סייבר ומערכות מידע . הגנת הסייבר במגזר התחבורה .נמצאו פערים בתחום ניהול ה משתמשים וההרשאות. נושאים אלו הוצגו לגופים והם .מסרו בתשובתם כי הם פועלים לטיפול בממצאים. .חיבור למרכז בקרה : נמצא כי בשיעור גדול בגופים שנבדקו מערכות בתחום .התחבורה אינן מחובר ות למרכז בקרה בנושא מסוים. .שמירת לוגים של הפעילות במערכות בתחום התחבורה : בכל הגופים שנבדקו .נשמרים הלוגים במערכ ות בתחום התחבורה ונבדקים בידי בעלי תפקידים שונים .בהתאם לצורך. נמצא כי בעירייה ד' אומנם הלוגים נשמרים, אך הם אינם נבדקים .בידי אף גורם. .התראה אוטומטית בנושא מסוים : בשיעור גדול בגופים שנבדקו נשלחת התראה .למרכז הבקרה בנושא מסוים, למעט ב עיריות ב' וד'. .חומת אש: נמצא כי רכיב זה מיושם בכל הגופים שנבדקו. .אנטי-וירוס : נמצא כי רכיב זה מיושם בשיעור גדול בגופים שנבדקו . .מערכת אבטחת מידע א': נמצא כי מערכת זו אינה מיושמת ב שיעור גדול בגופים .שנבדקו. כן נמצא כי בעיריי ה ו' רכיב זה מיושם חלקית. .מערכת אבטחת מידע ב': נמצא כי מערכת זו אינה מיושמת בשיעור גדול בגופים .שנבדקו. .מומלץ כי משרד התחבורה יפעל למסד תשתית מתאימה (למשל באמצעות הקמת פורומים .מקצועיים ומערכת שיתוף מידע) ולעודד את הגופים השונים לשתף האחד את השני במידע .מקצועי בנושא הסייבר, גם כאשר הם מתחרים זה בזה, ובהתאם לכללי התחרות והסייגים .לעניין הסייבר החלים עליהם. מומלץ כי המשרד ישקול להשתמש ב -SOC המגזרי גם .כתשתית לשיתוף אירועים ופעולות לטיפול באירועים אלו שקורים בכלל המגזר. שימוש .באופן זה אף עשוי להגביר את התועלת של הגופים משימוש ב-SOC . .בשנת 2016 הכין מערך הסייבר תבנית אחידה לצורך גיוס יועצי סייבר על ידי משרדי .ממשלה, המבוססת על מכר זים שפרסמו קודם לכן יחידות סייבר מגזריות שונות. בסופו .של דבר לא אושרה תבנית זו והתהליך הופסק. .בביקורת עלה כי לא קיימת תבנית לצורך פרסום מכרזים בתחום הסייבר לשימוש הגופים .במגזר. מומלץ כי מערך הסייבר ואגפי הסייבר המגזריים, ובהם אגף הסייבר במשרד .התחבורה, יעלו צרכים משותפים בתחום הסייבר לצורך הכנת תבניות שיוכלו לשמש את .כלל הגופים במגזר (לדוגמא: גיוס יועצים; רכש כלים; רכש שירותי התערבות באירועים .(IR ); הקמת ותפעולSOC ), תבניות אלו יוכלו לשמש את כותבי המכרז ולחסוך להם זמן .וכן ליצור אחידות בדרישות הבסיס של כל תחום התקשרות, אליהם יוסיף כל גוף את .הנושאים הרלוונטים לו. .בהתאם לתבחיני הנזק אשר למולם מתבצע תהליך דירוג הגופים, לדעת משרד מבקר .המדינה העיריות העוסקות בהיבט שנבחן בדוח זה ב תחום התחבורה עומדות בתבחינים .לשם סיווגן כגוף A אוB ,. לכןמומלץ כי משרד התחבורה יעדכן את סיווג הגופים כך .שעיריות אלו יידרשו לעמוד בדרישות המדיניות. .מוצע כי מערך הסייבר ומשרד התחבורה יקבעו נהלי דיווח ביניהם בכל הנוגע לגופי התמ"ק .המונחים על ידי המערך ויפעלו לממשם, כדי שלמשרד התחבורה תהיה תמונה כוללת של .מצב הגנת הסייבר גם בגופי התמ"ק. מומלץ כי נהלים אלו יתייחסו, בין השאר, לנושאים .הבאים: שיתוף מידע; דיווחים שוטפים; חולשות ואירועים; נוהל טיפול באירוע; נוהל סגירת .חולשה; הערכות מצב עיתיות; תיאום תוכניות עבודה וביקורות; ודיווח על תוצאות איר ועים, .תחקורים ולקחים. .משרד מבקר המדינה מציין לחיוב את הפעילות שנעשתה בתחום הרכב האוטונומי, לרבות .תיקון החוק, פרסום הנוהל והקמת מרכז הניסויים בבאר שבע. עם זאת משרד התחבורה .טרם החל בביצוע ביקורות בתחום זה. .מוצע שאגף הסייבר יבצע ביקורות באופן עצמאי על החברות שמבצעות ניסויים ברכב .אוטונומי קודם הפעלת יכולת זו בכבישי ישראל ויחווה את דעתו בנוגע לסיכונים הקיימים .בתחום זה ויוודא טיפול החברות בפערים שנמצאו בניסויים, ככל שאלו קיימים. בביקורת עלה כי אף שרשות התחרות לא רואה בהעברת מידע על איומי סייבר כפעולה .העלולה לפגוע בתחרות, הרי שבפועל שיתוף המידע בין גופים דומים הוא חלקי. למשל: .במערכות בתחום התחבורה - רק בשישה מתוך שנים עשר הגופים שנבדקו (50% ) קיים .