מסמך הדו"ח (ללא שנה) - qbialik

עמוד 1

ביקורת בנושא:

אבטחת מידע במערכות

המידע

לשנים 0202 - 0200

עמוד 2

ביקורת בנושא אבטחת מידע במערכות המידע

תקציר מנהלים

להלן עיקרי ממצאים, מסקנות והמלצות מדו"ח ביקורת שנערך בעיריית קריית

ביאליק בנושא: אבטחת מידע במערכות המידע.

* לשם קבלת החלטות רצוי לעיין בדו"ח המלא.

.1 רקע כללי

בעיריית קריית ביאליק קיימים כ-11 אתרים המבוזרים במשרדי העירייה, בכל

משרד קיים לפחות מחשב נייח אחד. כל המחשבים מחוברים למערכת

הממוחשבת העירונית (המערכות נרכשות מספק חיצוני ולא מפותחות

בעירייה) המנוהלת ע"י מחלקת המחשוב ומערכות המידע שנמצאת באגף

הכספים אותו מנהל גזבר העירייה.

בראש המחלקה עומד מנהל מערכות מידע שהינו העובד היחיד במחלקה. מנהל

מערכות המידע מועסק בהתאם לחוזה התקשרות עם חברת "מטרופולינט"

ומועסק במשרה מלאה דרך חברה זו.

מאגרי המידע הקיימים בעירייה כגון: גביה, הנהלת חשבונות, רכש, חינוך,

עיקולי בנקים, רווחה, שירות פסיכולוגי, שירותי וטרינריה, משאבי אנוש,

פקוח עירוני וכו' הינם תחת ניהולה של המחלקה. תפקידה העיקרי של

המחלקה הינו איתור וטיפול בתקלות וכן ניתוחן. הטיפול בשרתים ובמערכות

הליבה והחנייה כולל השירות הטכני ניתנים ע"י החברה החיצונית

"מטרופולינט".

עמוד 3

.2 מבנה ארגוני (פרק )1

הביקורת מעירה כי מנהל מערכות המידע לא מונה באופן רשמי לתפקיד מנהל

אבטחת מידע בעירייה. בעקבות הערת הביקורת מסר גזבר העירייה כי הוא

פועל להוצאת המינוי כנדרש.

לדעת הביקורת יש לעגן בהסכם עם חברת "מטרופולינט", קבלת עובד בעת

היעדרות מנהל מערכות מידע בגין יציאה לחופשה, מחלה, מילואים או כל

סיבה אחרת, על מנת שיוכל לשמש ממלא מקום מנהל מערכות המידע זאת

מאחר ונמצא כי לא מונה עד כה ממלא מקום.

.3 רישום מאגרי המידע (פרק )3

בתקנות הגנת הפרטיות (אגרות), התשס"א-2111 ובנוהל "אבטחת מידע",

קיימת חובת תשלום בגין אגרת הרישום וכן מפורטים ההליכים שינקטו במידה

והאגרה לא תשלום במועדה או בכלל. הביקורת מעירה כי לא בוצע חידוש

רישום ותשלום אגרה בגין מאגרי המידע מזה 9 שנים, דבר העלול לגרור קנסות

בגין אי תשלום ואף שלילת רישום המאגר בפנקס הרשם.

.4 נהלים ומדיניות (פרק )4

הביקורת מעירה כי קיימים בעירייה 2 נהלים: נוהל אבטחת מידע בעירייה ו-

נוהל גיבויים אולם הם טרם אושרו ע"י היועמ"ש והנהלת העירייה והם

מפרטים חלקית בלבד את הפעולות שנדרשות לביצוע בנושאי אבטחת המידע.

לדעת הביקורת על מנהל מחלקת מערכות המידע להכין קובץ נהלים מפורט

שיכלול בהרחבה את התחומים והדגשים בנוגע לאבטחת המידע במערכות

המידע.

.5 תקציב (פרק )8

תקציב מחלקת המחשוב ואבטחת המידע הינו נגזרת מתקציב הגזברות.

הביקורת מעירה כי מניתוח נתוני התקציב מול הביצוע לאורך השנים הנסקרות

ניתן לראות שישנה חריגה מיעדי התקציב ואף מגמת עלייה בחריגה לאורך

אותן השנים. מגזברות העירייה נמסר כי החריגות נבעו מתקלות לא צפויות,

רכישת ציוד בלתי צפויה, תחזוקה מונעת.

הביקורת מעירה כי לא נערך מכרז בגין התקשרות עם חברת "אוטומציה" אשר

מספקת תוכנה. יש לציין כי היקף ההתקשרות עולה על 142,111 ₪ (לא כולל

מע"מ) היקף המחייב ביצוע מכרז. מגזברות העירייה נמסר כי מדובר בחוזה

ישן שמתחדש מעת לעת. כלל יחידות העירייה מקבלות שירות מחברת

"מטרופולינט" למעט מחלקת השכר שמקבלת שירות מחברת "אוטומציה" כך

שההתקשרות של מחלקה זו עם החברה מתבצעת ללא מכרז וכך גם התשלום.

עמוד 4

.6 שרידות ומערך גיבוי מערכות המידע (פרק )9

הביקורת מעירה כי חדר המחשב בו נמצא רובוט הגיבוי אינו מוגן מפני אש.

הביקורת מציינת, כי בעירייה קיימת תכנית מגירה לגיבוי שטרם מומשה,

שרידות והתאוששות לאחר אירוע .DRP לדברי מנהל מערכות המידע עלות

מימוש משוערת של התוכנית הינה 511 אלף ₪.

לדעת הביקורת יש למפות את רגישות המידע ולגבותו בהתאם, לקבוע נהלי

התאוששות מאסון פוטנציאלי, לתרגל הנהלים ולעדכנם בהתאם לצורך.

.7 אבטחת מידע לוגית (פרק )11

הביקורת מעירה כי לא מתבצעות בדיקות יזומות של יומני האירועים במטרה

לאתר אירועים חריגים ברשת.

הביקורת מצאה כי במחלקת משאבי אנוש (עפ"י דיווח העובדת) כאשר עובדת

נעדרת מעבודתה, משתמשת העובדת שמחליפה אותה בסיסמה של העובדת

שנעדרה ומעדכנת נתונים. לפיכך, הביקורת ממליצה לחדד את הנהלים

וההנחיות בנוגע לשימוש בסיסמאות האישיות ואיסור מוחלט על העברתן לידי

אדם אחר, לבצע הרחבת הנעילה האוטומטית לאחר זמן קצוב של אי שימוש

לכלל עמדות העבודה בעירייה, בחינת חסימה מלאה של משתמשים לאתרי

האינטרנט.

הביקורת מציינת כי ביום 225552114 הועבר ריענון לעובדי עיריית קריית

ביאליק ע"י מנהל מערכות המידע, המדגיש בפרק השני את כל נושאים שצוינו

לעיל, ביניהם איסור גלישה באינטרנט באתרים שלא לצרכי עבודה, איסור

הורדת תוכנות "חינם" מהאינטרנט או התקנת תוכנות5חומרות באופן עצמאי,

כמו כן מודגש נושא הסיסמאות ואיסור העברתן מאדם לאדם, מודגש גם עניין

נעילת תחנות העבודה ועוד נושאים נוספים שעלו בזמן הביקורת .

עמוד 5

.2 אבטחת מידע פיזית (פרק )11

הביקורת מעירה כי חדר המחשב אינו מוגן מפני אש, דבר שמהווה בעיה

מהותית במידה ותפרוץ שריפה בחדר המחשב. קלסרים ובתוכם מידע רגיש

במרבית החדרים אינם נעולים בארונות, כמו כן ניירת המכילה מידע רגיש

נותרת לעיתים על שולחנות העובדים ללא השגחה. בנוסף, ישנם עובדים אשר

שומרים את סיסמאותיהם למחשב במקום חשוף או במקום אשר קל למצוא

אותן ולהשתמש בהן.

הביקורת ממליצה למפות את כל משרדי העירייה ולבצע תכנית למיגון מפני אש

וכן מפני פריצות (ע"י סורגים בחלונות בהם הם חסרים).

הביקורת מציינת כי ריענון ותקציר נהלי אבטחת מידע שנשלח לכלל העובדים

ביום ,225552114 מדגיש את העלאת המודעות של המשתמשים גם בתחום

אבטחת המידע הפיזית ועמידה בנהלים.

.9 מערך ההרשאות (פרק )11

הביקורת מעירה כי נושא ניהול המשתמשים (פתיחה, גריעה, הקצאה ושינוי

הרשאות) מטופל לפי נוהג עבודה בלתי פורמאלי ואינו מעוגן באופן מפורט

וברור בנהלי העירייה. יישום הרשאות גישה מתבצע באופן סלקטיבי לפי צרכי

העובד והגדרות של מנהל המחלקה שלו ואין למנהל מערכות המידע רשימה

מסודרת שלהן. בנוסף, הודעות על עובד שעזב או הועבר לתפקיד אחר ובקשות

לביטולי ההרשאות לא מועברות אל מנהל מערכות המידע בזמן אמת, אלא רק

לאחר שהעובד כבר עזב או מכהן בתפקיד אחר זמן מה.

הביקורת מציינת כי לספקים החיצוניים, הנותנים שירות למאגרי המידע, ישנן

הרשאות מלאות לכל הקבצים והמידע בעירייה, עד כה הם לא היו חתומים על

טפסי התחייבות על סודיות, אך במהלך הביקורת הוחתמו הספקים של חברת

"מטרופולינט" על טפסים אלו.

לדעת הביקורת יש לבצע בחינה תקופתית וריענון של הרשאות משתמשים

ברשת הפנימית.

עמוד 6

.11 חברות חיצוניות (פרק )13

רוב המערכות המוניציפאליות מסופקות, מוטמעות בעירייה ומנוהלות על-ידי

ספקית שירותי מחשוב חיצונית "חברת מטרופולינט בע"מ" וחברה חיצונית

נוספת המספקת שרותי מחשוב לעירייה, חברת "אוטומציה".

הביקורת מעירה כי ישנו חוזה בין חברת "אוטומציה" לעירייה בגין העסקת

עובד של האוטומציה במחלקת משאבי אנוש, אולם העירייה משלמת לחברה

סכום כספי נוסף מעבר לתשלום בגין העסקת העובד.

עפ"י נהלי מחלקת התקציבים והחשבות כל התקשרות עם חברה חיצונית

שהיקפה בין 142,111 ₪ ועד 347,111 ₪ מחייבת מכרז זוטא (כלומר קבלת

הצעות מחיר מ-4 ספקים) כשבסופו של דבר, הזוכה יחתום על הסכם מול עיריית

קריית ביאליק. היקף ההתקשרות של חברת אוטומציה הינו בין 259,111 ₪ ועד

349,999 ₪ אולם לא נחתם עמם הסכם עדכני למעט חתימה על ספחים.

הביקורת מעירה כי עפ"י סעיף 1.71 להסכם שנחתם עם חברת "מטרופולינט" על

העירייה להחתים את עובדי החברה על התחייבויות לשמירת סודיות, אולם

בפועל רק במהלך הביקורת עובדי חברת "מטרופולינט" הוחתמו על

ההתחייבויות הנ"ל.

הביקורת מעירה כי לא מונה עובד עירייה כמתחייב עפ"י סעיף 3.4 לחוזה עם

חברת "מטרופולינט".

הביקורת מציינת כי מנהל מערכות המידע הינו העובד היחיד במחלקה ואין לו

כל מחליף.

הביקורת ממליצה לבצע בחינה של רמת אבטחת המידע והבקרה במערכות

המנוהלות על יד חברת "מטרופולינט". בנוסף, מומלץ במועד חידוש החוזה

לכלול בו סעיף המאפשר לעירייה לקיים ביקורת מערכות מידע ואבטחת מידע

בכל הנוגע לתחומים הרלוונטיים למערכות התוכנה שבשימוש העירייה.

עמוד 7

ביקורת בנושא אבטחת מידע במערכות המידע בעיריית קריית ביאליק

להלן הדו"ח המלא

.1 רקע כללי

.1.1 בעידן הנוכחי של הקדמה הטכנולוגית, מערכות המידע הממוחשבות

מהוות חלק בלתי נפרד מפעילויות משרדי הממשלה מוסדותיה ורשויות

על פי חוק.

.1.1 מבחינת העירייה השימוש הנרחב במערכות המידע חשף אותה לסיכונים

רבים ומצריך ביצוע בדיקות תקופתיות המוודאות את נכונות שלמות

ודיוק המידע שנקלט במערכות, מופק מהן ומועבר בין מע' מידע שונות.

.1.1 פגיעה בחיסיון המידע, בשלמותו או בשרידותו עלולה לגרום נזק לעירייה

עצמה וגם לגורמים שפרטיהם כלולים במאגרי המידע שלה, ולפיכך,

חלים על העירייה חוקים ותקנות הנוגעים לאבטחת המידע.

.1.1 חוק הגנת הפרטיות התשמ"א -1921 נועד להגן על אדם מפני פגיעה

בפרטיות העלולה להיגרם בין היתר ע"י חשיפת מידע כהגדרתו בחוק

"נתונים על אישיותו של האדם, מעמדו האיש, צנעת אישיותו, מצב

בריאותו, מצבו הכלכלי, הכשרתו המקצועית, דעותיו ואמונותיו", ובכך

מאפשרים באופן פשוט לנתח את אותם נתונים לרבות נתונים אישיים

ולשלוף אותם בכל עת. לפיכך יש חשיבות רבה להיערך בצורה יסודית

ומתאימה למניעת דליפת5חשיפת המידע למי שאינו מורשה לכך בחוק.

.1.1 חוק המחשבים התשנ"ה -1995 הינו חוק הקובע את הענישה בגין

"עבירות מחשב" כגון: שיבוש או הפרעה למחשב או לחומר ממוחשב,

מידע כוזב או פלט כוזב, חדירה לחומר מחשב שלא כדין וכו'. החוק הנ"ל

כולל בתוכו גם תיקונים לחוקים משפטיים אחרים כגון פקודת נזיקין,

דיני ראיות, דיני חופש ותפיסה וכו'.

.1.1 בשנת 2112 פורסמה טיוטת תקנות הגנת הפרטיות (אבטחת המידע)

התשע"ב, התקנות נשענות בהגדרותיהן על חוק המחשבים התשנ"ה -

1995 ומגדירות את העובדים מטעם העירייה אשר יעסקו בעניין אבטחת

המידע, ממונה על אבטחת המידע. על הממונה לקבוע את נהלי אבטחת

המידע בהתאם לדרישת התקנות הנ"ל ומחייב את אותו אחראי למפות

ולבצע סקרי סיכונים בנוגע למבנה מאגרי המידע שבארגונו. בנוסף, מגדיר

אבטחה פיסית וסביבתית (כגון בקרות כניסה ויציאה) וכן מגדיר את

אבטחת המידע בנוהל כח אדם, ניהול הרשאות גישה, זיהוי ואימות,

עמוד 8

בקרה ותיעוד גישה, תיעוד של אירועי אבטחה, התקנים ניידים, ניהול

מאובטח ומעודכן של מערכות המאגר, אבטחות תקשורת, מיקור חוץ,

ביקורות תקופתיות וכו'.

