משרד הבינוי מחזיק מידע רגיש - אך ההגנה עליו חלקית

משרד הבינוי והשיכון מחזיק מיליוני רשומות רגישות על אזרחים, זכאי דיור, דיירי דיור ציבורי, משתתפים בתוכניות דיור בהנחה וקבלנים - אך דוח מבקר המדינה שפורסם במסגרת דוח הסייבר ומערכות המידע למאי 2026 מצביע על שורה ארוכה של פערים בניהול ההגנה על המידע הזה. לפי המבקר, מדובר בליקויים מהותיים בממשל אבטחת המידע, בבקרת הרשאות, בניהול סיכונים, ברישום מאגרי מידע ובהיערכות להמשכיות תפקודית במקרה של תקלה או אירוע סייבר.

המשרד משתמש בעשרות מערכות מידע לצורך פעילותו בתחומי הבנייה, השיכון, הסיוע בדיור, המשכנתאות, הדיור הציבורי, שיקום שכונות, התחדשות עירונית ורישום קבלנים. במערכות אלה משתמשים כ-780 עובדים, בהם עובדים במיקור-חוץ. בשנת 2025 הסתכם תקציב המחשוב של המשרד בכ-74.5 מיליון שקל, ומתוכו כ-6.5 מיליון שקל, שהם כ-8.7%, יועדו לצורכי אבטחת מידע.

הנתון הכספי לבדו אינו מספר את הסיפור. לפי דוחות מערך הדיגיטל הלאומי, בשנת 2023 התקבלו במרכז השליטה והבקרה הממשלתי כמה מאות התרעות הנוגעות למשרד הבינוי בגין פעילות החשודה כאיום סייבר. בשנת 2024, במהלך מלחמת חרבות ברזל, חל גידול של כ-130% במספר ההתרעות לעומת 2023. על הרקע הזה קובע המבקר כי הליקויים שנמצאו מקבלים משנה חומרה, משום שהמשרד מחזיק מידע אישי רב ומחויב ברמת אבטחה גבוהה לפי תקנות הגנת הפרטיות.

מדיניות ישנה בעולם שהשתנה

אחד הממצאים המרכזיים נוגע למדיניות הגנת הסייבר של המשרד. המדיניות אושרה בוועדת היגוי סייבר בשנת 2020, אך מאז לא עודכנה, לא נדונה ולא נבחנה אחת לשנתיים, בניגוד להנחיות היחידה להגנת הסייבר בממשלה, יה"ב. המבקר מציין כי מאז 2020 התרחשו שינויים משמעותיים בתחום המחשוב, ובהם מעבר לשירותי ענן ושימוש בכלי בינה מלאכותית במגזר הציבורי, לצד התפתחות ביכולות התקיפה של גורמים עוינים. למרות זאת, המסמך המשרדי הבסיסי להגנת הסייבר נותר כשהיה.

משרד הבינוי מסר למבקר כי יעדכן את מסמך מדיניות אבטחת המידע ויביאו לאישור ועדת ההיגוי עד סוף שנת 2026. זו התחייבות חשובה, אך עצם הצורך בה ממחיש את הבעיה: בתחום שבו האיומים משתנים במהירות, מדיניות שאינה נבדקת במשך שנים עלולה להפוך למסמך ארכיוני במקום לכלי עבודה ניהולי.

גם מיפוי נכסי המידע של המשרד לא הובא לדיון ולאישור של ועדת ההיגוי כנדרש. אומנם במסמכי הוועדה צוין כי בוצע מיפוי במסגרת תהליך הסמכה לתקן אבטחת מידע, אך הוועדה עצמה לא דנה בו, לא בחנה אותו ולא אישרה אותו. המשמעות היא שהנהלת המשרד לא קיבלה תמונת מצב מלאה ומאושרת של נכסי המידע, רמת הרגישות שלהם והסיכונים הנשקפים לכל מערכת.

סקרי סיכונים שלא הובילו להחלטות

בשנים 2022-2024 ביצע משרד הבינוי שמונה סקרי סיכונים. לכאורה, מדובר בפעילות חיובית. בפועל, המבקר מצא כי ועדת ההיגוי קיימה דיונים רק לגבי ממצאי שניים מתוך שמונת הסקרים. יתר הסקרים לא נדונו, וממילא לא גובשה תוכנית להפחתת הסיכונים שעלו בהם. לפי המבקר, בכך לא מוצתה תכליתם של סקרי הסיכונים - לזהות סיכונים, להיערך אליהם, למנוע את התממשותם או לצמצם את הנזק אם יתממשו.

