Izmeklēšana: CSDD datu noplūdi izraisīja vairākas kiberdrošības nepilnības

Satiksmes ministrijas (SM) izveidotā komisija ir pabeigusi CSDD kiberuzbrukuma izvērtējumu, secinot, ka datu noplūdi veicināja virkne trūkumu kiberdrošības pārvaldībā. Ministrs Rihards Kozlovskis norāda, ka konstatētas vairākas kļūdas un formāla pieeja, kas ļāva realizēties kiberuzbrukumam.

Ievainojamība ļāva iekļūt sistēmā

Komisija secinājusi, ka uzbrucējam sākotnēju piekļuvi informācijas sistēmām nodrošināja ievainojamība CSDD uzturētajā tīmekļa lietotnē "med.csdd.lv". To agrāk novērst kavēja vairākas problēmas – nepilnīga drošības pārbaužu aptvere, nepietiekama tīkla aizsardzība, daudzfaktoru autentifikācijas trūkums un programmatūras izstrādes trūkumi. Papildus atklāta ilgstoša vēsturisko personas datu glabāšana, ko vērtēs Datu valsts inspekcija.

Kontroles sistēma nesasniedza mērķi

Lai gan kiberdrošības kontroles sistēma CSDD bija ieviesta, praksē tā vairākkārt nedarbojās kā paredzēts. Komisija norāda uz nepietiekamu speciālistu kapacitāti, ierobežotu drošības testu un auditu apjomu, kā arī nepilnīgu dokumentēšanu. Pēc sākotnējās piekļuves iegūšanas uzbrucējs varēja ilgstoši un plašā apjomā izgūt datus, jo trūka pieprasījumu apjoma kontroles un anomāliju atpazīšanas mehānismu. Komisija uzsver, ka profesionālam drošības monitoringa pakalpojumam šāda neparasta aktivitāte būtu bijis jāpamana savlaicīgi.

Vienlaikus komisija atzīmē, ka CSDD pēc incidenta konstatēšanas ir izpildījusi normatīvajos aktos noteiktos ziņošanas pienākumus attiecīgajām valsts institūcijām noteiktajos termiņos.

Ieteikumi un turpmākā rīcība

Ziņojumā iekļauti ieteikumi – novērst konstatētos riskus, pārskatīt datu glabāšanas termiņus, palielināt kiberdrošības funkcijas kapacitāti, kā arī pārskatīt līgumu ar SIA "Tet" un tā pārvaldības kārtību. Amatpersonu atbildības izvērtēšana nav komisijas kompetencē – to vērtēs tiesībsargājošās iestādes, kurām nosūtīti visi materiāli.

Atgādinām, ka augusta sākumā notikušajā kiberuzbrukumā tika iegūti aptuveni 1,2 miljonu iedzīvotāju un 200 000 juridisko personu dati no pēdējo 18 gadu maksājumiem. Pēc incidenta atkāpās vairākas CSDD amatpersonas. Ģenerālprokuratūra veic pārbaudi par iespējamiem pārkāpumiem, un Valsts policija sākusi kriminālprocesu.