תחום הסייבר הוגדר ע"י מבקר המדינה ונציב תלונות הציבור כאחד מהנושאים המרכזיים עליהם יושם דגש מטעם ביקורת המדינה, על מנת לבחון את מידת ההיערכות והמוכנות של גופים שונים העומדים לביקורת להתמודד עם הסיכונים, האיומים האסטרטגיים ואתגרי הסייבר שמאפיינים את המרחב הקיברנטי בעת האחרונה.
סקירה זו מציגה את עיקרי הנתונים והממצאים מתוך דו"ח מבקר המדינה בנושא סייבר ומערכות מידע, מחודש מאי 2026, שהתמקד בארבעה מישורים שונים: (א) שירותים מקוונים לציבור: מערכת ההזדהות הלאומית והאזור האישי הממשלתי, (ב) הגנת הסייבר בעבודה מרחוק בעיתות שגרה וחירום, (ג) אבטחת מערכות המידע במשרד הבינוי והשיכון, (ד) מערכות מידע ואבטחת מידע וסייבר במשרד החוץ.
א. שירותים מקוונים לציבור: מערכת ההזדהות הלאומית והאזור האישי הממשלתי
מטרת מערכת ההזדהות הלאומית והאזור האישי הממשלתי היא לאפשר לאזרחים ולעסקים גישה מאובטחת, אחודה ונוחה לשירותים ממשלתיים מקוונים שעלתה לאוויר בשנת 2019. הביקורת שנערכה לה בוצעה בחודשים ינואר-יולי 2025.
נתונים עיקריים:
- על אף ש-4.6 מיליון כבר רשומים למערכת ההזדהות הלאומית בסוף שנת 2024, יישום המדיניות לקידום שירותים ציבוריים ודיגיטליים עדיין איטי וחלקי. רק 16% מהשירותים הממשלתיים שמופו מחוברים למערכת ההזדהות הלאומית. ובינתיים, רק כ-23% מהטפסים המקוונים מנוהלים באמצעותה, ורק 233 מתוך אלפי השירותים הממשלתיים הונגשו באזור האישי. בנוסף, 15 מתוך 258 רשויות מקומיות בלבד התחברו למערכת, והיקף החיבור של משרדי הממשלה וגופים ציבוריים נוספים למערכות אלה מצומצם.
- רק 23% מהטפסים הממשלתיים המקוונים המזוהים (כ-400 מתוך כ-1,800) מנוהלים במערכת ההזדהות. מאות טפסים ממשלתיים מוצעים להדפסה ולמילוי ידני בלבד.
- גופים מרכזיים כגון ביטוח לאומי, שירות התעסוקה ורשות המיסים אינם מחוברים למערכת ומנהלים מערכות הזדהות עצמאיות – בניגוד להחלטות הממשלה. נוסף על כך, רק בית-חולים ממשלתי 1 מתוך 11 (בית-חולים רמב"ם) מחובר למערכת ההזדהות.
- סקר שביצע מערך הדיגיטל בשנת 2024 העלה כי 65% ממשתמשי האזור האישי חוו קשיים בתהליך ההזדהות והכניסה למערכת ההזדהות. תהליך ההרשמה למערכת ומאגרי האימות הקיימים לא מאפשרים לאזרחים שאין להם כרטיס אשראי ודרכון בתוקף להירשם באופן קל ונוח למערכת. כמו כן, בתהליך האימות שהמשתמש אינו בוט נראה כי הצורך במילוי ה-CAPCHA (זיהוי אלמנטים מתוך תמונה) חוזר על עצמו פעמים רבות שלא לצורך. זה פוגע מאוד בחוויית המשתמש ומפחית את הרצון לשימוש במערכת.
