Kiberuzbrukums uzņēmumam: kam pievērst uzmanību, pirms pienāk “rēķins”
Kiberuzbrukums uzņēmumam: kam pievērst uzmanību, pirms pienāk “rēķins”
2026. gada vasara Latvijas uzņēmējiem mainīja jautājuma formulējumu. Jūnijā ārvalstu, finansiāli motivēts izspiedējprogrammatūras grupējums ar segvārdu “Bytetobreach” iekļuva AS “Latvijas valsts meži” sistēmās, ieguva uzņēmuma datus un daļu no tiem pakāpeniski publiskoja. Analizējot šo incidentu, CERT.LV konstatēja, ka tas pats uzbrucējs neatkarīgā incidentā bija kompromitējis arī vienu farmācijas uzņēmuma AS “Olpha” serveri. Abi incidenti bija tehniski nesaistīti un notika neatkarīgi viens no otra.
Augustā CSDD tika pakļauta mērķtiecīgam kiberuzbrukumam, kura īstenošanai, pēc CERT.LV vērtējuma, bija veikta iepriekšēja sagatavošanās. Analizējot incidentu, tika konstatēts, ka laikā no 8. līdz 10. augustam uzbrucējs ieguvis maksājumu kvītīs ietvertus datus par periodu no 2008. gada. CSDD norādīja, ka ietekmēti 1,2 miljonu fizisko personu un 200 tūkstošu juridisko personu dati.
Tas nozīmē, ka jautājums vairs nav, vai uzņēmumam uzbruks. Jautājums ir, kurš samaksās rēķinu par dīkstāvi, atjaunošanu un zaudēto klientu uzticību.
Arī statistika liecina, ka kiberdrošības apdraudējums saglabājas augsts. CERT.LV 2026. gada otrajā ceturksnī reģistrēja 673 manuāli apstrādātus kiberincidentus, kas ir par 20 procentiem mazāk nekā iepriekšējā ceturksnī, un identificēja 396 444 apdraudētas iekārtas. CERT.LV vērtējumā kiberdrošības apdraudējums Latvijā saglabājas augsts un ilgtermiņā kiberdraudu intensitāte pieaug.
Jāpiebilst, ka publiski zināmie incidenti neatspoguļo visu ainu. Uzņēmumiem ir noteikti ziņošanas pienākumi, taču tas nenozīmē, ka par katru incidentu tiek publiski informēta sabiedrība. Praksē valsts kapitālsabiedrību un iestāžu incidenti biežāk nonāk sabiedrības uzmanībā, savukārt daudzi privātā sektora incidenti publiskajā telpā var arī neparādīties. Tāpēc salīdzināmu publisku gadījumu trūkums pats par sevi neliecina par zemu risku.
Zemāk Viesturs Briežkalns, BDO Latvia Partneris, apkopojis piecas jomas, kurām vērts pievērst īpašu uzmanību, jo tieši tajās kiberrisks no tehnoloģiju jautājuma pārtop par vadības un finanšu jautājumu.
1. Dīkstāves cena – kad IT problēma kļūst par biznesa zaudējumiem
Kamēr uzņēmums nezina, cik tam izmaksātu diena, nedēļa vai mēnesis bez kritisko sistēmu darbības, kiberdrošības risks paliek grūti salīdzināms ar citiem jautājumiem valdes darba kārtībā. Tehnisku ievainojamību ir grūti izteikt biznesa valodā, savukārt dīkstāves izmaksas ir iespējams aprēķināt naudas izteiksmē.
Turklāt dīkstāves izmaksas neveido tikai neiegūtie vai atliktie ieņēmumi. Tām jāpieskaita darbinieku izmaksas laikā, kad darbu nav iespējams veikt pilnā apjomā, virsstundas pēc darbības atjaunošanas, ārpakalpojumu izmaksas krīzes režīmā, steidzami iepirkumi un piegādes, kā arī iespējamie līgumsodi. Jo ilgāk uzņēmums nespēj atjaunot kritiskos procesus, jo plašāks kļūst zaudējumu loks.
