מערכות מידע ואבטחת מידע וסייבר במשרד החוץ

הגעת לתוכן כרטיסייה על מנת להמשיך בנייוט דלג עם החיצים למטה ולמעלה
מסגרת פרסום:
תאריך הפרסום:
סוג הפרסום:
 

רקע

משרד החוץ אחראי לגיבוש מדיניות החוץ של ממשלת ישראל, ביצועה והסברתה. פעולות המשרד מתבצעות באמצעות המשרד הראשי בירושלים ובאמצעות 109 הנציגויות הדיפלומטיות והקונסולריות בחו"ל. המערכות הממוחשבות במשרד החוץ מהוות את התשתית התפעולית של משרד החוץ, והן חיוניות לפעולתו התקינה של המשרד. גורמי המקצוע במשרד החוץ האמונים על מערכות המידע והטכנולוגיה ועל הגנת המידע במשרד הם אגף התקשוב וחטיבת הביטחון במשרד (בטמ"ח). 

משרד החוץ נדרש להתמודד עם אתגר מובנה וייחודי, שנגזר מהצורך לנהל מידע מדיני ודיפלומטי רגיש בין המטה לנציגויות. 

תרשים בקובץ המצורף

מערך התקשוב במשרד החוץ - מאפיינים ייחודיים

מערך הדיגיטל הלאומי מנחה מתוקף סמכויותיו את אגף התקשוב במשרד החוץ בכל הנוגע לפעילויות ולתהליכי העבודה העיקריים שלו. באשר להגנה על המידע, יה"ב (יחידת ההגנה בסייבר במערך הדיגיטל הלאומי) מנחה את המשרד לגבי רשת הבלמ"ס, והשב"כ מנחה אותו בכל הנוגע לרשתות מסוימות במשרד.

משרד החוץ הוא יעד מרכזי לתקיפות סייבר של מגוון יריבים, החל בפצחנים בודדים וכלה בגורמים מדינתיים. פעילויות סייבר שזוהו במשך השנים יוחסו לגורמים איראניים, לגורמים מחיזבאללה, מחמאס ואחרים. בשנים 2020 - 2024 אירעו אירועי סייבר חריגים ברשתות המחשוב של משרד החוץ. במהלך מלחמת "חרבות ברזל", חל גידול של כ-500% באירועי הגנת מידע בנציגויות ישראל בחו"ל, ואירעו מאות אירועים בשנת 2023, בהם למשל ניסיון פריצה לדואר אלקטרוני של עובד הנציגות.

נתוני מפתח

  • 85.3 מיליון ש"ח

    תקציב תחום התקשוב במשרד החוץ לשנת 2024, המהווה כ-4.5% מסך תקציב המשרד (1.9 מיליארד ש"ח). מתוכו התקציב שהוקצה לתחום הסייבר עמד על כ-13 מיליון ש"ח

  • EOL

    נמצאו מערכות שהוגדרו כפגות תוקף (EOL), או ככאלו הדורשות שדרוג או החלפה

  • מאות

    אירועי הגנת מידע התרחשו בנציגויות ישראל בחו"ל בשנת 2023

  • הגנה חלקית

    רמת ההגנה על המידע ברשתות מסוימות נמוכה מרמת ההגנה הנדרשת ואינה עומדת בדרישות הגורם המנחה

  • משנת 2018

    לא עודכן מסמך מדיניות הגנת הסייבר ואבטחת המידע במשרד החוץ. זאת אף שחלו שינויים מהותיים במפת האיומים ובמבנה הארגוני של מערך התקשוב

  • ספריות רשת משותפות

    נמצאו ספריות בחלק מרשתות המשרד שהיו פתוחות לכלל משתמשי הרשת

  • תשתיות ומערכות מידע

    נמצאו פערים בעדכניות תשתיות ומערכות המידע

  • 15 ממצאים

    זוהו במבדק החוסן שביצע משרד מבקר המדינה. הממצאים ברמות סיכון שונות: רמה גבוהה ביותר, רמה גבוהה, רמה בינונית ורמה נמוכה

פעולות הביקורת

בחודשים מרץ 2024 עד אפריל 2025, במהלך מלחמת "חרבות ברזל", ביצע משרד מבקר המדינה ביקורת על מערכות המידע ואבטחת המידע במשרד החוץ. הביקורת בחנה נדבכים הנוגעים לניהול ופיתוח של מערכות המידע במשרד: ממשל טכנולוגיות המידע; ניהול פרויקטים ופיתוח מערכות מידע; תוכנית התאוששות מאסון. כמו כן נבחנו נדבכים הנוגעים לאבטחת המידע והגנת הסייבר במשרד החוץ: ממשל אבטחת מידע; הגנה על המידע ברשתות המחשוב; עדכניות תשתיות ומערכות המידע; הגנה על רשת מסוימת במשרד; הזדהות משתמשים וניהול הרשאות; הגנה על מאגרי מידע לפי חוק הגנת הפרטיות. בנוסף, במהלך חודש מרץ 2025 בוצע מבדק חוסן הכולל סקר הערכת פגיעויות ומבדק חדירה ברשת מסוימת במשרד.

