תחום הגנת הסייבר . הגנת הסייבר בחברת החשמל לישראל בע_מ .נמצא כי חלק מנוהלי החברה שנדרשים במסמכי מס"ל בנושא הגנת סייבר נכתבו בתקופת הביקורת בשנת 2020 . יצוין כי גם מסמך מדיניות הגנת הסייבר של החברה נכתב והושלם בשנת 2020 . מומלץ כי החברהתבדוק בשיתוף מס"ל אילו נהלים נוספים נדרשים לה ותכין תוכנית עבודה להכנתם. עלה כי בשנים 2019-2015 בוצעומספר תרגילים, חלקם היו תרגילים מתודיים, חלקם היו מעשיים, וחלקם שילבו גם אירועים מעשיים. מומלץ שחח"י תגבש תוכנית רב שנתית המפרטת נושאים לתרגילי סייבר בהנחיית מס"ל ובשיתוף עימו וכי בתרגילים ישולבו היבטים מעשיים אשר ילוו בתהליכי סיכום והפקת לקחים מתועדים. משרד מבקר המדינה מציין כי היה ראוי שהמסמך, בפרט בעסקה בהיקף כספי משמעותי, ייחתם בהתאם לנהלי החברה ע"י מורשי החתימה, ככל שאר מסמכי ההסכם, לאחר ביצוע הבקרות הנדרשות. מומלץ שהחברה תבחן עם מס"ל כיצד ניתן למנוע את הישנותם של הליקויים שנמצאו בהליך חתימת המסמך, וכי תוודא מול מס"ל שהבקרות בתהליך יהיו מקובלות עליו ויאושרו על ידו. במועדסיום הביקורת, דצמבר 2020 ,חח"י טרם הגיש ה תוכנית רב-שנתית . כמו כן, על פי הפרוטוקולים של ועדת ההיגוי העליונה, במועד סיום הביקורת תוכנית עבודה רב-שנתית כאמור טרם הוצגה לוועדה. עוד נמצא כי במועד סיום הביקורת, תוכניות העבודה השנתיות שחח"י הציגה לשנים 2021- 2019 אינן כוללותאת מלוא הפירוט לגבי אופן יישומן. משרד מבקר המדינה ממליץ שהחברה תכין ת וכנית עבודה רב -שנתית מפורטת יותר בתחום הסייבר בהתאם להוראת העבודה בנושא, הכוללת את מלוא הפירוט הנדרש. כמו כן, מומלץ שהחברה תכין תוכניות שנתיות מפורטות כאמור. עוד המליץ משרד מבקר המדינה כי תוכניות העבודה השנתית והרב-שנתית כאמור תוצגנה לגורמים הרלבנטיים ותעודכנה כפי שנדרש. משרד מבקר המדינה ממליץ למס"ל לקבוע בכתב הנחיות מפורשות ומפורטות לגבי ההכשרות הנדרשות לגורמים רלוונטיים ולהנחות את חח"י לגבי דיווחים בכתב על ביצוען. על חח"י לפעול בהתאם להנחיות שיינתנו על ידי המס"ל. עלו פערים בתוכנית העבודה להכנה ויישום של סקרי סיכונים ומבדקי חדירה. מומלץ כי חברת חשמל תשלים הכנת תוכניות עבודה לביצוע סקרי סיכונים ומבדקי חדירה בכלל מערכותיה ותפעל ליישומה ולמעקב אחר תיקון הליקויים שיעלו. עלה כי עבור חלק ממנגנוני הבקרה ותהליכי העבודה שנבדקו בביקורת, החברה אינה עומדת באופן מלא בכלל ההנחיות הרגולטוריות והוראות החברה. יצוין כי החברה מסרה למשרד מבקר המדינה כי התהליכים השונים שנועדו ליישום ההנחיות וההוראות הרלוונטיות הושלמו או שנמצאים בפעילות לצורך השלמתם. נמצא כי באחת העסקאות חברת חשמל לא ביצעה את כל הפעולות שהיה עליה לבצע לפי הכללים הוועדה קבעה בין היתר כי עד למועד מסוים תושג עמידה ביעד מסוים אולם הוועדה לא דנה בצורך לקבוע תוכנית עבודה רב-שנתית לגבי יעדים נוספים. .