חומר רקע
הכנסת
מרכז המחקר והמידע
,ה כ נ ס ת
מרכז המחקר והמידע
ה ק ר י ה , י ר ו ש ל י ם9 1 9 5 0
www.knesset.gov.il/mmm
:טל' מזכירות6408240
-
02
:'פקס6496103
-
02
'י ב
אדר תש"ז ע, 8 ב
מרס
2017
ה סדרת
האחריות לה
גנת הסייבר בממשלה ובגופים הציבוריים
" לקראת ישיבת ועדת המדע והטכנולוגיה של הכנסת, בנושא
הגנת הסייבר במרחב הממשלתי ,"יוצג להלן
בקצרה מידע על
הטיפול הממשלתי בנושא ה
גנת ה.סייבר
יצוין כי נושא הגנת הסייבר נידון לא אחת בוועדת
המדע והטכנולוגיה של הכנסת.
1
רקע2
אין כיום הגדרה בינלאומית אחת מקובלת ל"מר חב
הסייבר"
(Cyber space)
. למרות הנטייה ליצור זהות
בין "המרחב המקוון" ו"מרחב ה
סייבר
", מרחב ה
סייבר
איננו רק האינטרנט, וכולל בתוכו לא רק חומרה
תוכנה ומערכות מידע אלא גם את בני אדם והאינטראקציות החברתיות שהם מבצעים באמצעות מערכות
אלה.
מרחב ה
סייבר הוא חלק אינט גרלי מכל אחת מזירות החיים שלנו. כמעט כל שירות ציבורי ופרטי שאנו
מכירים תלוי ו/או עושה שימוש ב
מחשוב, ת
קשורת מחשבים ו מערכות מידע ממוחשבות: שירותי
הטלפוניה, התקשורת במדיות השונות, מערכות הפיננסים והבנקאות, התחבורה; תשתיות המים
והחשמל ועוד.
לצד היתרונות והייעול שמאפשרות המערכות הממוחשבות, הן יצרו גם איום חדש שמידת
.החשיפה לו גדלה ככל שההתפתחות הטכנולוגית גדולה יותר ל
איום ה
סייבר פנים שונות
:בתוכן פשיע
ת
סייבר , טרור,סייבר
ריגול
סייבר ולוחמ
ת סייבר.
החוק להסדרת הביטחון בגופים ציבוריים, התשנ"ח-
1998
,קובע סמכויות ואחריות לאבטחה פיזית
אבטחת מידע ואבטחת מערכות מחשוב חיוניות של גופים ציבוריים שונים בתוכם הן גופי ממשלה והן
.גופים בבעלות פרטית
הגדרת דפוסי הפעולה והסמכויות להגנה
הסייבר של ישראל בדגש על תשתיות חיוניות, נק בעו בהחלטת
/ממשלה ב84
משנת2002
תחת הכותרת "אחריות להגנה על מערכות ממוחשבות במדינת ישראל" של ועדת
השרים לענייני ביטחון לאומי. בהחלטה נקבע כי יש להקים ועדת היגוי עליונה שתפקידה לבחון אילו גופים
מוגדרים כ"חיוניים" ולכן זקוקים להגנה קיברנטית. הגנה זו תסופק –
כך על פי ההחלטה
דאז,
באמצעות
יחידה ייעודית של שירות הביטחון הכללי–
.)הרשות לאבטחת מידע (רא"מ
מאז שנת2011
קיבלה הממשלה מספר החלטות בנושא הסייבר ובשנת2016
אף תוקן החוק להסדרת
הביטחון בגופים צ
יבוריים באופן המשקף את כניסתו
של מערך הסייבר הלאומי
(המטה,
ולעניין זה
בעיקר -
)רשות הסייבר
.לפעילות בתחומי ההגנה על הסייבר האזרחי
1
ועדת ,המדע והטכנולוגיה של הכנסת"
היערכות ישראל למתקפת סייבר וחשיבות ההגנה על
תשתיות לאומיות"
,
20
ביולי
2015
; "ק
ידום ישראל כמובילה בתחום הסייבר"
,
13
במאי2013
,
.ועוד
2
" ,מרכז המחקר והמידע של הכנסת
המרחב הקיברנטי וההגנה על תשתיות חיוניות,"
רועי גולדשמידט,
12
במאי2013
.
2
להלן יוצגו בקצרה החלטות הממשלה בנ ושא, התיקון לחוק, סטאטוס יישום של עיקרי ההחלטות וסוגיות
.נוספות לדיון
1. החלטות ממשלה
באוגוסט2011
בעקבות המלצות של המו
עצה הלאומית למחקר ופיתוח (מו
למו"פ)
,נתקבלה
החלטת הממשלה על "קידום היכולת הלאומית במרחב הקיברנטי ."
