ישיבת ביקורת מס' 20 - בנושא הגנת הפרטיות, אבטחת מידע וסייבר בחברת אריאל · דוח ביקורת מס' 20 - אבטחת מידע וסייבר בחברת אריאל

עיר: ירושלים
ועדה: ביקורת
קטגוריה: ביקורת
תאריך: 25/07/2014
מקור: הקובץ המקורי באתר ירושלים

פתח את קובץ ה-PDF באתר המקור

מסמכים נוספים באותה ישיבה: דוח מישיבה מספר 20 של הוועדה לענייני ביקורת - אבטחת מידע וסייבר בחברת אריאל נגיש

כ"ט בחשון תשפ"ו

20 בנובמבר 2025

סימוכין: 2025-103-956

דו"ח מישיבה מס' 20 של ועדת ביקורת

שהתקיימה ביום שני, י"ח בתמוז תשפ"ה ()14.7.2025

השתתפו: מר אלדד רבינוביץ, חבר מועצה ויו"ר ועדת ביקורת

נכחו: גב' עופרה ברכה, מבקרת העירייה

מר ינון נוימן, מנהל אגף לביקורת ובקרת יועצים

עו"ד דני ליבמן, משנה ליועמ"ש לנושאים מיוחדים

גב' אורטל אריה, מנהלת מחלקה בכירה לפיתוח תכנון ובקרה

עו"ד רונן יאס, עוזר ראשי ליועמ"ש

מר אורי מנחם, מנכ"ל חברת אריאל

מר אילן גפני, יועץ מערכות מידע של חברת אריאל

מר מודי בן אבו, מנהל מחשוב בחברת אריאל

גב' דבורה מלמד, תקציבנית בחברת אריאל

רו"ח שלומי בני, יועץ הביקורת

מר צבי עבו, מזכיר ועדת ביקורת

על סדר היום:

דוח מבקרת העירייה בנושא: אבטחת מידע וסייבר בחברת אריאל

פתיחת הדיון:

מר אלדד רבינוביץ, יו"ר הוועדה: הסייבר והגנת המידע אלו תחומים מתפתחים ומשמעותיים.

בשנים האחרונות קיימת הכרה כי זהו אחד האיומים המשמעותיים ברמה הלאומית, ובתקופה של

המלחמות עולמיות כנגד מדינות וקבוצות רבות עוצמה יש לו חשיבות גוברת. אני מברך על הדוח

הזה ומקווה שהתוצר שלו יהיה מוגנות גוברת של כולנו.

הגב' עופרה ברכה, מבקרת העירייה: אנו בביקורת זהינו שהזירה הבאה שגוף כמו עיריית ירושלים

צריך להתמודד איתה זה תחום הסייבר. בשנת 2024 ערכנו בכל התאגידים עירוניים ביקורת בנושא

אבטחת מידע, הגנת הפרטיות וסייבר, לפי הצורך במתכונת שונה. בחברת באריאל, נראה שזה דבר

טוב שנעשה. המצב לפני הדוח היה חשוף אך חברת אריאל במהלך הדיונים לקחה את הדוח בשתי

ידיים. החברה עשתה תהליך תיקון ליקויים רציני.

דיון הוועדה:

פרק :1

המלצת המבקרת:

• למפות ולרשום את מאגרי המידע הנדרשים רישום בהתאם לחוק ותקנותיו, וכן לקבוע את רמת

אבטחת המידע הנדרשת מכל מאגר מידע בהתאם לתקנות.

• להכין מסמך הגדרות מאגרי מידע שבו יפורטו כל הנושאים הנדרשים בתקנות, כגון: תיאור

כללי של פעולות האיסוף והשימוש במידע, מטרות השימוש במאגר, רמת הסיכון של כל מאגר.

• על החברה למנות באופן רשמי (באמצעות כתב מינוי) ממונה אבטחת מידע אחד (במידת הצורך,

הממונה יקבל ייעוץ והכוונה מחברה אשר מתמחה בתחום אבטחת מידע והוראות החוק) אשר

יפעל לכל הפחות ליישום משימות אלה בהתאם להוראות התקנות:

o יהיה אחראי לכתיבת נוהלי אבטחת מידע ויביאם לאישור מנהלי המאגרים.

o יכין תוכנית לבקרה שוטפת על עמידה בדרישות התקנות, יבצע את התוכנית ויעדכן את

בעל המאגר ומנהלו לגבי הממצאים שנמצאו.

• לבחון ולבדוק את תוכנית העבודה של היועץ החיצוני בתחום אבטחת המידע, את המשימות

שניתנו לו ואת רמתו המקצועית בתחום אבטחת מידע וסייבר, ובהתאם לכך לשקול את המשך

העסקתו.

• לגבש מדיניות או נוהל אבטחת מידע המפרטים את הנחיות ואמצעי אבטחת המידע בחברה

ובמאגרי המידע בפרט, אשר יכללו לכל הפחות את הדרישות בתקנות וכן נושאים נוספים כגון:

הוראות בעניין האבטחת הפיזית והסביבתית, הרשאות גישה למאגרי המידע ומערכות

המאגרים, מיפוי וסיווג נכסי המידע של הארגון ועוד.

• להכין מסמכים של מבנה מאגרי המידע וכן רשימת מצאי של מערכות המאגרים בהתאם

לדרישות בתקנות כגון: תיאור ופירוט התשתיות ומערכות החומרה, סוגי רכיבי תקשורת,

מערכות התוכנה המשמשות להפעלת מאגרי המידע, תרשים הרשת הארגונית וכו'.

• לקיים הדרכות לעובדי ומשתמשי המערכות בחברה על אודות חובותיהם לפי החוק ונוהל

אבטחת מידע (שיגובש), לקיים הדרכות מודעות לעובדים מועסקים וחדשים בנושא אבטחת

מידע וסייבר לפחות אחת לשנה.

• להגדיר משתמשי-על במערכות בהתאם לעקרון "הצורך לדעת" ועקרון "הפרדת התפקידים".

כך לדוגמה, ניתן להגדיר את מנהל המחשוב כמשתמש-על במערכות, ובתנאי שאינו לוקח חלק

בתהליך עסקי בחברה.

• להסיר הרשאות משתמש של עובד שעזב סמוך ככל הניתן למועד עזיבתו.

• להגדיר מדיניות סיסמאות מוקשחת ברשת, ובמערכות Infoacash וחשבשבת.

• לקיים תהליך סקירה של משתמשים והרשאותיהם ברשת הארגון ובמערכות החברה אחת

לתקופה, כפי שתקבע החברה. בתהליך הסקירה יש לאשרר מחדש את קיום המשתמש ואת

הצורך בהרשאות שניתנו לו.

• לגבש נוהל בדיקה שגרתי של נתוני התיעוד של מנגנון הבקרה.

• לגבש נוהל התאוששות מאסון ונוהל התמודדות עם אירועי סייבר, הכולל הנחיות לעובדי

החברה ולחברה איך להתנהל בקרות אירוע סייבר.

• לפתח תהליך לקיום המשכיות עסקית אשר יכלול בין השאר מיפוי הסיכונים שלהם חשופה

החברה, ניסוח אסטרטגיית המשכיות עסקית (Plan Continuity Business - ,)BCP הגדרת

התהליכים והמערכות החיוניות לארגון בעת חירום, הדרכות ותרגול התוכנית ועוד.

• להגדיר שמירת לוג פעולות במערכות אבטחת המידע ובמערכות המידע למשך 24 חודשים.

• לסקור את הלוגים ממערכות אבטחת המידע וממערכות המידע. מומלץ לבחון מערכת SIEM

לניטור אירועי אבטחת מידע או לחלופין לבחון קבלת השירות בתצורת "שירות מנוהל".

• לבצע אחת לרבעון סריקת גישה בעזרת כלי אוטומטי כדי לאמוד את רמת החריגות הקיימות

בשרתי הספריות ולבצע טיפול מונע.

• ליידע את בעלי ההרשאות במאגר בדבר קיום מנגנון הבקרה.

• לקיים אחת לשנה לפחות דיון באירועי אבטחה ולתעד את הדיון בפרוטוקול.

• ליישם מנגנון מניעת חיבור התקנים ניידים לתחנות הקצה של החברה, או לחלופין להפעלת

מערכת הלבנה מרכזית אשר תבדוק התקנים ניידים לפני שהם מוכנסים לרשת הארגונית, ובכך

לצמצם את הסיכון להוצאת מידע רגיש או פרטי מהחברה.

• להתקין כדרך קבע את עדכוני האבטחה המופצים על ידי חברת מיקרוסופט. לשדרג מערכות

הפעלה שאינן נתמכות על ידה.

• לחתום על חוזה עם חברת חשבשבת, שבו יעוגנו הנושאים המחייבים בהתאם לדרישות החוק

והתקנות.

• לבצע ביקורת תקופתית, אחת ל-24 חודשים לפחות ובהתאם לדרישות התקנות.

• לגבש נוהל גיבויים ושחזורים עבור תהליך הגיבויים והשחזורים בחברה בהתאם להוראות

החוק, לתקנות ולצרכים התפעוליים של החברה.

• לשמור תיעוד מתאים של שחזורים שמבצעת החברה.

• למפות את מקומות אחסון החומר הרגיש ואת מסדי הנתונים שבהם מוחזק המידע.

• לכתוב נוהל להוצאת מידע ממערכות החברה.

• להפעיל בקרות להתמודדות עם דלף מידע כגון: הדרכות להגברת מודעות עובדים, הפעלת

מנגנון לחסימת אמצעים נתיקים, מערכת שימוש בדואר אלקטרוני מאובטח להעברת מידע

רגיש, ניטור ספריות רגישות המחזיקות בחומרים רגישים לחברה וכיוצא באלו.

• לבחון שימוש במנגנון Software - Prevention Loss Data DLP (מערכות למניעה של דלף

מידע) במערכות הדואר האלקטרוני והאינטרנט.

תגובת המבוקר:

נעשו תיקונים של 99 אחוז מההמלצות שניתנו. בכל הנוגע למאגרי מידע עשינו כל הנדרש בחוק ואף

מעבר.

המלצת ועדת ביקורת:

לקבל את כל המלצות המבקרת.

בנוסף, עד לסוף השנה הקלנדרית חברת אריאל תשלח עדכון למבקרת וליו"ר ועדת הביקורת בנוגע

להשלמת יישום ההמלצות.

פרק :2

המלצת המבקרת:

• בדוח הביקורת הושמט הפרק השני על המלצותיו מטעמים של אבטחת מידע, כך גם

בפרוטוקול זה.

תגובת המבוקר:

אנחנו כעת בישורת האחרונה לקראת הוצאת הזמנת עבודה לאנשי מקצוע שיטפלו בנושא ויתנו

ליווי שוטף.

המלצת ועדת ביקורת:

לקבל את המלצות המבקרת.

בנוסף, בתוך 30 ימים חברת אריאל תשלח עדכון למבקרת וליו"ר ועדת הביקורת בנוגע לתחילת

העבודה עם אנשי המקצוע.

סיכום:

מר אלדד רבינוביץ, יו"ר הוועדה: מברך שוב את המבקרת על הדוח החשוב ומודה לחברת אריאל

על העבודה המקצועית ועל השיתוף הפעולה, ובעיקר שאימצו את הדוח בשתי ידיים ומתקנים את

הנדרש. התיקון משמעותי גם לחברה, גם לירושלים וגם לציבור שמכניס פרטים אישיים באתר

החברה.