על פי הנחיות מס"ל והוראות אבטחת מידע יש לסווג מסמכים מסווגים. בביקורת נמצא כי חח"י אינה מקפידה לציין על המסמכים שהיא ציינה בפני משרד מבקר המדינה שהם מסווגים את סיווגם. הדבר עלול לגרום לכך שגורם שאינו ער לסיווג המסמך, בין שהוא חיצוני לחברה ובין שהוא פנימי, ינהג בו כאילו לא היה מסווג. על חח"י לציין את רמת הסיווג של מסמכים מסווגים. מומלץ כי החברה תגבש נוהל המחייב את עובדיה לסווג כל מסמך לפי סיווגו הביטחוני, לפרסמו, לפעול להטמעתו ולעקוב אחר יישומו של נוהל סיווג והגנה על מידע הקיים בחברה. עלה כי לפי תוכנית העבודה של החברה, בסוף שנת 2021 מתוכננות להסתיים פעולות נדרשות הנוגעות לצוותי התגובה ובמועד סיום הביקורת טרם נקבעו לוחות זמנים לפעילויות המשך. משרד מבקר המדינה ממליץ לחח"י לקבוע לוחות זמנים לפעילויות המשך. מבחינה זו עלה כי עבור מספר סקרים נמצאה חוסר התאמה בדבר תיקון הליקויים שהעלה הסקר, בין הדיווח שהמציאה חח"י לביקורת לבין הדיווח שהיה בידי מס"ל. משרד מבקר המדינה ממליץ למס"ל בשיתוף עם חח"י להשלים מתכונת מעקב ודיווח אחר תיקון הליקויים. .מהתרשים עולה כי החברה הוציאה 12,618 דולר פר עובד בשנת2018 , לעומת 20,500 דולר פר עובד בממוצע בקרב החברות שאליהן הושוותה. יצוין כי בקרב חברות שמחזור הכנסותיהן בשנת 2018 היה 1 - 10 מיליארד דולר נמצא כי הוצאות ה-IT היו 19,883 דולר פר עובד. יצוין כי מספר העובדים בחברה בשנה זו היה 11,475 , וזאת לעומתמספר ממוצע של 5,100 עובדים בקרב החברותשאליהן הושוותה חברת החשמל. משרד מבקר המדינה ממליץ לחח"י להמשיך ולבחון מעת לעת את היקף הכיסוי הביטוחי למקרי סייבר בהתאם להיקף ניסיונות התקיפה ולפוטנציאל הנזק מהם. נמצא כי מס"ל לא הסדיר בכללים את האופן שבו חח"י צריכה לדווח לו כדי שיוכל לעקוב אחר ביצוע הנחיותיו ואחר תיקון הליקויים שמצא. משרד מבקר המדינה בחן את הפיקוח בפועל של מס"ל על יישום כמחצית מההנחיות שמסר מס"ל לחח"י בשנים 2018 - 2020 ושנמסרו למשרד מבקר המדינה במהלך תקופת הביקורת. עולה כי מס"ל לא ביצע מעקב ופיקוח מלא בעניין ביצוע כל הנחיותיו בידי חברת החשמל וכי לגבי חלק מתוך ההנחיות, מס"ל מסר לצוות הביקורת במשרד מבקר המדינה כי לא התקבל מידע על סטטוס ההנחיה בכתב או בעל-פה. במועד סיום ביקורת זו, כחמש שנים לאחר שהתקבלה החלטת הממשלה 2444 וכשנתיים לאחר שהופץ תזכיר החוק, טרם הושלמו התהליכים