שיתוף ידע בנושא הגנת הסייבר31; בתחום הים - נמצא כי נמל כ' ונמל כ"א, הנמצאים .שניהם בתהליכים דומים לצורך שיפור רמת ההגנה בסייבר, אינם משתפים ידע אחד עם .השני בתחום הגנת הסייבר. .נמצא כי בשיעור בינוני בגופים שנבדקו אין תוכנית התאוששות עסקית, וממילא הם .לא תרגלו תוכנית זו. .על ה גופים האמור ים להגדיר ת וכנית התאוששות עסקית הכוללת פירוט של .התהליכים העסקיים, הסיכונים החלים עליהם והגדרת המענים הניהוליים .והטכנולוגיים להתמודדות איתם. .בביקורת עלה כי לא נקבעה תוכנית עבודה מפורטת לחיבור ול"מיבצוע" של כלל הגופים .ל-SOC , אף שההתקשרות מולרש"ת מתוכננת להסתיים לאחר כשנה (בדצמבר 2022 ) ואף .שנכון ליולי 2022 מחוברים ל-SOC פחות ממחצית מהגופים ( 14 מתוך 35 ,)מהם חמישה .בלבד בסטטוס "מבצעי", 9 ,"מחוברים אך לא "מבצעיים18 ,"בסטטוס "ממתינים לחיבור .ושלושה בסטטוס "לא הותנע". עוד עלה כי ההתקשרות הנוכחית עם רש"ת אינה נותנת .מענה מלא לארגונים גדולים. .מוצע כי משרד התחבורה יקבע לוח זמנים מפורט לחיבור כלל הגופים ולהפיכת חיבור זה .ל"מבצעי". בנוסף מוצע כי המשרד ימפה את החסמים לחיבור ל- SOC של גופים שהוגדרו ."ממתין לחיבור " או "לא הותנע" ויפעל לשחרור החסמים. .במועד סיום הביקורת, באפריל 2022 , החל משרד התחבורה להקיםSOC מגזרי זמני ולחבר .אליו גופים בהדרגה - מהלך חשוב ומורכב שעשוי לתרום רבות למשרד בנוגע לקב לת .תמונת מצב על הגנת הסייבר בגופים המנחים על ידו. נוכח טווח הזמן של כשנה שאושר .להפעלת ה-SOC ברש"ת ומשך הזמן הדרוש לביצוע התקשרות מורכבת להקמת SOC , . מומלץ כי משרד התחבורה יבחן, עוד במהלך תקופת ההתקשרות עם רש "ת, את .האפשרויות העומדות לפניו להפעלת SOC בצורה קבועה. כן מומלץ למשרד התחבורה .לבחון כיצד לנטר בצורה אפקטיבית גופים גדולים. נוכח העובדה שייקח זמן לחבר את כל .הגופים ל-SOC , מוצע למשרד התחבורהלתעדף את הטיפול בגופים שונים ובגופים שאינם .מנוטרים כלל. .שימוש במערכות הפעלה ישנות שאינן נתמכות עוד על ידי היצרן: באף אחד .מהגופים שנבדקו לא קיימת גרסה ישנה של מערכת הפעלה אשר אינה נתמכת עוד .על ידי יצרן המערכת. .עדכוני אבטחת מידע במערכות בתחום ה תחבורה : נמצא כי בשיעור בינוני .בגופים שנבדקו לא בוצעו בשנים 2019 עד 2021 התקנות סדירות של עדכוני אבטחת .המידע (כלומר בתדירות של פעם בשנה לפחות), ובעירייה ז' לא בוצעו כלל עדכונים .אלו. .על העיריות האמורות לקיים תהליך ניהול עדכונים שוטף לצורך טיפול בחולשות .אבטחה המתגלות מפעם לפעם בתשתיות המחשוב שבאחריותן כדי להפחית את .הסיכון להתרחשותם של אירועי סייבר. .משרד התחבורה החל בספטמב ר 2021 בהכנסת נספחי סייבר מחייבים בהתקשרויות .חדשות בתחומי התשתיות היבשתיות, אולם עדיין ישנם תחומים בהם המשרד אינו מחייב .לכלול דרישות סייבר בהתקשרויות חדשות. יודגש כי בתחומי פעילותו של המשרד חלק .מההסכמים נחתמים לתקופה ארוכה, כאשר בהסכמים שנחתמו בעבר אין דרישות סייבר. .למשל: הפעלת נמלים - זיכיון ל-25 שנים; הפעלת אשכולות תחבורה ציבורית - 10 .שנים .עוד עלה כי למשרד אין מיפוי מרוכז של ההתקשרויות הקיימות לרבות מועד סיומן, וממילא .אין בידו רישום אם קיימות בחוזים אלה דרישות סייבר . נוכח זאת קיים סיכון שגם .ההתקשרויות שצפויות להסתיים בשנים הקרובות יוארכו, מבלי שיתווספו להן דרישות .סייבר במסגרת הארכתן וחידושן. .במצב האמור אין למשרד התחבורה סמכות חוקית או חוזית על חלק מה גופים במגזר .בנושא הגנת הסייבר, דבר המשפיע על מידת יכולתו של אגף הסייבר במשרד התחבורה .לממש את אחריותו ולהעלות את רמת הגנת הסייבר . כמו כן יכולת משרד התחבורה .להכניס דרישות סייבר חדשות ברישיונות שכבר ניתנו למפעילים, אף שהרישוי תקף לשנים .ארוכות, היא מצומצמת. מוצע כי משרד התחבורה יבחן את התיקונים הנדרשים מבחינה משפטית, תוך השלמת .מיפוי ההתקשרויות הקיימות של המשרד, כדי לממש בצורה אפקטיבית את אחריותו .לטיפול בסיכוני הסייבר במגזר. עוד מומלץ כי המשרד יפעל להטמיע דרישות סייבר .