Saeima ceturtdien nodeva vērtēšanai Juridiskajā komisijā partijas "Progresīvie" sagatavotos grozījumus Krimināllikumā, ar kuriem rosināts noteikt gadījumus, kad personu, kura atklājusi ievainojamību automatizētā datu apstrādes sistēmā un par to ziņojusi sistēmas atbildīgajam, varētu atbrīvot no kriminālatbildības par patvaļīgu piekļūšanu sistēmai vai izspiešanu.
Juridiskās komisijas vadītājs Andrejs Judins (JV) debatēs gan izteicās, ka "Progresīvo" priekšlikumam neesot pievienotās vērtības un satura. "Nākamajā nedēļā jūs varat iesniegt, piemēram, likumprojektu, kas paredz atbrīvot no atbildības par ceļu satiksmes noteikumu pārkāpumiem, ja nav ceļu un nav satiksmes," izteicās Judins.
Likumprojekts paredz, ka personu, kura atklājusi ievainojamību automatizētā datu apstrādes sistēmā un par to ziņojusi sistēmas atbildīgajam, atbrīvotu no kriminālatbildības par patvaļīgu piekļūšanu automatizētai datu apstrādes sistēmai, ja personas darbības nav radījušas kaitējumu tiesiski aizsargātām interesēm, tajās nav cita noziedzīga nodarījuma sastāva un persona neizsaka draudus par atklātās ievainojamības ļaunprātīgu izmantošanu.
Savukārt no kriminālatbildības par izspiešanu paredzēts atbrīvot personu, kura atklājusi ievainojamību, par to ziņojusi sistēmas atbildīgajam un par savu darbu lūgusi samērīgu atalgojumu, ja vien izpildīti arī iepriekš minētie nosacījumi par kaitējuma neradīšanu, cita noziedzīga nodarījuma neesamību un draudu neizteikšanu.
Likumprojekta anotācijā kā samērīga atalgojuma piemērs minēta tirgus vērtībai atbilstoša stundas samaksas likme par darbu informācijas tehnoloģiju (IT) jomā, personai pamatojot veiktā darba apjomu.
"Progresīvie" norāda, ka ir gadījumi, kad personas, rīkojoties brīvprātīgi un labticīgi, ir atklājušas informācijas sistēmu nepilnības, par ko ziņo informācijas sistēmu turētājiem, bet rezultātā riskē ar kriminālatbildību. Kā piemēru partija min izgudrotāja Raimonda Skuruļa gadījumu.
"Progresīvie" uzsver, ka starptautiskā praksē atzīst labticīgu tā saukto "balto hakeru" darbu. Kā norāda partijā, tā ir izplatīta metode, kā neatkarīgi testēt informācijas sistēmu un elektronisko sakaru tīklu kiberdrošību. Šāda veida "ētisko hakeru" rīcība ir orientēta uz ierīču vai pakalpojumu drošības uzlabošanu pētniecības nolūkos un ir atbildīga ievainojamību atklāšana, par ko mēdz tikt slēgtas vienošanās ar informācijas sistēmu turētājiem par atbilstošu atlīdzības saņemšanu, skaidro partijā.
Likumprojekta autori norāda, ka Nacionālās kiberdrošības likums regulē koordinētu ievainojamību atklāšanu, tomēr tā noteiktais regulējums esot smagnējs un neelastīgs un neveicinot labticīgu hakeru iesaisti valsts informācijas sistēmu drošības uzlabošanā.
Partijas ieskatā patlaban trūkst regulējuma, kas pieļautu labticīgām personām, brīvprātīgi atklājot IT ievainojamību un ziņojot par to, ar nosacījumu, ka netiek radīts nekāds cits apdraudējums citām aizsargātām interesēm, lūgt adekvātu samaksu par savu patērēto darbu, laiku, pieredzi, komunikāciju un ieguldījumu.
Kā vēstīts, Vidzemes apgabaltiesa februārī atzinusi par vainīgu izgudrotāju Raimondu Skurulu par to, ka viņš bija atklājis drošības "caurumu" Ceļu satiksmes drošības direkcijas (CSDD) IT sistēmā, informējis par to un aicinājis par ieguldījumu sistēmas pārbaudē samaksāt 1000 eiro, taču tas novērtēts kā izspiešana. Tiesa piesprieda Skurulam naudas sodu 4290 eiro apmērā. Viņš spriedumu pārsūdzējis.
Savukārt šogad jūnijā kiberuzbrukumu piedzīvoja AS "Latvijas Valsts meži" (LVM) IT sistēmas. Kiberuzbrukuma šķetināšanā pēc paša iniciatīvas iesaistījās kiberdrošības eksperts Elviss Strazdiņš, pēcāk raisot arī policijas interesi par viņa darbībām.
Aizsardzības ministrija (AM) 20. augustā paziņoja, ka ir sagatavojusi grozījumus likumā, kas leģitimizē "labticīgiem drošības pētniekiem un kiberdrošības entuziastiem" piekļūt informācijas un komunikācijas tehnoloģiju resursiem nolūkā atklāt ievainojamības.
AM atzinusi, ka regulējuma trūkuma dēļ ziņošana par atklātajām ievainojamībām nereti tiek uztverta kā uzbrukums vai likumpārkāpums, izraisot konfliktus starp pētniekiem un organizācijām. Šāda prakse vājina kiberdrošību, jo neveicina labticīgu personu iesaisti koordinētas ievainojamību atklāšanas procesā.