הביקורת נערכה בעיקרה במשרד החוץ. בדיקות השלמה נעשו במערך הדיגיטל הלאומי, לרבות ביה"ב הפועלת בו, במס"ל ובשב"כ.

ועדת המשנה של הוועדה לענייני ביקורת המדינה של הכנסת החליטה שלא להניח דוח זה במלואו על שולחן הכנסת אלא לפרסם רק חלקים ממנו, לשם שמירה על ביטחון המדינה, בהתאם לסעיף 17 לחוק מבקר המדינה, התשי"ח-1958 [נוסח משולב].

תמונת מצב העולה מן הביקורת

  • dislike
    הקמת ועדת היגוי משרדית לתחום התקשוב ופעילותה - בניגוד להנחיות מערך הדיגיטל, ועדת ההיגוי המשרדית לתקשוב שתפקידה בין היתר לקבוע את האסטרטגיה של המשרד ומדיניותו בנושאי תקשוב; לאשר את תוכניות העבודה והתקציבים הרב-שנתיים והשנתיים של כלל הפעילויות המתקיימות...
  • dislike
    תקציב אגף התקשוב - תקציב משרד החוץ לשנת 2024 עמד על כ-1.9 מיליארד ש"ח. התקציב שהוקצה לתפעול שוטף של תחום התקשוב עמד על 85.3 מיליון ש"ח, המהווה כ-4.5% מסך התקציב. ממסמכי אגף התקשוב עולה שהתקציב שהוקצה לשנת 2024 אינו מספק ואינו תואם את צורכי המשרד בפועל...
  • dislike
    ועדות היגוי לפרויקטים - בניגוד להנחיות מערך הדיגיטל ולפיהן יש להקים ועדות היגוי לכל פרויקט פיתוח מערכת מידע המוגדר מורכב או שבגודל בינוני ומעלה, משרד החוץ לא מינה ועדות היגוי לארבעה מתוך שישה פרויקטים משמעותיים שנבדקו. בהיעדר ועדת היגוי לפרויקט, לא יכו...
  • dislike
    ניהול סיכונים בפרויקטים - בניגוד לנדרש בהנחיות מערך הדיגיטל ולפיהן ניהול סיכונים הוא מרכיב הכרחי בניהול הפרויקט בשלביו השונים, משרד החוץ אינו מקיים תהליכים של ניהול סיכונים בפרויקטים לכל אורך מחזור חיי הפרויקט. זאת, אף על פי שמדובר בפרויקטים משמעותיים...
  • dislike
    פיתוח מערכת מידע מסוימת - המערכת נועדה להחליף מערכת מסוימת במשרד החוץ ולהביא לשיפור השירות הקונסולרי. עלה כי: אף שהפרויקט תוכנן מלכתחילה להסתיים בשנת 2019, הרי שלפי לוחות הזמנים המעודכנים הפרויקט עתיד להסתיים לכל המוקדם בשנת 2028, כעשר שנים לאחר המועד...
  • dislike
    תוכנית התאוששות מאסון - נכון לספטמבר 2024 ישנם פערים ביכולתו של משרד החוץ להתאושש מאסון. בכלל זה: אין למשרד תוכנית DRP מעודכנת, סדורה ותקפה להתאוששות מאסון; נמצאו ליקויים ביכולת ההתאוששות של אתר ה-DR; המשרד לא תרגל באתר ה-DR תהליך של העלאת מערכות מידע...
  • dislike
    מדיניות הגנת הסייבר ואבטחת המידע במשרד החוץ ועדכונה - נכון לינואר 2025, ועדת ההיגוי להגנת הסייבר ומנכ"ל המשרד לא עדכנו ולא תיקפו את מסמך מדיניות הגנת הסייבר, אף שחלפו כשבע שנים ממועד אישורו על ידם בשנת 2018. זאת בניגוד להנחיות הגורמים המנחים שלפיהן יש...
  • dislike
    פעילות ועדת ההיגוי להגנת הסייבר - ועדת ההיגוי להגנת הסייבר בראשות סמנכ"לי תיאום ותכנון מדיני במשרד החוץ אמורה לשמש מסגרת ארגונית ניהולית לקבלת החלטות בתחום הגנת הסייבר ולמעקב אחר יישומן. עלה כי ועדת ההיגוי במשרד החוץ לא עקבה בשנים 2018 - 2024 באופן שיט...
  • dislike
    ביצוע סקרי סיכונים ומבדקי חדירה - נמצא כי משרד החוץ פעל במהלך השנים 2017 - 2024 לביצוע סקרי סיכונים (הן סקרים כוללים והן סקרים ייעודיים) ומבדקי חדירה. עם זאת, סקרי הסיכונים ומבדקי החדירה היו חסרים, או שלא נגעו לכלל נכסי המידע והתהליכים הקריטיים במשרד...
  • dislike
    התעדכנות באירועי סייבר חריגים במשרד - לפי הנחיות יה"ב, אחד מתפקידי ועדת ההיגוי הוא להתעדכן באירועי סייבר חריגים שאירעו במשרד, לקיים הערכת נזקים בעקבות תקלות ולגבש המלצות לטיפול. נמצא כי בשנים 2020 - 2024 אירעו אירועי סייבר חריגים, אולם רק בספטמבר 2024...