במסגרת כל הליך רישוי או חידוש של רישוי שנעשה מול מפעיל. במסגרת זו יש לתת את .הדעת על האיומים המתג ברים בתחום הסייבר מחד ועל חלון הזמן להכנסת דרישות .להגנת סייבר ברישיונות שאמורים להינתן בשנים הקרובות מאידך. בהתאם להנחיית .מנכ"לית המשרד, מומלץ כי המשרד יבחן אם ניתן להחיל דרישות על גופים אשר קיבלו .רישיונות מבלי להמתין שנים עד למועד חידושם, תוך בחינה אם ניתן לשייך את תחום .הסייבר לתחום הבטיחות בו ניתן לקבוע דרישות באופן מיידי לאור סיכונים חדשים. מוצע כי משרד התחבורה יבחן את סיווג הגופים ואת התבחינים לקביעתם לאור ההנחיה .המעודכנת של מערך הסייבר המגדירה כי המאסדר הוא הקובע את סיווג הגופים על פי .תבחיני המשרד, וכן יעדכן את המדיניות בהתאם. .בביקורת עלה כי במצב האסדרה החוקית הנוכחי אין בידי משרד התחבורה כלים להטמיע .את המדיניות שקבע ולממש את אחריותו על הגנת הסייבר במגזר התחבורה. .בביקורת עלו פערים ביכולת משרד התחבורה לעדכן דרישות סייבר בהתקשרויות ארוכות .טווח ולכן בהיעדר כלים רגולטוריים, אין למשרד סמכות להנחות גוף פרטי ללא הסדר .חוזי - כך שהמשרד צפוי להתקל בקשיים ביכולת להנחות את הגופים במגזר ולפקח על .אופן יישום הנחיותיו. עוד נמצאו פ ערים בין דרישות הסייבר שהוגדרו במדיניות ובין היכולת .ליישמן בחלק מהגופים, בטווח הזמן שנקבע ליישומה ופערים בתחום מוגנות הסייבר בגופי .A בהתאם לביקורות שביצע אגף הסייבר משנת2021 . .במצב הנוכחי שבו חלק מההתקשרויות הקיימות אינן מכילות דרישות סייבר, למשרד .התחבורה חסר ים כלים רגולטוריים שיאפשרו לו לחזק את הגנת הסייבר. להלן כמה .דוגמאות: בתחום התחבורה הציבורית - המשרד לא הוסיף אפשרות להוסיף תנאי ם .ברישיונות למפעילים (הניתנים לעשר שנים) בנושאי מדיניות הגנת סייבר; לגבי תחום הים .(בגופים שאינם תמ"ק) - המשרד לא דרש מגופים אלה לגבש נוהל בקרת גישה וניהול .חשבונות משתמשים, ולגבש נוהל שימוש בשירותי ענן . בפברואר ומרץ 2022 מסר משרד .התחבורה כי לגבי תחומי הרכב, הרכבות והנמלים - נושאים אלו עדיין מצויים בטיפול .מקצועי ולא הושלמו. מוצע כי משרד התחבורה ייזום תיקון לחוקים ולתקנות ויגדיר סדר עדיפות להתחלת .הפעילות בתחום תוך מתן עדיפות לתחומים שבהם מוקמים פרויקטים חדשים רחבי היקף; .ותחומים שבהם יש סיכוני סייבר רבים ומצב ההגנה הנוכחי של הגופים אינו מספק להם .מענה הולם. פעילות זו תעלה בקנה אחד עם פעילות חלק מיחידות הסייבר המגזריות .האחרות שהחלו להפעיל את הרישוי רק בחלק מהתחומים בהתאם לניהול סיכונים .שביצעו. כמו כן מוצע כי משרד התחבורה יבחן את האפשרות לעדכן את הזיכיונות, .הרישיונות וההתקשרויות הקיימות ולהוסיף להן דרישות מתחום הגנת הסייבר, בפרט לאלו .שמסתיימות בקרוב. .בביקורת עלה כי לאגף הסייבר במשרד התחבורה אין תקציב בסיס קבוע אלא תקציב .שמתעדכן מדי שנה בשנה. במצב זה האגף אינו יכול לבצע תכנון רב-שנתי של המשימות .בהתאם לתקציב, לכן אין וודאות להמשך תקציבי . כן נמצא כי למול התקציב הנדרש .המוערך ב-30 מיליון ש"ח, בשנים2021 עד2022 הוקצו לנושא כ- 6.3 .מיליון ש"ח .בשנים 2015 עד2022 פעל אגף הסייבר במשרד התחבורה באיוש חסר בהשוואה למספר .התקנים שנדרש בהחלטה 2443 ( , והועסקו בו רק שלושה מתוך חמישה60% ) עובדים. עוד .עלה כי מערך הסייבר לא פיקח על יישום ההחלטה ולא התריע על אי-יישומה לפני גורם .כלשהו. במצב זה אין בידי משרד התחבורה משאבי כוח האדם והתקציב הדרושים לטובת .מימוש אחריותו והוא אינו יכול לתת מענה לחלק מה איומים הניצבים בפני מגזר התחבורה. מוצע כי משרד התחבורה ומערך הסייבר יבחנו את התקציב ואת הלימת תקינת כוח האדם .המוקצת למול המשימות שעומדות לפתחו של אגף הסייבר ולצורך מתן מענה לאיומי .הסייבר הניצבים בפני מגזר התחבורה. נוכח הממצאים שעלו ממבדק החדירה, על עירייה א' לקיים הערכת מצב ולקבוע תוכנית .עבודה לתיקון הליקויים. מוצע כי משרד התחבורה יסדיר ויפעל לאסוף נתונים מהגופים ומיתר המאסדרים בתחום .