ממצאי המבקר על השלטון המקומי – האיום על העיר החכמה

מבקר המדינה, השופט בדימוס יוסף שפירא, פרסם אתמול (ג') דו"ח על הרשויות המקומיות, ובו הצביע, בין היתר, על ליקויים חמורים ברשויות רבות בכל מה שקשור בהגנה על מאגרי מידע והגנה מפני סייבר – דבר שמעמיד בסכנה את הפרטיות של תושביהן.

הדו"ח מכיל שני מרכיבים חשובים: האחד – תיאור מצב, המשקף מציאות די מדאיגה של חוסר התייחסות, זלזול ואף רשלנות בחלק מהרשויות, ומרכיב שני של אזהרה חמורה, הצבת תמרור אדום בפני מקבלי ההחלטות, שאומר להם: תתעוררו ותתחילו לשמור על המאגרים שלכם – רגע לפני שייפרצו בצורה חמורה. בין השורות ניתן להבין שהמצב חמור אף יותר ממה שמתאר המבקר במפורש: יש כנראה רשויות שכבר נחשפו למתקפות סייבר, אבל בשל העדר גורם מפקח אחד מוסמך ומאחר שאין חובת דיווח, הנושאים לא מקבלים ביטוי ולא מובאים לידיעתם של אלה שצריכים לדעת.

הדו"ח מפנה אצבע מאשימה חמורה ביותר גם לממונים על ביטחון המידע ברשויות ולראשי הרשויות, אבל גם לגורמים ממשלתיים – משרד המשפטים (רמו"ט) ומשרד הפנים. אלה האחרונים, אגב, מעבירים את האחריות לממצאי המבקר זה על זה.

השופט בדימוס שפירא מחמיר במסקנותיו במיוחד בין היתר מפני שב-2012 הוא כבר התריע, בדו"ח דומה, על ליקויי אבטחה ברשויות ובביקורת הנוכחית גילו אנשיו שבמשך חמש שנים כמעט שלא השתנה כלום. מה שכן השתנה אלה כמות האיומים, היקף הסכנות והגידול המטורף בכמויות המידע שנצבר במאגרים הרשויות. המבקר מצא שלא רק שאף אחד לא שומר על המאגרים האלה כהלכה, אלא שבמקרים רבים הם לא רשומים בשום מקום, כלומר – כמעט אף אחד לא יודע על קיומם. וכאשר כמעט שלא יודעים על קיומו של משהו, היכולת להגן עליו מוגבלת, מן הסתם. מה גם שכאן עוסקים לא בעוד פריט מידע זה או אחר, אלא בנתונים הרגישים ביותר שקיימים לגבי כל אחד ואחת מאתנו, המידע הכי אינטימי אודותינו. אם הייתי תושב או בהנהלת אחת הרשויות שהמבקר ציין, לא הייתי ישן בשקט.

מעמד מנהלי הטכנולוגיה ברשויות המקומיות – בשפל המדרגה

אחת הסיבות למציאות כאוטית זו היא מעמדם של מנהלי הטכנולוגיה ברשויות, שלמעט בודדים נמצא בשפל המדרגה. זו הסיבה כנראה שמשרד הפנים לא דאג עד היום לאכוף את הוראות החוק למינוי ממונה הגנת מידע ברשויות המקומיות. זאת, על אף שיש הנחיות ברורות, לפיהן מנהל אבטחת המידע יהיה כפוף למנמ"ר ועל שניהם מוטלת האחריות להגן על המידע.

המבקר מתריע גם על כך שיש בכמה רשויות מחדלי אבטחה בפן הפיזי, לאחר שמצא שחדרי המחשב שבהן אינם עומדים בדרישות התקן בנושא בטיחות אש וציוד היקפי.

ממצאי המבקר לא מפתיעים, בפרט אם מצרפים סעיף אחר בדו"ח, שקובע כי לא קיים תיאום בין משרדי בכל מה שקשור לאבטחת מידע ברשויות. כאמור, כל משרד מגלגל את האחריות לפתחו של השני, והאזרח, כרגיל, נופל בין הכיסאות.

ואם כל זה לא חמור מספיק – והוא כן – המבקר מציין שבשנים האחרונות גדל היקף התקיפות של מערכות המחשוב של גופים רבים באמצעות כופרות, וכי יש חשש שמספר רשויות נחשפו למתקפות כאלה – ולא ברור מה קרה בהמשך.

מהן השלכות דו"ח המבקר על העיר החכמה?

יש בהערות המבקר על ליקויי האבטחה סכנה להשלכות גם על אחד התחומים החמים כיום במגזר המוניציפלי – העיר החכמה. הרשויות בישראל מצויות כיום בשלבי גיבוש ומימוש תפיסת העיר החכמה. אין הגדרה אחת למושג, אבל ברור שאבטחת המידע בערים החכמות היא מרכיב מרכזי.

אפשר היה לראות את זה בשבוע שעבר, בתערוכת הערים החכמות שנערכה בברצלונה. דיברו שם על שיפור השירות, העצמת האזרח והנגשת כמה שיותר שירותים – וגם על האבטחה של העיר החכמה. סטארט-אפים – רבים מהם ישראליים – הציגו בתערוכה פתרונות הגנת סייבר, על מנת למנוע מצב שבו כל עמוד תאורה חכם, שיש בו מצלמות וחיישנים, יהיה שער פתוח עבור האקרים למחשבי הרשות המקומיות, ומשם לכל מאגר שלה שרק יחפצו.

במטרה לממש את היעדים שהוזכרו של הרשויות, הן משתמשות בכלים ובשיטות שמסייעים להן לדעת טוב יותר מה האזרח מבקש, מה מציק לו. כדי לדעת את זה הן מנצלות את הפלטפורמות הדיגיטליות שעומדות לרשות האזרח על מנת לאסוף ממנו מידע. המאגרים שנוצרים מהמידע הזה, שזורם לרשות אמצעות רכיבי אינטרנט של הדברים, הופך להיות האיום האבטחתי החמור ביותר עבור הרשויות. מדובר בכמויות מידע ענקיות שעל פי המבקר, כאמור, כנראה שברשויות המקומיות לא יודעים איך לשמור עליהם.

אחד החסמים המרכזיים שיש ברשויות בנושא העיר החכמה הוא החשש מפני זליגת מידע. כל עוד ראש הרשות ומנהליו לא יוודאו שהם עושים את הכל כדי להגן על המידע והם יכולים להיות רגועים, גם התושבים לא יהיו רגועים והשקעות ענק בפרויקטי עיר חכמה ירדו לטמיון.