SPAK duhet të hetojë cenimin e mundshëm të sigurisë së institucionit kushtetues

Dyshimet për aksesin te kamerat e sigurisë, roli i administratës së IT-së dhe kontrata 13.48 milionë lekë për mirëmbajtjen e sistemeve elektronike

Nga redaksia e Publik.al

Publikimi pothuajse në kohë reale i pamjeve të kamerave të brendshme të Kuvendit të Shqipërisë, pas incidentit që çoi në përjashtimin për 60 ditë të kryetarit të Partisë Mundësia, Agron Shehaj, nuk mund të trajtohet si një episod i zakonshëm i komunikimit politik.

Pamjet, të cilat u përhapën menjëherë në media dhe në profile politike në rrjetet sociale, duket se janë marrë nga sistemi i brendshëm i videovëzhgimit të Kuvendit. Në publik ato u paraqitën pikërisht si regjistrime të kamerave të sigurisë së institucionit.

Ngjarja ngre dyshime serioze për mënyrën se si administrohet infrastruktura elektronike e një institucioni kushtetues, kush ka akses në regjistrimet e sigurisë dhe nëse këto materiale mund të përdoren jashtë procedurave ligjore për interesa politike.

Pyetja kryesore është e drejtpërdrejtë:

Kush e shkarkoi videon nga sistemi i kamerave të Kuvendit dhe kush autorizoi publikimin e saj?

Publik.al i bën thirrje Prokurorisë së Posaçme që të nisë një verifikim të plotë për dyshimet mbi cenimin e mundshëm të sigurisë dhe integritetit të sistemeve elektronike të Kuvendit të Shqipërisë.

Hetimi duhet të përcaktojë:

• kush ka hyrë në sistemin e kamerave;
• kush e ka kërkuar dhe përzgjedhur regjistrimin;
• në çfarë ore është eksportuar materiali;
• nga cili terminal ose adresë IP është kryer veprimi;
• kujt i është dorëzuar fillimisht videoja;
• kush ka autorizuar përdorimin e saj;
• nëse janë respektuar procedurat e brendshme dhe legjislacioni përkatës;
• nëse janë ndërhyrë, fshirë ose ndryshuar regjistrat elektronikë të sistemit.

SPAK duhet të sqarojë gjithashtu nëse kemi të bëjmë me një rrjedhje të paautorizuar informacioni, shpërdorim të aksesit administrativ, shkelje të rregullave të sigurisë së informacionit apo përdorim të një sistemi shtetëror për qëllime të propagandës politike.

Thirrja për hetim nuk paragjykon autorësinë dhe as përgjegjësinë penale të ndonjë personi apo subjekti. Ajo mbështetet te nevoja për të ruajtur provat elektronike dhe për të identifikuar personin ose personat që kanë kryer eksportimin dhe shpërndarjen e materialit.

Kamerat e sigurisë nuk janë zyra propagande

Kamerat e sigurisë nuk instalohen për të furnizuar partitë politike me materiale për rrjetet sociale.

Ato përdoren për:

• mbrojtjen e godinës;
• kontrollin e hyrje-daljeve;
• evidentimin e incidenteve;
• mbrojtjen e deputetëve, punonjësve dhe delegacioneve;
• dokumentimin e ngjarjeve që mund të kërkojnë verifikim administrativ ose penal.

Regjistrimet e videovëzhgimit mund të përmbajnë të dhëna personale dhe informacione mbi lëvizjen e personave brenda institucionit. Për këtë arsye, aksesi, ruajtja dhe përpunimi i tyre duhet të bëhen për një qëllim të përcaktuar, nën masa sigurie dhe konfidencialiteti.

Praktika e Komisionerit për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale kërkon që institucionet të hartojnë procedura të brendshme, të kufizojnë aksesin dhe të ruajnë sigurinë e të dhënave të përpunuara nëpërmjet sistemeve të videovëzhgimit. (IDPC⁠)

Një material i marrë nga kamerat e sigurisë nuk shndërrohet automatikisht në material publik vetëm sepse në të shfaqet një deputet.

Duhet të ekzistojë një bazë ligjore, një procedurë, një autorizim dhe një përgjegjës konkret.

Kontrata 13.48 milionë lekë

Sipas dokumenteve financiare të shqyrtuara nga redaksia e Publik.al, gjatë vitit 2025 Kuvendi ka kryer tri pagesa në favor të kompanisë “Opentech Consulting & Services”, me vlerë të përgjithshme:

13,481,724 lekë.

Pagesat lidhen me shërbime që përfshijnë mirëmbajtjen e pajisjeve teknike, sistemet elektronike të sigurisë, garancinë dhe vazhdimësinë e shërbimit.

Ekzistenca e kësaj kontrate tregon se në mirëmbajtjen teknike të infrastrukturës së Kuvendit mund të përfshihet edhe një operator ekonomik privat, krahas administratës dhe personelit të brendshëm të institucionit.

Megjithatë, duhet theksuar qartë:

Fakti që një kompani ka kontratë mirëmbajtjeje nuk provon se ajo ka nxjerrë ose publikuar videon.

Kontrata ngre vetëm nevojën për të sqaruar nivelin e aksesit që operatori ka pasur në sistem, kushtet e këtij aksesi dhe masat e kontrollit të vendosura nga Kuvendi.

Dy pistat kryesore të aksesit

Në këtë fazë, bazuar vetëm në rrethanat publike, ekzistojnë dy kategori personash që mund të kenë pasur mundësi teknike për të hyrë në sistem:

1. personeli i autorizuar i administratës ose i strukturës së IT-së së Kuvendit;
2. operatorët teknikë të kompanisë së kontraktuar për mirëmbajtjen, nëse kontrata u jepte akses në sistemin përkatës.

Brenda këtyre kategorive, akses mund të kenë administratorët e serverëve, operatorët e sistemit të menaxhimit të videove, personeli i sigurisë ose specialistët e autorizuar për ndërhyrje teknike.

Por mundësia teknike nuk është provë autorësie.

Autorësia mund të përcaktohet vetëm nëpërmjet ekzaminimit të gjurmëve elektronike, dokumentacionit të autorizimit, kamerave të sallës së kontrollit dhe dëshmive të personave përgjegjës.

Gjurmët që mund të zbulojnë autorin

Sistemet profesionale të videomenaxhimit, të njohura si VMS – Video Management System, zakonisht mbajnë regjistra elektronikë për veprimet e përdoruesve.

Këta regjistra, të njohur si “audit logs”, mund të tregojnë:

• emrin e përdoruesit që është futur në sistem;
• datën dhe orën e hyrjes;
• kamerën që është hapur;
• segmentin kohor që është kërkuar;
• kryerjen e komandës së eksportit;
• pajisjen ose adresën IP të përdorur;
• formatin dhe emrin e skedarit;
• ndryshimet e kryera në konfigurim;
• përpjekjet për të fshirë historikun.

Nëse sistemi i Kuvendit është konfiguruar sipas standardeve teknike, identifikimi i llogarisë që ka eksportuar videon duhet të jetë i mundur.

Pikërisht për këtë arsye kërkohet ndërhyrje e shpejtë. Regjistrat elektronikë mund të mbishkruhen automatikisht pas një periudhe të caktuar ose mund të tjetërsohen nëse personat e dyshuar vazhdojnë të kenë privilegje administratori.

Prokuroria duhet të urdhërojë ruajtjen dhe sekuestrimin teknik të tyre përpara se provat të humbasin.

A kishte kompania akses në distancë?

Një nga çështjet kryesore që kërkon verifikim është nëse kompania e mirëmbajtjes kishte akses në distancë në infrastrukturën elektronike të Kuvendit.

Duhet të bëhet publike:

• nëse lejohej “remote access”;
• nëpërmjet cilit protokoll realizohej lidhja;
• nëse përdorej VPN;
• nëse kërkohej autorizim për çdo ndërhyrje;
• nëse sesionet regjistroheshin;
• cilët punonjës kishin kredenciale aktive;
• nëse llogaritë ishin individuale apo të përbashkëta;
• nëse kontrata parashikonte detyrime konfidencialiteti;
• nëse operatori mund të shikonte, shkarkonte ose eksportonte regjistrime.

Nëse operatori nuk ka pasur akses në përmbajtjen e regjistrimeve, kjo duhet të provohet me dokumentacion teknik.

Nëse ka pasur akses, Kuvendi duhet të shpjegojë se çfarë mekanizmash kontrolli kishte vendosur për të parandaluar kopjimin ose shpërndarjen e paautorizuar të pamjeve.

Kush e autorizoi publikimin?

Një tjetër pikë që kërkon hetim është rruga që ka ndjekur materiali nga sistemi i kamerave deri te profilet politike dhe mediat.

Hetimi duhet të rindërtojë kronologjinë minutë pas minute:

1. ora e incidentit;
2. ora e eksportimit të videos;
3. personi që ka kërkuar materialin;
4. personi që e ka marrë në dorëzim;
5. kanali elektronik përmes të cilit është dërguar;
6. profili ose media që e ka publikuar e para;
7. komunikimet mes personave të përfshirë.

Nëse videoja është shpërndarë menjëherë pas incidentit, koha e shkurtër mes ngjarjes dhe publikimit mund të tregojë se personat përgjegjës kishin akses të drejtpërdrejtë ose bashkëpunim të menjëhershëm me administruesit e sistemit.

Kjo është një pistë hetimore, jo një përfundim.

A është cenuar zinxhiri i ruajtjes së provës?

Pamjet e kamerave mund të shërbejnë si provë në procedime administrative, disiplinore ose penale.

Për këtë arsye duhet ruajtur ajo që në terminologjinë hetimore quhet “chain of custody” – zinxhiri i administrimit dhe ruajtjes së provës.

Duhet të dokumentohet:

• kush e ka administruar materialin origjinal;
• nëse është krijuar kopje;
• nëse videoja është prerë ose montuar;
• nëse janë ndryshuar metadatat;
• nëse është përdorur kompresim;
• nëse materiali i publikuar përfaqëson të gjithë ngjarjen;
• nëse ekzistojnë sekuenca të tjera që nuk janë publikuar.

Publikimi selektiv i një fragmenti mund të prodhojë një perceptim të ndryshëm nga përmbajtja e plotë e ngjarjes.

Nëse pamjet janë përdorur për të ndikuar opinionin publik përpara se të përfundonte procedura parlamentare ndaj Agron Shehajt, duhet të sqarohet nëse kemi pasur një veprim institucional apo një operacion komunikimi politik.

Rreziku shkon përtej rastit Shehaj

Çështja nuk kufizohet te një deputet dhe as te përplasja politike e një dite.

Nëse një person mund të nxjerrë pa kontroll pamje nga kamerat e brendshme të Kuvendit, atëherë lindin pyetje për sigurinë e:

• delegacioneve të huaja;
• përfaqësuesve diplomatikë;
• takimeve të zhvilluara në mjediset e institucionit;
• lëvizjeve të drejtuesve shtetërorë;
• personelit të sigurisë;
• zonave të kontrolluara;
• protokolleve të evakuimit dhe hyrje-daljeve;
• konfigurimit të brendshëm të godinës.

Sot mund të publikohet një deputet duke ecur në korridor. Nesër mund të ekspozohen lëvizjet e një delegacioni të huaj, hyrja në një zonë të kufizuar ose rutina e sigurisë së një zyrtari.

Siguria e një sistemi nuk matet nga fakti nëse videoja e parë e publikuar duket e padëmshme. Ajo matet nga mundësia që sistemi të përdoret jashtë rregullave.

Ligji shqiptar për sigurinë kibernetike e trajton sigurinë e sistemeve dhe rrjeteve të informacionit si çështje që lidhet me mbrojtjen e konfidencialitetit, integritetit dhe disponueshmërisë së informacionit. (QBZ⁠)

Kuvendi duhet të japë përgjigje

Administrata e Kuvendit duhet të bëjë publike, pa cenuar më tej sigurinë e sistemit:

1. Cila strukturë administron sistemin e kamerave?
2. Kush janë personat që kanë të drejtë aksesi?
3. A kishte operatori privat akses në regjistrime?
4. A lejohej akses në distancë?
5. Kush e ka eksportuar videon e incidentit?
6. Kush e ka kërkuar eksportimin?
7. A ekziston autorizim me shkrim?
8. Kujt i është dorëzuar materiali?
9. A janë ruajtur audit log-et?
10. A është kryer ekspertizë mbi skedarin e publikuar?
11. A është hapur hetim administrativ?
12. A është njoftuar Komisioneri për Mbrojtjen e të Dhënave Personale?
13. A është raportuar ndonjë incident sigurie pranë autoriteteve përgjegjëse?
14. A janë pezulluar përkohësisht llogaritë e personave që mund të kenë pasur akses?

Heshtja e Kuvendit nuk e mbyll çështjen. Ajo vetëm shton dyshimet.

Përgjegjësia politike e mazhorancës

Mazhoranca socialiste drejton Kuvendin dhe kontrollon administrativisht shumicën e strukturave të tij drejtuese. Për këtë arsye ka përgjegjësinë politike të japë shpjegime të plota.

Pamjet e sigurisë nuk mund të përdoren sipas nevojës së momentit: të konsiderohen materiale të mbrojtura kur kërkohen nga qytetarët ose mediat, por të shpërndahen menjëherë kur i shërbejnë një narrative politike.

Transparenca nuk nënkupton nxjerrjen selektive të videove të brendshme.

Transparenca nënkupton:

• rregulla të njëjta për të gjithë;
• vendimmarrje të dokumentuar;
• akses të kontrolluar;
• përgjegjësi për çdo eksport;
• mbrojtje të provës origjinale;
• hetim kur dyshohet për rrjedhje.

Çfarë duhet të hetojë SPAK-u

Një hetim i plotë duhet të përfshijë sekuestrimin ose kopjimin forensik të:

• serverëve të regjistrimit;
• serverit VMS;
• regjistrave të aksesit;
• regjistrave të eksportimit;
• regjistrave VPN;
• pajisjeve të administratorëve;
• postës elektronike institucionale;
• komunikimeve të punës;
• urdhrave dhe autorizimeve;
• kontratës së mirëmbajtjes;
• listës së personave me kredenciale aktive;
• skedarit origjinal dhe versioneve të publikuara.

Duhet të verifikohet gjithashtu nëse videoja është nxjerrë nëpërmjet një eksporti normal nga sistemi, filmimit të monitorit, kopjimit nga një pajisje e ndërmjetme apo dërgimit përmes një platforme të jashtme.

Ekspertiza e metadatave mund të përcaktojë pajisjen, programin, kohën e krijimit dhe ndryshimet e mundshme të skedarit.

Të hetohen të gjithë, pa përjashtim

Dyshimi publik aktualisht mund të drejtohet te personeli i IT-së së Kuvendit ose te operatori ekonomik që kryente mirëmbajtjen e sistemeve.

Por asnjëra palë nuk mund të shpallet përgjegjëse pa prova.

Hetimi duhet të përfshijë çdo person që:

• kishte akses teknik;
• kishte autoritet administrativ;
• kërkoi pamjet;
• i mori ato në dorëzim;
• i dërgoi te aktorë politikë;
• i publikoi fillimisht;
• urdhëroi ose miratoi shpërndarjen.

Përgjegjësia mund të jetë teknike, administrative, politike ose penale. Këtë nuk mund ta përcaktojë propaganda dhe as debati televiziv. Mund ta përcaktojë vetëm ekzaminimi i provave.

Siguria e Kuvendit nuk është pronë e një partie

Një shtet serioz nuk lejon që kamerat e sigurisë së institucionit ligjvënës të shndërrohen në instrument komunikimi politik.

Nëse gjithçka është bërë në përputhje me ligjin, Kuvendi duhet të publikojë procedurën, autorizimin dhe bazën ligjore.

Nëse procedurat janë shkelur, personat përgjegjës duhet të mbajnë përgjegjësi.

SPAK duhet të veprojë menjëherë për ruajtjen e gjurmëve elektronike, përpara se regjistrat të mbishkruhen, të fshihen ose të humbasin.

Siguria e Kuvendit nuk është pronë e mazhorancës, e administratës, e një kompanie private apo e një partie politike.

Ajo është pjesë e sigurisë institucionale të Republikës së Shqipërisë.

Ose kompania “Opentech Consulting & Services”, punonjësit e saj apo personeli i IT-së së Kuvendit kanë nxjerrë videon. Kontrata e mirëmbajtjes dhe mundësia e aksesit teknik janë rrethana që kërkojnë verifikim.