הנדרשים לגיבוש נוסח חוק הסייבר. משרד מבקר המדינה ממליץ למס"ל ולמשרד המשפטים להשלים את התהליכים הנדרשים לגיבוש טיוטת חוק הגנת הסייבר כפי שנקבע בהחלטת הממשלה 2444 , ולאסדר את כל הסמכויות הנדרשות כדי שמס"ל יוכל להשיג את המטרה שלשמה הוקם. משרד מבקר המדינה רואה בחיוב את העובדה כי משרד האנרגייה הקים את המק"ם, המנטר את כלל תשתיות האנרגייה, מתכלל מידע המתקבל מהן ומשקף תמונת מצב בנושא הגנת סייבר על משק האנרגיה. מומלץ כי הגופים הרלוונטיים ובהם שני גופי הרגולציה יבחנו הגדרתן של הנחיות אחידות עבור כלל הגורמים המונחים על ידם. יצוין כי על אף הפגישות כאמור בין הצדדים והקשר השוטף המתקיים בין חח"י לבין מס"ל, יש פער בין סטטוס יישום ההנחיות על פי מסמכי חח"י לבין זה הידוע למס"ל, כפי שעולה ממסמכיו. .מהתרשים עולה כי בשנת 2018 היה שיעורהוצאות ה-IT הממוצע מתוך סך ההכנסות בקרב חברות תשתית בעולם כ- 3.1% , לעומת שיעור של 2.3% בחח"י. על מנת לתת תובנה מדויקת יותר, המחקר חילק את חברות התשתית לחמש תתי-קבוצות על פי מחזור הכנסותיהן18 .מבין החברות שמחזור הכנסותיהן היה 10 - 1 מיליארד דולר בשנת2018 (מחזור ההכנסות של חח"י בשנה זוהסתכם בכ-6.6 ,)מיליארד דולרשיעור הוצאות ה-IT הממוצע מתוך סך הכנסותיהן של חברות אלו היה 2.7% באותה שנה, שהוא קרוב יותר לשיעור הוצאות ה-IT שלחח"י. בהוראה שגיבשה חח"י יחד עם מס"ל לא נקבעו סדרי הדיווח של חח"י בכתב למס"ל, לרבות קביעת לוחות זמנים להגשת דיווח זה. על מנת למנוע את הפער בין סטטוס יישום ההנחיות על ידי חח"י בפועל לבין זה הידוע למס"ל, מומלץ כי מס"ל כמאסדר יפעל לאסדרה של סדרי הדיווח והבקרה שלו על חברת החשמל. בכלל זה, מומלץ לקבוע הוראות בדבר הדיווח בכתב שחח"י צריכה למסור לו בעניין אופן ביצוע הנחיותיו, בעניין תיקון ליקויים שנמצאו על ידו או על ידי גורמים אחרים בביקורות חיצוניות או פנימיות, ומהם ההסברים הנדרשים בדיווח. כמו כן, מומלץ כי מס"ל יקבע את המועדים הנדרשים למסירת דיווחים בכתב כאמור, לרבות דיווחים עיתיים ומיידיים, ואת הפרטים שחח"י נדרשת למסור בדיווחיה. עוד מומלץ כי מס"ל יפעל לקבל מחח"י מידע באופן סדור לגבי יישום כלל הנחיותיו מהשנים שחלפו. משרד מבקר המדינה ממליץ למס"ל להקים מערכת ממוחשבת להזנת כלל ההנחיות לגופים המונחים הכוללת התראות על סטטוס תיקון הליקויים, אשר תשמש לו ככלי בקרה על ביצוע הנחיותיו. במהלך הביקורת עלו פערים מסוימים בעמידת חח"י בחלק מן ההנחיות. יצוין כי תוך כדי ביצוע הביקורת נקטה חח"י בפעולות על מנת ל צמצם ולבטל פערים אלו. לנוכח החשיבות של תשתיות החברה מבחינת כלל פעילות המשק, מומלץ שחח"י תשלים יישומה של התוכנית תוך קביעת אבני דרך ולוחות זמנים ותדווח עליהם למס"ל. .