מבקר המדינה: ליקויים בתוכניות ההמשכיות העסקית של בנק ישראל, משרד האוצר ורשות ני"ע
דו"ח המבקר קובע כי ההיערכות לשעת חירום נעשית בהינתן מידע חלקי בלבד, ללא חלוקת עבודה מסודרת בין הגופים ובמקביל לתוכניות סותרות ● בנוסף, תרחיש הייחוס של משרד האוצר "אינו עוסק בתרחישים כגון רעידות אדמה, מתקפות מקוונות, פיגועי טרור, הצפות, שיטפונות והפסקת שירות של ספקי תשתיות חיוניות"
ליקויים בהתנהלות משרד האוצר, בנק ישראל והרשות לניירות ערך בתהליך הבנייה של תכניות להמשכיות עסקית (BCP) ובחלוקת האחריות לפיקוח על מוכנותם של גופי המערכת הפיננסית למצבי חירום. כך עולה מדו"ח מבקר המדינה.
במסגרת פעולות הביקורת, נבדקו בשלושת הגופים הכנת התכניות להמשכיות עסקית בשעת אירועי חירום. עוד נבדק הפיקוח על הכנת התכניות בגופים שבהנחיית הפיקוח על הבנקים שבבנק ישראל, אגף שוק ההון, ביטוח וחיסכון שבמשרד האוצר ורשות ניירות ערך.
מבקר המדינה, השופט בדימוס יוסף שפירא, קבע כי "בין הממונה על שוק ההון ובין הרשות הייעודית לשעת חירום במשרד האוצר אין חלוקה סדורה וברורה של תחומי האחריות לטיפול בהמשכיות העסקית של הגופים המוסדיים. בדומה לכך, בין הרשות הייעודית במשרד האוצר ובין רשות ני"ע אין חלוקה סדורה וברורה של תחומי האחריות לטיפול בהמשכיות עסקית בבורסה לניירות ערך".
עוד נכתב בדו"ח: "אגף שוק ההון ורשות ני"ע דרשו מהגופים שהם מנחים לבנות תכנית להמשכיות עסקית, אך לא העמידו לרשותם את אבני הבסיס והכלים הנדרשים לשם בנייתה והפעלתה, כגון מידע רלוונטי מתוך תרחיש הייחוס הלאומי, מידע בדבר תעדוף תשתיות חיוניות בשעת חירום ומנגנון יעיל להבטחת יכולתם של ספקים חיוניים לספק לאותם גופים שירות שנדרש במצבי חירום. הפיקוח על הבנקים בבנק ישראל פעל בעניין זה – אך לא באופן שלם".
"רשות החירום הלאומית (רח"ל) לא וידאה כי המידע הרלוונטי לצורך הכנת תכניות להמשכיות עסקית, הנכלל בתרחישי הייחוס הלאומיים, יובא גם לידיעת גופים שבאחריותן של הרשויות הייעודיות".
על פי מבקר המדינה, הנהלת המשרד התנערה למעשה מאחריותה. "פעולות משרד האוצר בתחום ההמשכיות העסקית נעשו ללא שיטה סדורה ומתודולוגיה לבניית תכנית להמשכיות עסקית, והנהלת המשרד לא הייתה מעורבת די הצורך בקביעת המטרות, היעדים ואבני הדרך להשגתם", נכתב בדו"ח. "בניגוד לנדרש לפי המתודולוגיות והתקנים בתחום, תחילה נכתבו נהלים, לאחר מכן נקבעו יעדי השירות ורמתם, ורק לאחר מכן הוכנו תרחישי ייחוס".
לפי המבקר, כמה אגפים של משרד האוצר פעלו בחלק מהנושאים הנוגעים להכנת תכנית להמשכיות עסקית בנפרד ובמקביל להיערכות הרשות הייעודית לשעת חירום במשרד האוצר, "ובנו תרחישי ייחוס עצמאיים, השונים לעתים מתרחישי הייחוס של אגף החירום והביטחון במשרד, ושלא על פי ההנחיה שהפיץ אגף זה".
עוד העלה הדו"ח כי "בנק ישראל, משרד האוצר ורשות ני"ע לא דאגו (כל אחד כשלעצמו) לביצוע עבודת מטה העוסקת בעת ובעונה אחת בכל סוגי האיומים האפשריים על הארגון. זאת ועוד, אף שיש זיקה בין הנזקים שסיכונים ממקורות שונים עלולים לגרום, לא גובשה תמונת סיכונים מלאה כדי לאפשר הכנת תכניות מלאות להמשכיות עסקית ונקיטת אמצעים יעילים להפחתת הסיכונים".
