Samorządy muszą pamiętać o cyberbezpieczeństwie – teraz mają szansę na grant

29 września 2023

Trwa gorączka kampanii wyborczej do parlamentu, a w przyszłym roku czekają nas wybory samorządowe. Z perspektywy polityków cyfrowe bezpieczeństwo, niezależnie od szczebla administracji którego dotyczy, ma niezwykle istotne znaczenie. Przestępcy chętnie biorą na cel jednostki publiczne, w tym administrację centralną i samorządową.

Jak zwraca uwagę ekspert Stormshield, skuteczny atak wymierzony w podmioty publiczne, a takie miały miejsce również w Polsce, obniża poziom zaufania do osób nimi kierujących, co może mieć istotne przełożenie na preferencje wyborców. Do 13 października jednostki samorządu terytorialnego mogą zgłaszać wnioski w ramach programu „Cyberbezpieczny samorząd”.

Cyfryzacja w połączeniu z dbałością o bezpieczeństwo

Administracja coraz chętniej korzysta z dobrodziejstw cyfryzacji, jednak wiele instytucji jest niedofinansowanych w obszarze IT. Objawia się to na przykład brakiem jasno określonej polityki bezpieczeństwa, regulaminów i procedur. Bolączką są również braki kadrowe w działach informatycznych.

– Brak należytej dbałości o system bezpieczeństwa IT to proszenie się o kłopoty. Im bardziej cyfrowi się stajemy, tym bardziej rośnie przestrzeń do potencjalnego ataku. Niestety poziom wydatków najczęściej kształtowany jest doraźnie. W budżetach administracji publicznej uwzględniane są koszty aktualizacji użytkowanych na bieżąco systemów antywirusowych, firewalli oraz audytu systemów zabezpieczeń, które są konieczne. Ochrona zasobów, którymi dysponują samorządy, co dotyczy również jednostek im podległych, wymaga odpowiednich nakładów – sprzętu i wsparcia specjalistów. Jednak realia są takie, że ten obszar nierzadko traktowany jest po macoszemu, a działania podejmowane są dopiero gdy grunt zaczyna się palić pod nogami – komentuje Aleksander Kostuch, inżynier Stormshield, europejskiego dostawcy systemów bezpieczeństwa IT.

Jak wskazują eksperci, praktyka szukania oszczędności w myśl zasady „bo przecież wszystko działa”, obejmująca zaniechanie inwestycji w rozwiązania podnoszące poziom zabezpieczenia sieci i systemów czy rezygnację z konsultacji z ekspertami to działania krótkowzroczne, które mogą okazać się bardzo bolesne w skutkach.

– Nie jest to optymalna taktyka. Również z uwagi na zbliżającą się nieuchronnie adaptację do krajowego systemu prawnego rozwiązań ujętych w dyrektywie NIS2, kwestię wydatków na cyberbezpieczeństwo administracja publiczna powinna traktować priorytetowo. Podmioty, które nie będą przestrzegać dyrektywy, mogą być ukarane grzywnami, a dostosowanie się do jej założeń również wymaga odpowiednich działań – mówi Aleksander Kostuch.

Aby móc zapewnić odpowiedni poziom bezpieczeństwa cyfrowej sfery funkcjonowania samorządów, kluczowe są odpowiednie rozwiązania techniczne, na przykład firewalle oraz nieustanne podnoszenie kompetencji pracowników. To jednak wiąże się z kosztami. Do 13 października jednostki samorządu terytorialnego mogą zgłaszać wnioski w ramach programu „Cyberbezpieczny samorząd” przygotowanego przez Ministerstwo Cyfryzacji wraz z NASK. Program pozwala na uzyskanie grantu w wysokości nawet 850 tys. złotych.

Będący operatorem programu NASK rekomenduje uczestnikom, aby we wnioskach uwzględnili potrzeby jednostek podległych, np. bibliotek, szkół czy ośrodków pomocy społecznej. W Polsce funkcjonuje ok. 2500 gmin, a w każdej z nich działają jednostki podległe, których liczba jest kilkukrotnie większa.

