Mówi: | Paweł Śmigielski |
Funkcja: | country manager |
Firma: | Stormshield |
Wątpliwości dotyczące bezpieczeństwa danych przetwarzanych w różnych urzędach. NIK zapowiada kontrole we wszystkich jednostkach samorządu terytorialnego
Nawet kilkadziesiąt tysięcy adresów mailowych wykorzystywanych w polskich samorządach przy wymianie danych osobowych może być zlokalizowanych na publicznych, niezarejestrowanych domenach – szacuje Najwyższa Izba Kontroli, opierając się na wynikach kontroli przeprowadzonej w województwie podlaskim. Urzędnicy posługiwali się adresami na publicznych domenach m.in. przy przesyłaniu informacji takich jak numer PESEL, stan zdrowia czy dochody petentów. Okazuje się, że problem istnieje również w w sądownictwie czy oświacie. Eksperci przekonują, że inwestycje w zabezpieczenia na poziomie informatycznym to jedno, ale wciąż kluczową rolę w bezpieczeństwie danych odgrywa człowiek. To zarazem najsłabsze ogniwo systemu.
– Nasze dane, które są przechowywane i przetwarzane w samorządach, nie są bezpieczne. Mówiąc bardziej precyzyjnie, nie jest zachowany odpowiedni poziom bezpieczeństwa tych danych – mówi agencji Newseria Innowacje Paweł Śmigielski, country manager w Stormshield, komentując raport Najwyższej Izby Kontroli, dotyczący bezpieczeństwa danych osobowych w jednostkach samorządowych w formie elektronicznej.
Jak wykazała przeprowadzona w 12 jednostkach samorządu terytorialnego w województwie podlaskim kontrola NIK, dochodziło w nich do wieloletnich zaniedbań związanych z ochroną danych osobowych. Najbardziej jaskrawym przykładem było wykorzystywanie komercyjnych domen do prowadzenia komunikacji mailowej. O skali zjawiska najlepiej może świadczyć to, że po kontroli zrezygnowano z używania w ten sposób 250 takich adresów mailowych.
– Powinno to budzić zdziwienie. Kilka lat temu mieliśmy do czynienia z tak zwaną aferą mailową, która dotyczyła szefa Kancelarii Premiera. Mówimy, że powinniśmy uczyć się na błędach, a najlepiej wyciągać lekcje w oparciu o błędy, które zdarzyły się u innych. Wykorzystywanie poczty prywatnej czy właściwie takiej pseudosłużbowej, bo to były skrzynki urzędników prowadzone na ogólnodostępnych platformach, to jest absolutne minimum, które powinno być wykluczone. Problemem nie była niska świadomość urzędników w kontrolowanych jednostkach. W samych raportach jest informacja, że urzędnicy wymieniali korespondencję z urzędami szczebla wojewódzkiego bądź centralnego. Pojawia się informacja o Urzędzie Wojewódzkim, Ministerstwie Edukacji Narodowej, Głównym Urzędzie Statystycznym. To zdumiewające, że pracownikom tych urzędów nie zapaliła się czerwona lampka, że wymieniają korespondencję z osobami, które korzystają z prywatnych skrzynek pocztowych – mówi Paweł Śmigielski.
Być może właśnie to było jednym z czynników, które skłoniły kontrolerów NIK do przeprowadzenia analizy tego problemu. Okazało się, że ryzyko wystąpienia analogicznych nieprawidłowości w całym kraju jest bardzo wysokie. Z analizy wynika, że 43 proc. placówek oświatowych, 32 proc. publicznych zakładów opieki zdrowotnej oraz 28 proc. ośrodków pomocy społecznej na co dzień wykorzystuje główne adresy mailowe w domenach komercyjnych, np. wp.pl, poczta.onet.pl, gmail.com.
– Włodarze zostali zapytani, dlaczego nie dochowano należytej staranności w kwestii zabezpieczania danych. Zostały wymienione m.in. takie powody jak brak wiedzy, brak świadomości wśród pracowników. Były także wymieniane przyzwyczajenia tych pracowników. Jest mowa m.in. o tym, że niektóre z tych kont pocztowych zostały założone w 2004 roku i możemy sobie wyobrazić, że 20 lat temu świadomość ochrony danych była zupełnie inna niż w dzisiejszych czasach. Nie mieliśmy jeszcze wtedy do czynienia z rozporządzeniem o ochronie danych osobowych, ale 20 lat później te kwestie już powinny być doskonale znane – zauważa ekspert Stormshield.
Z szacunków NIK wynika, że skala nieprawidłowości może dotyczyć kilkunastu tysięcy publicznych instytucji oraz kilkudziesięciu tysięcy adresów mailowych, które nie powinny być wykorzystywane do celów służbowych. Postępowanie ma zostać rozszerzone na wszystkie jednostki samorządowe w kraju, ale i na inne jednostki administracji publicznej. Z danych uzyskanych przez NIK z dziewięciu sądów apelacyjnych wynika, że podobny problem może występować w przypadku 88 proc. tłumaczy, 83 proc. biegłych, 80 proc. ławników, 73 proc. mediatorów i 5 proc. komorników. Tym, co budzi szczególny niepokój, jest nie tylko sam fakt wymiany danych osobowych za pośrednictwem niezabezpieczonych kont, ale i to, jakiego rodzaju były to informacje.
