Ministerstwo Cyfryzacji wzmocni ochronę danych obywateli w systemach komputerowych urzędów miast i gmin

Posłanka Marta Kubiak zadała ministrowi cyfryzacji pytania w formie interpelacji poselskiej dotyczące danych obywateli gromadzonych i przetwarzanych w systemach komputerowych urzędów miast i gmin. Powołała się ona na raport Najwyższej Izby Kontroli, w którym wskazano na złe zabezpieczenie danych obywateli zgromadzonych w systemach komputerowych instytucji administracji publicznej. Posłanka wskazuje, że obywatele oczekują, iż ich dane gromadzone i przetwarzane w systemach informatycznych są należycie zabezpieczone przed dostępem osób nieupoważnionych.

Kubiak zadała ministrowi cyfryzacji pytania o prace skierowane na wzmocnienie obowiązku respektowania zasad związanych ze zwiększeniem bezpieczeństwa danych przetwarzanych i gromadzonych w systemach informatycznych podmiotów administracji publicznej; bezpieczeństwo danych, które nie są danymi osobowymi. Posłanka pytała również o plany wpłynięcia na organy administracji publicznej, aby wzmocnić przestrzeganie określonych, szczegółowych zasad i procedur korzystania przez pracowników z urządzeń przenośnych poza ich siedzibami oraz o to, czy Ministerstwo Cyfryzacji zamierza nałożyć na organy administracji publicznej obowiązek posiadania aktualnej informacji o zgromadzonych zasobach informatycznych.

Minister cyfryzacji w odpowiedzi na pierwsze pytanie napisał, że wzmocnienie obowiązku zapewniania bezpieczeństwa systemów informacyjnych w podmiotach publicznych zostało wprowadzone ustawą o krajowym systemie cyberbezpieczeństwa. Zgodnie z przepisami rozdziału 5. tejże ustawy, podmioty realizujące zadania publiczne zależne od systemu informacyjnego, zobowiązane są m.in. do zapewnienia zarządzania incydentem, tj. zdarzeniem, które ma lub może mieć niekorzystny wpływ na cyberbezpieczeństwo urzędu. Dodał, że każda jednostka administracji publicznej jest zobowiązana do ochrony zasobów i informacji, które przetwarza. Odpowiada za model systemu bezpieczeństwa, dostosowany do potrzeb jednostki, oparty na analizie ryzyka, który wprost wskazano w Krajowych Ramach Interoperacyjności (KRI). Minister Zagórski zaznaczył, że nie posiada instrumentów prawnych egzekwowania stosowania KRI. Rolą Ministerstwa jest natomiast wsparcie inicjatyw edukacyjnych innych podmiotów lub popularyzacja wiedzy w zakresie bezpieczeństwa informacji i ochrony danych osobowych. W ramach tych działań obecnie prowadzone są prace związane z budową elektronicznej platformy szkoleniowej dla pracowników urzędów, w tym służb IT odpowiedzialnych za bezpieczeństwo systemów informatycznych. Platforma będzie oferowała moduły szkoleniowe dedykowane wszystkim pracownikom urzędów oraz kadrze IT.

Minister cyfryzacji zapowiedział, również że od września 2019 r. realizowane będą stacjonarne szkolenia dla kadr odpowiedzialnych za sprawy IT w jednostkach samorządu terytorialnego nt. obowiązków wynikających z ustawy o krajowym systemie cyberbezpieczeństwa oraz wytycznych i standardów odnoszących się do minimalnych wymagań, jakie musi spełnić każdy urząd w zakresie bezpieczeństwa teleinformatycznego. Szkolenia będą uwzględniać wytyczne zawarte w wyżej wspomnianym rozporządzeniu w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów informatycznych.

Odpowiadając na pytanie trzecie o kwestie bezpieczeństwa używania urządzeń przenośnych, Minister napisał, że wzmacnianie zasad oraz procedur korzystania przez pracowników z urządzeń przenośnych poza miejscem pracy, gwarantujących bezpieczną pracę przy przetwarzaniu mobilnym i pracy na odległość realizowane będzie m.in. poprzez szkolenia stacjonarne, jak również w ramach szkoleń e-learningowych. Ponadto na stronie Ministerstwa Cyfryzacji dostępne są materiały na temat podstawowych zasad bezpieczeństwa w sieci dedykowane wszystkim pracownikom, jak również informacje o obowiązkach wynikających z ustawy o krajowym systemie cyberbezpieczeństwa – podkreślił Minister.

Marek Zagórski napisał też, że Ministerstwo Cyfryzacji nie zamierza nakładać na organy administracji publicznej dodatkowego obowiązku posiadania  aktualnej informacji o zgromadzonych zasobach informatycznych.

Ministerstwo Cyfryzacji zamierza nałożyć na organy administracji publicznej obowiązek posiadania aktualnej informacji o zgromadzonych zasobach informatycznych. Podkreślił jednak, że obowiązek zarządzania ciągłością działania jest jednym z elementów zapewniania odpowiedniego poziomu bezpieczeństwa w systemach teleinformatycznych i jest określony w rozporządzeniu w sprawie Krajowych Ram Interoperacyjności.