Šī ir 2025. gada 30. aprīļa raksta 2026. gada 6. jūlijā papildinātā redakcija, reaģējot uz kiberincidentu Latvijas Valsts mežos. Atsevišķi punkti pārformulēti atbilstoši aktuālajai situācijai (daļa toreiz ierosinātā pa šo laiku jau ir ieviesta vai regulēta) un pievienots pārvaldības un tiesiskā ietvara slānis.
I. Pārvaldības un tiesiskais ietvars
Tehniskie pasākumi bez ieviešanas mehānisma paliek vēlmju saraksts. Kopš raksta pirmās redakcijas Latvijā ir izveidots tiesiskais ietvars, caur kuru lielāko daļu tālāk minēto priekšlikumu var un vajag ieviest:
Nacionālās kiberdrošības likums (NKDL) ir spēkā kopš 2024. gada 1. septembra un transponē ES NIS2 direktīvu. Tas nosaka būtisko un svarīgo pakalpojumu sniedzēju loku, incidentu ziņošanas pienākumus, ievainojamību ziņošanu un uzraudzības institūcijas — Nacionālo kiberdrošības centru (NKC) un Satversmes aizsardzības biroju, ar CERT.LV un MilCERT kā incidentu novēršanas institūcijām.
MK 2025. gada 25. jūnija noteikumi Nr. 397 „Minimālās kiberdrošības prasības” ir spēkā kopš 2025. gada 2. jūlija un regulē kiberdrošības pārvaldību, incidentu klasifikāciju un ziņošanu, šifrēšanu, kiberhigiēnu un kiberdrošības pārvaldnieka prasības.
Nepieciešamā rīcība.
Turpmākos tehniskos priekšlikumus ieviest nevis kā atsevišķas iniciatīvas, bet caur šo ietvaru: izvērtēt, vai MK noteikumu Nr. 397 prasību līmenis konkrētajā jomā (e-pasta autentifikācija, DNSSEC, šifrēšana, piekļuves pārvaldība) ir pietiekams, un, kur nav, — pastiprināt noteikumus vai izdot nozaru prasības. Katram pasākumam jānosaka atbildīgā iestāde, uzraugs ar sankciju tiesībām un termiņš. Bez tā obligātums paliek uz papīra.
II. NBS
1. Prioritāte — tās struktūras, kuras „karo” (pilda kaujas uzdevumus) jau šobrīd: izlūkošana, pretizlūkošana, kiberoperācijas. Mums nepieciešamas savas ofensīvās kiberspējas un integrēta Kiber/Intel/Psyops/EW vienība. Latvijas mērogam atbilstošais mērķis ir nacionāla signālu un kiberizlūkošanas fūzijas spēja, kas darbojas NATO izlūkošanas apmaiņas ietvarā, spēja pašiem vākt, apstrādāt un savienot SIGINT, kiber un atklāto avotu datus par mūsu reģionu.
2. NBS jābūt būtiskam inovāciju virzītājam. Vajadzīgs Izraēlas Talpiot programmas un Unit 8200 analogs — elites tehnoloģiju un izlūkošanas vienība, kas kalpo arī kā talantu kalve civilajam sektoram. Vajadzīgs AM un NBS galvenais inženieris.
III. Vispārējie pasākumi
1. „Zero trust” jeb nulles uzticēšanās arhitektūra
Esošās situācijas apraksts.
Arvien vairāk ierīču ir pastāvīgi pieslēgtas globālajam tīmeklim, lietotnes izmanto mākoņpakalpojumus, darbs notiek no dažādām vietām un ierīcēm. Uz tradicionālo perimetra aizsardzību vairs nevar paļauties.
Nepieciešamā rīcība.
Pāriet uz nulles uzticēšanās arhitektūru valsts iestāžu tīklos: obligāta katras ierīces, lietotnes un lietotāja autentifikācija, minimālo privilēģiju princips, tīklu mikrosegmentācija un pieņēmums, ka ielaušanās jau ir notikusi („assume breach”) — tātad arī iekšējā trafika verifikācija un žurnalēšana. Autentifikācijai vēlams izmantot aparatūras („dzelzisko”) atslēgu; kā variants — atslēga ir mobilais tālrunis ar drošo elementu. Atskaites punkts: ASV Aizsardzības ministrijas zero trust stratēģija un NIST SP 800-207.