:בין מטרותיה קידום
היכולת הלאומית במרחב י הק
ברנטי; שיפור ההתמודדות עם האתגרים במרחב הקיברנטי ;ופיש ר
ההגנה על תשתיות לאומי
ות חיוניות, קידום מעמדה של ישראל כמרכז לפיתוח טכנולוגיות מידע
.ועוד
על בסיס החלטת הממשלה הוקם בראשית שנת2012
"מטה ה
סייבר
."הלאומי
ייעודו של מטה
הסייבר להמליץ לממשלה ולוועדותיה על מדיניות לאומית בתחום הקיברנטי ולפעול ליישומה של
מדיניות זו. המטה פועל לקידו ם היכולת הלאומית במרחב הקיברנטי ולשיפור ההתמודדות עם
האתגרים במרחב זה, בהם: הגנה על תשתיות חיוניות וקידומה של ישראל כמובילה במו"פ
.בתחום3
ב פברואר2015
החליטה הממשלה להקים "
רשות לאומית להגנת
ה
סייבר"
.
על פי ההחלטה, מטה
הסייבר והרשות יהוו יחד את"מערך הסייבר הלאו
מי"
.שבראשו יעמוד ראש מטה הסייבר
והן
.יוקמו כיחידות סמך עצמאיות תחת משרד ראש הממשלה4
החלטת הממש לה על הקמת רשות הסייבר מפורטת וכוללת אלמנטים רבים שרק חלקם יוצגו
להלן. תפקידי הרשות על פי ההחלטה כוללים בין השאר :
-
לנהל להפעי
ל ולבצע את כלל מאמצי ההגנה האופ רטיביים
ברמה הלאומית במרחב הסייבר.
-
להפעיל מרכז לסיוע בהתמודדות עם איומי סייבר (
Cyber Event Readiness Team
-
CERT
) עבור כלל המשק.
-
חיזוק הח
וס ן
של כלל המשק ב
סייבר באמצעות היערכות, כ
וריש.ת ואסדרה
על מטה הסייבר הוטלה בהחלטה האחריות להקים את רשות הסייבר במתווה תל ת שנתי בשנים
2015
-
2017
. בנוסף, הוטל על המטה להציג לראש הממשלה בתיאום עם ראש המטה לביטחון
,לאומי
מתווה להעברת הטיפול ב"
"אבטחת מערכות ממוחשבות חיוניות
משירות הביטחון
.הכללי לרשות הסייבר
עוד נקבע בהחלטת הממשלה כי תוקם ועדת היגוי להגנה על מערכות ממ וחשבות חיוניות שבין
תפקידיה לקבוע אילו גופים יוגדרו כגופים חיוני
ים בהיבט של מערכות המחשוב שלהם
ומתוקף
החלטה זו תחת אילו מ
נ גנו נ
י הנחייה יופעלו.
על פי החלטת הממשלה בעניין
היה על מט
ה הסייבר ו
הלשכה המשפטית במשרד ראש הממשלה
בשיתוף ע ם משרד המשפטים להכין "תזכיר חוק הגנת
ה"סייבר
ולהביאו לאישור ראש הממשלה
.בתוך חצי שנה ממועד החלטת הממשלה
3
'החלטת ממשלה מס3611
,", "קידום היכולת הלאומית במרחב הקיברנטי7
באוגוסט2011
.
4
'החלטת ממשלה מס2444
,", "קידום ההיערכות הלאומית להגנת הסייבר15
בפברואר2015
.
3
בפברואר2015
החליטה הממשלה על "קידום אסדרה לאומית והובלה ממשלתית בהגנת
."הסייבר5 ב
החלטה נקבע בין השאר
כי כחלק
מ רשות הסייבר תוקם יחידה להסדרת שוק שירותי
סייבר שבין תפקידיה
:יהיה קידום סטנדרטים של אנשי מקצוע; הכשרות, הסמכות והגדרת
תחומי ידע נדרשים; יצירת ותפעול של מנגנון לאישור מוצרי הגנת סייבר ועו
ד.
