מרכז השלטון המקומי בישראל . אבטחת מידע והגנת הפרטיות ברשויות מקומיות משרד מבקר המדינה העלה כי מאז הוקמה הרשות למשפט, טכנולוגיה ומידע היא לא קבעה נהלים והנחיות לרשויות המקומיות המחזיקות במאגרי מידע; לא קיימה פעולות פיקוח ואכיפה על רישום מאגרי מידע ברשויות המקומיות; ולא הטילה קנסות על רשויות מקומיות שלא קיימו את חובתן (בעניין זה ראו להלן). לדעת משרד מבקר המדינה, ראוי שהרשות למשפט, טכנולוגיה ומידע תגבש תכנית למימוש אחריותה בתחום אבטחת המידע והגנת הפרטיות בשלטון המקומי. לפעילותן של כ -250 רשויות מקומיות בתחום אבטחת מידע והגנת הפרטיות חסרה אסדרה ברמה הממשלתית שתאפשר להניח את התשתית הנוהלית והמקצועית לטיפול בנושא. משרד הפנים ומשרד המשפטים לא נקטו פעולות של ממש לקידום פעולתן של הרשויות המקומיות בתחום זה. המינהל לשלטון מקומי במשרד הפנים והרשות למשפט, טכנולוגיה ומידע במשרד המשפטים נדרשים לקדם פעילות משותפת לצורך קביעת נהלים והנחיות לפעולתן של הרשויות המקומיות. במסגרת זו יש לקבוע את סדרי הטיפול, את הגופים הממוני ם, את פעולות הפיקוח ועוד. בבדיקת משרד מבקר מדינה התברר כי רק אחת משבע הרשויות שנבדקו - עיריית אשקלון - מינתה ממונה על אבטחת מידע, במאי 201113 , ועובד זה חסר הכשרה בנושא אבטחת מידע. בעקבות הביקורת, בספטמבר 2011 , מונה בעיריית בני ברק ממונה על אבטחתמידע. לדעת משרד מבקר המדינה, על הרשויות המקומיות שנבדקו למנות לאלתר ממונים על אבטחת מידע כמתחייב מחוק הגנת הפרטיות. כמו כן על משרד הפנים ועל הרשות למשפט, טכנולוגיה ומידע לקדם בדיקה בנושא בכלל הרשויות המקומיות ופעולות אשר יבטיחו את מילוי הוראות הדין המחייבות. על משרד הפנים לבחון אם יש מקום להנהיג את ההסדר האמור שנקבע לגבי גופים ציבוריים בחוק להסדרת הביטחון , שלפיו קציני הביטחון מופקדים על פעולות לאבטחת מידע ומערכות מידע, גם ברשויות המקומיות. לדעת משרד מבקר המדינה, על הרשויות המקומיות לקיים פעולות בקרה בתחום אבטחת המידע והגנת הפרטיות ולנטרן, כדי לזהות מקרים שבהם גורמים בלתי מורשים מבצעים פעולות חריגות או מנסים לבצען. . .בחמש משבע הרשויות המקומיות שנבדקו לא נקבעו נוהלי אבטחת מידע בעיריית אשקלון, אחת מן השתיים שנקבעו בהן נוהלי אבטחת מידע, הנהלים מיושמים באופן חלקי בלבד. לדוגמה, בנוהל נקבע כי הממונה על אבטחת מידע יקבע את המדיניות, אך במועד סיום הביקורת עדיין לא הוכן מסמך מדיניות. באוקטובר 2001 הכין יועץ חיצוני עבור עיריית בני ברק טיוטה ובה 40 נהלים בתחום אבטחת מחשבים ומערכות מידע, אך הנהלת העירייה מעולם לא אישרה טיוטה זו, ונהליה אינם מיושמים. לדעת משרד מבקר המדינה, על משרד הפנים להוציא קובץ הנחיות מחייב לרשויות המקומיות בנושא אבטחת מידע והגנת הפרטיות ולוודא את הטמעתו ואת יישומו. עד שיפורסמו הנחיות אלו על עיריות אשקלון ובני ברק ליישם את נוהלי אבטחת המידע שהכינו במלואם. משרד מבקר המדינה העלה כי בחמש משבע הרשויות שנבדקו (רמת ישי, בני עי"ש, טירה, בני ברק ויהוד -מונוסון) לא נקבעו כללים מחייבים לאבטחה לוגית של המידע. לדוגמה, נמצא כי הפסיכולוגים והמזכירה העובדים בשירות הפסיכולוגי בעיריית יהוד -מונוסון משתמשים בשם משתמש ובססמה זהים, וכך לא ניתן לדעת מי השתמש במחשב, מתי ובאילו קבצים טיפל. בעיריית יקנעם עילית נמצא כי קצינת ביקור סדיר במחלקת החינוך מקלידה רק שלושה תווים בכניסתה למחשב. רק בעיריית אשקלון נקבעו הנחיות לגבי הרשאות גישה למחשבים, ונקבע שיש צורך בהחלפת ססמאות, אך במחשב באגף הגבייה שמחובר לרשת המחשבים של העירייה נמצא כי ססמת הכניסה מורכבת מרצף של מספרים עוקבים וללא שילוב אותיות (בעניין זה ראו להלן). .לדעת משרד מבקר המדינה, ראוי שעיריית יהוד -מונוסון תקבע בהקדם מדיניות אבטחת מידע שתכלול הפקת "לוגים" מהמערכת, וראוי שתמנה אחראי לבדיקתם ולניתוחם. הביקורת העלתה כי בשום רשות מן הרשויות שנבדקו לא מתבצעת בקרה לוגית של פעילות המערכות הממוחשבות, ולכן אי-אפשר לברר אם אירעו אירועים חריגים; וכאמור, אין בהן ממונה על אבטחת מידע בעל הכשרה מתאימה שאמור לטפל באירועים חריגים המנוטרים באמצעות מערכת ה"לוגים". לדעת משרד מבקר המדינה, בנוהל שיגובש יש לכלול את ההוראות בדבר הסדרת האבטחה הלוגית והבקרה הלוגית. על בסיס נוהל כולל זה יכינו הממונים על אבטחת מידע ברשויות המקומיות כללים מפורטים לניהול מערכת הססמאות, ואלה יחייבו את כלל המשתמשים. כמו כן ראוי שייקבעו וייושמו כללי בקרה לוגית, יוגדרו האירועים החריגים וינוטרו הלוגים. מן הראוי שכללים אלה יפורסמו ויתבצע פיקוח על יישומם.
משרד מבקר המדינה העלה כי הרשויות המקומיות שנבדקו לא ביצעו מעולם סקרי סיכונים ומבחני חדירה. לדעת משרד מבקר המדינה, על כל רשות מקומית לקבוע במסמך מדיניות אבטחת המידע שלה הוראות אשר יבטיחו כי יתבצע ניהול סיכונים על כל מרכיביו.