Kritisko valsts reģistru uzbrukumi: kā nosargāt datu integritāti un sabiedrības uzticēšanos?

Iedomāsimies, ka valsts reģistrā tiek neatļauti mainīts ieraksts par juridiskas personas pārstāvības tiesībām. E-pakalpojums turpina darboties, iedzīvotāji var autentificēties, datubāze atbild uz pieprasījumiem un sistēmas uzraudzība neuzrāda būtiskus pieejamības traucējumus. Tomēr vienam ierakstam ir mainīta vērtība, kas var ietekmēt turpmākus administratīvus vai komerciālus lēmumus. Ja šādu informāciju izmanto citas sistēmas, kļūdains ieraksts var tikt automātiski pārņemts, reproducēts dokumentos vai izmantots par pamatu jaunām darbībām. Vēlāka sākotnējā reģistra labošana ne vienmēr pati par sevi atceļ visus jau radušos rezultātus.

Tas ir hipotētisks scenārijs, nevis apgalvojums par konkrētu notikušu uzbrukumu Latvijas valsts reģistram. Taču tas ilustrē problēmu, kuru parastā pakalpojumu pieejamības uzraudzība var nepamanīt. Digitālajā pārvaldē datu integritāte nav tikai tehniska īpašība. Reģistra ieraksts var būt saistīts ar īpašuma tiesībām, personas statusu, uzņēmuma pārstāvību, atļaujām, saistībām vai publiskā sektora lēmumiem. Dažādām datu kategorijām ir atšķirīgs juridiskais spēks un labošanas procedūras, tāpēc viena universāla tehniska atjaunošanas metode nav pietiekama.

Tehniskā integritāte palīdz noskaidrot, vai dati ir mainīti un kādā veidā. Taču tā vēl neatbild uz jautājumu, vai izmaiņa bija tiesiski pamatota, vai sākotnējais ieraksts bija pareizs un kurš drīkst apstiprināt laboto vērtību. NIST SP 1800-11 pievēršas datu bojāšanas incidentiem un uzsver nepieciešamību atjaunot informāciju, kuras precizitātei organizācija var uzticēties. Eiropas Savienības autentisko avotu un elektronisko apliecinājumu regulējums savukārt parāda, cik liela nozīme ir drošai, pārbaudāmai informācijas izcelsmei starp digitālajiem pakalpojumiem. S01S02

Šā raksta mērķis ir piedāvāt pierādījumos balstītu pieeju kritisko reģistru integritātes aizsardzībai un atjaunošanai, nošķirot tehniskās pārbaudes, datu semantisko pareizību un juridisku lēmumu pieņemšanu.

Kiberdrošības vērtējumos bieži izmanto konfidencialitātes, integritātes un pieejamības nošķīrumu. Tas ir īpaši svarīgi valsts reģistru gadījumā, jo traucējumi katrā no šīm dimensijām var radīt būtiski atšķirīgas sekas. Ja publiskais pakalpojums nav pieejams, problēma parasti ir redzama. Lietotājs nevar pieprasīt izziņu, institūcija nevar veikt noteiktu darbību vai dati netiek nodoti partneru sistēmām. Ja notikusi datu noplūde, var tikt apdraudēta personu vai organizāciju konfidencialitāte, un nepieciešams novērtēt turpmākas informācijas ļaunprātīgas izmantošanas risku.

Integritātes incidents ir sarežģītāks. Sistēma var būt pieejama un tās lietotāji var saņemt tehniski pareizi noformētas atbildes, kas balstītas kļūdainā pamatinformācijā. Lietotājam nav obligāti jāredz kļūdas pazīme. Reģistru ierakstiem bieži ir institucionāls uzticamības statuss. Persona vai cita informācijas sistēma tos izmanto nevis tāpēc, ka patstāvīgi pārbaudījusi katru faktu, bet tāpēc, ka attiecīgais reģistrs ir noteikts par autoritatīvu informācijas avotu. Tādēļ kļūdains ieraksts var radīt lielāku kaitējumu nekā identiska kļūda neoficiālā datu kopā.

