"ד שהיא מבצעת עבור משרד החינוך. עוד עלה שהחברה .ביצעה את מבדק ההסמכה בהתייחס לסביבת מחשוב שהיא אחרת ונפרדת מזו של סביבת .המחשוב של מערך המרב"ד. .מומלץ כי משרד החינוך יפעל להבטיח כי החברות המפעילות את מערך המרב "ד עבורו, .שהן "ספק מהותי" שלו, יעמדו בתקן 27001-ISO . .צוות הביקורת בדק בחודשים יוני 2021 עד פברואר2022 הפצה לא מורשית של בחינות .בגרות שמתבצעות ביישומון מס וים למסרים מיידיים (להלן - היישומון). בבדיקה נמצאו .שבע קבוצות הפעילות במגזר היהודי ו במגזר הערבי, שבהן התבצעה פעילות הפצה לא .מורשית של שאלונים ושל הפתרונות לשאלונים - למשל קבוצה ובה מעל 12 אלף חברים . .יצוין כי לא נצפה שום מקרה של הדלפת שאלון בחינה לפני המועד המוגדר לפתיחת .הכספות, אלא רק הפצה לא מורשית לאחריו, והדבר הוא בגדר עבירת משמעת לפי חוזר .טוהר הבחינות, המקנה לנבחן זמן לפתרון שאלון הבחינה ולהפצת התשובות בזמן הבחינה .ולעתים אף לפני. .עלה כי בשנים 2018 - 2020 הגיש משרד החינוך ארבע תלונותבלבד במשטרת ישראל .(להלן - המשטרה) בגין עבירת "קבלת דבר במרמה" בעקבות הפצה לא מורשית של .שאלונים או של תשובות של בחינות הבגרות, יצוין באשר לכך כי בשנת 2020 פסל המשרד .למעלה מ- 16,000 מחברות בחינה בשל חשד להפרת טוהר הבחינות. בדצמבר2019 פנה .משרד החינוך למשטרה בכתב בבקשה לפתוח בחקירה בנושא ההונאות במסגרת קיום .בחינות הבגרות. .בנובמבר 2021 דיווחה המשטרה לצוות הביקורת כי שניים מהתיקים נסגרו בעילה של ."עבריין לא נודע", תיק אחד נסגר בעילה של "היעדר עבירה פלילית", ותיק אחד עדיין .נמצא בחקירה. .משרד מבקר המדינה ממליץ למשרד החינוך לשקול לשנות את שיטת הקצאת ההרשאות, .באופן שכל משתמש יקבל גישה לסביבת המחשוב שלה הוא נדרש לצורך מילוי תפקידו .בלבד, וכך לשמור על עקרון "הצורך לדעת". לחלופין, מומלץ שהמשרד ככלל ימנע .מעובדים מסוימים גישה לסביבה ו', זאת על מנת שלא לאפשר שינויים שלא בסביבה ז' .וחשיפ ה למידע שעובדים אלו אינם נדרשים לו. .• ברשימה שבה מתועדות הפעולות האחרונות במערכת ד' נמצאו שלושה משתמשים .שהגדרת תפקידם הייתה "תלמיד", ואולם במערכת לא הוגדר תפקיד כזה; עלה שהם .הוגדרו לצורך ביצוע בדיקות אך בפועל הם אינם נכללים ברשימות ה-AD . .• נמצא כי שני משתמשים שנכללו ברשימה המתעדת את הפעולה האחרונה במערכת .ד' לא נכללו ברשימת המשתמשים ב-AD, וכי הפעולה האחרונה של אחד מהם הוא .משנת 2011 ושל השני- משנת 2016 . הבדיקה העלתה כי אין מדובר במשתמשים בעלי .זהות אמיתית. .• נמצא כי זיהוי מסוים של אחד המשתמשים, ששמו נכלל ברשימה המתעדת פעולה .אחרונה במערכת ד', הופיע ללא ערך (NULL ). עלה כי לחברה החיצונית אין יכולת .להתחקות על הסיבה לכך. .• ברשימה המתעדת את הפעולה אחרונה במערכת ד' נמצאו 18 משתמשים42 שתפקידם .