נושאים מערכתיים . שימוש משרדי ממשלה בענן ציבורי וההיערכות להקמת ענן מרכזי .עולה אפוא כי עד מועד סיום הביקורת, באוקטובר 2020 , טרםהושלם יישום תקציב .מעבר מערכות המידע במשרדי הממשלה לענן. .מומלץ כי רשות התקשוב ומשרד האוצר יפעלו למימוש הקצאת התקציב למעבר משרדי .הממשלה לענן. .משרד מבקר המדינה רואה בחיוב את פרסומי המדיניות וההנחיות של רשות התקשוב .ואת עדכונן בהתאם להתפתחויות הטכנולוגיות. .עלה כי משרד הבריאות השלים, במהלך הביקורת, הפצת חוזר מנכ"ל בנושא השימוש .במחשוב ענן במערכת הבריאות. גופים ממשלתיים וציבוריים שונים שוקדים על גיבוש ופרסום קווים מנחים וחוזרים בנושא .מחשוב ענן, מתוך זיהוי הסיכונים הטמונים בהעברת מידע ופעילות לענן. .לצד השמירה על עצמאות גופי האסדרה, מוצע לרשות התקשוב לעקוב אחר האופן שבו .מקדמים ומיישמים גופים ממשלתיים את המעבר למחשוב ענן על מנת לוודא כי כל .התחומים הרלוונטיים נלקחים בחשבון. מומלץ כי רשות התקשוב תבחן הנחלת מדיניות .אחידה לכלל הגורמים אשר תוכל לשמש כבסיס לרגולציות פרטניות. פעולה זו עומדת .בהלימה לתפקידי רשות התקשוב כפי שהוגדרו על ידי הממשלה. .עוד מומלץ כי רשות התקשוב תטמיע הסדר לפיו כל גורם מאסדר במערכת הממשלתית .אשר מעוניין להוציא חוזר בתחום מחשוב ענן לגופים ממשלתיים הפועלים תחת פיקוחו, .יעשה זאת לאחר שטיוטת החוזר תתואם עם רשות התקשוב ותוצג במסגרת ועדת .התקשוב העליונה23 ,. באופן זה ניתן יהיה לקיים בקרה נוספת על הוצאת החוזרים כאמור .וכן הדבר יתרום לתיאום וסנכרון בין המדיניות הממשלתית הכוללת אל מול פעולותיהם .של הגורמים המאסדרים השונים. .מומלץ כי הוועדה המייעצת תבחן קביעת תקינה מחייבת בישראל לספקי מחשוב ענן .אשר תשמש את רשות התקשוב ויה"ב. עוד מומלץ כי במסגרת מיפוי המערכות בענן .הוועדה המייעצת תוודא כי גם במיזמי ענן שיושמו לפני הקמת הוועדה נבחרו ספקים .המחזיקים בהסמכות אבטחת מידע מספקות. .מתרשים 9 עולה כי על פי תשובות המשרדים, במרבית המערכות שתוכננו לעבור .למחשוב ענן נושאים רבים לא נבדקו טרם ההחלטה על היישום בענן - למשל דרכים .להפחתת סיכונים בתחומים שונים, כגון פגיעה במוניטין וכישלון בשרשרת האספקה; .יכולת המשרד להתנתק מהספק ולחזור למערכת בסביבה מקומית. לשם המחשה, רק .ל-28 מבין84 ( מערכות33% ) בוצעו10 בדיקות או יותר מתוך ה-14 .שצוינו במהלך הביקורת, בדצמבר2020 , פרסמה רשות התקשוב הנחיה בנושא "אישור, תכנון .ובקרה לשירותי ענן" (להלן - ההנחיה החדשה). ההנחיה החדשה מפרטת דגשים ובקרות .אשר על המשרד לבצע בעת יישום פרויקט מחשוב ענן, לרבות בקרות בשלבים הבאים: .תכנון; הכנת ההזמנה; יצירת ההתקשרות; אישור ההתקשרות והשימוש השוטף בשירותי .הענן. .לאור הממצאים שפורטו, מומלץ כי רשות התקשוב תבחן את הצורך בעדכון ההנחיה .החדשה כך שתכיל את מכלול הבדיקות אשר על המשרדים לבצע לפני ההחלטה על .