סייבר ומערכות מידע . הגנת הסייבר והמשכיות עסקית ביחידת שירות עיבודים ממוכנים ברשות המיסים .הביקורת העלתה פערים בבקרה על השרת. .משרד מבקר המדינה ממליץ לשע"ם לפעול לכך שהבקרה על מערכותיה תהיה מלאה. .ממצאי התחקיר בדבר היעדר תוכנית להמשכיות עסקית בעת התפרצות מגפת הקורונה .ממחישים את הצורך בהשלמת כתיבתה של התוכנית להמשכיות עסקית על פי הנחיות .רשות התקשוב. .בביקורת עלה כי האגף פועל מסוף שנת 2016 אף שהנציבות לא אישרה את שינוי המבנה .הארגוני. הגדרות התפקיד של עובדי האגף הן הגדרות תפקידיהם הקודמות , והם מועסקים .בתקנים שהוקצו לאגפים אחרים. בעקבות זאת סמכות האגף ותפקידיו אינם מוסדרים. .במהלך השנים עזבו את האגף ארבעה עובדים, ולא ניתן היה לגייס עובדים חדשים בשל .היעדר תקנים. .מצב שבו אגף איכות והמשכיות עסקית פועל חמש שנים ללא הסדרת תקן כנדרש אינו .תקין. על שע"ם לוודא כי יוסדר תחום ההמשכיות העסקית בהתאם להוראות הנציבות. .מהנתונים עולה כי בשנים 2021-2019 .היה ניצול חלקי של ימי העבודה המתוכננים .הביקורת העלתה כי קיימים פערים בין רמת הסיווג הביטחוני הנדרשת בהתאם .לתפקידיהם של חלק מהעובדים לבין רמת הסיווג שלהם בפועל. .משרד מבקר המדינה ממליץ לשע"ם לפעול לכך שרמת הסיווג הנדרשת של כלל העובדים .בשע"ם תותאם לתפקידיהם. הביקורת העלתה כי שע" ם ביצע את הפעילות בחלק מן המערכות אולם עלו פערים .בהשלמת הבקרות המפצות. .משרד מבקר המדינה ממליץ להכין תוכנית לסגירת הפער . .בביקורת עלה כי לא הונפק כתב מינוי לחברי ועדת ההיגוי להמשכיות עסקית ולא נקבעו .סמכויותיה. נוסף על כך, עד למועד סיום הביקורת התכנסה הוועדה פעם אחת נוספת, .ביולי 2021 , ולמעשה התכנסה שלוש פעמים עד למועד סיום הביקורת, ולא בכל רבעון .כפי שנקבע בישיבתה. .מומלץ לוועדת ההיגוי להמשכיות עסקית להתכנס בהתאם לתדירות שנקבעה ולבחון את .החסמים העומדים בפני קידום הפרויקט ואת הדרכים להסרתם. .הביקורת העלתה פערים בנוגע להשלמת תוכנית התאוששות מאסון. עוד נמצאו פערים .בתהליך גיבוש תוכנית ההמשכיות העסקית ובהשלמתה. .על שע"ם לתקן את הליקויים שעלו בתהליך גיבוש תוכנית המשכיות עסקית ובהשלמתה. .בביקורת עלה כי האחראי בפועל, שהוא ראש אגף איכות והמשכיות עסקית, לא קיבל .כתב מינוי לתפקיד, ולא הוגדרו בכתב תחומי אחריותו וסמכותו. .על שע"ם למנות בכתב את האחראי להמשכיות עסקית ולהגדיר בכתב את סמכויותיו ואת .תפקידיו. .נמצא כי בשע"ם הוכנה תוכנית עבודה ומעקב אחר הפערים בין ההנחיות לנעשה בפועל. .עם זאת, בשל פערים במיפוי התהליכים ונכסי המידע הנדרש, תוכנית זו נותנת מענה חלקי. .עוד עלה כי הגנה על רשת א' כמקשה אחת, ללא ניתוח התהליכים הפרטניים והבחנה .ביניהם, יוצרת מערך הגנה רחב מהנדרש, והדבר עלול ליצור קשיים תפעוליים בשע"ם. .משרד מבקר המדינה ממליץ כי שע"ם יתקן את הליקויים שנמצאו במיפוי התהליכים ונכסי .המידע שנערך. .הביקורת העלתה כי בשע"ם קיים נוהל תגובה לאירועי אבטחת מידע וסייבר מפברואר .2020 , אךהנוהל אינו עוסק בחובה לדווח לגורם הרלוונטי על אירועים אלה, ולצורך לשלב ו .בתחקור האירוע. כמו כן חסרה התייחסות רלוונטית לתחום מסוים הנדרש בהנחיות. .משרד מבקר המדינה ממליץ לשע"ם לעדכן את נ והל תגובה לאירוע אבטחת מידע וסייבר , .באופן שיכלול את כל הפעולות הנדרשות בהתאם להנחיות . .עלה כי סקר הסיכונים ששע"ם ביצע בתחום אבטחת המידע, אינו תואם את ההנחיות .הרגולטוריות בדבר ביצוע סקר הסיכונים. עוד נמצא כי שע"ם אינו מפקח על הטיפול .בממצאי הסקר שנערך. .משרד מבקר המדינה ממליץ כי שע"ם יבצע סקר סיכונים בהתאם להנחיות הרגולטוריות. .נמצא כי בשע"ם לא התקיים תהליך של מעקב אחר הטיפול בליקויים שהועלו בביקור ות .המערך שהוזכרו לעיל. .הביקורת העלתה כי אף שנושא ניהול השינויים נכלל בנוהל העוסק בהיבטי אבטחת מידע .