ДЗР: Слабости во ИТ-безбедноста на ПИОМ

Слабости во стратешкото управување, недостиг од ИТ-кадар и недоволни безбедносни контроли утврдил Државниот завод за ревизија при ревизијата на информацискиот систем на Фондот за пензиското и инвалидското осигурување. Според ревизорскиот извештај, потребно е зајакнување на превентивните мерки за заштита на информациите и ИТ-ресурсите, со цел да се обезбеди сигурно и непречено остварување на услугите кон граѓаните.

Во Секторот за информатика на Фондот се пополнети само 17 од вкупно 57 систематизирани работни места, односно 30 проценти. Особено неповолна е состојбата во Одделението за ИТ-инфраструктура и поддршка, каде што е пополнето само едно од 13 работни места. Во Фондот нема ниту вработени лица задолжени за информациска безбедност.

Ревизијата утврдила дека Фондот нема усвоена ИТ-стратегија, а дел од процедурите не се ажурирани или одобрени. Не биле спроведени ниту законски задолжителните проценки на ризиците. Последната обука за ИТ-вештини била реализирана во 2022 година, додека планираните набавки на обуки за 2024 и 2025 година не биле реализирани.

Слабости се констатирани и во планирањето и обезбедувањето средства за ИТ-инфраструктурата и информациската безбедност. Во 2024 година, договорите за јавни набавки за ИТ изнесувале 12,393 милиони денари, односно 2,04 проценти од вкупните расходи на Фондот без социјалните бенефиции. Планираната набавка на дата-центар за складирање податоци, дисковен систем и оптички преклопници не била реализирана поради ограничени финансиски средства.

Според ревизорскиот извештај, во употреба има сервери и работни станици со оперативни системи за кои производителот повеќе не обезбедува поддршка, како и работни станици без ажурирана антивирусна заштита. Безбедносните надградби не биле ажурирани од 2023 година, а не се применува ниту дополнителна заштита на корисничките сметки. Не е воспоставена соодветна мрежна сегментација.

Утврдените слабости, предупредува ДЗР, создаваат ризик од губење податоци, неможност за нивно навремено враќање и подолги прекини во функционирањето на информацискиот систем. Недостатоци се констатирани и во физичката безбедност: пристапот до серверските простории не се евидентира електронски и не е проследен со видеонадзор, системите за гасење пожар не се одржуваат редовно, а во одделни подрачни единици резервното напојување е неисправно.

Фондот нема пропишани и одобрени планови за континуитет во работењето и за обновување по катастрофи, ниту утврдени задолженија и конкретни активности за одговорните лица при инциденти поврзани со информациската безбедност.

ДЗР наведува дека во 2024 година биле идентификувани закани и ранливости на мрежната опрема и биле дадени препораки за нивно надминување. Сепак, во периодот на ревизијата, Фондот немал преземено мерки за отстранување на утврдените слабости.

За надминување на состојбите, ревизорите препорачуваат донесување сеопфатна ИТ-стратегија, унапредување на политиките и процедурите за информациска безбедност, зајакнување на кадровските капацитети, редовно ажурирање на безбедносните системи и воспоставување планови за континуитет и обновување по катастрофи.