הגנת הסייבר על מערכות מידע במשרד החינוך ועל בחינות הבגרות וציוני הבגרות

רוב המידע שמשרד החינוך אוסף, שומר ומנהל בעניין בחינות הבגרות וציוני הבגרות הוא מידע רגיש על תלמידים ועובדים, שכולל יותר מ-100,000 רשומות, ובהיותו כזה אבטחתו נדרשת להיות ברמה הגבוהה ביותר לפי תקנות הגנת הפרטיות )אבטחת מידע), התשע"ז-2017 (תקנות הגנת הפרטיות אבטחת מידע), ובכלל זה על משרד החינוך מוטלת החובה לשמור על המידע ולוודא שהוא משמש אך ורק למטרות שלשמן הוא נמסר או לצורכי מילוי חובותיו של המשרד על פי החוק. על המשרד לוודא כי המידע והנתונים לא ישונו או יימחקו, וכי הם ייחשפו רק לפני גורמים המורשים לקבל גישה אליהם, מתוקף תפקידם או מתוקף כך שהמידע נוגע להם, כגון התלמידים או הוריהם, או למוסדות השכלה גבוהה ולגורמים אחרים אשר תעודת הבגרות וציוני התלמידים נדרשים להם. 

היבט נוסף המחייב נקיטה של אמצעים כדי למנוע פגיעה במאגרי מידע הוא תקיפות סייבר, ששכיחותן הולכת וגדלה והן גורמות לנזקים ניכרים ורחבי היקף. המניעים לכך שונים, ובהם כוונה לפגוע במערכות עצמן וכך לשבש את הפעילות התקינה והשוטפת של הארגון, החברה ואף המדינה, למטרת סחיטה, למטרת שינוי מידע כדי ליהנות מהטבות ומרווחים ואף במסגרת אתגר טכנולוגי לשמו.

בחודשים פברואר 2021 - מאי 2022 בדק משרד מבקר המדינה היבטים באבטחת המידע במשרד החינוך ואת אבטחת המידע של מערכות המידע המרכזיות שתומכות בניהול ובתפעול של ציוני בחינות הבגרות ובסביבות התקשוב שבהן הן פועלות. הבדיקה בוצעה במטה המשרד, באגף הבחינות ובמינהל טכנולוגיות מידע דיגיטליות, במרכז לבדיקת בחינות הבגרות והגמר (מערך המרב"ד) שמתפעלת חברה חיצונית. בדיקת השלמה בוצעה ביחידה להגנת הסייבר בממשלה (יה"ב) ובמשטרת ישראל.

הדוח שבנדון הומצא לראש הממשלה ביום 6.12.22.

מתוקף הסמכות הנתונה למבקר המדינה בסעיף 17(ג) לחוק מבקר המדינה, התשי"ח-1958 [נוסח משולב], ובשים לב לנימוקי הממשלה, לאחר היוועצות עם הגופים האמונים על אבטחת המידע הביטחוני ובתאום עם יו"ר הכנסת, משלא התכנסה ועדת המשנה האמורה, הוחלט לפרסם דוח זה תוך הטלת חיסיון על חלקים ממנו. חלקים אלה לא יונחו על שולחן הכנסת ולא יפורסמו.

משרד החינוך אוסף, שומר ומנהל מידע רב הנוגע לבחינות הבגרות. מדובר במידע רגיש, שאבטחתו נדרשת להיות ברמה הגבוהה ביותר. בביקורת עלו כמה ליקויים בתחום אבטחת המידע - הן מתחום קיום ממשל אבטחת מידע תקין במשרד החינוך ובגופים חיצוניים שמבצעים עבורו חלק מהפעילות במיקור חוץ, והן מהתחומים הטכניים של יישום כלים, מערכות ומנגנוני אבטחת המידע והגנת הסייבר על פי הכללים שחלים עליו מתוקף תקנות הגנת הפרטיות אבטחת מידע והנחיות יה"ב. 

ממצאי הדוח והבעיות שבשורש ממצאים אלה עלולים לסכן את שלמותם, זמינותם, סודיותם ואמינותם של ציוני בחינות הבגרות וכן עולה מהם חשש לפגיעה בעקרונות טוהר הבחינות. משרד מבקר המדינה ממליץ למשרד החינוך לפעול לתיקון הליקויים שהועלו בדוח, ובכלל זה לעמוד בלוחות הזמנים שנקבעו בתוכניות העבודה בתחום אבטחת המידע והגנת הסייבר, לשפר ולהעלות את רמת אבטחת המידע והגנת הסייבר בכלל מערכותיו ותשתיותיו. מומלץ גם שבמערכת החדשה לניהול ציוני הבגרות שלדברי המשרד הוא מפתח, יינתן מענה על הממצאים שהועלו בדוח זה בנוגע לאבטחת המידע של בחינות הבגרות וציוני הבגרות.