הסייבר כדי לייצר תמונת מצב מגזרית, למשל באמצעות פגישות סטטוס עיתיות עם הרשות .להגנת הפרט יות ועם מערך הסייבר שמנחה את גופי התמ"ק במגזר; קבלת מסמכים .עיקריים מהגופים וקבלת דיווח על אירועי סייבר. כן מוצע כי מערך הסייבר ומשרד .התחבורה האחראים להנחיית הגופים במגזר יגבשו בסיס נהלי ליישום שגרת הניהול .השוטפת שיתייחס, בין השאר, לנושאים הבאים: שיתוף מידע; דיווחים שוטפים; הערכות .מצב עיתיות; תיאום תוכניות עבודה וביקורות; ודיווח על תוצאות אירועים, תחקורים .ולקחים. עם השלמת איסוף המידע, מוצע כי משרד התחבורה יממש את תפקידו כאחראי .על הגנת הסייבר של כל המגזר וינחה בהתאם למידע שירוכז על ידו את כלל המגזר באופן .שוטף. מוצע שמשרד התחבורה יבחן בשיתוף חברה ז' את הסיבות לכך שה-SOC המגזרי לא סיפק .עבור חברה ז' מענה הולם, ויבצע את הפעולות הנדרשות לתיקון. .נמצא כי בשנים 2017 עד2020 לא היה ברור מי המאסדר האחראי להנחיית הנמלים .החדשים, והנמלים לא הונחו באופן סדור שהולם את הסיכונים בנוגע להיערכותם .להתמודדות עם איומי סייבר, זאת עד שנת 2020 שבה הובהר למשרד התחבורה שקיימת .לו סמכות מלאה. בהמשך לכך, בספטמבר 2021 פרסם המשרד נוהל עבודה להטמעת .דרישות סייבר בפרויקטים תשתיתיים וביצע ביקורות בשני הנמלים החדשים באוקטובר .ובנובמבר 2021 , כאשר אחת מהביקורות בוצעה בסמוך להפעלת הנמל והועלו בה פערים .שיש לתקן כתנאי להפעלת הנמל. .מומלץ כי משרד התחבורה יהיה מעורב בהיבטי הסייבר בפרויקטים חדשים עוד בשלבי .התכנון, שכן בהתאם לתפיסת Security by Design זול יותר לשלב את דרישות הגנת .הסייבר בשלבי תכנון הפרויקט מלהכניסן בשלבים מאוחרים שבהם יידרשו שינויים .והתאמות, ויעקוב אחר יישום הדרישות בטרם מתן רישיון ההפעלה. .✰ .בסקר שערך משרד מבקר המדינה בעשר עיריות ובשתי חברות ממשלתיות עלו פערים .מהותיים בין מצב הגנת הסייבר במערכות בתחום התחבורה לבין דרישות הסייבר של .משרד התחבורה. .נמצא כי כל המערכות בתחום התחבורה (למעט אלו המופעלות על ידי חברות התשתית .ועירייה א') אינן מונחות על ידי משרד הפנים או משרד התחבורה, אף שיש בהם כאלו .שפגיעה בהם עשויה לגרום לפגיעה כלכלית ניכרת ואף לפגיעה בחיי אדם. .נוכח הממצאים שעלו מהשאלון וממבדק החדירה בנושא הגנת הסייבר , מומלץ כי משרד .הפנים ומשרד התחבורה בשיתוף מערך הסייבר יפעלו יחד להסדרת תחומי האחריות .ביניהם ולקביעת נהלים מתאימים כך שנושא הגנת הסייבר במערכות בתחום התחבורה .ברשויות המקומיות יקבל את המענה האסדרתי ההולם. זאת על מנת שגורם מנחה יבצע .פיקוח ובקרה על תיקון הליקויים ועל הגנת המערכות מפני תקיפות סייבר . .הועלה כי אין פורום ממוסד לשיתוף מידע בין הגופים השונים העושים שימוש .במערכות בתחום ה תחבורה. עוד עלה כי לשיעור בינוני בגופים שנבדקו אין קשר .מקצועי עם גופים אחרים בעניין הגנת הסייבר על תחום התחבורה ברשות. .מוצע כי משרד התחבורה ייצור בשיתוף מערך הסייבר ומשרד הפנים, פורום לשיתוף .ידע במערכות בתחום התחבורה , זאת לצורך שיפור רמת ההגנה בסייבר בתחום זה. .נמצא כי הנחיות מסויימות בנוגע למערכות בתחום הת חבורה, כוללות פרקים אשר לא .התעדכנו משנת 1981 ,ואינן כוללות את היבטי הגנת הסייבר הנדרשים על מערכות אלו. .מומלץ כי משרד התחבורה יעדכן את ההנחיות כך שיכללו גם דרישות בנושא הגנת .הסייבר. .משרד מבקר המדינה מציין לחיוב את שיתוף הפעולה מצד עריייה א' בכל שלבי מבדק .החדירה: החל בתכנונו, דרך ביצועו, תהליך הצגת הממצאים והנכונות לשפר את .התהליכים הקיימים וכלה בטיפול בחלק מהליקויים שנמצאו בזמן קצר ביותר. על הגופים האמורים לקיים מבדקי חדירות בהתאם למדיניות הגנת הסייבר של .משרד התחבורה. .משרד מבקר המדינה מציין כי הכלים שצוינו בתשובות חלק מהעיריות אינם נותנים .מענה מלא לסיכון שקיים בהכנסת פוגען או חולשה ישירות לסביבת הייצור, זאת .בהיעדר שימוש בסביבת בדיקות. .מוצע לגופים האמורים לבחון העלאת עדכוני תוכנה ועדכוני אבטחה לסביבה שונה .