מרכז השלטון המקומי בישראל . אבטחת מידע והגנת הפרטיות ברשויות מקומיות משרד מבקר המדינה העלה כי מאז הוקמה הרשות למשפט, טכנולוגיה ומידע היא לא קבעה נהלים והנחיות לרשויות המקומיות המחזיקות במאגרי מידע; לא קיימה פעולות פיקוח ואכיפה על רישום מאגרי מידע ברשויות המקומיות; ולא הטילה קנסות על רשויות מקומיות שלא קיימו את חובתן (בעניין זה ראו להלן). לדעת משרד מבקר המדינה, ראוי שהרשות למשפט, טכנולוגיה ומידע תגבש תכנית למימוש אחריותה בתחום אבטחת המידע והגנת הפרטיות בשלטון המקומי. לפעילותן של כ -250 רשויות מקומיות בתחום אבטחת מידע והגנת הפרטיות חסרה אסדרה ברמה הממשלתית שתאפשר להניח את התשתית הנוהלית והמקצועית לטיפול בנושא. משרד הפנים ומשרד המשפטים לא נקטו פעולות של ממש לקידום פעולתן של הרשויות המקומיות בתחום זה. המינהל לשלטון מקומי במשרד הפנים והרשות למשפט, טכנולוגיה ומידע במשרד המשפטים נדרשים לקדם פעילות משותפת לצורך קביעת נהלים והנחיות לפעולתן של הרשויות המקומיות. במסגרת זו יש לקבוע את סדרי הטיפול, את הגופים הממוני ם, את פעולות הפיקוח ועוד. בבדיקת משרד מבקר מדינה התברר כי רק אחת משבע הרשויות שנבדקו - עיריית אשקלון - מינתה ממונה על אבטחת מידע, במאי 201113 , ועובד זה חסר הכשרה בנושא אבטחת מידע. בעקבות הביקורת, בספטמבר 2011 , מונה בעיריית בני ברק ממונה על אבטחתמידע. לדעת משרד מבקר המדינה, על הרשויות המקומיות שנבדקו למנות לאלתר ממונים על אבטחת מידע כמתחייב מחוק הגנת הפרטיות. כמו כן על משרד הפנים ועל הרשות למשפט, טכנולוגיה ומידע לקדם בדיקה בנושא בכלל הרשויות המקומיות ופעולות אשר יבטיחו את מילוי הוראות הדין המחייבות. על משרד הפנים לבחון אם יש מקום להנהיג את ההסדר האמור שנקבע לגבי גופים ציבוריים בחוק להסדרת הביטחון , שלפיו קציני הביטחון מופקדים על פעולות לאבטחת מידע ומערכות מידע, גם ברשויות המקומיות. לדעת משרד מבקר המדינה, על הרשויות המקומיות לקיים פעולות בקרה בתחום אבטחת המידע והגנת הפרטיות ולנטרן, כדי לזהות מקרים שבהם גורמים בלתי מורשים מבצעים פעולות חריגות או מנסים לבצען. . .בחמש משבע הרשויות המקומיות שנבדקו לא נקבעו נוהלי אבטחת מידע בעיריית אשקלון, אחת מן השתיים שנקבעו בהן נוהלי אבטחת מידע, הנהלים מיושמים באופן חלקי בלבד. לדוגמה, בנוהל נקבע כי הממונה על אבטחת מידע יקבע את המדיניות, אך במועד סיום הביקורת עדיין לא הוכן מסמך מדיניות. באוקטובר 2001 הכין יועץ חיצוני עבור עיריית בני ברק טיוטה ובה 40 נהלים בתחום אבטחת מחשבים ומערכות מידע, אך הנהלת העירייה מעולם לא אישרה טיוטה זו, ונהליה אינם מיושמים. לדעת משרד מבקר המדינה, על משרד הפנים להוציא קובץ הנחיות מחייב לרשויות המקומיות בנושא אבטחת מידע והגנת הפרטיות ולוודא את הטמעתו ואת יישומו. עד שיפורסמו הנחיות אלו על עיריות אשקלון ובני ברק ליישם את נוהלי