Политика

Государственная информационная система, через которую были незаконно извлечены персональные данные граждан из реестров нескольких учреждений, должна быть заменена, поскольку она основана на устаревшей архитектуре и не имеет достаточных механизмов защиты.

Президент Майя Санду объявила после заседания Национального совета безопасности, что рабочая группа под руководством премьер-министра в течение месяца предложит решения для укрепления кибербезопасности государства, передаёт IPN.

До масштабной кибератаки молдавские чиновники позиционировали государственную цифровую систему как образец инноваций, удобства и надежности.

Основная риторика строилась вокруг презентации и активного продвижения правительственного супер-приложения EVO, разработанного агентством электронного управления AGE.

Объявляли, что это «прорыв в цифровизации» и избавление от бюрократии, что платформа выводит госуслуги на совершенно новый уровень.

Главным лозунгом было то, что гражданам больше «не нужно носить с собой физические документы»,  так как система интегрирует все данные в одном месте и делает взаимодействие с государством максимально бесшовным.

Власти уверяли, что архитектура баз данных надежна, транзакции через государственные платежные шлюзы (такие, как MPay) полностью защищены, а персональные числовые коды граждан (IDNP) находятся под строгим государственным контролем.

Чиновники с пафосом говорили о высоких темпах реформ. Электронное правительство позиционировалось как одна из самых успешных и передовых реформ страны, сближающих Молдову с европейскими стандартами цифрового государства.

И вот контраст с реальностью после атаки…

Когда произошел взлом, выяснилось, что именно хваленая архитектура «единой точки доступа» и подвела систему.

Как признает Майя Санду по итогам заседания совета нацбезопасности, система была спроектирована так, что проверяла только приложение, но не авторизацию конкретного пользователя, из-за чего через одну уязвимость хакеры скачали персональные данные сотен тысяч граждан.

Ирония ситуации дошла до того, что среди пострадавших, чьи данные утекли, оказался и сам глава агентства кибербезопасности Молдовы.

Майя Санду пояснила, что кибератака в октябре выявила "структурные недостатки цифровой инфраструктуры". Система проверяла приложение, запрашивавшее данные, но не проверяла личность пользователя и его право на доступ к ним. Таким образом, одно приложение с некорректно настроенным доступом позволило осуществить несанкционированное проникновение в цифровые реестры как минимум десяти учреждений.

Президент уточнила, что ещё одним серьёзным недостатком было отсутствие автоматического оповещения, которое сигнализировало бы о превышении определённого объёма извлечения данных. На вопрос о том, будут ли внедрены такие механизмы, Майя Санду ответила, что это одна из проблем, которую должны устранить Агентство электронного управления и другие учреждения.

По результатам проверок было установлено, что был получен доступ к данным примерно 450 тысяч граждан, которых Агентство электронного управления намерено проинформировать по электронной почте.

Майя Санду заявила, что у властей нет доказательств, позволяющих установить лиц, стоящих за атакой. Хотя характер атаки может указывать на государственного субъекта, президент воздержалась от обвинений в адрес какого-либо конкретного государства. В то же время она уточнила, что нет информации, подтверждающей версию о внутренней диверсии.

Рабочая группа, созданная по итогам заседания Национального совета безопасности, проанализирует в том числе безопасность информационных систем, процедуры закупок в сфере информационных технологий и ответственность поставщиков, разрабатывающих эти системы. Кроме того, будет проведено более чёткое разграничение обязанностей учреждений, чтобы избежать задержек при выявлении инцидентов и реагировании на них.

Президент отметила, что через три месяца Национальный совет безопасности оценит прогресс, достигнутый в реализации согласованных мер.