ישראל נכנסה למלחמת חרבות ברזל כשהיא ערוכה חלקית בלבד לאיומי סייבר - זו המסקנה החדה של מבקר המדינה מתניהו אנגלמן בדוח שפורסם היום. לפי הנתונים שמביא המבקר, עלות נזקי מתקפות הסייבר למשק הישראלי מוערכת ב-12 מיליארד שקלים בשנה. המבקר לא מסתפק בביקורת על גופי המקצוע - האצבע המאשימה המרכזית מופנית ישירות לדרג המדיני.
הממצא שאולי מדהים מכל: בעשור שקדם למלחמה, ועד יוני 2025, הקבינט המדיני-ביטחוני לא קיים אף דיון ייעודי בנושא הסייבר - למעט פגישה בודדת אחת בשנת 2018. ראשי הממשלה שכיהנו בתקופה זו, כולל נתניהו, נפתלי בנט ויאיר לפיד, לא יזמו ולא קיימו דיונים כאלה. המשמעות: השרים הגיעו למלחמה מבלי שנחשפו אי פעם, באופן שיטתי, לתמונת האיום המלאה.
במקביל, חוק הסייבר הלאומי - שמטרתו לתת למדינה סמכויות פיקוח ואכיפה מחייבות על גופים חיוניים - תקוע בצינורות הממשלתיים יותר מעשור. בינואר 2024 הנחה נתניהו להגיש תזכיר חוק בתוך שלושה חודשים. נכון ליוני 2025, ההליך לא הסתיים, המחלוקות בין המשרדים לא לובנו, ולא נקבעו לוחות זמנים. בינתיים, חוק הגנת הסייבר הלאומי אושר אמש בקריאה ראשונה בלבד.
גם בתרגול המעשי התמונה חמורה. בשש השנים שקדמו למלחמה, מ-2018 ועד נובמבר 2024, לא נערך בישראל אף תרגיל סייבר לאומי. רק כשנה לתוך המלחמה בוצע תרגיל שולחני ראשון. חמור מכך: בשלושת התרגילים הלאומיים שנערכו (2018, 2024 ו-2025), לא השתתף אף נציג מהדרג המדיני - לא ראש הממשלה ולא שרי הקבינט.
בבדיקה שערך המשרד ב-21 גופים בעלי חשיבות עליונה למשק, העולה הוא מדאיג. שליש מהגופים קיבלו ציון של 60 ומטה במדד המוכנות הארגונית. ב-4 מהם לא היה כלל צוות לטיפול באירועי סייבר. בכמעט מחצית לא התכנסה ועדת היגוי כנדרש בשנה וחצי שלפני המלחמה. ל-38% מהמנכ"לים מעולם לא הוצגה תוכנית התאוששות מאירוע סייבר. ול-90.5% מהגופים אין ביטוח סייבר.
התשתיות הקריטיות של המדינה, הידועות כתמ"ק, לא יצאו מזה מוצלחות יותר. ערב המלחמה, חלק מהגופים הקריטיים ביותר - כאלה שפגיעה בהם עלולה לגרום לנזק פיזי ואף לאבידות נפשיות - החזיקו ביכולת התמודדות "מוגבלת" בלבד. מערך הסייבר הלאומי, מצדו, לא העביר מאז 2020 ועד 2025 דיווחים חצי-שנתיים לגורמים שנקבעו בהחלטת ממשלה: ראש הממשלה, מזכיר הממשלה, ראש המטה לביטחון לאומי, ראש השב"כ ויושב ראש ועדת החוץ והביטחון.
פרק מיוחד בדוח מוקדש להגנת הסייבר בבית הנשיא. לפי הממצאים, המוסד פעל ללא גורם ממשלתי מנחה בתחום הסייבר, ולא החיל על עצמו את כללי אבטחת המידע המחייבים את משרדי הממשלה - עד ספטמבר 2024 בלבד. חלק ממערכות המחשוב של בית הנשיא הגיעו לסוף מחזור חייהן, ותחנות קצה פעלו עם גרסאות שפג תוקפן. בנוסף, מאגר הנתונים של כ-100 אלף מבקשי חנינה נוהל שלא על פי חלק מהוראות הדין.
במהלך המלחמה שינו התוקפים את אסטרטגיית הפעולה שלהם. בתחילת הלחימה התמקדו בלוחמה פסיכולוגית ומניעת גישה. בהמשך עברו למתקפות שמטרתן מחיקת מידע וגרימת נזק. בשנת 2024 עבר הפוקוס לאיסוף מידע ממוקד על אזרחים, אישים ותהליכים רגישים. בין האירועים שתועדו: מתקפת כופרה על מוסד אקדמי גדול, פריצה לחברת אחסון שהשפיעה על משרדי ממשלה וכ-40 חברות גדולות, ופגיעה במרכז רפואי ששיבשה את פעילותו.
המבקר ציין לחיוב את פעילות מערך הסייבר הלאומי בתחילת המלחמה - המערך פעל במהירות, הסיט משאבים וסייע במניעת פגיעות קשות. ממערך הסייבר נמסר בתגובה: "פעילות ההגנה האינטנסיבית בתקופת המלחמה הביאה למניעת הישגים משמעותיים מהאויבים, אשר לא הצליחו לפגוע ברציפות התפקוד הלאומית או בחיי אדם". עם זאת, המבקר קבע נחרצות כי ישראל לא חוותה אסון בזכות מזל ולא בזכות מוכנות מערכתית.
ההמלצות שפרסם המבקר כוללות גיבוש תוכנית פעולה לאומית לצמצום פערים, קיום דיונים תקופתיים בקבינט בנושא הסייבר לפחות אחת לחצי שנה, עדכון מסמך "התפיסה הלאומית לניהול משבר סייבר" שלא שונה שנים, וחיוב כל 21 הגופים הקריטיים שנבדקו להקים מסגרות ארגוניות בסיסיות שעדיין חסרות. חוק הסייבר הלאומי שאושר אתמול בקריאה ראשונה עדיין רחוק מסיום חקיקתו המלאה - ומה שיקרה בקריאות השניה והשלישית יקבע אם הלקח הפעם אכן נלמד.
תגובות
רגע, שקט פה מדי
דעתך חשובה - תהיו הראשונים להגיב על הכתבה