משרד החינוך . מינהל תקשוב ומערכות מידע במשרד החינוך .העובדים החיצוניים, על הנהלת המשרד ונציבות שירות המדינה לבחון דרך יעילה לניהול פרויקטים של מחשוב במינהל, ובכלל זה את מתכונת ההעסקה של העובדים החיצוניים. יצוין כי טענתה של מנהלת המינהל אינה עומדת במבחן המציאות, בין היתר נוכח עלויות ההעסקה הגבוהות של העובדים החיצוניים, משך הזמן שבו הם מועסקים במינהל, והעובדה שהחובות המשפטיות הקשורות לתפקיד וחלות על עובדי מדינה אינן חלות עליהם. כמו כן הידע המקצועי האמור להיות מרוכז בידי המינהל מצוי בידי העובדים החיצוניים, דבר שלכאורה עשוי להפוך את המינהל ל"לקוח שבוי", ומחייב הסדרה דחופה של סוגיית חלוקת התפקידים בין עובדי מדינה ועובדים חיצוניים ותקנון ליבה ניהולית של עובדים ביחידות המחשוב במשרדי הממשלה. מן הראוי שמשרד האוצר ונציבות שירות המדינה יסיימו את עבודת המטה בנושא, וכי ייקבעו ויאוישו התקנים הנדרשים להסדרת הנושא. .לדעת משרד מבקר המדינה, הרשאות גישה חריגות אלה נוגדות את אחד העקרונות הבסיסיים של בקרה פנימית נאותה, שהוא הפרדת סמכויות. היעדר הפרדה כזאת פותח פתח לגישה לא מבוקרת לנתונים ואפשרות לבצע בהם שינויים שלא בדרך המקובלת לגבי יתר המשתמשים, ולכן אין לתת לאנשי פיתוח הרשאות גישה לסביבת הייצור. משרד מבקר המדינה מעיר, כי מתן הרשאות למנהלי מערכות מידע לעבוד בסביבת הייצור חמור יותר, כי בהיעדר יומני פעילות לכל המערכות הקריטיות, שכאמור לעיל טרם מופו, לא ניתן לעקוב אחר הפעולות שמבצעים מנהלי המערכות. יצוין כי אף שההתקשרות עם הספקים והתשלום להם בוצעו על ידי חברה א', שעליה לא חל חוק חובת המכרזים, התשנ"ב - 1992 , חוק זה חל על המשרד. לדעת משרד מבקר המדינה, על המשרד לנקוט משנה זהירות במקום שבו הסכם עלול לפתוח פתח לכך שרכישות בסכומים משמעותיים כל כך המתבצעות עבורו ייעשו שלא לפי חוק חובת המכרזים. לדעת משרד מבקר המדינה, המינהל אינו עושה די לצמצום מספר העובדים ברמות השכר האמורות לעיל, ומצב זה עדיין נמשך. מן הראוי הביקורת העלתה שיומני פעילות מופקים רק ממערכת הבגרויות, ולא מיתר היישומים, לרבות המנב"ס. משמעות הדבר שהמינהל לא עוקב באופן שוטף אחר פעולות חריגות ועל שימוש לרעה במערכת המחשוב. עוד העלתה הביקורת שאין נהלים בנושא. לדעת משרד מבקר המדינה, יש לקבוע נהלים לגבי משך שמירת היומנים, תדירות הבדיקות והדיווח על תוצאותיהן, והאחראים לנושא. על המשרד לאמץ נוהל בנושא זה, הכולל דיווח עדכני, ולהקפיד על בדיקת יומני הפעילות באורח קבוע ועל העברת דיווח על תוצאות הבדיקה לדרג מוסמך. עוד מעיר משרד מבקר המדינה כ י נוכח הנתונים הרגישים שבמערכת המחשוב יש לבדוק בשיטתיות ובאופן מושכל את הגישה אליה, את שליפות המידע מתוכה, ואת השינויים הנעשים בנתונים. בקרה פנימית נאותה צריכה לכלול פיקוח על הפעולות וכן דיווח עדכני על אירועים חריגים. אימוץ כללי בקרה הוא התשתית הארגונית שא מורה לעסוק בגילוי מוקדם של