Cisza przed burzą, czyli dlaczego trzydniowe niedziałanie ePUAP jest niebezpiecznym sygnałem

Czemu jest tak cicho, skoro mamy katastrofę? ePUAP nie działa od wtorku 10 listopada, kiedy Ministerstwo Cyfryzacji po wykrytym cyberataku samo odłączyło cały system. Dla obywateli i dla urzędów. Terminu powrotu nie ma, a na stronie wisi baner o „pracach serwisowych”. Media o tym piszą, owszem, gdzieś na drugiej, trzeciej stronie. W mojej opinii, to powinna być czerwona belka z wykrzyknikiem.

Dlaczego to katastrofa? Bo dzieje się w kraju, który szczyci się postępem usług cyfrowych i tym, że ma najbardziej innowacyjne rozwiązania. mObywatel z 12 milionami użytkowników, logowanie jednym profilem, podpisywanie dokumentów, wysyłka i odbiór pism przez ePUAP i e-Doręczenia. I teraz od kilku dni ludzie i firmy są odcięci od swoich skrzynek ePUAP. E-Doręczenia formalnie działają, ale dziś rano nie mogłem się do nich zalogować, nie wiem, czy to awaria, czy obciążenie. Wszedłem dopiero koło południa, na firmową i prywatną, a część podstron serwisu dalej się nie otwiera.

Fikcja doręczenia w czasach awarii

Tymczasem terminy biegną, sprawy są w toku. Jeśli ktoś nie pobrał historii korespondencji, a potrzebuje odpowiedzi urzędu albo potwierdzenia nadania czy odbioru, to ma problem. To jest mniej więcej tak, jakby Poczta Polska przestała działać. Zresztą publiczną usługę e-Doręczeń świadczy właśnie Poczta Polska jako operator wyznaczony.

Fikcja doręczenia działa sobie w najlepsze. Pismo nieodebrane przez 14 dni uznaje się za doręczone i od tej chwili biegną terminy, a sama awaria niczego nie przedłuża. Oczywiście można potem skorzystać z KPA i wnosić o przywrócenie terminu, tylko dlaczego to obywatel ma się tłumaczyć z awarii państwowego systemu? I co ma powiedzieć urząd, który sam ma termin na odpowiedź, a jego skrzynka ePUAP też jest wyłączona? Gdański magistrat napisał wprost, że niedostępne do odwołania są ePUAP i Profil Zaufany.

Z tego co widzę, a sprawdzałem pobieżnie, część warstwy technicznej ePUAP nadal odpowiada (API), więc być może wyłączono tylko warstwę webową. To na pewno stwierdzą specjaliści. Niezależnie od detali technicznych liczy się efekt, a ten jest paraliżujący w kraju, w którym jeszcze kilka miesięcy temu przedsiębiorcy dostawali ponaglenia, że do końca września mają założyć firmową skrzynkę do korespondencji.

Na przykład ktoś stwierdził, że przeczyta sobie jutro, albo poczeka z odpowiedzią na pismo urzędowe do ostatniej chwili, bo ma do tego prawo, i odpowie wieczorem przez ePUAP, tak jak korespondował w tej sprawie od początku. Albo na drugi dzień, bo przecież dlaczego miałoby nie działać kolejne dni… No i problem, bo nie działa, nie da się nadać. Zostaje pojechać na pocztę i nadać fizyczną kopertę za potwierdzeniem odbioru, jak za starych dobrych czasów, a potem wpiąć do segregatora dowód nadania razem z kopią pisma. Niech żyje postęp.

„Bomba administracyjna” i pytania o ryzyko

Warto też spytać, gdzie byli ludzie szacujący ryzyko i wdrażający te rozwiązania. Od kilku lat wiadomo, że wektorem ataku w wojnie hybrydowej, prowadzonej także przez grupy przestępcze jako proxy, będą właśnie kluczowe usługi. Minister sam mówi, że atak przyszedł z zagranicy i był przygotowaniem „bomby administracyjnej”, która miała sparaliżować urzędy w grudniu. Mówi też, że system nie został naruszony, a jednocześnie, że z logów wynika, iż ktoś prowadził w nim przygotowania. Jedno z tych zdań wymaga doprecyzowania.

Dzisiaj znalazłem ciekawy, ciut paranoiczny artykuł. Lokalne Radio DTR poszło krok dalej i w tekście „Cyfrowa bomba z opóźnionym zapłonem?” pyta, czy wykryto całą operację, czy tylko jej fragment, i czy w innych systemach nie leży coś uśpionego, co czeka na grudzień. To publicystyka panikarska, bez twardych faktów, co autorzy sami przyznają. W mojej opinii ta paranoiczna teoria ma jednak jedną zaletę: daje do myślenia osobom decyzyjnym i może się niedługo sfalsyfikować (piszę tutaj o sprawdzeniu w kontekście paranoicznych teorii spiskowych, w sensie naukowym), czyli potwierdzić albo obalić. Oby to drugie.

ePUAP to tylko próbka

Bo ePUAP to tylko próbka. Kluczowe usługi to także banki. Wyobraźcie sobie Państwo, że tak jak za COVID-u nie możecie fizycznie wybrać pieniędzy (ja w Millennium nie mogłem wtedy wypłacić waluty z własnego konta) albo przez tydzień nie możecie zrealizować przelewu. Atak, który według ministra się nie udał, wystarczył, żeby na trzy dni wyłączyć państwową platformę. Jeśli ktoś nie rozumie, jak to jest poważne, to nie wiem, co będzie poważne. Odcięcie Netflixa?

Obym się mylił, ale mam wrażenie, że szybciej niż myślimy przyjdzie nam w praktyce przetestować zalecenia z kursów wGotowości – zapas wody, żywności, paliwa i gotówki na kilka dni odcięcia od systemu. I obyśmy wtedy nie musieli oglądać obrazków paniki jak z czasów COVID-u, kiedy dotrze do nas, co w życiu i państwie jest naprawdę infrastrukturą krytyczną, a co tylko wygodną zabawką.