REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Raport: systemy informatyczne administracji publicznej źle zabezpieczone

Subskrybuj nas na Youtube
fot. shutterstock
fot. shutterstock
ShutterStock

REKLAMA

REKLAMA

Aż 81 proc. systemów informatycznych administracji publicznej w Polsce jest podatna na ataki i zagrożenia, np. ze strony hakerów - wynika z raportu analityków ds. bezpieczeństwa informatycznego.

Ministerstwo Administracji i Cyfryzacji odmówiło komentarza na temat raportu dopóki nie zapozna się z jego wynikami.

REKLAMA

Od dwóch lat grupa kilku polskich ekspertów ds. bezpieczeństwa informatycznego - na zlecenie przedstawicieli administracji rządowej - przeprowadza cykliczne audyty w systemach informatycznych połączonych internetem na poziomie ministerstw, samorządów i agencji rządowych, badając ich podatność na zagrożenia wewnętrzne i zewnętrzne. Ustalenia dotyczące niesprawności systemów informatycznych przekazywane są ich właścicielom na bieżąco.

Jak wynika z najnowszego raportu, testy wykazały, że niską podatność na zagrożenia ma jedynie 19 proc. systemów informatycznych administracji publicznej, 56 proc. jest podatna w stopniu krytycznym, zaś 25 proc. - w stopniu średnim, co oznacza ochronę w stopniu jedynie podstawowym.

Jak wynika z raportu, w trakcie audytów wykryto liczne błędy ułatwiające ataki zarówno hakerom jak i z wewnątrz organizacji czy instytucji. Są to m.in. niezabezpieczone skrypty konfiguracyjne aplikacji i błędne konfiguracje całych systemów. Oznacza to błędne działanie systemów bezpieczeństwa, bądź możliwość łatwego sprawdzenia przez osoby z zewnątrz, w jaki sposób one działają. Źle skonfigurowane są także szyfrowane transmisje SSL i formularze stron, co ułatwia przechwycenie całej transmisji oraz stron www przez hakerów - stwierdzili eksperci.

REKLAMA

Zauważyli również, że dokumentacja stron jest często pozostawiana na serwerze dostępnym w internecie, nie istnieją systemy weryfikacji w dostępie do zasobów oraz niewłaściwie są skonfigurowane systemy zarządzania tożsamością użytkownika. Umożliwia to praktycznie pobranie dowolnej informacji o budowie strony internetowej, czy systemu bezpieczeństwa urzędu oraz ułatwia ataki z podszywaniem się pod pracowników uprawnionych do pobierania informacji.

Dalszy ciąg materiału pod wideo

Zdaniem analityków, brakuje także często mechanizmu weryfikowania i filtrowania danych od użytkowników, co ułatwia ataki z wewnątrz organizacji. Brak też mechanizmu przekazywania do serwerów aplikacyjnych adresu źródła - zaznaczyli autorzy raportu - co oznacza, że sprawca ataków może czuć się bezpiecznie, ponieważ nie będzie wiadomo, skąd nadszedł atak.

Spora jest także - według ekspertów - lista błędów i zaniechań administratorów systemów, którzy nie wprowadzają aktualizacji systemów, co pozostawia otwarte drzwi dla hakerów znających występujące w nich luki.

Z audytu wynika, że administratorzy tolerują wymianę plików z filmami i muzyką pobieranych z sieci; czasem nawet w tym uczestniczą, przechowują te pliki na serwerach urzędu, umieszczają domyślne, bardzo proste hasła w panelach administracyjnych lub nawet pozostawiają je bez haseł.

Z kolei hasła przydzielane użytkownikom są - zdaniem autorów raportu - tak proste i trywialne, że ok. 60 proc. odszyfrowywanych jest w ciągu pierwszych 5 sekund pracy narzędzia do łamania haseł. Administratorzy nie blokują także kont użytkowników, co ułatwia zarówno atak z zewnątrz po rozłamaniu hasła i przejęciu konta użytkownika, jak i atak z wewnątrz urzędu.

Jak stwierdzono w raporcie, reakcją na wykrycie zagrożeń w systemie instytucji publicznej jest zwykle ich zbagatelizowanie m.in. przez wyrażenie opinii: "jest dobrze - tylko jedna podatność na atak, a nie sto" lub kwestionowanie profesjonalizmu audytorów.