מסביבת הייצור, אם על ידי שימוש בשרת צדדי ואם על ידי הקמת סביבת בדיקות .מלאה. עוד מוצע כי משרד התחבורה יבחן את הסיכון הקיים בהיעדר סביבת בדיקות .במרבית הגופים ויקים סביבת בדיקות אחודה עבור הגופים השונים במסגרת המרכז .לסייבר בתחבורה חכמה הממוקם בבאר שבע. .נמצא כי בשיעור קטן ב גופים שהשיבו על השאלון לא קיימים בעלי תפקידים .שאחראים בצורה רשמית ומעשית להגנת הסייבר בגוף ככלל ובתחום התחבורה .בפרט. בעיריי ה ה' נמצא כי קיימים בעלי תפקידים בתחום הגנת הסייבר, אך הם .אינם עוסקים בתחום התחבורה. עוד נמצא כי בשיעור בינוני בגופים שנבדקו לא .קיימות ועדות היגוי העוסקות בנושא הגנת הסייבר . .על העיריות האמורות למנות את בעלי התפקידים הנדרשים וכן למנות ועדת היגוי .בנושא סייבר ולכנסה בקביעות. מינוי בעלי התפקידים והתכנסות ועדת ההיגוי .יאפשר ו להנהלת העירייה לקבל תמונת מצב ברורה של מצב הגנת הסייבר של .מערכות הארגון ביחס לסיכונים הקיימים, לטפל בפערים הקיימים, לדון באירועי .סייבר שהארגון חווה ולעקוב אחר העמידה במימוש ת וכנית העבודה המוגדרת. .בביקורת עלה כי קיימים שלושה גורמים בתחום הגנת הסייבר והגנת הפרטיות שאליהם .מדווחים אירועי הגנת הסייבר במגזר התחבורה, וכי אין גורם אחד שמחזיק בתמונה .הרוחבית של כלל האירועים, אף לא משרד התחבורה שאחראי ל פי החלטה 2443 לטפל .באירועים אלו. כך למשל: אירועים המתרחשים בגופי תמ"ק מטופלים בידי אגף תמ"ק .במערך הסייבר ללא העברת תחקירים ליחידת להכוונת מגזרים במערך הסייבר, לאגף .הסייבר במשרד התחבורה, לרשות להגנת הפרטיות (אם נדרש) או לגופים הדומים לגוף .שבו התרחש האירוע. כך לדוגמה, בבדיקת משרד מבקר המדינה נמצא כי בתקופה שבין .ינואר 2019 עד יו ני 2021 דווחו21 ( אירועים, וכל אירוע דווח לגורם אחר 13 - למערך .הסייבר, 4 - ,לאגף הסייבר4 - לרשות להגנת הפרטיות). עוד נמצא כיאירוע שהתרחש .בנמל כ' בפברואר 2020 דווח רק למערך הסייבר ולא לאגף הסייבר במגזר התחבורה או .לנמלים אחרים. .עוד עלה כי משרד התחבורה אינו מקבל מהרשות להגנת הפרטיות וממערך הסייבר .דיווחים על אירועי סייבר שהתרחשו בגופי המגזר , דבר שמקשה על המשרד ליצור תמונת .מצב בזמן אמת, תוך שיתוף הידע עם גופי המגזר שלהם הוא עשוי להיות חיוני. .מומלץ כי משרד התחבורה, בשיתוף מערך הסייבר והרשות להגנת הפ רטיות, יבחן כיצד .ניתן להעביר את המידע הרלוונטי ביניהם, לצורך הפקת לקחים מאירועים, נקיטת פעולות .להעלאת החוסן של הגופים במגזר וטיוב ההנחיות. .✰ . משרד התחבורה אחראי לקדם את הטיפול בהיערכות לאיומי הסייבר של כל מגזר .התחבורה אולם הוא מתקשה במילוי תפקידו מהסיבות ה אלו: המשרד אינו רואה את .התמונה המגזרית כולה על תתי-המגזרים שבה (למשל תחום התחבורה האווירית וגופי .התמ"ק שמנחה מערך הסייבר ); הוא אינו רואה את מפת הסיכונים ואת הפערים הקיימים .בכל גוף; והוא אינו מקבל מידע חיוני מהגופים כמו מבדקי חוסן , תוכניות עבודה לתיקון .הליקויים, דיווח על אירועי סייבר ותחקירים עליהם שביצע הגוף. .משרד התחבורה מצא בביקורות שביצע שורה של ליקויים רוחביים המחייבים טיפול .מערכתי. מומלץ כי המשרד יסייע לגופים לטפל בליקויים הרוחביים שעלו באמצעות ייעוץ .והכוונה וכן יבחן לספק לגופים במגזר שירותים רוחביים שיקצרו את טווח הזמן לטיפול .בליקויים. למשל, בתחומי הניטור והתגובה: התקשרות עם צוות תגובה שמשרד התחבורה .ינגיש לטובת כלל המגזר לטיפול במשברי סייבר; כתיבת תבניות סטנדרטיות למכרזי רכש .לרבות התקשרות עם שירותי SIEM/SOC ויועצי סייבר; הנגשת נוהלי סייבר בנושאים .כלליים; רכישת מוצרים לביצוע מבדקי חדירה ואפשרות לבצע ביקורות באמצעותם בכלל .הגופים במגזר. .בביקורת נמצא כי משרד התחבורה לא ביצע מעקב אחר תיקון הליקויים שמצא בביקורות .שביצע. מומלץ כי משרד התחבורה יבצע מעקב על הליקויים שמצא, תוך קביעת לוח זמנים .לתיקונם על ידי הגופים. .נמצא כי בכלל הגופים קיימת גישה מרחוק לתשתיות הארגון עבור ספקים ומפתחים. .עם זאת, נמצא כי בחלק מהארגונים מענה ההגנה בסייבר הקיים בתשתית הגישה .