(Patria) – Nakon što se Služba za poslove sa strancima našla pod hakerskim udarom, pokrenuta je unutrašnja istraga. Iz SPS-a su tek nakon teksta Istrage o krađi podataka, potvrdili da se dogodio hakerski napad, te da postoji sumnja da, zbog nesavjesnog rada pojedinih uposlenika, nisu na vrijeme preduzete mjere zaštite informacionog sistema Službe za poslove sa strancima.
Ispostavilo se da se pod istragom našao službenik SPS-a Novica Koroman.
Koroman je nakon objave teksta u kojem se spominje njegovo ime, medijima dostavio svoju reakciju, u kojoj iznosi optužbe na račun direktora Službe za poslove sa strancima Žarka Lakete.
U svojoj reakciji Koroman ističe da mu je narušen profesionalni ugled.
“Naslovi kojima se tvrdi ili sugeriše da je moj „nemar doveo do krađe podataka“ ili da je interna istraga „otkrila razloge hakiranja“ ne proizlaze ni iz objavljene dokumentacije ni iz sadržaja samih tekstova. Nigdje nije predstavljen tehnički nalaz kojim bi bila utvrđena uzročno-posljedična veza između pitanja licenci, verzije softvera i konkretnog incidenta. Licenca je samo pravo da se softver legitimno koristi i ništa više. Pošto većina čitalaca ne poznaje dovoljno informatičku terminologiju, da pojednostavim, logika tvrdnje koju ste napisali je na nivou tvrdnje da je neki automobil ukraden zato što nije bio registrovan.Staviti dvije činjenice jednu pored druge nije isto što i dokazati da je jedna prouzrokovala drugu.
Posebno je važno pojasniti da Služba zbog predmetne komunikacije nije ostala bez potrebnih Microsoft licenci jer se licence po automatizmu nasljeđuju iz prethodnog perioda. Propuštena je samo mogućnost da se u narednom trogodišnjem periodu zatraže eventualne dodatne licence, za kojima, zbog praktično stopiranog IT razvoja – nije ni postojala potreba. Povezivati takvu administrativnu okolnost sa hakerskim napadom koji se dogodio mjesecima ranije tehnički je neozbiljno i potpuno neutemeljeno a ako ćemo biti formalni do kraja – ja nisam nikad ni bio kontakt tačka Službe prema Ministarstvu komunikacija i transporta, jer se kontakt osoba, u skladu sa podzakonskim aktima, imenuje posebnim rješenjem a meni taj dokument nikada nije izdat.
Tokom godina u kojima sam, kao jedini inžinjer u Službi, imao stvarnu mogućnost da utičem na razvoj Službe u oblasti informatike, zatekao sam zastarjelu i heterogenu mrežnu infrastrukturu, nelicenciran softver za serverska rješenja, nedovoljno razvijene zaštitne mehanizme i svega nekoliko funkcionalnik aplikacija. Višegodišnjim i sistematskim radom restrukturisana je mreža, unaprijeđeni antivirusni i firewall sistemi, uvedeni monitoring i centralizovano upravljanje korisnicima, a broj informacionih sistema povećan je na približno dvadeset. Svoja znanja iz oblasti etičkog hakovanja koristio sam upravo za provjeru izloženosti sistema, pronalaženje ranjivosti i njihovo otklanjanje te doveo bezbjednost na vrlo visok nivo.
Moj profesionalni položaj suštinski se promijenio nakon što sam odbio da podržim način na koji je novi direktor planirao pripremu i realizaciju budućih IT projekata, jer sam takav model smatrao suprotnim profesionalnim i proceduralnim standardima i vidio u njemu ozbiljan rizik od zloupotrebe budžetskih sredstava, korupcije i niza ozbiljnih kriminalnih radnji. Smatrao sam, i danas smatram, da IT stručnjak mora biti spreman reći NEposlu za koji ne može profesionalno garantovati. Nakon toga sam ubrzano isključivan iz administracije sistema i radnih tijela u kojima sam ranije učestvovao, a od novembra 2023. godine dobio sam izričitu instrukciju da obavljam samo poslove svog sistematizovanog radnog mjesta i poslove za koje dobijem konkretno naređenje. Ne može se službenik prvo isključiti iz upravljanja, razvoja, administracije i zaštite informacionih sistema, a zatim, kada se dogodi incident, pripisivati mu odgovornost za zastarjelo stanje sistema i tražiti da snosi posljedice odluka na koje nije mogao uticati.
Ako se već ozbiljno želi utvrđivati odgovornost za bezbjednosni incident, relevantna pitanja nisu ko nije odgovorio na jedan e-mail o eventualnim budućim licencama, nego ko je u vrijeme napada stvarno upravljao sistemima, ko je imao administratorska ovlaštenja, kako su sistemi održavani, koje su ranjivosti postojale i da li su primjenjivane potrebne bezbjednosne mjere. Povezivanje mog imena sa uzrokom ozbiljnog hakerskog incidenta zahtijeva ozbiljan tehnički dokaz, a ne populistički naslov izveden iz dvije međusobno nepovezane poluinformacije. Ako takvog dokaza nema, očekujem da mediji svoje naslove i navode usklade sa činjenicama i prestanu pretpostavku predstavljati kao utvrđenu odgovornost. Na kraju, jednako je legitimno pitati kakva je kadrovska politika dovela do toga da profesionalna samostalnost i akademska stručnost sve češće ustupaju mjesto poslušnosti i ličnoj lojalnosti rukovodstvu i koje nas sve posljedice takve politike očekuju.”
