LVRTC

LVRTC ir vienīgais 100% valstij piederošs IKT uzņēmums, kas nodrošina drošu un uzticamu datu pārraidi, elektronisko sakaru tīklus un infrastruktūru operatoriem, kā arī apraides pakalpojumus plašsaziņas līdzekļiem. Uzņēmums darbojas datu pārraides, datu centru, mākoņdatošanas, uzticamības pakalpojumu un kiberdrošības jomās, sniedzot pakalpojumus valsts un pāsvaldību organizācijām, komersantiem un iedzīvotājiem. LVRTC nodrošina 13 valsts deleģējumu un uzdevumu izpildi, tostarp Valsts elektronisko sakaru pakalpojumu centra pakalpojumus, kā arī valsts nozīmīgo informācijas sistēmu aizsardzību pret pakalpojumu atteices uzbrukumiem.

LVRTC Ievainojamību atklāšanas programmas noteikumi

Vispārīgie noteikumi

Programmā ir tiesības piedalīties drošības pētniekiem, kuri ir reģistrēti platformā cvd.cert.lv.
Drošības pētniekiem ir atļauts testēt tikai LVRTC norādītos testēšanas resursus un sistēmas, ievērojot programmas ietvaros noteiktos nosacījumus un laika ierobežojumus.
LVRTC patur tiesības jebkurā brīdī apturēt vai pārtraukt programmu. Pēc programmas apturēšanas vai pārtraukšanas jebkādas turpmākas testēšanas darbības ir aizliegtas.
Testēšanas laikā aizliegts veikt darbības, kas var negatīvi ietekmēt LVRTC sistēmu, pakalpojumu vai infrastruktūras pieejamību, veiktspēju, integritāti vai drošību.
Drošības pētnieks apņemas neizpaust atklātās ievainojamības, tehnisko informāciju vai citus ar testēšanu saistītus datus trešajām personām bez LVRTC rakstiskas piekrišanas.
Atklātās ievainojamības nedrīkst publiski izpaust vai izziņot, kamēr LVRTC nav novērsis ievainojamību vai devis rakstisku atļauju informācijas izpaušanai.
Pirms testēšanas uzsākšanas drošības pētniekam ir jāpārliecinās, ka programma ir aktīva un attiecīgais resurss ir iekļauts testēšanas tvērumā.

Ievainojamību ziņošana
Par visām atklātajām ievainojamībām lūdzam ziņot atbildīgas ievainojamību atklāšanas procesa ietvaros, iesniedzot ziņojumu platformā https://cvd.cert.lv.

LVRTC apņemas:

• izvērtēt saņemtos ziņojumus;
• uzturēt saziņu ar ievainojamības atklājēju;
• informēt par ievainojamības novēršanas procesa gaitu;
• pēc iespējas informēt par ievainojamības novēršanas faktu.
  Par programmas ietvaros atklātajām un ziņotajām ievainojamībām LVRTC finansiālu atlīdzību neizmaksā.

Ziņojuma saturs
Drošības pētnieka ziņojumā jāiekļauj:

• ievainojamības apraksts;
• ievainojamības reproducēšanas soļi;
• ievainojamības potenciālā ietekme;
• saite, ekrānuzņēmums, pieprasījuma/atbildes paraugs vai cita informācija, kas palīdz identificēt ievainojamību;
• ieteikumi ievainojamības novēršanai (ja tādi ir pieejami).

Atļautās un aizliegtās darbības
LVRTC sagaida, ka drošības pētnieki:

• rīkosies godprātīgi un atbildīgi;
• ievēros piemērojamos normatīvos aktus;
• testēs tikai programmas tvērumā iekļautos resursus.

Drošības pētniekiem aizliegts:

• piekļūt datiem, kas nav nepieciešami ievainojamības verificēšanai;
• izgūt, kopēt, modificēt vai dzēst informāciju;
• apzināti pārtraukt vai traucēt pakalpojumu darbību;
• veikt pakalpojuma atteices (DoS/DDoS) uzbrukumus;
• veikt sociālās inženierijas uzbrukumus pret LVRTC darbiniekiem, klientiem vai sadarbības partneriem;
• izmantot ievainojamības tālākai piekļuvei sistēmām vai datiem;
• izvietot ļaunprogrammatūru, aizmugures piekļuves mehānismus vai citus kaitīgus komponentus.

Rīcība sensitīvas informācijas gadījumā
Ja testēšanas laikā tiek atklāta vai kļūst pieejama:

• fizisku personu dati;
• finanšu informācija;
• autentifikācijas dati;
• klasificēta informācija;
• komercnoslēpumi vai cita ierobežotas pieejamības informācija,
  drošības pētniekam nekavējoties jāpārtrauc testēšana un par konstatēto faktu jāziņo LVRTC

Atbildīga ievainojamību atklāšana
LVRTC apņemas neuzsākt tiesiskas darbības pret drošības pētniekiem, kuri labticīgi ievēro šos noteikumus, darbojas programmas tvērumā un savlaicīgi ziņo par atklātajām ievainojamībām.