רשות מקרקעי ישראל . ניהול מערכות המידע - מינהל מקרקעי ישראל משרד מבקר המדינה העיר למינהל כי עליו לשפר את פעולות המעקב והבקרה על מצב החובות וגילם. יש להפיק דוחות אלו באופן קבוע, לנתח את הנתונים שנמצאים בהם ולקבל החלטות בדבר מדיניות הגבייה ותכנית הגבייה. המינהל לא עשה פעולות אלו ומן הראוי לקיימן כחלק מתהליכי העבודה שלו. משרד מבקר המדינה העיר למינהל כי ראוי שיעשה שימוש במערכת המידע שברשותו המאפשרת קיום מעקב ובקרה. על המינהל לבנות תכנית גבייה ולהפיק דוחות מעקב שיאפשרו לו לשפרה. לדעת משרד מבקר המדינה, על המינהל לשפר את הפיקוח והבקרה של עובדיו בתחום זה ולהיעזר במערכת הממוחשבת לבקרה שוטפת. כמו כן עליו לשלב פעולות בקרה ממוחשבות בתהליך מתן האישורים ולנקוט את כל האמצעים הדרושים למניעת הישנות תופעות כאלה. נמצא כי דוח החייבים במערכת עכ"א כולל חובות שהושמטו בדוחות אחרים. כמו כן היו אי -התאמות בין הדוחות לבין הנתונים במערכת. העובדה שבשני מאגרי מידע של המינהל נמצאים נתונים שיש ביניהם הבדלים ניכרים בנוגע לסכו מי חובות הדח"ש מעוררת ספקות בנוגע למהימנותם. משרד מבקר המדינה העיר למינהל כי עליו לדאוג לכך שנתוני חובות הדח"ש הרשומים במאגריו יהיו זהים בכל המאגרים. לדעת משרד מבקר המדינה - נוכח ריבוי הליקויים שהועלו מן הראוי שהמינהל יבחן את היקף כוח האדם הנדרש לביצוע ביקורת בחשבויות, כדי להבטיח קיום בקרה נאותה על פעולותיו. משרד מבקר המדינה העיר למינהל כי עליו לפעול לזירוז הפיתוח של מרכז המידע. כמו כן עליו למנות לאלתר אחראי ארצי לגביית חובות, ולחדש את התכנית לגביית החובות תוך שימוש במרכז המידע החדש. עוד העיר משרד מבקר המדינה כי ניהול החובות חייב להיות מעודכן ולשקף את מצבם האמִתי. שדרוג ניהול החובות במערכת עכ"א הוא חיוני ועשוי לתרום לשיפור הגבייה של המינהל. משרד מבקר המדינה העיר למינהל כי ריבוי הנתונים השגויים הרשומים במערכת ובדוחות המופקים על ידה מחייב, מחד גיסא, את צמצום מספר מקרי ההתערבות ידנית בבסיס הנתונים, ומאידך גיסא - בחינה לוגית של המערכת הקיימת עד שדרוגה או החלפתה למניעת כשלים כגון איפוס תאריכים בצורה אוטומטית, ללא התרעה על חריגים. הביקורת העלתה כי גם הנוהל שפרסם המינהל לא קוים: במבנה הארגוני של אגף מידע יש בתקן משרה של ראש "תחום בקרה, אבטחת מידע ומשימות מיוחדות", ואולם תפקידיו העיקריים של העובד המשובץ בה הם סיוע בהעסקת כוח אדם חיצוני באגף ו תיאום בין המינהל לבין גופים ציבוריים המעוניינים לקבל ממנו מידע על פי חוק חופש המידע, כך שלמעשה הוא אינו מטפל באבטחת מידע. לדעת משרד מבקר המ דינה, נוכח ההיקף הכספי הנרחב של פעולות המינהל, היה ראוי להעלות לראש סדר העדיפויות את פיתוח המערכת הכספית כדי שהפעולות יפוקחו ויבוקרו באופן יעיל. על החשכ"ל ועל המינהל לנקוט את כל הצעדים הדרושים ולהטמיע במינהל מערכת כספית באמצעות מרכב"ה או מערכת אחרת ולסיים את הסחבת בעניין שנמשכת כבר למעלה