Procedury były. Audyty też. Była nawet dokumentacja opisująca wykonywanie kopii zapasowych w chmurze. Tyle że takich kopii nie wykonywano. Do tego niewystarczająco zabezpieczona serwerownia, aktywne konta byłych pracowników i zakup, którego według NIK nie można rozliczyć z grantu. Wystąpienie pokontrolne dotyczące Urzędu Miasta i Gminy w Górze pokazuje, jak duża potrafi być odległość między bezpieczeństwem opisanym w zarządzeniu a bezpieczeństwem rzeczywistym.
W tej historii szczególnie ważna jest chronologia. Kontrola objęła zarówno końcówkę wieloletnich rządów Ireny Krzyszkiewicz, jak i pierwsze miesięce urzędowania jej następcy, Tadeusza Juski. Nie jest więc uczciwe opowiadanie o tym dokumencie tak, jakby historia górowskiego urzędu zaczęła się dopiero wraz ze zmianą burmistrza.
Większa część badanego okresu przypadła na rządy Ireny Krzyszkiewicz. Co więcej, podstawowa dokumentacja bezpieczeństwa powstała jeszcze wcześniej, właśnie za jej urzędowania. Także przygotowanie projektu i zatrudnienie zewnętrznego doradcy rozpoczęły się przed zmianą burmistrza.
To istotne, bo bezpieczeństwa urzędu nie instaluje się wraz z nową tabliczką na drzwiach gabinetu.
Spadek po Krzyszkiewicz: polityka bezpieczeństwa, instrukcje i chmura, której nie było
Jednym z najciekawszych wątków wystąpienia jest dokumentacja przyjęta w czasach Ireny Krzyszkiewicz.
Podstawowym elementem urzędowego systemu była Polityka Zarządzania Bezpieczeństwem Informacji, przyjęta zarządzeniem burmistrza z 8 lutego 2022 roku, a następnie zmieniona zarządzeniem z 25 października 2022 roku.
Nie chodziło o luźną deklarację. Dokumentacja zawierała konkretne procedury, między innymi dotyczące nadawania uprawnień, kończenia pracy w systemie oraz tworzenia kopii zapasowych. Pracownicy potwierdzali zapoznanie się z jej postanowieniami.
Na papierze urząd wiedział więc, co należy robić.
Kontrola pokazała jednak coś innego:
W Urzędzie nie sporządzano kopii zapasowych w chmurze obliczeniowej, co było niezgodne z § 4 i § 9 Procedury tworzenia kopii zapasowych w Urzędzie Miasta i Gminy w Górze.
Wyjaśnienie sekretarza jest szczególnie wymowne. Jak relacjonuje NIK:
w ramach projektu Cyfrowa Gmina przymierzano się do zakupu usług chmurowych i dlatego zapis ten umieszczono w PZBI. Po dokładnej analizie do tego zakupu jednak nie doszło.
Czyli do obowiązującej dokumentacji wpisano rozwiązanie, do którego urząd dopiero się przymierzał. Zakup ostatecznie nie nastąpił, ale zapis pozostał.
Chmura była w procedurze. Poza procedurą już nie.
To nie oznacza, że urząd w ogóle nie wykonywał kopii zapasowych. NIK stwierdziła coś innego i bardzo konkretnego: sposób ich sporządzania nie odpowiadał własnym regulacjom urzędu. Nie ma też podstaw, żeby przedstawiać chmurę jako jedyną dopuszczalną metodę zabezpieczania danych. Problem polegał na rozjechaniu się obowiązujących instrukcji z rzeczywistym działaniem.
Dokumentację przyjęto za Krzyszkiewicz. Niezgodność stwierdzono już za Juski. Poprzednia władza stworzyła urzędowe ramy, a następna nadal odpowiadała za ich stosowanie i aktualność.
Papier okazał się wyjątkowo cierpliwy. Bezpieczeństwo informacji nie ma obowiązku być równie wyrozumiałe.