מרחוק אינו מותאם לסיכונים הרבים הנשקפים בגישה מרחוק. .נוהל עבודה המסדיר את אופן הגישה מרחוק של ספקי מערכות בתחום .התחבורה: נמצא כי בשיעור בינוני בגופים שנבדקו לא קיים נוהל כאמור. .הקלטה או שמירה של לוג של פעילות ספקי המערכת בעת החיבור מרחוק: .נמצא כי ב שיעור קטן בגופים שנבדקו אין הקלטה או שמירה של לוג כאמור . .על הגופים האמורים לקיים תהליך ניהול סיכונים ובחינת מענ ה ההגנה המיוש ם .בתהליך הגישה מרחוק ולפעול לטיפול בליקויים שיימצאו בתהליך זה. .✰ .נוכח הממצאים שעלו מהשאלון, על הגופים שנבדקו לקיים הערכת מצב ולקבוע .תוכנית עבודה לתיקון הליקויים. .נמצא כי בשיעור גדול בגופים שנבדקו אין סביבת בדיקות, וגם אם יש, היא משמשת .לבחינה פונקציונלית ולא לבחינת היבטי סייבר. במצב זה העלאת עדכוני תוכנה עם .נוזקה ישירות לסביבת הייצור עשוי ה לגרום לאירוע סייבר ואף להפ סקת השירות .לזמן ממושך. .החלטה 2443 הגדירה את התקציב הנדרש להגנת המערכות הפנים-משרדיות ; היא לא .הגדירה את התקציב הנדרש לביצוע משימות יחידות הסייבר המגזריות (האחראיות להנחות .גורמים הכפופים למשרד ). מומלץ כי מערך הסייבר, במסגרת החשיבה המחודשת על .ההחלטה, ייתן דעתו גם על סוגיה זו. מוצע שמערך הסייבר יעלה את נושא תקצוב היחידות המגזריות לדיון במסגרת פעילות .הצוות הבין משרדי, שנכון למועד סיום הביקורת, אפריל 2022 ,לא השלים את עבודתו. .בביקורת עלה כי אגף הסייבר לא מסר ליחידה להכוונה מגזרית במערך הסייבר דיווחים .חודשיים, רבעוניים, חצי-שנתיים וכן דיווח שנתי על שנת 2021 ., כנדרש בשגרת הניהול שלה .עוד נמצאו משימות של אגף הסייבר שלא בוצעו עקב היעדר משאבים - ביניהן: בניית יכולת .התערבות לאומית באירועי סייבר; פעילויות ל העלאת החוסן במגזר ; הרחבת הביקורות לגופי .B ; ליווי הגופיםבתיקון ליקויים חמורים; ליווי פרויקטים ; והעלאת מודעות לאיומי הסייבר . .נוכח אי ביצוע חלק ניכר מהמשימות שנדרשו באגף הסייבר, מוצע שמערך הסייבר ומשרד .התחבורה יפעלו להכנת תוכנית עבודה בהתאם למשאבים הקיימים ויפעלו לבקרה עליה .ולמימושה. .לצורך ביצוע תפקידיו למול רמת האיומים במגזר, נדרש האגף לכמה יכולות בסיסיות, .שחלקן חסרות. להלן כמה דוגמאות: .כיום, כדי להגדיר גוף כתמ"ק, נדרש להוסיפו לתוספת החמישית בחוק להסדרת הביטחון. .תהליך זה עלול להימשך לעיתים כמה שנים. כך לדוגמה, מערך הסייבר המליץ להגדיר .את חברה כ"ה בתחום הספנות והנמלים כגוף תמ"ק בנובמבר 2018 ,אך רק באפריל 2022 .הושלם תהליך זה. .נמצא כי בחינת המנגנון הקיים הנוגע להגדרת גופי התמ"ק לא הושלמה בהתאם להחלטת .הממשלה מאוגוסט 2021 ,ולפיכך לא עודכן המנגנון המורכב ש בו נעשה שימוש, הכולל .צורך בשינוי חקיקה עבור כל גוף לגביו הוחלט כי נדרש להגדירו כתמ"ק. .העיכובים בהגדרת גופי תמ"ק עלולים להביא לסיכונים בנושאים שטרם מטופלים וכן .לניצול משאבים לא יעיל. למשל: בגופים חדשים שטרם נכנסו לחוק - היעדר היכולת .לדרוש מהעובדים בגופים לעבור תהליכי מהימנות וסיווג בטחוני; בגופים שטרם הוסרו .מהחוק - בזבוז משאבים עקב הנחיה צמודה של הגופים ש אינה נדרשת יותר. . על מערך הסייבר והצוות הבין משרדי לפעול להשלמת בחינת שינוי המנגנון להגדרת גופי .תמ"ק בהקדם. .בביקורת עלה כי אגף הסייבר אינו מקבל מידע חיוני מהגופים על פעילויות שהם עצמם .ביצעו כמו סיכומי ועדות היגוי להגנת הסייבר, סקרי סיכונים, תוצאות מבדקי חדירה ודיווח .על אירועי סייבר - הנדרשים לאגף הסייבר כדי לייצר תמונה מערכתית של מצב ההגנה .בסייבר של מגזר התחבורה, ולצורך עמידה בשגרות הניהול הנדרשות ממנו. עוד נמצא כי .האגף אינו מבצע ביקורות ב כל הגופים לצורך בחינת מצב הגנת הסייבר בהם ולא עוקב .אחר אופן תיקון הליקויים בביקורות שכבר ביצע - זאת עקב היעדר משאבים התואמים את .מספר המשימות המוטלות על יחידת הסייבר המגזרית. .עוד עלה כי אגף הסייבר במשרד התחבורה לא הצטייד ביכולות מתאימות כנגד רמת .