מנכ''ל רפאל, יואב תורג'מן / צילום: סיון פרג'
ברפאל לא דיווחו לדירקטוריון על כמה אירועי סייבר כנדרש, לא תחקרו כראוי ניהול אירועי סייבר בין השנים 2022-2020, והמלמ"ב (הממונה על הביטחון במערכת הביטחון) נטול סמכויות ברורות בכל הנוגע לביצוע פעילות טכנולוגית אופרטיבית - כך עולה מדוח מבקר המדינה מתניהו אנגלמן בנושא היבטי אסדרה והגנה על המידע ומערכות המחשוב ברפאל.
● מתקפת הסייבר ששיבשה את המשק: כמה קל להשבית שירותי תשלום, ומהו הנזק?
● מנכ"ל רפאל לשעבר חושף למה קרן הלייזר ליירוט רקטות מתעכבת
המבקר מציין, בין היתר, כי כמה מסמכי תחקור אירועי סייבר לא התייחסו להפקת לקחים נדרשת, וכי רפאל לא קבעה את התדירות לביצוע הסקרים ומבדקי החדירה הנדרשים. בשנת 2022 תקציב מחלקת אבטחת טכנולוגיות והגנה בסייבר ברפאל היווה 10% מתוך כלל תקציב המחשוב של מינהל טכנולוגיות מידע ותהליכים בחברה.
בה־בעת, אנגלמן מציין כי במאי אשתקד, בעת הביקורת וכשלוש שנים וחצי לאחר פרסום חוזר רשות החברות הממשלתיות בנושא ניהול סיכונים תאגידי מינואר 2020, אישרה הוועדה הארגונית לניהול סיכונים ברפאל מסמך אסטרטגיית סיכון כוללת לחברה ומדיניות לניהול סיכונים. עם זאת, הנהלת רפאל לא העלתה לאישור הדירקטוריון את האסטרטגיה והמדיניות האמורות, והדירקטוריון לא אישר אותן. נכון ליולי 2023, מדיניות ניהול הסיכונים לא כללה התייחסות למנגנוני דיווח לגורמים חיצוניים לרפאל, והחברה לא דיווחה לרשות החברות הממשלתיות כנדרש ממנה.
המבקר מצא עוד שהוראת מינהל טכנולוגיות, מידע ותהליכים ברפאל (מטכ"ם) מפברואר אשתקד אינה מפרטת את תהליך ההתאוששות מאירוע סייבר מסוים או מפנה לתוכנית מסוימת ואינה כוללת הפניות למסמכים מסוימים.
לצד זאת, כאמור, אנגלמן הדגיש כי בחברה לא דיווחו לדירקטוריון בישיבותיו על כמה אירועי סייבר כנדרש. מעבר לכך, ההנהלה לא תחקרה את ניהול אירועי הסייבר שהתרחשו בין השנים 2022-2020 בהיבטים מסוימים הנוגעים לתפקוד הנדרש של החברה.
המבקר קבע כי ההנהלה ודירקטוריון רפאל נדרשים לפעול לתיקון הליקויים. לדבריו, "לתעשיות הביטחונית, כמו לכלל הגופים הציבוריים, אין פריבילגיה שלא ללכת על הצד המחמיר בהגנת סייבר. הנושא הוא בעל משמעות קריטית בצל תפקידן בעת מלחמה".
מרפאל נמסר בתגובה: "רפאל משקיעה רבות בתחום אבטחת מידע ומהווה גוף מוביל ברמה הלאומית גם בתחום הגנת הסייבר. כלל הפערים שצוינו בדוח קיבלו את המענה הנדרש".