Przejdź do treści
Jesteś tutaj:

NIK o bezpieczeństwie danych

dłonie w rękawiczkach nad klawiaturą komputera w tle ekran z niewyraźnymi napisami

16 maja 2016 10:50

Stosowane przez skontrolowane podmioty państwowe systemy ochrony danych nie zapewniają ich bezpieczeństwa. Działania realizowane w celu jego zapewnienia są prowadzone opieszale, bez z góry przygotowanego planu, a środki przeznaczane na ten cel są niewystarczające. W efekcie istnieje ryzyko, że działanie istotnych dla funkcjonowania państwa systemów teleinformatycznych zostanie zakłócone, a dane w nich się znajdujące trafią w niepowołane ręce.

To kolejna z kontroli NIK dotyczących obszaru bezpieczeństwa systemów teleinformatycznych i przechowywanych w nich danych. Przypomnijmy, że 2015 r. opublikowana został informacja o wynikach kontroli Realizacja przez podmioty państwowe zadań w zakresie ochrony cyberprzestrzeni Rzeczypospolitej Polskiej, która wykazała, że państwo polskie nie jest przygotowane do walki z zagrożeniami występującymi w cyberprzestrzeni. Przykłady, takie jak choćby publikacja w internecie danych osobowych 50 mln obywateli Turcji w 2016 r., kradzież danych klientów Plus Banku w 2015 r. czy wyciek danych o kontach 5 mln użytkowników Gmail w 2014, pokazują, że zagrożenia te są realne, a konsekwencje wycieku danych poważne i mogą stanowić zagrożenie nie tylko dla wizerunku podmiotów, z których te dane wyciekły, ale przede wszystkim dla osób, których dane zostały wykradzione. Dlatego też NIK postanowiła przyjrzeć się, jak bezpieczne są dane znajdujące się w wybranych systemach informatycznych, mających istotne znaczenie dla funkcjonowania państwa. Kontrola objęła:

JednostkaSystem objęty badaniemZadania publiczne realizowane za pomocą systemu
Ministerstwo Skarbu Państwa (MSP) Zintegrowany System Informatyczny (ZSI) Podstawowym systemem informatycznym, który obsługuje realizację ustawowych zadań MSP (gospodarowanie mieniem SP, komercjalizacja i prywatyzacja itd.) oraz wspomaga funkcjonowanie ministerstwa (m.in. księgowość i kadry).
Ministerstwo Spraw Wewnętrznych Centralna ewidencja wydanych i unieważnionych dokumentów paszportowych (CEWiUDP) System obsługujący wydawanie paszportów przez urzędy wojewódzkie oraz umożliwiający pogląd danych paszportowych.
Ministerstwo Sprawiedliwości Nowa Księga Wieczysta(NKW) System umożlwiający gromadzenie, przetwarzanie i udostępnianie informacji zawartych w księgach wieczystych (m.in. dane o właścicielu i stanie prawnym nieruchomości).
Komenda Główna Straży Granicznej Centralna Baza Danych Straży Granicznej (SI NKW) System którego jednym z podstawowych zadań jest wspomaganie realizacji podstawowych, statutowych zadań, nałożonych na Straż Graniczną w zakresie odprawy granicznej i kontroli realizowanych przez funkcjonariuszy SG
Narodowy Fundusz Zdrowia Elektroniczna Weryfikacja Uprawnień Świadczeniobiorców (eWUŚ) System pozwalający szerokorozumianej służbie zdrowia na weryfikację posiadanych przez pacjenta praw do świadczeń opieki zdrowotnej.
Kasa Rolniczego Ubezpieczenia Rolniczego FARMER System informatyczny wspomagający wypłatę świadczeń emerytalno-rentowych dla rolników. W chwili obecnej wspomaga wypłatę dla ok. 1,5 mln. świadczeniobiorców.

Niestety, wnioski z tej kontroli są  alarmujące. Oto obraz sytuacji w poszczególnych obszarach.

