ESHR: Dobësi të rënda në mbrojtjen kibernetike të Fondit Pensional, të dhënat e qytetarëve janë në rrezik

Enti shtetëror për revizion (ESHR) ka evidentuar mangësi në hartimin dhe zbatimin e masave parandaluese për sigurinë informatike në Fondin për Sigurimin Pensional dhe Invalidor të Maqedonisë së Veriut. Sipas institucionit, nevojitet përmirësimi i kontrolleve që mbrojnë informacionet dhe burimet e TI-së, në mënyrë që shërbimet për qytetarët të ofrohen pa pengesa.

Gjetjet dolën nga revizioni i suksesit me temë “Zbatimi i masave parandaluese për sigurinë e informacionit në sistemin e TI-së të Fondit për sigurimin pensional dhe invalidor të Maqedonisë së Veriut”. ESHR vlerëson se dobësitë e konstatuara ndikojnë drejtpërdrejt në nivelin e përgjithshëm të mbrojtjes së të dhënave dhe burimeve teknologjike që përdoren për administrimin e të drejtave pensionale dhe invalidore.

“Me revizionin e kryer është konkluduar se zbatimi i masave parandaluese për sigurinë e informacionit në sistemin e TI-së të Fondit për Sigurimin Pensional dhe Invalidor paraqet dobësi që ndikojnë në nivelin e përgjithshëm të mbrojtjes efektive të informacionit dhe burimeve të TI-së, përmes të cilave menaxhohen të dhënat e përfituesve, të drejtat e të cilëve realizohen ekskluzivisht përmes Fondit”, thuhet në kumtesën e ESHR-së.

Revizioni ka nxjerrë në pah se Fondit i mungon një qasje strategjike dhe e integruar për sigurinë e TI-së. Strategjia e TI-së nuk është miratuar, disa procedura janë të vjetruara ose të pamiratuara, ndërsa nuk janë kryer as vlerësimet e rrezikut që kërkohen me ligj. Probleme janë gjetur edhe në kapacitetet njerëzore, planifikimin dhe sigurimin e burimeve të TI-së, zbatimin e kontrolleve mbrojtëse dhe përgatitjen për menaxhimin e incidenteve apo ndërprerjeve të funksionimit.

Sektori i Informatikës ka një numër të pamjaftueshëm punonjësish. Nga 57 vendet e sistematizuara të punës, janë plotësuar vetëm 17, ose 30%. Situata është veçanërisht problematike në Njësinë për Infrastrukturë dhe Mbështetje të TI-së, ku është plotësuar vetëm një prej 13 vendeve të punës dhe nuk ka asnjë punonjës me përgjegjësi për sigurinë e informacionit.

ESHR vlerëson se mungesa e stafit dhe e ekspertizës profesionale e vështirëson administrimin efikas të sistemit të TI-së, zgjidhjen në kohë të problemeve dhe aplikimin e masave të sigurisë.

Sa i përket zhvillimit profesional, trajnimi i fundit për aftësitë në fushën e TI-së është zhvilluar në vitin 2022. Gjatë vitit 2023, në faqen e internetit të MKD-CIRT u publikua një trajnim online për ndërgjegjësimin mbi sigurinë e informacionit. Megjithatë, pas këtij aktiviteti nuk u zhvilluan trajnime të tjera për rritjen e vetëdijes dhe as ushtrime praktike për të testuar aftësinë e punonjësve për identifikimin dhe përballimin e kërcënimeve të sigurisë. Gjithashtu, prokurimet e planifikuara për trajnimet e aftësive në TI për vitet 2024 dhe 2025 nuk u realizuan.

Dobësi janë konstatuar edhe në planifikimin dhe sigurimin e fondeve për infrastrukturën e TI-së dhe sigurinë e informacionit. Gjatë vitit 2024, vlera totale e kontratave të lidhura për prokurime publike në fushën e TI-së ishte 12.393 mijë denarë, që përfaqësonte 2,04% të shpenzimeve të përgjithshme të Fondit, pa përfshirë përfitimet sociale.

Për shkak të kufizimeve financiare nuk u realizua blerja e planifikuar e një qendre të të dhënave për ruajtjen e informacionit, e një sistemi të disqeve dhe e komutatorëve optikë. Sipas analizës së revizionit, fondet shpenzohen kryesisht për mirëmbajtjen e zakonshme të sistemeve, ndërsa një pjesë e rëndësishme e veprimeve për sigurinë e informacionit nuk është parashikuar në investimet e planifikuara.

Në vitin 2024, shpenzimet për sigurinë e informacionit përbënin vetëm 1 denar për çdo 10.000 denarë pensione të përllogaritura dhe të paguara.

Mosrealizimi i prokurimeve kufizon mundësinë për rinovimin e pajisjeve të vjetruara dhe krijon periudha gjatë të cilave pajisjet kryesore mbeten pa mirëmbajtje. Në përdorim janë gjetur serverë dhe stacione pune me sisteme operative që nuk mbështeten më nga prodhuesi, si dhe stacione pune ku mbrojtja antivirusore nuk është përditësuar. Po ashtu, janë vërejtur mangësi në mekanizmat e kontrollit të qasjes në sistemin e TI-së.

Probleme të tjera lidhen me administrimin e llogarive të përdoruesve dhe përditësimeve të sigurisë, mbrojtjen e rrjetit dhe menaxhimin e burimeve të TI-së. Për llogaritë e përdoruesve nuk aplikohet një nivel shtesë sigurie, ndërsa rrjeti nuk është segmentuar në mënyrën e duhur. Përditësimi i arnimeve të sigurisë nuk është kryer që nga viti 2023.

Sipas ESHR-së, këto mangësi rrisin rrezikun e humbjes së të dhënave, vështirësojnë rikthimin në kohë të informacionit dhe mund të shkaktojnë ndërprerje më të gjata të funksionimit të sistemit informativ.