Olavs Cers: vai pienācis nesavtīgo “balto hakeru” laiks?
Nesenie vērienīgie kiberuzbrukumi AS “Latvijas Valsts meži” un CSDD, kas ietekmēja uzņēmumu infrastruktūru un nopludināja milzīgu apjomu datu, liek uzdot jautājumu – ko darīt, lai šādu kiberuzbrukumu iespēju turpmāk mazinātu? Iespējams, palīdzīgu roku varētu sniegt labticīgie drošības pētnieki jeb tā dēvētie “baltie hakeri”. Taču, vai viņiem tas būtu jādara bez atlīdzības?
Līdz 28. augustam publiskai apspriešanai pieejami Aizsardzības ministrijas (AM) izstrādātie “Grozījumi Nacionālās kiberdrošības likumā”. Sagatavot normatīvo priekšlikumu “balto hakeru” iesaistes regulēšanai valsts kritiskās infrastruktūras aizsardzībā AM uzdeva Ministru prezidents.
Ko paredz likumprojekts?
Kā norādīts aprakstā, likumprojekts tieši skar labticīgos drošības pētniekus un kiberdrošības entuziastus, kas vēlas sniegt savas zināšanas un ieguldījumu nacionālās kiberdrošības stiprināšanai, jo likumprojekts vispārīgi leģitimizē ievainojamību atklāšanu un noteic minētajām personām adresētus un saistošus pamatprincipus.
Tomēr jāņem vērā, ka pašlaik personām, kas darbojas kā drošības pētnieki, netiek nodrošināts pietiekams tiesiski drošs pētniecības lauks, jo darbība ārpus oficiāli reģistrētām organizāciju programmām CVD (koordinētas ievainojamību atklāšanas) platformā tām rada tiesiskos riskus. Tas, savukārt, vājina kiberdrošību, jo neveicina labticīgu personu iesaisti koordinētas ievainojamību atklāšanas procesā. Labticīga persona, atklājot ievainojamību, var izvēlēties par to neziņot, apzinoties, ka tās ziņojumu organizācija var uztvert negatīvi.
Tieši šāda situācija bija izveidojusies, kad kiberdrošības entuziasts Raimonds Skuruls 2018.gadā informēja CSDD par tās informācijas sistēmas ievainojamību. Kā jau publiski plaši izskanējis, viņš nevis tika uzklausīts, bet gan par viņa veiktajām darbībām tika uzsākts kriminālprocess. Secīgi – Vidzemes apgabaltiesa februārī atzinusi izgudrotāju Raimondu Skurulu par vainīgu tajā, ka viņš bija atklājis drošības “caurumu” CSDD informācijas tehnoloģiju sistēmā, informējis par to un aicinājis par ieguldījumu sistēmas pārbaudē samaksāt viņam 1000 eiro, taču tas novērtēts kā izspiešana.
Līdz ar to jāatzīmē, ka šādi grozījumi Nacionālās kiberdrošības likumā ir ļoti aktuāli un, iespējams, tālāk virzāmi steidzamības kārtībā.
Vai “baltajiem hakeriem” pienāktos atlīdzība?
Zvērināts advokāts Olavs Cers, iepazīstoties ar likumprojektu un tā anotāciju, secina, ka tajos nav atrodams būtisks punkts, proti, kādā veidā varētu veicināt sabiedrības iesaisti dažādu informācijas sistēmu ievainojamības meklēšanā, piemēram, paredzot “baltajiem hakeriem” atlīdzību vai prēmiju par atrastajiem “robiem” informācijas sistēmās. Savu viedokli jau pirms divām nedēļām viņš pauda TV24 raidījumā “Preses klubs”: https://www.linkedin.com/feed/update/urn:li:activity:7496102537377411073
Protams, valsts var cerēt uz absolūtu brīvprātību informācijas sistēmu ievainojamības testēšanā, taču jāņem vērā, ka “baltie hakeri” ir ieguldījuši ne mazums laika un finanšu līdzekļu profesijas apguvē, un, visticamāk, jau saņem algu, veicot savus darba pienākumus dažādos IT uzņēmumos u.tml.
Līdz ar to būtu ieteicams likumprojekta tālākās izstrādes gaitā apsvērt iespēju šos kiberdrošības pētniekus un entuziastus arī atalgot par viņu ieguldījumu mūsu valsts informācijas sistēmu kiberdrošības veicināšanā!