Vai ētiskais hakerisms var būt sabiedrības līdzdalības forma?

Latvijā sabiedrības līdzdalībai attīstības plānošanas procesā ir konkrēts normatīvs ietvars.

Ministru kabineta noteikumi Nr. 639 nosaka sabiedrības līdzdalības kārtību valsts un pašvaldību institūciju virzītajā attīstības plānošanas procesā. To mērķis ir jēgpilna, efektīva, atklāta, ietveroša, savlaicīga un atbildīga sabiedrības līdzdalība; piedalīties var arī atsevišķas fiziskas personas.1

Šis regulējums aptver tādas formas kā:

• priekšlikumu sniegšanu;
• sabiedriskās apspriedes;
• publiskās konsultācijas;
• diskusijas;
• darba grupas;
• citus politikas un attīstības plānošanas līdzdalības veidus.1

Koordinētu ievainojamību atklāšanu nevajadzētu automātiski juridiski iespiest šajā kategorijā.

CVD primāri ir kiberdrošības un vulnerability-handling process, ne attīstības plānošanas procedūra.

Tāpēc formulējums:

“CVD Latvijā juridiski ir sabiedrības līdzdalība”

būtu pārāk plašs.

Valsts un sabiedrības attiecības nebeidzas ar normatīvo aktu komentēšanu.

Cilvēki ar savām zināšanām var radīt sabiedrisku vērtību arī praktiski:

• brīvprātīgi vākt vides datus;
• piedalīties citizen science;
• ziņot par infrastruktūras problēmām;
• sniegt profesionālu informāciju institūcijām;
• palīdzēt identificēt riskus, kurus centrālā sistēma pati nav pamanījusi.

Eiropas Komisija open science politikā aktīvu sabiedrības iesaisti, tostarp citizen science, apraksta kā vienu no veidiem, kā sabiedrība piedalās zināšanu radīšanā un pētniecībā.10

Citizen science nav tas pats, kas vulnerability research.

Taču analoģija palīdz vienā punktā:

sabiedrības loceklis var dot institucionālai sistēmai specializētu, pārbaudāmu informāciju, kuru sistēma pati nebija ieguvusi.

Kiberdrošībā šī informācija var būt tehnisks drošības signāls.

Es nošķirtu divas formas.

Demokrātiskā/politikas līdzdalība

Persona piedalās, piemēram:

• Nacionālās kiberdrošības likuma grozījumu apspriešanā;
• ministrijas konsultācijā;
• kiberdrošības stratēģijas izstrādē;
• priekšlikumu sagatavošanā;
• ekspertu darba grupā.

Šeit cilvēks palīdz ietekmēt noteikumus, politiku vai prioritātes.

Operacionālā līdzdalība

Persona ar tehniskām zināšanām:

• konstatē drošības problēmu;
• pārbauda to atļautā un samērīgā apjomā;
• dokumentē pierādījumu;
• nodod to kompetentajai pusei;
• palīdz novērst konkrētu sabiedriski nozīmīgu risku.

Šeit cilvēks nebalso par politiku.

Viņš dod sistēmai ārēju operacionālu signālu.

Šis otrais jēdziens nav Latvijas tiesību aktos definēta kategorija.

Tas ir autora analītisks modelis.

NIS2 12. pants prasa dalībvalstīm izraudzīties CSIRT, kas koordinē ievainojamību atklāšanu un vajadzības gadījumā darbojas kā uzticams starpnieks starp vulnerability ziņotāju un produkta vai pakalpojuma sniedzēju.2

Tas nozīmē, ka ES regulējums atzīst ārēja ziņotāja praktisko lomu vulnerability ecosystemā.

Tomēr NIS2 nesauc šo personu par “pilsoniskās līdzdalības dalībnieku”.

Arī šeit jānošķir:

regulēta CVD funkcija no autora pārvaldības interpretācijas par tās sabiedrisko nozīmi.

Šī atšķirība nav semantiska pedantija.

Tā pasargā no mēģinājuma politikas tēzi pasniegt kā spēkā esošu juridisku normu.