– W raportach otrzymaliśmy informacje, że urzędnicy w tej korespondencji wymieniali m.in. imiona, nazwiska, numery PESEL, informacje o stanie zdrowia obywateli, a także w ośrodkach pomocy społecznej była mowa o wynagrodzeniach czy dochodach poszczególnych rodzin. Czyli właściwie można powiedzieć, mieliśmy tam do czynienia z wieloma danymi wrażliwymi, których bezpieczeństwo, szczególnie poufność, nie zostały zachowane – wskazuje Paweł Śmigielski.
Jak podkreśla NIK, komunikacja służbowa powinna się odbywać za pomocą dedykowanej do tego skrzynki mailowej, a korzystanie z prywatnej skrzynki pocztowej w celach służbowych nie należy do dobrych praktyk bezpieczeństwa. Warto też brać przykład z zagranicy. W Austrii wszystkie jednostki samorządowe korzystają z domeny gv.at. Z kolei w Czechach i Portugalii instytucje publiczne mają obowiązek korzystania z własnych wykupionych domen.
– Aby uniknąć tego typu incydentów, konieczne jest oparcie się na trzech filarach: ludzie, procedury i technologie. Te trzy filary powinny funkcjonować jako jeden, wzajemnie się uzupełniający ekosystem. Powinniśmy szkolić naszych pracowników, szczególnie tych nietechnicznych, szczególnie tych, którzy na co dzień nie mają do czynienia z informatyką. Bardzo popularne są aktualnie szkolenia z zakresu security awareness, które mają podnosić świadomość pracowników na temat aktualnych zagrożeń i ryzyk dotyczących przetwarzanych danych. Można to jeszcze uzupełnić o dodatkowe mechanizmy, które powinny się odbywać regularnie, cyklicznie, możemy także dokonywać kontrolowanych ataków – wymienia country manager w Stormshield.
W odpowiedzi na wyzwania związane z bezpieczeństwem danych w jednostkach samorządu terytorialnego powstał rządowy program Cyberbezpieczny Samorząd. Zostanie nim objętych ponad 2,8 tys. jednostek w całym kraju. Jego celem jest zwiększenie poziomu bezpieczeństwa informacji JST poprzez wzmacnianie odporności oraz zdolności do skutecznego zapobiegania i reagowania na incydenty w systemach informacyjnych.
– Bardzo istotnym aspektem jest to, że sam program kładzie bardzo duży nacisk na część szkoleniową i audytową, czyli nie same rozwiązania, nawet najbardziej zaawansowane technologie będą podnosić poziom bezpieczeństwa danych, które są przechowywane i przetwarzane w urzędzie, ale kluczowym elementem jest człowiek. Zresztą od wielu lat mówimy w cyberbezpieczeństwie, że to człowiek jest najsłabszym ogniwem i na nim powinniśmy skupić nasze wysiłki związane z podnoszeniem świadomości, kompetencji i poziomu wiedzy – ocenia Paweł Śmigielski.
Jednostki samorządu terytorialnego są regularnie atakowane przez cyberprzestępców. Liczba ataków na JST w latach 2020–2022 zwiększyła się o 100 proc., a jak wskazują eksperci, rok wyborczy sprzyja aktywności przestępców. Brak rozwiązań technicznych (np. firewalle następnej generacji, systemy ochrony stacji końcowych EDR), a także mechanizmów monitorowania i informowania o incydentach sprawia, że można się stać łatwym celem. Dlatego – zdaniem ekspertów Stormshield – tego typu programy to krok w dobrą stronę. Tym bardziej że włodarzom miast czy gmin zwykle łatwiej jest zaplanować wydatki na inwestycje przekładające się na korzyść dla mieszkańców, takie jak infrastruktura, a nie na cyberzabezpieczenia w samorządzie.
To istotne również w kontekście konieczności wdrożenia dyrektywy NIS2. Nakłada ona szereg obowiązków na podmioty, takie jak operatorzy infrastruktury krytycznej, np. wodociągowej czy ciepłowniczej. Ma to być m.in. raportowanie incydentów, zarządzanie ryzykiem i stosowanie rozwiązań technicznych adekwatnych poziomu tego ryzyka. Okazuje się, że niegotowych do wdrożenia tej dyrektywy może być, zdaniem ekspertów, nawet 60 proc. jednostek, których będzie ona dotyczyła.
