Tēma
Šī tēma apkopo publikācijas pēc priekšmeta, neatkarīgi no tā, vai tās tapušas profesionālā darba vai sabiedriskās līdzdalības kontekstā. Viena publikācija var būt saistīta ar vairāk nekā vienu tēmu.
Pirms vēlēšanām iesniedzu CVK noturības kontrolsarakstu. Vēlēšanu nedēļa parādīja rezerves režīmu, gatavības pierādījumu un feedback nozīmi.
Kā neatkarīgu pētnieku signālus savienot ar CVD, CERT/CSIRT, remediation, incident response un vulnerability intelligence, saglabājot valsts atbildību.
Laba bug bounty programma neoptimizē reportu skaitu. Tā optimizē kvalitatīvu pētnieku uzmanību, unikālu security signal, taisnīgu atlīdzību un remediation.
CRA 14. panta praktiska analīze: aktīvi izmantota ievainojamība, nopietns incidents, 24/72h termiņi, gala ziņojumi, SRP un biežākās kļūdas.
CSDD lietas pilna hronoloģija un juridiskās robežas: ievainojamības atklāšana, atlīdzība, publicēšanas draudi, izspiešana, apžēlošana un mācības CVD procesam.
Praktisks CVD dzīves cikls: intake, acknowledgement, triage, reprodukcija, ownership, remediation, retest, disclosure un verificēta closure.
CVD, VDP, bug bounty, ielaušanās tests un red team atšķiras pēc mērķa, pilnvarojuma, tvēruma, atlīdzības un stop-condition. Praktisks salīdzinājums Latvijai.
Kā digitālam pakalpojumam droši turpināt ierobežotu darbību, ja pazūd kritiska atkarība: minimālais pakalpojums, manuāls režīms, salāgošana un atjaunošana.
Bankām, veselībai, enerģētikai, transportam un citām augsta kaitējuma sistēmām vajag diferencētu CVD un testēšanas modeli: public, registered, vetted un controlled.
Ko ģeneratīvais AI maina ētiskā hakera darbā: recon, hipotēzes un reporti kļūst lētāki, bet scope, validācija, ietekmes spriedums un atbildība paliek cilvēka darbs.
Telefona numurs ekrānā nav identitātes pierādījums. Kā nošķirt numura kontroli, zvana izcelsmi un krāpniecības risku, neveidojot viltus 'verified = safe' signālu.
Kā publiskā IKT iepirkumā pārvērst kiberdrošības prasību pārbaudāmā rezultātā: juridiskā vieta, pierādījums, pieņemšana, remediation un līguma dzīves cikls.
Drošības findingam nepietiek ar statusu Closed. Praktisks modelis risk ownership, residual risk, remediation evidence, neatkarīgai verifikācijai un auditējamiem lēmumiem.
Kāpēc sertifikācijai nepietiek pierādīt, ka kontrole ir ieviesta: vajag tvērumu, darbības efektivitāti, retestus, surveillance un skaidrus reassessment triggerus.
Ko Latvijā drīkst darīt drošības pētnieks, lai pārbaudītu ievainojamību? CVD, 26-TA-1830, Krimināllikums, personas dati un minimāla pārbaude.
NIS2 prasa koordinētu ievainojamību atklāšanu, bet pati nerada universālu safe harbour. Ko 12. pants, 60. apsvērums un Latvijas NKDL nozīmē drošības pētniekam?
Kā prioritizēt ievainojamības, nesajaucot CVSS smagumu, EPSS ekspluatācijas prognozi, KEV pierādītu ekspluatāciju un organizācijas faktisko risku.
Pentests, red team, purple team, CVD, bug bounty un TLPT nav viens un tas pats. Praktisks modelis, kā tos kombinēt slāņotā drošības assurance sistēmā.
Ko darīt, ja ievainojamības pārbaudē parādās personas dati: pētnieka loma, tiesiskais pamats, minimālais pierādījums, glabāšana, ziņošana un dzēšana.
Praktisks minimums AI asistētam ievainojamības ziņojumam: scope, reprodukcija, PoC, faktiskā ietekme, severity, datu minimizācija un reportera atbildība.
CVD un bug bounty neaizvieto Secure SDLC. Praktisks modelis threat modelling, drošām noklusējuma izvēlēm, dependency kontrolēm, release gates un feedback.
Juridiski skaidrs CVD ceļš ir tikai sākums. Pētnieku iesaisti nosaka uzticēšanās, atgriezeniskā saite, reputācija, atzinība un profesionālā attīstība.
Ko nozīmētu skatīt labticīgu drošības izpēti kā operacionālu sabiedrības līdzdalību kiberdrošībā — un kur ir šīs idejas juridiskās un praktiskās robežas.
Kā pierādīt, kas valsts IKT projektā tika saskaņots, pieņemts un faktiski nodots ekspluatācijā, neradot vēl vienu dokumentu un pierādījumu noliktavu.