סייבר ומערכות מידע . הגנת הסייבר במגזר התחבורה .נמצאו פערים בתחום ניהול ה משתמשים וההרשאות. נושאים אלו הוצגו לגופים והם .מסרו בתשובתם כי הם פועלים לטיפול בממצאים. .חיבור למרכז בקרה : נמצא כי בשיעור גדול בגופים שנבדקו מערכות בתחום .התחבורה אינן מחובר ות למרכז בקרה בנושא מסוים. .שמירת לוגים של הפעילות במערכות בתחום התחבורה : בכל הגופים שנבדקו .נשמרים הלוגים במערכ ות בתחום התחבורה ונבדקים בידי בעלי תפקידים שונים .בהתאם לצורך. נמצא כי בעירייה ד' אומנם הלוגים נשמרים, אך הם אינם נבדקים .בידי אף גורם. .התראה אוטומטית בנושא מסוים : בשיעור גדול בגופים שנבדקו נשלחת התראה .למרכז הבקרה בנושא מסוים, למעט ב עיריות ב' וד'. .חומת אש: נמצא כי רכיב זה מיושם בכל הגופים שנבדקו. .אנטי-וירוס : נמצא כי רכיב זה מיושם בשיעור גדול בגופים שנבדקו . .מערכת אבטחת מידע א': נמצא כי מערכת זו אינה מיושמת ב שיעור גדול בגופים .שנבדקו. כן נמצא כי בעיריי ה ו' רכיב זה מיושם חלקית. .מערכת אבטחת מידע ב': נמצא כי מערכת זו אינה מיושמת בשיעור גדול בגופים .שנבדקו. .מומלץ כי משרד התחבורה יפעל למסד תשתית מתאימה (למשל באמצעות הקמת פורומים .מקצועיים ומערכת שיתוף מידע) ולעודד את הגופים השונים לשתף האחד את השני במידע .מקצועי בנושא הסייבר, גם כאשר הם מתחרים זה בזה, ובהתאם לכללי התחרות והסייגים .לעניין הסייבר החלים עליהם. מומלץ כי המשרד ישקול להשתמש ב -SOC המגזרי גם .כתשתית לשיתוף אירועים ופעולות לטיפול באירועים אלו שקורים בכלל המגזר. שימוש .באופן זה אף עשוי להגביר את התועלת של הגופים משימוש ב-SOC . .בשנת 2016 הכין מערך הסייבר תבנית אחידה לצורך גיוס יועצי סייבר על ידי משרדי .ממשלה, המבוססת על מכר זים שפרסמו קודם לכן יחידות סייבר מגזריות שונות. בסופו .של דבר לא אושרה תבנית זו והתהליך הופסק. .בביקורת עלה כי לא קיימת תבנית לצורך פרסום מכרזים בתחום הסייבר לשימוש הגופים .במגזר. מומלץ כי מערך הסייבר ואגפי הסייבר המגזריים, ובהם אגף הסייבר במשרד .התחבורה, יעלו צרכים משותפים בתחום הסייבר לצורך הכנת תבניות שיוכלו לשמש את .כלל הגופים במגזר (לדוגמא: גיוס יועצים; רכש כלים; רכש שירותי התערבות באירועים .(IR ); הקמת ותפעולSOC ), תבניות אלו יוכלו לשמש את כותבי המכרז ולחסוך להם זמן .וכן ליצור אחידות בדרישות הבסיס של כל תחום התקשרות, אליהם יוסיף כל גוף את .הנושאים הרלוונטים לו. .בהתאם לתבחיני הנזק אשר למולם מתבצע תהליך דירוג הגופים, לדעת משרד מבקר .המדינה העיריות העוסקות בהיבט שנבחן בדוח זה ב תחום התחבורה עומדות בתבחינים .לשם סיווגן כגוף A אוB ,. לכןמומלץ כי משרד התחבורה יעדכן את סיווג הגופים כך .שעיריות אלו יידרשו לעמוד בדרישות המדיניות. .