Panda un Kaspersky komentars par IT drošības likumu

Kategorija: cert.lv + Juridiskie aspekti

Līdz šim ar valsts infrastruktūru IT drošību saistīto normatīvo aktu normas bija ļoti fragmentāras un izkaisītas pa dažādiem likumiem un MK noteikumiem, vai arī tām bija tikai rekomendējošs raksturs – rezultātā datu drošības jautājumi bija atstāti pašu institūciju pārziņā. No attieksmes viedokļa, bija novērojama milzīga dispersija – blakus pietiekoši daudzām valsts iestādēm, kas pēc pašu iniciatīvas pret IT drošību izturējās ļoti nopietni un profesionāli, netrūka arī tādas (īpaši starp nelielajām struktūrām), kam IT drošības jautājumi šķita mazsvarīgi.

Kāda būs darbinieku profesionalitāte, kas tiks iesaistīti institūcijas darbā? Uzraudzības tiesību deleģēšana Latvijas Universitātes aģentūrai “Latvijas Universitātes Matemātikas un informātikas institūts” no vienas puses ir ļoti loģisks solis. LU MII tiešām ir a) ļoti plaša pieredze, darbojoties sabiedriskā kārtā kā vienam no diviem CSIRT (Computer Security Incident Response Team), b) ir ļoti kompetenti speciālisti, c) tehniskais nodrošinājums. Taču zināmas bažas rada tas, ka līdz šim visa darbība ir bijusi virzīta vairāk akadēmiskā gultnē – statistikas uzkrāšana un analīze, sabiedrības un valsts iestāžu informēšana un apmācība. Ņemot vērā jaunās pilnvaras, ir nepieciešams ne tikai gudru tehnisko profesionāļu štats, kas spēj analizēt draudus un izstrādāt stratēģiju un sniegt konsultācijas. Pēc būtības ir jārada arī kas līdzīgs specvienību ātrās reaģēšanas komandām, kas operatīvi spētu strādāt ne tikai attālināti, bet arī izbraukumos utt. Šaubos, vai pašreizējie LU MII resursi spēj nodrošināt šādas „kiberpolicijas” funkcijas, taču jāgaida precizējošie normatīvie akti.

Daži jaunā likuma noteikumi ir līdzīgi Austrālijā pieņemtajām iniciatīvām. Piemēram, ka pakalpojumu sniedzējiem ir pienākums ziņot par visiem starpgadījumiem un reaģēt uz centra pieprasījumiem. Tomēr kopumā nav skaidrs reaģēšanas mehānisms uz iespējamajiem negadījumiem, piemēram, vai pakalpojumu sniedzējam ir jāreaģē uz surogātpasta izsūtīšanu no mājas datora, un ja ir, tad — kā? Vai arī pakalpojumu sniedzējam tikai jāinformē centrs par šo faktu. Nav arī gluži skaidrs, kas tālāk notiks ar šādu starpgadījumu vaininiekiem?

Manuprāt, lielākā problēma būs atrast kvalificētus speciālistus, jo starptautiskā sabiedrība gaidīs aktīvu darbību. Ar www.drossinternets.lv tipa projektiem netiks cauri.

Avoti:
Datuve.lv: http://datuve.lv/raksts/4006/
Datuve.lv: http://datuve.lv/raksts/3926/
Likumi.lv: http://www.likumi.lv/doc.php?id=220962

Follow defenselv

2010-12-01  »  edgars