8. pants

Kiberapdraudējuma novēršana

Līdz ar Krievijas pilna mēroga iebrukumu Ukrainā, Ukrainu

atbalstošo valstu, tostarp Latvijas, kibertelpā tika konstatēta

paaugstināta Krievijas un tās darbības atbalstošo kiberaktoru

aktivitāte. 2022. gads Latvijas kibertelpā bija

kiberincidentiem vispiesātinātākais gads kopš šāda statistika

tiek apkopota. Sabiedrībai redzamākie bija haktīvistu grupējuma

"KillNet" veiktie pakalpojumatteices uzbrukumi,

taču to kopējā ietekme uz informācijas sistēmu darbību ir

vērtējama kā nebūtiska. Nozīmīgākās un nacionālo drošību

visvairāk apdraudošās joprojām ir dažādu valsts aktoru veiktās

kiberoperācijas pret Latvijas valsts, privātā sektora un

informācijas tehnoloģiju kritiskās infrastruktūras sistēmām.

Tāpat Latvijā un citās ES dalībvalstīs pieaug kiberuzbrukumu

skaits, kas veikti no Ķīnas teritorijas. Šie uzbrukumi ir vērsti

pret valsts un pašvaldību institūcijām, informācijas tehnoloģiju

kritisko infrastruktūru, kā arī privātā sektora uzņēmumiem un

sabiedrības pārstāvjiem. 2021. gadā ES aicināja Ķīnu

nepieļaut, ka tās teritoriju izmanto ļaunprātīgu kiberdarbību

veikšanai, kā arī 2023. gadā tika publicēta ES dalībvalstu

apkopota informācija par ļaunprātīgu kiberdarbību veicējiem, kuru

darbība ir saistīta ar Ķīnu.

ES kopā ar līdzīgi domājošām valstīm pauž atbalstu esošo

starptautisko tiesību un normu piemērošanai kibertelpā un valstu

atbildīgai uzvedībai tajā. Latvija sadarbojas ES un NATO

formātos, lai risinātu kiberincidentu attiecināšanas

jautājumus.

Apstiprinātajā jaunajā Latvijas Kiberdrošības Stratēģijā

2023.-2026. gadam ir noteikts kiberdrošības politikas mērķis

minētajam laika periodam. Šis mērķis paredz stiprināt Latvijas

kibertelpas drošību, attīstot kiberaizsardzības spējas,

paaugstinot noturību pret kiberuzbrukumiem un veicinot

sabiedrības izpratni par draudiem kibertelpā, definējot šādas

prioritātes: aizsardzība, atturēšana un attīstība. Ir stājusies

spēkā jaunā Eiropas Parlamenta un Padomes 2022. gada

14. decembra Direktīva (ES) 2022/2555, kas paredz īstenot

pasākumus, lai panāktu vienādi augstu kiberdrošības līmeni visās

ES dalībvalstīs. Latvijai šī Direktīva būs jāievieš līdz

2025. gada 17. oktobrim. Direktīva nosaka stingrākas

kiberdrošības prasības subjektiem - būtisko un svarīgo

pakalpojumu sniedzējiem, kā arī ievērojami paplašina uzraugāmo

subjektu loku. Direktīvas normu pārņemšanai ir izstrādāts

likumprojekts "Nacionālās kiberdrošības likums", ar

kuru plānots aizstāt spēkā esošo Informācijas tehnoloģiju

drošības likumu.

Vienlaikus notiek darbs pie Nacionālās kiberdrošības likumam

pakārtoto Ministru kabineta noteikumu izstrādes, tostarp nosakot

minimālās kiberdrošības prasības subjektiem, kā arī paredzot

izmaiņas nacionālā kiberdrošības pārvaldības modelī. Līdz ar

Nacionālās kiberdrošības likuma stāšanos spēkā paredzēts izveidot

jaunu institūciju - Nacionālo kiberdrošības centru, kura

funkcijas īstenos Aizsardzības ministrija sadarbībā ar

Informācijas tehnoloģiju drošības incidentu novēršanas

institūciju (CERT.LV).

