מבקר המדינה מתניהו אנגלמן מפרסם את הדוחות האחרונים שלו לפני סיום תפקידו, זאת לאחר מינויו לתפקיד של עו"ד מיכאל ראבילו, המקורב לראש הממשלה בנימין נתניהו. בדוחות האחרונים הוא מצביע על היעדר היערכות המדינה לאירועי סייבר ותפקודה במהלך מלחמת "חרבות ברזל", על הביקורת המקבילה הרב-לאומית בנושא ההיערכות הממשלתית לבינה מלאכותית, על המוכנות לאימוץ והטעמה של בינה מלאכותית בגופם ציבוריים בישראל ולבסוף על הגנת המידע הממוחשב בבית הנשיא.
נזכיר כי הגנת הסייבר על תשתיות המדינה ונכסיה הדיגיטליים מהווה את אחת הסוגיות המרכזיות שהמבקר אנגלמן שם עליהן דגש מיוחד וסימן כראשונות במעלה עוד מכניסתו לתפקיד.
● "ליקויים משמעותיים": מבקר המדינה מזהיר מבעיות בהיערכות למתקפות סייבר במשרדי הממשלה
● הבכיר שיוצא לאור: "הולכים לקראת חורף של מתקפות סייבר קשות"
זינוק בהיקף ובעוצמה של מתקפות הסייבר במהלך "חרבות ברזל"
מלחמת "חרבות ברזל" הוכיחה כי ממד הסייבר הפך לחלק בלתי נפרד מהמערכה הרב-זירתית ומהחוסן הלאומי של ישראל. לפי דוח מבקר המדינה, לאורך הלחימה חלה קפיצת מדרגה משמעותית בתעוזה וביצירתיות של התוקפים, כאשר האיום התפתח ממבצעי השפעה ומניעת גישה בתחילת הדרך, דרך מתקפות למחיקת מידע וגרימת נזק, ועד למיקוד מובהק בשנת 2024 באיסוף מודיעין על אזרחים, אישים ותהליכים במשק. משרד מבקר המדינה הפיץ שאלון מורחב ל-21 הגופים המרכזיים כדי לקבל תמונת רוחב על מוכנותם לפי תקנים בינלאומיים ותורת ההגנה של מערך הסייבר. לדברי משרד המבקר, הבדיקה כללה איסוף מסמכים, ניתוח נתוני ניטור טכנולוגיים, פגישות עומק עם 11 מהגופים, ושאלון השלמה שנשלח חודשיים לתוך המלחמה. בדיקות עומק דומות בוצעו גם מול יחידות הסייבר המגזריות של משרדי הממשלה.
בדוח המבקר הוזכרו מאות אירועי סייבר בעלי פוטנציאל נזק משמעותי שאירועי בתקופת המלחמה עד אפריל 2024, מתקפות כמו מתקפות סייבר על מוסד אקדמי גדול (מתקפת כופרה שכללה הצפנה), חברה לאחסון אתרים (השפעה על משרדי ממשלה וכ-40 חברות גדולות במשק), בית חולים (פריצה למערכות המחשוב), משרד ממשלתי (פעילות חשודה) וחברה לפתרונות מחשב IT (פגיעה בכ-10 מכללות ומחיקת חומרים ופרסום נתונים רגישים).
מצד אחד, על פי נתוני מערך הסייבר הלאומי והשב"כ, מפרוץ המלחמה ועד ליוני 2025, מדינת ישראל לא חוותה אף אירוע סייבר שפגע באופן משמעותי במשק, כך שזו נראית כהצלחה. מצד שני, חל שיפור דרמטי בקצב וביכולות התקיפה של האויב. יש צורך דחוף להמשיך ולחזק את קווי ההגנה כדי להבטיח שהמשק והמערכת הביטחונית ימשיכו לתפקד ברצף. חלק מאי הסדר בתעשייה יש מספר גופים הנגועים בדבר - מערך הסייבר הלאומי, הרשות להגנת הפרטיות, שב"כ, יה"ב (היחידה להגנת הסיבר בממשלה), יחידות סייבר מגזריות, רשות חירום לאומית, המטה לביטחון לאומי, גוף תמ"ק (תשתית מדינה קריטית) וגופים חיוניים. כפי שפורסם בעבר בגלובס, העלות השנתית הכלכלית המצטברת למשק הישראלי מנזקי מתקפות סייבר בשנה עומד על 12 מיליארד דולר.
מהדוח של המבקר עולה פער עמוק ומדאיג בין חומרת האיום הקיים לבין רמת המוכנות בפועל ערב מלחמת "חרבות ברזל". לדבריו, העובדה שמדינת ישראל לא חוותה אירוע משבית קטסטרופלי נובעת ממזל ולא ממוכנות מערכתית. לדברי המבקר הכשלים רחבים מאוד: ראשית, ניתוק מוחלט של הדרג המדיני, במשך עשור, ראשי הממשלה לא יזמו ולא קיימו אף דיון ייעודי בקבינט המדיני-ביטחוני בנושא סייבר. נושא הסייבר נבלע בתוך סקירות רחבות יותר והקבינט לא נחשף למכלול הסיכונים. עוד נכתב כי מערך הסייבר לא העביר דיווחים חצי-שנתיים על מצב ההגנה לגורמים השונים משנת 2020 ועד 2025.
