תחום הגנת הסייבר . מערכות המידע והגנת הסייבר בבחירות לכנסות ה-21, ה-22 וה-23 - ניתוח נתונים ככלי מסייע לבקרה על טוהר הבחירות מוצע שוועדת הבחירות תשלים את הבדיקה של כל המקרים שבהם בוחרים הצביעו לכאורה בשם נפטרים בשלוש מערכות הבחירות שנבדקו, ולגבי אלו שתמצא כי אכן הצביעו, תפעל בהתאם לסמכותה בדין. כמו כן מוצע שהוועדה תיישם מייד לאחר כל מערכת בחירות בדיקה כוללת שתשווה בין הנתונים המופיעים בטופסי 1,000 לנתונים שיתקבלו מרשות האוכלוסין וההגירה בנוגע לנפטרים. עוד מוצע שוועדת הבחירות תבדוק את הסיבות לכך שלמרות הפעולות שנקטה, יש עדיין אזרחים שמצביעים בזהות של נפטרים. מחשוב שלב הזדהות הבוחר ובדיקת זהותו מול מרשם האוכלוסין עשוי לסייע במניע ת הצבעה בשם נפטרים (ראו את ה פרק בנושא "תהליך ההצבעה באמצעות מעטפות הכפולות"). בבדיקה נמצאו 79 בוחריםשהצביעו בשם אנשים ששהו בחו"ל (כ-18% מהמצביעים במדגם) ולגבי 64 אחרים (כ-14% ) לא מצאה ועדת הבחירות את האלפונים של הקלפיות בהן הצביעו. מתוצאות הבדיקה אפשר להסיק כי כ- 1,600 בוחרים הצביעו בשם שוהים בחו"ל (כ- 0.035 % .)מהבוחרים בפועל מוצע שוועדת הבחירות תבחן דרכים למניעת הצבעה בשם נפטרים או בשם מי ששוהים מחוץ לגבולות המדינה ביום הבחירות. עוד מוצע שרשות האוכלוסין וההגירה תעביר לוועדת הבחירות מידע בנושא זה כדי שהוועדה תאתר את ההצבעות שנעשו שלא כדין ותפעל למגר את התופעה. במסגרת זו אף מוצע שרשות האוכלוסין וההגירה בשיתוף ועדת הבחירות יבחנו כיצד לשפר את הזדהות הבוחר, כגון זיהויו באמצעות תעודת הזהות החכמה כפי שיפורט להלן: משרד מבקר המדינה מציע לוועדת הבחירות לבחון את הצורך במיעוט שינויים במספרי הזיהוי של הקלפיות ורשימת הבוחרים בכל קלפי בין מערכות הבחירות השונות, בשיתוף כל גורמי המקצוע המעורבים בתהליך ובהם משרד הפנים, רשות האוכלוסין וההגירה והלשכה המרכזית לסטטיסטיקה. ועדת הבחירות לא ניהלה מסד נתונים אחוד וממוחשב שבו מתועדים כל האירועים שקרו בקלפיות לאורך מערכות הבחירות. מסד נתונים אחוד ושימוש בטכנולוגיה של בינה מלאכותית לניתוח נתונים אלו עשויים לסייע לוועדה בתהליך קבלת ההחלטות, למשל: באמצעות זיהוי מהיר של קלפיות שהיו בהן אירועים חריגים לאורך כמה מערכות בחירות וחיזוי של הפעולות שעל הוועדה לנקוט כדי למנוע הישנות מקרים אלו, כגון הצבת מזכיר נוסף וביקור של מפקחים בקלפי ביום הבחירות. מוצע כי ועדת הבחירות תיצור מסד נתונים אחוד וממוחשב בהתאם להוראות הדין שבו יישמרו נתונים על אירועים שהיו בקלפיות לאורך כמה מערכות בחירות. באופן זה יהיה אפשר ל נתח את הנתונים הקיימים במסד הנתונים ולהפיק מהם מידע היסטורי לגבי אינדיקציות חריגות שהיו בכל קלפי בכל מערכת בחירות וכן מידע היסטורי לגבי הפעולות שנקטה הוועדה ולהפיק תובנות על מידת ההשפעה של פעולות אלו. כמו כן מסד נתונים אחוד ושימוש בטכנולוגיה של בינה מלאכותית לניתוח נתונים אלו עשויים לסייע לוועדה בתהליך קבלת ההחלטות בעת היערכותה לבחירות הבאות וכן בתהליכי הפקת הלקחים. לסיכום, תמונת המצב העולה מהפרק מ למדת כי ועדת הבחירות הכירה באמצע שנת 2017 באיום של תקיפת סייבר על תהליך הבחירות, זאת לאחר שהיה חשש לשיבוש הבחירות בארה"ב בסוף שנת 2016 . כתוצאה מכך החלה ועדת הבחירות בגיבוש תפיסת ההגנה שלה לתקופת הבחירות ובביצוע פעולות להעלאת רמת ההגנה של מערכותיה ולהגנה על דיוק תוצאות הבחירות. נוסף על כך החלה הוועדה בשלוש תקופות הבחירות שנבדקו לשתף פעולה עם מערך הסייבר, שביצע פעולות ובהן גיבוש מעטפת הגנה לכל מערכת בחירות, וביצוע כעשר ביקורות ובדיקות חדירות למערכות. מוצע כי שיתוף פעולה זה יתקיים גם בתקופת שגרה. עם זאת נמצא כי עלו פערים בעניין גיבוש מדיניות הגנת הסייבר. כמו כן נמצא כי במסגרת הביקורות שנערכו בשלוש מערכות הבחירות עלו פערים שלעיתים לא היה אפשר לטפל