בית הנשיא: לא אירע אירוע אבטחת מידע
בית הנשיא מסר בתגובה כי עם קבלת הערת המבקר הוטמעה שכבת הגנה נוספת ומחמירה, וכי הליקוי שעליו הצביע הדוח תוקן במלואו. עוד הודגש כי לא נחשף מידע של אדם כלשהו ולא התרחש אירוע אבטחת מידע. לדברי בית הנשיא, עוד לפני פתיחת הביקורת פנה המוסד מיוזמתו ליחידת יה"ב לקבלת הנחיה וליווי מקצועיים בתחום הגנת הסייבר. עוד נמסר כי מרבית הליקויים תוקנו במהלך הביקורת, וכי בית הנשיא סבור שלא הפר את הוראות הדין בכל הנוגע לטיפול בחומר הקשור לבקשות חנינה.
מבקר המדינה קובע כי בית הנשיא החזיק במערכותיו מידע רגיש במיוחד, לרבות מידע רפואי, מידע על עבר פלילי, מידע ביומטרי ומידע כלכלי על קרוב ל-100 אלף מבקשי חנינה - אך במשך שנים פעל ללא מסגרת ניהולית ומקצועית מספקת להגנת המידע הממוחשב. לפי הדוח, פגיעה במידע זה עלולה לגרום נזקים תפעוליים, טכנולוגיים וכספיים, לפגוע בצנעת הפרט ואף לפגוע בסמל מרכזי של המדינה ובאופן שבו הוא נתפס בישראל ובעולם.
הביקורת נערכה בחודשים מרס-ספטמבר 2025 והתמקדה ברשת המרכזית של בית הנשיא. נבדקו בין היתר ניהול העל של הגנת המידע, הזדהות המשתמשים וניהול ההרשאות, עדכניות גרסאות של מערכות הפעלה ותוכנה, תשתיות הרשת, אבטחת תחנות קצה והגנת הפרטיות. חלק מן הנתונים לא פורסמו לציבור מטעמי ביטחון המדינה, אך לפי המבקר אין בכך כדי למנוע את הבנת מהות הביקורת.
בלי גורם מנחה עד 2024
אחד הממצאים המרכזיים בדוח הוא כי עד ספטמבר 2024 פעל בית הנשיא ללא גורם מנחה בתחום הגנת הסייבר ואבטחת המידע הבלתי מסווג. המשמעות, לפי המבקר, היא שעל בית הנשיא לא הוחלו במשך שנים הכללים ודרכי הפעולה שהוחלו על משרדי הממשלה, אף שדווקא בתחומי כוח האדם, הכספים והמשק אימץ בית הנשיא זה מכבר את ההוראות החלות על משרדי הממשלה בשינויים המחויבים.
מבקר המדינה מציין כי לנוכח האיום המרכזי שמציב תחום הגנת המידע ברמה הלאומית, היה מקום שבית הנשיא יאמץ כבר לפני שנים מכלול כללים מקצועיים שנקבעו ומתעדכנים בידי גורמים מומחים. בספטמבר 2024 פנה בית הנשיא ליחידה להגנת הסייבר בממשלה וביקש שתנחה אותו בכל הנוגע להגנת הסייבר ואבטחת המידע הבלתי מסווג. המבקר רואה זאת בחיוב, אך מדגיש כי המהלך נעשה לאחר שנים של פערים.
ועדת היגוי רק במהלך הביקורת
הדוח מצביע על כשל ניהולי נוסף: עד יוני 2025 לא הוקמה בבית הנשיא ועדת היגוי לנושאי הגנת סייבר. ועדה כזו אמורה להיות המסגרת הארגונית לקבלת החלטות אסטרטגיות בתחום, לאשר מפת סיכונים, לפקח על יישום ההגנות, לאשר מדיניות, לבחון חריגות ולהקצות משאבים. רק במהלך הביקורת הוקמה לראשונה ועדת היגוי בראשות מנכ"ל בית הנשיא, והיא התכנסה לראשונה בתחילת יולי 2025.
בהיעדר הוועדה, קובע המבקר, משימות מרכזיות לא קודמו: הנהלת בית הנשיא לא העריכה נזקים, לא בחנה ולא אישרה את מפת הסיכונים, לא גיבשה יעדים מדידים לבחינת יישום תשתית ההגנה, לא ביצעה סקרי הנהלה ולא בדקה את ישימות הפעולות הנדרשות להגנת המידע. בית הנשיא מסר כי הוועדה התכנסה פעמיים מאז הקמתה וכי בוצע תהליך של מיפוי נכסים, אך המיפוי טרם אושר בידי הוועדה.
אין מדיניות מאושרת להגנת המידע
ממצא משמעותי נוסף הוא כי הנהלת בית הנשיא טרם גיבשה או אישרה מדיניות להגנת הסייבר, גם לאחר שאימצה את הנחיות היחידה להגנת הסייבר בממשלה. המשמעות היא שבית הנשיא פעל ללא מסמך מדיניות מאושר שאמור להבהיר מי אחראי ליישום ההגנה, מהם העקרונות המחייבים, כיצד מגובשים הנהלים וכיצד מובטחת המשכיות תפקודית ועמידה בהוראות הדין.
בית הנשיא מסר למבקר כי התקשר עם חברה שאמורה לספק לו עד סוף הרבעון הראשון של 2026 מסמך מדיניות, שיובא לדיון בוועדת ההיגוי ולאישור ההנהלה. המבקר ממליץ לוועדת ההיגוי לקבוע מדיניות להגנת המידע בהתאם להנחיות, ולתקף אותה בתדירות הנדרשת.