אני מקבל את המלצות הדוח בהתאם למפורט לעיל, ממליץ למועצה לאמץ את מסקנות הוועדה.

טבלת הממצאים וההמלצות המצורפת, מהווה חלק בלתי נפרד מפרוטוקול הדיון.

הישיבה נעולה.

בברכה,

אלדד רבינוביץ

חבר מועצת העיר ירושלים

יו"ר ועדת ביקורת

פרק שני

הגנת הפרטיות, אבטחת מידע

וסייבר בחברת אריאל

תוכן העניינים

בדוח זה הושמטו קטעים או צוינו פרטים באופן כללי ולא פרטני וזאת מטעמים

של אבטחת מידע.

יצוין כי חשיפת הנתונים שהושמטו עלולה להביא לפגיעה באינטרס הציבורי

וכי אין בהשמטתם כדי לשנות את ממצאי הדוח או את המלצות הביקורת.

תקציר // 17

מבוא // 21

פירוט הממצאים

פרק ראשון:

בדיקת ציות לחוק הגנת הפרטיות, ותקנותיו // 27

פרק שני:

בדיקות טכנולוגיות של אבטחת מידע וסייבר ומבדקי חדירה // הושמט

סיכום // 48

הגנת הפרטיות, אבטחת מידע וסייבר בחברת אריאל || 17

תקציר

רקע

אבטחת מידע והגנת סייבר נועדו להגן על הארגון מפני גישות לא מורשות, חשיפת מידע, שיבוש פעילות, העתקה או השמדה של המידע ומערכות המידע - על ידי גורמים עוינים או בשוגג. אבטחת מידע והגנת סייבר נאותים פירושם הגנה על כלל השכבות, הכלים, הטכנולוגיות, רכיבי האחסון, קווי התקשורת, תחנות הקצה ועוד.

שלושת היעדים העיקריים של אבטחת מידע והגנת סייבר הם אלה:

שלמות - הגנה מפני שינוי זדוני של המידע או השמדתו, לרבות הבטחת אימות זהויות בעלי המידע.

זמינות - שמירה על זמינות ויעילות הגישה אל המידע בכל זמן נתון.

סודיות - הגבלת גישה או חשיפה, ובכלל זה הגנה על פרטיות וזכויות קנייניות. זכות האדם לפרטיות היא אחת הזכויות החשובות בישראל ומעוגנת בחוק הגנת הפרטיות החל משנת 1981 (להלן: החוק)

לרבות תקנותיו משנת 2017 (להלן: התקנות).

איסוף מידע פרטי הפך להיות קל יותר מבעבר עקב התקשרות של פרטים/ארגונים עם גופים רבים וקבלת שירותים מספקים שונים. סעיף 7 לחוק מגדיר "מאגר מידע" כאוסף נתוני מידע, המוחזק באמצעי מגנטי או אופטי והמיועד לעיבוד ממוחשב, למעט אוסף לשימוש אישי ולא עסקי או אוסף הכולל רק שם, מען ודרכי התקשרות (מידע שכשלעצמו אינו יוצר פגיעה בפרטיות).

חובת רישום מאגר מידע מעוגנת בסעיף 8 לחוק. מטרת הרישום היא להבטיח את ההגנה על הפרטיות במאגר, ולתת כלים, הן בידי רשם מאגרי המידע והן בידי הציבור שמידע על אודותיו מנוהל במאגרי המידע, לאכוף את הזכויות והחובות המוטלות בחוק הגנת הפרטיות על בעלי מאגרים.

הביקורת בדקה את עמידת החברה בהוראות חוק הגנת הפרטיות, התשמ"א-,1981 ותקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-,2017 המדיניות והנהלים בנושא אבטחת המידע, וערכה כמה בדיקות: מבדק טכנולוגי לבחינת רמת האבטחה הקיימת בחברה, בדיקה פיזית לאבטחת המידע ומבדקי חדירה לרשת החברה.

הביקורת העלתה ליקויים מהותיים לגבי יישום הוראות חוק הגנת הפרטיות ותקנותיו; מדיניות ונוהלי אבטחת המידע, הקשחות עמדות קצה ושרתים, ניהול מערכת האנטי-וירוס, ניהול מערכת חומת האש, ניהול מערכת ה-AD (directory active - מערכת לניהול משתמשים) וליקויים בעלי חשיבות גבוהה במבדקי החדירה שביצעה הביקורת.

18 || עיריית ירושלים – מבקרת העירייה – דוח שנתי 2024

עיקרי הממצאים

1. בחברה קיימים לפחות שלושה מאגרי מידע החייבים רישום לפי חוק הגנת הפרטיות, ברשות

להגנת הפרטיות, אולם אף לא אחד מהמאגרים רשום ברשות.

2. לחברה אין כלל מסמכים של הגדרות מאגרי מידע ושל מבנה מאגרי המידע, החברה לא מינתה

באופן רשמי ממונה אבטחת מידע, לא קיימת מדיניות אבטחת מידע ונוהלי אבטחת מידע כתובים, וכן לא קיימת רשימת מצאי של מערכות המאגרים.

3. היועץ החיצוני של החברה אינו ממלא את תפקידו באופן מקצועי בתחום אבטחת המידע.

4. משתמשי המערכות אשר משמשים חלק מהתהליך העסקי, מוגדרים כמשתמשי-על במערכות.

הגדרה זו מגבירה את הסיכון לכך שמשתמש ינצל את ההרשאה הגבוהה (הרשאת-על) לביצוע פעולות לא מורשות על ידו, ולחברה יהיה קושי רב, עד כדי חוסר אפשרות, לפקח ולגלות פעולות אלו.

5. קיימים ליקויים במדיניות הסיסמאות של הרשת וכלל לא קיימת מדיניות סיסמאות במערכת א'.

6. בעלי מאגרי המידע לא קבעו נוהל בדיקה שגרתי של נתוני התיעוד של מנגנון הבקרה; לוגים

וניטורי אירועי אבטחת מידע נאספים רק במערכת האנטי-וירוס ולא ביתר מערכות אבטחת המידע; לוג הפעולות במערכות אבטחת המידע ובמערכות המידע אינו נשמר למשך 24 חודשים.

7. לחברה אין נוהל התאוששות מאסון ואין תוכנית להמשכיות עסקית.

8. בחברה לא קיים מנגנון למניעת חיבור התקנים ניידים, או מערכת הלבנה אשר תבדוק התקנים

ניידים לפני שהם מוכנסים לרשת הארגונית.

9. ישנן מערכות שאינן מעודכנות בעדכוני אבטחת מידע קריטיים.

10. החברה לא ביצעה ביקורת תקופתית לוודא שהיא עומדת בהוראות החוק והתקנות.

11. החברה מעולם לא ביצעה סקר סיכוני אבטחת מידע ומבדקי חדירה.

12. עמדות הקצה, השרתים וה-GPO (Policy )Group אינם מוקשחים מספיק; שיטות העבודה

הנהוגות אינן מקובלות בתחום אבטחת מידע וסייבר, נמצא מספר רב של הגדרות שאינן תקינות וחלק אף בברירת מחדל.

13. נמצא מספר רב של ליקויים בעלי חשיבות גבוהה בניהול ובתחזוקת מערכת חומת האש.

המערכת אינה מנוהלת ומתוחזקת בהתאם לסטנדרטים מקובלים.

14. נמצאו ליקויים רבים בעלי חשיבות גבוהה בניהול ובתחזוקת מערכת AD (מערכת לניהול

משתמשים), המערכת אינה מנוהלת ומתוחזקת בהתאם לסטנדרטים מקובלים.

15. נמצאו ליקויים רבים בעלי חשיבות גבוהה במבדקי החדירה הפנימיים והחיצוניים שביצעה

הביקורת.

הגנת הפרטיות, אבטחת מידע וסייבר בחברת אריאל || 19

המלצות מרכזיות

1. למפות את דרישות הוראות החוק והתקנות וליישמן במלואן. בין השאר - מיפוי מאגרי המידע

המחויבים ברישום בהתאם לחוק, בניית מסמכי הגדרות מאגרי מידע, מינוי רשמי של ממונה אבטחת מידע, גיבוש מדיניות ונוהלי אבטחת מידע וכו'.

2. לבחון ולבדוק את תוכנית העבודה של היועץ החיצוני בתחום אבטחת המידע והסייבר, את

המשימות שניתנו לו בתחום זה ואת רמתו המקצועית, ובהתאם לכך לשקול את המשך העסקתו.

3. להגדיר משתמשי-על במערכות המידע בהתאם לעקרון "הצורך לדעת" ועקרון "הפרדת

התפקידים".

4. להגדיר מדיניות סיסמאות נאותה ברשת החברה ובמערכת א'.

5. לקבוע נוהל בדיקה שגרתי של נתוני התיעוד של מנגנון הבקרה, להגדיר איסוף לוגים וניטורי

אירועי אבטחת מידע מכל מערכות אבטחת המידע בחברה ולשמור לוג פעולות במערכות המידע ובמערכות אבטחת המידע למשך 24 חודשים לפחות.

6. לגבש נוהל התאוששות מאסון ולבנות תוכנית להמשכיות עסקית.

7. ליישם מנגנון למניעת חיבור התקנים ניידים לתחנות הקצה של החברה, או לחלופין להפעלת

מערכת הלבנה מרכזית.

8. להתקין בדרך קבע את עדכוני האבטחה ולשדרג מערכות שנדרש לשדרגן.

9. לבצע ביקורת תקופתית כדי לוודא שהחברה עומדת בהוראות החוק והתקנות.

10. לבצע בהקדם סקר סיכוני אבטחת מידע ומבדקי חדירה.

11. לטפל בדחיפות בהקשחת עמדות הקצה, השרתים וה-GPO (Policy )Group; בממצאים שעלו

במערכת חומת האש ובמערכת ה-,AD וכן לטפל בדחיפות בממצאים שעלו במבדקי החדירה הפנימיים והחיצוניים שביצעה הביקורת.

תמצית זו אינה כוללת את כל הממצאים שעלו וגם אינה מוסרת את כל ההמלצות והפרטים המופיעים בגוף הדוח. לקבלת מידע זה יש לקרוא את הדוח המפורט.

תגובת המבוקרים

תגובת המבוקרים שולבה במקומות הרלוונטיים בגוף הדוח.

20 || עיריית ירושלים – מבקרת העירייה – דוח שנתי 2024

סיכום

זכות האדם לפרטיות היא אחת הזכויות החשובות בישראל ומעוגנת בחוק הגנת הפרטיות החל משנת 1981 (להלן: החוק) לרבות תקנותיו. החוק מגדיר מהי פגיעה בפרטיות ומסדיר גם את פעילותם של מאגרי מידע הכוללים מידע פרטי ורגיש.

במאי 2017 פורסמו תקנות הגנת הפרטיות ואבטחת מידע, התשע"ז-.2017 התקנות מגדירות בפירוט את החובות של בעל מאגר מידע ליישום בקרות תהליכיות וטכנולוגיות לצורך אבטחת המאגר.

הוראות אלו נכתבו, בין היתר, בשל העלייה המתמדת בהיקף ובעוצמת תקיפות הסייבר בארץ ובעולם. בין המותקפים ניתן למנות בתי חולים, אוניברסיטאות, עיריות, חברות ביטוח, תשתיות, אתרי אינטרנט ועוד. המתקפות עלולות לערער את היציבות הארגונית, לפגוע בנכסי הארגון, במוניטין שלו ובלקוחותיו, ולעיתים אף לסכן חיי אדם.