שנית, ישנו ואקום חקיקתי ותשתיתי. למרות קונצנזוס מקצועי והחלטות ממשלה רבות, משרד ראש הממשלה לא הצליח להעביר "חוק סייבר לאומי" במשך למעלה מ-10 שנים. ישראל נמצאת בפיגור בינלאומי ניכר בתחום זה, כך נקבע. בנוסף, במשך 6 שנים שקדמו למלחמה (מאז 2018) לא נערך שום תרגיל סייבר לאומי. מערך הסייבר לא תיקף את איום הייחוס הלאומי, ותרחישי האיום המגזריים החלו להיכתב רק אחרי שפרצה המלחמה ולא הושלמו עד יוני 2025. שלישית, בקרב 21 הגופים הקריטיים שענו על השאלון, עלה כי שליש מהגופים קיבלו ציון נכשל ביצירת כלים בסיסיים להתמודדות עם אירוע סייבר, 38% לא היה צוות הנהלה לניהול משבר ובמחצית מהגופים, וועדת ההיגוי לא התכנסה כלל בשנה וחצי שלפני המלחמה.
במשרד מבקר המדינה מציעים כי "כלל הגורמים האמורים לראות בליקויים התרעה כוללת ומשמעותית המחייבת נקיטת פעולות, חלקן דחופות - לפעול בהקדם לתיקונם. על מערך הסייבר בשיתוף משרדי הממשלה ויחידות הסייבר המגזריות לגבש תוכנית פעולה לאומית-ממשלתית שתבטיח צמצום פערים ברמת ההגנה הן בטווח הקצר והן בטווח הארוך ולהביאה לאישור הממשלה. מומלץ כי ראש הממשלה ייזום ויקיים דיונים סדורים לצורך הצגת תמונת מצב היערכות המדינה לאירוע סייבר ופערים בה לצורך קבלת החלטות בקבינט המדיני-ביטחוני או בוועדת שרים ייעודית שתוקם לנושא זה וזאת באופן תקופתי ולפחות אחת לחצי שנה וכן מומלץ כי משרד ראש הממשלה והעומד בראשו יפעלו להשלמת חקיקת חוק הסייבר".
מערך הסייבר טען לפני מספר חודשים, כי הדוח מציג מצב לא מדויק ומחמיר מדי. לדבריו, 21 הגופים אינם מהווים מדגם סטטיסטי מייצג של המשק, יש ביניהם שונות רגולטוריות והמבקר התעלם מבקרות מפצות (פתרונות הגנה חלופיים כשהם לא עומדים בתקן המקורי). מבקר המדינה דחה את הטענות.
ממערך הדיגיטל הלאומי נמסר: "ביחס למגזר הממשלתי שבאחריותו, המערך פעל ופועל באופן רציף, אחראי ומקצועי. ככל שעולות טענות בדוח שאינן משקפות את מלוא הפעילות שבוצעה, הדברים ייבחנו ויוצגו לגורמים הרלוונטיים שנית".
ישראל חייבת לייצר מסגרת אחידה ותקציב רב-שנתי לאימוץ בינה מלאכותית
משרד מבקר המדינה קיים שתי בדיקות בתחומי הבינה המלאכותית וקבע כי אימוץ בינה מלאכותית בממשלה לא יכול להישען יותר על "יוזמות מקומיות", או על מוטיבציה של מנהל כזה או אחר. כדי להפוך את החדשנות ליכולת ממשלתית אמיתית, המדינה חייבת לייצר מסגרת אחידה ומחייבת הכוללת תקציב רב-שנתי, הגמשת מנגנוני רכש, פתרון חסמי אבטחת מידע והכשרה שיטתית של עובדי הציבור.
לפי הדוח, המבקר הוביל וניהל ביקורת מקבילה רב-לאומית במסגרת ארגון EUROSAI, שבו המבקר אנגלמן מכהן כנשיא ובהשתתפות 12 מדינות כמו צרפת, איטליה שוויץ ועוד. לדברי המבקר, ישראל נכנסת למהפכה עם נתוני פתיחה מצוינים בזכות אקוסיסטם טכנולוגי מפותח, הון אנושי איכותי ויוזמות ממשלתיות נקודתיות. אך מה הפערים? ראשית, היעדר תוכנית ארוכת טווח. אין בישראל תוכנית לאומית מקיפה ומחייבת הכוללת לוחות זמנים, תקציב ומדדי בקרה. שנית, כספים שאושרו לא מומשו במלואם, בעיקר בתחום קריטי כמו מחשוב-על ותשתיות לאימון מודלים גדולים. בנוסף ישנו חוסר שיתוף במידע וכי חסרים בממשלה מנהלים משפטנים ואנשי אבטחת מידע שמבינים טכנולוגיה ויודעים לפקח על ספקים חיצוניים.