מחמש שנים. נמצא כי בין חשבונות המחשב הפעילים שהמינהל לא ביטל היו חשבונות של עובדים שלא עבדו בו כבר שנים, וביניהם עובד בכיר בעל הרשאות רבות במיוחד. משרד מבקר המדינה העיר למינהל, כי באין תכנית עב ודה שנתית אין להנהלת המינהל בסיס לבניית תקציב שנתי, ואין באפשרותה לבצע את עבודתה כראוי. עוד העיר לו משרד מבקר המדינה, כי מלבד העובדה שהדבר נוגד את דרישות נוהל מפת"ח והוראות תכ"ם, היעדר תכנית שנתית למחשוב הוא כשל יסודי בניהול מערכות המידע במינהל שכן בהיעדר תכנית עבודה שנתית לא ניתן לדעת מהן התשומות הדרושות לאגף, מהם התקציבים הנדרשים לו, מהם לוחות הזמנים לכל פרויקט ועוד. הביקורת העלתה כי תכניות העבודה של אגף מידע בשנים 2007 -2009 לא היו מפורטות דיין ולא התאימו לדרישות נוהל מפת"ח: נרשמו בהן רק שמות המשימות ללא כל פירוט; כ"אחראי לביצוע, שותפים, ואחראי בקרה" הוגדרו אגף מידע ולפעמים גם אגף אחר בלי ציון פרטי הצוות האחראי לפיתוח באגף; כמו כן לא הוגדר תקציב לכל משימה; לא נקבע מועד התחלתה, אלא רק מועד סיומה, וגם לא הוגדרו משתמשים צפויים וממשקים למערכות אחר ות. ממסמך שהכין אגף מידע בנובמבר 2008 התברר כי תכניות העבודה של אגף מידע אינן משקפות במלואן את המשימות המבוצעות בו; צוינו בו עשרות משימות בנושאים של תשתיות, מערכות מידע וטכנולוגיות שיושמו ב- 2008 ולא נכללו בתכנית העבודה של אותה שנה. .משרד מבקר המדינה העיר למינהל כי על אגף מידע להכין תכניות עבודה שנתיות מפורטות, כנדרש בנוהל מפת"ח, שישקפו את מלוא פעילותו. על ההנהלה לדון בתכניות ולאשר אותן, ועל המינהל לפעול לפיהן. בדרך זו גם יתאפשר לקיים בקרה נאותה על ביצוע תכניות העבודה. הביקורת העלתה כי גורמי ניהול במינהל ובכללם מנהלי המחוזות אינם משתמשים במערכת בקרת הפע ילויות, והפעולות הידניות אינן נבדקות. התברר כי מערכת בקרת פעילויות אופיינה ונכתב ה ביזמת אגף מידע ככלי בקרה לגורמי ניהול במינהל בלי שבוצע ניתוח צרכים עם המשתמשים, ולדעתם המערכת אינה מתאימה להם. כל חודש נרשמות כ- 40,000 פעולות חריגות חדשות, וריבוי ן מקשה את בדיקתן. שנים רבות לא עשה אפוא המינהל שימוש בכלי לבקרת פעולות חריגות שפיתח אגף מידע, והוא מונח כאבן שאין לה הופכין. הנהלת המינהל המודעת זה שנים להימנעות מהשימוש במערכת בקרת פעילויות לא עשתה דבר בנדון. משרד מבקר המדינה העיר למינהל כי אי -קיום בקרה על הפעולות הנעשות באמצעות המערכת הממוחשבת מונע גילוי של טעויות או שימוש לרעה. לפי כך על הנהלת המינהל ליזום בדיקה באשר לסיבות לאי - השימוש במערכת ולפעול לתיקונה או לאפיונה מחדש בשיתוף עם המשתמשים; לחילופין, אם יתברר שאי -השימוש נובע מאי -הטמעה כנדרש - עליה לפעול לאלתר להטמעתה ולשימוש בה ככלי בקרה. משרד מבקר המדינה העיר למינהל כי הנהלת המינהל מחויבת לדון ולאשר תכנית-אב טרם התחלת יישומה. לדעת משרד מבקר המדינה על הנהלת המינהל להכין, כמתחייב מנוהל מפת"ח, תכנית -אב למחשוב שבה יפורטו, בין השאר, מערכות המידע ומערכות התשתית הדרושות לארגון בחמש ה שנים שלאחר תכנונה, והמשאבים הדרושים להקמתן ולתפעולן השוטף . הכנת התכנית תבטיח הליך תכנוני מפורט שיקיף את כל מערך המחשוב במינהל. משרד מבקר המדינה העיר להנהלת המינהל כי עליה להקפיד ולהטמיע .