Atzinums

Valsts informācijas sistēmu likuma 16.pants, uz kura pamata tiek gatavots šis TA, nosaka "integrētā valsts informācijas sistēmā ietilpstošo valsts informācijas sistēmu aizsardzības prasības", savukārt šī TA nosaukums tam neatbilst un runā par "daudzu" integrēto valsts informācijas sistēmu aizsardzības prasībām, nevis integrētajā valsts informācijas sistēmā ietilpstošām informācijas sistēmām, kas precīzāk atbilstu minētā likuma 16.pantā esošajam formulējumam.

-

No šīs redakcijas secināms, ka projekts nenosaka pašas integrētās valsts informācijas sistēmas aizsardzības prasības, bet tikai tajā ietilpstošo valsts informācijas sistēmu aizsardzības prasības. Tas nav korekti.
Papildus tam, ne vienmēr saistīto sistēmu aizsardzības un pieejamības prasības būtu nosakāmas vienlīdz augstā līmenī, jo atkarībā no to darbības loģikas, biznesa prasībām un realizētajiem datu apmaiņas mehānismiem, var nepastāvēt vajadzība pēc tik augstām prasībām, kas nozīmē, ka formālo prasību izpildei var tikt nelietderīgi tērēti valsts līdzekļi.
Prasībām saistītajām sistēmām ir jābūt sabalansētām - nevar būt, ka tiklīdz saistītā sistēma ietilpst integrētajā valsts informācijas sistēmā, tad prasības pret tās tehnisko izvietošanu un rezervēšanu tiek pielīdzinātas integrētajai valsts informācijas sistēmai. Jāņem vērā tomēr, kas tā ir par sistēmu, vai tā ir, piemēram, kritiskajā infrastruktūrā ietilpstoša sistēma, kāds ir tās definētais darba režīms un pieejamība - 8x5 vai 24x7. Vai sistēma, piemēram, nodrošina iestāžu operatīvo darbu un darbības koordināciju, un vai tā būtu jāaizsargā līdzvērtīgi integrētajai valsts informācijas sistēmai.

-

Šī TA 3 punktā pieminēts "arī ar tiem saistīto aizsardzības līdzekļu atbilstību šādām elektroenerģijas piegādes un nodrošinājuma prasībām". No 2.punkta redakcijas nav saprotams, vai tie ir attiecināmi, piemēram uz VESPC (LVRTC), kuri daudzām valsts iestādēm nodrošina "aizsardzības" pakalpojumus.

-

Sistēmas uzturētājs nevar nodrošināt saistīto aizsardzības līdzekļu atbilstību elektroenerģijas piegādes un nodrošinājuma prasībām, ja šo pakalpojumu sniedz trešā puse. Kā piemērs LVRTC sniegtais DDOS pakalpojums valsts iestādēm.

-

Nav viennozīmīgi skaidras aizsardzības metodes, kuras būtu pietiekošas šīs prasības izpildei.

-

Šādu aizsardzību jānodrošina, pieslēdzoties no interneta. Prasības piemērošana lokālā tīkla ietvaros būtu pārspīlēta un dārga.

-

Nav skaidrs, kas tiek saprasts ar "svarīgu procesu pieejamība tiem paredzētajos atbildes laikos". Kas tiek saprasts ar procesu? Ja tie ir izpildāmie procesi operētājsistēmas līmenī (tehniski), tad vairumā gadījumu tiem visiem nav definēti paredzamie atbildes laiki, kas var variēt atkarībā no noslodzes, ko ne vienmēr ir iespējams prognozēt. Prasība nebūs izpildāma praksē, tāpēc lūdzam to dzēst vai precizēt.

-

Šis ir pretrunā ar Ministru kabineta 28.07.2015. noteikumu Nr.442 "Kārtība, kādā tiek nodrošināta informācijas un komunikācijas tehnoloģiju sistēmu atbilstība minimālajām drošības prasībām" prasībām, kur pieejamības līmenis tiek noteikts, balstoties uz sistēmas pieejamības līmeņa vērtējumu atbilstoši minēto noteikumu 7.punktam.

-

Nav skaidrs, kas ietilpst pilnas sistēmas kopijā, jo tās uzbūve nav vienkārša, bet sarežģīta virtuālo serveru un dažāda veida datu uzglabāšanas risinājumu (sql, nosql), lietojumu serveru, virtualizētu tīkla iekārtu (ugunsmūri, balansētāji) un to augstas pieejamības klasteru (dublējošo mezglu un arbitru) kopums. Vai ar pilnu kopiju tiek saprasts tikai datu bāzes/žu saturs jeb dati, vai arī visu/daļēju virtualizēto infrastruktūras elementu kopijas? Nav skaidrs, kādēļ jāveic tik bieža (katru dienu) rezerves kopēšana sistēmu elementiem, kuri nenodrošina datu uzglabāšanu?

-

Testa vide ir pirms produkcijas vide, kurā tiek veiktas noteikti sistēmas funkcionālie un nefunkcionālie testi, bieži vien arī apmācības. Testa vidē nevar tikt atjaunoti un izmantoti reāli fizisko personu un citi sensitīvie dati, līdz ar ko atjaunošanas pārbaude uz testa vidi nav pieļaujama.

-

Gadījumā, ja sistēmas pārzinis ir nodevis sistēmas uzturēšanu (IKT infrastruktūras pakalpojumi, IS platformas administrēšana, serveru administrēšana) ārpakalpojumā vai funkciju veic cita valsts pārvaldes iestāde, sistēmas uzturētājs nevarēs veikt pilnvērtīgu sistēmas funkcionalitātes testēšanu un pārbaudi, jo tādas kompetences nebūs pieejamas. Šādos gadījumos jānosaka arī prasības sistēmas izstrādātājiem nodoršināt regulāru procedūru piegādi un atbalstu, lai nodoršinātu standarta programmatūras versiju nomaiņu (tostarp atjaunināšanu), pretējā gadījumā sistēmas uzturētājs to vienpersonīgi nevarēs izdarīt.

-

Monitorings tiek veikts nevis datu pārraides kanālam, bet tīkla interfeisa noslodzei.

-

Nav saprotams, kādēļ visām savietojamām sistēmām tiek piemērotas vienādas prasības pret rezerves kopēšanu. Katrai sistēmai atkarībā no tās uzbūves un izmantotajām tehnoloģijām var tikt piemēroti dažādi rezerves kopēšanas scenāriji.
Jebkurā gadījumā šī prasība nekādā mērā nenodrošina visu tandēmā esošo sistēmu integritāti.

-