נושאים מערכתיים . שימוש משרדי ממשלה בענן ציבורי וההיערכות להקמת ענן מרכזי .עולה אפוא כי עד מועד סיום הביקורת, באוקטובר 2020 , טרםהושלם יישום תקציב .מעבר מערכות המידע במשרדי הממשלה לענן. .מומלץ כי רשות התקשוב ומשרד האוצר יפעלו למימוש הקצאת התקציב למעבר משרדי .הממשלה לענן. .משרד מבקר המדינה רואה בחיוב את פרסומי המדיניות וההנחיות של רשות התקשוב .ואת עדכונן בהתאם להתפתחויות הטכנולוגיות. .עלה כי משרד הבריאות השלים, במהלך הביקורת, הפצת חוזר מנכ"ל בנושא השימוש .במחשוב ענן במערכת הבריאות. גופים ממשלתיים וציבוריים שונים שוקדים על גיבוש ופרסום קווים מנחים וחוזרים בנושא .מחשוב ענן, מתוך זיהוי הסיכונים הטמונים בהעברת מידע ופעילות לענן. .לצד השמירה על עצמאות גופי האסדרה, מוצע לרשות התקשוב לעקוב אחר האופן שבו .מקדמים ומיישמים גופים ממשלתיים את המעבר למחשוב ענן על מנת לוודא כי כל .התחומים הרלוונטיים נלקחים בחשבון. מומלץ כי רשות התקשוב תבחן הנחלת מדיניות .אחידה לכלל הגורמים אשר תוכל לשמש כבסיס לרגולציות פרטניות. פעולה זו עומדת .בהלימה לתפקידי רשות התקשוב כפי שהוגדרו על ידי הממשלה. .עוד מומלץ כי רשות התקשוב תטמיע הסדר לפיו כל גורם מאסדר במערכת הממשלתית .אשר מעוניין להוציא חוזר בתחום מחשוב ענן לגופים ממשלתיים הפועלים תחת פיקוחו, .יעשה זאת לאחר שטיוטת החוזר תתואם עם רשות התקשוב ותוצג במסגרת ועדת .התקשוב העליונה23 ,. באופן זה ניתן יהיה לקיים בקרה נוספת על הוצאת החוזרים כאמור .וכן הדבר יתרום לתיאום וסנכרון בין המדיניות הממשלתית הכוללת אל מול פעולותיהם .של הגורמים המאסדרים השונים. .מומלץ כי הוועדה המייעצת תבחן קביעת תקינה מחייבת בישראל לספקי מחשוב ענן .אשר תשמש את רשות התקשוב ויה"ב. עוד מומלץ כי במסגרת מיפוי המערכות בענן .הוועדה המייעצת תוודא כי גם במיזמי ענן שיושמו לפני הקמת הוועדה נבחרו ספקים .המחזיקים בהסמכות אבטחת מידע מספקות. .מתרשים 9 עולה כי על פי תשובות המשרדים, במרבית המערכות שתוכננו לעבור .למחשוב ענן נושאים רבים לא נבדקו טרם ההחלטה על היישום בענן - למשל דרכים .להפחתת סיכונים בתחומים שונים, כגון פגיעה במוניטין וכישלון בשרשרת האספקה; .יכולת המשרד להתנתק מהספק ולחזור למערכת בסביבה מקומית. לשם המחשה, רק .ל-28 מבין84 ( מערכות33% ) בוצעו10 בדיקות או יותר מתוך ה-14 .שצוינו במהלך הביקורת, בדצמבר2020 , פרסמה רשות התקשוב הנחיה בנושא "אישור, תכנון .ובקרה לשירותי ענן" (להלן - ההנחיה החדשה). ההנחיה החדשה מפרטת דגשים ובקרות .אשר על המשרד לבצע בעת יישום פרויקט מחשוב ענן, לרבות בקרות בשלבים הבאים: .תכנון; הכנת ההזמנה; יצירת ההתקשרות; אישור ההתקשרות והשימוש השוטף בשירותי .הענן. .לאור הממצאים שפורטו, מומלץ כי רשות התקשוב תבחן את הצורך בעדכון ההנחיה .החדשה כך שתכיל את מכלול הבדיקות אשר על המשרדים לבצע לפני ההחלטה על .יישום מערכת בסביבת הענן, וכן תבצע בקרה על ביצוע ההנחיה בידי המשרדים, .בהלימה לתפקיד רשות התקשוב כפי שנקבע בהחלטת ממשלה 2097 - לשמש גורם .אחראי על קביעת סטנדרטים בתחום טכנולוגיות המידע וסיוע בהטמעתם. מתרשים 10 עולה כי על פי תשובות המשרדים, הם אינם בודקים באופן אחיד וקבוע .גורמים רבים הקשורים לספק ולהסכם ההתקשרות עימו. בין היתר , בהתקשרות עם .ספק לא נבדקים פעמים רבות קיומו של מנגנון פיצוי נאות במקרה של נזק, קיומם של .כלי פיקוח על פעילות הספק או ספקי משנה וכיו"ב. לשם המחשה, רק ל-18 מבין74 .( מערכות24% ) בוצעו14 בדיקות או יותר מתוך ה-20 שצוינו. בביקורת עלה כי ל עיתים .לדעת המשרדים בחירה בספק עולמי מוביל מייתרת את הצורך בביצוע הבדיקות .המתוארות. עם זאת, משרדים אשר ביצעו את הבדיקות האמורות גילו פערים אשר היה .