בכל שלבי הפרויקט, הנוהל אינו עוסק ב צורך לעדכן את הגורם הרלוונטי בניתוח הסיכונים .ובהשפעות הצפויות של יישום השינויים כנדרש בהנחיות. .משרד מבקר המדינה ממליץ לשע"ם לעדכן את הנוהל באופן שיכלול את כל הפעולות .הנדרשות בהתאם להנחיות הרגולטוריות. .הביקורת העלתה כי הנוהל בשע"ם אינו כולל את כל הדרישות שנקבעו בהנחיות. .משרד מבקר המדינה ממליץ לשע"ם לעדכן את נוהל שרשרת האספקה באופן שיכלול .את כל הנדרש בהנחיות. עלו פערים במיפוי התהליכים ונכסי המידע שבוצע בשע"ם, והוא אינו עונה במלואו על .דרישות ההנחיות הרגולטוריות. .הביקורת העלתה פערים בדבר המידע שנאסף על ידי אגף אבטחת מידע בשע"ם בנוגע .לשרשרת האספקה. .מומלץ כי שע "ם ישתמש במערכת הייעודית שפיתח מערך הסייבר הלאומי לבחינת .שרשרת האספקה. .בשל ריבוי המערכות שע"ם מתקשה לבצע מבדקי חדירה לכלל המערכות אחת לתקופה. .בשל כך הנחה המערך לבצע פעילות מסוימת כבקרה מפצה. .שע"ם הוא גוף ה-IT של רשות המיסים, וככזה הוא מפתח מערכות מידע עבורה, מתחזק .מערכות קיימות ומחזיק במידע. על כן, יש חשיבות גדולה לרמה גבוהה של הגנת סייבר .בשע"ם וכן לתפקוד מלא של שע"ם בעיתות משבר ולהתאוששות מהירה שלו מאסון. .ממצאי הביקורת מעלים כי על שע"ם לפעול לשיפור הגנת הסייבר על מערכותיו. .מומלץ כי שע"ם יפעל בהקדם לתיקון הליקויים שהועלו בדוח זה תוך בחינת יישום המלצות .הדוח. .בביקורת נמצא כי שלא בהתאם למסמך מדיניות אבטחת מידע וסייבר של שע"ם, הנהלת .שע"ם לא קבעה את תדירות התרגול ה תקופתי הנדרש. עוד נמצא כי לשע"ם יש נוהל .העוסק בתרגול המעבר לאתר ה-DR . הנוהל עוסק בהיבטים שונים הנדרשים לתרגול, אך .לא נקבעה בנוהל תדירות התרגול. .בביקורת עלה כי תרגיל מסוים בוצע באופן חלקי. .מומלץ לשע"ם לשקול לבצע את התרגילים במתכונת מלאה, לקבוע בנוהל את תדירות .התרגול והוראות מסוימות לתיקון הליקויים שנמצאו בתרגול. .בשנת 2018 הסתיים עדכון הפק"ל בסיוע יועץ חיצוני נוסף מטעם רשות המיסים, אך לא .צוינו בו היבטים מסוימים. .הביקורת העלתה כי ניתן מענה לפער שהעלתה ביקורת הרגולטור המסוים לפני מספר .שנים. .במבדק החדירה שביצע היועץ החיצוני מטעמו של משרד מבקר המדינה הועלו ממצאים .אשר מסכנים מהבחינה עסקית את המידע ואת מוניטין הארגון. .משרד מבקר המדינה ממליץ לשע "ם לבחון ממצאים אלו, וכן לבחון את ההמלצות לתיקון .הליקויים שהועלו על מנת להעלות את רמת החוסן האפליקטיבי של מערכת א'. .עלה כי תהליך ההתעדה של שע"ם לתקן האיכות הישראלי לא הושלם, על אף המשאבים .הרבים שהושקעו בו. .עלה כי הגם שתפקידי הוועדה הוגדרו בכתב המינוי, הם הוגדרו באופן כללי ולא פורטו .כנדרש בהנחיות הרגולטוריות. .עוד נמצא כי, כפי שעולה מפרוטוקולים של דיוני הוועדה, הדיונים עוסקים בעיקר בתוכנית .העבודה של אגף אבטחת מידע, בליווי פרויקטים ובטיפול בתקלות, וכי הדיונים אינם .עוסקים בפעולות שתנקוט הוועדה בהתאם לתפקידי הוועדה כפי שנדרש בהנחיות .הרגולטוריות. .משרד מבקר המדינה ממליץ לשע"ם לעדכן את כתב המינוי של ועדת ההיגוי באופן .שיכלול את תפקידי הוועדה כנדרש בהנחיות הרגולטוריות, וכן הוא ממליץ לשע"ם לפעול .ליישום תפקידי הוועדה. .בכתב המינוי ממרץ 2019 ,נרשם כי ועדת ההיגוי תתכנס אחת לחודשאך בפרוטוקול של .הדיון הראשון של הוועדה משנת 2019 נקבע, כאמור , כי "הוועדה תתכנס אחת לחודש .ולאחר מכן במרווחים גדולים יותר". .עלה כי בשנת 2019 התכנסה ועדת ההיגויבהתאם להנחיות הרגולטוריות . עם זאת מספר .ההתכנסויות אינו עולה בקנה אחד עם כתב המינוי של הוועדה ממרץ 2019 . .מומלץ לשקול לעדכן את כתב המינוי, בהתאם לצורך ולמספר ה התכנסויות בפועל.
מומלץ כי האגף והנהלת שע"ם יפעלו במשותף למימוש תוכנית העבודה והמשאבים .שהוקצו לנושא ההמשכיות העסקית על בסיס שנתי.