אבטחת המידע והגנת הסייבר ברשות מקרקעי ישראל

רשות מקרקעי ישראל (רמ"י) מופקדת על ניהול מקרקעי ישראל כמשאב, על פי חוק רשות מקרקעי ישראל, התש"ך-1960, לשם פיתוחה של מדינת ישראל ולטובת הציבור, הסביבה והדורות הבאים.

רוב המידע שרמ"י אוספת, שומרת ומנהלת הוא מידע רגיש על נכסי מקרקעין, הכולל נתונים אישיים ועסקיים. כמו כן, רמ"י מפעילה אתר מרשתת (אינטרנט), ובאמצעותו היא נותנת שירות לציבור. על רמ"י חלה החובה לשמור על המידע שברשותה ולוודא שהוא משמש אך ורק למטרות שלשמן הוא נמסר או לצורכי מילוי חובותיה על פי החוק. בנוגע לנכסי המקרקעין, רמ"י נדרשת להגן על סודיות המידע, אמינותו, זמינותו ומהימנותו, ועליה לוודא כי הנתונים לא ישונו, לא יימחקו וייחשפו רק למי שמורשה לגשת אליהם מתוקף תפקידו או מכיוון שהמידע נוגע לו.

בכל הנוגע להגנת הפרטיות ולאבטחת המידע הרב שבידיה, רמ"י נדרשת לפעול בהתאם להוראות הדין, ובכלל זה חוק הגנת הפרטיות, התשמ"א-1981 (חוק הגנת הפרטיות), והתקנות שהותקנו על פיו. על פי מיפוי של רמ"י, האיומים עליה כוללים איומים פנימיים, למשל מצד ספקים שיש לה איתם קשר, ואיומים חיצוניים, למשל מצד פצחנים (האקרים) ולקוחות. 

​בחודשים פברואר עד אוקטובר 2023 בדק משרד מבקר המדינה היבטים בתחום אבטחת המידע וההגנה על הפרטיות במערכות המידע ברמ"י. הבדיקה בוצעה ברמ"י, ובין היתר נבדקו הנושאים האלה: ממשל וניהול של אבטחת מידע וסייבר; רישום מאגרי המידע; ותוכניות להמשכיות תפקודית ולהתאוששות מאסון. ועדת המשנה של הוועדה לענייני ביקורת המדינה של הכנסת החליטה שלא להניח דוח זה במלואו על שולחן הכנסת אלא לפרסם רק חלקים ממנו, לשם שמירה על ביטחון המדינה, בהתאם לסעיף 17 לחוק מבקר המדינה, התשי"ח-1958 [נוסח משולב]. 

רמ"י מופקדת על ניהול אחד המשאבים החשובים ביותר של המדינה - מקרקעי ישראל. רוב המידע שרמ"י אוספת, שומרת ומנהלת הוא מידע רגיש על נכסי מקרקעין, שכולל מיליוני רשומות, ועל כן נדרש לאבטחו ברמת אבטחה גבוהה ביותר. לשם כך מפעילה רמ"י מערכות ומנגנונים להגנה על מאגרי המידע שלה ומערכותיה ונוקטת פעולות לאיתור סיכונים בנושא והפחתתם.

בביקורת זו נבדקו היבטים בתחום אבטחת המידע וההגנה על הפרטיות במערכות המידע ברמ"י, ובכלל זה מידת עמידתה של רמ"י בכללים המרכזיים שנקבעו בחוק, בתקנות הגנת הפרטיות ובהנחיות יה"ב. עלה כי רמ"י ביצעה מגוון סקרי סיכונים ומבדקי חדירה למערכותיה, והיא פועלת לתיקון הליקויים בהן, אך פעולותיה בכל הנוגע לפיקוח ובקרה על ניהול תחום הסייבר לקו בחסר: עלה בין היתר שוועדת היגוי סייבר של רמ"י, שאמורה להתוות מדיניות בתחום אבטחת המידע ולפקח על יישומה, להתעדכן בסיכונים ובאיומים הנוגעים לרמ"י ולבצע פיקוח על ניהול סיכוני הסייבר ברמ"י, לא בחנה ולא אישרה את המיפוי ואת הסיווג של נכסי המידע של רמ"י, לצורך קיום בקרה מיטבית; לא גיבשה סקרי הנהלה, שאמורים לבדוק את טיב ניהול אבטחת המידע והסייבר ברמ"י; ולא עקבה אחר מידת ביצוע תוכניות העבודה בנדון בהתאם לנדרש. כמו כן, לא הוצגו לה הסיכונים שעלו במבדקי החדירה ואופן היישום של התוכניות להפחתתם.

עוד עלו בביקורת פערים בנוגע למנגנון בקרה מסוים ובנוגע לנושא להמשכיות תפקודית והתאוששות מאסון.

על רמ"י לפעול לתיקון הליקויים שצוינו בדוח זה, לצורך חיזוק ההגנה על המידע שבידיה והגברת האפקטיביות של הפעולות שהיא נוקטת בתחום זה.

​