REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Raport: systemy informatyczne administracji publicznej źle zabezpieczone

Subskrybuj nas na Youtube
fot. shutterstock
fot. shutterstock
ShutterStock

REKLAMA

REKLAMA

Aż 81 proc. systemów informatycznych administracji publicznej w Polsce jest podatna na ataki i zagrożenia, np. ze strony hakerów - wynika z raportu analityków ds. bezpieczeństwa informatycznego.

Ministerstwo Administracji i Cyfryzacji odmówiło komentarza na temat raportu dopóki nie zapozna się z jego wynikami.

REKLAMA

Od dwóch lat grupa kilku polskich ekspertów ds. bezpieczeństwa informatycznego - na zlecenie przedstawicieli administracji rządowej - przeprowadza cykliczne audyty w systemach informatycznych połączonych internetem na poziomie ministerstw, samorządów i agencji rządowych, badając ich podatność na zagrożenia wewnętrzne i zewnętrzne. Ustalenia dotyczące niesprawności systemów informatycznych przekazywane są ich właścicielom na bieżąco.

Jak wynika z najnowszego raportu, testy wykazały, że niską podatność na zagrożenia ma jedynie 19 proc. systemów informatycznych administracji publicznej, 56 proc. jest podatna w stopniu krytycznym, zaś 25 proc. - w stopniu średnim, co oznacza ochronę w stopniu jedynie podstawowym.

Jak wynika z raportu, w trakcie audytów wykryto liczne błędy ułatwiające ataki zarówno hakerom jak i z wewnątrz organizacji czy instytucji. Są to m.in. niezabezpieczone skrypty konfiguracyjne aplikacji i błędne konfiguracje całych systemów. Oznacza to błędne działanie systemów bezpieczeństwa, bądź możliwość łatwego sprawdzenia przez osoby z zewnątrz, w jaki sposób one działają. Źle skonfigurowane są także szyfrowane transmisje SSL i formularze stron, co ułatwia przechwycenie całej transmisji oraz stron www przez hakerów - stwierdzili eksperci.

REKLAMA

Zauważyli również, że dokumentacja stron jest często pozostawiana na serwerze dostępnym w internecie, nie istnieją systemy weryfikacji w dostępie do zasobów oraz niewłaściwie są skonfigurowane systemy zarządzania tożsamością użytkownika. Umożliwia to praktycznie pobranie dowolnej informacji o budowie strony internetowej, czy systemu bezpieczeństwa urzędu oraz ułatwia ataki z podszywaniem się pod pracowników uprawnionych do pobierania informacji.

Dalszy ciąg materiału pod wideo

Zdaniem analityków, brakuje także często mechanizmu weryfikowania i filtrowania danych od użytkowników, co ułatwia ataki z wewnątrz organizacji. Brak też mechanizmu przekazywania do serwerów aplikacyjnych adresu źródła - zaznaczyli autorzy raportu - co oznacza, że sprawca ataków może czuć się bezpiecznie, ponieważ nie będzie wiadomo, skąd nadszedł atak.

Spora jest także - według ekspertów - lista błędów i zaniechań administratorów systemów, którzy nie wprowadzają aktualizacji systemów, co pozostawia otwarte drzwi dla hakerów znających występujące w nich luki.

Z audytu wynika, że administratorzy tolerują wymianę plików z filmami i muzyką pobieranych z sieci; czasem nawet w tym uczestniczą, przechowują te pliki na serwerach urzędu, umieszczają domyślne, bardzo proste hasła w panelach administracyjnych lub nawet pozostawiają je bez haseł.

Z kolei hasła przydzielane użytkownikom są - zdaniem autorów raportu - tak proste i trywialne, że ok. 60 proc. odszyfrowywanych jest w ciągu pierwszych 5 sekund pracy narzędzia do łamania haseł. Administratorzy nie blokują także kont użytkowników, co ułatwia zarówno atak z zewnątrz po rozłamaniu hasła i przejęciu konta użytkownika, jak i atak z wewnątrz urzędu.

Jak stwierdzono w raporcie, reakcją na wykrycie zagrożeń w systemie instytucji publicznej jest zwykle ich zbagatelizowanie m.in. przez wyrażenie opinii: "jest dobrze - tylko jedna podatność na atak, a nie sto" lub kwestionowanie profesjonalizmu audytorów.

