Informacja na temat "rekomendacji"

13.06.2024

Szanowni Państwo
Wczoraj Pełnomocnik Rządu ds. Cyberbezpieczeństwa p. Krzysztof Gawkowski wydał rekomendację na temat nie stosowania SmodBIP i MegaBIP jako platform BIP.

https://www.gov.pl/web/cyfryzacja/rekomendacja-pelnomocnika-rzadu-ds-cyberbezpieczenstwa-dotyczaca-biuletynow-informacji-publicznej

Choć uważam to za oburzające i będę żądał wyjaśnień tak od CERT jak i od p. Pełnomocnika, rozumiem że dziś potrzebują Państwo konkretnych informacji na temat bezpieczeństwa swoich stron podmiotowych.

Niezrozumiały dla mnie atak (żeby nie użyć słowa nagonka) na MegaBIP ze strony CERT trwa od zeszłego roku. 10 lutego roku bieżącego wydałem już komunikat na ten temat. Po jego publikacji udało mi się wreszcie nawiązanie kontaktu z CERT, w którym wcześniej nikt nie chciał wziąć odpowiedzialności za publikacje o rzekomych podatnościach. Teraz także nikt nie powiadomił nas wcześniej o niczym. To od Państwa dowiedzieliśmy się o tej rekomendacji.

Fakty:

1. Rekomendacja z dnia 11.06 br. opiera się na trzech późniejszych (sic!) publikacjach CERT z dnia 12.06. Publikacje dotyczą wersji 5.09 i 5.10 (oraz "wszystkich" - jakkolwiek rozumieć ten termin). Wersja 5.09 została opublikowana w styczniu, a 5.10 w lutym. Nowsza wersja 5.11 została opublikowana 21.02. Aktualnie najnowszą wersją jest 5.11.2 opublikowana 6.03 br.
2. Program SmodBIP jest (czy raczej był) programem OpenSource, bezpłatnym i nie jest rozwijany od przeszło dekady. Jest to też program kompletnie różny od MegaBIP. Przytaczanie ich jednym tchem nosi znamiona złej woli.
3. CERT nie powiadomił nas o swoich najnowszych ustaleniach. Poprzednio "zakładał", że błąd występował, a "badanie" dotyczyło wersji 4, mimo że wersja 5 była już dostępna od 13 miesięcy.

1. Przypominam aktualizowaniu na bieżąco programu. Stosowne komunikaty pojawiają się w panelu, w monitach panelu strony BIP, na naszej stronie i w mediach społecznościowych. Aktualizacja jest bezpłatna.
2. Przypominam o zmianie nazwy katalogu z edytorem z domyślnej "edytor" na inną, poufną.
3. Przypominam o cyklicznej zmianie haseł redaktorów i administratorów BIP oraz o usuwaniu lub deaktywacji kont pracowników, którzy nie powinni już mieć dostępu do panelu.
4. I przypominam o obowiązkach redakcji BIP, skrót informacji na ten temat znajduje się w BazieWiedzy w panelu programu.