בנהליה את כל החלטות המועצה והחלטות אחרות המשפיעות על .החישובים במועד סמוך לקבלתן ולעדכן מיד לאחר מכן את מערכת עכ"א. .אי-עדכון המערכת עלול לגרום לחישובים לא נכונים לפי ההוראות התקפות .ולשמש פתח לניצול לרעה. הביקורת העלתה כי רוב ההמלצות של חברה א' לא יושמו; לא נמצאו לכך נימוקים. הביקורת העלתה כי המלצה זו יושמה רק בחלקים ממערכת עכ"א ולא בכולה. בחלקים שבהם לא יושמה אין פיקוח ובקרה, והדבר יכול לשמש פתח לטעויות או לשימוש לרעה. .הביקורת העלתה כי המינהל לא נקט פעולות ממשיות לתיקון הליקויים והכשלים שהועלו במסמך התובנות של המשטרה. הנהלת המינהל אומנם קיימה כמה דיונים בנושא, ואולם הליקויים לא תוקנו. בפועל עדיין חשופים המערכות הממוחשבות של המינהל והמידע האגור בהן לטעויות, למעשים חריגים ולשימוש לרעה. לדעת משרד מבקר המדינה, על המינהל להפיק לקחים מהמקרים שציינה המשטרה, לקבל החלטות מעשיות לשינוי המצב ולתיקון הכשלים לאלתר ולפעול למימושן המידי כדי למנוע הישנות מקרים דומים. .הביקורת העלתה כי עד מועד תום הביקורת, אוג וסט 2010 , שש שנים מאז החלטת הממשלה האמורה, לא צלחו הניסיונות לשלב את מערכת מרכב"ה או חלקים ממנה במינהל. להלן פרטים: .משרד מבקר המדינה העלה כי המינהל לא השכיל להשתמש באפשרויות הגלומות במערכת הממוחשבת ובמידע האגור בה למעקב אחר גביית חובות ולייעול הטיפול בתיקים. להלן פרטים: עד מועד תום הביקורת, אוגוסט 2010 , טרם סיים המינהל את בניית מרכז המידע האמור. לדברי ראש תחום כספים באגף מידע , במערכת קיים מרכז מידע בנושא חובות דח"ש ו"לאחראי גבי יה ישנה גישה למאגר זה". התברר כי מרכז המידע הקיים מיושן ונותן מידע חלקי בלבד; לדוגמה, הוא לא כולל חובות שאינם בנושא דמי חכירה שנתיים וגם לא את גיל החובות. הממונה הארצית לגבייה עזבה את המינהל ב - 2007 .ומשרתה טרם אוישה בפרק "אבטחת מידע במינהל" מתואר מכלול רחב של ליקויים בטיפול המינהל באבטחת המידע: אי-קביעת מדיניות של אבטחת מידע; אי -מינוי ממונה על אבטחת מידע הכפוף למנהל המינהל; אי-הקפדה על הפרדת סמכויות; ניהול ססמאות שלא בהתאם לרמת האבטחה הנדרשת במערכת כספית המנהלת מידע רגיש; ניהול הרשאות גישה בלתי-ראוי; אי-שימוש בנתוני יומן האירועים לצורך אי תור פורצים למערכת; היעדר פיקוח ובקרה על פעולות הפקידים; היעדר תיעוד ממוחשב של קבלת מסמכים ושל האסמכתאות עצמן; אפשרות לשנות נתונים בקלות רבה ועוד. ממצאים אלו מצביעים על כשל יסודי. לדעת משרד מבקר המדינה, על המינהל לנקוט בדחיפות את כל הצעדים הדרושים לתיקון הל יקויים ולמניעת טעויות או שימוש לרעה במערכת הממוחשבת. בנובמבר 2010 הודיע מנהל המינהל למשרד מבקר המדינה כי הוא "רואה חשיבות מרובה להפעלה תקינה של מערכות המידע, ועל כן יפעל לתיקון הליקויים שהתגלו בדוח". בינואר 2011 הוסיף מנהל המינהל כי "יש לערוך רוויזיה במער כות המידע של המינהל, ולכן נקט המינהל בפעולות שנקט". .