יישום מערכת בסביבת הענן, וכן תבצע בקרה על ביצוע ההנחיה בידי המשרדים, .בהלימה לתפקיד רשות התקשוב כפי שנקבע בהחלטת ממשלה 2097 - לשמש גורם .אחראי על קביעת סטנדרטים בתחום טכנולוגיות המידע וסיוע בהטמעתם. מתרשים 10 עולה כי על פי תשובות המשרדים, הם אינם בודקים באופן אחיד וקבוע .גורמים רבים הקשורים לספק ולהסכם ההתקשרות עימו. בין היתר , בהתקשרות עם .ספק לא נבדקים פעמים רבות קיומו של מנגנון פיצוי נאות במקרה של נזק, קיומם של .כלי פיקוח על פעילות הספק או ספקי משנה וכיו"ב. לשם המחשה, רק ל-18 מבין74 .( מערכות24% ) בוצעו14 בדיקות או יותר מתוך ה-20 שצוינו. בביקורת עלה כי ל עיתים .לדעת המשרדים בחירה בספק עולמי מוביל מייתרת את הצורך בביצוע הבדיקות .המתוארות. עם זאת, משרדים אשר ביצעו את הבדיקות האמורות גילו פערים אשר היה .קל יותר לצמצם אותם לפני החתימה על החוזה, כגון קביעת כללים ברורים לסיום .ההתקשרות ותכלול מול מערכות אחרות בארגון. .כאמור, במהלך הביקורת, בדצמבר 2020 ,, פרסמה רשות התקשוב את ההנחיה החדשה .הקובעת בין היתר כי עד לסיום מכרז נימבוס יש צורך באישור מרשות התקשוב ולאחר .מכן ממינהל הרכש לכל התקשרות חדשה או הארכה של התקשרות קיימת בנושא ענן. .הנחיה זו הוגדרה כמסמך מדיניות אשר תוכנו מחייב את קהל היעד - מנהלי אגפי .טכנולוגיות מידע, מנהלי טכנולוגיות, מנהלי יישומים ומנהלי פרויקטי ענן ביחידות .המונחות על ידי רשות התקשוב. .על פי פרוטוקול הוועדה, היה על משרד רה"ם לבצע בדיקות חדירה או סקר סיכונים .למערכת כל 18 חודשים, החל ממועד הקמתה. בביקורת נמצא כי נכון לפברואר2021 , . טרם בוצעו בדיקות חדירה נוספות על אלו שבוצעו בהקמת המערכת, וכן לא בוצע סקר .סיכונים נוסף. .על משרד רה"ם לבצע בדיקות חדירה או סקרי סיכונים למערכת, בהתא ם להנחיות .הוועדה המייעצת של יה"ב. כמו כן, על משרד רה"ם להקפיד לבצע בדיקות אלו בכל 18 .חודשים, בהתאם להנחיות ה וועדה. .מבדיקת שלושת הפרויקטים עולה כי היבטי אבטחת המידע והגנת הסייבר הובאו .בחשבון בשלב ההקמה של כל אחד מהם. לצד זאת, היבטים הקשורים לבקרה תקציבית .על פרויקטים אלו אינם מוסדרים, וכל משרד מנהל את הבקרה התקציבית על פרויקטים .אלו כפי שהוא מוצא לנכון. כפי שתואר לעיל, אחד ממאפייני מודל מחשוב הענן הוא .צריכת משאבים על פי הצורך, כך שעלות השימוש במחשוב ענן יכולה להשתנות באופן .ניכר מדי חודש. האמור מחזק את הצורך בביצוע בקרה תקציבית מסודרת ושוטפת על .מערכות מחשוב ענן. .לאחר סיום הביקורת, בנובמבר 2020 פרסם מינהל הרכש הוראת תכ"ם "קווים מנחים .לאישור ובקרת התקשרויות בענן". בהתאם להוראה, על המנמ"ר לערוך בקרה על .ההתקשרויות בנושא הענן ולדווח על ממצאיה לחשב המשרד, במסגרת אישור .החשבונות והרכישות הנוספות. ה הוראה מפרטת את הבקרות המקובלות שחשבי .המשרד יכולים לבקש תיעוד בגינן מהמנמ"ר. .