Savukārt sistēmu atjaunošana ne vienmēr ir dažu dienu jautājums. LVM GEO mobilā lietotne bija viena no sistēmām, kas 22. jūnija rītā tika pilnībā atslēgta no LVM IT infrastruktūras. Tās darbība tika daļēji atjaunota 9. jūlijā, bet pilnībā – 27. jūlijā. Pēc Latvijas Sabiedrisko mediju ziņotā, aptuveni divus mēnešus pēc incidenta bija atjaunota teju visu uzņēmuma sistēmu darbība. Publiski incidenta kopējās izmaksas nav atklātas, taču atjaunošanas ilgums pats par sevi parāda, kāpēc uzņēmumam šāds scenārijs jāvērtē pirms krīzes, nevis tās laikā.
Par iespējamo izmaksu mērogu liecina arī Sophos 2026. gada pētījums. Tajā piedalījās 2158 IT un kiberdrošības vadītāji, augstākā līmeņa vadītāji un citi lēmumu pieņēmēji no 17 valstīm. Respondentu pārstāvētās organizācijas iepriekšējo 12 mēnešu laikā bija piedzīvojušas izspiedējprogrammatūras uzbrukumu. Vidējās atkopšanās izmaksas sasniedza 1,7 miljonus ASV dolāru. Tas nav uzskatāms par tipisku izmaksu līmeni Latvijas uzņēmumam, taču parāda, cik būtiskas var kļūt incidenta novēršanas un darbības atjaunošanas izmaksas.
Kiberrisku apdrošināšana daļu no šī finansiālā riska var mazināt, taču tā neaizstāj uzņēmuma paša gatavību. Polišu segums, atbildības limiti un izņēmumi atšķiras, un ne visas ar incidentu saistītās izmaksas būs apdrošinātas. Tāpēc svarīgs ir nevis pats fakts, ka uzņēmumam ir kiberrisku apdrošināšana, bet gan izpratne par to, ko konkrētā polise sedz un ko nesedz.
2. Datu noplūde – kad sistēmas jau strādā, bet problēmas nebeidzas
Dīkstāve ir tikai daļa no incidenta izmaksām. Datu noplūdes finansiālā un reputācijas ietekme var saglabāties vēl ilgi pēc sistēmu darbības atjaunošanas.
CSDD gadījumā ikdienas pakalpojumu sniegšana netika ietekmēta, un klientu lietotājvārdi un paroles netika skarti. Uzbrucēju rīcībā nonāca personas kodi vai uzņēmumu reģistrācijas numuri, vārdi un uzvārdi vai uzņēmumu nosaukumi, maksājumu summas un datumi, transportlīdzekļu valsts reģistrācijas numura zīmes un adreses, kas bija reģistrētas pakalpojuma saņemšanas dienā.
CERT.LV vadītāja vietnieks Varis Teivāns norādīja, ka viens no būtiskākajiem ar datu noplūdi saistītajiem riskiem ir iegūtās informācijas izmantošana turpmākos sociālās inženierijas uzbrukumos. Praksē tas nozīmē, ka uzņēmuma klienti vēl ilgi var saskarties ar pārliecinošiem krāpniecības mēģinājumiem, kuros izmantota informācija par viņu identitāti vai iepriekšējiem darījumiem.
Tā nav tikai Latvijas vai publiskā sektora problēma. 27. augustā Manchester Airports Group paziņoja par kiberincidentu, kurā nesankcionēta trešā persona ieguva klientu datus, kas saistīti ar autostāvvietu, atpūtas zonu un Fast Track rezervācijām, kā arī reģistrēšanos lidostu Wi-Fi. Uzņēmums informēja aptuveni 8,7 miljonus skarto klientu. Iegūto datu vidū bija e-pasta adreses, tālruņu numuri, transportlīdzekļu reģistrācijas numuri un pasta indeksi. Bankas un maksājumu dati netika skarti, un lidostu darbība netika traucēta.