חברת אריאל היא יעד פוטנציאלי לניסיון תקיפות סייבר, וזאת בין היתר בשל היותה חברה עירונית של עיריית ירושלים, עיר הבירה של מדינת ישראל ואחד מסמליה החשובים. ניסיונות חדירה ודלף של מידע, תקיפה והשחתה של אתר האינטרנט ומניעת שימוש במערכות, הם רק חלק מהסיכונים הקיימים במרחב הסייבר של החברה.

יחידת מערכות המידע בחברת אריאל מורכבת ממנהל מחשוב, אשר מופקד על מערכות המידע ואבטחת המידע בחברה, יחד עם חברת ייעוץ חיצונית שנשכרה לשם כך.

כדי לצמצם ככל האפשר את הסיכונים במרחב הסייבר הגופים האחראים הנדרשים למפות ולהעריך את הסיכונים הקיימים, להתוות מדיניות הגנה ברורה ולפקח על יישומה באופן שוטף.

הביקורת בדקה את עמידת החברה בהוראות החוק והתקנות, המדיניות והנהלים בנושא אבטחת המידע, וכן ערכה כמה בדיקות: מבדק טכנולוגי לבחינת רמת האבטחה הקיימת בחברה, בדיקה פיזית לאבטחת המידע ומבדקי חדירה לרשת החברה.

הביקורת העלתה ליקויים מהותיים לגבי יישום הוראות חוק הגנת הפרטיות ותקנותיו; מדיניות ונוהלי אבטחת המידע, הקשחות עמדות קצה ושרתים, ניהול מערכת האנטי-וירוס, ניהול מערכת חומת האש, ניהול מערכת ה-AD (מערכת לניהול משתמשים) וליקויים בעלי חשיבות גבוהה במבדקי החדירה שביצעה.

על החברה לטפל בממצאים שהועלו בהקדם, בדגש על עמידה בהוראות החוק ותקנותיו וטיפול בפערים הטכנולוגיים שנמצאו, לרבות במבדקי החדירה.

אף שלא ניתן למנוע באופן מוחלט אירועי אבטחת מידע וסייבר, אירועים שבשנים האחרונות התגברו והפכו מוחשיים וקריטיים יותר, היערכות נכונה לקראתם תהפוך את ההתמודדות עימם למוצלחת יותר וקלה יותר. היערכות נכונה מראש יכולה לקצר את זמני התגובה, לאפשר להנהלה לקבל החלטות מושכלות ונכונות יותר, לאפשר לחברה לעמוד בחובותיה הרגולטוריות, וכפועל יוצא להפחית את הסיכונים למיניהם מעצם התרחשות האירוע.

הגנת הפרטיות, אבטחת מידע וסייבר בחברת אריאל || 21

מבוא

חברת אריאל היא החברה העירונית לתרבות, לחברה, לחינוך, לרווחה, לספורט ולאומנויות. החברה בבעלותה המלאה של עיריית ירושלים, פועלת למען פיתוח העיר ירושלים ומפיקה עשרות אירועים רבי משתתפים בשנה. אירועי חוצות הפונים לקהלים ישראלים ובין-לאומיים, כדוגמת: יריד חוצות היוצר, פסטיבל האור, צלילים בעתיקה, מתחם החלקה על הקרח, עיר הקרח ועוד.

החברה מונה כ-60 עובדי מטה ומורכבת משני תאגידים (ישויות נפרדות גם לצורך דיווח לרשויות):

• אריאל א' – תאגיד המנהל מגוון רחב של פרויקטים ואירועי תרבות (כגון: יריד חוצות היוצר, פסטיבל האור, צלילים בעתיקה) עבור העירייה, בהתאם לתוכנית העבודה ודרישות העירייה מעת לעת.

• אריאל ב' – תאגיד המנהל את אצטדיון טדי, בריכת הסולטן והיכל הפיס ארנה (שלושת מתקני התרבות והספורט הגדולים בעיר) וחלק האספלט של מתחם התחנה.

בשנים האחרונות יש עלייה מתמדת בהיקף ובעוצמת האיומים במרחב הסייבר בעולם כולו ובישראל בפרט, המתבצעים באמצעות תוכנות זדוניות (נוזקות וכופרות) המתפשטות דרך רשת האינטרנט, דרך הדואר האלקטרוני או באמצעות חיבור פיזי של התקני זיכרון למיניהם למחשבים ברשת הארגונית. התקיפות הופכות למתוחכמות יותר ויותר על ידי אוטומציה שלהן והפצה המונית. הגורמים הפוטנציאליים לפגיעה במערכות יכולים להיות גורמים מדינתיים, גורמים אנטי-ישראליים, תוקפים בעלי אינטרס כלכלי או אינטרס בירוקרטי וכן גורמים פנימיים. לכן, אבטחת המידע – מכלול האמצעים במערכת ובארגון שתפקידם להבטיח שהמידע האגור בה מוגן וממודר - הפכה לצורך בסיסי.

הזכות לפרטיות וחובת השמירה על צנעת הפרט עוגנו בחקיקה. חוק הגנת הפרטיות, התשמ"א-,1981 קובע כי "לא יפגע אדם בפרטיות של זולתו ללא הסכמתו". החוק מגדיר, בין היתר, "מידע" כ"נתונים על אישיותו של אדם, מעמדו האישי, צנעת אישיותו, מצב בריאותו, מצבו הכלכלי, הכשרתו המקצועית, דעותיו ואמונתו", ו"מאגר מידע" כ"אוסף נתוני מידע המוחזק באמצעי מגנטי או אופטי והמיועד לעיבוד ממוחשב".

עוד קובע החוק כי "בעל מאגר מידע, מחזיק מאגר מידע או מנהל מאגר מידע, כל אחד מהם אחראי לאבטחת המידע שבמאגר המידע". כמו כן, במאי 2017 פורסמו תקנות הגנת הפרטיות ואבטחת מידע, התשע"ז-.2017 התקנות מגדירות בפירוט את החובות של בעל מאגר מידע ליישום בקרות תהליכיות וטכנולוגיות לצורך אבטחת המאגר.

הרשות להגנת הפרטיות היא יחידה במשרד המשפטים האמונה על הסדרה, פיקוח ואכיפת החוק להגנת הפרטיות.

הרשות מופקדת על הגנת המידע האישי במאגרי מידע דיגיטליים ועל מימוש הזכות לפרטיות.

לתכלית זו מפעילה הרשות רגולציה, לרבות אכיפה מינהלית ופלילית, על כלל הגופים בישראל -

פרטיים, עסקיים וציבוריים – המחזיקים או המעבדים מידע אישי "דיגיטלי".

22 || עיריית ירושלים – מבקרת העירייה – דוח שנתי 2024 כאמור, לשם שמירה על צנעת הפרט ועל הוראות החוק יש לנקוט אמצעים לאבטחת המידע ומערכי המידע ולהגן עליהם מפני פגיעה, חשיפה ושינוי – במזיד או בשוגג. יש לעשות זאת באופן שיישמרו הזמינות, השלמות והסודיות של המידע ומערכות המידע.

בהתאם לאמור לעיל, החברה מחויבת לעמוד בהוראות החוק להגנת הפרטיות, התשמ"א-,1981 ותקנותיו.

הביקורת בדקה את עמידת החברה בהוראות חוק הגנת הפרטיות, התשמ"א-,1981 ותקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-,2017 את המדיניות והנהלים בנושא אבטחת המידע - אם החברה ביצעה מבדק טכנולוגי לבחינת רמת האבטחה הקיימת בארגון, בדיקה פיזית לאבטחת המידע, מבדקי חדירה לרשת הארגון וכן נושאים אחרים בעלי חשיבות גבוהה, בהתאם לתורת ההגנה בסייבר 2.0 מאת מערך הסייבר הלאומי וה-NIST (המכון הלאומי האמריקני לתקנים וטכנולוגיה המפרסם תקנים בתחום הגנת המידע).

יחידת מערכות המידע בחברת אריאל מורכבת ממנהל מחשוב, אשר מופקד על מערכות המידע ואבטחת המידע בחברה, יחד עם חברה חיצונית ששכרה החברה. נוסף על כך, תקציבנית החברה הכפופה לסמנכ"ל הכספים מופקדת מצד המשתמשים על המערכות הכספיות של החברה.

בחברה יש כמה מערכות מידע עיקריות להנה"ח, לתקציב, למשאבי אנוש, לניהול תשלומים ואתר אינטרנט.

מטרת הבדיקה

לבחון את נאותות התנהלות החברה בהיבטי אבטחת המידע וצמצום הסיכון לתקיפות סייבר כנגד רשת החברה ומערכות המידע שלה, על ידי בחינת מימוש אבטחת המידע של החברה בהתאם למדיניות, לנהלים ולנהוג בחברות אחרות דומות.

לבחון את הציות לחוק הגנת הפרטיות ותקנותיו, החל מתהליך רישום מאגרי המידע הקיימים בחברה ואבטחת המידע הקיימת על אותם מאגרים וכלה בניהול ותחזוקה שוטפת של המאגרים בהתאם לחוק ותקנותיו.

הערכת רמת אבטחת המידע, באמצעות מבדק טכנולוגי ומבדקי חדירה.

היקף הבדיקה

עמידת החברה בהוראות חוק הגנת הפרטיות, התשמ"א-,1981 ותקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017 (בהנחה שלפחות לאחד ממאגרי המידע נדרשת רמת אבטחה בינונית), בדיקת המדיניות והנהלים בנושא אבטחת המידע, מבדק טכנולוגי לבחינת רמת האבטחה הקיימת בחברה, בדיקה פיזית לאבטחת המידע ומבדקי חדירה לרשת החברה.

הביקורת לא בדקה מערכות שאינן מערכות מידע (כגון: מערכת מצלמות, מיזוג אוויר וכדומה).

הגנת הפרטיות, אבטחת מידע וסייבר בחברת אריאל || 23

תקופת הביקורת

הביקורת נערכה בחודשים פברואר - מאי .2024

פירוט הממצאים

הגנת הפרטיות, אבטחת מידע וסייבר בחברת אריאל || 27

פרק ראשון

בדיקת ציות לחוק הגנת הפרטיות ותקנותיו

רישום מאגרי מידע

החוק להגנת הפרטיות מגדיר "מאגר מידע" כאוסף נתונים באופן ממוחשב. מידע אישי כגון שמות, מספרי טלפון, כתובות וכו' שאינם גורמים לפגיעה כלשהי בפרטיות של בעלי המידע אינם מוגדרים כאוסף נתונים למאגר מידע ולא יהיה צורך ברישומו.

סעיף (8ג) לחוק הגנת הפרטיות מציין כי "בעל מאגר מידע חייב ברישום בפנקס ועל בעל המאגר לרשמו אם נתקיים בו אחד מאלה:

()1 מספר האנשים שמידע עליהם נמצא במאגר עולה על 10,000;

()2 יש במאגר מידע רגיש;

()3 המאגר כולל מידע על אנשים והמידע לא נמסר על ידיהם, מטעמם או בהסכמתם למאגר זה;

()4 המאגר הוא של גוף ציבורי כהגדרתו בסעיף 23;

()5 המאגר משמש לשירותי דיוור ישיר כאמור בסעיף 17ג".

מבדיקת הביקורת עולה כי בחברה קיימים לפחות שלושה מאגרי מידע העונים על ההגדרה בסעיף (8ג) לחוק, כדלהלן:

• ספקים – מאגר המידע הקיים במערכת ב', הכולל מידע רגיש, כגון פרטי ספקים וחשבונות הבנק שלהם (סעיף (8ג)()2 לחוק).

