Informatikai milliárdok: ahogy a Kehi látja
Ahogy a Kehi látja
2003. augusztus 28.
6
/ 11 oldal
[fsimage 1 left]A fokozott érdeklődésre való tekintettel a Miniszterelnöki Hivatal honlapján közzétették a mostanában sokat emlegetett, a Kormányzati Ellenőrzési Hivatal által készített jelentést, mely súlyos megállapításokat tartalmaz az Orbán-kormány idején megalakított Informatikai Kormánybiztossággal kapcsolatban. Ismeretes, hogy a Kehi-jelentésbe való betekintés után a kormány feljelentést tett ismeretlen tettes ellen a rendőrségen.
"Az informatikai eszközök üzemeltetése területén a legnagyobb kockázatot a biztonsági szabályzatok hiánya jelenti, mert nincs egységes, kötelezően betartandó normarendszer.
Nem valósul meg az optimális logikai védelem a nagy értékű informatikai hardver és szoftver eszközök tekintetében.
A Hivatal egészét átfogó, informatikával kapcsolatos stratégia és végrehajtási szabályzatok egyaránt hiányosak.
Nem készült szabályzat a Hivatal informatikával kapcsolatos biztonsági politikájáról, elvárásairól; az informatikával kapcsolatos döntés előkészítésről és a döntési hatáskörökről; az informatikai feladatokra időszakosan létrehozott szervezetek működtetéséről, annak ellenére, hogy jelentős számú projekt működött a vizsgált időszakban, a saját, egyedileg meghatározott keretei között. Hiányoznak az üzemeltetési, tervezési, fejlesztési szabályzatok; az informatikai szolgáltatások folytonosságát biztosító szabályzatok és a vírusvédelem, katasztrófaterv, archiválási szabályzatok.
A meglévő, kevés számú informatikai szabályzat a szervezeti változásokat nem követte. A szabályzat olyan szervezetek részére is delegált feladatokat, amelyek már nem léteztek.
A MeH egészére nem készült biztonsági és adatvédelmi szabályzat, a hatályban lévő Közszolgálati Adatvédelmi Szabályzatról szóló 11/1998. MeH közigazgatási államtitkári utasítás csak a közszolgálati nyilvántartással összefüggő adatvédelmi, informatikai biztonsági szabályokat tartalmazta.
Nem készítettek középtávú informatikai beszerzési tervet, éves szoftver beszerzési tervet, - az egyeztetést követően sem mutatták be – helyette éves informatikai eszköz és szoftver költségtervezés történt.
Az informatikai biztonság kérdése, sem szervezet, sem szabályzat szintjén nem megoldott. A központi számítógépes helyiségek fizikai védelme és hardver környezete megfelelő volt, ezt a védelmet erősítette a vizsgált időszakban végrehajtott szerverszoba-korszerűsítés.
A jogosultságok kezelésére nem volt egységes eljárás kidolgozva, a kilépő dolgozók nem nyilatkoztak a jogosultságaik, valamint a személyes anyagaik (adatállományaik) sorsáról.
A vírusvédelem többszintű és központilag kezelt, biztosítva a hálózatba kapcsolt gépeken a vírusvédelmi szoftverek legfrissebb változatának alkalmazását.
A személyes használatba adott informatikai eszközök védelme nem volt megoldott, a szabályzatok nem kötelezték a használókat semmilyen biztonsági intézkedésre, még a vírusvédelem területén sem. A vírusvédelmi szoftver a kiadáskor telepítésre került ugyan, de a frissítés nem volt megoldva. A jelszókezelés nem megfelelő, mert nem tölti be biztonsági szerepét."
6
/ 11 oldal