Cyberbezpieczeństwo gmin
Czym jest zarządzanie cyberbezpieczeństwem w gminach? Jakie zagrożenia codziennie dotykają miasta i gminy w całej Polsce? W jaki sposób mądrze podnieść poziom cyber, spełnić wymagania wynikające z dyrektywy NIS2 i jednocześnie nie zbankrutować? Niniejszy artykuł udziela odpowiedzi na te pytania, omawiając kluczowe zagrożenia oraz najlepsze rozwiązania technologiczne, które pozwolą skutecznie zabezpieczyć infrastrukturę IT samorządów.
W dobie cyfryzacji, kiedy coraz więcej usług publicznych przenosi się do przestrzeni online, cyberbezpieczeństwo staje się kluczowym elementem zarządzania gminą. Ochrona danych mieszkańców, sprawność działania systemów informatycznych oraz budowanie zaufania społecznego to priorytety, które wymagają kompleksowego podejścia. Coraz częściej w tym kontekście wspomina się o zarządzaniu cyberbezpieczeństwem (ang. cyber security governance), czyli sposobie, w jakim kontroluje się i kieruje podejściem organizacji do cyberbezpieczeństwa.
Do prawidłowego zarządzania cyberbezpieczeństwem niezbędne jest wdrożenie czterech kluczowych elementów:
- polityki bezpieczeństwa informacji (określenie zasad ochrony danych oraz procedur reagowania na incydenty),
- szkoleń dla pracowników (edukacja na temat zagrożeń i bezpiecznego korzystania z systemów informatycznych),
- systemów monitorowania i wykrywania zagrożeń (wdrożenie rozwiązań technologicznych, które analizują ruch sieciowy i wykrywają anomalie) oraz
- reagowania na incydenty (opracowanie planów działania w przypadku cyberataku, w tym procedur przywracania systemów do działania).
Podobne elementy znaleźć można w dyrektywie NIS2, którą Państwo Polskie zobowiązane jest wdrożyć w najbliższym czasie. Wymogi NIS2 mają bezpośredni wpływ na gminy, które są zobowiązane do wdrożenia zaawansowanych środków ochrony danych i systemów informatycznych. Zgodnie z Dyrektywą gminy muszą m.in.: przeprowadzać regularne audyty bezpieczeństwa (oceniające stan zabezpieczeń systemów informatycznych), wdrażać polityki zarządzania ryzykiem (identyfikujące i minimalizujące potencjalne zagrożenia), zapewniać ciągłość działania (poprzez tworzenie planów awaryjnych i procedur odzyskiwania danych) czy regularnie szkolić pracowników, przede wszystkim w zakresie świadomości cyberzagrożeń i bezpiecznych praktyk korzystania z technologii.
CYBERZAGROŻENIA
Gminy, jako jednostki samorządu terytorialnego, są szczególnie narażone na różnego rodzaju cyberzagrożenia, które mogą mieć poważne konsekwencje zarówno dla administracji, jak i mieszkańców.
Jednym z największych zagrożeń są ataki typu ransomware, które mogą sparaliżować działanie urzędów, uniemożliwiając dostęp do systemów informatycznych i danych. W przypadku takiego ataku gminy mogą stracić dostęp do kluczowych usług, takich jak systemy meldunkowe, podatkowe czy rejestry mieszkańców, co bezpośrednio wpłynie na jakość życia obywateli. Dodatkowo ataki typu ransomware często wiążą się z żądaniem okupu, co może prowadzić do znaczących strat finansowych.
Kolejnym poważnym zagrożeniem są wycieki danych, które mogą narazić na szwank prywatność mieszkańców. Gminy przechowują ogromne ilości wrażliwych informacji, takich jak dane osobowe, numery PESEL, informacje o nieruchomościach czy dane medyczne. W przypadku wycieku te informacje mogą zostać wykorzystane przez cyberprzestępców do kradzieży tożsamości, oszustw finansowych czy innych form nadużyć. Skutki takich incydentów mogą być długotrwałe i trudne do naprawienia, prowadząc do utraty zaufania mieszkańców do lokalnych władz.
Nie można również zapominać o phishingu, który stanowi realne zagrożenie zarówno dla pracowników gminy, jak i mieszkańców. Cyberprzestępcy często wykorzystują fałszywe e-maile lub strony internetowe, aby wyłudzić poufne informacje, takie jak hasła czy dane logowania. W przypadku udanego ataku phishingowego przestępcy mogą uzyskać dostęp do systemów informatycznych gminy, co może prowadzić do dalszych ataków, takich jak kradzież danych czy infekcja złośliwym oprogramowaniem.
