סייבר ומערכות מידע . הגנת הסייבר במגזר התחבורה .נמצאו פערים בתחום ניהול ה משתמשים וההרשאות. נושאים אלו הוצגו לגופים והם .מסרו בתשובתם כי הם פועלים לטיפול בממצאים. .חיבור למרכז בקרה : נמצא כי בשיעור גדול בגופים שנבדקו מערכות בתחום .התחבורה אינן מחובר ות למרכז בקרה בנושא מסוים. .שמירת לוגים של הפעילות במערכות בתחום התחבורה : בכל הגופים שנבדקו .נשמרים הלוגים במערכ ות בתחום התחבורה ונבדקים בידי בעלי תפקידים שונים .בהתאם לצורך. נמצא כי בעירייה ד' אומנם הלוגים נשמרים, אך הם אינם נבדקים .בידי אף גורם. .התראה אוטומטית בנושא מסוים : בשיעור גדול בגופים שנבדקו נשלחת התראה .למרכז הבקרה בנושא מסוים, למעט ב עיריות ב' וד'. .חומת אש: נמצא כי רכיב זה מיושם בכל הגופים שנבדקו. .אנטי-וירוס : נמצא כי רכיב זה מיושם בשיעור גדול בגופים שנבדקו . .מערכת אבטחת מידע א': נמצא כי מערכת זו אינה מיושמת ב שיעור גדול בגופים .שנבדקו. כן נמצא כי בעיריי ה ו' רכיב זה מיושם חלקית. .מערכת אבטחת מידע ב': נמצא כי מערכת זו אינה מיושמת בשיעור גדול בגופים .שנבדקו. .מומלץ כי משרד התחבורה יפעל למסד תשתית מתאימה (למשל באמצעות הקמת פורומים .מקצועיים ומערכת שיתוף מידע) ולעודד את הגופים השונים לשתף האחד את השני במידע .מקצועי בנושא הסייבר, גם כאשר הם מתחרים זה בזה, ובהתאם לכללי התחרות והסייגים .לעניין הסייבר החלים עליהם. מומלץ כי המשרד ישקול להשתמש ב -SOC המגזרי גם .כתשתית לשיתוף אירועים ופעולות לטיפול באירועים אלו שקורים בכלל המגזר. שימוש .באופן זה אף עשוי להגביר את התועלת של הגופים משימוש ב-SOC . .בשנת 2016 הכין מערך הסייבר תבנית אחידה לצורך גיוס יועצי סייבר על ידי משרדי .ממשלה, המבוססת על מכר זים שפרסמו קודם לכן יחידות סייבר מגזריות שונות. בסופו .של דבר לא אושרה תבנית זו והתהליך הופסק. .בביקורת עלה כי לא קיימת תבנית לצורך פרסום מכרזים בתחום הסייבר לשימוש הגופים .במגזר. מומלץ כי מערך הסייבר ואגפי הסייבר המגזריים, ובהם אגף הסייבר במשרד .התחבורה, יעלו צרכים משותפים בתחום הסייבר לצורך הכנת תבניות שיוכלו לשמש את .כלל הגופים במגזר (לדוגמא: גיוס יועצים; רכש כלים; רכש שירותי התערבות באירועים .(IR ); הקמת ותפעולSOC ), תבניות אלו יוכלו לשמש את כותבי המכרז ולחסוך להם זמן .וכן ליצור אחידות בדרישות הבסיס של כל תחום התקשרות, אליהם יוסיף כל גוף את .הנושאים הרלוונטים לו. .בהתאם לתבחיני הנזק אשר למולם מתבצע תהליך דירוג הגופים, לדעת משרד מבקר .המדינה העיריות העוסקות בהיבט שנבחן בדוח זה ב תחום התחבורה עומדות בתבחינים .לשם סיווגן כגוף A אוB ,. לכןמומלץ כי משרד התחבורה יעדכן את סיווג הגופים כך .שעיריות אלו יידרשו לעמוד בדרישות המדיניות. .מוצע כי מערך הסייבר ומשרד התחבורה יקבעו נהלי דיווח ביניהם בכל הנוגע לגופי התמ"ק .המונחים על ידי המערך ויפעלו לממשם, כדי שלמשרד התחבורה תהיה תמונה כוללת של .