Државниот завод за ревизија (ДЗР) утврдил слабости во воспоставувањето и спроведувањето на превентивните мерки за информациска безбедност во Фондот на пензиското и инвалидското осигурување (ПИО), при што укажува на потреба од унапредување на контролите за заштита на информациите и ИТ ресурсите и обезбедување сигурно и непречено остварување на услугите за граѓаните.
Како што наведува ДЗР, ревизијата на успешност на тема „Имплементација на превентивни мерки за информациска безбедност на ИТ системот на Фондот на пензиското и инвалидското осигурување на Северна Македонија“ покажала дека постојат слабости кои влијаат врз вкупното ниво на заштита на информациите и ИТ ресурсите со кои се управува со податоците на корисниците на пензиските и инвалидските права.
– Со извршената ревизија е заклучено дека имплементацијата на превентивни мерки за информациска безбедност на ИТ системот на Фондот за пензиско и инвалидско осигурување е со слабости кои влијаат врз целокупното ниво на ефективна заштита на информациите и ИТ ресурсите со кои се управува со податоците на корисници чии права се остваруваат исклучиво преку Фондот – стои во соопштението од ДЗР.
Ревизорите констатирале отсуство на сеопфатен стратешки пристап кон ИТ безбедноста, неусвоена ИТ стратегија, неажурирани или неодобрени процедури и неспроведени законски задолжителни проценки на ризици. Дополнително, биле утврдени слабости во човечките капацитети, планирањето на ИТ ресурсите, примената на безбедносните контроли и подготвеноста за справување со инциденти и прекини во работењето.
Според наодите, во Секторот за информатика од систематизирани 57 работни места пополнети се само 17, односно околу 30 проценти. Особено неповолна е состојбата во Одделението за ИТ инфраструктура и поддршка, каде од 13 предвидени позиции пополнета е само една, а нема ниту вработени лица задолжени за информациска безбедност.
Ревизијата покажала и дека последната обука за ИТ вештини била реализирана во 2022 година, додека планираните обуки за 2024 и 2025 година не биле спроведени. Не биле преземени ниту дополнителни активности за подигнување на свеста и тестирање на подготвеноста на вработените за справување со безбедносни закани.
Во делот на финансирањето, ревизорите нотираат дека во 2024 година договорите за јавни набавки поврзани со ИТ изнесувале 12,39 милиони денари, што е 2,04 проценти од вкупните расходи на Фондот без социјалните бенефиции. Поради недостиг на средства не биле реализирани набавки на дата-центар за складирање податоци, дисковен систем и оптички преклопници.
Утврдена е и употреба на сервери и работни станици со оперативни системи за кои повеќе не се обезбедува техничка поддршка, како и работни станици без ажурирана антивирусна заштита. Дополнително, не биле ажурирани одредени безбедносни надградби од 2023 година, а ревизијата посочува и слабости во управувањето со корисничките пристапи и мрежната заштита.
Во извештајот се наведува дека Фондот нема донесено и одобрено планови за континуитет во работењето и за обновување по катастрофи, ниту прецизно утврдени задолженија на одговорните лица во случај на инциденти поврзани со информациската безбедност. Според ДЗР, тоа ја намалува подготвеноста на институцијата за справување со сериозни прекини и може да влијае врз обезбедувањето на услугите кон корисниците.
Ревизорите посочуваат дека и покрај извршените анализи на ИТ инфраструктурата и идентификуваните ризици и ранливости во текот на 2024 година, во периодот на спроведување на ревизијата Фондот немал преземено мерки за надминување на утврдените слабости во мрежната опрема.
За надминување на состојбата, ДЗР препорачува донесување сеопфатна ИТ стратегија, унапредување на политиките и процедурите за информациска безбедност, зајакнување на ИТ капацитетите, подобрување на управувањето со пристапите и ИТ ресурсите, редовно обезбедување безбедносни надградби, како и воспоставување планови за континуитет во работењето и обновување по катастрофи.