• עובדים – מאגר המידע הקיים במערכת ג' כולל מידע רגיש, כגון מספרי תעודת זהות של העובדים וחשבונות הבנק שלהם (סעיף (8ג)()2 לחוק).

• רשומות נתוני הורים וילדים – מאגר מידע במערכת א' הכולל מעל 10,000 רשומות עם פרטי הורים וילדים בגנים (סעיף (8ג)()1 לחוק).

יצוין כי אף לא אחד מהמאגרים הנ"ל רשום ברשות להגנת הפרטיות במשרד המשפטים.

28 || עיריית ירושלים – מבקרת העירייה – דוח שנתי 2024

1. אי רישום מאגרי המידע ברשות להגנת הפרטיות, היעדר מסמכי הגדרות מאגרי מידע ואי

קביעת רמת אבטחת המידע הנדרשת מכל מאגר, משקפים אי עמידה של החברה בהוראות החוק ותקנותיו.

1. למפות ולרשום את מאגרי המידע הנדרשים לרישום בהתאם לחוק ותקנותיו, וכן לקבוע

את רמת אבטחת המידע הנדרשת מכל מאגר מידע בהתאם לתקנות.

מסמך הגדרות מאגרי מידע

בהתאם לתקנות הגנת הפרטיות, על בעל מאגר מידע לנהל "מסמך הגדרות מאגר". במסמך נדרש לפרט את כל הנושאים המנויים בתקנה, ויש לעדכנו אחת לשנה לפחות. במידה שקיימים עדכונים מהותיים במהלך השנה, נדרש לעדכן את המסמך עם קרות השינויים.

תקנה 2 מציינת כי:

"א. בעל מאגר מידע יגדיר במסמך הגדרות מאגר (להלן: מסמך הגדרות המאגר), את כל העניינים האלה לפחות:

()1 תיאור כללי של פעולות האיסוף והשימוש במידע;

()2 תיאור מטרות השימוש במידע;

()3 סוגי המידע השונים הכלולים במאגר המידע, בשים לב לרשימת סוגי המידע שבפרט )3(1 בתוספת הראשונה;

()4 פרטים על העברת מאגר המידע, או חלק מהותי ממנו אל מחוץ לגבולות המדינה או שימוש במידע מחוץ לגבולות המדינה, מטרת ההעברה, ארץ היעד, אופן ההעברה וזהות הנעבר;

()5 פעולות עיבוד מידע באמצעות מחזיק;

()6 הסיכונים העיקריים של פגיעה באבטחת המידע, ואופן ההתמודדות עמם;

()7 שמו של מנהל מאגר המידע, של מחזיק המאגר ושל הממונה על אבטחת מידע בו, אם מונה כזה.

ב. בעל מאגר מידע יעדכן את מסמך הגדרות המאגר בכל עת שנעשה שינוי משמעותי בנושאים

המפורטים בתקנת משנה (א), ויבחן את הצורך בעדכון כאמור, בשל שינויים טכנולוגיים ארגוניים או אירועי אבטחה כאמור בתקנה ,11 בכל שנה עד 31 בדצמבר.

הגנת הפרטיות, אבטחת מידע וסייבר בחברת אריאל || 29

ג. בעל מאגר מידע יבחן, אחת לשנה, אם אין המידע שהוא שומר במאגר רב מן הנדרש למטרות

המאגר".

על אף האמור בתקנות, בחברה לא קיימים כלל מסמכי הגדרות מאגרי מידע.

2. אי קיום מסמכי הגדרות מאגרי מידע משקף אי עמידה של החברה בהוראות החוק

ותקנותיו.

2. להכין מסמך הגדרות מאגרי מידע שבו יפורטו כל הנושאים הנדרשים בתקנות, כגון: תיאור

כללי של פעולות האיסוף והשימוש במידע, מטרות השימוש במאגר, רמת הסיכון של כל מאגר.

ממונה על אבטחת מידע

סעיף 17 ב(א) לחוק הגנת הפרטיות מטיל חובת מינוי ממונה אבטחת מידע בעל הכשרה מתאימה עבור גופים העומדים באחד מהתנאים האלה:

• הגוף מחזיק בחמישה מאגרי מידע.

• גוף ציבורי.

• גוף פיננסי; בנק, חברת ביטוח, חברה העוסקת בדירוג או בהערכת אשראי.

בתקנה 3 לתקנות הגנת הפרטיות מפורטות ההוראות שיחולו על הממונה על אבטחת המידע, כדלהלן:

()1 ממונה אבטחה יהיה כפוף ישירות למנהל מאגר המידע או למנהל פעיל של בעל המאגר או המחזיק בו, לפי העניין, או לנושא משרה בכירה אחר הכפוף ישירות למנהל המאגר;

()2 הממונה על האבטחה יכין נוהל אבטחת מידע ויביאו לאישור בעל המאגר;

()3 הממונה יכין תוכנית לבקרה שוטפת על העמידה בדרישות תקנות אלה, יבצע אותה ויודיע לבעל מאגר המידע ולמנהל המאגר על ממצאיו;

()4 הממונה על האבטחה לא ימלא תפקיד נוסף שעלול להעמידו בחשש לניגוד עניינים במילוי תפקידו לפי תקנות אלה;

()5 הטיל בעל מאגר המידע על הממונה על האבטחה משימות נוספות על החובות המנויות בפסקאות ()2 ו-(,)3 לשם ביצוע תקנות אלה יגדירן בצורה ברורה;

30 || עיריית ירושלים – מבקרת העירייה – דוח שנתי 2024 ()6 בעל מאגר המידע יקצה לממונה את המשאבים הדרושים לו לשם מילוי תפקידו.

עולה כי יחידת מערכות המידע בחברת אריאל מורכבת ממנהל מחשוב, אשר מופקד על מערכות המידע ואבטחת המידע בחברה, יחד עם חברה חיצונית ששכרה החברה.

לא קיים כתב מינוי לממונה אבטחת מידע, לא קיים נוהל אבטחת מידע ולא קיימת תוכנית לבקרה שוטפת על העמידה בדרישות התקנות.

3. שיטת עבודה של "אחריות משותפת" בתחום אבטחת המידע פוגעת ביכולת של החברה

לקבל החלטות בדבר פעולות הנדרשות בתחום אבטחת המידע.

4. בהתאם לממצאי דוח זה (אשר פורטו עד כה ויפורטו בהמשך), עולה לכאורה כי היועץ

החיצוני של החברה אינו ממלא את תפקידו באופן מקצועי בתחום אבטחת המידע, החל מייעוץ לחברה לגבי עמידה בהוראות החוק ועד לפרקטיקה מקובלת בתחום אבטחת המידע (הקשחת עמדות קצה ושרתים, ניהול מערכת אנטי-וירוס, ניהול מערכת "חומת אש" ועוד).

5. אי מינוי ממונה אבטחת מידע, חוסר בנוהל אבטחת מידע ותוכנית בקרה שוטפת לעמידה

בדרישות התקנות, משמעותם אי עמידת החברה בהוראות החוק ותקנותיו.

3. על החברה למנות באופן רשמי (באמצעות כתב מינוי) ממונה אבטחת מידע אחד (במידת

הצורך, הממונה יקבל ייעוץ והכוונה מחברה אשר מתמחה בתחום אבטחת מידע והוראות החוק) אשר יפעל לכל הפחות ליישום משימות אלה בהתאם להוראות התקנות:

• יהיה אחראי לכתיבת נוהלי אבטחת מידע ויביאם לאישור מנהלי המאגרים.

• יכין תוכנית לבקרה שוטפת על עמידה בדרישות התקנות, יבצע את התוכנית ויעדכן את בעל המאגר ומנהלו לגבי הממצאים שנמצאו.

4. לבחון ולבדוק את תוכנית העבודה של היועץ החיצוני בתחום אבטחת המידע, את

המשימות שניתנו לו ואת רמתו המקצועית בתחום אבטחת מידע וסייבר, ובהתאם לכך לשקול את המשך העסקתו.

מדיניות ונוהל אבטחת מידע

הבסיס לפעילות אבטחת המידע הארגוני הוא מסמך מדיניות אבטחת המידע, או לכל הפחות נוהל אבטחת מידע. מסמך זה אמור לשקף את תפיסת מדיניות האבטחה הארגונית, לתאר את התקן לפעילות, את שיטות העבודה ואת העקרונות המנחים.

הגנת הפרטיות, אבטחת מידע וסייבר בחברת אריאל || 31 תקנה 4 לתקנות דנה בנושא נוהל אבטחת מידע לבעל מאגר שמסתמך על מסמך הגדרות המאגר.

הנוהל יישמר והגישה אליו תתאפשר רק לאנשים מורשים. בהתאם לסעיף ג לתקנה, הנוהל אמור לכלול, בין השאר, את הנושאים האלה:

()1 הוראות בעניין האבטחה הפיזית והסביבתית של אתרי המאגר כאמור בתקנה 6;

()2 הרשאות גישה למאגר המידע ולמערכות המאגר בהתאם לתקנה 8;

()3 תיאור של אמצעים שמטרתם הגנה על מערכות המאגר, ואופן הפעלתם לצורך כך;

()4 הוראות למורשי הגישה למאגר המידע ולמערכות המאגר לצורך הגנה על המידע במאגר;

()5 הסיכונים שחשוף להם המידע שבמאגר במסגרת הפעילות השוטפת של בעל מאגר המידע, לרבות אלה הנובעים ממבנה מערכות המאגר כמפורט בתקנה (5א), אופן קביעת סיכונים אלה, ואופן הטיפול בהם, לרבות על ידי מנגנוני הצפנה מקובלים להגנה על המידע השמור במאגר או במערכות המאגר;

()6 אופן ההתמודדות עם אירועי אבטחת מידע כאמור בתקנה ,11 לפי חומרת האירוע ומידת רגישות המידע;

()7 הוראות לעניין ניהול של התקנים ניידים ושימוש בהם כאמור בתקנה .12 בהתאם לסעיף (ד) לתקנה, במאגר מידע שחלה עליו רמת אבטחה בינונית או גבוהה, יש להתייחס גם לנושאים האלה:

()1 אמצעי הזיהוי והאימות לגישה למאגר ולמערכות המאגר, בהתאם לתקנה 9;

()2 אופן הבקרה על השימוש במאגר המידע, ובכלל זה תיעוד הגישה למערכות המאגר כאמור בתקנה 10;

()3 הוראות לעניין עריכת ביקורות תקופתיות לווידוא קיומם ותקינותם של אמצעי האבטחה לפי נוהל האבטחה ולפי תקנות אלה כאמור בתקנה 16;

()4 הוראות לעניין גיבוי הנתונים האמורים בתקנה (18א))(1;

()5 הוראות לעניין אופן ביצוע פעולות פיתוח במאגר ותיעודן, ובכלל זה אופן הגישה של אנשי הפיתוח לנתונים במאגר.

נוסף על כך, תקנה 4 (ה) לתקנות הגנת הפרטיות, קובעת כי "בעל מאגר מידע יבחן, אחת לשנה, את הצורך בעדכון הנוהל, ובלי לגרוע מן האמור, יבחן אם יש צורך בעדכונו של הנוהל במקרים אלה:

()1 נעשים שינויים מהותיים במערכות המאגר או בתהליכי עיבוד מידע.

()2 נודע על סיכונים טכנולוגיים חדשים הנוגעים למערכות המאגר".

נמצא כי לחברה לא קיים נוהל אבטחת מידע המפרט את אמצעי אבטחת המידע בחברה ובמאגרי המידע בפרט.