Uzņēmumam datu noplūdes izmaksas nebeidzas ar paša incidenta novēršanu. Pēc tam var būt nepieciešams informēt skartās personas, nodrošināt papildu komunikāciju un klientu atbalstu, sadarboties ar Datu valsts inspekciju vai citām atbildīgajām iestādēm, kā arī ieguldīt reputācijas atjaunošanā. Savukārt noplūdušo datu ļaunprātīgas izmantošanas risks var saglabāties vēl ilgi pēc tam, kad IT sistēmu darbība ir pilnībā atjaunota.
3. IT ārpakalpojums un piegādes ķēde – atbildību nosaka līgums
Uzņēmuma kiberdrošība ir atkarīga ne tikai no paša uzņēmuma, bet arī no tā piegādātājiem un pakalpojumu sniedzējiem. Jūlijā “Lidl” informēja klientus Vācijā, Beļģijā un Nīderlandē par datu noplūdi pēc tam, kad uzbrucēji bija piekļuvuši ārēja pakalpojumu sniedzēja sistēmā glabātai datnei ar “Lidl” interneta veikala klientu datiem. Incidents notika pie pakalpojumu sniedzēja, taču ar klientiem par tā sekām bija jākomunicē “Lidl”.
Tieši tāpēc ar uzticēšanos IT pakalpojumu sniedzējam vien nepietiek. Līgumā atbildība nereti ir ierobežota ar dažu mēnešu pakalpojuma maksu, bet pakalpojuma līmeņa vienošanās nosaka reakcijas laiku, nevis termiņu, kurā jāatjauno uzņēmumam kritisko sistēmu darbība. Arī atbildība par rezerves kopiju pārbaudi un spēju no tām atjaunot sistēmas ne vienmēr ir skaidri noteikta.
Šādas nianses kļūst būtiskas tieši incidenta brīdī. Ja uzņēmuma faktiskie zaudējumi būtiski pārsniedz līgumā noteikto pakalpojuma sniedzēja atbildības limitu, starpību nāksies segt pašam uzņēmumam. Tāpēc jautājums par to, kurš un par ko maksās kiberincidenta gadījumā, būtu jāatbild līguma slēgšanas brīdī, nevis pēc incidenta.
4. Regulējums – kad incidentam seko zinošanas pienākums
Kiberincidents uzņēmumam var radīt ne tikai darbības traucējumus un finansiālus zaudējumus, bet arī konkrētus pienākumus pret atbildīgajām institūcijām. Nacionālās kiberdrošības likuma 34. pants nozīmīga kiberincidenta gadījumā paredz agrīno brīdinājumu nekavējoties, bet ne vēlāk kā 24 stundu laikā, un sākotnējo ziņojumu nekavējoties, bet ne vēlāk kā 72 stundu laikā. Uzticamības pakalpojumu sniedzējiem sākotnējā ziņojuma termiņš ir 24 stundas. Galaziņojums jāiesniedz mēneša laikā pēc sākotnējā ziņojuma iesniegšanas.
Tas nozīmē, ka incidenta brīdī uzņēmumam nepietiek tikai ar tehnisku rīcības plānu. Jābūt skaidram arī tam, kurš izvērtē ziņošanas pienākumu, kurš pieņem nepieciešamos lēmumus un kurš nodrošina saziņu ar atbildīgajām iestādēm. Ja noplūduši personas dati, paralēli var rasties arī pienākumi personas datu aizsardzības jomā.
Arī uzņēmumiem, kas tieši neietilpst Nacionālās kiberdrošības likuma subjektu lokā, kiberdrošības prasības praksē var kļūt par biznesa nosacījumu, piemēram, klientu iepirkumos vai piegādes ķēdes prasībās. Tādējādi atbilstība nav tikai jautājums par to, ko prasa likums, bet arī par to, ko no uzņēmuma sagaida klienti un sadarbības partneri.
5. Pārvaldība un valdes atbildība – kiberdrošību var deleģēt, atbildību ne
Komerclikuma 169. pants nosaka, ka valdes un padomes loceklim savi pienākumi jāpilda kā krietnam un rūpīgam saimniekam. Kiberdrošības kontekstā tas nenozīmē, ka valdei jāpārzina tehniskas detaļas. Taču valdei ir jāspēj pārliecināties, ka būtiskie riski ir apzināti, par to pārvaldību ir noteikta atbildība un uz saņemtajiem brīdinājumiem seko rīcība.
