דוח מבקר המדינה: משרד החוץ חשוף לפערי תקשוב וסייבר

משרד החוץ, אחד הגופים הרגישים ביותר בשירות המדינה, מנהל מידע מדיני, דיפלומטי ופרטי בין המטה בירושלים לבין 109 נציגויות ישראל ברחבי העולם - אך דוח מבקר המדינה למאי 2026 מצביע על פערים משמעותיים בניהול מערכות המידע ובהגנת הסייבר במשרד. לפי הדוח, מדובר במשרד שהוא יעד אסטרטגי לתקיפות מצד פצחנים, ארגוני טרור, פשיעה מקוונת ומדינות עוינות, אך מנגנוני הניהול, הפיקוח והבקרה בתחום התקשוב אינם פועלים בעוצמה הנדרשת מגוף המחזיק מידע כה רגיש.

הדוח נערך בעיצומה של מלחמת התקומה, בין מרס 2024 לאפריל 2025. חלקים ממנו לא פורסמו לציבור, בהחלטת ועדת המשנה של הוועדה לענייני ביקורת המדינה, מטעמי ביטחון המדינה. גם החלקים שכן פורסמו מציגים תמונת מצב מטרידה: מערכות מיושנות, ועדות שלא התכנסו, תוכנית אסטרטגית שלא נדונה בזמן, סקר סיכונים שלא הבשיל לתוכנית טיפול, מחסור בתקציב וכוח אדם, וכן ליקויים בתחום ההזדהות, הרשאות הגישה וההגנה על פרטיות.

משרד בפריסה עולמית - וסיכון עולמי

מערכות המידע של משרד החוץ הן לא מערכות משרדיות רגילות. הן משמשות את המטה בירושלים, את הנציגויות הדיפלומטיות והקונסולאריות בעולם ואת העובדים המקומיים והישראלים בנציגויות. הן כוללות בין היתר מערכות לשירותים קונסולאריים, ניהול דואר דיפלומטי, ניהול מידע ארגוני, ניהול שליחים ומערכות פיננסיות. המבקר מדגיש כי המשרד מתמודד עם אתגר ייחודי: פריסה גאוגרפית רחבה, אלפי עמדות עבודה, אלפי משתמשים, צורך בתמיכה סביב השעון וממשקי עבודה רבים מול גורמים בארץ ובעולם.

לצד האתגר התפעולי, מדובר גם בסיכון ביטחוני ותדמיתי. לפי הדוח, פגיעה במערכות המידע של משרד החוץ עלולה לשבש את השירות לציבור, לפגוע בתפקוד המשרד, להביא לדליפת מידע רגיש ולגרום נזק חמור ליחסי החוץ של מדינת ישראל, לתדמיתה בעולם ולפרטיות. פעילויות סייבר שזוהו במשך השנים יוחסו לגורמים אירניים, לחיזבאללה, לחמאס ולגורמים נוספים.

המציאות הזאת החריפה בזמן המלחמה. בשנת 2024 היו ניסיונות דיוג נגד עובדי המשרד; בשנת 2023 אירעו תקיפות באמצעות דוא"ל חריג ומקרים של חשד לפריצה לדוא"ל, למחשב או לטלפון נייד של עובדי המשרד. במהלך מלחמת חרבות ברזל אירעו תקיפות רבות במרחב הסייבר נגד המשרד, לרבות נגד אתרי המשרד ומערכות טכנולוגיות. לפי הדוח, במהלך המלחמה חל גידול של כ-500% באירועי הגנת מידע בנציגויות ישראל בחו"ל, ובשנת 2023 נרשמו מאות אירועים.

הוועדה לא התכנסה - והפיקוח דעך

אחד הממצאים הבולטים בדוח נוגע לוועדת ההיגוי המשרדית לתקשוב. לפי הנחיות מערך הדיגיטל, ועדה כזו אמורה לשמש הגוף הניהולי הבכיר ביותר בתחומי מערכות המידע והתקשוב, לאשר תוכניות עבודה ותקציבים, לקבוע סדרי עדיפות ולעקוב אחר יישום התוכניות. בראשה אמור לעמוד מנכ"ל המשרד או המשנה למנכ"ל, ובין חבריה צריכים להיכלל גם סמנכ"לים מקצועיים שהם המשתמשים המרכזיים בשירותי התקשוב.