מתשובותיהם של 42 משרדים על השאלון שהפיץ משרד מבקר המדינה עולה כי על אף .ההנחיה של מנהל יה"ב, במשרדים אלה פועלות כ -10 מערכות בסביבת ענן בלא .שהתבקש לגביהן אישור הוועדה המייעצת. היעדר בחינה של הוועדה עלול להביא .להתממשות סיכוני אבטחת מידע משמעותיים במערכות אלו. . מהתרשים עולה כי מרבית ה משרדים אינם מטפלים בהיבטים רבים הקשורים ליישום .מערכות מחשוב ענן, כגון עדכון תוכנית ההמשכיות העסקית של המשרד, הכנת תוכנית .להסבת נתונים ולטיובם ובחינת עלות-תועלת שוטפת . היעדר הטיפול בהיבטים אלו בעת .יישום המערכת עלול לפגוע בשירות שנותן המשרד, בתכנון התקציבי שלו ועוד. .לאור הממצאים שפורטו לעיל, מומלץ כי רשות התקשוב תוודא כי מכלול ההיבטים באים .לידי ביטוי בהנחיה החדשה, ותבצע בקרה על יישום ההנחיה בידי המשרדים. .מהלוח שלעיל ניתן לראות כי נושא התקינה של אבטחת המידע והגנת הסייבר במחשוב .ענן מעסיק ארגונים ומוסדות רבים בעולם, על מנת לנסות להגן ככל שניתן על ארגונים .המבקשים ליישם מחשוב ענן. בביקורת עלה כי אין תקינה אחת מחייבת למגזר הציבורי .בישראל בכל הקשור לאבטחת מידע ב מחשוב ענן, וכי הגורמים המנחים השונים בוחרים .את התקינה שלדעתם רלוונטית. משרד מבקר המדינה ממליץ כי מערך הסייברישלים עדכון מסמך תורת ההגנה, כך .שיכלול מענה מיטבי לנושא אבטחת המידע בשימוש במחשוב ענן עבור המשק בכללותו .ומשרדי הממשלה בפרט. מוצע כי מערך הסייבר יבחן ביצוע עריכת סקר עתי לבדיקת קריאת ויישום ההנחיות בידי .הגופים השונים, הן על מנת לצמצם את הסיכון כי לא ניתן מענה ראוי לנושא אבטחת .המידע ביישום מערכת בסביבת הענן והן על מנת לבחון את אפקטיביות פעולותיו. עוד .מומלץ כי מערך הסייבר י משיך ל פעו ל להסדרת סמכויות פיקוח ובקרה על יישום .הנחיותיו. .מהתרשים עולה כי כ-60% מהמשרדים שהשיבו על השאלון לא ביצעו תהליך הפקת .לקחים לגבי יישום מערכת הענן , אף כי תהליך הפקת לקחים הוא חלק משמעותי .מיישום של כל מערכת מחשוב. .מהתרשים שלעיל עולה כי על פי תשובות המשרדים, ברוב מוחלט (כ-99% )של מערכות .המידע בסביבת הענן המשרדים לא נתקלו בתקלות או שהיו להם תקלות מעטות. מפגישות שקיים משרד מבקר המדינה ביולי 2020 ,עם שלושת משרדי הממשלה שלעיל .עולה כי בשני פרויקטים לא בוצע תהליך מכרזי אלא התקשרות בפטור ממכרז בעילה .של ספק יחיד ועל בסיס הסכם מחירים מרביים 70 שקיים עם ספק התוכנה, על אף .שההסכם לא חל על שירותי הענן של הספק. על פי נתוני יה"ב, ספק זה נבחר על ידי .משרדי הממשלה ב-43 מתוך102 .פרויקטים שאושרו על ידי הוועדה המייעצת .מומלץ כי מבקרי הפנים בכלל משרדי הממשלה וכן האגף לביקורת רשויות מקומיות .במשרד הפנים יתנו את דעתם לחשיבות הנושא של מחשוב הענן וישקלו לשלב נושא זה .בביקורת בהתאם למתודולוגיות המשמשות גופים אלו לבחירת הנושאים לביקורת . . מבדיקה שביצע משרד מבקר המדינה עלה כי נכון למועד הביקורת אין בקרהעל יישום .