"Problem bezpieczeństwa istnieje od kilkunastu lat i są mu winni wszyscy, którzy w tym czasie rządzili administracją publiczną. Zresztą nie dotyczy on tylko administracji publicznej. To jest także problem firm informatycznych, które wdrożenia takich systemów dla administracji realizują. Firmy zatracają świadomość, że udane wdrożenie czy bezpieczny system są równie ważne jak skasowanie pieniędzy z faktury. Oczywiście sprzyja temu metoda kupowania usług informatycznych za najniższą cenę, co powoduje, że jeśli taka cena ma być osiągnięta to firma wdrażająca weźmie najtańszych fachowców, niejednokrotnie osoby, które żadnymi fachowcami nie są. I tworzy się samonapędzający się system tandety - niby syrenka i mercedes jeżdżą, ale przecież jest między nimi co najmniej spora różnica" - powiedział PAP Wiesław Paluszyński, współautor raportu, jeden z ekspertów prowadzących audyty bezpieczeństwa, członek władz Polskiego Towarzystwa Informatycznego.

Według autorów raportu, w instytucjach państwowych brakuje także świadomości, czym jest bezpieczeństwo informacji, co prowadzi do lekceważenia lub braku najważniejszych elementów ich ochrony: procedur reakcji na zagrożenia, zasad zarządzania zmianą czy konfiguracją systemu. Wyraźne są też braki kadrowe przy jednoczesnej dużej ilości niejednorodnego sprzętu oraz systemów. W efekcie słabo wykształceni informatycy często nie znają urządzeń, na których pracują, z czego wynikają błędy i niedostatki konfiguracji. Częste jest też tworzenie - zwykle przez personel działów informatyki - "składzików" pirackiego oprogramowania, filmów i muzyki na serwerach dostępnych przez internet.

Analitycy zauważają, że przyczynami tych błędów są najczęściej rozstrzygnięcia przetargów głównie na podstawie ceny, brak funduszy na zatrudnienie lub zlecenia badań systemów przez ekspertów, pomijanie lub lekceważenie problemów bezpieczeństwa przy projektowaniu, a potem budowie systemu informatycznego.

Eksperci sugerują, że niezbędnym minimum jest zmiana procedury wyboru ofert i weryfikacja kompetencji dostawcy tak, aby wybierany był ten, który nie oferuje tylko najtańszego sprzętu komputerowego. Konieczne jest także zatrudnienie osoby odpowiedzialnej za systemy bezpieczeństwa i tworzenie oprogramowania, tzw. architekta bezpieczeństwa oraz stosowanie utrudniających włamania zapór nie tylko sprzętowych, ale także programowych. Bezpieczeństwo nie jest, według analityków, pojęciem statycznym, ale procesem, który musi być zarządzany.

Wszystkie zmiany prawa w jednym miejscu > www.zmianyprawa.infor.pl

Zapisz się na newsletter
Najlepsze artykuły, najpoczytniejsze tematy, zmiany w prawie i porady. Skoncentrowana dawka wiadomości z różnych kategorii: prawo, księgowość, kadry, biznes, nieruchomości, pieniądze, edukacja. Zapisz się na nasz newsletter i bądź zawsze na czasie.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Źródło: PAP

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:

REKLAMA

QR Code
Infor.pl
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
MSWiA: Schrony w Polsce. Stan na dziś (1000 obiektów) i plany na przyszłość wydania 5 mld zł na schrony

Polska przygotowuje się na ewentualny konflikt zbrojny tworząc sieć schronów. Środki przeznaczone na to wynoszą 5 mld zł.

MOPS a umiarkowany stopień niepełnosprawności – świadczenia i prawa w 2025 roku

Masz orzeczenie o umiarkowanym stopniu niepełnosprawności? W 2025 roku możesz liczyć na wsparcie z MOPS i PCPR, od zasiłków, przez usługi opiekuńcze, aż po dofinansowania z PFRON. Sprawdź, jakie prawa Ci przysługują, ile wynoszą świadczenia i w jakich sytuacjach opiekun może ubiegać się o pomoc finansową. Dzięki aktualnym przepisom osoby z umiarkowanym stopniem nie muszą obawiać się braku wsparci, system oferuje realną pomoc finansową i organizacyjną, która ułatwia codzienne życie i zwiększa samodzielność.