אבטחת המידע שהכינו במלואם. משרד מבקר המדינה העלה כי בחמש משבע הרשויות שנבדקו (רמת ישי, בני עי"ש, טירה, בני ברק ויהוד -מונוסון) לא נקבעו כללים מחייבים לאבטחה לוגית של המידע. לדוגמה, נמצא כי הפסיכולוגים והמזכירה העובדים בשירות הפסיכולוגי בעיריית יהוד -מונוסון משתמשים בשם משתמש ובססמה זהים, וכך לא ניתן לדעת מי השתמש במחשב, מתי ובאילו קבצים טיפל. בעיריית יקנעם עילית נמצא כי קצינת ביקור סדיר במחלקת החינוך מקלידה רק שלושה תווים בכניסתה למחשב. רק בעיריית אשקלון נקבעו הנחיות לגבי הרשאות גישה למחשבים, ונקבע שיש צורך בהחלפת ססמאות, אך במחשב באגף הגבייה שמחובר לרשת המחשבים של העירייה נמצא כי ססמת הכניסה מורכבת מרצף של מספרים עוקבים וללא שילוב אותיות (בעניין זה ראו להלן). .לדעת משרד מבקר המדינה, ראוי שעיריית יהוד -מונוסון תקבע בהקדם מדיניות אבטחת מידע שתכלול הפקת "לוגים" מהמערכת, וראוי שתמנה אחראי לבדיקתם ולניתוחם. הביקורת העלתה כי בשום רשות מן הרשויות שנבדקו לא מתבצעת בקרה לוגית של פעילות המערכות הממוחשבות, ולכן אי-אפשר לברר אם אירעו אירועים חריגים; וכאמור, אין בהן ממונה על אבטחת מידע בעל הכשרה מתאימה שאמור לטפל באירועים חריגים המנוטרים באמצעות מערכת ה"לוגים". לדעת משרד מבקר המדינה, בנוהל שיגובש יש לכלול את ההוראות בדבר הסדרת האבטחה הלוגית והבקרה הלוגית. על בסיס נוהל כולל זה יכינו הממונים על אבטחת מידע ברשויות המקומיות כללים מפורטים לניהול מערכת הססמאות, ואלה יחייבו את כלל המשתמשים. כמו כן ראוי שייקבעו וייושמו כללי בקרה לוגית, יוגדרו האירועים החריגים וינוטרו הלוגים. מן הראוי שכללים אלה יפורסמו ויתבצע פיקוח על יישומם. משרד מבקר המדינה העלה כי הרשויות המקומיות שנבדקו לא ביצעו מעולם סקרי סיכונים ומבחני חדירה. לדעת משרד מבקר המדינה, על כל רשות מקומית לקבוע במסמך מדיניות אבטחת המידע שלה הוראות אשר יבטיחו כי יתבצע ניהול סיכונים על כל מרכיביו. משרד מבקר המדינה העלה כי בשום רשות משבע הרשויות שנבדקו לא הוקמו ועדות למסירת מידע. בעיריית אשקלון מונתה ועדה כזאת רק במהלך הביקורת ביוני 2011. משרד מבקר המדינה העלה כי תש עת בתי הספר שנבדקו לא מסרו למשרד החינוך דיווח עד המועד שנקבע. במועד סיום הביקורת ביולי 2011 עדיין לא סיים משרד החינוך את תהליך המיפוי של כלל מאגרי המידע של בתי הספר. . בעקבות תשובת משרד החינוך עשה משרד מבקר המדינה בירורים עם חלק ממנהלי בתי הספר שנבדקו. בדיקתו העלתה כי אף שבחוזר מנכ"ל משרד החינוך נקבע כי מנהל בית הספר הוא הממונה על אבטחת המידע במאגרים שבבית ספרו, ואף שחלקם אף חתמו על הצהרה כזו, הם אינם מודעים לתפקיד המוטל עליהם ולא קיבלו הדרכה בנושא. עוד נמצא כי מינהל תקשוב ומערכות מידע במשרד החינוך אינו מפקח על יישום הנוהל בבתי הספר ואינו אוכף אותו. לדעת משרד מבקר המדינה, מאחר שכל