קל יותר לצמצם אותם לפני החתימה על החוזה, כגון קביעת כללים ברורים לסיום .ההתקשרות ותכלול מול מערכות אחרות בארגון. .כאמור, במהלך הביקורת, בדצמבר 2020 ,, פרסמה רשות התקשוב את ההנחיה החדשה .הקובעת בין היתר כי עד לסיום מכרז נימבוס יש צורך באישור מרשות התקשוב ולאחר .מכן ממינהל הרכש לכל התקשרות חדשה או הארכה של התקשרות קיימת בנושא ענן. .הנחיה זו הוגדרה כמסמך מדיניות אשר תוכנו מחייב את קהל היעד - מנהלי אגפי .טכנולוגיות מידע, מנהלי טכנולוגיות, מנהלי יישומים ומנהלי פרויקטי ענן ביחידות .המונחות על ידי רשות התקשוב. .על פי פרוטוקול הוועדה, היה על משרד רה"ם לבצע בדיקות חדירה או סקר סיכונים .למערכת כל 18 חודשים, החל ממועד הקמתה. בביקורת נמצא כי נכון לפברואר2021 , . טרם בוצעו בדיקות חדירה נוספות על אלו שבוצעו בהקמת המערכת, וכן לא בוצע סקר .סיכונים נוסף. .על משרד רה"ם לבצע בדיקות חדירה או סקרי סיכונים למערכת, בהתא ם להנחיות .הוועדה המייעצת של יה"ב. כמו כן, על משרד רה"ם להקפיד לבצע בדיקות אלו בכל 18 .חודשים, בהתאם להנחיות ה וועדה. .מבדיקת שלושת הפרויקטים עולה כי היבטי אבטחת המידע והגנת הסייבר הובאו .בחשבון בשלב ההקמה של כל אחד מהם. לצד זאת, היבטים הקשורים לבקרה תקציבית .על פרויקטים אלו אינם מוסדרים, וכל משרד מנהל את הבקרה התקציבית על פרויקטים .אלו כפי שהוא מוצא לנכון. כפי שתואר לעיל, אחד ממאפייני מודל מחשוב הענן הוא .צריכת משאבים על פי הצורך, כך שעלות השימוש במחשוב ענן יכולה להשתנות באופן .ניכר מדי חודש. האמור מחזק את הצורך בביצוע בקרה תקציבית מסודרת ושוטפת על .מערכות מחשוב ענן. .לאחר סיום הביקורת, בנובמבר 2020 פרסם מינהל הרכש הוראת תכ"ם "קווים מנחים .לאישור ובקרת התקשרויות בענן". בהתאם להוראה, על המנמ"ר לערוך בקרה על .ההתקשרויות בנושא הענן ולדווח על ממצאיה לחשב המשרד, במסגרת אישור .החשבונות והרכישות הנוספות. ה הוראה מפרטת את הבקרות המקובלות שחשבי .המשרד יכולים לבקש תיעוד בגינן מהמנמ"ר. .מתשובותיהם של 42 משרדים על השאלון שהפיץ משרד מבקר המדינה עולה כי על אף .ההנחיה של מנהל יה"ב, במשרדים אלה פועלות כ -10 מערכות בסביבת ענן בלא .שהתבקש לגביהן אישור הוועדה המייעצת. היעדר בחינה של הוועדה עלול להביא .להתממשות סיכוני אבטחת מידע משמעותיים במערכות אלו. . מהתרשים עולה כי מרבית ה משרדים אינם מטפלים בהיבטים רבים הקשורים ליישום .מערכות מחשוב ענן, כגון עדכון תוכנית ההמשכיות העסקית של המשרד, הכנת תוכנית .להסבת נתונים ולטיובם ובחינת עלות-תועלת שוטפת . היעדר הטיפול בהיבטים אלו בעת .יישום המערכת עלול לפגוע בשירות שנותן המשרד, בתכנון התקציבי שלו ועוד. .לאור הממצאים שפורטו לעיל, מומלץ כי רשות התקשוב תוודא כי מכלול ההיבטים באים .לידי ביטוי בהנחיה החדשה, ותבצע בקרה על יישום ההנחיה בידי המשרדים. .מהלוח שלעיל ניתן לראות כי נושא התקינה של אבטחת המידע והגנת הסייבר במחשוב .ענן מעסיק ארגונים ומוסדות רבים בעולם, על מנת לנסות להגן ככל שניתן על ארגונים .המבקשים ליישם מחשוב ענן. בביקורת עלה כי אין תקינה אחת מחייבת למגזר הציבורי .בישראל בכל הקשור לאבטחת מידע ב מחשוב ענן, וכי הגורמים המנחים השונים בוחרים .את התקינה שלדעתם רלוונטית. משרד מבקר המדינה ממליץ כי מערך הסייברישלים עדכון מסמך תורת ההגנה, כך .שיכלול מענה מיטבי לנושא אבטחת המידע בשימוש במחשוב ענן עבור המשק בכללותו .ומשרדי הממשלה בפרט.
מוצע כי מערך הסייבר יבחן ביצוע עריכת סקר עתי לבדיקת קריאת ויישום ההנחיות בידי .הגופים השונים, הן על מנת לצמצם את הסיכון כי לא ניתן מענה ראוי לנושא אבטחת .המידע ביישום מערכת בסביבת הענן והן על מנת לבחון את אפקטיביות פעולותיו. עוד .מומלץ כי מערך הסייבר י משיך ל פעו ל להסדרת סמכויות פיקוח ובקרה על יישום .הנחיותיו.