הנחיות מערך הסייבר בידי הגופים השונים. כמו כן עלה כי למערך הסייבר אין הסמכות .לקיים פיקוח ובקרה על יישום הנחיותיו בנושא הענן בגופים השונים, למעט הגופים .המוגדרים תשתית מדינה קריטית. .נמצא כי נכון למרץ 2021 , פורסמו מכרזים לרבדים3-1 וטרם פורסמו זוכים לרבדים .אלו33 . עוד נמצא כי טרם פורסם מכרז לרובד4 וכי אין לוח זמנים ליישום רובד זה ולסיום .המכרז כולו. .לאור העובדה כי הצלחת פרויקט נמדדת בין היתר בעמידה בלוחות הזמנים ביחס .לתכנון 34 , מומלץ כי מינהל הרכש ורשות התקשוב יקבעו לוח זמנים ליישום הרובד .הרביעי ולסיום מכרז נימבוס כולו. .משרד מבקר המדינה מציין את הרחבת פרויקט נימבוס תוך שילוב גופים נוספים, כגון .גופים מוסדיים ופיננסיים, וכן את שילובו של צה"ל בפרויקט. הרחבת הפרויקט מאפשרת .איגום משאבים לאומי ויעילות תקציבית. .נוכח תגובותיהם של מערך הסייבר, משרד הפנים ומש"ם ראוי כי משרד הדיגיטל הלאומי .ומשרד הפנים, בשיתוף משרד המשפטים, יבחנו את סוגיית הובלת נושא הגנת הסייבר .ברשויות המקומיות ותכלולו. .כאמור, במהלך הביקורת אישר מינהל הרכש הממשלתי להחריג את מכרז מסגרת 21/17 . מהמכרז המרכזישל פרויקט נימבוס עד כניסתו לתוקף, ובכך א פשר לרשות התקשוב .לתת מענה לצרכים המיידיים של משרדי הממשלה השונים בכל הקשור למעבר לשירותי .ענן. .צירוף הרשויות המקומיות למכרז נימבוס עשוי להביא לחיסכון במשאביהן .ולסטנדרטיזציה בתחום מחשוב הענן. מומלץ כי משרד הפנים יגבש תוכנית רב-שנתית .לשילוב הרשויות המקומיות במכרז נימבוס, תוך בחינת הפעולות הנדרשות ליישום מהלך .זה במערכת מבוזרת הכוללת 257 רשויות מקומיות. בהכנת התוכנית ראוי לתת את הדעת .להיבטים של קיום מתווה ראשוני הכולל הנחיות של המשרד לרשויות המקומיות, .הסברה, הדרכה והטמעה, תקצוב וכיו"ב. .מוצע כי משרד הפנים ומערך הסייבר יפעלו לקידום הקמת מרכז שליטה ובקרה מרכזי .לטיפול ומתן מענה לאירועי סייבר ברשויות המקומיות בהקדם, כדי להבטיח רציפות .תפקודית של הרשויות המקומיות. יש לתת את הדעת למערכת היחסים בין השלטון .המרכזי לשלטון המקומי - הרצון לשמר את עצמאות השלטון המקומי מצד אחד, והצורך .להתוות מדיניות וסטנדרטים אחידים בידי השלטון המרכזי מצד שני. .פרויקט מעבר לענן במשרד ממשלתי הוא פרויקט רב -שנתי ובו נדבכים שונים, כגון .הקמת תשתית טכנולוגית, התקשרויות, אבטחת מידע והכשרת ההון האנושי. מהתרשים .עולה כי ביולי 2020 בכ-61% ממשרדי הממשלהשהשיבו לשאלון לא הייתה תוכנית אב .למחשוב, או שבתוכנית האב שלהם לא הייתה התייחסות למחשוב ענן. מהאמור עולה כי מדינות רבות מקדמות אתהשימוש הממשלתי בענן הציבורי, מתוך .הבנה כי הנושא הכרחי לקידום מוכנות גבוהה יותר לטכנולוגיה המתפתחת ולאתגרים .שיעמדו לפני המדינות בעתיד. .