כמו כן על פי ה
החלטה ימ
ה ונ על ידי המנכ"לים במשרדי הממשלה "ממונ
ה
הגנת סייבר" בכל
משרד ;כחלק מיחידת מערכות המיד
ע במשרד ימונה "מנהל הגנת סייבר" ו
תו קם ועדת היגוי
משרדית לנושא. בנוסף, יוקצה תקציב ייעודי לנושא הסייב ב ר שיעור
ש
לא יפחת מ-
8%
מן התקציב
שנקבע לתחום טכנולוגיית המידע במשרד., למעט באישור בנסיבות מיוחדות
החלטת הממשלה כוללת גם הקמתן של עוד ש
ת :י מסגרות ארגוניות יחידה להגנת הסייבר
)בממשלה (יה"ב
שמטרתה לספק הנחיה והכוונה ממשלתית בתחומי הגנת הסייבר עבור כלל
משרדי הממשלה ויחידות הסמך; והקמתן של יחידות להכוונה מקצועית מגזרית בתחום הגנת
הסייבר במ
שרדי המ
משלה שמטר
ת ן לספק הכוונה והנחיה מקצועית בתחום הגנת הסייבר
בהתאם לסמכויות הרגולציה של המ שרד או במסגרתו. על פי החלטת הממשלה הוטל על מטה
הסייבר לסווג את הרגולטורים השונים בממשלה על פי סמכויותיהם והמגזר שבו
הם פועלים
ובהתאמה לקבוע את כוח האדם וגודל היחידה להכוונה מקצועית מגזרית
הדרוש
.להם 6
לדברי ראש י
ה"ב ונציג ראש מערך הסייבר
, יה"ב והיחידות ל
ה כוונה מגזרית פועלות בזירות
שונות: בעוד יה"ב פועלת בהנחיה של משרדי המ משלה ויחידות הסמך שלה בפעילות
הממשלתית הפנימית, הרי שהיחידות ל
ה כוונה מקצועית מגזרית פועלות להנחיית המשק
האזרחי, כל אחת בתחום אחריותה לפי תחום פעילות המשרד או ה
גר.ולטור המגזרי7
,עוד נקבע בהחלטה
כי יוקם
מרכז שליטה ובקרה ממשלתי למול איומי סייבר
(SOC- Security
Operation Center)
. מרכז השליטה והבקרה
יוקם על פי ההחלטה
על ידי מטה הסייבר והיחידה
להגנת סייבר בממשלה- יה"ב.
8
2. החוק להסדרת הביטחון בגופים ציבוריים , התשנ"ח-
1998
ה
חוק להסדרת הביטחון בגופים ציבוריים, התשנ"ח-
1998
,קובע סמכויות ואחריות לאבטחה פיזית
אבטחת מידע ואבטחת מערכות
מחשוב חיוניות9
של גופים ציבוריים שונים בתוכם הן גופי ממשלה והן
.גופים בבעלות פרטית
(החוק מגדיר גוף ציבורי כך: "כל גוף המנוי בתוספות, ולגבי משרד ממשלתי המנוי
בתוספות–
.)לרבות יחידת הסמך שלו
החוק תוקן לאחרונה
בצורה
מהותית
בשנת2016
ועיקרו של התיקון לחוק
כלל למעשה את העברת
האחריות לטיפול באבטחת מערכות ממוחשבות חיוניות של גופי
ם אזרחיים
מאחריות שירות הביטחון
הכללי לאחריות.הרשות הלאומית להגנת סייבר
לצורך העניין נוספה לחוק התוספת החמישית המפרטת
גופים המונחים כאמור על ידי הרשות ביחס לאבטחת מערכות ממוחשבות חיוניות, והוצאתם של גופים
5
'החלטת ממשלה מס2443, "קידום אסדרה לאומית והובלה ממשלתית בהגנת הסייבר"
,
15
בפברואר2015
.
6
.שם
7
,גדעון קונפינו, ראש היחידה להגנת הסייבר בממשלה, מכתב תשובה לפניית מרכז המחקר והמידע של הכנסת5 במר
ס
2017
.
,אמרי קוזק, יועץ בכיר לראש מערך הסייבר הלאומי, מכתב תשובה לפניית מרכז המחקר והמידע של הכנסת7 במר ס2017
.
8
'החלטת ממשלה מס2443, "קידום אסדרה לאומית והובלה ממשלתית בהגנת הסייבר"
,
15
בפברואר2015
.
9 ההבחנה בין אבטחת מידע לאבטחת מערכות מחשוב חיוניות נועדה לענ ות על מקרים בהם המערכת איננה מערכת מידע אך
,היא מערכת מחשוב חיונית, לדוגמא מערכת מחשוב שמווסתת את תפעול שאיבת הגז או ייצור החשמל. עו"ד עידו בן יצחק
,הלשכה המשפטית של הכנסת ,פגישה5
במרס2017
.
4
אלה מן התוספת ה .רביעית
בהת
אם לצו מתוקף החוק, מה-1
במארס2017
הועברו לאחריות הרשות11
.גופים ציבוריים10
,עם זאת חברות
תקש
ור ת
נותרו בתוס
פת הרביעית ו
אבטחת מערכ
ות ממוחשבות חיוניות
בחברות התקשורת נותרה.תחת אחריות השב"כ
יצוין, כי החוק איננו מגדיר מהן מערכו
ת מ מוחשבות חיוניות למעט באמירה כי המדובר ב"מערכות
ממוחשבות שנקבעו כחיוניות על ידי הגוף שהסמיכה לכך הממשלה".
