CeļvedisProfesionālais darbs
Bug bounty programma: ko patiesībā optimizē laba programma?
Laba bug bounty programma neoptimizē reportu skaitu. Tā optimizē kvalitatīvu pētnieku uzmanību, unikālu security signal, taisnīgu atlīdzību un remediation.
Publikācijas
Raksti
Analīze, gadījumu izpēte, profesionāli komentāri un praktiski ceļveži. Saturs zemāk ir grupēts pēc galvenās tēmas.
Satura sistēma
Trīs atšķirīgas dimensijas
Tēma pasaka, par ko ir publikācija; konteksts — kurā darba virzienā tā tapusi; formāts — kā materiāls strukturēts.
Tēma
Par ko ir saturs
Pilns arhīvs
Raksti pēc tēmām
Kiberdrošība
12 publikācijasCeļvedisProfesionālais darbs
CVD praksē: no ievainojamības ziņojuma līdz verificētai aizvēršanai
Praktisks CVD dzīves cikls: intake, acknowledgement, triage, reprodukcija, ownership, remediation, retest, disclosure un verificēta closure.
AnalīzeProfesionālais darbs
CVD, bug bounty un penetrācijas tests nav viens un tas pats
CVD, VDP, bug bounty, ielaušanās tests un red team atšķiras pēc mērķa, pilnvarojuma, tvēruma, atlīdzības un stop-condition. Praktisks salīdzinājums Latvijai.
AnalīzeProfesionālais darbs
Drošības izpēte kritiskajās sistēmās: atvērta ziņošana nenozīmē atvērtu testēšanu
Bankām, veselībai, enerģētikai, transportam un citām augsta kaitējuma sistēmām vajag diferencētu CVD un testēšanas modeli: public, registered, vetted un controlled.
CeļvedisProfesionālais darbs
Kiberdrošības pierādījumi un atbildība: kas īsti pieņem risku?
Drošības findingam nepietiek ar statusu Closed. Praktisks modelis risk ownership, residual risk, remediation evidence, neatkarīgai verifikācijai un auditējamiem lēmumiem.
AnalīzeProfesionālais darbs
Kiberdrošības sertifikācija: ko īsti pierāda kontrole, kas ir “ieviesta”?
Kāpēc sertifikācijai nepietiek pierādīt, ka kontrole ir ieviesta: vajag tvērumu, darbības efektivitāti, retestus, surveillance un skaidrus reassessment triggerus.
AnalīzeProfesionālais darbs
Labticīga kiberdrošības izpēte Latvijā: kur ir tiesiskā robeža?
Ko Latvijā drīkst darīt drošības pētnieks, lai pārbaudītu ievainojamību? CVD, 26-TA-1830, Krimināllikums, personas dati un minimāla pārbaude.
AnalīzeProfesionālais darbs
NIS2 un ievainojamību pētnieki: ko ES regulējums aizsargā un ko neaizsargā
NIS2 prasa koordinētu ievainojamību atklāšanu, bet pati nerada universālu safe harbour. Ko 12. pants, 60. apsvērums un Latvijas NKDL nozīmē drošības pētniekam?
CeļvedisProfesionālais darbs
No ievainojamību saraksta līdz pamatotam lēmumam: ko patiesībā labot vispirms?
Kā prioritizēt ievainojamības, nesajaucot CVSS smagumu, EPSS ekspluatācijas prognozi, KEV pierādītu ekspluatāciju un organizācijas faktisko risku.
CeļvedisProfesionālais darbs
No pentesta līdz TLPT: kā veidot slāņotu kiberdrošības assurance
Pentests, red team, purple team, CVD, bug bounty un TLPT nav viens un tas pats. Praktisks modelis, kā tos kombinēt slāņotā drošības assurance sistēmā.
AnalīzeProfesionālais darbs
Personas dati ievainojamību izpētē: ko darīt, ja pētnieks piekļūst datiem, kurus nemaz nemeklēja?
Ko darīt, ja ievainojamības pārbaudē parādās personas dati: pētnieka loma, tiesiskais pamats, minimālais pierādījums, glabāšana, ziņošana un dzēšana.
CeļvedisProfesionālais darbs
Secure-by-Design pirms ārējās izpētes: ko organizācijai jāizdara pašai
CVD un bug bounty neaizvieto Secure SDLC. Praktisks modelis threat modelling, drošām noklusējuma izvēlēm, dependency kontrolēm, release gates un feedback.
FinTech & RegTech
3 publikācijasAnalīzeProfesionālais darbs
Anti-fraud tīkla API Eiropā: kāpēc ar kopīgu sintaksi nepietiek
Kāpēc anti-fraud tīkla API sadarbspējai nepietiek ar vienādu OpenAPI shēmu: semantika, provenance, freshness, UNKNOWN stāvokļi, privātums un juridiskā robeža.
CeļvedisProfesionālais darbs
CRA ziņošana: 24 stundas, 72 stundas un kā nepazaudēt prasības jēgu
CRA 14. panta praktiska analīze: aktīvi izmantota ievainojamība, nopietns incidents, 24/72h termiņi, gala ziņojumi, SRP un biežākās kļūdas.