.2 רקע ייחודי

.1.1 בעיריית קריית ביאליק קיימים כ-11 אתרים המבוזרים במשרדי

העירייה, בכל משרד קיים לפחות מחשב נייח אחד. כל המחשבים

מחוברים למערכת הממוחשבת העירונית המנוהלת ע"י מחלקת המחשוב

ומערכות המידע (המערכות נרכשות מספק חיצוני ולא מפותחות

בעירייה).

.1.1 בעיריית קריית ביאליק פועלת מחלקת המחשוב ומערכות המידע

שנמצאת באגף הכספים אותו מנהל גזבר העירייה. בראשה של המחלקה

עומד מנהל מערכות מידע שהינו העובד היחידי ביחידה זו. מנהל מערכות

המידע מועסק בהתאם לחוזה התקשרות עם חברת "מטרופולינט"

ומועסק במשרה מלאה דרך חברה זו.

.1.1 מאגרי המידע הקיימים בעירייה כגון: גביה, הנהלת חשבונות, רכש,

חינוך, עיקולי בנקים, רווחה, שירות פסיכולוגי, שירותי וטרינריה, משאבי

אנוש, פקוח עירוני וכו' הינם תחת ניהולה של המחלקה. תפקידה העיקרי

של המחלקה הינו איתור וטיפול בתקלות וכן ניתוחן.

.1.1 הטיפול בשרתים ובמערכות הליבה והחנייה כולל השירות הטכני ניתנים

ע"י חברה חיצונית.

.1.1 בימים אלו מערכות המידע משמשות תחליף כמעט מושלם, לכל

המסמכים שעד ליום זה אוחסנו בקלסרים וארכיבים. מערכות המידע

עוזרות לעירייה, הן במתן שירותים שונים לתושבים והן בביצוע העבודה

השוטפת בצורה יעילה ומאורגנת.

עמוד 9

.3 חוקים, הוראות ונהלים

.1.1 חוק יסוד כבוד האדם וחירותו.

.1.1 חוק הגנת הפרטיות התשמ"א .1921

.1.1 חוק המחשבים, התשנ"ה – .1995

.1.1 חוק העונשין, התשל"ז-.1977

.1.1 חוק הארכיונים, התשט"ו .1955

.1.1 חוק חופש המידע, התשנ"ח .1992

.1.3 תקנות הגנת הפרטיות (אגרות), התשס"א-.2111

.1.3 תקנות הגנת הפרטיות (תנאי החזקת מידע ושמירתו וסדרי העברת מידע

בין גופים ציבוריים), התשמ"ו-.1926

.1.3 תקנות הגנת הפרטיות, התשע"ב-.2112*

.1.13 פקודת העיריות (נוסח חדש).

.1.11 נהלים פנימיים של אגף המחשוב בעיריית קירית ביאליק.

* מדובר בטיוטה שפרסם משרד המשפטים ועברה מס' שלבים, כעת עומדת הטיוטה לפני אישור.

הביקורת הסתמכה על טיוטה זו כ-LINE GUIDE לבדיקת התנהלות הממונה על אבטחת

המידע בעיריית ק. ביאליק .

עמוד 10

.4 מטרת הביקורת -

.1.1 איתור חריגות מחוקים, הוראות ונהלי עבודה.

.1.1 איתור חריגות מסמכויות.

.1.1 איתור סיכונים עסקיים ותפעוליים.

.1.1 איתור ליקויים מערכתיים (כגון: חסר או ליקוי בנהלים, ליקויי תוכנה).

.1.1 איתור מקרים בהם קיים חשד לפגיעה בטוהר מידות מצד עובדי מחלקת

המחשוב.

.1.1 איתור מקרים בהם קיימת פגיעה בחיסכון, בשמירה על הרכוש וביעילות

העבודה.

.1.3 לבחון אם בעירית קריית ביאליק מערכות המידע מנוהלות ומתוחזקות

בהתאם לעקרונות של חוקיות, יעילות, חסכון, סדירות, שוויון, שקיפות,

מניעת פגיעה בטוהר המידות ואפקטיביות בהתאם להוראות החוקים

והתקנות.

.1.3 הביקורת בחנה את נושא אבטחת המידע במערכות המידע בעירייה,

לרבות הנושאים הבאים: מבנה ארגוני ומינוי מנהל אבטחת מערכות

מידע, פעילות המחלקה, רישום מאגרי המידע, נהלים ומדיניות, קיום

מיפוי של מערך המחשוב, קיום סקרי סיכונים בנושא מערכות מידע,

אבטחת המידע בצורה לוגית תוך כדי התייחסות לנושא נאותות המידע –

שלמות, דיוק, זמינות, עקביות ותקפות. אבטחת המידע פיזית. מערך

הרשאות. ניהול גיבויים ()DB ושרידות5המשכיות – היכולת להמשיך

לתת שירותים והגנה על נכסי המידע. התקשרויות עם חברות חיצוניות

בנושא המחשוב. תקציב, הערכת רמת הבקרה הפנימית בתהליכי העבודה

הקשורים לאבטחת מערכות המחשב ולהמליץ על דרכים לתיקון

הליקויים שנמצאו.

עמוד 11

.5 היקף הביקורת ואופן הבדיקה

.1.1 במהלך החודשים נובמבר 2113 ועד אוקטובר 2114 התבצעה ביקורת

בעיריית קריית ביאליק במחלקת המחשוב ומערכות המידע, בנושא

אבטחת מידע במערכות המידע. הביקורת בחנה את מערך אבטחת המידע

בעיריית קריית ביאליק בתקופה שבין השנים .2111-2112

.1.1 הביקורת בוצעה בהתאם לתוכנית העבודה של מבקר העירייה לשנת

.2114 הנושא נכלל בתוכנית העבודה השנתית, בשל הסיכונים האפשריים

בתחומו היכולים להשפיע על כלל העירייה הן מבחינה כלכלית והן

מבחינת יכולת התנהלותה הכללית.

.1.1 הביקורת הסתמכה על הוראות החוק כפי שמופיעות בסעיף 3 בדו"ח זה.

.1.1 הביקורת בוצעה ע"י גב' אורטל אדראי וגב' אורלי אביטן בורוש

סטודנטיות לביקורת באוניברסיטת חיפה וע"י מר אייל לוי, המבקר

הפנימי.

.1.1 לצורך ביצוע המטלה, הביקורת קיבלה נתונים:

.1.1.1 ממחלקת המחשוב ומערכות המידע.

.1.1.1 מספרי הנהלת החשבונות של הרשות לגבי הנתונים הכספיים

של מחלקת המחשוב.

.1.1.1 בנוסף, הביקורת הוציאה וניתחה נתונים שונים מתוך

המערכת הממוחשבת.

.1.1.1 נתוני חוזים והתקשרויות בנושא המחשוב ואבטחתו עם

גורמי חוץ.

.1.1.1 נתונים מפרוטוקולים והתכתבויות בנושא אבטחת מערכות

המחשוב.

עמוד 12

להלן ממצאי הביקורת

.1 מבנה ארגוני-מחלקת המחשוב

.1.1 סעיף 17 לחוק הגנת הפרטיות, התשמ"א – ,1921 קובע את החובה

למנות ממונה על אבטחת המידע שיהיה אחראי בפועל על אבטחת

המידע במאגרים להלן ציטוט מהחוק:

"בעלמאגרמידע,מחזיקבמאגרמידעאומנהלמאגרמידע,כלאחדמהם

אחראילאבטחתהמידעשבמאגרהמידע".

.1.2 סעיף 17ב. (תיקון: תשנ"ו) לחוק הנ"למגדיר את הגופים המחויבים

במינוי ממונה על אבטחת המידע, להלן החוק כלשונו:

"(א)הגופיםהמפורטיםלהלןחייביםבמינויאדםבעלהכשרהמתאימה

שיהיה ממונה על אבטחת מידע (להלן - הממונה):

()1מחזיקבחמישהמאגרימידעהחייביםברישוםלפיסעיף2;

()2גוףציבוריכהגדרתובסעיף23;

()3 בנק, חברת ביטוח, חברה העוסקת בדירוג או בהערכה של אשראי.

(ב)בלילגרועמהוראותסעיף,17הממונהיהיהאחראילאבטחתהמידע

במאגריםהמוחזקיםברשותהגופיםכאמורבסעיףקטן(א).

(ג)לאימונהכממונהמישהורשעבעבירהשישעמהקלוןאובעבירהעל

הוראותחוקזה".

סעיף )1(23 לחוק הנ"ל מגדיר את הגופים הציבוריים החייבים

במינוי ממונה אבטחת מידע :

"גוףציבורי"-()1משרדיהממשלהומוסדותמדינהאחרים,רשותמקומיתוגוף

אחרהממלאתפקידיםציבורייםעלפידין...

עמוד 13

.1.3 המבנה הארגוני של המחלקה:

גזבר העירייה

סגן גזבר

חשב 5 אזור

מחשוב

תקציבן תעשיה

רכש הנהלת

שכר תקציב גביה

ואינוונט חשבונות

ר

.1.4 מחלקת המחשוב ומערכות המידע מתנהלת תחת אגף הכספים בניהולו

של גזבר העירייה.

.1.5 מערכת המחשוב בעירייה בנויה בתצורת כוכב. כל המחשבים מחוברים

לעירייה בחיבורי RG45 תקניים תקן .CAT7E המחשבים שממוקמים

במבנים אחרים מחוברים לרשת העירונית, חלקם באמצעות סיבים

אופטיים חלקם באמצעות כבל נחושת. בכל בניין יש ריכוז תקשורת

עצמאי המחובר לארון תקשורת מרכזי בבניין העירייה. לכל ארון

תקשורת פרוס כבל המיוצג ע"י PANEL PATCH לצרכי טלפוניה

אחודה. מחוץ לבניין העירייה, הוקמה רשת VPDN ובאמצעות

ראוטרים של חברת סיסקו, הם יוצאים לעולם האינטרנט עם הפניות

מתאימות לעירייה לצרכי מיילים וקבצי נתונים בלבד. ישנם מספר

שרתים מרכזיים בארגון. כל הרשת נמצאת על AD אחד.

.1.6 בעריית קריית ביאליק מחלקת המחשוב ומערכות המידע כוללת אדם

אחד בלבד אשר אחראי על כל מערך המחשוב ואבטחתו בעירייה,

תפקידו מוגדר כמנהל מערכות המידע. מנהל מערכות המידע הינו עובד

Outsourcing אשר מועסק במשרה מלאה ע"י חברת "מטרופולינט"

המספקת את שירותי המחשוב לעירייה. מנהל מערכות המידע מכהן 9

שנים בתפקידו.

עמוד 14

.1.7 הביקורת מעירה כי מנהל מערכות המידע לא מונה באופן רשמי

לתפקיד מנהל אבטחת מידע בעירייה.

.1.2 בעקבות הערת הביקורת מסר גזבר העירייה כי הוא פועל להוצאת

המינוי כנדרש.

.1.9 הביקורת ממליצה לעגן בהסכם עם חברת "מטרופולינט", קבלת עובד

בעת היעדרות מנהל מערכות המידע בגין חופשה, מחלה, מילואים או

כל סיבה אחרת, על מנת שיוכל לשמש ממלא מקום מנהל מערכות

המידע זאת מאחר ונמצא כי לא מונה עד כה ממלא מקום.

.1.11 במקרה של היעדרותו של מנהל מערכות המידע ישנה חשיבות לקיומה

של רוטציה בעיקר בשל הצורך לתת מענה למחלקות העוסקות בתחומי

הליבה של העירייה בזמן אמת.

.1 פעילות מחלקת המחשוב ומערכות המידע

מאתר האינטרנט של עיריית קריית ביאליק עולה כי תפקידי המחלקה הם:

.2.1 ניתוח מערכות מידע –תפקיד ניתוח המערכות לאפיין את צרכי

המשתמשים ולתכנן את הפתרון, להציע מערכות מדף מתאימות או

לפתח מערכת, להטמיע את המערכת ושוב לבחון את הצורך בשיפור

וייעול.

.2.2 תשתיות המחשוב –בדיקת היתכנות תשתיתית, התקנה וחידוש חומרה

ותוכנה.

.2.3 תקשורת וטלפוניה– אחזקה שוטפת של מרכזיות העירייה הכוללות כ

– 211 שלוחות וכ – 211 קווים. קשר עם חברות נותנות שירותים כגון:

תדיראן תקשורת, בזק ובזק בינלאומי כולל הפעלת הטכנאים של

חברות אלה. תמיכה באחזקת מרכזות יחידות העירייה שאינן מחוברות

למרכזת הראשית, קווי טלפון שאינם מחוברים למרכזיות כלשהן וקווי

נתונים כמו fram-realy סיפרנט ונל"נים. מעקב שוטף אחר החידושים

בשוק התקשורת , להגדלות ושדרוג ציוד ותוכנות. תכנון וביצוע הגדלות

ושדרוג ציוד ותוכנות. הפקת מדריך הטלפון של העירייה ופרסומים

ביומן השנה ומדריך הטלפון של בזק.

.2.4 תמיכה ואחזקת מוסדות חינוך - פתרון תקלות בכל מוסדות החינוך

בעיר הכוללים בתי ספר, גני ילדים ועוד.

.2.5 אבטחת מערכות המידע.

עמוד 15

.3 רישום מאגרי מידע

.3.1 חוק הגנת הפרטיות, התשמ"א – 1921 (להלן: "החוק") הינו הבסיס

החוקי לכל הקשור למאגרי מידע, שמירה עליהם ודרך ניהולם.

.3.2 סעיף 2 לחוק קובע את החובה שלא להחזיק מאגר נתונים אלא לאחר

שהוגשה בקשה לרישום המאגר, והמאגר נרשם ע"פ חוק. סעיף 9 (ב)

לחוק קובע מה תכלול הבקשה לרישום מאגר מידע :

(ב) בקשהלרישוםמאגרמידעתפרטאת-

()1 זהותבעלמאגרהמידע,המחזיקבמאגרומנהלהמאגר,ומעניהםבישראל;

()2 מטרותהקמתמאגרהמידעוהמטרותשלהןנועדהמידע;

()3 סוגיהמידעשייכללובמאגר;

()4 פרטיםבדברהעברתמידעמחוץלגבולותהמדינה;

()5 פרטיםבדברקבלתמידע,דרךקבע,מגוףציבוריכהגדרתובסעיף,23שם

הגוףהציבורימוסרהמידעומהותהמידעהנמסר,למעטפרטיםהנמסרים

בהסכמתמישהמידעעלאודותיו.

.3.3 בתקנות הגנת הפרטיות (אגרות), התשס"א-,2111 קיימת חובת תשלום

בגין אגרת הרישום וכן מפורטים ההליכים שינקטו במידה והאגרה לא

תשלום במועדה או בכלל:

.1אגרותרישום

בעדרישוםמאגרמידעבפנקסיגבההרשםאגרהבסכוםשל211

שקליםחדשים.

