FOTO: IMAGO/ScanPix.
Aizsardzības ministrija sagatavojusi grozījumus Nacionālās kiberdrošības likumā, ar kuriem paredzēts ieviest tiesisko ietvaru labticīgu personu jeb tā dēvēto “balto hakeru” iesaistei kritiskās infrastrūktūras ievainojamību koordinētā atklāšanā. Likumprojekts līdz 28. augustam nodots publiskajā apspriešanā, sniedzot iespēju ikvienam, īpaši labticīgajiem drošības pētniekiem, kiberdrošības entuziastiem un Nacionālās kiberdrošības likuma subjektiem, izteikt vērtējumu vai citus priekšlikumus, kā sekmēt informācijas sistēmu un elektronisko sakaru tīklu kiberdrošību.
Likumprojekts ietver vispārīgu atļauju personām piekļūt subjekta informācijas sistēmā vai elektronisko sakaru tīklā esošajiem datiem nolūkā atklāt ievainojamību subjekta informācijas sistēmā vai elektronisko sakaru tīklā. Vienlaikus paredzēti šādu darbību ierobežojumi – pamatprincipi –, lai ievainojamību atklāšana neradītu nesamērīgu slogu subjektiem, kā arī apdraudējumu to interesēm un drošībai.
UZZIŅAI
Viens no Nacionālās kiberdrošības likuma mērķiem (2. pants) ir veicināt kiberdrošības pasākumu īstenošanu tā, lai varētu laikus prognozēt un novērst, kā arī pārvarēt kiberapdraudējumu un likvidēt tā sekas, pēc iespējas nodrošinot pakalpojumu konfidencialitātes, integritātes un pieejamības nepārtrauktību.
Ievainojamība ir informācijas un komunikācijas tehnoloģiju vai to pakalpojumu vājums, uzņēmība pret tehniskām problēmām vai nepilnība, kas var tikt izmantota kiberapdraudējumam (1. pants).
Ievainojamības atklāšana nedrīkst tikt izmantota ļaunprātīgi, un informācija par atklāto ievainojamību ir ierobežotas pieejamības informācija.
Nacionālās kiberdrošības likuma 39. pants regulē ievainojamību koordinētu atklāšanu. Tajā noteikts procesuālais ietvars atklātu ievainojamību ziņošanai – ievainojamības atklāšanas ziņojuma iesniegšanas termiņš, tā saturs, kiberincidentu novēršanas institūcijas kompetence un pienākums to izvērtēt un informēt subjektu.
Latvijā kopš 2023. gada darbojas Latvijas Universitātes Matemātikas un informātikas institūta Kiberincidentu novēršanas institūcijas CERT.LV izstrādātā Ievainojamību ziņošanas (CVD) platforma, kas paredzēta gan privāto, gan publisko iestāžu resursos identificēto ievainojamību koordinētai ziņošanai un ziņojumu apstrādei.
Reģistrēšanās CVD platformā ir brīvprātīga, un tā dod iespēju organizācijām publicēt programmu, kurā noteikt, kādus resursus drošības pētniekiem atļauts testēt un ar kādiem nosacījumiem. Pētnieki reģistrēties CVD platformā un ziņot par atklātajām ievainojamībām var arī anonīmi.
|
ĪSUMĀ
|
Aizsardzības ministrijas izstrādātā tiesību akta projekta “Grozījumi Nacionālās kiberdrošības likumā” (turpmāk – likumprojekts) sākotnējās ietekmes novērtējuma ziņojumā (turpmāk – anotācija) pausts, ka CVD platformas popularitāte pēdējā laikā ir augusi, taču to joprojām izmanto mazs skaits organizāciju (publicētas tikai 20 programmas). Tas liecina, ka ievainojamību koordinētas atklāšanas process Latvijā vēl ir agrīnā brieduma pakāpē un organizāciju uzticēšanās t. s. ētiskajiem jeb “baltajiem” hakeriem ir zema.
Likumprojekta autori norāda, ka organizāciju kūtrās aktivitātes CVD platformā dēļ personām, kas darbojas kā drošības pētnieki, netiek nodrošināts pietiekams tiesiski drošs pētniecības lauks, jo darbība ārpus oficiāli reģistrētām programmām CVD platformā šādām personām rada tiesiskus riskus.
Ņemot vērā, ka šobrīd iztrūkst tiesiskā regulējuma, kas pieļauj ievainojamību labticīgu atklāšanu un noteic pamatprincipus šādai darbībai, ziņošana par atklātajām ievainojamībām nereti tiek uztverta kā uzbrukums vai likumpārkāpums, izraisot konfliktus starp pētniekiem un organizācijām.