משרד מבקר המדינה מציין כי אין בתוכנית התקשוב האסטרטגית של רשות התקשוב .כדי להבטיח שכל משרד ממשלתי יקדם את מכלול פעולותיו בהתאם לתוכנית רב- .שנתית הכוללת בין היתר פרויקטים של פיתוח, הטמעה ותחזוקה שמיושמים לאורך .שנים. .מומלץ כי כלל משרדי הממשלה ישלימו הכנת תוכנית אב למחשוב העוסקת גם ב מחשוב .ענן, נוסף על תוכנית התקשוב האסטרטגית של רשות התקשוב. .מהתרשים עולה כי רק שלושה מהמשרדים שהשיבו לשאלון (כ-7% ) ענו שאין להם .כוונה להשתמש בשירותי מחשוב ענן; ב-23 משרדים(52% )נעשה כיום שימוש במחשוב .ענן; וב-16 משרדים(כ-36% )מתוכנן שימוש במחשוב ענן בשנים הבאות. .מתרשים 7 עולה כי החסמים ה עיקריים המעכבים או המונעים מעבר מערכות מידע לענן .הם בירוקרטיה פנים -ארגונית וחוץ-ארגונית, היבטי אבטחת מידע , היבטי ציות ומיקום .ה- Data Center . .מוצע כי רשות התקשוב תבטיח בהמשך פעולותיה מתן מענה ל חסמים שהעלו .המשרדים על מנת להקל על יישום הפרויקטים בענן בעתיד, הן על ידי המשרדים באופן .עצמאי והן במסגרת פרויקט נימבוס. .טכנולוגיית הענן מאפשרת גישה נוחה ורחבה, באמצעות המרשתת או קו תקשורת ייעודי, .למאגר משותף של משאבי מחשוב. אפשר להשתמש במשאבים אלו על פי הצורך, וניתן .להקצותם או לבטל את הקצאתם במהירות ובלא להשקיע משאבי ניהול מרובים. שימוש .נכון בטכנולוגיה זו עשוי לייעל את עבודת משרדי הממשלה, לשפר את תהליכי העבודה .ולאפשר רמה גבוהה של אבטחת מידע והגנת הפרטיות במידע ממשלתי. לצד זאת, .השימוש בטכנולוגיית הענן מעמיד אתגרים ניכרים בתחומים רבים, בהם אבטחת מידע .והגנת הפרטיות, בקרה תקציבית, תלות בספק תשתית הענן וכיו"ב . .בשנים האחרונות פועלת ממשלת ישראל להעברת משרדי הממשלה ויחידות הסמך .למודל מחשוב ענן, בין היתר באמצעות הגדרת מדיניות והנחיות מתאימים, הקמת ועדה .מייעצת בתחומי אבטחת מידע והגנת הפרטיות והכנת מכרז לאספקת שירותי ענן על גבי .מסדת מרכזית שתוקם בישראל. עם זאת, על פי המידע הקיים ביה"ב, נכון למועד סיום .הביקורת עברו לסביבת הענן רק כ-100 מערכות מתוך אלפי מערכות המידע ותשתיות .המחשוב הקיימות בממשלה. .תמונת המצב העולה מדוח זה מלמדת על חסמים שונים המעכבים או מונעים יישום של .מערכות במחשוב ענן במשרדי ממשלה; על היבטים שונים שהמשרדים אינם מביאים .בחשבון בעת היישום ושעשויים לגרום נזק, החל בנזק כספי וכלה בנזק תדמיתי; על קושי .בבקרה על יישום הנחיות למעבר לענן אצל המשרדים, ובבקרה על גופים הכפופים .להנחיות המגזריות של המשרדים אך אינם כפופים להנחיות רשות התקשוב ויה"ב; ועל .מחסור במסגרת עבודה כוללת ומאושרת להעברת הממשלה לענן. .לשם יישום מיטבי של השימוש במערכות מחשוב ענן קיימות וכאלו שיוקמו בעתיד, ראוי .כי החסמים והליקויים שפורטו וההמלצות שניתנו יקבלו מענה כולל, לרבות במסגרת .מכרז נימבוס והקמת מרכז המצוינות התפעולית בענן. .