PTAC brīdina - konstatēts iespējams datu drošības incidents sistēmā; iegūta amatpersonu un komersantu kontaktinformācija

Pievēršot īpašu uzmanību datu drošībai, PTAC informē par nesen konstatēto datu drošības incidentu vienā no PTAC pārziņā esošajām informācijas sistēmām. Ietekmētā informācijas sistēma ir "Attālinātā statistikas datu izgūšanas sistēma" (ASDIS). ASDIS ir C līmeņa drošības klases sistēma, kas ir informācijas sistēmas zemākais riska līmenis. Šo sistēmu PTAC izmanto licencējamo komersantu uzraudzības nodrošināšanai un tā atbilst valstī noteiktajām minimālajām kiberdrošības prasībām, ziņo PTAC.

ASDIS ir izvietota tīkla infrastruktūrā, kurai ir uzstādīta CERT.LV agrās brīdināšanas sensora (ABS) sistēma. PTAC uzskata, ka nestabilajā ģeopolitiskajā situācijā ir būtiski pastiprināt jebkuru tehnoloģisko resursu drošību, tam atrodot nepieciešamos finanšu līdzekļus, uz ko jau iepriekš Ministru kabineta rīcības sēdē par kiberdrošības jautājumiem ir norādījusi arī Ekonomikas ministrija.

Patlaban veiktā izmeklēšana liecina, ka incidenta rezultātā izgūti PTAC licencējamo subjektu, proti, patērētāju kreditēšanas pakalpojumu sniedzēju, parādu ārpustiesas atgūšanas pakalpojumu sniedzēju un komplekso tūrisma pakalpojumu sniedzēju, kontaktinformācija.

Izgūti 697 komersantu pārstāvju un 34 PTAC amatpersonu kontaktinformācija - vārds, uzvārds, e-pasts un tālruņa numurs. Vairumā gadījumu šī informācija jau ir citos publiskos reģistros, piemēram, Atvērto datu portālā.

Incidenta rezultātā nav apdraudēti uzraudzības dati, ko komersanti iesnieguši PTAC.

Pašreiz incidenta skartā sistēma ir slēgta. Par sistēmas nepieejamību PTAC nekavējoties informēja arī visus sistēmas lietotājus.

Plkst. 15:14 pievienots Datu valsts inspekcijas komentārs:

Datu valsts inspekcijā (DVI) aģentūrai LETA apliecina, ka PTAC par šo incidentu ir informējis datu uzraugus. Inspekcijā skaidro, ka, vērtējot šāda incidenta nopietnību no personas datu aizsardzības viedokļa, nozīme ir tam, kādi dati ir skarti, vai tie jau ir publiski pieejami, kā arī tam, kādas iespējamās sekas incidents var radīt konkrētajām personām.

Ņemot vērā šobrīd pieejamo informāciju, kā arī apstākli, ka iegūtie dati lielākoties jau ir publiski pieejami, DVI neesot pamata izdarīt secinājumu, ka incidents būtu radījis augstu risku datu subjekta tiesībām.