Pracownik odszedł. Konto zostało
Jeszcze bardziej niepokojące są ustalenia dotyczące odbierania dostępu osobom, które zakończyły zatrudnienie.
NIK zapisała:
wszystkie trzy osoby, które zakończyły zatrudnienie w Urzędzie po 1 stycznia 2025 r. nadal miały aktywne konta użytkowników w domenie Active Directory, umożliwiające jednocześnie logowanie (i dostęp) do innych systemów dziedzinowych Urzędu.
Wszystkie trzy osoby objęte badaniem. Ani jednego prawidłowo zamkniętego przypadku w tej sprawdzonej grupie.
Nie chodziło więc wyłącznie o pozostawione nazwisko w jakimś archiwalnym spisie. Konta umożliwiały logowanie i dostęp do innych systemów urzędu.
Wyjaśnienie? Według sekretarza sytuacja wynikała z „nieuwagi informatyków”. Jak odnotowała Izba:
konta tych osób nie były używane i zostały zablokowane w trakcie przeprowadzenia oględzin.
Dobrze, że je zablokowano. Zdecydowanie gorzej, że nastąpiło to dopiero podczas oględzin kontrolnych.
W urzędzie zakończenie zatrudnienia powinno oznaczać również zakończenie dostępu do jego systemów. To nie jest technologiczna ekstrawagancja ani rozwiązanie wymagające konferencji i przecięcia wstęgi.
Ten zarzut dotyczy już okresu urzędowania Tadeusza Juski. Badanie przeprowadzono 1 lipca 2025 roku i odnosiło się ono do osób, które odeszły po 1 stycznia tego roku.
Nie ma również podstaw, żeby na tej podstawie ogłaszać wyciek danych. Dokument nie stwierdza wykorzystania tych kont przez byłych pracowników. Stwierdza natomiast pozostawienie im technicznej możliwości dostępu. I to samo w sobie jest wystarczająco poważne.
Cyberbezpieczeństwo zaczyna się także od drzwi
Kontrolerzy zajrzeli również do kwestii fizycznej ochrony infrastruktury.
Serwerownia znajdowała się w odrębnym, nieoznaczonym i klimatyzowanym pomieszczeniu. Miała wydzieloną instalację elektryczną, a w środku nie przechowywano materiałów zagrażających infrastrukturze informatycznej.
Brzmi rozsądnie. Tyle że dalej pojawia się ustalenie znacznie mniej uspokajające:
W pomieszczeniu serwerowni Urzędu brak było adekwatnych zabezpieczeń, co stwarzało potencjalne zagrożenie włamania i narażenia na zniszczenie lub nieuprawniony dostęp do aktywów informacyjnych.
Sekretarz wskazywał na usytuowanie serwerowni i sposoby jej dozoru, które miały zmniejszać ryzyko. NIK odpowiedziała:
wskazane przez Sekretarza Miasta i Gminy zabezpieczenia nie eliminują jednak ryzyka włamania lub narażenia na zniszczenie aktywów informacyjnych do tego pomieszczenia.
Dokument nie ujawnia szczegółów tych braków. Burmistrz został o nich osobno powiadomiony pismem z 2 lipca 2025 roku.
Nie będziemy zgadywać, czego dokładnie brakowało ani od kiedy. Samo wystąpienie nie pozwala też przypisać powstania tego stanu konkretnej kadencji.
Pozwala natomiast powiedzieć jedno: nawet najlepsze oprogramowanie nie załatwia sprawy, jeśli ochrona pomieszczenia ze sprzętem nie spełnia wymagań.
Prawie 850 tysięcy złotych grantu i zakup, którego NIK nie pozwala rozliczyć
Gmina otrzymała na projekt „Cyberbezpieczny Samorząd” 849 685,72 zł. Umowę o powierzeniu grantu podpisano 17 lipca 2024 roku, czyli w dniu zmiany na stanowisku burmistrza.
