‚Systém je strašně špatný‘. Poslanci chtějí po ‚Okamurově slevě‘ řešit bezpečné posílání e-mailů
E-mailová schránka, kterou poskytuje zákonodárcům sněmovna, je zastaralá a nemusí být ani bezpečná. Uvedli to poslanci, které oslovila redakce iROZHLAS.cz poté, co zákonodárcům přišel podvodný mail, který se tvářil jako nabídka od předsedy SPD Tomia Okamury na nákup sushi. IT oddělení sněmovny v reakci udělalo drobné úpravy systému. Dalším zvýšením bezpečnosti e-mailového serveru by se měla zabývat Komise pro práci Poslanecké sněmovny.
„E-mailová schránka, kterou poskytuje sněmovna pro poslance, je neuvěřitelně zastaralá a v porovnání s Gmailem nebo e-mailem na Seznamu je velmi špatná,“ řekl redakci iROZHLAS.cz poslanec Pirátů Mikuláš Ferjenčík.
Stejný názor má i jeho kolegyně z TOP 09 Markéta Adamová Pekarová. „Celý systém, jaký využívá sněmovna, je nešťastný nejen z důvodů bezpečnostních. Uživatelsky je naprosto nepřívětivý na rozdíl od schránek, které využívám soukromě,“ uvedla.
Před dvěma týdny několik poslanců na sociálních sítích zveřejnilo e-mail s nabídkou sushi a japonských dárků se speciální slevou pro zákonodárce, který se tvářila, že ho ze svého poslaneckého e-mailu odeslal Tomio Okamura. Předseda SPD ale uvedl, že e-mail byl podvodný a nebyl vůbec odeslaný z jeho poslaneckého e-mailu.
Ferjenčík i Pekarová patřili k zákonodárců, kteří nabídku sushi považovali za pravou. Na sociálních sítích ji zveřejnil třeba i poslanec Jan Čižinský (za KDU-ČSL).
Komise pro práci sněmovny
IT oddělení sněmovny hned po problému s podvodným e-mailem udělalo drobné úpravy systému. „Ukázalo se, že e-mailový program sice zprávu identifikoval jako tzv. zprávu s nízkou reputací, ale sám od sebe nedoplnil do subjektu zprávy, že se jedná o nedůvěryhodnou zprávu. Tohle bylo uvedeno pouze v hlavičce zprávy. Takže kdo si nevšiml té hlavičky, mohl zprávu považovat za oficiální a důvěryhodnou,“ vysvětlil redakci mluvčí sněmovny Roman Žamboch.
Sushi set se slevou. Okamura popřel, že by psal nabídku, která z jeho adresy přišla poslancům
Číst článek
Proto bylo podle něj v systému uděláno opatření, aby se text „nedůvěryhodná pošta“ objevoval už přímo v předmětu přijaté zprávy. Zákonodárci by tak příště měli být upozorněni na nevyžádanou či podvodnou poštu výrazněji.
Někteří poslanci budou se ale chtít problémem zabezpečení e-mailového serveru zabývat dál. Ferjenčík chce problém řešit v rámci Komise pro práci Poslanecké sněmovny, která by měla zasednout v polovině prosince. Záležitost by tam měl otevřít Ferjenčíkův kolega Ondřej Profant (Piráti).
Že by měla problém s e-mailem řešit komise, si myslí i další její člen Petr Gazdík (STAN). „Situace se musí řešit, ať už to kolega Okamura psal, nebo ne. A uvítám, když Piráti nebudou jen mluvit, ale skutečně činit.“
A předpokládá to i Čižinský, který v komisi rovněž zasedá. „Nemám informace, že by se to tam mělo řešit, ale myslím, že tam o tom bude zmínka,“ uvedl.
Používání soukromých e-mailů
Podle Ferjenčíka je hlavním problémem otázka bezpečnosti používání e-mailů. „Z důvodu, že je e-mailová schránka zastaralá, řada poslanců používá reálně pro práci své free maily. Někteří přitom používají technická řešení, která nejsou bezpečnostně v pořádku,“ uvedl.
