פרוטוקול מליאה מס' 21

בס"ד ח' תשרי תשפ"ג הנדון: סיכום ישיבת צוות תיקון ליקויים בנושא אבטחת מידע וסייבר תאריך : 03.10.22, 12:00 מיקום: לשכת מנכ"ל

נוכחים:

מר שלם שלמה, מנכ"ל העירייה

מר יצחק שריקי, גזבר העירייה עו"ד איתי קידר, יועמ"ש העירייה מר בני אליהו, מבקר העירייה מר הרי ליבוביץ, מנמ"ר העירייה

מס'

כותרת הליקוי

הליקוי/המלצת הביקורת

תאריכי הדיונים בצוות לתיקון ליקויים

פירוט פעולות התיקון בהתאם להחלטות הצוות

פרטי האחראי על התיקון

המועד לתיקון הליקוי

סטטוס תיקון – הליקוי

תוקן/לא תוקן/תוקן חלקית/אחר

1

מבנה ארגוני תומך הגנת הסייבר

הליקוי: נמצא כי בגוף אחד(13%) מבין הגופים שהשיבו על השאלון (עיריית עפולה) לא קיימים בעלי תפקידים שאחראים בצורה רשמית ומעשית להגנת הסייבר בגוף ככלל ובמערכת הרמזורים בפרט. עוד נמצא כי בחלק מהגופים (33%) שהשיבו על השאלון (העיריות...ועפולה) לא קיימות ועדות היגוי העוסקות בנושא הגנת הסייבר.

ההמלצה: על עיריית עפולה למנות את בעלי התפקידים הנדרשים נוסף על כך, על העיריות... ועפולה למנות ועדת היגוי בנושא סייבר ולכנסה בקביעות. מינוי בעלי התפקידים והתכנסות ועדת היגוי יאפשרו להנהלת העירייה לקבל תמונת מצב ברורה של מצב הגנת הסייבר של מערכות הארגון ביחס לסיכונים הקיימים, לטפל בפערים הקיימים, לדון באירועי סייבר שהארגון חווה ולעקוב אחר העמידה במימוש תוכנית העבודה המוגדרת.

3.10.22

קיים מנהל אבטחת מידע לעיריית עפולה. קב"ט העירייה מונה כממונה על אבטחת המידע יחד עם זאת טרם עבר את ההכשרות הנדרשות. בנוסף יש לנו חברה מלווה.

מנכ"ל העירייה מר שלום שלמה

בוצע

תוקן

2

קיום דרישות בתחום הסייבר...

הליקוי: נמצא כי בעיריות שלהלן (67% מכלל הגופים שנבדקו) לא היו בהתקשרות עם ספקי מערכות הרמזורים דרישות הנוגעות להגנת הסייבר:..., עפולה ו.... יצוין כי לספקים אלו יכולת התחברות למערכות ועדכון התוכניות מרחוק. עוד יצוין כי החוזים בתחום זה הם לעיתים ארוכי טווח – לדוגמה ב... חלק מהחוזים יסתיימו בשנת 2031, וב... החוזה יסתיים בשנת 2025 עם אפשרות הארכה לחמש שנים נוספות.

ההמלצה: מוצע כי העיריות האמורות (..., עפולה ו...) ימפו ויעריכו את הסיכונים הגלומים בהתקשרויות קיימות שאינן כוללות דרישות סייבר, ויבצעו את דרישות המדיניות לגבי התקשרויות חדשות – נושא זה מהותי בעיקר התקשרויות שעתידות להסתיים בעוד שנים רבות.

עוד מוצע כי במשרד התחבורה יכין בשיתוף מערך הסייבר ומשרד הפנים נספח דרישות סייבר אחיד הנוגע למערכות התנועה ובהן מערכות הרמזורים.

3.10.22

מערכת הרמזורים של העירייה היא מערכת מקומית ולכן כרגע לא נדרש לתת מענה של הגנת הסייבר. עם זאת בהתקשרויות חדשות העירייה תיתן ביטוי לצורך זה לכשיקום, כבר בחוזה ההתקשרות

רונן קלניצקי מנהל פרויקטים

עתידי

3

המלצה מסכמת

ההמלצה: נוכח הממצאים שעלו מהשאלון, על הגופים שנבדקו לקיים הערכת מצב ולקבוע תוכנית עבודה לתיקון הליקויים.

3.10.22

נוכח העובדה שמדובר במערכת רמזורים מקומית, לא נשקפת סכנת חדירה למערכת, אולם העירייה תבצע פעולות של התקשרויות חוזיות הצופות לעתיד ותוערך חוזית ומקצועית לקראת מעבר של מערכת רמזורים מקוונת.

עתידי

4

הנחיית מרכזי ניהול תנועה

הליקוי: מרכז ניהול תנועה עירוני אחראי לרמזורים בתחום השיפוט של העיר שבה הוא פועל ועל זרימת התנועה. חלק ממרכזי ניהול התנועה העירוניים אחראים לשליטה ולבקרה על מאות רמזורים. בסקר שערך משרד מבקר המדינה בעשר עיריות 0.,עפולה,...) ובשתי חברות (...) עלו פערים מהותיים בין מצב הגנת הסייבר של המרכזים לבין דרישות הסייבר של משרד התחבורה.

נמצא כי כל מרכזי ניהול התנועה (למעט המרכזים המופעלים על ידי נתיבי ישראל, נתיבי איילון ועיריית ירושלים) אינם מונחים על ידי משרד הפנים או משרד התחבורה, אף שיש בהם כאלו שפגיעה ברמזורים שלהם עשויה לגרום לפגיעה כלכלית ניכרת ואף לפגיעה בחיי אדם.

ההמלצה: נוכח הממצאים שעלו מהשאלון וממבדק החדירה בנושא הגנת הסייבר במערכות הרמזורים, מומלץ כי משרד הפנים ומשרד התחבורה בשיתוף מערך הסייבר יפעלו יחד להסדרת תחומי האחריות ביניהם ולקביעת נהלים מתאימים כך שנושא הגנת הסייבר במרכזי ניהול התנועה ברשויות המקומיות יקבל את המענה האסדרתי ההולם. זאת על מנת שגורם מנחה יבצע פיקוח ובקרה על תיקון הליקויים ועל הגנת המערכות מפני תקיפות סייבר.

3.10.22

ככל שייצאו הנחיות ע"י משרד הפנים או משרד התחבורה העירייה תפעל לפיהן.

עתידי