נהלים חלקיים ולא מאושרים
הדוח קובע כי בית הנשיא גיבש 17 נהלים בתחום אבטחת המידע, אך הם לא נבחנו ולא אושרו בידי הנהלת בית הנשיא או בידי ועדת ההיגוי. שלושה מהם גובשו בתקופת הביקורת ועסקו בעבודה מרחוק, במדיה נתיקה ובגיבוי המערכת. 14 נהלים נוספים נכתבו לפי בית הנשיא עם כניסת ממונה אבטחת המידע לתפקיד בנובמבר 2022, ואושרו "במשך הזמן" בידי ראש אגף הביטחון.
המבקר קובע כי הנהלים עוסקים רק בחלק מן הנושאים הרלוונטיים, ואינם מטפלים בנושאי ליבה כגון משתמשים והרשאות, ניטור אירועים וחריגות, מחזור חיי תוכנה ועידכוני מערכות הפעלה. לפי הדוח, החסר בנהלים יוצר סיכון, ועל בית הנשיא להשלים נהלים מרכזיים נוספים בתחום.
סקר סיכונים ראשון רק ב-2025
גם בתחום הערכת הסיכונים מצא המבקר פערים. סקר סיכונים הוא כלי בסיסי שנועד לזהות נכסים, איומים, חולשות ובקרות נדרשות, והוא אמור לשמש בסיס לתוכנית העבודה השנתית. לפי הדוח, רק ביולי 2025, במהלך הביקורת וכעשרה חודשים לאחר שבית הנשיא אימץ את הנחיות היחידה להגנת הסייבר בממשלה, החל בית הנשיא לראשונה בביצוע סקר סיכונים תשתיתי, ובמסגרתו מבוצע גם מבדק חדירה.
המבקר רואה בחיוב את תחילת ביצוע הסקר, אך קובע כי על בית הנשיא להשלים את הסקר, לטפל בממצאיו, להשלים סקרי סיכונים במערכות המידע ולבצע סקרים כאלה בתדירות הנדרשת. לצד זאת נמצא כי בית הנשיא ביצע מבדק חדירה תשתיתי חלקי בלבד, ולא ביצע מבדק חדירה ליישומים המותקנים על מערכות המחשוב שלו.
ארבע משרות ליבה חסרות
הביקורת בחנה גם את מבנה כוח האדם. לפי הדוח, נכון לנובמבר 2025 בתקן כוח האדם של בית הנשיא אין ארבע משרות שהוגדרו כתפקידי ליבה בתחום טכנולוגיות המידע והגנת הסייבר: מנהל יישומים, מנהל אבטחת מידע, ממונה הגנת הסייבר ומנהל הגנת הסייבר. קיימים שלושה תפקידי ליבה אחרים: מנהל מערכות מידע, מנהל טכנולוגיות ופיתוח ואחראי ביטחון פיזי.
המבקר קובע כי תחומי ליבה לא הוטלו רשמית על בעלי תפקידים בבית הנשיא: תכנון, ניהול ובקרה של מכלול היבטי הגנת הסייבר; גיבוש מדיניות ותוכניות עבודה; ניתוח צרכים ואיומים; הכנת תוכנית תקציבית; יישום מדיניות אבטחת המידע; בקרה למניעת פרצות; ומתן הנחיה מקצועית בתחום. בית הנשיא השיב כי הוא גוף קטן שחלק מצרכיו מבוצעים באמצעות ספקים חיצוניים, וכי פורסם מכרז למשרה חדשה של ראש אגף לתכנון, בקרה וחדשנות.
הגנת הפרטיות: חובות שלא הושלמו
בפרק הנוגע להגנת הפרטיות קובע המבקר כי עד מועד סיום הביקורת לא מונה בבית הנשיא ממונה אבטחת מידע למאגרים. המבקר ממליץ לבית הנשיא לפעול לפי חוק הגנת הפרטיות ותקנות אבטחת מידע, ובכלל זה למנות ממונה אבטחת מידע למאגרי המידע, לגבש מסמך הגדרות למאגרים, למפות את מאגרי המידע, לגבש נוהל אבטחה לכל מאגר ולקבוע הרשאות גישה לכל עובד לפי תפקידו בלבד.
בהקשר זה הדוח חשוב במיוחד משום שהמידע המוחזק בבית הנשיא אינו מידע מינהלי רגיל. בקשות חנינה כוללות מטבען חומרים רגישים מאוד על אדם, משפחתו, מצבו הכלכלי, מצבו הבריאותי, עברו הפלילי ולעיתים גם פרטים אישיים של נפגעי עבירה. לכן הכשל אינו טכני בלבד, אלא נוגע לאמון הציבור במוסד הנשיאות.
דוח מבקר המדינה אינו מציג אירוע חדירה או דליפת מידע, אלא בעיה עמוקה יותר: מוסד ממלכתי המחזיק מידע רגיש ביותר פעל במשך שנים ללא תשתית ניהולית מלאה להגנתו. בית הנשיא החל לתקן חלק מן הפערים במהלך הביקורת ולאחריה, אך לפי המבקר עליו להשלים במהירות את המדיניות, הנהלים, סקרי הסיכונים, בעלי התפקידים והפיקוח השוטף.
תגובות
רגע, שקט פה מדי
דעתך חשובה - תהיו הראשונים להגיב על הכתבה