Anotācija (ex-ante)

Lai gan CVD platformas popularitāte pēdējā laikā ir augusi, to joprojām izmanto mazs skaits organizāciju (publicētas tikai 20 programmas). Tas liecina, ka koordinētas ievainojamību atklāšanas process Latvijā vēl ir agrīnā brieduma pakāpē un organizāciju uzticēšanās tā sauktajiem ētiskajiem hakeriem ir zema. Kūtras organizāciju aktivitātes CVD platformā rezultātā personām, kas darbojas kā drošības pētnieki, netiek nodrošināts pietiekams tiesiski drošs pētniecības lauks, jo darbība ārpus oficiāli reģistrētām programmām CVD platformā šādām personām rada tiesiskos riskus. Tā kā iztrūkst regulējuma, kas vispārīgi leģitimizē labticīgu ievainojamību atklāšanu un noteic pamatprincipus šādai darbībai, ziņošana par atklātajām ievainojamībām nereti tiek uztverta kā uzbrukums vai likumpārkāpums, izraisot konfliktus starp pētniekiem un organizācijām. Šāda prakse vājina kiberdošību, jo neveicina labticīgu personu iesaisti koordinētas ievainojamību atklāšanas procesā. Labticīga persona, atklājot ievainojamību, var izvēlēties par to neziņot, apzinoties, ka tās ziņojumu organizācija var uztvert negatīvi - kā apdraudējumu un likumpārkāpumu. Vienlaikus arī iztrūkst regulējums, kas noteic pienākumu organizācijām pieņemt un atbilstoši risināt arī tādus ievainojamības ziņojumus, kas saņemti tieši no personām (nevis centralizēti no CERT.LV), kā rezultātā praksē šādi ziņojumi var tikt atstāti bez ievērības un radīt drošības draudus.

Likumprojekts nosaka tiesisko ietvaru labticīgai ievainojamību atklāšanai Nacionālās kiberdrošības likuma subjektu informācijas sistēmās un elektronisko sakaru tīklos. Likumprojekts paredz papildināt Nacionālās kiberdrošības likuma 39. pantu ar jaunu pirmo daļu, kura ietver vispārīgu atļauju personām piekļūt subjekta informācijas sistēmā vai elektronisko sakaru tīklā esošajiem datiem nolūkā atklāt ievainojamību subjekta informācijas sistēmā vai elektronisko sakaru tīklā. Vienlaikus šī atļauja ir ierobežota, lai ievainojamību atklāšana neradītu nesamērīgu slogu subjektiem, neradītu apdraudējumu to interesēm un drošībai.  Noteikts, pirmkārt, ka personai atļauts veikt tikai tādas darbības, kas ir nepieciešamas ievainojamību identificēšanai, pārbaudei un ziņošanai. Minētais nozīmē, ka persona ievēro minimālismu savās darbības. Līdzko personai ir pietiekams informācijas minimums, lai identificētu, pārbaudītu un ziņotu par ievainojamību, persona savas darbības pārtrauc. Konstatēto ievainojamību nedrīkst izmantot, lai pārbaudītu tās ietekmi vai piekļūtu vēl vairāk datiem un informācijai, lai izgūtu, grozītu vai dzēstu informāciju. Otrkārt, personai atļauts veikt tikai tādas darbības, kas nerada nesamērīgu slogu subjekta informācijas sistēmai vai elektronisko sakaru tīklam. Minētais ietver aizliegumu izmantot pakalpojuma atteices uzbrukumus, sociālās inženierijas un paroļu minēšanas uzbrukumus, kā arī citas darbības, kas var novest pie subjekta darbības traucējumiem un būtiskas sistēmu darbības palēnināšanās. Treškārt, personai atļauts veikt tikai tādas darbības, kas neapdraud subjekta informācijas sistēmas vai elektronisko sakaru tīkla drošību, datu konfidencialitāti, integritāti vai pieejamību un subjekta darbības nepārtrauktību. Minētais nozīmē, ka subjektu dati nedrīkst tik izpausti, mainīti un to pieejamība nevar tikt ietekmēta. Tā pat arī subjekta informācijas sistēmas vai elektronisko sakaru tīkla drošība nedrīkst tikt vājināta, kā arī nedrīkst tikt apdraudēta subjekta darbības nepārtrauktība. Labticīgas ievainojamības atklāšanas ietvaros atbildība gulstas uz personu, kurai ir ļoti rūpīgi jāvērtē ikvienas savas darbības ietekme un atbilstība minētajiem pamatprincipiem. Jebkādas šaubas personai būtu jāvērtē kritiski un jātulko par labu subjekta interesēm. Personai ir jāatturas no darbības veikšanas, ja tai nav pārliecības, ka darbība ir droša, likumīga un samērīga.

Ja persona piekļūst subjekta informācijas sistēmā vai elektronisko sakaru tīklā esošajiem datiem, ievērojot likumprojektā noteikto, proti, tikai ievainojamības atklāšanai nepieciešamajā apmērā un veic tikai tādas darbības, kas atbilst likumprojektā ietvertajiem pamatprincipiem, persona nebūtu saucama pie kriminālatbildības, jo šāda darbība nebūtu kvalificējama kā patvaļīga piekļūšana automatizētai datu apstrādes sistēmai saskaņā ar Krimināllikuma 241. pantu, ņemot vērā to, ka likumprojektā ietvertais regulējums šādu piekļūšanu pieļauj un leģitimizē.

Likumprojekts paredz papildināt Nacionālās kiberdrošības likuma 39. pantu ar jaunu 2.¹ daļu, kas noteic pienākumu Nacionālās kiberdrošības likuma subjektam pieņemt un novērst arī tādus ievainojamības ziņojumus, kas saņemti no personas. Proti, gadījumā, ja persona būs konstatējusi ievainojamību un to nosūtījusi subjektam (nevis kompetentajai kiberincidentu novēršanas institūcijai kā to paredz Nacionālās kiberdrošības likuma 39. panta pirmā daļa), subjektam tiek noteikts pienākums par to informēt kompetento kiberincidentu novēršanas institūciju un veikt ievainojamības novēršanai nepieciešamās darbības saskaņā ar Nacionālās kiberdrošības likuma 40. pantu.

Likumprojektā ietvertais risinājums neaizstāj to, kā šobrīd darbojas CVD platforma un iespēju tajā publicēt organizāciju programmas, paredzēt tajās, piemēram, atlīdzību par ievainojamības atklāšanu, norādīt, kurus resursus jo īpaši organizācija aicina testēt, kā arī citus tamlīdzīgus norādījumus, tomēr vienlaikus subjektiem ir saistoši likuma līmenī nostiprinātie labticīgas ievainojamības atklāšanas principi, kas vispārīgi atļauj personām piekļūt un pētīt jebkurus subjekta resursus nolūkā atklāt ievainojamības. Tas nozīmē, ka subjekti nevar likt šķēršus vai ierobežot personu tiesības iesaistīties koordinētā ievainojamību atklāšanā. Pārāk ierobežojoši programmu nosacījumi koordinētas ievainojamību atklāšanas procesu padara mazāk efektīvu un atstāj plašākas iespējas ievainojamības atklāt ļaunprātīgiem uzbrucējiem, tāpēc nepamatoti un nesamērīgi ierobežojumi, kas pārsniedz likumā nostiprinātos principus, nebūtu pieļaujami.