Zarządzanie bezpieczeństwem i procedury bezpieczeństwa

Stopień przygotowania oraz wdrożenia Systemu Zapewnienia Bezpieczeństwa Informacji w kontrolowanych jednostkach nie zapewniał akceptowalnego[1] poziomu bezpieczeństwa danych zgromadzonych w systemach informatycznych, wykorzystywanych do realizacji istotnych zadań publicznych. Procesy zapewnienia bezpieczeństwa informacji realizowane były w sposób chaotyczny i - wobec braku procedur - intuicyjny.

KRUS była jedyną skontrolowaną instytucją, w której formalnie wdrożono System Zarządzania Bezpieczeństwem Informacji. W KRUS, w przeciwieństwie do pozostałych skontrolowanych jednostek, formalnie wprowadzono wszystkie procesy wymagane dla zapewnienia bezpieczeństwa danych. Było to związane z działaniami podjętymi w celu uzyskania przez KRUS certyfikatu ISO 27001.

Jednakże również w systemie funkcjonującym w KRUS kontrola wykryła nieprawidłowości w postaci błędów w implementacji wymagań norm stanowiących podstawę uzyskania certyfikatu. W ocenie NIK, niektóre z nich były poważne i mogą mieć istotny, negatywny wpływ na wiele procesów zapewnienia bezpieczeństwa IT w KRUS. Stwierdzone nieprawidłowości dotyczyły m.in. rozbieżności pomiędzy deklarowanym a faktycznym poziomem zabezpieczenia informacji. W odniesieniu do głównych procedur bezpieczeństwa Izba wniosła wiele uwag do ich czytelności i kompletności. Przyjęta koncepcja powierzenia zasobów KRUS wykonawcy zewnętrznemu, m.in. w zakresie systemów służących realizacji podstawowych zadań ustawowych, nie została poprzedzona stosownymi analizami - m.in. nie określono sposobu szacowania ryzyka związanego z utratą informacji w sytuacji powierzenia zasobów firmie zewnętrznej.

W pozostałych skontrolowanych jednostkach sytuacja była niestety nieporównywalnie gorsza. Opierano się w nich wyłącznie na uproszczonych lub nieformalnych zasadach wynikających z dobrych praktyk lub dotychczas zdobytego doświadczenia pracowników działów IT. Doraźnie prowadzone działania nie zapewniały odpowiedniego, bezpiecznego i spójnego zarządzania bezpieczeństwem danych. Kontrola wykazała w tym obszarze m.in.: brak planów zapewnienia bezpieczeństwa danych, niewdrożenie systemów zarządzania bezpieczeństwem informacji, brak niezbędnych opracowań analitycznych i procedur (w tym dotyczących incydentów, identyfikacji zadań, dystrybucji oprogramowania antywirusowego), ograniczony zakres nadzoru, testowania i monitorowania bezpieczeństwa.

Identyfikacja ryzyka

Kontrolowane jednostki w ograniczonym zakresie wykorzystywały metody identyfikacji, monitorowania i zapobiegania ryzyku związanemu z bezpieczeństwem informacji przetwarzanych w systemach teleinformatycznych.

W trzech skontrolowanych jednostkach proces ten był prowadzony jedynie w zakresie niezbędnym dla realizacji wymagań Polityki Ochrony Cyberprzestrzeni, przepisów o ochronie informacji niejawnych lub obowiązków związanych z operowaniem infrastrukturą krytyczną. Te ograniczone działania nie mogły zastąpić odpowiednio przygotowanego procesu szacowania ryzyka przeprowadzonego w odniesieniu do wszystkich posiadanych i przetwarzanych informacji, z uwzględnieniem realizowanych zadań i specyfiki instytucji. Rzetelne przeprowadzenie procesu szacowania ryzyka powinno być poprzedzone m.in. doborem metodyki prac, zidentyfikowaniem aktywów i określeniem ich wartości. Działania te mają zasadnicze znaczenie dla rozpoznania obszarów z jednej strony „najcenniejszych” dla jednostki, a z drugiej strony najbardziej zagrożonych. W sytuacji ograniczonych zasobów przeznaczanych na bezpieczeństwo systemów przetwarzających dane, szacowanie ryzyka oraz kosztów niezbędnych celem jego ograniczenia powinno być podstawowym zadaniem osób odpowiedzialnych za ich bezpieczeństwo. W konsekwencji decyzje w sprawie wydatkowania środków na zapewnienie bezpieczeństwa przetwarzanych informacji były podejmowane
w sposób intuicyjny
.

