סייבר ומערכות מידע . הגנת הסייבר והמשכיות עסקית ביחידת שירות עיבודים ממוכנים ברשות המיסים .הביקורת העלתה פערים בבקרה על השרת. .משרד מבקר המדינה ממליץ לשע"ם לפעול לכך שהבקרה על מערכותיה תהיה מלאה. .ממצאי התחקיר בדבר היעדר תוכנית להמשכיות עסקית בעת התפרצות מגפת הקורונה .ממחישים את הצורך בהשלמת כתיבתה של התוכנית להמשכיות עסקית על פי הנחיות .רשות התקשוב. .בביקורת עלה כי האגף פועל מסוף שנת 2016 אף שהנציבות לא אישרה את שינוי המבנה .הארגוני. הגדרות התפקיד של עובדי האגף הן הגדרות תפקידיהם הקודמות , והם מועסקים .בתקנים שהוקצו לאגפים אחרים. בעקבות זאת סמכות האגף ותפקידיו אינם מוסדרים. .במהלך השנים עזבו את האגף ארבעה עובדים, ולא ניתן היה לגייס עובדים חדשים בשל .היעדר תקנים. .מצב שבו אגף איכות והמשכיות עסקית פועל חמש שנים ללא הסדרת תקן כנדרש אינו .תקין. על שע"ם לוודא כי יוסדר תחום ההמשכיות העסקית בהתאם להוראות הנציבות. .מהנתונים עולה כי בשנים 2021-2019 .היה ניצול חלקי של ימי העבודה המתוכננים .הביקורת העלתה כי קיימים פערים בין רמת הסיווג הביטחוני הנדרשת בהתאם .לתפקידיהם של חלק מהעובדים לבין רמת הסיווג שלהם בפועל. .משרד מבקר המדינה ממליץ לשע"ם לפעול לכך שרמת הסיווג הנדרשת של כלל העובדים .בשע"ם תותאם לתפקידיהם. הביקורת העלתה כי שע" ם ביצע את הפעילות בחלק מן המערכות אולם עלו פערים .בהשלמת הבקרות המפצות. .משרד מבקר המדינה ממליץ להכין תוכנית לסגירת הפער . .בביקורת עלה כי לא הונפק כתב מינוי לחברי ועדת ההיגוי להמשכיות עסקית ולא נקבעו .סמכויותיה. נוסף על כך, עד למועד סיום הביקורת התכנסה הוועדה פעם אחת נוספת, .ביולי 2021 , ולמעשה התכנסה שלוש פעמים עד למועד סיום הביקורת, ולא בכל רבעון .כפי שנקבע בישיבתה. .מומלץ לוועדת ההיגוי להמשכיות עסקית להתכנס בהתאם לתדירות שנקבעה ולבחון את .החסמים העומדים בפני קידום הפרויקט ואת הדרכים להסרתם. .הביקורת העלתה פערים בנוגע להשלמת תוכנית התאוששות מאסון. עוד נמצאו פערים .בתהליך גיבוש תוכנית ההמשכיות העסקית ובהשלמתה. .על שע"ם לתקן את הליקויים שעלו בתהליך גיבוש תוכנית המשכיות עסקית ובהשלמתה. .בביקורת עלה כי האחראי בפועל, שהוא ראש אגף איכות והמשכיות עסקית, לא קיבל .כתב מינוי לתפקיד, ולא הוגדרו בכתב תחומי אחריותו וסמכותו. .על שע"ם למנות בכתב את האחראי להמשכיות עסקית ולהגדיר בכתב את סמכויותיו ואת .תפקידיו. .נמצא כי בשע"ם הוכנה תוכנית עבודה ומעקב אחר הפערים בין ההנחיות לנעשה בפועל. .עם זאת, בשל פערים במיפוי התהליכים ונכסי המידע הנדרש, תוכנית זו נותנת מענה חלקי. .עוד עלה כי הגנה על רשת א' כמקשה אחת, ללא ניתוח התהליכים הפרטניים והבחנה .ביניהם, יוצרת מערך הגנה רחב מהנדרש, והדבר עלול ליצור קשיים תפעוליים בשע"ם. .משרד מבקר המדינה ממליץ כי שע"ם יתקן את הליקויים שנמצאו במיפוי התהליכים ונכסי .המידע שנערך. .הביקורת העלתה כי בשע"ם קיים נוהל תגובה לאירועי אבטחת מידע וסייבר מפברואר .2020 , אךהנוהל אינו עוסק בחובה לדווח לגורם הרלוונטי על אירועים אלה, ולצורך לשלב ו .בתחקור האירוע. כמו כן חסרה התייחסות רלוונטית לתחום מסוים הנדרש בהנחיות. .משרד מבקר המדינה ממליץ לשע"ם לעדכן את נ והל תגובה לאירוע אבטחת מידע וסייבר , .באופן שיכלול את כל הפעולות הנדרשות בהתאם להנחיות . .עלה כי סקר הסיכונים ששע"ם ביצע בתחום אבטחת המידע, אינו תואם את ההנחיות .הרגולטוריות בדבר ביצוע סקר הסיכונים. עוד נמצא כי שע"ם אינו מפקח על הטיפול .בממצאי הסקר שנערך. .משרד מבקר המדינה ממליץ כי שע"ם יבצע סקר סיכונים בהתאם להנחיות הרגולטוריות. .נמצא כי בשע"ם לא התקיים תהליך של מעקב אחר הטיפול בליקויים שהועלו בביקור ות .המערך שהוזכרו לעיל.
.הביקורת העלתה כי אף שנושא ניהול השינויים נכלל בנוהל העוסק בהיבטי אבטחת מידע .בכל שלבי הפרויקט, הנוהל אינו עוסק ב צורך לעדכן את הגורם הרלוונטי בניתוח הסיכונים .ובהשפעות הצפויות של יישום השינויים כנדרש בהנחיות. .משרד מבקר המדינה ממליץ לשע"ם לעדכן את הנוהל באופן שיכלול את כל הפעולות .הנדרשות בהתאם להנחיות הרגולטוריות.