Cyberatak na system Słupskiej i Usteckiej Karty Mieszkańca (doszło do niego
w maju 2026 r.) przywrócił pytania o wybór operatora, bezpieczeństwo danych
i sposób sprawowania nadzoru nad systemem. Wróciliśmy do dokumentów
z 2022 roku, aby sprawdzić, dlaczego do realizacji programu wybrano spółkę Witaj Świecie! z partnerem technologicznym Witkac, jakie zobowiązania przyjęła
w zakresie bezpieczeństwa oraz w jaki sposób były one realizowane
i weryfikowane w kolejnych latach.
Jedna z mieszkanek Słupska postanowiła nie poprzestać na komunikacie o cyberataku. Korzystając z przepisów RODO, zwróciła się do Urzędu Miejskiego z pytaniami dotyczącymi naruszenia ochrony danych osobowych. Chciała ustalić, czy jej dane znalazły się wśród rekordów, do których mogły uzyskać dostęp osoby nieuprawnione. Pytała również, jakie działania podjęto wobec operatora systemu, czy konta pracowników zostały zabezpieczone uwierzytelnianiem wieloskładnikowym oraz czy podobny mechanizm zostanie udostępniony mieszkańcom korzystającym z Karty Mieszkańca.
Odpowiedź zastępczyni Inspektora Ochrony Danych ograniczyła się do jednego zdania:
„Informuję, że nie stwierdziliśmy naruszenia Pani danych osobowych w wyniku cyberataku na użytkowników Słupskiej Karty Mieszkańca.”
Na pozostałe pytania odpowiedzi już nie udzielono.
Ta krótka korespondencja dobrze pokazuje, jak zmieniła się perspektywa mieszkańców
po ujawnieniu incydentu. Nie pytali już wyłącznie o to, czy ich dane mogły zostać ujawnione. Chcieli wiedzieć również, kto odpowiada za system, jakie zabezpieczenia zastosowano i co zrobiono, aby podobna sytuacja nie powtórzyła się w przyszłości.
Odpowiedzi na te pytania nie zaczynają się jednak w maju 2026 roku. Ich źródła prowadzą do dokumentów sporządzonych ponad cztery lata wcześniej – unieważnionego przetargu, późniejszego konkursu ofert, ocen komisji konkursowej oraz zobowiązań przyjętych przez wybranego operatora.
Przeanalizowaliśmy dokumentację postępowania, obie złożone oferty, karty ocen komisji, umowę zawartą z operatorem oraz odpowiedzi przekazane po cyberataku. Dopiero zestawienie tych dokumentów pozwala odtworzyć drogę, która doprowadziła do wyboru operatora, pokazuje doświadczenie obu oferentów oraz pozwala sprawdzić, jakie standardy bezpieczeństwa deklarowano przed podpisaniem umowy i w jaki sposób administrator danych nadzorował podmiot przetwarzający dane mieszkańców.
Najpierw był przetarg
Historia Słupskiej Karty Mieszkańca nie rozpoczęła się od konkursu ofert. Pierwszym krokiem był przetarg ogłoszony w 2021 roku na „przygotowanie, wdrożenie i utrzymanie systemu Słupskiej Karty Mieszkańca wraz z wydrukiem i cykliczną dostawą kart fizycznych”. Postępowanie zakończyło się jednak unieważnieniem 15 listopada 2021 roku.
Nie zabrakło ani zainteresowanych wykonawców, ani złożonych ofert. O zakończeniu postępowania przesądziły błędy stwierdzone po stronie zamawiającego.
W uzasadnieniu wskazano trzy wady, których – jak zapisano – nie można było usunąć
bez naruszenia zasad prowadzenia postępowania.
Pierwsza dotyczyła kryterium oceny ofert. Zamawiający uznał, że doświadczenie wykonawcy we współpracy z jednostkami samorządu terytorialnego odnosi
się do właściwości wykonawcy, a nie do jakości oferowanego rozwiązania.