האיומים במגזר. מומלץ כי אגף הסייבר במשרד התחבורה יצטייד בכלים ו ביכולות .מתאימות של עובדיו כנגד רמת האיומים על המגזר . .בשנת 2021 קייםמערך הסייבר כמה דיונים בעניין "מודל המגזרים", אולם עד מועד סיום .הביקורת באפריל 2022 לא הסתיים התהליך, כך שהתשתית הנורמטיבית לפעילותן של .יחידות הסייבר המגזריות (החלטה 2443 ), מספקת מענה חסר הטעון עדכון. .מומלץ כי מערך הסייבר ישלים את תהליך החשיבה המחודשת על החלטה 2443 כדי לתת .מענה לאיומי הסייבר הקיימים ברמה הלאומית, תוך מתן כלים ליחידות הסייבר המגזריות .או באמצעות מודל אחר שיימצא לנכון. במסגרת זו מומלץ כי תבוצע חשיבה גם על נושא .תקצוב יחידות אלו. .מומלץ כי משרד התחבורה יפעל בשני נתיבים: קידום ההסדרה החוקית שתתן מענה לכלל .ההתקשרויות ומתן מענה לפערים הקיימים בהסדרה החוזית הקיימת למול הגופים במגזר . מהתרשים עולה כי במצב הנוכחי למשרד התחבורה , שעליו הוטל בהחלטת הממשלה .2443 לקדם את הטיפול בהיערכות לאיומי סייבר במגזר, אין את התמונה המגזרית כולה .של מצב הגנת הסייבר נוכח העובדה שאינו מודע לנעשה בחלק מגופי התחבורה (בגופי .התמ"ק ו בחברות התעופה שמנחה מערך הסייבר) ונוכח היעדר הסמכות של האגף לקבל .את המידע מהגופים . עוד עולה מהתרשים כי בחלק מתחומי הפעילות, כמו התחבורה .הציבורית והתחבורה הימית, לא פועל מאסדר אחד שרואה את התמונה המלאה והעדכנית .בתת-המגזר. למשל: בתחבורה הימית, את חלק מהנמלים מנחה מערך הסייבר ואת חלקם .מנחה אגף הסייבר במשרד התחבורה. .עוד עלה כי אגף הסייבר במשרד התחבורה ואגף תמ"ק במערך הסייבר לא נפגשים .בקביעות כדי לקבל תמונת מצב האחד מהשני , ולכן עלול להיווצר חוסר סינכרון .בפעילותם. .תשתיות ה תחבורה נועדו להבטיח את הבטיחות ו היעילות של התחבורה הימית, התחבורה .האווירית והתחבורה ה יבשתית עבור כל משתמשי הדרך. ככל שתשתית מסוימת חיונית .יותר לחיי היום-יום של התושבים, כך היא מושכת יותר את התוקפים וככל שהיא תלויה .יותר בממד הסייבר, כך היא פגיעה יותר לתקיפות שעשויות לגרום לשיבושים בתפקודה .התקין ואף להשבתתה המלאה, לפגיעה כלכלית ניכרת ו לפגיעה בחיי אדם. .ממצאי דוח זה משקפים בעיה מבנית ותפקודית יסודית בכל הנוגע להערכות של מדינת .ישראל לאיומי הסייבר במגזר התחבורה. במהלך הביקורת חל שיפור בכמה תחומים .שבהם פועל אגף הסייבר במשרד התחבורה, ובהם: הקמת SOC מגזרי, פרסום מדיניות .וביצוע ביקורות בחלק מהגופים המונחים לבחינת עמידת הגופים בה; קידום אסדרת תחום .הרכב האוטונומי, לרבות תיקון החוק, פרסום נוהל והקמת מרכז הניסויים בבאר שבע. עם .זאת עדיין קיימות כמה בעיות יסודיות: .חסרה הסדרת תחומי האחריות והסמכות של מערך הסייבר ומשרד התחבורה בכל הנוגע .לגופים שאינם תמ"ק; משרד התחבורה אחראי לפעילויות המגזר אולם אין בידיו תמונה .מלאה של מצב ההגנה של הגופים בו; היעדר הלימה בין האיומים והמענים להם במגזר .כולו לבין המשאבים של משרד התחבורה; היעדר דרישות סייבר בהתקשרויות בחלק ניכר .מהפעילויות במגזר והיעדר הקצאת המשאבים הנדרשים לכך על ידי הגופים. .הבעיה התפקודית והמבנית שהועלתה בדוח זה אפשר כי היא רלוונטית למגזרים גדולים .נוספים, ו לכן טיפול מערכתי בנושאים אלו עשוי לשפר את מוכנות המשק והמגזרים .הגדולים הפועלים בו להתמודד עם אירועי סייבר . .במסגרת ביקורת זו בוצע מבדק חדירה על ידי צוות הביקורת בתחום התחבורה של עירייה .א'. חשיבותה של פעולה חדשנית זו, שיושמה לראשונה בדוח ביקורת של משרד מבקר .המדינה, הינה בכך שהיא מאפשרת להעריך את מוכנותו האמיתית של הגוף לעמוד בפני .התקפות סייבר , באמצעות שימוש בכלים החושפים חולשות אבטחה בסביבת העבודה .התפעולית של הגוף ולסייע בכך באופן מעשי וממשי לשיפור רמת ההגנה של הגופים .המבוקרים. .על משרד התחבורה ועל מערך הסייבר לוודא כי תשתיות התחבורה ובפרט התשתיות .הקריטיות, מבצעות הערכת סיכונים באופן שוטף ומשפרות את מידת עמידתן ב פנ י .מתקפות סייבר אפשריות. .מוצע כי אגף הסייבר בשיתוף הגופים ימפה בהקדם את הפעולות הדרושות להקמת SOC .