משטרת ישראל . מערכת מחשוב ניידות - משטרת ישראל הביקורתהעלתה כי מנ"ט אישר את קבלת המערכת בסוף יוני 2003 , למרות שעד אז הותקנו בניידות רק 289 מ- 1,000 ערכות המחשב שהוזמנו. אף על פי כן, בנתונים שסיפק מנ"ט למשרד מבקר המדינה צוין כי המשטרה שילמה עבור "תחזוקה" של מערכת מחשוב הניידות כבר משנת 2000 סכום של6 מיליון ש"ח בשנה, אף שהתקנת ערכות המחשב החלה רק בשנת 2003 כאמור, והתקנת מרביתן הסתיימה רק בנובמבר 2005. במועד סיום הביקורת, יולי 2011 , נמצא כי המשטרה לא הצטיידה בכ - 400 הערכות הנוספותשתוכננו במודל הפריסה הארצי. לדעת משרד מבקר המדינה, נוכח השנים הרבות שעברו מאז קבע אג"ת את מפתחות ההקצאה של המערכת למחשוב ניידות, הגידול שחל במספר הניידות של המשטרה, והמלצות צוות החשיבה, ראוי שהמשטרה תקבל החלטות בכל הנוגע למספר ערכות המחשב והיחידות שלהן יו קצו הערכות. משרד מ בקר המדינה מעיר למשטרה כי אי -שמירת הנתונים כאמור פוגעת ביכולת לקיים הליכי ביקורת, בקרה והערכה בנושא הפרויקט ואינה עולה בקנה אחד עם סדרי מינהל תקין. ניהול עלויות של פרויקט שביצועו נמשך שנים וכרוך בהוצאה כספית של עשרות מיליוני ש"ח חייב להיות מושתת על בסיס מלא של נתונים כספיים המתעדכן באופן שוטף ואחיד כבר מתחילת הפרויקט. נתונים כאלה נדרשים כדי לאפשר מעקב ובקרה נאותים בנושא מימוש הפרויקט וכדי לאפשר קבלת החלטות מיטבית במהלך ביצועו. משרד מבקר המדינה מעיר כי נוכח השונות באופי ובהיקף של השימוש במערכת מחשוב ניידות ביחידות המשטרה ראוי שאג"ת יקצה את ערכות המחשב לניידות של יחידות המרבות להשתמש בהן. כמו כן ראוי שאג"ת יבחן את הסיבות לשימוש הניכר בשאילתות בערכות המותקנות בניידות אק"מ, נוכח הע ובדה שרוב המתנדבים באק "מ אינם מורשים להשתמש במערכת מחשוב ניידות. . הביקורת העלתה כי73 (כ-7% ) מכלל ערכות המחשב לא הופעלו אפילו פעם אחת בפרק הזמן האמור. לדעת משרד מבקר המדינה, הנתונים בדבר אי-שימוש בערכות המחשב המותקנות בניידות מחייבים בחינה. כמו כן, על המשטרה להקפיד על נכונות הנתונים שמוזנים לערכות המחשב כדי שהפיקוח על המערכת יתבצע כראוי. הועלה כי במועד סיום הביקורת, יולי 2011 , עדיין לא הועבר שאלון שביעות רצון למשתמשי המערכת, והנושא לא נדון בוועדת ההיגוי בראשות סגן ראש אג"ת. משרד מבקר המדינה העיר למנ"ט כי ראוי היה שיופץ שאלון שביעות רצון לכלל משתמשי המערכת, וכי המידע ירוכז וישמ ש בסיס להליך הערכה מקצועי של המערכת ולבחינת הצורך בהקמת מערכת חדשה. לדעת משרד מבקר המדינה, ראוי לשקול הסדרה חוקית של האחריות לאבטחת מערכות ממוחשבות חיוניות שמפעילה ומנהלת המשטרה - וזאת נוכח הרחבת היקף השימוש במערכות כאלה במשטרה בשנים האחרונות ובשים לב למידע הרגיש