ב. הגנת הסייבר בעבודה מרחוק בעיתות שגרה וחירום
עבודה מרחוק הפכה לחלק בלתי נפרד מהמגזר הציבורי – בשגרה ובחירום כאחד. נציבות שירות המדינה מאפשרת כיום לכל עובד מדינה לעבוד יום בשבוע מהבית, והצורך בעבודה מרחוק התעצם במיוחד בתקופת מגפת הקורונה ובמהלך מלחמת "חרבות ברזל". לפיכך מערכות העבודה מרחוק הן רכיב חשוב בתפקוד מערך הביטחון הלאומי. הביקורת שבוצעה למערכות הללו נערכה בין החודשים יולי 2024 לאוגוסט 2025 בקרב גופים מרכזיים ובהם משטרת ישראל, הרשות הארצית לכבאות והצלה, הנהלת בתי המשפט ומערך הדיגיטל הלאומי.
נתונים עיקריים:
- מאות אלפי עובדי המגזר הציבורי רשאים לעבוד יום בשבוע מהבית, ומבצעים זאת באמצעות התחברות מרחוק לרשת המשרדית. עם זאת, נמצא כי 65% ממשרדי הממשלה (31 מתוך 48) המשיכו להשתמש בתשתית עבודה מרחוק שמערך הסייבר הנחה להפסיק את השימוש בה בשל חולשות קריטיות – עד ינואר 2025.
- ברשות לכבאות והצלה: לא בוצעו מבדקי חדירה למערכת העבודה מרחוק עד אפריל 2025 בעת המבדק עצמו, לא בוצעו תרגילים להתמודדות עם אירועי חירום ולא קיימת תוכנית סדורה להמשכיות עסקית טכנולוגית (BCP). זאת, על אף שבמאות כבאיות יש ללוחמי האש גישה למערכות עבודה מרחוק.
- במשטרת ישראל: אלפי מחשבים ניידים וטאבלטים משמשים לעבודה מרחוק. מסמך מדיניות אבטחת המידע אינו כולל התייחסות לעבודה מרחוק, ולא בוצעו תרגילים להתמודדות עם אירועי חירום. נוסף על כך, לא קיימת תוכנית סדורה להמשכיות עסקית טכנולוגית (BCP). מבדק החדירה האחרון בוצע כ-8 שנים לפני הביקורת.
- נמצאו פערים בין הנחיות מערך הסייבר הלאומי לבין הנחיות יחידת הגנת הסייבר בממשלה (יה"ב), אף ששתיהן אמורות להנחות את אותם גופים.
- מסמך הדגשים לעבודה מרחוק של הרשות להגנת הפרטיות לא עודכן מאז 2020 וכולל המלצות על פתרונות מיושנים.
ג. אבטחת מערכות המידע במשרד הבינוי והשיכון
משרד הבינוי והשיכון מחזיק במיליוני רשומות הכוללות מידע אישי ורגיש על דיירי הדיור הציבורי, מקבלי סיוע לדיור, משתתפים בתוכניות דיור בהנחה וקבלנים. המשרד משתמש בעשרות מערכות מידע לצורך ניהול פעילותו. הביקורת על התנהלותו בתחום הגנת סייבר בוצעה בחודשים פברואר-ספטמבר 2025.
נתונים עיקריים:
- תקציב המשרד לאבטחת מידע וסייבר לשנת 2025 עמד על כ-6.5 מיליון ש"ח – כ-9% מתוך כ-74.5 מיליון ש"ח שהוקצו להוצאות המחשוב שלו באותה שנה.
- חלה עלייה של כ-130% בהתרעות שהתקבלו במרכז הבקרה הממשלתי (SOC) לגבי המשרד בגין פעילות החשודה כאיום סייבר בשנת 2024 (בעת מלחמת "חרבות ברזל"), לעומת שנת 2023; 90% מהפניות שהתקבלו ממרכז הבקרה הממשלתי במשרד הבינוי נסגרו לאחר מתן מענה, זאת לעומת 85% במשרדי ממשלה אחרים.
