עבודה מהבית הפכה בשנים האחרונות לכלי ניהולי חיוני, אבל דוח מבקר המדינה שפורסם במאי 2026 מצביע על הצד הפחות מדובר שלה: ככל שהמדינה מאפשרת לעובדים להתחבר מרחוק למערכות הארגוניות, כך גדל גם מרחב התקיפה של פצחנים, גורמים מדינתיים וגורמי פשיעה מקוונת. לפי הדוח, הסיכון אינו תאורטי. מערכות עבודה מרחוק כבר נוצלו בעבר בישראל ובעולם לתקיפות משמעותיות, ובממשלה התגלו פערים בהנחיה, בפיקוח ובשימוש בכלים שנועדו לאפשר עבודה מרחוק באופן מאובטח.
הביקורת נערכה מיולי 2024 עד אוגוסט 2025, ובחנה את הגנת הסייבר בעבודה מרחוק בעיתות שגרה וחירום. היא התמקדה בכמה גופים מרכזיים, בהם הרשות הארצית לכבאות והצלה, משטרת ישראל, הנהלת בתי המשפט, מערך הדיגיטל הלאומי, היחידה להגנת הסייבר בממשלה, מערך הסייבר הלאומי והרשות להגנת הפרטיות. חלקים מן הפרק לא פורסמו לציבור בהחלטת ועדת המשנה של הוועדה לענייני ביקורת המדינה, בשל שיקולי ביטחון המדינה.
העבודה מרחוק הפכה לתשתית חיונית
מבקר המדינה מזכיר כי עבודה מרחוק מתבצעת בכמה מתווים: עבודה מבית העובד או ממקום אחר שאינו אתר המעסיק, וכן התחברות של עובדי שטח למערכות הארגון. במגפת הקורונה גבר הצורך במודל הזה בעולם כולו, ובישראל הוא התעצם שוב במהלך מלחמת חרבות ברזל. נציבות שירות המדינה מאפשרת כיום לכל עובד מדינה לעבוד מרחוק יום בשבוע, ורוב הגופים בשירות המדינה כבר פועלים כך. המשמעות היא שמדובר בתופעה רחבה מאוד, הנוגעת למאות אלפי עובדים במגזר הציבורי.
אלא שהיתרון התפעולי מלווה בסיכון מובנה. כל חיבור מרחוק מוסיף נקודת כניסה אפשרית לרשת הארגונית. לפי הדוח, ארגון המאפשר עבודה מרחוק מגדיל את משטח התקיפה שלו ופותח אפשרות להתחברות למערכותיו מבחוץ. בתרשים שצורף לדוח הוצגו מתארי תקיפה אפשריים, ובהם דליפת מידע ממערכות פרטיות, גניבת מחשב מרחוק, התחזות משתמשים ועבודה מהבית או ממקומות ציבוריים תוך שימוש ברשתות שאינן מאובטחות.
מבקר המדינה מציג את הרקע הזה באמצעות אירועי עבר: פעילות קבוצת תקיפה אירנית שנחשפה ב-2021 ויוחסה לניצול חולשות בשרתים המשמשים לעבודה מרחוק; פריצה לבית החולים הלל יפה באוקטובר 2021, שבה נוצלה חולשה בתוכנת גישה מרחוק והוחדרה כופרה; ופריצה רחבת היקף לחברת שירותי בריאות בארה"ב בפברואר 2024, שבה תוקפים ניצלו מזהי גישה גנובים של עובד שאפשרו עבודה מרחוק.
הכלי שנשאר בשימוש למרות האזהרות
אחד הממצאים הבולטים בדוח נוגע לתשתית המדינתית לעבודה מרחוק שניהל מערך הדיגיטל. עד ינואר 2025 ניהל ותחזק המערך תשתית ששימשה אותו ועוד 17 משרדי ממשלה. לצורך כך נרכש כלי רוחבי לעבודה מרחוק, שמכונה בדוח "כלי י"ג". בשנים האחרונות התגלו במוצר הזה פגיעויות רבות, שבגינן בוצעו מתקפות סייבר משמעותיות בארץ ובעולם.
במרס 2024 הנחה מערך הסייבר הלאומי את מערך הדיגיטל להחליף את המוצר, בשל מספר רב של חולשות שנמצאו בו. למרות זאת, באוקטובר 2024 עדיין השתמשו בו מערך הדיגיטל ו-31 מתוך 48 משרדי ממשלה - 65% מהמשרדים שנבדקו. רק בינואר 2025 הופסק השימוש במוצר, לאחר שהתפרסמה פגיעות קריטית חדשה ובוצעו תקיפות סייבר על תשתית מערך הדיגיטל שבהן נוצלה אותה פגיעות.
