Ekspert o cyberatakach na samorządy: kradzież danych osobowych to dopiero początek zagrożeń

Większość polskich samorządów wykazuje krytyczne braki w ochronie przed cyberatakami. Kradzież danych osobowych mieszkańców to dopiero początek łańcucha zagrożeń – ocenił ekspert think tanku Obserwatorium Bezpieczeństwa Sergiusz Parszowski.

W lutym ofiarą ataku ransomware (polegają na zaszyfrowaniu danych przez cyberprzestępców) padła gmina Obrazów. To kolejna odsłona uderzeń w samorządy po incydentach m.in. w Wadowicach, Żorach, Bartoszycach czy Piszu. Polska jest w czołówce krajów narażonych na cyberataki w Europie.

– Ocena przygotowania polskich samorządów do zagrożeń w cyberprzestrzeni jest niestety przygnębiająca – powiedział PAP Sergiusz Parszowski, prezes think tanku Obserwatorium Bezpieczeństwa. – Zdecydowana większość samorządów jest bardzo słabo przygotowana na tego typu zagrożenia, a w niektórych przypadkach można wręcz stwierdzić brak jakichkolwiek istotnych działań w celu zabezpieczenia sieci i systemów teleinformatycznych – dodał.

Zaznaczył, że zapewnienie cyberbezpieczeństwa należy rozpatrywać przez pryzmat trzech kluczowych elementów. Pierwszym jest infrastruktura. Wiele samorządów nie ma odpowiednich zabezpieczeń serwerów i sieci, systemów monitorowania czy narzędzi do zarządzania uprawnieniami użytkowników i bezpiecznej pracy zdalnej. Drugim obszarem są procedury. Często ich brakuje, a jeśli istnieją, bywają zbyt sformalizowane i ogólne, przez co tracą swoją praktyczną wartość dla pracowników.

Trzecim krytycznym filarem są kompetencje ludzi.

– Nawet najlepsze systemy nie uchronią nas w pełni przed celowanym atakiem, jeśli personel nie będzie mógł rozpoznać phishingu, fałszywego oprogramowania czy podejrzanego linku. Szybka reakcja pracownika często pozwala zminimalizować skutki incydentu – zaznaczył.

Ekspert zwrócił uwagę, że analizy Najwyższej Izby Kontroli niestety wykazują, że ochrona danych w samorządach często istnieje tylko w warstwie formalnej, a brakuje realnych zabezpieczeń cyfrowych. Urzędnicy często nie wiedzą, jak tworzyć silne hasła, korzystać z menedżerów haseł czy szyfrować dokumenty za pomocą podstawowych i dostępnych narzędzi biurowych.

– Kradzież danych osobowych mieszkańców to dopiero początek łańcucha zagrożeń – zaznaczył. – Wykradzione informacje trafiają na czarny rynek, gdzie są sprzedawane i wykorzystywane do profilowania osób pod kątem kolejnych, bardziej precyzyjnych ataków. Celem przestępców jest przejęcie kont w różnych systemach: od poczty elektronicznej i sklepów internetowych aż po usługi bankowe i inne cyfrowe platformy, z których na co dzień korzystamy – dodał.

Zagrożenie ma jednak szerszy wymiar. Skuteczny atak może doprowadzić do zaszyfrowania lub całkowitego zniszczenia danych urzędu. W takim przypadku gmina może stracić możliwość świadczenia podstawowych usług publicznych na wiele tygodni. Dla mieszkańca oznacza to paraliż spraw codziennych: brak możliwości zarejestrowania pojazdu, problemy z transportem publicznym czy opóźnienia w wypłacie świadczeń z pomocy społecznej.

Szczególnie niebezpieczna jest utrata lub nieuprawniona modyfikacja danych archiwalnych i geodezyjnych. Jeśli rejestry dotyczące mienia czy nieruchomości, zostaną zmienione lub zniszczone, a urząd nie miał odpowiedniej kopii zapasowej, mieszkańcy i przedsiębiorcy mogą mieć ogromne trudności z dochodzeniem swoich roszczeń, prostowaniem spraw własnościowych czy właściwym naliczaniem podatków.

Najbardziej dramatyczne skutki wiążą się z atakami na infrastrukturę krytyczną, w tym na szpitale samorządowe.

– Brak dostępu do danych medycznych zmusza do odwoływania operacji i przekładania zabiegów ratujących życie. Na świecie znane są już przypadki, w których paraliż systemów informatycznych w placówkach ochrony zdrowia doprowadził do śmierci pacjentów – ostrzegł.

Dodał, że budowanie odporności musi zacząć się od rzetelnego audytu – infrastruktury, procedur i kompetencji pracowników. Pozwala to na stworzenie realistycznego planu działania. Jako pozytyw wskazał to, że samorządy chętnie sięgają po zewnętrzne środki rządowe, na przykład z programu Cyberbezpieczny Samorząd, na infrastrukturę czy działania miękkie. Jednak jednocześnie wiele jednostek nie jest skłonnych wydawać na ten cel własnych pieniędzy. (PAP)

wdz/ joz/