Firmy Fortinet i PBS od października do grudnia 2015 r. przeprowadziły w 200 urzędach gminnych badanie dotyczące bezpieczeństwa IT. Przeważały (56 proc.) te średniej wielkości (20-49 pracowników), sporo (23 proc.) było też nieco większych (do 99 pracowników). 58 proc. miało 20-49 komputerów i laptopów, a 20 proc. — 50-99 takich urządzeń.
Jak wynika ze sporządzonego po badaniu raportu, samorządowi specjaliści mają dość dobre zdanie o bezpieczeństwie informatycznym w urzędach. Średnia ocena w skali 1-5 wyniosła 3,7, przy czym dla urzędów miejskich było to 4,0, starostw — 3,9, a dla gmin wiejskich — 3,6. Główne zagrożenie postrzegają w poczcie elektronicznej (68 proc.), sieci bezprzewodowej (56 proc.) i ze strony urządzeń w sieci (komputery, tablety, smartfony).
Za najważniejszy rodzaj zagrożenia uznają wyciek lub utratę poufnych informacji (79 proc.), zniszczenie danych lub urządzeń w sieci (43 proc.) oraz sparaliżowanie systemów np. przez ataki DDOS (41 proc.). Przy czym na zniszczenie danych lub urządzeń w sieci wskazuje 59 proc. informatyków ze starostw powiatowych. Natomiast podważenie reputacji lub zaufania do instytucji na skutek ataków jest najmniej istotne dla informatyków z największych urzędów (16 proc. wskazań, gdy średnia to 19 proc.).
Zdaniem Mariusza Rzepki, dyrektora firmy informatycznej Fortinet na Polskę, Ukrainę i Białoruś, jest wiele dowodów na to, że polskie samorządy już się znajdują na celowniku cyberprzestępców. — Można działać bez np. firewalla, ale jest to porównywalne do jazdy samochodem zimą na letnich oponach. Wszystko jest w porządku, dopóki nie nastąpi skuteczny atak — wtedy urzędnicy pozostają bezbronni i często nawet nieświadomi tego, co dzieje się w sieci. Cyberbezpieczeństwo wymaga stałego odpowiadania na pojawiające się zagrożenia. Bariery, które napotykają samorządowcy, można obejść przy współpracy decydentów, urzędników i zewnętrznych ekspertów — uważa Mariusz Rzepka.
A jakie rozwiązania służące bezpieczeństwu stosuje się w samorządowej informatyce? Podstawą jest system filtracji poczty — ma go 89 proc. urzędów. Natomiast jedna trzecia nie ma takich systemów ochrony przed atakiem jak filtracja URL, ochrona przed włamaniami IPS czy firewalle nowej generacji NGFW. 36 proc. nie ma ochrony przed atakami DDOS, a 38 proc. — kompleksowego systemu ochrony UTM. Co ciekawe, aż połowa nie stosuje centralnego uwierzytelniania. I właśnie firewalle NGFW, UTM i rozwiązania IPS są najbardziej pożądane przez samorządowych informatyków (odpowiednio: 63 proc., 63 proc. i 62 proc. wskazań).
Przyczyna, dla której stosuje się tylko podstawowe rozwiązania dotyczące bezpieczeństwa IT, jest dość oczywista: aż 62 proc. ankietowanych informatyków mówi o braku pieniędzy. A brakuje ich m.in. dlatego, że aż 87 proc. urzędów realizuje wszystkie takie przedsięwzięcia z własnych funduszy, a tylko 10 proc. posiłkuje się dofinansowaniem unijnym. Może samorządowcy nie wiedzą, że na bezpieczeństwo IT mogą dostać dotację, albo nie wiedzą, z jakiego programu unijnego?
— Równolegle z cyfryzacją nowych dziedzin funkcjonowania jednostek samorządu terytorialnego powinno się prowadzić działania zabezpieczające cenne dane. Bez odpowiednich rozwiązań urzędy są znacznie bardziej narażone na ataki, których skutkiem może być kradzież informacji, podmiana kont bankowych czy ingerencja w stronę internetową — uważa Mariusz Rzepka.
Samorządy deklarują chęć udziału w finansowanym przez UE programie Cyfrowa Polska. Obejmuje on szeroki dostęp do szybkiego internetu, rozwój e-usług publicznych i zwiększanie kompetencji cyfrowych społeczeństwa. Cyfrową Polską jest zainteresowane 62 proc. gmin, które mają do 10 tys. mieszkańców, i 49 proc. większych.
Pozyskane pieniądze chciałyby wydać przede wszystkim na zakup nowego sprzętu i oprogramowania zapewniającego bezpieczeństwo oraz na szkolenia pracowników. Tylko że na razie bierze w nim udział zaledwie 6 proc. najmniejszych i 4 proc. większych gmin.
— Mamy tyle potrzeb, na które nie wystarcza pieniędzy, że siłą rzeczy informatyka i bezpieczeństwo muszą zejść na dalszy plan. Nasi informatycy robią, co mogą: szkolą ludzi, sami tworzą jakieś rozwiązania bezpieczeństwa i na razie to działa. Oczywiście, zdaję sobie sprawę, że nie jest to odpowiedni poziom, ale po prostu nie mamy za co poprawić tego bezpieczeństwa. Może coś pomoże program Cyfrowa Polska, chcemy mu się przyjrzeć. Ale jestem trochę pesymistą i wątpię, aby w sprawie bezpieczeństwa informatycznego w samorządach w najbliższym czasie coś się zdecydowanie zmieniło — mówi burmistrz z woj. kujawsko-pomorskiego, który pozostaje anonimowy, bo „nie chce sieciowym wandalom podawać adresu, pod który mogą się włamać”.