- עם זאת, 3 מתוך 7 המדדים בנושאי הגנת הסייבר שהיו אמורים לעלות בדיון בוועדה של המשרד בנושאי סייבר לשנת 2025 לא נבחנו כנדרש. בנוסף עלה כי מדיניות הגנת הסייבר לא עודכנה מאז 2020; ועדת היגוי הסייבר של המשרד לא אישרה ולא בחנה את מיפוי נכסי המידע; ביותר ממחצית המערכות לא נסקרו הרשאות המשתמשים אחת לשנה כנדרש; נותני שירות חיצוניים לא עברו סקירה תקופתית כלל; לא הוגדרו פעולות חריגות או מנגנוני התרעה אוטומטיים לזיהוי גישה בלתי מורשה, והמשרד לא השלים את היערכותו לאירועי כופרה.
- תשעת מאגרי מידע שברשות המשרד ושרישומם נדרש במרשם מאגרי המידע לא הושלם רישומם כנדרש בתקנות הגנת הפרטיות, אף שעברו כשמונה שנים מאז נכנסו התקנות לתוקף.
ד. מערכות מידע ואבטחת מידע וסייבר במשרד החוץ
משרד החוץ אחראי לגיבוש מדיניות החוץ של מדינת ישראל ולביצועה, ופועל באמצעות המטה בירושלים ו-109 נציגויות דיפלומטיות וקונסולריות בחו"ל. נוכח תפקידו, המשרד הוא יעד מרכזי לתקיפות סייבר – ממדינות עוינות, ארגוני טרור, תוקפים בודדים וכו'. הביקורת על התנהלותו בתחום הגנת סייבר בוצעה בין החודשים מרץ 2024 לאפריל 2025.
נתונים עיקריים:
- בשנים 2020-2024 (במהלך מלחמת "חרבות ברזל") חל גידול של כ-500% באירועי הגנת מידע בנציגויות ישראל בחו"ל. משנת 2023 ואילך אירעו מאות אירועי הגנת מידע בנציגויות ישראל בעולם.
- מסמך מדיניות הגנת הסייבר לא עודכן או אושרר מאז 2018, על אף שינויים מהותיים במפת האיומים, ולמשרד החוץ לא היו ועדות היגוי לארבעה מתוך שישה פרויקטים משמעותיים שנבדקו במסגרת הביקורת, בניגוד להנחיות מערך הדיגיטל.
- תקציב תחום התקשוב במשרד החוץ לשנת 2024 עמד על כ-85.3 מיליון ש"ח, המהווה כ-4.5% מסך תקציב המשרד (כ-1.9 מיליארד ש"ח); מתוך תקציב זה, התקציב שהוקצה לתחום הסייבר עמד על כ-13 מיליון ש"ח. נכון לשנת 2024, 14 פרויקטים – ובהם שדרוג מערכת מרכב"ה, המערכת הקונסולרית ותהליכי מעבר לענן – הוקפאו או עוכבו בשל היעדר תקציב.
- במסגרת הבדיקה, נמצאו מערכות שהוגדרו כפגות תוקף (EOL – End of Life) או כאלה שדורשות שדרוג/החלפה. בנוסף, רמת ההגנה על המידע ברשתות מסוימות נמצאה נמוכה מרמת ההגנה הנדרשת; מבדק חוסן שביצע משרד מבקר המדינה באחת מרשתות המשרד העלה 15 ממצאים ברמות סיכון שונות.
- נמצאו ספריות רשת הפתוחות לכלל משתמשי הרשת ומכילות עשרות אלפי מסמכים, חלקם עם מידע אישי רגיש – לרבות פרטים של 728 עובדים. זאת ועוד, בפנקס מאגרי המידע במשרד המשפטים רשומים רק שלושה מאגרי מידע של משרד החוץ, אף שהמשרד מנהל בפועל עשרות מאגרים נוספים – זאת בניגוד לדרישות חוק הגנת הפרטיות.