11
החוק קובע
בין השאר נ
ושאים אלה: חובה למנות "ממונה ביטחון" בגופים האמורים; סמכו יותיו של
ממונה הביטחון; כפיפותו של הממונה לקצין מוסמך– נציג השב"כ, המשטרה , או הרשות הלאומית להגנת
סייבר
בהתאם לגוף הנידון; סמכותו של הקצין לתת הנחיות מקצועיות בנושאי אבטחה, אבטחת מידע
.ואבטחת מערכות מחשוב חיוניות; והכללים לערעור על ההנחיות המקצועיות
ל חוק
חמש
:תוספות
בתוספת הראשונ ה מנויים גופים שמונחים הן ביחס לאבטחתם הפיזית והן ביחס לאבטחת
המידע שלהם בידי השב"כ;: משרד ראש הממשלה; משרד הביטחון; מפעלי מערכת הביטחון12
לשכת נשיא המדינה ומשרד החוץ.
בהיבטים מסוימים של פעולתם מונחים גם: רשות שדות התעופה; חברות נמל13
;
;חברות תעופה
חברות ס פנות; גוף המפעיל מסוף מטענים מוטסים מישראל; מינהלת המעברים שבמשרד
הביטחון.
בתוספת השנייה מנויים גופים שמונחים על ידי המשטרה ביחס לאבטחה פיזית ובידי השב"כ
ביחס לאבטחת מידע : משרדי ממשלה שלא מנויים בתוספת הראשונה; הסוכנות היהודית; רשות
השידור; הרשות השנייה לטל
וויזיה ורדיו; בנק ישראל; מקורות; חברת החשמל; בזק , החברה
הישראלית לתקשורת בע"מ, חברת פלאפון תקשורת בע"מ, חברת סלקום ישראל בע"מ, חברת
( פרטנר תקשורת בע"מ, בזק בינלאומי, ברק אי.טי.סי1955
,), החברה לשירותי בזק בינלאומיים
קווי זהב שירותי תקשורת בינלאומיים בע "מ, חברת מירס תקשורת בע"מ, וכן בעל רישיון כאמור
בסעיף13
לחוק התקשורת (בזק ושידורים), התשמ"ב-
1982
, אשר ניתנו לגביו הוראות כאמור
בסעיף13(ב) לחוק האמור ; דואר ישראל; פי גלילות מסופי נפט וצינורות; קצא"א; חברת תשתיות
נפט ואנרגיה; חברת בתי זיקוק לנפט; חברת פז ב;ית זיקוק אשדוד
המוסד לביטוח לאומי; רשות
.מקרקעי ישראל; המרכז למיפוי ישראל; חברת רכבת ישראל; חברת נתיבי הגז הטבעי לישראל
;בהיבטים מסוימים של פעולתם מונחים גם: רשות שדות התעופה; חברות נמל ;חברות תעופה
חברות ספנות; גוף המפעיל מסוף מטענים מוטסים מישראל; מינה לת המעברים שבמשרד
הביטחון; חברת נמלי ישראל.
10
הגופי
ם
המנויים בצו: משרד האוצר; רשות האוכלוסין וההגירה; הרשות לניהול המאגר הביומטרי; רשות התקשוב
הממשלתי-מערך ממשל זמין; מגן דוד אדום; מקורות
חברת
מים ; נתיבי הגז הטבעי לישראל, רכבת ישראל, תשתיות נפט
ואנרגיה, דנים וחומרים כימיים והלשכה המרכזית לסטט
יסטיקה . בנוסף, על פי הצו, אמורה חברת החשמל לעבור גם כן
לאחריות הרשות ב-
20
באפריל2017
.
צ( ו להסדרת הביטחון בגופים ציבוריים הוראת שעה) (קצין מוסמך לעניין גוף המנוי בתוספת החמישית לחוק), התשע"ז–
2016, מיום ה-
25
בדצמבר2016
פורסם ברשומות בקובץ התקנות7750
מיום ה-
29
בדצמבר2016
.
11
'על פי החלטת הממשלה מס2444
,
ועדת
ה
היגוי להגנה על מערכות ממ
וחשבות חיוניות –
היא הגוף הממונה על ידי הממשלה
.להחליט אילו מערכות יוגדרו כך
12
הלכה למעשה שלושת הגופים האלה מוחרגים מאחריות השב"כ בהתאם לאפשר ות הקבועה בחוק בסעיפים21
ו-
21
א. כאמור
.לעיל משרד הביטחון מונחה על יד המלמ"ב; המוסד וצה"ל עצמאיים כל אחד בתחומי פעולתו בהיבטים הקיברנטיים
13
בהתאם להגדרתם בחוק רשות הספנות והנמלים-
התשס"ד2004
.