מוצע כי מערך הסייבר ומשרד התחבורה יקבעו נהלי דיווח ביניהם בכל הנוגע לגופי התמ"ק .המונחים על ידי המערך ויפעלו לממשם, כדי שלמשרד התחבורה תהיה תמונה כוללת של .מצב הגנת הסייבר גם בגופי התמ"ק. מומלץ כי נהלים אלו יתייחסו, בין השאר, לנושאים .הבאים: שיתוף מידע; דיווחים שוטפים; חולשות ואירועים; נוהל טיפול באירוע; נוהל סגירת .חולשה; הערכות מצב עיתיות; תיאום תוכניות עבודה וביקורות; ודיווח על תוצאות איר ועים, .תחקורים ולקחים. .משרד מבקר המדינה מציין לחיוב את הפעילות שנעשתה בתחום הרכב האוטונומי, לרבות .תיקון החוק, פרסום הנוהל והקמת מרכז הניסויים בבאר שבע. עם זאת משרד התחבורה .טרם החל בביצוע ביקורות בתחום זה. .מוצע שאגף הסייבר יבצע ביקורות באופן עצמאי על החברות שמבצעות ניסויים ברכב .אוטונומי קודם הפעלת יכולת זו בכבישי ישראל ויחווה את דעתו בנוגע לסיכונים הקיימים .בתחום זה ויוודא טיפול החברות בפערים שנמצאו בניסויים, ככל שאלו קיימים. בביקורת עלה כי אף שרשות התחרות לא רואה בהעברת מידע על איומי סייבר כפעולה .העלולה לפגוע בתחרות, הרי שבפועל שיתוף המידע בין גופים דומים הוא חלקי. למשל: .במערכות בתחום התחבורה - רק בשישה מתוך שנים עשר הגופים שנבדקו (50% ) קיים .שיתוף ידע בנושא הגנת הסייבר31; בתחום הים - נמצא כי נמל כ' ונמל כ"א, הנמצאים .שניהם בתהליכים דומים לצורך שיפור רמת ההגנה בסייבר, אינם משתפים ידע אחד עם .השני בתחום הגנת הסייבר. .נמצא כי בשיעור בינוני בגופים שנבדקו אין תוכנית התאוששות עסקית, וממילא הם .לא תרגלו תוכנית זו. .על ה גופים האמור ים להגדיר ת וכנית התאוששות עסקית הכוללת פירוט של .התהליכים העסקיים, הסיכונים החלים עליהם והגדרת המענים הניהוליים .והטכנולוגיים להתמודדות איתם. .בביקורת עלה כי לא נקבעה תוכנית עבודה מפורטת לחיבור ול"מיבצוע" של כלל הגופים .ל-SOC , אף שההתקשרות מולרש"ת מתוכננת להסתיים לאחר כשנה (בדצמבר 2022 ) ואף .שנכון ליולי 2022 מחוברים ל-SOC פחות ממחצית מהגופים ( 14 מתוך 35 ,)מהם חמישה .בלבד בסטטוס "מבצעי", 9 ,"מחוברים אך לא "מבצעיים18 ,"בסטטוס "ממתינים לחיבור .ושלושה בסטטוס "לא הותנע". עוד עלה כי ההתקשרות הנוכחית עם רש"ת אינה נותנת .מענה מלא לארגונים גדולים. .מוצע כי משרד התחבורה יקבע לוח זמנים מפורט לחיבור כלל הגופים ולהפיכת חיבור זה .ל"מבצעי". בנוסף מוצע כי המשרד ימפה את החסמים לחיבור ל- SOC של גופים שהוגדרו ."ממתין לחיבור " או "לא הותנע" ויפעל לשחרור החסמים. .במועד סיום הביקורת, באפריל 2022 , החל משרד התחבורה להקיםSOC מגזרי זמני ולחבר .אליו גופים בהדרגה - מהלך חשוב ומורכב שעשוי לתרום רבות למשרד בנוגע לקב לת .תמונת מצב על הגנת הסייבר בגופים המנחים על ידו. נוכח טווח הזמן של כשנה שאושר .