סייבר ומערכות מידע . הקמת מערכת סחר חוץ חדשה ברשות המיסים - פרויקט "שער עולמי" .מפסק הבוררות עלה כי העיכובים בשלב ב' בפרויקט נגרמו בין היתר מהסיבות הבאות: .חוסר מוכנות של המערכת בהיבטי תכולה, למשל עיכוב בהשלמת העבודה על מודול .מרכזי "הערכת סיכונים"; תקלות במערכת ובקשות מרובות לשינויים שגרמו לריבוי גרסאות .תוכנה והקשו על יציבות המערכת ועל היכולת לשפר את בי צועיה; עיצומים ברשות .המיסים באותה תקופה; ומידת שיתוף הפעולה של הקהילה, בין היתר בשל אי-בשלות של .המערכת לעלייה לאוויר. בפסק הבוררות השנייה נקבע כי הרשות תשלם לחברה א' פיצוי בסך של כ-23 מיליון ש"ח .בגין העיכוב בעלייה לאוויר של שלב ב' ובכך גדלה עלות הפיתוח של המערכת מעבר .למתוכנן. משכו של העיכוב שנתיים וחצי - מיולי 2015 )(המועד שנקבע בהסכם ההרחבה .עד ינואר 2018. .בביקורת הנוכחית עלה כי העלייה לאוויר של שלב ב' נדחתה בשנתיים וחצי נוספות מעבר .למועד שנקבע בהסכם ההרחבה - יולי 2015 (מועד שגילם דחייה של ארבע שנים לעומת .המועד בהסכם המקורי). שלב ב' עלה לבסוף לאוויר בינואר 2018 . .מהתרשים עולה כי בשל העיכובים בפרויקט שחלו עד למועד העלייה לאוויר של שלב ב' .- ינואר 2018 , גדלה עלות הפיתוח של המערכת מ -140 מיליון ש"ח (העלות בהסכם .המקורי) ל-234 מיליון ש"ח- חריגה של 67% . כמו כן, העיכובים בפרויקט הותירו את .המערכת עם הליכי טיפול בלתי יעילים וגרמו לדחייה במימוש התועלות המשקיות שהיו .אמורות להיות מושגות מן המערכת ועמדו בבסיס הפרויקט ובהן: הקטנת עלויות הסחר .ומעבר מהיר של סחורות אל המדינה וממנה, הגברת האכיפה ושיפור השירות לאזרח. .מלוחות הזמנים המעודכנים שהציג המכס לוועדת התקשוב העליונה בספטמבר 2019 עלה .כי העלייה לאוויר של שלב ד' שהייתה מתוכננת לינואר 202034 נדחתה בשנתיים- לדצמבר .2021 . .נמצא כי בספטמבר 2021 ', בסמוך למועד המתוכנן לעלייה לאוויר של שלב ד- דצמבר .2021 , קבעה ועדת ההיגוי כי תוכנית העבודה אינה ריאלית, ולכן יש לדחות את מועד .העלייה לאוויר בשנה נוספת - לינואר 2023 . מערכת שער עולמי היא רכיב משמעותי בניהול סחר החוץ של מדינת ישראל. לכן, על .רשות המיסים ומערך הסייבר לוודא את השלמת הטיפול בכל פערי אבטחת המידע שעלו .במסגרת הנחית מערך הסייבר בנוגע למערכת, בדגש על הסדרת תהליכי אבטחת המידע. .זאת במטרה להפחית סיכוני תקיפת סייבר שמקורם באבטחת המידע בשרשרת האספקה, .לרבות בקרב חברות מקהילת סחר חוץ. כמו כן על רשות המיסים ומערך הסייבר לעקוב .באופן שוטף אחר יישום הדרישות לאבטחת המידע במערכת. .במהלך הבוררות השנייה עלה כי בין הצדדים יש מחלוקת עקרונית בכמה נושאים .הקשורים למדדי רמת השירות, וכי נכון למועד סיום הבוררות הם טרם הגיעו להסכמות. .הרצון לייעל ולשפר את השירות לאורך שרשרת האספקה של עסקת יבוא - יצוא, קיצור .משך תהליכים וזרימה מהירה של תהליכי סחר חוץ עמדו ביסוד ההחלטה על הקמת .מערכת שער עולמי. בפועל, נכון למועד סיום הביקורת, מרץ 2022 , מאז הועלה לאוויר .שלב ב' בינואר 2018 לא הושלם הליך הקביעה של מדדי רמת השירות שלפיהם תימדד .המערכת, לרבות בנושא זמינות המערכת וביצועיה, התאוששות מתקלות, שבר או אסון, .ולא נחתם הסכם מעודכן בתחום זה. .במצב דברים זה, אין הרשות יכולה להבטיח את עמידתו של הספק ברמת השירות שאותה .היא מצ פה להשיג. נוכח זאת, על הרשות להשלים את הפעולות הנדרשות לבחינת .הישימות של מדדי רמת השירות שהוסכמו ולגבש נוסח סופי של ההסכמות בנושא. כמו .כן, על הרשות להקפיד לאכוף הסכמות אלו, לרבות ביצוע בקרה ומעקב אחר עמידת .חברה א' ברמת השרות שתידר ש. .על הרשות להשלים את הפעולות הנדרשות לחתימה על הסכם רמת שירות מעודכן עם .חברה א'. זאת על מנת לאפשר אכיפה של מדדי רמת השירות על פי תנאי ההסכם .