.3אגרהתקופתית

(א) הרשםיגבהאגרהתקופתית,לתקופהשלשנה,בעבורמאגר

מידעהרשוםבפנקס,למעטמאגרמידעשבבעלותהמדינה...

(ג)האגרההתקופתיתתשולםלאיאוחרמ-1במרסשלכלשנה

(להלן-מועדהתשלום).

.4איתשלוםאגרהבמועד

(א)לאשולמההאגרההתקופתיתבמועדהתשלום,היאתשולם

עםתוספתאגרה.....

(ב)לאשולמההאגרההתקופתיתאותוספתהאגרהבתוךשישה

חודשים מן המועד האחרון לתשלום תוספת האגרה, יותלה

רישומושלמאגרהמידעבפנקסכאמורבסעיף36א(ג)לחוק,

והודעהעלכךימסורהרשםלבעלהמאגרולמחזיקו,לפיהרשום

בפנקס.

.3.4 בעירייה קיים נוהל "אבטחת מידע" (הנוהל טרם אושר סופית ע"י

הנהלת העירייה והיועמ"ש) כאשר בסעיף 5.3 לנוהל מודגשת חובת

עמוד 16

רישום המאגרים במשרד המשפטים שהינה באחריות מנכ"ל העירייה

ומנהל מערכות המידע:

"5.3.1כלמאגריהמידעבעירייהמחויביםברישוםב"פנקסמאגריהמידע"

שבמשרדהמשפטים,באחריותמנכ"להעירייהובאמצעותאחראיהמחשוב".

.3.5 הביקורת מעירה כי לא בוצע חידוש רישום ותשלום אגרה בגין מאגרי

המידע מזה 9 שנים, דבר העלול לגרור קנסות בגין אי תשלום ואף

שלילת רישום המאגר בפנקס הרשם.

בתגובה לממצאי הדו"ח נמסר לביקורת כי חידוש רישום ותשלום

האגרה יבוצע במהלך שנת .1112

עמוד 17

.4 נהלים ומדיניות

.4.1 הגדרת מדיניות אבטחת מידע איננה פעולה חד פעמית של כתיבת

מסמך, אלא תהליך מתמשך ומתחדש בהתאם לאיומים וסיכונים.

מדיניות אבטחת המידע כוללת: קווי מדיניות, סטנדרטים, הנחיות

ונהלים, כללי גישה והרשאות, סיווג מידע לפי רגישותו ועוד.

.4.2 על המדיניות להיות מתועדת במסמך שיופץ בכל הארגון וישמש כבסיס

לפיתוח בקרות אבטחת מידע ולכתיבת נהלי אבטחת מידע.

.4.3 בתקנות הגנת הפרטיות (תנאי החזקת מידע ושמירתו וסדרי העברת

מידע בין גופים ציבוריים), התשמ"ו-,1926 בפרק ב' מופיעה תקנה

(3ב)()3(-)2 המפרטת את אחריות מנהל המאגר :

(3ב)מנהלמאגראחראילאבטחתהמידעבמאגרהמידעשעליו

הואמופקדובכללזהבתחומים אלה:

()2קביעתסדריניהולשלמאגרמידע,וכלליםלהרשאתגישהלמידע,

לאיסוף,לסימון,לאימות,לעיבודולהפצהשלהמידע,הכלבהתאםלהוראות

החוקוהתקנות;סדריםוכלליםכאמוריחולוגםעלנותןשירותיםחיצונילגוף

שבבעלותומאגרהמידע;

()3קיוםהוראותתפעולשלהמערכתתוךאבטחתהמידעושמירהעל

שלמותהמידע;

בנוסף בפרק ד' לתקנות הנ"ל מופיע סעיף מס' 9 המחייב הכנת קובץ

נהלים להלן התקנה:

"למאגרמידע,כאמורבתקנה,2יהיהקובץנהליםשבויפורטואמצעי

האבטחהוהבקרהעלהטיפולהפיסיבאמצעיהאחסוןשלהמידע.בקובץ

ייוחדפרקלטיפולבמידעבידינותןשירותיםחיצוניהמבצעעבודותעבור

המאגרבתחומיהקלידה,עיבודהנתונים,הפצתדו"חותוהובלתקבצים".

.4.4 הביקורת מעירה כי קיימים בעירייה 1 נהלים: נוהל אבטחת מידע

בעירייה ונוהל גיבויים אולם הם טרם אושרו ע"י היועמ"ש והנהלת

העירייה והם מפרטים חלקית בלבד את הפעולות שנדרשות לביצוע

בנושאי אבטחת המידע.

.4.5 הביקורת ממליצה כי מנהל מערכות מידע יכין קובץ נהלים שיכלול את

הנושאים הבאים:

.4.2.1 נוהל מפורט בנוגע לכניסת עובדים למערכות המידע.

עמוד 18

.4.2.1 נוהל מפורט לגבי מתן סיסמאות ו/או חסימתן (ראה נושא זה

בהרחבה בסעיף 11.3 לדו"ח זה).

.4.2.3 נוהל מפורט לביצוע ניתוח סיכונים.

.4.2.4 נוהל אזהרה בגין הפרת סודיות.

.4.2.2 נוהל מפורט של אבטחת מידע לגבי כניסת קבלנים ועובדי חוץ

למערכות המידע.

.4.2.4 נוהל התקנת תוכנות במחשבים ע"י המשתמשים.

.4.2.4 נוהל מפורט בנוגע לשימוש בחומרה אשר הובאה מחוץ לארגון.

.4.2.8 נוהל מפורט בנוגע להורדות מרשת האינטרנט.

.4.2.9 נוהל מפורט בנוגע לשימוש בדואר אלקטרוני.

.4.2.11 נוהל קבלת עובד הכולל הצהרת סודיות, הצהרה בדבר קבלת

ציוד וכו', וכן נוהל זהה בנוגע לפרישה או עזיבת עובד. דבר

המשפיע באופן ישיר על האבטחה הפיזית והלוגית שיורחבו

בהמשך (סעיפים 11 ו-.)11

.4.6 יצוין כי בעקבות הערת הביקורת בתאריך 22 למאי 2114 הוצאו הנחיות

וריענון נהלי אבטחת מידע לעובדים הנוגעים באופן ישיר לנושאים

שהועלו בביקורת (ראה סעיפים 11-11 לדו"ח ביקורת זה) . למרות

האמור לעיל, ההנחיות הנ"ל אינן מכסות את כל נושא אבטחת המידע

ואינן מהוות תחליף למדיניות אבטחת מידע מפורטת יותר ונהלים

נפרדים לכל נושא.

.4.7 הביקורת ממליצה לקיים הדרכה לעובדים חדשים בתחום אבטחת

מידע.

בתגובה לממצאי הדו"ח נמסר לביקורת כי תתקיים הדרכה לעובדים

במהלך שנת .1112

עמוד 19

.2 קיום מיפוי של מערך המחשוב

.5.1 מנתונים שהתקבלו ממחלקת המחשוב עולה כי קיים מיפוי חלקי בלבד

של מערך המחשוב בעירייה לשנת 2113 ולא קיימים מיפויים לשנים

,2111-2112 להלן המיפוי לשנת 2113 :

.5.1.1 121 מחשבים נייחים.

.5.1.2 כ-2 מחשבים ניידים.

.5.1.3 12 שרתים.

.5.1.4 תוכנת גיבוי אחת.

.5.2 יש לציין כי תקנה מס' (5א) בטיוטת תקנות הגנת הפרטיות (אבטחת

מידע), התשע"ב-,2112 מפרטת את חובת המיפוי של מאגרי המידע:

(א)בעלמאגרמידעיחזיקמסמךמעודכןשלמבנהמאגרהמידעוכןרשימת

מצאימעודכנתשלמכלולרכיביהמערכותהמשמשותאתהמאגר(להלן–

מערכות

המאגר),ובכללזה-

()1תשתיותומערכותחומרה,רכיביתקשורתואבטחתמידע,לרבותציון

שלמיקומםהפיזי;

()2מערכותהתוכנההמשמשותלהפעלתמאגרהמידע,לניהולהמאגר

ולתחזוקתו,לתמיכהבפעילותו,לניטורשלוולאבטחתו;

()3תוכנותוממשקיםהמשמשיםלתקשורתאלמערכותהמאגרומהן;

()4תיאורמבנההרשתשבהפועלהמאגרותיאורשלהקשריםביןמרכיבי

המערכתהשונים;

()5תאריךעדכוןאחרוןשלהמסמךושלהרשימה.

.5.3 הביקורת ממליצה כי מנהל מערכות המידע יאמץ כבר עתה את

התקנות המופיעות לעיל ויפעל בהתאם אליהן, זאת על מנת להשיג

האפשרות לשליטה על כמויות המחשבים, שרתים, החומרות,

התוכנות ומיקומן ביחידות/מחלקות השונות בעירייה שכן, המערכות

הללו הן בתחום אחריותו של מנהל מערכות המידע.

מנהל מערכות המידע מסר כי הוא אימץ את התקנות החדשות והחל

לפעול על פיהם

עמוד 20

.4 ביצוע סקר סיכונים בנושא מערכות מידע ממוחשבות

.6.1 מערכות אבטחת מידע אמורות להתבסס על הנחות יסוד המגדירות

איומים, נקודות חולשה ונקודות חוזק במערכת. הנהלת העירייה

אחראית לנקוט בפעולות מניעה אשר יש בהן כדי לזהות את

הסיכונים5איומים הקיימים ולהפחית משמעותית את החשיפה להם.

אחת מפעולות המניעה החשובות בנושא זה היא עריכת סקר סיכונים

(Analysis )Risk בנושא אבטחת מידע. מתפקידו של הממונה על

אבטחת מידע לדאוג לעריכת סקר הסיכונים ולבצע שינויים

משמעותיים בהתאם לממצאי הסקר. סקר סיכונים מקיף ישיג את

היעדים הבאים: איתור סיכונים ואיומים להם חשופה מערכת המחשב,

זיהוי מערכות המידע הרגישות בעירייה, הצגת הסיכונים שנמצאו עפ"י

משקלם היחסי, הצגת הפעולות המתקנות שיאפשרו את הקטנת

הסיכונים.

.6.2 הביקורת מצאה כי בשנים 1111-1111 לא בוצע כל סקר סיכונים.

.6.3 יש לציין כי תקנה מס' 5 (ב) ו-(ג) בטיוטת תקנות הגנת הפרטיות

(אבטחת מידע), התשע"ב-2112 מפרטת את חובת ביצוע סקר

הסיכונים. כמפורט להלן:

"(5ב(במאגרמידעשחלהעליורמתהאבטחההגבוהה ,בעלהמאגראחראילכך

שייערךסקרבלתיתלוילאיתורסיכוניאבטחתמידעומבדקיחדירות(להלן –

סקרסיכונים(בהתאםלשיטהמקובלת;תוצאותסקרהסיכוניםיועברולבעל

המאגר, אשרידוןבהםויבחןאתהצורךבעדכוןהגדרותהמאגראונוהל

האבטחהבעקבותיהן ,ויפעללתיקוןהליקוייםשנתגלו במסגרתהסקר ,ככל

שנתגלו.

(ג)רשימתמצאיוסקרסיכוניםייערכואחתלשמונהעשרחודשיםלפחות".

.6.4 הביקורת ממליצה לאמץ כבר עתה את התקנה המופיעה לעיל ולדאוג

לעריכת סקר כולל לכל מערך המחשוב, כדי לאתר את הסיכונים להם

חשופה המערכת וליקויים נוספים במידה וקיימים. לשם עריכת

הסקר מומלץ לפנות לגורם המוסמך לכך.

הביקורת מציינת כי עד כה טרם בוצע סקר הסיכונים בשל עלויות

כספיות גבוהות.

עמוד 21

.4 פיקוח ובקרה על מחלקת המחשוב ומערכות מידע

.7.1 הבקרות משמשות ככלי לפיקוח על התקנה ועדכון של רכיבי חומרה

ותוכנה על מנת להבטיח כי המערכת תפעל כמצופה ממנה ולא תגרם לה

פגיעה עקב עדכונים.

.7.2 יש לציין כי תקנה מס' 16 בטיוטת תקנות הגנת הפרטיות (אבטחת

מידע), התשע"ב-,2112 מחייבת ביקורות תקופתיות ומפרטת את

התהליך:

(א)במאגרמידעשחלהעליורמתהאבטחההבינוניתאוהגבוהה,תיערךפעם

בשנתייםלפחות,ביקורתפנימיתאוחיצונית,עלידיגורםבעלהכשרהמתאימה

לביקורתבנושאאבטחתמידע,שתוודאאתעמידתובהוראותתקנותאלה.

(ב)אםנערכתביקורתפנימית,לאיהיההמבקרמישנושאבתפקידממונה

אבטחהשלהמאגר.

(ג)דו"חהביקורתידווחעלהתאמתאמצעיהאבטחהלנוהלהאבטחהולתקנות

אלה,יזההליקוייםויציעאמצעיםהדרושיםלתיקוןהמצב,ויסתמךגםעל

ממצאיםממערכותהמחשובשלבעלהמאגר.

(ד)דוחותהביקורתיועברולבעלהמאגר,אשרידוןבהםויבחןאתהצורך

בעדכוןהגדרותהמאגראונוהלהאבטחהבעקבותיהם.

.7.3 הביקורת ממליצה לאמץ התקנה המופיעה לעיל כבר עתה ולפעול

בהתאם למפורט בה.

.7.4 הביקורת ממליצה לנהל מנגנון תיעוד אוטומטי שיאפשר בקרה

וביקורת הגישה למערכות המאגר (ראה נושא זה בהרחבה בסעיף .)11

עמוד 22

.8 תקציב

מהנתונים שהתקבלו מאגף הכספים עולה כי:

.2.1 תקציב מחלקת המחשוב ואבטחת המידע הינו נגזרת של תקציב

הגזברות.

.2.2 להלן טבלה המרכזת את התקציב מול הביצוע של מחלקת המחשוב

ואבטחת המידע במהלך השנים :2111-2112

תקציב וביצוע לפי שנה

עמוד 23

כרטסת מס' 1411111241

.2.3 יש לציין כי הוצאות המיכון של המים והביוב הינן חיוב רישומי של

תאגיד המים שטרם הוקם.

.2.4 הביקורת מעירה כי מניתוח נתוני התקציב מול הביצוע לאורך השנים

הנסקרות ניתן לראות שישנה חריגה מיעדי התקציב ואף מגמת עלייה

בחריגה לאורך אותן השנים.

.2.5 מגזברות העירייה נמסר כי החריגות נבעו מתקלות לא צפויות, רכישת

ציוד בלתי צפויה ותחזוקה מונעת.

.2.6 יש לציין כי רכישת מחשבים וציוד נלווה מתבצעת ע"י המחלקות

השונות מתקציביהן.

