אנגלמן: פערים משמעותיים באבטחת מערכות מידע בגופים חיוניים

יש לנקוט פעולות מיידיות לסגירת פערים משמעותיים באבטחת מערכות המידע בארגונים ממשלתיים, ציבוריים ופרטיים חיוניים - מתריע מבקר המדינה, מתניהו אנגלמן.

אנגלמן: דגל אדום חד-משמעי לממשלה ונתניהו בנוגע למשבר האקלים

התרומות בתחילת חרבות ברזל היו גבוהות במיליארדים מהתקציב הממשלתי

טילים מאיראן? לא בטוח שמוסדות ציבור יספקו הגנה ראויה

אנגלמן מסביר: מערכות המידע בארגון הן נכס חיוני, ותפקודן התקין נדרש לצורך ביצוע תהליכי ליבה שלו. גופי תשתיות מדינה קריטיות (גופי תמ"ק) וגופי תשתיות חיוניים (גופים חיוניים) כוללים משרדי ממשלה, גופים ציבוריים וגופים פרטיים שפגיעה בפעילותם עלולה להביא לפגיעה בחיי אדם, לפגיעה באספקת שירות ציבורי חיוני או לנזק פיזי או כלכלי ניכר.

פינוי הפצועים התעכב בשעות הקריטיות של 7 באוקטובר

הסניגוריה הציבורית לא בודקת כיאות את הזכאות לשירותיה

שיקום צפון ים המלח מפגר בהרבה אחרי החלטת הממשלה מ-2018

• נכים נפגעים משימוש לרעה נרחב בתגי החניה המיועדים להם
• בג"ץ מציב בפני מבקר המדינה תמרור עצור ותמרור האט

משרד החינוך אינו יודע האם הותקנו מצלמות במעונות היום

נכים נפגעים משימוש לרעה נרחב בתגי החניה המיועדים להם

בגופים אלו נדרשת הגנה מוגברת על מערכות המידע מפני איומים פיזיים וסביבתיים, כדי לשמור על פעילותן התקינה ולמנוע פגיעה בהן העלולה לגרום להשבתת פעילות הארגון או לפגיעה באבטחת המידע שלו (זמינות, מהימנות וסודיות). פערים בכל אחד משלושת התחומים הללו - הגנה פיזית, הגנה סביבתית ורציפות תפקודית - עלולים להביא בעת התממשות תרחישי אסון לפגיעה בתפקוד חדרי השרתים וחדרי התקשורת של ארגון, וכפועל יוצא מכך לפגיעה ביכולתו לספק שירותים חיוניים.

 

הנחיות חלקיות בלבד של מערך הסייבר והשב"כ

 הביקורת מצאה, כי מערך הסייבר והשב"כ, אשר אחראים להנחות גופי תמ"ק, הוציאו הנחיות חלקיות בלבד לגופי התמ"ק. הם לא הוציאו הנחיות בהיבטי הגנה סביבתית על חדרי שרתים ותקשורת; הוציאו הנחיות חלקיות בנושא הגנה פיזית ובהיבטי רציפות תפקודית. כמו כן, נמצאו פערים מסוימים באופן הפצת ההנחיה של מערך הסייבר שעסקה בנושא רציפות תפקודית ובפעולות המערך לבדיקת יישומה. בחלק מגופי התמ"ק קיימים פערים בהיבטים של רציפות תפקודית ושל הגנה פיזית וסביבתית על חדרי שרתים וחדרי תקשורת.

• אנגלמן: דגל אדום חד-משמעי לממשלה ונתניהו בנוגע למשבר האקלים
• שיקום צפון ים המלח מפגר בהרבה אחרי החלטת הממשלה מ-2018

במהלך חמש שנים, עד אפריל 2025, הרשות להגנת הפרטיות לא ביצעה פעילות פיקוח רוחב בכל משרדי הממשלה ובחלק מגופי התמ"ק שנבדקו, לשם בחינת ההגנה הקיימת על השלמות והסודיות של מאגרי המידע המנוהלים בתשתיות ממוחשבות. זאת, אף שחלקם מאגרי מידע גדולים ומשמעותיים של גופים ציבוריים ומצוי בהם מידע אישי בעל רגישות מיוחדת על כל תושבי המדינה, מהלידה ועד הפטירה.

חמש מבין שש יחידות הסייבר המגזריות שנבדקו בביקורת הוציאו הנחיות חלקיות בלבד בנוגע לאבטחת חדרי שרתים וחדרי תקשורת; לגבי מגזר אחד אין הנחיות שלפיהן מחויבים גופים אלה לפעול. בביקורת נמצאו פערים בהגנה הפיזית ובהגנה הסביבתית על חדרי שרתים וחדרי תקשורת וברציפות התפקודית של גופים שמונחים על ידי יחידות הסייבר המגזריות שנבדקו.

המלחמה חשפה בעיות ברציפות התפקודית

מהנתונים שריכז מערך הדיגיטל לגבי 50 המשרדים שנבדקו, בעקבות סקר שערך בנובמבר 2023, עלה, כי קיימים פערים בהיבטי רציפות תפקודית של משרדי ממשלה. רק במארס 2024 החל מערך הדיגיטל לקדם תוכנית פעולה לצמצום הפערים. ואולם, התוכנית אינה נותנת מענה מלא לפערים ויישומה הוא מורכב: נדרשים משאבים רבים ולא הוסדר מקור תקציבי. מערך הדיגיטל לא קבע לוחות זמנים לטיפול בפערים שמצא ברציפות התפקודית של המשרדים שנבדקו, ולא קיים טיפול מערכתי בפערים בהשתתפות הגופים המאסדרים המדינתיים, ובהם מערך הסייבר, השב"כ, רח"ל (רשות החירום הלאומית) והמל"ל (המטה לביטחון לאומי), ובפועל הנושא לא תוקצב.

אנגלמן מסכם באומרו, כי הפערים שנמצאו בנושאים שנבדקו בביקורת זו ב-12 גופי תמ"ק וגופים חיוניים מחייבים נקיטת פעולות מיידיות מצד הגופים האסדרתיים המדינתיים בשלושה היבטים. הראשון: אסדרה ופיקוח - האסדרה המחייבת בהיבטי הרציפות התפקודית ובהיבטי ההגנה הפיזית והסביבתית על חדרי שרתים ותקשורת חסרה, הן ברמה המדינתית והן ברמה המגזרית. גם הפיקוח של הגופים האסדרתיים המדינתיים על עמידת גופי תמ"ק וגופים חיוניים בהנחיות הקיימות בהיבטים אלה טעון שיפור. כמו כן, קיימים פערים בהיבטי רציפות תפקודית ובהיבטי הגנה פיזית וסביבתית על חדרי שרתים ותקשורת בגופים שנבדקו בביקורת.

השני: רציפות תפקודית - הדו"ח חושף פערים בתחום הרציפות התפקודית במשרדי ממשלה ויחידות סמך. תמונת המצב שבידי רח"ל, האמונה על הצגת תמונת מצב לממשלה בנושא מוכנות העורף בתחומים השונים במצבי משבר וחירום, אינה משקפת פער זה. השלישי: הכשרה - קיימים פערים בהכשרה שמקיים מערך הסייבר לממוני הביטחון בגופי תמ"ק אף שהנושא נמצא בתחום אחריותם. כמו כן נמצאו פערים בהכשרת המנחים של גופי תמ"ק במערך הסייבר בתחומי ההגנה הפיזית על חדרי שרתים.