SM komisija: CSDD datu noplūdi veicināja nepilnības kiberdrošības pārvaldībā 12

Ceļu satiksmes drošības direkcijas (CSDD) datu noplūdi veicināja vairākas nepilnības kiberdrošības pārvaldībā, tostarp nepilnīga drošības pārbaužu aptvere, nepietiekama tīkla aizsardzība, daudzfaktoru autentifikācijas trūkums un nepilnības programmatūras izstrādē, secināts Satiksmes ministrijas (SM) komisijas veiktajā izvērtējumā.

SM komisija ir izpildījusi satiksmes ministra Riharda Kozlovska (JV) rīkojumu un pabeigusi CSDD kiberincidenta izvērtējumu, lai noskaidrotu faktiskos apstākļus attiecībā uz incidenta cēloņiem, konstatēšanas un reaģēšanas efektivitāti, kā arī CSDD īstenoto tehnisko un organizatorisko pasākumu atbilstību. Komisija ir sagatavojusi ziņojumu, kurā apkopoti secinājumi un ieteikumi tehniskās ievainojamības novēršanai un kiberdrošības stiprināšanai.

Kozlovskis norāda, ka izvērtējums parāda, ka CSDD kiberdrošības pārvaldībā pieļautas vairākas kļūdas un neizdarības, reizēm formāla pieeja, kuru dēļ iespējas kiberuzbrukumam nebija pilnībā novērstas. Nepilnības konstatētas gan uzņēmuma darbinieku, gan ārpakalpojuma sniedzēju rīcības algoritmos, vienlaikus amatpersonu atbildības izvērtējums ir tiesībsargājošo iestāžu kompetencē.

"Dienesta izmeklēšanas uzdevums bija konstatēt situāciju un tās apstākļus, un sagatavot ieteikumus konkrētiem pasākumiem, lai līdzīgi riski nākotnē būtu novērsti un Latvijas iedzīvotāju dati būtu drošībā," skaidro Kozlovskis.

SM izveidotā komisija secinājusi, ka incidenta iespējamību radīja ievainojamība CSDD uzturētajā tīmekļa lietotnē "med.csdd.lv", kas uzbrucējam ļāva sākotnēji piekļūt informācijas sistēmām. Iespēju ievainojamību novērst agrāk ietekmēja vairākas tehniskas un organizatoriskas nepilnības - nepilnīga drošības pārbaužu aptvere, nepietiekama tīkla aizsardzība, daudzfaktoru autentifikācijas trūkums, programmatūras izstrādes nepilnības.

Tāpat tika konstatēta ilgstoša vēsturisko personas datu glabāšana, kuru vērtēs Datu valsts inspekcija. Kiberdrošības kontroles sistēma bija izveidota, bet praksē vairākkārt nesasniedza savu mērķi. Konstatētas atsevišķas nepilnības saistībā ar risku pārvaldību un kiberdrošības vadību - nepietiekama speciālistu kapacitāte, nepietiekams drošības testu un auditu tvērums, nepilnīga dokumentēšana.

Pēc sākotnējās piekļuves iegūšanas uzbrucējs varēja ilgstoši un plašā apjomā iegūt datus, jo nebija pietiekamu pieprasījumu apjoma kontroles un anomāliju identificēšanas mehānismu. Komisija secinājusi, ka neatkarīgi no sākotnējās ievainojamības rašanās iemesla no profesionāla drošības monitoringa pakalpojuma sniedzēja parasti tiek sagaidīts, ka tas spēj savlaicīgi identificēt un ierobežot neparastu, ilgstošu datu aktivitāti, lai nepieļautu ilgstošu un plaša mēroga datu izgūšanu. CSDD pēc incidenta konstatēšanas ir izpildījusi normatīvajos aktos noteiktos ziņošanas pienākumus attiecībā uz kompetentajām valsts institūcijām noteiktajos termiņos.

Komisijas ziņojumā uzskaitīti ieteikumi CSDD kiberdrošības stiprināšanai - novērst konstatētos kiberdrošības un datu aizsardzības riskus, izvērtēt datu glabāšanas termiņus, nodrošināt pietiekamu kiberdrošības funkcijas kapacitāti, pārskatīt un pilnveidot līgumu ar SIA "Tet" un ieviest sistēmu, kā šādi ārpakalpojumi tiek pārvaldīti.

Komisija nevērtēja iespējamo CSDD amatpersonu atbildību, tā ir tiesībsargājošo institūciju kompetence. Izvērtēšanas ziņojums un materiāli tiks nosūtīti tiesībsargājošām institūcijām.

Jau ziņots, ka kiberuzbrukumā CSDD augusta sākumā iegūti 1,2 miljonu cilvēku personas dati un aptuveni 200 000 juridisko personu dati. Dati iegūti no direkcijai veiktajiem maksājumiem pēdējo 18 gadu laikā.

Pēc vairāku amatpersonu aicinājuma atkāpties no amatiem šādu lēmumu pieņēma gan CSDD valde, gan padome.

Kozlovskis ierosināja dienesta izmeklēšanu, kas jāveic paātrinātā kārtībā, lai noskaidrotu visus apstākļus un atbildīgos saistībā ar notikušo kiberuzbrukumu un apjomīgo datu noplūdi. Izmeklēšanā, cita starpā, jāvērtē arī CSDD līgums ar "Tet" par kiberdrošības pakalpojumu sniegšanu.

Savukārt Ģenerālprokuratūrā sākta prokurora pārbaude par iespējami pieļautiem pārkāpumiem vai nolaidību, kā rezultātā notikusi datu noplūde no CSDD informācijas sistēmām.

Tāpat Valsts policija sākusi kriminālprocesu par kiberuzbrukumu CSDD.