פרוטוקול הוועדה לענייני ביקורת מס' 10082022

הוועדה לענייני ביקורת

11 אוגוסט 2022

פרוטוקול וועדת ביקורת מיום 10.08.2022

נוכחים:

ד"ר יוכי פנחסי אדיב - יו"ר הועדה

רז שגיא – חבר הוועדה

הרב אדמוני – חבר הוועדה

אילן הררי – מנכ"ל העירייה (נכח חלקית)

רחל מדר- מנהלת הכנסות ומרכזת וועדת תיקון ליקויים

ניר אבנון – מבקר העירייה

ד"ר יוכי פנחסי אדיב – פותחת את הישיבה – הנושא הראשון:

דוח מבקר העירייה מס' 300/2021 בנושאאבטחת מידע

גורמים מקצועיים נוכחים:

יובב יהב – מנהל מערכות מידע עירוני

דוד יהוד – ממונה אבטחת מידע

ניר אבנון – מציג את דו"ח הביקורת בנושא אבטחת מידע . מערכות מידע חיוניות מאוד לתפקוד כל

המערכות העירוניות ומתן השירותים העירוניים. קיימים איומים שונים ועל כן נדרשת רמה גבוהה

של אבטחת מידע. הביקורת כללה בדיקה של אופן הניהול של התחום בהתאם לכללים המחייבים,

האמצעים הקיימים, תחום מאגרי מידע, יכולת התגוננות ומניעה וכן התאוששות והמשכיות

עסקית. לקראת סיום הביקורת הוגשה גם טיוטת בי קורת שערך מבקר המדינה, וקיים פרק

המתייחס לכך. ביצעתי גם מבדקי חדירה בסיוע גורם מומחה בתחום.

אילן הררי- מבקש לציין שקיימנו דיון פנימי מעמיק על הדוח הזה וייערך דיון נוסף בנושא בפני

מנהלי האגפים על מנת להציג בניהם את הכשלים ואת ההמלצות לתיקון הליקויים.

תפקידי

המנמ"ר

וממונה

אבטחת מידע

ניר אבנון – מנמ"ר העירייה עומד בדרישות התפקיד ואף משמש כיו"ר איגוד

המנמ"רים ברשומ"ק. עם זאת, בניגוד להנחיות משרד הפנים – לא ברורה

כפיפותו למנכ"ל העירייה. גם כפיפותו של ממונה אבטחת מידע למנמ"ר לא

עוגנה בכתב כנדרש.

אילן – נבחן את כתבי המינוי מחדש ונעדכן אותם בהתאם לנדרש.

נהלי עבודה ניר אבנון – קיימים נהלים בתחום אבטחת מידע אולם הם אינם שלמים ולא

אושרו כנדרש.

אילן – הקמנו ועדה מקצועית לנושא. ביקשתי מיובב להביא נהלים מרשויות

אחרות ונבחן גם אפשרות להעסקת יועץ חיצוני בתחום.

תכנית עבודה

ותקציב

ניר אבנון- לא נערכה תכנית עבודה רב שנתית לאבטחת מידע וחסר תקציב ידוע

מראש לנושא. סקר סיכונים לא תוקצב ולא בוצע ב-2021 .יש לצייןכי השנה -

2022 ,יועד תב"ר לנושא, אך מטבעו הוא מותנה בהכנסות ואינו וודאי. בפועל

התקציבים לא אפשרו ליישם את התכניות.

הוועדה לענייני ביקורת

יוכי – (פונה ליובב) האם גיבשתם תכניות עבודה והגשתם להנהלה?

יובב- הוגשו תכניות שנתיות, הוצגו בפני ההנהלה מספר פעמים, כרגע איננו

מתקדמים אלא שומרים על הקיים כי לא ניתן תקציב מספק לנושא.

יוכי- מהיכרותי עם עולם מערכות המידע נדרש לבצע שדרוג משמעותי.

אסור להיות עדינים בנושא הזה, צריכים להביא תכנית שנתית, האם בוצעה

עבודת עומק?

יובב- כן, לפני כחצי שנה. קיימות המלצות שהוצגו בפני ההנהלה אך לא תוקצב

באופן מספיק.

