מידע על מיליוני אזרחים בלי הגנת סייבר מוסדרת: דו"ח מבקר המדינה חושף ליקויים בביטוח הלאומי

נכון לנובמבר 2022, מתבצעות בכל יום כ-2.9 מיליון תקיפות סייבר בממוצע נגד המוסד לביטוח לאומי, מהן כ-66,000 תקיפות שיש בהן פוטנציאל לנזק. כך עולה מדו"ח מבקר המדינה שמתפרסם היום (שלישי) ועוסק באסדרת הגנת הסייבר במוסד לביטוח לאומי.

מדו"ח המבקר מתניהו אנגלמן עולה כי לביטוח הלאומי, אשר במאגריו מידע על 9.5 מיליון תושבים, אין גוף מאסדר בתחום הגנת הסייבר המנחה אותו והמפקח עליו בתחום זה.

בדו"ח צוין כי בדומה למדינות אחרות, ישראל חשופה לתקיפות סייבר לצרכי כופר וגניבת מידע. מלבד זאת, נוכח האקלים הגיאו-פוליטי המורכב ביטחונית, ישראל משמשת כר מטרות נרחב לתוקף הפוטנציאלי, המעוניין לפגוע בחוסנה ובביטחון הלאומי שלה. עם זאת רק 20 עובדים, כאשר 6 מהם סטודנטים, מבצעים את הפיקוח על אבטחת המידע בביטוח הלאומי. לשם השוואה, על תחום התקשוב וההגנה בצה"ל מופקד קצין בדרגת אלוף.

יש לציין כי בשנת 2021 באופן כללי, טיפל מערך הסייבר הלאומי בכ-2,200 אירועי סייבר ספציפיים. מדובר בעלייה של כ-33% בהשוואה לשנה הקודמת, כאשר הוא איתר כ-9,000 חולשות אבטחה חמורות בכ-3,300 גופים והעביר כ-4,400 דיווחים ממוקדים לחברות ולגופים במשק הישראלי בגין ממצאים שאותרו.

על פי המערך הסייבר הלאומי (מס"ל), בשנת 2021 נרשמה עלייה של 20% במספר הדיווחים שאותם הוא קיבל ואימת כאירועי סייבר בהשוואה לשנת 2020.

על פי החוק להסדרת הביטחון ישנם גופים המבצעים פיקוח עצמי. בגופים אלו ישנן יחידות ייעודיות שמטרתן הגנה על מרחב הסייבר. למשל בצה"ל יש אגף תקשוב וההגנה בסב"ר (סביבת רשת) בפיקוד קצין בדרגת אלוף. האגף אמון על הפעלת הכוח וכן על גיבוש מדיניות התקשוב בצה"ל ומימושה ובכלל זה על ניהול הגנת הסייבר. כמו כן האגף מפעיל את חיל הקשר וכמה יחידות מסווגות.

לפי מבקר המדינה, גוף כדוגמת ביטוח לאומי, מחייב שיגובש עבורו מענה אסדרתי מספק הכולל הנחיה של מערך הסייבר הלאומי, הנחיה של הרשות להגנת הפרטיות ותיאום בין שניהם כדי להבטיח את ההגנה המיטבית.

בחודשים אוקטובר - דצמבר 2022 בדק משרד מבקר המדינה את נושא אסדרת הגנת הסייבר בביטוח לאומי. הבדיקה כללה מיפוי של הגופים המאסדרים את בט"ל כיום, בחינת הנזק האפשרי מהיעדר גורם מאסדר קבוע ובחינת הצורך בשינוי גורמי האסדרה. הביקורת נערכה בביטוח הלאומי, במערך הסייבר הלאומי, בשירות הביטחון הכללי וברשות להגנת הפרטיות במשרד המשפטים.
מהביקורת עלה כי מאז הקמת הרשות להגנת הפרטיות בשנת 2006 ועד מועד סיום הביקורת (יותר מ-16 שנה) ביצעה הרשות להגנת הפרטיות שישה הליכים מנהליים בנושא אבטחת מידע בבט"ל. אשר לפיקוח רוחב, רק באוגוסט 2022 החלה הרשות להגנת הפרטיות לבצע בפעם הראשונה פיקוח רוחב בביטוח הלאומי.

