Адвокат: отчёт Министерства сообщения усиливает шансы на компенсацию за утечку данных CSDD

После инцидента с утечкой данных в Дирекции безопасности дорожного движения (CSDD) в обществе продолжается обсуждение возможностей жителей получить компенсацию за произошедшее. Присяжный адвокат Лаурис Клагишс в Facebook сообщил, что недавно опубликованная Министерством сообщения оценка киберинцидента CSDD даёт серьёзное юридическое основание тем, кто подаёт или планирует подать иск о компенсации.

По словам адвоката, больше не нужно ждать заключения Государственной инспекции данных, чтобы доказать халатность учреждения, поскольку в оценке уже зафиксированы серьёзные нарушения защиты данных.

Выявленные недостатки

Оценка Министерства сообщения показывает, что в управлении кибербезопасностью CSDD были допущены многочисленные ошибки и упущения, порой носившие формальный характер. Источником инцидента стала уязвимость в веб-приложении CSDD med.csdd.lv. Также были выявлены неполный охват проверок безопасности, недостаточная защита сети и отсутствие многофакторной аутентификации. В системе не было достаточных механизмов контроля объёма запросов и выявления аномалий, из-за чего злоумышленник смог длительное время и в больших масштабах получать данные.

В результате атаки были похищены данные примерно 1,15 миллиона физических лиц и до 200 тысяч юридических лиц. Кроме того, в оценке отмечено длительное хранение исторических персональных данных, что адвокат называет явным нарушением принципов обработки данных.

Вопросы к надзору за аутсорсингом

Комиссия министерства также обратила внимание на серьёзные проблемы с надзором за аутсорсинговыми услугами, отметив, что от профессионального поставщика услуг мониторинга безопасности обычно ожидается способность своевременно выявлять и ограничивать необычную длительную активность с данными, чтобы предотвратить их массовое извлечение. Клагишс отметил, что именно поэтому ранее подал официальные запросы на получение информации о договоре закупки IT-инфраструктуры между CSDD и SIA «TET», подчеркнув, что ответственность за утечку такого масштаба должна быть изучена до самых основ.

Адвокат подчеркнул, что заключение министерства теперь официально задокументировано и служит весомым основанием для взыскания компенсации в гражданско-правовых спорах.