2. eID kā universāls otrā faktora identifikators. Dalība FIDO aliansē
Esošās situācijas apraksts.
Vietējās sistēmas izmanto eID, bet ikdienā lietojam daudz vispārēja lietojuma programmu un pakalpojumu (Windows, Google u.c.), kam Latvijas eID atbalsta nav. Tur jāizmanto citu ražotāju aparatūras atslēgas (YubiKey, Feitian, Google Titan) vai mazāk droši līdzekļi.
Nepieciešamā rīcība.
LVRTC kā eID atslēgu nodrošinātājam veikt darbības, lai eID atbalstītu FIDO2/WebAuthn standartu un tiktu iekļauts FIDO atbalstīto rīku klāstā. Tad katram Latvijas iedzīvotājam būtu valsts nodrošināts universāls otrā faktora rīks, kas strādā arī ar privātajiem pakalpojumiem.
3. eID čipā integrētās šifrēšanas atslēgas. Publisko atslēgu repozitorijs
Esošās situācijas apraksts.
Latvijas eID nav integrētas individuālās šifrēšanas atslēgas, kā tas ir Igaunijā. Līdz ar to nav pieejas unikālai atslēgai, ko izmantot dažādās lietotnēs savas informācijas šifrēšanai un šifrētai saziņai.
Nepieciešamā rīcība.
Integrēt eID šifrēšanas atslēgu pāri un izveidot publisko atslēgu repozitoriju (lai jebkurš var iegūt adresāta publisko atslēgu šifrēšanai). Vienlaikus jau no sākuma jādefinē atslēgu dzīvescikla politika — Igaunijas pieredze rāda, ka šī ir vieta, kur sistēmas klūp. Kartes nomaiņa nedrīkst nozīmēt piekļuves zaudēšanu vecajiem šifrētajiem datiem: vecās atslēgas saglabājamas atšifrēšanai tik ilgi, cik lietotājam nepieciešams, vai arī dati pāršifrējami ar jauno atslēgu un vecā pēc tam iznīcināma. Lietotājam jādod abas iespējas.
4. SPF, DKIM, DMARC un MTA-STS e-pastu drošībai. DNSSEC paplašināšana
Esošās situācijas apraksts.
E-pasta standarta risinājumi neļauj saņēmējam pārliecināties par sūtītāja identitāti — e-pastu ir relatīvi viegli viltot, un kaitnieks var izlikties par citu personu, pieprasot paroles vai pārskaitījumus. SPF, DKIM, DMARC un MTA-STS šo problēmu būtiski ierobežo, un tās ir lētas, nobriedušas tehnoloģijas.
DNSSEC nodrošina DNS atbilžu integritāti — ka domēna vārds nav pa ceļam viltots. Precizitātes labad: DNSSEC aizsargā DNS atbildi, nevis pašu lapu vai savienojumu — to dara TLS/HTTPS, un abi mehānismi viens otru papildina. DNSSEC arī nepasargā no pikšķerēšanas ar līdzīgiem domēniem (piemēram, „banka-lv.com”), un praksē validāciju veic interneta piekļuves sniedzēja rezolvers, tāpēc svarīga ir arī rezolveru puse.
Nepieciešamā rīcība.
Tiešās valsts pārvaldes iestādēm SPF, DKIM, DMARC un MTA-STS noteikt par obligātu; izvērtēt, vai MK noteikumu Nr. 397 prasību līmenis šeit ir pietiekams, un vajadzības gadījumā tās precizēt, attiecinot prasību arī uz NKDL subjektiem privātajā sektorā (vismaz tiem, kas sūta norēķinu informāciju klientiem). DNSSEC noteikt par obligātu visiem valsts iestāžu, pašvaldību un valsts/pašvaldību kapitālsabiedrību domēniem; privātajiem — ja domēns ievāc lietotāju datus vai publicē maksājumu informāciju. Paralēli popularizēt CERT.LV DNS ugunsmūri kā bezmaksas aizsargājošo DNS pakalpojumu iedzīvotājiem un organizācijām — tas praktiski nogriež piekļuvi zināmajām kaitnieku vietnēm arī tur, kur DNSSEC nepalīdz.
5. Droša ziņojumapmaiņas lietotne ar eID identitātes verifikāciju
Esošās situācijas apraksts.
