Vēlēšanu noturība sākas pirms incidenta: ko piedāvāju CVK un ko parādīja 15. Saeimas vēlēšanas

Priekšlikumā vēlēšanu noturību skatīju nevis kā vienas informācijas sistēmas darbspēju, bet kā savstarpēji saistītu procesu: vēlētāja tiesību pārbaude, balsošana, datu un dokumentu fiksēšana, glabāšana, balsu skaitīšana, rezultātu apkopošana, publicēšana un spēja pēc incidenta rekonstruēt, kas tieši notika. Mērķis bija mazināt risku, ka tehnisks vai organizatorisks traucējums, kiberincidents, fizisks apdraudējums vai informatīvas ietekmes gadījums nepamatoti ierobežo iespēju balsot, pārrauj pierādījumu ķēdi vai padara notikušo grūti pārbaudāmu.1

Katram kritiskajam P0 pasākumam piedāvāju fiksēt statusu, atbildīgo, termiņu un gatavības pierādījumu. Starp praktiskajiem pasākumiem bija kombinētu traucējumu mācība, ETVR rezerves procedūras pārbaude, izmaiņu iesaldēšana ar kontrolētu ārkārtas izmaiņu un atgriešanās kārtību, programmatūras laidiena izsekojamība, DDoS un sakaru eskalācijas pārbaude, rezerves kopiju atjaunošana, rezerves infrastruktūras pārslēgšana, privileģēto kontu pārbaude un vienota incidenta pierādījumu pakete.1

Svarīgākais tomēr nebija atsevišķu kontroļu saraksts. Svarīgākais bija darbības modelis: pamatrežīms → ierobežotas darbības režīms → bezsaistes vai manuāls režīms → atjaunošana un datu saskaņošana. Katram posmam jābūt skaidram aktivizēšanas kritērijam, lēmuma pieņēmējam, datu pirmavotam un veidam, kā vēlāk pierādīt, ka pāreja notikusi kontrolēti.

Glabāšanā nodoto balsu gadījums ir labs piemērs, jo tas nav reducējams uz vienu tehnisku kļūdu. 2. oktobrī CVK ziņoja, ka piecu dienu laikā balsi glabāšanā nodevuši 174 517 vēlētāji jeb 11,20% balsstiesīgo.4 Šādam apjomam nepieciešama ne tikai stabila platforma, bet arī paredzama procedūra brīdim, kad jāpārbauda, vai vēlētājs nav balsojis atkārtoti un kura balss ir ieskaitāma.

Kad šī pārbaude vēlēšanu naktī kļuva par skaitīšanas procesa ierobežojumu, CVK pieņēma ārkārtas lēmumu mainīt darbību secību.3 Pats ārkārtas lēmums nav sistēmas kļūmes pierādījums. Noturīgā sistēmā tieši jābūt iespējai pieņemt šādus lēmumus, ja sākotnējā secība vairs nav piemērota situācijai. Jautājums ir par to, vai šāda pāreja bija iepriekš modelēta, vai bija skaidri sliekšņi un atbildība, vai lēmums un tā pamatojums ir rekonstruējams un vai pēc tam iespējams pārbaudīt datu un dokumentu savstarpējo atbilstību.

Līdzīgi ir ar 1. oktobra datu precizēšanu. Datu labošana pati par sevi nav problēma; nobriedušai sistēmai jāspēj labot kļūdu. Drošības un uzticības jautājums sākas pie izsekojamības: kāds bija iepriekšējais stāvoklis, kas neatbilda, uz kāda avota pamata veikta korekcija, kas to apstiprināja un vai iespējams atšķirt publiskā attēlojuma kļūdu no pamatdatu izmaiņas.2 Vēlēšanu procesā pareizs gala skaitlis ir nepieciešams, bet ar to vien nepietiek; jāspēj izskaidrot arī ceļu līdz tam.

22. septembrī VARAM kopā ar CVK, VDAA un CERT.LV publiski paziņoja, ka Vēlēšanu platforma ir gatava 15. Saeimas vēlēšanām un ka veikti stabilitātes, drošības un gatavības pasākumi.5 Tas ir būtisks publisks apliecinājums, taču no assurance skatpunkta frāze “gatava” nav procesa beigas. Tās vērtība ir atkarīga no tā, ar ko gatavība ir pamatota.

Tāpēc savā priekšlikumā lūdzu nesensitīvā līmenī sasaistīt būtiskos testus ar konkrēto ekspluatācijas versiju un konfigurāciju, norādīt testa tvērumu un izņēmumus, iepriekš noteiktos pieņemšanas kritērijus, būtisko atradumu novēršanas un atkārtotās pārbaudes statusu, kā arī atlikušā riska lēmumu.1 Šāda prasība nenozīmē publicēt aizsardzības parametrus vai ievainojamību detaļas. Tā nozīmē spēt pamatot, ka tests attiecas uz to sistēmu, kas faktiski tiek izmantota.

Tas pats attiecas uz rezerves procedūrām. Aprakstīta procedūra nav tas pats, kas praktiski izmēģināta procedūra. Veiksmīga rezerves kopija nav tas pats, kas pārbaudīta atjaunošana. Rezerves infrastruktūra nav tas pats, kas sekmīgi izmēģināta pārslēgšanās. Tieši šādu atšķirību starp “ir aprakstīts” un “ir pierādīts” vēlēšanu sistēmās vajadzētu saglabāt ļoti skaidru.