המוזן במערכות אלו. משרד מבקר המדינה מעיר למשטרה כי אין בייחוס האחריות בנושא לבעל תפקיד זה או אחר ברמה האדמיניסטרטיבית-פנימית כדי לייתר הסדרה חוקית ברורה של תחום חשוב זה במשטרה, כפי שהוא מוסדר לגבי הגופים האחרים שנכללו בתוספת הרביעית. משרד מבקר המדינה העיר כי על השר לביטחון הפנים לנקוט בצעדים הנדרשים להוספת המשטרה לגופים המנויים בתוספת הרביעית לחוק להסדרת הביטחון. בהתייחס לתשובת המשטרה מעיר משרד מבקר המדינה כי כנס רב משתמשים אינו תחליף לשאלון שביעות רצון לכלל המשתמשים במערכת, האמור להתייחס למכלול היבטים של תפעול המערכת, לאפשר ניתוח של תשובות שיתקבלו מכלל משתמשי המערכת, על תפקידיהם השונים ושל השימושים השונים שהם עושים בה, ולהפיק מכך לקחים. הועלה כי במועד סיום הביקורת, יולי 2011 ,, טרם נעשו הבדיקות האלה ועיקר עבודת הצוות התמקדה באיתור נקודות התורפה של המערכת לצורך סיכום דרישה מבצעית (להלן - דמ"צ) למערכת חדשה. הביקורת העלתה כי במשך כתשע שנים - בין אפריל 2002 למועד סיום הביקורת, יולי 2011 - לא נבדקו רמת אבטחת המידע במערכת ואופן קיום הנהלים ולא נבחן הצורך בעדכונם. גם מסמך העיצוב משנת 2002 לא עודכן, אף שבמשך השנים היו חידושים רבים בנושא מערכות המחשוב ונשקפו סיכונים נוספים בנושא אבטחת מידע. משרד מבקר המדינה העיר למשטרה כי ראוי שהאחריות לאבטחת מידע תהיה בידי גורם שמחוץ למנ"ט. .התברר, כי רק באוקטובר 2011 העבירה המשטרה לוועדת הפטור טבלה ובה אבני דרך לפעולה לקראת היציאה למכרז, וביקשה להמשיך את ההתקשרות ע ם חברה א' בפטור ממכרז בהיקף כספי של 24 מיליון ש"ח עד סוף 2013 ., לצורך המשך תחזוקת המערכת . משרד מבקר המדינה העיר למשטרה כי בהיעדר סקר סיכונים מעודכן ומקיף בנושא אבטחת מידע למערכת מחשוב ניידות, נבצר ממנה לדעת אילו סיכונים נשקפים למערכת, מהן נקודות התורפה שלה ואילו אמצעי אבטחה יש לנקוט כדי להגן על המערכת. הועלה כי במועד סיום הביקורת מנ"ט לא פנה לחברה ג' ואף לא לחברה א' - אשר מחזיקה את המפתחות בשיטת ההצפנה של חברה ג' - לצורך טיפול בנושא, ובכך לא פעל להגנה על הנתונים שבמערכת מחשוב ניידות. לדעת משרד מבקר המדינה, המתכונת שקבעה המשטרה, ולפיה מנהלת תחום אבטחת מידע כפופה מהבחינה המינהלית למנהל מערכות המידע, אינה עולה בקנה אחד עם דרישות נוהל המסגרת שנועדו למנוע את ניגוד העניינים בין ממלאי שני התפקידים. בהתייחס לתשובת המשטרה מעיר משרד מבקר המדינה כי על המשטרה לתקף את מסמך מדיניות אבטחת המידע. משרד מבקר המדינה מעיר כי הצוות בראשות סגן ראש אג"ת לא גיבש ותיקף את עקרונות הקצאת מחשוב הניידות ואת הק ווים המנחים להתקשרות בהסכמי תחזוקה, "לרבות בחינת האפשרות לצאת למכרז תחזוקה חדש" בהתאם לתפקידים