חלק גדול מהמערכ ות לניהול המקרקעין של המינהל הן מערכות מיושנות שפותח ו בשנות השמונים של המאה העשרים ולא חודשו מאז. בסיס הנתונים מיושן; יש קושי בהפקת מידע ניהולי מהן; אין בהן פעולות בקרה מובנות; יש קשיים בגיוס עובדים שבקיאים בטכנולוגיה המיושנת. כל אלה גורמים לליקויים רבים בשימוש המינהל במערכות המידע בעבודתו, במיוחד לשם בקרה. הביקורת שממצאיה מוצגים בדוח זה חושפת ניהול לקוי של מערכות המידע במינהל שעלול לפגוע בזכויות המדינה במקרקעי ישראל, בקופה הציבורית ובאמון הציבור. אופן הניהול של מערכות המידע עלול לפגוע בתשתית המידע שלפיה נקבעת המדיניות בנושא המקרקעין, בזכויותיהם של תושבי המדינה בשל גביית יתר וניהול לא תקין ובחובת הנאמנות של המינהל כלפי האזרחים. הביקורת העלתה כי למרות הנחיצות שביישום המלצות חברה א ' לפעילותו התקינה והיעילה של המינהל - רובן לא יושמו. חלק ניכר מן הליקויים שצוינו היו קיימים גם בזמן הביקורת. עוד העלתה הביקורת כי מאז שנת 2000 לא עשה המינהל סקר סיכונים נוסף ולא נקבע אחראי לאבטחת המידע, כנדרש. משרד מבקר המדינה העיר למינהל כי עליו לשפר את מערכות המידע שברשותו כדי שיוכל להקפיד על מעקב ובקרה על החובות האמורים. מידע זה חייב להיות זמין בעת קבלת ההחלטות על מתן אישור ההיוון, ובכל מקרה יש להשתמש בו לקביעת תכנית גבייה של חובות אלו, לרבות קביעת יעדי גבייה תקופתיים. מממצאי החקירה ומתשובת המינהל עולה כי הענקת סמכויות רחבות לפקידי המינהל ללא בקרה ממוחשבת למניעת שינויים ללא פיקוח והיעדר תיעוד ממוחשב ופיקוח ובקרה של הדרג הניהולי - אפשרו או הקלו את כל החריגות שהועלו בחקירת המשטרה והביאו להפסד ים כספיים ניכרים למינהל. סביר להניח כי פעולות בקרה ממוחשבות היו יכולות למנוע את הפחתת דמי ההיוון ואת הוצאת היתר הבנייה ולהקשות את ביצוע שאר הפעולות החריגות. משרד מבקר המדינה העיר למינהל כי הטיפול באבטחת מידע חייב להיות מחוץ לאגף המידע ולא באחריותו. אין להסכים שהאחראי לפעילות מערכות המידע יהיה אחראי גם לאבטחתן. על המינהל לפעול לתי קון הנוהל כדי להבטיח כי הטיפול בנושא אבטחת המידע לא יהיה באחריות מנהל אגף המידע במינהל. הביקורת העלתה כי המינהל לא דירג את התפקידים לצורך קביעת הרשאות גישה למערכת ולא קבע הגדרה של הרשאות לפי תפקיד. אגף מידע נוהג לתת לעובד חדש הרשאות גישה על פי בקשתו של מנהל המחוז, מנהל אגף או מי שהוסמך על ידם. התברר כי הרשאות הגישה ניתנות על פי הרשאות הגישה של עובד אחר במחלקה בלי לבדוק אם הן נחוצות לו. לדוגמה - עובדת במינהל מטעם משרד של רואה חשבון שתפקידה אינו כולל עיבוד נתונים אלא רק פיקוח, קיבלה ביולי 2009 .