הגנת המידע הממוחשב בבית הנשיא - דוח מיוחד

נשיא המדינה הוא ראש מדינה בלתי מפלגתי המייצג את המדינה כלפי פנים וכלפי חוץ. נשיא המדינה נבחר בידי הכנסת לתקופת כהונה של שבע שנים, וזאת מכוח חוק יסוד: נשיא המדינה. חלק גדול מסמכויות הנשיא הן סמכויות טקסיות באופיין, כגון חתימה על חוקים ואמנות עם מדינות חוץ, וחלק אחר מסמכויותיו הן ייחודיות, ובהפעלתן נתון לנשיא שיקול דעת, דוגמת הסמכות לחון עבריינים ולהקל בעונשם והסמכות להטיל את הרכבת הממשלה על אחד מחברי הכנסת. נוסף על כך, הנשיא מייצג את מדינת ישראל בפני הקהילה הבין-לאומית ויהדות התפוצות וכן עוסק במיסוד ובהובלה שותפויות מקומיות ובין-לאומיות בנושאים שונים, דוגמת התמודדות עם משבר האקלים. בית הנשיא, בהיותו מוסד של המדינה, הוא גוף מבוקר מכוח סעיף 9(2) לחוק מבקר המדינה, התשי"ח-1958 [נוסח משולב]. לשכת נשיא המדינה נכללת ביחידות שירות המדינה, ועובדיה הם עובדי מדינה.

פעילותו התקינה של בית הנשיא מושפעת ותלויה בין השאר ברמת הסודיות, השלמות, הזמינות והשרידות של המידע שברשותו, גם במערכות המחשוב המעבדות ומאכסנות אותו וברכיבי התקשורת של מערכות אלה. במערכות הממוחשבות של בית הנשיא אצור מידע רב, לרבות מידע בעל רגישות מיוחדת על קרוב ל-100,000 מבקשי חנינה. המידע ומערכות המחשוב בבית הנשיא הם נכס מרכזי וחיוני, ויש להגן עליהם ככל משאב אחר בעל ערך ארגוני. פגיעה בהם עלולה לגרום לנזקים בהיבטים תפעוליים, טכנולוגיים וכספיים, ואף לפגוע בצנעת הפרט ובסמל מרכזי של המדינה ובאופן שבו הוא נתפס בתודעה הלאומית והבין-לאומית. הדבר נכון בשגרה, ועל אחת כמה וכמה בעיתות מלחמה, כשכמות תקיפות הסייבר (סבר) מתגברת. בית הנשיא מפעיל כמה רשתות תקשורת.

בחודשים מרץ עד ספטמבר 2025 ביצע משרד מבקר המדינה ביקורת בנושא הגנת המידע הממוחשב בבית הנשיא. הביקורת התמקדה ברשת המרכזית, ונבדקו הנושאים האלה: ניהול העל של הגנת המידע; הזדהות המשתמשים וניהול ההרשאות; עדכניות הגרסאות של מערכות ההפעלה והתוכנה; תשתיות רשת בית הנשיא; אבטחת תחנות קצה; והגנת הפרטיות. בדיקת השלמה נערכה ביחידה להגנת הסייבר בממשלה שבמערך הדיגיטל הלאומי.

ועדת המשנה של הוועדה לענייני ביקורת המדינה של הכנסת החליטה שלא להניח על שולחן הכנסת ולא לפרסם נתונים מפרק זה לשם שמירה על ביטחון המדינה, בהתאם לסעיף 17 לחוק מבקר המדינה, התשי"ח-1958 [נוסח משולב]. חסיון נתונים אלה אינו מונע את הבנת מהות הביקורת.

​פעילותו התקינה של בית הנשיא מושפעת ותלויה בין השאר ברמת הסודיות, השלמות, הזמינות והשרידות של המידע המצוי ברשותו, ובכלל זה במערכות המחשוב שלו. פגיעה במידע עלולה להוביל לנזקים בהיבטים תפעוליים, טכנולוגיים וכספיים, ואף לפגוע בצנעת הפרט ובשם הטוב ובתדמית של בית הנשיא ושל העומד בראש המדינה.