שהוגדרו לו באוגוסט 2010 . בפועל התמקדה עבודת הצוות בריכוז הצרכים הטכנולוגיים לצורך הגדרת כיווני הפיתוח. הביקורת העלתה כי במועד סיום הביקורת, יולי 2011 , עדיין לא הגישה המשטרה לוועדה את תכנית העבודה המפורטת. משרד מבקר המדינה העיר למשטרה על שלא קיימה את החלטות הוועדה הן בנוגע לאיסור על שדרוג המערכת והן בנוגע לדרישה בדבר המועד להגשת תכנית עבודה. לנוכח אי-קיום החלטות הוועדה ספק רב א ם ייושם המתווה שקבעה הוועדה בהחלטתה. הביקורת העלתה כי מנ"ט לא הקפיד לבצע את הבדיקות האמורות וגם לא דרש מחברה ב ' לבצען, ולמעשה לא בדק אם יש חסימה בתשתית התקשורת ואם הגישה לרשת מחשוב ניידות מאובטחת. יצוין כי מאחר שחברה ב' מפעילה רשת ציבורית, המידע המועבר בה עלול להיות חשוף למי שאינו מורשה לכך. מהניתוח שעשה משרד מבקר המדינה עולה כי יחידות המשטרה השונות נבדלות זו מזו במידה ניכרת בהיקף השימוש שעשו במערכת. אף שיש הבדלים ניכרים בין יחידות המשטרה השונות במידת היעזרותן במערכת, המשטרה לא בדקה את הצורך בהקצאת ערכות מחשב ליחידות הממעטות להשתמש בה. עוד העלתה הבדיק ה כי אף שלפי הנוהל חובה להפעיל את המערכת, בתדרוך משמרת תנועה או סיור לא מוזכרת כלל החובה להשתמש במערכת, אשר אמורה לשמש כלי מרכזי לביצוע המטלות של מגזרים אלה. לדעת משרד מבקר המדינה, על המשטרה לפעול להגברת השימוש במערכת, בין היתר על ידי העלאת המודעות לשימוש בה וריענון תהליכי עבודה באמצעותה. כמו כן, על אג"ת לבדוק מחדש את הקצאת ערכות המחשב ליחידות שלא אמורות להשתמש בה, כגון אק"מ. 1. מאז הוקמה המערכת, במשך השנים, ביקשו היחידות השונות במשטרה לעשות בה שינויים. חלק מהדרישות לשינויים הועלו כבר בשנת 2006 ואף קודם לכן, אך במועד סיום הביקורת עדיין לא בוצעו כל השינויים. כמו כן תיעוד הדרישות לא נעשה באופן אחיד ומלא, ובכלל זה לא צוין לגבי דרישות רבות תאריך הבקשות לשינויים, כנדרש בנוהל מפת"ח. במהלך הביקורת התברר כי המשטרה תכננה לבצע בסוף שנת 2011 את השו"שים האלה ורבים אחרים, גם ישנים יותר, במסגרת גרסה חדשה (ראו להלן). . משרד מבקר המדינה מעיר כי ההוראה האמורה היא פנימית ומיועדת לשימוש במנ"ט ואינה מתאימה לביצוע שו"שים באמצעות ספק או גורם חיצוני נוכח העובדה שאינה כוללת מסגרת תקציבית ואת תכולת העבודה, מה גם שהיא אינה עומדת בדרישות נוהל מפת"ח. משרד מבקר המדינה העיר למשטרה כי מנ"ט לא מיצה את זכויותיו ולא דרש מחברה א ' שביצוע השו"שים בגרסה החדשה ייעשה בתעריפים שנקבעו במסגרת המכרז שבו זכתה חברה א ', וזאת עד להיקף של 10,000 .