המעודכן ולהבטיח את עמידתו של הספק ברמת השירות הנדרשת. .בפרויקטי מחשוב גדולים בממשלה לפיתוח מערכות ממוחשבות חיוניות, מעורבותו של .מערך הסייבר בראשית הצירים חשובה מאוד, כבר במועד ההגדרה של הדרישות בתחום .אבטחת המידע ובמסגרת שלב האפיון של המערכת. זאת, כדי להתמודד עם ההתפתחות .הטכנולוגית המהירה הבאה לידי ביטוי בהתגברות איומים בתחום הגנת הסייבר על .מערכות קריטיות בממשלה. .כמו כן, כאשר נעשה שימוש בשירותי מיקור חוץ בפרויקטי תקשוב בממשלה ב כלל .ובתשתיות מידע קריטיות בפרט, יש לבחון את הסיכונים בתחום הגנת הסייבר ולנהלם .בהתאם, הן בראשית הפרויקט והן באופן שוטף לכל אורך חיי הפרויקט, לרבות בתחום .שרשרת האספקה (ראו להלן). ביצוע הפרויקט במיקור חוץ מחייב את רשות המיסים .לפעולה שתבטיח הובלה ותכנון של נושא הגנת הסייבר על המערכת ומציאת פתרונות .לכל צרכי אבטחת המידע העדכניים שלה וכל זאת במהלך כל מחזור חיי הפרויקט. . חברה א' היא גורם מרכזי בכל הקשור למערכת שער עולמי ולתפעולה ולכן פגיעת סייבר .בחברה עלולה לגרום נזק למערכת שער עולמי. כמו כן, המכס קבע כי חברה א' היא ."ספק בהתקשרות מהותית", ולכן היא נדרשת לבדיקה של רמת ההגנה שלה במערכת .יוב"ל על פי הנחיית מערך הסייבר. חרף האמור, נכון למועד סיום הביקורת, במרץ 2022 , .לא ידע המכס אם חברה א' סיימה את הליך הבדיקה ולא היה בידיו מסמך תוצאות .הבדיקה האמורה. .כמו כן, נכון למועד סיום הביקורת, המכס לא השלים את הבדיקה של רמת הגנת הסייבר .במערכת יוב"ל לספקים הנותנים לו שירותי מחשוב ותקשורת, שהגדיר בהליך המיפוי .כ"ספקים מהותיים". זאת אף שספקים אלו קשורים זה זמן למערכת שער עולמי, המוגדרת .בחוק הסדרת הביטחון כ"מערכת ממוחשבת חיונית" ואף שלפי הנחיית מערך הסייבר, .הליך בדיקת הספקים שדורגו ברמת סיכון A (ספקים מהותיים) יושלם במערכת יוב"ל עד .לסוף שנת 2021. יצוין כי לאחר סיום הביקורת מערך הסייבר פרסם הנחייה מעודכנת ובה .דחייה של לוחות הזמנים לבדיקה זו. .שיעור המשיבים על הסקר הראשון ועל הסקר השני בקרב המשתמשים הפנימיים - 7% - . הוא שיעור השתתפות נמוך מאוד, שמגביל את יכולת הרשות לקבל תמונה מלאה על מידת .שביעות הרצון של המשתמשים הפנימיים מן המערכת. מומלץ כי הרשות תנקוט בפעולות .אשר יעודדו השתתפות משתמשים בסקרי שביעות הרצון, כדי ללמוד על חוויית .המשתמש 78 במערכת וליישם שינויים ושיפורים. . הביקורת העלתה כי ארבע שנים לאחר עליית שלב ב' לאוויר (שלב עיקרי) טרם נבדקה .מידת שביעות הרצון של משתמשי המערכת מרמת השירות הניתן להם באמצעות מוקד .התמיכה שמפעילה חברה א', לרבות בנושאים כגון זמן קבלת תשובה לפניות משתמשים, .מקצועיות המענה ומתן פתרון מהיר ואפקטיבי לבעיות ולתקלות במערכת.
. הפרויקט נוהל במשך למעלה מעשור בלא שהושלם המענה המלא הדרוש לצרכי אבטחת .המידע, בדגש על עדכון הדרישות שהוגדרו בעבר. בזמן הרב שחלף (14 שנים) ממועד .האפיון של דרישות אבטחת המידע במכרז מ-2004 ועד למועד היישום של המערכת ב- .2018 , נוצרו פערים בתחום אבטחת המידע במערכת. פערים אלו הצריכו יישום של תוכנית .פעולה רחבה ומיידית לשיפור ההגנה על המערכת ועל המידע האגור בה. הפעולות .שנקטה רשות המיסים בנושא זה ובהן פנייתה לרשות התקשוב ב -2019 בנוגע לרכישה של .מוצרי אבטחת מידע חדשים נעשו בשלב מאוחר, לאחר שכבר נוצרו הפערים האמורים. .נבנתה תוכנית עבודה רב-שנתית. בעת עריכת הביקורת נמצא כי רשות המיסים פועלת .להשלמת יישום התוכנית. .עוד עלה כי הרשות לא השלימה את הטיפול בפער אבטחת מידע משמעותי הנוגע לטיפול .במערכת שער עולמי, הנדרש לצורך הגנה על המערכת מפני חדירה של גורמים לא .מורשים, חשיפת מידע רגיש וגרימת נזק.