Līdzīgi kā citās jomās, arī vēlēšanu norisē un rezultātu

apkopošanā arvien lielāka loma ir informācijas sistēmām. Šīs

informācijas sistēmas potenciāli var būt dažādu kiberaktoru

uzbrukumu mērķis, lai apgrūtinātu vēlēšanu norisi un rezultātu

apkopošanu, kā arī ietekmētu vēlēšanu rezultātus. Tāpēc šo

sistēmu drošība ir priekšnoteikums, lai netiktu apšaubīta

notikušo vēlēšanu leģitimitāte. Ņemot vērā vēlēšanu cikliskumu,

to norisē un rezultātu apkopošanā izmantotās informācijas

sistēmas ir jāveido un jāatjauno savlaicīgi, lai nodrošinātu to

drošību.

Cilvēkresursu kapacitāte kiberdrošības jomā jau šobrīd

saskaras ar daudziem izaicinājumiem. Atbilstoši izglītotu

cilvēkresursu trūkums rada ierobežojumus un šķēršļus Latvijas

kibertelpas drošības uzturēšanai un uzlabošanai, kā arī draudus

nacionālajai drošībai. Uz šo izaicinājumu ir jāskatās kompleksi,

sākot ar eksakto priekšmetu apguvi skolās un beidzot ar stimuliem

topošajiem studentiem izvēlēties informācijas tehnoloģiju un

kiberdrošības studiju programmas.

Visiem Latvijas kibertelpas dalībniekiem, bet īpaši valsts

pārvaldes institūcijām, valsts un pašvaldību kapitālsabiedrībām,

informācijas tehnoloģiju kritiskās infrastruktūras īpašniekiem un

tiesiskajiem valdītājiem, kā arī privātā sektora uzņēmumiem, kas

sniedz pakalpojumus iepriekš minētajām institūcijām, ir kritiski

jāattiecas pret savu kiberdrošības praksi. Mainoties un

attīstoties kiberdraudu videi, kiberdrošības aktivitātēm ir

jāmainās tai līdzi.

Prioritātes

kiberapdraudējuma novēršanai:

Apdraudējuma identificēšana

Par kibertelpas drošību atbildīgajām valsts pārvaldes

institūcijām ir jāveic rūpīga un sistemātiska Krievijas veikto

kiberoperāciju pret Ukrainu un tās sabiedrotajiem analīze,

iekļaujot secinājumus un nepieciešamās rekomendācijas politikas

plānošanas dokumentos, normatīvajos aktos un mācību scenārijos.

Apdraudējuma identificēšanas jomā par kibertelpas drošību

atbildīgajām valsts pārvaldes institūcijām ir cieši jāsadarbojas

NATO un ES dalībvalstu un citu partnervalstu ietvaros, jo

kiberuzbrukumu mērogi nereti pārsniedz vienas valsts robežas,

turklāt svarīga ir pieredzes apmaiņa starp ārvalstu partneriem

kiberdrošības jautājumos.

Valsts un pašvaldību institūcijām un kapitālsabiedrībām, kā

arī informācijas tehnoloģiju kritiskās infrastruktūras

īpašniekiem un tiesiskajiem valdītājiem ir jāveic pastiprināta

informācijas tehnoloģiju kritiskās infrastruktūras uzraudzība,

tostarp regulāri jāorganizē draudu identifikācijas (threat

hunt) operācijas.

Attīstoties mākslīgā intelekta un mašīnmācīšanās tehnoloģijām,

nepieciešams vērtēt to ietekmi uz sabiedrību un nacionālo

drošību, lai savlaicīgi identificētu drošības riskus, kas var

rasties gadījumā, ja šīs tehnoloģijas tiek mērķtiecīgi

izstrādātas un izmantotas, lai vērstos pret nacionālās drošības

interesēm.

Efektīva kiberdrošības politikas

īstenošana

Jāturpina normatīvo aktu pilnveidošana, lai tiktu ieviests

kiberdrošības pārvaldības modelis, kurā ir noteikts skaidrs

iesaistīto institūciju tiesību un uzdevumu sadalījums, vienlaikus

veidojot visaptverošu kiberdrošības pārvaldības risinājumu.