Likumprojekta izstrādātāji uzsver, ka šāda prakse vājina kiberdrošību, jo neveicina labticīgu personu iesaisti ievainojamību koordinētas atklāšanas procesā. Labticīga persona, atklājot ievainojamību, var izvēlēties par to neziņot, apzinoties, ka organizācija tās ziņojumu var uztvert negatīvi – kā apdraudējumu un likumpārkāpumu. Vienlaikus iztrūkst arī tāda regulējuma, kas noteic pienākumu organizācijām pieņemt un atbilstoši risināt ievainojamības ziņojumus, kas saņemti tieši no personām (nevis centralizēti no CERT.LV), kā rezultātā praksē šādi ziņojumi var tikt atstāti bez ievērības, radot draudus drošībai.
|
Likumprojektā noteikts tiesiskais ietvars ievainojamību labticīgai atklāšanai Nacionālās kiberdrošības likuma subjektu (skat. 3. pantu) informācijas sistēmās un elektronisko sakaru tīklos.
Tas paredz, ka vispārīgi personas var piekļūt subjekta informācijas sistēmā vai elektronisko sakaru tīklā esošajiem datiem tikai ievainojamības atklāšanai nepieciešamajā apmērā un veikt vienīgi tādas darbības, kas:
Likumprojekta anotācijā akcentēts, ka tajā ietvertais risinājums neaizstāj to, kā patlaban darbojas CVD platforma, proti, iespēju tajā publicēt organizāciju programmas un paredzēt, piemēram, atlīdzību par ievainojamības atklāšanu, norādīt, kurus resursus organizācija īpaši aicina testēt u. c. Vienlaikus subjektiem būtu saistoši likuma līmenī nostiprinātie ievainojamības labticīgas atklāšanas principi, kas vispārīgi atļautu personām piekļūt un pētīt jebkurus subjekta resursus nolūkā atklāt ievainojamības.
Minētais arī nozīmētu, ka subjekti nevar likt šķēršļus vai ierobežot personu tiesības iesaistīties ievainojamību koordinētā atklāšanā, jo pārāk ierobežojoši programmu nosacījumi ievainojamību koordinētas atklāšanas procesu padara mazāk efektīvu un atstāj plašākas iespējas ievainojamības atklāt ļaunprātīgiem uzbrucējiem.
Likumprojekta anotācijā uzsvērts, ka ievainojamības labticīgas atklāšanas ietvaros atbildība gulstas uz personu, tāpēc ļoti rūpīgi jāvērtē ikvienas savas darbības ietekme un atbilstība piekļuves pamatprincipiem, kā arī jāatturas no darbības veikšanas, ja nav pārliecības, ka tā ir droša, likumīga un samērīga.
Anotācijā skaidrots, ka gadījumā, ja persona piekļūst subjekta informācijas sistēmā vai elektronisko sakaru tīklā esošajiem datiem, ievērojot tiesiskajā regulējumā noteikto, respektīvi, tikai ievainojamības atklāšanai nepieciešamajā apmērā, un veic vienīgi tādas darbības, kas atbilst likumprojektā iekļautajiem pamatprincipiem, persona nebūtu saucama pie kriminālatbildības, jo šādu darbību nevarētu kvalificēt kā patvaļīgu piekļūšanu automatizētai datu apstrādes sistēmai saskaņā ar Krimināllikuma 241. pantu, ņemot vērā, ka likumprojektā ietvertais regulējums attiecīgo piekļūšanu pieļauj.
Pašlaik Nacionālās kiberdrošības likuma 39. panta pirmā daļa paredz: ja persona subjekta informācijas sistēmā vai elektronisko sakaru tīklā konstatē ievainojamību, tā nekavējoties, bet ne vēlāk kā piecu darbdienu laikā iesniedz ievainojamības atklāšanas ziņojumu kompetentajai kiberincidentu novēršanas institūcijai.
Likumprojektā ietverts precizējums, ka Nacionālās kiberdrošības likuma subjekti var pieņemt un novērst arī tādus ievainojamības ziņojumus, kas saņemti no personas, kura atklājusi ievainojamību, taču tādā gadījumā ziņojuma saņēmējam pašam ir pienākums informēt kompetento kiberincidentu novēršanas institūciju un veikt ievainojamības novēršanai nepieciešamās darbības (skat. Nacionālās kiberdrošības likuma 40. pantu).
|