CERT.LV CVD platforma ir paredzēta valsts pārvaldes iestāžu un Latvijā reģistrētu uzņēmumu resursos identificēto ievainojamību ziņošanai un apstrādei.3

Platforma reģistrē ziņojumus un ar tiem saistīto komunikāciju starp iesaistītajām pusēm; CERT.LV pilda CVD koordinatora lomu.4

2026. gada septembrī platformā darbojas arī programmas tādām publiski nozīmīgām organizācijām kā:

• Valsts ieņēmumu dienests;
• Centrālā vēlēšanu komisija;
• Latvenergo;
• Sadales tīkls;
• LVRTC.56789

Šie piemēri nepadara drošības pētnieku par valsts amatpersonu vai oficiālu sabiedrības pārstāvi.

Tie parāda ko vienkāršāku:

valsts un sabiedrībai nozīmīgas organizācijas jau ir izveidojušas kontrolētu kanālu, kurā ārēja tehniska kompetence var dot praktisku drošības ieguldījumu.

Tas ir institucionāls pamats, uz kura vispār iespējams runāt par operacionālu līdzdalību.

Ne katrs security finding.

Ne katrs bounty.

Ne katrs pentests.

Es izmantotu sešu nosacījumu testu.

1. Ir sabiedriski nozīmīgs drošības ieguvums

Finding skar, piemēram:

• publisku digitālu pakalpojumu;
• būtisku infrastruktūru;
• plašu lietotāju loku;
• personas datu drošību;
• uzticamu digitālu procesu.

Ja pētnieks par atlīdzību atrod kļūdu privātā spēlē bez plašākas sabiedriskas nozīmes, to nav nepieciešams pārdēvēt par pilsonisku līdzdalību.

2. Rīcībai ir tiesisks un procesuāls ietvars

Sabiedrisks mērķis pats par sevi nelegalizē neatļautu piekļuvi.

Jāievēro:

• atļautais scope;
• piemērojamās tiesības;
• VDP/CVD noteikumi;
• testēšanas ierobežojumi.

3. Tiek izmantots minimāli nepieciešamais evidence

Mērķis ir pierādīt security condition.

Ne maksimāli izmantot ievainojamību.

4. Tiek minimizēts kaitējums

Nav nevajadzīgas:

• datu iegūšanas;
• sistēmas traucēšanas;
• persistence;
• trešo pušu ietekmēšanas.

5. Informācija tiek nodota atbildīgai pusei

Sabiedriskā vērtība rodas ne tikai no “es atradu”.

Tai vajag:

6. Pētnieks saglabā atbildību par savu rīcību

“Sabiedrības interesēs” nav carte blanche.

Pētniekam joprojām jāspēj pamatot:

• ko viņš darīja;
• kāpēc;
• kādā apjomā;
• kad apstājās;
• ko nodeva tālāk.

Tikai šādā kombinācijā jēdziens “operacionālā līdzdalība” iegūst saturu.

Šeit ir svarīgs skeptiķa iebildums:

Vai valsts vienkārši mēģina nodot savu kiberdrošību bezmaksas brīvprātīgajiem?

Ja tā būtu — modelis būtu slikts.

Valsts vai organizācijas pienākums paliek:

• projektēt drošas sistēmas;
• finansēt drošību;
• veikt threat modelling;
• testēt;
• uzturēt monitoring;
• reaģēt uz incidentiem;
• novērst vulnerabilities;
• uzturēt profesionālu personālu.

Ārējais researchers ir papildu sensors, ne aizvietojošs drošības dienests.

Šī pati robeža ir svarīga arī Secure-by-Design modelī.

Arī to nedrīkst sajaukt.

Vulnerability researcher parasti:

• identificē;
• pierāda;
• ziņo.

Incident responder:

• izmeklē kompromitāciju;
• veic containment;
• eradication;
• recovery;
• koordinē incidenta vadību.

Pētniekam var būt prasmes abās jomās.

Tas automātiski nepiešķir viņam mandātu abām lomām.

Operacionalizēta sabiedrības līdzdalība nozīmē skaidru handoff, ne lomu saplūšanu.

Vēl viens iebildums:

Ja pētnieks saņem naudu, tā vairs nav pilsoniska līdzdalība.

Tas ir pārāk vienkārši.

Daudzas sabiedriski noderīgas darbības var būt profesionālas un apmaksātas.