32 || עיריית ירושלים – מבקרת העירייה – דוח שנתי 2024

6. בשל חוסר במדיניות או בנוהל אבטחת מידע מפורט קיים קושי ביישום אבטחת מידע

נאותה ובפיקוח עליה בחברה, וכן הדבר משקף אי עמידה של החברה בהוראות החוק ותקנותיו.

5. לגבש מדיניות או נוהל אבטחת מידע המפרטים את הנחיות ואמצעי אבטחת המידע

בחברה ובמאגרי המידע בפרט, אשר יכללו לכל הפחות את הדרישות בתקנות וכן נושאים

נוספים כגון: הוראות בעניין האבטחת הפיזית והסביבתית, הרשאות גישה למאגרי המידע

ומערכות המאגרים, מיפוי וסיווג נכסי המידע של הארגון ועוד.

מיפוי מערכות מאגר המידע וביצוע סקר סיכונים

תקנה 5 דנה במיפוי מערכות מאגר המידע וביצוע סקר סיכונים. להלן עיקרי התקנה:

"א. בעל מאגר מידע יחזיק מסמך מעודכן של מבנה מאגר המידע וכן רשימת מצאי מעודכנת של מערכות המאגר, ובכלל זה:

()1 תשתיות ומערכות חומרה, סוגי רכיבי תקשורת ואבטחת מידע;

()2 מערכות התוכנה המשמשות להפעלת מאגר המידע, לניהול המאגר ולתחזוקתו, לתמיכה בפעילותו, לניטור שלו ולאבטחתו;

()3 תוכנות וממשקים המשמשים לתקשורת אל מערכות המאגר ומהן;

()4 תרשים הרשת שפועל בה המאגר, הכולל תיאור הקשרים בין רכיבי המערכת השונים ומיקומם הפיזי של רכיבים אלה;

()5 תאריך העדכון האחרון של המסמך ושל רשימת המצאי.

ב. המסמך המעודכן של מבנה מאגר המידע ורשימת המצאי יישמרו כך שפרטים מהם יימסרו

לבעלי הרשאה רק בהיקף הנדרש לצורך ביצוע תפקידיהם."

בחברה לא קיימים מסמכים של מבנה מאגרי המידע וכן רשימת מצאי של מערכות המאגרים.

7. היעדר מסמכים של מבנה מאגרי המידע ורשימת מצאי של מערכות המאגרים מקשה על

יישום מנגנוני אבטחת מידע נאותה על מאגרי המידע ופיקוח החברה עליהם; כמו כן הדבר משקף אי עמידה של החברה בהוראות החוק ותקנותיו.

הגנת הפרטיות, אבטחת מידע וסייבר בחברת אריאל || 33

6. להכין מסמכים של מבנה מאגרי המידע וכן רשימת מצאי של מערכות המאגרים בהתאם

לדרישות בתקנות כגון: תיאור ופירוט התשתיות ומערכות החומרה, סוגי רכיבי תקשורת,

מערכות התוכנה המשמשות להפעלת מאגרי המידע, תרשים הרשת הארגונית וכו'.

תגובת המבוקרים

הנהלת החברה לא קיבלה עד קבלת הדוח כל אינדיקציה מיועציה השונים לחובת רישום מאגרי המידע וניהולם על פי התקנות, ולכן נותנת לנושא זה דחיפות מיוחדת שכן אין בכוונתה להיחשב ולו לכאורה כמפירת חוק. לכן בוצעה פנייה דחופה לחברות המתמחות ברישום מאגרי מידע כחוק, בניית נהלים וטיפול שוטף באבטחת המידע כפי שמופיע במספר סעיפים, כולל מבדק חדירה וסקר סיכונים בסוף התהליך. משך ביצוע התיקונים והרישום מוערך בכשלושה חודשים, שבסיומם נוכל לפרט אילו פעולות לא בוצעו ומאיזו סיבה. נודה לביקורת חוזרת עם סיום התיקונים לשם קבלת דוח מעודכן.

אבטחת פיזית ואבטחת מידע בניהול כוח אדם

אבטחה פיזית היא חלק ממערך ההגנה מפני פריצות אבטחה ושמירה על המידע בארגון. תקנה 6 דנה בנושא אבטחה פיזית, כדלהלן:

"א. בעל מאגר מידע יבטיח כי המערכות המפורטות בתקנה (5א)()1 יישמרו במקום מוגן, המונע חדירה וכניסה אליו בלא הרשאה, והתואם את אופי פעילות המאגר ורגישות המידע בו.

ב. בעל מאגר מידע שחלה עליו רמת האבטחה הבינונית או הגבוהה, ינקוט אמצעים לבקרה

ולתיעוד של הכניסה והיציאה מאתרים שבהם מצויות המערכות המפורטות בתקנה (5א)()1 ושל הכנסה והוצאה של ציוד אל מערכות המאגר ומהן".

במשרדי החברה הממוקמים במתחם ארנה בירושלים, קיימים אמצעי אבטחה פיזית כלהלן:

• מצלמות אבטחה ברחבי אתר החברה.

• מאבטח בשער הכניסה לחברה.

• בכל קומה או משרד יש דלת אשר הכניסה דרכה היא אך ורק למורשים באמצעות מפתח ייחודי לכל עובד.

• ארונות התקשורת וחדרי השרתים נעולים ומאובטחים.

• החל מהקורונה, אין קבלת קהל באתר החברה.

ארגונים מתמודדים עם הצורך ההולך וגדל של עובדים, לקוחות ושותפים עסקיים בגישה אל מקורות המידע הארגוניים. נוסף על כך ישנו צורך לאפשר גישה למשתמשים נוספים, מבלי להתפשר על 34 || עיריית ירושלים – מבקרת העירייה – דוח שנתי 2024 רמת אבטחת המידע. על החברה לוודא כי הרשאות העובדים ניתנות בהתאם לעקרון "הצורך לדעת". תקנה 7 דנה במתן הרשאות לעובדים, כדלהלן:

"א. לא ייתן בעל מאגר מידע גישה למידע המצוי במאגר ולא ישנה היקף הרשאה שניתנה, אלא אם כן נקט אמצעים סבירים, המקובלים בהליכי מיון עובדים ושיבוצם, כדי לברר שאין חשש כי בעל ההרשאה אינו מתאים לקבלת גישה למידע המצוי במאגר....

ב. בטרם יקבלו גישה למידע ממאגר המידע או לפני שינוי היקף הרשאותיהם, יקיים בעל מאגר

מידע הדרכות לבעלי הרשאות בנושא החובות לפי החוק ותקנות אלה, וימסור להם מידע על אודות חובותיהם לפי החוק ונוהל האבטחה.

ג. במאגר מידע שחלה עליו רמת האבטחה הבינונית או הגבוהה, יקיים בעל המאגר פעילות

הדרכה תקופתית לבעלי הרשאות שלו, בדבר מסמך הגדרות המאגר, נוהל האבטחה והוראות אבטחת המידע לפי החוק ולפי תקנות אלה, בהיקף הנדרש לצורך ביצוע תפקידיהם, ובדבר חובות בעלי ההרשאות לפיהם; הדרכה כאמור תיערך אחת לשנתיים לפחות, ולגבי הסמכה של בעל הרשאה לתפקיד חדש – סמוך ככל האפשר למועד תחילת הסמכתו".

הביקורת העלתה כי בחברה לא מתקיימות הדרכות לבעלי הרשאות בנושא חובות בעלי ההרשאות לפי החוק והתקנות, לא נמסר לעובדי החברה ולמשתמשיה נוהל אבטחת המידע, וכלל לא מתקיימות הדרכות מודעות לעובדים מועסקים או חדשים בנושא אבטחת מידע וסייבר.

8. אי קיום הדרכות לבעלי הרשאות בנושא חובות בעלי ההרשאות לפי החוק והתקנות מגביר

את הסיכון מצד המשתמשים לעשיית טעויות ועבירה על החוק שכלל לא היו מודעים אליו, כמו כן, אי קיום הדרכות מודעות לעובדים בנושא אבטחת מידע וסייבר מגביר את הסיכון לשימוש לא נכון במערכות המידע, בדואר האלקטרוני הארגוני ובמרחב האינטרנט ומגביר את הסיכון לטעויות אנוש אשר יובילו לחדירה לרשת הארגון. יתר על כן, הדבר משקף אי עמידה של החברה בהוראות החוק ותקנותיו.

7. לקיים הדרכות לעובדי ומשתמשי המערכות בחברה על אודות חובותיהם לפי החוק ונוהל

אבטחת מידע (שיגובש), לקיים הדרכות מודעות לעובדים מועסקים וחדשים בנושא אבטחת מידע וסייבר לפחות אחת לשנה.

תגובת המבוקרים

1. ביחס לאבטחת המידע, כל עובד חותם בחוזה העסקה על הסכם סודיות.

הגנת הפרטיות, אבטחת מידע וסייבר בחברת אריאל || 35

2. בהתאם להמלצת הביקורת יבוצעו הדרכות אחת לתקופה בהתאם לנוהל שייכתב על ידי יועץ

אבטחת המידע שהחברה תשכור, כאמור בסעיף קודם.

ניהול הרשאות גישה

גישה למאגרי מידע בארגון צריכה להינתן בהתאם לעקרון "הצורך לדעת", כלומר, רק גורמים מורשים מתוקף תפקידם יקבלו הרשאות לעדכון או לצפייה במאגרי המידע. נוסף על כך, הגישה למאגרים תהיה מאובטחת בהתאם לרמת האבטחה שהוגדרה לאותו מאגר מידע.

תקנה 8 מציינת כי:

"א. בעל מאגר מידע יקבע הרשאות גישה של בעלי הרשאות למאגר המידע ולמערכות המאגר, בהתאם להגדרות תפקיד; הרשאת הגישה לכל תפקיד תהיה במידה הנדרשת לביצוע התפקיד בלבד.

ב. בעל מאגר מידע ינהל רישום מעודכן של תפקידים, הרשאות הגישה שניתנו להם, ושל בעלי

ההרשאות הממלאים תפקידים אלה (להלן – רשימת ההרשאות התקפות)".

תקנה 9 מציינת כי:

"א. בעל מאגר מידע ינקוט אמצעים מקובלים בנסיבות העניין ובהתאם לאופי המאגר וטיבו, כדי לוודא כי הגישה למאגר ולמערכות המאגר נעשית בידי בעל הרשאה המורשה לכך בלבד לפי רשימת ההרשאות התקפות.

ב. במאגר מידע שחלה עליו רמת האבטחה הבינונית או הגבוהה –

()1 אופן הזיהוי ייעשה ככל האפשר על בסיס אמצעי פיזי הנתון לשליטתו הבלעדית של המורשה;

()2 ייקבעו בנוהל האבטחה גם הוראות לעניין תקנת משנה (א), ובכללן בנושאים אלה:

(א) אופן הזיהוי; היה אופן הזיהוי מבוסס על סיסמאות, יתייחס הנוהל גם לחוזק הסיסמה, מספר הניסיונות השגויים, ותדירות החלפת הסיסמאות שתיעשה בהתאם לתפקיד מורשה הגישה, ובכל מקרה לתקופה שלא תעלה על שישה חודשים;

(ב) ניתוק אוטומטי לאחר פרק זמן של אי-פעילות;

(ג) אופן הטיפול בתקלות הקשורות באימות זהות.