הרשאות נרחבות כמו אלה של מנהלת מדור בגזברות משרד מבקר המדינה העיר למינהל כי ההרשאות הניתנות לכל עובד צריכות להיות מותאמות לתפקיד שאותו הוא ממלא ובאישורו של הממונה עליו. משרד מבקר המדינה העיר למינהל כי אי-רישום ההחלטות במערכת פוגע בבקרה ובפיקוח של ממלאי תפקידים במינהל שאמורים להיעשות לפי ההחלטות של ועדת עסקות ב"מסלול ירוק". יש להקפיד על רישום מדויק של ההחלטות ולהשלים את רישום ההחלטות שהתקבלו. הביקורת העלתה כי לא כל הפעולות שנעשו במערכת עכ"א מתועדות, ולא כל סוגי המסמכים המופקים במערכת מועברים למערכת הדמיה באופן אוטומטי ומתויקים בתיק החוכר, בכללם מסמכים המתעדים פעולות כספיות. התברר כי ב - 2006 מונתה ועדה בראשות היועץ המשפטי של המינהל שקבעה אילו מסמכים יועברו אוטומטית למערכת, אילו יודפסו ויועברו אליה לאחר חתימה, ואילו לא יועברו מכיוון שאינם משמשים אסמכתה או מתעדים פעילות. על פי החלטת הוועדה, רק 40% מסוגי המסמכים אמורים להיסרק אוטומטית, ו -20% מהם אינם אמורים להיסרק כלל. 40% הנותרים- ההחלטה אם לסרוק אותם היא בסמכות של פקיד מינהל. משרד מבקר המדינה העיר למינהל כי כל פעולה כספית חייבת להיות מתועדת במערכת הדמיה לצורך בקרה עתידית. כמו כן יש לסרוק את כל המסמכים הנוגעים לענייני כספים, מאחר שהמסמך הסרוק הוא אסמכתה לפעולה במערכת. בעת קליטת נתון על קבלת מסמך במערכת הממוחשבת, מן הראוי לסרוק את המסמך ולציין את מועד הגעתו ברישום ממוחשב. בדרך זו לא ניתן יהיה להגיש מסמכים ולטעון כי הוגשו מוקדם יותר או מאוחר יותר. .בשנים האחרונות עומדות על הפרק רפורמות שנויות במחלוקת בענ יין שימוש בקרקע חקלאית והפרטת קרקע. אלה עשויות להשפיע במידה ניכרת על עיצוב צביונה של המדינה ועל חיי אזרחיה ותושביה. כדי לקבוע מדיניות ולקדם רפורמות מערכתיות נחוץ בסיס מידע מדויק ואמין, ולכן חשוב מאוד שהמינהל ישפר את תשתית המידע שלו. הביקורת העלתה כי במינהל נקבע שמספר התווים המזערי בססמת הכניסה יהיה ארבעה, לא נדרש בה צירוף של אותיות ומספרים, והתוקף שנקבע לכל הססמאות הוא 90 יום. הדרישות הללו נקבעו גם לפעולות שרמת האבטחה הנדרשת בהן גבוהה. משרד מבקר המדינה העיר למינהל כי מן הראוי שיקבע רמות אבטחה, ועל בסיס קביעה זו יגדיר את מספר התווים המזערי לכל ססמה, את הרכבה ואת תוקפה, כנדרש בתקן. הפרדת תפקידים: הביקורת העלתה, כי ע ובדים אחדים בתפקידי פיתוח ביצעו פעולות בסביבת הייצור 29 , בניגוד לעיקרון של הפרדת תפקידים. אחדות מהן הוגדרו במינהל כפעולות חריגות. משרד מבקר המדינה העיר למינהל כי מן הראוי שהנהלתו תמנה אחראי לאבטחת מידע, בעל הכשרה מתאימה בנושא, שזה יהיה עיסוקו העיקרי, והוא יהיה כפוף ישירות למנהל המינהל. העובדה שאין עובד שזה עיסוקו העיקרי בגוף שעוסק בעניינים כל כך רגישים ובטיפול בסכומי כסף עצומים - הוא בגדר מחדל של ממש. בשל הזמן הרב שחלף מהגדרת החריגים ובגלל העובדה שבמינהל לא ניתן היה לברר את הסיבות לכך - על מנהלים ועל