ליקוי דומה נמצא גם בתחום מבדקי החדירה. תקנות אבטחת המידע מחייבות בעל מאגר מידע ברמת אבטחה גבוהה לבצע מבדקי חדירה למערכות המאגר אחת ל-18 חודשים לפחות. ואולם בשנים 2021-2024 ביצע משרד הבינוי שני מבדקי חדירה יישומיים לשתי מערכות מידע ומבדק חדירה תשתיתי אחד בלבד, אף שחובתו חלה על כלל מערכות המאגרים ברמת האבטחה הגבוהה.

חמור מכך: ממצאי המבדקים שבוצעו לא הובאו בפני ועדת היגוי סייבר, ולא נמצאו מסמכים המעידים על טיפול בסיכונים שהתגלו - לרבות פעולות לתיקון הליקויים ומבדקים חוזרים שנועדו לוודא כי הליקויים תוקנו. משרד הבינוי מסר כי בעקבות הביקורת הוסמכה ועדת משנה, שתעסוק בהצגת הסיכונים, במעקב אחר הפחתתם ובדיווח לוועדת ההיגוי.

הספק התחייב - המשרד לא אכף

המבקר מצא גם כשל בפיקוח על ספק חיצוני. משנת 2018 מקבל משרד הבינוי שירותי מיקור-חוץ מחברה האחראית לתפעול ולתחזוקה של תשתיות מחשוב מרכזיות וציוד קצה. בהסכם נקבע כי החברה תתקשר עם ספק משנה בלתי תלוי שיבצע סקר סיכונים מלא לפחות אחת ל-18 חודשים לכל מערכות המשרד, וכן יבצע מבדקי חדירה מהרשת הפנימית. בפועל, לפי הדוח, משרד הבינוי לא עמד על כך שהחברה תיישם את מלוא הדרישות, והחברה ביצעה את הסקרים והמבדקים באופן חלקי בלבד.

המשרד מסר כי אגף הטכנולוגיות הדיגיטליות והמידע החל לוודא את עמידת ספקי השירות בהתחייבויות החוזיות שלהם בתחום אבטחת המידע. החברה מסרה כי משנת 2021 בוצעו שני מבדקי חדירה וסקר סיכונים, וכי בשנת 2023 הוטמעה מערכת המבצעת הדמיות של מבדקי חדירה באופן יום-יומי. עוד מסרה כי תחל בתהליך לביצוע סקר סיכונים עבור עשר מערכות מידע בהתאם להוראות ההסכם ולהנחיות המשרד.

ועדת ההיגוי לא התכנסה כנדרש

לפי החלטת הממשלה 2443, על ועדת היגוי סייבר להתכנס לפחות פעם בחצי שנה. במשרד הבינוי זה לא קרה. המבקר מצא כי מאז כינוסה הראשון בפברואר 2020, הוועדה לא התכנסה באופן סדיר: בשנים 2020, 2023 ו-2024 היא התכנסה פעם אחת בלבד בכל שנה; בשנת 2022 היא לא התכנסה כלל; ורק בשנת 2021 היא התכנסה פעמיים כנדרש. לגבי 2025 צוין כי הוועדה התכנסה בפברואר.

המשמעות אינה טכנית. ועדת היגוי סייבר אמורה לאשר מדיניות, לדון בסיכונים, לפקח על תוכניות עבודה, לעקוב אחר תיקון ליקויים ולוודא שהמשרד מטפל באיומים על נכסי המידע שלו. כאשר הוועדה אינה מתכנסת כנדרש ואינה דנה בממצאים מרכזיים, נפגעת היכולת של הנהלת המשרד לבצע בקרה ניהולית על תחום שהוא כיום חלק בלתי נפרד מהשירות לציבור ומהגנה על פרטיותו. משרד הבינוי מסר כי מנכ"ל המשרד הנחה לכנס את ועדת ההיגוי לפחות פעם ברבעון.

מאגרים לא נרשמו והרשאות לא נבדקו כנדרש

פרק נוסף בדוח עוסק ברישום מאגרי המידע. לפי מרשם מאגרי המידע, משרד הבינוי רשום כבעלים של 13 מאגרים שנרשמו בשנת 2005. ואולם בביקורת נמצא כי יש במשרד מאגרי מידע שאינם רשומים. עוד נמצא כי אף שהתקנות מחייבות ניהול מסמך הגדרות מאגר ומסמך מבנה מאגר, המשרד לא השלים משנת 2018 ועד ספטמבר 2025 את רישום מאגרי המידע באופן הנדרש.

בינואר 2024 החליט משרד הבינוי לאחד כמה מן המאגרים הרשומים ולרשום שני מאגרים חדשים, כך שמספר המאגרים שיש לרשום הסתכם בתשעה. אך עד סיום הביקורת הוכנו מסמך הגדרת מאגר ומסמך מבנה מאגר רק לשניים מתוך התשעה. לגבי שבעת המאגרים האחרים לא הוכנו המסמכים הנדרשים לקידום הרישום. המבקר מציין כי המשרד גם מינה מנהלים למאגרי המידע רק בשנים 2024-2025, אף שהיה עליו לעשות זאת כבר בשנת 2018.