Drugim problemem był wymóg wykazania wcześniejszego wdrożenia i utrzymania systemu karty mieszkańca w co najmniej jednej jednostce samorządu terytorialnego.
W uzasadnieniu wskazano, że taki zapis mógł ograniczać uczciwą konkurencję, eliminując podmioty posiadające porównywalne doświadczenie zdobyte poza administracją samorządową.
Trzecia wada miała charakter techniczny. W projekcie umowy czas reakcji na awarię krytyczną określono na osiem godzin, podczas gdy w opisie przedmiotu zamówienia wskazano 24 godziny. Rozbieżność mogła wpływać zarówno na sposób przygotowania ofert, jak i ich wycenę. W konsekwencji zamawiający uznał postępowanie za obciążone wadą niemożliwą do usunięcia.
Jeszcze w styczniu 2022 roku przedstawiciele ratusza zapowiadali wybór nowej formuły oraz możliwość przeprowadzenia kolejnego postępowania. Ostatecznie zdecydowano
się jednak na inne rozwiązanie.
Konkurs zamiast przetargu
25 stycznia 2022 roku, na podstawie zarządzenia nr 64/WIP/2022, ogłoszono otwarty konkurs ofert. Nie był to już zakup systemu informatycznego prowadzony w trybie Prawa zamówień publicznych, lecz konkurs na realizację zadania publicznego z zakresu wspomagania rozwoju wspólnot i społeczności lokalnych. Datę oraz podstawę prawną
tego postępowania potwierdził później Urząd Miejski w odpowiedzi udzielonej redakcji.
Do konkursu wpłynęły dwie oferty.
Pierwszą złożyła Witaj Świecie! Sp. z o.o., wskazując jako partnera technologicznego Witkac Sp. z o.o.
Drugą przygotowały wspólnie Stowarzyszenie Rozwoju Inspiracje oraz Zakład Doskonalenia Zawodowego w Słupsku, a za rozwiązanie technologiczne odpowiadać miała QB Sp. z o.o. z Gdyni.
Obie propozycje zakładały uruchomienie portalu internetowego, aplikacji mobilnej, panelu administracyjnego, kart fizycznych i elektronicznych, systemu obsługi partnerów
oraz wieloletnie utrzymanie rozwiązania. Na tym podobieństwa właściwie się kończyły.
Największe różnice dotyczyły sposobu udokumentowania doświadczenia partnerów technologicznych.
16 lutego 2022 roku wpłynęła oferta spółki Witaj Świecie!. Sześć dni później komisja konkursowa wskazała ją jako najkorzystniejszą, a 1 marca podpisano umowę na realizację programu Słupskiej Karty Mieszkańca.
Oferta Witaj Świecie! i Witkac
Dokumentacja złożona przez wybranego oferenta przedstawiała Witaj Świecie! jako przedsiębiorstwo społeczne działające od 2018 roku. Wskazano doświadczenie w realizacji projektów społecznych, w obsłudze użytkowników systemów informatycznych oraz współpracy z partnerem technologicznym – Witkac Sp. z o.o.
Sam Witkac został opisany jako spółka działająca od 2013 roku, rozwijająca platformę witkac.pl, zatrudniająca programistów i specjalistów wdrożeniowych. To właśnie partner technologiczny miał odpowiadać za przygotowanie aplikacji oraz nadzór nad pracami technicznymi, wdrożeniowymi i testowymi.
W części poświęconej doświadczeniu przy projektach kart mieszkańca wskazano Kartę Mieszkańca Ustki. Z dokumentacji wynika, że Witaj Świecie! prowadziło – na zlecenie partnera technologicznego – Biuro Obsługi Klienta wspierające użytkowników różnych systemów, „w tym Karty Mieszkańca Ustki”.
Oferta nie zawierała natomiast wykazu zakończonych wdrożeń kart mieszkańca w innych samorządach ani referencji potwierdzających realizację takich projektów. Autorzy dokumentacji akcentowali przede wszystkim kompetencje zespołu, doświadczenie w projektach społecznych, organizację obsługi użytkowników oraz gotowość przygotowania rozwiązania odpowiadającego wymaganiom określonym przez zamawiającego.
