דו"ח ביקורת ניהול מערכות מידע ברשויות המקומיות

מבקר המדינה פרסם ביום 4/7/2022, דו"ח ביקורת בנושא ניהול מערכות המידע ברשויות המקומיות (כאן קישור ישיר). דו"ח זה, שתקציר ממנו יובא בהמשך, מציג תמונת מצב מדאיגה באשר לניהול מערכות מידע ברשויות המקומיות. ככלל, ברשויות המקומיות קיימים ליקויים שונים בתחום הגנת הסייבר ואבטחת המידע. מקור הליקויים, בין היתר, בהיעדר אסטרטגיה והכוונה מצד הגורמים האחראים בתחום.

עצם הביקורות הרבות (כפי שנסקרו בפוסטים קודמים כאן וכאן), ועיסוק מבקר המדינה, מביע את הדאגה מאופן ומצורת ניהול מערכות המידע ברשויות המקומיות. השימוש במערכות מידע לניהול ענייני הרשויות המקומיות. הפך עם השנים לצורך בסיסי ומחויב המציאות, והוא חשוף לאיומי סייבר. נוסף על כך, במאגרי המידע של הרשויות המקומיות שמורים, בין היתר, נתונים אישיים על התושבים ועל הגורמים הבאים בקשר עם הרשויות במגוון תחומים, דבר המחייב נקיטת אמצעים לאבטחת המידע ולהגנת הפרטיות.

עיקרי הליקויים

• היעדר תכניות עבודה אסטרטגיות: תכניות עבודה לטווח ארוך אמורות להוות בסיס ליעדי ההנהלה ולתעדוף תקציבי. בהיעדרן, פעילות המערכות נעשית באופן תגובתי, בלתי מתוכנן, ותוך הישענות יתר על יוזמות אד-הוק.
• איוש חלקי או חסר של תפקידי מפתח: חרף החובה החוקית, לא בכל רשות קיים ממונה אבטחת מידע (CISO) פעיל או ממונה הגנת פרטיות (DPO), ולעיתים מי שממלא את התפקיד עושה זאת "על הדרך", ללא הכשרה מתאימה או סמכויות.
• היעדר נהלים כתובים ומחייבים: ארגז הכלים הנדרש – הכולל מדיניות פרטיות, נוהלי הרשאות, מדיניות גיבוי, מענה לאירועי סייבר והנחיות לעובדים – חסר בחלק ניכר מהרשויות.
• חוסר בהיערכות להתאוששות מאסון (Disaster Recovery): רשויות רבות לא פיתחו תרחישים להתאוששות ממקרים של תקיפת מערכות, השחתת מידע או קריסת מערכות קריטיות.
• נוהלי גיבוי לקויים: ברשויות רבות מתבצעים גיבויים בתדירות שאינה תואמת את הסיכון, ללא בדיקות תקינות שוטפות או מערך שחזור ראוי.
• היעדר סקרי סיכונים: אין הערכת סיכונים שנתית בתחום אבטחת המידע, כפי שנדרש לפי תקנות הגנת הפרטיות (אבטחת מידע), תשע"ז–2017.
• היעדר פיקוח על ספקים: מיקור חוץ נרחב אינו מלווה בבקרות משפטיות וטכנולוגיות הולמות, והתקשרויות אינן כוללות התחייבויות מספקות להגנה על מידע.

האתגרים האופייניים בניהול מערכות מידע בשלטון המקומי

הרשויות המקומיות בישראל נבדלות זו מזו בגודל, ברמת הדיגיטציה, וביכולות התקציביות והניהוליות שלהן. חלקן ערים עתירות משאבים עם תשתיות מתקדמות, בעוד אחרות מתמודדות עם מחסור בכוח אדם מקצועי ותקציבי מחשוב מצומצם. השונות הזו יוצרת קושי לקביעת סטנדרט אחיד, אך אין בכך כדי לפטור מרגולציה. החוק מחייב כל רשות לנקוט אמצעי הגנה מינימליים ביחס למידע שהיא מחזיקה, ולתכנן את תהליכי ניהול המידע על בסיס ניהול סיכונים ותפיסת אחריות תאגידית.