הוגדר כ"סגן מנהל אגף ומנהל מחלקת נבחנים". עלה שאין מדובר במשתמשים בעלי .זהות אמיתית, וכי הם נרשמו במערכת לצורך שימוש בה בעת התכנסות ועדות ערעורים .לעניין טוהר הבחינות. .מהממצאים עולים ליקויים בכל הנוגע לניהול מערך הרשאות המשתמשים: מתן הרשאות .החורגות מהנדרש לתפקיד ושלא על פי עקרון "הצורך לדעת". זיהוי שלעיתים אינו חד- .ערכי של משתמשים ומקרים שבהם עלה חוסר פירוט של הפעילות שבוצעה . עלה כי הפעולות הנעשות במערכת ד' נרשמות ומתועדות בקובצי ה -log , אך הן אינן .מבוקרות ואינן מנוטרות: לא באמצעות מנגנון מסוים ל ניטור ובקרה, כפי שהומלץ בהנחיית .המסגרת, ולא באמצעות מנגנון בקרה אחר . .מומלץ שמשרד החינוך יפעל לשיפור יכולת הניטור והבקרה של מערכת ד', ושינתח בסמוך .ככל הניתן לזמן אמת את קובצי ה-log של המערכת לאיתור של חריגה מהרשאות ושל .ניסיונות תקיפ ה. .על משרד החינוך להטמיע תהליך של בדיקה, סריקה והלבנה של הקבצים באמצעות .מערכת הלבנה בעלת מנגנונים מסוימים לפחות כנדרש בהנחיות יה"ב, לפני העתקתם .לרשת ב', וקודם להעלאתם למערכת ו' ולהפצתם לבתי הספר. .עלו פערים בתחנות קליטה מסוימות הנוגעים להיבטי אבטחה, בקרה וניטור . .משרד מבקר המדינה ממליץ למשרד החינוך לשקול לדרוש מהחברות המפעילות את .מערך המרב"ד עבורו להטמיע את מערכות ההגנה הבקרה והניטור החסרות גם לגבי ציוד .המחשוב שבתחנת הקליטה. .נוכח ממצאי הביקורת, שמהם עולה כי מורשי גישה מעטים מא ו ד משתמשים בהרשאות .שקיבלו - כשני שלישים מהם לא נכנסו למערכת ב' בחמש השנים האחרונות ורק כ-12% . ,נכנסו אליה בשנה האחרונהמומלץ למשרד החינוך לבחון את הסיבות לשיעור הנמוך של .הנכנסים למערכת ואת הצורך לעדכן את רשימת מורשי הגישה למערכת ב' ואת .ההרשאות שניתנו להם ולפעול, בעניין זה, לפי עקרון "הצורך לדעת" - מתן הרשאה .מצומצמת בהתאם להגדרת תפקיד המשתמש. מומלץ גם שהמשרד יבצע אחת לתקופה .בקרת הרשאות בקרב משתמשי מערכת ב', בדגש על שינויים שנעשו במערך ההרשאות, .ובכלל זה ישקול הטמעה של מנגנון אוטומטי לביטול הרשאות כניסה למערכת למי שלא .נכנס אליה במשך תקופה שתוגדר. .בביקורת עלה כי לעובדים מסוימים במרב"ד, שעל פי מהות תפקידם נזקקים להרשאות .גישה לסביבה ז' וה' של מערכת ד': ניתנו הרשאות גישה גם לסביבה ו' הנמצאת ברשת .א'. הרחבת ההרשאות באופן שהן יוחלו על סביבה ו' מקנה לעובדים אלו גישה למערכת .ד', ובכלל זה ל בסיס הנתונים שלה. עוד עלה כי אין בקרה מסוימת על גישת אותם עובדים .לסביבה ו'. יצוין כי גם ממצאי סקר הסיכונים רשת ג' שביצעה החבר ה החיצונית ביוני 2021 . הצביעו עלהרשאות יתר לאותם עובדים , שבגינן מתאפשרת להם גישה חופשית לשרתים. .במסגרת בדיקה מיוחדת שביצע משרד מבקר המדינה במערכת ד' עלה שההתקנה של .