Taču arī pretējais secinājums būtu kļūdains:

katrs bounty hunter ir civic participant.

Komerciālā programmā galvenā attiecība var būt:

Tas ir pilnīgi leģitīms tirgus modelis.

Sabiedriskās līdzdalības interpretācija kļūst pamatotāka tad, ja konkrētais darbs vienlaikus rada skaidru publisko vērtību un ietilpst uzticamā sabiedriski nozīmīga risku mazināšanas sistēmā.

Tāpēc “civic” nav atkarīgs tikai no tā, vai nauda tiek maksāta.

Tas ir atkarīgs no funkcijas un konteksta.

Šis ir viens no būtiskākajiem ierobežojumiem.

Persona nevar vienpersoniski pateikt:

es darbojos sabiedrības interesēs, tāpēc drīkstu darīt visu, ko uzskatu par tehniski vajadzīgu.

Tas iznīcinātu robežu starp good-faith research un patvaļīgu rīcību.

Sabiedriskās vērtības modelim vajag ārēji pārbaudāmus kritērijus:

• proporciju;
• minimizāciju;
• scope;
• evidence;
• koordināciju;
• atbildību.

Labticīgs nolūks ir svarīgs.

Ar nolūku vien nepietiek.

Citizen science var iesaistīt sabiedrību:

• datu vākšanā;
• novērošanā;
• datu apstrādē;
• jautājumu formulēšanā;
• rezultātu izvērtēšanā.11

Līdzība ar vulnerability research ir decentralizētā novērošanā:

daudzi ārēji cilvēki var pamanīt kaut ko, ko centralizēta profesionāla sistēma pati nepamana.

Atšķirība ir risks.

Putnu sugas novērojuma kļūda parasti nerada sistēmas kompromitāciju.

Security research var skart:

• piekļuves kontroli;
• personas datus;
• sistēmu pieejamību;
• trešo pušu infrastruktūru.

Tāpēc cybersecurity “citizen participation” vajag daudz stingrākas atļaujas un stop rules.

Bez procesa:

Ar procesu:

Tieši šī institucionālā transformācija ir būtiska.

Sabiedrības līdzdalība nav tikai cilvēka nodoms palīdzēt.

Vajag arī valsts vai organizācijas spēju šo palīdzību droši absorbēt.

Ja valsts vēlas sabiedrības tehnisko ieguldījumu, tai nevajadzētu izturēties pret pētnieku kā pret vienvirziena sensoru.

Vismaz process-wise pētniekam vajag saprast:

• reports saņemts;
• vai tas ir pamatots;
• vai notiek remediation;
• kad tas ir aizvērts;
• vai disclosure būs iespējama.

Tas nenozīmē tiesības saņemt konfidenciālu infrastruktūras informāciju.

Tas nozīmē cieņpilnu procesa atgriezenisko saiti.

Bez tās “līdzdalība” kļūst par:

nodod mums informāciju un pazūdi.

Tas ir vājš ekosistēmas modelis.

Par researcher participation detalizēti: Tiesības ziņot vēl nenozīmē pētnieku iesaisti.

Ne obligāti.

Te ir svarīgi nejaukt:

• juridisku drošības pētnieka atļauju;
• CVD procesu;
• politikas valodu par sabiedrības iesaisti.

Likuma uzdevums var būt ļoti konkrēts:

• kas drīkst ko darīt;
• kā ziņo;
• kā tiek aizsargāta informācija;
• kur ir atbildības robežas.

Savukārt “operacionāla sabiedrības līdzdalība” var būt noderīgāka:

• kiberdrošības stratēģijā;
• programmu dizainā;
• valsts pārvaldes metodikā;
• sabiedrības komunikācijā;
• pētnieku iesaistes politikā.

Jēdziens nav vērtīgs tāpēc, ka tas labi skan.

Tas ir vērtīgs tikai tad, ja maina to, kā institūcija projektē attiecības ar ārēju pētnieku.

Ja drošības researchers tiek uztverts tikai kā:

persona ārpus perimetra, kura rada juridisku risku,

organizācijas dabiskais instinkts ir samazināt kontaktu.

Ja viņš tiek uztverts tikai kā:

bezmaksas pentesteris,

organizācija externalizē savu drošības pienākumu.