Jāizveido, pastāvīgi jāuztur un jāattīsta vēlēšanās izmantotās

informācijas sistēmas, vienlaikus stiprinot Centrālās vēlēšanu

komisijas informācijas tehnoloģiju kapacitāti.

Jāstiprina zināšanas kiberdrošības jomā un jāveicina gan esošo

tehnoloģiju pilnvērtīga izmantošana, gan jauno tehnoloģiju

ieviešana kopējā kiberdrošības līmeņa paaugstināšanai. Jāveicina

jauno kiberdrošības speciālistu sagatavošana un esošo speciālistu

zināšanu pastāvīga pilnveidošana.

Kiberdrošības un digitālo risinājumu

pilnveidošana

Digitālo prasmju attīstībai ir būtiska nozīme kiberdrošības

stiprināšanā. Svarīgi ir veicināt iedzīvotāju izpratni par

kiberdrošību. Nepieciešams veicināt uzņēmumu, īpaši Latvijas mazo

un vidējo uzņēmumu, spējas digitālo tehnoloģiju ieviešanā,

pilnveidošanā un kiberaizsardzībā, tādējādi efektivizējot,

attīstot un aizsargājot uzņēmumu procesus. Būtiski sekmēt mazo un

vidējo uzņēmumu kiberdrošības transformāciju, tostarp sniedzot

praktisku atbalstu uzņēmumiem inovatīvu kiberdrošības risinājumu

izstrādei un ieviešanai, piedāvājot šim mērķim grantu atbalstu ES

programmas "Digitālā Eiropa" ietvaros.

Par kibertelpas drošību atbildīgajām valsts pārvaldes

institūcijām ir jāturpina attīstīt un piedāvāt uzņēmējiem

apmācību procesus par digitālajiem risinājumiem un

kiberaizsardzību, tostarp bezmaksas kursus. Lai veicinātu

apmācību pieejamību uzņēmumiem, apmācību procesā jāiesaista arī

nozaru asociācijas, tādējādi veidojot mērķētāku apmācību un

pilnveides procesu un sniedzot risinājumus specifiskām

problēmsituācijām. Ļoti būtiski ir stiprināt ne tikai uzņēmumu,

bet arī valsts un pašvaldību institūciju kiberaizsardzību un

digitālo risinājumu integritāti, tādējādi uzlabojot lēmumu

pieņemšanu dažādās krīzes situācijās. Jāstiprina publiskā un

privātā sektora sadarbība un informācijas apmaiņa Eiropas

Kiberdrošības kompetenču centra paspārnē izveidotās kiberdrošības

kompetenču kopienas ietvaros.

Kiberdrošības infrastruktūras

attīstība

Jāturpina darbs pie valsts vienotā interneta apmaiņas punkta

(turpmāk - GLV-IX) izveides, uzturēšanas un

attīstīšanas, nosakot par pienākumu valsts un pašvaldību

institūcijām, kapitālsabiedrībām un informācijas tehnoloģiju

kritiskās infrastruktūras īpašniekiem un tiesiskajiem valdītājiem

savu datu plūsmu prioritāri virzīt caur GLVIX. Tāpat svarīga ir

datu rezerves kopiju sistemātiska veidošana un to atjaunošana,

regulāri testējot sistēmu atjaunošanas spējas, kā arī datu

vēstniecību ārvalstīs turpmāka attīstīšana. Papildus ir

nepieciešams uzturēt un attīstīt pret pakalpojumu atteices

uzbrukumu risinājumus.

Valsts elektronisko sakaru

pakalpojumu centrā izvietoto valsts informācijas sistēmu

kibernoturības stiprināšana

Jāveic Valsts elektronisko sakaru pakalpojumu centrā (turpmāk

- Centrs) esošo tehnoloģiju apvienošanu, automatizēšanu, un

nepieciešamības gadījumā papildus tehnoloģiju iegādi un

cilvēkresursu kapacitātes palielināšanu, lai izveidotu vienotu

Kiberdrošības Vadības Centra platformu ar diennakts režīma

atbalstu, kas nodrošinās Centrā izvietotajām sistēmām

pārvaldītas, integrētas kiberdrošības incidentu novēršanas,

analīzes un incidentu pārvaldības pakalpojumus.