צד המשתמש (לקוח - Client ) וצד השרת ( Server) ושבדיקת הרשאות אינן כנדרש בהנחיות .יה"ב. .משרד מבקר המדינה ממליץ למשרד החינוך לגבש נוהל הקשחה לכל סוג מערכת, תחנת .קצה ושרת אשר תואם את תורת ההגנה בסייבר והנחיות יה"ב, לדרוש מחברות המפעילות .את מערך המרב"ד עבורו לפעול לפיו. עוד מומלץ שהמשרד ינקוט אמצעי בקרה ופיקוח .לעניין יישום דרישות ההקשחה. .עוד מומלץ כי משרד החינוך ישלים בחינה של מערך ההרשאות בכדי לוודא, בין היתר, כי .גם למשתמשים שלהם אין הרשאת מנהל ( ADMIN ,) על אותן עמדותאין הרשאת התקנה .שלא לצורך. .עוד עלה בביקורת כי במאי 2021 פנה מנהל אגף הבחינות ללשכת הייעוץ המשפטי במשרד .החינוך כדי לאשר לו לקבל את פרטי התלמידים שמספרי הטלפון שלהם נכללו באותן .קבוצות לעיל, הרשומים במערכות המידע של המשרד. מנהל אגף הבחינות מסר ביולי .2021 למשרד מבקר המדינה כי לשכת הייעוץ המשפטי לא אישרה את בקשתו מטעמי .הגנת הפרטיות. .עלה שנכון למועד סיום הביקורת (מאי 2022 ), קובצי השאלונים, שנשלחים למשרד החינוך .מסביבות מחשוב חיצוניות של הספקים המגבשים את השאלונים, לא נסרקו במערכת .הלבנה שמאתרת אם יש בהם סיכון לפגיעה מסוימת לפני העתקתם לרשת ב' וטעינתם .במערכת ו'. .עלה כי 64% מהמשתמשיםלא נכנסו למערכת במשך תקופה של קרוב לחמש שנים - בין .מרץ 2017 לינואר2022 ; עוד עלה שכניסת19% מהמשתמשים הייתה לכל המאוחר לפני .כשלוש השנים עד חמש שנים (בשנים 2017 - 2019 ) וכירק מקצת המשתמשים (12% . )מהםנכנסו למערכת בין ינואר 2021 עד ינואר2022 . עולה מכך חשש למתן הרשאות .גישה למערכת למי שאינו נדרש להן. .כך למשל עלה כי לארבעה משתמשים ניתנה הרשאה גבוהה לכל פרופילי הרשאות .התפקידים במערכת; אחד מהם הוא עובד של חברה חיצונית שהוגדר ארבע פעמים .במערכת עוד בשנת 2014, בכלפעם עם ערך פיקטיבי שונה בשדה "ישות", ואין תיעוד .לכניסתו האחרונה למערכת. שלושת המשתמשים האחרים הם עובדי מינהל תקשוב .במשרד החינוך, אשר משמשים בתפקידי תמיכה ולכן לא נזקקים להרשאות הגבוהות אלא .להרשאות מוגבלות המתאימות לתפקידם, זאת על פי עקרון "הצורך לדעת" ומינ ימום .הרשאות לצורך ביצוע התפקיד. מהתרשים עולה שהמשרד לא עמד בהנחיה ולפיה יש להקצות לכל הפחות 8% מתקציב .תחום טכנולוגיית המידע עבור הגנת הסייבר - בפועל שיעור התקציב הייעודי שהוקצה לכך .בשנת 2019 היה כ- 5.66% , ובשנת2020 הוא פחת לכ- 5.06% . .על משרד החינוך להקפיד לפעול בהתאם להחלטת הממשלה ולהנחיי ת יה"ב בנוגע .לעמידה בתקציב הייעודי להגנת הסייבר, לקבוע תוכנית עבודה ולגבש מדדים שיאפשרו .עמידה בדרישה זו. מומלץ כי יה"ב תעקוב אחר הקצאת תקציבי הסייבר ומימושם. • משרד החינוך אינו מבקש לקבל אסמכתאות המתעדות את אופן הטיפול בקריאותיו30; .• המשרד אינו דורש לקבל מהחברה קובץ log שיוכל לאפשר לו לבצע בקרה על רשומות .