בחינת אבטחת מידע בתחום התוכנה, חומרה ותשתיות, וכן ייזום, אפיון ופיתוח מערכות תוכנה חדשות אשר השונות, בראייה עתידית תוך הקפדה על אינטגרציה מלאה בין

Transcription

1 4 בחינת אבטחת מידע בעירייה מבוא א. בעירייה מערכות מידע ומחשוב עירוניות, אשר משמשות את יחידות העירייה השונות וחיוניות לפעילותה השוטפת. מערך המחשוב העירוני תומך במגוון רחב של תחומים, כגון: גבייה, חינוך, טיפול בפניות תושבים, הנדסה ועוד. על מתן שירותי המחשוב לכל אגפי העירייה אחראי "האגף"(. בין היתר אמון תחום על האגף אגף מערכות מידע ומחשוב )להלן: אבטחת המידע בעירייה, וכן מתן תמיכה, אחזקה ושירות בתחום התוכנה, חומרה ותשתיות, וכן ייזום, אפיון ופיתוח מערכות תוכנה חדשות אשר משרתות את היחידות 1 המערכות. השונות, בראייה עתידית תוך הקפדה על אינטגרציה מלאה בין על מנת להבטיח את המשך פעילותה התקינה של העירייה וכן לצורך שמירה על צנעת הפרט ועל הוראות החוק, יש לנקוט אמצעי אבטחת מידע, כלומר נקיטת פעולות ואמצעים במטרה להבטיח כי המידע ומערכי המידע היוצרים אותו והמטפלים בו יוגנו מפני פגיעה, חשיפה ושינוי במזיד או בשוגג, וזאת באופן שישמרו הזמינות, השלמות, המהימנות, 2 הסודיות והשרידות של המידע ומערכי המידע. המחוקק נתן דעתו להיבטים שונים של אבטחת מידע, והדבר בא לידי ביטוי ביו היתר בחוק הגנת הפרטיות, התשמ"א )להלן: "חוק הגנת הפרטיות"( ובחוק המחשבים, התשנ"ה )להלן: "חוק המחשבים"(. המחלקה הבכירה לביקורת המדינה במשרד ראש הממשלה פרסמה בחודש ספטמבר 2005 "נוהל מסגרת לאבטחת מידע", הכולל 38 נהלים לאבטחת מידע במשרדי הממשלה, העוסקים בנושאים כגון: קביעת מדיניות ומיפוי מידע; הגורם האנושי ואבטחת המידע; אבטחה לוגית; אבטחה פיזית; גיבוי, שחזור והתאוששות; אבטחת תקשורת ושימושי אינטרנט; אבטחת מידע במחשבים המנותקים מרשתות המשרד ועוד. )להלן: "חוברת נהלי המסגרת"(. 1 2 מטרות האגף לפי אתר האינטרנט העירוני. הגדרת "אבטחת מידע" מופיעה בחוברת "נהלי המסגרת" של משרד ראש הממשלה, נוהל מס' 1.

2 5 הביקורת נערכה בהתאם לדרישות חוק הגנת הפרטיות, והנורמות הקבועות בחוברת "נהלי המסגרת" ובנהלים עירוניים. בהתאם לנתוני התקציב המאושר לשנת 2014 הוקצו לפעילות האגף 5.3 מיליון, מתוכם השכר הקובע הוא 1.4 מיליון. בנוסף הוקצה לאגף תקציב בלתי רגיל בסך 1.5 מיליון. תקופת הביקורת הינה שנת איסוף ממצאי הביקורת נערך בחודשים אפריל עד ספטמבר מטרת הביקורת בחינת נושא אבטחת המידע והגנה על הפרטיות במערכות המחשוב העירוניות וברשת התקשורת..1 מתודולוגיה לצורך הכנת הדו"ח, בוצעו הפעולות הבאות: פגישות עם הרפרנט הכללי; פגישה עם רפרנט שליטה ובקרה; פגישה עם אחראי תחום PC ותשתיות תקשורת; סיור בחדר שרתים ואתר ה- DRP ; עיון בדוחות מהמערכת ובמסמכים רלוונטיים. כמו כן, נסמכה הביקורת, בין היתר, על המסמכים הבאים: מסמך מדיניות אבטחת המידע בעירייה - מסמך מדיניות הגנת הפרטיות - נוהל גיבויים למערכות המחשוב - נהלי אבטחת מידע - רשימת עובדי העירייה רשימת מאגרי מידע סקר סיכונים שערך האגף בספטמבר 2013 תכנית עבודה לשנת

3 6 חקיקה ונהלים נוהל מסגרת לאבטחת מידע חוק הגנת הפרטיות, התשמ"א חוק המחשבים, התשנ"ה תגובת האגף: הדו"ח כולו מסתמך על נהלים אשר אינם שייכים.3 לעירייה ואינם חלים עליה, כפי שנכתב בדו"ח מבקר המדינה לשנת 2011 בנושא אבטחת מידע. כל רשות הפועלת בנושא מלווה ביועץ/חברת ייעוץ אשר בוחנת ובונה את מדיניות האבטחה ברשות בהתאם להנחיית ההנהלה. התייחסות הביקורת לתגובה: הביקורת מציינת את הערת מבקר המדינה בדו"ח ביקורת משנת 2014 "בנושא ניהול רשומות אלקטרוניות ורשומות נייר ברשויות מקומיות" כי: "הנהלים המובאים באתר מחייבים את מוסדות המדינה, ומכאן שהם חלים גם על הרשויות המקומיות". מבנה האגף אגף מערכות מידע כולל: מנהל אגף זמני בפועל )לא קיים מינוי רשמי לתפקיד זה ר. סעיף 5.11(, תפקיד המאויש על ידי רפרנט מערכות המידע הכללי )להלן: "מנהל האגף" או "רפרנט מערכות מידע כללי"(. אחראי תחום PC תשתיות ותקשורת שהינו עובד של החברה לאוטומציה. טכנאים ורפרנטים במחלקות הלווין בעירייה..4 סה"כ באגף 10 עובדי עירייה ואחראי תחום.PC האגף נעזר בחברת מגלקום תקשורת ומחשבים בע"מ )להלן:"מגלקום"( אשר מבצעת שירותי אחזקה לרשת המחשוב בעירייה במסגרת מכרז שנערך ביום ה.20/1/2014