LVM incidentā uzmanību pelna tieši šis pārvaldības aspekts. Latvijas Televīzijas raidījums “De facto” ziņoja, ka uzbrucējs LVM iekšējā sistēmā bija iekļuvis jau 11. jūnijā, bet aktīvā uzbrukuma fāze sākās 22. jūnijā. Publiski izskanējis arī tas, ka CERT.LV par izmantoto ievainojamību uzņēmumu bija informējis aptuveni divus gadus iepriekš, taču informācija uzņēmumā tika nepareizi saprasta un ievainojamība netika novērsta.
Būtiskais jautājums šeit nav par to, kurš izlasīja konkrēto e-pastu, bet gan par to, vai organizācijā pastāvēja process, kas nodrošināja, ka šādi brīdinājumi tiek izvērtēti, nodoti atbildīgajai personai un pēc tam tiek pārbaudīts, vai nepieciešamie pasākumi ir veikti.
CSDD incidents šo jautājumu padarīja vēl konkrētāku. 19. augustā pēc kiberuzbrukuma atkāpās CSDD padome, un vēlāk tajā pašā dienā amatus atstāja arī valde. Datu noplūdes apstākļus un amatpersonu rīcību sāka vērtēt vairākas institūcijas, tostarp Ģenerālprokuratūra un Datu valsts inspekcija, savukārt satiksmes ministrs rosināja dienesta pārbaudi. Tas parāda, ka pēc kiberincidenta var nākties vērtēt ne tikai tehniskās kļūmes, bet arī vadības lēmumus un atbildību.
Kiberdrošība šodien vairs nav tikai tehnoloģiju jautājums. Tas ir jautājums par biznesa nepārtrauktību, finanšu risku un atbildību. Preventīvo pasākumu izmaksas var prognozēt un ieplānot, bet kiberincidenta radītos zaudējumus prognozēt ir daudz grūtāk.
Tāpēc atbilde uz raksta sākumā uzdoto jautājumu vairumā gadījumu ir vienkārša: lielāko daļu kiberincidenta radīto izmaksu sedz pats uzņēmums. Apdrošināšana un līgumi ar pakalpojumu sniedzējiem daļu riska var mazināt vai pārdalīt, taču uzņēmumam pašam ir jābūt gatavam rīkoties kiberincidenta gadījumā.
Viesturs Briežkalns
BDO Latvia Partneris
Augustā CSDD tika pakļauta mērķtiecīgam kiberuzbrukumam, kura īstenošanai, pēc CERT.LV vērtējuma, bija veikta iepriekšēja sagatavošanās. Analizējot incidentu, tika konstatēts, ka laikā no 8. līdz 10. augustam uzbrucējs ieguvis maksājumu kvītīs ietvertus datus par periodu no 2008. gada. CSDD norādīja, ka ietekmēti 1,2 miljonu fizisko personu un 200 tūkstošu juridisko personu dati.
Tas nozīmē, ka jautājums vairs nav, vai uzņēmumam uzbruks. Jautājums ir, kurš samaksās rēķinu par dīkstāvi, atjaunošanu un zaudēto klientu uzticību.
Arī statistika liecina, ka kiberdrošības apdraudējums saglabājas augsts. CERT.LV 2026. gada otrajā ceturksnī reģistrēja 673 manuāli apstrādātus kiberincidentus, kas ir par 20 procentiem mazāk nekā iepriekšējā ceturksnī, un identificēja 396 444 apdraudētas iekārtas. CERT.LV vērtējumā kiberdrošības apdraudējums Latvijā saglabājas augsts un ilgtermiņā kiberdraudu intensitāte pieaug.
Jāpiebilst, ka publiski zināmie incidenti neatspoguļo visu ainu. Uzņēmumiem ir noteikti ziņošanas pienākumi, taču tas nenozīmē, ka par katru incidentu tiek publiski informēta sabiedrība. Praksē valsts kapitālsabiedrību un iestāžu incidenti biežāk nonāk sabiedrības uzmanībā, savukārt daudzi privātā sektora incidenti publiskajā telpā var arī neparādīties. Tāpēc salīdzināmu publisku gadījumu trūkums pats par sevi neliecina par zemu risku.
