Enti shtetëror për revizion (ESHR) konstatoi dobësi në vendosjen dhe zbatimin e masave parandaluese për sigurinë informatike në Fondin për Sigurimin Pensional dhe Invalidor të Maqedonisë së Veriut, me ç’rast bëri me dije për nevojën e avancimit të kontrolleve për mbrojtje të informatave dhe resurseve të Ti-së si dhe sigurimin e realizimin e papengueshëm të shërbimeve të qytetarëve.
Siç thekson ESHR, revizioni i suksesit me temë “Zbatimi i masave parandaluese për sigurinë e informacionit në sistemin e TI-së të Fondit për sigurimin pensional dhe invalidor të Maqedonisë së Veriut”, tregoi se ekzistojnë dobësi të cilat ndikojnë ndaj nivelit të përgjithshëm të mbrojtjes së informatave dhe resurseve të TI-së me të cilat menaxhohen të dhënat e shfrytëzuesve të të drejtave pensionale dhe invalidore.
“Me revizionin e kryer është konkluduar se zbatimi i masave parandaluese për sigurinë e informacionit në sistemin e TI-së të Fondit për Sigurimin Pensional dhe Invalidor paraqet dobësi që ndikojnë në nivelin e përgjithshëm të mbrojtjes efektive të informacionit dhe burimeve të TI-së, përmes të cilave menaxhohen të dhënat e përfituesve, të drejtat e të cilëve realizohen ekskluzivisht përmes Fondit”, qëndron në kumtesën e ESHR-së.
Gjendjet e konstatuara tregojnë mungesën e një qasjeje gjithëpërfshirëse strategjike ndaj sigurisë së TI-së, mosmiratimi i strategjisë së TI-së, procedura të papërditësuara ose të pamiratuara, si dhe moskryerjen e vlerësimeve të rreziqeve të detyrueshme me ligj. Për më tepër, janë konstatuar dobësi në kapacitetet njerëzore, planifikimin dhe sigurimin e burimeve të TI-së, zbatimin e kontrolleve të sigurisë, si dhe në gatishmërinë e Fondit për t’u përballur me incidentet dhe ndërprerjet në funksionim.
Revizioni konstatoi kapacitete të pamjaftueshme njerëzore në Sektorin e Informatikës të Fondit, ku nga 57 vende pune të sistematizuara janë plotësuar vetëm 17, përkatësisht 30%. Veçanërisht e pafavorshme është gjendja në Njësinë për Infrastrukturë dhe Mbështetje të TI-së, ku është plotësuar vetëm një nga 13 vendet e punës dhe nuk ka asnjë punonjës të ngarkuar me përgjegjësi për sigurinë e informacionit.
Mungesa e kuadrit dhe e njohurive profesionale i kufizon mundësitë për menaxhim efikas të sistemit të TI-së, eliminimin në kohë të problemeve dhe zbatimin e kontrolleve të sigurisë.
Sa i përket trajnimeve, revizioni konstatoi se trajnimi i fundit për aftësitë në fushën e TI-së ishte realizuar në vitin 2022. Në vitin 2023, në faqen e internetit të MKD-CIRT ishte publikuar një trajnim online për ngritjen e vetëdijes për sigurinë e informacionit. Pas këtij aktiviteti nuk ishin realizuar aktivitete të tjera për ngritjen e vetëdijes, e as testime praktike të gatishmërisë së punonjësve për njohjen dhe përballimin e kërcënimeve të sigurisë. Prokurimet e planifikuara për trajnimet për aftësitë në fushën e TI-së për vitet 2024 dhe 2025 nuk ishin realizuar.
Revizioni konstatoi dobësi në planifikimin dhe sigurimin e mjeteve financiare për infrastrukturën e TI-së dhe sigurinë e informacionit. Në vitin 2024, vlera e përgjithshme e kontratave të lidhura për prokurimet publike në fushën e TI-së ishte 12.393 mijë denarë, që përbën 2,04% të shpenzimeve të përgjithshme të Fondit, pa përfshirë përfitimet sociale.
Njëkohësisht, prokurimi i planifikuar i një qendre të të dhënave për ruajtjen e të dhënave, i një sistemi të disqeve dhe i komutatorëve optikë nuk është realizuar për shkak të mjeteve të kufizuara financiare. Analiza ka treguar se mjetet përdoren kryesisht për mirëmbajtjen e rregullt të sistemeve, ndërsa një pjesë e konsiderueshme e aktiviteteve që lidhen me sigurinë e informacionit nuk janë përfshirë në investimet e planifikuara.
Me revizion është konstatuar se mjetet financiare për sigurinë e informacionit në vitin 2024 përbënin vetëm 1 denar për çdo 10.000 denarë pensione të përllogaritura dhe të paguara.
Prokurimet e parealizuara ndikojnë në mundësitë për zëvendësimin e infrastrukturës së vjetruar dhe kontribuojnë në krijimin e periudhave pa mirëmbajtje të pajisjeve kryesore. Revizioni konstatoi se janë në përdorim serverë dhe stacione pune me sisteme operative për të cilat prodhuesi nuk ofron më mbështetje, si dhe stacione pune pa mbrojtje antivirusore të përditësuar. Janë konstatuar gjithashtu dobësi në zbatimin e mekanizmave të sigurisë për qasjen në sistemin e TI-së.
Revizioni konstatoi dobësi në menaxhimin e qasjeve të përdoruesve dhe përditësimeve të sigurisë, si dhe në mbrojtjen e rrjetit dhe menaxhimin e burimeve të TI-së. Nuk zbatohet një shtresë shtesë e mbrojtjes për llogaritë e përdoruesve, ndërsa nuk është vendosur as segmentimi përkatës i rrjetit. Për më tepër, përditësimi i arnimeve të sigurisë nuk është kryer që nga viti 2023.
Këto gjendje paraqesin rrezik për humbjen e të dhënave, pamundësinë e rikthimit në kohë të informacionit dhe ndërprerje më të gjata në funksionimin e sistemit informativ.