להפעלת ה-SOC ברש"ת ומשך הזמן הדרוש לביצוע התקשרות מורכבת להקמת SOC , . מומלץ כי משרד התחבורה יבחן, עוד במהלך תקופת ההתקשרות עם רש "ת, את .האפשרויות העומדות לפניו להפעלת SOC בצורה קבועה. כן מומלץ למשרד התחבורה .לבחון כיצד לנטר בצורה אפקטיבית גופים גדולים. נוכח העובדה שייקח זמן לחבר את כל .הגופים ל-SOC , מוצע למשרד התחבורהלתעדף את הטיפול בגופים שונים ובגופים שאינם .מנוטרים כלל. .שימוש במערכות הפעלה ישנות שאינן נתמכות עוד על ידי היצרן: באף אחד .מהגופים שנבדקו לא קיימת גרסה ישנה של מערכת הפעלה אשר אינה נתמכת עוד .על ידי יצרן המערכת. .עדכוני אבטחת מידע במערכות בתחום ה תחבורה : נמצא כי בשיעור בינוני .בגופים שנבדקו לא בוצעו בשנים 2019 עד 2021 התקנות סדירות של עדכוני אבטחת .המידע (כלומר בתדירות של פעם בשנה לפחות), ובעירייה ז' לא בוצעו כלל עדכונים .אלו. .על העיריות האמורות לקיים תהליך ניהול עדכונים שוטף לצורך טיפול בחולשות .אבטחה המתגלות מפעם לפעם בתשתיות המחשוב שבאחריותן כדי להפחית את .הסיכון להתרחשותם של אירועי סייבר. .משרד התחבורה החל בספטמב ר 2021 בהכנסת נספחי סייבר מחייבים בהתקשרויות .חדשות בתחומי התשתיות היבשתיות, אולם עדיין ישנם תחומים בהם המשרד אינו מחייב .לכלול דרישות סייבר בהתקשרויות חדשות. יודגש כי בתחומי פעילותו של המשרד חלק .מההסכמים נחתמים לתקופה ארוכה, כאשר בהסכמים שנחתמו בעבר אין דרישות סייבר. .למשל: הפעלת נמלים - זיכיון ל-25 שנים; הפעלת אשכולות תחבורה ציבורית - 10 .שנים .עוד עלה כי למשרד אין מיפוי מרוכז של ההתקשרויות הקיימות לרבות מועד סיומן, וממילא .אין בידו רישום אם קיימות בחוזים אלה דרישות סייבר . נוכח זאת קיים סיכון שגם .ההתקשרויות שצפויות להסתיים בשנים הקרובות יוארכו, מבלי שיתווספו להן דרישות .סייבר במסגרת הארכתן וחידושן. .במצב האמור אין למשרד התחבורה סמכות חוקית או חוזית על חלק מה גופים במגזר .בנושא הגנת הסייבר, דבר המשפיע על מידת יכולתו של אגף הסייבר במשרד התחבורה .לממש את אחריותו ולהעלות את רמת הגנת הסייבר . כמו כן יכולת משרד התחבורה .להכניס דרישות סייבר חדשות ברישיונות שכבר ניתנו למפעילים, אף שהרישוי תקף לשנים .ארוכות, היא מצומצמת. מוצע כי משרד התחבורה יבחן את התיקונים הנדרשים מבחינה משפטית, תוך השלמת .מיפוי ההתקשרויות הקיימות של המשרד, כדי לממש בצורה אפקטיבית את אחריותו .לטיפול בסיכוני הסייבר במגזר. עוד מומלץ כי המשרד יפעל להטמיע דרישות סייבר .במסגרת כל הליך רישוי או חידוש של רישוי שנעשה מול מפעיל. במסגרת זו יש לתת את .הדעת על האיומים המתג ברים בתחום הסייבר מחד ועל חלון הזמן להכנסת דרישות .להגנת סייבר ברישיונות שאמורים להינתן בשנים הקרובות מאידך. בהתאם להנחיית .מנכ"לית המשרד, מומלץ כי המשרד יבחן אם ניתן להחיל דרישות על גופים אשר קיבלו .