מצב הגנת הסייבר גם בגופי התמ"ק. מומלץ כי נהלים אלו יתייחסו, בין השאר, לנושאים .הבאים: שיתוף מידע; דיווחים שוטפים; חולשות ואירועים; נוהל טיפול באירוע; נוהל סגירת .חולשה; הערכות מצב עיתיות; תיאום תוכניות עבודה וביקורות; ודיווח על תוצאות איר ועים, .תחקורים ולקחים. .משרד מבקר המדינה מציין לחיוב את הפעילות שנעשתה בתחום הרכב האוטונומי, לרבות .תיקון החוק, פרסום הנוהל והקמת מרכז הניסויים בבאר שבע. עם זאת משרד התחבורה .טרם החל בביצוע ביקורות בתחום זה. .מוצע שאגף הסייבר יבצע ביקורות באופן עצמאי על החברות שמבצעות ניסויים ברכב .אוטונומי קודם הפעלת יכולת זו בכבישי ישראל ויחווה את דעתו בנוגע לסיכונים הקיימים .בתחום זה ויוודא טיפול החברות בפערים שנמצאו בניסויים, ככל שאלו קיימים. בביקורת עלה כי אף שרשות התחרות לא רואה בהעברת מידע על איומי סייבר כפעולה .העלולה לפגוע בתחרות, הרי שבפועל שיתוף המידע בין גופים דומים הוא חלקי. למשל: .במערכות בתחום התחבורה - רק בשישה מתוך שנים עשר הגופים שנבדקו (50% ) קיים .שיתוף ידע בנושא הגנת הסייבר31; בתחום הים - נמצא כי נמל כ' ונמל כ"א, הנמצאים .שניהם בתהליכים דומים לצורך שיפור רמת ההגנה בסייבר, אינם משתפים ידע אחד עם .השני בתחום הגנת הסייבר. .נמצא כי בשיעור בינוני בגופים שנבדקו אין תוכנית התאוששות עסקית, וממילא הם .לא תרגלו תוכנית זו. .על ה גופים האמור ים להגדיר ת וכנית התאוששות עסקית הכוללת פירוט של .התהליכים העסקיים, הסיכונים החלים עליהם והגדרת המענים הניהוליים .והטכנולוגיים להתמודדות איתם. .בביקורת עלה כי לא נקבעה תוכנית עבודה מפורטת לחיבור ול"מיבצוע" של כלל הגופים .ל-SOC , אף שההתקשרות מולרש"ת מתוכננת להסתיים לאחר כשנה (בדצמבר 2022 ) ואף .שנכון ליולי 2022 מחוברים ל-SOC פחות ממחצית מהגופים ( 14 מתוך 35 ,)מהם חמישה .בלבד בסטטוס "מבצעי", 9 ,"מחוברים אך לא "מבצעיים18 ,"בסטטוס "ממתינים לחיבור .ושלושה בסטטוס "לא הותנע". עוד עלה כי ההתקשרות הנוכחית עם רש"ת אינה נותנת .מענה מלא לארגונים גדולים. .מוצע כי משרד התחבורה יקבע לוח זמנים מפורט לחיבור כלל הגופים ולהפיכת חיבור זה .ל"מבצעי". בנוסף מוצע כי המשרד ימפה את החסמים לחיבור ל- SOC של גופים שהוגדרו ."ממתין לחיבור " או "לא הותנע" ויפעל לשחרור החסמים. .במועד סיום הביקורת, באפריל 2022 , החל משרד התחבורה להקיםSOC מגזרי זמני ולחבר .אליו גופים בהדרגה - מהלך חשוב ומורכב שעשוי לתרום רבות למשרד בנוגע לקב לת .תמונת מצב על הגנת הסייבר בגופים המנחים על ידו. נוכח טווח הזמן של כשנה שאושר .להפעלת ה-SOC ברש"ת ומשך הזמן הדרוש לביצוע התקשרות מורכבת להקמת SOC , . מומלץ כי משרד התחבורה יבחן, עוד במהלך תקופת ההתקשרות עם רש "ת, את .האפשרויות העומדות לפניו להפעלת SOC בצורה קבועה. כן מומלץ למשרד התחבורה .לבחון כיצד לנטר בצורה אפקטיבית גופים גדולים. נוכח העובדה שייקח זמן לחבר את כל .