גם ניהול הרשאות הגישה נמצא חסר. לפי הדוח, לגבי יותר ממחצית המערכות לא נסקרו הרשאות המשתמשים אחת לשנה כנדרש. בבדיקת קובץ המשתמשים נמצא כי לא כל העובדים הפעילים נכללו בסקר ההרשאות, וכי לא כל נותני השירות החיצוניים שהם משתמשים פעילים נכללו בסקירה תקופתית. עוד נמצא כי חלק מהמשתמשים שהוגדרו לא פעילים עדיין החזיקו בהרשאות תקפות, אף שלגבי חלקם נרשמה הכניסה האחרונה לרשת בשנים 2023-2020.

המבקר מצא בנוסף כי בשלוש השנים האחרונות לא בוצעה סקירה חצי-שנתית של הרשאות משתמשי-על, כנדרש בהנחיית יה"ב. משתמשי-על הם בעלי הרשאות רחבות במיוחד, ולכן הרשאות עודפות אצלם יוצרות סיכון מוגבר לגישה גורפת למידע רגיש ולביצוע פעולות בלתי מורשות. משרד הבינוי מסר כי בשנת 2026 מתוכנן סקר הרשאות למשתמשי-על.

לא הוגדרו פעולות חריגות

ליקוי משמעותי נוסף נוגע לניטור פעולות חשודות. לפי הדוח, מערכות המידע של משרד הבינוי מתעדות את גישת המשתמשים לרוב מאגרי המידע ומאפשרות בקרה, אולם לא הוגדרו בהן פעולות חריגות, ולא קיימים מנגנונים אוטומטיים להתרעה על פעולות כאלה. המשמעות היא שניסיונות לבצע פעולות בלתי מורשות אינם מנוטרים סמוך ככל האפשר לזמן אמת, והבקרה על הגישה למערכות אינה מיטבית.

המבקר ממליץ למשרד להגדיר מהן פעולות חריגות ולהפעיל מנגנונים אוטומטיים להתרעה מפניהן. משרד הבינוי מסר כי הנושא ייבדק ותגובש מדיניות בוועדת ההיגוי.

הדוח מצא גם פערים בהיערכות להמשכיות תפקודית ולהתאוששות מאסון - כלומר ביכולת להמשיך להפעיל מערכות מידע במקרה של תקלה קשה, אירוע סייבר או פגיעה בתשתיות. המבקר קובע כי במועד סיום הביקורת עלו פערים בנושא תוכנית להמשכיות תפקודית, הכוללת תוכנית התאוששות מאסון, לשם המשך פעילות מערכות המידע של המשרד במקרה כזה.

לא רק מערכות - אמון הציבור

משרד הבינוי הוא לא גוף שולי במגע של האזרח עם המדינה. הוא מחזיק מידע על אוכלוסיות רגישות במיוחד - דיירי דיור ציבורי, מקבלי סיוע, זכאי תוכניות דיור, משתתפי הגרלות וקבלנים. לכן אבטחת המידע בו אינה רק עניין פנימי של מערכות מחשוב, אלא סוגיה של אמון הציבור ושל הגנה על פרטיות אזרחים שמסרו למדינה מידע אישי כדי לקבל שירות.

בדוח המסכם של מבקר המדינה על סייבר ומערכות מידע נכתב כי מערכות דיגיטליות ושירותים מקוונים הפכו לתשתית יסוד בפעילות המדינה, וכי לצד יתרונות השירות המקוון מתעצמים גם הסיכונים הנובעים מאיומי סייבר, מדליפות מידע ומפערים בהגנת מערכות המידע. בהקשר של משרד הבינוי, המבקר מציין במיוחד את הפערים בבקרת הרשאות, אי-מיצוי תהליכי ניהול סיכונים, היעדר מנגנוני התרעה מספקים ואי-השלמת רישום מאגרי מידע כנדרש בדין.

משרד הבינוי הציג בתשובותיו שורה של צעדים מתוכננים או כאלה שהחלו לאחר הביקורת: עידכון מדיניות אבטחת המידע עד סוף 2026, מיפוי נכסים דיגיטליים, הסדרת מאגרי מידע, הרחבת סקרי הרשאות, הקמת ועדת משנה לניהול סיכונים והגברת תדירות כינוס ועדת ההיגוי. השאלה המרכזית שנותרת פתוחה היא אם הפעם הצעדים האלה יישארו ברמת תגובה לדוח - או יהפכו לתוכנית עבודה מחייבת, מדודה ומבוקרת.