4 7 להלן תיאור מבנה האגף: רפרנט מערכות מידע כללי מזכירת האגף אחראי תחום PC תשתיות תקשורת )עובד חברת אוטומציה( רפרנטים באגפים השונים: - רפרנט מערכות מידע ברווחה - רפרנט מערכות מידע בחינוך - רפרנט מערכות מידע משאבי אנוש - רפרנט מחשוב מינהל כספים - רפרנט מחשוב אגפים שפ"ע ואיכות הסביבה, תומך במינהל הנדסה - טכנאי PC - טכנאית PC וטלפוניה.5 פירוט הממצאים 5.1 מבנה ארגוני וקביעת מדיניות מבנה ארגוני סעיף 17 ב לחוק הגנת הפרטיות קובע כי העירייה מחויבת למנות אדם בעל הכשרה מתאימה לתפקיד הממונה על אבטחת מידע )להלן הממונה( שיהא אחראי לאבטחת המידע במאגרים. על בנוסף "הוועדה"( פי סעיף אבטחת מידע הממונה על לנוהל העירוני לאבטחת מידע, על ועדת ההיגוי או )להלן: להתכנס לפחות אחת לרבעון לשם דיון בקביעת המסגרת הארגונית והמשאבים לניהול אבטחת המידע, קביעת קריטריונים לסיווג המידע, ייזום סקרי סיכונים ועוד. ממצאים: )1( מסמך מדיניות: באגף הוכן מסמך מדיניות בנושא אבטחת מידע, אשר מנחה את עובדי האגף והמשתמשים מהי מדיניות העירייה בנושא אבטחת מידע וכיצד עליהם לנהוג. - רפרנט שליטה ובקרה הביקורת סקרה את מסמך המדיניות ומצאה כי המסמך אינו דן בסוגיות בסיסיות אשר היה ראוי שיעסוק בהם, כגון: תפקידיהם ותחומי אחריותם של בעלי התפקידים לצורך אבטחת המידע בארגון בהתאם לנוהל 1 לחוברת נהלי המסגרת, קליטת עובדים חדשים בעירייה, התחברות ספקים מרחוק והשתלטות מרחוק,

5 8 מחיקת משתמשים לא פעילים, הדרכות לעובדים, עריכת סקר סיכונים, שימוש בהתקן נייד key(,)disk on חסימת אתרי אינטרנט לצפייה, גישת משתמשים מבחוץ, ועוד. תגובת האגף: המסמך נועד להגדיר את העקרונות הבסיסיים ליישום האבטחה וגישת הארגון ואינו מכיל את כלל הנהלים בנושא לפרטי פרטים. התייחסות הביקורת לתגובה: הביקורת חוזרת על עמדתה כי יש מקום להגדיר במסמך המדיניות את כלל היבטי אבטחת המידע כפי שפורטו לעיל, על מנת להסדיר את הנושא בעירייה על כל היבטיו. )2( על פי סעיף 3.1 לנוהל העירוני לאבטחת מידע, על ועדת ההיגוי להתכנס לפחות אחת לרבעון לשם דיון בקביעת המסגרת הארגונית והמשאבים לניהול אבטחת המידע, קביעת קריטריונים לסיווג המידע, ייזום סקרי סיכונים ועוד. לא נמצא תיעוד כי התקיימו ישיבות אלו. )3( נמצא כי כלל נהלי אבטחת המידע של האגף לא קיבלו תוקף מול ועדת ההיגוי וכן לא נמצאה התייחסות להגדרת אירועי אבטחת מידע הן מצד כח אדם והן מצד הכלים לניטור הנ"ל. )4( היעדר מינוי עירוני לתפקיד מנהל האגף: נוהל מס' 4 לחוברת נהלי המסגרת מגדיר את תפקידו של מנהל אגף מערכות מידע )מנמ"ר(: "קיימת חשיבות תפעולית ואבטחתית במינוי אחראי לכל מערכת מידע. מנהל האגף ינחה, יתאם וירכז פעילות האגף." כמו כן, האגף לכח אדם ושכר ברשויות שבמשרד הפנים, קובע שיש למנות מנהל אגף מערכות מידע ראשי )מנמ"ר(, אשר יהיה אחראי על תכנון וניהול מערכות המידע הניהוליות של הרשות המקומית כמנגנון ניהולי ותפעולי בסיסי בארגון. על פי נתוני משאבי אנוש לא קיים לאגף מנהל, או מ"מ מנהל האגף. בפועל ממלא את התפקיד רפרנט מערכות המידע הכללי, וזאת מבלי שהדבר מאושר על ידי משאבי אנוש, ולא התקבלה כל הנחיה או החלטה פורמלית למינוי מנהל אגף קבוע.

6 9 תגובת האגף: מ"מ מנהל האגף המשמש כיום בתפקיד מונה ע"י המנכ"ל. לעניין כתב מינוי רשמי ממשאבי אנוש- הוסדר. הנושא אכן טרם תגובת מנכ"ל העירייה: גם בעבר לא היה מינוי עירוני לתפקיד מנהל האגף. עקב חוסר בתקציב, ובנוסף עקב העובדה כי לא קיים מנהל אגף, היות והנני בעל רקע בנושא מחשוב, לקחתי על עצמי להיות אחראי על נושא המחשוב בעירייה. בחודש מרץ 2016 צפויה העירייה לפרסם מכרז למינוי מנהל מערכות מידע. )5( היעדר מינוי לממונה אבטחת מידע בעירייה: האגף לכוח אדם ושכר ברשויות המקומיות במנהל השלטון המקומי במשרד הפנים קובע כי "כל גוף ציבורי )לרבות רשויות מקומיות( ימנה ממונה על אבטחת מידע )סעיף 17 ב' לחוק הגנת הפרטיות(" אשר תפקידו יהיה "ניהול אבטחת המידע ברשות המקומית בהתאם להוראות הדין הקיים ולנהלי הרשות המקומית ומדיניותה". מנהל האגף החל בהכשרת רפרנט השליטה והבקרה באגף בנושא אבטחת מידע, ועל כן הוא הוצא על ידי העירייה לקורס מקצועי בסיסי בנושא אבטחת מידע. העירייה מינתה ביולי 2015 את רפרנט השליטה והבקרה כממונה אבטחת מידע. הביקורת סבורה כי קורס זה בלבד אינו יכול להעניק לרפרנט את הידע הנדרש לניהול אבטחת המידע ולצורך יישום המטלות המצוינות בחוזר האגף לכח אדם וכן כפי שקיים ברשויות נוספות, לא הוקצה ע"י העירייה תקן ייעודי לנושא זה. מסקנות: )1( מסמך מדיניות אבטחת המידע אין בו כדי להציג מדיניות שלמה של העירייה בתחום אבטחת המידע.