בפועל, מבקר המדינה מצא כי ועדת ההיגוי לתקשוב במשרד החוץ לא התכנסה במשך כשלוש שנים, בשנים 2021-2023, אף שהמשרד דיווח למערך הדיגיטל עוד בשנת 2020 כי הוועדה הוקמה מחדש. הוועדה שבה והתכנסה רק באפריל 2024, ומאז ועד מועד סיום הביקורת לא התכנסה שוב; היא גם לא דנה בתוכנית העבודה השנתית של אגף התקשוב לשנת 2025 ולא אישרה אותה. נוסף על כך, הוועדה לא כללה סמנכ"לים מקצועיים מרכזיים במטה המשרד, ובהם ראש המערך המדיני-אסטרטגי, ראש האגף לעניינים קונסולאריים וראש האגף לעניינים אסטרטגיים.

משרד החוץ טען בתשובתו כי מנכ"ל המשרד מאשר לכל סמנכ"ל את תקציבו השנתי, וכי לוועדת ההיגוי אין סמכות לאשר תקציב או תוכניות עבודה. מבקר המדינה דחה למעשה את ההיגיון הזה, והעיר כי לפי הנחיות מערך הדיגיטל, על הוועדה להתוות את האסטרטגיה של המשרד בנושאי תקשוב, לאשר תוכניות עבודה ותקציבים רב-שנתיים ושנתיים ולעקוב אחר מימושם. ההמלצה למנכ"ל ברורה: לוודא שהוועדה תתכנס באופן סדיר, פעמיים עד ארבע פעמים בשנה, ותכלול גם את הסמנכ"לים המקצועיים שהמערכות נועדו לשרת.

תוכנית אסטרטגית שלא קודמה

הדוח מציין לחיוב כי משרד החוץ יזם הכנת תוכנית אסטרטגית לתחום התקשוב. בשנת 2023 פנה המשרד לחברה חיצונית שבחנה את המבנה הארגוני של אגף התקשוב והכינה עבורו תוכנית. באפריל 2024 הוגשה התוכנית לאגף, והיא הציפה פערים משמעותיים במבנה הארגוני, בכוח האדם, בתהליכי העבודה, בתשתיות הטכנולוגיות ובתקציב.

התוכנית השתמשה בניסוחים חריפים: היא דיברה על "חוב טכנולוגי גדול" שנוצר מבניית פתרונות בטלאים במשך שנים, ועל אגף שנמצא במרדף מתמשך אחרי משימות השוטף, במקום להתקדם קדימה. היא הצביעה גם על היעדר כלים לניהול ובקרה של מיזמי תקשוב ועל צורך בשיפור תהליכי המשילות. למרות זאת, עד פברואר 2025 - יותר מתשעה חודשים לאחר הגשתה - התוכנית לא נדונה אצל מנכ"ל המשרד או בוועדת ההיגוי, ולא נקבעו צעדים למימושה.

משרד החוץ מסר כי הפער הטכנולוגי נוצר בעקבות חסר של שנים בתקצוב המשרד בכלל ואגף התקשוב בפרט. מנכ"ל המשרד הוסיף כי האתגרים המרכזיים הם משאבים וסדרי עדיפות, לרבות תקציב מצומצם, כוח אדם שאינו מספק ומערכות שיש לשדרג. עוד נמסר כי הוא הורה לסמנכ"ל תקשוב להציג תוכנית עבודה לתיקון הליקויים. המבקר מדגיש כי לנוכח האתגרים הייחודיים של המשרד, על המנכ"ל לכנס את ועדת ההיגוי ולדון בתוכנית ובהשלכותיה בהקדם.

התקציב לא הספיק - 14 מיזמים הוקפאו או עוכבו

ממצא מרכזי נוסף הוא התקציב. תקציב משרד החוץ לשנת 2024 עמד על כ-1.9 מיליארד שקל. תקציב התקשוב עמד על 85.3 מיליון שקל, ומתוכו כ-13 מיליון שקל הוקצו לתחום הסייבר - כ-15% מתקציב התקשוב. ואולם לפי מסמך של מנהל אגף התקשוב ממאי 2024, ההוצאות הקשיחות של האגף עמדו על כ-103 מיליון שקל, כך שהאגף תוקצב בחסר של כ-18 מיליון שקל. לפי אותו מסמך, לצורך עמידה בהוצאות הקשיחות, בתוכנית העבודה וביעדי המשרד נדרש תקצוב נוסף של לפחות 20 מיליון שקל.

המחסור לא נותר על הנייר. לפי הדוח, 14 מיזמי תקשוב הוקפאו או עוכבו בשנת 2024 בהיעדר תקציב, ובהם שדרוג מערכת מרכב"ה בנציגויות, האטה בפיתוח מערכת חדשה לניהול הפעילות הקונסולארית, עצירת פיתוח מערכת תנאי שירות, עיכובים במעבר לענן ועצירת התקשרויות עם ספקים וחברות בתחום. המבקר מציין כי הדבר השפיע גם על תחזוקת מערכות קיימות, על שדרוג תשתיות חיוניות ועל האפשרות להשקיע ברכש מערכות מסוימות.