בנק ישראל, קובע המבקר, "לא ביצע ניתוח של הנזק העלול להיגרם עקב השבתת פעילויות קריטיות, לפרקי זמן שונים; אגף החירום והביטחון במשרד האוצר הפיץ לאגפי המשרד הנחיה שאינה עוסקת בקביעת יעדי התאוששות; ורשות ני"ע לא קבעה אף היא יעדי התאוששות".
מלחמה כן – רעידת אדמה וטרור לא
תרחיש הייחוס שהכין משרד האוצר, נכתב בדו"ח, "עוסק אך ורק במתאר מלחמה ואינו עוסק בסיכונים אחרים כגון רעידות אדמה, מתקפות מקוונות, פיגועי טרור, הצפות, שיטפונות והפסקת שירות של ספקי תשתיות חיוניות". עוד העלה הדו"ח כי "לא הוכן תרחיש ייחוס ענפי, העוסק במכלול הגופים בשוק ההון שהרשות הייעודית במשרד האוצר אחראית להיערכותם לפי החלטת ועדת מל"ח (משק לשעת חירום) העליונה".
על פי המבקר, "הכנת תכניות החירום, קביעת הנהלים והפעילות שביצעה רשות ני"ע בתחום ההמשכיות העסקית נעשו בלי להישען על תרחישי ייחוס… במשרד האוצר, ברשות ני"ע ובבנק ישראל לא נקבעה שיטה שלפיה יוגדרו יעדי ההתאוששות ורמות השירות הנדרשות מהגופים האחראים להפעלת מערכות המידע בשעת חירום, על סמך ניתוח התשתיות הטכנולוגיות שיידרשו בשעת חירום".
אין מדיניות להפעלת ה-IT בחירום
"מיפוי הטכנולוגיה המשמשת לפעילויות חיוניות", קובע המבקר, "מחייב בחינה של כל מערכות התוכנה והחומרה, לרבות רכיבי התקשורת ומערכות נלוות, כגון מערכות מיזוג האוויר, בקרי שליטה ועוד; וכן בחינה של זמינות המידע השמור במאגרי המידע של הארגון".
"זמינותה של התשתית הטכנולוגית היא תנאי הכרחי ליכולתו של הארגון לעמוד ביעדי ההתאוששות וברמות השירות של הפעילויות הקריטיות לתפקודו. בנסיבות של פגיעה ביכולת ההפעלה של מערכות המידע הנדרשות לביצוע פעילויות חיוניות, כושרו של הארגון להתאושש מותנה בשיקומן. על האגף האחראי למערכות המידע בכל אחד מהארגונים להגדיר את הרכיבים הנדרשים לשם הפעלת מערכת המידע כתשתית חיונית, ואת הפעלת מערכות המידע הדרושות עליו להגדיר בתור רמת שירות מינימלית, שהשגתה נכללת ביעדי ההתאוששות".
בכל הגופים שנבדקו, קבע המבקר, "לא נקבעה שיטה שלפיה יוגדרו יעדי ההתאוששות ורמות השירות הנדרשות מהגופים האחראים להפעלת מערכות המידע בשעת חירום, על סמך ניתוח התשתיות הטכנולוגיות שיידרשו בשעת חירום".
המבקר מסכם בקביעה כי "ליקויים אלה עלולים לפגוע ביכולתם של הגופים להתמודד עם אירועי חירום משמעותיים. נוסף על כך, בכל הביקורות שעשה אגף שוק ההון בגופים המונחים על ידו נמצאו ליקויים בהיערכותם לשעת חירום. לצורך ההיערכות למצבי חירום במערכת הפיננסית יש להגדיר בבהירות את סמכותם ואחריותם של הגופים השונים. קביעת מתודולוגיה לבניית תכניות להמשכיות עסקית ותהליך עבודה סדור הם תנאים חיוניים להפחתת אי-הוודאות הניכרת הכרוכה בתחום ההיערכות לאירועי חירום – הן כדי להגן על המידע הרב שבמאגרי המידע הנשמר בידי הגופים הפיננסיים והן כדי לאפשר לגופים אלו להמשיך ולספק שירותים חיוניים לאזרחים בשעת חירום".
"בנייתה של תכנית להמשכיות עסקית וביסוסה בגופים המרכזיים הפועלים במערכת הפיננסית הם תנאים חיוניים לשמירה על יכולת תפקודה של מערכת זו גם בעתות חירום", קבע המבקר.
העדר מדיניות זאת מדיניות.... שיטת החלפלק הישראלית