7 לא מתקיימת פעילות שוטפת של ועדת ההיגוי, וזאת בניגוד לסעיף לנוהל )2( העירוני לאבטחת מידע לא כמוכן, ביצעה וועדת ההיגוי תיקוף לכלל נהלי אבטחת המידע תפקיד מנהל האגף לא מאוייש מתאריך החל בפועל ממלא תפקיד זה )3( מערכות המידע רפרנט הכללי מבלי שהדבר אושר על ידי משאבי אנוש, וזאת בניגוד לנוהל )נוהל מס' 4 לחוברת נהלי המסגרת( ולהנחיות האגף לכח אדם ושכר ברשויות המקומיות שבמשרד הפנים. לא קיים תקן ייעודי לממונה אבטחת מידע ולא קיים גורם מקצועי בעירייה אשר )4( מטפל בנושא זה. המלצות: הרחבת מסמך המדיניות באמצעות נהלי אבטחת המידע העירייה. ואישורו על ידי הנהלת )1( קיום פעילות שוטפת של ועדת ההיגוי, בהתאם לסעיף 3.1 לנוהל העירוני )2( לאבטחת מידע. )3( תיקוף כלל נהלי אבטחת המידע. )4( מינוי מנהל אגף באמצעות יציאה למכרז. )5( בחינת קליטת מנהל אבטחת מידע בהתאם להגדרות של משרד הפנים לתפקיד או לחלופין המשך הכשרת הממונה לנושא בצורה מקיפה וכן בחינת התקשרות עם חברת ייעוץ בנושא סקרי סיכונים נוהל מספר 3 לנוהלי המסגרת בנושא "סקרי סיכונים - ניהול והערכה", קובע כי על האגף לערוך סקר סיכונים, שמטרתו לאתר את הסיכונים לארגון ולהעריך את חומרתם, זאת על מנת לאפשר קבלת החלטה מבוססת באיזה סיכונים לטפל, ובאיזה סדר עדיפות, עלות ולוח זמנים. הנוהל ממליץ להעריך סיכונים כשלב מקדים בתהליך עיצוב מדיניות אבטחת מידע, כאשר תוצאות ההערכה יסייעו לקבוע מהן פעולות האבטחה שראוי לנקוט וישמשו כאמצעי לקביעת קדימויות להקצאת המשאבים.

8 11 ממצאים: )1( באגף נערך סקר סיכונים בספטמבר 2013 בעלות 25 אש"ח. נמצא כי הסקר הציג נתונים וממצאים אשר כלל אינם רלוונטיים לעירייה כגון: "התחברות ספקים באמצעות חיוג חוזר", "פריסת תקשורת בצנרת סגורה ועוד". בנוסף לא נמצא תיעוד לכך שבוצע דיון באגף לשם יישום המלצות הסקר הנ"ל. במקביל לביצוע סקר זה, שכר האגף את שירותי חברת הייעוץ הנ"ל לביצוע "דוח בדיקות חוסן", בעלות של 25 אש"ח נוספים. תגובת האגף: סקר הסיכונים הוא מסמך טיוטא אשר טרם אושר, התבקשו תיקונים והבהרות מהיועץ ומשלא נענו לא הומשך הטיפול בנושא. הועברה הזמנה לחברת הייעוץ לביצוע 25 הסקר 40 ע"ס אש"ח בפועל שולם רק אש"ח. על גבי דו"ח ביקורת חוסן נרשמו התייחסויות וטיפול בליקויים שנרשמו. )2( סעיף 3.2 )ב( למסמך מדיניות אבטחת המידע בעירייה קובע כי חלק מעיקרי התפקידים והמשימות של ממונה אבטחת המידע הוא "ביצוע סקרי סיכונים עיתיים", אך לא קובע את התדירות הנדרשת לביצוע הסקרים. הביקורת מעירה כי סקר הסיכונים האחרון בעירייה נעשה בספטמבר 2013, לפני יותר משנתיים, והדבר אינו עונה על דרישות מסמך המדיניות. מסקנות: )1( האגף שכר שירותי ייעוץ בנושא סקר סיכונים בעלות של 25 אלפי, מבלי שבוצע שימוש בדו"ח זה לתיקון הליקויים. לדברי האגף, שירותי היועץ לא היו לשביעות רצון האגף, ולא נשכרו שירותי יועץ אחרים על מנת להשלים את הטיפול בנושא. )2( נושא עריכת סקר סיכונים ודו"ח ביקורת חוסן בעירייה לא נדון במסמך מדיניות אבטחת המידע, בכל הקשור לתדירות ביצועם, היקפם, והשימוש שייעשה בהם. המלצות:

9 12 הביקורת ממליצה כי מנהל האגף יקיים סקר סיכונים חדש בהקדם, לאחריו יקויימו ישיבות עם וועדת ההיגוי לשם גיבוש מדיניות העירייה בנושא ויישום ממצאי המלצות סקר הסיכונים. עדכון הנוהל העירוני לאבטחת מידע כך שיגדיר מועדי עריכת סקרי סיכונים ודו"ח ביקורת חוסן, כולל התדירות הנדרשת לביצוע הסקרים והשימוש שייעשה בהם. )1( )2(

10 התקשרות עם חברת מגלקום בינואר 2014 נבחרה חברת מגלקום תקשורת ומחשבים בע"מ )להלן:"מגלקום"( למתן שירותי אחזקה לרשת המחשוב בעירייה וכן אספקת רכיבי תקשורת. בשנת 2014 שולמו לחברה בגין שירותי אחזקת הרכש ורכישת ציוד סך של 538 אלפי. תגובת האגף: מגלקום זכו במכרז של העירייה לאחזקת הרשת 3 הארכות החל מ בנוסף העירייה עבדה בשנת לשנה עם חברת מגלקום בנושא התקנת תשתיות תקשורת פסיבית ע"פ חוזה חשכ"ל מממ שמגלקום זכיינים שלו והעירייה עובדת לפיו ע"פ אישורי משרד האוצר לרשויות להתקשרות עם ספקים זוכי מכרזי חשכ"ל. החוזה של מגלקום עם חשכ"ל הינו עד 8/2016. בנוסף התקבלה הנחה של 2% על מחירי חוזה חשכ"ל. שאר ההזמנות בנושאי רשת )כגון מתגים, שרתים וכו'(- מגלקום זכו ע"פ חוק במסגרת יציאת אגף הרכש להצעות מחיר לספקים. ממצא: )1( סעיף לנספח ב לחוזה ההתקשרות בין העירייה למגלקום קובע כי הספק יבצע בחינת כלל המערכות אחת לרבעון ויגיש למנהל מערכות מידע ומחשוב ולאחראי תחום ה PC דו"ח רבעוני המציג סקירה של פעילות מגלקום. הביקורת קיבלה לידיה דו"ח רבעוני אשר הופק על ידי מגלקום למנהל האגף הגורם האנושי ואבטחת המידע גיוס עובדים ופתיחת הרשאות על מנת להפחית טעויות אנוש או שימוש לרעה במידע שנאגר בעירייה, נושאי אבטחת מידע ושמירת הסודיות צריכים להיות מטופלים כבר בשלב גיוס העובדים ולהיכלל בחוזים, ולאחר מכן להיות מנוטרים במשך זמן העסקתו של העובד. לפי נוהל מס' 13 בחוברת נהלי המסגרת, בנושא "מידור, זיהוי והרשאות משתמשים" )להלן: "נוהל מס' 13"(, "מנהל מערכות מחשוב ירשום את המערכות שאליהן יהיה העובד מורשה לגשת,

