Застарена опрема, неажурирани системи и недостиг од кадар: Сериозни пропусти во ИТ-безбедноста на ПИОМ

Државниот завод за ревизија утврдил сериозни слабости во информациската безбедност на Фондот на пензиското и инвалидското осигурување на Македонија. Од 57 систематизирани работни места во ИТ-секторот, пополнети се само 17, а во 2024 година средствата за информациска безбедност изнесувале само еден денар на секои 10.000 денари исплатени пензии.

Ревизорите предупредуваат дека недостигот од стручни кадри, застарената опрема и неажурираните безбедносни системи создаваат ризици за заштитата на личните податоци и непреченото функционирање на услугите за граѓаните.

— реклама —

Особено загрижувачка е состојбата во Одделението за ИТ-инфраструктура и поддршка, каде што е пополнето само едно од 13 работни места. Дополнително, во Фондот нема вработени задолжени за информациска безбедност. Последната обука за ИТ-вештини била спроведена во 2022 година, додека планираните обуки за 2024 и 2025 година не биле реализирани.

Слабости се забележани и во инвестициите. Во 2024 година, договорите за јавни набавки поврзани со ИТ изнесувале 12,393 милиони денари, односно 2,04 проценти од вкупните расходи на Фондот, без социјалните бенефиции. Планираната набавка на центар за податоци, дисковен систем и оптички преклопници не била реализирана поради недостиг од финансиски средства.

— реклама —

Ревизорите утврдиле и употреба на сервери и работни станици со оперативни системи за кои веќе нема поддршка од производителите, како и компјутери без ажурирана антивирусна заштита. Безбедносните надградби не биле ажурирани од 2023 година, а не се применувала ниту дополнителна заштита на корисничките сметки и соодветна мрежна сегментација.

Проблеми има и во физичката заштита на ИТ-инфраструктурата. Пристапот до серверските простории не се евидентира електронски и не е покриен со видеонадзор, системите за гасење пожар не се одржуваат редовно, а во одделни подрачни единици резервното напојување е неисправно.

— реклама —

Дополнително, Фондот нема одобрени планови за континуитет во работењето и обновување по катастрофи, ниту јасно утврдени задолженија за одговорните лица при безбедносни инциденти. Според ревизорите, ваквите пропусти можат да доведат до губење податоци и подолги прекини во работењето, што би ја загрозило достапноста на услугите за осигурениците и пензионерите.

Иако во 2024 година биле направени анализи на ИТ-инфраструктурата и мрежните уреди, при кои биле утврдени безбедносни ризици и ранливости, Фондот не презел мерки за надминување на дел од констатираните слабости во мрежната опрема.

Државниот завод за ревизија препорачува донесување сеопфатна ИТ-стратегија, зајакнување на стручните капацитети, редовно ажурирање на безбедносните системи, подобрување на контролата на пристапот и воспоставување планови за континуитет и обновување по катастрофи.

Ревизорите нагласуваат дека сигурноста и достапноста на податоците се од клучно значење за Фондот, бидејќи од неговото работење зависи остварувањето на правата од пензиското и инвалидското осигурување.