גורמי פיקוח ובקרה במינהל לבחון את הרלוונטיות של הרשימה ולעדכנה ולבחון אמצעים אוטומטיים להתרעה על חריגים חמורים במיוחד לפי מידת חומרתם, על פי קריטריונים שייקבעו מראש בידי גורמי הפיקוח. כמו כן יש להגדיר את הפעולות החריגות בכל המערכות החדשות. משרד מבקר המדינה העיר ל מינהל כי עליו לעקוב באופן שוטף אחר התפלגות הפעולות החריגות, לנקוט צעדים לצמצמן, לנתח את הגורמים להן ואת שכיחותן ולקבוע מהן הפעולות החריגות שעליהן תקוים בקרה כדי שתובטח בדיקתן הכוללת. כמו כן על המינהל לבדוק לעומק את הגדרת הפעולות החריגות הקיימת, לעדכנה במיד ת הצורך ולבנו ת תכניות ממוחשבות שיאפשרו לטייב את הנתונים, להקטין את מספר הפעולות החריגות ולייעל בכך את המעקב. הביקורת העלתה כי המערכת הממוחשבת מאפשרת לעובדים במינהל שאינם עובדי הגזברות לבצע פעולות חו"ז ידניות בניגוד לחוזר החשב. עובדה זו מתבטאת גם בהרשאות גישה הניתנות לעובדים במחלקות שמחוץ לגזברות. נמצא שמינואר 2008 ועד אפריל 2010 נעשו יותר מ- 20% מפעולות החו"ז בידי עובדי מחלקות אחרות - עובדי מחלקות עסקות, חוזים, משפטים ואף עובדי אגף מידע. משרד מבקר המדינה העיר למינהל כי ביצוע פעולות חו"ז בידי עובדים שאינם עובדי גזברות עומד בניגוד מוחלט להוראת חוזר החשב הנזכרת לעיל, ויש לפעו ל לאלתר להפסקת התופעה על ידי חסימת האפשרות לביצוע פעולות חו"ז במערכת הממוחשבת בידי עובדים שאינם עובדי גזברות. הביקורת העלתה כי האמור בחוזר לא יושם במינהל. התברר כי כל פעולה של שינוי חיוב וזיכוי לא תועדה בתיק החוכר, ולא התקיימה בקרה כלשהי על סיווגה של הפעולה. עניין הסיווג יכול להיות כרוך בסכומי כסף ניכרים, ובהיעדר אסמכתה המלווה את הפעולה - אם בטעות בוצע זיכוי במקום חיוב או חיוב במקום זיכוי אין כל אפשרות לגלות את הטעות. משרד מבקר המדינה העיר למינהל כי יש לראות בחומרה את אי -קיום הוראות החוזר שעליהן ניתן לבסס מערך בקרה כדי למנוע שימוש לרעה, ועל המינהל לקיים את ההנחיות המפורטות בו. משרד מבקר המדינה העיר למינהל כי עליו לצמצם במידה רבה את פעולות החו"ז הידניות החריגות של העובדים במחוזות, למחשב את כל ההוראות החדשות ולבחון את הסיבות לריבוי פעולות החו"ז הידניות בכלל ובמחוז מרכז בפרט. לאחר תוצאות הבחינה יש לנקוט את הצעדים הנדרשים להקטנת מספר הפעולות הידניות. לדעת משרד מבקר המדינה - בשל המספר הגדול של פעולות החו"ז הידניות וערכן הגבוה ובהיעדר בקרה מספקת על כך - מחובתו של המינהל לפתח כלים ממוחשבים שיתריעו באופן שוטף על פעולות חו"ז ידניות בסכומי כסף גדולים. הביקורת העלתה כי עקרון הפרדת התפקידים לא מתקי ים במערכת חוכרים - בפעולות כספיות רבות הנעשות במערכת יכול אותו פקיד גם לבצע עסקה וגם לאשרה, והמערכת אינה דורשת אישור בדרג גבוה יותר כתנאי לביצוע. הדבר יכול לשמש פתח לטעויות או לשימוש לרעה. לדוגמה: בעסקה מסוימת התברר שאישור העסקה והחיוב הכספי בוצעו על אגף מידע לתקן מצב זה בדחיפות ולהגדיר שדה מספרי לסכו מים הכספיים, כדי שניתן יהיה לאתר פעולות לפי סכומיהן. .