כשלי אבטחה ולטפל בבעיות שהיא חושפת. הביקורת העלתה שטרם הושלם פיתוח התכנה שמודדת את תפוקות הספק לפי אמות המידה שנקבעו בהסכם, ולכן כבר יותר משנתיים וחצי משלם המשרד לספק בכל רבעון, באישור חשב המשרד, 90% מהחשבונית שהספק מגיש בהתאם להיקף החוזה השנתי. משרד מבקר המדינה רואה בחומרה מצב זה, שבו מתקיים מכרז ונחתם עם ספק הסכם, שבו המינהל מתחייב לשלם לספק לפי תפוקות, כשאין בידו אפשרות למדוד אותן, וכתוצאה מכך התשלום נעשה לפי הערכה, אשר אין הסבר על מה היא מבוססת מכיוון שהמשא ומתן עם הספק לא תועד. לפי החלטת המנכ"לית דאז, הכינה ביוני 2005 מנהלת המינהל רשימה של פעולות המועמדות למיקור חוץ, ובהן "פיתוח המנב"ס החדש - יישום .Web שניתן להפעיל מרחוק". אולם עד מועד סיום הביקורת, ספטמבר 2009 ., לא פותח יישום זה 2. :מערכת מנבסון מערכת מנבסון היא כלי פדגוגי לשימוש המורה המותקנת בחדר המור ים או במחשב האישי של המורה, ומיועדת לסייע למורה בניהול הערכותיו לתלמידים. המורה מקבל ממזכירות בית הספר "קובצי מורה" (המכילים את נתוני התלמידים), ובאמצעותם הוא יכול לנהל במחשב שבביתו את אירועי ההערכה והמשמעת שלהם. במערכת יש גם פונקציות של חישוב ציון ביניים וחישוב ציון סופי לשימוש המורה. ביוני 2009 השתמשו במערכת מנבסון רק כ-37% מבתי הספר, וכל היתר השתמשו בתכנות חלופיות שנחשבו בעיניהם ידידותיות יותר. הביקורת העלתה שהמינהל לא בחן את הגורמים להיקף הנמוך של השימוש במנבסון, וכי הוא לא ביצע סקר שביעות רצון של המשתמשים במערכת. . שהמינהל ינקוט צעדים ממשיים לתיקון המצב, שטומן בחובו הוצאות ניכרות לאוצר המדינה. לדעת משרד מבקר המדינה, נוכח עלויות השכר הגבוהות מאוד של כמחצית מהעובדים החיצוניים, ונוכח אי-ניצול יתרון הזמניות שבהעסקת הוראות בדבר רישום מאגרי המידע ואבטחת מידע במנב"ס נכללו בחוזר מנכ"ל המשרד מינואר 1989 ., לפני הפעלת המנב"ס בבתי הספר באוקטובר 1994 הכין המינהל (אז האגף למיכון) טיוטה של "נוהלי אבטחת מידע במערכות מידע ממוחשבות בבתי הספר". במועד סיום הביקורת, בספטמבר 2009, היה הנוהל בשלבי אישור. הביקורת העלתה שהוראות התכ"ם ונוהלי המשרד קוימו באופן חלקי בלבד, סקר סיכונים ומבחני חדירה בוצעו במתכונת מצומצמת, ומערכות המידע לא סווגו לפי רגישותן. הביקורת העלתה שהחלטת הוועדה לא קוימה: לא הוכנו מסמך אפיון, תכנית מתאר ומכרז לאינטגרטור. הביקורת העלתה שאמנם הוקמה ועדת היגוי שבה משתתפים הסמנכ"ל למינהל ולמשאבי אנוש (כיו"ר), חשב המשרד, מנהלת המינהל, המבקר הפנימי ואחרים, אך הוועדה אינה ממלאת את מכלול תפקידיה, והיא דנה רק בנושאים הנוגעים לאבטחת מידע. מהאמור לעיל עולה כי עד מועד סיום הביקורת לא פעל המשרד לפי החלטת הממשלה, אשר ייעדה לוועדה תפקידים מרכזיים. מן הראוי שנוסף על העיסוק בנושאי אבטחת המידע, תעסוק הוועדה בשאר התפקידים שהוטלו עליה ובכלל זה תקבע את מדיניות המשרד בנושא המחשוב, תאשר תכנית עבודה שנתית