Oferta Stowarzyszenia Rozwoju Inspiracje i QB
Konkurencyjna oferta przedstawiała doświadczenie technologiczne w zupełnie inny sposób. Stowarzyszenie Rozwoju Inspiracje wskazało, że przy realizacji zadania zamierza korzystać z systemu OneCARD, oferowanego przez QB Sp. z o.o.
Do dokumentacji dołączono wykaz czternastu wcześniej zrealizowanych wdrożeń:
-
Gdańska Karta Turysty,
-
Gdańska Karta Mieszkańca,
-
Karta Mieszkańca Kołobrzegu,
-
Karta Nowosądeczanina,
-
Mosińska Karta Mieszkańca,
-
Płockarta,
-
Karta Łodzianina,
-
Wejherowska Karta Mieszkańca,
-
Karta Turysty Bydgoszcz,
10. Karta Mieszkańca w Pruszczu Gdańskim,
11. Tczewska Karta Mieszkańca,
12. Karta Mieszkańca w Starogardzie Gdańskim,
13. Karta Mieszkańca w Grodzisku Mazowieckim,
14. Pomorska Regionalna Karta Turysty.
W ofercie wskazano również trzy kolejne systemy będące wówczas w trakcie wdrażania: Gliwicką Kartę Mieszkańca, Sopocką Kartę Mieszkańca oraz Kartę Mieszkańca
w Poddębicach. Do realizacji w Gdańsku, Kołobrzegu, Nowym Sączu, Mosinie, Łodzi
i Pruszczu Gdańskim dołączono referencje potwierdzające wykonanie projektów.
Różnica pomiędzy obiema ofertami nie sprowadzała się wyłącznie do liczby wskazanych realizacji. Partner technologiczny QB przedstawił również sposób weryfikacji bezpieczeństwa oferowanego systemu.
Z dokumentacji wynikało, że system OneCARD przechodził coroczny audyt wewnętrzny prowadzony przez inspektora ochrony danych. Wskazano także, że w maju 2021 roku – przy okazji wdrożenia systemu w Łodzi – rozwiązanie zostało poddane zewnętrznemu audytowi przeprowadzonemu przez DAGMA Bezpieczeństwo IT. Według oferty audyt obejmował system, spółkę QB jako podmiot przetwarzający oraz dokumentację techniczną. Autorzy dokumentacji deklarowali, że zakończył się on wynikiem pozytywnym.
W ofercie wskazano również, że system przeszedł kontrolę Urzędu Ochrony Danych Osobowych, która nie wykazała uchybień, a jedynym zaleceniem było zwiększenie siły generowanego hasła.
Były to informacje przedstawione przez konkurencyjnego oferenta jako element potwierdzający doświadczenie oraz wiarygodność proponowanego rozwiązania.
Nie stanowiły ustaleń komisji konkursowej ani stanowiska administratora danych,
lecz opis doświadczenia i standardów bezpieczeństwa zaprezentowanych przez autora oferty.
Jak komisja oceniła doświadczenie obu ofert?
Komisja konkursowa najwyżej oceniła ofertę złożoną przez Witaj Świecie! Sp. z o.o.
Trzech członków komisji przyznało zwycięskiej ofercie po 39 punktów, natomiast czwarty 46 punktów. W kryterium dotyczącym doświadczenia w realizacji podobnych przedsięwzięć wszyscy członkowie komisji przyznali maksymalną ocenę – po 2 punkty. Maksymalne noty otrzymały również kwalifikacje zespołu, zakładane rezultaty, budżet
oraz sposób realizacji zadania.
Karty ocen nie zawierają jednak opisowego uzasadnienia przyznanych ocen.