חברת החשמל מופקדת על תשתית קריטית. פגיעה בשרשרת החשמל עלולה לגרום נזק למשק בכללותו. דוח זה הציג תמונת מצב בנושא הגנת סייבר בחברת חשמל ובפיקוח של מס"ל על חברת חשמל. משרד מבקר המדינה העלה בין היתר כי לא היה בידי מס"ל מידע מלא שאפשר ללמוד ממנו אם חח"י יישמה את כל הנחיותיו ותיקנה את כל הליקויים שעמד עליהם. מס"ל גם לא אסדר את חובתה של חח"י למסור לו דיווחים בכתב, ואת המועדים, הנושאים והפרטים הנדרשים בדיווחים. עוד נמצא כי במועד סיום הביקורת לא כל הנחיות מס"ל יושמו. כן עלה כי במועד סיום הביקורת טרם נערכה חח"י מבחינת הגנת סייבר לכל הנדרש לצורך ביצוע הרפורמה במשק החשמל שנקבעה ביוני 2018 . על חברת החשמל להמשיך לפעול בתיאום עם מס"ל לשיפור הגנת הסייבר על מערכות המידע בשרשרת החשמל וכן להיערך כנדרש לביצוע תהליך הרפורמה בהיבטי הגנת סייבר ובכללו העברת תחנות הכוח, הינ"ם ותפ"ט. במועד סיום הביקורת חח"י לא השלימה תוכנית להפרדת הינ" ם מחח"י בהיבטי סייבר, ולא הגישה למס"ל תוכנית כאמור, וזאת אף שינ"ם אמורה לעבור לחנ"ם עד יוני 2021 . עפ"י מסמך שמסר מס"ל למשרד מבקר המדינה, נכון לדצמבר 2020 ,עבור אחד מהתהליכים קיימת תוכנית המשכיות שאינה מלאה. משרד מבקר המדינה ממליץ לחח"י לפעול להשלמת תוכנית ההמשכיות עבור התהליך המסוים. בין היתר נמצא כי אחד המסמכים נחתם ע"י עובדת חח"י בתפקיד מסויים ולא ע"י מורשי החתימה של החברה. עד מועד סיום הביקורת טרם הסתיים התהליך וטרם נקבע מענה מספיק לכל הפערים. משרד מבקר המדינה ממליץ למס"ל ולחח"י לפעול להשלמת כלל הפעולות הנדרשות כדי לעמוד בדרישות הסייבר. ממסמכי חברת חשמל עולה כי ביולי 2019 היא לא גיבשה תוכנית עבודה רב-שנתית או שנתית לביצוע סקרי סיכונים ומבדקי חדירה. בפועל, עלו פערים בביצוע סקרי סיכונים ומבדקי חדירה עד יולי 2019. משרד מבקר המדינה ממליץ כי מס"ל יאסדר בנוהל את חובתה של חח"י למסור לו תמונ ת מצב, ובכלל זה יקבע בנוהל את הפרטים שעל חח"י למסור לו ובאילו מועדים עליה למסור לו עדכונים לשם בחינתו ואישורו כנדרש.
נמצא כי בחברה קיימים מספר גופים האמונים על תחום הסייבר בכפיפויות שונות, חלקם כפופים ישירות לסמנכ"ל תקשוב וחלקם כפופים ישירות למנהל אגף מערכות מידע. בביקורת נמצא ליקוי במבנה הארגוני שעלול ליצור לעיתים קונפליקט במשקל הניתן לשיקולים השונים. משרד מבקר המדינה ממליץ שחח"י תשקול, במסגרת השינוי הארגוני המתבצע בשנים האחרונות בחטיבת התקשוב, לבצע שינויים במטרה למנוע קונפליקט פוטנציאלי כאמור.