Česko v boji proti kyberkriminalitě zaostává. Každá třetí firma čelí hackerskému či hospodářskému útoku
Číst článek
Řada poslanců dle jeho slov posílá elektronickou poštu ze svých soukromých schránek, e-maily jsou ale nastaveny tak, aby vypadaly, jako by přišly z jejich sněmovního e-mailu.
Zda toto skutečně někteří poslanci dělají a kolik jich je, ale sněmovna nedovedla říct. „To je záležitost každého poslance. Nemáme přehled, kdo to používá. Někdo může používat sněmovní poštu přímo a čas od času použije i tuto možnost, ale o tom nemáme přehled,“ napsala redakci mluvčí Poslanecké sněmovny Martina Lustigová.
Podle Ferjenčíka je jedinou možností dotázat se každého poslance zvlášť a na bezpečnostní rizika je upozornit. „Jediné řešení je v horizontu dvou tří měsíců obejít poslance, zjistit, kolik z nich tuto nepříliš vhodnou formu používá, a zajistit, aby se to udělalo bezpečnějším způsobem,“ dodal Ferjenčík.
Sněmovna ale tvrdí, že její členové jsou v bezpečnosti používání e-mailů proškoleni. „Prakticky permanentně probíhají nějaká školení o kybernetické bezpečnosti – o tom, jak používat nebo nepoužívat služební e-mail, jak používat nebo nepoužívat soukromý e-mail pro služební účely nebo jak zacházet s hesly. Tímto všichni členové Poslanecké sněmovny projdou už při vstupu do sněmovny, to je povinné. A pak průběžně během roku podle zájmu se mohou seznamovat s dalšími kroky, toto funguje,“ uvedl Žamboch.
Dostatečné řešení?
V e-mailových systémech komerčních subjektů, jako je Gmail, Seznam nebo Atlas, běžně podobný typ pošty, jakým byla nabídka na slevu sushi, chodí do schránky s nevyžádanou poštou, zvláštní složku mají také pro hromadné e-maily.
„Podvržení identity odesílatele e-mailu je věc extrémně jednoduchá. Napsat e-mail jménem kohokoliv jiného není obtížné a je to otázka několika vteřin. Existují ale metody typu podpis, ověření odesílatele atd., které umí zabezpečit to, že příjemce zprávy má jistotu, že ji odeslal skutečný majitel dané e-mailové adresy.“
Štěpán Burda (Ředitel IT společnosti Economia (Centrum.cz, Atlas.cz))
„Do spamu padají e-maily, které nedodržují technické standardy. Algoritmus je pozná na základě stavby e-mailu či IP adres, ze kterých chodí. Učí se ale i od samotných uživatelů – pokud uživatel označí došlý e-mail jako spam, systém si to zapamatuje a příště už zprávy ze stejné adresy automaticky doručí do spamu. Každý odesílatel má také tzv. reputaci. Při překročení určité hranice ‚trestných bodů‘ začnou jeho zprávy automaticky padat do spamu,“ popsal redakci produktový manažer služby Sezanam.cz E-mail David Finger.
Podle Žambocha ale takové opatření ve sněmovním systému udělat nelze. „To dost dobře nejde, protože zase tak úplně není možné, aby poštovní servery více méně podle nějakých náhodných kritérií filtrovaly poštu, která jde nějakým ústavním činitelům. Může se stát, že to bude dopis voliče poslanci, a to nejde odfiltrovat,“ dodal s tím, že systém umí zachytit nebezpečné e-maily, které by mohly obsahovat třeba viry.
Takový argument ale nemusí být podle ředitele IT Štěpána Burdy ze společnosti Economia, která spravuje například servery Centrum.cz nebo Atlas.cz, zcela pravdivý. „Zařazení do složky hromadná nebo spam neznamená, že se případně poslanec nebo senátor nemůže do té složky podívat. Proto tam také pošta dochází a rovnou se nezahazuje, protože může v systémech dojít ke špatné identifikaci.“
