Podatke o penzijama čuva 17 zaposlenih u IT sektoru na 57 mesta: revizija u PIOM-u našla zastarele sisteme i nijednog čoveka za bezbednost

Podatke o penzijama i invalidskim pravima građana čuva sektor u kojem radi 17 ljudi na 57 sistematizovanih mesta. U odeljenju za IT infrastrukturu i podršku od 13 pozicija popunjena je jedna. Zaposleni zadužen za informacionu bezbednost - nema nijednog. To je slika koju je Državni zavod za reviziju objavio za Fond penzijskog i invalidskog osiguranja.

Revizori su našli servere i radne stanice sa operativnim sistemima za koje proizvođač više ne daje podršku, računare bez ažurirane antivirusne zaštite i bezbednosne nadogradnje koje nisu ažurirane od 2023. godine. Našli su i slabosti u upravljanju korisničkim pristupima i mrežnoj zaštiti. Fond nije imao odobrene planove za kontinuitet poslovanja i oporavak od katastrofa - drugim rečima, plan koji kaže šta se radi ako padne server ili ako neko zaključa baze.

Ranjivosti mrežne opreme identifikovane su još 2024. godine, ali u periodu revizije mere nisu preduzete. Poslednja obuka za IT veštine bila je 2022. godine, a planirane obuke za 2024. i 2025. nisu održane. Za IT nabavke u 2024. godini potrošeno je 12,39 miliona denara, odnosno 2,04 odsto rashoda Fonda bez socijalnih beneficija. Data-centar, diskovni sistem i optički svičevi nisu nabavljeni - zbog nedostatka novca.

Odgovor PIOM-a stigao je brzo i u poznatom tonu. Fond kaže da je reč o stanju nasleđenom iz perioda pre septembra 2024. godine, iz „nedomaćinskog, neodgovornog i zanemarenog upravljanja”, i da je novo rukovodstvo već rešilo većinu problema: uvedena rešenja za otkrivanje pretnji, segmentirana mreža, rezervna infrastruktura na posebnoj lokaciji, preko 100 zamenjenih radnih stanica i novi stručni kadar. I najvažnije: „Nije bilo i nema kompromitovanja Vaših podataka.”

Možda. Ali to što niko nije provalio ne znači da su vrata bila zaključana. Revizija ne meri da li je bilo napada, već da li je Fond bio spreman za njega - i odgovor je da nije bio. A refren o zatečenom haosu prethodnika poznat je kod svake nove vlasti. Koliko je nalaza zaista zatvoreno, pokazaće samo sledeća revizija, ne saopštenje.

PIOM nije izolovan slučaj. Prethodne revizije otkrile su slične rizike u „Moj termin”, u digitalizaciji matičnih knjiga, u sistemu za finansijsko upravljanje koji koristi 40 javnih institucija i u razmeni podataka preko Centralnog registra stanovništva. Građanin ne može da izabere drugi penzijski fond ili drugu matičnu evidenciju. Podatke mora da da državi. Onda bi država bar trebalo da ima kompletan tim koji ih čuva, a ne 17 ljudi na 57 mesta.