ורב-שנתית, תקבע סדרי עדיפויות למיזמים, תעקוב אחר התקדמות המיזמים שאושרו בתכנית, ותאשר את תקציב המחשוב. נוכח פעילותה המצומצמת של הוועדה, ולמרות היקפי התקציב הניכרים המושקעים במחשוב, יוצא שהנהלת המשרד אינה מפקחת על התוצרים שמתקבלים עבור השקעה כל כך גדולה. מן הראוי גם שמנכ"ל המשרד יבחן את האפשרות למנות יועצים חיצוניים לוועדה, כפי שהוחלט בשנת 2005 . לדעת משרד מבקר המדינה, מן הראוי שהחשב הכללי יחדשאת תוקפה של הוראת התכ"ם בנושא ועדת היגוי למחשוב ויעקוב אחר ביצועה המלא. התברר כי מאז ובמשך כארבע שנים הנושא לא טופל. בספטמבר 2008 פנה המשרד לספק תכנה בדרישה לכתיבת מודול (בתכנה הקיימת להחתמת כרטיס בשעון הנוכחות) לביצוע מעקב אחר משימות העובדים, עם אפשרות להזנת תכנון חודשי של שעות לכל עובד. פיתוח התכנה לא הסתיים עד מועד סיום הביקורת, בספטמבר 2009 . .1. :הסדרים לרכישת שירותי כוח אדם אגף החשכ"ל פרסם בראשית שנות ה- 2000 מכרזים לרכישת שירותי כוח אדם מקצועי למיזמי מחשוב של הממשלה (להלן - עובדים חיצוניים). העסקת רוב עובדי המינהל נעשית אפוא באחת משתי דרכי התקשרות עם עובדים חיצוניים שקבע החשכ"ל: (א) באמצעות חברות כוח אדם בשיטת עלות בתוספת עמלה (+ COST .) (ב) באמצעות בתי תכנה בדרך של שעות עבודה במקצועות של טכנולוגיית המידע והתקשוב. הביקורת העלתה שבניגוד להוראת השעה, אשר קובעת שעל המשרד לעבוד רק עם חברות השייכות לקבוצה א', המשרד עובד עם חברה מקבוצה ב'. הביקורת אף העלתה כי כל העובדים שהמשרד מעסיק לפי שיטת עלות בתוספת עמלה מועסקים באמצעות חברה מקבוצה ב', בניגוד להוראת החשכ"ל, וכי היקף ההתקשרות עמה בשנת 2008 היה כ- 5.2 .מיליון שקלים בתשובתו למשרד מבקר המדינה מנובמבר 2009 הודיע חשב המשרד דאז שהכללת החברה בקבוצת הספקים נעשתה "אך ורק לאחר התייעצות אשר נתן את אישורו המפורש לעבודה מול ]דאז[ עם סגן החשב הכללי חברה זו". יצוין כי חשב המשרד לא צירף כל אסמכתה התומכת בטענתו. יוצא אפוא כי חשב המשרד דאז חרג מסמכותו בכך שהוסיף ספקים לרשימה והתיר למשרד להתקשר עם חברה שלא נמנתה עם הקבוצה שהמשרד אמור היה לעבוד עמה על פי הוראת השעה. השינוי שהוכנס אינו תקין ופוגע בעקרונות יסוד של שקיפות ושוויון בין ספקים. לדעת משרד מבקר המדינה, מן הראוי שהמשרד יוודא לאלתר כי לכל עובד חיצוני יש כרטיס נוכחות, וכי שכרם ישולם אך ורק על פי דיווח באמצעות כרטיס נוכחות המוחתם בשעון נוכחו ת. יודגש כי החשכ"ל וחשב המשרד הצטרפו לעמדה זו כפי שעולה מתשובותיהם למשרד מבקר המדינה מנובמבר 2009 , שבהן הם כתבו כי יש להחתים את ארבעת העובדים האמורים לעיל על דוח משולב של שעון נוכחות ודיווח ידני, שיאושר על ידי מנהלת המינהל ויצורף לחשבונות המוגשים לתשלום על ידי חברות כוח האדם. משרד מבקר המדינה מעיר שהפעילויות המתוארות בתשובת המשרד אינן עולות בקנה אחד עם אלו הנדרשות על פי הנוהל. כתוצאה מכך הנהלת המשרד אינה מקבלת דיווח מפורט על התמורה