Enti Shtetëror i Revizionit (EShR) ka konstatuar një sërë dobësish në hartimin dhe zbatimin e masave parandaluese për sigurinë e informacionit në Fondin e Sigurimeve Pensionale dhe Invalidore të Maqedonisë (FSPIM). Mungesa e personelit të specializuar, infrastruktura e vjetruar teknologjike dhe mangësitë në mbrojtjen e të dhënave përbëjnë disa nga problemet kryesore të evidentuara në raportin e auditimit, përcjell Nistori.
Mungesa e personelit profesional, infrastruktura e vjetruar e teknologjisë së informacionit, mungesa e një qasjeje strategjike gjithëpërfshirëse ndaj sigurisë kibernetike, mosmiratimi i strategjisë së IT-së, si dhe procedurat e papërditësuara dhe të pamiratuara për trajtimin e incidenteve janë ndër dobësitë kryesore që, sipas Enti Shtetëror, rrezikojnë mbrojtjen e të dhënave të qytetarëve që realizojnë të drejtat e tyre përmes Fondit.
Auditimi është kryer për të vlerësuar nëse në sistemin informatik të Fondit janë zbatuar masat e nevojshme parandaluese për sigurinë e informacionit, përmes të cilit qytetarët realizojnë të drejtat e tyre nga sigurimi pensional dhe invalidor.
Mungesë serioze e personelit profesional
Një nga problemet më shqetësuese të evidentuara nga Enti Shtetëror është mungesa e kapaciteteve njerëzore në sektorin e teknologjisë së informacionit.
Sipas raportit, nga 57 vende pune të parashikuara në strukturën organizative të këtij sektori, janë plotësuar vetëm 13, që përbëjnë rreth 23 për qind të kapaciteteve të nevojshme.
Gjendja është veçanërisht shqetësuese në Departamentin e Infrastrukturës dhe Mbështetjes së IT-së, ku nga 13 vende pune të parashikuara është plotësuar vetëm një. Për më tepër, Fondi nuk ka asnjë punonjës të ngarkuar posaçërisht me sigurinë e informacionit.
“Mungesa e personelit dhe e njohurive profesionale kufizon mundësitë për menaxhimin efikas të sistemit informatik, zgjidhjen në kohë të problemeve dhe zbatimin e kontrolleve të sigurisë”, thuhet në raportin e Entit Shtetëror të Revizionit.
Sa u përket trajnimeve profesionale, auditimi ka konstatuar se trajnimi i fundit për zhvillimin e aftësive në fushën e IT-së është mbajtur në vitin 2022. Ndërkaq, në vitin 2023, në faqen e internetit të MKD-CIRT është publikuar një trajnim online për ndërgjegjësimin mbi sigurinë e informacionit.
Pas kësaj periudhe nuk janë organizuar aktivitete të tjera ndërgjegjësuese dhe as janë zhvilluar teste praktike për të vlerësuar gatishmërinë e punonjësve për identifikimin dhe përballimin e kërcënimeve të sigurisë.
“Prokurimi i planifikuar për trajnimet në fushën e IT-së për vitet 2024 dhe 2025 nuk është realizuar”, theksohet në raport.
Investime të kufizuara në sigurinë e informacionit
Enti ka evidentuar gjithashtu dobësi në planifikimin dhe sigurimin e mjeteve financiare për mirëmbajtjen dhe modernizimin e infrastrukturës informatike, si dhe për mbrojtjen e informacionit.
Në vitin 2024, për këtë sektor janë ndarë vetëm 2,04 për qind e shpenzimeve të përgjithshme të Fondit, duke përjashtuar pagesat për përfitimet sociale.
“Në vitin 2024, vlera e përgjithshme e kontratave të lidhura për prokurime publike në fushën e IT-së arriti në 12.393.000 denarë, përkatësisht rreth 201.500 euro, që përfaqëson 2,04 për qind të shpenzimeve të përgjithshme të Fondit, pa përfshirë përfitimet sociale”, thuhet në raport.
Sipas Entit Shtetëror të Revizionit, për shkak të mungesës së mjeteve financiare nuk është realizuar prokurimi i planifikuar i një qendre për ruajtjen e të dhënave, i një sistemi për ruajtjen e tyre në disqe dhe i pajisjeve të rrjetit me fibra optike.
Analiza ka treguar se pjesa më e madhe e mjeteve financiare shpenzohet për mirëmbajtjen e vazhdueshme të sistemeve ekzistuese, ndërsa një numër i konsiderueshëm aktivitetesh që lidhen drejtpërdrejt me sigurinë e informacionit mbeten jashtë investimeve të planifikuara.
Sipas raportit, në vitin 2024, mjetet financiare të ndara për sigurinë e informacionit përbënin vetëm një denar për çdo 10.000 denarë pensione të përllogaritura dhe të paguara.
