מרכז השלטון המקומי בישראל . אבטחת מידע והגנת הפרטיות ברשויות מקומיות משרד מבקר המדינה העלה כי מאז הוקמה הרשות למשפט, טכנולוגיה ומידע היא לא קבעה נהלים והנחיות לרשויות המקומיות המחזיקות במאגרי מידע; לא קיימה פעולות פיקוח ואכיפה על רישום מאגרי מידע ברשויות המקומיות; ולא הטילה קנסות על רשויות מקומיות שלא קיימו את חובתן (בעניין זה ראו להלן). לדעת משרד מבקר המדינה, ראוי שהרשות למשפט, טכנולוגיה ומידע תגבש תכנית למימוש אחריותה בתחום אבטחת המידע והגנת הפרטיות בשלטון המקומי. לפעילותן של כ -250 רשויות מקומיות בתחום אבטחת מידע והגנת הפרטיות חסרה אסדרה ברמה הממשלתית שתאפשר להניח את התשתית הנוהלית והמקצועית לטיפול בנושא. משרד הפנים ומשרד המשפטים לא נקטו פעולות של ממש לקידום פעולתן של הרשויות המקומיות בתחום זה. המינהל לשלטון מקומי במשרד הפנים והרשות למשפט, טכנולוגיה ומידע במשרד המשפטים נדרשים לקדם פעילות משותפת לצורך קביעת נהלים והנחיות לפעולתן של הרשויות המקומיות. במסגרת זו יש לקבוע את סדרי הטיפול, את הגופים הממוני ם, את פעולות הפיקוח ועוד. בבדיקת משרד מבקר מדינה התברר כי רק אחת משבע הרשויות שנבדקו - עיריית אשקלון - מינתה ממונה על אבטחת מידע, במאי 201113 , ועובד זה חסר הכשרה בנושא אבטחת מידע. בעקבות הביקורת, בספטמבר 2011 , מונה בעיריית בני ברק ממונה על אבטחתמידע. לדעת משרד מבקר המדינה, על הרשויות המקומיות שנבדקו למנות לאלתר ממונים על אבטחת מידע כמתחייב מחוק הגנת הפרטיות. כמו כן על משרד הפנים ועל הרשות למשפט, טכנולוגיה ומידע לקדם בדיקה בנושא בכלל הרשויות המקומיות ופעולות אשר יבטיחו את מילוי הוראות הדין המחייבות. על משרד הפנים לבחון אם יש מקום להנהיג את ההסדר האמור שנקבע לגבי גופים ציבוריים בחוק להסדרת הביטחון , שלפיו קציני הביטחון מופקדים על פעולות לאבטחת מידע ומערכות מידע, גם ברשויות המקומיות. לדעת משרד מבקר המדינה, על הרשויות המקומיות לקיים פעולות בקרה בתחום אבטחת המידע והגנת הפרטיות ולנטרן, כדי לזהות מקרים שבהם גורמים בלתי מורשים מבצעים פעולות חריגות או מנסים לבצען. . .בחמש משבע הרשויות המקומיות שנבדקו לא נקבעו נוהלי אבטחת מידע בעיריית אשקלון, אחת מן השתיים שנקבעו בהן נוהלי אבטחת מידע, הנהלים מיושמים באופן חלקי בלבד. לדוגמה, בנוהל נקבע כי הממונה על אבטחת מידע יקבע את המדיניות, אך במועד סיום הביקורת עדיין לא הוכן מסמך מדיניות. באוקטובר 2001 הכין יועץ חיצוני עבור עיריית בני ברק טיוטה ובה 40 נהלים בתחום אבטחת מחשבים ומערכות מידע, אך הנהלת העירייה מעולם לא אישרה טיוטה זו, ונהליה אינם מיושמים. לדעת משרד מבקר המדינה, על משרד הפנים להוציא קובץ הנחיות מחייב לרשויות המקומיות בנושא אבטחת מידע והגנת הפרטיות ולוודא את הטמעתו ואת יישומו. עד שיפורסמו הנחיות אלו על עיריות אשקלון ובני ברק ליישם את נוהלי אבטחת המידע שהכינו במלואם. משרד מבקר המדינה העלה כי בחמש משבע הרשויות שנבדקו (רמת ישי, בני עי"ש, טירה, בני ברק ויהוד -מונוסון) לא נקבעו כללים מחייבים לאבטחה לוגית של המידע. לדוגמה, נמצא כי הפסיכולוגים והמזכירה העובדים בשירות הפסיכולוגי בעיריית יהוד -מונוסון משתמשים בשם משתמש ובססמה זהים, וכך לא ניתן לדעת מי השתמש במחשב, מתי ובאילו קבצים טיפל. בעיריית יקנעם עילית נמצא כי קצינת ביקור סדיר במחלקת החינוך מקלידה רק שלושה תווים בכניסתה למחשב. רק בעיריית אשקלון נקבעו הנחיות לגבי הרשאות גישה למחשבים, ונקבע שיש צורך בהחלפת ססמאות, אך במחשב באגף הגבייה שמחובר לרשת המחשבים של העירייה נמצא כי ססמת הכניסה מורכבת מרצף של מספרים עוקבים וללא שילוב אותיות (בעניין זה ראו להלן). .לדעת משרד מבקר המדינה, ראוי שעיריית יהוד -מונוסון תקבע בהקדם מדיניות אבטחת מידע שתכלול הפקת "לוגים" מהמערכת, וראוי שתמנה אחראי לבדיקתם ולניתוחם. הביקורת העלתה כי בשום רשות מן הרשויות שנבדקו לא מתבצעת בקרה לוגית של פעילות המערכות הממוחשבות, ולכן אי-אפשר לברר אם אירעו אירועים חריגים; וכאמור, אין בהן ממונה על אבטחת מידע בעל הכשרה מתאימה שאמור לטפל באירועים חריגים המנוטרים באמצעות מערכת ה"לוגים". לדעת משרד מבקר המדינה, בנוהל שיגובש יש לכלול את ההוראות בדבר הסדרת האבטחה הלוגית והבקרה הלוגית. על בסיס נוהל כולל זה יכינו הממונים על אבטחת מידע ברשויות המקומיות כללים מפורטים לניהול מערכת הססמאות, ואלה יחייבו את כלל המשתמשים. כמו כן ראוי שייקבעו וייושמו כללי בקרה לוגית, יוגדרו האירועים החריגים וינוטרו הלוגים. מן הראוי שכללים אלה יפורסמו ויתבצע פיקוח על יישומם. משרד מבקר המדינה העלה כי הרשויות המקומיות שנבדקו לא ביצעו מעולם סקרי סיכונים ומבחני חדירה. לדעת משרד מבקר המדינה, על כל רשות מקומית לקבוע במסמך מדיניות אבטחת המידע שלה הוראות אשר יבטיחו כי יתבצע ניהול סיכונים על כל מרכיביו. משרד מבקר המדינה העלה כי בשום רשות משבע הרשויות שנבדקו לא הוקמו ועדות למסירת מידע. בעיריית אשקלון מונתה ועדה כזאת רק במהלך הביקורת ביוני 2011. משרד מבקר המדינה העלה כי תש עת בתי הספר שנבדקו לא מסרו למשרד החינוך דיווח עד המועד שנקבע. במועד סיום הביקורת ביולי 2011 עדיין לא סיים משרד החינוך את תהליך המיפוי של כלל מאגרי המידע של בתי הספר. . בעקבות תשובת משרד החינוך עשה משרד מבקר המדינה בירורים עם חלק ממנהלי בתי הספר שנבדקו. בדיקתו העלתה כי אף שבחוזר מנכ"ל משרד החינוך נקבע כי מנהל בית הספר הוא הממונה על אבטחת המידע במאגרים שבבית ספרו, ואף שחלקם אף חתמו על הצהרה כזו, הם אינם מודעים לתפקיד המוטל עליהם ולא קיבלו הדרכה בנושא. עוד נמצא כי מינהל תקשוב ומערכות מידע במשרד החינוך אינו מפקח על יישום הנוהל בבתי הספר ואינו אוכף אותו. לדעת משרד מבקר המדינה, מאחר שכל מנהלי בתי הספר ממונים על אבטחת המידע בבתי הספר, ראוי כי יקבלו הדרכה בנושא אבטחת מידע ומאגרי מידע. משרד מבקר המדינה מעיר כי על הרשויות המקומיות להקים ועדות ייעודיות לנושא העברת מידע בין גופים ציבורי ים וכן לקבוע נהלים ייעודיים בנושא זה, כפי שנקבע בתקנות. . ככלל, הרשויות המקומיות שנבדקו לא קיימו פעולות הדרכה והסברה בתחום אבטחת המידע. מקרב הרשויות המקומיות שנבדקו רק עיריית אשקלון הכינה תכנית הדר כה שנתית לאבטחת מידע וביצעה פעילות רענון להגברת המודעות בנושא האבטחה, ורק בה פועל ממונה אבטחת מידע המארגן את ההדרכות. לדעת משרד מבקר המדינה, מן הראוי שהרשויות המקומיות יקיימו פעולות הדרכה והסברה בתחום אבטחת המידע בדומה לדרישות המפורטות בנוהל המסגרת. . משרד מבקר המדינה העלה כי כל בתי הספר שנבדקו לא מיפו ולא סיווגו את מאגרי המידע שלהם. משרד מבקר המדינה העלה כי הוראה זו שבחוזר מנכ"ל משרד החינוך אינה מיושמת בכל בתי הספר שנבדקו. בחלק מבתי הספר נמצא כי ססמאות למערכת המנב"ס מוחלפות רק פעם בשנה או בשנתיים, ובאחד מבתי הספר היא לא הוחלפה כלל במשך שנים. על משרד הפנים לבחון האם יש צורך להוסיף לנוהל בנושא העסקת חברות גבייה הנחיות שיבטיחו שחברות הגבייה ינקטו פעולות ממשיות לאבטחת המידע שבידן וישתמשו בו בהתאם להור אות הדין. כמו כן יש להבהיר את אחריותן של הרשויות המקומיות לכך שהחברות שעמן הן יתקשרו יבצעו את פעולות האבטחה הנדרשות. זאת ועוד, על הרשויות המקומיות הפועלות באמצעות חברות גבייה למלא את הוראות הנוהל שנקבעו בעניין השימוש במידע ובעניין ההקפדה על סודיות. משרד מבקר המדינה העלה כי בארבעה מבתי הספר שנבדקו אין מערכת אל פסק, בחמישה אין דלת פלדלת ובשלושה אין סורגים. . משרד מבקר המדינה מעיר כי על משרד החינוך, משרד הפנים והרשות למשפט, טכנולוגיה ומידע למפות את כלל החובות המוטלות על בתי ספר בתחום אבטחת המידע ולהגדיר באופן ברור את הגופים המופקדים על הפיקוח בתחום זה. תיאום זה נדרש בעיקר במקום שבו גופים שונים אחראים לפיקוח על נושאי טיפול שונים בתחום אבטחת המידע. משרד מבקר המדינה העלה כי בתשעת בתי הספר שנבדקו לא נקבעו נהלים כתובים בעניין. .משרד מבקר המדינה העלה כי משרד החינוך רשם רק חלק ממאגרי המידע של בתי הספר שנבדקו ברשות למשפט, טכנולוגיה ומידע, אף שהיה עליו לרשום את כולם. משרד מבקר המדינה העלה כי נושא אבטחת מידע והגנת הפרטיות לא נכלל כלל בתכניות הביקורת שנדרשו מרואי החשבון כנושאים לבדיקה ברשויות המקומיות. עוד הועלה כי מחלקת ביקורת מינהלית מעולם לא קיימה ביקורת בנושא זה. משרד מבקר המדינה העיר למשרד הפנים כי ראוי שישקול בעתיד לשלב ביקורות הנוגעות לנושא אבטחת מידע והגנת הפרטיות. משרד מבקר המדינה העלה כי בנוהל שהוציא משרד הפנים להעסקת חברות גבייה אין התייחסות לפעולות הנדרשות מן החברות לצורך אבטחת המידע המועבר אליהן. משרד מבקר המדינה העלה כי בבית ספר אחד תכנת האנטי -וירוס מתעדכנת רק פעם אחת בשנה, ובשלושה בתי ספר - באופן לא סדיר. בשום בית ספר שנבדק לא התקיימה בדיקה יזומה של המחשב בעזרת תכנת האנטי-וירוס. משרד מבקר המדינה העלה כי הרשויות המקומיות בני עי"ש ורמת ישי לא רשמו מעולם את מאגרי המידע שלהן. הרשויות המקומיות יהוד-מונוסון, טירה ויקנעם עילית לא שילמו אגרות תקופתיות יותר משלוש שנים, ועקב כך נמחק רישום מאגריהן. רק מאגרי המידע של עיריות אשקלון ובני ברק היו רשומים ברשות למשפט, טכנולוגיה ומידע, כנדרש בחוק. על הרשויות המקומיות בני עי "ש, רמת ישי, טירה, יקנעם עילית ויהוד - מונוסון להקפיד לרשום ולנהל את כל מאגרי המידע שברשותן כנדרש בחוק. ברשויות המקומיות שנבדקו לא נקבעו כללים לאבטחת המידע במחשבים מנותקי הרשת ובאמצעים הנתיקים האחרים שנעשה שימוש בהם, למעט בעיריית אשקלון - זו הוציאה נוהל לאבטחת המחשבים הניידים שבבעלותה. יצוין כי בינואר 2011 נגנב מאחד הפסיכולוגים בעיריית בני ברק מחשב נייד פרטי ובו מידע רגיש על מטופליו. לדעת משרד מבקר המדינה, על הרשויות המקומיות לקבוע נהלים לאבטחת המידע ולהגנת הפרטיות למחשבים מנותקי רשת; לרבות מחשבי כף יד וכוננים נתיקים, ובכלל זה יש לקבוע את דרכי ההגנה על המידע הנאגר במחשבים אלה, כדי לצמצם את הסיכון שבגנבת הציוד - חשיפת המידע השמור בו ונגישות לרשת המשרד. משרד מבקר המדינה העיר לרשויות המקומיות שנבדקו כי אחסון מידע אישי הנוגע לבריאותם של התושבים או למצבם הכלכלי או האישי בארונות פתוחים, בכונניות ובמגירות שאינן ניתנות לנעילה - אחסון כזה אינו עומד בדרישות הבסיסיות להגנה על מידע רגיש הנוגע לתו שבים. הצבת מחשב המחובר לרשת העירייה בכניסה לאגף ההכנסות בעיריית אשקלון ללא השגחה יכולה לאפשר למי שאינם מורשים לכך להשתמש במחשבי העירייה, לשאוב מהם מידע, לגרום נזק למידע האגור בהם ולפגוע בפרטיות התושבים. לדעת משרד מבקר המדינה, ראוי כי הרשויות המקומיות יתקצבו את אבטחת המידע בסעיף תקציב ייעודי בגלל הסיכונים לדליפת מידע או לשאיבת מידע על ידי גורמים שאינם מורשים לכך. ברשויות המקומיות שנבדקו אין תכניות שיקום מאסון ותכניות להמשכיות עסקית, פרט לעיריית אשקלון. עירייה זו הכינה תכנית שיקום מאסון והמשכיות עסקית, אולם במועד סיום הביקורת טרם סיימה את הפעלתה. לדעת משרד מבקר המדינה, ראוי כי הרשויות המקומיות ייערכו למצבי חירום בעזרת תכניות כאלה. הביקורת העלתה כי ברשויות המקומיות שנבדקו, פרט לעיריית אשקלון, אין הוראות ונהלים תקפים ומחייבים לאבטחת מיד ע פיזי: רשומות מכל הסוגים23. לדעת משרד מבקר המדינה, ראוי כי משרד הפנים יקבע עם הרשות למשפט, טכנולוגיה ומידע הנחיות לאבטחת מידע פיזי (רשומות) ויעגנן בנוהל מחייב, וכי הרשויות המקומיות יכינו נהלים פרטניים בהתאם לכך. לדעת משרד מבקר המדינה, ראוי שהרשויות המקומיות שנבדקו ינקטו לאלתר צעדים לאבטחת הרשומות האישיות ומערכות המידע המכילות מידע אישי. משרד מבקר המדינה העלה כי רק אחת הרשויות המקומיות שנבדקו - עיריית יקנעם עילית - עומדת בדרישות התקן. בכל שאר הרשויות שנבדקו אין ניקוז לרצפה או "רצפה צפה" 20 או לא מותקנת דלת אש תקנית בכניסה לחדר המחשב. בעיריית אשקלון נמצא כי חדר המחשב משמש גם מחסן - הוא מכיל ארגזי קרטון רבים, ויש בו חלון גדול. גם ברשויות בני עי "ש ויהוד -מונוסון יש בחדר המחשב חלון חיצוני. ברשויות ט ירה ורמת ישי אין חדר מחשב. לדעת משרד מבקר המדינה, ראוי שמשרד הפנים יכלול בהנחיות שיגבש עם הרשות למשפט, טכנולוגיה ומידע שבמשרד המשפטים גם הנחיות בנושא סיכוני האש והמים בחדרי המחשבים, בהתאם להוראות התקן שקבע מכון התקנים הישראלי, ויאכוף אותן. כמו כן, ראוי שהר שויות המקומיות שנבדקו יתקנו את המצב ויעמדו בדרישות התקן בכל הנוגע לחדרי מחשב. משרד מבקר המדינה מעיר כי בגין השימוש של כל ששת הפסיכולוגים בשם משתמש ובססמה אחידים אי -אפשר כלל לעקוב אחר המשתמש האמִתי במחשב, ואבטחת המידע של הארגון נפגעת. עוד מעיר משרד מבקר המדינה, כי מאחר שהפעלתן של יחידות השירות הפסיכולוגי החינוכי נמצאת באחריות הרשויות המקומיות, על הרשויות להנחות אותן בכל הנוגע לאבטחת מידע ולהגנת הפרטיות. כמו כן על הרשויות לפעול להטמעת הנהלים וההנחיות האמורים בקרב כל מאות העובדים בשירותים הפסיכולוגיים החינוכיים ולקיים בקרה שוטפת אשר תבטיח את יישומם של הנהלים וההנחיות. משרד מבקר המדינה מעיר כי על הרשויות המקומיות להנחות את מחלקות החינוך בדבר אבטחת רשומות פיזיות ולוודא כי ההנחיות מולאו. יש לראות בחומרה את העובדה שמידע רגיש, כגון דוחות על מצב בריאות, אינו נשמר נעול. ראוי שהרשויות המקומיות יקבעו את הנחיותיהן על בסיס נוהל המסגרת. הנחיות משרד החינוך לאבטחת מידע נוגעות רק למאגרי מידע ולפלטי מחשב, אך לא לאבטחה פיזית של רשומות נייר, כגון מזכרים, תרשומות ודוחות שנוצרו בכתב יד, גם אם אלה מכילים מידע רגיש. .