בהם מפאת החשש לפגיעה תפקודית במערכות בתקופת בחירות ובגלל אילוצי הזמן. בנסיבות הללו ועדת הבחירות גידרה חלק מהפערים שנמצאו בביקורות באמצעים חליפיים. לפיכך מוצע שוועדת הבחירות תכנס את ועדת ההיגוי להגנת הסייבר ותגבש מדיניות לתקופת בחירות ולתקופת שגרה, השונות זו מזו באופן ניכר. כמו כן מוצע שוועדת הבחירות תנהל באופן שוטף את סיכוני הסייבר ברמת הארגון וברמת המערכות. עוד מוצע שוועדת הבחירות תנהל את כל המשימות לתיקון הפערים במסגרת תוכנית עבודה שנתית ורב-שנתית ותבצע מעקב אחר הטיפול בפערים באמצעות ביקורות חוזרות. מוצע שוועדת הבחירות תבקש מכל החברות החיצוניות שמקימות ומתחזקות את מערכות המידע שלה להכין ולנהל באופן שוטף תוכנית עבודה לפיתוח המערכות ולתחזוקה שלהן. כמו כן מוצע שהוועדה תבקש מהחברות להביא לאישורה את תוכניות העבודה כדי תוכל לבחון אם אבני הדרך העיקריות והמשימות שהיא הגדירה כחיוניות ומופיעות בחוזה ההתקשרות נכללו בהן. כמו כן מוצע שהוועדה תבצע בקרה על מידת העמידה ביעדי התוכניות. לסיכום, תמונת המצב העולה מהפרק מלמדת כי בידי מקבלי ההחלטות בוועדת הבחירות אין תמונה מלאה ועדכנית של מערכות המידע והתשתיות המשמשות אותן (רשימת מצאי מעודכנת) ויחסי הגומלין בין המערכות (מסמך ארכיטקטורה). כמו כן הועלה כי הוועדה לא הגדירה לכל נכס מידע את בעל הנ כס, סיווגו ורמת הדחיפות שלו במקרה של התאוששות מאסון. נתונים אלו חיוניים בעת ביצוע סקרי סיכונים וכן כדי לאתר רכיבים פחות מוגנים - שאינם נתמכים על ידי היצרן או שיש להם חולשות מוכרות ועשויים להיות החוליה החלשה שבאמצעותה תוקפים ינסו לפגוע באמון הציבור. כמו כן ועדת הבחירות פועלת ללא מסמך לניהול המשכיות תפקודית המגדיר את המערכות והתהליכים החיוניים להמשך פעילותה בתקופת הבחירות ואת הזמן הנדרש להתאוששותם. על פי הגדרת יה"ב לספק מהותי עולה כי כל ספקי מערכות המידע של ועדת הבחירות הם ספקים מהותיים, היות שהם מספקים לוועדה שירותי פיתוח, תמיכה ותחזוקה של מערכות המידע שלה. אף שוועדת הבחירות אינה כפופה להנחיות יה"ב, נוכח רגישות המידע במערכות, יש מקום שוועדת הבחירות תחיל על עצמה את הנחיית יה"ב בנושא או תגבש הנחיה מקבילה, תוודא כי ספקיה המהותיים מיישמים את תהליך ההתעדה וכן תבצע בחינת עמידות לספקים. מומלץ שוועדת הבחירות תקפיד בכל התקשרות חדשה או חידוש התקשרות על כך שהספק יהיה בעל תעודה בתוקף של "ספק מאושר" בהיבט של אבטחת מידע. מומלץ שוועדת הבחירות תאמץ מתודולוגיה מקובלת בתחום התקשוב ותכסה את כל הנדבכים הרלוונטיים בעת כתיבת מכרז להקמת מערכת מידע ובפרט כל נושאי האבטחה. מוצע שאגף המחשוב יכין תוכניות עבודה שנתית ורב-שנתית לפעולותיו העיקריות ויבצע בקרה חצי-שנתית על מידת עמידתו ביעדי התוכנית. כמו כן אף שוועדת הבחירות היא גוף סטטוטורי שאינו כפוף לרשות התקשוב הממשלתי, מוצע כי הוועדה ואגף המחשוב יבחנו את התועלת בקבלת ייעוץ מרשות התקשוב במהלך הכנת תוכנית העבודה ובבקרה על ביצועה, בדומה לייעוץ שמקבלים המנמ"רים בכל משרדי הממשלה, ואף ישקלו לאמץ את הנחיות רשות התקשוב לגבי נתונים שכדאי שייכללו בתוכנית העבודה. נמצא כי אגף המחשוב אינו מנהל תוכניות עבודה שנתיות עבור מערכות המידע שלו שמצויות בשלבי תחזוקה, אף שכאמור ב לוח 2 ,בשנת 2019 , שהתקיימו בה שתי מערכות בחירות, היקף התשלומים לחמש החברות החיצוניות שמתחזקות את המערכות האלו היה כ-50 .מיליון ש"ח עוד נמצא כי אגף המחשוב לא ניהל בשנת 2019 תוכנית עבודה שנתית או רב-שנתית להקמת מערכת, אף שהקמת המערכת הייתה כרוכה בביצוע משימות רבות שמעורבים בהן גורמים שונים שנדרש תיאום ביניהם, ואף שסך התשלומים עבורה לחברות החיצוניות בבחירות לכנסות ה-22 וה-23 היה בשווי 6.8 מיליון ש"ח.
להלן דוגמאות לנושאים חסרים בנספחי אבטחת המידע מול הנדרש בנספח אבטחת המידע לפי נוהל מפת"ח: