Krytyczne luki w oprogramowaniu parafialnym. Czego uczy sprawa FARA i dlaczego kancelaria potrzebuje architektury offline?

W październiku ubiegłego roku czołowe polskie serwisy poświęcone cyberbezpieczeństwu — w tym portal Niebezpiecznik.pl oraz zespół CERT Polska — opublikowały raporty dotyczące krytycznych podatności wykrytych w popularnych narzędziach używanych w polskich parafiach. Sprawa dotyczyła m.in. oprogramowania FARA, a w szczególności skryptów integrujących bazę parafialną z internetowymi wyszukiwarkami grobów i cmentarzy.

Błędy w konfiguracji i architekturze serwerowej mogły umożliwić osobom nieuprawnionym wgląd w dane osobowe tysięcy parafian. Incydent ten stał się dla Kościoła w Polsce poważnym sygnałem ostrzegawczym: tradycyjne, przestarzałe programy instalowane przed laty nie spełniają współczesnych norm cyberbezpieczeństwa.

1. Co dokładnie ujawniły analizy ekspertów?

Większość programów kancelaryjnych funkcjonujących na polskim rynku powstała w latach 90. lub na początku lat 2000. Z biegiem czasu producenci próbowali „doklejać” do nich nowoczesne funkcje — takie jak internetowa wyszukiwarka zmarłych, internetowe zapowiedzi czy moduły księgowe łączące się z serwerami WWW.

Eksperci ds. cyberbezpieczeństwa zwrócili uwagę na trzy kluczowe zagrożenia: 1. Dziurawe mosty między plebanią a internetem: Przesyłanie danych z komputera proboszcza na tani, zewnętrzny hosting bez odpowiedniego szyfrowania i uwierzytelniania. 2. Brak wsparcia dla przestarzałych systemów: Wiele kancelarii nadal operuje na starych edycjach Windowsa (często bez wsparcia i łatek bezpieczeństwa), co czyni komputer parafialny łatwym celem dla złośliwego oprogramowania typu ransomware (blokującego dysk i żądającego okupu). 3. Nieodwracalne skutki wycieku: Wyciek z kartoteki parafialnej to nie tylko numery telefonów. To wrażliwe informacje o sakramentach, koligacjach rodzinnych, uwagach duszpasterskich czy problemach osobistych wiernych.

2. Kto odpowiada za naruszenie danych w parafii?

Zgodnie z art. 5 ust. 1 Dekretu ogólnego KEP z 2018 roku, administratorem danych w parafii jest z urzędu Proboszcz.

W razie incydentu naruszenia poufności danych proboszcz ponosi osobistą odpowiedzialność kanoniczną przed Biskupem Diecezjalnym oraz Kościelnym Inspektorem Ochrony Danych (KIOD). Zgodnie z wytycznymi KEP, każda parafia musi stosować: Środki techniczne zapobiegające nieuprawnionemu dostępowi (zasada integralności i poufności), Procedury regularnego tworzenia kopii zapasowych, * Ewidencję i kontrolę nad tym, jakie oprogramowanie przetwarza dane wiernych.

Proboszcz nie może bronić się stwierdzeniem, że „zawinił program kupiony 15 lat temu” — to administrator ma obowiązek upewnić się, że używane narzędzie gwarantuje bezpieczeństwo.

3. Chmura czy Offline? Dylemat współczesnej kancelarii

W odpowiedzi na problemy starych programów część nowych dostawców proponuje przeniesienie całej kancelarii do chmury (systemy działające wyłącznie w przeglądarce). Czy to dobre rozwiązanie?

Niekoniecznie. Chmura wiąże się z dwoma poważnymi barierami w realiach parafialnych: * Utrata suwerenności danych: Dane wiernych trafiają na komercyjne serwery, co budzi uzasadnione opory wielu kurii diecezjalnych w kontekście autonomii kościelnej (art. 91 RODO). * Zależność od połączenia z internetem: Rozwiązania chmurowe uniemożliwiają pracę w przypadku przerw w dostępie do sieci. Ksiądz potrzebuje pewnego narzędzia zainstalowanego lokalnie na komputerze parafialnym, które działa nieprzerwanie i pozwala wystawić zaświadczenie w każdych warunkach.

4. Architektura Acutis: Połączenie bezpieczeństwa Offline z potęgą nowoczesności

Projektując system Acutis (`acutisapp.com`), wyciągnęliśmy wnioski z błędów konkurencji i audytów Niebezpiecznika. Zastosowaliśmy podejście „Local-First Secure Architecture”:

1. 1Baza danych w 100% Offline (Szyfrowanie AES-256): Baza parafialna fizycznie znajduje się na dysku komputera w kancelarii. Nie ma żadnych publicznych portów, dziurawych skryptów PHP ani otwartych baz SQL wystawionych do internetu. Dane są zaszyfrowane kluczem algorytmu AES-256 — tym samym, którego używają banki i instytucje wojskowe.
2. 2Druk w 30 sekund zamiast szukania na półkach: Gdy ktoś przychodzi po odpis aktu, ksiądz nie musi tracić kwadransa na szukanie rocznika — po prostu wpisuje nazwisko w komputerze, a system w parę sekund odnajduje akt i pozwala od razu wydrukować gotowe zaświadczenie A4 Ad Sacra.
3. 3Inteligentne Dyktowanie Głosem: Acutis pozwala na wprowadzanie treści aktów mową bezpośrednio do mikrofonu — bez konieczności mozolnego przepisywania na klawiaturze.
4. 4Potrójna Automatyczna Kopia Bezpieczeństwa: System automatycznie tworzy zaszyfrowane kopie zapasowe, chroniąc parafię przed utratą ksiąg w razie zalania, pożaru czy awarii sprzętu.
5. 5Działa na Windows, macOS i w bezpiecznej sieci lokalnej: Acutis nie wymaga przestarzałych bibliotek. Działa płynnie na nowoczesnych laptopach i komputerach stacjonarnych.

Podsumowanie: Zainwestuj w bezpieczeństwo, zanim dojdzie do incydentu

Sprawa luk w oprogramowaniu FARA pokazała, że bezpieczeństwo danych w Kościele przestało być tematem teoretycznym. Każdy proboszcz potrzebuje narzędzia, które jest proste w obsłudze, ale bezkompromisowe pod względem ochrony danych.

Acutis to nowoczesny porządek, oszczędność kilkudziesięciu godzin w miesiącu i gwarancja, że dane Twoich parafian nigdy nie staną się tematem artykułu w mediach.

👉 Sprawdź bezpieczną bazę offline w swojej parafii: Przetestuj pełną wersję Acutis przez 30 dni za 0 zł na acutisapp.com.