Miesięcznik informatyków i menedżerów IT sektora publicznego

Jacek Orłowski

Dlaczego warto chronić instytucje publiczne

W myśl powszechnie obowiązującej zasady, jeśli coś ma być zrobione dobrze, to na pewno nie będzie to szybko lub tanio. Nie inaczej jest z bezpieczeństwem informatycznym w urzędach, w których mimo prawnych obowiązków często nie dba się należycie o ochronę.

Ataki na infrastrukturę informatyczną urzędów są coraz częstsze. Firma badawcza Control Risks szacuje, że już około 1/3 cyberataków jest skierowana przeciwko sektorowi publicznemu. Eksperci z firmy Eset zauważyli z kolei, że niedawno na celowniku przestępców znalazły się polskie, czeskie, słowackie, węgierskie i ukraińskie instytucje powiązane ze wzrostem gospodarczym i współpracą w Europie Środkowej i Wschodniej. Według najnowszego „Security Report” firmy Check Point codziennie na świecie powstaje milion nowych wirusów, których efektem jest utrata danych, a Polska znajduje się wśród państw z największą ilością zainfekowanych witryn. Wzrost liczby ataków na polskie urzędy odnotował też Rządowy Zespół Reagowania na Incydenty Komputerowe (patrz: s. 18).

– Próby ataków o potencjalnie poważnych skutkach mają miejsce codziennie. Właściwie dzieje się tak nieustannie, bo dziś są one realizowane automatycznie – mówi Mirosław Maj, prezes Fundacji Bezpieczna Cyberprzestrzeń. I choć według statystyk urzędy narażone są przede wszystkim na phishing oraz ataki DDoS, to specjaliści podkreślają, że coraz częściej zdarzają się ataki dedykowane. Mają one na celu przełamanie zabezpieczeń konkretnej organizacji. – Trudno ocenić, ile z nich jest skutecznych oraz wykrywanych – konstatuje Maj. Z kolei Marcin Kurpiewski, ekspert ds. bezpieczeństwa i były pracownik Ministerstwa Finansów, podkreśla: – Najgorsze w skutkach, a zarazem najłatwiejsze do przeprowadzenia są ataki socjotechniczne. Myli się ten, kto uważa, że instytucje publiczne nie są atrakcyjnym celem dla włamywaczy.

Gdzie są publiczne pieniądze

Bez wątpienia ochrona infrastruktury teleinformatycznej kosztuje. Co jednak istotne: brak skutecznych zabezpieczeń także. Ceną może być utrata danych, wizerunku, ale co gorsza, pieniędzy. Boleśnie przekonał się o tym w lutym 2014 r. urząd gminy Gidle, z którego konta zniknęło 317 tys. złotych przeznaczonych na wynagrodzenia pracowników. W podobnej sytuacji kilka miesięcy później znalazł się urząd miejski w Jaworznie. Tu jednak strata była trzykrotnie wyższa, bo z konta „wyparowało” blisko milion złotych. Co ciekawe, był to jeden z pierwszych ujawnionych ataków dedykowanych na administrację samorządową. Przestępcy wykorzystali w nim znajomość używanego w jednostce oprogramowania Besti@ i poprzez spreparowaną domenę budzetjsf.pl skutecznie przemycili do systemu urzędu wirusa. Pozwoliło im to przez długi okres monitorować pracę księgowości i przygotować wyłudzenie. Niechlubny rekord należy jednak do Podlaskiego Zarządu Dróg Wojewódzkich, którego pracownicy dali się w 2015 r. przekonać do przelania 3,7 mln złotych na niewłaściwy rachunek. – W tej historii nie było strasznych wirusów, wielkich dziur w systemach IT ani spektakularnego hakowania. Złodzieje przeprowadzili jednak bardzo szczegółowy rekonesans – wiedzieli dokładnie, komu i w jakim czasie urząd ma zapłacić faktury za przeprowadzone prace drogowe. Następnie sporządzili i wysłali fałszywe pismo informujące o zmianie numeru konta wykonawcy – relacjonuje sprawę Piotr Konieczny, szef zespołu Niebezpiecznik.pl, firmy zajmującej się audytami bezpieczeństwa.

[...]

Autor jest redaktorem naczelnym „IT w Administracji"


Pełna treść artykułu jest dostępna w papierowym wydaniu pisma. Zapraszamy do składania zamówień na prenumeratę i numery archiwalne.
 
 

Polecamy

Biblioteka Informacja Publiczna

Specjalistyczne publikacje książkowe dla pracowników administracji publicznej

więcej