11 14 יפרט אם העובד מורשה לעדכן את הנתונים או רק להציגם ויאשר בחתימתו על גבי הטופס את מתן הסיסמה ורשות הכניסה למערכת". בשנת 2014 נקלטו בעירייה 154 עובדים חדשים. על כל עובד חדש לחתום על הצהרת סודיות עם כניסתו לתפקיד. ממצאים: )1( )2( פתיחת הרשאות במערכות העירייה למשתמשים חדשים על בסיס מבוצעת אישור אודות העסקת העובד ממשאבי אנוש, הגדרת הדרישות ע"י הרפרנט האגפי בשיתוף עם המנהל הישיר והגדרת החשבון וההרשאות ע"י טכנאי,PC באמצעות המייל, ללא טופס מובנה המציג את כלל המערכות ורמת ההרשאות העובד על פי הגדרת תפקידו ממנהלו הישיר. 7 במדגם של )3( להם נדרש המערכות בכל עובדים חדשים לשם בחינה האם העובדים חתמו במועד על הצהרה בדבר שמירה על סודיות נמצא כי אחד העובדים )ת.ז ( חתם על הצהרת הסודיות רק לאחר כ 13 חודשים ממועד כניסתו לתפקיד. תאריך חתימה האם קיים אישור כן /לא? התחלה תיאור משרה מספר עובד 25/2/2014 כן 14/01/2014 פקידה במשרד הרישוי /5/2014 כן 01/05/2014 פסיכולוג /6/2014 כן 01/06/2014 תובע עירוני /8/2014 כן 01/08/2014 רפרנט פרוייקטים /9/2014 כן 27/08/2014 פסיכולוג /9/2014 כן 03/09/2014 פסיכולוגית /10/2015 כן 11/09/2014 רכזת מידע ממצא זה הועבר לתגובת מנהלת מחלקת שכר ומשאבי אנוש אך לא נתקבלה תגובתה. מהביקורת עולה כי לא נערכות הדרכות לעובדים חדשים בנושא אבטחת מידע, ובכך המשתמשים אינם מודעים לדרישות העירוניות בנושא אבטחת המידע. תגובת האגף: הנושא אכן אינו מוסדר. מומלץ על ידינו שהנושא יוסדר כחלק מפעילות וועדת ההיגוי.

12 15 מסקנות: )1( קיים ממשק ידני בין משאבי אנוש למערכות מידע, אשר אינו מבוקר )אף באופן מדגמי( כי אכן כל הרשאות העובדים החדשים ניתנו בהתאם לבקשת המנהל הישיר וכי כלל העובדים אכן מלאו את הצהרת הסודיות כפי שנדרש. המלצות: )1( הגדרת טופס המציג את כלל הרשאות המשתמש ברשת וביישומים וימולא על ידי מנהלו הישיר של העובד בליווי הרפרנט האגפי, כאשר טופס זה יועבר על ידי משאבי אנוש לאגף. )2( על מנהל האגף לדאוג כי תיערך בדיקה מדגמית כי אכן נתנו הרשאות לעובדים החדשים בהתאם להגדרות שנתנו על ידי המנהל הישיר ובליווי הרפרנט האגפי. )3( מומלץ להחתים את העובד על הצהרת סודיות מיד עם כניסתו לתפקיד הדרכות נוהל מס' 8 בחוברת נהלי המסגרת, בנושא "מודעות, הדרכה, הטמעה והסברה", ממליץ כי המשתמשים יקבלו הדרכה בנושא נהלי אבטחה, וכי פעילות ההדרכה תקבל תקציב הולם. הנוהל דן בהדרכה לעובדים חדשים, בהדרכה שנתית ו"פעילות של ריענון": "ההדרכה תכלול דרישות אבטחה, מחויבויות על פי החוק ובקרות של המשרד, וכן הדרכה לשימוש נכון באפשרות לעיבוד מידע, כגון נהלי כניסה למערכת, שימוש בחבילות תוכנה, כל זאת לפני מתן הרשאת גישה למידע או לשירותים". כמו כן, "פעם בשנה תתבצענה פעילויות הדרכה בנושא אבטחת מידע לקבוצות עובדים, משתמשי מחשב ו/או לקבוצות להן נגיעה למידע...במהלך השנה תתבצע פעילות של ריענון להגברת המודעות האבטחתית". ממצאים: )1( נמצא כי בעירייה לא מבוצעות הדרכות שוטפות לעובדים הקיימים או לעובדים חדשים בעירייה בנושא אבטחת מידע, על מנת להעלות את מודעות העובדים לנושא, וזאת בניגוד לנהלי המסגרת ולמסמך מדיניות אבטחת המידע בעירייה, אשר קובע בסעיף 6.11 כי "לפחות אחת לשנה יעבור כל עובד בעירייה, הדרכה כלשהי בנושא אבטחת המידע, וכי לפחות אחת לשלוש שנים יש לרענן את ההתחייבות של העובדים לשמירת סודיות המידע".

13 16 נמצא כי האגף כלל אינו שולח התראות לעובדים באמצעות הדואר האלקטרוני בנוגע לוירוסים, תקלות, סיכונים באי החלפת סיסמא ועוד, על אף שיש צורך ליידעם בנושאים אלו. תגובת האגף: שליחת התראות לכלל העובדים מתבצעת בעת )2( הצורך, החלפת סיסמא מתבצעת באופן אוטומטי לכל העובדים מלבד יוצאי דופן שהוגדרו שלא. המלצות: )1( מומלץ שכל נושא ההדרכות יוסדר במסגרת פעילות וועדת ההיגוי בשיתוף מחלקת הדרכה. )2( הביקורת ממליצה כי מעת לעת האגף ישלח התראות ומזכרים לעובדים בתחום אבטחת המידע באמצעות הדואר האלקטרוני התחברות ספקים / עובדים מרחוק נוהל מס' 7 בחוברת נהלי המסגרת, עוסק בנושא "קשר עם גורמי חוץ ב- "OUTSOURCING )להלן: "נוהל מס' 7"(, ודן ב"הגדרת אופן קיום הקשר העסקי עם גורמי חוץ, במגמה לצמצם את הסיכון למערכות הממוחשבות ולמאגרי המידע". האגף נעזר ב F.W של חברת Fortinet אשר מתוחזקת על ידי חברת מגלקום, המאפשר חיבור משתמשים וספקים מרחוק למאגרי המידע בעירייה. כמו כן מאפשרת ה- F.W מניעת חדירה לרשת של גורמים מחוץ לארגון, לרבות באמצעות רשת האינטרנט. מערכת זו מונעת את הכניסה הבלתי-מורשית באמצעות כללים שיש להגדירם במערכת. בנוהל מספר 34 בנושא "אבטחת מידע בשימוש באינטרנט" נכתב כי השימוש במערכת F.W צריך להתבצע ביוזמת מנהל האגף ובסיוע של יועץ מקצועי בכיר.

