Nowoczesne rozwiązania technologiczne znacznie usprawniają działanie samorządów terytorialnych i umożliwiają skuteczne odpowiadanie na potrzeby mieszkańców. Cyfryzacja procesów administracyjnych otwiera jednak furtkę dla hakerów, którzy wykorzystują luki w systemach bezpieczeństwa. Infrastruktura informatyczna urzędów musi być zatem odporna na różnego rodzaju ataki, które mają na celu między innymi dezinformację, utrudnienie funkcjonowania, a często także kradzież danych. Ochrona całych struktur komputerowych jest zatem niezwykle istotna – zwłaszcza z punktu widzenia Jednostek Samorządu Terytorialnego, które przechowują olbrzymie ilości poufnych informacji.

Rozwój elektronicznych usług publicznych

Powiaty, gminy oraz miasta coraz częściej decydują się na wdrożenie systemów, których celem jest nie tylko optymalizacja funkcjonowania całej JST, ale także zwiększenie komfortu obsługi obywateli. Dzięki temu mieszkańcy mogą załatwiać najważniejsze sprawy urzędowe przez Internet, bez konieczności osobistej wizyty w placówce. Z drugiej strony trzeba mieć na uwadze, że postępująca informatyzacja stawia przed instytucjami publicznymi szereg nowych wyzwań, głównie w zakresie cyberbezpieczeństwa. Wprowadzenie elektronicznego obiegu dokumentacji wymaga jednoczesnego podjęcia takich środków, które zagwarantują użytkownikom ochronę przepływu informacji, a ponadto pozwolą zapobiec ewentualnym atakom oraz uniemożliwią wyciek jakichkolwiek plików.

Obowiązki w zakresie cyberbezpieczeństwa

Dbanie o cyberbezpieczeństwo, czyli o zapewnienie odporności systemów informatycznych na działania naruszające poufność, integralność, dostępność i autentyczność danych, jest jednym z zadań, do których realizacji są zobligowane instytucje publiczne na podstawie Ustawy o krajowym systemie cyberbezpieczeństwa. Konsekwencje niedopełnienia tego obowiązku zwykle bywają bardzo poważne w skutkach. Odpowiedzialność w takiej sytuacji spada na konkretną jednostkę i jej kierownika (np. wójta, starostę, burmistrza, prezydenta), a czasem nawet obejmuje poszczególnych pracowników.

Ofiarą hakerów padła w 2019 roku Gmina Kościerzyna, której urząd został zaatakowany przez złośliwe oprogramowanie typu ransomware. Wirus zupełnie zablokował zainfekowane komputery oraz zaszyfrował zawarte na nich dane w celu uzyskania korzyści majątkowej w zamian za ich odtworzenie. Awaria tymczasowo sparaliżowała pracę całego organu, jednak ostatecznie we współpracy z ekspertami udało się opanować krytyczną sytuację.

Dobre praktyki dotyczące cyberbezpieczeństwa

Bezpieczeństwo infrastruktury informatycznej można poprawić już przy niewielkim nakładzie kosztów i czasu. Wystarczy odpowiednia organizacja i pomoc eksperta na etapie wdrożenia. Przedstawiamy osiem przydatnych wytycznych, które pomogą Wam lepiej zadbać o ochronę przed wirtualnymi zagrożeniami:

1. Regularna inwentaryzacja zasobów sprzętowych, ustalenie ich wartości oraz powiązanych z nimi działań – spis i ewidencjonowanie zasobów cyfrowych pozwala je skutecznie monitorować. Dzięki temu obsługa techniczna urzędu może na bieżąco sprawdzać aktualność oprogramowania czy też weryfikować proces dostępu do różnych obszarów, tj. śledzić przydzielane uprawnienia.
2. Zorientowanie ochrony na podatności konkretnych urządzeń – lepiej koncentrować się na własnych słabościach w kontekście struktury zabezpieczeń, niż na potencjalnych zagrożeniach, które mogą nigdy nie wystąpić.
3. Warstwowość zabezpieczeń oraz ich spójność – stosowanie tzw. ochrony pionowej, czyli takiej, która składa się z kilku warstw zabezpieczeń. Dzięki temu w sytuacji, gdy jedna z nich zawiedzie, zawsze jest jeszcze inna, umożliwiająca zatrzymanie ataku.
4. Eliminacja najsłabszych ogniw – należy przeprowadzać cykliczne audyty systemów, służące identyfikacji i wyeliminowaniu punktów ryzyka, które mogłyby stać się łatwym celem dla hakerów.
5. Przydzielanie minimalnych przywilejów – ograniczenie uprawnień pracowników tylko do tych, które są niezbędne do wykonywania przez nich określonych obowiązków.
6. Rozdział obowiązków użytkowników – w przypadku zadań związanych z transferem środków finansowych warto wprowadzić mechanizm wzajemnej kontroli urzędników. Weryfikacja dwuetapowa pozwala zmniejszyć prawdopodobieństwo wystąpienia błędu.
7. Zasada ograniczonego zaufania – pracownicy instytucji publicznych powinni mieć świadomość zagrożeń, jakie płyną ze strony cyberprzestępców. Dobrą praktyką jest organizowanie szkoleń po to, aby zwrócić uwagę na niebezpieczeństwa takie jak np. pobieranie plików z nieznanych źródeł czy wchodzenie w podejrzane linki.
8. Efektywne zarządzanie zmianami – systemy informatyczne trzeba raz na jakiś czas modyfikować, chociażby pod kątem aktualizacji albo konfiguracji funkcjonalności. Należy również pamiętać o kopiach zapasowych, wykonywanych na wypadek awarii.

Cyberbezpieczeństwo w JST wymaga ciągłego dostosowywania, ponieważ metody hakerów oraz sposoby oszustwa nieustannie ewoluują. W dobie powszechnej cyfryzacji instytucji publicznych, kluczową rolę pełni odpowiednia ochrona wrażliwych danych, przetwarzanych przez urzędy. Korzystanie z aktualnego, legalnego oprogramowania, wdrażanie środków zapobiegawczych, a także ciągła edukacja kadry odnośnie pojawiających się zagrożeń to podstawowe zasady, które powinny stanowić absolutny priorytet dla urzędów w zakresie IT.