Digitalizacija po butalsko: e-naročanje na upravne enote
Trajalo je manj kot teden dni. Minuli teden v četrtek je Ministrstvo za javno upravo (MJU) predstavilo sistem za naročanje na termine na upravnih enotah Ljubljana, Litija in Logatec prek spleta. Manj kot teden dni pozneje so storitev umaknili, ker je imela osnovnošolske varnostne luknje.
Kot je prvi razkril portal Slo-Tech, je bila storitev, ki jo je pripravilo podjetje Ortus Inc, varnostno pomanjkljiva. Ranljiva je bila na vrivanje ukazov SQL (SQL injection), kar je ena najosnovnejših ranljivosti, ki priča o površnem programiranju. V osnovi gre za to, da spletna stran vnosov uporabnikov ne počisti (sanitize) pred kontaktiranjem baze podatkov, kar ima lahko tragične posledice, če zlonamerni uporabnik vpiše besedilo, ki ustreza kakšnemu ukazu.
Naslednja težava je bilo nespoštovanje zasebnosti, saj so bili vsi podatki (torej o rezerviranih terminih vključno z osebnimi podatki) dostopni prek API-ja, ki je vnose številčil zaporedno. To pomeni, da se lahko vešč uporabnik s skripto sprehodi skozi zaporedne številke in s spleta sname vse podatke o terminih. Vsakdo se je lahko prijavil v termin, ga rezerviral, spremenil ali izbrisal – tudi tujega.
Takšne ranljivosti so seveda tako nesprejemljive in tako osnovne, da je aplikacija kmalu izginila. Le dan po zagonu storitve je MJU, očitno po pritisku javnosti, podjetju naročilo, da mora storitev umakniti. Po neuradnih podatkih je težava, da je izvajalec 350 tisočakov vrednega posla podjetje, ki nima nobenih izkušenj iz programiranja. Levji delež tega zneska je šel za klicni center, za spletno aplikacijo pa so najeli zunanje podjetje, ki ni bilo kos nalogi. Z MJU so po poročanju 24ur sporočili, da bodo zahtevali tudi izvorno kodo aplikacije.
Še najbolj zabaven zapleten so naročeni termini, do katerih sedaj po ukinitvi aplikacije upravne enote nimajo dostopa. MJU je nato od izvajalca zahtevala, da podatke ročno posreduje upravnim enotam. Po besedah direktorata poteka varnostni pregled kode. Direktorat krivdo za šlamparijo vali na izvajalca, ki da ni izpolnil razpisnih pogojev in zato tudi ne bo plačan, dokler jih ne izpolni.
In kako se sedaj naročimo na upravno enoto? Prek telefona. Digitalizacija pa takšna.