14 17 ממצאים: F.W נמצא כי מערכת החוקים )קרויים )Rules הקיימים ב בין מתוחזקת )1( היתר על ידי חברת מגלקום במשתמש.ADMIN קיים סיכון כי החברה תעניק הרשאה לספק ללא קבלת היתר מראש. תגובת האגף: מגלקום אינה מבצעת אף שינוי/הוספה/מחיקה במערכת החוקים או בפרופילי האבטחה במערכת ללא הנחיה מפורשת לכך. )2( לא קיימים בעירייה כלי ניטור המציגים בפני מנהל האגף מהם השינויים שבוצעו ברשת וביישומים, אלא ניתן לראות רק מי הם הגורמים אשר התחברו, שעת כניסה ושעת יציאה. כך למעשה מנהל האגף אינו מודע למהות השינויים / צפייה בנתונים רגישים אשר בוצעו על ידי הספקים. לא קיים נוהל עירוני המפרט מי הם הספקים הרשאים להתחבר מרחוק למאגרי )3( החברה, כיום קיימות תוכנות גישה מרחוק המאפשרות למשתמש לעבוד בתחנת teamviewer העבודה שלו ממחשב מרוחק כגון: תוכנת,ammy ועוד. תוכנות אלו עלולות לשמש פתח לעובדים לבצע פעולות זדון שלא בשעות העבודה, וללא הגעה למשרדי העירייה. תגובת האגף: ייבדק בהתאם למדיניות שתקבע ע"י וועדת ההיגוי. 3 נמצא כי קיימת הרשאה לעדכון גישה מרחוק עבור ספקים אך ורק ל- עובדי )4( האגף, וכן למשתמש admin אשר משמש את חברת מגלקום- תקין. מסקנות: לא קיימת בקרה אחר פעילות ספקים מחוץ לעירייה בעת התחברות למאגרי )1( המידע. )2( התחברות ספקים מרחוק אינה מוסדרת בנוהל העירוני. עובדים יכולים להתחבר מחוץ למשרדי העירייה מבלי שהדבר יתגלה על ידי )3( מנהל האגף באמצעות כלים חיצוניים.

15 18 המלצות: )1( על מנהל האגף לוודא כי מתבצעת בקרה באופן סדיר אחר התנועות המבוצעות ב F.W על ידי המשתמש ADMIN של חברת מגלקום ולאשרן. )2( יש לבחון רכישת כלים, במסגרת התב"רים העומדים לרשות האגף, אשר יאפשרו מעקב אחרי כניסת גורמים מחוץ לעירייה בכפוף להקצאת כח אדם נדרש. )3( יש לעגן את נושא הגישה מרחוק במסגרת וועדת ההיגוי כולל התייחסות לגבי הורדת תוכנות. אבטחה לוגית ניהול הרשאות משתמשים נוהל מס' 13 )עמ' 43( מורה כי "עזיבת עובד...או העברתו לתפקיד אחר, תועבר מיידית לידיעת מנהל היישום, וזה יבטל את הרשאות הגישה של העובד. אחריות הדיווח חלה על הממונה הישיר ו/או מנהל יחידת משאבי אנוש בארגון". עוד מורה נוהל מס' 13 )עמ' 43( כי: "אחת לרבעון תתבצע פעילות ביטול או הקפאת משתמשים שלא עשו שימוש במשאבי המחשוב, במשך תקופה שתוגדר בזמן הבדיקה". האגף מנהל את המשתמשים המצויים )להלן : Active-Directory הקרויה : ברשת המקומית באמצעות תוכנת ניהול.)"A.D" ממצאים: )1( הביקורת ערכה בדיקה מדגמית בה הצליבה בין רשימת העובדים שעזבו את העירייה לבין רשימת המשתמשים הפעילים ברשת. נמצאו 3 משתמשים שהפסיקו עבודתם בעירייה אך עדיין מופיעים כמשתמשים פעילים.

16 19 מספר ת.ז התייחסות אגף משאבי אנוש התייחסות אגף מחשוב התייחסות הביקורת סיימה את עבודתה בעירייה בתאריך נתקבלה בקשה להעביר הנושא להמשך טיפול לי.ש ביום ה - 12/8/2015. תקין שהתה שנה בחל"ת וחזרה לעבודה ב נתקבלה דרישה להמשך פעילות מול האגף לא נתקבלה אסמכתא לדרישה בנושא זה סיים את עבודתו בעירייה בתאריך העובד ממשיך לתת מענה לדרישות העירייה נתקבלה בקשה ב - 18/11/2015 הבקשה נתנה רק לאחר כשנה וחצי מעזיבת העובד הקודם מסקירת רשימת המשתמשים ב A.D נמצאו משתמשים אשר אינם עובדי עירייה, ועל כן לדעת הביקורת לא צריכה להיות להם הרשאה ישירה למאגרי המידע של העירייה כלל. במידה ומדובר בספקים הרי שבכל מקרה שקיים צורך בעדכון, הדבר צריך להיעשות על ידי עובדי האגף ולא על ידי הספקים ללא כל בקרה. להלן מספר דוגמאות למשתמשים שאינם עובדי עירייה:,RIKOTEK - TELDOR,Guest ראה נספח א. תגובת האגף: ההרשאות שניתנו לספקים הינן בהתאם לצורך. )2( בנוסף, הספק חותם במסגרת הסכם ההתקשרות על מסמך שמירת סודיות. יצויין כי בעקבות הערת הביקורת יבחנו שוב הרשאות המשתמשים הנ"ל מתוך כוונה כי ההרשאה תוגבל לביצוע עבודות תחזוקה בלבד. נמצא כי בשנת 2014 האגף לא ביצע כלל ביטול או הקפאה של משתמשים שלא עשו שימוש במשאבי המחשוב מעבר ל 3 חודשים. הדבר חיוני לאיתור משתמשים שעזבו/ יצאו לחל"ת אך לא דווחו לאגף על ידי משאבי אנוש. )3(

17 תגובת האגף: ב בוצע באופן מדגמי ושיטתי וב בוצע באמצעות הפקת דו"ח. כי חלק מספקי העירייה יבצעו תנועות ללא בקרה הולמת מסקנות: )1( קיים סיכון קריאה\כתיבה לתיקיות ללא כל בקרה. המלצות: )1( יש למנוע גישה מספקים הרשאה לעדכון / צפייה בתיקיות ללא כל בקרה מתאימה. )2( יש לעגן את נושא הקפאת המשתמשים שלא ביצעו כניסה למערכת מעבר ל 3 חודשים בנהלי האגף ניהול הרשאות ביישומים הביקורת ביקשה לבחון האם הרשאות המשתמשים במערכת השכר )להלן: "חילן"( תואמות את הגדרת תפקידם. יצויין כי לחשבי השכר קיימות הרשאות עדכון ואילו למנהלים קיימות הרשאות צפייה בדיווחי נוכחות העובדים הכפופים להם. על פי נהלי העירייה חשבי השכר מנועים מלהזין נתוני שכר עבור קרובי משפחתם המועסקים בעירייה, הדבר מתבצע באמצעות שליחת דוא"ל של מנהלת המחלקה לחברת חילן טק אשר מנהלת טבלת ת.ז אשר נאסר על כל החשבים לעדכנם במידה וקרוב משפחה שלו מועסק בעירייה. ממצאים: )1( מהשוואת רשימת עובדי העירייה להם יש הרשאה למערכת חילן, לבין רשימת כלל עובדי העירייה, נמצאו משתמשים שאינם עובדי עירייה אך בעלי גישה לחילן. כמו כן חלק מהמשתמשים אינם בעלי זיהוי חד ערכי המאפשר לזהותם באופן שמי.