המתעדות את הפעולות במערכות , כנדרש בהנחיית יה"ב בעניין "הגנת התשתיות .הוירטואליות". .• המשרד אינו מבקש לקבל מחברה א' דוח עי תי המפרט את ההגדרות והכללים שנקבעו .לרכיב אבטחת מידע מסוים, שהוא כאמור קריטי להגנת המערכת, או של שאר ציוד .הרשת ואבטחת המידע שבשליטתה, זאת כדי לוודא שההגדרות והכללים בנוגע .לאבטחת המידע עומדים בדרישות המתחייב ות מחוזה ההתקשרות, מצרכיו ומהנחיות .יה"ב שחלות עליו. .• מערכת ה', ש אמורה לאפשר ניטור ש ל שינויים בכללי רכיב הגנה מסוים ובקרה עליהם, .הוטמעה רק מול רכיב הגנה מסוים שבשליטת המשרד ומותקנות בין רשת א' לבין .רשת ב' ולא הוטמעה מול רכיבי הגנה החיצוניים האחר ים שבשליטת חברה א'. .מומלץ שמשרד החינוך ידרוש לקבל מחברה א' אסמכתאות המתעדות את הפעול ות .שביצעה בהמשך לקריאות שהתקבלו ושבהן היא טיפלה. עוד מומלץ שהמשרד ידרוש .לקבל מהחברה דוחות ניטור ובקרה, דוחות של כללי רכיב הגנה מסוים והגדרות הציוד .שבאחריות החברה. כמו כן, מומלץ שהמשרד ישקול את האפשרות להטמיע אמצעי בקרה .מסוים גם על האבטחה של רכיבים שנמצאים בשליטת חברה א'. .מומלץ גם שיה"ב תבהיר בהנחיותי ה, ובכלל זה בהנחיה בעניין הגנת התשתיות .הווירטואליות , את הפעולות הנדרשות מהמשרדים בכל הנוגע לפעולות בתחום אבטחת .מידע שהן באחריות המשרדים, אך בפועל מבוצעות על ידי חברות פרטיות שעימן התקשרו .המשרדים. נוסף על כך, מומלץ שההנחיה תבהיר שעל נושא זה לבוא לידי ביטוי בחוזי .ההתקשרות. .להלן השוואה בין דוחות מדד יה"ב של משרד החינוך לשנים 2019 ו-2020 לבין המצב .בפועל בשנים אלו כפי שעלה בביקורת ופורט לעיל: .מהלוח עולים פערים בין מבדקי מדד יה"ב כפי שדיווח משרד החינוך לבין הממצאים שעלו .בביקורת. .נוכח הפערים המוצגים בלוח מומלץ כי יה"ב תבחן את הסיבות לכך, וכי היא תנחה ותדריך .את משרד החינוך בנוגע לאופן שבו יש לבצע את הבדיקה לפי מדד יה"ב ואת הרישום .והתיעוד בדוח מדד יה"ב. עוד מומלץ כי יה"ב תבצע בקרה על מידת יישום הבקרות בפועל. .עלה שרכיב מסוים וגם ציוד הרשת ואבטחת המידע, ה נמצא על פי חוזה ההתקשרות .בטיפולה של חברה א', אינו נגיש באופן ישיר למשרד . כל אימת שמתעורר במשרד החינוך .צורך לטפל בהיבט הנוגע ל ציוד הרשת ול אבטחת המידע, עליו לפנות לחברה א' , .באמצעות עובדים מסוימים המורשים לכך, כדי להנחות את החברה ולבקש ממנה לבצע .עבורו את ה פעולות הנדרשות. הפנייה לחברה א' מתבצעת באמצעות פתיחת קריאה .במערכת ייעודית המנהלת את הפניות עבור המשרד והחברה (להלן - מערכת ניהול .הקריאות). .עלה שמשרד החינוך חיבר את רשת ב' שלו למערכות הניטור של ה-SOC הממשלתי, באופן .שמאפשר איתור וזיהוי של אירועי סייבר, אולם הוא לא חיבר אליהן את רשת א'. .