Audytora bezpieczeństwa ePUAP wybierano "po taniości"

Nie milkną echa zamieszania wokół elektronicznej Platformy Usług Administracji Publicznej (ePUAP), której kolejna awaria w ostatnich dniach uniemożliwiła większości obywateli załatwienie spraw urzędowych drogą elektroniczną. Szczególnie dokuczliwa przerwa w funkcjonowaniu ePUAP okazała się dla przedsiębiorców, którzy do dziesiątego dnia każdego miesiąca wysyłają do ZUS dokumenty. W przypadku matek z jednoosobową działalnością gospodarczą, którym właśnie skończył się urlop macierzyński, zgłoszenie do ubezpieczenia chorobowego po terminie skutkuje utratą prawa do zasiłków.

Minister cyfryzacji Anna Streżyńska stwierdziła, że „tym razem awaria jest za poważna, żeby wystarczyło pogonienie ludzi. Sposób w jaki zbudowano ePUAP może być przedmiotem habilitacji (…) Gdyby nie środki UE, to należałoby go zaorać. CCA – twórca i właściciel ePUAP – został przez nas postawiony w stan likwidacji (…). COI ma czas do września poprawić ten system i migrować go na stabilną infrastrukturę.

Na swojej stronie 9 maja br. Ministerstwo Cyfryzacji zamieściło raport z przeglądu systemu ePUAP i menadżerskie streszczenie audytu. Oba dokumenty zostały opracowane przez Centralny Ośrodek Informatyki, który przejął nadzór nad ePUAP od Centrum Cyfrowej Administracji (CCA), do 3 listopada ub.r. noszącego nazwę Centrum Projektów Informatycznych (CPI). Streszczenie audytu – jak czytamy w dokumencie – stanowi „podsumowanie prac zrealizowanych przez Zespół COI w terminie od 10 marca 2016 r. do 24 marca 2016 r. w ramach zlecenia z pisma MC z dnia 29.02.2016 roku, znak SAS.512.2.2016. Zakres prac obejmował przegląd przejmowanych przez COI do utrzymania systemów (ePUAP, SG BIP, PAP, SSDIP). W ramach przeglądu uwzględniono poniższe obszary: funkcjonalność systemów, infrastrukturę systemów, bezpieczeństwo, organizację”.

Tymczasem – jak wynika z informacji znajdującej się na stronie postawionego w stan likwidacji CCA – jeszcze 3 lutego 2016 r. w ramach postępowania o udzielenie zamówienia publicznego dokonano wyboru wykonawcy zlecenia na „Przeprowadzenie audytu bezpieczeństwa systemów realizowanych i utrzymywanych przez Zamawiającego”, a podlegające Ministerstwu Cyfryzacji Centrum Cyfrowej Administracji wybrało najkorzystniejszą ofertę na podstawie kryterium oceny ofert, określonego w specyfikacji istotnych warunków zamówienia, zgodnie z którym 100 pkt. na 100 możliwych do uzyskania przyznawano za cenę brutto. Oznacza to, że było to jedyne kryterium wyboru oferty. Zwycięzcą została firma CUBE.ITG S.A., która uzyskała wynik 100 pkt. dystansując 7 konkurentów, m.in. Deloitte Advisory (80,29 pkt), Asseco Poland (66,68 pkt.) i należącą do grupy Comp spółkę Enigma Systemy Ochrony Informacji.

Ze sprawozdania zarządu CUBE.ITG S.A. za 2015 r. wynika, że nie było to pierwsze zamówienie udzielone tej spółce na audyt bezpieczeństwa systemu, który w ostatnich dniach przysporzył tyle kłopotów osobom załatwiającym sprawy w urzędach drogą elektroniczną. W przywołanym dokumencie znajduje się bowiem lakoniczna wzmianka o tym, że „w dniu 14 maja 2015 r. CUBE.ITG zawarł umowę z Centrum Projektów Informatycznych. Przedmiotem umowy jest przeprowadzenie audytu bezpieczeństwa Systemu ePUAP”. ”. Jednak z opublikowanego przez CPI 30 kwietnia ub.r. zawiadomienia o wyborze najkorzystniejszej  oferty na przeprowadzenie audytu bezpieczeństwa systemu ePUAP wiemy, że wówczas również jedynym kryterium wyboru wykonawcy zlecenia była cena brutto, za którą CUBE.ITG S.A. również otrzymało 100 pkt. na 100 możliwych do uzyskania. Pokonaną konkurencję stanowiło wówczas 8 firm, m.in. wspomniane wyżej Deloitte Advisory, Asseco Poland i Enigma Systemy Ochrony Informacji, która to spółka utworzyła konsorcjum z firmą 4pi sp. z o.o.