18 21 שם העובד פרוייקטור מ.א בת שירות בת שירות בת שירות מספר משתמש IAS0008 IAS00021 IAS0050 IAS0053 IAS0054 התייחסות האגף משתמש של עובד קבלן מחלקת הדרכה- מזינה רק השתלמויות, היא באגף משאבי אנוש יש בנות שירות שעוזרות להזין השתלמויות יש בנות שירות שעוזרות להזין השתלמויות יש בנות שירות שעוזרות להזין השתלמויות )2( מהשוואת רשימת עובדי העירייה להם יש הרשאה למערכת חילן, לבין רשימת כלל עובדי העירייה, נמצאו מספר משתמשים אשר הועברו מתפקידם או עזבו את העירייה אך נמצאו כבעלי הרשאה למערכת חילן: התייחסות האגף מספר משתמש שם העובד א.ק IAS0060 מ.י סיים את תפקידו עבר לכ.ק IAS0061 ש.ל יעבור עבר לא.ס תפקידו סיים את IAS0062 י.א לדובר שייקלט סיים את עבודתו בעירייה בתאריך עבר ל-ל.א IAS0069 ש.ב פרש לגמלאות בתאריך עבר לע.מ IAS0072 פ.ב תגובת מנהלת מחלקת שכר ומשאבי אנוש: "עם פרישתו של עובד מדווחת במייל בין היתר ליחידת המחשוב, ועד העובדים, יחידת הבקרה, אמרכלות, ועוד." מאגף המחשוב נמסר כי הרשאות העובדים שעזבו עברו לעובדים פעילים כפי שצוין בהתייחסות האגף בטבלה לעיל. הביקורת מציינת בתגובה כי לא נתקבלו אסמכתאות מבססת להסרת ההרשאות לעובדים שעזבו והעברתם לעובדים פעילים.

19 22 בהתאם לשיחה שערכה הביקורת עם מנהלת מחלקת שכר ענתה מנהלת השכר בשלילה לשאלה "האם הינה בעלת הרשאת כתיבה לאחד מקורבי משפחתה?", עם זאת מבדיקה שערכה הביקורת בחודש יוני 2015 נמצא כי בניגוד לדברי מנהלת המחלקה קיימת לה גישה לעריכת נתונים של קרובה המועסקת בעירייה וחמור מזה אף ביצעה עבורה עדכונים הלכה למעשה בתלושי השכר של ת.ז יצויין כי נתונים אלו נבחנו באמצעות דוח תנועות שהפיקה הביקורת ממערכת השכר ולא נמצאו חריגים. עם זאת הביקורת מעירה בחומרה כי מנהלת המחלקה הפרה את נהלי העבודה הבסיסיים ביותר בכך שלא דיווחה לחברת חילן ואף ביצעה עדכונים לקרובת משפחתה. תגובת מנהלת מחלקת שכר ומשאבי אנוש: "תשובתי הייתה חד )3( משמעית שלילית לגבי השאלה אם בעלי עובד עירייה. כשנשאלתי על בתי השבתי בחיוב. ביקש לבדוק האם יש לי הרשאה לעדכן נתוני שכר? בביטחון מלא עניתי "בוא נבדוק" ואכן הייתה לי אפשרות, עוד באותו היום ניתנה הוראה לחילן לטיפול מיידי בסוגיה וזו אכן טופלה. "בנושא הרשאות למערכת חילן הנחיתי את חילן ביוזמתי האישית ולא כי הייתה הכוונה בנושא. היות וגם במחלקה אצלי לרפרנטיות ישנם קרבה משפחתית כזו או אחרת ביקשתי לחסום אפשרות לטיפול באמצעות המחשב. אבקש להוסיף ולהדגיש עד לרגע כתיבת ההתייחסות אין נוהל אבטחת מידע בסביבה ממוחשבת. מתוך כך והפקת לקחים נעשים כבר בימים אלו פעולות נוספות בנושא זה." נוהל מס' 13 קובע בין היתר: "באחריות מנהלי המאגרים לבדוק כל משתמש פעם בשנה, לצורך עדכון מפת ההרשאות. הביצוע יהיה ביוזמת מנהלי היישומים ובתיאום עם הממונים הישירים". נמצא כי מנהלת מחלקת שכר אינה סוקרת את כלל הרשאות המשתמשים בחילן לשם איתור משתמשים בעלי הרשאות עודפות, או לחילופין משתמשים שעזבו את העירייה אך הרשאתם טרם הוסרה מן היישומים. )4(

20 23 )5( הביקורת ביקשה לבחון האם בגין כל שינויי חשבון הבנק אשר בוצעו על ידי העובדים, בוצע השינוי בהסתמך על דף בנק של העובד- ראה נספח ב. נמצא כי רק 2 מתוך 13 שינויים בוצעו בהסתמך על אישור העובד, ביתרת המקרים שנבחנו לא נמצאו אישורים של העובד לביצוע שינוי / הקמת מספר חשבון בנק. )6( נמצא כי המערכת מונעת מחשבי השכר עדכון של תלושי השכר שלהם- תקין. )7( נמצא כי בחוזה עם חברת חילן קיימת התייחסות מקיפה לכלל היבטי אבטחת מידע הרלוונטיים תקין. מסקנות: )1( חשבי השכר ביצעו שינוי של פרטי חשבון בנק ללא כל תיעוד מצד העובד כי אכן ברצונו לשנות את פרטי החשבון במערכת השכר. המלצות: )1( מנהלת משאבי אנוש )ולא מנהלי מדור שכר( תבצע בדיקה תקופתית כי אכן לא קיימת הרשאה לעדכון קרובי משפחה על ידי חשבות השכר. )2( מומלץ כי שינויי חשבון בנק יבוצעו אך ורק לאחר הצגת פרטי חשבון הבנק החדשים מן הבנק לעיון חשב השכר. בנוסף מנהלת מחלקת שכר תערוך בדיקה מדגמית באמצעות הפקת דוח שינויי חשבון בנק לשם בחינה כי בגין השינוי שבוצע במערכת קיים תיעוד מתאים מן העובד.

21 ניהול סיסמאות ברשת לפי נוהל מס' 13 "לא יתאפשר לעבור מיישום ליישום... אלא דרך התפריט הראשי ומערכת הסיסמאות". נוהל מס' 13 מכתיב מדיניות סיסמאות רצויה. מטרת הסיסמא הינה מניעת כניסת גורם לא מורשה למאגרי המידע, כך שסיסמא אשר לא מוחלפת או קלה לפיצוח עלולה לאפשר לגורמים לא מורשים גישה למאגרי המידע החשופים למשתמש. להלן הוראות נוהל מסגרת מול מדיניות הסיסמאות כפי שהיא מוגדרת באגף: תיאור ההגבלה מדיניות נוהל אבטחה בחינת תקינות נוהל סיסמאות ברשת בתוכנה אבטחה בתוכנה בהתאם לנהלי המסגרת באגף 6 6 מס' דורות סיסמאות תקין עד 10 כמות תווים 8 תקין אילוץ להחלפה כל מס' ימים תקין מורכבות סיסמה תווים רצופים אותיות ומספרים אין צירוף של אותיות ומספרים לא תקין ממצאים: )1( לא קיימת ברשת המשתמשים מורכבות סיסמא, למרות שהדבר על פי נוהל אבטחה בתוכנה של המחלקה. )2( נמצאו משתמשים אשר לא חלה עליהם מדיניות החלפת סיסמא והללו אינם מחליפים את סיסמתם כלל. תגובת האגף: זאת בהתאם לדרישה עבור משתמשים ייעודיים, הסיסמא מוחלפת באופן ייזום בתיאום עם המשתמש. התייחסות הביקורת לתגובה: הביקורת סבורה כי על מדיניות הסיסמאות לחול באופן גורף על כל משתמשי העירייה.

