Адвокат: отчёт Министерства сообщения усиливает шансы на компенсацию за утечку данных CSDD
Адвокат Лаурис Клагишс заявил, что опубликованная Министерством сообщения оценка киберинцидента CSDD официально подтверждает нарушения безопасности, что даёт весомый аргумент желающим получить компенсацию за августовскую утечку данных.
После инцидента с утечкой данных в Дирекции безопасности дорожного движения (CSDD) в обществе продолжается обсуждение возможностей жителей получить компенсацию за произошедшее. Присяжный адвокат Лаурис Клагишс в Facebook сообщил, что недавно опубликованная Министерством сообщения оценка киберинцидента CSDD даёт серьёзное юридическое основание тем, кто подаёт или планирует подать иск о компенсации.
По словам адвоката, больше не нужно ждать заключения Государственной инспекции данных, чтобы доказать халатность учреждения, поскольку в оценке уже зафиксированы серьёзные нарушения защиты данных.
Выявленные недостатки
Оценка Министерства сообщения показывает, что в управлении кибербезопасностью CSDD были допущены многочисленные ошибки и упущения, порой носившие формальный характер. Источником инцидента стала уязвимость в веб-приложении CSDD med.csdd.lv. Также были выявлены неполный охват проверок безопасности, недостаточная защита сети и отсутствие многофакторной аутентификации. В системе не было достаточных механизмов контроля объёма запросов и выявления аномалий, из-за чего злоумышленник смог длительное время и в больших масштабах получать данные.
В результате атаки были похищены данные примерно 1,15 миллиона физических лиц и до 200 тысяч юридических лиц. Кроме того, в оценке отмечено длительное хранение исторических персональных данных, что адвокат называет явным нарушением принципов обработки данных.
Вопросы к надзору за аутсорсингом
Комиссия министерства также обратила внимание на серьёзные проблемы с надзором за аутсорсинговыми услугами, отметив, что от профессионального поставщика услуг мониторинга безопасности обычно ожидается способность своевременно выявлять и ограничивать необычную длительную активность с данными, чтобы предотвратить их массовое извлечение. Клагишс отметил, что именно поэтому ранее подал официальные запросы на получение информации о договоре закупки IT-инфраструктуры между CSDD и SIA «TET», подчеркнув, что ответственность за утечку такого масштаба должна быть изучена до самых основ.
Адвокат подчеркнул, что заключение министерства теперь официально задокументировано и служит весомым основанием для взыскания компенсации в гражданско-правовых спорах.
