Државниот завод за ревизија спроведе проверка на информациските системи со фокус на усогласеноста на процедурите за безбедност на податоците од Централниот регистар на населениетио кај Министерството за дигитална трансформација за периодот од 2019 до 2024 година.

„Врз основа на извршената ревизија, заклучивме дека, освен за состојбите што се однесуваат на капацитетот на човечки ресурси, недефинирани чувствителни работни позиции, отсуство на процедури за активностите поврзани со функционирање на Централниот регистар на населението, за утврдување исполнување на стандардите за квалитет на податоците, недостиг на дефинирани стандарди за примена на ИТ-безбедност, системски контроли за размена на податоци меѓу институциите што би спречиле заобиколување на Централниот регистар на населението, активности за функционирање на Централниот регистар на населението – во сите материјални аспекти се во согласност со релевантната законска и подзаконска регулатива, стратешки документи, стандарди, упатства, договори и воспоставени политики“, наведуваат од ДЗР.

Централниот регистар на населението е интегрирана база на лични податоци, која се води во електронска форма во Министерството за дигитална трансформација, врз основа на автоматско интегрирање на податоците од поединечните бази што ги водат надлежните органи, меѓу кои Министерството за внатрешни работи, Управата за водење на матичните книги и органот за водење на адресниот регистар.

Според ревизијата, „утврдивме отсуство на стручен и квалификуван кадар, особено во одделението за стандардизација и сертификација во Министерството, како и отсуство на процедури за утврдување исполнување на стандардите за квалитет на податоците, што влијае врз квалитетот на податоците во ЦРН“.

Исто така, „синхронизацијата на податоците од изворниците со ЦРН е на дневна основа, што остава можност за фреквентни промени на податоци кај изворниците во текот на 24 часа поради што постојат разлики помеѓу податоците во ЦРН и податоците во изворникот“.

Во извештајот се нагласува дека „недостигот на пишани процедури за управување со ЦРН не е во согласност со законската регулатива и стандардите и може да доведе до неконзистентно толкување на законските надлежности за одобрување на пристапот до ЦРН, без ревизорска трага и двојна контрола“.

ДЗР утврдил дека во 2024 година „дозвола за пристап и користење податоци од ЦРН имаат 11 надлежни органи и други субјекти и реализирани 1.634.415 повици, од кои 23.658 се неуспешни“. Објавениот регистар на овие субјекти „содржи нецелосна евиденција на податоците, како и до кои податоци на граѓаните имаат дозвола за пристап“, при што е забележана и „размена на податоци со заобиколување на ЦРН“.

„Отсуството на контрола од страна на Министерството врз изворниците на податоци во исполнување на минималните стандарди за административна безбедност создава ризик за безбедноста на податоците“, наведува ДЗР додавајќи дека тоа може да ја намали довербата во системот.

Меѓу препораките се бара „преземање мерки и активности за подобрување на состојбите со човечките капацитети, подготовка и одобрување пишани процедури за ЦРН и другите системи, подготовка на прирачници и воведување механизми за проверка на стандардите за квалитет на податоците, детаљни контроли за проверка на минималните физички и административни услови за безбедност, воведување системски контроли за размена на податоци меѓу институциите и воведување на автоматизиран и координиран механизам за следење на нотификациите за несовпаѓање на личните податоци“.

Од Министерството за дигитална трансформација доставиле забелешки на нацрт-извештајот, а од ДЗР потврдуваат дека „тие се разгледани и утврдено е дека двете забелешки претставуваат известување за преземени активности“.