Interpelacja w sprawie bezpieczeństwa uwierzytelniania użytkowników Portalu Informacyjnego Sądów Powszechnych

Szanowny Panie Ministrze,

Portal Informacyjny Sądów Powszechnych jest niezwykle istotnym narzędziem dla obywateli oraz pełnomocników, ponieważ zapewnia szybki dostęp do akt spraw, dokumentów procesowych oraz innych kluczowych informacji. Są to często dane szczególnie wrażliwe, które bezpośrednio dotykają sytuacji prawnej, rodzinnej czy też majątkowej użytkowników. Otrzymuję sygnały od zaniepokojonych obywateli, którzy słusznie zwracają uwagę na poważne braki w zabezpieczeniach tego systemu, które mogą prowadzić do niebezpiecznych wycieków informacji.

W przypadku osób, które nie korzystają z opcji logowania za pośrednictwem Węzła Krajowego (login.gov.pl), dostęp do konta na portalu jest obecnie chroniony wyłącznie za pomocą loginu oraz ustalonego hasła. System nie daje żadnej możliwości włączenia dodatkowego składnika uwierzytelniania, co w dobie rosnących zagrożeń cybernetycznych i powszechności ataków jest bardzo poważnym mankamentem. Nawet jeśli na początku taka opcja byłaby udostępniona całkowicie dobrowolnie, znacząco podniosłaby ona ogólny poziom ochrony kont tych użytkowników, którzy cenią sobie bezpieczeństwo w sieci. Przejęcie hasła w wyniku phishingu lub ukrytego działania szkodliwego oprogramowania otwiera nieuprawnionym osobom drogę do niezwykle wrażliwych danych sądowych, bez żadnej dodatkowej przeszkody.

Mając na uwadze powagę przedstawionej sytuacji oraz konieczność zapewnienia obywatelom najwyższych standardów ochrony ich danych przetwarzanych w systemach państwowych, uprzejmie proszę o odpowiedź na następujące pytania:

1. Czy Ministerstwo Sprawiedliwości przeprowadziło w ostatnim czasie analizę ryzyka związanego z możliwością logowania się do Portalu Informacyjnego Sądów Powszechnych wyłącznie przy użyciu tradycyjnego loginu i hasła?

2. Czy ministerstwo bierze pod uwagę scenariusz polegający na całkowitym wycofaniu możliwości logowania tradycyjnego na rzecz oparcia systemu w stu procentach na uwierzytelnianiu przez Węzeł Krajowy (login.gov.pl)?

3. Czy w resorcie planowane jest wprowadzenie uwierzytelniania wieloskładnikowego (MFA/2FA) dla tych użytkowników, którzy logują się do systemu bez wykorzystania usługi login.gov.pl?

4. Jeżeli takie prace są planowane, to jaki jest przewidywany termin ich pełnego wdrożenia oraz jakie konkretnie metody dodatkowego uwierzytelniania są obecnie rozważane?

5. Jeżeli natomiast nie przewiduje się żadnych zmian, to z jakich powodów ministerstwo uznaje dotychczasowy sposób logowania za wystarczający dla systemu, który zapewnia dostęp do tak wrażliwych danych?

6. W jaki sposób użytkownik, który zorientuje się, że padł ofiarą wyłudzenia danych logowania (np. poprzez phishing), może obecnie łatwo i szybko zgłosić ten incydent lub samodzielnie zablokować dostęp do swojego konta w portalu?

7. Jakie zautomatyzowane mechanizmy i procedury techniczne funkcjonują obecnie w systemie w celu natychmiastowego ograniczenia potencjalnych skutków przejęcia loginu i hasła użytkownika portalu informacyjnego?