LU

Latvijas Universitāte nemainīgi bijusi Latvijas nacionālā, vadošā un ietekmīgākā augstskola. Pēc studentu kopskaita Latvijas Universitāte ir arī valsts lielākā universitāte. Tā ir lielākā plaša profila universitāte Latvijā, kurai ir nozīmīga vieta ne tikai visas izglītības sistēmas attīstībā, bet arī kopējā valsts ekonomikas izaugsmē.

LU ir mūsdienīgs akadēmisko un profesionālo studiju centrs, kas līdz ar pētījumiem dabaszinātnēs, humanitārajās, sociālajās, tehniskajās zinātnēs un medicīnā sniedz dažādu veidu un līmeņu augstākās izglītības iespējas kā Latvijas, tā arī citu valstu iedzīvotājiem. LU ir izšķiroša nozīme sabiedrības akadēmisko tradīciju, tautsaimniecības, izglītības, vides un veselības aizsardzības, latviešu valodas un kultūras attīstībā. Latvijas Universitātes viedoklis ir būtisks lēmumu pieņemšanai valsts pārvaldē.

Zinātniskā darbība Latvijas Universitātē norit ne tikai fakultātēs, bet arī zinātniskajos institūtos. Latvijas Universitātē pētījumi tiek veikti vairāk nekā 50 pētniecības jomās. Latvijas Universitātes zinātnieki ir izstrādājuši nozīmīgus pētījumus, kas veicinājuši tautsaimniecības konkurētspēju un sabiedrības dzīves kvalitātes uzlabošanos. LU attīstās kā moderna akadēmiska institūcija, kas nodrošina vidi un infrastruktūru izciliem sasniegumiem pētniecībā, studijās un jaunradē.

1. Programmas mērķis

Latvijas Universitātes (turpmāk – LU) ievainojamību atklāšanas programma ir izveidota, lai veicinātu atbildīgu LU publiski pieejamo informācijas sistēmu, tīmekļvietņu un digitālo pakalpojumu drošības ievainojamību identificēšanu, ziņošanu un novēršanu.
Programmas mērķis ir uzlabot LU informācijas resursu drošību, vienlaikus nodrošinot drošu un koordinētu sadarbību starp LU un drošības pētniekiem.

2. Tiesības piedalīties

Programmā var piedalīties personas, kuras:
• ir reģistrējušās CVD platformā;
• rīkojas godprātīgi un profesionāli;
• ievēro Latvijas Republikas normatīvos aktus;
• ievēro šos noteikumus.
Dalībniekam ir pienākums nekavējoties pārtraukt testēšanu pēc LU pieprasījuma.

3. Programmas tvērums

Programmas ietvaros atļauta tikai to resursu testēšana, kas ir skaidri norādīti programmas tvērumā.
Sākotnējā programmas darbības posmā testēšanai ir atļauti:
• publiski pieejamie LU tīmekļa resursi;
• publiski pieejamās LUIS funkcionalitātes daļas;
• e-studiju sistēmas publiski pieejamās funkcionalitātes daļas;
• citas LU publiski pieejamās informācijas sistēmas, kuras konkrēti norādītas programmas tvērumā.

4. No tvēruma izslēgtie resursi

Bez iepriekšējas rakstiskas LU atļaujas nav atļauts testēt:
• Microsoft 365 pakalpojumus;
• autentifikācijas un identitātes pārvaldības risinājumus;
• Active Directory un saistītos pakalpojumus;
• iekšējos administrēšanas tīklus;
• datubāzes un datu noliktavas;
• rezerves kopēšanas un infrastruktūras pārvaldības sistēmas;
• sistēmas, kurās tiek apstrādāti studentu, personāla, finanšu vai citi īpaši aizsargājami dati;
• trešo pušu sistēmas, kuras izmanto LU;
• jebkuru citu resursu, kas nav skaidri norādīts programmas tvērumā.
Ja testēšanas laikā tiek konstatēts, ka resurss atrodas ārpus tvēruma, testēšana nekavējoties jāpārtrauc.

5. Atļautās darbības

Drošības pētniekiem ir atļauts:
• identificēt un pārbaudīt potenciālās ievainojamības;
• veikt neinvazīvu ievainojamību pārbaudi;
• iegūt minimālos nepieciešamos pierādījumus ievainojamības apstiprināšanai;
• iesniegt ziņojumus par identificētajām ievainojamībām.

Pētniekiem jāveic visas saprātīgās darbības, lai:
• neietekmētu pakalpojumu pieejamību;
• nepiekļūtu citu lietotāju datiem;
• nemainītu sistēmu konfigurāciju;
• neradītu kaitējumu sistēmu darbībai.

6. Aizliegtās darbības

Programmas ietvaros ir aizliegts:
• veikt pakalpojuma atteices (DoS vai DDoS) testus;
• izmantot brutālā spēka (brute force) uzbrukumus;
• izmantot paroles minēšanas vai akreditācijas datu atkārtotas izmantošanas metodes;
• veikt sociālās inženierijas uzbrukumus;
• veikt pikšķerēšanas kampaņas;
• iegūt, lejupielādēt, kopēt, modificēt vai dzēst datus;
• piekļūt citu lietotāju kontiem;
• izmantot ievainojamību privilēģiju paaugstināšanai;
• veikt fiziskas piekļuves testus;
• izvietot ļaunatūru vai cita veida kaitīgu programmatūru;
• publiskot informāciju par ievainojamību bez LU rakstiskas piekrišanas.

7. Konfidencialitāte

Dalībnieks apņemas:
• neizpaust trešajām personām informāciju par atklātajām ievainojamībām;
• nepublicēt informāciju par ievainojamībām līdz to novēršanai vai LU rakstiskas piekrišanas saņemšanai;
• neizmantot iegūto informāciju personiska vai komerciāla labuma gūšanai.

8. Ziņojuma iesniegšana

Par konstatēto ievainojamību jāziņo, izmantojot CVD platformu.
Ziņojumā jāiekļauj:
• ievainojamības apraksts;
• skartā resursa adrese;
• ievainojamības reproducēšanas soļi;
• ievainojamības iespējamā ietekme;
• tehniskie pierādījumi;
• ieteikumi ievainojamības novēršanai, ja tādi ir pieejami.
Ziņojumam jābūt pietiekami detalizētam, lai LU speciālisti spētu identificēt un atkārtot konstatēto problēmu.

9. LU saistības

LU apņemas:
• apstiprināt ziņojuma saņemšanu;
• izvērtēt iesniegto informāciju;
• sadarboties ar pētnieku ievainojamības novērtēšanas procesā;
• pēc iespējas informēt par ievainojamības novēršanas gaitu;
• godprātīgi izskatīt visus atbilstoši iesniegtos ziņojumus.
Ja pētnieks ir rīkojies atbilstoši šiem noteikumiem, LU neuzskatīs šādas darbības par ļaunprātīgu piekļuvi vai neatļautu sistēmu izmantošanu.

10. Atlīdzība

Šī programma nav atlīdzības (Bug Bounty) programma un LU neizmaksā finansiālu atlīdzību par iesniegtajiem ziņojumiem.
LU pēc saviem ieskatiem var izteikt pateicību vai publiski atzīt pētnieka ieguldījumu, ja pētnieks tam piekrīt.

11. Programmas izmaiņas

LU patur tiesības jebkurā laikā:
• grozīt programmas noteikumus;
• mainīt programmas tvērumu;
• apturēt vai izbeigt programmu.
Pēc programmas apturēšanas vai izbeigšanas jebkura turpmāka testēšana ir aizliegta.