SPRAWOZDANIE Z KONTROLI

Transkrypt

1 . WOJEWODA OPOLSKI PN.I RCh Opole, dnia 9 kwietnia 2018 r. Pan Jarosław Kielar Burmistrz Miasta Kluczborka ul. Katowicka Kluczbork SPRAWOZDANIE Z KONTROLI I. Podstawowe informacje formalno-prawne dotyczące kontroli: 1) Nazwa i adres jednostki kontrolowanej: Urząd Miejski w Kluczborku (dalej: UM w Kluczborku; Urząd), ul. Katowicka 1, Kluczbork. 2) Podstawa prawna podjęcia kontroli: a) art. 25 ust. 1 pkt 3 lit. a i ust. 3 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne 1, b) art. 6 ust. 4 pkt 3 ustawy z dnia 15 lipca 2011 r. o kontroli w administracji rządowej 2 dalej: ustawa o kontroli; 3) Zakres kontroli: a) Przedmiot kontroli: Działanie systemów teleinformatycznych i rejestrów publicznych używanych do realizacji zadań zleconych z zakresu administracji rządowej, b) Okres objęty kontrolą: od 1 stycznia 2017 r. do dnia rozpoczęcia kontroli (z uwzględnieniem okresu wcześniejszego i późniejszego w zakresie niezbędnym do realizacji celu kontroli). 4) Rodzaj kontroli: problemowa. 5) Tryb kontroli: uproszczony. 6) Termin kontroli: marca 2018 r. 7) Skład zespołu kontrolnego: a) Radosław Chodziński Starszy Inspektor Wojewódzki w Oddziale Organizacji, Kontroli i Skarg w Wydziale Prawnym i Nadzoru OUW (przewodniczący zespołu kontrolnego), b) Adam Szkudlarski Starszy Specjalista w Oddziale Informatyki i Rozwoju w Biurze Obsługi Urzędu OUW (członek zespołu kontrolnego). 8) Kierownik jednostki kontrolowanej: Funkcję Burmistrza Miasta Kluczborka pełni Pan Jarosław Kielar, od dnia 10 listopada 2002 r. [Dowód: akta kontroli, s. 2] 9) Kontrolę wpisano do książki kontroli prowadzonej w jednostce kontrolowanej, pod poz. nr: 2/ Dz. U. z 2017 r. poz Dz. U. Nr 185, poz Strona 1 z 7

2 II. Ocena skontrolowanej działalności, ze wskazaniem ustaleń, na których została oparta: Działanie systemów teleinformatycznych i rejestrów publicznych używanych do realizacji zadań zleconych z zakresu administracji rządowej w UM w Kluczborku, oceniono pozytywnie z nieprawidłowościami 3. Powyższa ogólna ocena wynika z ocen cząstkowych poszczególnych obszarów objętych kontrolą. Ustalenia kontroli: 1) Obszar obejmujący: wymianę informacji w postaci elektronicznej, w tym współpracę z innymi systemami / rejestrami informatycznymi i wspomaganie świadczenia usług drogą elektroniczną, pomimo stwierdzonego uchybienia oceniono pozytywnie. UM w Kluczborku wykorzystuje 4 systemy teleinformatyczne do realizacji zadań zleconych z zakresu administracji rządowej, w tym 2 o zasięgu krajowym (Źródło i CEIDG 4 ) oraz 2 o zasięgu lokalnym (stosowane m.in. do prowadzenia rejestru mieszkańców, czy do zwrotu podatku akcyzowego zawartego w cenie oleju napędowego...). Systemy te wykorzystywane są przez pracowników łącznie 4 komórek organizacyjnych (wydziałów, w tym Urzędu Stanu Cywilnego) UM w Kluczborku. [Dowód: akta kontroli, s i 26] Krytyczność (ważność) dla Urzędu, każdego z powyższych 4 systemów została określona jako - wysoka. [Dowód: akta kontroli, s ] UM w Kluczborku udostępnia elektroniczną skrzynkę podawczą na platformie epuap. Na stronie internetowej oraz BIP UM w Kluczborku znajduje się odnośnik do profilu Urzędu. [Dowód: akta kontroli, s. 19] Opolski Urząd Wojewódzki w toku niniejszej kontroli, prowadził z jednostką kontrolowaną poprzez epuap, skuteczną korespondencję. Wskazać w tym miejscu jedynie należy, że na przesłanym do Opolskiego Urzędu Wojewódzkiego na etapie postępowania przedkontrolnego Urzędowym Poświadczeniu Przedłożenia (UPP), Nazwa adresata dokumentu brzmi: URZĄD MIEJSKI, zamiast URZĄD MIEJSKI w KLUCZBORKU. Wymaga więc uzupełnienia. Ponadto kontrolujący nie wnoszą uwag w tym zakresie. [Dowód: akta kontroli, s. 30] Na stronie BIP UM w Kluczborku, w zakładce Urząd Miejski w Kluczborku / Jak załatwić sprawę w Urzędzie, zamieszczono karty poszczególnych usług (wg właściwości komórek organizacyjnych Urzędu), zawierające opisy procedur obowiązujących przy załatwianiu spraw i niezbędne formularze. W kartach usług widnieją informacje, o możliwości złożenia druków w formie elektronicznej. [Dowód: akta kontroli, s ] Zgodnie z przedłożoną informacją, UM w Kluczborku nie przekazywał własnych wzorów dokumentów do centralnego repozytorium wzorów dokumentów elektronicznych. [Dowód: akta kontroli, s. 19] 3 Służby kontrolne Wojewody Opolskiego stosują czterostopniową skalę ocen: pozytywna, pozytywna z uchybieniami, pozytywna z nieprawidłowościami i negatywna. 4 Rejestr publiczny. Strona 2 z 7