Serverë të vjetruar dhe sisteme pa mbrojtje të përditësuar
Një tjetër problem serioz i identifikuar gjatë auditimit është përdorimi i serverëve dhe sistemeve operative të vjetruara, për të cilat prodhuesit nuk ofrojnë më mbështetje teknike dhe përditësime të sigurisë.
Si pasojë, në sistemin informatik të Fondit janë evidentuar edhe kompjuterë pa mbrojtje të përditësuar antivirus.
Auditorët kanë konstatuar dobësi në menaxhimin e qasjes së përdoruesve, zbatimin e përditësimeve të sigurisë, mbrojtjen e rrjetit dhe administrimin e burimeve informatike.
Sipas raportit, nuk zbatohen mekanizma shtesë për mbrojtjen e llogarive të përdoruesve dhe nuk është vendosur një ndarje e përshtatshme e rrjetit në segmente të veçanta, me qëllim kufizimin e rreziqeve të sigurisë.
Për më tepër, përditësimet e sigurisë nuk janë zbatuar që nga viti 2023.
“Këto kushte paraqesin rrezik për humbjen e të dhënave, pamundësinë e rikthimit të informacionit në kohë dhe ndërprerje të zgjatura të funksionimit të sistemit informatik”, paralajmëron Enti Shtetëror.
Dhomat e serverëve pa mbikëqyrje elektronike dhe video
Enti ka identifikuar mangësi edhe në sigurinë fizike të infrastrukturës informatike të Fondit.
Sipas raportit, hyrjet dhe daljet në dhomat ku ndodhen serverët nuk regjistrohen në mënyrë elektronike dhe nuk monitorohen përmes kamerave të sigurisë.
Gjithashtu, sistemet për shuarjen e zjarrit nuk mirëmbahen rregullisht, ndërsa në disa njësi rajonale janë konstatuar dëmtime në sistemet rezervë të furnizimit me energji elektrike.
Një tjetër mangësi është mungesa e planeve të përcaktuara dhe të miratuara për vazhdimësinë e funksionimit të institucionit dhe rikuperimin e sistemeve në rast fatkeqësish ose incidentesh të rënda.
Fondi nuk ka as një përcaktim të qartë të përgjegjësive të personave që duhet të veprojnë në rast incidentesh të sigurisë së informacionit.
Sipas auditorëve, këto dobësi mund të shkaktojnë humbje të të dhënave, vështirësi në rikuperimin e sistemeve dhe ndërprerje të zgjatura të punës, duke ndikuar drejtpërdrejt në ofrimin e shërbimeve për personat e siguruar dhe pensionistët.
Dobësitë ishin identifikuar, por nuk ishin marrë masa
Në vitin 2024, një subjekt i jashtëm kishte kryer një analizë të mjedisit operativ dhe infrastrukturës informatike të Fondit, me qëllim identifikimin e rreziqeve dhe dhënien e rekomandimeve për përmirësimin e sigurisë.
Gjatë kësaj analize ishin evidentuar kërcënime dhe dobësi të ndryshme, ndërsa ishin propozuar masa konkrete për eliminimin e tyre.
Megjithatë, pavarësisht rekomandimeve të dhëna, gjatë periudhës së auditimit Fondi nuk kishte ndërmarrë masa për eliminimin e dobësive të identifikuara në pajisjet e rrjetit.
Enti kërkon masa urgjente për forcimin e sigurisë
Për tejkalimin e problemeve të evidentuara, Enti Shtetëror i Revizionit ka dhënë një sërë rekomandimesh që synojnë forcimin e sigurisë së informacionit dhe përmirësimin e funksionimit të sistemit informatik të Fondit.
Ndër rekomandimet kryesore janë miratimi i një strategjie gjithëpërfshirëse të IT-së, përmirësimi i politikave dhe procedurave të sigurisë së informacionit, plotësimi i vendeve të punës me personel profesional dhe forcimi i kapaciteteve institucionale.
Gjithashtu, rekomandohet përmirësimi i menaxhimit të qasjes në sistemet informatike, monitorimi dhe zbatimi i rregullt i përditësimeve të sigurisë, forcimi i mekanizmave për ruajtjen e kopjeve rezervë të të dhënave, si dhe hartimi i planeve për vazhdimësinë e funksionimit dhe rikuperimin e sistemeve në rast fatkeqësish.
Enti Shtetëror i Revizionit thekson se siguria, disponueshmëria dhe integriteti i të dhënave të Fondit të Sigurimit Pensional dhe Invalidor janë thelbësore për ofrimin e pandërprerë të shërbimeve ndaj qytetarëve.
Sipas institucionit, forcimi i kontrolleve parandaluese duhet të jetë pjesë e një procesi të vazhdueshëm të menaxhimit të rreziqeve teknologjike dhe zhvillimit institucional. /Nistori/