.2.7 מכרטסת הספקים עולה כי קיימת התקשרות עם חברת "אוטומציה"

לשם אספקת תוכנה וסך ההתקשרות לשנה עולה על 141,111 ₪ +

מע"מ. מבדיקתנו עולה כי לא נערך מכרז בגין התקשרות זו. (ראה

הרחבה בנושא בסעיף 13 לדו"ח זה).

עמוד 24

.2.2 מגזברות העירייה נמסר כי מדובר בחוזה ישן שמתחדש מעת לעת.

חברת "אוטומציה" הוחלפה כספק תוכנה וכעת נותנת השירות בתחום

הינה חברת "מטרופולינט". כלל יחידות העירייה מקבלות שירות

מחברת "מטרופולינט" למעט מחלקת השכר כך שההתקשרות של

מחלקה זו עם חברת אוטומציה מתבצעת ללא מכרז וכך גם התשלום.

.2.9 הביקורת ממליצה כי נושא אבטחת המידע בעיריית קריית ביאליק

יהיה מתוקצב באופן נפרד מתקציב מחלקת המחשוב, מאחר ולצורך

ביצוע עבודתו של הממונה על אבטחת המידע בצורה נאותה ומספקת,

עליו לקבל המשאבים הנדרשים לכך. תקציב נפרד יאפשר לממונה על

אבטחת מידע להקצות משאבים להגנת המערכת שלא על חשבון

החומרה.

עמוד 25

.9 שרידות ומערך גיבוי מערכות המידע

.9.1 תהליך האבטחה כולל שמירת גיבוי של המידע לפני השינויים

ואחריהם, על מנת לאפשר שחזור של המידע במקרה של כשל. מערכת

הגיבויים נועדה לאפשר התאוששות ממצב בלתי צפוי של קריסת

שרתים ואבדן מידע, הן כתוצאה של פעולה בזדון, בשגגה, או כתוצאה

מכשל מערכתי.

.9.2 לפיכך, במערכות המידע ישנו צורך במערכת גיבויים יעילה שתאפשר

אחזור הנתונים שאבדו וכך ימנע נזק לארגון. בנוסף, יש צורך בתכנית

חלופית כדי להתמודד עם מצבים לא מתוכננים כמו פגיעה מווירוס או

אפילו אסון טבע שהרס את מתקני האחסון.

.9.3 בעיריית קריית ביאליק ישנו נוהל בנוגע לגיבויים. הנוהל חל על מנהל

מערכות המידע ועל נציגו במידה שימונה ע"י מנכ"ל העירייה או הגזבר.

הנוהל מגדיר את תהליך הגיבויים בעירייה, על אחראי הגיבויים הווה

אומר מנהל מערכות המידע להחזיק 2 סטים של קלטות גיבוי, לאחסן

את

הקלטת האחרונה לחודש בכספת נפרדת, להחזיק קלטת ניקוי לכל

טייפ

ובמקרה של תקלה לאבחן את הסיבה ולטפל בה.

.9.4 תכנת הגיבוי בה משתמשת העירייה הינה .BACKUPEXEC

.9.5 קיים בעירייה נוהל גיבויים אשר טרם אושר סופית ע"י הנהלת העירייה

והיועמ"ש להלן לשון הנוהל:

".5.2ביצועגיבוי

5.2.2תזמוןפעולתהגיבוייתוכנןלסוףיוםהעבודהכשכלהמשתמשיםאינם

(מאחרשפעולתהגיבויצורכתמשאבירשת),זאתבמטרהלאפשרגיבויכל

הקבציםהסגוריםכמוגםלמנועהפרעותלמהלךהעבודההסדיר.הגדרה

מיוחדתתינתןלשרתיםאותםישצורךלגבותבמהלךשעותהעבודה.

5.2.3הטיפולבגיבוייםעלידיאחראיגיבוייםבעירייה5תאגידכוללאתסדר

הפעולותהבא:

)1ווידויתקינותהגיבוימהלילההקודםע"יבדיקתLOGבתוכנתה-

...BACKUPEXEC

)2כלקלטותהגיבוינמצאותברובוטהגיבוי.עלאחראיהמחשובלוודא

תקינות

הקלטותושהגיבויבוצעכהלכה.

)3ווידואשהכונןקוראאתהקלטת)ישלוודאשהקלטתלאנפלטתהחוצה.(

עמוד 26

.5.2.4ישלהעבירקלטותולאחסנםלארקבכספתהארגוןאלאגםבכספת

הנמצאתבמקוםפיזיאחר.תאגידיהעירייהיאחסנואחתלשבועייםקלטות

בעירייה,והעירייהתאחסןאחתלשבועייםקלטותבכספתהעירייה."

.9.6 בעירייה ישנן 7 קלטות ברובוט גיבוי שבחדר המחשב. אחת לשבוע

נשמרת קלטת אחת במקום אחר מוגן מאש ופריצה בכספת (שבמחלקת

הגזברות הנמצאת בבניין אחר). מתבצעים גיבויים שוטפים יומיים

שבועיים וחודשיים. חלק מהמערכות נמצאות בענן ביניהן מערכת

הגביה, הנהלת חשבונות, רווחה ומוקד והן מגובות ע"י נוהל מסודר

ולפי הסכם בחברה חיצונית.

.9.7 הביקורת מעירה כי חדר המחשב בו נמצא רובוט הגיבוי אינו מוגן מפני

אש (ראה ממצא שפורט בהרחבה בנושא 11.4 לדו"ח זה).

.9.2 הביקורת מציינת בנוסף, כי בעירייה קיימת תכנית מגירה לגיבוי

שטרם מומשה, שרידות והתאוששות לאחר אירוע .DRP לדברי מנהל

מערכות המידע עלות מימוש משוערת של התוכנית הינה 211 אלף ₪.

.9.9 הביקורת ממליצה למפות את המידע עפ"י מידת רגישותו ולגבותו

בהתאם לכך.

.9.11 הביקורת ממליצה לקבוע נהלי התאוששות, בנוסף לתכנית המגירה

DRP שקיימת בארגון, בהתאם למצוין בטיוטת תקנות הגנת הפרטיות

(אבטחת מידע), התשע"ב-1111 תקנה מס' (14א)(:)1

"במאגרמידעשחלהעליורמתהאבטחההבינוניתאוהגבוהה,יקבעבעלהמאגר

-נהליהתאוששות,כדילהבטיחשבכלעתניתןיהיהלשחזראתהמידעהאמור

בתקנה()1למצבוהמקוריובלבדשביצועהשחזוריהיהבאישורמנהלהמאגר".

מומלץ לתרגל נהלים אלו ולעדכנם מעת לעת. זאת כדי להבטיח את

היכולת לשחזר מידע בכל עת למצבו המקורי, ובכך להבטיח את

שלמות המידע במקרה של אובדן או הרס.

בתגובה לממצאי הדו"ח נמסר לביקורת כי בשנת התקציב ,1112 נלקח

בחשבון הקמת אתר .DRP

עמוד 27

.11 אבטחת מידע לוגית

.11.1 שלמות המידע הינה מרכיב מהותי באבטחת מידע. אבטחה לוגית,

פירושה-האמצעים והנהלים הדרושים להגנה על מאגרי המידע ועל

משאבי המידע, כגון: זיהוי המשתמשים באמצעות סיסמאות, מעקב

ותיעוד הפעולות שמבוצעות במערכת, הטמעת מערכת תכנה וחומרה

לגילוי ומניעת חדירת וירוס, בקרות על שלמות המידע ואמינותו, טיפול

באירועים חריגים ועוד.

.11.2 באמצעות הבקרות המיושמות על הגישה הלוגית, ניתן לדעת את זהות

המשתמש שניגש למשאב מסוים במערכת ואילו פעולות הוא ביצע

באותו משאב. האבטחה הלוגית משמשת את מנהלי מערכת האבטחה

בסינון גישתם של המשתמשים לכלל המידע המצוי במערכת.

.11.3 תקנות הגנת הפרטיות (תנאי החזקת מידע ושמירתו וסדרי העברת

מידע בין גופים ציבוריים), התשמ"ו-,1926 פרק ב' תקנה מס' 3 מפרטת

את תחומי אחריותו של מנהל מאגרי המידע (בעיריית קריית ביאליק

זהו מנהל מערכות המידע). עפ"י סעיפים ()3 ()4 ()5 ו-()15 בין תחומי

האחריות קיימים גם :

()3"קיוםהוראותתפעולשלהמערכתתוךאבטחתהמידעושמירהעלשלימות

המידע;

()4נקיטתאמצעיאבטחהסבירים,בהתאםלרמתרגישותהמידע,שימנעו

חדירה מכוונת או מקרית למערכת אל מעבר לתחומי המידע שאושרו

למשתמש;

()5"קביעתסדריבקרהלגילויפגיעותבשלימותהמידעותיקוןליקויים".

תקנות אלה מפרטות גם בתקנה מס' 15 את החובה לניהול יומן

אירועים חריגים:"(א)יומןאירועיםחריגים(להלן-היומן)ינוהלבידימנהל

המאגרעלגביאמצעינתיקמןהמערכתלגביפעולותהפקתמידעבאצווהאו

פעולותתשאולשבוצעובמסוףהקשורלמערכת;היומןיישמרבמשךשלוש

שנים;לגביאירועחריגיירשמוביומןפרטיהזיהוישלהפונה,סוגהשאילתה,

הרשומותאוסוגיהרשומותשהופקובתשובה.

(ב)מנהלהמאגראחראילעריכתבדיקתחודשיתשלהיומן,לצורךתיקון

ליקויים".

.11.4 קיים בעירייה נוהל אבטחת מידע אשר טרם אושר סופית ע"י הנהלת

העירייה והיועמ"ש להלן סעיפי הנוהל בהם ישנה התייחסות לנושא

אבטחת המידע הלוגית:

".5.1.5בנוגעלמידעממוחשב,באחריותאחראיהמחשוב:

עמוד 28

)1לקייםמערכתאבטחתמידעבכלהרמותבעירייהכנגדחדירה

חיצונית.

)2לדאוגלשלמותהמידע,זמינותווגיבויו.

)3לדאוגלחיסיוןהמידע.

)4לתתהרשאותלמשתמשיםבהתאםלצרכים.

)5הסרתהרשאותלעובדשנוידבתוךהמערכתאולעובדשסייםאת

עבודתובעירייה–יתואםביןאחראימחשובלמנהלמשאביאנוש.

.11.5 הביקורת מציינת כי קיימת בארגון תכנת אנטי וירוס מגרסה ESET

4.2.76.0 32 NODE לכל המחשבים, כמו כן קיימות מערכות הגנה

"SPAM", "FIREWAL" מאובטחות ומעת לעת משודרגות

גרסאותיהן.

.11.6 הביקורת מעירה כי לא מתבצעות בדיקות יזומות של יומני האירועים

במטרה לאתר אירועים חריגים ברשת.

.11.7 בנוהל אבטחת המידע של העיריה בסעיף 5.2.4 לנוהל מובהרים

המעשים שיחשבו לעבירות משמעת ביניהם מופיעה גם העברת סיסמא

אישית לידי אדם אחר:

"המעשים שלהלן ייחשבו לעבירה משמעתית, מבלי לפטור את עושיהם

מתוצאותיהםבתחוםהדיןהכללי:

)1 מסירתסיסמאלידיאדםאחר,זולתמהשמתחייבמהוראותכלדין.

)2שימושבסיסמאשלאדםאחר.

)3 שימושבסיסמאלכלמטרהשהיא,זולתעבודתהעובדבמערכת.

)4 מסירתפלטלאדםלאמוסמך.

)5 מסירתמידעכלשהושהגיעלידיעתעובדהמערכתבמהלךעבודתו."

.11.2 הביקורת מצאה כי במחלקת משאבי אנוש (עפ"י דיווח העובדת)

כאשר עובדת נעדרת מעבודתה, משתמשת העובדת שמחליפה אותה

בסיסמה של העובדת שנעדרה ומעדכנת נתונים.

.11.9 הביקורת ממליצה לחדד את הנהלים וההנחיות בנוגע לשימוש

בסיסמאות האישיות ואיסור מוחלט על העברתן לידי אדם אחר.

.11.11 הביקורת מציינת כי ביום 225552114 הועבר ריענון לעובדי עיריית

קריית ביאליק ע"י מנהל מערכות המידע, המדגיש בפרק השני את כל

נושאים שצוינו לעיל, ביניהם איסור גלישה באינטרנט באתרים שלא

לצרכי עבודה, איסור הורדת תוכנות "חינם" מהאינטרנט או התקנת

תוכנות5חומרות באופן עצמאי, כמו כן מודגש נושא הסיסמאות ואיסור

עמוד 29

העברתן מאדם לאדם, מודגש גם עניין נעילת תחנות העבודה ועוד

נושאים נוספים שעלו בזמן הביקורת .

.11.11 הביקורת מציינת כי קיימים ליקויים בנושא מערך ההרשאות (נושא זה

יפורט בהרחבה בסעיף .)12

.11.12 במרבית עמדות העבודה מתבצעת נעילה אוטומטית לאחר זמן קצוב

של אי שימוש. הביקורת ממליצה שתבוצע הרחבה שתכלול את כלל

עמדות העבודה בארגון, דבר שימנע חשיפת מידע העלולה לאפשר

פעילות בלתי מורשית באמצעות העמדות שלא ננעלות וכן לעגן זאת

בנוהל.

.11.13 הביקורת ממליצה להנהלת העירייה לבחון חסימה מלאה של

משתמשים מרחבי הארגון לאתרי אינטרנט שונים ולהורדות.

.11.14 הביקורת ממליצה לדאוג לעדכון תוכנת האנטי וירוס, מאחר וישנם

איומים חדשים בכל יום ווירוסים המופצים ע"י רשת האינטרנט

שהינה חלק בלתי נפרד מהארגון. נציין כי במהלך הביקורת בוצע

עדכון לתוכנה.

.11.15יש לציין כי בטיוטת תקנות הגנת הפרטיות (אבטחת מידע), התשנ"ב-

,2112 מפורטות מספר הפעולות שיש לנקוט בהן בנוסף לפעולות

הננקטות כיום בארגון על מנת לאבטח את מאגרי המידע מבחינה

לוגית. הביקורת ממליצה לאמץ כבר עתה את התקנות ולעגן הנושאים

בנהלים מתאימים, להלן לשון התקנות:

"(.11ב)בנוהלהאבטחהיקבעבעלהמאגרהוראותלענייןהתמודדותעםאירועי

אבטחת מידע, בהתאם לחומרתהאירועולמידת רגישותהמידע,לרבות

הוראות

לענייןביטולהרשאותוצעדיםמיידיםאחריםהנדרשיםולענייןדיווחלבעל

המאגרעלאירועיאבטחהועלפעולותשננקטובעקבותיהם.

(ג)במאגרמידעשחלהעליורמתהאבטחההבינוניתאוהגבוהה,יקייםבעל

המאגרדיוןתקופתיבאירועיהאבטחה.(ד)במאגרמידעשחלהעליורמת

האבטחההגבוהה,ייערךדיוןכאמורבתקנתמשנה(ג)אחתלרבעוןלפחות.