משרד מבקר המדינה ממליץ למשרד החינוך להשלים את חיבור רשת א' ל -SOC הממשלתי .כדי לתת מענה לחוסר הניטור הקיים בתחום האבטחה. .משרד מבקר המדינה ממליץ ליה"ב להגדיר באופן ברור עבור משרדי הממשלה את .המרכיבים שניתן להביאם בחשבון במסגרת תחום טכנולוגיית המידע ותחום הגנת הסייבר .ולקבוע אילו מרכיבים הכרחי לכלול בהם; בהתאם לכך, יהיה על כל משרד לעקוב אחר .יישום החלטת הממשלה והנחיית יה"ב בדבר הצורך להקצות תקציבים להגנת הסייבר . .בביקורת עלה כלהלן: .• רשת ג' מוגנת על ידי גרסה מיושנת של רכיב הגנה מסוים, שהחל בספטמבר 2019 .היצרן הפסיק לתמוך בה. • ברשת עלו פערים בנוגע להתקנת רכיבים מסוימים לאבטחת מידע. .• במרץ 2021 פנתה החברה החיצונית למשרד החינוך בדרישה לרכוש רכיב הגנה מסוים .שהיצרן תומך בו. באוקטובר 2021 נרכש רכיב ההגנה, אך נכון לנובמבר 2021 הוא לא .הוטמע באופן מלא. .• בינואר 2020 היצרן הפסיק לתמוך במערכת ההפעלה של שרתים מסוג מסוים .שמשמשים, בין היתר, את רשת ג'; בכלל זה הופסקה התמיכה בשרתים מסוימים .להפעלת מערך בחינות הבגרות. .• יש מערכת המנטרת את הביצועים של רשת ג ' ואת השרתים של רשת זו; גישת .העובדים מאותה רשת למרשתת מתבצעת באמצעות מערכות משרד החינוך ומנוטרת .על ידי ה-SOC הממשלתי; כמו כן, חברה א' מספקת שירותי ניטור אבטחתי לחלקים .שבאחריותה ברשת א '; עם זאת, לרשת ג ' אין רכיב שמבצע בקרה מסוימת כפי .שהומלץ בהנחיית המסגרת. .היעדר בקרה מסוימת מלאה ומעודכנת של רשת ג' עלול לאפשר לתוקף לפעול בתוכה .באופן הנסתר ממנהלי המערכת ; השימוש של משרד החינוך והחברה החיצונית במוצרי .אבטחת מידע ישנים ובשרתים שהיצרן אינו תומך בהם מבלי שניתן מענה אבטחתי מתאים, .אינו מתיישב עם דרישת תקנות הגנת הפרטיות אבטחת מידע והנחיות יה"ב. משמע שיש .חולשות שלא יאפשרו מענה מלא במקרה של תקיפה של המערכות. .על משרד החינוך לקדם את סיום ההטמעה של הגרסה המעודכנת של תוכנת ההגנה .ברשת ג' ולהשלים את שדרוג מערכות ההפעלה של שרתי רשת ג'. מומלץ שמשרד החינוך .ידרוש מחברות המפעילות את מערך המרב"ד עבורו להטמיע את מערכות אבטחת המידע .החסרות. מומלץ גם שהמשרד יפעל להקמת יכולת בקרה מסוימת ויגדיר התרעות .שיאפשרו לאתר סיכוני פגיעה של הרשת, וכן מומלץ להשלים את הפער ביכולת הניטור. .בחינות הבגרות הן נקודת הסיום של לימודי התלמיד בחטיבה העליונה ומשמשות כרטיס .הכניסה שלו למוסדות להשכלה גבוהה. משרד החינוך אוסף, שומר ומנהל מידע רב הנוגע .לבחינות הבגרות . מדובר במידע רגיש הנדרש לרמת אבטחה גבוהה ביותר ובכלל זה על .המשרד מוטלת החובה לשמור על המידע , להבטיח את אמינותו, זמינותו ומהימנותו ולוודא .שהוא משמש אך ורק למטרות שלשמן הוא נמסר או לצורכי מילוי חובותיו של המשרד על .פי החוק. עליו לוודא כי המידע והנתונים לא ישונו או יימחקו, וכי הם ייחשפו למי שמורשה .