22 25 אבטחה בתוכנה לבין מסקנות: )1( קיימת אי התאמה במדיניות במורכבות הסיסמא בין נוהל היישום בפועל. נהלי העירייה בנוגע המלצות: )1( מומלץ לעדכן את מדיניות מורכבות הסיסמא בהתאם לנוהל לניהול הסיסמאות ברשת קיום מערכת הפעלה מאובטחת תחנות העבודה מנוהלות באמצעות מערכות הפעלה מקומיות אשר מקושרות על-ידי רשת מקומית הפועלת באמצעות שרת ייעודי )להלן:" Directory.)Active מערכת ההפעלה המותקנת בתחנות העבודה צריכה להגן, בין היתר, על המידע המצוי במחשבו האישי של המשתמש מפני באגים ווירוסים. החל מיום ה 8/4/2014 חברת Microsoft אינה מבצעת עדכונים למערכת הפעלה XP מפני וירוסים ובאגים וקיים סיכון שמחשבים אישיים הנעזרים במערכת הפעלה זו חשופים לפריצות. ממצאים: )1( בבדיקה מדגמית שערכה הביקורת נמצא כי קיימות 10 תחנות עבודה )תחנת עבודה של מחשב מנהלת תכנון משאבי אנוש ו -9 תחנות באגף השירותים החברתיים( המופעלות באמצעות מערכת הפעלה WINDOWS XP על אף שהיא אינה מאובטחת על ידי חברת MICROSOFT ע"פ נתוני מערכת המצאי קיימים כ 100 עמדות. תגובת האגף: הנושא כלול בתכנית העבודה להחלפת מחשבים )חומרה והפעלה(. מסקנות: תחנות של משתמשים בעלי מערכת הפעלה WINDOWS XP מוגנות אינן )1( מפני וירוסים ובאגים.

23 26 WINDOWS המלצות: )1( החלפת כלל מערכת ההפעלה של עמדות בעלי מערכת הפעלה XP במערכת הפעלה אשר מוגנות בפני וירוסים ובאגים אבטחה פיזית וסביבתית נוהל מס' 27 בחוברת נהלי המסגרת, בנושא "סיכוני אש, חשמל ומים בחדר המחשב", קובע כי: "בחדר המחשב המרכזי יוצבו לפחות 5 מטפי גז הלון, בנקודות שיקבעו ע"י האחראי על הבטיחות..." כמו כן נקבע בנוהל הנ"ל כי: "מחשבים הניצבים על הרצפה יוצבו על משטח מוגבה יציב בגובה של 10 ס"מ לפחות. זאת כדי למנוע פגיעת רטיבות ונוזלים". תקן ישראלי 1243 של מכון התקנים הישראלי המכונה: "בטיחות אש של מחשבים וציוד היקפי" קובע בין היתר כי רצפת חדר המחשב תנוקז גם כשהציוד מוצב במישרין על הרצפה, כי בכניסה לחדר המחשבים תוצב דלת אש תקנית בעלת עמידות אש של 30 דקות לפחות, וכי בחדר לא יאוחסנו חומרים דליקים כגון קרטון. בחינה קיום הבקרה כן /לא? תיאור הסיכון הבקרה הנדרשת שריפה מטפים שריפה גלאי עשן חשמל גנרטור חשמל אל פסק )UPS( X הצפה רצפה צפה גניבה קודן כניסה/מנעול חום/ שריפה מערכות מיזוג אויר ממצאים: )1( לא נמצא רצפה צפה כנדרש על פי נוהל מס' 27. המלצות: )1( הביקורת ממליצה להתקין רצפה צפה בחדר המחשב כהגנה מפני הצפה.

24 גיבוי, שחזור והתאוששות נוהל מס' 29 בחוברת נהלי המסגרת, בנושא "תכניות התאוששות מאסון" )להלן: "נוהל מס' 29"( דן בהגנה על תהליכים קריטיים מהשפעת כשלים רציניים או מקרי אסון. המטרה היא להקטין נזקים במקרה אסון, להקטין הוצאות ביטוח ולהגביר מודעות להגנת המערכות. הנוהל ממליץ כי אחת לשנה ייערך תרגול מקיף של כלל היבטי ותחומי התוכנית. "מהלכו של התרגיל יתועד על ידי ממונה אבטחת מידע, אשר בסופו של התרגיל יפיק דו"ח סיכום תרגיל. ממצאיו יועברו לדיון בישיבת ההיגוי בנושא אבטחת מידע, המסקנות יתועדו, יוטמעו ויתורגלו כנדרש". בחודש אפריל 2013 נכתב תיק הערכות של מערך המחשוב והתקשורת להמשכיות עסקית עבור האגף )להלן: "נוהל,)"DRP הקובע כיצד על מערך המחשוב והתקשורת להיערך להמשכיות תפעולית במקרה של כשל כגון: שריפה, שיטפון, רעידת אדמה או כל אירוע סביבתי אחר. האגף נעזר ב -2 אתרים לאחסון שרתי העירייה, כאשר האתר הממוקם ברחוב הגבורה )להלן: "אתר 1"( משמש כסביבת העבודה "החיה" )סביבת,)Production ומבנה נוסף ברחוב ביאליק 77 המשמש כאתר גיבוי )להלן: "אתר 2"(. הקשר בין 2 האתרים הינו שיישומים קריטיים לארגון )ר. נספח ג( נכתבים בו זמנית הן באתר 1, והן באתר 2. ממצאים: )1( נמצא כי תיק ההערכות של האגף בנושא טרם אושר ע"י וועדת ההיגוי. )2( נמצא כי בשנים לא בוצעו ניסויי TEST כפי שנדרש בנוהל. )3( המערכות הקריטיות של העירייה מגובות באתר החלופי או מנוהלות על ידי לשכות שירות- תקין. המלצות: )1( על וועדת ההיגוי לתקף את הנוהל. )2( יש להיערך לביצוע TEST באתר הגיבוי לשם בחינת עבודת המשתמשים ישירות דרך אתר הגיבוי ולא דרך חדר המחשבים הראשי. יש לתעד את פרטי הניסוי הנ"ל ולבצעו אחת ל 5 חודשים כפי שנדרש על ידי דוח היועץ.