(ה)ארעאירועאבטחהחמור,יודיעעלכךבעלהמאגרלרשםבאופןמיידי,וכן

ידווחלרשםעלהצעדיםשנקטבעקבותהאירוע.בתקנתמשנהזוובתקנת

משנה(ו)–"אירועאבטחהחמור"–א.במאגרמידעשחלהעליורמתהאבטחה

הגבוהה–אירועבונעשהשימושבמידעמהמאגרבלאהרשאה;ב.במאגר

מידעשחלהעליורמתהאבטחההבינונית-אירועבונעשהשימושבחלק

מהותישלהמידעמהמאגרבלאהרשאה.

(ו)ארעאירועאבטחהחמור,רשאיהרשםלהורותלבעלהמאגר,למעטלבעל

עמוד 30

מאגרמידעהמנויבסעיף(13ה)לחוק,להודיעעלאירועהאבטחהלנושאמידע

שעלוללהיפגעמןהאירוע.

.12התקניםניידים-(א)בעלמאגרהמאפשרשימושבמידעמהמאגרבהתקןנייד

או

העתקהשלולהתקןניידינקוטאמצעיהגנהבשיםלבלסיכוניםהמיוחדים

הקשוריםלשימושבהתקןנייד;לענייןזה,שימושבשיטותהצפנהמקובלות

ייחשבכנקיטתאמצעיםסבירים".

.14אבטחתתקשורת-(א)מערכותהמאגרלאיחוברולרשתהאינטרנטאולרשת

ציבוריתאחרתללאהתקנתאמצעיהגנהמתאימיםהמגניםמפניחדירהלא

מורשיתאומפניתוכנותהמסוגלותלגרוםנזקאושיבושלמחשבאולחומר

מחשב.

(ב)העברתמידעממאגרהמידעברשתתקשורתאלחוטית,ברשתציבוריתאו

באינטרנט,תיעשהתוךשימושבשיטותהצפנהמקובלות.

(ג)במאגרמידעשניתןלגשתאליומרחוקבאמצעותרשתתקשורת,בנוסף

לאמצעיאבטחהכאמורבתקנותמשנה(א)ו-(ב),יעשהשימושבאמצעים

שמטרתםלזהותאתהמתקשרומאמתיםאתהרשאתולביצועהפעילות

מרחוק

ואתהיקפה;לענייןגישהשלעובדלמאגרמידעברמההבינוניתייעשהשימוש

באמצעיפיזיהניתןלשליטתוהבלעדיתשלהעובד.

.11 אבטחת מידע פיזית

.11.1 גישה פיזית למחשב (או לנתב) בדרך כלל נותנת למשתמש שליטה מלאה

על אותו מחשב. במטרה למנוע גישה, או נזק פיזי למערכות המידע

והפרעה לתהליכים הארגוניים מפני גורמים לא מורשים, יש ליישם

אבטחה פיזית.

.11.2 האבטחה הפיזית כוללת: מניעת גישה פיזית למערכות המידע ע"י

שימוש במנעולים, בקרות גישה, סורגים ועוד; מניעת פגיעה לא מכוונת

בציוד רגיש של העירייה, כגון שריפות, הצפות וכדומה, העלולות לגרום

לנזק בלתי הפיך למערכות הארגון וכתוצאה מכך איבוד מידע יקר

לעירייה; הגנה על המערכות הניידות של העירייה כגון מחשבים ניידים,

מדיה ניידת (דיסקים, KEY ON )DISK מפני גניבות (גניבה פיזית של

המערכות הניידות או גניבת מידע מתוכן) ושימוש לא מורשה; וכן

ההגנה על ציוד וניירת המכילים מידע רגיש.

עמוד 31

.11.3 תקנות הגנת הפרטיות (תנאי החזקת מידע ושמירתו וסדרי העברת

מידע בין גופים ציבוריים), התשמ"ו - ,1926 פרק ב' תקנה מס' 3 (ב)()1

המחייבת את אחראי 5מנהל המאגר:

"קיוםהגנהפיסיתעלמערכתעיבודהנתוניםהאוטומטית(להלן-המערכת),

ועלתשתיתהלרבותמבנה,אמצעיתקשורת,מסופיםותשתיתחשמליתמפני

סיכוניםסביבתייםופגיעות".

.11.4 קיים בעירייה נוהל אבטחת מידע אשר טרם אושר סופית ע"י הנהלת

העירייה והיועמ"ש להלן לשון סעיפי הנוהל בהם ישנה התייחסות

לנושא אבטחת המידע הפיזית:

".5שיטה

.5.1אבטחתמידע

.5.1.1כלעובדינקוטבתחוםאחריותו,בכלהאמצעיםלשםאבטחתהמידע

שברשותו,לרבות:

)1נעילתארונותומגירותהמכיליםמידע.

)2נעילתדלתותוחלונותבמשרדים.

)3כיבויהמחשבבסיוםהעבודה.

)4הזנתסיסמה5צופן5קודאישייםלמחשבהאישיוהחלפתםאחתלשנה.

)5גריסתמסמכיםחסויים.

)6הפעלתמערכותאזעקהבמקוםבוהותקנו,כאשרלאנוכחבו

עובד5מאבטח.

.5.1.2מידערגישיופקדבכספתהמחלקתית(לדוגמא:מחלקתבטחון,מח'

כספיםוכד')והטיפולבוייעשהעלידיעובדהעירייההמוסמך(עלידי

מנהלאותהמחלקה)מתוקףתפקידו,תוךנקיטתהאמצעיםלאבטחתו,

ועלפינוהליוהנחיותהעירייההנוגעיםבדבר.

.5.1.3עלכלעובדלהפעילשיקולדעתבהוצאתמסמכיםמהארגון.בכל

מקרה

בוהוצאומסמכיםמהארגוןישלשמורעליהם,איןלהניחמסמכים

גלוייםבפרהסיהואיןלאחסןאולהשאירמסמכיםרגישיםבמכוניות.

.5.1.4העברהוהפצהשלמידעבתוךהעירייהוביןהעובדיםלביניהםתעשה

תוך

נקיטת -כללי אבטחת מידע, הן בשימוש בדואר אלקטרוני של

מסמכים

כתובים,והןבמסירתפריטיםפיזיים)מדיהמגנטית5קלטת5דיסק5

תרשיםוכו')...

5.7כלליאבטחהפיזיתשלתחנתעבודה

.5.7.1עובדהיוצאמחדרעבודתובסוףיוםהעבודהיסגוראתתחנת

העבודה

בההואמשתמש,ואםלאנוכחבחדרעובדאחר,ינעלאתהחדר.

עמוד 32

.5.7.2איןלהשאירציודמחשביםדולק/פועללאחרשעותהעבודהאלאעל

פי

אישוראחראיהמחשובבעירייה."

.11.5 השרתים של העירייה נמצאים בחדר השרתים הממוקם בקומת

הכניסה בבניין הראשי של העירייה. החדר מסורג ונעול בדלת פלדלת.

.11.6 בעיריית קריית ביאליק קיים אחסון גיבויים בכספת נעולה חסינת אש.

.11.7 הביקורת מעירה כי ארונות התקשורת אינם סגורים.

.11.2 הביקורת מעירה כי יש מערכת אזעקה במבני העירייה אך לא כל

החלונות מסורגים. רק חדר השרתים וחדר משאבי אנוש בקומת

הכניסה נמצאו מסורגים.

.11.9 הביקורת מעירה כי חדר המחשב אינו מוגן מפני אש, דבר שמהווה

בעיה מהותית במידה ותפרוץ שריפה בחדר המחשב.

.11.11 הביקורת מעירה כי בחדר משאבי אנוש בו ביקרנו מדגמית לא נמצאו

מערכות לגילוי וכיבוי אש, וכן נמצאה דלת הזזה מעץ הניתנת בקלות

לפריצה, וניצתת במהירות במקרה בו פורצת שריפה.

.11.11 הביקורת מעירה כי במסגרת ביקור במחלקת הגבייה נמצא כי

הקלסרים המכילים מידע רגיש לגבי אזרחים (בקשות להנחות, חובות

וכיו') נמצאים במדפים חשופים ובארונות לא נעולים. עניין זה חזר גם

במחלקת משאבי אנוש שם נמצא כי התיקים האישיים של העובדים

נמצאים בארונות לא נעולים או מדפים חשופים.

.11.12 הביקורת מעירה כי עובדת במחלקת משאבי אנוש מחזיקה את

הסיסמאות לכניסה למחשב ולתוכנות רגישות מתחת למקלדת שלה.

יש לציין כי בעת השיחה עמה העובדת הבינה את חומרת העניין

והוציאה את הפתק ממקומו.

.11.13 הביקורת מעירה כי מתשאול עובדים במחלקות הנ"ל ומצפייה בהם

נמצא כי העובדים מותירים על שולחנם מידע רגיש בעת עזיבת העמדה

במהלך שעות העבודה.

.11.14 הביקורת מעירה כי בעת עזיבת העמדה אין העובדות סוגרות את

המחשב או התוכנות – באם אזרח יושב וממתין להן הוא יכול לצפות

בנתונים המופיעים על המסך.

.11.15 הביקורת מצאה כי אין הגבלה בשימוש בהתקנים חיצוניים כגון: ,CD

,USB ישנה חשיבות בהגבלת השימוש מאחר וקיימת סכנת חשיפת

עמוד 33

הרשת לווירוסים שונים שהשלכותיהם בין היתר הן פגיעות שונות

בשלמות וזמינות המידע, כמו כן ישנה סכנה מפני העתקה לא מורשית

של מידע מסווג.

.11.16 הביקורת ממליצה למפות את כל משרדי העירייה ולבצע תכנית למיגון

מפני אש, וכן להתקין דלתות פלדלת בכל מקום בו אינן בנמצא.

.11.17 הביקורת ממליצה להתקין סורגים בכל החלונות הקיימים במבני

העירייה כהגנה נוספת לאזעקה מפני פריצות. זאת מאחר ומדובר

במבנים בעלי 1 קומות לכל היותר דבר שמאפשר פריצה לתוך המבנים

ולחדרים אסטרטגיים במבנים בקלות.

.11.12 הביקורת מציינת כי ריענון ותקציר נהלי אבטחת מידע המצוין בסעיף

11.23 לדו"ח זה, מדגיש את העלאת המודעות של המשתמשים בתחום

אבטחת מידע ועמידה בנהלים. בין היתר ריענון זה כלל את הדגשת

הנושאים שעלו בפרק זה, כגון: איסור השארת מסמכים על שולחן

העבודה או המדפסת5מכונת צילום, חובת השארת מסמכים רגישים

נעולים במגירות5ארונות , איסור רשימת סיסמאות בסמוך למקלדת או

במקום חשוף, הקפדה על נעילת עמדת העבודה כשהמחשב אינו

בשימוש וכו'.

עמוד 34

.11 מערך ההרשאות

.12.1 בתקנות הגנת הפרטיות (תנאי החזקת מידע ושמירתו וסדרי העברת

מידע בין גופים ציבוריים), התשמ"ו-,1926 בפרק ב' מופיעה תקנה

(3ב)()2 על פיה יש לקבוע"סדריניהולשלמאגרמידע,וכלליםלהרשאתגישה

למידע, לאיסוף, לסימון, לאימות, לעיבוד ולהפצה של המידע, הכל בהתאם

להוראותהחוקוהתקנות;סדריםוכלליםכאמוריחולוגםעלנותןשירותיםחיצוני

לגוףשבבעלותומאגרהמידע".

בנוסף, בפרק ד' לתקנות, בתקנה מס' 14 מחויב מנהל המאגר ברישום

מעודכן של כל הרשאות הגישה שניתנו:"מנהלהמאגרינהלרישוםמעודכן

שלהרשאותגישהאשריכילשמותופרטיזיהוישלעובדיהמערכתוהמשתמשים

המורשים לגשת למידע האגור במערכת, פירוט קוד הגישה וסוגי הפעולות

המותריםלמשתמשים;סיסמאותהגישהיוחלפולעיתיםבלתיקבועותאךלא

פחותמאשראחתלששהחודשיםאובעתהחלפתעובדים".

.12.2 קיים בנוהל אבטחת מידע של עיריית קריית ביאליק (יש לציין כי טרם

אושר סופית ע"י הנהלת העירייה והיועמ"ש) סעיף המתייחס מתן

הרשאות :

5.6רשותכניסהלמאגריהמידע

.5.6.1הגישהלמאגריהמידעתתאפשררקבאמצעותקודגישהוסיסמה

שיאמתואתבלעדיותהגישהעלידהמורשיםלצפותאולהשתמשבו.

.5.6.2קודהגישהבנוימשנימרכיבים

)1שםמשתמשהנקבעעלידימנהלהרשת,לדוגמה:OFRAB

)2סיסמההנקבעתעלידיהמשתמש:

א.עלהסיסמהלהיותמורכבתמאותיות,מספרים.

ב.המערכתמאלצתלהחליףאתהסיסמהמעתלעתבאופןאוטומטי.

)3המנהליקבעלגביכלמשתמש,אתההבחנהביןהרשאהלשלוף5לעיין

במידעלביןההרשאהלרשוםאולתקןמידעקיים.

)4עםהעברתעובדלתפקידאחראופרישתו,יודיעמנהלהמחלקה

הרלוונטיתלאחראיהמחשובאתשםהמשתמששהיהידועלעובדבתפקידו

הקודם.

)5אחראיהמחשובישנהלאלתראתסיסמתתיבתהדואר,כדישלעובדלא

תהיהאפשרותלהתחברהןמהמשרדוהןמהבית.

.12.3 בעיריית קריית ביאליק כדי לקבל הרשאה מועברים מיילים למנהל

מערכות המידע וכל הרשאה או פתיחת הרשאה חדשה מלווה באישור

הגזבר ומתויקת בקלסר אבטחת מידע.

.12.4 הביקורת מעירה כי נושא ניהול המשתמשים (פתיחה, גריעה, הקצאה

ושינוי הרשאות) מטופל לפי נוהג עבודה בלתי פורמאלי ואינו מעוגן

עמוד 35

באופן מפורט וברור בנהלי העירייה. יישום הרשאות גישה מתבצע

באופן סלקטיבי לפי צרכי העובד והגדרות של מנהל המחלקה שלו.

בנוסף, הודעות על עובד שעזב או הועבר לתפקיד אחר ובקשות לביטולי

ההרשאות לא מועברות אל מנהל מערכות המידע בזמן אמת, אלא רק

לאחר שהעובד כבר עזב או מכהן בתפקיד אחר זמן מה.

.12.5 הביקורת מעירה כי אין ברשות מנהל מערכות המידע את רשימת

ההרשאות כמתחייב בתקנות הגנת הפרטיות כאמור לעיל.

