CSDD datu noplūdes lietā pavīd reāla cerība iegūt kompensāciju: advokāts atklāj jaunas detaļas 0
Pēc CSDD datu noplūdes incidenta publiskajā telpā izskanējusi daudz un dažāda informācija par iedzīvotāju iespējām pieprasīt kompensāciju par notikušo. Kamēr jautājums par atbildību un iespējamo atlīdzību joprojām tiek vērtēts, ar pozitīvām ziņām nācis klajā zvērināts advokāts Lauris Klagišs, kurš norāda uz Satiksmes ministrijas publicētā CSDD kiberincidenta izvērtējuma secinājumiem. Viņaprāt, tajā konstatētie drošības trūkumi varētu būt būtisks arguments cilvēkiem, kuri apsver iespēju pieprasīt kompensāciju.
Klagišs vietnē “Facebook” raksta: “Labas ziņas visiem, kuri pieprasa kompensācijas CSDD datu noplūdes lietā!
Ja esat vērsušies vai vēl tikai plānojat vērsties ar prasību par kompensāciju saistībā ar augusta CSDD kiberincidentu, mums ir lieliski jaunumi. Mums vairs nav jāgaida Datu valsts inspekcijas (DVI) atzinums, lai pierādītu iestādes nolaidību! Jau šobrīd ir pilnīgi skaidrs, cik graujošus un būtiskus pārkāpumus datu aizsardzībā ir pieļāvusi CSDD.
Nupat publicētais dokuments “Pabeigts CSDD kiberincidenta izvērtējums, apkopoti ieteikumi nepieciešamajiem uzlabojumiem _ Satiksmes ministrija.pdf” apstiprina smagus drošības trūkumus. Izvērtējums parāda, ka CSDD kiberdrošības pārvaldībā pieļautas vairākas kļūdas un neizdarības, reizēm formāla pieeja, kuru dēļ iespējas kiberuzbrukumam nebija pilnībā novērstas.
Lūk, spilgtākie fakti, kas norāda uz klaju nolaidību:
-Sākotnējo incidenta iespējamību radīja ievainojamība CSDD uzturētajā tīmekļa lietotnē med.csdd.lv.
-Tika konstatētas tādas tehniskas nepilnības kā nepilnīga drošības pārbaužu aptvere, nepietiekama tīkla aizsardzība un pat daudzfaktoru autentifikācijas trūkums.
-Uzbrucējs varēja ilgstoši un plašā apjomā iegūt datus, jo sistēmā nebija pietiekamu pieprasījumu apjoma kontroles un anomāliju identificēšanas mehānismu.
-Šī uzbrukuma rezultātā tika iegūti aptuveni 1,15 miljonu fizisko personu un līdz 200 tūkstošu juridisko personu dati.
-Papildus tam tika konstatēta ilgstoša vēsturisko personas datu glabāšana, kas ir klajš datu apstrādes principu pārkāpums.
Satiksmes ministrijas komisija arī vērsa uzmanību uz kliedzošām problēmām ar ārpakalpojumu uzraudzību. Tiek secināts, ka no profesionāla drošības monitoringa pakalpojuma sniedzēja parasti tiek sagaidīts, ka tas spēj savlaicīgi identificēt un ierobežot neparastu, ilgstošu datu aktivitāti, lai nepieļautu masīvu datu izgūšanu. Tieši šī iemesla dēļ jau iepriekš esmu iesniedzis oficiālus informācijas atklātības pieprasījumus, pieprasot izsniegt CSDD un SIA “TET” IT infrastruktūras iepirkuma līgumu – atbildība par šāda mēroga datu sistēmas izgāšanos ir jāizvērtē līdz pašām saknēm.
Šis Satiksmes ministrijas atzinums kalpo kā ļoti spēcīgs juridisks arguments. Iestādes nolaidība ir ne tikai nojaušama, bet tagad arī oficiāli dokumentēta un dod stingru pamatu veiksmīgai kompensāciju piedziņai jebkurā civiltiesiskā strīdā.”