Tas nenozīmē, ka valsts reģistra ieraksts jebkurā situācijā ir juridiski neapstrīdams. Katra reģistra tiesiskais režīms un ieraksta nozīme jāvērtē atsevišķi. Tomēr autoritatīva avota funkcija rada paaugstinātas prasības izmaiņu izcelsmes, saskaņotības un labošanas kontrolei. NIST SP 1800-11 norāda, ka datus var bojāt ne tikai ļaunprātīga programmatūra, bet arī iekšēja ļaunprātīga rīcība vai kļūdas. Tāpat vienlaikus var būt nepieciešama operētājsistēmu, datubāzu, lietojumprogrammu un konfigurāciju atjaunošana. S01

Ne visi ieraksti rada vienādu risku. Atsevišķa informatīva lauka kļūdai var būt ierobežotas sekas, kamēr cita lauka neatļauta izmaiņa var ietekmēt tiesības, maksājumus vai valsts pieņemtu lēmumu. Piemēram, kritiskas var būt identitātes sasaistes, juridiskas personas pārstāvības tiesības, zemes vai citu objektu tiesiskā statusa dati, licenču derīgums, administratīvu lēmumu statuss un informācija, ko izmanto automatizētos atbilstības novērtējumos. Šīs ir riska kategoriju ilustrācijas, nevis apgalvojums, ka visiem attiecīgajiem reģistriem ir vienāda datu struktūra vai juridiskā procedūra.

Prioritizējot ierakstus, es vērtētu trīs īpašības: to juridisko vai administratīvo nozīmi, iespējamo tālāko izmantošanu un kļūdas atgriezeniskumu. Ja kļūdainais ieraksts tiek izmantots tikai vienā sistēmā un to iespējams vienkārši pārbaudīt pret neatkarīgu pirmavotu, risks var būt ierobežotāks. Ja tas automātiski izplatās vairākās iestādēs un kļūst par pamatu jaunām darbībām, sekas ir daudz sarežģītākas. Būtiski noteikt arī, kurš konkrētajā datu laukā ir autoritatīvais avots. Ne vienmēr sistēma, kura lietotājam parāda ierakstu, ir tā, kurā informācija sākotnēji radīta vai juridiski apstiprināta.

Visvienkāršākā kļūda būtu integritātes uzbrukumus iztēloties tikai kā tiešu datubāzes administratora darbību. Reģistra ierakstu var ietekmēt arī kompromitēta lietotāja identitāte, ievainojama lietojumprogrammas funkcija, kļūdains integrācijas process vai manipulācija ar datiem pirms to nonākšanas reģistrā. Uzbrucējam ne vienmēr nepieciešams mainīt datubāzi tieši. Ja lietojumprogramma pieņem izmaiņu kā autorizētu, vēlākajos žurnālos tā var izskatīties pēc parastas biznesa transakcijas. Savukārt, ja kompromitēts pakalpojuma konts, izmaiņas tehniskā izcelsme var norādīt uz automatizācijas komponentu, bet ne uz faktisko personu vai procesu, kas to ļaunprātīgi izmantojis.

Iespējamas arī nelaundabīgas kļūmes: nekorekta migrācija, kļūda datu transformācijas noteikumos, asinhronas integrācijas atkārtota ziņojuma apstrāde vai manuāli ievadīta nepareiza vērtība. Šādus gadījumus nedrīkst automātiski uzskatīt par uzbrukumiem. Tāpēc drošības kontrolei jāspēj atšķirt vismaz trīs situācijas: tehniski neatļautu izmaiņu, tehniski autorizētu, bet iespējami prettiesisku izmaiņu un kļūdainu, bet godprātīgi veiktu izmaiņu. Viena autentifikācijas vai autorizācijas žurnāla pārbaude ne vienmēr ļaus noteikt atšķirību. ENISA 2025. gada publiskās pārvaldes apdraudējumu analīze rāda, ka publiskajam sektoram aktuāli dažādi incidenti — no DDoS līdz datu noplūdēm un izspiedējprogrammatūrai. Taču šo kategoriju statistiku nevar izmantot kā pierādījumu, ka konkrētā reģistrā ir notikušas neatļautas datu izmaiņas. S03