מממצאיו של דוח זה מסתמן כי לרשויות המקומיות עדיין חסרה התשתית לטיפול בנושא אבטחת המידע והגנת הפרטיות. ברוב הרשויות שנבדקו אין הנחיות מפורטות לטיפול שוטף בנושא; רובן פועלות ללא ממונה על אבטחת מידע כנדרש בחוק; מאגרי המידע שבהן אינם רשומים כנדרש; היקף פעולותיהן בתחומי ההדרכה והביקורת מצומצם. על הרשויות המקומיות: לקיים פעולות בקרה בעני ין אבטחת המידע והגנת הפרטיות, כדי לזהות פעולות חריגות או ניסיונות של גורמים בלתי מורשים לעשות פעולות כאלה; למנות לאלתר ממונים על אבטחת מידע כמתחייב מחוק הגנת הפרטיות; לגבש מסמך מדיניות בנושא אבטחת מידע, ולקבוע בו את תדירות ביצועם של סקרי סיכונים ומבחני חדי רה; להקפיד לרשום ולנהל את כל מאגרי המידע שברשותן כנדרש בחוק; להקים ועדות להעברת מידע ולהכין נהלים ייעודיים בנושא העברת מידע בין גופים ציבוריים כפי שנקבע בתקנות הגנת הפרטיות; לעשות ביקורות על אבטחת מידע ועל הגנת הפרטיות ברשויות המקומיות באמצעות מבקרי הרשויות. לדעת משרד מבקר המדינה, ראוי כי המבקרים שמונו ברשויות המקומיות ישקלו - תוך התייעצות עם ראשי הרשויות המקומיות - לעשות ביקורות גם בנושא אבטחת מידע. בין השאר יש לשקול קיום ביקורות שבמסגרתן ימופו הסיכונים שמקורם במחשוב בכל תחומי הפעילות של הרשות תוך התייחסות גם לתחום האבטחה הפיזית. משרד מבקר המדינה העלה כי לרשויות המקומיות רמת ישי, אשקלון ובני ברק אין כלל הסכם למתן שירות מחברה א'. המועצה המקומית בני עי"ש ועיריית טירה נמצאו במועד הביקורת לראשונה בעיצומו של מכר ז לאספקת שירותי מחשוב הכולל דרישות לקיום הוראות חוק הגנת הפרטיות ואבטחת מידע. רק לרשויות יהוד -מונוסון ויקנעם עילית היו הסכמים המגדירים את האחריות לנושא אבטחת מידע הנדרשת מחברה א'. עוד העלה משרד מבקר המדינה כי כל שבע הרשויות המקומיות שנבדקו, שכאמור מאגריהן מוחזקים בידי חברה א', לא חתמו עמה על הסכמים לגבי המורשים לקבל גישה למאגרי המידע שלהן כנדרש בחוק הגנת הפרטיות. משרד מבקר המדינה העלה כי בבתי הספר שנבדקו אין תכנית היערכות לשעת אסון, וכי המדיות המגנטיות אינן מסומנות בכיתוב הנדרש. אשר לתדירות ביצוע הגיבויים בבתי הספר, בחלק מבת י הספר נמצאו בין השאר הליקויים האלה: האמצעי שעליו מגובה המידע אינו נשמר בכספת, באחד מבתי הספר המזכירה שומרת אמצעי זה בתיקה האישי; חלק מהגיבויים מתבצעים אחת לחודש ואף אחת לחודשיים. משרד מבקר המדינה העלה כי בשלושה בתי ספר לא קבע מנהל בית הספר אחראי לנושאים האמורים.
משרד מבקר המדינה מפנה את תשומת לבו של משרד הרווחה לכך שבהוראות התע"ס נקבע באופן חד-משמעי כי את הבקרה השוטפת על יישום ההוראות יעשו המפקחים במחוזות ועובדי האגף לביקורת פנימית.