בארגונים שחסרים יכולות ניטור או לחיבורם ל-SOC ,המגזרי כמתן מענה ראשוני גם לארגון .תוך מתן עדיפות לגופי A .שאינם בעלי יכולות ניטור .זאת ועוד, מוצע שאגף הסייבר יגדיר מתודולוגיה סדורה להקמת SOC ארגוני המבוססת .על ניסיונו בתחום, יבצע רכש מרכזי למוצר או לשירות MSSP וילווה את הגופים ליישום .הפתרון ולהפעלתו, כדי לנהל את אירועי הסייבר ולהתריע בזמן אמת על התקפות במגזר .התחבורה. .הסרת משתמשים : נמצא כי בשיעור בינוני בגופים שנבדקו לא קיים נוהל להסרת .משתמשים - למשל משתמשים שאינם פעילים או כאלה שעזבו את הארגון. בעירייה .ד' ציינו כי א ומנם קיים נוהל, אך בשנים 2019 עד 2021 בוצעהבעירייה בקרה .בתדירות "נמוכה מאוד" על כך שלא קיימים משתמשים לא פעילים. יצוין כי לעיתים .מדובר בעובדים בעלי מודעות נמוכה לאבטחת מידע, ובהם עובדי הארגון ועובדי .הספק המתחברים מרחוק, שלהם הרשאות גישה לכלל התחום ולכן יש חשיבות .עליונה להסרתם בעת שהם הופכים למשתמשים שאינם פעילים. .מומלץ לגופים האמורים ליישם את השינויים הנדרשים בתחום ניהול המשתמשים .וההרשאות. .נמצא כי בשיעור גבוה בגופים שנבדקו לא היו בהתקשרות עם ספקי מערכות בתחום .התחבורה דרישות הנוגעות להגנת הסייבר . יצוין כי לספקים אלו יכולת התחבר ות .למערכות ועדכון התוכניות מרחוק. עוד יצוין כי החוזים בתחום זה הם לעיתים ארוכי .טווח - לדוגמה בעירייה ב' חלק מהחוזים יסתיימו בשנת 2031, ובעירייה ה' החוזה .יסתיים בשנת 2025 עם אפשרות הארכהלחמש שנים נוספות. .מוצע כי העיריות האמורות ימפו ויעריכו את הסיכונים הגלומים בהתקשרויות קיימות .שאינן כוללות דרישות סייבר , ויבצעו את דרישות המדיניות לגבי התקשרויות חדשות .- נושא זה מהותי בעיקר בהתקשרויות שעתידות להסתיים בעוד שנים רבות. .עוד מוצע כי משרד התחבורה יכין בשיתוף מערך הסייבר ומשרד הפנים נספח .דרישות סייבר אחיד הנוגע למערכות בתחום התחבורה. .נמצא כי בשיעור גדול בגופים שנבדקו לא בוצעו סקרי סיכונים בשנים 2019 עד2021 . . כמו כן נמצאכי בשיעור גדול ב גופים שנבדקו לא בוצעו מבדקי חדירה בשנים 2019 .עד 2021 . .על הגופים האמורים לקיים סקרי סיכונים בהתאם למדיניות הגנת הסייבר של משרד .התחבורה. .נמצאו פערים בתחום התיעוד והניטור של מערכות בתחום התחבורה. נושאים אלו .הוצגו לגופים והם מסרו בתשובתם כי הם פועלים לטיפול בממצאים. .נכון למועד סיום הביקורת, באפריל 2022 , לא הושלמה חקיקת חוק הסייבר, וזאת יותר .משבע שנים ממועד החלטת הממשלה 2444 , וכן אסדרת תחום הסייבר לא הושלמה .במסגרת עבודת הצוות הבין-משרדי שהוקם באוגוסט 2021 . נוכח זאת כל מאסדר, נדרש .לפעול באופן עצמאי ולבצע תיקונים בחוקים ובתקנות שלו כדי ליישם את דרישות הסייבר .במגזר שלו, בכלל זה משרד התחבורה (שלא ביצע זאת, כפי שיפורט בהמשך). .על מערך הסייבר להשלים את התהליך הנדרש לצורך חקיקת חוק הסייבר. נושא זה .רלוונטי לכלל המגזרים, לכן מוצע כי מערך הסייבר יפעל יחד עם הצוות הבין-משרדי .להשלמת בחינת אסדרת תחום הסייבר וידון גם בצורך בהכנסת אסדרה רוחבית שתיתן .מענה לכלל המגזרים בתחום הסייבר . .עולה כי במשך יותר משבע שנים לא השלים משרד התחבורה את עבודת המטה אשר היה .צריך להגיש לראש הממשלה בהתאם להחלטה 2443 , לבחינת התיקונים והשינויים .הנדרשים לאסדרה בתחומי פעילותו למימוש אפקטיבי של האחריות להגנת הסייבר .במגזר. משרד התחבורה בחר להמתין לאסדרה במסגרת חוק הסייבר, למעט בתחום .הרכב האוטונומי שהוא נושא אחד מיני רבים, זאת שעה שעלו עיכובים בחקיקתו. .משרד התחבורה החל בפעולות לעגן בחוק (בתחום הרכב האוטונומי) את נושא הסייבר .ועליו להמשיך ולפעול לקדם חוקים ותקנות שנמצאים בתחום אחריותו, ל צורך מימוש .אפקטיבי של האחריות להגנת הסייבר במגזר.
על הגופים האמורים לבחון את הצורך ביישום כל אחד מרכיבי ההגנה לעיל שאינם .מיושמים אצלם ולהתקינם במידת הצורך. יובהר כי כל אחד מרכיבי ההגנה מספק .מענה לצורך אחר ואינם מהווים תחליף האחד לשני.