AnalīzeProfesionālais darbs
Kas īsti zvana? Caller ID, spoofing un pārbaudāmi krāpniecības signāli
Telefona numurs ekrānā nav identitātes pierādījums. Kā nošķirt numura kontroli, zvana izcelsmi un krāpniecības risku, neveidojot viltus 'verified = safe' signālu.
Atbildīgs AI
4 publikācijasAnalīzeProfesionālais darbs
AI slop nav tikai satura problēma — tā ir pārbaudes izmaksu problēma
AI padara ticama teksta, koda un apgalvojumu ģenerēšanu lētu. Ko tas dara ar triāžu, open source, tiesām un valsts pārvaldi, ja verifikācija joprojām maksā cilvēka laiku?
AnalīzeProfesionālais darbs
Ētiskais hakeris AI laikmetā: atklāšana kļūst lētāka, atbildība ne
Ko ģeneratīvais AI maina ētiskā hakera darbā: recon, hipotēzes un reporti kļūst lētāki, bet scope, validācija, ietekmes spriedums un atbildība paliek cilvēka darbs.
AnalīzeProfesionālais darbs
Ko patiesībā pierāda AI benchmarka rezultāts?
Kā lasīt AI benchmarku rezultātus bez pārspīlējuma: testa tvērums, datu izcelsme, valodu pārklājums, nenoteiktība, reproducējamība un saikne ar reālo lietojumu.
CeļvedisProfesionālais darbs
Pierādījumi ir svarīgāki par tekstu: minimālais standarts AI asistētam ievainojamības ziņojumam
Praktisks minimums AI asistētam ievainojamības ziņojumam: scope, reprodukcija, PoC, faktiskā ietekme, severity, datu minimizācija un reportera atbildība.
Mākonis & arhitektūra
2 publikācijasCeļvedisProfesionālais darbs
Datu suverenitāte nav tikai datu atrašanās vieta: kas patiesībā kontrolē jūsu datus un pakalpojumu?
Kā praktiski izmērīt kontroli pār datiem un digitālo infrastruktūru: identitāte, atslēgas, administrēšana, žurnāli, rezerves kopijas, portabilitāte un iziešana.
CeļvedisProfesionālais darbs
Digitālais pakalpojums krīzes režīmā: kā definēt drošu minimālo darbību un atgriešanos normālā režīmā
Kā digitālam pakalpojumam droši turpināt ierobežotu darbību, ja pazūd kritiska atkarība: minimālais pakalpojums, manuāls režīms, salāgošana un atjaunošana.
Digitālā pārvaldība
7 publikācijasAnalīzeLīdzdalība
Vēlēšanu noturība sākas pirms incidenta: ko piedāvāju CVK un ko parādīja 15. Saeimas vēlēšanas
Pirms vēlēšanām iesniedzu CVK noturības kontrolsarakstu. Vēlēšanu nedēļa parādīja rezerves režīmu, gatavības pierādījumu un feedback nozīmi.
AnalīzeLīdzdalība
Ārējie drošības pētnieki kā nacionālās kibernoturības slānis
Kā neatkarīgu pētnieku signālus savienot ar CVD, CERT/CSIRT, remediation, incident response un vulnerability intelligence, saglabājot valsts atbildību.
Gadījuma izpēteLīdzdalība
CSDD drošības izpētes lieta: ko tā patiesībā pasaka par ievainojamību ziņošanu Latvijā?
CSDD lietas pilna hronoloģija un juridiskās robežas: ievainojamības atklāšana, atlīdzība, publicēšanas draudi, izspiešana, apžēlošana un mācības CVD procesam.
CeļvedisLīdzdalība
Kiberdrošība publiskajos IKT iepirkumos: no līguma klauzulām līdz pārbaudāmam rezultātam
Kā publiskā IKT iepirkumā pārvērst kiberdrošības prasību pārbaudāmā rezultātā: juridiskā vieta, pierādījums, pieņemšana, remediation un līguma dzīves cikls.
AnalīzeLīdzdalība
Tiesības ziņot vēl nenozīmē pētnieku iesaisti
Juridiski skaidrs CVD ceļš ir tikai sākums. Pētnieku iesaisti nosaka uzticēšanās, atgriezeniskā saite, reputācija, atzinība un profesionālā attīstība.
AnalīzeLīdzdalība
Vai ētiskais hakerisms var būt sabiedrības līdzdalības forma?
Ko nozīmētu skatīt labticīgu drošības izpēti kā operacionālu sabiedrības līdzdalību kiberdrošībā — un kur ir šīs idejas juridiskās un praktiskās robežas.
AnalīzeLīdzdalība
Vai valsts spēj pierādīt, kas tika saskaņots, pieņemts un faktiski nodots ekspluatācijā?
Kā pierādīt, kas valsts IKT projektā tika saskaņots, pieņemts un faktiski nodots ekspluatācijā, neradot vēl vienu dokumentu un pierādījumu noliktavu.