3 W zakresie dotyczącym współpracy systemów teleinformatycznych z innymi systemami, stwierdzono wymianę danych między systemem Źródło a systemem służącym do prowadzenia rejestru mieszkańców. Brak uwag. [Dowód: akta kontroli, s ] Urząd nie stosuje elektronicznego obiegu dokumentów. [Dowód: akta kontroli, s. 20] Kontrolujący nie stwierdzili niezgodności formatów danych udostępnianych przez systemy teleinformatyczne wykorzystywane w UM w Kluczborku z dyspozycją 18 ust. 1 rozporządzenia Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych 5, dalej: rozporządzenie KRI. 2) Obszar obejmujący: system zarządzania bezpieczeństwem informacji w systemach teleinformatycznych oceniono pozytywnie z nieprawidłowościami. W UM w Kluczborku obowiązuje zarządzenie nr AO Burmistrza Miasta Kluczborka z dnia 30 października 2017 r. w sprawie wprowadzenia polityki bezpieczeństwa i instrukcji zarządzania systemem informatycznym w UM w Kluczborku; dalej: polityka bezpieczeństwa informacji. Dokument ten zawiera w formie załączników: politykę bezpieczeństwa systemów informatycznych; instrukcję zarządzania systemem informatycznym; instrukcję postępowania na wypadek awarii systemu informatycznego; instrukcję tworzenia kopii bezpieczeństwa w systemie informatycznym oraz regulamin funkcjonowania monitoringu wizyjnego w UM w Kluczborku. [Dowód: akta kontroli, s ] Po przeprowadzonej analizie polityki bezpieczeństwa informacji 6, nasuwa się wniosek aby polecić jako dobrą praktykę zamieszczenie w niej dodatkowo, deklaracji (wzmianki) dotyczącej współpracy UM w Kluczborku z CERT.GOV.PL 7, przede wszystkim w zakresie zgłaszania incydentów informatycznych. Polityka bezpieczeństwa informacji, została opublikowana na stronie intranetu UM w Kluczborku, co ocenia się pozytywnie. [Dowód: akta kontroli, s. 109] Wspomnieć w tym miejscu także wypada o dokumentacji Systemu Zarządzania Jakością 8, stosowanej w UM w Kluczborku. Porusza ona bowiem istotne kwestie dotyczące ochrony informacji w Urzędzie, co również ocenia się pozytywnie. [Dowód: akta kontroli, s ] 5 Dz.U. z 2017 r. poz Wcześniejsze, wewnętrzne unormowania prawne w tym zakresie, obowiązujące w UM w Kluczborku, nie zostały poddane analizie ze względu na ich walor historyczny. 7 CERT.GOV.PL Rządowy Zespół Reagowania na Incydenty Komputerowe, działający w strukturze Departamentu Bezpieczeństwa Teleinformatycznego Agencji Bezpieczeństwa Wewnętrznego ( 8 Wg PN-EN ISO Strona 3 z 7