Reģistra integritātei ar datubāzes ierakstu vien nepietiek. Izmeklēšanas vai strīda gadījumā nepieciešams noskaidrot, kā ieraksts radies, uz kāda pamata to drīkstēja izveidot vai mainīt un kā tā vērtība nonākusi līdz pašreizējam stāvoklim. Piedāvāju izmantot sešu elementu pierādījumu ķēdi. Tā ir autora analītiska metode, nevis oficiāla Latvijas valsts reģistru tehniskā specifikācija.

Tehniskā puse var izmantot darījumu žurnālus, izmaiņu vēsturi, digitālus parakstus, integritātes kontrolsummas un aizsargātas audita sistēmas. Tomēr katrs instruments apliecina atšķirīgu īpašību. Piemēram, kriptogrāfisks paraksts var palīdzēt pārbaudīt datu izcelsmes sasaisti ar noteiktu atslēgu un to, ka parakstītais saturs pēc parakstīšanas nav mainīts. Tas vēl nenozīmē, ka parakstītā informācija faktoloģiski bija patiesa vai ka visas darbības, kas noveda pie parakstīšanas, bija tiesiskas. Līdzīgi nemaināms audita žurnāls var palīdzēt saglabāt pierādījumus par reģistrētajām darbībām, bet nevar fiksēt notikumu, kuru sākotnējā sistēma nekad nav žurnalējusi. Arī kvalitatīvai auditēšanai vajadzīga uzticama identitāšu, laika avotu un datu iegūšanas kontrole.

Iespējamā kompromitēšanā vispirms jānoskaidro, kuri ieraksti ir apdraudēti un kādas darbības ar tiem notikušas. Tas var prasīt salīdzināt izmaiņu žurnālus, datubāzes transakcijas, lietojumprogrammu audita notikumus, identitātes ierakstus un sākotnējos dokumentus. Taču drošības speciālistam nevajadzētu vienpersoniski noteikt juridiski pareizo ieraksta vērtību, ja tā ir atkarīga no administratīva lēmuma vai kompetentas institūcijas pilnvarām. Tehniskais speciālists var apstiprināt, ka ieraksts tika mainīts noteiktā laikā un ka tas neatbilst pierādītai iepriekšējai versijai. Tiesiskā pamata noteikšana var būt attiecīgās institūcijas un juridisko speciālistu kompetencē.

Ja sistēma apstiprina, ka izmaiņu veikusi pilnvarota lietotāja identitāte, ar to vēl nepietiek. Jāvērtē, vai sesija varēja būt kompromitēta, vai bija atbilstošs darba uzdevums, kāda darbība tika pieprasīta un kādi ierobežojumi piemēroti. Sarežģītāka situācija rodas, ja ieraksta iepriekšējā versija neatbilst vēl agrākam juridiskam pamatam. Vienkārša tehniska atgriešanās iepriekšējā datubāzes stāvoklī tad var atjaunot vēsturiski saglabātu kļūdu, nevis pareizo juridisko stāvokli. Tāpēc incidenta izmeklēšanai jābūt saistītai ar kompetentu datu labošanas procesu, bet abi uzdevumi nedrīkst tikt sajaukti.

