Rīcība IKT drošības nepilnības (ievainojamības) konstatēšanas gadījumā
Īstenojot Nacionālās kiberdrošības likumā noteiktos uzdevumu, Kiberincidentu novēršanas institūcijai (CERT.LV) ir tiesības pieprasīt un saņemt no subjektiem, valsts un pašvaldību institūcijām un privāto tiesību juridiskajām personām informāciju par ieviestajām informācijas un komunikācijas tehnoloģiju (tostarp tīklu un informācijas sistēmu) drošības prasībām, identificētajām ievainojamībām un kiberapdraudējumiem (Nacionālās kiberdrošības likuma 11.pants).
Konstatējot informācijas sistēmā vai elektronisko sakaru tīklā ievainojamību, persona nekavējoties, bet ne vēlāk kā 5 darbdienu laikā, iesniedz ievainojamības atklāšanas ziņojumu kompetentajai kiberincidentu novēršanas institūcijai.
Par atklāto ievainojamību paziņo:
- rakstot e-pastu uz cert
- CERT.LV uzturētajā koordinētas ievainojamību atklāšanas platformā cvd.cert.lv
- Telefoniski +371 67085888
Ievainojamības atklāšanas ziņojumā iespēju robežās lūdzam iekļaut šādu informāciju:
- ievainojamības konstatēšanas datumu un laiku (ja iespējams);
- ziņas par informācijas sistēmu vai elektronisko sakaru tīklu, kurā konstatēta ievainojamība;
- ievainojamības aprakstu;
- ievainojamības konstatēšanai izmantotās metodoloģijas vai veikto darbību secības aprakstu;
- ievainojamības atklāšanas ziņojuma iesniedzēja kontaktinformāciju;
- citas ziņas, ko ievainojamības atklāšanas ziņojuma iesniedzējs uzskata par nepieciešamām konstatētās ievainojamības identificēšanai un novēršanai.
CERT.LV par konstatēto drošības nepilnību Subjektam (resursa turētajam vai pārvaldniekam) paziņo, nosūtot tā paziņotajam kiberdrošības pārvaldniekam informāciju e-pastā vai koordinētas ievainojamību ziņošanas platformā cvd.cert.lv (ja Subjekts ir reģistrējies platformā Iestādes statusā).
Vairāk par koordinētas ievainojamības atklāšanas procesu: https://www.cert.lv/lv/pakalpojumi#2-koordineta-ievainojamibu-atklasana
Subjekts kompetentās kiberincidentu novēršanas institūcijas noteiktajā termiņā, bet ne vēlāk kā 90 dienu laikā pēc informācijas saņemšanas veic ievainojamības novēršanai nepieciešamās darbības un par ievainojamības novēršanas gaitu informē kompetento kiberincidentu novēršanas institūciju. (Nacionālās kiberdrošības likuma 40.panta pirmā daļa).
Definīcijas:
ievainojamība — informācijas un komunikācijas tehnoloģiju vai to pakalpojumu vājums, uzņēmība pret tehniskām problēmām vai nepilnība, kas var tikt izmantota kiberapdraudējumam (Nacionālās kiberdrošības likuma 1.panta 6. punkts).
kiberapdraudējums — jebkādi iespējami apstākļi, notikums vai darbība, kas atbilst Eiropas Parlamenta un Padomes 2019. gada 17. aprīļa regulas (ES) 2019/881 par ENISA (Eiropas Savienības Kiberdrošības aģentūra) un par informācijas un komunikācijas tehnoloģiju kiberdrošības sertifikāciju (ar ko atceļ regulu (ES) Nr. 526/2013)) (turpmāk arī regula 2019/881 un Kiberdrošības akts) 2. panta 8. punktā noteiktajai definīcijai (Nacionālās kiberdrošības likuma 1.panta 9. punkts).