Oferta przygotowana przez Stowarzyszenie Rozwoju Inspiracje i Zakład Doskonalenia Zawodowego w Słupsku została oceniona wyraźnie niżej. Poszczególni członkowie komisji przyznali jej 22,5, 22,75, około 22,5 oraz 18 punktów. W kryteriach dotyczących kwalifikacji i doświadczenia pojawiały się oceny od 0 do 0,5 punktu, mimo, że partner technologiczny przedstawił wykaz licznych wdrożeń kart mieszkańca, referencje oraz informacje dotyczące audytów bezpieczeństwa i kontroli UODO.
Sama różnica w punktacji nie oznacza oczywiście, że komisja konkursowa dokonała niewłaściwego wyboru. Ocenie podlegało nie tylko doświadczenie partnera technologicznego, lecz także doświadczenie samego oferenta, kwalifikacje osób przewidzianych do realizacji zadania, budżet, zakładane rezultaty, sposób wykonania projektu oraz działalność prowadzona na rzecz mieszkańców Słupska.
Dokumentacja pozostawia jednak jedno z najważniejszych pytań tej sprawy.
Co przesądziło o przyznaniu maksymalnej oceny doświadczeniu zwycięskiej oferty, skoro konkurencyjna propozycja zawierała znacznie szerszy wykaz wcześniejszych wdrożeń, referencje oraz informacje o audytach bezpieczeństwa
i kontroli UODO?
Na to pytanie same karty ocen nie udzielają odpowiedzi.
Co zadeklarował operator wyłoniony w konkursie?
Oferta Witaj Świecie! nie ograniczała się do przygotowania aplikacji i wydrukowania kart.
Spółka zadeklarowała utrzymanie serwera, aktualizowanie baz danych, wykonywanie kopii bezpieczeństwa danych i plików przesyłanych przez użytkowników, aktualizację certyfikatów, świadczenie asysty technicznej oraz realizację prac rozwojowych. Dokumentacja przewidywała również udział specjalisty ds. RODO, który miał monitorować prawidłowość przetwarzania danych osobowych przez cały okres realizacji projektu.
W ofercie zapisano wprost, że specjalista ten będzie odpowiedzialny za:
„monitoring i nadzór nad prawidłowością przetwarzania danych osobowych w trakcie realizacji projektu, w tym za przeprowadzenie 2 audytów ds. bezpieczeństwa w trakcie trwania przedsięwzięcia”.
Dwa audyty bezpieczeństwa wpisano również do katalogu zakładanych rezultatów projektu. W tabeli określono ich liczbę na dwa, a jako sposób potwierdzenia wykonania wskazano wydruk dokumentu.
Oświadczenie techniczne złożone przez Witaj Świecie! przewidywało ponadto całodobowy dostęp do systemu, wykonywanie i przechowywanie kopii bezpieczeństwa, obsługę serwisową, szkolenia oraz zapewnienie zamawiającemu dostępu umożliwiającego sprawowanie nadzoru nad powierzonymi danymi mieszkańców.
W dokumencie znalazł się również zapis:
„Wykonawca zapewni Zamawiającemu dostęp do systemu, w którym będą zarejestrowani mieszkańcy przystępujący do programu, w zakresie umożliwiającym Zamawiającemu nadzór nad powierzonymi danymi osobowymi uczestników programu”.
Po podpisaniu umowy administrator danych nie został więc pozbawiony możliwości weryfikowania sposobu realizacji zadania. Sama umowa przyznawała mu prawo do kontroli, żądania dokumentów i wyjaśnień, natomiast oświadczenie techniczne przewidywało dostęp umożliwiający sprawowanie nadzoru nad powierzonymi danymi.
Incydent trwał od 4 maja
Operator dowiedział się o nieprawidłowym przekierowaniu linku logowania na zewnętrzny adres 26 maja 2026 roku, po zgłoszeniu jednego z pracowników. Dzień później
o zdarzeniu poinformowano Urząd Miejski w Słupsku. 28 maja podjęto decyzję
o powiadomieniu użytkowników, a 29 maja opublikowano komunikat oraz zgłoszono naruszenie Prezesowi Urzędu Ochrony Danych Osobowych.