יוכי- אז צריך להכין תכנית פעולה ותקציב.

אילן- אני בהחלט מסכים איתך ולכן ראיתי לנכון להציג את הדוח ואת

הליקויים שבו מול כל מנהלי האגפים בעירייה. בנוסף יובב נפגש פעמיים עם

ראש העיר בנושא והציג בפניו את הממצאים. אני דואג לזה ברמה התקציבית.

מנכ"ל העירייה מתנצל ויוצא מהדיון

מבדקי חדירה

ניר אבנון- בוצע מבדק חדירה כנדרש בתקנות, חסר תיעוד לדיונים ולהפקת

הלקחים.

רז– חבל שהמנכ"ל והגזבר לא נמצאים בדיון הזה. למה האנשים שצריכים

להתייחס לסעיפים הללו לא נוכחים בדיון?

יוכי- האם עשיתם תרחיש לסייבר?

יובב- באיגוד המנמ"רים בארץ, אנו עושים תרגולי סייבר לרשויות

יוכי- האם קיים תרחיש למקרה בו הפורצים מבקשים כופר על המידע שנגנב?

יש לנו תכניות עבודה במקרה זה?

יובב- לא יודע

אבטחה פיזית

וסביבתית

ניר אבנון – בסיור שערכתי עלו ליקויים שונים באמצעי המיגון של חדר

המחשבים, הגנרטור ועוד.

יובב – רוב הנושאים טרם טופלו.

ניהול

הרשאות

וגישה

ניר אבנון- יש מדיניות הרשאות טובה, נדרש לשפר לגבי מספר ניסיונות כניסה

למערכת והקשר עם משאבי אנוש לגבי עובדים חדשים ושעזבו.

יובב- הנושא טופל. יש גם תאום טוב עם משאבי אנוש.

אבטחת מידע

בניהול כוח

אדם

ניר אבנון- מבוצעים תרגילי "פישינג" מדי פעם, אולם חסר תיעוד לתוצאות

שלהם ולהפקת הלקחים. חסרה תכנית שנתית להדרכת עובדים בתחום

שימושי מחשב וסייבר.

תחנות עבודה

בלתי

מאובטחות

ניר אבנון- קיימים עשרות מחשבים מיושנים אשר אינם מאובטחים כנדרש

בשל חוסר יכולת להוריד עדכוני אבטחה. אין גם מערכת להצפנת מחשבים

ניידים מרחוק.

יובב – אכן נדרש לשדרג עשרות תחנות עבודה, אך אין לכך תקציב מספיק.

גיבוי ושחזור ניר אבנון- קיים מערך מספק של גיבויים, אולם צריך לעגן אותו בנהלים.

ניר אבנון- חסרה תכנית להתאוששות מאסון ולא מבוצעים תרגילים שנתיים

בנושא. אין לעירייה אתר חלופי DR כנדרש

הוועדה לענייני ביקורת

היערכות

לאסון- DRP

דוד- אני מטפל בהכנת תכנית כנ"ל. לגבי אתר חלופי – שוב עניין של תקציב.

מאגרי מידע ניר אבנון- העירייה רשמה 19 מאגרי מידע, אין רישום של מאגרי מידע

בתאגידים העירוניים. במהלך הביקורת בחברה העירונית, הם רשמו מאגרים

שברשותם. חסר בעירייה תיעוד על מבנה המאגרים ורמת האבטחה שלהם

כנדרש. לא נעשתה הדרכה למנהלי המאגרים ולא מתקיים קשר בינם לבין

ממונה אבטחת המידע.

בדיקת

חדירות

לרשת

המשתמשים

ניר אבנון- מומחה שביצע סקירה של רמת אבטחת המידע קבע שקיימת רמה

בינונית אך סבירה של המערכות. עם זאת הצביע על שורה של חולשות והמליץ

על אופן תיקונן.

ביקורת מבקר

המדינה

ניר אבנון- בטיוטת דוח מבקר המדינה הופיעו חלק מהליקויים שעליהם

הצבעתי גם בביקורת שלי. יש תחומים שלגביהם ציין המבקר את העירייה

לחיוב, כגון על עריכת מבדקי "פישינג", קיום הרשאות, ביצוע גיבויים ועוד.