הנקודה הזאת חמורה במיוחד משום שהדוח אינו מתאר רק עיכוב מינהלי. מדובר בכלי שאיפשר גישה מרחוק למערכות ממשלתיות, ושעל חולשותיו כבר הייתה התרעה מוקדמת. מערך הדיגיטל אומנם מסר כי לאורך התקופה עודכנה מיד כל פגיעות שפורסמה בכלי, אך מבקר המדינה קובע כי המערך לא הנחה את המשרדים להפסיק את השימוש בו ולעבור למוצר חלופי שהיה זמין לרכישה באמצעות אחד המכרזים המרכזיים הקיימים.
בינואר 2025, לאחר הערכת מצב משותפת של מערך הסייבר הלאומי ומערך הדיגיטל, הונחה המערכת שלא לחבר מחדש משרדים לכלי י"ג. בהמשך פרסמו מערך הסייבר הלאומי ויה"ב הנחיה משותפת לכלל הגופים הממשלתיים להפסיק מיד וגורף את השימוש בו ולעבור למוצרים העומדים בהנחיות. בפברואר 2025 הוכרז הזוכה במכרז הייעודי המרכזי לעבודה מרחוק.
הנחיות בלי פיקוח מלא
הדוח מצביע גם על בעיה רוחבית יותר: הפער בין הנחיות לבין פיקוח. לפי מבקר המדינה, מערך הסייבר הלאומי פרסם באוקטובר 2023 הנחיה לחיבור משתמשים מרחוק לרשת הארגונית בגופי תשתית מדינה קריטית. ואולם מאז פרסום ההנחיה, מערך הסייבר לא פיקח באופן מלא על יישום הבקרות הכלולות בה במערך הדיגיטל, אלא ביצע מבדק חדירה שבו נבדקו רק חלק מהנושאים.
גם ביחידה להגנת הסייבר בממשלה, יה"ב, נמצאו פערים. ההנחיה הייעודית שלה בנושא גישה מרחוק פורסמה במרס 2020, והיא כוללת 45 בקרות ברמת פירוט טכנית גבוהה. אלא שלפי הדוח, יה"ב לא ביצעה מאז 2020 בקרה על אופן יישום ההנחיה במשרדי הממשלה המונחים על ידה. עוד נמצא כי "מדד יה"ב", המשמש תבנית אחודה לפיקוח על משרדי הממשלה, כולל רק חמש בקרות בנושא גישה מרחוק - ולכן עלול לספק תמונת מצב חלקית בלבד.
מערך הדיגיטל השיב כי בעקבות ממצאי הביקורת החל תחום הבקרה לבצע בקרות ממוקדות לגישה מרחוק, שבהן נבחן לעומק יישום ההנחיה. עוד נמסר כי יה"ב בדקה את תשתית החיבור מרחוק שהיא מספקת למשרדים וליחידות סמך, וביצעה בקרה יזומה בכמה משרדי ממשלה המשתמשים בכלים שונים בתשתית המערך.
הנחיות לא אחידות וגוף שלא קיבל הנחיה
בעיה נוספת שהעלה הדוח היא חוסר תאימות בין ההנחיות של מערך הסייבר הלאומי לבין ההנחיות של יה"ב, אף שיה"ב מונחית מקצועית על-ידי מערך הסייבר. מערך הסייבר הסביר כי ההנחיות שלו הן כלליות ומיועדות למגוון רחב של גופים ומגזרים, ולכן ייתכנו פערים בין הנחיותיו לבין ההנחיות של כל יחידה מגזרית. מבקר המדינה העיר כי חלק מן הבקרות בהנחיית יה"ב עוסקות בנושאים מערכתיים הרלוונטיים לכלל המגזרים, ולכן מומלץ שמערך הסייבר יבחן את הכללתן גם בהנחיותיו הכלליות.
ממצא חריף נוסף נוגע ליחידת הסייבר המגזרית של המשרד לביטחון לאומי, המנחה את כבאות והצלה. לפי הדוח, מערך הסייבר הלאומי לא העביר ליחידה זו את הנחייתו מאוקטובר 2023 לחיבור משתמשים מרחוק לרשת הארגונית. כתוצאה מכך, היחידה שאחראית להנחיית כבאות והצלה לא פיקחה על יישום ההנחיה בכב"ה. בעקבות הביקורת מסר המשרד לביטחון לאומי כי היחידה תיתן קדימות לביקורת ייעודית בנושא, בתיאום עם כב"ה.