Do 22 sierpnia 2025 roku urząd wykazał wydatki kwalifikowalne w wysokości 379 652,24 zł, odpowiadające 44,68 proc. otrzymanego grantu. W tej puli znalazł się jednak wydatek zakwestionowany przez kontrolerów.
Chodzi o 14 modułów pamięci RAM za 23 800 zł netto, czyli 29 274 zł brutto.
NIK stwierdziła:
Zakup ten ponadto nie był ujęty we wniosku o przyznanie grantu.
Sekretarz wyjaśniał, że zakup wiązał się z kończącym się wsparciem dla wskazanych systemów i większym zapotrzebowaniem nowych wersji na pamięć.
Izba nie kwestionowała samej potrzeby zakupu. Zakwestionowała finansowanie go z tego konkretnego programu:
wydatek taki nie spełnia warunków Projektu i w związku z tym jest wydatkiem niekwalifikowalnym, który nie podlega rozliczeniu.
To ważne rozróżnienie. Potrzebny zakup nie staje się automatycznie zakupem dopuszczonym przez regulamin grantu. Program dotacyjny nie jest portfelem z przegródką „przyda się w urzędzie”.
NIK nakazała poinformować NASK o poniesieniu wydatku niekwalifikowalnego w kwocie 23 800 zł oraz przekazać Izbie decyzję operatora w tej sprawie.
Nie oznacza to zakwestionowania całego dofinansowania. Z przedstawionego dokumentu nie wynika też, jak NASK ostatecznie rozstrzygnęła tę kwestię. Wynika natomiast jasno, że kontrolerzy uznali ten konkretny wydatek za niepodlegający rozliczeniu w projekcie.
Dostawa objęta kontrolą była realizowana na podstawie umowy z marca 2025 roku. To kolejny element, którego nie można po prostu przerzucić na poprzednią burmistrz.
Doradca był już za Krzyszkiewicz. Wymogu w przetargu i tak zabrakło
Wróćmy jednak do etapu przygotowania projektu, bo ten rozpoczął się pod rządami Ireny Krzyszkiewicz.
Postępowanie dotyczące zewnętrznej usługi doradczej wszczęto 23 sierpnia 2023 roku. Umowę podpisano 22 września 2023 roku, na kwotę 48 500 zł brutto.
Doradca miał pomagać między innymi w rozpoznaniu potrzeb, przygotowaniu projektu, zarządzaniu nim i opracowaniu merytorycznej dokumentacji postępowań o zamówienie publiczne.
Urząd nie działał więc bez wsparcia. Korzystał z odpłatnej pomocy zewnętrznej, zorganizowanej jeszcze za poprzedniej burmistrz.
Mimo tego w późniejszym postępowaniu na dostawy i usługi zabrakło wymogu istotnego dla rozliczenia szkoleń. NIK napisała, że urząd:
nie zabezpieczył właściwie interesów zamawiającego, co było działaniem nierzetelnym.
W specyfikacji i umowie nie wskazano wymagania co najmniej dwuletniego doświadczenia wykonawcy w przygotowywaniu i prowadzeniu określonych szkoleń z cyberzagrożeń.
Sekretarz argumentował między innymi, że wykonawcy są profesjonalistami, a urząd poinformował ich o realizacji zadania w ramach projektu. Przedstawił także pozyskane dokumenty potwierdzające wymagane doświadczenie i kwalifikacje.
To istotna okoliczność: NIK nie stwierdziła, że szkolenia powierzono wykonawcom bez odpowiednich kompetencji. Zarzut dotyczył niezabezpieczenia wymogu w dokumentacji zamówienia.
Izba wyjaśniła, jakie mogły być konsekwencje takiego zaniedbania:
ich koszt stanowiłby wydatek niekwalifikowalny Projektu i w całości obciążałby Gminę.