ברמת הרש אה אחת, והדבר אפשר טעות שבה חויב החוכר רק בגין הקרקע בסך כ -10 מיליון ש "ח, בלי שחויב בגין המבנים הממוקמים שעליה ב-31 מיליון ש"ח נוספים16 . משרד מבקר המדינה העיר להנהלת המינהל כי כדי להבטיח פיקוח ובקרה על העסקות שיש להן השפעה ניכרת על הקופה הציבורית, בייחוד במקרים שבהם סכום החיוב או הזיכוי גבוה, על המינהל לקבוע שכל פעילות עסקית וכספית במערכת עכ"א תבוצע בשני דרגים - גורם מבצע וגורם מאשר, כנדרש על פי סדרי בידוק מתאימים, זאת - למעט פעולות מינוריות וטכניות שייקבעו על ידי הגורמים המקצועיים במינהל ובאישור הנהלתו. עוד העיר משרד מבקר המדינה, כי על הנהלת המינהל לקבוע בנוהל את עקרון הפרדת תפקידים בין הגורם המבצע לגורם המאשר בכל מערכות המידע שלו ולהקפיד על אכיפתו. הביקורת העלתה כי גם במהלך השנתיים שחלפו מאז הפנייה לא יישם המינהל את התכנית שנועדה לשפר את הבקרה על פעולות עובדיו. (ד) השלמת פיתוח מרכז המי דע בנושא חובות והפקת דוחות אמינים ומדויקים; (ה) קביעה שכל פעילות עסקית וכספית במערכת תבוצע בשני דרגים - גורם מבצע וגורם מאשר - ותיעודה במערכת לצורך בקרה; (ו) חקירת הסיבות לגידול במספר הפעולות החריגות במערכת, נקיטת צעדים לצמצומן, ניתוח הגורמים לכך ושכיחותם וקביעה מהן הפעולות החריגות שעליהן תקוים בקרה. על המינהל להכניס התרעות אוטומטיות על חריגים חמורים, על פי קריטריונים שייקבעו מראש. מן הראוי שהמסקנות והלקחים של דוח זה יילקחו בחשבון בעת תהליך האפיון של מערכות המידע במינהל שמתקיים מאוגוסט 2010. מ- 1998 עד 2009 בדקו מ שרד מבקר המדינה, היחידה לביקורת של החשב הכללי במשרד האוצר, יחידת הביקורת הפנימית במינהל וחברה א' את המערכות הממוחשבות של המינהל ואת אבטחת המידע בו. בבדיקות אלה הועלו ממצאים והוגשו המלצות, אך הנהלת המינהל לא יישמה את רוב ההמלצות ולא תיקנה את רוב הליקויים, ולמעשה - המצב במינהל לא השתפר. התמונה המצטיירת היא השקעת משאבים רבים בביקורות חוזרות ונשנות שבממצאיהן נעשה שימוש מועט. האחריות לקיום מערך מחשוב ומידע במינהל, המופקד על ניהול אלפי עסקאות בסכומי עתק, מוטלת על ראשיו. לכן על מנהל המינהל להיות מעורב באופן אישי בפעולות אשר יביאו לתיקון הליקויים שמצוינים בדוח: (א) הכנת תכנית -אב למחשוב שבה יפורטו מערכות המידע ומערכות התשתית הדרושות ל ו; (ב) השלמת אפיון מערכות הליבה ופיתוחן מחדש; (ג) הכנסת פעולות בקרה והתניות לביצוע פעולות במקרקעין; משרד מבקר המדינה העיר למינהל כי הימנעות מבדיקה שוטפת של יומני האירועים עלולה לאפשר חדירה למערכות המידע של המינהל, לשימוש בנתוניה או לשיבושם. על המינהל לבדוק את ניסיונות הכניסה הכושלים למערכת, ובייחוד את הניסיונות שהוגדרו כפריצה, באמצעות יומני האירועים. כמו כן, עליו למנות אחראי לבדיקת היומנים, להוסיף נוהל לבדיקתם ולאכוף אותו, לעקוב אחר הפעולות