Gdy system pada, urząd milknie. NIK alarmuje: samorządy niegotowe na kryzys!
Autor Ala za NIK 17 Kwietnia 2025 godz. 10:19
Popularne
Kontrola objęła 24 jednostki samorządu terytorialnego – 17 urzędów gmin i 7 starostw powiatowych – w okresie od 1 stycznia 2023 r. do 20 września 2024 r. Jej celem było sprawdzenie, czy JST skutecznie zarządzają bezpieczeństwem informacji oraz czy posiadają plany zapewnienia ciągłości działania systemów informatycznych.
Liczne uchybienia – zagrożenie dla działania urzędów
Wnioski z kontroli są niepokojące. W 71% skontrolowanych urzędów nie zapewniono rozwiązań umożliwiających ciągłość działania w razie awarii systemów informatycznych, co oznacza realne ryzyko dla funkcjonowania tych jednostek w sytuacji zagrożenia – takiego jak pożar, zalanie, cyberatak czy awaria infrastruktury.
W 23 z 24 skontrolowanych jednostek stwierdzono istotne nieprawidłowości, m.in.:
brak zidentyfikowanych zbiorów danych wymagających ochrony,
brak opracowania lub testowania planów odtworzeniowych,
niewystarczające zabezpieczenie serwerowni,
brak szkoleń pracowników w zakresie bezpieczeństwa informacji,
brak umów z wykonawcami gwarantujących poufność danych.
W wielu przypadkach ochrona była ograniczana jedynie do danych osobowych, pomijając inne wrażliwe informacje, takie jak dane kontrahentów czy konfiguracje środowisk IT. Taka praktyka utrudnia właściwe zarządzanie ryzykiem i może skutkować poważnymi konsekwencjami w przypadku naruszenia bezpieczeństwa.
System Zarządzania Bezpieczeństwem Informacji – nadal rzadkością
Jednym z kluczowych zaleceń NIK było wdrożenie i regularna aktualizacja Systemu Zarządzania Bezpieczeństwem Informacji (SZBI). Tymczasem aż osiem jednostek nie posiadało takiego systemu, a tam, gdzie został wdrożony, często nie przeprowadzano wymaganych przeglądów. Ponadto w ponad połowie urzędów brakowało udokumentowanych polityk ciągłości działania, a tam, gdzie zostały opracowane – nie były testowane.
Zaledwie w 10 urzędach przeprowadzano okresowe szkolenia dla personelu, co w połączeniu z brakiem corocznych audytów bezpieczeństwa (stwierdzono ich brak w 9 urzędach) tworzy poważną lukę w systemie ochrony danych.
Najnowsze
