Samorządowcy o problemach z cyberbezpieczeństwem: brak kadr i “chroniczne” niedofinansowanie

2 dni temu

Z raportu “Cyberbezpieczeństwo w samorządach kuleje” Najwyższej Izby Kontroli (NIK) wynika, iż 71 proc. skontrolowanych jednostek samorządu terytorialnego (JST) nie było przygotowanych na sytuacje kryzysowe, takie jak cyberatak czy wyciek danych. Wykryte nieprawidłowości polegały m.in. na braku odpowiedniej dokumentacji, niewystarczającym zabezpieczeniu serwerowni, czy braku szkoleń z bezpieczeństwa danych dla pracowników urzędów.

Brak kompetentnych kadr i pieniędzy

Główne przyczyny tego stanu rzeczy to brak wykwalikowanych kadr i ograniczone finanse – oceniła w korespondencji z PAP radca prawny Patrycja Grebla-Tarasek ze Związku Powiatów Polskich (ZPP). Zaznaczyła, iż unijne i krajowe przepisy dotyczące cyberbezpieczeństwa są “dość zawiłe i skomplikowane”, często zdarza się więc, iż gminy czy powiaty nie zdają sobie sprawy ze swoich obowiązków w tym zakresie.

Grebla-Tarasek przyznała, iż ze względu na wysokie koszty i niedobór specjalistów, często samorządowcy znajdują w obszarze cyberbezpieczeństwa “różnego typu oszczędności”. Takim przykładem może być powierzanie funkcji Inspektora Ochrony Danych (IOD, osoba odpowiedzialna za nadzór nad bezpieczeństwem danych osobowych w organizacji – PAP) osobom bez odpowiednich kompetencji, na co zwrócił uwagę Narodowy Instytut Samorządu Terytorialnego (NIST) w odpowiedzi na pytania PAP.

Słaba kooperacja między działami IT a Inspektorami Ochrony Danych

Problemem w samorządach jest też słaba kooperacja między działami IT a Inspektorami Ochrony Danych oraz “poczucie osamotnienia” osób odpowiedzialnych za bezpieczeństwo informacji – zaznaczyła dr Julita Łukomska, wicedyrektor Instytutu. W ciągu ostatnich trzech lat NIST przeprowadził w samorządach 33 szkolenia z cyberbezpieczeństwa, w których wzięło udział ponad 6 tys. osób. Jak przekazał Instytut, uczestnicy szkoleń wielokrotnie wskazywali na problemy, takie jak brak wsparcia ze strony administracji rządowej oraz niska świadomość strategicznego znaczenia cyberbezpieczeństwa wśród kierownictwa.

“Jednostki Samorządu Terytorialnego często koncentrują się na utrzymaniu status quo, zaniedbując inwestycje w rozwój systemów i usług, co w efekcie prowadzi do obniżania poziomu bezpieczeństwa” – stwierdził NIST. Instytut wskazał, iż uczestnicy szkoleń wskazują także na brak wsparcia ze strony władz lokalnych oraz chroniczne niedofinansowanie, obejmujące zarówno sprzęt, jak i działania szkoleniowe czy audyty.

Konieczne podejście systemowe

“Bez systemowego podejścia, obejmującego zarówno aspekty organizacyjne, jak i finansowe, samorządy nie będą w stanie skutecznie chronić danych i zasobów informacyjnych” – podsumowała dr Łukomska.

“Cyberbezpieczny Samorząd” w trakcie realizacji ale…

Ministerstwo Cyfryzacji w odpowiedzi na pytania PAP dotyczące raportu Najwyżej Izby Kontroli, przekazało, iż w 2023 r. ruszył program “Cyberbezpieczny Samorząd” Ma być on realizowany do 30 czerwca 2026 r. i jest finansowany ze środków unijnych (ok. 1,2 mld zł), budżetu państwa (ok. 250 mln zł), a także własnych środków samorządów (ok. 111 mln). Do połowy kwietnia tego roku do JST w ramach “Cyberbezpiecznego samorządu” przekazano ponad 875 mln zł. Środki te są wydatkowane na wymianę sprzętu, audyty, określenie procedur cyberbezpieczeństwa czy szkolenia personelu – wskazało MC.

“Szkolenia te są dobrej jakości merytorycznej, oceniamy je pozytywnie” – oceniła Grebla-Tarasek. Zwróciła jednak uwagę, iż korzysta z nich jednak tylko część urzędników. Dodatkowo, dla wielu z nich poziom szkoleń jest za wysoki. “Przeciętny urzędnik, bez podstawowej wiedzy z zakresu informatyki i cyberbezpieczeństwa, kilka z takiego szkolenia wyniesie, bo większości zagadnień nie zrozumie (…) Potrzebna jest praca u podstaw” – wskazała.

Związek Powiatów Polskich wystąpił do Ministerstwa Cyfryzacji z propozycją własnego programu

Związek Powiatów Polskich wystąpił więc do Ministerstwa Cyfryzacji z propozycją własnego programu – dla 260 tys. pracowników administracji. Według założeń ZPP, programy miałby trwać 4 lata, objąć wymianę sprzętu (łączny koszt 1,82 mld zł), a także inne działania, jak szkolenia i wdrożenia dla pracowników, czy wzmocnienia zabezpieczeń sieciowych (łącznie 1,18 mld zł). Łączny koszt z budżetu państwa z tego tytułu wyniósłby 750 mln zł rocznie, a cały projekt 3 mld zł – wskazała Grebla-Tarasek.

Cyberbezpieczeństwo w samorządach kuleje. Wyniki kontroli NIK

Raport NIK “Cyberbezpieczeństwo w samorządach kuleje” opublikowano w połowie kwietnia br. Kontrolą objęto 24 jednostki – 17 urzędów gmin i siedem starostw powiatowych w okresie od 1 stycznia 2023 r. do 20 września 2024 r.