Datu valsts inspekcija sāk pārbaudi par CSDD kiberdrošības incidentu, kurā iegūts milzīgs cilvēku datu daudzums 0
Datu valsts inspekcija (DVI) ir sākusi pārbaudi par Ceļu satiksmes drošības direkcijas (CSDD) kiberdrošības incidentu, aģentūru LETA informēja inspekcijā.
DVI atzīmēja, ka CSDD par notikušo personas datu aizsardzības pārkāpumu bija informējusi arī DVI.
Šobrīd inspekcija vērtē tās rīcībā esošo informāciju par incidenta apstākļiem, skarto personas datu apjomu un CSDD veiktajiem pasākumiem. Pārbaudes laikā tiks vērtēts arī, vai CSDD bija īstenojusi atbilstošus tehniskos un organizatoriskos pasākumus personas datu aizsardzībai un vai, ņemot vērā konkrētos apstākļus, bija iespējams veikt papildu pasākumus, kas būtu varējuši novērst incidentu vai mazināt tā radītās sekas.
Atkarībā no pārbaudē konstatētajiem faktiskajiem apstākļiem DVI varēs secināt, ka CSDD veiktie pasākumi ir bijuši atbilstoši un no tās puses nav konstatējams personas datu aizsardzības prasību pārkāpums.
Savukārt, ja tiks konstatēts, ka CSDD nav īstenojusi atbilstošus personas datu aizsardzības pasākumus vai nav izpildījusi citus tai noteiktos pienākumus, inspekcija var piemērot korektīvo līdzekli un naudas sodu.
Par pārbaudes rezultātiem un turpmāko rīcību inspekcija sola informēt pēc tās pabeigšanas.
Ņemot vērā notikušo, DVI aicina iedzīvotājus būt piesardzīgiem, īpaši saņemot e-pastus, īsziņas, zvanus vai cita veida saziņu, kas šķietami veikta CSDD vārdā. Inspekcija arī aicina rūpīgi pārbaudīt e-pasta, īsziņas vai cita veida saziņas sūtītāju, neklikšķināt uz aizdomīgām saitēm un neatvērt nezināmas izcelsmes pielikumus, būt īpaši piesardzīgiem, ja tiek lūgts ievadīt paroles, maksājumu karšu datus, veikt maksājumu vai steidzami veikt citas darbības, bet pirms saites atvēršanas pārbaudīt mājaslapas adresi un pārliecināties, ka domēns atbilst organizācijai, kuras tīmekļa vietni vēlaties apmeklēt.
Šaubu gadījumā DVI aicina informāciju pārbaudīt, CSDD pakalpojumiem piekļūstot patstāvīgi “e.csdd.lv” vai izmantojot lietotni, kas ierīcē uzstādīta pirms incidenta, nevis izmantojot saņemtajā ziņā ievietoto saiti.
Ja persona uzskata, ka personas datu aizsardzības pārkāpuma dēļ tai ir nodarīts materiāls vai nemateriāls kaitējums, tai ir tiesības civilprocesuālā kārtībā prasīt kaitējuma atlīdzinājumu no pārziņa. Inspekcija nevērtē, vai personai pienākas kompensācija, un neveic tās izmaksu.
Jau ziņots, ka kiberincidentu novēršanas institūcijas “Cert.lv” vadītājas vietnieks Varis Teivāns informēja, ka kiberuzbrukumā CSDD iegūti 1,2 miljonu cilvēku personas dati un aptuveni 200 000 juridisko personu dati. Dati iegūti no direkcijai veiktajiem maksājumiem pēdējo 18 gadu laikā.
Pēc Teivāna paustā, izmeklēšanā konstatēts, ka uzbrukums noticis, izmantojot ievainojamību internetam pieejamā CSDD sistēmā, turklāt nav ievērotas vairākas Ministru kabineta noteiktās prasības A klases informācijas sistēmām, tostarp prasības par daudzfaktoru autentifikāciju un ielaušanās testiem.
Savukārt premjers iepriekš norādīja, ka CSDD valdei un padomei būtu jāuzņemas pilna atbildība par notikušo, tādēļ viņš uzdevis satiksmes ministram vērtēt amatpersonu atbilstību ieņemamajiem amatiem. Premjers arī neizslēdza, ka uzbrukums varētu būt bijis ārvalsts īstenots hibrīduzbrukums Latvijas kritiskajai infrastruktūrai.
