NIK: Infrastruktura krytyczna słabo chroniona

Najwyższa Izba Kontroli przeprowadziła kontrolę u wybranych operatorów infrastruktury krytycznej odpowiedzialnych za jej ochronę. Wśród tych podmiotów znalazło się Rządowe Centrum Bezpieczeństwa, trzech wojewodów oraz 15 samorządów szczebla powiatowego i gminnego.

W wyniku kontroli NIK stwierdziła szereg nieprawidłowości, takich jak:

- brak objęcia ochroną fizyczną wszystkich obiektów infrastruktury krytycznej powiązanych ze sobą funkcjonalnie i niezbędnych do zapewnienia bezpieczeństwa funkcjonowania infrastruktury krytycznej,
- część terenów, na których znajdowały się obiekty infrastruktury krytycznej, nie była właściwie zabezpieczona przed wejściem osób nieuprawnionych, a w dużej części obszarów brakowało monitoringu wizyjnego,
- wejścia do niektórych obiektów nie spełniały norm bezpieczeństwa i nie były objęte systemem kontroli dostępu, a bramy wjazdowe nie były wyposażone w zapory zabezpieczające przed wtargnięciem,
- u większej części skontrolowanych podmiotów odpowiedzialnych za ochronę infrastruktury krytycznej nie wprowadzono rozwiązań na wypadek wystąpienia zdarzeń sabotażu lub wyrządzenia szkód przez pracowników na terenie obiektów infrastruktury krytycznej,
- we wszystkich skontrolowanych podmiotach nie wyodrębniono kluczowego, ze względu na przestrzeganie zasad bezpieczeństwa infrastruktury krytycznej, personelu,
- w znaczącej większości podmioty te nie określały też procedur umożliwiających sprawdzenie wybranego oferenta wykonującego usługi dla operatora infrastruktury krytycznej pod kątem jakości wykonywanych usług, czy też zachowania poufności wykonywanych prac.

NIK stwierdził również przypadki nierealizowania przez skontrolowane podmioty niektórych rekomendacji audytu sieci informatycznych działających na potrzeby obiektów infrastruktury krytycznej, nieopracowania kompleksowych regulacji wewnętrznych dotyczących bezpieczeństwa przemysłowego systemu teleinformatycznego, czy też niezobowiązywania wykonawców do zachowania poufności uzyskanych informacji - mimo że podczas realizacji zadań mieli dostęp do kluczowych systemów służących do sterowania IK.

Czytaj także: Infrastruktura krytyczna lepiej chroniona przed cyberatakami

Ponadto, w raporcie znalazły się uchybienia dotyczące braku odpowiednich zabezpieczeń m.in. w obszarach ochrony fizycznej czy też osobowej, które skutkowały wystąpieniem niebezpiecznych incydentów na terenach obiektów infrastruktury krytycznej, czy też związanych z prawidłową eksploatacją instalacji.

Przykładem jest zaginięcie z terenu jednego z obiektów infrastruktury krytycznej dwóch dużych pojemników zawierających izotop promieniotwórczy Co-60. Przyczyną zaginięcia był brak nadzoru jednego z operatorów nad pracownikami firmy zewnętrznej wykonującej usługi na terenie obiektu IK.

Kolejnym incydentem było uszkodzenie połączenia transgranicznego - kabla prądu stałego 450 kV, łączącego Polskę z jednym z europejskich krajów, strategicznego z punktu widzenia zapewnienia dostaw energii elektrycznej oraz mającego wpływ na bezpieczeństwo energetyczne Państwa. Natomiast brak przygotowania i wdrożenia przez jednego z operatorów IK procedur kontroli transportów z wwożonymi surowcami energetycznymi przed ich wjazdem na teren obiektu IK, spowodował skierowanie na przekaźnik taśmowy, wraz z ładunkiem biomasy, niewybuchu pocisku artyleryjskiego.

Zastrzeżenia NIK budziła również niewłaściwa realizacja zadań z zakresu ochrony IK przez skontrolowanych wojewodów oraz jednostki samorządu terytorialnego. Stwierdzono bowiem szereg przypadków niewywiązywania się przez wojewodów, starostów (prezydentów) i wójtów (burmistrzów) ze współpracy w ramach ochrony infrastruktury krytycznej na podległych im terenach.