החל בשנת 2016 החל מערך הסייבר הלאומי להנחות את בט"ל "הנחיה מרצון". משמעות הדבר היא שמס"ל מנחה את בט"ל כפי שהוא מנחה את גופי התמ"ק אולם לבט"ל אין חובה ליישם את ההנחיות. משיחות של צוות הביקורת עם הביטוח הלאומי, התברר כי רמת המעורבות של מס"ל לאורך השנים הלכה ופחתה. משנת 2016 עד 2020 ה"הנחיה מרצון" הייתה צמודה וכללה התייעצות שוטפת על בסיס יום-יומי. מסוף 2020 התחלפו שלושה מנחים וההנחיה הייתה מועטה ולא קבועה ובמועד סיום הביקורת אין מנחה מטעם מס"ל אלא הקשר מתבצע באמצעות המוקד של מס"ל , המטפל בכלל אירועי הסייבר בישראל. לפיכך לביטוח לאומי אין מענה שוטף ומערכתי לטיפול בכלל אירועי אבטחת מידע.

בהחלטת הממשלה משנת 2002 נקבע כי יש להקים ועדת היגוי עליונה, שתפקידה לבחון אילו גופים מוגדרים חיוניים ולכן זקוקים להגנה קיברנטית. נמצא כי נכון למועד סיום הביקורת, כשנתיים לאחר דיון בוועדת ההיגוי להגנה על מערכות ממוחשבות חיוניות שבו הוחלט להתחיל בחינה של ביטוח לאומי כגוף תמ"ק, מס"ל לא החל בהליך הבחינה. בבירור של צוות הביקורת במס"ל הועלה כי בכוונת מס"ל להתחיל בתהליך הבחינה של בט"ל כגוף תמ"ק ברבעון הראשון של שנת 2023. משמעות הדבר היא שבמועד סיום הביקורת בט"ל, המנהל מאגר מידע, אינו מונחה מקצועית באופן שוטף ומחייב, דבר העלול ליצור סיכון.

נוכח היקפי המידע השמורים בבט"ל והסיכונים לדליפתו המבקר אנגלמן ממליץ כי ועדת ההיגוי העליונה, שתפקידה לבחון אילו גופים מוגדרים חיוניים ולכן זקוקים להגנה קיברנטית, תקדם את הבחינה של בט"ל כגוף תמ"ק. מומלץ כי עד סיום הבחינה יוסדר ממשק מקצועי בין מערך הסייבר הלאומי לביטוח הלאומי לצורך מתן מענה ישיר, העברת דיווחים, בקרה על תיקון הליקויים ועוד. בנוסף, מומלץ כי ועדת ההיגוי תבחן אם יש עוד גופים בעלי מאגרי מידע בהיקפים הדומים לביטוח הלאומי שיש לבחון את הגדרתם כגופי תמ"ק, ובכך לשפר את ההגנה על התשתיות החיוניות של מדינת ישראל.

גורמים בביטוח הלאומי אומרים כי זה נכון שאין להם את כוח האדם אבל בפועל לא היתה פריצה למרות הניסיונות הרבים.

תגובת הביטוח הלאומי לדו"ח מבקר המדינה:"לביטוח הלאומי יש מידעים חשובים של אזרחי ישראל והם שמורים ביראת קודש על ידי מערך המחשוב והסייבר של המוסד. כזכור, ניסיונות הפריצה והסייבר של גורמים עוינים נתקלו בחומה בצורה ונכון היה לציין זאת בדו"ח. הביטוח הלאומי בעד הכנסתו למערך הסייבר הלאומי ואבטחת המידע כל עוד שאין פגיעה בשירות השוטף לאזרחי ישראל".