No PTAC sistēmas izgūti vairāk nekā 700 cilvēku kontaktinformācijas dati

Vienā no Patērētāju tiesību aizsardzības centra (PTAC) pārziņā esošajām informācijas sistēmām konstatēts datu drošības incidents, informē PTAC.

Ietekmētā informācijas sistēma ir "Attālinātā statistikas datu izgūšanas sistēma" (ASDIS). ASDIS ir C līmeņa drošības klases sistēma, kas ir informācijas sistēmas zemākais riska līmenis. Šo sistēmu PTAC izmanto licencējamo komersantu uzraudzības nodrošināšanai, un tā atbilst valstī noteiktajām minimālajām kiberdrošības prasībām.

ASDIS ir izvietota tīkla infrastruktūrā, kurā ir uzstādīta kiberincidentu novēršanas institūcijas "Cert.lv" agrās brīdināšanas sensora sistēma.

Patlaban veiktā izmeklēšana liecina, ka incidenta rezultātā izgūta PTAC licencējamo subjektu, proti, patērētāju kreditēšanas pakalpojumu sniedzēju, parādu ārpustiesas atgūšanas pakalpojumu sniedzēju un komplekso tūrisma pakalpojumu sniedzēju, kontaktinformācija.

Izgūta 697 komersantu pārstāvju un 34 PTAC amatpersonu kontaktinformācija — vārds, uzvārds, e-pasts un tālruņa numurs. Vairumā gadījumu šī informācija ir atrodama citos publiskos reģistros, piemēram, Atvērto datu portālā.

Incidenta rezultātā nav apdraudēti uzraudzības dati, ko komersanti iesnieguši PTAC.

Patlaban incidenta skartā sistēma ir slēgta. Par sistēmas nepieejamību PTAC informējis arī visus sistēmas lietotājus.

PTAC norāda, ka nestabilajā ģeopolitiskajā situācijā ir būtiski pastiprināt jebkuru tehnoloģisko resursu drošību, tam atrodot nepieciešamos finanšu līdzekļus, uz ko iepriekš Ministru kabineta rīcības sēdē par kiberdrošības jautājumiem ir norādījusi Ekonomikas ministrija.

Datu valsts inspekcijā (DVI) apliecina, ka PTAC par šo incidentu ir informējis datu uzraugus. Inspekcijā skaidro, ka, vērtējot šāda incidenta nopietnību no personas datu aizsardzības viedokļa, nozīme ir tam, kādi dati ir skarti, vai tie jau ir publiski pieejami, kā arī tam, kādas iespējamās sekas incidents var radīt konkrētajām personām.

Ņemot vērā šobrīd pieejamo informāciju, kā arī apstākli, ka iegūtie dati lielākoties jau ir publiski pieejami, DVI neesot pamata izdarīt secinājumu, ka incidents būtu radījis augstu risku datu subjekta tiesībām.