Populāro ziņapmaiņas lietotņu (Signal, WhatsApp) kriptogrāfija pati par sevi ir spēcīga — Signal protokols ir nozares standarts, un sarunu partnera atslēgas var verificēt manuāli. Reālā nepilnība ir cita: neviena no tām nesasaista kontu ar juridisko identitāti. Nav veida, kā droši zināt, ka „VID darbinieks” vai „bankas pārstāvis” otrā galā tiešām ir tas, par ko uzdodas. Valsts un kritiskā sektora iekšējai saziņai turklāt nav vēlams būt atkarīgiem no ārvalstu platformu politikas.
Nepieciešamā rīcība.
Izveidot nacionālo ziņojumapmaiņas risinājumu uz atvērta standarta bāzes (Matrix ir dabiskā izvēle — uz tās bāzes darbojas Vācijas Bundesvēra BwMessenger un Francijas valdības Tchap) ar eID balstītu identitātes verifikāciju: lietotājs pēc izvēles var apliecināt savu juridisko identitāti, un iestāžu konti ir verificēti obligāti. Integrēt parakstīšanu un šifrēšanu ar eID atslēgām (3. punkts). Primārā mērķauditorija — valsts pārvalde un kritiskais sektors; iedzīvotājiem tas ir brīvprātīgs kanāls verificētai saziņai ar iestādēm.
6. SIM kartes ar iestrādātu paraksta sertifikātu un šifrēšanas atslēgām — kā izvēles iespēja
Esošās situācijas apraksts.
Mobilais eParaksts Latvijā balstās uz serverī glabātām atslēgām (HSM). Tas ir sertificējams un eIDAS izpratnē kvalificēts risinājums, taču atslēga fiziski neatrodas lietotāja rokās. SIM kartē (drošajā elementā) glabāta privātā atslēga nekad neatstāj lietotāja ierīci, un to nozagt ir nesalīdzināmi grūtāk — kompromitēt var tikai konkrēto fizisko karti, nevis centrālo serveri. Trūkums ir ērtība un atkarība no operatoru infrastruktūras, tāpēc Igaunijā Mobiil-ID lietotāju skaits ir krities par labu ērtākiem risinājumiem.
Nepieciešamā rīcība.
Ieviest SIM kartē (un eSIM drošajā elementā) glabātus paraksta un šifrēšanas sertifikātus kā brīvprātīgu izvēles iespēju tiem, kam vajadzīga paaugstināta drošība — amatpersonām, kritiskās infrastruktūras personālam, žurnālistiem, ikvienam, kurš apzināti izvēlas drošību ērtības vietā. Masveida risinājums tas nekļūs un tam nav jākļūst; svarīgi, lai iespēja pastāv un valsts to atzīst līdzvērtīgi citiem kvalificētajiem līdzekļiem.
7. eID kā universāla piekļuves karte
Esošās situācijas apraksts.
Iestādēm un uzņēmumiem darbinieku un apmeklētāju kontrolei jāievieš savas RFID kartes. Daļu tas attur, daļa pret to izturas pavirši, un piešķirt piekļuvi personai bez iepriekš izsniegta tokena ir sarežģīti. Vienlaikus visiem iedzīvotājiem kabatā jau ir valsts izsniegta viedkarte.
Nepieciešamā rīcība.
Paplašināt eID funkcionalitāti, lai to pēc izvēles varētu izmantot kā piekļuves karti: organizācija sistēmā ievada personas datus, un sistēma nepieciešamās publiskās atslēgas iegūst no LVRTC repozitorija. Neviens netiek piespiests — kam ērtāk atsevišķa caurlaide, tas lieto atsevišķu. Lai piekļuves funkcija neapdraudētu identitātes pamatfunkcijas, tā realizējama nodalīti: uz vienas kartes tehniski var izvietot atsevišķu bezkontakta čipu vai vismaz atsevišķu apletu ar neatkarīgām atslēgām (divu čipu hibrīdkartes ir nozares standarta prakse — kontaktu PKI čips plus atsevišķs bezkontakta piekļuves čips). Tad piekļuves sistēmas kompromitēšana neskar parakstu un autentifikāciju, un otrādi. Papildu arguments par labu nodalīšanai: eID čipu dzīvescikls pats par sevi ir risks — pēc 2026. gada 9. decembra Cosmo 8.1 mikroshēmas QSCD statusa zaudēšana var skart vairāk nekā 346 000 karšu. Jo funkcijas neatkarīgākas, jo mazāk viena čipa problēma paralizē pārējās.
