Internom istragom Službe za poslove sa strancima BiH o propustima koji su prethodili hakovanju email servera utvrđeno je da postoji osnov za ispitivanje odgovornosti Novice Koromana, službenika koji je godinama bio kontakt osoba za Microsoft/ESA licenciranje.
Kako je Istraga ranije objavila, email server Službe za poslove sa strancima prije nekoliko dana je kompromitovan, pri čemu su hakeri ukrali podatke sa korisničkim imenima i lozinkama zaposlenih. Ukradeni podaci potom su dostavljani nazad na isti email server, što ukazuje da su hakeri imali kontinuiran udaljeni pristup serveru i koristili ga za pohranu i distribuciju podataka.
Služba za poslove sa strancima je još 19. maja 2015. godine imenovala Novicu Koromana kao kontakt osobu za poslove vezane za Microsoft/ESA licenciranje, komunikaciju sa nadležnim institucijama, te planiranje i produženje Microsoft licenci. Koroman je te poslove obavljao i u periodu na koji se odnose utvrđeni propusti.
Problem je nastao tokom pripreme za novi ugovorni period sa Microsoftom – od 2025. do 2028. godine. Ministarstvo komunikacija i transporta BiH u više navrata je tražilo od Koromana da dostavi plan potreba Službe za Microsoft licence, kao i planove potreba za naprednu tehničku podršku i edukaciju. Međutim, Koroman tražene podatke nikada nije dostavio iako mu je bilo jasno dato do znanja da je krajnji rok 31. decembar 2024. godine, te da se planovi dostavljeni nakon navedenog roka neće uzimati u razmatranje.
U nastavku je e-mail koji je 08.11.2024. godine Novici Koromanu poslao Branislav Zimonjić, menadžer korisničke podrške Ministarstva komunikacija i transporta. U e-mailu Zimonjić obavještava Koromana da mora dostaviti plan potreba licenci za Microsoft proizvode najkasnije do 31.12.2024.
U narednim danima, prije isteka roka, Zimonjić dostavlja nadležnim službenicima u institucijama BiH – među kojima je i Novica Koroman – još dva e-maila sa detaljnim uputstvima kako da kreiraju i dostave planove nabavke Microsoft licenci za ESA ugovorni period 2025-2028. Ponovo ih upozorava da je krajnji rok – 31. decembar.
Nakon što mjesecima nisu dobili nikakvu povratnu informaciju, iz Ministarstva se početkom marta 2025. ponovo obraćaju Službi za poslove sa strancima i napominju da je svaka institucija dužna imenovati kontakt osobu odgovornu za pravilno i efikasno izvršavanje odredbi ESA ugovora:
– U skladu sa Članom 5 Odlukom o upravljanju softverskom imovinom u upotrebi i standardizaciji korisničkog softvera u institucijama Bosne i Hercegovine definisane su Dužnosti i obaveze kontakt osobe korisnika, odnosno u konkretnom slučaju dužnosti i obaveze gosp. Novice Koromana. Ministarstvo komunikacija i transporta BiH se u tri navrata obraćalo kontakt osobi ispred vaše institucije za dostavu plana potrebe za Microsoft licencama za ugovorni period 2025. – 2028. godina, kao i za dostavu planova potreba za Naprednu tehničku podršku i Edukaciju, što je u obavezi da uradi kontakt osobe prema predmetnoj Odluci, međutim, traženi podaci nisu dostavljeni.
Iz Službe za poslove sa strancima se Ministarstvu obraćaju tek 2. juna 2025. godine, kada je već odavno prekoračen krajnji rok. Tada pitaju za mogućnost naknadnog uključivanja Službe u postupak planiranja i usklađivanja potreba sa postojećim planom nabavke Microsoft licenci.
– Budući da do sada nismo formalno pristupili okviru, molimo Vas za informaciju: da li još postoji mogućnost uključivanja naše institucije u postojeći plan, koji su naredni koraci s naše strane (formalnosti, rokovi, kontakt osobe), i da li je moguće na osnovu trenutnog ugovora osigurati licence koje su nam potrebne za tekuću godinu – piše IT stručnjak Službe, Ramiz Šikalo, Branislavu Zimonjiću.
Zimonjić mu odgovara da je Ministarstvo već objavilo tender za nabavku Microsoft licenci za novi ugovorni period koji se zatvara 20.6.2025. godine, nakon čega će biti potpisani ESA ugovori, te da više nije moguće raditi bilo kakve izmjene po pitanju nabavke licenci.
– U skladu sa prethodno navedenim zamolio bi vas da mi po ovome pitanju pošaljete slijedeće informacije: da li je gosp. Novica Koroman i dalje zaposlenik vaše institucije, te ako jeste iz kojih razloga ne ispunjava dužnosti i obaveze definisane Članom 5 prethodno navedenom Odlukom. Ukoliko gosp. Novica Koroman nije više zaposlenik vaše institucije zašto institucija nije, u skladu sa Članom 4 Stav (3) prethodno navedene Odluke imenovala novu kontakt osobu? – pita Zimonjić.
Odgovora nema. No, iz dostupne dokumentacije proizlazi jasna hronologija: uposlenik Službe za poslove sa strancima Novica Koroman, zadužen za Microsoft licence, bio je upoznat sa rokovima. Traženi planovi nisu dostavljeni, a Služba je tek mjesecima kasnije pokušala naknadno riješiti problem. U međuvremenu je njen email sistem kompromitovan, a službeni korisnički podaci ukradeni.