.12.6 הביקורת ממליצה לעגן במסגרת נוהל בנושא ההרשאות נושאים כגון:

סדר הפעולות שיש לבצע בתהליך הרשאה, קיום פרטים מספקים

אודות תפקידי המשתמשים, גורם מאשר, גורם מבצע וזאת בהתאם

לפירוט המופיע בטיוטה לתקנות הגנת פרטיות (אבטחת מידע)

התשע"ב -1111 תקנה מס' :9

"9זיהויואימות-

א)בעלהמאגריישםאמצעיםלווידואכיהגישהלמידעבמאגרהמידענעשיתרק

בידיעובדהמורשהלכךובהתאםלרשימתההרשאותהתקפות.

(ב)במאגרמידעשחלהעליורמתהאבטחההבינוניתאוהגבוהה,יקבענוהל

האבטחההוראותלענייןהאמצעיםכאמורבתקנתמשנה(א),ובכללזהלנושאים

אלה:

()1אופןביצועהזיהוי,שייעשהככלהניתןעלבסיסאמצעיפיזיהניתןלשליטתו

הבלעדיתשלהמורשה;במידהשאופןהזיהוימבוססעלסיסמאותיתייחסהנוהל

גםלחוזקהסיסמה,מספרהניסיונותהשגויים,ותדירותהחלפתהסיסמאות

שתיקבעבהתאםלתפקידשלמורשההגישה,ובכלמקרהלאתעלהעלששה

חודשים.

()2ניתוקאוטומטילאחרפרקזמןשלאיפעילות.

()3אופןהטיפולבתקלותהקשורותבאימותזהות;

(ג)בעלהמאגרידאגלביטולההרשאותשלעובדשסייםאתתפקידוובמידת

האפשרלשינויסיסמאותלמאגרולמערכותהתומכותבמאגר,שהעובדעשויהיה

לדעת,מידעםסיוםתפקידושלהעובד".

.12.7 הביקורת מציינת כי לספקים החיצוניים, הנותנים שירות למאגרי

המידע, ישנן הרשאות מלאות לכל הקבצים והמידע בעירייה, עד כה הם

לא היו חתומים על טפסי התחייבות על סודיות, אך במהלך הביקורת

הוחתמו הספקים של חברת "מטרופולינט" על טפסים אלו (ראה נושא

זה בהרחבה בסעיף 13.12 לדו"ח זה).

עמוד 36

.12.2 תקנה מס' 11 בטיוטת תקנות הגנת הפרטיות ,2112 מפורט כי מנהל

מערכות המידע ינהל מנגנון תיעוד אוטומטי לשם בקרה וביקורת על

הגישה למערכות המידע:

"(א)במערכותשלמאגרמידעאשרחלהעליורמתהאבטחההבינוניתאוהגבוהה

ינוהלמנגנוןתיעודאוטומטישיאפשרבקרהוביקורתהגישהלמערכותהמאגר

(בתקנהזו–מנגנוןהבקרה),ובכללזהאתכלהנתוניםהאלה:זהותהמשתמש,

התאריךוהשעהשלניסיוןהגישה,רכיבהמערכתשאליובוצעניסיוןהגישה,סוג

הגישה,היקפה,והאםהגישהאושרהאונדחתה;אםהגישהאושרה,יישמרו

הנתוניםהמאפשריםזיהוירכיבהמערכתשאליובוצעההגישה.(ב)מנגנוןהבקרה

לאיאפשר,ככלהניתן,ביטולאושינוישלהפעלתו.מנגנוןהבקרהיאתרשינויים

אוביטוליםבהפעלתוויפיץהתראותלאחראים.

.12.9 הביקורת ממליצה לאמץ את התקנה המוזכרת לעיל כבר עתה ולפעול

בהתאם לכתוב בה.

.12.11 הביקורת ממליצה לבצע בחינה תקופתית וריענון של הרשאות

משתמשים ברשת הפנימית . דבר שנועד לוודא כי מערך ההרשאות

הינו מתאים לנדרש בפועל. כדאי לכלול בסקירה זו את בדיקת אופן

היישום של הפרדת תפקידים נאותה בארגון ,באמצעות הרשאות

גישה למערכות מחשב.

.12.11 הביקורת ממליצה להחתים את אנשי המחשוב (טכנאים בעיקר)

שהינם ספקים חיצוניים על טפסי התחייבות על שמירת סודיות (זאת

בהתאם לטיוטת תקנות הגנת הפרטיות(אבטחת מידע) התשע"ב-1111

תקנה מס' 12 (ו)) .

עמוד 37

.13 חברות חיצוניות

.13.1 העירייה מנהלת מאגרי מידע ממוחשבים מסוגים שונים. המידע הכלול

בהם הינו חיוני לפעילותה השוטפת, ולכן חובה עליה לנקוט במכלול

אמצעי אבטחה פיסיים ולוגיים, על מנת למנוע כל פגיעה בהם. אבטחת

המידע הינה הכרחית, שכן פגיעה בחיסיון המידע, בשלמותו ו5או

בשרידותו עלולה לגרום לנזקים רבים לעירייה עצמה וגם לכל מי

שפרטיו כלולים במאגרי המידע שלה.

.13.2 יש לוודא קיום אבטחת מידע כאשר האחריות על עיבוד המידע נמסרת

לגורם חיצוני. יש להתייחס לסיכונים, לבקרות האבטחה ולנוהלי

האבטחה עבור הסביבות השונות.

.13.3 בתקנות הגנת הפרטיות (תנאי החזקת מידע ושמירתו וסדרי העברת

מידע בין גופים ציבוריים), התשמ"ו-1926 ,בפרק ב' מופיעה תקנה

(3ב)()2 על פיה יש לקבוע "סדריניהולשלמאגרמידע,וכלליםלהרשאתגישה

למידע, לאיסוף, לסימון, לאימות, לעיבוד ולהפצה של המידע, הכל בהתאם

להוראותהחוקוהתקנות;סדריםוכלליםכאמוריחולוגםעלנותןשירותיםחיצוני

לגוףשבבעלותומאגרהמידע".

כמו כן בפרק ד' סעיף 9 מוזכר החיוב בקובץ נהלים המפרטים את

אמצעי האבטחה והבקרה של המידע בנוגע לטיפול הפיסי באמצעי

האחסון התקנה מחייבת גם את נותן השירות החיצוני באותם נהלים:

"למאגרמידע,כאמורבתקנה,2יהיהקובץנהליםשבויפורטואמצעיהאבטחה

והבקרהעלהטיפולהפיסיבאמצעיהאחסוןשלהמידע.בקובץייוחדפרקלטיפול

במידעבידינותןשירותיםחיצוניהמבצעעבודותעבורהמאגרבתחומיהקלידה,

עיבודהנתונים,הפצתדו"חותוהובלתקבצים".

.13.4 בהתאם לסעיף 194 לפקודת העיריות עפ"י סעיף 194 העירייה

מחויבת להתקשר עם ספקים באמצעות מכרזים:

"לאתתקשרעירייהבחוזהלהעברתמקרקעיןאוטובין,להזמנתטוביןאו

לביצועעבודהאלאעלפימכרזפומבי".

.13.5 בנוהל אבטחת מידע של העירייה (אשר טרם אושר סופית ע"י הנהלת

העירייה והיועמ"ש) ישנה התייחסות להתקשרות עם גורמי חוץ:

"5.4.2בהסכמיהתקשרותשלהעירייהעםקבלניםוספקיםחיצונייםהמעניקים

לחברהשירותיםשונים,יעוגןבחוזה5הסכםנושאשמירתהסודיותואבטחת

המידעשלאותםגופיםכלפיהעירייה". (ישנו נספח 7.1 לנוהל – "תצהיר

סודיות גורמי חוץ").

עמוד 38

.13.6 רוב המערכות המוניציפאליות (מערכות הגביה, גזברות, רווחה, חינוך

,שכר, הנדסה, חנייה ופיקוח, ניהול נתוני אוכלוסין, פורטל שירותים

לתושב, ארכיב ממוחשב, BI , גישה לאינטרנט ולמייל) מסופקות,

מוטמעות בעירייה ומנוהלות על-ידי ספקית שירותי מחשוב חיצונית

"חברת מטרופולינט בע"מ" שבנוסף מספקת שירותים טכניים למערך

המחשוב, ומתחזקת את ה-.FIREWALL

.13.7 חברה חיצונית נוספת המספקת שרותי מחשוב לעירייה הינה חברת

"אוטומציה".

.13.2 הביקורת מעירה כי ישנו חוזה בין חברת "אוטומציה" לעירייה בגין

העסקת עובד של "האוטומציה" במחלקת משאבי אנוש, אולם

העירייה משלמת סכום כספי נוסף מעבר לתשלום בגין העסקת

העובד. תגובת גזבר העירייה בנוגע לנושא הנ"ל הייתה כי ישנו חוזה

ישן עם חברת "אוטומציה" בגין אספקת שירותי מחשוב. החוזה

מתחדש מעת לעת אך ע"י ספחים בלבד ולא ע"י מכרז וחידוש חוזה,

זאת מאחר ורק מחלקת השכר מקבלת את שירותי "החברה

לאוטומציה", יתר המחלקות מתקשרות בחוזה נפרד עם חברת

"מטרופולינט". עפ"י נהלי מחלקת התקציבים והחשבות כל

התקשרות עם חברה חיצונית שהיקפה בין 141,111 ₪ ועד 344,111 ₪

מחייבת מכרז זוטא (כלומר קבלת הצעות מחיר מ-4 ספקים) כשסופו

של דבר הזוכה יחתום על הסכם מול עיריית קריית ביאליק. היקף

ההתקשרות של "חברת אוטומציה" הינו בין 129,111 ₪ ועד 349,999

₪ (ראה כרטסת ספקי מחשוב בסעיף )8 אולם לא נחתם עימה הסכם

עדכני למעט חתימה על ספחים.

.13.9 העירייה חתמה על חוזה מפורט עם חברת "מטרופולינט" שנכנס לתוקף

בתאריך .12512519 בסעיף 3.4 לחוזה מצוין כי ימונה מטעם העירייה

עובד עירייה שינהל את ההתקשרות עם החברה הן בנוגע לאי הסכמות

ו5או הבנות לגבי ההסכם עצמו והן בנוגע לטיב השירות.

.13.11 הביקורת מעירה כי לא מונה עובד עירייה כמתחייב עפ"י סעיף 3.4

לחוזה עם חברת "מטרופולינט".

.13.11 מנהל מערכות המידע הינו עובד של חברת "מטרופולינט" ואיננו עובד

עירייה. נושא העסקתו מעוגן באותו החוזה שנחתם ביום 1251252119

ולא נחתם עמו חוזה העסקה נפרד.

עמוד 39

.13.12 הביקורת מציינת כי מנהל מערכות המידע הינו העובד היחיד במחלקה

ואין לו כל מחליף. במידה והעובד נעדר מעבודתו הנושאים נשארים לא

מטופלים עד חזרתו. בנוסף לא קיימת רוטציה (ראה הרחבה לנושא זה

בסעיף .)1.11

.13.13 הביקורת מעירה כי עפ"י סעיף 1.41 להסכם שנחתם עם חברת

"מטרופולינט" על העירייה להחתים את עובדי החברה על

התחייבויות לשמירת סודיות, אולם בפועל רק במהלך הביקורת עובדי

חברת "מטרופולינט" הוחתמו על ההתחייבויות הנ"ל.

.13.14 בסעיף 21 לחוזה, העירייה מחייבת את החברה, לעמוד בדרישות

אבטחת המידע במערכות הנ"ל.

.13.15 הביקורת מציינת כי לא נמצא כל סעיף המאפשר לעירייה לבצע

ביקורת על פעילות ספקית השירות בתחום אבטחת המידע ולבדוק

האם באמת עומדת החברה בדרישות אבטחת המידע.

לפיכך, אין לעירייה אינפורמציה כלשהי על רמת הבקרות ואבטחת

מידע במערכות המידע המתוחזקות על ידי חברת "מטרופולינט".

.13.16 הביקורת ממליצה לבצע בחינה של רמת אבטחת המידע והבקרה

במערכות המנוהלות על יד חברת "מטרופולינט". בנוסף, מומלץ

במועד חידוש החוזה לכלול בו סעיף המאפשר לעירייה לקיים

ביקורת מערכות מידע ואבטחת מידע בכל הנוגע לתחומים

הרלוונטיים למערכות התוכנה שבשימוש העירייה.

.13.17 יש לציין כי בטיוטת תקנות הגנת הפרטיות(אבטחת מידע) התשע"ב-

,2112 תקנה מס' (15א)()2 ו-()4 מפורט נושא ההתקשרות עם חברות

חיצוניות שלהן גישה למאגרי המידע וכן נושא הבקרה על אותן חברות

ועל עבודתן:

בעלמאגרהמתקשרעםגורםחיצונילצורךקבלתשירות,אשרכרוךבמתןגישה

למאגרהמידע(להלןבתקנהזו-השירות)-יקבעבמפורשבהסכםעםהגורם

החיצוני(בתקנהזו–ההסכם)אתכלאלה,בשיםלבלסיכוניםלפיתקנתמשנה

((:)1ה)החובותבתחוםאבטחתהמידעהחלותעלהגורםהחיצונילפיתקנות

אלה,וכןהנחיותנוספותלענייןאמצעיאבטחתמידעשקבעבעלהמאגר,ככל

שקבע;

(ו)חובתושלהגורםהחיצונילהחתיםאתעובדיועלהתחייבותלשמורעלסודיות

המידע,להשתמשבמידערקבהתאםלאמורבהסכםוליישםאתאמצעיהאבטחה

הקבועיםבהסכם,כאמורבפסקתמשנה(ה);

עמוד 40

()4בעלהמאגרינקוטאמצעיבקרהופיקוחכדילוודאאתעמידתושלהגורם

החיצוניבהוראותההסכםובהוראותתקנותאלהבהיקףהנדרשבשיםלב

לסיכוניםבתקנהמשנה(.)1

.13.12 הביקורת ממליצה כי יש לאמץ כבר עתה את התקנות הרשומות מעלה

ולהגדיר בפני החברה החיצונית, "מטרופולינט", את חובותיהם

בתחום אבטחת המידע של המאגרים אותם מספקים לעירייה

ומתחזקים ולנקוט באמצעי בקרה ופיקוח על מנת לוודא כי החברה

מאבטחת את המידע כנדרש ובהתאם לסיכונים הרלוונטיים.

עמוד 41

להלן סיכום הממצאים וההמלצות

רקע כללי

בעיריית קריית ביאליק קיימים כ-11 אתרים המבוזרים במשרדי העירייה, בכל

משרד קיים לפחות מחשב נייח אחד. כל המחשבים מחוברים למערכת

הממוחשבת העירונית (המערכות נרכשות מספק חיצוני ולא מפותחות

בעירייה) המנוהלת ע"י מחלקת המחשוב ומערכות המידע שנמצאת באגף

הכספים אותו מנהל גזבר העירייה.

בראשה של המחלקה עומד מנהל מערכות מידע שהינו העובד היחיד במחלקה.

מנהל מערכות המידע מועסק בהתאם לחוזה התקשרות עם חברת

"מטרופולינט" ומועסק במשרה מלאה דרך חברה זו.

