Najwyższa Izba Kontroli przeprowadziła kontrolę bezpieczeństwa systemów teleinformatycznych i przechowywanych w nich danych. Sama NIK określiła wnioski kontroli jako alarmujące.

Wyniki kontroli

W zakresie zarządzania bezpieczeństwem i procedur bezpieczeństwa stwierdzono, że stopień przygotowania oraz wdrożenia Systemu Zapewnienia Bezpieczeństwa Informacji w kontrolowanych jednostkach nie zapewniał akceptowalnego poziomu bezpieczeństwa danych zgromadzonych w systemach informatycznych, wykorzystywanych do realizacji istotnych zadań publicznych.

Ponadto, stwierdzono, że metody identyfikacji, monitorowania i zapobiegania ryzyku związanemu z bezpieczeństwem informacji przetwarzanych w systemach teleinformatycznych wykorzystywane były w ograniczonym zakresie, a decyzje w sprawie wydatkowania środków na zapewnienie bezpieczeństwa przetwarzanych informacji były podejmowane w sposób intuicyjny.

NIK zauważyła, że istniała duża dysproporcja pomiędzy działaniami podejmowanymi dla ochrony poszczególnych grup informacji, tj. informacji objętych ustawową ochroną (niejawnych i danych osobowych) oraz innych informacji, których ochrona nie została wprost usankcjonowana w przepisach, ale które mają istotne znaczenie dla prawidłowej realizacji podstawowych zadań tych jednostek. Brak było świadomości, że ochronie podlegają również informacje nie wskazane w ustawach, o których ochronę każda jednostka powinna zadbać samodzielnie.

Jak wskazano w raporcie, w żadnej ze skontrolowanych jednostek nie określono precyzyjnie zakresu odpowiedzialności poszczególnych osób za zapewnienie bezpieczeństwa danych, co prowadziło do sporów kompetencyjnych. Odpowiedzialność za zapewnienie bezpieczeństwa informacji spoczywała przede wszystkim na wyznaczonym koordynatorze, który nie miał dostatecznych uprawnień i możliwości do działania w sferze zarządzania procesem i skoordynowania działań związanych z zapewnieniem bezpieczeństwa w skali całego urzędu.

Zalecenia pokontrolne NIK

NIK rekomenduje, by działania Ministra Cyfryzacji w zakresie budowy systemu ochrony polskiej cyberprzestrzeni, rozszerzyć o zalecenia dla podmiotów publicznych w zakresie ochrony systemów przetwarzających dane istotne dla funkcjonowania państwa. Zdaniem NIK, konieczne jest opracowanie i wprowadzenie na szczeblu centralnym, ujednoliconych, obowiązujących wszystkie podmioty publiczne, generalnych zaleceń i wymagań dotyczących zapewnienia bezpieczeństwa systemów przetwarzających dane.

Źródło: NIK