Pēc vērienīgās CSDD datu noplūdes atbildības jautājums nonācis arī līdz uzņēmumam “Tet”, kuram CSDD bija uzticējusi informācijas sistēmu uzraudzību un datu plūsmas monitoringu. Kamēr nu jau bijusī CSDD vadība centās skaidrot notikušo ar “Tet” nepamanīto hakeru iekļūšanu sistēmā, ekonomikas ministrs Viktors Valainis pēc tikšanās ar “Tet” vadību norādījis – uzņēmums savas līgumsaistības ir izpildījis. Kiberuzbrukuma galvenā ievainojamība bijusi pašas CSDD pārvaldītajā lietotnē, kurai “Tet” nebija piekļuves.
Ar vainas gāšanu uz “Tet” savu amatu nosargāt centās tagad jau bijušais CSDD valdes priekšsēdētājs Aivars Aksenoks. 19. augusta rītā LTV pārraidīja viņa taisnošanos, ka hakeru iekļūšanu CSDD datu bāzē neesot pamanījis “Tet”, ar kuru CSDD ir līgums par CSDD informācijas sistēmu darbības uzraudzīšanu, tajā skaitā uzturot “ugunsmūri” pret neatļautu iekļūšanu šajās sistēmās un neatļautu darbību atpazīšanu. Tomēr hakeri pa datu bāzi darbojušies divas dienas, iegūstot datus no dokumentiem par 1,2 miljonu fizisko un 200 tūkstošu juridisko personu veiktajiem maksājumiem CSDD pēdējo 18 gadu laikā.
Līguma esamību apliecina Elektronisko iepirkumu sistēmā esoša informācija, ka līgums slēgts 2022. gada februārī uz pieciem gadiem par 8,9 miljoniem eiro bez pievienotās vērtības nodokļa un ka pagājušā gada pavasarī maksājumu kopsumma mazliet palielināta. “Mēs maksājam lielu naudu šim uzņēmumam katru mēnesi par šo uzraudzību,” uzsvēra A. Aksenoks.
Tomēr gan nozagto datu apjoms, gan CSDD bezpalīdzība datu sargāšanā bija tik kompromitējoši, ka valsts augstākās amatpersonas nepieļāva bieži piekoptos riņķa dančus ar roku un mutu plātīšanu, kā viena amatpersona jeb iestāde norāda uz citas amatpersonas jeb iestādes vainu, bet tā savukārt gan atbild ar pretapsūdzībām, gan iesaista šajā lokā vēl citus cilvēkus un juridiskās personas. Valsts prezidents Edgars Rinkēvičs par to, ka CSDD vadība nedrīkst turpināt darbu, norādīja jau 18. augustā. Nākamajā dienā Ministru prezidents Andris Kulbergs formulēja tādu pašu prasību ar vārdiem "vai nu jūs uzliekat atlūgumu galdā jau rītdien, vai nu rēķinieties ar sekām". Tajā pašā dienā E. Rinkēvičs nosūtīja vēstuli ģenerālprokuroram ar lūgumu Prokuratūras likumā paredzētajā kārtībā pārbaudīt CSDD amatpersonu rīcību datu drošības nodrošināšanā.
Tādā situācijā A. Aksenokam atlika prasties atstāt amatu un cerēt, ka tādā gadījumā viņu nesodīs bargāk kā tikai nemaksās algu kādu laiciņu, kamēr viss noklust, un viņš var atsākt riņķošanu pa valsts iestāžu vadītāju amatiem, kā vairākus gadu desmitus jau darījis. Savā ienākumu deklarācijā par pagājušo gadu viņš uzrādījis 121 634 eiro. To pašu, ko par A. Aksenoku, var attiecināt uz vēl diviem CSDD valdes nu jau bijušajiem locekļiem Daci Benhenu un Jāni Liepiņu, kā arī uz bijušo padomi, kurā priekšsēdētājs bija Kristiāns Godiņš un locekļi - Jānis Brazovskis un Māris Macijevskis.
Pārmetumus “Tet” publiski izteikušas amatpersonas atlaišana no darba pati par sevi pārmetumus neatspēko, tāpēc tas bija jāizdara kaut ar ministra goda vārdu. Proti, valsts augstākajiem vadītājiem bija pašiem jātiek skaidrībā un jādod ziņa gan valsts, gan privātajiem “Tet” klientiem, vai viņi var paļauties uz “Tet” pakalpojumiem. Tāpēc piektdien, 21. augustā, V. Valainis tikās ar "Tet" padomi un valdi, kā arī publisko aktīvu, tajā skaitā “Tet” pārvaldītāju "Possessor", un saņēma skaidrojumu, ka “Tet” ir izpildījis līgumu ar CSDD atbilstoši CSDD pasūtījumam. Proti, ka kiberuzbrukums CSDD noticis caur lietotni "med.csdd.lv", ko CSDD uzstādījusi un pārvaldījusi bez “Tet” līdzdalības. Viens no “Tet” pakalpojumiem CSDD tiešam ir datu plūsmas monitorings, taču hakeri bijuši pietiekami kvalificēti, lai kopētu datus tik lēni, ka datu zagšana neizraisīja datu plūsmas pieaugumu virs datu aprites līmeņa, kāds tas parasti ir CSDD datu bāzēs. CSDD nav piešķīris "Tet” pieeju “med.csdd.lv” lietotnes žurnālfailiem, tāpēc “Tet” nevarēja pamanīt datu plūsmu tieši no šīs lietotnes.
Piektdienas pēcpusdienā palaistā ziņa tāda, ka ir tomēr Latvijā uzņēmumi un speciālisti, uz kuriem paļauties, lai aicinājumi stiprināt kiberdrošību nepaliktu tukši jeb neizpildāmi saukļi.
V. Valainis uzsvēra, ka valsts iestādēm ir jāstiprina gatavība kiberdraudiem, jo kiberaizsardzībai jākļūst par vienu no būtiskākajām valsts prioritātēm. Tas nozīmē, ka kiberdrošības prasības jāizpilda tūlīt, nežonglējot ar valsts atļautajiem pārejas periodiem. Citiem vārdiem sakot, iestādēm jāatrod nauda šo prasību izpildīšanai, atsakoties no pierastākiem vai patīkamākiem naudas tērēšanas veidiem. CSDD noteikti nav vienīgā iestāde (pēc juridiskās formas SIA), kurā kiberdrošības līmenis ir zemākais no tā, ko vispār iespējams uzdot par valsts izvirzīto prasību ievērošanu.
"Tet" izpilddirektors Uldis Tatarčuks papildināja, ka šī incidenta mācībām jānoved pie konkrētām pārmaiņām valsts kiberdrošības stiprināšanā, plašāk iesaistot nozares profesionāļus kritiskās infrastruktūras aizsardzībā. Viņš norādīja, ka līdzšinējie secinājumi skaidro "Tet" atbildības tvērumu, taču tie nemaina "Tet" apņemšanos palīdzēt CSDD mazināt turpmākos riskus.
Viņš sacīja, ka "Tet" ir klienti gan no valsts sektora, gan no Ukrainas, jo šīs valsts kritiskā infrastruktūra atrodas "Tet" datu centros, kurai uzbrūkot vēl vairāk, kā arī "Tet" tehnoloģiski aizsargā Saeimu, tādēļ "Tet" ir nopietna atbildība un speciālistiem "vienmēr ir jābūt labā formā".
