Iecerēts tiesiski nostiprināt “balto hakeru” lomu valsts kiberdrošībā

Aizsardzības ministrija izstrādājusi grozījumus Nacionālās kiberdrošības likumā, lai radītu tiesisku pamatu tā saukto balto hakeru jeb labticīgu drošības pētnieku iesaistei koordinētā ievainojamību atklāšanā valsts kritiskās infrastruktūras informācijas sistēmās un elektronisko sakaru tīklos. Likumprojekts nodots publiskajai apspriešanai, un ikviens interesents, tostarp kiberdrošības entuziasti un likuma subjekti, līdz 28. augustam var izteikt viedokli Tiesību aktu projektu publiskajā portālā.

Šobrīd Latvijā darbojas CERT.LV izveidotā ievainojamību ziņošanas platforma, taču organizācijas tajā publicējušas vien 20 testēšanas programmas. Aizsardzības ministrijas anotācijā norādīts, ka tas liecina par zemu uzticēšanos pētniekiem un to, ka process vēl ir agrīnā stadijā. Nereti ziņojumi par atklātām nepilnībām tiek uztverti kā uzbrukums vai likumpārkāpums, tāpēc pētnieki izvēlas neziņot par atrastajām ievainojamībām.

Likumprojekts paredz vispārīgu atļauju piekļūt likuma subjekta datiem, bet tikai ievainojamības atklāšanai nepieciešamajā apmērā. Personām būs jāievēro pamatprincipi: nedrīkst radīt nesamērīgu slogu sistēmai, izmantot pakalpojuma atteices uzbrukumus, sociālās inženierijas vai paroļu minēšanas metodes, kā arī apdraudēt datu konfidencialitāti, integritāti un pieejamību. Tiklīdz ir pietiekami daudz informācijas, lai ziņotu par ievainojamību, darbība jāpārtrauc.

Anotācijā uzsvērts, ka, ievērojot šos nosacījumus, piekļuve nebūtu uzskatāma par patvaļīgu, un persona netiktu saukta pie kriminālatbildības saskaņā ar Krimināllikuma 241. pantu. Tāpat grozījumi precizē, ka subjekti var pieņemt ziņojumus tieši no pētniekiem, bet tad tiem pašiem jāinformē kompetentā kiberincidentu novēršanas institūcija un jāveic nepieciešamās darbības. Patlaban likums noteic, ka par atklātu ievainojamību jāziņo ne vēlāk kā piecu darbdienu laikā.