„Atsižvelgusi į nustatytų pažeidimų pobūdį, jų reikšmę asmens duomenų saugumo pažeidimo kilimui ir kitas tyrimo metu nustatytas aplinkybes, VDAI nusprendė pradėti administracinių baudų skyrimo procedūrą Informatikos ir ryšių departamento bei Registrų centro atžvilgiu, o Migracijos departamentui skirta poveikio priemonė – papeikimas“, – teigiama penktadienį išplatintame pranešime.
Duomenų inspekcija dėl nutekintų RC duomenų atsakingoms institucijoms skirs baudas, papeikimą
Kaip rašė BNS, Generalinė prokuratūra gegužę pranešė tirianti galimus neteisėtus prisijungimus ir daugiau nei 600 tūkst. NT registro įrašų, įskaitant asmens kodus, pasisavinimą iš Registrų centro.
Inspekcijos teigimu, duomenis pasisavinę asmenys neteisėtai prisijungę prie dviejų Migracijos departamento darbuotojų elektroninio pašto paskyrų, įgijo prieigą prie Nekilnojamojo turto registro (NTR) ir Juridinių asmenų registro (JAR).
Pažeidimo metu paveikti 678 tūkst. 976 NTR išrašai, susiję su 538 tūkst. 226 asmenimis, ir 33 JAR išrašai, susiję su 66 asmenimis.
Anot VDAI, Informatikos ir ryšių departamentas neužtikrino tinkamos elektroninio pašto sistemos prieigos kontrolės: nebuvo taikomas kelių faktorių autentifikavimas (MFA), neįdiegtos papildomos prieigos kontrolės priemonės ir netinkamai įvertinta paskyrų kompromitavimo rizika.
Tuo metu Registrų centras neužtikrino tinkamos prieigos prie NTR ir JAR valdymo kontrolės.
„Nebuvo taikomas MFA, IP adresų filtravimas, o slaptažodžių kontrolė ir naudotojų užklausų stebėsena – nepakankami. Be to, apie incidentą laiku nepranešta VDAI ir duomenų subjektams“, – nurodo inspekcija.
Anot jos, Migracijos departamentas, prašydamas suteikti darbuotojams prieigą prie registrų, nenurodė Registrų centrui konkrečių išorinių IP adresų, iš kurių bus jungiamasi prie NTR ir JAR, ir tokiu būdu neišnaudojo visų neteisėtos prieigos prie sistemų riziką mažinančių priemonių.
Sprendimas gali būti skundžiamas teismui teisės aktų nustatyta tvarka.
Dėl nutekintų duomenų daugiau nei tūkstantis nukentėjusiųjų kreipėsi į teismą. Jis nagrinės mažiausiai 6,69 mln. eurų vertės grupinį skundą.