לגשת אליהם בלבד, מתוקף תפקידו או מתוקף היותו הגורם שהמידע נוגע לו כגון .התלמידים או הוריהם, או למוסדות השכלה גבוהה ולגורמים אחרים הנדרשים לתעודת .הבגרות ולציוני התלמידים. היבט נוסף המ חייב נקיטה של אמצעים כדי למנוע פגיעה .במאגרי מידע הוא תקיפות סייבר ששכיחותן הולכת וגדלה הגורמות לנזקים משמעותיים .ורחבי היקף. .בביקורת הועלו כמה ליקויים בתחום אבטחת המידע - הן מתחום קיום ממשל אבטחת .מידע תקין במשרד החינוך ובגופים חיצוניים שמבצעים עבורו חלק מהפ עילות במיקור חוץ, .והן מהתחומים הטכניים של יישום כלים, מערכות ומנגנוני אבטחת המידע והגנת הסייבר .על פי הכללים שחלים עליו מתוקפן של תקנות הגנת הפרטיות והנחיות יה"ב. .בשורש הממצאים שהועלו בדוח כמה בעיות עיקריות: בכל שלבי תהליך הניהול והתפעול .של בחינות הבגרות משתתפים גורמים, מערכות וממשקים רבים. אף שמשרד החינוך הוא .האחראי לביצוע התהליך בכללותו, עלה כי חלק משלבי התהליך מבוצעים על ידי כמה .גורמים פנימיים במשרד החינוך וכן על ידי גור מי ם חיצוני ים רבים (זכיינים). ריבוי בעלי .המידע, המערכות והממשקים גורם לחוסר אחידות , בהיבט האבטחה, בין המערכות .השונות ובמסגרת ה תהליך בכללותו. זאת משום ששלבים שונים בתהליך הניהול והתפעול .של בחינות הבגרות מבוצעים באמצעות מערכות מידע שמנוהלות בסביבות שונות .ונפרדות, שחלקן אינו בשליטת משרד החינוך, ומשרד החינוך לא מקיים בקרה שוטפת על .מערכות אלו כנדרש. .נוסף על כך נדרש המשרד להקפיד הקפדה יתרה על טוהר בחינות הבגרות, כדי להבטיח .את עקרונות השוויוניות בין הנבחנים, ההגינות כלפיהם ומתן ביטוי נאות לרמת הידע .שלהם. אחריות משרד החינוך בכלל ואגף הבחינות בפ רט לניהול מערך הבגרויות .ולשמירה על טוהר הבחינות באה לידי ביטוי הן לפני קיום הבחינה, הן ביום הבחינה והן .לאחריה. בביקורת נמצאו מקרים המעלים חשש להפצה לא מורשית של שאלוני הבחינות .והפתרונות להם, זמן קצר מאד לאחר שהבחינה החלה. .ממצאי הדוח עלולים לסכן את שלמותם, זמינותם, סודיותם ואמינותם של ציוני בחינות .הבגרות וכן עולה מהם חשש לפגיעה בעקרונות טוהר הבחינות. על משרד החינוך לפעול .לתיקון הליקויים שהועלו בדוח, בכלל זה לעמוד בלוחות הזמנים שנקבעו בתוכניות .העבודה בתחום אבטחת המידע והגנת הסייבר, לשפר ולהעלות את רמת אבטחת המידע .והגנת הסייבר בכלל מערכותיו ותשתיותיו. מומלץ גם שב מערכת החדשה לניהול ציוני .הבגרות , שלדברי המשרד הוא מפתח, יינתן מענה על הממצאים שהועלו בדוח זה בנוגע .לאבטחת המידע של בחינות הבגרות וציוני הבגרות. משרד מבקר המדינה ממליץ כי משרד החינוך ומשטרת ישראל יבחנו כלים להתמודדות .עם תופעת ההדלפות וההפצה הלא מורשית של בחינות הבגרות וכן הפצת פתרונות להם .טרם שהם הסתיימו; דגש יש לתת לצורך במענה הולם ומתקדם בהתאם להתפתחויות .