ג. בעל מאגר מידע ידאג לביטול ההרשאות של בעל הרשאה שסיים את תפקידו ובמידת האפשר

לשינוי סיסמאות למאגר ולמערכות המאגר, שבעל ההרשאה עשוי היה לדעת, מיד עם סיום תפקידו של בעל ההרשאה."

בבדיקת המורשים למערכות החברה נמצא כי משתמשי-העל במערכות (מנהלי המערכות) אינם נדרשים לכך מתוקף תפקידם, ואף קיים חשש לפגיעה בעקרון הפרדת התפקידים.

הביקורת בדקה את משתמשי העל במערכות: הנהלת חשבונות, משאבי אנוש וניהול תקציבים.

36 || עיריית ירושלים – מבקרת העירייה – דוח שנתי 2024 להלן תהליך ניהול הרשאות לעובדים בחברה:

• עובד חדש – בעת קליטת עובד חדש לחברה, מחלקת משאבי אנוש מחתימה את העובד על חוזה עבודה והסכם סודיות. נציג ממחלקת משאבי אנוש שולח מייל למנהל המחשוב כדי לפתוח משתמש חדש ברשת החברה עם תיבת דואר אלקטרוני בהתאם לתפקיד שהוגדר לעובד.

הרשאות למערכות המידע בחברה ניתנות על ידי כל משתמש-על (שונה לכל מערכת כפי שצוין מעלה).

• עובד עוזב – בעת עזיבת עובד את החברה, מחלקת משאבי אנוש שולחת בקשה במייל למנהל המחשוב להסרת יכולת השימוש של המשתמש מהרשת (הפיכת המשתמש ל"לא פעיל").

הרשאות במערכות המידע מטופלות על ידי משתמשי-העל, אשר הופכים את המשתמש של העובד ל"לא פעיל", או שמוחקים אותו בהתאם למערכת הרלוונטית.

הביקורת בדקה את מדיניות הסיסמאות ברשת ובמערכות החברה השונות.

9. משתמשי-העל במערכות המידע בחברה הם משתמשי המערכת אשר משמשים חלק

מהתהליך העסקי. הגדרה זו מגבירה את הסיכון לכך שמשתמש ינצל את ההרשאה הגבוהה (הרשאת-על) לביצוע פעולות לא מורשות על ידו, ולחברה יהיה קושי רב, עד כדי חוסר אפשרות, לפקח ולגלות פעולות אלו.

10. בתהליך הסרת הרשאות (או הפיכה ל"לא פעיל") של עובדים עוזבים, נמצא כי קיים הפרש

זמן של מעל חודש בין תאריך עזיבת העובד לבין המועד שבו מסירים את הרשאותיו כמשתמש, מצב המגביר את הסיכון לשימוש לא נאות במשתמש של העובד.

11. במדיניות הסיסמאות של הרשת לא קיימת חובת החלפת סיסמה אחת לתקופה, אין

הגבלה של מספר ניסיונות כושלים לגישה ואין נעילת מסך לאחר פרק זמן מסוים.

מדיניות הסיסמאות בחשבשבת אינה כוללת דרישה למורכבות סיסמה ואילו במערכת א' כלל לא הוגדרה מדיניות סיסמאות. מצב זה מגביר את הסיכון לתקיפה ולגניבה של סיסמאות על ידי עובדים אחרים או על ידי גורמים עוינים, וחדירה למערכות המידע של החברה.

12. אי קיום תהליך סקירת משתמשים והרשאותיהם ברשת ובמערכות החברה חושף את

החברה למצב שבו שמות המשתמש של עובדים שעזבו וכן הרשאות של עובדים שהחליפו תפקיד בחברה עדיין פעילים ברשת ובמערכות החברה, וכתוצאה מכך חלה פגיעה עקרון "הצורך לדעת".

13. גם בעניינים האמורים החברה אינה עומדת בהוראות החוק ותקנותיו.

הגנת הפרטיות, אבטחת מידע וסייבר בחברת אריאל || 37

8. להגדיר משתמשי-על במערכות בהתאם לעקרון "הצורך לדעת" ועקרון "הפרדת

התפקידים". כך לדוגמה, ניתן להגדיר את מנהל המחשוב כמשתמש-על במערכות, ובתנאי שאינו לוקח חלק מתהליך עסקי בחברה.

9. להסיר הרשאות משתמש של עובד שעזב סמוך ככל הניתן למועד עזיבתו.

10. להגדיר מדיניות סיסמאות מוקשחת.

11. לקיים תהליך סקירה של משתמשים והרשאותיהם ברשת הארגון ובמערכות החברה אחת

לתקופה, כפי שתקבע החברה. בתהליך הסקירה יש לאשרר מחדש את קיום המשתמש ואת הצורך בהרשאות שניתנו לו.

תגובת המבוקרים

המלצה :1 בבדיקה מול מערכת ב' מסתבר כי לא ניתן להפריד את ההרשאות המלאות של המערכת. בהמשך להמלצת הביקורת אנו נעביר את ההרשאות המלאות למנהל המחשוב כאשר מנהל החשבונות הראשי יישאר עם הסמכויות המלאות, ללא פתיחת משתמשים. נבהיר כי בהמשך לדוח ביקורת שבוצע בעבר קיימות בקרות בהנהלת חשבונות, לפיהן מורשי החתימה הם אלו שחותמים על הכספים שיוצאים מהחברה (צ'קים וכו'). ביחס למערכות א' ו-ג', הממצא אינו מדויק, משתמשי-העל במערכות אלו הם בבחינת אנשי קשר מול הספק החיצוני, כל פעולה כמו הגדרת משתמשים מבוצעות על ידי הספק החיצוני. מכאן שמתקיים עקרון הפרדת התפקידים כנדרש בדוח.

המלצה :2 במהלך ביצוע טיפול ויישום באבטחת מידע כאמור, ייכתב נוהל מסודר בנושא זה. כעת נדגיש כי קיים נוהג לפיו מנהלת משאבי אנוש מעדכנת את מנהל מערכות המידע בחברה בדבר שינויים במשרות ועזיבת עובדים. מנהל מערכות מידע משנה/מבטל את הרשאות העובדים בהתאם.

על פי החלטת ההנהלה העדכון יבוצע בתוך 24 שעות (הביקורת הציעה חודש).

המלצה :3 החברה מקבלת את המלצת הביקורת. החלפת הסיסמאות נקבעה לפי ,AD והחלפת ה-AD תבוצע אחת ל-180 יום.

המלצה :4 יבוצע בהתאם להחלטת החברה לאחר המלצות חברת הייעוץ כאמור.

התייחסות הביקורת

הפרקטיקה המקובלת לשמירת עקרון הפרדת התפקידים היא מתן הרשאות-על לגורם שאינו חלק מתהליך העבודה, ומכאן באה המלצת הביקורת בעניין.

שמירת לוג פעולות ותיעוד אירועי אבטחת מידע

תקנות 10 ו-11 מחייבות שמירה של לוג פעולות ותיעוד של אירועי אבטחת מידע.

38 || עיריית ירושלים – מבקרת העירייה – דוח שנתי 2024 להלן דרישות תקנה :10

"א. במערכות של מאגר מידע אשר חלה עליו רמת האבטחה הבינונית או הגבוהה, ינוהל מנגנון תיעוד אוטומטי שיאפשר ביקורת על הגישה למערכות המאגר (בתקנה זו – מנגנון הבקרה),

ובכלל זה נתונים אלה: זהות המשתמש, התאריך והשעה של ניסיון הגישה, רכיב המערכת

שאליו בוצע ניסיון הגישה, סוג הגישה, היקפה, ואם הגישה אושרה או נדחתה.

ב. מנגנון הבקרה לא יאפשר, ככל יכולתו, ביטול או שינוי של הפעלתו; מנגנון הבקרה יאתר

שינויים או ביטולים בהפעלתו ויפיץ התראות לאחראים.

ג. בעל מאגר מידע יקבע נוהל בדיקה שגרתי של נתוני התיעוד של מנגנון הבקרה, ויערוך דוח של

הבעיות שהתגלו וצעדים שננקטו בעקבותיהן.

ד. נתוני התיעוד של מנגנון הבקרה יישמרו למשך 24 חודשים לפחות.

ה. בעל מאגר מידע יידע את בעלי ההרשאות במאגר בדבר קיום מנגנון הבקרה למערכות המאגר".

להלן דרישות תקנה :11

"א. בעל מאגר מידע אחראי לתיעוד כל מקרה שבו התגלה אירוע המעלה חשש לפגיעה בשלמות המידע, לשימוש בו בלא הרשאה או לחריגה מהרשאה (להלן – אירועי אבטחה); ככל האפשר יבוסס התיעוד האמור על רישום אוטומטי.

ב. בנוהל האבטחה יקבע בעל מאגר מידע גם הוראות לעניין התמודדות עם אירועי אבטחת מידע,

לפי חומרת האירוע ומידת רגישות המידע, לרבות לעניין ביטול הרשאות וצעדים מיידיים אחרים הנדרשים וכן לעניין דיווח לבעל המאגר על אירועי אבטחה ועל פעולות שננקטו בעקבותיהם.

ג. במאגר מידע שחלה עליו רמת האבטחה הבינונית, יקיים בעל המאגר דיון אחת לשנה לפחות

באירועי האבטחה ויבחן את הצורך בעדכונו של נוהל האבטחה; במאגר מידע שחלה עליו רמת האבטחה הגבוהה, ייערך דיון כאמור אחת לרבעון לפחות".

קיימת חשיבות מכרעת למוכנות הארגון בעת קרות אירוע אבטחת מידע וסייבר - החל משמירת לוגי פעולות של מערכות אבטחת המידע ומערכות המידע וכלה בתוכנית להתאוששות מאסון והמשכיות עסקית.

אחת השיטות המוכחות לטיפול ולשיפור בנושא אירוע אבטחת מידע וסייבר היא שמירת לוגי פעולות לצורך תחקור, וכן ביצוע תרגילי סייבר אשר כוללים את הגורמים הרלוונטיים הנדרשים בעת קרות האירוע. תרגול אירוע סייבר אחת לשנה, תוך כדי שימוש במערכות ותשתיות, מחזק את החוסן של הארגון בעת קרות אירוע סייבר אמיתי.

הביקורת בדקה בקרות שמפעילה החברה באיתור כשלים, פגיעויות ואירועי אבטחת מידע. להלן תוצאות הבדיקה:

• בעלי מאגרי המידע לא קבעו נוהל בדיקה שגרתי של נתוני התיעוד של מנגנון הבקרה.

• לוגים וניטורי אירועי אבטחת מידע נאספים רק במערכת האנטי-וירוס ולא ביתר מערכות אבטחת המידע.

הגנת הפרטיות, אבטחת מידע וסייבר בחברת אריאל || 39 • לוג הפעולות במערכות אבטחת המידע ובמערכות המידע אינו נשמר למשך 24 חודשים.

• אין תהליך סקירת גישה ושינויים בתוך שרתי הקבצים בספריות הרגישות לאיתור חריגות.

• בעלי מאגרי המידע לא יידעו את בעלי ההרשאות במאגר בדבר קיום מנגנון הבקרה.

• לחברה אין נוהל התאוששות מאסון.

• לחברה לא קיימת תוכנית להמשכיות עסקית אשר כוללת, בין השאר, מיפוי הסיכונים שלהם חשופה החברה, ניסוח אסטרטגיית המשכיות עסקית (BCP - Plan Continuity ,)Business הגדרת התהליכים והמערכות החיוניות לארגון בעת חירום, הדרכות ותרגול התוכנית ועוד.