Abas perspektīvas ir nepilnīgas.

Trešais modelis ir:

neatkarīgs ārējs drošības signāla avots ar definētām tiesībām, robežām un atbildību.

Tas var veicināt:

• labāku intake;
• skaidrākus noteikumus;
• profesionālāku triage;
• feedback;
• researcher recognition;
• pārdomātāku escalation;
• stiprāku ārējo uzticēšanos CVD procesam.

Tas ir pārvaldības ieguvums, ne jauna “hakera privilēģija”.

“Tas romantizē hakerus”

Varētu, ja jēdziens tiktu attiecināts uz jebkuru nesankcionētu rīcību.

Tāpēc modelim vajag stingru good-faith, scope, proportionality un handoff robežu.

“Tas rada divu līmeņu pilsonību — tikai tehniski cilvēki var piedalīties”

Nē, ja jēdziens tiek lietots kā viena no daudzām sabiedrības iesaistes formām.

Tehniska līdzdalība neaizstāj publiskās konsultācijas, vēlēšanas, pilsoniskās organizācijas vai citus līdzdalības ceļus.

“Valsts izmantos bezmaksas darbu”

Šis risks ir reāls.

Tāpēc ārējais pētnieks nedrīkst aizvietot finansētu profesionālo drošības kapacitāti. Atlīdzības, atzinības un profesionālas attiecības jautājumi jārisina atsevišķi.

“Pētniekiem nav demokrātiska mandāta”

Pareizi.

Šajā modelī viņi nepieņem politikas lēmumus.

Viņi dod tehnisku evidence.

Lēmums par remediation, prioritāti, publiskošanu un politiku paliek atbildīgajām institūcijām.

“Finding var būt kļūdains”

Arī pareizi.

Tāpēc CVD vajag validation un reproduction.

Sabiedrības iesaiste nepadara ārēju apgalvojumu automātiski patiesu.

Es to formulētu šādi:

Tas nav tiesību normas projekts.

Tas ir pārvaldības modelis.

Nav vajadzīgs simbolisks statuss.

Praktiskāk būtu:

• uzturēt kvalitatīvu CVD infrastruktūru;
• skaidrot testēšanas atļaujas un tiesiskā pamata robežas;
• samazināt juridisko nenoteiktību;
• publicēt saprotamu scope;
• atzīt kvalitatīvu pētnieku ieguldījumu;
• dot feedback;
• radīt progression iespējas;
• vajadzīgajos gadījumos izmantot bounty vai controlled research;
• mērīt procesa efektivitāti.

CERT.LV CVD platforma jau ir konkrēts pamats daļai no šīs arhitektūras.34

Tālākās izvēles ir politikas dizaina jautājumi.

Ētiskais hakerisms nav automātiski sabiedrības līdzdalība.

Un “sabiedrības intereses” nav atļauja pārkāpt sistēmu robežas.

Taču arī otrs ekstrēms ir pārāk šaurs:

ārējais drošības pētnieks ir tikai svešinieks, kuram organizācija negribīgi ļauj atsūtīt e-pastu.

Mūsdienu digitālā sabiedrībā neatkarīga tehniskā kompetence var radīt publisku vērtību ļoti konkrētā veidā:

pamanīt risku → minimāli to pierādīt → atbildīgi nodot → palīdzēt to novērst.

Ja šī ķēde notiek skaidrā tiesiskā un procesuālā ietvarā, es to uzskatu par pamatotu saukt par:

operacionālu sabiedrības līdzdalību kiberdrošībā.

Ne juridiska statusa nozīmē.

Pārvaldības nozīmē.

Tādu līdzdalību nevajag romantizēt.

To vajag projektēt.

Avoti un Latvijas normatīvais statuss pārbaudīti 2026. gada 25. septembrī. Jēdziens “operacionāla sabiedrības līdzdalība kiberdrošībā”, sešu nosacījumu tests un astoņu soļu modelis ir autora analītisks/politikas priekšlikuma ietvars, ne Latvijas vai ES tiesībās definēta juridiska kategorija.

Šis raksts ir kiberdrošības pārvaldības un sabiedrības līdzdalības konceptuāla analīze, ne juridisks atzinums par konkrētas testēšanas darbības tiesiskumu.