Siguria e brishtë kibernetike e faqeve qeveritare

Disa sulme kibernetike dhe ndërhyrjet e paautorizuara në sistemin e pagesave në Thesarin e Shtetit e vunë në pikëpyetje qëndrueshmërinë dhe sigurinë e përmbajtjes online të faqeve të institucioneve në  Kosovë.

Kosova është në mesin e vendeve që nuk ka një ligj për sigurinë kibernetike ndërsa legjislacioni për sigurinë është i shpërndarë në disa ligje dhe i bën përgjegjës disa institucione për të siguruar standardet e sigurisë në prezencën online.

Të dhënat tregojnë që në Kosovë 90% e qytetarëve kanë qasje nga shtëpitë e tyre në internet ndërsa dhjetëra shërbime përfshirë aplikime për dokumente, licenca dhe aplikimet për tenderë kryhen në platforma online por të cilat në disa raste janë dëshmuar se kanë probleme me sigurinë.

Por serverët qeveritarë dhe ata të institucioneve të tjera të vendit janë treguar të brishtë ndaj sulmeve dhe ndërhyrjeve nga jashtë.

Serverët bien në raste të trafikut të tepërt ndërsa në disa raste ndërhyrjet kanë shkuar aq larg sa përmbajtja e faqeve është ndryshuar dhe në to janë vendosur mesazhe nga hakerët.

Njëri nga sulmet më të mëdha ishte ai i vitit 2018 kur pas vendosjes së taksës ndaj mallrave serbe, emailat e diplomatëve kosovarë kishin qenë pre e sulmeve kibernetike ndërsa hetimet sipas të dhënave kanë rezultuar se ndërhyrjet erdhën nga disa vende të rajonit.

Në të dhënat e prokurorisë ende nuk ka rezultate konkrete se kush ishin përgjegjësit ndërsa hetimet thuhet se janë duke vazhduar.

Një hetim i gjerë nisi edhe pas aferës së Thesarit të Shtetit. 2.1 milionë euro u transferuan nga Thesari në konton e një kompanie private.

Rasti tregoi brishtësi të lartë të sistemit të menaxhimit të parave publike pasi transaksionet dhe keqpërdorimi u vërejtën vetëm pas 9 ditësh.

Hetimet treguan se e-maila dhe llogari të punonjësve të Ministrisë së Infrastrukturës të cilët nuk ishin në punë u shfrytëzuan për të mundësuar transferin i cili u krye nga zyrat e Thesarit të Kosovës.

Sipas dosjes hetimore, zyrtari i Thesarit përdori një email dhe qasje të zyrtarit të Ministrisë së Infrastrukturës dhe duke përdorur atë llogari kreu pagesë te kompania.

Të dhënat tregojnë që transaksioni nuk ishte vërejtur për 9 ditë ndërsa gjatë asaj kohe kompania ku u transferuan mjetet i kishte transferuar ato në mbi 40 kompani të tjera në Kosovë dhe në vende të tjera përfshirë Turqinë.

Zyrtari u arrestua nga Prokuroria ndërsa në paraburgim është edhe pronari i kompanisë në të cilën u transferuan fondet.

Ministrja e Financave, Hykmete Bajrami, thotë se nuk kishin pasur asnjë sinjal se sistemi mund të manipulohej.

“Nuk ka pasur sinjale që mund të ndodhë diçka e tillë. Sistemi ka pasur investime të mira dhe na është thënë që është koncentru krejt potenciali që prej jashtë askush mos me pasë qasje por faktori njeri nuk ka mundë me u parandalu”, thotë Bajrami.

Ajo tregon se në këtë rast sistemi ishte manipuluar nga punonjësit brenda ndërsa paratë ende nuk janë kthyer në buxhetin e vendit.

Dëshmitë se sistemi që mendohej se ishte i paprekshëm u rrëzua kanë bërë që në Ministrinë e Financave të ndërtohen mekanizma shtesë për të parandaluar transaksione dhe keqpërdorime të ngjashme.

Zëvendësministri i Financave, Agim Krasniqi, thotë se janë vendosur 13 masa të reja nga drejtori i Thesarit. Këto masa, sipas Krasniqit, janë ndërtuar për të parandaluar përsëritjen e situatave të ngjashme.

“Është vendosur që një person nuk mundet t’i kryejë të gjitha transaksionet e poashtu kemi vendosur që në rastet kur shohim se zyrtarët nga institucionet e tjera janë jashtë sistemit do t’i largojmë ata me automatizëm”, ka thënë Krasniqi.