Wybór wykonawcy audytu bezpieczeństwa systemu ePUAP wyłącznie na podstawie kryterium ceny brutto budzi jeszcze większe wątpliwości niż opisywane przez Cyberdefence24.pl postępowanie na dostawę mobilnej poczty polowej dla przesyłek ściśle tajnych, w którym za cenę Inspektorat Uzbrojenia MON postanowił przyznać aż 80 pkt. na 100.

Zob. "MON kupi mobilną pocztę polową dla przesyłek ściśle tajnych".

W świetle powyższych okoliczności wydaje się zasadne, żeby szukając odpowiedzialnych za wadliwe funkcjonowanie systemu ePUAP Ministerstwo Cyfryzacji przyjrzało się na początek jak w nadzorowanej przez resort jednostce organizacyjnej zarządzano bezpieczeństwem platformy organizując zamówienia na przeprowadzenie audytu bezpieczeństwa, które po raz kolejny wygrała oferując najkorzystniejszą cenę spółka CUBE.ITG. S.A.

Jest to spółka notowana na Giełdzie Papierów Wartościowych w Warszawie. Jej największym akcjonariuszem jest firma Mizarus sp. z o.o., którą kontroluje kapitałowo Marek Girek. Poprzez spółkę Mizarus i bezpośrednio posiada on akcje dające 33,69 proc. głosów na Walnym Zgromadzeniu Akcjonariuszy CUBE.ITG S.A. W radzie nadzorczej CUBE.ITG S.A. zasiada były rektor Akademii Ekonomicznej (obecnie Uniwersytet Ekonomiczny) we Wrocławiu prof. Marian Noga, który był senatorem SLD (2001-2004)  i członkiem Rady Polityki Pieniężnej (2004-2010). W 1969 r. obronił pracę magisterską pt.  „System elektronicznego przetwarzania danych rozliczeń konduktorskich na przykładzie Wojewódzkiego Przedsiębiorstwa PKS we Wrocławiu”, a 7 lat później uzyskał dyplom kandydata nauk ekonomicznych na Leningradzkim Uniwersytecie Państwowym im. Andrieja Żdanowa. Swoje wykształcenie wzbogacił też zaliczając kurs kandydatów na oficerów rezerwy Wojskowej Służby Wewnętrznej (WSW) ze specjalnością kontrwywiadowczą - o czym wiadomo z akt przechowywanych w Instytucie Pamięci Narodowej pod sygn. IPN Wr 0532/70. Należą one do zbioru akt personalnych funkcjonariuszy wojskowych organów bezpieczeństwa oraz żołnierzy rezerwy powołanych do służby wojskowej w okresie stanu wojennego.

O prof. Marianie Nodze głośno stało się kilkanaście lat temu, kiedy zarzucono mu plagiat. Rzecz dotyczyła opublikowanej w 2000 r. książki pt. „Makroekonomia”, w której autor wykorzystał słowo w słowo, nie podając źródła cytatów, sześć stron z pięciu artykułów napisanych przez swoich współpracowników. Ostatecznie Marian Noga nie poniósł odpowiedzialności za swój czyn, gdyż żaden z autorów publikacji wykorzystanych w sposób budzący wątpliwości natury etycznej nie domagał się wszczęcia przeciw niemu postępowania dyscyplinarnego. Istotne w tym kontekście jest również to, że w 1998 r. prof. Noga recenzował pracę doktorską ówczesnego posła SLD Jerzego Jankowskiego, która już po obronie i zatwierdzeniu przez radę wydziału została uznana za plagiat.