5
,עם זאת
גופים המנויים גם בתוספת השנייה וגם בתוספת החמישית מונחים ביחס לאבטחת
מידע בידי
ה רשות
ה לאומית
להגנת ה
סייבר.
14
בתוספת השלישית מנויים גופים המונחים רק בהיבט של אבטחה פיזית- על ידי המשטרה :
הקרן הקיימת לישראל; רשות העתיקות; רשות לשמירת הטבע והגנים הלאומיים; האוניברסיטה
העברית
; אוניברסיטת תל-אביב; אוניברסיטת חיפה; הטכניון; מכון וי
מ יצ
ן; אוניברסיטת בר-
אילן; אוניברסיטת בן-
;גוריון
המרכז הארצי לפיתוח המקומות הקדושים.
רשויות מקומיות–
לעניין"
"אבטחת אישיות מאוימת
לפי סעיף341
א לפקודת העיריות וחברת נת"ע, נתיבי תחבורה
.עירוניים
בתוספת הרביעית מנויים גופים המונחים בידי השב"כ בהיבט של אבטחת מערכות
ות ב חש וממ
חיוניות:
בזק החברה היש
ראלית לתקשורת;
)חברת מדיטרניאן נאוטילוס (ישראל;
פלאפון
תקשורת; סלקום ישראל; פרטנר תקשורת;
012
סמייל טלקום;
013
נטוויז'ן; בזק בינלאומי;
הוט
טלקום;
.מירס תקשורת
בתוספת החמישית מנויים גופים המונחים על ידי
ה
רשות ה
לא
ומית להגנת סייבר
בהיבטי
אבטחת מערכות מ
מו
ות ב חש חיוניות :משרד האוצר ; רשות האוכלוסין וההגירה; הרשות לניהול
המאגר הביומטרי; ר
ש
ות התקשוב הממשלתי-
;מערך ממשל זמין בנק ישראל; חברת בתי זיקוק
לנפט; חברת פז בית זיקוק אשדוד ;חברת החשמל לישראל;
חברת קו צינור אילת אשקלון;
מגן
דוד אדום; מקורות חברת מים; נתיבי הגז הטבעי לישראל; רכבת ישראל; רשות שדות התעופה ;
תשתיות נפט ואנרגיה; ה
בורסה לניירות ערך; חיפה כימיקלים; דשנים ו
חומרים כימיים; בעלי
החזקות כ
משמעותן בחוק הנפט, התשי"ב-
1952
:
I/10
"
"אשקלון,
I/12
""תמר ,
I/13
"דלית",
I/7
"נועה",
I/14
"
לוויתן
צפון",
I/15
"לוויתן דרום"
,
לעניין
המערכות הממוחשבות הח יוניות
המופעלות בקשר לחזקות אלה; חברת נמל אשדוד וחברת נמל חיפה; הלשכה המרכזית
לסטטיסטיקה; חברת נת"ע,
.נתיבי תחבורה עירוניים
3.
דוח ועדת החוץ והביטחון של הכנסת בנושא בחינת חלוקת האחריות והסמכות בנושא
הגנת הסי
יבר בישראל
באוגוסט2016
פרסמה ועדת החוץ והביטחון של הכנסת דוח לא מסווג
בנושא "בחי נת חלוקת האחריות
והסמכות בנושא הגנת הסייבר בישראל
". להלן יוצגו בקצרה כמה סוגיות העולות מן הדוח
שנכתב בעקבות
דיונים של ועדת המשנה של ועדת החוץ והביטחון לנושא הגנה בסייבר.