    עיקרי המלצות הביקורת

    • [alt]
      על מנכ"ל משרד החוץ לוודא כי ועדת ההיגוי לתקשוב תתכנס באופן סדיר, בתדירות של פעמיים עד ארבע פעמים בשנה, ותמלא את כל תפקידיה כמוגדר בהנחיות מערך הדיגיטל, ובכלל זה אישור תוכנית העבודה ומעקב אחר יישומה. כמו כן עליו למנות לחברי הוועדה סמנכ"לים מקצועיים במשר...
    • [alt]
      תקציב מאפשר הוא תנאי הכרחי למימוש אפקטיבי של ממשל טכנולוגיות מידע, שכן ללא תקצוב מספק, הארגון חשוף לסיכוני תפעול ואבטחה רבים. לנוכח הקשיים המשמעותיים שהוצפו בעניין זה, נדרש כי מנכ"ל משרד החוץ יבצע בחינה מעמיקה בנוגע לתקצוב תחום התקשוב, במטרה להבטיח כי...
    • [alt]
      על משרד החוץ לפתח מדיניות מקיפה ומפורטת לניהול סיכוני התקשוב בפרויקטים, תוך שימוש במתודולוגיה סדורה ובהלימה עם הנחיות מערך הדיגיטל. במסגרת זו יש להקים מנגנון זיהוי והערכה של סיכונים בכל שלבי הפרויקט, לתעד את הסיכונים ולגבש תוכנית פעולה מותאמת להתמודדות...
    • [alt]
      על ועדת ההיגוי הייעודית של פרויקט מסוים וועדת ההיגוי המשרדית לתחום התקשוב לבחון לעומקם את הליכי ההערכה והתכנון בפרויקט ולנהל מעקב הדוק אחר התקדמות אבני הדרך שלו בכל שלב ושלב. זאת כדי למנוע עיכובים נוספים ביישומו של הפרויקט וכדי להבטיח כי המשך היישום בש...
    • [alt]
      כדי להבטיח את הרציפות התפקודית של משרד החוץ, על משרד החוץ לבחון אילו צעדים עליו לנקוט כדי להבטיח את התאוששות מערכות מידע מסוימות באתר ה-DR בהתאם למדדי ההתאוששות שאישרה הנהלת המשרד בספטמבר 2024 - וליישמם. במקביל, עליו לגבש באופן מיידי תוכנית DRP, שתיתן...

    סיכום

    משרד החוץ אמון על גיבוש מדיניות החוץ של מדינת ישראל, ביצועה והסברתה, ומתוקף תפקידו הוא מחזיק במידע רגיש. המערכות הממוחשבות של משרד החוץ חיוניות לפעילותו התקינה ולמימוש יעדיו, ופגיעה בהן או במידע המצוי בהן עלולה לגרום לפגיעה בתפקוד המשרד בכללותו ובשירות שהוא נותן לציבור, ולפגיעה ביחסי החוץ של המדינה ותדמיתה בעולם. נוכח תפקידו, משרד החוץ הוא יעד מרכזי לתקיפות סייבר של מגוון יריבים, החל מפצחנים וכלה בגורמים מדינתיים.

    ממצאי דוח זה מלמדים על פערים בשני התחומים שנבדקו - הניהול והפיתוח של מערכות המידע במשרד החוץ ואבטחת המידע והגנת הסייבר במשרד.

    תמונת המצב העולה מביקורת זו מלמדת על פער טכנולוגי מתמשך במערכות המחשוב של משרד החוץ של שנים רבות ועל תרבות ארגונית שאינה הולמת את איום הייחוס שהוגדר למשרד החוץ. 