Valsts informācijas sistēmas neveido izolētu vidi. Datus var izmantot citas iestādes, pašvaldības, privāti pakalpojumu sniedzēji un automatizētas apmaiņas platformas atbilstoši tiesiskajam regulējumam. Eiropas Savienības Vienreizes principa tehniskā sistēma jeb Once-Only Technical System paredz noteiktu pierādījumu pārrobežu apmaiņas arhitektūru. Komisijas Īstenošanas regula (ES) 2022/1463 definē pierādījumu pieprasītāju, sniedzēju un starpniekplatformu pienākumus un tehniskās lomas. S04 Šī regula nenozīmē, ka visi Latvijas valsts reģistri automātiski apmainās ar jebkuriem datiem vienā sistēmā. Taču tā ilustrē būtisku digitālās pārvaldes arhitektūras principu: iestādes var paļauties uz informāciju, kuru iegūst no cita autoritatīva avota.

Ja pamatavotā konstatēta kļūdaina izmaiņa, nepieciešams noskaidrot arī tās izplatības robežas. Kuras sistēmas saņēmušas kļūdaino vērtību? Vai tās to izmantoja tikai informatīvi vai arī pieņēma turpmākus lēmumus? Vai informācija ir kešota, arhivēta vai iekļauta jau izsniegtos dokumentos? Vienīgi nosūtot labotu ierakstu, šis jautājums ne vienmēr tiek atrisināts. Katrai saņēmējsistēmai var būt atšķirīgi atjaunināšanas noteikumi, un daļa iepriekšējo lēmumu var prasīt atsevišķu pārskatīšanu. Tādēļ kritiska reģistra integritātes arhitektūrā es paredzētu iespēju identificēt konkrētas ieraksta versijas saņēmējus un, kad tiesiski un tehniski iespējams, organizēt kontrolētu kļūdu labošanas paziņošanu.

Rezerves kopija var saturēt tehniski konsekventu datubāzes stāvokli, kas jau ietver neatļauti mainītu ierakstu. Tā var būt droši glabāta, šifrēta un nemaināma pēc izveidošanas, taču tas neapliecina, ka visi tajā esošie dati bija pareizi kopēšanas brīdī. Ja integritātes pārkāpums atklāts tikai pēc vairākām dienām, organizācijai jānoskaidro iespējamais bojāšanas intervāls un jāizvēlas atkopšanas punkts, kuram ir pietiekams pamatojums. Turklāt var izrādīties, ka drošs atkopšanas punkts eksistē tikai daļai datu, kamēr citas leģitīmas darbības jau notikušas vēlāk.

Pilnīga atgriešanās vecākā stāvoklī var izdzēst vēlākus pareizus ierakstus. Savukārt izvēlēta ieraksta atjaunošana var radīt nesaskaņotību ar saistītajiem objektiem vai citām sistēmām. NIST SP 1800-11 tieši aplūko datu integritātes incidentu atkopšanu, uzsverot pareizu datu atjaunošanas un audita nozīmi. S01 Kritiska valsts reģistra gadījumā atjaunošana ir tehnisks un institucionāls process. Jānosaka, kuras vērtības ir pierādīti pareizas, kā korekti atjaunot saistītos ierakstus un kuram ir pilnvaras apstiprināt rezultātu.

Ierosinu reģistra integritātes incidentu izvērtēt četros savstarpēji saistītos slāņos.

Šī matrica nav oficiāls normatīvā akta pielikums. Tā ir autora piedāvāta novērtēšanas struktūra, kurā tehniskie pierādījumi nav sajaukti ar juridisku apstiprinājumu. Īpaši svarīgi ir skaidri nodalīt statusus. “Nav konstatētas neatļautas izmaiņas” nav tas pats, kas “pierādīts, ka neatļautas izmaiņas nav iespējamas”. Tāpat “nav pieejamu žurnālu” nav pierādījums incidenta neesamībai. Ja nav iespējams apstiprināt ieraksta pareizību, jābūt paredzētam darbības režīmam, kurā šis ierobežojums tiek izskaidrots un nepieļauj nepamatotu paļaušanos uz apdraudētu informāciju. Konkrētais risinājums atkarīgs no reģistra funkcijas un piemērojamajām tiesību normām.

