ESHR konstaton mangësi serioze në sigurinë informatike të Fondit Pensional
Enti shtetëror për revizion (ESHR) konstatoi dobësi në vendosjen dhe zbatimin e masave parandaluese për sigurinë informatike në Fondin për sigurimin pensional dhe invalidor të Maqedonisë së Veriut, me ç’rast bëri me dije për nevojën e avancimit të kontrolleve për mbrojtje të informatave dhe resurseve të Ti-së si dhe sigurimin e realizimin e papengueshëm të shërbimeve të qytetarëve.
Siç thekson ESHR, revizioni i suksesit me temë “Zbatimi i masave parandaluese për sigurinë e informacionit në sistemin e TI-së të Fondit për sigurimin pensional dhe invalidor të Maqedonisë së Veriut”, tregoi se ekzistojnë dobësi të cilat ndikojnë ndaj nivelit të përgjithshëm të mbrojtjes së informatave dhe resurseve të TI-së me të cilat menaxhohen të dhënat e shfrytëzuesve të të drejtave pensionale dhe invalidore.
“Me revizionin e kryer është konkluduar se zbatimi i masave parandaluese për sigurinë e informacionit në sistemin e TI-së të Fondit për Sigurimin Pensional dhe Invalidor paraqet dobësi që ndikojnë në nivelin e përgjithshëm të mbrojtjes efektive të informacionit dhe burimeve të TI-së, përmes të cilave menaxhohen të dhënat e përfituesve, të drejtat e të cilëve realizohen ekskluzivisht përmes Fondit”, qëndron në kumtesën e ESHR-së.
Gjendjet e konstatuara tregojnë mungesën e një qasjeje gjithëpërfshirëse strategjike ndaj sigurisë së TI-së, mosmiratimi i strategjisë së TI-së, procedura të papërditësuara ose të pamiratuara, si dhe moskryerjen e vlerësimeve të rreziqeve të detyrueshme me ligj. Për më tepër, janë konstatuar dobësi në kapacitetet njerëzore, planifikimin dhe sigurimin e burimeve të TI-së, zbatimin e kontrolleve të sigurisë, si dhe në gatishmërinë e Fondit për t’u përballur me incidentet dhe ndërprerjet në funksionim.
Revizioni konstatoi kapacitete të pamjaftueshme njerëzore në Sektorin e Informatikës të Fondit, ku nga 57 vende pune të sistematizuara janë plotësuar vetëm 17, përkatësisht 30%. Veçanërisht e pafavorshme është gjendja në Njësinë për Infrastrukturë dhe Mbështetje të TI-së, ku është plotësuar vetëm një nga 13 vendet e punës dhe nuk ka asnjë punonjës të ngarkuar me përgjegjësi për sigurinë e informacionit.
Mungesa e kuadrit dhe e njohurive profesionale i kufizon mundësitë për menaxhim efikas të sistemit të TI-së, eliminimin në kohë të problemeve dhe zbatimin e kontrolleve të sigurisë.
Sa i përket trajnimeve, revizioni konstatoi se trajnimi i fundit për aftësitë në fushën e TI-së ishte realizuar në vitin 2022. Në vitin 2023, në faqen e internetit të MKD-CIRT ishte publikuar një trajnim online për ngritjen e vetëdijes për sigurinë e informacionit. Pas këtij aktiviteti nuk ishin realizuar aktivitete të tjera për ngritjen e vetëdijes, e as testime praktike të gatishmërisë së punonjësve për njohjen dhe përballimin e kërcënimeve të sigurisë. Prokurimet e planifikuara për trajnimet për aftësitë në fushën e TI-së për vitet 2024 dhe 2025 nuk ishin realizuar.
Revizioni konstatoi dobësi në planifikimin dhe sigurimin e mjeteve financiare për infrastrukturën e TI-së dhe sigurinë e informacionit. Në vitin 2024, vlera e përgjithshme e kontratave të lidhura për prokurimet publike në fushën e TI-së ishte 12.393 mijë denarë, që përbën 2,04% të shpenzimeve të përgjithshme të Fondit, pa përfshirë përfitimet sociale.
Njëkohësisht, prokurimi i planifikuar i një qendre të të dhënave për ruajtjen e të dhënave, i një sistemi të disqeve dhe i komutatorëve optikë nuk është realizuar për shkak të mjeteve të kufizuara financiare. Analiza ka treguar se mjetet përdoren kryesisht për mirëmbajtjen e rregullt të sistemeve, ndërsa një pjesë e konsiderueshme e aktiviteteve që lidhen me sigurinë e informacionit nuk janë përfshirë në investimet e planifikuara.