Šim stāstam ir arī otra puse, kas nav par ETVR vai balsu skaitīšanu. Tā ir par to, kā valsts izmanto profesionālu pilsonisko līdzdalību. Savu priekšlikumu iesniedzu kā neatkarīgs tehnoloģiju un kiberdrošības profesionālis, nevis kā politiskas partijas pārstāvis. Dokumentā apzināti nenorādīju, ka kontrole nepastāv tikai tāpēc, ka tā nav publiski redzama, un skaidri nošķīru atbildīgu priekšlikumu iesniegšanu no neatļautas aktīvas testēšanas.1

Iesnieguma beigās lūdzu CVK sniegt atbildi pēc būtības uz manu oficiālo elektronisko adresi.1 Raksta sagatavošanas brīdī, 6. oktobrī, neesmu saņēmis ne atbildi pēc būtības, ne starpatbildi par izvērtēšanas statusu. Es nevaru zināt, vai iekšēji dokuments ir ticis lasīts, pārsūtīts atbildīgajiem vai izmantots kādā no gatavības procesiem. Tieši tas ir problemātiski: no iesniedzēja puses līdzdalības ķēde šajā punktā beidzas.

Institūcijai nav pienākuma piekrist manam priekšlikumam. Tā var secināt, ka konkrēta kontrole jau pastāv, ka piedāvājums nav attiecināms uz CVK kompetenci, ka risinājums ir citāds vai ka mans vērtējums nav pietiekami pamatots. Tas viss būtu normāls rezultāts. Taču līdzdalība kļūst formāla, ja vienīgais droši redzamais rezultāts ir tas, ka dokumentu bija iespējams nosūtīt.

Drošības vidē ārējs signāls nekad nav automātiski jāpieņem par patiesību. Pētnieks var kļūdīties, nezināt iekšējo arhitektūru vai neredzēt kompensējošas kontroles. Tāpēc signālam vajag validāciju. Taču šis arguments darbojas abos virzienos: ja kvalificēta norāde neiziet cauri redzamai izvērtēšanas ķēdei, organizācija nevar demonstrēt, ka tā ir atšķīrusi kļūdainu trauksmi no agrīna brīdinājuma.

Nacionālās kibernoturības kontekstā es šo principu iepriekš formulēju kā ķēdi signāls → validācija → atbildīgais → lēmums → rīcība → mācīšanās.6 Pilsoniskajai līdzdalībai drošības jautājumos vajadzētu darboties līdzīgi. Atgriezeniskā saite nav pieklājības žests; tā ir daļa no pārvaldības kontroles, jo ļauj saprast, vai risks ir izskatīts un kurš par to pieņēmis lēmumu.

Tāpēc vārdu “ignorēts” šeit lietotu piesardzīgi. Es nevaru apgalvot, ka CVK iekšēji neko nav darījusi. Varu apgalvot ko šaurāku un pārbaudāmu: līdz raksta sagatavošanas brīdim neesmu saņēmis pat starpatbildi par iesnieguma izvērtēšanas statusu. No ārpuses tas rada tieši ignorēšanas efektu, un kritiskas infrastruktūras pārvaldībā šāda nenoteiktība nav laba prakse.

Priekšlikumā jau augustā paredzēju pēcvēlēšanu posmu: saglabāt pierādījumus, saskaņot datus, strukturēti analizēt incidentus, būtiskus traucējumus un gandrīz notikušus incidentus, pēc tam publiskot nesensitīvos secinājumus un konkrētus uzlabojumu uzdevumus.1 Tagad šim procesam ir reāli piemēri, un tos var analizēt bez politiskas interpretācijas.

Būtu lietderīgi publiski atbildēt vismaz uz dažiem praktiskiem jautājumiem: vai glabāšanā nodoto balsu statusa pārbaudes radītā aizkavēšanās bija modelēta pirms vēlēšanām; kādi bija lēmuma kritēriji darbību secības maiņai; vai šāds scenārijs tika izmēģināts mācībās; kā tiek saglabāta datu korekciju vēsture; kuras rezerves procedūras nostrādāja tieši kā paredzēts un kur bija nepieciešama improvizācija. Tas nav mēģinājums meklēt vainīgos. Tā ir normāla sistēmas mācīšanās pēc reālas slodzes.

Tieši šeit mans priekšlikums joprojām ir aktuāls. Nevis kā dokuments, kuram pēc vēlēšanām jāpiešķir taisnība, bet kā pārbaudāms kontrolsaraksts, pret kuru var salīdzināt faktisko norisi un saprast, ko nākamajā ciklā izdarīt labāk.

Mans 24. augusta priekšlikums nebija prognoze par konkrēto incidentu, un es negribu pēc notikuma izlikties, ka biju paredzējis vēlēšanu nakts aizkavēšanos. Priekšlikuma jēga bija cita: kritiskai sistēmai nav jāzina precīzs nākamais incidents, lai tā būtu sagatavota droši mainīt darbības režīmu, saglabāt pierādījumus un pēc tam atjaunot normālu procesu.

Vēlēšanu noturība tāpēc nav vienādojama ar apgalvojumu “sistēma strādāja”. Tā ir spēja pamanīt novirzi, pārbaudīt faktus, savlaicīgi pieņemt atbildīgu lēmumu, kontrolēti pāriet citā režīmā, saglabāt datu un lēmumu izsekojamību, atjaunoties un pēc tam izskaidrot sabiedrībai, kas notika.

Arī pilsoniskā līdzdalība nav vienādojama ar iespēju nosūtīt iesniegumu. Ja valsts grib izmantot ārēju profesionālu kompetenci, tai nav jāpiekrīt katram priekšlikumam, bet tai jāspēj aizvērt atgriezeniskās saites loku. Pretējā gadījumā formāli pastāv līdzdalības kanāls, bet nav droši redzams, vai tajā ienākošais signāls ir kļuvis par izvērtētu lēmumu. Drošības pārvaldībā tā ir plaisa, kuru ir vērts aizvērt pirms nākamā incidenta, nevis pēc tā.