משרד האוצר . אבטחה פיזית ושרידות של תשתיות אינטרנט ומחשוב עבור משרדי ממשלה משרד מבקר המדינה מעיר, כי האתר הראשי של ממשל זמין אינו עומד בחלק מהדרישות המרכזיות שנקבעו במכרז להקמת האתר החלופי. משרד מבקר המדינה העלה, כי בכניסה לחדר המחשב לא קיימת רשימת מורשים, וחדר המחשב בממשל זמין אינו מסומן כחדר ממודר. כמו כן, אורחים או גורמים זרים, הנדרשים בתוקף תפקידם לשהות בחדר מחשב, אינם מלווים על ידי גורם מורשה, כעולה מדוח רא "ם השני. עוד נמצא, כי אין תעלות ניקוז ורצפה צפה למיגון בפני הצפות, אין גששי בקרת טמפרטורה. משרד מבקר המדינה מעיר להנהלת ממשל זמין, כי עליה לתקן את הליקויים שהועלו, ולהבטיח קיום הוראות הנוהל, על מנת למנוע מצב שבו ייגרם נזק לתשתית המידע הקריטית, ולעדכן את הנוהל במידת הצורך. בביקורת לא נמצא כי תועדו הצעדים שנעשו בעקבות הליקויים שהועלו בתרגילים מיולי 2011 ומאוקטובר 2012 . במצב זה לא ניתן לדעת אילו צעדים ננקטו לשם תיקון הליקויים, אם בכלל. משרד מבקר המדינה מעיר, כי הליקויים שעלו בתרגילים מצביעים על חולשות ממשיות בתחום האבטחה. ואולם חמורה בעיקר העובדה, כי ליקויים משמעותיים שהועלו בתרגיל הראשון שבו ועלו בתרגיל השני. יש לתת גם את הדעת לכך, שלגבי חלק מהנושאים שעלו כליקויים בתרגילים הוע ר כבר בעבר בביקורות שערכה רא"ם בנושא. תגובת ממשל זמין מצביעה אמנם על נקיטת פעולות לתיקון הליקויים, אולם נדרשות פעולות נוספות בעיקר בכל הנוגע להתקנת אזעקה במתחם התקשורת בין אתרים והכנסת מערכת מבקרים ממוכנת. כמו כן, על הנהלת ממשל זמין ועל קב"ט משרד האוצר להד ריך ולהטמיע בקרב העובדים נושאים בתחום האבטחה הפיזית ומשמעותה, על מנת לבסס את ההיערכות בתחום זה. משרד מבקר המדינה מעיר, כי על ממשל זמין לטפל בפערים אלה כך שיפחיתו את הסיכונים הנגזרים מהם בהיבטי מערכת הכיבוי האש והביטחוני. הביקורת העלתה, כי ממצאי סקר המערכות לא נדונו בוועדת הה יגוי לאבטחת מידע, כפי שנדרש בנוהל מדיניות אבטחת מידע. משרד מבקר המדינה ביקש מממשל זמין דיווח על הצעדים שננקטו לתיקון המצב בעקבות סקר המערכות, ובתשובה נענה, כי מאחר שהממצאים מתייחסים למיקום חדר השרתים וקיימת תלות בגורמים חיצוניים, ותיקון הליקויים וחולשות הח דר דורשים שינוי תפיסה לגבי תשתיות מן היסוד, ממשל זמין בשיתוף מטה התקשוב הממשלתי22 החל בבחינת חלופות למיקומו של חדר השרתים ולבניית חדר שרתים חדש. לדעת משרד מבקר המדינה, על ממשל זמין לפעול בהקדם לטיפול בליקויים שהועלו ככל שניתן בתקופת הביניים עד למציאת פתרון יסודי. משרד מבקר המדינה העלה, כי עד מועד סיום הביקורת, מאי 2013 , לא תוקנו כל הליקויים שהועלו בסקר המערכות מיולי 2012 בנושא מערכות האל-פסק. משרד מבקר המדינה העלה, כי בחדר השרתים של ממשל זמין קיימים פערים מול המלצות התקן הישראלי, בהם שני פערים יסודיים. משרד מבקר המדינה העלה, כי חדר המחשב של ממשל זמין הוקם במבנה שאינו מבנה ייעודי עמיד אש. עוד העלה משרד מבקר המדינה, כי לא נמצא שנערכו דיונים כלשהם על הסיכונים הגלומים באכלוס ממשל זמין ומערכותיו בבניין האנרגיה הממשלתי. מסיכום ועדת ההיגוי מפברואר 2013 עלה, בין השאר, כי קיים עיכוב משמעותי ביישום נוהלי תמ"ר בממשל זמין; הושגו "ציונים נמוכים מהמצופה" בביקורות שעשתה רא"ם בתהיל"ה; קיימים התעלמות וחוסר הטמעה בקרב העובדים לנהלים, והיעדר נהלים. משרד מבקר המדינה מעיר, כי מן הראוי, שממשל זמין יטפל בליקויים שעלו בסיכום ועדת ההיגוי, כדי לעמוד ברמת האבטחה הנדרשת מארגון ממשלתי האחראי על תשתית חיונית. לדעת משרד מבקר המדינה, מן הראוי שייעשה מאמץ מערכתי לנקוט בצעדים הנדרשים, כדי להקטין את הסיכונים לחיי אדם ולחוות השרתים מהסכנות האורבות להם במיקומם הנוכחי ובתנאים הקיימים בו כיום. כאמור, כל מערכות המחשב הנמצאות בחדר המחשב מקוררות על ידי מערכת קירור מבוססת מים (צ'ילר) הפרושה בצינורות על קירות חדר המחשב, בתוך ארונות השרתים ועל