Vienlaikus, saskaņā ar Informācijas tehnoloģiju drošības

likumu attīstot Centru, tiek ņemts vērā, ka kiberdrošības

incidentu novērošanas, analīzes un incidentu pārvaldības

pakalpojumus nodrošina informācijas tehnoloģiju drošības

incidentu novēršanas institūcijas.

Nepieciešams arī veidot kiberpoligona simulāciju un mācību

platformu, kas nodrošinātu Centrā izvietoto informācijas sistēmu

turētāju personāla kvalifikācijas pilnveidošanu, kā arī

nodrošinātu iespēju veikt kiberuzbrukumu un kiberaizsardzības

taktiku testēšanu, kiberdrošības risinājumu ieviesto aizsardzības

politiku testēšanu, aplikāciju kibernoturības spēju testēšanu, kā

arī ievainojamību testēšanu. Šāda mācību platforma nodrošinātu

Centra lietotājiem rīkus proaktīvai kiberdrošības incidentu

novēršanai.

Inovatīvas, drošas elektronisko

sakaru pārraides vides attīstīšana

Ņemot vērā kvantu skaitļošanas spēju straujo attīstību, esošie

informācijas aizsardzības rīki informācijas sistēmās glabātās un

elektronisko sakaru tīklos pārraidītās informācijas aizsardzībai

nākotnē vairs nebūs pietiekami. Līdz ar to jau šobrīd ir

nepieciešams attīstīt kvantos balstītus informācijas aizsardzības

risinājumus esošajās elektronisko sakaru infrastruktūrās, lai

aizsargātu nacionālajai drošībai svarīgus datus un kritisko

infrastruktūru, nodrošinot papildus drošību.

Nepieciešams izveidot nacionāla līmeņa eksperimentālu kvantu

komunikācijas sistēmu un tīklu, to integrējot esošajos

elektronisko sakaru tīklos un veikt kvantu komunikāciju

tehnoloģiju darbības testēšanu, kā arī izveidoto tīklu izmantot

izstrādei un testēšanai sabiedrībai un nacionālajai drošībai

svarīgās jomās (aizsardzības, veselības, finanšu un sakaru jomās,

5G, u. c.).

Interneta protokola 6. versijas

(IPv6) ieviešana valsts pārvaldē

Ņemot vērā straujo interneta attīstību un pieaugot datu

pakalpojumu apjomam, esošajā interneta protokola versijā IPv4

adrešu skaits ir kļuvis nepietiekams. Piemēram, šobrīd Latvijā

vienu IPv4 adresi izmanto līdz pat 100 lietotāji. Tas nozīmē, ka

tiesību aizsardzības un citām atbildīgajām institūcijām

nepieciešamības gadījumā ir ievērojami apgrūtināta attiecīgo IT

resursu lietotāju identificēšana, kas nepieciešama gan

kibernoziegumu izmeklēšanā, gan nacionālās drošības jautājumos,

lai operatīvi uzsāktu apdraudējuma novēršanu.

Jāņem vērā, ka 5G ieviešana attīstīs tādus pakalpojumus kā

autonomā braukšana, industriālā automatizācija, viedā veselības

aprūpe un lietu internets, kas tikai palielinās interneta vides

drošības nozīmi un nepieciešamību pēc tās drošības stiprināšanas.

Viens no rīkiem, kā to veikt, ir individuālās interneta adreses.

Tas nozīmē, ka ieviešot IPv6, individuālu adresi būs iespējams

piešķirt katram lietotājam, un katrs lietotājs, ievērojot

normatīvo aktu prasības, būs bez grūtībām identificējams. Līdz ar

to sabiedrībai tiks savlaicīgi signalizēts, ka plaši valdošais

uzskats par internetā esošo anonimitāti ir mīts, un katram ir

jāatbild par savu darbību arī digitālajā vidē. Ievērojot minēto,

IPv6 ieviešana uzlabos ne tikai digitālās vides izmantošanas

kultūru, bet kopumā valsts interešu aizsardzību, galvenokārt

informatīvās telpas apdraudējuma novēršanā.