Sabiedrības uzticēšanās valsts digitālajiem pakalpojumiem ir atkarīga arī no informācijas precizitātes incidenta laikā. Ja iestāde paziņo, ka reģistrs ir atjaunots, cilvēkiem var rasties priekšstats, ka visas ziņas tajā ir pārbaudītas. Tomēr tehniska sistēmas pieejamība un datu integritātes pārbaudes pabeigšana var būt divi atšķirīgi stāvokļi. Tāpēc integritātes incidentā būtu jānošķir, vai pakalpojums ir pieejams, kuras datu kategorijas ir pārbaudītas, kurās saglabājas nenoteiktība un kā persona var apstrīdēt vai lūgt pārbaudīt iespējami kļūdainu ierakstu.

Nevajadzētu publiskot neapstiprinātu informāciju par uzbrucēja identitāti, ietekmi vai iespējami skartajiem ierakstiem. Tomēr arī pārmērīga vispārība var būt kaitīga, īpaši tad, ja personām nepieciešams zināt, vai droši paļauties uz konkrētu reģistra datu kategoriju. Te var būt nepieciešama juridiski koordinēta komunikācija, jo informācijas izsniegšana, ierakstu labošanas procedūras un personu tiesības dažādos reģistros atšķiras. Sabiedrības uzticēšanos nevar atjaunot tikai ar deklarāciju, ka drošība ir pastiprināta. Daudz nozīmīgāks ir pārbaudāms skaidrojums par problēmas tvērumu, labošanas kārtību un institucionālo atbildību.

Latvijas Valsts informācijas sistēmu likums nosaka valsts informācijas sistēmas un tās pārziņa pamatjēdzienus un regulē valsts informācijas sistēmu darbības un informācijas aprites jautājumus. Konkrētā reģistra tiesiskais spēks, ierakstu veidošanas nosacījumi un apstrīdēšanas procedūras var būt noteiktas arī specializētos normatīvajos aktos. S05 Nacionālās kiberdrošības likums paredz kiberdrošības pārvaldības sistēmu noteiktām subjektu kategorijām un ir jāpiemēro kopā ar tam pakārtotajām prasībām. Tas automātiski nepadara vienādas visas valsts informācijas sistēmu drošības un juridiskās darbības procedūras. S06

Eiropas Savienībā NIS2 direktīva regulē kiberdrošības risku pārvaldības pienākumus attiecīgajiem subjektiem, bet tā neievieš vienotu juridisku procedūru visu dalībvalstu reģistru ierakstu atjaunošanai. Savukārt eIDAS ietvars un Komisijas Īstenošanas regula (ES) 2025/1569 attiecas uz elektroniskiem atribūtu apliecinājumiem un autentiskajiem avotiem atbilstoši regulējuma tvērumam. Tā aktualizētā, 2026. gada 11. augusta konsolidētā redakcija jāņem vērā, izmantojot šo regulējumu arhitektūras vai juridiskā novērtējumā. S07 Šos regulējumus nedrīkst mehāniski apvienot vienā universālā sertifikācijas prasībā. Katras sistēmas konkrētās juridiskās un tehniskās saistības jānosaka pēc tās statusa, funkcijas un piemērojamajām normām.

Pārbaudē es neaprobežotos ar datubāzes atjaunošanu no rezerves kopijas. Izvēlētos nelielu, izolētu testa datu kopu ar zināmu juridisko vai procesuālo pamatu un iepriekš noteiktu pareizo ierakstu stāvokli. Pēc tam kontrolētā vidē tiktu modelēta neatļauta vai kļūdaina izmaiņa vienā ierakstā. Mācību komandai būtu jānosaka izmaiņas laiks, izcelsme, skartie ieraksti un atkarīgās sistēmas, kas saņēmušas kļūdaino informāciju. Atsevišķa komanda izvērtētu, kā pierādāma pareizā vērtība. Pēc tam tiktu pārbaudīta labošanas procedūra, rezultāta pieņemšana un nepieciešamās informācijas nodošana atkarīgajām sistēmām.