Prokuroria e Shtetit që është duke hetuar rastin nuk ka dhënë shumë detaje rreth hetimit përpos faktit që disa llogari janë bllokuar dhe hetimet janë duke vazhduar me intensitet të lartë.

Përpos ndërhyrjeve nga faktorët njeri, sistemet online të qeverisë së Kosovës por edhe institucioneve të tjera në disa raste kanë pasur probleme me sulme kibernetike nga jashtë.

Të dhënat nga Ministria e Punëve të Brendshme dhe Administratës tregojnë se sulmi i fundit ndodhi më 3 dhjetor 2020 ndërsa nuk tregohen institucionet të cilat ishin cak i këtij sulmi.

“Bazuar në auditimin preliminar të bërë nga Sektori për Siguri Kibernetike në ASHI, sulmuesit kanë pasur cak ueb faqet e institucioneve të Kosovës. Sipas këtij auditimi nuk vërehet se ndonjë e dhënë është nxjerrë jashtë rrjetit kompjuterik shtetëror përmes këtij sulmi kibernetik”, thuhet në përgjigjen e MPBA-së.

Agjencia për Sigurinë e Informacionit është organ me përgjegjësi për të përcaktuar rregullat e hostingut dhe mirëmbajtjes së ueb faqeve qeveritare mirëpo në MPBA thonë se jo të gjitha institucionet kanë marrë masa që t’i respektojnë standardet.

Si rrjedhojë, faqe të caktuara qeveritare dhe të agjencive të pavarura janë të ekspozuara ndaj sulmeve kibernetike.

Rekomandimet e Agjencisë ende nuk janë obligime ligjore për të gjitha institucionet.

Hekuran Doli, njohës i sigurisë kibernetike, tregon se Qeveria e Kosovës nuk ka kursyer mjete për të investuar në pajisje të sigurisë kibernetike dhe si rrjedhojë siguria është në nivel të kënaqshëm.

Mirëpo, sipas tij, shqetësues është siguria e aplikacioneve të hostuara brenda infrastrukturës së qeverisë.

“Qeveria e Kosovës nuk ka një manual të sigurisë kibernetike të cilit do të duhej nënshtroheshin kontraktorët e jashtëm që zhvillojnë aplikacione për qeverinë e Kosovës”, thotë Doli.

Në mesin e problemeve ai përmend edhe mungesën e një protokolli të sigurisë me të cilin do të punonin zyrtarët që kanë qasje në faqet e qeverisë.

“Si rezultat i mungesës së protokollit të brendshëm të sigurisë kibernetike mund të ndodhin sulme nga brenda, sikurse është rasti i vjedhjes së 2.1 milion eurove nga Thesari i Kosovës. Mbrojtja nga sulmet e brendshme është po aq e rëndësishme sa edhe mbrojtja nga sulmet e jashtme, prandaj institucionet e Kosovës kane ende pune për te bere ne ketë drejtim” thotë Doli.

Protokolli dhe mekanizma të ngjashëm për momentin janë kompetencë e AShI-së ndërsa qeveria synon që siguria të rritet me Ligjin për Siguri Kibernetike.

Drafti i ligjit tashmë është vendosur në diskutim publik dhe në të janë paraparë disa veprime konkrete në siguri kibernetike.

Ligji parasheh respektimin e protokolleve dhe standardeve evropiane të sigurisë kibernetike ndërsa ka paraparë themelimin e agjencisë për siguri kibernetike brenda Ministrisë së Administratës.

Drafti i ligjit synon që në Kosovë të ketë një standard të sigurisë për faqet qeveritare dhe një standard të hostingut të tyre.

Ligji ka paraparë që për institucionet që nuk i zbatojnë standardet të imponohen gjoba deri në 10 mijë euro në rast se nuk respektohen standardet dhe direktivat e dhëna nga agjencia.

I njëjti ligj ka paraparë edhe disa nene të cilat parashohin kriminalizimin dhe sanksionet për personat të cilët kryejnë ndërhyrje kibernetike në faqet zyrtare të vendit.

Ligji për momentin është në proces draftimi dhe pritet të miratohet nga qeveria pët t’u dërguar për aprovim final në Kuvendin e Kosovës.

Ky artikull hulumtues është përgatitur si pjesë e projektit “Rritja e Pjesëmarrjes së Qytetarëve në Agjendën Digjitale – ICEDA” me mbështetjen financiare të Bashkimit Evropian. Përmbajtja e këtij artikulli hulumtues është përgjegjësi e vetme e Open Data Kosovo dhe e autorit dhe në asnjë mënyrë nuk i pasqyrojnë qëndrimet e Bashkimit Evropian.