Latvija plāno atļaut drošības pētniekiem meklēt IT ievainojamības

Aizsardzības ministrija ir izstrādājusi likuma grozījumus, kas turpmāk ļaus kiberdrošības entuziastiem un pētniekiem oficiāli pārbaudīt informācijas sistēmu drošību, nemainoties par likumpārkāpējiem. Šāda iniciatīva tapusi, lai mazinātu konfliktus starp organizācijām un labticīgiem speciālistiem, kuri atklāj tehniskus caurumus, bet līdz šim saskārušies ar apsūdzībām uzbrukumos.

Jaunā kārtība un ierobežojumi

Likumprojekts paredz skaidrus spēles noteikumus, kas ļauj piekļūt būtisko pakalpojumu sniedzēju un kritiskās infrastruktūras sistēmām tikai ievainojamību identificēšanai un ziņošanai. Pētniekiem būs jāievēro stingri principi, lai viņu darbības neapdraudētu datu konfidencialitāti, integritāti vai sistēmu darbības nepārtrauktību. Ja subjekts saņem ziņojumu par atklātu ievainojamību, tam būs pienākums informēt kompetento kiberincidentu novēršanas institūciju un veikt nepieciešamos labojumus.

Konteksts un iepriekšējā pieredze

Pašreizējais regulējuma trūkums bieži noved pie situācijām, kurās pētnieki izvēlas par drošības caurumiem neziņot, baidoties no negatīvas reakcijas. Šāda prakse vājina valsts kopējo kiberdrošību, jo organizācijas neizmanto iespēju laikus novērst riskus. Diskusijas par šo tēmu aktualizējās pēc gadījuma ar izgudrotāju Raimondu Skurulu, kuru Vidzemes apgabaltiesa februārī atzina par vainīgu izspiešanā pēc tam, kad viņš informēja Ceļu satiksmes drošības direkciju par atklātu drošības caurumu IT sistēmā. Skurulam tika piespriests 4290 eiro naudas sods, un šobrīd lieta atrodas Augstākās tiesas izskatīšanā.

Līdz augusta beigām grozījumi Nacionālās kiberdrošības likumā ir nodoti publiskajai apspriešanai, ļaujot sabiedrībai un nozares ekspertiem izteikt savu viedokli par plānotajām izmaiņām.