Me revizion është konstatuar se mjetet financiare për sigurinë e informacionit në vitin 2024 përbënin vetëm 1 denar për çdo 10.000 denarë pensione të përllogaritura dhe të paguara.
Prokurimet e parealizuara ndikojnë në mundësitë për zëvendësimin e infrastrukturës së vjetruar dhe kontribuojnë në krijimin e periudhave pa mirëmbajtje të pajisjeve kryesore. Revizioni konstatoi se janë në përdorim serverë dhe stacione pune me sisteme operative për të cilat prodhuesi nuk ofron më mbështetje, si dhe stacione pune pa mbrojtje antivirusore të përditësuar. Janë konstatuar gjithashtu dobësi në zbatimin e mekanizmave të sigurisë për qasjen në sistemin e TI-së.
Revizioni konstatoi dobësi në menaxhimin e qasjeve të përdoruesve dhe përditësimeve të sigurisë, si dhe në mbrojtjen e rrjetit dhe menaxhimin e burimeve të TI-së. Nuk zbatohet një shtresë shtesë e mbrojtjes për llogaritë e përdoruesve, ndërsa nuk është vendosur as segmentimi përkatës i rrjetit. Për më tepër, përditësimi i arnimeve të sigurisë nuk është kryer që nga viti 2023.
Këto gjendje paraqesin rrezik për humbjen e të dhënave, pamundësinë e rikthimit në kohë të informacionit dhe ndërprerje më të gjata në funksionimin e sistemit informativ.
Sa i përket sigurisë fizike, është konstatuar se qasja në hapësirat e serverëve nuk shoqërohet me evidencë elektronike ose videombikëqyrje, sistemet për shuarjen e zjarrit nuk mirëmbahen rregullisht, ndërsa në njësi të caktuara territoriale sistemi rezervë i furnizimit me energji elektrike është jofunksional.
Fondi nuk ka plane të përcaktuara dhe të miratuara për vazhdimësinë e veprimtarisë (BCP) dhe për rikuperimin pas katastrofave (DRP), as listë të detyrave dhe aktiviteteve konkrete të punës për personat përgjegjës në rast të incidenteve që lidhen me sigurinë e informacionit. Mungesa e këtyre planeve, në kushtet e kapaciteteve të kufizuara të TI-së, e zvogëlon gatishmërinë e Fondit për t’u përballur me incidente serioze dhe ndërprerje të punës. Kjo krijon rrezik për ndërprerje më të gjata të sistemeve të informacionit, pamundësi për rikuperimin në kohë të sistemeve dhe cenim të vazhdimësisë së ofrimit të shërbimeve për përdoruesit.
Në vitin 2024, një subjekt i jashtëm kreu analizën e mjedisit të punës së infrastrukturës së Fondit, me qëllim dhënien e rekomandimeve për përmirësimin e mjedisit të sigurisë.
Në mars të po atij viti, operatori ekonomik përgjegjës për mirëmbajtjen e pajisjeve të TIK-ut kreu kontrollin e pajisjeve të rrjetit për identifikimin e rreziqeve të mundshme të sigurisë, me ç’rast u identifikuan kërcënime dhe cenueshmëri, si dhe u dhanë rekomandime për tejkalimin e tyre.
Në periudhën e kryerjes së revizionit, Fondi nuk kishte ndërmarrë masa për tejkalimin e dobësive të konstatuara në pajisjet e rrjetit.
Duke pasur parasysh rolin e Fondit në realizimin e të drejtave nga sigurimi pensional dhe invalidor, siguria, disponueshmëria dhe integriteti i informacionit janë të një rëndësie të veçantë për ofrimin e pandërprerë të shërbimeve për qytetarët. Forcimi i kontrolleve parandaluese duhet të jetë pjesë e procesit të vazhdueshëm të menaxhimit të rreziqeve të TI-së dhe zhvillimit të institucionit.
Për tejkalimin e gjendjeve të konstatuara, janë dhënë rekomandime që synojnë miratimin e një strategjie gjithëpërfshirëse të TI-së, përmirësimin e politikave dhe procedurave për sigurinë e informacionit, forcimin e kapaciteteve të TI-së, përmirësimin e menaxhimit të qasjeve dhe burimeve të TI-së, sigurimin dhe monitorimin e rregullt të përditësimeve të sigurisë, përmirësimin e sistemit të kopjeve rezervë, si dhe hartimin e planeve për vazhdimësinë e punës dhe rikuperimin pas katastrofave.
Burimi i lajmit: ina-online.net
Shënim: Ky material është përpunuar për qëllime informimi nga Portali Kosova.Today.