8. Pāreja uz IPv6
Esošās situācijas apraksts.
Globāli IPv4 adreses ir izsmeltas, un problēma tiek risināta ar adrešu translāciju (NAT/CGNAT), kur viena publiskā adrese apkalpo daudzus lietotājus. NAT pats par sevi drošību nesamazina, bet tas būtiski apgrūtina atribūciju un incidentu izmeklēšanu — žurnālos daudzi lietotāji izskatās kā viens, un bez precīzas portu žurnalēšanas vainīgo identificēt nevar.
Nepieciešamā rīcība.
Pāriet uz IPv6 valsts un pašvaldību sektorā, primāri sistēmās, kur notiek darbības ar ierobežotas pieejamības informāciju un kur atribūcija ir kritiska. Pāreja veicama apzināti no drošības viedokļa: IPv6 ienes savus riskus (duālā steka nekonsekventas ugunsmūra politikas, jauni protokola mehānismi), tāpēc tā ir infrastruktūras modernizācija ar drošības prasībām, nevis drošības pasākums pats par sevi.
9. Uzbrūkošās kiberspējas
Esošās situācijas apraksts.
Latvijā nav ofensīvo kibervienību. Ja tikai aizsargāsimies, ienaidnieks uzspiedīs kauju tur un tad, kad pats vēlēsies. Ir jāspēj uzbrukt un laikus jāiefiltrējas pretinieka infrastruktūrā. Kiberoperācijas vairs nestrādā pašas par sevi — tā ir kombinācija no CYBER, INTEL, PSYOPS, SIGINT, EW un SPECOPS.
Nepieciešamā rīcība.
Attīstīt struktūras ar ofensīvām kiberspējām, visdrīzāk uz AM kibervienību bāzes pēc analoģisku ASV un Izraēlas bruņoto spēku vienību parauga, ciešā sasaistē ar II sadaļas 1. punktā minēto fūzijas spēju.
10. Kvantu gadījumskaitļu ģeneratoru integrācija iekārtās
Esošās situācijas apraksts.
Gadījumskaitļi šifrēšanai lielākoties tiek ģenerēti algoritmiski; vāja entropija vai kompromitēts ģenerators var būtiski vājināt šifrēšanu. Kvantu ģenerators dod fizikāli īstus gadījumskaitļus (Dienvidkoreja to ievieš patēriņa ierīcēs).
Nepieciešamā rīcība.
Izvērtēt kvantu gadījumskaitļu ģeneratoru integrāciju sistēmās, kur apstrādā ierobežotas pieejamības informāciju. Jāņem gan vērā, ka tas ir samērā rets uzbrukuma vektors — prioritāte zema, ieviešams dabiskā iekārtu atjaunināšanas ciklā, ne kā atsevišķa programma.
11. Pāreja uz pēckvantu kriptogrāfiju; kvantu droši kanāli kā pakalpojums
Esošās situācijas apraksts.
Kvantu skaitļošanas attīstība apdraud šodienas publiskās atslēgas kriptogrāfiju. Pat ja pilnvērtīgi kvantu datori neparādīsies drīz, šifrētā informācija ar lielu varbūtību tiek uzkrāta jau tagad, lai to atšifrētu vēlāk („harvest now, decrypt later”). Atbilde uz šo draudu jau ir standartizēta: NIST pēckvantu kriptogrāfijas standarti FIPS 203, 204 un 205 (ML-KEM, ML-DSA, SLH-DSA) publicēti 2024. gada augustā, un ES koordinētais ceļvedis paredz augsta riska sistēmu migrāciju līdz aptuveni 2030. gadam. Pēckvantu kriptogrāfija (PQC) ir obligātā bāze — tā aizsargā visu trafiku jebkurā kanālā, arī jau pārtvertos datus pret atšifrēšanu nākotnē.
