Po Registrų centro duomenų nutekėjimo – baudos: tyrimas atskleidė rimtus pažeidimus

Nutekėjo šimtų tūkstančių žmonių duomenys: gresia baudos

Daugiau nei pusės milijono žmonių duomenys galėjo patekti į svetimas rankas, o tyrimą baigę specialistai atskleidė, kokios saugumo spragos sudarė tam sąlygas. Valstybinė duomenų apsaugos inspekcija (VDAI) nusprendė pradėti baudų skyrimo procedūras dviem valstybės institucijoms, trečiajai pareiškė papeikimą. Tuo metu daugiau nei tūkstantis nukentėjusiųjų jau kreipėsi į teismą.

Tyrimo išvados rodo, kad neteisėtai prieigai prie registrų gauti pakako įsilaužti į dviejų darbuotojų elektroninio pašto paskyras. Paaiškėjo ir daugiau nerimą keliančių aplinkybių: nebuvo taikomos svarbios prisijungimo apsaugos priemonės, o apie incidentą ne visiems laiku pranešta.

Baudos gresia dviem įstaigoms

Penktadienį paskelbusi tyrimo rezultatus, VDAI pranešė, kad administracinių baudų skyrimo procedūros bus pradėtos Registrų centro ir Informatikos ir ryšių departamento atžvilgiu. Migracijos departamentui skirta švelnesnė poveikio priemonė – papeikimas.

„Atsižvelgusi į nustatytų pažeidimų pobūdį, jų reikšmę asmens duomenų saugumo pažeidimo kilimui ir kitas tyrimo metu nustatytas aplinkybes, VDAI nusprendė pradėti administracinių baudų skyrimo procedūrą Informatikos ir ryšių departamento bei Registrų centro atžvilgiu, o Migracijos departamentui skirta poveikio priemonė – papeikimas“, – nurodoma inspekcijos pranešime.

Tai reiškia, kad galutiniai baudų dydžiai dar nėra paskelbti. Vis dėlto tyrimo išvados atskleidžia, jog problemų būta keliose institucijose, atsakingose už jautrių duomenų apsaugą ir prieigos prie valstybinių registrų valdymą.

Viskas prasidėjo nuo dviejų elektroninio pašto paskyrų

Kaip anksčiau skelbė BNS, Generalinė prokuratūra gegužę pranešė tirianti galimus neteisėtus prisijungimus prie Registrų centro sistemų ir daugiau kaip 600 tūkst. Nekilnojamojo turto registro įrašų pasisavinimą. Tarp šiuose įrašuose buvusių duomenų – ir asmens kodai.

VDAI tyrimas atskleidė, kad duomenis pasisavinę asmenys pirmiausia neteisėtai prisijungė prie dviejų Migracijos departamento darbuotojų elektroninio pašto paskyrų. Pasinaudoję šia prieiga, jie galėjo pasiekti Nekilnojamojo turto registrą (NTR) ir Juridinių asmenų registrą (JAR).

Incidento mastas – didžiulis. VDAI duomenimis, buvo paveikti 678 976 Nekilnojamojo turto registro išrašai, susiję su 538 226 asmenimis. Taip pat paveikti 33 Juridinių asmenų registro išrašai, susiję su 66 asmenimis.

Šie skaičiai parodo, kad incidentas neapsiribojo keliomis neteisėtai atidarytomis bylomis ar pavieniais prisijungimais. Paveiktų registro išrašų skaičius siekia beveik 679 tūkstančius, o jų turinys susijęs su šimtais tūkstančių žmonių.

Neveikė svarbios apsaugos priemonės

Viena pagrindinių VDAI nustatytų problemų – nepakankama elektroninio pašto paskyrų apsauga. Už šią sistemą atsakingas Informatikos ir ryšių departamentas, inspekcijos vertinimu, neužtikrino tinkamos prieigos kontrolės.

Tyrimo metu nustatyta, kad nebuvo naudojamas kelių faktorių autentifikavimas (MFA) – papildoma prisijungimo patvirtinimo priemonė, galinti apsunkinti neteisėtą patekimą į paskyrą net ir sužinojus jos slaptažodį. Taip pat nebuvo įdiegtos papildomos prieigos kontrolės priemonės, o paskyrų užvaldymo rizika įvertinta netinkamai.

Rimtų trūkumų nustatyta ir Registrų centro sistemose. Inspekcijos teigimu, ši įstaiga neužtikrino tinkamos prieigos prie NTR ir JAR kontrolės.

„Nebuvo taikomas MFA, IP adresų filtravimas, o slaptažodžių kontrolė ir naudotojų užklausų stebėsena – nepakankami. Be to, apie incidentą laiku nepranešta VDAI ir duomenų subjektams“, – nurodo inspekcija.

Pastaroji aplinkybė ypač svarbi patiems gyventojams. Laiku sužinoję apie galimą asmens duomenų nutekėjimą, žmonės gali atidžiau stebėti įtartinus pranešimus, prisijungimo bandymus ar kitus galimo piktnaudžiavimo požymius.

Migracijos departamentui – papeikimas, nukentėjusieji kreipėsi į teismą

VDAI nustatė pažeidimų ir Migracijos departamento veikloje. Prašydamas Registrų centro suteikti darbuotojams prieigą prie registrų, departamentas nenurodė konkrečių išorinių IP adresų, iš kurių bus jungiamasi prie sistemų.

Inspekcijos vertinimu, taip nebuvo išnaudotos visos priemonės, galėjusios sumažinti neteisėtos prieigos riziką. Už šį trūkumą Migracijos departamentui skirtas papeikimas.

Tačiau institucijų atsakomybės klausimas tuo nesibaigia. Dėl nutekintų duomenų į teismą jau kreipėsi daugiau nei tūkstantis nukentėjusiųjų. Teismas nagrinės grupinį skundą, kurio vertė siekia mažiausiai 6,69 mln. eurų.

Tai atskiras procesas nuo VDAI pradėtų baudų skyrimo procedūrų. Administracinės baudos būtų taikomos už nustatytus duomenų apsaugos pažeidimus, o grupiniu skundu nukentėjusieji siekia apginti savo teises teisme.

VDAI sprendimas gali būti skundžiamas teisės aktų nustatyta tvarka. Kol kas lieka du svarbūs neatsakyti klausimai: kokio dydžio baudos galiausiai bus skirtos atsakingoms institucijoms ir kuo baigsis milijoninės vertės nukentėjusiųjų byla.