Mācībās es iekļautu arī komunikācijas uzdevumu: kā precīzi informēt par reģistra darbības stāvokli, ja tehniska pieejamība ir atjaunota, bet daļas ierakstu pareizība vēl tiek pārbaudīta? Šāds tests nevar pierādīt visu reģistra ierakstu pareizību reālajā vidē. Tomēr tas ļauj pārbaudīt, vai pastāv nepieciešamie izmeklēšanas, autorizācijas, juridiskās apstiprināšanas un starpsistēmu labošanas procesi.

Ja reģistra datu izmaiņa ir apšaubāma, nepietiek pierādīt, ka kādreiz pastāvējusi cita vērtība. Jānoskaidro, kurš bija tiesīgs ierakstu mainīt, kāds juridiskais vai administratīvais pamats šai izmaiņai bija, kā tā izplatījās uz atkarīgajām sistēmām un kuras personas varēja pieņemt lēmumus, balstoties uz kļūdainajiem datiem. Vienas datubāzes atjaunošana var atstāt nevienādus ierakstus citos valsts vai privātajos pakalpojumos. Pārbaudes scenārijā izvēlētos vienu kontrolētu ierakstu un simulētu neatļautu izmaiņu, neizmantojot reālu personu datus. Vērtētu, cik ātri pamanāma neatbilstība, vai iespējams pierādīt ieraksta iepriekšējo stāvokli un vai labojums korekti izplatās pa visām atļautajām datu apmaiņas ķēdēm. Pēc incidenta sabiedrības uzticēšanos atjauno nevis vispārīgs paziņojums par sistēmas darbību, bet pārbaudāma atbilde par datu patiesumu un korekciju robežām.

Vispārīgi kiberincidentu statistikas rādītāji nevar aizstāt pierādījumus par konkrēta reģistra ieraksta neatļautu izmaiņu. Arī Eiropas pārrobežu datu apmaiņas tehniskie noteikumi paši par sevi nenosaka katra Latvijas valsts reģistra ieraksta juridisko spēku vai apstrīdēšanas kārtību. Šādos gadījumos tehniskā izcelsmes izsekojamība jāvērtē kopā ar attiecīgā reģistra speciālo tiesisko regulējumu.

Valsts reģistra integritātes incidents var būt īpaši sarežģīts tāpēc, ka bojāta informācija saglabā autoritatīva avota ārējo formu. Sistēma var darboties, ieraksti var būt tehniski korekti noformēti, un lietotāji var turpināt tos izmantot, nepamanot, ka viena vai vairākas vērtības ir nepareizas. Tāpēc kritiskajiem reģistriem nepieciešams vairāk par pieejamības uzraudzību un rezerves kopijām. Vajadzīga pierādāma izmaiņu izcelsme, pilnvarojuma kontrole, ierakstu vēsture, korekta juridiskā labošanas procedūra un spēja identificēt, kur kļūdaina informācija izmantota tālāk.

Manuprāt, centrālajam jautājumam jābūt nevis “vai datubāze ir atjaunota?”, bet gan “uz kāda pierādījuma pamata mēs apstiprinām, ka šie ieraksti atkal ir uzticami?”. Ja atbilde ir tikai tas, ka datubāze veiksmīgi startējusies un tās kontrolsummas sakrīt ar rezerves kopiju, ar to nepietiek. Tehniska kopijas integritāte nav juridiskas patiesības apliecinājums. Sabiedrības uzticēšanās atjaunošanai ir nepieciešama gan pārbaudāma tehniskā kontrole, gan skaidri definēta institucionālā atbildība.