Kvantu atslēgu izplatīšana (QKD) šo bāzi papildina ar vēl vienu slāni fiksētiem punkts–punkts posmiem: pastāvīgu simetrisko atslēgu apmaiņu, kuras drošība nebalstās skaitļošanas pieņēmumos. Latvijā infrastruktūra jau top: LVRTC kopā ar Tet, LU MII un VAS „Elektroniskie sakari” EuroQCI ietvaros ir izveidojis nacionālo eksperimentālo QKD tīklu (LatQN), un Lat-LitQN projekts līdz 2028. gadam pilotē pārrobežu savienojumu ar Lietuvu. Jārēķinās ar tehnoloģijas ierobežojumiem: darbība tikai punkts–punkts dedicētā šķiedrā līdz aptuveni 100 km bez starpmezgliem; starpmezglos atslēga eksistē atklātā veidā, tāpēc tie jāizvieto tikai fiziski apsargātos objektos; komerciālās iekārtas ir agrīnā brieduma pakāpē, un pret tām ir demonstrēti praktiski implementācijas uzbrukumi (piemēram, detektoru apžilbināšana, kas ļauj iegūt atslēgu, neradot pamanāmu kļūdu līmeni), tāpēc QKD nekad nedrīkst būt vienīgais slānis.
Nepieciešamā rīcība.
Pirmkārt — kriptogrāfijas inventarizācija valsts sektorā un NKDL subjektiem: kur, kādi algoritmi un protokoli tiek lietoti. Otrkārt — migrācijas plāns uz pēckvantu algoritmiem ar termiņiem, sākot ar ilgmūžīgiem sensitīviem datiem un ierobežotas pieejamības informāciju. Treškārt — kriptoelastības prasība jaunos iepirkumos: sistēmām jāspēj algoritmus nomainīt bez pārbūves.
Ceturtkārt — QKD attīstīt nevis kā katras iestādes iekārtas, bet kā LVRTC pakalpojumu uz nacionālās optiskās maģistrāles: kvantu drošs kanāls, ko saviem fiksētajiem punkts–punkts savienojumiem abonē datu centri (primārā un rezerves centra replikācija ir piemērotākais lietojums), bankas, telekomunikāciju operatoru maģistrālie posmi un valsts iestādes caur valsts vienoto tīklu. Viens operators ar kompetentu personālu apkalpo visus — atsevišķām iestādēm savas iekārtas un inženieri nav vajadzīgi. Obligāts nosacījums: vienmēr hibrīdrežīms, kur sesijas atslēgu atvasina gan no QKD, gan no PQC komponentes, — tad viena slāņa kompromitēšana neatver pārējos.
Piektkārt — NBS stacionāro objektu tīklam veidojams atsevišķs segments: bāzu tīkls Latvijā ir pietiekami blīvs, lai posmi starp bāzēm iekļautos bezretranslatoru attālumā, un starpmezgli izvietojami apsargātās bāzēs, kur uzticamā mezgla fiziskās drošības pieņēmums ir izpildīts. Katrā mezglā jānodrošina atslēgu pārvaldības disciplīna (iekšējās informācijas risks pastāv arī bāzēs, un mezglu skaits risku summē), un slānis jāprojektē ar automātisku atkāpšanos uz PQC — kara apstākļos bāzes un starpbāzu šķiedra ir prioritāri mērķi, bet PQC darbojas jebkurā kanālā, ieskaitot radio un satelītu sakarus.
12. Numuru viltošanas (CLI spoofing) apkarošana
Esošās situācijas apraksts.
Krāpnieki zvana ar viltotiem Latvijas numuriem, pārsvarā caur ārvalstu tīkliem. Operatori bloķēšanu jau veic: LMT 2026. gada sākumā ieviesa viltoto numuru automātiskas bloķēšanas sistēmu, un starp LMT, Bite, Tele2 un Tet testa režīmā darbojas savstarpēja zvanu pārbaude reāllaikā — ja numurs neeksistē vai atrodas Latvijā, bet zvans ienāk no ārzemēm, tas tiek bloķēts. Taču tas viss notiek brīvprātīgi, katram operatoram ar savu prioritāti, un mazie operatori un tranzīta starpsavienojumi paliek ārpus sistēmas — tātad krāpniekiem paliek atvērtas durvis.
Nepieciešamā rīcība.