מבדק חדירה בכבאות והצלה
משרד מבקר המדינה ביצע מבדק חדירה במערכת העבודה מרחוק של הרשות הארצית לכבאות והצלה. מטרת המבדק הייתה לזהות חולשות שעלולות לסכן את זמינותן, מהימנותן וסודיותן של התשתיות הנגישות לעובדים מרחוק. מאחר שהבדיקה נערכה בסביבת הייצור, ננקטו פעולות להפחתת הסיכון: הכלים הופעלו בסריקה מדורגת, ולא נוצלו חולשות שנמצאו אלא רק הוכחה האפשרות לנצלן.
במבדק נמצאו פערים מסוימים. לצד זאת, מבקר המדינה מציין לחיוב את שיתוף הפעולה מצד כבאות והצלה ויחידת הסייבר המגזרית של המשרד לביטחון לאומי בכל שלבי הבדיקה - מן התכנון, דרך ביצוע המבדק והצגת הממצאים, ועד נקיטת פעולות לשיפור תהליכים ולטיפול בחלק מן הליקויים עוד לפני פרסום הדוח.
כבאות והצלה אינה גוף רגיל בהקשר הזה. היא מעסיקה כ-4,000 עובדים וכ-3,500 מתנדבים, פרוסה בכ-150 אתרים ברחבי הארץ, ובהם 126 תחנות כיבוי, ומפעילה כ-600 כבאיות. מערכות העבודה מרחוק שלה משמשות גוף חירום שממשיך לפעול גם בתנאי משבר, ולכן כל חולשה במנגנון הגישה מרחוק עלולה להשפיע לא רק על מידע מינהלי, אלא גם על רציפות תפקודית של שירות חיוני.
משטרה, בתי משפט ומערך הדיגיטל
הדוח מתייחס גם למשטרת ישראל, שבה העבודה מרחוק מתאפיינת בעיקר בעבודה מן השטח ופחות בעבודה מהבית. המשטרה, המונה כ-32 אלף שוטרים נכון לשנת 2022, היא אחד הגופים שלגביהם נקבע כי החלטת הממשלה 3611 אינה חלה. המשטרה מסרה כי היא מאמצת הנחיות של מערך הסייבר כאשר היא מוצאת זאת לנכון, ולעיתים אף מחמירה ביחס אליהן. מבקר המדינה העיר כי אימוץ חלקי או וולונטרי של הנחיות מחייב הגדרה ברורה של גבולות ההתחייבות והטעמים להחרגה, אחרת הוא עלול לרוקן מתוכן את עצם האימוץ.
הנהלת בתי המשפט נבדקה גם היא. במערכת בתי המשפט יש כ-5,500 עובדים, ובהם כ-900 שופטים ורשמים ויותר מ-2,000 עובדים בצוות השיפוטי. העבודה מרחוק במערכת מבוססת על פתרון שנרכשו עבורו אלפי רישיונות התחברות, ונעשה בו שימוש ממספר רב של מחשבים ניידים ארגוניים. הנהלת בתי המשפט אינה כלולה בהחלטה המחייבת את הנחיית יה"ב, אך בשנת 2016 קיבלה על עצמה "הנחיה מרצון".
המלצות המבקר
מבקר המדינה ממליץ למינהל הרכש, בשיתוף יה"ב ומערך הסייבר הלאומי, לוודא שבכל המכרזים המרכזיים המספקים פתרונות לעבודה מרחוק ייכללו דרישות אבטחת מידע, וכי הגופים האסדרתיים בתחום הסייבר מצאו אותם הולמים לשימוש. עוד מומלץ כי אם תתגלה בעתיד חולשה קריטית במוצרי עבודה מרחוק בלי פתרון מהיר מצד היצרן, מערך הסייבר ויה"ב יפרסמו הנחיה בסמוך לאירוע ויוודאו עם מינהל הרכש שיש הלימה להתחייבות החוזית שבהסכמי המכרז המרכזי.
בסיכום הדוח נקבע כי על משטרת ישראל, כבאות והצלה, הנהלת בתי המשפט ומערך הדיגיטל, בשיתוף מערך הסייבר ויה"ב, לפעול בהקדם להשלמת תוכנית עבודה לטיפול בפערים שצוינו. על מערך הסייבר ויה"ב לוודא שאין פערים דומים בגופים נוספים המונחים על ידם.
תגובות
רגע, שקט פה מדי
דעתך חשובה - תהיו הראשונים להגיב על הכתבה