רישיונות מבלי להמתין שנים עד למועד חידושם, תוך בחינה אם ניתן לשייך את תחום .הסייבר לתחום הבטיחות בו ניתן לקבוע דרישות באופן מיידי לאור סיכונים חדשים. מוצע כי משרד התחבורה יבחן את סיווג הגופים ואת התבחינים לקביעתם לאור ההנחיה .המעודכנת של מערך הסייבר המגדירה כי המאסדר הוא הקובע את סיווג הגופים על פי .תבחיני המשרד, וכן יעדכן את המדיניות בהתאם. .בביקורת עלה כי במצב האסדרה החוקית הנוכחי אין בידי משרד התחבורה כלים להטמיע .את המדיניות שקבע ולממש את אחריותו על הגנת הסייבר במגזר התחבורה. .בביקורת עלו פערים ביכולת משרד התחבורה לעדכן דרישות סייבר בהתקשרויות ארוכות .טווח ולכן בהיעדר כלים רגולטוריים, אין למשרד סמכות להנחות גוף פרטי ללא הסדר .חוזי - כך שהמשרד צפוי להתקל בקשיים ביכולת להנחות את הגופים במגזר ולפקח על .אופן יישום הנחיותיו. עוד נמצאו פ ערים בין דרישות הסייבר שהוגדרו במדיניות ובין היכולת .ליישמן בחלק מהגופים, בטווח הזמן שנקבע ליישומה ופערים בתחום מוגנות הסייבר בגופי .A בהתאם לביקורות שביצע אגף הסייבר משנת2021 . .במצב הנוכחי שבו חלק מההתקשרויות הקיימות אינן מכילות דרישות סייבר, למשרד .התחבורה חסר ים כלים רגולטוריים שיאפשרו לו לחזק את הגנת הסייבר. להלן כמה .דוגמאות: בתחום התחבורה הציבורית - המשרד לא הוסיף אפשרות להוסיף תנאי ם .ברישיונות למפעילים (הניתנים לעשר שנים) בנושאי מדיניות הגנת סייבר; לגבי תחום הים .(בגופים שאינם תמ"ק) - המשרד לא דרש מגופים אלה לגבש נוהל בקרת גישה וניהול .חשבונות משתמשים, ולגבש נוהל שימוש בשירותי ענן . בפברואר ומרץ 2022 מסר משרד .התחבורה כי לגבי תחומי הרכב, הרכבות והנמלים - נושאים אלו עדיין מצויים בטיפול .מקצועי ולא הושלמו. מוצע כי משרד התחבורה ייזום תיקון לחוקים ולתקנות ויגדיר סדר עדיפות להתחלת .הפעילות בתחום תוך מתן עדיפות לתחומים שבהם מוקמים פרויקטים חדשים רחבי היקף; .ותחומים שבהם יש סיכוני סייבר רבים ומצב ההגנה הנוכחי של הגופים אינו מספק להם .מענה הולם. פעילות זו תעלה בקנה אחד עם פעילות חלק מיחידות הסייבר המגזריות .האחרות שהחלו להפעיל את הרישוי רק בחלק מהתחומים בהתאם לניהול סיכונים .שביצעו. כמו כן מוצע כי משרד התחבורה יבחן את האפשרות לעדכן את הזיכיונות, .הרישיונות וההתקשרויות הקיימות ולהוסיף להן דרישות מתחום הגנת הסייבר, בפרט לאלו .שמסתיימות בקרוב. .בביקורת עלה כי לאגף הסייבר במשרד התחבורה אין תקציב בסיס קבוע אלא תקציב .שמתעדכן מדי שנה בשנה. במצב זה האגף אינו יכול לבצע תכנון רב-שנתי של המשימות .בהתאם לתקציב, לכן אין וודאות להמשך תקציבי . כן נמצא כי למול התקציב הנדרש .המוערך ב-30 מיליון ש"ח, בשנים2021 עד2022 הוקצו לנושא כ- 6.3 .מיליון ש"ח .בשנים 2015 עד2022 פעל אגף הסייבר במשרד התחבורה באיוש חסר בהשוואה למספר .