Pirmkārt — padarīt bloķēšanu obligātu un aptverošu: grozījumi Elektronisko sakaru likumā, kas dod SPRK pilnvaras noteikt saistošas numerācijas krāpniecības ierobežošanas prasības visiem operatoriem, ieskaitot mazos un tranzīta sniedzējus, pēc Somijas parauga, kur regulators noteica obligātu viltotas Latvijas (attiecīgi — Somijas) numerācijas bloķēšanu starptautiskajos starpsavienojumos. GSM vārteju (SIM-box) izmantošanu regulēt precīzi, nevis aizliegt iekārtu kā tādu — leģitīmi lietojumi (uzņēmumu iekšējā telefonija, zvanu centri) pastāv: aizliegta ir vārteju izmantošana numerācijas maskēšanai un starptautiskā tranzīta apiešanai, savukārt leģitīmai izmantošanai ieviešama atsevišķa reģistrācija SPRK, izmantoto numuru deklarēšana un kontrole; nereģistrēta vārteja ar krāpniecības pazīmēm (kartes, kas nepārvietojas, nelieto datus, bet veic simtiem izejošo zvanu dienā) operatoram jābloķē. Otrkārt — kā papildslāni lietotāja pusē attīstīt zvanītāja kategorijas indikāciju (privātais numurs / uzņēmums / iestāde / priekšapmaksas karte / ārzemju numurs), lai zvans, kas uzdodas par Latvijas banku, bet nāk kā ārzemju numurs, uzreiz izgaismojas. Operatoru līmeņa bloķēšana aizsargā visus, arī pogu telefonu lietotājus; lietotne — tos, kas to uzstādījuši.
13. Industriālo vadības sistēmu (OT/ICS) drošība
Esošās situācijas apraksts.
Iepriekšējie punkti ir IT-centriski, bet Latvijas smagākais kiberrisks ir operacionālajās tehnoloģijās: elektrotīkla dispečervadība, ražotņu un apakšstaciju vadības sistēmas, ūdensapgāde, dzelzceļa signalizācija. Pēc atslēgšanās no BRELL frekvences vadība ir pilnībā mūsu un Baltijas atbildība, un veiksmīgs uzbrukums vadības sistēmām var izraisīt fiziskas sekas, ko IT incidents nekad neradīs.
Nepieciešamā rīcība.
Noteikt OT drošības prasības kā atsevišķu bloku kritiskās infrastruktūras subjektiem: IT un OT tīklu strikta segmentācija, OT protokolu monitorings, rezerves manuālās vadības procedūras un to regulāras mācības, piegādātāju attālinātās piekļuves kontrole. Iekļaut OT scenārijus nacionālajās kibermācībās.
14. Piegādes ķēdes drošība un augsta riska piegādātāju ierobežošana
Esošās situācijas apraksts.
Nulles uzticēšanās arhitektūra nepalīdz, ja aparatūra vai programmatūra ir kompromitēta jau piegādes brīdī. ES 5G rīkkopa dod precedentu augsta riska piegādātāju izslēgšanai, bet princips attiecināms plašāk — uz visu kritiskās infrastruktūras un valsts sektora IKT iepirkumu.
Nepieciešamā rīcība.
Iepirkumu prasībās valsts sektoram un NKDL subjektiem iestrādāt piegādes ķēdes riska vērtēšanu: izcelsmes valsts un īpašnieku pārbaude, programmatūras sastāvdaļu saraksti (SBOM), aizliegums kritiskajās sistēmās izmantot naidīgu valstu jurisdikcijā kontrolētu produkciju. Sasaistīt ar ES Kibernoturības akta (CRA) prasībām, kas ražotājiem uzliek drošības pienākumus produktu līmenī.
15. Sakaru rezerves kanāli un datu nepārtrauktība
Esošās situācijas apraksts.
Baltijas jūras zemūdens kabeļu incidenti pēdējos gados parādījuši, ka savienojamība ar pārējo Eiropu ir fiziski ievainojama. Vienlaikus valsts kritiskie reģistri — Iedzīvotāju reģistrs, Zemesgrāmata, Uzņēmumu reģistrs — fiziski atrodas valsts teritorijā, kas konvencionāla konflikta scenārijā ir risks pats par sevi.
Nepieciešamā rīcība.
Pirmkārt, satelītu rezerves kanāli valsts pārvaldes un kritiskās infrastruktūras vajadzībām, izmantojot ES GovSatCom un topošo IRIS² mākslīgo zemes pavadoņu floti, ar iepriekš noslēgtiem līgumiem un regulāri testētām pārslēgšanās procedūrām. Otrkārt, datu vēstniecība pēc Igaunijas parauga (Igaunijas datu vēstniecība darbojas Luksemburgā): kritisko reģistru autoritatīvas, juridiski atzītas kopijas drošā sabiedrotā valstī, lai valstiskums datu līmenī ir saglabājams arī teritorijas apdraudējuma gadījumā.
