Interpelacja w sprawie skuteczności przeciwdziałania cyberatakom i wyciekom danych osobowych oraz ochrony obywateli przed ich następstwami

Szanowny Panie Ministrze,

na podstawie art. 14 ust. 1 pkt 7 ustawy o wykonywaniu mandatu posła i senatora kieruję do Pana Ministra interpelację w sprawie skuteczności działań państwa wobec cyberataków i wycieków danych osobowych oraz zapewnienia pomocy obywatelom narażonym na ich konsekwencje.

Cyberataki i wycieki danych wymagają oceny, czy państwo dysponuje skutecznym systemem zapobiegania zagrożeniom, reagowania na incydenty oraz ograniczania szkód. Problem dotyczy zarówno instytucji publicznych, jak i przedsiębiorstw przechowujących informacje o klientach, pracownikach i pacjentach. Jego konsekwencje mogą wykraczać daleko poza działalność zaatakowanego podmiotu.

Ujawnione dane mogą być wykorzystywane do kradzieży tożsamości, prób wyłudzeń, podszywania się pod instytucje i przygotowywania oszustw skierowanych do konkretnych osób. Szczególnie dotkliwe mogą być następstwa ujawnienia dokumentów tożsamości, informacji finansowych, danych medycznych oraz danych dzieci. Zagrożenie nie kończy się wraz z przywróceniem działania systemu informatycznego.

Nie do przyjęcia byłaby sytuacja, w której obywatel dowiaduje się o utracie danych, otrzymuje ogólne zalecenie zachowania ostrożności i zostaje pozostawiony sam sobie. Osoba poszkodowana nie ma możliwości samodzielnego usunięcia danych z przestępczego obiegu ani ustalenia, kto i w jakim celu będzie je wykorzystywał. Dlatego działania państwa muszą obejmować również sprawne ostrzeganie, dostęp do pomocy oraz ograniczanie ryzyka kolejnych przestępstw.

Konieczne jest rozliczenie skuteczności nadzoru i współpracy instytucji. Nie wystarczy przedstawiać liczby obsłużonych zgłoszeń, przeprowadzonych szkoleń czy wydanych ostrzeżeń. Należy wykazać, czy są usuwane znane podatności, czy zalecenia docierają do właściwych podmiotów i czy ich wykonanie jest sprawdzane.

Oczekuję również rzetelnych danych o skali problemu. Liczba ujawnionych rekordów nie jest tożsama z liczbą poszkodowanych osób, a nie każde naruszenie ochrony danych wynika z cyberataku. Bez rozróżnienia tych kategorii trudno ocenić rzeczywiste zagrożenie oraz skuteczność podejmowanych działań.

W związku z powyższym proszę o odpowiedzi na następujące pytania:

1. Jak resort ocenia skalę cyberataków prowadzących do kradzieży lub ujawnienia danych osobowych? Jakie tendencje i najważniejsze słabości systemu ochrony zidentyfikowano?

2. Ile takich incydentów zgłoszono właściwym zespołom CSIRT w ostatnich trzech latach? Proszę o dane według lat i sektorów, z odrębnym wskazaniem administracji publicznej oraz przedsiębiorstw.

3. Jakie były największe potwierdzone wycieki według dostępnych jawnych danych? Ilu rekordów i – odrębnie – ilu unikalnych osób dotyczyły oraz jakie kategorie informacji ujawniono?

4. Czy istnieje sposób oceny liczby osób poszkodowanych, który ogranicza wielokrotne liczenie tych samych osób w różnych bazach i incydentach? Jeżeli nie, jak państwo ustala rzeczywistą skalę zagrożenia?

5. W ilu przypadkach stwierdzono wykorzystanie wcześniej znanych podatności, niewykonanie zaleceń lub brak podstawowych zabezpieczeń? Jakie działania naprawcze podjęto w zakresie właściwości resortu?

6. Jakie konkretne rozwiązania techniczne, organizacyjne i prawne wdrożono, aby ograniczyć ryzyko masowych wycieków? W jaki sposób sprawdzono ich skuteczność?

7. Jakie są czasy wykrywania incydentów i przekazywania informacji właściwym instytucjom? Czy określono mierniki pozwalające wykrywać oraz usuwać opóźnienia?

8. Jak skoordynowano współpracę zespołów CSIRT, organów ścigania i prezesa UODO, z poszanowaniem kompetencji oraz niezależności poszczególnych organów? Kto odpowiada za eliminowanie luk w wymianie informacji?

9. Jakie kontrole i audyty bezpieczeństwa przeprowadzono w podmiotach pozostających we właściwości ministra? Jaki odsetek zaleceń wykonano w terminie i jak zweryfikowano ich realizację?

10. Jaką pomoc może uzyskać obywatel, którego dane zostały ujawnione? Czy istnieje jedno, łatwo dostępne miejsce zapewniające informację o incydencie, możliwych działaniach ochronnych i sposobie zgłoszenia oszustwa?

11. Jak oceniono skuteczność zastrzegania numeru PESEL wobec zagrożeń powstających po wyciekach? Jakie rodzaje nadużyć pozostają poza ochroną tego mechanizmu i jakie dodatkowe rozwiązania są planowane?

12. Jakie działania przewidziano w przypadkach ujawnienia danych medycznych, danych dzieci oraz kopii dokumentów tożsamości? Czy pomoc uwzględnia charakter i długotrwałość zagrożeń związanych z tymi informacjami?

13. Czy analizuje się przestępstwa wykorzystujące dane pochodzące z wcześniejszych wycieków? Jakie wnioski z tych analiz wykorzystano do ostrzegania obywateli i zapobiegania kolejnym oszustwom?

14. Jakie braki kadrowe, techniczne i finansowe ograniczają zdolność instytucji pozostających we właściwości resortu do zapobiegania wyciekom i reagowania na nie? Jakie środki przeznaczono na usunięcie tych braków i jakie efekty uzyskano?

15. Jakie mierzalne cele ograniczenia liczby poważnych incydentów, skrócenia czasu reakcji i poprawy ochrony poszkodowanych przyjęto na najbliższe miesiące? Kto odpowiada za ich wykonanie i kiedy zostaną przedstawione rezultaty?

Proszę o odpowiedź oddzielnie na każde pytanie. Dane liczbowe proszę przedstawić z podaniem okresu, źródła i definicji stosowanych kategorii, w szczególności z rozróżnieniem liczby incydentów, ujawnionych rekordów i poszkodowanych osób.

W odniesieniu do działań naprawczych proszę wskazać ich stan realizacji, harmonogram, finansowanie, odpowiedzialne instytucje oraz sposób oceny skuteczności. Jeżeli wymaganych danych nie gromadzono, proszę wyjaśnić przyczynę i wskazać sposób uzupełnienia tej luki.

Z poważaniem
Olga Semeniuk-Patkowska