יוכי פנחסי – לסיכום, הוועדה חשה אכזבה רבה לנוכח הממצאים. הנהלת העירייה לא מבינה

מספיק את חשיבות נושא המחשוב. העירייה מעמידה בסיכון את הנתונים והמידע האישי של

התושבים ומתקבל הרושם שאין נכונות להעמיד תקציב מתאים לטפל בסוגיה. לפיכך, הוועדה

ממליצה ליישם את ההמלצות בדוח המבקר באופן רציני, ולהעמיד לכך תקציב באופן מידי כך

שיתוקנו הליקויים בהקדם.

דוח מבקר העירייה מס' 260/2021 בנושאאיכות הסביבה

גורם מקצועי נוכח: דפנה לביא – מהלת מח' איכות הסביבה

ניר אבנון- תחום איכות הסביבה מתפתח וחשיבותו עולה. מחלקת איכות הסביבה באגף שפ"ע

אחראית על מספר תחומים ובהם: מניעה וצמצום של מפגעים סביבתיים, הדברת מזיקים, יישום

תכניות חינוכיות להגברת המודעות הסביבתית, ייזום פרויקטים בתחום קיימות, תכנון סביבתי

ועוד.

הביקורת סקרה את פעילות המחלקה והמדורים השונים.

תכנית עבודה

ותקציב

ניר אבנון – אין למחלקה תכנית עבודה רב שנתית. התקציב שבקשה רחוק מאוד

מזה שאושר, ולמרות זאת, לא היה ניצול מלא של התקציב. למדור קיימות ניתן

תקציב מזערי. ציינתי שהדבר מצמצם את פעילותו.

דפנה- בתחילת שנת תקציב אנו מבקשים תקציב בהתאם לתוכניות העבודה

שלנו ובמהלך השנה אנו מגישים קול קורא. כאשר הקול קורא מאושר ואנו

מקבלים מהם תקציב. אנו מעדיפים לנצל את הכספים שקיבלנו ולהשאיר את

התקציב מהעיר ייה.

רז - ומה את עושה עם התקציב מהעירייה שלא ניצלת?

דפנה- רק לאחרונה הובא לידיעתי שניתן להסיט את התקציב למטרה אחרת.

רז - מציע שלקראת שנה הבאה תכיני תכניות עבודה לאותם כספים שתרצי

לצבוע למטרה שונה.

נהלי עבודה ניר- נהלי המחלקה חלקיים, ולא אושרו ע"י ההנהלה.

יוכי – מי דוחף את נושא אישור הנהלים?

הוועדה לענייני ביקורת

ניר- הליקוי של תיקוף נהלים עולה כמעט בכל דוח ביקורת, והוחלט ע"י אילן

שתתקבל החלטה מול ראש העיר. עצם הצגת הממצא בדוח ביקורת מתמרץ

את המחלקות לכתוב ולתקף את הנהלים.

דפנה- אנו נעשה כתיבת נהלים גם אצלנו.

יוכי- יש בעירייה מחלקת ארגון ושיטות?

ניר- לא

יוכי- אם כך, אני ממליצה למנות עובד מתוך העירייה שתפקידו יהיה לתקף

נהלים מול כל המחלקות.

אתר

האינטרנט

ניר– המידע בדף של המחלקה אינו מעודכן, חובה לפרסם דוחות קרינה.

דפנה- היו בעיות במעבר לאתר העירוני החדש. העברנו את כל המידע החסר.

הוועדה

לאיכות

הסביבה

ניר- זוהי וועדת חובה. אכן מונתה אך מתכנסת בתדירות נמוכה מהנדרש,

הפרוטוקולים לא הובאו לאישור מועצת העיר.

רישוי והיתרי

בניה

ניר - בתהליכי רישוי של מבני ציבור לא עירבו את מחלקת איכות הסביבה על

מנת לקבל את חוות דעתם

רז- יש לכם מספיק כוח אדם במחלקה?

דפנה- אנו נעזרים ביועצים חיצוניים

יוכי- את לא מעדיפה יועץ in house במקום יועץ חיצוני

דפנה- הייתי שמחה אם היה לי תקן של יועץ, אבל אין.

