Aizsardzības ministrija (AM) sagatavojusi grozījumus likumā, kas leģitimizē “labticīgiem drošības pētniekiem un kiberdrošības entuziastiem” piekļūt informācijas un komunikācijas tehnoloģiju resursiem nolūkā atklāt ievainojamības.
Likumprojekts ietver vispārīgu atļauju personām piekļūt subjekta informācijas sistēmā vai elektronisko sakaru tīklā esošajiem datiem nolūkā atklāt ievainojamību subjekta informācijas sistēmā vai elektronisko sakaru tīklā. Vienlaikus ir noteikti samērīgi personu darbību ierobežojumi – pamatprincipi, lai ievainojamību atklāšana neradītu nesamērīgu slogu subjektiem, neradītu apdraudējumu to interesēm un drošībai.
Likuma izpratnē ar vārdu “subjekts” apzīmē būtisko pakalpojumu sniedzējus, svarīgo pakalpojumu sniedzējus un informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašniekus un tiesiskos valdītājus.
Grozījumi paredz, ka persona subjekta informācijas sistēmā vai elektronisko sakaru tīklā esošajiem datiem drīkst piekļūt tikai ievainojamības atklāšanai nepieciešamajā apmērā un veikt tikai tādas darbības, kas ir nepieciešamas ievainojamību identificēšanai, pārbaudei un ziņošanai, nerada nesamērīgu slogu subjekta informācijas sistēmai vai elektronisko sakaru tīklam, kā arī neapdraud informācijas sistēmas vai elektronisko sakaru tīkla drošību, datu konfidencialitāti, integritāti vai pieejamību un subjekta darbības nepārtrauktību.
Savukārt, ja subjekts no personas saņem informāciju par subjekta informācijas sistēmā vai elektronisko sakaru tīklā konstatētu ievainojamību, subjekts par to informē kompetento kiberincidentu novēršanas institūciju un veic ievainojamības novēršanai nepieciešamās darbības.
AM norāda, ka regulējuma trūkuma dēļ ziņošana par atklātajām ievainojamībām nereti tiek uztverta kā uzbrukums vai likumpārkāpums, izraisot konfliktus starp pētniekiem un organizācijām.
Šāda prakse vājina kiberdošību, jo neveicina labticīgu personu iesaisti koordinētas ievainojamību atklāšanas procesā.
Labticīga persona, atklājot ievainojamību, var izvēlēties par to neziņot, apzinoties, ka tās ziņojumu organizācija var uztvert negatīvi – kā apdraudējumu un likumpārkāpumu. Vienlaikus arī iztrūkst regulējums, kas noteic pienākumu organizācijām pieņemt un atbilstoši risināt arī tādus ievainojamības ziņojumus, kas saņemti tieši no personām nevis centralizēti no “Cert.lv, kā rezultātā praksē šādi ziņojumi var tikt atstāti bez ievērības un radīt drošības draudus, norādījusi AM.
Patlaban grozījumi Nacionālās kiberdrošības likumā līdz augusta beigām nodoti publiskajai apspriešanai.
Jau ziņots, ka Vidzemes apgabaltiesa februārī atzinusi par vainīgu izgudrotāju Raimondu Skurulu par to, ka viņš bija atklājis drošības “caurumu” Ceļu satiksmes drošības direkcijas (CSDD) informācijas tehnoloģiju (IT) sistēmā, informējis par to un aicinājis par ieguldījumu sistēmas pārbaudē samaksāt 1000 eiro, taču tas novērtēts kā izspiešana.
Tiesa piesprieda Skurulam naudas sodu 4290 eiro apmērā.
Skuruls iesniedza kasācijas sūdzību par tiesas spriedumu, taču Augstākā tiesa (AT) vēl nav lēmusi par kasācijas tiesvedības ierosināšanu.