מתקפת הטרור של 7 באוקטובר הוכיחה למדינת ישראל את המחיר הדמים הכבד של התעלמות מסימני אזהרה והיעדר היערכות מוקדמת. אלא שדוח מבקר המדינה, מתניהו אנגלמן, המתפרסם היום (שלישי), מגלה כי לקח זה לא יושם באחת הזירות הרגישות ביותר לחוסן הלאומי - זירת הסייבר. הדוח חושף תמונה מבהילה של הפקרה מתמשכת, גרירת רגליים פוליטית ותרבות ארגונית רשלנית, שהותירה מערכות קריטיות וגופים חיוניים חשופים לחלוטין במהלך מלחמת "חרבות ברזל".
על פי נתוני מערך הסייבר הלאומי המוצגים בדוח, העלות הכלכלית המצטברת של נזקי מתקפות הסייבר למשק הישראלי מגיעה לסכום עתק של 12 מיליארד שקלים בשנה. במהלך המלחמה חל זינוק דרמטי בהיקף ובעוצמת המתקפות, כאשר התוקפים, ובראשם איראן וחמאס, שינו אסטרטגיה: אם בתחילת הלחימה התמקדו המתקפות בלוחמה פסיכולוגית ומניעת גישה, הרי שבמהלך שנת 2024 ו-2025 הפוקוס עבר לאיסוף מידע ממוקד על אזרחים, יעדי איש ותהליכים רגישים בישראל.
עשור ללא דיון בקבינט
הביקורת, שהחלה עוד לפני המלחמה והורחבה במהלכה עד ליוני 2025, מפנה אצבע מאשימה ישירה לעבר הדרג המדיני. המבקר חושף מציאות בלתי נתפסת: במשך כעשור, הקבינט המדיני-ביטחוני לא קיים אף דיון ייעודי אחד בנושא הסייבר, למעט פגישה בודדת בשנת 2018. כתוצאה מכך, השרים האחראים על ביטחון המדינה נותרו באפלה מוחלטת לגבי מכלול הסיכונים, רמת המוכנות והנזקים הפוטנציאליים למשק.
במקביל, הצעת חוק הסייבר - שאמורה להעניק למדינה שיניים ואסדרה מחייבת מול גופים חיוניים - תקועה בצינורות הממשלתיים כבר יותר מ-10 שנים. גם לאחר שראש הממשלה בנימין נתניהו הורה בינואר 2024 להגיש תזכיר חוק בתוך שלושה חודשים, ההליך לא הסתיים בשל מחלוקות בין משרדי הממשלה, ולא נקבעו לו לוחות זמנים. במקום חקיקה ראשית, נאלצה המדינה להסתמך על תקנות שעת חירום והוראות שעה זמניות.
"מתקפת שבעה באוקטובר המחישה את המחיר הכבד של היעדר היערכות מוקדמת וטיפול בסימני אזהרה", כתב מבקר המדינה. "על ראש הממשלה, מערך הסייבר הלאומי ועל כלל הגורמים המעורבים לראות בביקורת זו משום הרמת דגל. הליקויים נוגעים בסופו של יום לחוסן הלאומי ולביטחון המדינה. לא ניתן להשלים עם מציאות שבה במשך כעשור הקבינט המדיני-ביטחוני אינו מקיים דיונים ייעודיים בנושא, ושבמהלך התקופה חוק הסייבר לא קודם".
עיקרי הממצאים
מחדל התרגול: ב-6 השנים שקדמו למלחמה (מאז 2018), רשות החירום הלאומית (רח"ל) ומערך הסייבר לא קיימו אף תרגיל סייבר לאומי. רק כשנה לתוך המלחמה (נובמבר 2024) התקיים תרגיל שולחני ראשון. חמור מכך, באף אחד מהתרגילים הלאומיים (ב-2018, 2024 ו-2025) לא השתתף נציג מהדרג המדיני - לא ראש הממשלה ולא שרי הקבינט.
תשתיות קריטיות בסכנה: ציוני ההסמכה של גופי התמ"ק (תשתיות מדינה קריטיות, המנהלות מערכות שאפילו פגיעה קלה בהן עלולה לעלות בחיי אדם) הראו כי ערב המלחמה, חלק מהגופים החיוניים ביותר החזיקו ביכולת התמודדות "מוגבלת" בלבד מול תוקפים.