הביקורת על הניהול וההפעלה של רשת התקשורת המרכזית של בית הנשיא, המשמשת את כלל עובדיו לשם ניהול תחומי העשייה העיקריים של בית הנשיא, העלתה הליקויים בתחומים האלה: 

1. ההיבט הניהולי: עד אמצע שנת 2025 פעל בית הנשיא ללא ועדת היגוי להגנת הסייבר וללא מדיניות מאושרת ויעדים מדידים בתחום הגנת הסייבר. החסר המהותי בהיבטי ניהול-העל בבית הנשיא ואי הטלת האחריות לתחומי ליבה על ממלאי תפקידים בבית הנשיא מובילים למסקנה כי תחומי הגנת הסייבר בבית הנשיא נזנחו במידה מסוימת ולא טופלו באופן ההולם את הסיכונים הנשקפים לגוף של המדינה.
   
   
2. ההיבט האבטחתי: הועלו ליקויים בעלי משקל בניהול אמצעי ההזדהות והחשבונות של המשתמשים ברשת; בית הנשיא לא הקצה תיבות דוא"ל משרדיות לכל עובדי הארגון העושים שימוש בדוא"ל במסגרת עבודתם השוטפת, ובכך יצר למעשה פתח לשימוש לא תקין בדוא"ל; נמצאו ליקויים המתייחסים לעמידת בית הנשיא בדרישות הנוגעות לניטור מערכות מידע; בבית הנשיא פועלות מערכות שאינן נתמכות עוד בידי היצרן, והוא אינו מקפיד על התקנת כל עדכוני האבטחה הנדרשים במערכותיו, ולכן חלק מהן חשופות לפגיעויות שונות; האופן שבו בנויה רשת בית הנשיא, אינו תואם את ההנחיות ויוצר סיכון; בית הנשיא לא התקין חלק ממערכות ההגנה הנדרשות; בית הנשיא לא פעל כנדרש להבטחת שליטה באבטחת תחנות הקצה של הרשת; והוא לא נקט מבעוד מועד את הפעולות הנדרשות להבטחת זמינות פונקציות עסקיות בעת חירום, עקב שיבוש תהליכים עסקיים קריטיים, באופן שהיה מצמצם את הנזק התפקודי והתדמיתי שנגרם לארגון.
   
   
3. היבט ההגנה על הפרטיות: בית הנשיא לא קיים חלק מהוראות הדין החלות עליו בכל הנוגע לאבטחת הפרטיות במאגרים שברשותו: לא מונה ממונה אבטחת מידע האמון על אבטחת המידע במאגרים; לא מופו מאגרי המידע, ולא הוכנה רשימת מצאי של מערכות המאגרים; לא גובש נוהל אבטחה, ולא נקבעו הרשאות גישה למאגרים; ואין מנגנון תיעוד אוטומטי של הגישה למערכות המאגר. ממצאים אלה עלו גם בנוגע למאגר החנינות של בית הנשיא, המכיל מידע רגיש על קרוב ל-100,000 מבקשי חנינה, לרבות נתונים רפואיים, סוציאליים וכלכליים. נוסף על כך, בית הנשיא קיבל שירותים מספק חיצוני לצורך הטיפול במאגר זה, אך לא נקט את הפעולות הנדרשות על פי תקנות אבטחת מידע; בית הנשיא מעביר למשרד המשפטים ולפרקליטות הצבאית בקשות חנינה המכילות מידע המוגדר מידע בעל רגישות מיוחדת באמצעות דוא"ל וללא הצפנה, בניגוד לדרישות הדין; בית הנשיא שומר בקשות חנינה שהועברו לגופים אלה בתיבת דוא"ל לפרק זמן לא מוגבל, ואינו מצמצם את המידע הנשמר בידיו למינימום הנדרש. 

יש לראות בחיוב את פנייתו של בית הנשיא ליה"ב בספטמבר 2024 בבקשה לקבל הנחיה בכל הנוגע להגנת הסייבר ואבטחת המידע הבלתי מסווג, את פעולותיו ליישום ההנחיות, את הקצאת התקציבים להגנת הסייבר וכן את כוונתו להמשיך ליישם את הנחיות יה"ב ולתקן ליקויים שעלו בביקורת. 

על בית הנשיא כגוף ציבורי בעל חשיבות לאומית מהמעלה הראשונה, להמשיך לפעול לתיקון הליקויים שעלו בביקורת, במטרה להבטיח את הסודיות, השלמות, הזמינות והשרידות של המידע המצוי ברשותו, למנוע פגיעה בצנעת הפרט של תושבי המדינה ולמנוע פגיעה בשם הטוב ובתדמית של בית הנשיא.