– Program „Cyberbezpieczny samorząd” oferuje możliwość wzmocnienia poziomu ochrony jednostek samorządu terytorialnego przed zagrożeniem, które jest niezwykle realne. Z pewnością warto z niego skorzystać. Wciąż jest czas, aby zdążyć z przygotowaniem planu wdrożenia i wypełnieniem wniosków grantowych, choć w mojej ocenie powinien być on dłuższy. Pozwoliłoby to na przygotowanie najwyższej jakości projektów – mówi Piotr Zielaskiewicz, ekspert Stormshield. – Co ciekawe, podczas spotkań z samorządowcami zdarza mi się słyszeć, że po programie Cyfrowa Gmina nie mają oni więcej potrzeb związanych ze sferą cyberbezpieczeństwa. To mylne podejście. Warto pamiętać, że nasze organizacje ewoluują, a poziom potrzeb rośnie wraz z ich rozwojem lub zmieniają się wymogi. Dlatego warto myśleć na przykład o perspektywie 5-letniej, w tym obowiązkach związanych z wdrażaniem dyrektywy NIS2. Dodatkowe środki będą tu jak znalazł – dodaje.

Ochrona reputacji w kontekście wyborów – ryzyko utraty zaufania w efekcie skutecznego cyberataku

Niedawnym, głośnym przykładem przestępczej działalności wymierzonej w samorząd było zablokowanie aplikacji ŚKUP (Śląska Karta Usług Publicznych) Górnośląsko-Zagłębiowskiej Metropolii. W efekcie ataku przestały działać portal i aplikacja „Mobilny ŚKUP”, System Dynamicznej Informacji Pasażerskiej oraz znajdujące się w autobusach i tramwajach kasowniki z czytnikami kart, na których zakodowane są elektroniczne bilety. Pasażerowie byli proszeni o samodzielne kasowanie ich papierowych wersji, poprzez wpisanie długopisem daty i godziny przejazdu. Podobny incydent pod koniec 2022 roku dotknął Urząd Marszałkowski Województwa Mazowieckiego (UMWM).

Działania objęły tam cyberatak ransomware na system Elektronicznego Zarządzania Dokumentami. Nie milkną również echa „afery mejlowej”, która jest przedmiotem dyskusji publicznej i bieżącej walki politycznej. Głośnym zagranicznym przykładem potencjalnego wpływu działalności cyberprzestępczej na zaufanie do organów państwa był ujawniony w sierpniu br., złożony atak na Brytyjską Komisję Wyborczą, w wyniku którego „wrogim podmiotom” udało się uzyskać dostęp do milionów danych wyborców.

Podobne do opisanych incydenty mogą skutkować czasowym brakiem dostępności określonych usług publicznych, nieterminowym załatwianiem spraw czy problemami w kontakcie z pracownikami przy wykorzystaniu internetowych kanałów komunikacji. Dodatkowo, jak wskazywała rzeczniczka prasowa UMWM, w ich przypadku „zdarzenie mogło doprowadzić do utraty dostępności danych osobowych”.

– Cyberatak niemal zawsze związany jest z groźbą wycieku wrażliwych danych, więc poza skutkiem w postaci zakłócenia ciągłości usług należy wziąć pod uwagę ryzyko prawne, w postaci sankcji ze strony organów państwowych czy postępowania sądowego podejmowanego przez poszkodowanych. Jednak równie istotne jest ryzyko utraty reputacji, czego skutki z perspektywy osób prowadzących działalność publiczną mogą być poważne – zwraca uwagę Aleksander Kostuch, ze Stormshield.

– Zespół CSIRT NASK wskazuje, że w grudniu 2022 roku odnotowano ok. 85 tysięcy ataków i incydentów w obszarze cyberbezpieczeństwa, co w porównaniu z analogicznym miesiącem 2021 r. oznaczało ponad czterokrotny wzrost. Skala zagrożenia rośnie, a ludzie oczekują od osób sprawujących funkcje publiczne, niezależnie od opcji politycznej jaką reprezentują, aby swoją pracą tworzyli warunki dogodne do życia i rozwoju społecznego. Współcześnie nie może to pomijać zagadnień związanych z bezpieczeństwem cyfrowym – podsumowuje Aleksander Kostuch.