4 Kontrolującym przedstawiono Analizę poufności, integralności i rozliczalności systemów informatycznych pod kątem zagrożeń i ryzyka z dnia 1 marca 2018 r. Do dokumentu tego kontrolujący zasadniczo nie wnoszą zastrzeżeń. Uwagę zwracają tylko zapisy świadczące, że jest to analiza zagrożeń i ryzyka przy przetwarzaniu danych osobowych. Tymczasem pojęcie bezpieczeństwa informacji jest szersze od pojęcia bezpieczeństwa (ochrony) danych osobowych. Dane osobowe są bardzo ważnym, ale tylko jednym z obszarów informacji podlegających ochronie. O okresowej analizie ryzyka utraty integralności, dostępności lub poufności informacji, stanowi 20 ust. 2 pkt 3 rozporządzenia KRI. [Dowód: akta kontroli, s ] Z przedłożonych kontrolującym dokumentów zawierających dane inwentaryzacyjne wynika, że w UM w Kluczborku wciąż działa, zainstalowany na 36 komputerach 9, system operacyjny pozbawiony wsparcia producenta 10, w zakresie aktualizacji zabezpieczeń, a mianowicie: Windows XP (na 35 komputerach) i Windows Vista (na 1 komputerze). [Dowód: akta kontroli, s. 137, 139, 143, ] Należy tu jednakże zaznaczyć, że z powyższych 36 komputerów z przestarzałym systemem operacyjnym, do obsługi systemów teleinformatycznych używanych do realizacji zadań zleconych z zakresu administracji rządowej, wykorzystuje się obecnie 6 komputerów (z Windows XP PRO). [Dowód: akta kontroli, s. 26] W ocenie kontrolujących, powyższy stan jest istotną nieprawidłowością, trwającą długi okres czasu (bowiem wsparcie dla systemu operacyjnego Windows XP, zakończyło się w 2014 r.), stwarzającą realne zagrożenie dla bezpieczeństwa informacji przetwarzanych w systemach teleinformatycznych w UM w Kluczborku. Procedura nadawania uprawnień do pracy w systemach informatycznych, ich modyfikacji i odbierania, została określona w polityce bezpieczeństwa informacji UM w Kluczborku. [Dowód: akta kontroli, s i 88-90] Pracownicy UM w Kluczborku posiadają stosowne upoważnienia do przetwarzania danych osobowych. [Dowód: akta kontroli, s ] W UM w Kluczborku przeprowadzane są szkolenia dotyczące bezpieczeństwa przetwarzania informacji. [Dowód: akta kontroli, s i ] Zgodnie z informacją przedłożoną przez Burmistrza Miasta Kluczborka, w Urzędzie nie funkcjonuje praca na odległość. [Dowód: akta kontroli, s. 22] 9 Spośród ogólnej liczby 105 komputerów. 10 Firmy Microsoft. Strona 4 z 7

5 W kwestii umów serwisowych, uwagę zwraca umowa K 320/2017, zawarta w dniu 22 września 2017 r. z firmą TENSOFT Sp. z o.o. z Opola, w zakresie dotyczącym czasu realizacji zgłoszenia (skutecznych działań serwisowych) w przypadku tzw. awarii krytycznej i błędu w systemie oraz w zakresie faktycznej wysokości kar umownych za każdy dzień zwłoki w realizacji zobowiązań wynikających z umowy. Ze względu na określoną wysoką krytyczność dla Urzędu systemu teleinformatycznego będącego przedmiotem tej umowy, postanowienia ujęte w 2 ust. 5 i 6 oraz w 5 w związku z 3 umowy, mogą wpływać niekorzystnie na zapewnienie dostępności informacji przetwarzanych w systemie. Wymagają więc powtórnego przeanalizowania, pod kątem możliwości lepszego zabezpieczenia interesu Urzędu. [Dowód: akta kontroli, s. 156 i 16] W przedłożonym kontrolującym Rejestrze incydentów i zagrożeń UM w Kluczborku nie odnotowano żadnych wpisów. [Dowód: akta kontroli, s. 157] Audyt wewnętrzny w zakresie bezpieczeństwa informacji został przeprowadzony w UM w Kluczborku w roku Natomiast w roku 2018 wykonano czynności sprawdzające, w wyniku których stwierdzono wykonanie wszystkich 7 zaleceń wydanych w efekcie powyższego audytu. [Dowód: akta kontroli, s i ] W roku 2017, w UM w Kluczborku nie przeprowadzono wewnętrznego audytu bezpieczeństwa informacji. Tym samym nie została wypełniona dyspozycja 20 ust. 2 pkt 14 rozporządzenia KRI, stanowiąca o konieczności zapewnienia (przeprowadzania) okresowego audytu wewnętrznego w zakresie bezpieczeństwa informacji, nie rzadziej niż raz na rok. [Dowód: akta kontroli, s. 191] Stwierdzono tworzenie tzw. kopii zapasowych danych (oraz testowe ich odtworzenie) z kontrolowanych lokalnych systemów teleinformatycznych. Kopie baz tych systemów, wykonuje się automatycznie każdego dnia po zakończeniu pracy użytkowników i zapisuje na dedykowanym systemie kopii. Dodatkowo raz dziennie replikuje się je na osobny (zewnętrzny) nośnik. Miejsce przechowywania nośnika (dysku zewnętrznego) znajduje się w innej - niż miejsce przetwarzania - lokalizacji budynku Urzędu. Powyższe działanie istotnie minimalizuje ryzyko utraty informacji w wyniku awarii. [Dowód: akta kontroli, s , i 198] Do zaprojektowania, wdrażania i eksploatacji badanych systemów teleinformatycznych, kontrolujący nie wnieśli uwag. W toku kontroli przeprowadzono oględziny 5 pokoi, wybranych łącznie z wszystkich 4 komórek organizacyjnych (wydziałów, w tym z Urzędu Stanu Cywilnego) UM w Kluczborku, w których funkcjonują sprawdzane systemy teleinformatyczne. Wykonane czynności w zakresie obsługi (logowania się pracowników Urzędu do systemów), ustawienia monitorów, itp., nie wykazały nieprawidłowości w kontekście zagrożeń dla bezpieczeństwa informacji. Stwierdzono natomiast na 2 komputerach zainstalowany system operacyjny Windows XP PRO. Stwierdzony stan faktyczny udokumentowano w protokole oględzin. [Dowód: akta kontroli, s ] Strona 5 z 7