Główny Inspektor Pracy: Nie będziemy likwidować wszystkich umów cywilnoprawnych

Nowe uprawnienia Państwowej Inspekcji Pracy budzą obawy wielu pracodawców. Inspektorzy zyskają m.in. dostęp do danych Zakładu Ubezpieczeń Społecznych oraz Krajowej Administracji Skarbowej oraz możliwość prowadzenia kontroli zdalnie. Najważniejsza z planowanych zmian dotyczy przekształcania umów cywilnoprawnych w umowy o pracę. Na jakich zasadach będzie się to odbywało?

Nowelizacja ustawy o dochodach JST: dokładniejsze naliczanie PIT i CIT dla samorządów od 2026 roku [Projekt]

Do opiniowania trafił projekt ustawy o zmianie ustawy o dochodach jednostek samorządu terytorialnego (Nr w wykazie prac UD304). Projekt nowelizacji ma na celu dokładniejsze dopasowanie dochodów osiąganych przez poszczególnych podatników do właściwej jednostki samorządu terytorialnego (JST).

REKLAMA

Bon ciepłowniczy 2025/2026. Do 1750 zł jeszcze w tym roku, a w 2026 roku nawet 3500 zł. Sprawdź, czy się kwalifikujesz do otrzymania tego wsparcia

Rządowa propozycja, przygotowana przez Ministerstwo Energii, dotycząca wprowadzenia bonu ciepłowniczego i powiązanych zmian w prawie została przegłosowana przez Sejm. Nowe regulacje mają pomóc około 420 tysiącom gospodarstw domowych w radzeniu sobie ze zwiększonymi kosztami energii.

Podlaski Bon Turystyczny. Czy w 2026 roku będzie kontynuacja popularnego programu?

Zarząd województwa podlaskiego chce, by w budżecie na 2026 rok znalazły się środku na kontynuację programu Podlaski Bon Turystyczny. W trzech turach popularnego programu turyści wygenerowali 13 tys. 921 bonów. Najchętniej korzystali z tego mieszkańcy województw: mazowieckiego, łódzkiego i śląskiego.

Świadczenie pracy podczas zwolnienia lekarskiego a wynagrodzenie chorobowe

Tylko lekarz może skrócić zwolnienie lekarskie. Jeśli taka sytuacja nie miała miejsca, a pracownik w okresie orzeczonej niezdolności do pracy z powodu choroby świadczył pracę, to nie ma prawa do wynagrodzenia chorobowego za cały okres zwolnienia lekarskiego.

Przeprowadzka dla niższych podatków? Możesz nieświadomie zmienić prawo spadkowe i narazić rodzinę na kłopoty

Coraz więcej Polaków wybiera Cypr, Maltę czy Dubaj, by obniżyć podatki. Ale mało kto zdaje sobie sprawę, że taka decyzja może diametralnie zmienić zasady dziedziczenia majątku. Różnica między rezydencją podatkową a miejscem zwykłego pobytu w prawie spadkowym sprawia, że nieprzemyślana zmiana może kosztować rodzinę lata sporów i ogromne pieniądze.

REKLAMA

208 chorób dających bezterminowe orzeczenie o niepełnosprawności 2025 – pełna lista i zasady

Nie każda choroba daje prawo do orzeczenia o niepełnosprawności na stałe. W 2025 roku lista 208 jednostek schorzeń została podzielona na dwie grupy: część daje bezterminowe orzeczenie automatycznie, inne jedynie wskazania do rehabilitacji lub wsparcia czasowego. Sprawdź, jakie są różnice i co zrobić, aby nie stracić prawa do świadczeń.

Znalazłeś pracę, ale ją straciłeś? Nowe przepisy pozwalają bezrobotnym wrócić do zasiłku

1 czerwca 2025 roku weszła w życie nowa ustawa o rynku pracy, która wprowadza zmiany dotyczące powrotu do zasiłku dla bezrobotnych. Zgodnie z nowymi przepisami, osoba bezrobotna, która podjęła pracę lub rozpoczęła działalność gospodarczą, będzie mogła ponownie ubiegać się o zasiłek, jeśli spełni ustalone kryteria. Jakie? Oto szczegóły.

REKLAMA