התקנים שנדרש בהחלטה 2443 ( , והועסקו בו רק שלושה מתוך חמישה60% ) עובדים. עוד .עלה כי מערך הסייבר לא פיקח על יישום ההחלטה ולא התריע על אי-יישומה לפני גורם .כלשהו. במצב זה אין בידי משרד התחבורה משאבי כוח האדם והתקציב הדרושים לטובת .מימוש אחריותו והוא אינו יכול לתת מענה לחלק מה איומים הניצבים בפני מגזר התחבורה. מוצע כי משרד התחבורה ומערך הסייבר יבחנו את התקציב ואת הלימת תקינת כוח האדם .המוקצת למול המשימות שעומדות לפתחו של אגף הסייבר ולצורך מתן מענה לאיומי .הסייבר הניצבים בפני מגזר התחבורה. נוכח הממצאים שעלו ממבדק החדירה, על עירייה א' לקיים הערכת מצב ולקבוע תוכנית .עבודה לתיקון הליקויים. מוצע כי משרד התחבורה יסדיר ויפעל לאסוף נתונים מהגופים ומיתר המאסדרים בתחום .הסייבר כדי לייצר תמונת מצב מגזרית, למשל באמצעות פגישות סטטוס עיתיות עם הרשות .להגנת הפרט יות ועם מערך הסייבר שמנחה את גופי התמ"ק במגזר; קבלת מסמכים .עיקריים מהגופים וקבלת דיווח על אירועי סייבר. כן מוצע כי מערך הסייבר ומשרד .התחבורה האחראים להנחיית הגופים במגזר יגבשו בסיס נהלי ליישום שגרת הניהול .השוטפת שיתייחס, בין השאר, לנושאים הבאים: שיתוף מידע; דיווחים שוטפים; הערכות .מצב עיתיות; תיאום תוכניות עבודה וביקורות; ודיווח על תוצאות אירועים, תחקורים .ולקחים. עם השלמת איסוף המידע, מוצע כי משרד התחבורה יממש את תפקידו כאחראי .על הגנת הסייבר של כל המגזר וינחה בהתאם למידע שירוכז על ידו את כלל המגזר באופן .שוטף. מוצע שמשרד התחבורה יבחן בשיתוף חברה ז' את הסיבות לכך שה-SOC המגזרי לא סיפק .עבור חברה ז' מענה הולם, ויבצע את הפעולות הנדרשות לתיקון. .נמצא כי בשנים 2017 עד2020 לא היה ברור מי המאסדר האחראי להנחיית הנמלים .החדשים, והנמלים לא הונחו באופן סדור שהולם את הסיכונים בנוגע להיערכותם .להתמודדות עם איומי סייבר, זאת עד שנת 2020 שבה הובהר למשרד התחבורה שקיימת .לו סמכות מלאה. בהמשך לכך, בספטמבר 2021 פרסם המשרד נוהל עבודה להטמעת .דרישות סייבר בפרויקטים תשתיתיים וביצע ביקורות בשני הנמלים החדשים באוקטובר .ובנובמבר 2021 , כאשר אחת מהביקורות בוצעה בסמוך להפעלת הנמל והועלו בה פערים .שיש לתקן כתנאי להפעלת הנמל. .מומלץ כי משרד התחבורה יהיה מעורב בהיבטי הסייבר בפרויקטים חדשים עוד בשלבי .התכנון, שכן בהתאם לתפיסת Security by Design זול יותר לשלב את דרישות הגנת .הסייבר בשלבי תכנון הפרויקט מלהכניסן בשלבים מאוחרים שבהם יידרשו שינויים .והתאמות, ויעקוב אחר יישום הדרישות בטרם מתן רישיון ההפעלה.
.✰ .בסקר שערך משרד מבקר המדינה בעשר עיריות ובשתי חברות ממשלתיות עלו פערים .מהותיים בין מצב הגנת הסייבר במערכות בתחום התחבורה לבין דרישות הסייבר של .משרד התחבורה.