25 אבטחות תקשורת ושימושי אינטרנט על פי נוהל מס' 32 לחוברת נהלי המסגרת, בנושא "אבטחת תוכנה ברשתות מקומיות", יש צורך שמנהל הרשת ינהל ויתפעל, בין היתר, את כלי האבטחה של הרשת. ממצאים: )1( נמצא כי בעת התחברות הביקורת באמצעות מחשב "זר" )מחשב שאינו מחשב העירייה( נחשפו לביקורת כלל כתובות השרתים המצויים ברשת, דבר המקל מאד על אפשרות "חדירה" לשרתי העירייה באמצעות תוכנות פריצה. )2( לא קיים באגף נוהל המתייחס לגורמים הרשאים לצפות באתרי אינטרנט ייחודיים כגון : YouTube Facebook, תחנות רדיו ועוד, לעומת יתר המשתמשים אשר צריכים להיות חסומים לנתונים אלו. הדבר יוצר עומס רב על רשת התקשורת ומאט את פעילותה, וכן משמש כהסחה למשתמשים מעבודתם העיקרית. )3( מהביקורת עולה כי למרות שהעירייה רכשה כלי בקרה מחברת Fortinet המאפשר חסימת אתרים לא מורשים מסוגים שונים )פורנוגרפי,,YouTube תחנות רדיו(, לא נעשה שימוש אחיד עבור כלל העובדים. שימוש לא מורשה באתרים אלו מכביד על רשת התקשורת, דבר המאט את פעילותה וכן עלול לגרום להסחת המשתמשים מביצוע עבודתם. לדוגמא : מבדיקת אחת התחנות בתאריך , נמצא כי הייתה למשתמש אפשרות להיכנס ל- Facebook ולאתרים פורנוגרפיים. תגובת האגף: ככלל קיימת חסימה כללית ל -,Facebook,YouTube אתרי הימורים, אתרים למבוגרים, אתרי רדיו, אתרי וידאו וכד'. עם זאת ישנן עמדות הפתוחות עם הרשאות מיוחדות ע"פ הנחיות הנהלה.

26 29 מסקנות: )1( רשת התקשורת כפי שהינה מוגדרת כיום מאפשרת פריצה למאגרי המידע הקריטיים של העירייה היות וכתובות השרתים נחשפות בפני הגורם המעוניין לבצע פריצה באמצעות התחברות פיזית בלבד לאחת מנקודות התקשורת. הביקורת רואה בחומרה כי למרות שנרכשו כלים לניהול בקרה אחר צפיית )2( המלצות: המשתמשים, הלכה למעשה קיימת בפני משתמשים גישה לאתרים שאינם ראויים. כלי ייבחן האגף NAC אשר נועדו להגן על רשת התקשורת בפני התחברות )1( גורם עוין לרשת. נושא זה יעודכן במסגרת תוכניות העבודה השנתיות של האגף המבוצעות במסגרת התב"רים. )2( וועדת ההיגוי תנחה את מנהל האגף בנושא שימוש ברשת האינטרנט, באופן שרק לעובדים להם נדרשת גישה לאתרים ייחודים תינתן הרשאה מתאימה כגון.Youtube,Facebook לדוברות העירייה תינתן גישה ל עבור יתר המשתמשים יוגדר נוהל אשר יאושר על ידי הנהלת העירייה יישום חוק הגנת הפרטיות כאמור, המחוקק נתן דעתו להיבטים שונים של אבטחת מידע, והדבר בא לידי ביטוי בחוק הגנת הפרטיות, התשמ"א )להלן חוק הגנת הפרטיות( ובחוק המחשבים, התשנ"ה סעיף 8 )ג( לחוק הגנת הפרטיות מחייב את העירייה ברישום של מאגרי מידע בפנקס מאגרי המידע במשרד המשפטים )להלן פנקס(. כאמור, הממונה על אבטחת מידע אחראי לאבטחת המידע במאגרים המוחזקים ברשות העירייה. מסמך מדיניות אבטחת המידע בעירייה קובע בסעיף 6.12 כי "לפחות אחת לשנתיים יש לבצע מיפוי של מאגרי מידע לאיתור מאגרים התואמים להגדרות בחוק הגנת הפרטיות. כל מאגרי המידע העונים להגדרת חוק הגנת הפרטיות, יטופלו בהתאם לדרישות החוק".

27 30 ממצאים: )1( נמצא כי האגף ביצע רישום של מאגרי המידע כנדרש בחוק, עבור 16 מאגרים ביוני 2013 בוצע מעבר על כלל המאגרים. נכון לחודש דצמבר טרם בוצע ריענון בניגוד לסעיף 6.12 לחוק. תגובת האגף: קיים רישום מסודר עבור מאגרי המידע המצויים בעירייה. המלצות: על מנהל האגף בשיתוף הלשכה המשפטית, לפנות למנהלי האגף השונים )1( בעירייה לשם קבלת כלל המערכות המנוהלות בכל אגף ולבחון האם מערכות אלו עונות על ההגדרה "מאגר" כפי שמצוינת בחוק, לשם דיווח מלא למשרד המשפטים.

28 31 נספחים נספח א משתמשים ברשת שאינם עובדי עירייה. משתמש שם תיאור המשתמש שם משתמש מלא תאריך יצירת המשתמש ברשת הערת הביקורת 29/01/ :57 29/01/ :56 22/11/ :09 muni.local muni.local RIKOTEK TELDOR RIKOTEK TELDOR artech bar technology של משתמש בר חברת טכנולוגיות משתמש שייך לחברת RIKOTEK לצורך תחזוקה משתמש שייך לחברת teldor לצורך תחזוקה משתמש שייך לחברת בר טכנולוגיות לצורך תחזוקה משתמש שייך לחברת Synel לצרכי תחזוקה 05/06/ :10 uni.local nmuni.local Synel User Synel User

29 32 נספח ב בדיקת עדכוני חשבונות בנק במערכת שכר שם חשב שכר ת.ז ספ' ע א ע ע א ע א ע ע א א א ע האם נתקבל אישור מהעובד לא לא לא לא כן לא לא לא לא כן כן- לא חתום צויין כי בוצע על סמך שיחה לא

30 33 נספח ג- יישומים באתרי העירייה שם המערכת ניהול רשת משתמשים שרת מסמכים דיווח נוכחות בסיס נתונים פיקוח הנדסה - GIS דואר דיווחי פקחים מערכת שכר חילן מערכת כספים שם השרת תיאור השרת מקום אחסון אתר ראשי +אתר חלופי אתר ראשי +אתר חלופי אתר ראשי +אתר חלופי אתר ראשי +אתר חלופי אתר ראשי +אתר חלופי אתר ראשי +אתר חלופי אתר ראשי +אתר חלופי אתר ראשי +אתר חלופי אתר ראשי +אתר חלופי DC IRIT8SRV TSSRV Synel SQL שרת קבצים - active directory שרת קבצי משתמשים שרת Terminal דיווח נוכחות בסיס נתונים למוקד, הנדסה, DB רווחה Pikuach GIS MAIL MASOT - מחלקת פיקוח מחלקת הנדסה דואל אלקטרוני משתמשים דיווחי פקחים מערכת ישנה לשכת שירות שכר לשכת שירות כספים לשכת שירות בלבד חברה לאוטומציה בלבד