Z odpowiedzi przekazanych redakcji wynika jednak, że możliwość nieuprawnionego dostępu rozpoczęła się znacznie wcześniej – 4 maja 2026 roku o godz. 14.45 UTC. Według ustaleń administratora danych incydent mógł dotyczyć około 31 tys. użytkowników Słupskiej Karty Mieszkańca oraz około 7 tys. użytkowników Usteckiej Karty Mieszkańca.
Administrator poinformował, że przeprowadzono analizę zdarzenia, oszacowano ryzyko
dla osób, których dane mogły zostać objęte incydentem, powiadomiono Prezesa UODO
oraz CSIRT NASK, a operator złożył zawiadomienie do Prokuratury Okręgowej w Słupsku.
Jednocześnie z przekazanych odpowiedzi wynika, że analiza została przeprowadzona przez operatora systemu oraz podmiot zapewniający hosting. W odpowiedzi udzielonej redakcji słupski Urząd Miejski przyznał, że nie dysponuje informacją o zakończeniu niezależnej ekspertyzy wykonanej przez zewnętrznych specjalistów.
To istotne rozróżnienie.
W odpowiedzi nie wskazano, aby całość ustaleń została zweryfikowana przez niezależny podmiot spoza operatora i dostawcy hostingu. Wyjaśniono natomiast, że przedstawiona ocena opiera się na analizie dostępnych logów systemowych i aplikacyjnych oraz zakresie uprawnień przejętego konta.
Oznacza to, że analiza nie wykazała dostępu do szerszego zakresu danych.
Nie jest to jednak równoznaczne z niezależnym, zewnętrznym potwierdzeniem,
że taki dostęp z całą pewnością nie miał miejsca.
Konto bez MFA
W odpowiedzi udzielonej redakcji Urząd Miejski potwierdził, że konto pracownika, którego przejęcie doprowadziło do incydentu, nie było zabezpieczone mechanizmem uwierzytelniania wieloskładnikowego (MFA).
W przekazanym stanowisku zapisano:
„W dacie zdarzenia konto nie było zabezpieczone mechanizmem uwierzytelniania wieloskładnikowego.”
Jednocześnie wyjaśniono, że w okresie wdrażania i eksploatacji systemu nie obowiązywał przepis prawa powszechnie nakładający obowiązek stosowania MFA w tego rodzaju rozwiązaniach. Dodano również, że zastosowane zabezpieczenia dobierano zgodnie
z obowiązującymi wymaganiami prawa oraz przeprowadzoną oceną ryzyka.
Formalny brak ustawowego obowiązku nie odpowiada jednak na pytanie, czy mechanizmy ochrony były w kolejnych latach aktualizowane wraz ze zmieniającym się poziomem zagrożeń. Cyberbezpieczeństwo nie kończy się bowiem z chwilą uruchomienia systemu.
W praktyce wymaga cyklicznej oceny ryzyka, okresowych przeglądów uprawnień oraz dostosowywania zabezpieczeń do pojawiających się zagrożeń.
W tym kontekście szczególnego znaczenia nabierają dwa audyty bezpieczeństwa zapowiedziane w zwycięskiej ofercie.
Czy przeprowadzono dwa audyty?
Z dokumentów konkursowych wynika jednoznacznie, że Witaj Świecie! zadeklarowało przeprowadzenie dwóch audytów bezpieczeństwa.
Nie dysponujemy jednak dokumentami pozwalającymi ustalić, kiedy zostały przeprowadzone, jaki obejmowały zakres, kto je wykonał oraz jakie zalecenia sformułowano po ich zakończeniu.
Nie można więc stwierdzić, że audyty się nie odbyły. Można natomiast wskazać,
że ich wykonanie nie zostało potwierdzone dokumentacją przekazaną redakcji.
Jeszcze większe znaczenie ma odpowiedź udzielona na pytanie dotyczące regularnych kontroli bezpieczeństwa operatora.