מנהלי בתי הספר ממונים על אבטחת המידע בבתי הספר, ראוי כי יקבלו הדרכה בנושא אבטחת מידע ומאגרי מידע. משרד מבקר המדינה מעיר כי על הרשויות המקומיות להקים ועדות ייעודיות לנושא העברת מידע בין גופים ציבורי ים וכן לקבוע נהלים ייעודיים בנושא זה, כפי שנקבע בתקנות. . ככלל, הרשויות המקומיות שנבדקו לא קיימו פעולות הדרכה והסברה בתחום אבטחת המידע. מקרב הרשויות המקומיות שנבדקו רק עיריית אשקלון הכינה תכנית הדר כה שנתית לאבטחת מידע וביצעה פעילות רענון להגברת המודעות בנושא האבטחה, ורק בה פועל ממונה אבטחת מידע המארגן את ההדרכות. לדעת משרד מבקר המדינה, מן הראוי שהרשויות המקומיות יקיימו פעולות הדרכה והסברה בתחום אבטחת המידע בדומה לדרישות המפורטות בנוהל המסגרת. . משרד מבקר המדינה העלה כי כל בתי הספר שנבדקו לא מיפו ולא סיווגו את מאגרי המידע שלהם. משרד מבקר המדינה העלה כי הוראה זו שבחוזר מנכ"ל משרד החינוך אינה מיושמת בכל בתי הספר שנבדקו. בחלק מבתי הספר נמצא כי ססמאות למערכת המנב"ס מוחלפות רק פעם בשנה או בשנתיים, ובאחד מבתי הספר היא לא הוחלפה כלל במשך שנים. על משרד הפנים לבחון האם יש צורך להוסיף לנוהל בנושא העסקת חברות גבייה הנחיות שיבטיחו שחברות הגבייה ינקטו פעולות ממשיות לאבטחת המידע שבידן וישתמשו בו בהתאם להור אות הדין. כמו כן יש להבהיר את אחריותן של הרשויות המקומיות לכך שהחברות שעמן הן יתקשרו יבצעו את פעולות האבטחה הנדרשות. זאת ועוד, על הרשויות המקומיות הפועלות באמצעות חברות גבייה למלא את הוראות הנוהל שנקבעו בעניין השימוש במידע ובעניין ההקפדה על סודיות. משרד מבקר המדינה העלה כי בארבעה מבתי הספר שנבדקו אין מערכת אל פסק, בחמישה אין דלת פלדלת ובשלושה אין סורגים. . משרד מבקר המדינה מעיר כי על משרד החינוך, משרד הפנים והרשות למשפט, טכנולוגיה ומידע למפות את כלל החובות המוטלות על בתי ספר בתחום אבטחת המידע ולהגדיר באופן ברור את הגופים המופקדים על הפיקוח בתחום זה. תיאום זה נדרש בעיקר במקום שבו גופים שונים אחראים לפיקוח על נושאי טיפול שונים בתחום אבטחת המידע. משרד מבקר המדינה העלה כי בתשעת בתי הספר שנבדקו לא נקבעו נהלים כתובים בעניין. .משרד מבקר המדינה העלה כי משרד החינוך רשם רק חלק ממאגרי המידע של בתי הספר שנבדקו ברשות למשפט, טכנולוגיה ומידע, אף שהיה עליו לרשום את כולם. משרד מבקר המדינה העלה כי נושא אבטחת מידע והגנת הפרטיות לא נכלל כלל בתכניות הביקורת שנדרשו מרואי החשבון כנושאים לבדיקה ברשויות המקומיות. עוד הועלה כי מחלקת ביקורת מינהלית מעולם לא קיימה ביקורת בנושא זה. משרד מבקר המדינה העיר למשרד הפנים כי ראוי שישקול בעתיד לשלב ביקורות הנוגעות לנושא אבטחת מידע והגנת הפרטיות.
משרד מבקר המדינה העלה כי בנוהל שהוציא משרד הפנים להעסקת חברות גבייה אין התייחסות לפעולות הנדרשות מן החברות לצורך אבטחת המידע המועבר אליהן.