על פי ה דוח הקמת הרשות הלאומית להגנת הסייבר"באה
למלא חלל
באזורים
שלא טופלו עד
היום .", בעיקר במרחב האזרחי, ולשפר את התיאום בין כלל גורמי הסייבר למרות שהחלטת
הממשלה קבעה כי לא תהיה פגיעה באחריות ובסמכות של השב"כ, כניסתה של הרשות
"נוגסת" בתחומי האחריות והסמכ
ות של השב"כ ומחייבת הסדרה
, הן מערכתית וה ן מול כל
.אחד מגופי ההגנה בנפרד
14
על פי סעיף22
,ב. לחוק
ההנחיה נעשית על ידי הרש
ות הלאומית להגנת הסייבר אך ב
התאם ל
עקרונות של השב"כ
(עד רמת
"סיווג "שמור); ובהתאם ל
הוראות של השב"כ (ב רמת סיווג.)גבוהה משמור
6
מדוח הוועדה עולה כי בין
חלק מן ה
גופים העוסקים בנושא הסייבר , בפרט רשות הסייבר והשב"כ
תנ גלעו
מחלוקות מהותיות ביחס לדפוסי הטיפול בנושא שהגיעו עד לכדי ה יעדר שיתוף פעולה
וחרמות הדדיות. עם זאת, לפי הדוח מאז גיבושו של מסמך הבנות בין הרשות לשב"כ ביוני2016
.חל שיפור בשיתוף הפעולה
הוועדה רואה חשיבות בהקמת רשות הסייבר הלאומית הן בשל תפקידה ביחס למגזר האזרחי-
כלכלי שההגנה עליו, למעט בהיבטי תשתיות מחשוב קריטיות
, הייתה חלקית,
טרם הקמת
הרשות, והן
ב של הצורך ליצור חיבור בין הידע
הביטחונ
י
לידע האזרחי והכלכלי. לפי הוועדה רשות
.הסייבר הלאומית צריכה להיות הגורם האחראי על הגנת הסייבר במדינת ישראל
"הוועדה לא השתכנעה בצורך בקיומן של שתי יחידות סמך עצמאיות במשרד ראש ה ממשלה
העוסק
תו בתחום הסייבר- מטה ה
יס יבר הלאומי ורשות הסייבר הלאומית המהוות יחדיו את
".מערך הסייבר הלאומי ,לטענת הוועדה ישנם אזורי חפיפה בחלוקת הסמכויות ביניהן. עם זאת
ראש מערך הסייבר-
ראש המטה הציג בפני הוועדה תפיסה לפי בעוד המטה עוסק בתכנון ארוך
טווח (מו"פ, עידוד תעשיי
ה וא
ק)דמיה ועוד ולא ממ
וק
ד בהיבטי הגנת סייבר , הרי שרשות הסייבר
עוסקת בצד האופרטיבי של
.הגנה בסייבר
הוועדה סבורה שיש לבחון את מיקומו הנכון של מטה
.הסייבר הלאומי
דוח הוועדה מציין כי היבטי הריגול התעשייתי נעדרים כיום
גורם אחראי. בנוסף, מצוין בדוח כי
"הוועדה התרשמה מחולשתה של המשטרה (
בהיבטי
פעי
לותה ב
סייבר;
.ר.ג)
,
בשל מגבלות
חוקיות והיעדר משאבים מספיקים והיא ממליצה להרחיב את הנושא כדי למצוא את האיזון
המת
אים בין הצורך לצמצם פגיעה בזכויות הפרט לבין שיפור האפקטיביות של פעול
ת ה במרחב
.הסייבר
על מנת לחבר נכונה את הידע והיכולות הלאומיות עם הצורך המשטרתי להתמודד עם
.פשעי סייבר"
4. סטאטוס היישום של החלטות הממשלה ביחס להגנת הסייבר בממשלה
וסוגיות
נוספות
מרכז המחקר והמידע של הכנסת פנה אל
התקשוב הממשלתי ואל ראש היחידה להגנת סייבר בממשלה
(להלן,
יה"ב) וכן אל ראש
מערך
הסייבר-
ראש
מטה הסייבר בשאלות ביח ס למימוש החלטות הממשלה
בנושא וכן ביחס למספר סוגיות עקרוניות. להלן יוצגו עיקרי תשובות הגופים.
15
באשר ליישום החלטות הממשלה
,לדברי ראש יה"ב יה"ב הוקמה ולפעולתה הוקצו
שבעה תקנים. מתו,ך התקנים המוקצים
שלושה
אוישו עד כה ו
ארבעה מכרזים נכשל
ו ומתוכננים לצאת מחדש (כך במקור).
בנוסף, ליחידה
.שלושה עובדים במיקור חוץ
תקציב היחידה הוא כ-
4
מיליוני₪
לשנה (לא כולל הקמת ה-
SOC
הממשלתי).
15
,גדעון קונפינו, ראש היחידה להגנת הסייבר בממשלה, מכתב תשובה לפניית מרכז המחקר והמידע של הכנסת5 במר
ס
2017
.
,אמרי קוזק, יועץ בכיר לראש מערך הסייבר הלאומי, מכתב תשובה לפניית מרכז המחקר והמידע של הכנסת7 במר ס2017
.
7
על פי תשובת נציג מערך הסייבר ו תשובת ראש ,יה"ב כאמור בהחלטת הממשלה2443
בכלל
"משרדי הממשלה מונה "ממונה הגנת סייבר. גם ביחידות סמך,
שבהן הוחלט כי יש להנחות את
היחידה ישירות ולא באמצעות המשרד שתחתיו פועלת יחידת הסמך,
" מונה "ממונה הגנת סייבר
ליחידה.