דבר נוסף, המבקר ביצע מיפוי רוחבי מקיף שבו ענו 70 גופים מובילים כמו משרדי ממשלה, בתי חולים ועיריות. מצד אחד, עלה במיפוי מוטיבציה ומודעות ניהולית - 77% מההנהלות מייחסות חשיבות רבה לשילוב בינה מלאכותית וכי ב-63% מהגופים כבר מונה גורם מוביל, וב-72% מופעלות הכשרות לעובדים. מצד שני, ישנם פערים תשתיתיים וניהוליים קשים: רק 18% מהגופים אימצו אסטרטגיה מוגדרת ל-AI, ל-58% מהגופים אין תקציב ייעודי לנושא וכי 68% מהפרויקטים תקועים.
בית הנשיא פעל ללא גורם ממשלתי מנחה בתחום הסייבר
בית הנשיא הוא סמל מרכזי של מדינת ישראל - פגיעה במערכות אלו עלולה לפגוע לא רק בתפקודו, אלא גם באופן שהמוסד נתפס בתודעה הלאומית. אך לא רק זאת, ישנה רגישות עצומה של המידע, שכן במערכות הממוחשבות של בית הנשיא ישנו מידע על קרוב על ל-100 אלף מבקשי חנינה ומאגר זה נוהל בבית הנשיא שלא על פי חלק מהוראות הדין החלות על גופים המחזיקים במאגרי מידע. האיום הזה מקבל משנה תוקף ודחיפות בעת מלחמה, שכמות תקיפות הסייבר מתגברת.
על פי הדוח, בית הנשיא פעל לחלוטין ללא גורם ממשלתי מנחה בתחום הסייבר. בניגוד לתחומי הכספים והמשאב האנושי, המוסד לא החיל על עצמו את כללי אבטחת המידע המחייבים את משרדי הממשלה. רק בספטמבר 2024 אומצו רשמית הנחיות יה"ב (היחידה להגנת הסייבר בממשלה). בנוסף, תפקידי ליבה קריטיים של ניהול ובקרה טכנולוגית לא הוטלו רשמית על אף עובד במוסד.
על פי הדוח, אין לבית הנשיא תוכנית להתאוששות מאסון, חלק מהמערכות הממוחשבות הגיעו לסוף מחזור החיים שלהן ואף בחלק מתחנות הקצה פעלו גרסאות שפג תוקפן וכך היו חשופות לפגיעות (ולא נערכו עדכוני גרסה נדרשים). יתרה מכך, החל משנת 2022, בית הנשיא מקבל שירותי תמיכה למאגר החנינות הרגיש מספק חיצוני ללא הסכם חתום ובתוקף. אך לצד זאת, בהסכמים מול הספק לא הוגדרו המטרות להן מותר לו להשתמש במידע, לא פורטו המערכות ולא נקבע מנגנון - כך שאין הגנות משפטיות נדרשות.
המסמך נחתם בכך ש"מבקר המדינה מתניהו אנגלמן קבע כי על בית הנשיא כגוף ציבורי בעל חשיבות לאומית מהמעלה הראשונה, להמשיך לפעול לתיקון הליקויים שעלו בביקורת, במטרה להבטיח את הסודיות, השלמות, הזמינות והשרידות של המידע המצוי ברשותו, למנוע פגיעה בצנעת הפרט של תושבי המדינה ולמנוע פגיעה בשם הטוב ובתדמית של בית הנשיא".
תגובת מערך הדיגיטל הלאומי לגבי בית הנשיא: "בית הנשיא אינו נמנה עם הגופים המחויבים בפיקוח יה"ב. שיתוף הפעולה עמו נעשה ביוזמת בית הנשיא ומתוך רצון להסתייע בידע ובמומחיות המקצועית של יה"ב. יה"ב פעלה בהתאם לבקשה ובמסגרת שיתוף פעולה מקצועי, שמטרתו מתן מענה מקצועי בתחום ההגנה על התשתיות והשירותים הדיגיטליים".
תגובת מערך הסייבר לדוח מבקר המדינה: חוק הגנת הסייבר הלאומי שאושר אמש בקריאה ראשונה, ישפר את רמת ההגנה בסייבר של ארגונים חיוניים ושל ספקים דיגיטליים ויחזק את משרדי הממשלה הרגולטורים להוביל את ההגנה במגזרים השונים בהנחיה מקצועית של מערך הסייבר לאומי. חשוב לציין כי פעילות ההגנה האינטנסיבית של מערך הסייבר הלאומי, יחד עם שותפיו למשימה ובמיוחד בתקופת המלחמה, הביאה למניעת הצלחות משמעותיות מהאויבים אשר לא הצליחו לייצר פגיעה ברציפות התפקוד הלאומית או בחיי אדם, כפי שניסו שוב ושוב. מערך הסייבר הלאומי למד את ממצאי הדוח לעומק, כפי שהוא עושה עם כל ביקורת מקצועית, טיפל כבר בחלק מהנושאים שהועלו וימשיך לפעול ליישום הלקחים.