רצפת החדר. עוד נמצא, כי רצפת החדר אינה מנוקזת כמומלץ בתקן, זאת למרות כל הסיכונים הקיימים ממים. משרד מבקר המדינה מעיר כי, על ממשל זמין לצמצם את הסיכונים ממים וכך שבמקרה של תקלה במערכות המים לא ייגרם נזק לשרתי ממשל זמין. בדיקה שערך משרד מבקר המדינה באתר הראשי של ממשל זמין בירושלים העלתה, כי מערכת מיזוג האוויר אינה מושבתת באופן אוטומטי במקרה של תקלה (כדי שלא תדלל את חומר הכיבוי). בנוסף לכך ובניגוד להמלצות תקן 1243 , באתר החלופי של ממשל זמין (בעניין זה ראו להלן) נמצאים קרטונים, שידות ושולחנות העשויים מעץ (ראו תמונה). משרד מבקר המדינה מעיר, כי על ממשל זמין לפנות לאלתר את גורמי הסיכון לאש הקיימים באתר החלופי, ולהחליפם בציוד מתאים אחר. .האבטחה הפיזית של מבנה ממשל זמין ושל מערכות תשתית האינטרנט והמחשוב של ממשל זמין אינה עולה בקנה אחד עם הדרישות, התקנים וההנחיות לפעילות ממשל זמין בכלל ולחדר המחשב בפרט. ליקויים אלו מצביעים על כך שההיערכות למניעת אירוע של אבטחה פיזית חסרה; וכן על סיכון לפגיעה בפעילות השוטפת של ממשל זמין במקרה שתתרחש פגיעה במבנה ממשל זמין או באחת המערכות הקריטיות שבו, וכן ל פגיעה בזמינות המידע הממשלתי לציבור ולניתוק משרדי הממשלה מרשת האינטרנט. נוכח זאת, על הממונה על התקשוב הממשלתי לפעול לכך שממשל זמין, המספק בין השאר את שער היציאה של משרדי הממשלה לרשת האינטרנט, יעמוד, כאתר המחשוב המרכזי של הממשלה, בתקנים הנדרשים ובהנחיות הגופים המנחים אותו. עד למציאת פתרון העומד בסטנדרדים הנדרשים לאתר ממשל זמין, מן הראוי כי ממשל זמין יתקן את כל הליקויים שהוע לו בביקורות שנערכו בנושא האבטחה הפיזית נוכח הסיכונים הגלומים בהם לפעילותו השוטפת. כמו כן על ממשל זמין ליישם את הוראות הנהלים שהוא עצמו קבע בנושא אבטחה פיזית, ומעל לכל, יש לפעול לאלתר למזעור הסכנות הנשקפות לחיי אדם באתר הראשי, ובראשם עובדי ממשל זמין, כפי שפורטו בדוח. לדעת משרד מבקר המדינה, על הממונה על התקשוב הממשלתי במשרד האוצר לבחון את הפערים בתחום התשתית האבטחתית בין המצב הקיים באתר ממשל זמין לבין הדרישות שנקבעו לגבי האתר החלופי, ולקבל החלטות אשר לפעולות המתחייבות מהפערים שנמצאו. בחינה זו צריכה להיעשות תוך שימת לב גם לבעיות נוספות שהועלו בדוח זה. משרד מבקר המדינה העלה, כי לא נמצא כי עובדי חדר המחשב עברו הדרכה ותרגול בנושא אש. משרד מבקר המדינה העלה, כי למרות הצורך בהכנת נהלים נוספים הנדרשים להבטחת תקינות הפעילות של ממשל זמין, כגון נוהל בנושא "הגנה מפני איומים חיצוניים וסביבתיים", המציע דרכים להגנה פיזית מפני נזקים של שרפה, הפצצה, רעידת אדמה, פיצוצים וסוגים אחרים של אסונות, נהלים אלה לא הוכנו. לדעת משרד מבקר המדינה, על ממשל זמין לבדוק את אמצעי הבקרה המוצעים בנספח א', ולהשלים את כתיבת הנהלים לגבי כל הבקרות הנחוצות לפעילותו. משרד מבקר המדינה העלה, כי אין מתעדים את הסיורים שעורכים הבקרים בחדר המחשב ואת תדירותם. עוד העלה משרד מבקר המדינה, כי על רצפת חדר השרתים מודבק שטיח פי.וי.סי ולא אריחי רצפה שניתן להרימם כנדרש בנוהל. כמו כן, לא נמצא שואב אבק בכניסה לחדר המחשב, שאמור לתת מענה לניקוז מים בחדר המחשב. עולה אפוא, כי המצב הקיים בשטח אינו תואם למצב המתחייב על פיו.
משרד מבקר המדינה העלה, כי הנוהל הקיים אינו כולל נספח אבטחת מידע וחיסיון, וכי אין בידי מנהל מערכות מידע רשימה של ספקי שירות מאושרים. משרד מבקר המדינה מעיר, כי היעדר הנס פח אינו תקין. עוד נמצא שבפועל מאפשרים לספקים לתת שירות לממשל זמין בלי שחתמו על המסמכים הנדרשים ובלי שאושרו על ידי מנהל אבטחת מידע. עוד העלתה הביקורת, כי מחלקת מערכות מידע אינה עורכת מעקב אחר ציוד מחשוב הנמצא מחוץ למתחם ממשל זמין לצורך תחזוקה ; אין אישורים ממנהל אבטחת מידע על הוצאת מצעי מידע שלא ניתן לנתקם מהציוד, וסדרי שמירתם. כמו כן לא נמצאו סימוכין להשמדת מצעי מידע פגומים על ידי מנהל אבטחת מידע.