“Cert.lv”: CSDD IT sistēmā nebija veikti atbilstoši drošības pasākumi

Vidzemes apgabaltiesa februārī atzinusi par vainīgu izgudrotāju Raimondu Skurulu par to, ka viņš bija atklājis drošības "caurumu" Ceļu satiksmes drošības direkcijas (CSDD) informācijas tehnoloģiju (IT) sistēmā, informējis par to un aicinājis par ieguldījumu sistēmas pārbaudē samaksāt 1000 eiro, taču tas novērtēts kā izspiešana, aģentūra LETA noskaidroja tiesā.Tiesa piesprieda Skurulam naudas sodu 4290 eiro apmērā.Skuruls iesniedza kasācijas sūdzību par tiesas spriedumu, taču Augstākā tiesa (AT) vēl nav lēmusi par kasācijas tiesvedības ierosināšanu.Pērn AT lietu nodeva atkārtotai skatīšanai Latgales apgabaltiesā, norādot, ka tiesas lēmumā norādīts, ka apelācijas instances tiesa, atkārtoti izskatot lietu, nav ņēmusi vērā AT 2023. gada 20. jūnija lēmumā paustās atziņas šajā lietā, kas noveda pie nelikumīgas apsūdzētā stāvokļa pasliktināšanas.Proti, apelācijas instances tiesa jau 2022. gadā bija lēmusi, ka apsūdzētais nebija radījis Transportlīdzekļu un to vadītāju valsts reģistra sistēmas ievainojamību, bet gan to atklājis, turklāt uzturēt informācijas tehnoloģiju drošību un novērst sistēmas ievainojamību bija CSDD, nevis apsūdzētā pienākums. Par attaisnojošo apelācijas instances spriedumu kasācijas protestu iesniedza prokurors, kurš savā protestā neapstrīdēja šo tiesas argumentu par cēloņsakarības neesamību starp apsūdzētā noziedzīgajām darbībām un radītajiem zaudējumiem.Jau vēstīts, ka CSDD un Valsts policija (VP) 2018. gada novembrī paziņoja, ka esot atklājuši kādas personas nesankcionētu mēģinājumu piekļūt transportlīdzekļu reģistram un mēģinājumu izspiest naudu. VP Kibernoziegumu apkarošanas nodaļas amatpersonas tolaik sāka kriminālprocesu pēc Krimināllikuma 183. panta pirmās daļas, 241. panta trešās daļas un 15. panta ceturtās daļas, proti, par informācijas sistēmas darbības traucēšanas mēģinājumu un izspiešanas mēģinājumu mantkārīgos nolūkos.Policija toreiz aizturējusi Skurulu, kurš uz pāris dienām tika ievietots īslaicīgās aizturēšanas izolatorā. Skuruls ir radioinženieris un inženieris konstruktors, kuram savulaik par kādu izgudrojumu pasniegta Latvijas Zinātņu akadēmijas un Latvijas Patentu valdes prestižā Valtera Capa balva.Kā vēstīja laikraksts, 2018. gada oktobrī Skuruls zvanījis uz CSDD, nosaucis savu vārdu un informējis, ka viņš konstatējis iespējamu autorizācijas ievainojamību CSDD nodrošinātajos e-pakalpojumos saistībā ar "Transportlīdzekļu un to vadītāju valsts reģistru". Sazvanītie CSDD darbinieki vairākas reizes sūtījuši zvanītāju no vienas personas pie citas, līdz Skuruls palūdzis, lai ar viņu sazinās kāds konsultants, kas būtu kompetents šajā jautājumā un saprastu problēmas nopietnību.CSDD kā konsultantu saziņai ar Skurulu piesaistījis juridisku personu SIA "WeAreDots". Šī uzņēmuma vārdā ar Skurulu sazinājies IT drošības risinājumu grupas vadītājs Kaspars Līcis.Kad CSDD brīdinājumu par autorizācijas ievainojamību tomēr ņēmusi nopietni, tā paralēli sākusi sava reģistra drošības pārbaudi. Tam norīkoja trīs CSDD darbiniekus - programmētājus, kam pēc tam par virsstundu darbu tika samaksāti 3074,52 eiro. Pēc nedēļas darba viena ievainojamība tikusi atklāta, tikai CSDD speciālistiem nebijis skaidrs, vai tā ir tā pati, par kuru brīdināja Skuruls. Kā vēlāk izrādījās, tas bijis cits CSDD informācijas sistēmas defekts, bet savā ziņā