בנוסף, בכלל המשרדים
ו יחידות הסמך
שבהם מונה ממונה הגנת סייב
ר , הוקמה והתכנסה
"ועדת היגוי משרדית"
.בהשתפות נציג יה"ב
על פי תשובת
נציג ראש מערך הסייבר הלאומי ,ועדת ההי
גוי לקיד
ום ההובלה הממשלתית ב הגנת
ה
סייבר הוקמה והתכנסה עד כה שלוש פעמים (ואמורה להתכנס ב-8 במר
ס
2017
.)בפעם הרביעית
לדברי ראש יה"ב
ה-
SOC
(
Security Operation Center) הממשלתי מוקם בעיר בא ר שבע
במתקן ה-
CERT
הלאומי (מרכז לסיוע בהתמודדות עם איומי סייבר)
, ושני משרדי ממשלה
הוגדרו כפיילוט לפעולתו וחוברו אליו-
.משרד המשפטים ומשרד האוצר יצוין
כי על פי
ת וכנית
העבודה שפרסם מערך הסייבר
, אמורים להתחבר ל-
SOC
בשנת2017
עוד6 גופי ממשלה וב שנת
2018
עוד8 גופים,
כך שעד לסוף שנת2018
יהיו מחוברים אליו16
.גופים16
באשר למיפוי
שנדרש על פי החלטת הממשלה לשם הקמתן של יחידות מגזריות להגנת סייבר
ציין נציג ראש
מערך הסייבר כי, מיפ
וי כאמור בוצע,
ובמסגרתו הוגדרו15
מגזרים במשרדי
הממשלה
כדלקמן: המגזר הפיננסי, מגזר התקשורת, מגזר
התחבורה , מגזר התשתיות, האנרגיה
והמים, מגזר הגנת הסביבה, מגזר הכלכלה והתעשייה, מגזר
השלטו
ן
המקומי, המגזר לביטחון
,פנים
מ גזר החינוך, מגזר הרווחה, המגזר לשירותי דת, מגזר החקלאות, מגזר המדע
והטכנולוגיה
ומגזר התרבות והספורט
. ב-
13
משרדים הושלמה או תושלם בקרוב הקמת היחידות המגזריות וב-
2
משרדים מתבצע הליך מכרזי להקמת היחידה. באשר
לגודל היחידות -
שעל פי החלטת הממשלה
אמור היה גם כן להיות ממופה ולכלול בין תקן ל משרה אחת ביחידות קטנות לבין חמישה תקנים
–
ביחידה.גדולה, על פי תשובת נציג ראש מערך הסייבר גודל היחידות המגזריות אינו לפרסום
ראש יה"ב צי :ין במכתבו כי עד כה ביצעה יה"ב את הפעולות הבאות
-
הנחיות ראש רשות התקשוב בנושאים: מדיניות ממשלתית להגנת סייבר; הגנה על מכשירים
;ניידים; אבטחת ענן
-
;וועדה מייעצת למשרדי הממשלה ויחידות הסמך בנושא הגנת סייבר ואבטחת מידע בענן
-
פורום הגנת סייבר ממשלתי המתכנס מספר פעמים בשנה וכולל את ממוני הגנת הסייבר
הממשלתיים ומנהלי אבטחת
ה ;מידע
י צוין כי כאמור ,לעיל
על פי החלטת הממשלה בעניין "קידום ההיערכות הלאומית להגנת
"הסייבר
ר פב מ ואר2015
היה על מט
ה הסייבר ו
הלשכה המשפטית במשרד ראש הממשלה
בשיתוף ע ם משרד המשפטים להכין "תזכיר חוק הגנת
ה"סייבר
ולהביאו לאישור ראש הממשלה
.בתוך חצי שנה ממועד החלטת הממשלה
עד כה ט
רם פורסם תזכיר חוק כאמור , אך על פי תוכנית
העבודה שפרסם מערך הסייבר הלאומי לשנים2017
-
2018
הצעת חוק הגנת סייבר אמורה להיות
מונחת על שולחן הכנסת בשנת2017
.
17
16
ספר
תוכניות העבו דה לשנים8-
2017
, "מערך הסייבר הלאומי:
תוכנית עבודה לשנים8-
2017
".-
17
ספר
תוכניות העבו דה לשנים8-
2017
, "מערך הסייבר הלאומי:
תוכנית עבודה לשנים8-
2017
".
