Advokāts: Laba ziņa visiem, kuri pieprasa kompensācijas no CSDD datu noplūdes lietā
"Ja esat vērsušies vai vēl tikai plānojat vērsties ar prasību par kompensāciju saistībā ar augusta CSDD kiberincidentu, mums ir lieliski jaunumi. Mums vairs nav jāgaida Datu valsts inspekcijas (DVI) atzinums, lai pierādītu iestādes nolaidību! Jau šobrīd ir pilnīgi skaidrs, cik graujošus un būtiskus pārkāpumus datu aizsardzībā ir pieļāvusi CSDD," savā "Facebook" lapā raksta zvērināta advokāta Laura Klagiša birojs.
Advokāts Lauris Klagišs skaidro: "Nupat publicētais dokuments "Pabeigts CSDD kiberincidenta izvērtējums, apkopoti ieteikumi nepieciešamajiem uzlabojumiem _ Satiksmes ministrija.pdf" apstiprina smagus drošības trūkumus. Izvērtējums parāda, ka CSDD kiberdrošības pārvaldībā pieļautas vairākas kļūdas un neizdarības, reizēm formāla pieeja, kuru dēļ iespējas kiberuzbrukumam nebija pilnībā novērstas.
Lūk, spilgtākie fakti, kas norāda uz klaju nolaidību:
- Sākotnējo incidenta iespējamību radīja ievainojamība CSDD uzturētajā tīmekļa lietotnē med.csdd.lv.
- Tika konstatētas tādas tehniskas nepilnības kā nepilnīga drošības pārbaužu aptvere, nepietiekama tīkla aizsardzība un pat daudzfaktoru autentifikācijas trūkums.
- Uzbrucējs varēja ilgstoši un plašā apjomā iegūt datus, jo sistēmā nebija pietiekamu pieprasījumu apjoma kontroles un anomāliju identificēšanas mehānismu.
- Šī uzbrukuma rezultātā tika iegūti aptuveni 1,15 miljonu fizisko personu un līdz 200 tūkstošu juridisko personu dati.
Papildus tam tika konstatēta ilgstoša vēsturisko personas datu glabāšana, kas ir klajš datu apstrādes principu pārkāpums.
Satiksmes ministrijas komisija arī vērsa uzmanību uz kliedzošām problēmām ar ārpakalpojumu uzraudzību. Tiek secināts, ka no profesionāla drošības monitoringa pakalpojuma sniedzēja parasti tiek sagaidīts, ka tas spēj savlaicīgi identificēt un ierobežot neparastu, ilgstošu datu aktivitāti, lai nepieļautu masīvu datu izgūšanu. Tieši šī iemesla dēļ jau iepriekš esmu iesniedzis oficiālus informācijas atklātības pieprasījumus, pieprasot izsniegt CSDD un SIA "TET" IT infrastruktūras iepirkuma līgumu - atbildība par šāda mēroga datu sistēmas izgāšanos ir jāizvērtē līdz pašām saknēm. Šis Satiksmes ministrijas atzinums kalpo kā ļoti spēcīgs juridisks arguments. Iestādes nolaidība ir ne tikai nojaušama, bet tagad arī oficiāli dokumentēta un dod stingru pamatu veiksmīgai kompensāciju piedziņai jebkurā civiltiesiskā strīdā."
Jau ziņots, ka 2026. gada augustā notikušā kiberuzbrukumā tika iegūti aptuveni 1,15 miljonu fizisko personu un līdz 200 tūkstošu juridisko personu dati no CSDD transportlīdzekļu un to vadītāju valsts reģistra. Vienlaikus CSDD pakalpojumu darbība netika pārtraukta, uzbrukumā izmantotie piekļuves kanāli ir identificēti un bloķēti, bet incidenta izmeklēšana turpinās sadarbībā ar CERT.LV un tiesībsargājošajām iestādēm.