6 Oględzinom poddano także serwerownię UM w Kluczborku. W trakcie tej czynności uwagę kontrolujących zwróciły przebiegające przez pomieszczenie serwerowni przewody centralnego ogrzewania. W przypadku bowiem ich awarii (rozszczelnienie przewodu) i zalania pomieszczenia, istnieje poważne ryzyko uszkodzenia serwerów. Ponadto w pomieszczeniu tym stwierdzono dużą ilość nieużywanego sprzętu informatycznego (komputery, monitory) oraz kartony. Powyższe rodzi ryzyko szybkiego rozprzestrzenienia się pożaru w przypadku jego wybuchu. Stwierdzony stan faktyczny udokumentowano w protokole oględzin, a także w Materiale poglądowym. [Dowód: akta kontroli, s ; Materiał poglądowy, s. 1-2, fot. 2-4] W dziennikach kontrolowanych lokalnych systemów teleinformatycznych stwierdzono odnotowywanie działań ich użytkowników. [Dowód: akta kontroli, s ] 3) Obszar obejmujący: zapewnienie dostępności informacji dla osób niepełnosprawnych nie został poddany ocenie. Badane, lokalne systemy teleinformatyczne używane do realizacji zadań zleconych z zakresu administracji rządowej, są systemami wewnętrznymi. Wobec powyższego w tym obszarze nie były objęte kontrolą, analogicznie jak systemy krajowe, które są systemami centralnymi. [Dowód: akta kontroli, s. 25] III. Zalecenia lub wnioski dotyczące usunięcia nieprawidłowości (uchybień) lub usprawnienia funkcjonowania jednostki kontrolowanej: W związku z ustaleniami kontroli, zalecam Panu Burmistrzowi: 1) Zapewnić funkcjonowanie na komputerach w Urzędzie wyłącznie systemów operacyjnych, posiadających wsparcie ich producenta. 2) Przeprowadzać audyt wewnętrzny w zakresie bezpieczeństwa informacji w Urzędzie, nie rzadziej niż raz na rok. 3) Zawierać umowy serwisowe dla systemów teleinformatycznych, zapewniające szybkie usunięcie awarii oraz błędu w systemie. 4) Wyeliminować występujące w pomieszczeniu serwerowni Urzędu, stwierdzone zagrożenia. 5) Spowodować zamieszczenie na Urzędowym Poświadczeniu Przedłożenia (UPP) generowanym w trakcie korespondencji epuap-em pełnej Nazwy adresata dokumentu, tj. URZĄD MIEJSKI w KLUCZBORKU. 6) Rozważyć ujęcie w polityce bezpieczeństwa informacji, deklaracji (wzmianki) dotyczącej współpracy UM w Kluczborku z CERT.GOV.PL. IV. Na podstawie art. 49 w związku z art. 52 ust. 1 ustawy o kontroli, proszę o przekazanie pisemnej informacji o sposobie wykonania zaleceń, wykorzystaniu wniosków lub przyczynach ich niewykorzystania, albo o innym sposobie usunięcia stwierdzonych nieprawidłowości (uchybień), w terminie 14 dni od dnia otrzymania niniejszego dokumentu. Strona 6 z 7

7 V. Zgodnie z art. 52 ust. 5 ustawy o kontroli, kierownik jednostki kontrolowanej w terminie 3 dni roboczych od dnia otrzymania sprawozdania ma prawo przedstawić do niego stanowisko. Przedstawienie stanowiska nie wstrzymuje realizacji ustaleń kontroli. Z up. Wojewody Opolskiego Beata Adamus Dyrektor Wydziału Prawnego i Nadzoru Strona 7 z 7