Ministerstwo otrzymało opinie o kodzie mObywatela. Publikacja jeszcze w tym roku

Zdjęcie: Detailed view of HTML and CSS code on a dark screen, representing modern web development.

Ministerstwo Cyfryzacji planuje udostępnić kod źródłowy aplikacji mObywatel jeszcze przed końcem 2025 roku. Wynika to z odpowiedzi sekretarza stanu Dariusza Standerskiego na interpelację posłanki Pauliny Matysiak dotyczącą transparentności najpopularniejszej rządowej aplikacji mobilnej.

CSIRT zakończył analizę bezpieczeństwa

Wszystkie wymagane opinie bezpieczeństwa zostały już dostarczone do resortu cyfryzacji. CSIRT NASK przekazał swoją „obszerną opinię” 6 czerwca tego roku, po ponad ośmiu miesiącach analiz. Ministerstwo wystąpiło o ekspertyzy do trzech instytucji — CSIRT GOV, CSIRT MON i CSIRT NASK — jeszcze 3 października 2024 roku, zgodnie z wymogami ustawy o aplikacji mObywatel.

Standerski poinformował, iż resort rozpoczął już „proces przygotowania kodu źródłowego aplikacji mObywatel do publikacji w zakresie niezagrażającym bezpieczeństwu tej aplikacji i jej użytkowników”. To najważniejsze zastrzeżenie, które może oznaczać, iż udostępniona zostanie tylko część kodu programu.

Tajne kryteria oceny ryzyka

Ministerstwo odmówiło ujawnienia szczegółów dotyczących kryteriów bezpieczeństwa stosowanych przez ekspertów. „Ze względu na niejawność przekazanej opinii CSIRT NASK, nie możemy udzielić informacji na temat kryteriów oceny ryzyka” — brzmi lakoniczna odpowiedź resortu.

Podobnie potraktowano pytanie o ewentualne wykrycie podatności w systemie. Standerski powołał się na tajność dokumentów, odmawiając jakichkolwiek informacji na ten temat. Ta postawa może budzić pytania o rzeczywistą gotowość władz do transparentności w kwestii bezpieczeństwa cyfrowego.

Niezależne opinie bez koordynacji

Trzy instytucje odpowiedzialne za bezpieczeństwo cybernetyczne przygotowywały swoje ekspertyzy niezależnie. Ministerstwo wyjaśniło, iż „ustawodawca nie narzucił CSIRT sposobu przygotowania opinii w tym zakresie”, więc nie było wymogu współpracy między nimi.

Taka struktura procesu może rodzić wątpliwości co do spójności ocen i kompleksowości analizy. Każda z trzech instytucji mogła skupić się na innych aspektach bezpieczeństwa, co może utrudnić wypracowanie jednolitego stanowiska.

Długa droga do transparentności

Publikacja kodu źródłowego mObywatela to realizacja postulatu transparentności cyfrowej administracji. Aplikacja, z której korzysta ponad 14 milionów Polaków, zawiera wrażliwe dane osobowe i pełni kluczową rolę w digitalizacji usług publicznych.

Pierwotnie ustawa przewidywała publikację w ciągu 12 miesięcy od wejścia w życie, jednak późniejsze zmiany uzależniły ten proces od opinii ekspertów bezpieczeństwa. Teraz, po niemal roku od rozpoczęcia procedur, ministerstwo zapowiada finalizację prac do końca roku.

Pozostaje pytanie, w jakim zakresie kod zostanie udostępniony i czy obywatele otrzymają realną możliwość weryfikacji bezpieczeństwa aplikacji, którą codziennie wykorzystują do kontaktów z administracją publiczną.