Vai pienācis “balto hakeru” laiks? 0
Nesenie vērienīgie kiberuzbrukumi AS “Latvijas Valsts meži” un CSDD, kas ietekmēja uzņēmumu infrastruktūru un nopludināja milzīgu apjomu datu, liek uzdot jautājumu – ko darīt, lai šādu kiberuzbrukumu iespēju mazinātu? Iespējams, palīdzīgu roku varētu sniegt labticīgie drošības pētnieki jeb tā dēvētie “baltie hakeri”.
Līdz 28. augustam publiskai apspriešanai pieejami Aizsardzības ministrijas (AM) izstrādātie “Grozījumi Nacionālās kiberdrošības likumā”. Sagatavot normatīvo priekšlikumu “balto hakeru” iesaistes regulēšanai valsts kritiskās infrastruktūras aizsardzībā AM uzdeva Ministru prezidents.
Kā norādīts aprakstā, likumprojekts tieši skar labticīgos drošības pētniekus un kiberdrošības entuziastus, kas vēlas sniegt savas zināšanas un ieguldījumu nacionālās kiberdrošības stiprināšanai, jo likumprojekts vispārīgi leģitimizē ievainojamību atklāšanu un noteic minētajām personām adresētus un saistošus pamatprincipus.
Nodot likuma grozījumus publiskai apspriešanai, AM aicina personas, jo īpaši labticīgos drošības pētniekus un kiberdrošības entuziastus (tā dēvētos “baltos hakerus”), kā arī Nacionālās kiberdrošības likuma subjektus iesūtīt viedokļus par šo likumprojektu vai priekšlikumus citam alternatīvam risinājumam koordinētas ievainojamību atklāšanas procesa pilnveidei.
Sākotnēji identificētās problēmas aprakstā norādīts, ka personām, kas darbojas kā drošības pētnieki, netiek nodrošināts pietiekams tiesiski drošs pētniecības lauks, jo darbība ārpus oficiāli reģistrētām organizāciju programmām CVD platformā tām rada tiesiskos riskus. Tas, savukārt, vājina kiberdošību, jo neveicina labticīgu personu iesaisti koordinētas ievainojamību atklāšanas procesā. Labticīga persona, atklājot ievainojamību, var izvēlēties par to neziņot, apzinoties, ka tās ziņojumu organizācija var uztvert negatīvi.
Tieši šāda situācija bija izveidojusies, kad kiberdrošības entuziasts Raimons Skuruls pirms vairākiem gadiem informēja CSDD par tās informācijas sistēmas ievainojamību. Kā jau publiski plaši izskanējis, viņš nevis tika uzklausīts, bet gan pret viņu tika uzsākts kriminālprocess par veiktajām darbībām.
Līdz ar to jāatzīmē, ka šādi grozījumi Nacionālās kiberdrošības likumā ir ļoti aktuāli un, iespējams, tālāk virzāmi steidzamības kārtībā.
Zvērināts advokāts Olavs Cers, iepazīstoties ar likumprojektu un tā anotāciju, secina, ka tajos nav atrodams būtisks punkts, proti, kādā veidā varētu veicināt sabiedrības iesaisti dažādu informācijas sistēmu ievainojamības meklēšanā, piemēram, paredzot “baltajiem hakeriem” atlīdzību vai prēmiju par atrastajiem “robiem” informācijas sistēmās. Savu viedokli jau pirms divām nedēļām viņš pauda TV24 raidījumā “Preses klubs”.
Protams, valsts var cerēt uz absolūtu brīvprātību informācijas sistēmu ievainojamības testēšanā, taču jāņem vērā, ka “baltie hakeri” ir ieguldījuši ne mazums laika un finanšu līdzekļu profesijas apguvē, un, visticamāk, jau saņem algu, veicot savus darba pienākumus dažādos IT uzņēmumos u.tml.
Līdz ar to būtu ieteicams apsvērt iespēju šos kiberdrošības pētniekus un entuziastus arī atalgot par viņu ieguldījumu mūsu valsts informācijas sistēmu un elektronisko sakaru tīklu kiberdrošības veicināšanā!