Zabezpieczenie informacji w kontrolowanych jednostkach

Istniała duża dysproporcja pomiędzy działaniami podejmowanymi dla ochrony poszczególnych grup informacji, tj. informacji objętych ustawową ochroną (niejawnych i danych osobowych) oraz innych informacji, których ochrona nie została wprost usankcjonowana w przepisach, ale które mają istotne znaczenie dla prawidłowej realizacji podstawowych zadań tych jednostek.

W jednostkach kontrolowanych brak było świadomości, że oprócz informacji, których wymóg ochrony zapisany jest wprost w przepisach prawa istnieją także inne informacje, równie ważne, o których ochronę każda jednostka powinna zadbać samodzielnie. W przeciwieństwie do normatywnie określonych wymogów dla ochrony informacji niejawnych i danych osobowych, zidentyfikowanie wszelkich innych, istotnych informacji oraz wybór metod ich chronienia jest praktycznie pozostawiony
w gestii ich posiadacza. Prowadzi to do sytuacji, w których instytucje, opierając się wyłącznie na analizie aktualnie funkcjonujących przepisów, nie widzą konieczności podejmowania innych działań związanych z bezpieczeństwem informacji niż te wprost zapisane w ustawie o ochronie informacji niejawnych oraz
w ustawie o ochronie danych osobowych. W ocenie NIK, stwierdzona w trakcie kontroli praktyka ograniczania zakresu ochrony do jedynie niektórych istotnych informacji może mieć poważne konsekwencje dla właściwego szacowania ryzyka, dzielenia zasobów, a przede wszystkim zapewnienia ciągłości działania instytucji mających istotne znaczenie dla funkcjonowania państwa.

Odpowiedzialność za bezpieczeństwo

W żadnej ze skontrolowanych jednostek nie określono precyzyjnie zakresu odpowiedzialności poszczególnych osób za zapewnienie bezpieczeństwa danych, co prowadziło do sporów kompetencyjnych. W większości kontrolowanych jednostek zagadnienia dotyczące bezpieczeństwa informacji znajdowały się wyłącznie w gestii komórek bezpośrednio odpowiedzialnych za systemy informatyczne. Skutkowało to ograniczeniem faktycznego zakresu ochrony informacji jedynie do systemów informatycznych i nośników danych. Podejście to zawężało, z przyczyn kompetencyjnych, możliwości budowania systemów ochrony informacji obejmujących całe instytucje, ignorując powszechną prawdę, że system ochrony jest tak skuteczny, jak jego najsłabszy element. Należy zauważyć, że wiele udanych ataków hakerskich wcale nie polegało na fizycznym przełamaniu zabezpieczeń informatycznych, lecz na wykorzystaniu metod socjotechnicznych w celu uzyskania dostępu do chronionych systemów. Przyjęty w kontrolowanych jednostkach model organizacyjny powodował natomiast, że pozostałe komórki organizacyjne, nie czując się współodpowiedzialnymi za ochronę informacji, uznały jej wymagania jako nieuzasadnione utrudnienia, wynikające jedynie ze specyfiki pracy informatyków. Również kierownictwa tych instytucji, niejako „przekazując problem do rozwiązania” specjalistycznej komórce, w niedostatecznym zakresie uznawały swoją rolę w kreowaniu i osiąganiu strategicznych celów dotyczących bezpieczeństwa informacji.

