זינוק באירועי הסייבר ברשויות המקומיות מאז 7 באוקטובר - והליקויים נותרו בעינם

מאז פרוץ מלחמת חרבות ברזל נרשם זינוק במספר אירועי הסייבר ברשויות המקומיות, אך למרות זאת - חלק ניכר מהליקויים בתחום אבטחת המידע לא תוקנו מאז הצביע עליהן מבקר המדינה, מתניהו אנגלמן, בשנת 2022. המחדלים מונחים הן לפתחם של משרד הפנים ומערך הסייבר הלאומי, והן לפתחן של הרשויות שנבדקו לפני ארבע שנים (ובראשן עיריות חיפה, ראש העין, יקנעם עילית ושפרעם).

25 שנה אחרי אסון ורסאי: מאות מבני פל-קל לא נבדקו ולא חוזקו

למרות הרפורמה ברישוי: 21% מהעסקים פעלו ללא רישיון ב-2024

ישראל בסכנה אקלימית ממשית - והרשויות המקומיות אינן מתכוננות

אנגלמן מסביר, כי רשויות מקומיות מתמודדות עם מגוון סיכונים, ובהם בעיות באבטחת המידע ואיומי סייבר, ומערכות המידע שלהן הפכו למוקד עניין עבור פצחנים ופושעי סייבר. התקפות סייבר ברשויות עלולות לגרום נזקים, כגון דליפה של נתונים ומידע ממאגרי המידע שברשותן וחשיפתם לגורמים שאינם מורשים לכך, פגיעה בתשתיות פיזיות, שיבוש ואף מניעה של אספקת שירותים קריטיים לתושבים עקב פגיעה בתשתיות אנרגיה, מים, תחבורה וביוב, ובמקרים חמורים אף פגיעה ברציפות התפקודית של הרשויות המקומיות.

אנגלמן: על הממשלה לעודד פרויקטים של התחדשות עירונית בפריפריה

שש שנים אחרי שטפונות קטלניים – רוב הליקויים הממלכתיים והמקומיים לא תוקנו

בשנים 2024-2022, ובעיקר מאז פרוץ המלחמה, נרשם גידול ניכר במספר אירועי הסייבר ברשויות המקומיות, בשנת 2023 חל גידול של 1,460% (מחמישה אירועים ל-78) ובשנת 2024 גידול נוסף של 78% (139 אירועים). זאת, לצד אלפים רבים של איומים. בשנת 2024 היו 7,000 איומי דיוג (פישינג), 3,700 פריצות לרשתות חברתיות, 1,200 חדיגות למערכות מחשב ונחשפו 1,900 חולשות.

• גוטליב קיבלה חסינות חלקית בתביעת הדיבה שהגישה ברסלר
• נשללו דמי אבטלה ממובטלת שלא חזרה ארצה בתחילת חרבות ברזל

אין אסטרטגיה לאומית למערכות מידע ברשויות

בביקורת בשנת 2022 עלה, כי אין אסטרטגיה לאומית כוללת לניהול מערכות מידע ברשויות המקומיות; שום גוף ממשלתי אינו רואה עצמו כגורם מאסדר של התחום; ומשרד הפנים ומערך הסייבר הלאומי לא פעלו לגיבוש אסטרטגיה לאומית ולהנחיית הרשויות המקומיות בנושא. עוד עלו ליקויים שונים בתחום אבטחת המידע ברשויות המקומיות שנבדקו, כגון אי-מינוי בעלי תפקידים משמעותיים, העדר נהלים, אי-רישום מאגרי מידע, שימוש בתוכנות ללא רישיון ובמערכת הפעלה לא עדכנית, היעדר תוכנית להתאוששות מאסון ואי-ביצוע סקרי סיכונים ומבדקי חדירה.

בביקורת המעקב נבדק אם הגופים המבוקרים נקטו הליך לתיקון הליקויים הקבוע בהוראות הדין ואם ועדות הביקורת ברשויות המקומיות, מועצת הרשות המקומית ומשרד הפנים מילאו את חובתם לבצע הליכי פיקוח ובקרה על הרשויות המקומיות ולוודא שהן מבצעות את ההליך לתיקון ליקויים. זאת, במיוחד לנוכח העובדה שמאז הביקורת הקודמת חלו שינויים באסדרה הקשורה למערכות המידע ברשויות המקומיות ועודכנו נורמות הנוגעות בעיקר לנושא ההגנה על הפרטיות. כמו כן, חל גידול של ממש באיומי הסייבר על הרשויות המקומיות, ובד בבד רשויות מקומיות רבות פעלו להעלאת רמת החוסן שלהן בתחום מערכות המידע.

כל רשות מקומית פועלת כרצונה

למרות המלצות משרד מבקר המדינה לאורך השנים גם כיום טרם הושגו הבנות סופיות ומחייבות בין משרד הפנים ובין מערך הסייבר הלאומי לגבי זהות הגורם המאסדר בתחום אבטחת המידע והגנת הסייבר, ובינתיים נכנס לתחום גורם ממלכתי נוסף - מערך הדיגיטל הלאומי - שמסייע בתחום לרשויות המקומיות המעוניינות בכך.

• אנגלמן: על הממשלה לעודד פרויקטים של התחדשות עירונית בפריפריה
• 25 שנה אחרי אסון ורסאי: מאות מבני פל-קל לא נבדקו ולא חוזקו

בביקורת הקודמת נמצא שמשרד הפנים לא סיים את הכנתו של מתווה מחייב ולא הנחה את הרשויות המקומיות בעניין הכנת תוכניות עבודה אסטרטגיות ותוכניות עבודה שנתיות בנושא מערכות המידע, וכי המשרד אינו מבצע מעקב ובקרה בנושא. הליקוי תוקן במידה מועטה: המשרד רק תיקן אוגדן ובו ניתוח העיסוקים ותיאורי התפקידים ברשויות המקומיות של בעלי תפקידים בתחומי המחשוב ומערכות המידע, והוא מעורב בפרויקטים אחדים הנוגעים לפיתוח הדיגיטלי של הרשויות. בהעדר הנחיה מחייבת, כל רשות פועלת בתחום זה כרצונה, לפי תפיסתה ולפי סדרי העדיפויות שלה.