Szymon Kastelik
14 czerwca 2021
W czwartek (10 czerwca) doszło do wycieku wrażliwych danych. Przez pół godziny każdy mógł pobrać ze strony Śląskiego Urzędu Wojewódzkiego plik z hasłami, loginami, PIN-ami do telefonów itd. Urząd podjął natychmiast działania w celu wyjaśnienia całej sytuacji.
Codziennie o godzinie 7:30 Wojewódzkie Centrum Zarządzania Kryzysowego publikuje na stronie Śląskiego Urzędu Wojewódzkiego "Raport o sytuacji w województwie śląskim". W dokumencie służby wojewody informują o niebezpiecznych zdarzeniach oraz zagrożeniach w woj. śląskim. W miniony czwartek doszło jednak do pomyłki. Zamiast standardowego raportu na stronie pod czwartkową datą opublikowano i udostępniono do pobrania "RAPORT Z PRZEBIEGU DYŻURU SŁUŻBY OPERACYJNEJ WCZK". Dokument ma 13 stron i znajdują się w nim notatki, wewnętrzne informacje służbowe, instrukcje oraz hasła, loginy do skrzynek mailowych WCZK, a także zezwalające na dostęp do RSO, IMGW, Geoportalu, konta na Twitterze, aplikacji WOT oraz raportu potwierdzonych przypadków COVID-19. Ponadto w dokumencie umieszczone zostały numery telefonów do pracowników Wojewódzkiego Centrum Zarządzania Kryzysowego oraz numery pin/PUK do telefonów i tabletu. Około godziny 8 niewłaściwy plik zniknął ze strony ŚUW. O sprawie poinformowaliśmy rzecznik wojewody śląskiego, Alinę Kucharzewską.
Cała sytuacja spowodowana była przez błąd ludzki i bardzo dziękujemy za szybką reakcję. Pomyłkę popełnił dyżurny WCZK, który na koniec dyżuru przygotowuje dwa raporty - jeden z przebiegu służby i drugi o sytuacji w województwie. Ten pierwszy jest do użytku wewnętrznego, natomiast drugi raport jest publikowany na stronie internetowej. Niestety przy wysyłce na stronę podłączył niewłaściwy plik. Można było go pobrać od 7.30 do 8.00. W tym czasie odnotowano 12 wejść na stronę, ilości pobrań nie jesteśmy w stanie stwierdzić. Natychmiast po uzyskaniu informacji o niewłaściwym raporcie został on zamieniony na właściwy oraz podjęto działania zabezpieczające."
- informuje alina kucharzewska, rzecznik prasowy ŚUW.
Rzecznik zapewnia, że konta, do których wyciekły hasła i loginy, zostały zabezpieczone - Zablokowane zostały wszystkie konta i aplikacje, do których zostały ujawnione hasła dostępu, a następnie zostały zmienione hasła. Sprawdzono wejścia do tych aplikacji - ostatecznie nieuprawnionych logowań nie odnotowano. Dane osobowe, które pojawiły się w tym dokumencie, należą do osób funkcyjnych pracujących w jednostkach publicznych - dodaje Alina Kucharzewska.
Śląski Urząd Wojewódzki zareagował błyskawicznie. Alina Kucharzewska podkreśla, że wdrożono już działania zapobiegawcze, aby w przyszłości nie doszło do podobnego zdarzenia,
Zdarzenie zostało zarejestrowane jako incydent bezpieczeństwa informacji oraz zgłoszone do Inspektora Ochrony Danych Osobowych, w związku z czym zostaną sprawdzone pod kątem bezpieczeństwa danych wszystkie procedury związane z tworzeniem, przechowywaniem i publikowaniem raportów przez WCZK. Zaktualizowano i wdrożono działania zapobiegawcze (organizacyjne i informatyczne), aby nie doszło do podobnego incydentu w przyszłości. Ponadto wszczęto postępowanie wyjaśniające pod kątem naruszenia polityki bezpieczeństwa informacji. W zależności od jego wyników osoby odpowiedzialne poniosą konsekwencje służbowe zgodnie z przepisami obowiązującymi w służbie cywilnej - zapewnia Alina Kucharzewska, rzecznik prasowy wojewody śląskiego.