שעות משרד מבקר המדינה מעיר למשטרה כי טענתה שעבור ביצוע שו"שים לא הוצאו חשבוניות והוראות תשלום אינה עולה בקנה אחד עם הוראות הדין. בהיעדר חשבוניות והוראות תשלום לא ניתן לדעת אם המשטרה מימשה את זכותה לבצע שו"שים בהיקף של עד 10,000 שעות בתעריפים שנקבעו במסגרת המכרז. זאת ועוד, ניצול שעות פיתוח להדרכה ולהטמעה אינו עולה בקנה אחד עם עקרונות מינהל תקין נוכח העובדה שעלות שעת פיתוח יקרה משעת הדרכה והטמעה. הבדיקה העלתה כי בשום בקשה מהבקשות לא הכין מנ"ט מסמך SOW ובו פרק המגדיר את תהליך האישור, הניהול וההזמנה של השינויים. כמו כן, הבקשה לשינויים לא נוסחה על פי כללי נוהל מפת"ח והיא כללה רק את נושא השו"ש ואת תיאורו, ללא שום פרט נוסף, וכן לא נקבעה בה מסגרת תקציבית. משרד מבקר המדינה העיר למנ"ט כי ראוי היה לדרוש מחברה א' לציין בהצעת המחיר החדשה את מספר שעות העבודה הנדרשות לביצוע כל שו"ש ואת מחירה של שעת עבודה. נתונים אלה נדרשים לצורך קיום בחינה וניתוח יסודיים של הצעת המחיר ולצורך בקרה על העבודה. מהנתונים עולה כי לא נאכף הנוהל, הקובע כי כל ערכות המחשב בניידות חייבות לפעול בכל שעות היממה. ראוי שהגורמים המקצועיים במשטרה יבדקו נתונים אלו וינתחו אותם, תוך בחינת האפשרות לרענן את הנוהל האמור ולנקוט את הצעדים הנדרשים על מנת שהוא אכן ייושם בשטח. .לדעת משרד מבקר המדינה, לנוכח העובדה שכ -75% מהתקלות הגורמות לעיכוב בשימוש במערכת או המונעות את השימוש בה מקורן בבעיות בססמאות ובאי-תקינות של כרטיס ים אישיים, יש לפעול לצמצום תקלות כאלה ובכלל זה לבחון את האפשרות להחליף את הכרטיסים בכרטיסים אמינים יותר. הביקורת העלתה כי המשטרה לא פעלה לפי החלטת הממשלה בעניין אבטחת מידע, כמפורט להלן: בנוהלי אבטחת מידע שפרסמה המשטרה לא נקבע כי ימונו ו עדת היגוי לאבטחת מידע ופורום אבטחת מידע; המשטרה הכינה טיוטת מסמך שבו הוג דרה מדיניות האבטחה הנח וצה לה מתוקפם של חוקים ותקנות להגנה על מערכי המ חשוב אך היא טרם קיבלה תוקף; כמו כן לא נקבעו באופן רשמי יחסי הגומלין בין הגורמים האחראים לאבטחת המידע מהבחינה הניהולית והביצועית ולא נקבעו פורומים ניהוליים לקידום העניין. המשטרה גם לא הכינה תכנית אבטחת מידע מתוקצבת כנדרש. .לדעת משרד מבקר המדינה, ראוי כי המשטרה תגדיר מדיניות לאבטח ת מידע וכי היא תעוגן בנוהל. יש לקבוע בה את יעדי אבטחת המידע ואת האחראים לה, וכן סדרי פיקוח ובקרה ומסגרות לדיון ופעולה כגון ועדת היגוי לאבטחת מידע. גיבוש המדיניות וי ישומה אמורים להביא לכך שאבטחת המידע תהיה חלק מהתרבות הארגונית של המשטרה. .