8
באשר לשאלות שהפנה מרכז המחקר והמידע של הכנסת ביחס להגנה על אתרי הממשלה ו לאחסון
ה
אתרי
ם, צוין בתשובת ראש יה"ב
:כי
כיום כ-
1,300
אתרי ממשלה מתארחים בחוות השרתים הממשלתית וכ-
500
א תרים אינם
.מתארחים בחוות השרתים
חוות השרתים בממשל זמין שתחת רשות התקשוב הממשלתית
מארחת את מרבית אתרי הממשלה ופועלת להעביר את כל אתרי הממשלה כפי שנקבע בהחלטת
הממשלה .
שירותי הממשלה עוברים לאירוח(hosting)
באתרGov.il
.החדש
באשר לקיומו שלDRP
(
Disaster Recovery Plan
) לאתרי הממשלה ולתשתיות המחשוב
החיוניות בממשל זמין18, השיב ראש יה"ב כי תוכנית כאמור קיימת וכי ממשל זמין פ
עו ל בתוכנית
רב שנתית להרחבת יכולותיו
.בתחום זה
באשר לעילת מיקומה של יה"ב תחת אחריות התקשוב הממשלתי ולא בתוך
ה
רשות
הלאומית להגנת
סייבר ציין ראש יה"ב" כי נושא ההגנה בסייבר הינו חלק אינטגרלי ומהותי בעולם מערכות המידע, לא
ניתן
,לחשוב על האפשרות לפתח מערך מידע הכולל רכיבי תקשורת, שרתים, אחסון
תשתיות
אפליקטיביות, יישומים וכו' שתחום ההגנה בסייבר אינו משולב בו משלב
.היזום
רשות התקשוב
הממשלתי מנחה את משרדי הממשלה ואת יחידות הסמך בכל נושא
התקשוב ובכלל זה בתחום הגנת
.הסייבר מעבר לכך גם כל עולם הניטור של אירועי סייבר הינו חלק מתפיסה זו ולכן רשות
התקשוב
הממשלתי באמצעות היחידה להגנת הסייבר בממשלה היא הגוף המקים
והמפעיל את ה–
SOC
.הממשלתי"
נציג ראש מערך הסייבר השיב ביחס למיקומה של יה"ב תחת רשות
התקשוב
כי "יה"ב הינה הזרוע
הקדמית של הרשות הלאומית להגנת הסייבר להנחיית משרדי הממשלה. יש הגיונות בהקמתה בתוך רשות
.התקשוב הממשלתי, כמו גם בתוך הרשות הלאומית להגנת הסייבר, והממשלה בחרה בחלופה הראשונה"
עוד ציין
,נציג ראש מערך הסייבר כי האחריות הכוללת על הגנת הסייבר במשרדי הממשלה היא על
ה רשות
ה לאומית להגנת
סייבר והיא מיישמת אותה באמצעות היחידה ל
ה
גנת הסייבר בממשלה- יה"ב , למעט בכל
ג הנו ע לגופים שבהם מערכות
ממוחשבות חיוניות המונחות במישרין על ידי הרשו ת או רא"מ בשב"כ–
,בהתאם לחוק להסדרת הביטחון בגופים ציבוריים
תשנ"ח-
1998
.
באשר לטענ
ו
ת שהועל
ו בדוח ועדת החוץ והביטחון בדבר חולשתה של המשטרה בתחום הסייבר
ובדבר
היעדר אחראי על נושא הריגול התעשייתי , השיב נציג ראש מערך הסייבר כי "הרשות הלאומית להגנת
הסייבר אחראית להגנת הסייבר במרחב האזרחי
מ
כלל האיומים
, וזאת מבלי לגרוע מאחריות ה משטרה
בתחומה
." לא ברור לנו כיצד תשובה זו עונה על סוגי ה אזרחית
זו הדורשת בירור.
באשר לעמדת דוח ועדת החוץ והביטחון כי הוועדה לא השתכנעה בצורך בקיומם של מטה ורשות כשתי
יחידות סמך עצמאיות במשרד
השיב נציג ראש מערך הסייבר כי "עמדת המערך, כפי שהובעה עוד בשעת
כתיבת הדוח של ועדת החוץ והביטחון, היא שעמדת הוועדה נובעת ככל הנ
ר
אה מחוסר ה בנה של תפקידי
המערך, וההפרדה מצד אחד והסינרגיה מ
צד שני, בין תחומי המדיניות, בני ין הכוח, הפעלת הכח ונושאים
נוספי"ם
כ
תיבה: רועי גולדשמידט
אישור, יובל וורגן, ראש צוות
18
ה כוונה
ל
מערכת לגיבוי אתר
י המשרדים ב מקרים של אסון או תקלה כוללנית, הכוללים הקמה של אתרים חלופיים ותשתיות
חלופיות ש יאפשרו המשכיות בתפעול
האתרים
.ובנגישות למידע האצור בהם