בנוסף, בעידן "העיר החכמה" – מערכות המידע של הרשויות מתרחבות לא רק לשירותי הליבה, אלא גם לשירותים מבוססי דאטה, אפליקציות עירוניות, מצלמות חכמות, שירותים מרחוק ושיתופי פעולה עם חברות טכנולוגיה. בכך גדל החשיפה לאיומים, ומעמיק הצורך בגיבוש מדיניות פרטיות ובקרה על שימושי המידע.

דו"ח ביקורת אינו סוף ההליך – אלא תחילתה של האחריות

הנטייה להתייחס לדוח ביקורת בתחום מערכות המידע כאל מסמך טכנולוגי בלבד, היא אחת הטעויות הניהוליות השכיחות ביותר. זו לא ביקורת טכנולוגית – זו ביקורת בעלת השלכות משפטיות, רגולטוריות וניהוליות רחבות, המשקף את רמת הממשל הארגוני, ניהול הסיכונים והציות של הרשות המקומית.

ממצאים בדבר ליקויים בניהול הרשאות, היעדר סקרי סיכונים, כשלים בניהול ספקים, פערים בהמשכיות עסקית, אי-ביצוע בקרות או אי-עמידה בדרישות הדין אינם מעידים רק על חולשה טכנולוגית. הם עשויים ללמד על כשל במנגנוני הפיקוח, בהקצאת האחריות הניהולית וביישום חובות הזהירות המוטלות על הרשות ונושאי המשרה הפועלים מטעמה. דו"חות מבקר המדינה מהשנים האחרונות מאמצים תפיסה זו באופן עקבי ומדגישים כי טיפול אפקטיבי בממצאים מחייב מנגנון ניהולי שלם, ולא רק תיקון נקודתי של ליקויים.

מה ההשלכות המשפטיות של אי־תיקון ממצאי דוח ביקורת?

לדוחות מבקר המדינה אין תוקף של פסק דין או סמכות אכיפה ישירה. לא כל המלצה בדוח ביקורת היא חובה משפטית מחייבת. אי-תיקון ממצאים כשלעצמו אינו גורר ענישה פלילית אוטומטית לרשות המקומית.

חובת דיווח מוגברת:

על הגופים המבוקרים חלה חובה למנות צוות מקצועי ולדווח למבקר המדינה תוך 105 ימים כיצד בכוונתם לתקן את הליקויים, או לנמק מדוע הוחלט לדחות את התיקון.

השלכות משפטיות נוספות

מרגע שהרשות המקומית קיבלה לידיה דוח המצביע על ליקויים בניהול מערכות המידע, באבטחת מידע או בהגנת הפרטיות, היא אינה יכולה עוד לטעון כי לא הייתה מודעת לסיכונים. במילים אחרות, דוח הביקורת עשוי לשמש ראיה לכך שהרשות ידעה על קיומו של כשל ונדרשה לפעול לתיקונו.

אי־יישום המלצות הביקורת עלול להשפיע על בחינת סבירות פעולת הרשות במקרה של אירוע אבטחת מידע, דליפת מידע אישי, מתקפת סייבר או פגיעה ברציפות התפקודית. ככל שהליקויים תועדו בדוח, חזרו בביקורות קודמות או לא טופלו במשך זמן ממושך, כך עשויה להתגבר החשיפה לביקורת שיפוטית, לביקורת רגולטורית ולביקורת ציבורית.

כיצד נערכים לביקורת המעקב?

ביקורת מעקב אינה בוחנת רק האם הליקויים תוקנו, אלא האם הרשות הטמיעה מנגנון ניהול המבטיח כי הליקויים לא יחזרו בעתיד. לכן, אין די בהשלמת פעולה טכנית או ברכישת מערכת חדשה.

היערכות נכונה לביקורת מעקב מחייבת תיעוד מסודר של כלל הפעולות שבוצעו, קביעת בעלי אחריות לכל משימה, שמירת אסמכתאות לביצוע התיקונים ועדכון הנהלים והמדיניות בהתאם לממצאי הביקורת. מומלץ לקיים אחת לתקופה בחינה פנימית של סטטוס היישום, לזהות פערים שנותרו פתוחים ולדווח עליהם להנהלת הרשות.

רשות המסוגלת להציג תוכנית עבודה, החלטות הנהלה, דוחות התקדמות, נהלים מעודכנים ותיעוד של פעולות הבקרה, תעמוד בדרך כלל בעמדה טובה יותר בביקורת המעקב.

