הגנת הפרטיות ואבטחת המידע במערכות המרכז לגביית קנסות, אגרות והוצאות ברשות האכיפה והגבייה

המרכז לגביית קנסות, אגרות והוצאות ברשות האכיפה והגבייה (המג"ק) הוא הגוף שתפקידו לגבות חובות לטובתם של אוצר המדינה וגופים ציבוריים וכן לגבות פיצויים שנפסקו לנפגעי עבירה בהליכים פליליים. נכון לפברואר 2023 יתרת החוב בתיקים הפתוחים במג"ק מסתכמת בכ-6.8 מיליארד ש"ח. לצורך גביית החובות הוענקו למג"ק סמכויות גבייה וביניהן דרישת מידע על החייב מגוף ציבורי. על מנת לפעול לגביית החובות ביעילות מנוהלת עבודת המג"ק באמצעות מערכת ממוחשבת המכילה מאגר מידע רחב היקף בנוגע לכ-3 מיליון חייבים, וכוללת בין היתר שמות, מספרי זהות, כתובות מגורים, מספרי טלפון, פרטים על נכסים שברשות החייבים, מידע מהמוסד לביטוח לאומי, מאגף הרישוי שבמשרד התחבורה ומרשויות אחרות.

בכל הנוגע להגנת הפרטיות ולאבטחת מידע נדרש המג"ק לפעול בהתאם להוראות הדין, ובהן חוק הגנת הפרטיות, התשמ"א-1981 והתקנות על פיו, להחלטות ממשלה ולנהלים והנחיות הגופים המאסדרים את הנושא ובהם היחידה להגנת הסייבר בממשלה (להלן - יה"ב), המהווה גורם מנחה מקצועית בתחום הגנת הסייבר. 

בחודשים ספטמבר 2021 - אוקטובר 2022 בדק משרד מבקר המדינה היבטים בתחום ההגנה על הפרטיות ואבטחת המידע במערכות המג"ק. בביקורת נבדקו אופן תיעוד הגישה, השימוש במערכות המידע במג"ק והשינויים בהן, מערך ההרשאות למערכות המידע במג"ק וההתמודדות עם סכנת חדירה למערכות המידע. בדיקות השלמה בוצעו בחודשים ינואר ופברואר 2023.

הביקורת נעשתה במרכז לגביית קנסות שברשות האכיפה והגבייה ובמטה הרשות. בדיקות השלמה נערכו ברשות להגנת הפרטיות במשרד המשפטים וביחידה להגנת הסייבר בממשלה (יה"ב) במערך הדיגיטל הלאומי.

משרד מבקר המדינה בחן במקביל היבטים נוספים בפעילות המרכז לגביית קנסות - ניהול תהליך גביית החוב משלב קליטת התיק, משלוח דרישות תשלום ונקיטת הליכי גבייה שונים; מנגנוני פריסת החוב, הפחתות תוספות הפיגורים ומחיקת חובות במג"ק; ניהול תהליך גביית חובות מסוג פיצויים לנפגעי עבירה והקשר עם נפגעי העבירה. ממצאי ביקורת אלו פורסמו בדוח מבקר המדינה ממאי 2023.

ועדת המשנה של הוועדה לענייני ביקורת המדינה של הכנסת החליטה שלא להניח דוח זה במלואו על שולחן הכנסת אלא לפרסם רק חלקים ממנו, זאת לשם שמירה על ביטחון המדינה, בהתאם לסעיף 17 לחוק מבקר המדינה, התשי"ח-1958 [נוסח משולב]. 

הביקורת הקודמת:

מבקר המדינה, דוח שנתי של מבקר המדינה - מאי 2023, "המרכז לגביית קנסות ברשות האכיפה והגבייה", עמ' 1723.

דוח זה מעלה ליקויים בתחום הגנת הפרטיות ואבטחת המידע במערכות המידע במרכז לגביית קנסות שברשות האכיפה והגבייה, וביניהם: היעדר תיעוד של הגישה של משתמשי המערכת התפעולית של המג"ק למידע המצוי במערכת וכפועל יוצא מכך היעדר בקרה על אותה גישה; אי-ביצוע מעקב הולם אחר אירועים חריגים המתרחשים במערכת; ניהול לקוי של תהליך מתן ההרשאות למערכת התפעולית של המג"ק ושל הפיקוח והבקרה עליהן; היקף גישה בלתי-מוגבל של משתמשי המערכת למידע המצוי במערכת; ניהול לקוי של הרשאות עובדי מוקד המידע הטלפוני למערכת; וכן סיכון לחדירת תוקפים חיצוניים למערכות המג"ק.

ליקויים אלה אינם עולים בקנה אחד עם הוראות הדין, ובהן חוק הגנת הפרטיות והתקנות על פיו, החלטות הממשלה הרלוונטיות והנחיות הגופים המאסדרים את הנושא. הדברים מקבלים משנה תוקף נוכח העובדה שעל פי הוראות תקנות אבטחת מידע מסווגות המערכת התפעולית של המג"ק כמאגר שמחייב רמת אבטחה גבוהה. 

על רשות האכיפה והגבייה והמג"ק לפעול בהקדם על פי הנחיות הגופים הרלוונטיים למניעת דליפת מידע מהארגון ולשמירה על שלמותו. בכלל זה עליהם להקים מערך לתיעוד ובקרה בעניין השימוש במערכות המידע של המג"ק. כן עליהם לבצע בקרות עיתיות על מערך ההרשאות של עובדי המג"ק ואף לבצע בחינה של היקף הרשאות הגישה למערכת התפעולית של המג"ק לעובדים בתפקידים השונים. נוסף על כך עליהם לבצע בקרה על הרשאות עובדי המוקד ומוצע כי המג"ק יבחן האם יש מקום להגביל את אפשרויות הגישה של עובדי מוקד המידע הטלפוני למערכת התפעולית שלו. נוסף על כך על רשות האכיפה והגבייה לקדם את ההליך המכרזי ולהטמיע במערכותיה פתרון אבטחתי טכנולוגי ייעודי מסוים, שיבטיח הגנה מרבית על נכסי המידע שלה.

מאגר המידע של המג"ק הוא רחב היקף וכולל מידע רגיש בנוגע לכ-3 מיליון חייבים. סכומי החוב שבטיפול המג"ק נכון למועד הביקורת מסתכמים בכ-6.8 מיליארד ש"ח. מכאן נובע הצורך לשמור על מערכות המידע למניעת פגיעה בשלמות המידע וברציפות התפקודית של המג"ק במתן שירותים, וכן כדי למנוע דליפה של נתונים ומידע ממאגר המידע או למנוע את חשיפתם לגורמים שאינם מורשים לכך.