• לחברה אין נוהל התמודדות עם אירועי סייבר (שיכול להיות חלק מנוהל התאוששות מאסון ותוכנית להמשכיות עסקית) הכולל הנחיות לעובדיה לצורת ההתנהלות בקרות אירוע כזה, טיפול באירוע הצפנה וכו'. נוסף על כך לא בוצעו תרגילי סייבר מתודיים לדמות התמודדות עם אירועי סייבר פוטנציאליים.

• בעל מאגר המידע אינו מקיים דיון אחת לשנה לפחות באירועי אבטחה.

14. אי קיום מספר רב של בקרות תיעוד, ניטור וההתמודדות עם אירועי סייבר מקטין את

הסיכוי של החברה להתמודד עם אירוע כזה, החל משלב הבנת האירוע, דרך עצירתו וכלה בצמצום הנזקים בעקבותיו. כמו כן, הדבר משקף אי עמידה של החברה בהוראות החוק והתקנות.

12. לגבש נוהל בדיקה שגרתי של נתוני התיעוד של מנגנון הבקרה.

13. לגבש נוהל התאוששות מאסון ונוהל התמודדות עם אירועי סייבר, הכולל הנחיות לעובדי

החברה ולחברה איך להתנהל בקרות אירוע סייבר.

14. לפתח תהליך לקיום המשכיות עסקית, אשר יכלול בין השאר מיפוי הסיכונים שלהם

חשופה החברה, ניסוח אסטרטגיית המשכיות עסקית (BCP -Plan Continuity ,)Business הגדרת התהליכים והמערכות החיוניות לארגון בעת חירום, הדרכות ותרגול התוכנית ועוד.

15. להגדיר שמירת לוג פעולות במערכות אבטחת המידע ובמערכות המידע למשך 24

חודשים.

16. לסקור את הלוגים ממערכות אבטחת המידע וממערכות המידע. מומלץ לבחון מערכת

SIEM לניטור אירועי אבטחת מידע או לחלופין לבחון קבלת השירות בתצורת "שירות מנוהל".

17. לבצע אחת לרבעון סריקת גישה בעזרת כלי אוטומטי כדי לאמוד את רמת החריגות

הקיימות בשרתי הספריות ולבצע טיפול מונע.

40 || עיריית ירושלים – מבקרת העירייה – דוח שנתי 2024

18. ליידע את בעלי ההרשאות במאגר בדבר קיום מנגנון הבקרה.

19. לקיים אחת לשנה לפחות דיון באירועי אבטחה ולתעד את הדיון בפרוטוקול.

תגובת המבוקרים

המלצה :1 בדיקה שגרתית קיימת. נשלחו לצוות הביקורת דוחות המעידים על הבדיקות המתבצעות באופן שוטף. יגובש נוהל כתוב בהתאם.

המלצה :2 ייכתב נוהל על פי המלצות הביקורת.

המלצה :3 קיים מערך התאוששות מאסון עם אפיון רמות ההמשכיות העסקית. יגובש נוהל כתוב בהתאם.

המלצה :4 קיים לוג ל-60 יום, נבצע הארכה בהתאם להמלצה.

המלצה :5 מבוצעת כיום בדיקה שוטפת. תירכש תוכנה מתאימה עבור מנהל המחשוב לשם ביצוע הבדיקה על ידו.

המלצה :6 תירכש תוכנה מתאימה כאמור לעיל.

המלצה :7 ימומש כחלק ממסקנות ייעוץ אבטחת המידע והסייבר.

המלצה :8 ימומש כחלק ממסקנות ייעוץ אבטחת המידע והסייבר.

התקנים ניידים

תקנה 12 מחייבת כי "בעל המאגר יגביל או ימנע אפשרות לחיבור התקנים ניידים למערכות המאגר במתכונת ההולמת את רמת אבטחת המידע שחלה על המאגר, את רגישות המידע, את הסיכונים המיוחדים למערכות המאגר או למידע הנובעים מחיבור ההתקן הנייד ואת קיומם של אמצעי הגנה מתאימים מפני סיכונים אלה; בעל מאגר מידע המאפשר שימוש במידע מהמאגר בהתקן נייד או העתקה שלו להתקן נייד ינקוט אמצעי הגנה בשים לב לסיכונים המיוחדים הקשורים לשימוש בהתקן נייד באותו מאגר מידע; לעניין זה יראו שימוש בשיטות הצפנה מקובלות כנקיטת אמצעים סבירים להגנה על מידע שהועתק להתקן הנייד".

נמצא כי בחברה לא קיים אמצעי למניעת חיבור התקנים ניידים. כך לדוגמה ניתן לחבר זיכרון נייד (Key On )Disk למחשבי הארגון ולהוציא מהם מידע.

15. היעדר מנגנון למניעת חיבור התקנים ניידים או מערכת הלבנה אשר תבדוק התקנים ניידים

לפני שהם מוכנסים לרשת הארגונית, חושף את החברה לסיכון של הוצאת מידע רגיש או פרטי, וכן משקף אי עמידה של החברה בחוק ותקנותיו.

הגנת הפרטיות, אבטחת מידע וסייבר בחברת אריאל || 41

20. ליישם מנגנון למניעת חיבור התקנים ניידים לתחנות הקצה של החברה, או לחלופין

להפעלת מערכת הלבנה מרכזית אשר תבדוק התקנים ניידים לפני שהם מוכנסים לרשת הארגונית, ובכך לצמצם את הסיכון להוצאת מידע רגיש או פרטי מהחברה.

תגובת המבוקרים

אופי פעילות החברה מחייב שימוש בהתקנים ניידים, כחלק מהעבודה השוטפת.

המנגנון לניטור התקנים ניידים קיים, מתבצעת בדיקה על פעולות שהוגדרו כגון וירוס.

כיוון שקיימות דרכים רבות לשליפת מידע, העובדים חתומים על הסכם סודיות.

עם זאת, החברה תשקול צמצום האפשרות למשתמשים ספציפיים, בהתאם לנוהל שייכתב.

אבטחת מערכות ותקשורת

נושא אבטחת מערכות המפעילות את מאגרי המידע מעוגן בכל התקנות. בהתאם לתקנה 13 יש להקפיד על ניהול ותפעול תקין למערכות אלו. בתקנה מצוין כי:

"א. בעל מאגר מידע יקפיד על ניהול ותפעול תקין של מערכות המאגר, לפי המקובל בהפעלת מערכות כאלה.

ב. בעל מאגר מידע יפריד, בהיקף ובמידה הסבירים האפשריים, בין מערכות המאגר אשר ניתן

לגשת מהן למידע, לבין מערכות מחשוב אחרות המשמשות את בעל המאגר.

ג. בעל מאגר מידע ידאג לכך שייערכו עדכונים שוטפים של מערכות המאגר, לרבות חומר

המחשב הנדרש לפעולתן; לא ייעשה שימוש במערכות שהיצרן לא תומך בהיבטי אבטחה שלהן אלא אם כן ניתן מענה אבטחתי מתאים".

תקנה 14 מתמקדת בנושא אבטחת תקשורת למקרים שאותן מערכות מחוברות לרשת חיצונית.

כדלקמן:

"א. בעל מאגר מידע לא יחבר את מערכות המאגר לרשת האינטרנט או לרשת ציבורית אחרת, בלא התקנת אמצעי הגנה מתאימים מפני חדירה לא מורשית או מפני תוכנות המסוגלות לגרום נזק או שיבוש למחשב או לחומר מחשב.

ב. העברת מידע ממאגר המידע, ברשת ציבורית או באינטרנט, תיעשה תוך שימוש בשיטות הצפנה

מקובלות.

ג. במאגר מידע שניתן לגשת אליו מרחוק, באמצעות רשת האינטרנט או רשת ציבורית אחרת,

ייעשה שימוש, נוסף על אמצעי אבטחה כאמור בתקנות משנה (א) ו-(ב), באמצעים שמטרתם לזהות את המתקשר והמאמתים את הרשאתו לביצוע הפעילות מרחוק ואת היקפה; לעניין גישה 42 || עיריית ירושלים – מבקרת העירייה – דוח שנתי 2024 של בעל הרשאה למאגר מידע ברמת האבטחה הבינונית והגבוהה ייעשה שימוש באמצעי פיזי הנתון לשליטתו הבלעדית של בעל ההרשאה".

הביקורת מציינת כי קיימת חשיבות רבה ליישום עדכוני אבטחת המידע, שכן גורמים עוינים רבים מכירים את הפרצות למיניהן ואת דרכי ניצולן. קיימת חשיבות מרובה למעקב ועדכון המערכות השונות.

אי עדכון מערכות שונות מגביר את הסיכון לניצול חולשות אבטחת מידע. יתר על כן הדבר משקף אי עמידה של החברה בהוראות החוק והתקנות.

להתקין כדרך קבע עדכוני אבטחה שונים.

תגובת המבוקרים

1. באחריות הספק החיצוני לבצע את העדכונים באופן שוטף. קיים שרת אחד שאין לו גישה

למאגרי מידע והוא קיים רק לצורך שליפת מידע היסטורי המבוצע באופן חיצוני.

2. מדובר במערכת אחת בלבד בארגון.

גישת מיקור חוץ למאגרי המידע

ארגונים רבים מסתמכים על מיקור חוץ לקבלת שירותים כגון תמיכה במערכות מידע, חישובי שכר ועוד. נושא זה חושף את הארגון לסיכון שלאותו גורם חיצוני יש גישה למידע רגיש בארגון. לנוכח זאת, אבטחה שוטפת של תהליך גישת מיקור החוץ לרשת הפנימית של הארגון הפכה להיות אחד ממנגנוני האבטחה החשובים.

תקנה 15 מחייבת את בעל המאגר כדלהלן:

1. לבחון לפני ביצוע ההתקשרות את סיכוני אבטחת המידע הכרוכים בהתקשרות.

2. לקבוע במפורש בהסכם עם הגורם החיצוני את כל הפרטים, בשים לב לסיכוני אבטחת המידע

הכרוכים בהתקשרות.

בידי החברה הסכמי התקשרות מפורטים הכוללים בין היתר התייחסות לשמירה על סודיות, שירותי תמיכה בחירום וכו' עם ספק התוכנה של מערכת ג' ועם ספק התוכנה של מערכת א', אולם אין בידה הסכם עם ספק מערכת ב' אשר כולל התייחסות לדרישות התקנות.

הגנת הפרטיות, אבטחת מידע וסייבר בחברת אריאל || 43 התחברות מרחוק של ספקי מיקור חוץ מותנית באישור מנהל המחשוב. החיבור מבוצע באמצעות מערכת שונות, ולטענת מנהל המחשוב, במהלך החיבור מרחוק הוא מנטר את פעולות הספק עד לסיום ההתחברות. חיבור הספקים נעשה לצורכי תמיכה או עדכונים בהתאם לדרישת החברה או מנהל המחשוב.

בחברה לא נערך סקר סיכוני אבטחת מידע בהיבטי ספקים אשר מטרתו לספק תמונה מלאה על התחברות הספקים לרשת ולמערכות החברה, לציוד שאליו הם ניגשים ולחומרים של החברה, וכן על אמצעי ההגנה שהספק מפעיל ועוד.

17. בידי החברה אין הסכם התקשרות עם ספק מערכת ב' הכולל התייחסות לשמירה על

סודיות, למתן שירותים ותמיכה בעת חירום וכן לדרישות המחייבות בחוק ובתקנות. מצב זה מגביר את הסיכון הקיים לחברה לזליגת מידע מצד הספק, וכן משקף אי עמידה שלה בהוראות החוק והתקנות.