Zemāk Viesturs Briežkalns, BDO Latvia Partneris, apkopojis piecas jomas, kurām vērts pievērst īpašu uzmanību, jo tieši tajās kiberrisks no tehnoloģiju jautājuma pārtop par vadības un finanšu jautājumu.
1. Dīkstāves cena – kad IT problēma kļūst par biznesa zaudējumiem
Kamēr uzņēmums nezina, cik tam izmaksātu diena, nedēļa vai mēnesis bez kritisko sistēmu darbības, kiberdrošības risks paliek grūti salīdzināms ar citiem jautājumiem valdes darba kārtībā. Tehnisku ievainojamību ir grūti izteikt biznesa valodā, savukārt dīkstāves izmaksas ir iespējams aprēķināt naudas izteiksmē.
Turklāt dīkstāves izmaksas neveido tikai neiegūtie vai atliktie ieņēmumi. Tām jāpieskaita darbinieku izmaksas laikā, kad darbu nav iespējams veikt pilnā apjomā, virsstundas pēc darbības atjaunošanas, ārpakalpojumu izmaksas krīzes režīmā, steidzami iepirkumi un piegādes, kā arī iespējamie līgumsodi. Jo ilgāk uzņēmums nespēj atjaunot kritiskos procesus, jo plašāks kļūst zaudējumu loks.
Savukārt sistēmu atjaunošana ne vienmēr ir dažu dienu jautājums. LVM GEO mobilā lietotne bija viena no sistēmām, kas 22. jūnija rītā tika pilnībā atslēgta no LVM IT infrastruktūras. Tās darbība tika daļēji atjaunota 9. jūlijā, bet pilnībā – 27. jūlijā. Pēc Latvijas Sabiedrisko mediju ziņotā, aptuveni divus mēnešus pēc incidenta bija atjaunota teju visu uzņēmuma sistēmu darbība. Publiski incidenta kopējās izmaksas nav atklātas, taču atjaunošanas ilgums pats par sevi parāda, kāpēc uzņēmumam šāds scenārijs jāvērtē pirms krīzes, nevis tās laikā.
Par iespējamo izmaksu mērogu liecina arī Sophos 2026. gada pētījums. Tajā piedalījās 2158 IT un kiberdrošības vadītāji, augstākā līmeņa vadītāji un citi lēmumu pieņēmēji no 17 valstīm. Respondentu pārstāvētās organizācijas iepriekšējo 12 mēnešu laikā bija piedzīvojušas izspiedējprogrammatūras uzbrukumu. Vidējās atkopšanās izmaksas sasniedza 1,7 miljonus ASV dolāru. Tas nav uzskatāms par tipisku izmaksu līmeni Latvijas uzņēmumam, taču parāda, cik būtiskas var kļūt incidenta novēršanas un darbības atjaunošanas izmaksas.
Kiberrisku apdrošināšana daļu no šī finansiālā riska var mazināt, taču tā neaizstāj uzņēmuma paša gatavību. Polišu segums, atbildības limiti un izņēmumi atšķiras, un ne visas ar incidentu saistītās izmaksas būs apdrošinātas. Tāpēc svarīgs ir nevis pats fakts, ka uzņēmumam ir kiberrisku apdrošināšana, bet gan izpratne par to, ko konkrētā polise sedz un ko nesedz.
2. Datu noplūde – kad sistēmas jau strādā, bet problēmas nebeidzas
Dīkstāve ir tikai daļa no incidenta izmaksām. Datu noplūdes finansiālā un reputācijas ietekme var saglabāties vēl ilgi pēc sistēmu darbības atjaunošanas.
CSDD gadījumā ikdienas pakalpojumu sniegšana netika ietekmēta, un klientu lietotājvārdi un paroles netika skarti. Uzbrucēju rīcībā nonāca personas kodi vai uzņēmumu reģistrācijas numuri, vārdi un uzvārdi vai uzņēmumu nosaukumi, maksājumu summas un datumi, transportlīdzekļu valsts reģistrācijas numura zīmes un adreses, kas bija reģistrētas pakalpojuma saņemšanas dienā.