רחל- את היועצים הביאו בגלל היקף הבנייה שגדל בזמן האחרון ולכן העסקת

יועצים חיצוניים זה זמני בלבד.

רכב לשימוש

המחלקה

ניר – המחלקה שותפה ברכב עם מחלקה אחרת. הדבר פוגע בעבודתה.

דפנה – הנושא טרם נפתר.

מדור איכות

הסביבה

ניר- יש תברואן אחד ולהערכתי זה לא מספיק כדי לענות על הצרכים של

העיר. עבודת המדור אינה מתוכננת מראש, תיעוד פעולתו לוקה בחסר. יש

לשקול גם לשנות את שם המדור, בשל הדמיון לשם המחלקה.

דפנה- אנחנו שוקלים לשנות את שם המדור. עדיין לא הוחלט.

רישוי

עסקים-

איכות

הסביבה

ניר- התברואן מסייע באכיפה בעסקים בקשר למפגעי תברואה. הפעילות

בעיקר על פי תלונות או בעת רישוי העסק. רוב הפעילות אינה מתוכננת מראש

ואינה יזומה, כנדרש.

מדור הדברה ניר- אין מספיק כוח אדם גם בהדברה, המחלקה אינה מקבלת מספיק תקציב,

או שהוא מאושר באיחור.

יוכי- מה הכוונה שאין מספיק תקציב? הרי התקציב שאושר למחלקה בתחילת

השנה יושב אצלה.

ניר- חלק מהתקציב אינו במחלקה. למשל באגף חינוך. היו עיכובים באישור

תקציבי להזמנות וכתוצאה מכך לא בוצעו פעולות הדברה במועד.

דפנה- אנחנו ביקשנו שהתקציב יהיה אצלנו ואנחנו ננהל אותו אבל הגזבר

החליט שכל רבעון נגיש הזמנה מחדש. הליך ההזמנה והאישורים ל וקחים זמן,

והטבע לא מחכה לנו.

הוועדה לענייני ביקורת

ניר- ההמלצה הינה להעמיד את התקציב לניהול מחלקת איכות הסביבה.

רז- ללא נוכחות של הגזבר והמנכ"ל, הישיבה עקרה מתו כן. את התשובות

וההתייחסות להתנהלות העירייה אנו צריכים לקבל מהם ולא ממנהלי האגפים.

מדור קיימות ניר- המדור יוזם פעילויות ומיזמים קהילתיים וחינוכיים למען איכות הסביבה.

הערתי כבר על משאבים בלתי מספקים והיו גם תקלות ביישום קולות קוראים

בתחום. המדור לא עורב מספיק בתהליכי פיתוח אזורי וזה גרם לנזק כגון

בייבוש בריכות החורף בשל עבודות פיתוח, ופרויקט האנרגיה הסולרית.

דפנה- אנחנו עדיים לא מוזמנים לישיבות בנושאים של פיתוח סביבתי.

יוכי- הוועדה רואה בחומרה את אי מעורבות ה של המחלקה בפרויקטים

סביבתיים.

יוכי: לסיכום, איכות הסביבה הוא נושא חשוב, זו המחלקה שמגדירה את איכות החיים של כל

אחד ואחת מאיתנו. וועדת הבי קורת ר ואה בחומרה את היעדרותם של מנכ"ל העירייה והגזבר

מהוועדה שכן אנו דנים בנושאים חשובים ביותר והוועדה לא מקבלת את התייחסותם לליקויים

החמורים שהועלו בדוח.

דיון בנושא תיקון ליקויים

עוברים על ההערות בדוחות תיקון ליקויים שהציגה הוועדה לתיקון ליקויים.

יוכי: המפורט בסטאטוס תיקון הליקויים לא משקף את המצב האמיתי בטיפול בליקויים, לכן

אבקש כי בדוחות תיקון ליקויים שהוצגו:

• לציין מי האחראי לתיקון הליקוי

• לציין תאריך צפוי לתיקון

• על ההסבר להיות מפורט ולכלול גם התייחסות של מנכ"ל העירייה ו/או הגזבר

• בראש הדוח נא לציין את תאריך עדכון הדוח

• סעיפים שתוקנו ניתן להסיר מהדוח

רשמה: בתאל שרון