līdzīgs, jo vienotās pieteikšanās modulī pastāvējusi iespēja autorizēties ar citas personas identitāti.Vienlaikus "WeAreDots" darbinieks Līcis turpinājis komunicēt ar Skurulu. Arī izgudrotājs, kuram bija radušās aizdomas par CSDD autorizācijas ievainojamību, tās atklāšanai bijis patērējis daudz stundu sava darba, tāpēc Skuruls uzskatījis, ka viņam savs ieguldījums nav jādāvina un viņš par savu pakalpojumu vēlējies 1000 eiro atlīdzību. Pēc saziņas "WeAreDots" noslēdzis līgumu ar Skurula uzņēmumu "Acoustic Power LAB". Līgumā bijis noteikts, ka vispirms Skuruls nosūtīs Līcim visus viņa rīcībā esošos materiālus par autorizācijas ievainojamību, tad "WeAreDots" to pārbaudīs un izvērtēs, vai CSDD drošības sistēmai tiešām ir tāda problēma. Konstatējot, ka ievainojamība ir reāla, Līcis dotu ziņu Skurulam, lai tas sava uzņēmuma vārdā izraksta rēķinu par 1000 eiro.Pēc tam, kad abas puses noslēgušas līgumu, to parakstot elektroniski, Skuruls pa e-pastu nosūtīja Līcim informāciju, atklājot nepilnību interneta vietnes "e-csdd.lv" autorizācijas mehānismā, kas ļāva iegūt neautorizētu pieeju darbībām. Skuruls esot izpētījis, kā darbojas šī ievainojamība, bet pats to neesot izmantojis, tāpēc par sistēmas darbības traucēšanas mēģinājumu, par ko viņš sākotnēji tika turēts aizdomās, apsūdzība Skurulam netika uzrādīta. Izgudrotājs ir pārliecināts, ka gadījumā, ja par šo ievainojamību uzzinātu kādas personas ar kriminālām tendencēm, tās varētu ne tikai iegūt visu informāciju no CSDD datu bāzēm, bet pat, piemēram, pārreģistrēt jebkuru transportlīdzekli no vienas personas uz jebkuru citu."Sadarbība" rezultējusies ar to, ka CSDD vadība oktobra nogalē vērsās ar iesniegumu Valsts policijā, kas uzsāka kriminālprocesu. Kā atzīmē laikraksts, Skurula situāciju lietā pasliktina tas, ka, komunicējot ar CSDD darbiniekiem, viņš izteicies - gadījumā, ja viņi neko nedarīs, viņš par "caurumu" drošības sistēmā informēs Latvijas sabiedrību, izmantojot tam plašsaziņas līdzekļus.2021. gada septembrī ar Rēzeknes tiesas spriedumu Skuruls tika atzīts par vainīgu un sodīts ar naudas sodu 12 minimālo mēnešalgu apmērā. Cietušais uzņēmums jeb CSDD uzskata, ka izgudrotājs tam ar savu informāciju par autorizācijas ievainojamību turklāt esot nodarījis būtisku materiālo kaitējumu 3459,52 eiro apmērā, kas veidojās kā darba samaksa trim CSDD programmētājiem, kuri nedēļas laikā tā arī neatrada "caurumu sistēmā", un CSDD samaksas uzņēmumam "WeAreDots" par konsultācijām.Apsūdzētais pirmās instances tiesas spriedumu pārsūdzēja Latgales apgabaltiesā, kas lēma viņu atzīt par nevainīgu un attaisnot. Ar tādu spriedumu mierā nebija prokurors, kurš ar kasācijas sūdzību vērsās Augstākajā tiesā. Trīs senatori lēma atcelt Latgales apgabaltiesas 2022. gada 2. jūnija spriedumu pilnībā un lietu nosūtīt jaunai izskatīšanai Latgales apgabaltiesā. Latgales apgabaltiesa nolēma atstāt spēkā Rēzeknes tiesas spriedumu, saskaņā ar kuru Skurulam jāmaksā naudas sods 8400 eiro, kā arī jākompensē CSDD 3459 eiro.

CSDD

CSDD kiberuzbrukums

Aktuāli

Vidzemes apgabaltiesa februārī atzinusi par vainīgu izgudrotāju Raimondu Skurulu par to, ka viņš bija atklājis drošības "caurumu" Ceļu satiksmes drošības direkcijas (CSDD) informācijas tehnoloģiju (IT) sistēmā, informējis par to un...

Izgudrotājs Skuruls par CSDD IT sistēmas "cauruma" atklāšanu saņem brangu naudas sodu

LETA

Tev varētu patikt

Ielādējam...