CERT.LV vadītāja vietnieks Varis Teivāns norādīja, ka viens no būtiskākajiem ar datu noplūdi saistītajiem riskiem ir iegūtās informācijas izmantošana turpmākos sociālās inženierijas uzbrukumos. Praksē tas nozīmē, ka uzņēmuma klienti vēl ilgi var saskarties ar pārliecinošiem krāpniecības mēģinājumiem, kuros izmantota informācija par viņu identitāti vai iepriekšējiem darījumiem.
Tā nav tikai Latvijas vai publiskā sektora problēma. 27. augustā Manchester Airports Group paziņoja par kiberincidentu, kurā nesankcionēta trešā persona ieguva klientu datus, kas saistīti ar autostāvvietu, atpūtas zonu un Fast Track rezervācijām, kā arī reģistrēšanos lidostu Wi-Fi. Uzņēmums informēja aptuveni 8,7 miljonus skarto klientu. Iegūto datu vidū bija e-pasta adreses, tālruņu numuri, transportlīdzekļu reģistrācijas numuri un pasta indeksi. Bankas un maksājumu dati netika skarti, un lidostu darbība netika traucēta.
Uzņēmumam datu noplūdes izmaksas nebeidzas ar paša incidenta novēršanu. Pēc tam var būt nepieciešams informēt skartās personas, nodrošināt papildu komunikāciju un klientu atbalstu, sadarboties ar Datu valsts inspekciju vai citām atbildīgajām iestādēm, kā arī ieguldīt reputācijas atjaunošanā. Savukārt noplūdušo datu ļaunprātīgas izmantošanas risks var saglabāties vēl ilgi pēc tam, kad IT sistēmu darbība ir pilnībā atjaunota.
3. IT ārpakalpojums un piegādes ķēde – atbildību nosaka līgums
Uzņēmuma kiberdrošība ir atkarīga ne tikai no paša uzņēmuma, bet arī no tā piegādātājiem un pakalpojumu sniedzējiem. Jūlijā “Lidl” informēja klientus Vācijā, Beļģijā un Nīderlandē par datu noplūdi pēc tam, kad uzbrucēji bija piekļuvuši ārēja pakalpojumu sniedzēja sistēmā glabātai datnei ar “Lidl” interneta veikala klientu datiem. Incidents notika pie pakalpojumu sniedzēja, taču ar klientiem par tā sekām bija jākomunicē “Lidl”.
Tieši tāpēc ar uzticēšanos IT pakalpojumu sniedzējam vien nepietiek. Līgumā atbildība nereti ir ierobežota ar dažu mēnešu pakalpojuma maksu, bet pakalpojuma līmeņa vienošanās nosaka reakcijas laiku, nevis termiņu, kurā jāatjauno uzņēmumam kritisko sistēmu darbība. Arī atbildība par rezerves kopiju pārbaudi un spēju no tām atjaunot sistēmas ne vienmēr ir skaidri noteikta.
Šādas nianses kļūst būtiskas tieši incidenta brīdī. Ja uzņēmuma faktiskie zaudējumi būtiski pārsniedz līgumā noteikto pakalpojuma sniedzēja atbildības limitu, starpību nāksies segt pašam uzņēmumam. Tāpēc jautājums par to, kurš un par ko maksās kiberincidenta gadījumā, būtu jāatbild līguma slēgšanas brīdī, nevis pēc incidenta.
4. Regulējums – kad incidentam seko zinošanas pienākums
Kiberincidents uzņēmumam var radīt ne tikai darbības traucējumus un finansiālus zaudējumus, bet arī konkrētus pienākumus pret atbildīgajām institūcijām. Nacionālās kiberdrošības likuma 34. pants nozīmīga kiberincidenta gadījumā paredz agrīno brīdinājumu nekavējoties, bet ne vēlāk kā 24 stundu laikā, un sākotnējo ziņojumu nekavējoties, bet ne vēlāk kā 72 stundu laikā. Uzticamības pakalpojumu sniedzējiem sākotnējā ziņojuma termiņš ir 24 stundas. Galaziņojums jāiesniedz mēneša laikā pēc sākotnējā ziņojuma iesniegšanas.