הנעשות במערכת הממוחשבת ולנתח את מאפייניהן. מן הראוי שהמינהל יבצ ע מבדקי חדירה28 תקופתיים כדי להעריך את רמת האבטחה של המערכת, לזהות כשלי אבטחה ולאמוד את היכולת של תוקף פוטנציאלי למעול בכספיו או להסב לו נזק כלכלי או תדמיתי. הביקורת העלתה כי מ - 1998 עד 2009 ,בדקו משרד מבקר המדינה היחידה לביקורת של החשכ"ל, יחידת הביקורת הפנימית במינהל וחברה א' את מערכת עכ"א בכלל ואת בקרת הפעולות בפרט, וכן את אבטחת המידע במינהל. הבודקים העלו ממצאים והמליצו המלצות, אך הנהלת המינהל לא יישמ ה את רוב ההמלצות ולא תיקנה את רוב הליקויים, ולמעשה - המצב במינהל לא השתפר. התמונה המצטיירת היא כי הושקעו במינהל משאבים רבים בביקורות חוזרות ונשנות, אך בממצאיהן נעשה שימוש מועט. להלן פרטים: הביקורת העלתה כי המינהל לא קיים את מה שנקבע בהחלטת הממשלה בעניין אבטחת מידע. במינהל לא היה מסמך שבו הוגדרה מדיניות האבטחה הנחוצה מתוקפם של חוקים ותקנות להגנה על מערכי המ חשוב ולפי יעדי המינה ל בתחום זה; כמו כן לא נקבעו הגורמים האחראים לכך מבחינה ניהולית וביצועית ו הזיקה ביניהם, ולא נקבעו פורומים ניהוליים לקידום העניין. ה נוהל שפרסם המינהל קבע את ה גורמים האחראיים לאבטחת המידע, אך הוא אינו תחליף למסמך מד יניות. המינהל גם לא בנה תכנית אבטחת מידע מתוקצבת כנדרש. משרד מבקר המדינה העיר למינהל כי עליו להגדיר מדיניות לאבטח ת מידע שתובא לאישור הנהלתו ולעגנה בנוהל . יש לקבוע בה את יעדי אבטחת המידע ; את ה אחראים לה; סדרי פיקוח ובקרה ; מסגרות לדיון ופעולה כגון ועדת היגוי לאבטחת מידע. גיבוש המדיניות ויישומה אמורים להפוך את אבטחת המידע לחלק מהתרבות הארגונית של המינהל. מן הראוי שהמינהל יבחן לאמץ את נוהל המסגרת כנוהל מחייב לאבטחת מידע בהתאמות המחייבות. משרד מבקר המדינה בדק את רישום יומן האירועים והעלה שנתוני האירועים נרשמו ביומן אך ורק במערכות הישנות VMS) ), והמינהל שמר את היומנים במערכת במשך שלוש שנים; למינהל אין נוהל ואין אחראי לבדיקות של יומן האירועים. במער כות החדשות ( Windows ) כגון מערכות מינהליות ומערכת "כוכב" (עסקות) לא נרשם כל יומן אירועים. בעקבות הביקורת מאוגוסט 2010 מופעל יומן אירועים גם במערכות ה- Windows .אך גם אותו אין המינהל בודק מאז 2005 לא דנה ההנהלה המצומצמת של המינהל בנושאים מרכזיים המפורטים בהחלטת הממשלה, ובכלל זה אישור תכנית העבודה השנתית של אג ף מידע ותקציבו; מעקב אחר ביצועה; קביעת מדיניות אבטחת המידע; סיווג ומיפוי של "המידע הרגיש"; אישור תכנית אבטחת המידע, תקצובה ו מעקב אחר יישו מה. מ - 2005 לא קבעה אפוא הנהלת המינהל מדיניות בנושא מחשוב ולא עקבה אחר עבודת אגף מידע באופן יסודי. לפיכך חסר המינהל את ה תשתית הדרושה לניהול מערך המחשוב בהתאם להחלטת הממשלה.
לדעת משרד מבקר המדינה, נוכח הזמן הרב שחלף מאז ביטול ההוראה הקודמת יש צורך בפרסום דחוף של הוראה כוללת ועדכנית בידי המופקדים על כך בחשכ"ל.