W przekazanym stanowisku zapisano:
„Miasto dotychczas nie przeprowadzało kontroli w podmiocie przetwarzającym.”
To zdanie wymaga bardzo precyzyjnego odczytania. Nie oznacza ono, że administrator danych nie kontrolował żadnych elementów realizacji całego projektu. Potwierdza natomiast, że do czasu ujawnienia incydentu nie przeprowadzano kontroli w podmiocie przetwarzającym dane osobowe.
Jednocześnie dokumentacja konkursowa przewidywała monitoring ochrony danych, przeprowadzenie dwóch audytów bezpieczeństwa oraz zapewnienie administratorowi dostępu umożliwiającego sprawowanie nadzoru nad systemem.
Po ujawnieniu incydentu administrator danych otrzymał raport przygotowany przez operatora. Zapowiedział również przeprowadzenie audytu, który – zgodnie z przekazaną odpowiedzią – może zostać wykonany samodzielnie lub powierzony niezależnemu audytorowi.
Nadal nie wiadomo jednak, czy będzie to pierwszy niezależny audyt systemu od chwili jego uruchomienia, czy kolejny po audytach zapowiedzianych w ofercie złożonej w konkursie.
Dwa załączniki, których pobrania nie można wykluczyć
Administrator danych poinformował, że dokumenty potwierdzające uprawnienie do korzystania ze Słupskiej Karty Mieszkańca są automatycznie usuwane po zakończeniu procesu weryfikacji. Regulamin programu przewidywał jednak, że podczas składania wniosku mieszkaniec mógł dołączyć między innymi pierwszą stronę zeznania PIT, Urzędowe Poświadczenie Odbioru (UPO), zaświadczenie z urzędu skarbowego lub dokument z Zakładu Ubezpieczeń Społecznych.
W odpowiedzi przekazanej redakcji Urząd Miejski przyznał:
„W przypadku jednego wniosku o Słupską Kartę Mieszkańca wyświetlona została lista, składająca się z danych dotyczących dwóch załączników. Dostępne ślady techniczne
nie pozwalają na jednoznaczne ustalenie, czy te dwa załączniki zostały pobrane czy nie.”
To jedno z najważniejszych zdań zawartych w całej odpowiedzi.
Nie oznacza ono, że załączniki zostały pobrane przez osoby nieuprawnione. Pokazuje jednak granice obecnych ustaleń technicznych. Administrator danych nie twierdzi, że doszło do pobrania dokumentów. Jednocześnie nie może tego jednoznacznie wykluczyć.
Komunikacja z mieszkańcami po ujawnieniu incydentu
Korespondencja udostępniona redakcji pokazuje, że pytania mieszkańców wykraczały daleko poza ustalenie, czy ich własne dane znalazły się wśród informacji objętych incydentem.
Jedna z użytkowniczek zwróciła się do administratora danych z trzema grupami pytań. Chciała ustalić, czy jej rekord znalazł się wśród danych dostępnych dla osoby nieuprawnionej, jakie działania organizacyjne i prawne podjęto wobec operatora systemu oraz czy planowane jest wdrożenie uwierzytelniania wieloskładnikowego zarówno
dla pracowników, jak i mieszkańców korzystających ze Słupskiej Karty Mieszkańca.
Administrator danych poinformował ją, że analiza nie wykazała naruszenia jej danych osobowych. Odpowiedź ograniczyła się jednak wyłącznie do tej kwestii i nie odnosiła
się do pozostałych pytań dotyczących zmian w zabezpieczeniach systemu ani planowanych działań po ujawnieniu incydentu.
Podobną ostrożność widać również w odpowiedziach przekazanych redakcji. Administrator odmówił ujawnienia szczegółowego zakresu uprawnień przejętego konta oraz wymagań bezpieczeństwa określonych w umowie z operatorem, wskazując na konieczność ochrony konfiguracji oraz architektury systemu.
Ochrona informacji technicznych może być uzasadniona. Nie zmienia to jednak faktu,
że mieszkańcy mają prawo oczekiwać jasnej odpowiedzi na pytanie, czy po ujawnieniu incydentu system został zabezpieczony skuteczniej niż wcześniej.