W praktyce więc odpowiedzialność za zapewnienie bezpieczeństwa informacji spoczywała przede wszystkim na wyznaczonym koordynatorze (często było to stanowisko jednoosobowe), który nie miał dostatecznych uprawnień i możliwości do działania w sferze zarządzania procesem i skoordynowania działań związanych z zapewnieniem bezpieczeństwa w skali całej jednostki.

Audyty bezpieczeństwa

We wszystkich kontrolowanych jednostkach prowadzono audyty bezpieczeństwa. Raporty z tych audytów stanowiły dla kierownictw kontrolowanych jednostek jedyne istotne źródło informacji o realnym stanie bezpieczeństwa, różnych aspektach jego utrzymania oraz działaniach niezbędnych do przeprowadzenia. Ustalony w kilku jednostkach stan dynamicznego wzrostu zainteresowania ich kierownictw jakością wykorzystywanych polityk bezpieczeństwa i towarzyszących im dokumentów, wdrażaniem Systemów Zapewnienia Bezpieczeństwa Informacji oraz modyfikowaniem struktur odpowiedzialnych za bezpieczeństwo, wynikał bezpośrednio z otrzymanych raportów, m.in. obowiązkowych audytów wynikających z realizacji rozporządzenia KRI. Istotnym problemem był jednak brak konsekwencji i zaangażowania kierownictw kontrolowanych jednostek w realizację zaleceń audytorów. Większość podjętych interwencyjnie działań, mających poprawić stan bezpieczeństwa IT, utraciło początkowy impet, powołane zespoły specjalistyczne zbierały się nieregularnie, przygotowywanie nowych regulacji przebiegało opieszale, co przy ograniczonych zasobach wymuszało powrót do realizacji jedynie rutynowych zadań.

Zalecenia pokontrolne NIK

W dobie dynamicznego wzrostu zagrożeń, zapewnienie bezpieczeństwa systemów przetwarzających istotne dla funkcjonowania państwa dane nie może być oparte na podejmowanych ad hoc, ukierunkowanych jedynie na przezwyciężanie aktualnych trudności, chaotycznie zarządzanych działaniach.

Dostrzegając działania podjęte przez Ministra Cyfryzacji w zakresie budowy systemu ochrony polskiej cyberprzestrzeni, będące odpowiedzią m.in. na wnioski sformułowane przez NIK po kontroli Realizacja przez podmioty państwowe zadań w zakresie ochrony cyberprzestrzeni Rzeczypospolitej Polskiej, NIK postuluje rozszerzenie tych działań o zalecenia dla podmiotów publicznych w zakresie ochrony systemów przetwarzających dane istotne dla funkcjonowania państwa. Zdaniem NIK, konieczne jest opracowanie i wprowadzenie na szczeblu centralnym, ujednoliconych, obowiązujących wszystkie podmioty publiczne, generalnych zaleceń i wymagań dotyczących zapewnienia bezpieczeństwa systemów przetwarzających dane.


[1] W przypadku systemów IT, ze względu na szybki rozwój technologii, nie można mówić o zapewnieniu pełnego bezpieczeństwa. Celem podmiotów publicznych powinno być natomiast dążenie do minimalizacji ryzyka utraty danych lub zakłócenia funkcjonowania systemów IT do poziomu akceptowalnego, który to poziom powinien być indywidualnie określany dla poszczególnych systemów.

Materiały audiowizualne dla radia, TV i portali internetowych >>

Kategorie: informatyzacja, Ministerstwo Cyfryzacji, administracja publiczna

Informacje o artykule:

Data utworzenia: 13 maja 2016 14:41
Data publikacji: 16 maja 2016 10:50
Wprowadził/a: Katarzyna Prędota

Data ostatniej zmiany: 16 maja 2016 12:43
Ostatnio zmieniał/a: Marek Brzeziński

 

Przeczytaj treść ponownie

Najwyższa
Izba Kontroli

Najwyższa Izba Kontroli
Skr. poczt. P-14, 00-950 Warszawa
tel. 22 444 50 00
nik@nik.gov.pl
NIP: 526-10-58-627, REGON: 000000052