מאגרי המידע הקיימים בעירייה כגון: גביה, הנהלת חשבונות, רכש, חינוך,

עיקולי בנקים, רווחה, שירות פסיכולוגי, שירותי וטרינריה, משאבי אנוש,

פקוח עירוני וכו' הינם תחת ניהולה של המחלקה. תפקידה העיקרי של

המחלקה הינו איתור וטיפול בתקלות וכן ניתוחן. הטיפול בשרתים ובמערכות

הליבה והחנייה כולל השירות הטכני ניתנים ע"י החברה החיצונית

"מטרופולינט".

.1 מבנה ארגוני ופעילות המחלקה (פרקים )1,1

.1.1 מחלקת המחשוב ומערכות המידע מתנהלת תחת אגף הכספים

בניהולו של גזבר העירייה.

.1.2 בעיריית קריית ביאליק מחלקת המחשוב ומערכות המידע כוללת

אדם אחד בלבד אשר אחראי על כל מערך המחשוב ואבטחתו

בעירייה, תפקידו מוגדר כמנהל מערכות המידע. מנהל מערכות

המידע הינו עובד Outsourcing אשר מועסק במשרה מלאה ע"י

חברת "מטרופולינט" המספקת את שירותי המחשוב לעירייה. מנהל

מערכות המידע מכהן 9 שנים בתפקידו.

.1.3 פעילות המחלקה כוללת את התחומים הבאים: ניתוח מערכות מידע,

תשתיות המחשוב ותחזוקתן, תקשורת וטלפוניה, תמיכה ואחזקת

מערכות המחשוב של מוסדות החינוך ואבטחת מידע.

.1.4 הביקורת מעירה כי מנהל מערכות המידע לא מונה באופן רשמי

לתפקיד מנהל אבטחת מידע בעירייה.

.1.5 בעקבות הערת הביקורת מסר גזבר העירייה כי הוא פועל להוצאת

המינוי כנדרש.

עמוד 42

.1.6 הביקורת ממליצה לעגן בהסכם עם חברת "מטרופולינט", קבלת

עובד בעת העברות מנהל מערכות המידע בגין חופשה, מחלה,

מילואים או כל סיבה אחרת, על מנת שיוכל לשמש ממלא מקום

מנהל מערכות המידע זאת מאחר ונמצא כי לא מונה עד כה ממלא

מקום.

.1.7 במקרה של היעדרות מנהל מערכות המידע ישנה חשיבות לקיומה

של רוטציה בעיקר בשל הצורך לתת מענה למחלקות העוסקות

בתחומי הליבה של העירייה בזמן אמת.

.1 רישום מאגרי מידע (פרק )3

.2.1 בתקנות הגנת הפרטיות (אגרות), התשס"א-,2111 ובנוהל "אבטחת

מידע" קיימת חובת תשלום בגין אגרת הרישום וכן מפורטים

ההליכים שינקטו במידה והאגרה לא תשלום במועדה או בכלל.

.2.2 הביקורת מעירה כי לא בוצע חידוש רישום ותשלום אגרה בגין

מאגרי המידע מזה 9 שנים, דבר העלול לגרור קנסות בגין אי תשלום

ואף שלילת רישום המאגר בפנקס הרשם.

.3 נהלים ומדיניות (פרק )4

.3.1 הביקורת מעירה כי קיימים בעירייה 2 נהלים: נוהל אבטחת מידע

בעירייה ונוהל גיבויים אולם הם טרם אושרו ע"י היועמ"ש והנהלת

העירייה והם מפרטים חלקית בלבד את הפעולות שנדרשות לביצוע

בנושאי אבטחת המידע.

.3.2 הביקורת ממליצה כי מנהל מערכות מידע יכין קובץ נהלים שיכלול

את הנושאים הבאים:

.3.2.1 נוהל מפורט בנוגע לכניסת עובדים למערכות המידע.

.3.2.2 נוהל מפורט לגבי מתן סיסמאות ו5או חסימתן נוהל מפורט

לביצוע ניתוח סיכונים.

.3.2.3 נוהל אזהרה בגין הפרת סודיות.

.3.2.4 נוהל מפורט של אבטחת מידע לגבי כניסת קבלנים ועובדי חוץ

למערכות המידע.

.3.2.5 נוהל התקנת תוכנות במחשבים ע"י המשתמשים.

.3.2.6 נוהל מפורט בנוגע לשימוש בחומרה אשר הובאה מחוץ לארגון.

.3.2.7 נוהל מפורט בנוגע להורדות מרשת האינטרנט.

עמוד 43

.3.2.2 נוהל מפורט בנוגע לשימוש בדואר אלקטרוני.

.3.2.9 נוהל קבלת עובד הכולל הצהרת סודיות, הצהרה בדבר קבלת

ציוד וכו', וכן נוהל זהה בנוגע לפרישה או עזיבת עובד. דבר

המשפיע באופן ישיר על האבטחה הפיזית והלוגית.

.3.3 יצוין כי בעקבות הערת הביקורת בתאריך 22 למאי 2114 הוצאו

הנחיות וריענון נהלי אבטחת מידע לעובדים הנוגעים באופן ישיר

לנושאים שהועלו בביקורת. למרות האמור לעיל, ההנחיות הנ"ל אינן

מכסות את כל נושא אבטחת המידע ואינן מהוות תחליף למדיניות

אבטחת מידע מפורטת יותר ונהלים נפרדים לכל נושא.

.3.4 הביקורת ממליצה לקיים הדרכה לעובדים חדשים בתחום אבטחת

מידע.

.4 קיום מיפוי של מערך המחשוב (פרק )2

.4.1 מנתונים שהתקבלו ממחלקת המחשוב עולה כי קיים מיפוי חלקי

בלבד של מערך המחשוב בעירייה לשנת 2113 ולא קיימים מיפויים

לשנים .2111-2112

.4.2 הביקורת ממליצה כי מנהל מערכות המידע יערוך מיפוי מלא של

מערך המחשוב וינהלו עפ"י המפורט בטיוטת תקנות הגנת הפרטיות

(אבטחת מידע), התשע"ב-,2112 תקנה מס' (5א). זאת על מנת להשיג

האפשרות לשליטה על כמויות המחשבים, שרתים, החומרות,

התוכנות ומיקומן ביחידות5מחלקות השונות בעירייה שכן המערכות

הללו הן בתחום אחריותו של מנהל מערכות המידע.

עמוד 44

.2 ביצוע סקר סיכונים בנושא מערכות מידע ממוחשבות (פרק )4

.5.1 מתפקידו של הממונה על אבטחת מידע (באישור ההנהלה) לדאוג

לעריכת סקר סיכונים בנושא אבטחת מידע ולבצע שינויים

משמעותיים בהתאם לממצאי הסקר.

.5.2 הביקורת מצאה כי בשנים 2111-2112 לא בוצע כל סקר סיכונים

בעיריית קריית ביאליק. לפיכך, לדעת הביקורת יש לערוך סקר

סיכונים בנושא אבטחת מידע ובכך להתעדכן בסיכונים

הפוטנציאליים ולמגן את מערכות המידע מפני אותם הסיכונים.

לשם עריכת הסקר מומלץ להיעזר בגורם חיצוני המוסמך לכך.

.4 פיקוח ובקרה על מחלקת המחשוב ומערכות מידע (פרק )4

6.1 הבקרות משמשות ככלי לפיקוח על התקנה ועדכון של רכיבי חומרה

ותוכנה על מנת להבטיח כי המערכת תפעל כמצופה ממנה ולא תגרם

לה פגיעה עקב עדכונים.

6.2 תקנה מס' ,16 בטיוטת תקנות הגנת הפרטיות (אבטחת מידע),

התשע"ב-,2112 מחייבת ביקורות תקופתיות ומפרטת את התהליך.

הביקורת ממליצה לאמץ התקנה המופיעה לעיל כבר עתה ולפעול

בהתאם למפורט בה.

6.3 הביקורת ממליצה לנהל מנגנון תיעוד אוטומטי שיאפשר בקרה

וביקורת הגישה למערכות המאגר (ראה נושא זה בהרחבה בפרק

.)12

.4 תקציב (פרק )8

.7.1 מהנתונים שהתקבלו מאגף הכספים עולה כי תקציב מחלקת

המחשוב ואבטחת המידע הינו נגזרת מתקציב הגזברות.

.7.2 הביקורת מעירה כי מניתוח נתוני התקציב מול הביצוע לאורך

השנים הנסקרות ניתן לראות שישנה חריגה מיעדי התקציב ואף

מגמת עלייה בחריגה לאורך אותן השנים.

.7.3 מגזברות העירייה נמסר כי החריגות נבעו מתקלות לא צפויות,

רכישת ציוד בלתי צפויה, תחזוקה מונעת.

.7.4 יש לציין כי רכישת מחשבים וציוד נלווה מתבצעת ע"י המחלקות

השונות מתקציביהן.

.7.5 מכרטסת הספקים עולה כי קיימת התקשרות עם חברת

"אוטומציה" לשם אספקת תוכנה וסך ההתקשרות לשנה עולה על

עמוד 45

142,111 ₪ + מע"מ. מבדיקתנו עולה כי לא נערך מכרז בגין

התקשרות זו.

.7.6 בתגובתו לדו"ח מסר גזבר העירייה כי מדובר בחוזה ישן שמתחדש

מעת לעת. חברת "אוטומציה" הוחלפה כספק תוכנה וכעת נותנת

השירות בתחום הינה חברת "מטרופולינט". כלל יחידות העירייה

מקבלות שירות מחברת "מטרופולינט" למעט מחלקת השכר כך

שההתקשרות של מחלקה זו עם חברת "אוטומציה" מתבצעת ללא

מכרז וכך גם התשלום.

.7.7 הביקורת ממליצה כי נושא אבטחת המידע בעיריית קריית ביאליק

יהיה מתוקצב באופן נפרד מתקציב מחלקת המחשוב , מאחר

ולצורך ביצוע עבודתו של הממונה על אבטחת המידע בצורה נאותה

ומספקת, עליו לקבל המשאבים הנדרשים לכך . תקציב נפרד יאפשר

לממונה על אבטחת מידע להקצות משאבים להגנת המערכת שלא

על חשבון החומרה.

.8 שרידות ומערך גיבוי מערכות המידע (פרק )9

.2.1 בעיריית קריית ביאליק ישנו נוהל בנוגע לגיבויים. הנוהל חל על

מנהל מערכות המידע ועל נציגו במידה שימונה ע"י מנכ"ל העירייה

או הגזבר.

.2.2 בעירייה ישנן 7 קלטות ברובוט גיבוי שבחדר המחשב. אחת לשבוע

נשמרת קלטת אחת במקום אחר מוגן מאש ופריצה בכספת

(שבמחלקת הגזברות הנמצאת בבניין אחר). מתבצעים גיבויים

שוטפים יומיים שבועיים וחודשיים. חלק מהמערכות נמצאות בענן

ביניהן מערכת הגביה, הנהלת חשבונות, רווחה ומוקד והן מגובות

ע"י נוהל מסודר ולפי הסכם בחברה חיצונית.

.2.3 הביקורת מעירה כי חדר המחשב בו נמצא רובוט הגיבוי אינו מוגן

מפני אש.

.2.4 הביקורת מציינת בנוסף, כי בעירייה קיימת תכנית מגירה לגיבוי

שטרם מומשה, שרידות והתאוששות לאחר אירוע .DRP לדברי

מנהל מערכות המידע עלות מימוש משוערת של התוכנית הינה 511

אלף ₪.

.2.5 הביקורת ממליצה למפות את המידע עפ"י מידת רגישותו ולגבותו

בהתאם לכך.

עמוד 46

.2.6 הביקורת ממליצה לקבוע נהלי התאוששות, בנוסף לתכנית המגירה

DRP שקיימת בארגון, בהתאם למצוין בטיוטת תקנות הגנת

הפרטיות (אבטחת מידע), התשע"ב-.2112 מומלץ לתרגל נהלים אלו

ולעדכנם מעת לעת. זאת כדי להבטיח את היכולת לשחזר מידע בכל

עת למצבו המקורי, ובכך להבטיח את שלמות המידע במקרה של

אובדן או הרס.

.9 אבטחת מידע לוגית (פרק )11

.9.1 אבטחה לוגית, פירושה-האמצעים והנהלים הדרושים להגנה על

מאגרי המידע ועל משאבי המידע, כגון: זיהוי המשתמשים

באמצעות סיסמאות, מעקב ותיעוד הפעולות שמבוצעות במערכת,

הטמעת מערכת תכנה וחומרה לגילוי ומניעת חדירת וירוס, בקרות

על שלמות המידע ואמינותו וטיפול באירועים חריגים ועוד.

.9.2 קיים בעירייה נוהל אבטחת מידע אשר טרם אושר סופית ע"י

הנהלת העירייה והיועמ"ש ובו סעיפים הנוגעים לנושא אבטחת

המידע הלוגית.כמו כן מובהרים המעשים שיחשבו לעבירות משמעת

(בתחום אבטחת המידע הלוגית) ביניהם מודגש נושא העברת

הסיסמא האישית לידי אדם אחר.

.9.3 הביקורת מציינת כי קיימת בארגון תכנת אנטי וירוס מגרסה ESET

4.2.76.0 32 NODE לכל המחשבים, כמו כן קיימות מערכות הגנה

"SPAM", "FIREWAL" מאובטחות ומעת לעת משודרגות

גרסאותיהן.

.9.4 הביקורת מעירה כי לא מתבצעות בדיקות יזומות של יומני

האירועים במטרה לאתר אירועים חריגים ברשת.

.9.5 הביקורת מצאה כי במחלקת משאבי אנוש (עפ"י דיווח העובדת)

כאשר עובדת נעדרת מעבודתה, משתמשת העובדת שמחליפה אותה

בסיסמה של העובדת שנעדרה ומעדכנת נתונים.

.9.6 הביקורת ממליצה לחדד את הנהלים וההנחיות בנוגע לשימוש

בסיסמאות האישיות ואיסור מוחלט על העברתן לידי אדם אחר.

.9.7 הביקורת מציינת כי ביום 225552114 הועבר ריענון לעובדי עיריית

קריית ביאליק ע"י מנהל מערכות המידע, המדגיש בפרק השני את

כל נושאים שצוינו לעיל, ביניהם איסור גלישה באינטרנט באתרים

שלא לצרכי עבודה, איסור הורדת תוכנות "חינם" מהאינטרנט או

עמוד 47

התקנת תוכנות5חומרות באופן עצמאי, כמוכן מודגש נושא

הסיסמאות ואיסור העברתן מאדם לאדם, מודגש גם עניין נעילת

תחנות העבודה ועוד נושאים נוספים שעלו בזמן הביקורת .

.9.2 במרבית עמדות העבודה מתבצעת נעילה אוטומטית לאחר זמן קצוב

של אי שימוש. הביקורת ממליצה שתבוצע הרחבה שתכלול את כלל

עמדות העבודה בעירייה, דבר שימנע חשיפת מידע העלולה לאפשר

פעילות בלתי מורשית באמצעות העמדות שלא ננעלות וכן לעגן זאת

בנוהל.