גם הפער בכוח האדם בולט. בתוכנית האסטרטגית הוצג כי שיעור הוצאות התקשוב השוטפות במשרד החוץ עומד על כ-98% מתקציב התקשוב, לעומת ממוצע של כ-44% במשרדי הממשלה בישראל. עוד הוצג כי שיעור עובדי התקשוב מכלל עובדי משרד החוץ הוא 4.1%, לעומת ממוצע של 9.8% במשרדי הממשלה. המשמעות היא אגף שמוציא כמעט את כל תקציבו על שימור הקיים, עם פחות יכולת לפתח, לשדרג ולהיערך לאיומים עתידיים.

משרד החוץ מסר כי בסוף 2024 תוגבר תקציב התקשוב בתוספת של כ-12 מיליון שקל, וכי בשנת 2025 עמד תקציב התקשוב על כ-105.5 מיליון שקל, בתוספת עודפים בסך כ-8.5 מיליון שקל שהתקבלו לקראת סוף השנה. עוד מסר כי חלק מהמערכות טופלו והוחלפו, אך חלקן עדיין לא טופלו משום שנדרש לכך תקציב ייעודי.

סקר סיכונים בלי תוכנית טיפול

בשנים 2022-2024 ביצעה חברה חיצונית עבור משרד החוץ סקר סיכוני תקשוב משרדי, שהוצג להנהלת אגף התקשוב במאי 2024. הסקר העלה ממצאים מהותיים, ובהם אובדן ידע ומידע, חשיפה לסיכוני אסדרה וציות, בעיקר בתחומי הגנת הפרטיות, היעדר תמונת מצב רוחבית על ניהול מיזמים, היעדר סנכרון בין החטיבות, מבנה ארגוני לקוי, מיומנויות חסרות ועיכובים באספקת מערכות מידע.

מבקר המדינה מציין לחיוב את עצם ביצוע הסקר, אך קובע כי למרות הסיכונים המהותיים שעלו בו, ועדת ההיגוי המשרדית לא דנה בתוצאותיו עד ינואר 2025, יותר מחצי שנה לאחר הגשתו, ולא אישרה תוכנית לטיפול בסיכונים. משרד החוץ השיב כי הסקר לא אושר על ידו וכי קיימים בו פערים שהחברה נדרשה להשלים. המבקר קובע כי יש להשלים את הסקר בהקדם, משום שככל שחולף הזמן תמונת הסיכונים משתנה והשלכות התממשותם עלולות להתרחב.

מערכות מיושנות עד 2029

הדוח מצביע גם על מערכות מידע מיושנות, חלקן כאלה שהגיעו לסוף חיי התמיכה שלהן. לפי המבקר, שימוש במערכות כאלה יוצר סיכונים משמעותיים: חשיפה לתקלות בלתי צפויות, אי-התאמה לדרישות עדכניות, קושי בביצוע שינויים, תחזוקה יקרה ומורכבת ופגיעה אפשרית בזמינות השירותים למשרד ולציבור. הדוח מציין כי הדבר כבר בא לידי ביטוי בפועל במערכת אימותים, בהקשר של דוח אחר בנושא אימות מסמכים ציבוריים במשרד החוץ.

משרד החוץ מסר כי כמה מערכות שהוגדרו ככאלה שיש לשדרגן אמורות לעבור שדרוג במהלך שנת 2025, וכי לגבי מערכות אחרות הפעולות יתבצעו במסגרת תוכנית רב-שנתית, הכוללת גם מעבר לענן. לפי הדוח, המעבר לענן מתוכנן להתבצע בכמה גלי הגירה עד שנת 2029, בעלות כוללת של 126 מיליון שקל. המבקר מזהיר כי יש לעקוב באופן הדוק אחר מימוש התוכנית, לנוכח החשש שחלק מן המערכות עלול לקרוס עוד לפני השלמת המהלך, או שהתקציב שיוקצה לנושא יהיה חסר.