Tas nozīmē, ka incidenta brīdī uzņēmumam nepietiek tikai ar tehnisku rīcības plānu. Jābūt skaidram arī tam, kurš izvērtē ziņošanas pienākumu, kurš pieņem nepieciešamos lēmumus un kurš nodrošina saziņu ar atbildīgajām iestādēm. Ja noplūduši personas dati, paralēli var rasties arī pienākumi personas datu aizsardzības jomā.
Arī uzņēmumiem, kas tieši neietilpst Nacionālās kiberdrošības likuma subjektu lokā, kiberdrošības prasības praksē var kļūt par biznesa nosacījumu, piemēram, klientu iepirkumos vai piegādes ķēdes prasībās. Tādējādi atbilstība nav tikai jautājums par to, ko prasa likums, bet arī par to, ko no uzņēmuma sagaida klienti un sadarbības partneri.
5. Pārvaldība un valdes atbildība – kiberdrošību var deleģēt, atbildību ne
Komerclikuma 169. pants nosaka, ka valdes un padomes loceklim savi pienākumi jāpilda kā krietnam un rūpīgam saimniekam. Kiberdrošības kontekstā tas nenozīmē, ka valdei jāpārzina tehniskas detaļas. Taču valdei ir jāspēj pārliecināties, ka būtiskie riski ir apzināti, par to pārvaldību ir noteikta atbildība un uz saņemtajiem brīdinājumiem seko rīcība.
LVM incidentā uzmanību pelna tieši šis pārvaldības aspekts. Latvijas Televīzijas raidījums “De facto” ziņoja, ka uzbrucējs LVM iekšējā sistēmā bija iekļuvis jau 11. jūnijā, bet aktīvā uzbrukuma fāze sākās 22. jūnijā. Publiski izskanējis arī tas, ka CERT.LV par izmantoto ievainojamību uzņēmumu bija informējis aptuveni divus gadus iepriekš, taču informācija uzņēmumā tika nepareizi saprasta un ievainojamība netika novērsta.
Būtiskais jautājums šeit nav par to, kurš izlasīja konkrēto e-pastu, bet gan par to, vai organizācijā pastāvēja process, kas nodrošināja, ka šādi brīdinājumi tiek izvērtēti, nodoti atbildīgajai personai un pēc tam tiek pārbaudīts, vai nepieciešamie pasākumi ir veikti.
CSDD incidents šo jautājumu padarīja vēl konkrētāku. 19. augustā pēc kiberuzbrukuma atkāpās CSDD padome, un vēlāk tajā pašā dienā amatus atstāja arī valde. Datu noplūdes apstākļus un amatpersonu rīcību sāka vērtēt vairākas institūcijas, tostarp Ģenerālprokuratūra un Datu valsts inspekcija, savukārt satiksmes ministrs rosināja dienesta pārbaudi. Tas parāda, ka pēc kiberincidenta var nākties vērtēt ne tikai tehniskās kļūmes, bet arī vadības lēmumus un atbildību.
Kiberdrošība šodien vairs nav tikai tehnoloģiju jautājums. Tas ir jautājums par biznesa nepārtrauktību, finanšu risku un atbildību. Preventīvo pasākumu izmaksas var prognozēt un ieplānot, bet kiberincidenta radītos zaudējumus prognozēt ir daudz grūtāk.
Tāpēc atbilde uz raksta sākumā uzdoto jautājumu vairumā gadījumu ir vienkārša: lielāko daļu kiberincidenta radīto izmaksu sedz pats uzņēmums. Apdrošināšana un līgumi ar pakalpojumu sniedzējiem daļu riska var mazināt vai pārdalīt, taču uzņēmumam pašam ir jābūt gatavam rīkoties kiberincidenta gadījumā.
Viesturs Briežkalns
BDO Latvia Partneris