הגופים ל-SOC , מוצע למשרד התחבורהלתעדף את הטיפול בגופים שונים ובגופים שאינם .מנוטרים כלל. .שימוש במערכות הפעלה ישנות שאינן נתמכות עוד על ידי היצרן: באף אחד .מהגופים שנבדקו לא קיימת גרסה ישנה של מערכת הפעלה אשר אינה נתמכת עוד .על ידי יצרן המערכת. .עדכוני אבטחת מידע במערכות בתחום ה תחבורה : נמצא כי בשיעור בינוני .בגופים שנבדקו לא בוצעו בשנים 2019 עד 2021 התקנות סדירות של עדכוני אבטחת .המידע (כלומר בתדירות של פעם בשנה לפחות), ובעירייה ז' לא בוצעו כלל עדכונים .אלו. .על העיריות האמורות לקיים תהליך ניהול עדכונים שוטף לצורך טיפול בחולשות .אבטחה המתגלות מפעם לפעם בתשתיות המחשוב שבאחריותן כדי להפחית את .הסיכון להתרחשותם של אירועי סייבר. .משרד התחבורה החל בספטמב ר 2021 בהכנסת נספחי סייבר מחייבים בהתקשרויות .חדשות בתחומי התשתיות היבשתיות, אולם עדיין ישנם תחומים בהם המשרד אינו מחייב .לכלול דרישות סייבר בהתקשרויות חדשות. יודגש כי בתחומי פעילותו של המשרד חלק .מההסכמים נחתמים לתקופה ארוכה, כאשר בהסכמים שנחתמו בעבר אין דרישות סייבר. .למשל: הפעלת נמלים - זיכיון ל-25 שנים; הפעלת אשכולות תחבורה ציבורית - 10 .שנים .עוד עלה כי למשרד אין מיפוי מרוכז של ההתקשרויות הקיימות לרבות מועד סיומן, וממילא .אין בידו רישום אם קיימות בחוזים אלה דרישות סייבר . נוכח זאת קיים סיכון שגם .ההתקשרויות שצפויות להסתיים בשנים הקרובות יוארכו, מבלי שיתווספו להן דרישות .סייבר במסגרת הארכתן וחידושן. .במצב האמור אין למשרד התחבורה סמכות חוקית או חוזית על חלק מה גופים במגזר .בנושא הגנת הסייבר, דבר המשפיע על מידת יכולתו של אגף הסייבר במשרד התחבורה .לממש את אחריותו ולהעלות את רמת הגנת הסייבר . כמו כן יכולת משרד התחבורה .להכניס דרישות סייבר חדשות ברישיונות שכבר ניתנו למפעילים, אף שהרישוי תקף לשנים .ארוכות, היא מצומצמת. מוצע כי משרד התחבורה יבחן את התיקונים הנדרשים מבחינה משפטית, תוך השלמת .מיפוי ההתקשרויות הקיימות של המשרד, כדי לממש בצורה אפקטיבית את אחריותו .לטיפול בסיכוני הסייבר במגזר. עוד מומלץ כי המשרד יפעל להטמיע דרישות סייבר .במסגרת כל הליך רישוי או חידוש של רישוי שנעשה מול מפעיל. במסגרת זו יש לתת את .הדעת על האיומים המתג ברים בתחום הסייבר מחד ועל חלון הזמן להכנסת דרישות .להגנת סייבר ברישיונות שאמורים להינתן בשנים הקרובות מאידך. בהתאם להנחיית .מנכ"לית המשרד, מומלץ כי המשרד יבחן אם ניתן להחיל דרישות על גופים אשר קיבלו .רישיונות מבלי להמתין שנים עד למועד חידושם, תוך בחינה אם ניתן לשייך את תחום .הסייבר לתחום הבטיחות בו ניתן לקבוע דרישות באופן מיידי לאור סיכונים חדשים.
מוצע כי משרד התחבורה יבחן את סיווג הגופים ואת התבחינים לקביעתם לאור ההנחיה .המעודכנת של מערך הסייבר המגדירה כי המאסדר הוא הקובע את סיווג הגופים על פי .תבחיני המשרד, וכן יעדכן את המדיניות בהתאם.