Decyzja z 2022 roku wraca w 2026 roku
Sam cyberatak nie stanowi dowodu, że cztery lata wcześniej wybrano niewłaściwego wykonawcę. Tego rodzaju incydenty zdarzają się również w systemach dobrze zaprojektowanych i regularnie nadzorowanych.
Dokumentacja konkursowa pokazuje jednak, że komisja miała do wyboru dwie wyraźnie różniące się propozycje.
Oferta wybrana przez komisję opierała się przede wszystkim na doświadczeniu Witaj Świecie! i Witkac w realizacji projektów informatycznych, obsłudze użytkowników
oraz współpracy przy funkcjonującym wówczas systemie Usteckiej Karty Mieszkańca.
Konkurencyjny partner technologiczny przedstawił natomiast wykaz 14 zakończonych wdrożeń, trzech kolejnych realizowanych projektów, referencje, informacje o audycie zewnętrznym, corocznych audytach wewnętrznych oraz wcześniejszej kontroli przeprowadzonej przez Urząd Ochrony Danych Osobowych.
Mimo to komisja konkursowa przyznała zwycięskiej ofercie maksymalną ocenę
za doświadczenie, nie przedstawiając w kartach ocen opisowego uzasadnienia tej decyzji.
Cztery lata później incydent objął użytkowników zarówno Słupskiej, jak i Usteckiej Karty Mieszkańca.
Nie stanowi to dowodu na istnienie związku pomiędzy wyborem wykonawcy a samym przebiegiem cyberataku. Sprawia jednak, że pytania dotyczące podstaw oceny komisji konkursowej, późniejszego nadzoru administratora danych oraz realizacji zobowiązań zapisanych w ofercie stają się w pełni uzasadnione.
Podsumowując
Z dokumentów wynika, że operator zadeklarował utrzymanie systemu, jego rozwój, monitoring ochrony danych oraz przeprowadzenie dwóch audytów bezpieczeństwa. Administrator danych miał zapewnioną możliwość sprawowania nadzoru nad powierzonym systemem, a umowa przewidywała prawo kontroli oraz żądania dokumentów i wyjaśnień. Jednocześnie urząd przyznał, że do czasu ujawnienia incydentu nie przeprowadzał kontroli w podmiocie przetwarzającym dane osobowe. Wiadomo również, że konto pracownika
nie było zabezpieczone mechanizmem MFA, a dotychczasowe ustalenia dotyczące zakresu naruszenia opierają się na analizie operatora i dostawcy hostingu, bez zakończonej niezależnej ekspertyzy zewnętrznej. To właśnie te dokumenty sprawiają, że dziś pytania
nie dotyczą już wyłącznie samego cyberataku.
Dotyczą również tego, w jaki sposób przez kolejne cztery lata wykonywano nadzór nad systemem, którego bezpieczeństwo powierzono zewnętrznemu operatorowi.
Bo o jakości systemu nie świadczy wyłącznie moment jego uruchomienia. Równie istotne jest to, czy przez cały okres jego funkcjonowania weryfikowano poziom zabezpieczeń, realizację zadeklarowanych audytów oraz dostosowywano ochronę do zmieniających
się zagrożeń.
To właśnie na te pytania dokumenty, którymi dysponuje redakcja, nie dają dziś jednoznacznej odpowiedzi.
Warto również przypomnieć materiał poświęcony Słupskiej Karcie Mieszkańca, w którym opisaliśmy zastrzeżenia Rzecznika Praw Obywatelskich dotyczące zgodności części regulacji programu z konstytucyjną zasadą równości oraz wezwanie skierowane do władz miasta do zmiany obowiązujących przepisów. Artykuł dostępny jest tutaj: Słupska Karta Mieszkańca narusza zasadę równości. Rzecznik Praw Obywatelskich wzywa prezydentkę miasta do zmian regulacji prawnych.
