Brak systemowego podejścia do zarządzania ryzykiem
Jednym z najczęściej identyfikowanych problemów jest traktowanie cyberbezpieczeństwa jako zbioru pojedynczych środków technicznych, a nie jako procesu zarządzania ryzykiem.
W wielu jednostkach administracji publicznej analiza ryzyka ma charakter jednorazowy, formalny lub nie jest aktualizowana w odpowiedzi na zmiany technologiczne i organizacyjne.
Niedostateczne zaangażowanie kierownictwa
Raporty ENISA podkreślają, że cyberbezpieczeństwo w administracji publicznej często pozostaje wyłącznie domeną działów IT. Brakuje realnego nadzoru i odpowiedzialności po stronie kadry kierowniczej.
Skutkiem jest niedofinansowanie działań ochronnych, brak priorytetyzacji ryzyk oraz opóźnione reakcje na incydenty.
Zaniedbania w obszarze czynników ludzkich
ENISA wskazuje, że pracownicy administracji publicznej są jednym z głównych wektorów ataków, zwłaszcza w kontekście phishingu i socjotechniki.
- ✗ brak regularnych szkoleń z cyberbezpieczeństwa,
- ✗ niska świadomość zagrożeń wśród pracowników,
- ✗ brak procedur reagowania na podejrzane zdarzenia.
Niewystarczające przygotowanie na incydenty
Kolejnym istotnym błędem jest brak praktycznych planów reagowania na incydenty cyberbezpieczeństwa. W wielu jednostkach procedury istnieją wyłącznie na papierze.
ENISA zwraca uwagę, że brak ćwiczeń i testów powoduje chaos decyzyjny w momencie rzeczywistego ataku, co znacząco zwiększa skalę strat.
Zaniedbania w zarządzaniu dostawcami i systemami zewnętrznymi
Administracja publiczna w dużym stopniu polega na zewnętrznych dostawcach systemów i usług IT. Raporty ENISA pokazują, że bezpieczeństwo łańcucha dostaw jest jednym z najsłabszych ogniw.
Brak wymagań bezpieczeństwa wobec dostawców oraz niewystarczony nadzór nad usługami zewnętrznymi zwiększają ryzyko incydentów o charakterze systemowym.
Wnioski dla administracji publicznej
Analiza ENISA prowadzi do jednoznacznego wniosku: większości incydentów można było uniknąć dzięki lepszej organizacji, świadomości i nadzorowi.
W kontekście NIS 2 eliminacja tych błędów przestaje być dobrą praktyką, a staje się obowiązkiem prawnym i zarządczym.
Źródło: ENISA, ENISA Sectorial Threat Landscape – Public Administration
