דו"ח מבקר המדינה: ליקויים בהיבטי ה-IT בבחירות לכנסת ה-19

ההכנות והביצוע של הבחירות לכנסת ה-19 כללו ליקויים בהיבטי המיחשוב – כך קובע מבקר המדינה, השופט בדימוס יוסף שפירא, בדו"ח שהוציא היום (ד').

המבקר מצא כי המטה המנהלי של ועדת הבחירות המרכזית לא ביצע בקרה על קבלת מרבית ציוד המיחשוב שעליו שילם לאחת מהספקיות עימה היה מצוי בקשר. עוד כותב המבקר כי ב-30 אתרים שיש בהם ציוד מיחשוב רב לא היו בידי המטה המנהלי אסמכתאות לכך שהוא התקבל במלואו. מדובר, בין היתר, ב-506 מחשבים מ-753 ו-102 מדפסות מ-202 שעבורם כבר בוצע התשלום לספקיות ה-IT.

"גם בבחירות לכנסת ה-19 חל עיכוב ניכר בהתקנת ציוד המיחשוב והתקשורת, ולכן החלו הוועדה המרכזית וחלק מהוועדות האזוריות את עבודתן במערכת 'דמוקרטיה' באיחור", נכתב בדו"ח. "עקב בעיות בכניסה למערכת ב-13 מ-18 הוועדות האזוריות, החלה קליטת הפרוטוקולים של ועדות הקלפי בהן כשעה עד שעתיים אחרי הזמן שנקבע".

במערכת "דמוקרטיה" נבנה מודול היסעים, בעלות פיתוח של 59 אלף שקלים. מטרתו לאפשר הגשת בקשות להסעה של עובדי הוועדות וטיפול בהן, כך שמכלול הנתונים יועבר ברשת התקשורת בין הוועדה המרכזית לוועדות האזוריות וייחסכו טפסים ידניים. "אף שהמודול הוקם כבר ב-2008 והושקעו כספים בפיתוחו, ואף שהוא הוטמע והושמש בהצלחה בבחירות לכנסת ה-18, בבחירות לכנסת ה-19 לא השתמשו בו – לא הממונה על ההיסעים במטה המנהלי, לא רכזי ההיסעים במטות המנהליים של הוועדות האזוריות ואף לא האחראים במרכז המבצעי הלוגיסטי (ממ"ל)", קבע המבקר. "רוב העבודה נעשתה בצורה ידנית, באמצעות טפסים או גיליון אלקטרוני שבשימוש הממונה על ההיסעים בלבד".

שפירא כתב כי "על המטה המנהלי לסיים את הליך הפקת הלקחים בנושא המיחשוב, שהחל זמן קצר לאחר הבחירות, כדי שהעיכובים בפריסת מערכת המיחשוב לא יישנו בבחירות לכנסת ה-20. יש להביא לשימוש מיטבי במערכת 'דמוקרטיה', ובכלל זה לתקן את אופן קליטת התוצאות, סריקת המעטפות, אבטחת המידע, השימוש בכל המודולים וקבלת הקבצים".

לא מבטלים הרשאות גישה לאחר הבחירות
המבקר אף עסק בדו"ח בתקן 27001, שעוסק בקביעת הרשאות הגישה של כל עובד הארגון, עובד חוזה ומשתמש צד שלישי למידע ולאפשרות לעבד אותו. על פי התקן, כל אלה יבוטלו בגמר העסקתם או בתום תקופת החוזה או ההסכם, או יתוקנו במקרה של שינוי בתפקיד. זאת, כדי למנוע ניצול לרעה של הרשאות הגישה של עובדים שעזבו את הארגון או החליפו תפקידם.

אלא שלפי המבקר, הגורמים הרלוונטיים לא עושים זאת. "הביקורת העלתה כי המטה המנהלי לא מבטל את הרשאות הגישה של עובדי הבחירות לאחר שהן הסתיימו", כתב. "רק בתחילת כל מערכת בחירות חדשה מוגדרים המשתמשים מחדש, ובכלל זה ההרשאות שלהם. הותרת הרשאות פעילות שניתנו בעבר למי שכבר אינם עובדים במערכת היא בגדר פרצה, מאחר שהן יכולות להיות מנוצלות שלא כדין. על המטה המנהלי לבטל את הרשאות הגישה של כלל עובדי המטות המינהליים עם סיום עבודתם בבחירות ולבדוק אם נעשו באמצעותן פעולות חריגות".

אין יומן אירועים מעודכן
Log File הוא יומן אירועים, קובץ המתעד את כל הפעולות המקוונות שנעשו במערכת ממוחשבת, כגון ניסיונות כניסה באמצעות סיסמה לא תקפה, המסוף שבו נעשתה הפעולה, מועד הפעולה ופרטי המשתמש שכביכול עשה אותה. על מערכת מידע לרשום את כל ניסיונות הגישה הבלתי מורשים. "הביקורת העלתה שיומן האירועים של מערכת 'דמוקרטיה' לא כלל את רוב הפעולות המקוונות שנעשו בה ולא את ניסיונות הגישה הכושלים", כתב שפירא. "סוגי פעילות אחרים שלא הוגדרו עשויים להצביע על ניסיונות פריצה למערכת או לסייע בזיהוי או בשחזור של תקלות שעלולות להתרחש במערכת. למטה המנהלי אין נוהל בנושא זה ולא נקבע אחראי לבדיקת יומן האירועים".

לדעת המבקר, "על המטה המנהלי לכלול ביומן האירועים את כל סוגי הפעולות שנעשות במערכת, כמו ניסיונות כניסה חוקיים ולא חוקיים, וכן אירועים הקשורים לשימוש במשאבים, כגון יצירה, פתיחה או מחיקה של קבצים".

בחירות אלקטרוניות?
מזה זמן מדובר על זניחת הפתקים הידניים והקלפיות ומעבר לבחירות באמצעות המחשבים. המבקר ציין כי מנכ"לית ועדת הבחירות המרכזית סקרה את הנושא בפגישה שהתקיימה בנובמבר האחרון, בכלל זה מרכיבים שכבר מצויים בהליכי בחינה ויישום. בפגישה מסר מנכ"ל משרד הפנים כי השר הורה על הקמת צוות שיבחן את הנושא ויגבש בתוך חצי שנה דו"ח.

"לדעת מבקר המדינה", כתב שפירא, "יש לתת את הדעת לכך שבעשור האחרון הולך וגובר בעולם השימוש באמצעים אלקטרוניים למימוש זכות הבחירה. אמצעים אלה יושמו בשנים האחרונות אף בישראל, במערכות בחירות מצומצמות. ניתן להניח כי בעתיד ילך ויגבר השימוש בהם ויהפוך לנפוץ. מבקר המדינה רואה חשיבות בקיום הליכי חשיבה בתחום זה כבר כעת, כדי ששילובם של אמצעים אלה בעתיד ייעשה לאחר שנשקלו היבטים שונים והמורכבות הרבה הגלומה ביישום מהלך זה".