"Problem bezpieczeństwa istnieje od kilkunastu lat i są mu winni wszyscy, którzy w tym czasie rządzili administracją publiczną. Zresztą nie dotyczy on tylko administracji publicznej. To jest także problem firm informatycznych, które wdrożenia takich systemów dla administracji realizują. Firmy zatracają świadomość, że udane wdrożenie czy bezpieczny system są równie ważne jak skasowanie pieniędzy z faktury. Oczywiście sprzyja temu metoda kupowania usług informatycznych za najniższą cenę, co powoduje, że jeśli taka cena ma być osiągnięta to firma wdrażająca weźmie najtańszych fachowców, niejednokrotnie osoby, które żadnymi fachowcami nie są. I tworzy się samonapędzający się system tandety - niby syrenka i mercedes jeżdżą, ale przecież jest między nimi co najmniej spora różnica" - powiedział PAP Wiesław Paluszyński, współautor raportu, jeden z ekspertów prowadzących audyty bezpieczeństwa, członek władz Polskiego Towarzystwa Informatycznego.

Według autorów raportu, w instytucjach państwowych brakuje także świadomości, czym jest bezpieczeństwo informacji, co prowadzi do lekceważenia lub braku najważniejszych elementów ich ochrony: procedur reakcji na zagrożenia, zasad zarządzania zmianą czy konfiguracją systemu. Wyraźne są też braki kadrowe przy jednoczesnej dużej ilości niejednorodnego sprzętu oraz systemów. W efekcie słabo wykształceni informatycy często nie znają urządzeń, na których pracują, z czego wynikają błędy i niedostatki konfiguracji. Częste jest też tworzenie - zwykle przez personel działów informatyki - "składzików" pirackiego oprogramowania, filmów i muzyki na serwerach dostępnych przez internet.

Analitycy zauważają, że przyczynami tych błędów są najczęściej rozstrzygnięcia przetargów głównie na podstawie ceny, brak funduszy na zatrudnienie lub zlecenia badań systemów przez ekspertów, pomijanie lub lekceważenie problemów bezpieczeństwa przy projektowaniu, a potem budowie systemu informatycznego.

Eksperci sugerują, że niezbędnym minimum jest zmiana procedury wyboru ofert i weryfikacja kompetencji dostawcy tak, aby wybierany był ten, który nie oferuje tylko najtańszego sprzętu komputerowego. Konieczne jest także zatrudnienie osoby odpowiedzialnej za systemy bezpieczeństwa i tworzenie oprogramowania, tzw. architekta bezpieczeństwa oraz stosowanie utrudniających włamania zapór nie tylko sprzętowych, ale także programowych. Bezpieczeństwo nie jest, według analityków, pojęciem statycznym, ale procesem, który musi być zarządzany.

Wszystkie zmiany prawa w jednym miejscu > www.zmianyprawa.infor.pl

Zapisz się na newsletter
Najlepsze artykuły, najpoczytniejsze tematy, zmiany w prawie i porady. Skoncentrowana dawka wiadomości z różnych kategorii: prawo, księgowość, kadry, biznes, nieruchomości, pieniądze, edukacja. Zapisz się na nasz newsletter i bądź zawsze na czasie.
Zaznacz wymagane zgody
loading
Zapisując się na newsletter wyrażasz zgodę na otrzymywanie treści reklam również podmiotów trzecich
Administratorem danych osobowych jest INFOR PL S.A. Dane są przetwarzane w celu wysyłki newslettera. Po więcej informacji kliknij tutaj.
success

Potwierdź zapis

Sprawdź maila, żeby potwierdzić swój zapis na newsletter. Jeśli nie widzisz wiadomości, sprawdź folder SPAM w swojej skrzynce.

failure

Coś poszło nie tak

Źródło: PAP

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:

REKLAMA

QR Code
Infor.pl
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Senat: Komornik łatwiej sprzeda Twoje mieszkanie. Jak nie dasz rady z kredytem

Zasadą staje się bowiem licytacja elektroniczna nieruchomości przez komornika. Ustawa nowelizująca odpowiednio kodeksu postępowania cywilnego jest w Senacie.

Akademia Wsparcia: bezpłatne szkolenia dla samorządów o nowych standardach opieki nad dziećmi do lat 3

W ramach ogólnopolskiego programu „Akademia Wsparcia – krajowy system wspierania rozwoju opieki wczesnodziecięcej w Polsce 2024–2026” Ministerstwo Rodziny, Pracy i Polityki Społecznej oraz partnerzy wojewódzcy zapraszają przedstawicieli gmin i powiatów na szkolenia dotyczące nadzoru i kontroli nad instytucjami opieki nad dziećmi do lat 3. Zajęcia odbywają się w całym kraju, a udział jest bezpłatny.