נהלים חסרים ותורה שבעל-פה

תחום נוסף שבו נמצאו פערים הוא נהלים וסטנדרטים. כבר בשנת 2019 העיר מערך הדיגיטל למשרד החוץ על פערים ניכרים בקיום נהלים ומתודולוגיה לעבודה סדורה באגף התקשוב. בין היתר נמצא כי חסרים נהלים לניהול סיכונים ולהפקת לקחים, וכי חלק מן הנהלים הקיימים לא עודכנו במשך 10 עד 20 שנה. בבקרת מעקב משנת 2020 דיווח המשרד כי הושלמו כמה נהלים וכי מתוכננת הכנה והטמעה של נהלים נוספים.

אולם בביקורת הנוכחית נמצא כי סט הנהלים עדיין חסר. בין היתר חסרים נוהל לביצוע תחקיר והפקת לקחים ממיזמים, נוהל מסודר לבדיקות בתהליך הפיתוח ונוהל לעבודה במתודולוגיית פיתוח זריזה. המבקר קובע כי עבודה לפי נהלים מסודרים היא אבן יסוד בממשל מערכות מידע, משום שהיא מפחיתה טעויות אנוש, משמרת ידע ארגוני ומונעת הסתמכות על "תורה שבעל-פה".

הזדהות, הרשאות ופרטיות

בדוח נמצאו גם ליקויים במערך ההזדהות ובניהול הרשאות הגישה. המבקר קובע כי ליקויים מסוג זה פוגעים ברמת ההגנה של המערכות, מעמידים בסיכון את שלמות המידע, סודיותו וזמינותו, ומחייבים תיקון בהתאם להנחיות הגופים המנחים. לפי הדוח, כאשר מדובר במערכות רגישות כמו מערכות משרד החוץ, השתלטות עוינת או גישה בלתי מורשית לרשת עלולות לגרום נזק ביטחוני, כלכלי ותדמיתי למדינת ישראל.

מבקר המדינה מדגיש גם את הצורך בהגנה על פרטיות. משרד החוץ מסר כי קיים פער בתחום זה וכי אין ולא היה בעבר תקן לממונה על הגנת הפרטיות. המשרד הוסיף כי לקב"ט המשרד, שעליו הוטלה האחריות לתחום, אין יכולת לבצע זאת ללא המשאבים הנדרשים. המבקר ממליץ למנכ"ל משרד החוץ, בשיתוף אגף התקשוב, הלשכה המשפטית וחטיבת הביטחון, לוודא עמידה מקיפה ושיטתית בדרישות חוק הגנת הפרטיות ולהקצות לכך משאבים מתאימים.

התאוששות מאסון ומבדק חוסן

במסגרת הביקורת נבחנה גם ההיערכות להתאוששות מאסון. בשנת 2024 החל משרד החוץ בהיערכות להכנת תוכנית כזו, ושכר חברה חיצונית לבחינת השפעת תרחישי ייחוס שונים על תהליכי העבודה הקריטיים של המשרד. חברה נוספת נשכרה להכנת תוכנית התאוששות מאסון. המבקר בחן את מצב הדברים הקיים לפני יישום התכנון הרב-שנתי, ובדק אם קיימת במשרד תוכנית מעודכנת ואיכות המענה הנוכחי להתאוששות מאסון.

נוסף על כך, במרס 2025 ביצע משרד מבקר המדינה מבדק חוסן באחת מרשתות משרד החוץ, שכלל סקר הערכת פגיעויות ומבדק חדירה. המבקר מסביר כי מבדקים כאלה נועדו לבחון את רמת ההגנה המיושמת בארגון, לאתר חולשות וסיכונים ולטפל בהם. חלק מן הממצאים בנושא זה, מטבע הדברים, לא פורסמו לציבור.

אזהרה על תשתית דיפלומטית חיונית

בסיכום הדוח קובע מבקר המדינה כי ממצאי הביקורת מלמדים על פערים בשני התחומים המרכזיים שנבדקו: הניהול והפיתוח של מערכות המידע במשרד החוץ, ואבטחת המידע והגנת הסייבר במשרד. המערכות הממוחשבות חיוניות לפעילותו התקינה של המשרד ולמימוש יעדיו, ופגיעה בהן או במידע המצוי בהן עלולה לפגוע בתפקוד המשרד, בשירות לציבור, ביחסי החוץ של המדינה ובתדמיתה בעולם.

המשמעות הרחבה של הדוח היא שמשרד החוץ אינו יכול להרשות לעצמו להתנהל עם חוב טכנולוגי מתמשך ועם פיקוח ניהולי חלקי. בעידן שבו דיפלומטיה, שירות קונסולארי, הסברה, קשרים בינלאומיים ומידע רגיש תלויים במערכות דיגיטליות, תשתית תקשוב חלשה אינה רק בעיה מינהלית - היא עלולה להפוך לנקודת תורפה לאומית.