דו"ח המבקר: המערכות של עיריית אשדוד נפרצו בידי גורמים מ"מדינה עוינת"

"בשנתיים האחרונות אירעו למערכותיה של עיריית אשדוד שתי חדירות על ידי גורמים ממדינה עוינת", כך קובע דו"ח מבקר העירייה. מי שעלה על עקבותיהן של הפריצות היה מערך הסייבר הלאומי.

הדו"ח, המתייחס לשנת 2021, הוגש לחברי מועצת העיר בישיבתה האחרונה. נקבע בו שהעירייה "חשופה לאיומי סייבר שעלולים לפגוע באופן משמעותי בעבודתה, עד לכדי השבתה מלאה".

הביקורת, שבדקה את אופן ניהול אבטחת המידע ואפקטיביות מנגנוני אבטחת המידע, מצאה ליקויים ברוב התחומים שנבדקו, שמעידים על כך שהעירייה חשופה לאיומיי סייבר וש"מנהל אבטחת המידע אינו מקיים באופן מלא את אחריותו לניהול מערך אבטחת המידע ואינו מיישם את מלוא המטלות".

זהו הדו"ח האחרון של מבקר העירייה, שלמה בן עזרא, שפרש לאחרונה לגמלאות, לאחר 22 שנות עבודה בעירייה.

דו"ח מבקר העירייה. צילום: רבקה יניב

עוד עולה מביקורת, כי "בעלי התפקידים בעירייה, שמונו כמנהלי מאגרי המידע, אינם מקיימים את חובותיהם שנקבעו בחוק ובתקנותיו", וש"טרם הושלם מיפוי מלא ומעודכן של כלל מאגרי המידע בעירייה".

במסגרת הבדיקה הטכנולוגית הצליחה הביקורת לחדור לרשת הארגונית של העירייה מבלי שמערך האבטחה איתר את החדירה ומבלי להתריע על כך בזמן אמת.

העירייה, כך פוסק המבקר, אינה פועלת על פי נהליה בתחום אבטחת המידע ואינה עושה את הנדרש כדי להטמיע את הנהלים במטרה להפחית את הסיכונים. כך למשל במינהל משאבי אנוש כלל לא הכירו את הנהלים לשמירה על סודיות ואבטחת מידע והחתימו את העובדים על כתב התחייבות בנושא, שאינו תואם את הנהלים.

בבדיקת הביקורת נמצאו עובדים רבים שהייתה להם הרשאה לבצע פעולות במערכת, אעפ"י שעבודתם בעירייה כבר הופסקה.

בביקורת שערך משרד מבקר המדינה בנושא סיכוני סייבר במערכת הפעלת הרמזורים שנרכשה בידי העירייה, מספק מסוים ומתוחזקת על ידו, נמצאו ליקויים חמורים בתחום אבטחת המידע, שעלולים לאפשר לגורם זדוני להביא להפסקת פעילות מערכת הרמזורים בכל העיר ולגרום לנזקים רבים, לרבות נפגעים בנפש.

התברר כי מאגר המידע לא היה מוכר כלל לאגף שמטפל ברמזורים בכל הנוגע לאבטחת מידע וגם לא פוקח על ידו. האגף המטפל בהגנת הפרטיות ואבטחת המידע, שנכלל במינהל הכללי, החל לטפל בליקויים שנמצאו והתוצאות ניכרו בשטח.

אשדוד זכתה לציון הגבוה ביותר בבדיקת מערך הסייבר הלאומי שנערכה ביולי 2022 ב-24 רשויות מקומיות. בבדיקה נבחנו היבטים שונים של הגנת הרשת הארגונית לחדירה מבחוץ.

בהתייחסות לטיפול שהביא לשיפור נכתב כי "הביקורת רואה בחיוב רב את מגמת השיפור בתחום אבטחת המידע ואת הטיפול בליקויים שהעלתה הביקורת כבר בסמוך להצגתם בפני אגף המינהל הכללי. יחד עם זאת תקיים הביקורת במהלך 2023 מעקב על יישום המלצותיה".