הטכנולוגיות והשימוש המואץ שנעשה באמצעי תקשורת שונים, שמגבירים תופעות אלו - .רשתות החברתיות, יישומונים, מחשוב לביש וכיוצ"ב. .עלה כי שלוש הבדיקות הנדרשות בוצעו לכל אחת מארבע התוכנות , וכי אם מבדק .החדירה העלה ממצאים שהצביעו על חולשות אבטחה, בוצע מבדק חדירה חוזר שלא .העלה ממצאים כלל . .• שדה ה - Name ברשימת המשתמשים ב -AD של אחת המשתמשות (עובדת פעילה .במרב"ד) אינו הזיהוי שנדרש אלא זיהוי אחר . .• שישה מתוך שמונה משתמשים ברשימת המשתמשים ב - AD , שתפקידם הוגדר .במערכת ד' לתפקיד מסוים, קיבלו הרשאות החורגות מתפקידם. על משרד החינוך לפעול להבטיח כי חברות המפעילות את מערך המרב"ד עבורו י קפידו .לפעול על פי עקרון "הצורך לדעת" ולצמצם את הגישה למידע בהתאם לפרטי מידע .הדרושים למשתמש לצורך ביצוע עבודתו בלבד. בכלל זה מומלץ למשרד לדרוש לבטל .את גישת עובדים מסוימים לסביבה ו' שלא לצורך, לוודא כי כל ההרשאות שניתנו הן .לבעלי זהות אמיתית ולממש יכולת ניטור והתרעה אפקטיביות, בסמוך ככל הניתן לזמן .אמת, על ביצוע פעולות לא מורשות במערכת בסביבה ו'. עוד מומלץ, לבצע התקנה של .צד המשתמש (לקוח - Client )וצד השרת ( Server ,) ולבדוק הרשאות גישה לכל עמוד ומסך .במערכת כנדרש בהנחיות יה"ב. על משרד החינוך להקפיד על ביצוע מבדקי חדירה בתדירות שנקבעה בתקנות הגנת .הפרטיות אבטחת מידע, וכן עליו לתקן ליקויים שעלו במבדקים אלו. .עלה כי על פי סקר סיכונים 2018 שביצע המשרד, שיעור המימוש של הגנות הבקרה .בפועל במשרד היה בין 26% מהיעד הארגוני, בכל הנוגע ל"התאוששות" ( Recovery) ,ל- .63% "בכל הנוגע ל"תגובה ( Response) . אשרלפונקציית "הגנה" ( Protection )- המשרד .מיישם כ-56% מהבקרות הרלוונטיות לפונקצייתזו. יצוין כי זו הפונקציה הרחבה ביותר .בתורת ההגנה בסייבר לארגון16, והיא עוסקת בחסימת מתקפות סייבר המנסות לפגוע .בארגון. נכללות בה בקרות העוסקות ב הרשאות גישה, בהגנה על המידע, בהגנה על .תחנות עבודה ועל שרתים, במניעת קוד זדוני, בהצפנה וכו'. .עלה כי באוקטובר 2021 , יותר משלוש שנים לאחר שביצע משרד החינוך בשנת2018 , סקר .סיכונים מקיף של מערכות ליבה נבחרות שלו ומבדק חדירה בנוגע למערכת א', משרד .החינוך לא ביצע סקר סיכונים מקיף עדכני ולא מבדקי חדירות בנוגע לאותן מערכות ליבה, .אף שבשתי בדיקות אלו עלו ממצאים שנשקף בגינם סיכון רב, ואף שלפי תקנות הגנת .הפרטיות אבטחת מידע חלה עליו חובה לבצעם אחת ל-18 .חודשים
.עלה כי אף שבהתאם לתקנות הגנת הפרטיות אבטחת מידע, על המשרד לבצע מבדקי .חדירה אחת ל-18 חודשים, בפועל בשלוש השנים שקדמו לספטמבר 2021, המשרד לא .ביצע את מבדק החדירה הנדרש במערכת ב' וכי בספטמבר 2021 ביצע המשרד, באמצעות .חברה חיצונית, מבדק חדיר ה למערכת ב'.