מבקר המדינה ונציב תלונות הציבור, מתניהו אנגלמן, מפרסם היום שורה של דוחות ביקורת נוקבים החושפים ליקויים משמעותיים בהגנת הסייבר של גופי החירום והממשלה ובקצב הטרנספורמציה הדיגיטלית של השירותים לאזרח.
המבקר מתריע כי נוכח האיומים הגוברים מצד איראן, הממשלה חייבת לעדכן ולתקן באופן מיידי את מערכי ההגנה שלה.
מהדוחות עולה תמונת מצב מדאיגה: גופי חירום לא נערכו כנדרש למצבים אלו, ובמשך חודשים ארוכים השתמשו רוב משרדי הממשלה בכלי דיגיטלי שהיה חשוף לחלוטין למתקפות סייבר.
הביקורת על משרד החוץ, שנערכה ברובה במהלך מלחמת "חרבות ברזל", מעלה ממצאים חמורים במיוחד. במהלך המלחמה נרשם זינוק של כ-500% באירועי הגנת מידע בנציגויות ישראל בעולם, עם מאות אירועים הכוללים ניסיונות פריצה למערכות רגישות.
למרות היותו של המשרד יעד אסטרטגי ומרכזי למתקפות מצד איראן, חמאס וחיזבאללה, המבקר מצא כי מסמך מדיניות הגנת הסייבר של המשרד לא עודכן מאז שנת 2018.
בנוסף, נמצאו ליקויים חמורים בשמירה על מידע פרטי, כולל כונן רשת שהיה פתוח לכלל משתמשי המשרד והכיל עשרות אלפי מסמכים רגישים.
תקציב אגף התקשוב של המשרד (85.3 מיליון ש"ח ב-2024) נמצא כבלתי מספק, דבר שהוביל להקפאה או עיכוב של 14 פרויקטים חיוניים, בהם שדרוג המערכת הקונסולרית והמעבר לענן.
פרויקט דגל קונסולרי שאמור היה להסתיים ב-2019, נגרר עם עיכוב של כעשר שנים וצפוי להסתיים רק ב-2028, תוך חריגות תקציביות ומבלי שהמשרד ידע לאמוד את עלויותיו האמיתיות. למשרד אף אין תוכנית תקפה להתאוששות מאסון (DRP).
משרד הבינוי והשיכון מנהל עשרות מערכות מידע המכילות מיליוני רשומות רגישות של דיירי הדיור הציבורי, משתתפי הגרלות "דירה בהנחה" וקבלנים. למרות רגישות המידע, המשרד לא הסדיר במשך שמונה שנים את רישומם של תשעה מאגרי מידע כנדרש בתקנות הגנת הפרטיות.
בשנת 2024, חל גידול של 130% בהתרעות על פעילויות סייבר חשודות במשרד הבינוי, אך ועדת ההיגוי שלו לא עדכנה את מדיניות הסייבר מאז 2020, מיעטה לדון בסקרי סיכונים, ולא הציגה מנגנונים אוטומטיים לזיהוי פעולות חריגות בזמן אמת. כמו כן, המשרד טרם השלים את היערכותו להתמודדות עם מתקפות כופרה.
מתאר העבודה מרחוק, שהפך לחלק אינטגרלי במגזר הציבורי, מציב אתגרים קשים. המבקר מצא כי עשרה חודשים לאחר שמערך הסייבר הלאומי הנחה להפסיק את השימוש בתשתית עבודה מרחוק מסוימת עקב חולשות קריטיות, מערך הדיגיטל ו-65% ממשרדי הממשלה המשיכו להשתמש בה בניגוד להנחיות. השימוש בה הופסק רק בינואר 2025.
בגופי החירום והאכיפה המצב דורש תיקון מיידי: רשות הכבאות והצלה: לא ביצעה מבדקי חדירה עצמאיים למערכות העבודה מרחוק שלה עד למבדק שביצע המבקר, ואין לה תוכנית להמשכיות עסקית לשעת חירום.
משטרת ישראל לא קיימה תרגולים להתמודדות עם אירועי סייבר בזמן אמת, וביצעה מבדק חדירה למערכות העבודה מרחוק שלה רק בתחילת 2025 – כשמונה שנים לאחר המבדק הקודם. עם זאת, המשטרה צוינה לחיוב על ביצוע סקר סיכונים מקיף בשנת 2024.
הנהלת בתי המשפט: בנוהלי העבודה מרחוק שלה חסרות בקרות מרכזיות הנדרשות על ידי היחידה להגנת הסייבר בממשלה (יה"ב).
"שירות דיגיטלי לאזרח אינו מותרות", מדגיש אנגלמן. למרות החלטות ממשלה שהתקבלו לאורך השנים 2014–2025 לבסס את מערכת ההזדהות הלאומית והאזור האישי הממשלתי (mygov),
היישום בשטח עדיין איטי וחלקי. בסוף שנת 2024 היו רשומים במערכת 4.6 מיליון אזרחים, אך רובם נאלצים להתנהל מול מערכות נפרדות ומסורבלות.
נתוני המפתח המרכזיים מתוך הדוח: שירותים מחוברים: רק 16% מתוך כ-4,000 השירותים הממשלתיים שמופו מחוברים למערכת ההזדהות הלאומית.
משרדים מנותקים: 8 מתוך 31 משרדי ממשלה (26%) אינם מחוברים כלל למערכת ההזדהות, ובהם משרד החוץ ומשרד הביטחון.
גופים ציבוריים ורשויות: רק 6% מהרשויות המקומיות (15 מתוך 258) התחברו למערכת. גופים מרובי שירותים כמו רשות המיסים, הביטוח הלאומי ושירות התעסוקה מנהלים מערכות הזדהות עצמאיות, דבר המערים קשיים על האזרחים וחושף את המידע לסיכוני אבטחה.
בתי חולים: רק בית חולים ממשלתי אחד מתוך 11 (רמב"ם) מחובר למערכת.
טפסים ידניים: מאות שירותים עדיין מחייבים הדפסה ומילוי ידני. במשרד החוץ 89% מהטפסים הקונסולריים אינם מקוונים, בבתי הדין הרבניים 79%, וברשות האוכלוסין וההגירה 51%.
האזור העסקי: מציע שירותים דלים בלבד – 46 שירותים בלבד מתוך מאות, השייכים לעשרה גופים בלבד.
המבקר מציין לרעה גם את חוויית המשתמש המייגעת, הכוללת מנגנונים חוזרים ונשנים לשלילת בוטים שפוגעים בנכונות הציבור להשתמש באתר. בסקר שנערך, 65% מהמשתמשים דיווחו כי חוו קשיים בתהליך הכניסה וההזדהות.
לצד זאת, המבקר ציין לחיוב את פעילות מערך הדיגיטל הלאומי להקמת התשתיות וקידום הטרנספורמציה, וכן את החלפת מנגנון שלילת הבוטים לאחרונה ברכיב מתקדם ונוח יותר.