Niedopełnienie obowiązków w zakresie cyberbezpieczeństwa może skutkować poważnymi konsekwencjami prawnymi dla burmistrzów i osób zarządzających gminami. Dyrektywa NIS2 przewiduje wysokie kary finansowe za nieprzestrzeganie wymogów, a w skrajnych przypadkach nawet odpowiedzialność karną. Burmistrzowie, jako osoby odpowiedzialne za funkcjonowanie gminy, ponoszą odpowiedzialność za zapewnienie odpowiedniego poziomu cyberbezpieczeństwa. Ignorowanie zagrożeń, jak i brak działań w tym zakresie, mogą skutkować zarzutami niedopełnienia obowiązków służbowych, co może prowadzić do postępowania dyscyplinarnego, a nawet utraty stanowiska.
W Polsce odnotowano już przypadki oszustw w gminach, które miały poważne konsekwencje.
Jednym z przykładów jest sprawa wyłudzenia środków publicznych poprzez fałszowanie faktur i dokumentów w gminie Człuchów. W wyniku tego oszustwa mała gmina straciła kilkadziesiąt tysięcy złotych. Dzięki sprawnym działaniom policji sprawcy zostali zatrzymani, a część środków udało się odzyskać.
Inny przykład to atak ransomware w 2021 r. na systemy informatyczne Urzędu Gminy Otwock, który sparaliżował działanie urzędu na kilka dni i naraził mieszkańców na utratę danych osobowych. W wyniku tego incydentu gmina musiała ponieść koszty przywrócenia systemów do działania, a burmistrz był zmuszony do publicznych przeprosin.
Również w 2021 r. głośnym echem odbiła się sprawa oszustwa vishingowego w gminie Konstancin-Jeziorna, gdzie oszuści, podszywając się pod pracowników banku, wyłudzili od urzędników
5 milionów złotych. W wyniku manipulacji i wprowadzenia w błąd urzędnicy przekazali oszustom pieniądze, które zniknęły. Prokuratura wszczęła śledztwo w tej sprawie, a zarzuty usłyszeli burmistrz oraz skarbnik gminy. Na poczet pokrycia kar zajęte przez prokuraturę zostało prywatne mieszkanie burmistrza. Proces w tej sprawie jest w toku.
Ten incydent, jak i wcześniejsze, dosadnie pokazuje, jak podatne na oszustwa mogą być instytucje publiczne, i podkreśla, jak ważne jest szkolenie pracowników, wdrażanie procedur weryfikacji tożsamości oraz stosowanie zabezpieczeń systemów informatycznych. Konsekwencje oszustw w gminach są nie tylko finansowe, ale także wizerunkowe i mogą prowadzić do utraty zaufania mieszkańców.
W każdym z wymienionych powyżej aspektów wsparcia może udzielić NASK S.A. Spółka oferuje zarówno wymagane audyty, szkolenia, jak i testy phishingowe, pozwalające regularnie sprawdzać czujność pracowników gminy. Ponadto w ofercie NASK S.A. znaleźć można rozwiązanie podnoszące zdolność ochrony sieci – nanoSOC. Ułatwia ono raportowanie incydentów, wykrywanie luk w systemach oraz konsultacje eksperckie z czołowymi analitykami.
NASK S.A. oferuje również rozwiązania światowej klasy dostawców oprogramowania klasy EDR (Endpoint Detection and Response), które pozwala monitorować aktywność pracowników gminy na ich urządzeniach końcowych (komputerach, laptopach) i wykrywać podejrzane działania w czasie rzeczywistym. Rozwiązanie to może ustrzec gminę przed atakiem phishingowym czy nawet groźbą zaszyfrowania systemów poprzez atak ransomware.
Bezpieczeństwo cyfrowe w gminach to nie tylko kwestia technologii, ale także odpowiedniej strategii, przemyślenia i organizacji. Opiekunowie klientów NASK S.A. z wielką przyjemnością wesprą każdego poszukującego skutecznych rozwiązań w znalezieniu ich oraz doradzą, jakie elementy są kluczowe do ochrony we wskazanym podmiocie.
Bartłomiej Wichniarz
Dyrektor Pionu Biznesu NASK S.A.
Bartosz Biderman
Menedżer ds. Produktu NASK S.A.
