אבטחת המידע והגנת הסייבר במוסד לביטוח לאומי

המוסד לביטוח לאומי (בט"ל) מחזיק במאגר גדול, המכיל מידע מארגונים וגופי ממשל רבים וגודלו טרה-בייט TB)) רבים. המאגר גדל בכ-10% בכל שנה. המאגר כולל מידע על כל תושבי מדינת ישראל מיום הלידה ועד יום הפטירה. המאגרים של בט"ל נדרשים לרמת אבטחה גבוהה לפי תקנות הגנת הפרטיות (אבטחת מידע), התשע"ז-2017.

ביולי 2023 החליטה ועדת היגוי עליונה להגנה על מערכות ממוחשבות במדינת ישראל כי בט"ל עונה על התבחינים הנדרשים, וכי יש מקום להנחותו כגוף תשתית מדינה קריטית (גוף תמ"ק). לפיכך המליצה הוועדה על הוספת בט"ל לתוספת החמישית לחוק להסדרת הביטחון בגופים ציבוריים, התשנ"ח-1998, כדי שבט"ל יהיה מונחה לפי חוק זה על ידי מערך הסייבר הלאומי (מס"ל). נכון לאפריל 2024, מועד סיום הביקורת, טרם התקבל אישור להוספת בט"ל לתוספת החמישית לחוק להסדרת הביטחון. במסגרת הפיכתו לגוף תמ"ק החל בט"ל לבצע פעילות יזומה לשיפור רמת ההגנה שלו, בהתאם למתודולוגיה הייעודית של גופי תמ"ק.

נכון לפברואר 2024, מתבצעים בכל יום עשרות אלפי ניסיונות לתקיפת סייבר נגד בט"ל. אירוע סייבר בבט"ל עלול לגרום לפגיעה חמורה בפרטיות של מיליוני אזרחים ותושבים המקבלים שירות מבט"ל, וכן עלול לגרום לפגיעה בעבודת בט"ל ואף לשיתוק של העבודה, ובעקבות כך לפגיעה ביכולת לשלם קצבאות (זקנה, נכות, קיום, אבטלה תגמולי מילואים). להלן דוגמה לאירוע אבטחת מידע חמור בבט"ל כהגרתו בתקנות: בפברואר 2022 דווח על אירוע גניבת זהות שבעקבותיו מידע אישי על 2,000 אזרחים היה חשוף ונגיש למי שאינו מורשה לכך. 

​

בחודשים יולי 2023 עד אפריל 2024 בדק משרד מבקר המדינה את נושא אבטחת המידע והגנת הסייבר בבט"ל ואת העמידה שלו בתקנות אבטחת מידע. בביקורת נבדקו בין היתר הנושאים האלו: המדיניות והנהלים בתחום הגנת הסייבר; ניהול הסיכונים; העברת מידע מבט"ל לגופים חיצוניים; הגנה לוגית; הגנה פיזית; המשכיות עסקית; התמודדות עם אירועי סייבר; ושרשרת האספקה. הביקורת נעשתה בבט"ל, במשרד ראש הממשלה - במערך הסייבר ובמשרד המשפטים  - ברשות להגנת הפרטיות.

ועדת המשנה של הוועדה לענייני ביקורת המדינה של הכנסת החליטה שלא להניח על שולחן הכנסת ולא לפרסם חלקים מפרק זה לשם שמירה על ביטחון המדינה, בהתאם לסעיף 17(א) לחוק מבקר המדינה, התשי"ח - 1958 (נוסח משולב). 

בט"ל מחזיק במאגר גדול, בנפח של טרה-בייט (TB) רבים, הכולל מידע על כל תושבי מדינת ישראל מיום הלידה ועד יום הפטירה. מאגר זה נדרש לרמת אבטחה גבוהה בהתאם לחוק הגנת הפרטיות ולתקנות אבטחת מידע, וכן משום שהוא יעד מרכזי לניסיונות תקיפה (עשרות אלפי חשדות לאירועים ביממה), ופגיעה בו עלולה להיות קריטית בייחוד בתקופה זו של מלחמת חרבות ברזל, שבה ממלא בט"ל תפקיד חיוני בטיפול בנפגעים, במפונים ובאנשי המילואים. 

ביוני 2023 הוגדר בט"ל כתשתית מדינה קריטית (גוף תמ"ק) והחל בתהליכי אסדרה של הגנת הסייבר בהתאם לתו"ל ייעודי לגופי תמ"ק, בהנחיית מערך הסייבר. במהלך מלחמת חרבות ברזל נדרש בט"ל לבצע פעולות דחופות לטיפול בנפגעי פעולות האיבה, במשפחות החטופים, במשפחות המפונים ובמשרתי המילואים. פעולות אלו כללו בין היתר פיתוח שירותים חדשים לטיפול באוכלוסיות אלו; פיתוח ממשקים להעברת מידע לגופים אחרים; ומציאת פתרונות חדשים המאפשרים עבודה מהבית של עובדי בט"ל, כדי שהשירות לא ייפגע.

ממצאיו של דוח זה משקפים פערים ניכרים בכל הנוגע לניהול אבטחת המידע בבט"ל ולהיערכותו לאיומי סייבר. פערים רבים עלו בנוגע למכלול תחומי הפעילות הרלוונטיים לאבטחת המידע וביניהם: פערים בגילוי אירועי סייבר ובטיפול בהם; ליקויים ברמת האבטחה הלוגית; תוכנית המשכיות עסקית שאינה עדכנית; ויכולת התאוששות נמוכה במקרה של אסון. הממצאים שהועלו בדוח זה, כמכלול, וכל ממצא בפני עצמו מהווים סיכון לפגיעה בסודיות, באמינות ובזמינות של המידע שבמאגרי בט"ל.

הדוח כולל ממצאים נוספים הנוגעים לקיום חלקי ביותר של תקנות אבטחת מידע ולחוסר יכולת של חטיבת אבטחת מידע בארגון למלא חלק מתפקידיה.

על ממלא מקום מנכ"ל בט"ל, הנהלת בט"ל וועדת היגוי סייבר, בשיתוף מס"ל, כמנחה מקצועי, לפעול בהקדם למיפוי סיכוני הסייבר המהותיים הניצבים בפני הארגון ולגבש תוכנית עבודה לטיפול בפערי אבטחת המידע, ובהם הפערים שצוינו בדוח זה.

​