Pracownik nie przychodzi do pracy - co robić? Jak go zwolnić?

Jeśli pracownik nie przychodzi do pracy nie wywiązuje się ze swoich podstawowych obowiązków. Pracodawca może nałożyć na niego kary porządkowe. Jak go zwolnić? Znaczenie ma tutaj rodzaj nieobecności. Jeśli jest usprawiedliwiona, pracodawca posłuży się inną podstawą prawną, a jeśli jest nieusprawiedliwiona, może zwolnić go dyscyplinarnie.

Kancelaria, która słucha i sprzedaje - jak budować nowoczesną markę w zgodzie z wartościami?

Marketing kancelarii to nie fast food. Budowanie marki kancelarii to proces na lata. Przemyślana i wdrażana na bieżąco strategia, długoterminowe i krótkoterminowe plany, odpowiednio dobrane narzędzia - brzmi jak wyzwanie. Czy to się opłaca?

REKLAMA

Nowa ustawa o stażach zmienia zasady gry – koniec darmowych praktyk?

„Zobowiązanie organizatora stażu do wypłacania miesięcznego świadczenia pieniężnego dla stażystów, ustalanego w wysokości minimalnej równej 35% przeciętnego wynagrodzenia w gospodarce narodowej w poprzednim kwartale” - taki zapis znalazł się w projekcie ustawy o stażach. Co jeszcze nowego czeka stażystów i praktykantów?

Punkty 5, 6, 7 i 8 w orzeczeniu o niepełnosprawności – co oznaczają i jak je zdobyć w 2025 r.

Brak jednego zapisu w orzeczeniu o niepełnosprawności może oznaczać stratę kilku tysięcy złotych rocznie. To właśnie punkty 5, 6, 7 i 8 w części "Wskazania do ulg i uprawnień" decydują o dostępie do świadczeń, ulg podatkowych, sprzętu medycznego czy usług opiekuńczych. W 2025 roku ich znaczenie jeszcze wzrosło, ponieważ weszły w życie nowe przepisy oraz rekomendacje dla komisji orzekających. Sprawdź, co oznaczają poszczególne punkty, jak je zdobyć i jak działać, jeśli w Twoim orzeczeniu któregoś z nich brakuje.

Ostrzeżenie ZUS przed oszustami: wygląda jak oficjalna korespondencja z ZUS, ale to phishing

ZUS ostrzega ubezpieczonych przed oszustami, którzy wysyłają fałszywe wiadomości e-mail. Wygląda to jak oficjalna korespondencja z ZUS, ale to phishing. Może skutkować kradzieżą danych osobowych, haseł i przejęciem kontroli nad komputerem, także kont bankowych ofiary.

Jest decyzja! 10 listopada dniem wolnym od pracy. Jednak nie dla wszystkich

Premier zdecydował, że 10 listopada 2025 roku będzie dniem wolnym od pracy dla urzędników państwowych. Dzięki tej decyzji pracownicy służby cywilnej będą mieli czterodniowy weekend, który potrwa od soboty 8 listopada do wtorku 11 listopada, czyli Narodowego Święta Niepodległości. Oto szczegóły.

REKLAMA

Nowy urlop w Kodeksie pracy. 105 dni wolnego płatnego w 100 proc. Sprawdź, komu przysługuje!

W 2025 roku wprowadzono do Kodeksu pracy nowy rodzaj urlopu, który przeznaczony jest dla rodziców wcześniaków oraz dzieci, które po urodzeniu wymagają dłuższego pobytu w szpitalu. Maksymalny czas jego trwania wynosi 15 tygodni. Oto szczegóły.

Dokumentacja medyczna na komisję. Jakie dokumenty są potrzebne do uzyskania orzeczenia o niepełnosprawności?

Uzyskanie orzeczenia o niepełnosprawności to nie tylko formalność, ale często warunek otrzymania świadczeń, ulg podatkowych czy zniżek komunikacyjnych. Żeby komisja mogła wydać decyzję, potrzebujesz pełnej i aktualnej dokumentacji medycznej. Sprawdź, jakie dokumenty musisz przygotować, gdzie je zdobyć i dlaczego ich kompletność ma kluczowe znaczenie dla szybkiego rozpatrzenia wniosku.

REKLAMA