Katastrofa z oprogramowaniem. NIK skontrolował administrację publiczną

Informacje o kłopotach związanych z cyberbezpieczeństwem w polskich jednostkach administracji są ujawniane przez Najwyższą Izbę Kontroli od kilku lat. Na łamach CyberDefence w marcu pisaliśmy o kontrolach, które przeprowadzono w samorządach na Pomorzu Zachodnim oraz w całej Polsce.

Nielegalne i nieaktualne oprogramowanie

Mogłoby się wydawać, że w tym sektorze nie będzie tego typu problemów. W rzeczywistości jednak, według informacji opublikowanych przez NIK, w 88 proc. przypadków, jednostki administracji publicznej posiadały nieautoryzowane oprogramowanie. Mowa tu zarówno o użytkowaniu przestarzałych wersji, jak również i nielicencjonowanych.

Okazuje się, że zgodność używanych programów z przepisami prawa jest istotnym problemem w administracji publicznej. Cztery na dziesięć podmiotów było w posiadaniu nielegalnego oprogramowania. Taki sam odsetek odnotowano w przypadku software’u niedopuszczonych do użytkowania w konkretnym urzędzie.

35 proc. organów administracji posiadało oprogramowanie, które znajdowało się w końcowym stadium używalności i w normalnych warunkach było już wycofywanych. Z kolei aż w 47 proc. przypadków wykryto, że zagrażało ono bezpieczeństwu ze względu na m.in. brak krytycznych poprawek.

Bez kontroli i odpowiedniej wiedzy

Sama obecność prawidłowej i zgodnej z zasadami wersji oprogramowania nie powodowała, że problemów nie było. We wszystkich podmiotach nie prowadzono bieżących kontroli w przypadku stacji roboczych, udostępnionych sieci oraz urządzeń mobilnych. Tych ostatnich nie monitorowano w ogóle, ponieważ… niektóre podmioty uznały, że służą tylko do rozmów telefonicznych.

Jest to zaledwie wierzchołek góry lodowej. Prawie 60 proc. skontrolowanych podmiotów nie wiedziało w ogóle, jakie oprogramowanie posiada – a jeżeli prowadziło spis takowych, to był on przestarzały lub niekompletny.

Niestety, NIK wykryła również nieprawidłowości w wydatkach. Aż 53 proc. podmiotów dokonywało nieprawidłowych zakupów w zakresie oprogramowania, np. w postaci liczby licencji przekraczającej zapotrzebowanie. Niegospodarność z tego tytułu wyniosła 12,5 mln zł.

Są zalecenia dla organów

Najwyższa Izba Kontroli zawarła również dokładne zalecenia odnoszące się do wykrytych problemów. Kierownicy jednostek administracji publicznej powinni m.in. zadbać o posiadanie wszystkich informacji o oprogramowaniu, jakie znajduje się w danym organie za pomocą konkretnych rozwiązań technicznych; a także powinni wprowadzić jego bieżący monitoring.

Kierunki działań do podjęcia otrzymały również ministerstwa. Osoby stojące na czele jednostek zlecających realizację projektów, powinni prowadzić skuteczne działania nadzorcze tych podmiotów, które te projekty realizują. Ma to na celu zapewnienie wymaganego poziomu bezpieczeństwa informatycznego oprogramowania oraz przygotowania katalogu programów, które można stosować w danym resorcie.

Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na:[email protected].