16. Kiberdrošības cilvēkkapitāls ārpus elites vienībām
Esošās situācijas apraksts.
MK noteikumu Nr. 397 ieviešanas šaurais kakls ir cilvēki: kiberdrošības pārvaldnieku un tehnisko speciālistu tirgū trūkst simtiem, un viens pārvaldnieks drīkst apkalpot ierobežotu skaitu organizāciju. NBS elites vienības (II sadaļa) šo masveida vajadzību nesedz.
Nepieciešamā rīcība.
Valsts apmaksāta kiberdrošības pārvaldnieku sagatavošanas un sertifikācijas programma ar saistību noteiktu laiku strādāt Latvijas subjektu labā; Kiberzemessardzes paplašināšana kā rezerves un brīvprātīgo kompetenču bāze, kas miera laikā palīdz pašvaldībām un mazajiem subjektiem; kiberhigiēnas apmācības sasaiste ar visaptverošās valsts aizsardzības apmācību saturu.
17. Koordinēta ievainojamību atklāšana un drošības pētniecības aizsardzība
Esošās situācijas apraksts.
NKDL jau paredz ievainojamību ziņošanas kārtību subjektiem. Taču godprātīgi drošības pētnieki, kas ievainojamību atrod paši, joprojām riskē ar juridiskām sekām, un tas dzen atradumus pagrīdē vai uz ārvalstu platformām.
Nepieciešamā rīcība.
Skaidrs tiesiskais drošības pētniecības regulējums: godprātīga, koordinēta ievainojamības atklāšana noteiktos rāmjos nav sodāma. Valsts koordinēta atlīdzību (bug bounty) programma prioritārajām valsts sistēmām, sākot ar publiski pieejamajiem e-pakalpojumiem.
18. Nacionālā anti-DDoS spēja
Esošās situācijas apraksts.
Politiski motivēti pakalpojumatteices uzbrukumi valsts vietnēm ir kļuvuši par standarta spiediena rīku, un to intensitāte prognozējami pieaug ap vēlēšanām un krīzes brīžiem — tieši tad, kad iedzīvotājiem visvairāk vajadzīga piekļuve oficiālajai informācijai un pakalpojumiem.
Nepieciešamā rīcība.
Centralizēta trafika tīrīšanas un satura piegādes aizsardzība visiem valsts un pašvaldību e-pakalpojumiem un oficiālajiem informācijas kanāliem kā kopīgs pakalpojums (nevis katra iestāde par sevi), ar iepriekš sagatavotu paaugstinātas gatavības režīmu vēlēšanu un krīžu periodiem un regulārām slodzes mācībām.
Arhitektūras pamatprincips — vietējā un ārvalstu trafika nodalīšana: ārvalstu pieprasījumus apkalpo atsevišķi priekšgala serveri (atsevišķi tīkla prefiksi un ieejas punkti), lai masveida DDoS no ārzemēm nogāž tikai ārvalstu ieeju, bet Latvijas abonentiem, kuru trafiks ienāk caur vietējiem starpsavienojumu punktiem, pakalpojums turpina darboties. Lietotājiem ārpus robežām uzbrukuma laikā būs traucējumi, bet tas nav tik kritiski kā pakalpojumu zudums iedzīvotājiem valstī.
Nodalīšanai ir arī otrs ieguvums: vietējām adresēm tīrīšanu un detekciju izveidot ir krietni vienkāršāk. Latvijas trafiks nāk no zināma, ierobežota adrešu kopuma un dažiem zināmiem operatoriem, tam var uzturēt normālas slodzes bāzes profilu, un anomālijas avotu var bloķēt tieši pie operatora reāllaika sadarbībā; ārvalstu ieejai šādu iespēju nav, tāpēc tā balstās rupjākos mehānismos un lielākā tīrīšanas jaudā. Divas praktiskas piebildes: pilsoņiem ārvalstīs (diaspora, vēstniecības) saglabājams prioritārs ceļš caur autentificēto slāni — lietotājs, kas ienāk ar eID vai eParaksts mobile, apkalpojams arī uzbrukuma režīmā; un jārēķinās, ka botu tīklos ir arī Latvijas IP adreses un VPN, tāpēc ģeogrāfiskā nodalīšana un vietējā detekcija risku samazina, bet trafika tīrīšanu neaizstāj — mehānismi lietojami kopā.
Nav komentāru:
Ierakstīt komentāru