Результаты проверки системы безопасности CSDD: многочисленные недостатки в управлении кибербезопасностью

Комиссия была создана по распоряжению министра сообщения Рихардса Козловскиса для выяснения причин киберинцидента и проверки эффективности в системе обнаружения угроз и реагирования, а также соответствия реализованных ДБДД технических и организационных мер. В отчете обобщены выводы и рекомендации по устранению уязвимостей и укреплению кибербезопасности.

Козловскис отметил, что в управлении кибербезопасностью ДБДД были допущены многочисленные ошибки и бездействие, а в отдельных случаях — формальный подход, из-за чего возможности для кибератаки не были полностью устранены. Недостатки выявлены в действиях как сотрудников учреждения, так и поставщиков внешних услуг. Оценка ответственности должностных лиц находится в компетенции правоохранительных органов.

Комиссия установила, что первоначальный доступ к информационным системам злоумышленнику обеспечила уязвимость в поддерживаемом ДБДД веб-приложении med.csdd.lv. Возможности своевременно устранить ее были ограничены рядом технических и организационных недостатков, включая неполный охват проверок безопасности, недостаточную защиту сети, отсутствие многофакторной аутентификации и недочеты при разработке ПО.

Также констатировано длительное хранение исторических персональных данных, оценку которому даст Государственная инспекция данных. Система контроля кибербезопасности в ДБДД существовала, однако не обеспечивала поставленных целей. Среди прочего выявлены недостаточный потенциал специалистов, неполный охват тестирования и аудитов, а также недостатки документирования и управления киберрисками.

После получения первоначального доступа злоумышленник мог длительное время и в больших объемах получать данные из-за отсутствия достаточного контроля количества запросов и механизмов выявления аномалий. Комиссия отметила, что от поставщика услуг мониторинга безопасности обычно ожидается способность своевременно выявлять и ограничивать необычную и продолжительную активность для предотвращения масштабного извлечения данных.

После обнаружения инцидента ДБДД выполнила предусмотренные нормативными актами обязанности по информированию компетентных государственных учреждений в установленные сроки.

Комиссия рекомендовала устранить выявленные риски кибербезопасности и защиты данных, оценить сроки хранения информации, обеспечить достаточный кадровый потенциал для выполнения функций кибербезопасности, пересмотреть и усовершенствовать договор с ООО «Tet», а также внедрить систему управления такими внешними услугами.

Комиссия не рассматривала возможную ответственность должностных лиц ДБДД — это входит в компетенцию правоохранительных органов. Отчет и материалы проверки будут им направлены.

Уже сообщалось, что в результате кибератаки на ДБДД в начале августа были получены персональные данные 1,2 млн человек и данные примерно 200 000 юридических лиц. Речь идет о данных платежей, совершенных на имя дирекции за последние 18 лет.

После призывов нескольких должностных лиц уйти в отставку такое решение приняли правление и совет ДБДД. Козловскис инициировал служебное расследование, в рамках которого также должна быть проведена оценка договора ДБДД с «Tet» на предоставление услуг кибербезопасности.

Генеральная прокуратура начала прокурорскую проверку возможных нарушений или халатности, которые могли привести к утечке данных. Государственная полиция также начала уголовный процесс по факту кибератаки на ДБДД.