מערכת מחשוב ניידות היא מערכת המותקנת בניידת ותפקידה למזער את תלותו של השוטר בתחנת המשטרה בעת ביצוע משימותיו. המערכת הוקמה כדי לשפר את יכולתה של המשטרה להילחם בטרור, לתמוך במלחמה בפשיעה, לשפר את השירות לאזרח ולקצר את זמן התגובה של המשטרה לאירועים. הקמת המערכת הייתה פריצת דרך טכנולוגית ותפיסתית בעבודת יחידות המשטרה , בהיותה פלטפורמה ניידת, המעבירה מידע בזמן אמת לכוחות המבצעיים של המשטרה. המערכת נעשתה לכלי חיוני ומרכזי בעבודת השוטר, הן משום שהקנתה לניידת את היכולת "לדבר" בזמן אמת עם מאגרי המידע הרלוונ טיים ללא "תיווך" אנושי ולסכם אירוע בתוך הניידת ולא במשרד , והן משום שהקנתה למפקדים בשטח יכולת לקבל תמונת מצב זמינה ומדויקת על כוחות המשטרה. על המשטרה להחליט אם להגדיל את מספר ערכות המחשב והיחידות שלהן יוקצו הערכות; להקצות ערכות מחשב רק ליחידות המרבות להשתמש בה; לפעול להגברת השימוש במערכת; להגדיר מדיניות לאבטח ת מידע ולעגנה בנוהל; לשקול הסדרה חוקית של האחריות לאבטחת מערכות ממוחשבות חיוניות שמפעילה ומנהלת המשטרה; לבצע לאלתר סקר סיכונים בנוגע למערכת; וכן למנוע גישה לאתר שבו מאוחסן מידע בסיווג "סודי" ו -"סודי ביות ר" על ידי גורמים שאין להם הסיווג הביטחוני המתאים. הביקורת העלתה כי המשטרה לא השתמשה בשום שיטה מהשיטות להערכת עלות המפורטות בנוהל מפת"ח - הערכה על פי מחזור חיים או הערכה על פי רכיבי עץ המערכת , והדבר מעורר ספקות ב נוגע לאיכות ההערכה. הביקורת העלתה כי חלק מהשו"שים שמנ"ט הזמין מהחברה ישמשו לשדרוג המערכת, שלא בהתאם לאישור הוועדה. הביקורת העלתה שמאז הוקמה המערכת לא פעלה המשטרה להעלאת סיווג המערכת באופן שיתאפשר להעביר בה מידע בסיווג "סודי" ו"סודי ביותר", אף שהדבר תוכנן מלכתחילה ואף שההתפתחויות הטכנולוגיות שחלו במשך השנים בתחום ההצפנה היה בהן כדי להקל את הליך ההסדרה של העניין. מאחר שלא שונה סיווג המערכת, לא התאפשר לקיים ממשק בינה ובין מערכות מסווגות יותר, כמו מערכת "פלא" 17 , וכן נמנעה מיחידות מסוימות במשטרה האפשרות להשתמש בה. לדעת משרד מבקר המדינה, על מנ"ט לבדוק את רמת אבטחת המידע במערכת, לקיים את נוהלי אבטחת המידע ולבדוק אם יש צורך לעדכנם. הביקורת העלתה כי לאנשי חברה א' המטפלים במערכת למחשוב ניידות רמת סיווג "שמור" בלבד, ואף על פי כן יש להם גישה לחוות השרתים כולה. משרד מבקר המדינה מעיר כי על מנ"ט לנקוט את הצעדים הנדרשים למנוע גישה לאתר שבו מאוחסן מידע בסיווג "סודי" ו-"סודי ביותר" על ידי גורמים שאין להם הסיווג הביטחוני המתאים, ולצורך כך עליו לבחון אפשרות להפרדת השרתים שבהם אגור מידע בסיווג "סודי" ו -"סודי ביותר" משרתים בסיווג "שמור", ולחלופין להתיר כניסה לחוות השרתים רק לבעלי הסיווג הביטחוני המתאים. .הביקורת העלתה כי המפרט במכרז להקמת מערכת מחשוב נ יידות לא הוכן על פי נוהל מפת"ח, וגם הצעת הספק לא נכתבה על פי הנוהל.
משרד מבקר המדינה מעיר כי המפרט היה צריך להיכת ב על פי נוהל מפת"ח, נוכח העובדה שהנוהל חל על כל משרדי הממשלה.