    ממצאי ביקורת זו מדגישים את הצורך בחיזוק מנגנוני הפיקוח והבקרה של הנהלת משרד החוץ וועדת ההיגוי להגנת הסייבר בראשות מנכ"ל משרד החוץ בכל הנוגע למערכות המידע ואבטחת המידע במשרד.

    על מנכ"ל משרד החוץ להידרש לממצאי דוח זה ולוודא כי הליקויים והפערים שהועלו בו יטופלו. בכלל זה, יש להכין תוכנית עבודה סדורה ומפורטת, לרבות לוחות זמנים, כדי לתעדף את הטיפול בכלל הפערים שהועלו ולצמצם את הסיכונים הקיימים. כל זאת, במטרה להבטיח פעילות תקינה של מערך התקשוב במשרד החוץ ולשפר את רמת ההגנה על המשרד ונכסיו. 

    זאת ועוד, על השב"כ ויה"ב להידרש אף הם לממצאי דוח זה ולעקוב אחר הטיפול בפערים שהועלו בו, כדי לשפר את רמת ההגנה על המידע במשרד החוץ ולהבטיח שרמת ההגנה תהיה בהלימה לאיום הייחוס של המשרד.

    ואולם בסופו של דבר התובנות והלקחים העולים מדוח זה אינם מסתכמים בפעולת משרד החוץ והפיקוח על פעולתו. משרד מבקר המדינה ביצע בשנים האחרונות שורה של ביקורות בגופים ממשלתיים ובגופים ציבוריים רגישים בתחום התקשוב ובפרט בנושא אבטחת המידע והסייבר. ממצאים שעלו בדוחות אלו - ובאים לידי ביטוי ברור גם בדוח זה - מחייבים בחינה מעמיקה בקרב הרגולטורים המדינתיים - מערך הדיגיטל הלאומי, מערך הסייבר הלאומי, השב"כ והרשות להגנת הפרטיות - בנוגע לכמה סוגיות יסודיות וזאת בקשר לכלל משרדי הממשלה:

    1. בחינת הצורך בהטמעה ממשית ועמוקה של הסיכונים הטמונים בתחום הסייבר ופוטנציאל הנזק העלול להיגרם בגינם לארגון ולמדינה בכלל וכי איום הסייבר הוא איום ביטחוני ואסטרטגי לאומי. הטמעה זו נדרשת להיעשות בראש ובראשונה בקרב כלל המנהלים הכלליים של משרדי הממשלה ומכך אף נגזרת הדרישה בנוגע למידת מעורבותם בנושא. 

    2. כנגזרת של תפיסת האיום, נדרשת בחינה בנוגע לחיזוק מנגנוני הפיקוח והרגולציה של הגורמים המנחים, ובפרט כאשר ישנם כמה גורמים המנחים את אותו הגוף. זאת, על מנת להבטיח את אפקטיביות פעילות הגורמים המנחים למול גופים ממשלתיים ומתן מענה לכלל הסיכונים בצורה הוליסטית.

    3. בחינה מעמיקה של הפערים הקיימים במגזר הממשלתי בנוגע לתקצוב תחום התקשוב ובכלל זה תחום אבטחת המידע והגנת הסייבר, במטרה להבטיח כי במציאות של מחסור יסודי במשאבים, היקף התקציב ייתן מענה הן לדרישות המקצועיות ולהתפתחויות הטכנולוגיות והן לאיום הקיים. זאת במטרה להבטיח כי המחסור בתקציב לא יוצר סיכוני תקשוב או סיכוני אבטחת מידע, עכשוויים או עתידיים כמו גם נזקים הנובעים מאי-הטמעת טכנולוגיות חדשות.

    4. מתן הדעת על כך שחלק מהפערים, דוגמת אלו הנוגעים להגנה על הפרטיות, נובעים מתרבות ארגונית לקויה וכי ניתן לתת להם מענה באמצעות טיפול וקשב מצד הנהלות הגופים ובאמצעות כלים, לרבות כלים טכנולוגיים, שאינם דורשים בהכרח הקצאת משאבים, כגון הדרכות ונקיטת פעולות להעלאת מודעות העובדים.

    ​ביצוע בחינה מעמיקה כאמור תסייע במיקוד המאמצים וטיוב עבודת משרדי הממשלה בכל הנוגע לתחום התקשוב, אבטחת מידע והגנת הסייבר ובקידום רמת ההגנה באופן שיהלום את רמת האיום והשלכותיו, כמו גם לשיפור יעילות פעילות עבודת הממשלה ושיפור השירות לציבור.