הפקרות בהנהלות הגופים: שאלון מקיף שהופץ ל-21 גופים בעלי חשיבות עליונה לרציפות התפקוד של המשק העלה נתונים מדהימים. שליש מהם קיבלו את הציון המביש 60 ומטה במדד המוכנות הארגונית, לרבות היעדר צוות תגובה לאירועים או אי-כינוס ועדת היגוי. ל-90.5% מהגופים הללו כלל אין ביטוח סייבר.
עיוורון ניהולי: ל-38% ממנכ"לי הגופים האסטרטגיים האלו לא הייתה שום תמונת מצב או תשתית מידע לגבי סיכוני הסייבר של הארגון שלהם. ל-52% מהם מעולם לא הוצגה תוכנית התאוששות מאירוע סייבר חמור.
המבקר מציין עוד כי מערך הסייבר עצמו כשל בגיבוש ומדידה עקבית של רמת ההגנה במשק לפני המלחמה, ומסמך "התפיסה הלאומית לניהול משבר סייבר" לא עודכן מזה שנים ולא הוטמע בשטח, עד כדי כך שהשימוש בו בקרב הגופים מועט ביותר. כמו כן, בפירוט מאות האירועים בעלי פוטנציאל הנזק המשמעותי שהתרחשו במלחמה חסר מידע חיוני ותחקור עומק.
ההמלצה: תוכנית חירום לאומית
המבקר אנגלמן קובע כי המדינה אינה יכולה להסתמך עוד על המזל ("לא לעולם חוסן"), ומציג דרישות אופרטיביות קשוחות:
• מעורבות ראש הממשלה והקבינט: על ראש הממשלה ליזום ולקיים דיונים סדורים, לפחות אחת לחצי שנה, להצגת תמונת המצב והפערים בסייבר בפני הקבינט או ועדת שרים ייעודית.
• תוכנית פעולה לאומית: על מערך הסייבר, בשיתוף משרדי הממשלה ויחידות הסייבר המגזריות, לגבש תוכנית חירום ממשלתית כוללת לצמצום הפערים ולהביאה לאישור מיידי של הממשלה.
• השלמת החקיקה: משרד ראש הממשלה נדרש לחתוך את הקשר הגורדי הפוליטי ולהשלים ללא דיחוי את חקיקת חוק הסייבר המלא.
• תיקון פערים בארגונים: הנהלות הגופים שנמצאו בהם פערים מחויבות לבנות לאלתר מערכי ניטור (SOC/SIEM), למנות צוותי ניהול משבר ולהציג דוחות סיכון שוטפים למנכ"לים.
מערך הסייבר הלאומי אמנם נקט בפעולות מיידיות עם פרוץ הקרבות ואף זכה לשבחים מהמבקר על מאמציו במהלך הלחימה, אך כפי שמבהיר הדוח - כיבוי שריפות נקודתי אינו תחליף לאסטרטגיה לאומית. במלחמה הבאה, פצצת הזמן הדיגיטלית הזו עלולה לעלות למשק הישראלי הרבה יותר מכסף.
ממערך הסייבר הלאומי נמסר בתגובה: "חוק הגנת הסייבר הלאומית שאושר אמש בקריאה ראשונה ישפר את רמת ההגנה בסייבר של ארגונים חיוניים ושל ספקים דיגיטליים ויחזק את משרדי הממשלה הרגולטורים להוביל את ההגנה במגזרים השונים, בהנחייה מקצועית של מערך הסייבר לאומי. חשוב לציין כי פעילות ההגנה האינטנסיבית של מערך הסייבר הלאומי בתקופת המלחמה, יחד עם שותפיו למשימה, הביאה למניעת הישגים משמעותיים מהאויבים אשר לא הצליחו לפגוע ברציפות התפקוד הלאומית או בחיי אדם, כפי שניסו שוב ושוב. מערך הסייבר הלאומי למד את ממצאי הדוח לעומק, כפי שהוא עושה עם כל ביקורת מקצועית, טיפל כבר בחלק מהנושאים שהועלו וימשיך לפעול ליישום הלקחים".