Czytaj także
- 2024-08-21: Ustawa o ochronie sygnalistów będzie dla firm dużym wyzwaniem. Szczególnie konieczność ochrony danych osobowych i zachowania poufności
- 2024-08-01: Co jedenasta osoba na świecie głoduje, a jednocześnie gwałtownie przybywa ludzi otyłych. Dużym problemem jest marnowanie żywności
- 2024-07-22: Awaria CrowdStrike’a miała podobne skutki jak potencjalny cyberatak. Uzależnienie od technologii to ryzyko wyłączenia całych gałęzi gospodarki
- 2024-07-10: Wydawcy polskich mediów liczą na zmiany w przyjętej przez Sejm nowelizacji prawa autorskiego. Ruszają kolejne rozmowy z rządem
- 2024-07-26: Gminy potrzebują inwestycji w cyberbezpieczeństwo. Eksperci widzą duże ryzyka wynikające z zaniedbań
- 2024-07-01: Przyspieszają prace nad zmianą ustawy o dochodach jednostek samorządu terytorialnego. Nowe przepisy mają wejść w życie na początku 2025 roku
- 2024-07-12: Spadł optymizm samorządów dotyczący ich możliwości rozwojowych. W 2025 roku spodziewane jest odbicie
- 2024-07-10: Producenci systemów sterowania ruchem kolejowym przygotowani do ochrony przed cyberatakami. Czekają na uruchomienie nowych inwestycji na kolei
- 2024-07-23: Problem wykorzystywania seksualnego dzieci online wymaga pilnych regulacji. To może wymagać rezygnacji w pewnym stopniu z szyfrowania korespondencji
- 2024-07-01: Wypełnianie dokumentacji to nawet dwie trzecie czasu pracy lekarza. Inteligentne cyfrowe narzędzia zaczynają to zmieniać
Kalendarium
Więcej ważnych informacji
Jedynka Newserii
![](/files/11111/n-innowacje.png)
Jedynka Newserii
![](/files/11111/n-lifestyle.png)
Bankowość
![](https://www.newseria.pl/files/11111/platnosc-rupixen-q59hmzk38eq-unsplash,w_274,_small.jpg)
ePłatności z wykorzystaniem portfeli cyfrowych będą już wkrótce dostępne w mObywatelu. Do pilotażu usługi dołączy więcej urzędów
Ponad 50 gmin korzystających z ePłatności w mObywatelu i 82 tys. zrealizowanych transakcji – to dotychczasowy efekt pilotażu tej usługi prowadzonego od ubiegłego roku. Mieszkańcy uczestniczących w nim gmin mogą przez aplikację i portal płacić m.in. podatek od nieruchomości czy podatek rolny albo uiszczać opłaty za śmieci. Do opcji opłacania zobowiązań administracyjnych wkrótce dojdą także płatności z inicjatywy użytkownika, czyli np. opłaty skarbowe ponoszone przy okazji załatwiania różnych spraw urzędowych. Trwają także prace nad wdrożeniem kolejnych metod płatności – do BLIK-a właśnie dołączyły karty płatnicze, a następne będą cyfrowe portfele, czyli Google Pay i Apple Pay.
Ochrona środowiska
Kosmiczne śmieci są coraz większym problemem. Ich obecność na orbicie generuje znaczne koszty
![](https://www.newseria.pl/files/11111/piap-smieci-2-foto,w_133,r_png,_small.png)
Liczba kosmicznych odpadów stale rośnie. Ich źródłem są obiekty, które zostały wysłane w kosmos, zakończyły misję lub uległy rozpadowi. Krążące w przestrzeni kosmicznej fragmenty tych obiektów stwarzają ryzyko kolizji z tymi, które są obecnie eksploatowane. Unikanie takich zdarzeń wiąże się z koniecznością ponoszenia wydatków na monitoring zagrożeń czy zwiększeniem zużycia paliwa poprzez obieranie niekolizyjnych kursów. Jednym ze sposobów na zmniejszenie tego problemu jest wydłużenie eksploatacji obiektów poprzez ich tankowanie na orbicie. Polacy pracują nad taką technologią.
Ochrona środowiska
Beton z alg czy szkło fotowoltaiczne. Ekologiczne innowacje zmieniają sektor budowlany
![](https://www.newseria.pl/files/11111/bojec-materialy-foto,w_133,r_png,_small.png)
Sektor budynków i budownictwa jest największym emitentem gazów cieplarnianych, odpowiadając za 37 proc. globalnych emisji – wynika z danych ONZ. Tradycyjne materiały budowlane, takie jak beton czy cegły, są stopniowo udoskonalane, aby jak najlepiej odpowiadać na wyzwania środowiskowe. – Większość producentów, szczególnie tych dużych, skupia się na tym, aby obniżać koszty ekologiczne produkcji materiałów, tak żeby konsumenci otrzymywali produkt bardziej zrównoważony – ocenia Tomasz Bojęć, partner zarządzający w ThinkCo. Z drugiej strony na rynek wchodzą innowacje, które stosowane w większej skali będą stopniowo zazieleniać budownictwo.
Partner serwisu
Szkolenia
![](https://www.newseria.pl/files/11111/ramka-prawa-akademia-newser_1,w_274,_small.jpg)
Akademia Newserii
Akademia Newserii to projekt, w ramach którego najlepsi polscy dziennikarze biznesowi, giełdowi oraz lifestylowi, a także szkoleniowcy z wieloletnim doświadczeniem dzielą się swoją wiedzą nt. pracy z mediami.