יצוין כי במהלך הביקורת פרסמה רשות התקשוב בדצמבר 2020 ,הנחיה בנושא "אישור .תכנון ובקרה לשירותי ענן". ההנחיה החדשה מפרטת דגשים ובקרות אשר על המשרד .לבצע בעת יישום פרויקט מחשוב ענן, לרבות בקרות בשלבים הבאים: תכנון; הכנת .ההזמנה; יצירת ההתקשרות; אישור ההתקשרות והשימוש השוטף בשירותי הענן. כן יצוין .כי בנובמבר 2020 פרסם מינהל הרכש הוראת תכ"ם "קווים מנחים ל אישור ובקרת .התקשרויות בענן". .משרד מבקר המדינה ממליץ כי לאור הגידול הצפוי בהתקשרויות הנוגעות למעבר .לסביבת ענן, מינהל הרכש יוודא את העמידה בהנחי ותיו בכל הנוגע להתקשרויות בין .המשרדים לספקים לקבלת שירותי מחשוב בסביבת ענן, ולצורך כך יבחן את הצורך .לבצע אחת לכמה שנים מיפוי כולל של ההתקשרויות - כולל מועדי ההתקשרויות, תוקפן .ועלותן. מוצע כי משרדי הממשלההמשמשים כמאסדרים של מגזר פעילות יבחנו את הצורך .בהקמת ועדות ענן ייעודיות לגופים הכפופים להנחיות המגזריות וביצוע בקרות על יישום .מערכות בענן של הגופים, על מנת להבטיח את רמת אבטחת המידע והגנת הסייבר בעת .יישום מיזמי מעבר לענן בקרב גופים אלו. בעת הבחינה יש לקחת בחשבון כי לעיתים .הגופים המונחים הם חברות ציבוריות ופרטיות ויש לעדכן בהתאם את מערכת היחסים .הרשמית מולם, לדוגמה עדכון תנאי רישיון, הסדרת תנ אי פיקוח וכדומה. לחילופין, .מומלץ כי משרדי הממשלה יבחנו את האפשרות להנחות את הגופים הכפופים .והמפוקחים על ידם להקים ועדות ענן פנימיות אשר ידווחו למשרד הממשלתי על יישום .מערכות בענן.
מחשוב ענן הוא חלק עיקרי בתקשוב הממשלתי בכלל ובתוכניות העבודה העתידיות .בפרט. ממצאיו של פרק זה מלמדים כי היבטים שונים הקשורים ליישום מערכות ענן אינם .מקבלים מהמשרדים התייחסות מיטבית ובזמן המתאים . בין היבטים אלו ניתן למנות בחינת .עלות תועלת, הגדרת מדדי הצלחה וכישלון, בדיקות הקשורות לספק המערכת ו להסכם .ההתקשרות לרבות כללים לסיום ההתקשרות , היערכות להסבת נתונים, קיום הליך סדור .ל הפקת לקחים וכיו"ב . היעדר ההתייחסות להיבטים אלו ע לול לפגוע בשירות ים שנ ותן .המשרד, בתכנון התקציבי שלו , ברציפות הפעילות של המערכת ועוד. .נכון למועד הביקורת לא הוקם הליך סדור להפקת לקחים ממשלתית מיישום מערכות .בסביבת הענן. הליך שכזה יכול לסייע בזיהוי החסמים, הקשיים והפערים הקיימים אצל .משרדי הממשלה בבואם ליישם מערכות בסביבת הענן ולתת מענה מתאים. .יצוין כי במהלך הביקורת פרסמה כאמור רשות התקשוב בדצמבר 2020 הנחיה בנושא ."אישור, תכנון ובקרה לשירותי ענן". עד למימוש מלא של מכרז נימבוס על כל רבדיו .מומלץ כי רשות התקשוב תבחן כיצד ניתן לתת מענה לצורך לקיים בקרה עיתית על .אופן יישום המעבר לענן. .בנוסף, מומלץ כי רשות התקשוב תבחן מיסוד הליך סדור להפקת לקחים מיישום .מערכות בסביבת ענן במשרדים, אשר יוכל לסייע ביצירת סטנדרטיזציה ויקל על יישום .מערכות נוספות בסביבת הענן.