22. לחתום על חוזה עם ספק מערכת ב', שבו יעוגנו הנושאים המחייבים בהתאם לדרישות

החוק והתקנות.

תגובת המבוקרים

החברה מחדשת את ההסכם עם חשבשבת מדי שנה בהזמנת עבודה כנדרש שמשמרת תנאי הסכם היסטורי. לאור בקשת המבקר החברה ביקשה וקיבלה מחשבשבת מסמך שמירת סודיות חתום על ידי חשבשבת.

ביצוע ביקורת תקופתית

ביצוע ביקורת תקופתית נועד לשמור על רמת אבטחה גבוהה בארגון ובמאגרי המידע. תקנה 16 מחייבת ביצוע ביקורת תקופתית אחת לתקופה כדלהלן:

"א. במאגר מידע שחלה עליו רמת האבטחה הבינונית או הגבוהה, בעל המאגר אחראי לכך שתיערך, אחת ל-24 חודשים לפחות, ביקורת פנימית או חיצונית, על ידי גורם בעל הכשרה מתאימה לביקורת בנושא אבטחת מידע שאינו ממונה האבטחה של המאגר, כדי לוודא את עמידתו בהוראות תקנות אלה.

ב. בדוח הביקורת ידווח המבקר על התאמת אמצעי האבטחה לנוהל האבטחה ולתקנות אלה,

יזהה ליקויים ויציע אמצעים הדרושים לתיקון המצב.

44 || עיריית ירושלים – מבקרת העירייה – דוח שנתי 2024

ג. בעל מאגר המידע ידון בדוחות הביקורת שיועברו לו, ויבחן את הצורך בעדכון מסמך הגדרות

המאגר או נוהל האבטחה בעקבותיהם.

ד. ...

ה. ארגון שהוא בעל כמה מאגרי מידע, רשאי לקיים את החובה הקבועה בתקנה זו במסגרת

ביקורת אחת לעניין כל מאגרי המידע שברשותו, המצויים באותה רמת אבטחה".

עולה כי לא מבוצעת בחברה ביקורת תקופתית.

ביקורת תקופתית כוללת באופן תדיר סקר סיכוני אבטחת מידע ומבדקי חדירה.

סקר סיכוני אבטחת מידע הוא תהליך המאפשר הגעה לרמת הגנה סבירה על מערכות המחשוב של הארגון תוך כדי שמירה על איזון ההוצאות התפעוליות הנובעות מיישום אמצעי הגנה על מערכות

אלה. התהליך כולל: זיהוי והערכת נכסי מידע ארגוניים, זיהוי סיכוני אבטחת מידע, ניתוח הסיכונים,

דירוג הסיכונים ועוד, במטרה לגלות חשיפות פוטנציאליות של נכסי המידע הקריטיים בארגון.

מבדקי חדירה הם שיטת בדיקה להערכת רמת האבטחה של מערכות, אפליקציות, שירותי מובייל ותשתיות. מטרת הבדיקה היא לאתר את החולשות והפגיעויות ולתת את הדגשים וההמלצות לתיקונן. הדבר נעשה על ידי איסוף המידע וניתוחו. במהלך הבדיקה הבוחן שואף לדמות את מאמציו של תוקף זדוני בצורה אותנטית במטרה לקבל מבט מציאותי על רמות ההגנה של הארגון.

הביקורת העלתה כי החברה לא ביצעה מעולם סקר סיכוני אבטחת מידע ומבדקי חדירה.

18. אי ביצוע ביקורת תקופתית ואי עריכת סקר סיכוני אבטחת מידע ומבדקי חדירה, בניגוד

להוראות החוק והתקנות, מקטינים את יכולת החברה לשמור על רמת אבטחה, לרבות אבטחת המידע במאגרי המידע שלה.

23. לבצע ביקורת תקופתית, אחת ל-24 חודשים לפחות ובהתאם לדרישות התקנות.

תגובת המבוקרים

ההמלצה תיושם בהתאם לנוהל שייכתב על ידי החברה לאבטחת מידע.

הגנת הפרטיות, אבטחת מידע וסייבר בחברת אריאל || 45

גיבויים ושחזורים

קיימים גורמי סיכון רבים על מערכות המידע, כגון: הגורם האנושי (אם בשוגג ואם בזדון), תקלות, וירוסים, נזקי טבע, וכו'. גורמים אלו עלולים לגרום לפגיעה בנתונים המנוהלים במערכות המידע ואף להפסקת פעילות מערכות אלו. כדי להבטיח את המשך פעילות מערכות המידע על הארגון לנקוט פעולות למיניהן - בין השאר עריכת גיבויים וביצוע שחזורים יזומים לבדיקתם.

תקנה (18א) מציינת כי:

"במאגר מידע שחלה עליו רמת האבטחה הבינונית או הגבוהה, יקבע בעל המאגר במסמך:

()1 נהלים לביצוע גיבוי כאמור בתקנה (17ב), באופן תקופתי שגרתי;

()2 נהלים להבטחת שחזור הנתונים כאמור בתקנה (17ב), ובלבד שביצוע השחזור יהיה באישור מנהל המאגר;

()3 כי במסגרת תיעוד אירועי אבטחה כאמור בתקנה ,11 יתועדו גם הליכי שחזור המידע, ובכלל זה – זהותו של מי שביצע את הליכי השחזור ופרטי המידע ששוחזר."

בחברה קיימת מערכת גיבוי ,VEEAM אשר מנהלת את תהליכי הגיבוי וכן גיבוי לקלטות של השרתים האלה:

• שרת Ariel-DC-New

• שרת Ariel-Terminal

• EST

• SQL

לחברה אין נוהל גיבויים ולא קיים תיעוד של שחזורים יזומים שבוצעו.

19. היעדר נוהל גיבויים ושחזורים חושף את החברה למצב שבו לא יבוצעו כנדרש תהליכי

הגיבוי והשחזור של המידע, מה שעלול לפגוע בנתוני מערכות המידע ואף להפסקת פעילות מערכות אלו.

24. לגבש נוהל גיבויים ושחזורים עבור תהליך הגיבויים והשחזורים בחברה בהתאם להוראות

החוק, לתקנות ולצרכים התפעוליים של החברה.

25. לשמור תיעוד מתאים של שחזורים שמבצעת החברה.

46 || עיריית ירושלים – מבקרת העירייה – דוח שנתי 2024

תגובת המבוקרים

המלצה :1 קיימים גיבויים, ייכתב נוהל לגבי גיבויים.

המלצה :2 מבוצע באופן שוטף. יש תיעוד שחזורים, נרשם במערכת השחזורים עם שמירה של 3 שנים לאחור.

התייחסות הארגון לנושא של דלף מידע ארגוני

דלף מידע פירושו שמידע מהארגון עובר לגורמים שאינם מורשים. דלף מידע יכול להיות תוצאה של גניבת מידע מכוונת ממניעים של ריגול עסקי, של כשל טכני, של טעויות אנוש וכו'.

הערוצים המרכזיים שדרכם יכול לדלוף מידע ארגוני הם הדואר האלקטרוני הארגוני, הדואר האלקטרוני הפרטי, הרשתות החברתיות, מדיה נתיקה (Key On Disk - ,)DOK מדפסות /פקסים, מכשירים סלולריים, גלישה לאתרים המכילים קוד עוין, מנגנוני AI ועוד.

אחת המטרות העיקריות של חוק הגנת הפרטיות ותקנותיו היא למנוע דלף מידע.

לא קיימת הנחיה על אופן הוצאת מידע מחוץ לחברה ולא קיימת בקרה טכנולוגית על הוצאת מידע דרך מערכות הדואר האלקטרוני והאינטרנט.

20. חוסר בהנחיות או בנהלים להוצאת מידע אל מחוץ לחברה ולבקרות טכנולוגיות על הוצאת

המידע חושף את החברה לדלף מידע ארגוני ולאי עמידה בהוראות החוק ותקנותיו.

26. למפות את גורמי הסיכון הארגוניים לדלף מידע.

27. למפות את מקומות אחסון החומר הרגיש ואת מסדי הנתונים שבהם מוחזק המידע.

28. לכתוב נוהל להוצאת מידע ממערכות החברה.

29. להפעיל בקרות להתמודדות עם דלף מידע כגון: הדרכות להגברת מודעות עובדים,

הפעלת מנגנון לחסימת אמצעים נתיקים, מערכת שימוש בדואר אלקטרוני מאובטח להעברת מידע רגיש, ניטור ספריות רגישות המחזיקות בחומרים רגישים לחברה וכיוצא באלו.

30. לבחון שימוש במנגנון DLP - Software Prevention Loss Data (מערכות למניעה של דלף

מידע) במערכות הדואר האלקטרוני והאינטרנט.

הגנת הפרטיות, אבטחת מידע וסייבר בחברת אריאל || 47

תגובת המבוקרים

המלצה 1 ו-:2 קיים בחברה מיפוי ספריות של המידע והגישה אליו לפי מחלקות. הגישה אל המידע של מחלקות בעלות מידע רגיש יותר מוגבלת למשתמשים מסוימים.

המלצה :3 ייכתב נוהל.

המלצה 4 ו-:5 החברה קיבלה לאחרונה הצעת מחיר למערכת XDR CyFox שתיתן מענה הולם.

במהלך השנה הקרובה החברה תבחן, עם יועצי האבטחה שלה, רכישה של מערכת לפי שיקולי עלות תועלת.

48 || עיריית ירושלים – מבקרת העירייה – דוח שנתי 2024

סיכום

הזכות של האדם לפרטיות היא אחת הזכויות החשובות בישראל ומעוגנת בחוק הגנת הפרטיות החל משנת 1981 (להלן: החוק) לרבות תקנותיו. החוק מגדיר מהי פגיעה בפרטיות ומסדיר גם את פעילותם של מאגרי מידע הכוללים מידע פרטי ורגיש.

הוראות אלו נכתבו, בין היתר, בשל העלייה המתמדת בהיקף ובעוצמת תקיפות הסייבר בארץ ובעולם. בין המותקפים ניתן למנות בתי חולים, אוניברסיטאות, עיריות, חברות ביטוח, תשתיות, אתרי אינטרנט ועוד. מתקפות שמשיגות את יעדיהן עלולות לערער את היציבות הארגונית, לפגוע בנכסי הארגון, במוניטין שלו ובלקוחותיו, ולעיתים אף לסכן חיי אדם.

חברת אריאל היא יעד פוטנציאלי לניסיון תקיפות סייבר, בין היתר בשל היותה חברה עירונית של עיריית ירושלים, עיר הבירה של מדינת ישראל ואחד מסמליה החשובים. ניסיונות חדירה ודלף של מידע, תקיפה והשחתה של אתר האינטרנט ומניעת שימוש במערכות, הם רק חלק מהסיכונים הקיימים במרחב הסייבר של החברה.

כדי לצמצם ככל האפשר את הסיכונים במרחב הסייבר נדרש למפות ולהעריך את הסיכונים הקיימים, להתוות מדיניות הגנה ברורה ולפקח על יישומה באופן שוטף.

הביקורת העלתה ליקויים מהותיים לגבי יישום הוראות חוק הגנת הפרטיות ותקנותיו; מדיניות ונוהלי אבטחת המידע, הקשחות עמדות קצה ושרתים, ניהול מערכת האנטי-וירוס, ניהול מערכת חומת האש, ניהול מערכת ה-AD (מערכת לניהול משתמשים) וליקויים בעלי חשיבות גבוהה במבדקי החדירה שביצעה.