אחריות לתיקון ליקויי ביקורת היא אחריות ארגונית – לא אחריות של המנמ"ר

ליקויים בתחום מערכות המידע אינם באחריותו הבלעדית של מנהל מערכות המידע או של ספק השירותים החיצוני. הדין והרגולציה מטילים אחריות רחבה יותר, המחייבת מעורבות של הנהלת הרשות ושל כלל בעלי התפקידים הרלוונטיים.

ראש הרשות והמנהל הכללי נושאים באחריות להבטיח קיומם של מנגנוני ממשל, בקרה וניהול סיכונים אפקטיביים. היועץ המשפטי נדרש לבחון את השלכות הממצאים על עמידת הרשות בדרישות הדין ועל החשיפה המשפטית הנובעת מהם. מנהל מערכות המידע, ממונה אבטחת המידע וממונה הגנת הפרטיות (DPO), כל אחד בתחום אחריותו, נדרשים להוביל את יישום התיקונים, לבצע בקרה שוטפת ולהבטיח עמידה בדרישות חוק הגנת הפרטיות, תקנות אבטחת מידע והנחיות הרגולטורים.

חלוקת אחריות זו עולה בקנה אחד עם גישת מבקר המדינה, שלפיה אבטחת מידע אינה פונקציה טכנולוגית בלבד, אלא חלק בלתי נפרד ממערך הניהול והבקרה של הרשות המקומית.

כיצד משפיע תיקון 13 לחוק הגנת הפרטיות על ביקורת מערכות מידע?

תיקון מס' 13 לחוק הגנת הפרטיות, נכנס לתוקף ביום 15/8/2025. התיקון יוצר מסגרת מעודכנת להגנה על מידע אישי ומחזק את הזכות לפרטיות בישראל, ובתוך כך מחולל את הרפורמה המשמעותית ביותר בדיני הפרטיות מאז שחוקק לראשונה בשנת 1981. במסגרת תיקון זה, הורחבו חובות הרשויות המקומיות באופן משמעותי.

להלן עיקרי ההשלכות:

• חובת מינוי ממונה הגנת הפרטיות (DPO): על כל רשות למנות גורם ייעודי, עצמאי ואפקטיבי, שיהיה אמון על ניהול הפרטיות, כתיבת מדיניות, ביצוע ביקורות, מענה לאירועים ועוד.

• אחריות נושאי משרה: מנכ"ל הרשות יישא באחריות אישית לעמידה בדרישות החוק, לרבות הבטחת משאבים נאותים וכוח אדם מתאים.

• הסמכת הרשות להגנת הפרטיות: לרשות סמכויות פיקוח, אכיפה, מתן קנסות, פרסום דוחות פומביים ואזהרות לציבור.

• שינויים פרוצדורליים: ביטול הדרישה לרישום מרבית מאגרי המידע, והחלפתה בדרישות מהותיות לעמידה בסטנדרטים של שקיפות, אבטחה, מינימיזציה, בקרה והסכמה.

כיום, ממצאי ביקורת עשויים לשמש בסיס לבחינת עמידתה של הרשות בדרישות החוק, בתקנות הגנת הפרטיות (אבטחת מידע), בהנחיות רשות הגנת הפרטיות ובחובות המוטלות על בעלי מאגרי מידע ומחזיקים במידע.

עורך דין אבטחת מידע והגנת הפרטיות ברשויות מקומיות

משרד עורכי דין וולר ושות' מעניק לרשויות מקומיות ולתאגידים עירוניים, ליווי וייעוץ משפטי בתחומי אבטחת מידע והגנת הפרטיות. זאת, בשילוב הערך המוסף – ניסיון ארוך שנים והתמחות בעבודת הרשויות המקומיות, הבנה וידע מקצועי רב-תחומי. עו"ד רועי וולר, המוביל את התחום, הנו ממונה הגנת הפרטיות (D.P.O), מנהל סיכונים מוסמך (C.R.O) וחבר האיגוד הישראלי לניהול סיכונים, מנכ"ל מועצה אזורית לשעבר, וקצין (מיל.) ביחידה 8200. לכל שאלה בתחום, צרו קשר.

פורסם: 06/07/2022. עידכון אחרון: 23/07/2026.

תחום: הגנת הפרטיות ואבטחת מידע.