.9.9 הביקורת ממליצה להנהלת העירייה לבחון חסימה מלאה של

משתמשים מרחבי הארגון לאתרי אינטרנט שונים ולהורדות.

.9.11 הביקורת ממליצה לדאוג לעדכון תוכנת האנטי וירוס, מאחר וישנם

איומים חדשים בכל יום ווירוסים המופצים ע"י רשת האינטרנט

שהינה חלק בלתי נפרד מהארגון. נציין כי במהלך הביקורת בוצע

עדכון לתוכנה.

.9.11 יש לציין כי בטיוטת תקנות הגנת הפרטיות (אבטחת מידע),

התשע"ב-,2112 מפורטות מספר הפעולות שיש לנקוט בהן בנוסף

לפעולות הננקטות כיום בארגון על מנת לאבטח את מאגרי המידע

מבחינה לוגית. הביקורת ממליצה לאמץ כבר עתה את התקנות

ולעגן הנושאים בנהלים מתאימים.

.11 אבטחת מידע פיזית (פרק )11

.11.1 גישה פיזית למחשב (או לנתב) בדרך כלל נותנת למשתמש שליטה

מלאה על אותו מחשב. האבטחה הפיזית כוללת: מניעת גישה פיזית

למערכות המידע ע"י שימוש במנעולים, בקרות גישה, סורגים ועוד;

מניעת פגיעה לא מכוונת בציוד רגיש של העירייה, כגון שריפות,

הצפות וכדומה, העלולות לגרום לנזק בלתי הפיך למערכות הארגון

וכתוצאה מכך איבוד מידע יקר לעירייה; הגנה על המערכות

הניידות של העירייה כגון מחשבים ניידים, מדיה ניידת מפני גניבות

ושימוש לא מורשה; וכן ההגנה על ציוד וניירת המכילים מידע רגיש.

.11.2 קיים בעירייה נוהל אבטחת מידע אשר טרם אושר סופית ע"י

הנהלת העירייה והיועמ"ש. בין היתר גם נושא אבטחת המידע

הפיזית מופיע בנוהל.

עמוד 48

.11.3 השרתים של העירייה נמצאים בחדר השרתים הממוקם בקומת

הכניסה בבניין הראשי של העירייה. החדר מסורג ונעול בדלת

פלדלת.

.11.4 בעיריית קריית ביאליק קיים אחסון גיבויים בכספת נעולה חסינת

אש.

.11.5 הביקורת מעירה כי ארונות התקשורת אינם סגורים.

.11.6 הביקורת מעירה כי יש מערכת אזעקה במבני העירייה אך לא כל

החלונות מסורגים. רק חדר השרתים וחדר משאבי אנוש בקומת

הכניסה נמצאו מסורגים.

.11.7 הביקורת מעירה כי חדר המחשב אינו מוגן מפני אש, דבר שמהווה

בעיה מהותית במידה ותפרוץ שריפה בחדר המחשב.

.11.2 הביקורת מעירה כי בחדר משאבי אנוש בו ביקרנו מדגמית לא

נמצאו מערכות לגילוי וכיבוי אש, וכן נמצאה דלת הזזה מעץ

הניתנת בקלות לפריצה, וניצתת במהירות במקרה בו פורצת שריפה.

.11.9 הביקורת מעירה כי במסגרת ביקור במחלקת הגבייה נמצא כי

הקלסרים המכילים מידע רגיש לגבי אזרחים (בקשות להנחות,

חובות וכיו') נמצאים במדפים חשופים ובארונות לא נעולים. עניין

זה חזר גם במחלקת משאבי אנוש שם נמצא כי התיקים האישיים

של העובדים נמצאים בארונות לא נעולים או מדפים חשופים.

.11.11 הביקורת מעירה כי עובדת במחלקת משאבי אנוש מחזיקה את

הסיסמאות לכניסה למחשב ולתוכנות רגישות מתחת למקלדת

שלה. יש לציין כי בעת השיחה עמה העובדת הבינה את חומרת

העניין והוציאה את הפתק ממקומו.

.11.11 הביקורת מעירה כי מתשאול עובדים במחלקות הנ"ל ומצפייה בהם

נמצא כי העובדים מותירים על שולחנם מידע רגיש בעת עזיבת

העמדה במהלך שעות העבודה.

.11.12 הביקורת מעירה כי בעת עזיבת העמדה אין העובדות סוגרות את

המחשב או התוכנות – באם אזרח יושב וממתין להן הוא יכול

לצפות בנתונים המופיעים על המסך.

.11.13 הביקורת מצאה כי אין הגבלה בשימוש בהתקנים חיצוניים כגון:

USB,CD , ישנה חשיבות בהגבלת השימוש מאחר וקיימת סכנת

חשיפת הרשת לווירוסים שונים שהשלכותיהם בין היתר הן פגיעות

עמוד 49

שונות בשלמות וזמינות המידע, כמו כן ישנה סכנה מפני העתקה

לא מורשית של מידע מסווג.

.11.14 הביקורת ממליצה למפות את כל משרדי העירייה ולבצע תכנית

למיגון מפני אש, וכן להתקין דלתות פלדלת בכל מקום בו אינן

בנמצא.

.11.15 הביקורת ממליצה להתקין סורגים בכל החלונות הקיימים במבני

העירייה כהגנה נוספת לאזעקה מפני פריצות. זאת מאחר ומדובר

במבנים בעלי 2 קומות לכל היותר דבר שמאפשר פריצה לתוך

המבנים ולחדרים אסטרטגיים במבנים בקלות.

.11.16 הביקורת מציינת כי ריענון ותקציר נהלי אבטחת מידע, מדגיש את

העלאת המודעות של המשתמשים בתחום אבטחת מידע ועמידה

בנהלים. בין היתר ריענון זה כלל את הדגשת הנושאים שעלו בפרק

זה, כגון: איסור השארת מסמכים על שולחן העבודה או

המדפסת5מכונת צילום, חובת השארת מסמכים רגישים נעולים

במגירות5ארונות, איסור רשימת סיסמאות בסמוך למקלדת או

במקום חשוף, הקפדה על נעילת עמדת העבודה כשהמחשב אינו

בשימוש וכו'.

.11 מערך ההרשאות (פרק )11

.11.1 בעיריית קריית ביאליק כדי לקבל הרשאה מועברים מיילים למנהל

מערכות המידע וכל הרשאה או פתיחת הרשאה חדשה מלווה

באישור הגזבר ומתויקת בקלסר אבטחת מידע.

.11.2 הביקורת מעירה כי נושא ניהול המשתמשים (פתיחה, גריעה,

הקצאה ושינוי הרשאות) מטופל לפי נוהג עבודה בלתי פורמאלי

ואינו מעוגן באופן מפורט וברור דיו בנהלי העירייה. יישום הרשאות

גישה מתבצע באופן סלקטיבי לפי צרכי העובד והגדרות של מנהל

המחלקה שלו. בנוסף, הודעות על עובד שעזב או הועבר לתפקיד

אחר ובקשות לביטולי ההרשאות לא מועברות אל מנהל מערכות

המידע בזמן אמת, אלא רק לאחר שהעובד כבר עזב או מכהן

בתפקיד אחר זמן מה.

.11.3 הביקורת מעירה כי אין ברשות מנהל מערכות המידע את רשימת

ההרשאות כמתחייב בתקנות הגנת הפרטיות כאמור לעיל.

עמוד 50

.11.4 הביקורת ממליצה לעגן במסגרת נוהל בנושא ההרשאות נושאים

כגון: סדר הפעולות שיש לבצע בתהליך הרשאה, קיום פרטים

מספקים אודות תפקידי המשתמשים, גורם מאשר, גורם מבצע

וזאת בהתאם לפירוט המופיע בטיוטה לתקנות הגנת פרטיות

(אבטחת מידע) התשע"ב -.2112

.11.5 הביקורת מציינת כי לספקים החיצוניים, הנותנים שירות למאגרי

המידע, ישנן הרשאות מלאות לכל הקבצים והמידע בעירייה, עד כה

הם לא היו חתומים על טפסי התחייבות על סודיות, אך במהלך

הביקורת הוחתמו הספקים של חברת "מטרופולינט" על טפסים

אלו.

.11.6 בטיוטת תקנות הגנת הפרטיות ,2112 תקנה מס' 11 מפורט כי מנהל

מערכות המידע ינהל מנגנון תיעוד אוטומטי לשם בקרה וביקורת על

הגישה למערכות המידע הביקורת ממליצה לאמץ את התקנה כבר

עתה ולפעול בהתאם לכתוב בה.

.11.7 הביקורת ממליצה לבצע בחינה תקופתית וריענון של הרשאות

משתמשים ברשת הפנימית. דבר שנועד לוודא כי מערך ההרשאות

הינו מתאים לנדרש בפועל. כדאי לכלול בסקירה זו את בדיקת אופן

היישום של הפרדת תפקידים נאותה בארגון, באמצעות הרשאות

גישה למערכות מחשב.

.11.2 הביקורת ממליצה להחתים את אנשי המחשוב (טכנאים בעיקר)

שהינם ספקים חיצוניים על טפסי התחייבות על שמירת סודיות

(זאת בהתאם לטיוטת תקנות הגנת הפרטיות(אבטחת מידע)

התשע"ב-2112 תקנה מס' 15 (ו)).

.11חברות חיצוניות (פרק )13

.12.1 רוב המערכות המוניציפאליות (מערכות הגביה, גזברות, רווחה,

חינוך, שכר, הנדסה, חנייה ופיקוח, ניהול נתוני אוכלוסין, פורטל

שירותים לתושב, ארכיב ממוחשב, BI , גישה לאינטרנט ולמייל)

מסופקות, מוטמעות בעירייה ומנוהלות על-ידי ספקית שירותי

מחשוב חיצונית "חברת מטרופולינט בע"מ" שבנוסף מספקת

שירותים טכניים למערך המחשוב , ומתחזקת את ה-.FIREWALL

.12.2 חברה חיצונית נוספת המספקת שרותי מחשוב לעירייה הינה חברת

"אוטומציה".

עמוד 51

.12.3 יש לוודא קיום אבטחת מידע כאשר האחריות על עיבוד המידע

נמסרת לגורם חיצוני. יש להתייחס לסיכונים, לבקרות האבטחה

ולנהלי האבטחה עבור הסביבות השונות.

.12.4 הביקורת מעירה כי ישנו חוזה בין חברת "אוטומציה" לעירייה בגין

העסקת עובד של ה"אוטומציה" במחלקת משאבי אנוש, אולם

העירייה משלמת סכום כספי נוסף מעבר לתשלום בגין העסקת

העובד. תגובת גזבר העירייה בנוגע לנושא הנ"ל הייתה כי ישנו חוזה

ישן עם חברת "אוטומציה" בגין אספקת שירותי מחשוב. החוזה

מתחדש מעת לעת אך ע"י ספחים בלבד ולא ע"י מכרז וחידוש חוזה,

זאת מאחר ורק מחלקת השכר מקבלת את שירותי "החברה

לאוטומציה" יתר המחלקות מתקשרות החוזה נפרד עם חברת

"מטרופולינט". עפ"י נהלי מחלקת התקציבים והחשבות כל

התקשרות עם חברה חיצונית שהיקפה בין 142,111 ₪ ועד 347,111

₪ מחייבת מכרז זוטא (כלומר קבלת הצעות מחיר מ-4 ספקים)

כשבסופו של דבר הזוכה יחתום על הסכם מול עיריית קריית

ביאליק. היקף ההתקשרות של "חברת אוטומציה" הינו בין

259,111 ₪ ועד 349,999 ₪ אולם לא נחתם עימה הסכם עדכני

למעט חתימה על ספחים.

.12.5 העירייה חתמה על חוזה מפורט עם חברת "מטרופולינט" שנכנס

לתוקף בתאריך .12512519 בסעיף 3.4 לחוזה מצוין כי ימונה מטעם

העירייה עובד עירייה שינהל את ההתקשרות עם החברה הן בנוגע

לאי הסכמות ו5או הבנות לגבי ההסכם עצמו והן בנוגע לטיב

השירות.

.12.6 הביקורת מעירה כי לא מונה עובד עירייה כמתחייב עפ"י סעיף 3.4

לחוזה עם חברת "מטרופולינט".

.12.7 מנהל מערכות המידע הינו עובד של חברת "מטרופולינט" ואיננו

עובד עירייה. נושא העסקתו מעוגן באותו החוזה שנחתם ביום

1251252119 ולא נחתם עמו חוזה העסקה נפרד.

.12.2 הביקורת מציינת כי מנהל מערכות המידע הינו העובד היחיד

במחלקה ואין לו כל מחליף. במידה והעובד נעדר מעבודתו הנושאים

נשארים לא מטופלים עד חזרתו.

עמוד 52

.12.9 הביקורת מעירה כי לא הוחתמו עובדי חברת "מטרופולינט" לא

הוחתמו על התחייבויות לשמירת סודיות כמפורט בסעיף 1.71

להסכם שנחתם עימם.

.12.11 הביקורת מציינת כי במהלך הביקורת עובדי חברת "מטרופולינט"

הוחתמו על התחייבויות לשמירת סודיות.

.12.11 העירייה מחייבת את החברה, בסעיף 21 לחוזה, לעמוד בדרישות

אבטחת המידע במערכות הנ"ל.

.12.12 הביקורת מציינת כי לא נמצא כל סעיף המאפשר לעירייה לבצע

ביקורת על פעילות ספקית השירות בתחום אבטחת המידע ולבדוק

האם באמת עומדת החברה בדרישות אבטחת המידע.

לפיכך, אין לעירייה אינפורמציה כלשהי על רמת הבקרות ואבטחת

מידע במערכות המידע המתוחזקות על ידי חברת "מטרופולינט".

.12.13 הביקורת ממליצה לבצע בחינה של רמת אבטחת המידע והבקרה

במערכות המנוהלות על יד חברת "מטרופולינט". בנוסף, מומלץ

במועד חידוש החוזה לכלול בו סעיף המאפשר לעירייה לקיים

ביקורת מערכות מידע ואבטחת מידע בכל הנוגע לתחומים

הרלוונטיים למערכות התוכנה שבשימוש העירייה.

.12.14 יש לציין כי בטיוטת תקנות הגנת הפרטיות(אבטחת מידע) התשע"ב-

,2112 תקנה מס' (15א)()2 ו-()4 מפורט נושא ההתקשרות עם חברות

חיצוניות שלהן גישה למאגרי המידע וכן נושא הבקרה על אותן

חברות ועל עבודתן. הביקורת ממליצה כי יש לאמץ כבר עתה את

התקנות ולהגדיר בפני החברה החיצונית, "מטרופולינט", את

חובותיה בתחום אבטחת המידע של המאגרים אותם מספקת

לעירייה ומתחזקת ולנקוט באמצעי בקרה ופיקוח על מנת לוודא כי

החברה מאבטחת את המידע כנדרש ובהתאם לסיכונים

הרלוונטיים.