בעבור התקציב שהיא מקציבה למינהל. יצוין כי בנוסף על כך שסמכויות ניה ול ניתנו לעובדים חיצוניים בניגוד לנוהל, לא הובהרו החובות המשפטיות הקשורות בתפקידיהם של העובדים החיצוניים, לרבות חובות הנובעות מדינים החלים על עובדי מדינה. העובדים החיצוניים שולבו היטב בעבודת המשרד, וכבעלי תפקידים בכירים מרוכז בידיהם ידע מקצועי שהיה אמור לה יות בידי המשרד. יצוין כי על פי הוראות השעה, מטרת ההתקשרות עם חברות כוח אדם ובתי תכנה הייתה לקבל שירותי עובדים במקצועות המחשוב וטכנולוגיית המידע, אך המינהל הפר הנחיות אלה והעסיק באמצעות אותן חברות עובדים בתפקידים מינהליים בתנאי שכר שנקבעו לעובדי מחשוב. משרד מבקר המדינה כבר העיר על כך בדוחות ביקורת קודמים בנושא 10 , אך הדבר טרם תוקן. במאי 2009 הייתה העלות לעובד של העובדים החיצוניים גבוההביחס לזו של עובדים בכירים בשירות המדינה. עלות השכר של כמעט כמחציתם - כ-120 , הייתה מעל ל- 30,000 ש"ח; העלות לעובד של11 עובדים הייתה 50,000 - 70,000 .ש"ח .בתחום אבטחת המידע. בתחום התפעול יש להדגיש את הליקויים של המינהל בניהול המשימות שבאחריותו, היעדר בקרה תקציבית, וניהול והעסקה של כוח אדם בניגוד להוראות השעה. נוהל מפת"ח, המחייב את משרדי הממשלה, מסדיר את הדרך הראויה לניהול המחשוב בארגון, הן ברמת הפרויקט והן ברמת הארגון. הנוהל מספק מתודולוגיה סדורה לפי תוח ותחזוקה של מערכות מידע. על המשרד להקפיד לפעול על פי הנוהל, אשר מלבד העובדה שהוא נוהל מחייב, הוא עשוי לסייע בידיו לבצע כראוי את תהליכי הפיתוח, הניהול והתפעול של מערכות המידע. כמו כן על המשרד לרכז מאמצים במיפוי כל הכשלים והליקויים שעלו בביקורת, ולבנות תכ נית לתיקונם על פי חשיבותם וחומרתם ועל פי יכולתו לתקנם. .מערכות המידע הן אמצעי חיוני לתפעולו השוטף של כל ארגון מודרני. מערכות מידע יעילות, תקינות ואמינות עשויות להגדיל את כוחו של הארגון. לא בכדי היקף ההשקעות בתחום זה, החל בייזום מערכות ופיתוחן וכלה בהטמעתן ותחזוקתן, הוא רחב. תלותו של הארגון במערכות אלה היא קריטית. מינהל תקשוב ומערכות מידע הוא היחידה האחראית על מערכות המידע של משרד החינוך. בידיו מסורים הניהול התקין של מאגרי המידע והנתונים של המשרד, זמינותם ואמינותם. בביקורת עלו ליקויים באופן שבו מנהל המינהל את מערכות המידע שבאחריותו. הליקויים נמצאו הן בניהול המערכות והן בתפעולן. בתחום ניהול המערכות יש להדגיש במיוחד את חוסר יכולתו של המשרד לזהות את הסיכונים למערכותיו, את היערכותו הלקויה להתאושש מאסון, אם חלילה יקרה להן, ואת הפרצות
. הביקורת העלתה שהמשרד פעל באופן חלקי ליישום מרכיבי תכנית החירום להמשך פעילות והתאוששות בעת אסון או שיבוש חמור של מערכות המידע, וכי קיימת תכנית חלקית בלבד, הכוללת גיבויים והוצאת קלטות לאתר חיצוני, ובדיקות סדירות לשחזור נתונים. עוד העלתה הביקורת כי לא מופו האיומים ולא דורגו הפעילויות על פי רמת החיוניות או הקריטיות שלהן.