Profesjonalizm wykonawcy nie zastępuje zatem prawidłowo przygotowanej umowy. Wiara w to, że „przecież firma się zna”, może być sympatyczna. Przy rozliczaniu publicznych pieniędzy lepiej jednak mieć odpowiedni zapis.
Audyty były. Dlaczego podstawowe problemy nadal istniały?
Obraz nie jest czarno-biały. NIK odnotowała, że urząd posiadał ustanowiony system zarządzania bezpieczeństwem informacji, zapewnił stabilną i kompetentną obsadę zaangażowaną w projekt oraz prowadził wymagane audyty wewnętrzne.
Izba nie wystawiła ogólnej oceny negatywnej. Zastosowała ocenę opisową, wskazując zarówno działania prawidłowe, jak i nieprawidłowości.
Trzeba o tym powiedzieć, bo rzetelność nie polega na wycięciu z dokumentu wszystkiego, co nie pasuje do ostrego tytułu.
Tyle że te pozytywne ustalenia stawiają zarazem niewygodne pytanie: jak to możliwe, że przy istniejących procedurach i audytach pozostawiono aktywne konta byłych pracowników, a dokumentacja kopii zapasowych nie odpowiadała rzeczywistości?
System bezpieczeństwa nie może kończyć się na potwierdzeniu, że system bezpieczeństwa istnieje.
Podobny zgrzyt dotyczył wskaźników projektu. We wniosku zapowiedziano szkolenia oraz zwiększenie bezpieczeństwa, ale bez wymaganych wartości liczbowych opisujących liczbę przeszkolonych osób i systemów, w których poprawi się ochronę.
Sekretarz wskazywał, że wniosek zaakceptowano, a rzeczywiste wskaźniki zostaną przedstawione podczas rozliczenia. CPPC wyjaśniało z kolei, że samorządy nie konkurowały wysokością wskaźników, więc nie oceniano ich w ramach kryteriów formalno-merytorycznych.
Wniosek przeszedł. Pytanie o precyzyjne mierzenie efektów pozostało.
Krzyszkiewicz nie znika z tej historii. Juska nie dostaje alibi
Wystąpienie NIK nie jest dokumentem o jednej osobie i jednej kadencji.
Irena Krzyszkiewicz kierowała urzędem przez dłuższą część kontrolowanego okresu. Za jej urzędowania przyjęto podstawową dokumentację bezpieczeństwa, zorganizowano doradztwo i rozpoczęto przygotowanie projektu. Nie sposób przedstawiać tych elementów jako przedsięwzięcia stworzonego od zera przez następcę.
Ale Tadeusz Juska odpowiadał już za urząd w czasie, gdy przeprowadzano zamówienie z 2025 roku, realizowano zakwestionowany zakup i pozostawiono aktywne konta osób odchodzących w tym samym roku.
NIK zażądała zgłoszenia problematycznego wydatku do NASK, dostosowania dokumentacji bezpieczeństwa do rzeczywistych procesów oraz zapewnienia wymaganej ochrony serwerowni.
Kontrola nie stwierdza włamania ani wycieku danych. Stwierdza uchybienia, które miały takim zdarzeniom zapobiegać. I właśnie dlatego nie należy ich lekceważyć.
Przedstawiony dokument opisuje stan ustalony do 22 sierpnia 2025 roku. Nie rozstrzyga, które zalecenia później wykonano ani jakie było ostateczne stanowisko operatora grantu. Do tego potrzebne są odpowiedzi urzędu i dalsza dokumentacja.
Mieszkańcy nie potrzebują cyberbezpieczeństwa na pokaz ani sporu o to, komu przypiąć cały raport. Potrzebują urzędu, w którym odejście pracownika oznacza zamknięcie dostępu, serwerownia ma właściwe zabezpieczenia, a procedura opisuje to, co naprawdę się robi.
To mniej efektowne niż nazwa projektu. Za to znacznie bardziej potrzebne.
Komentarze
Prześlij komentarz