Registrų centro 2020 m. serverinės avarija: kai BDAR pažeidimui nereikia programišiaus

2020 m. liepos 20 d. vakarą Vilnių nusiaubusi vos ~15 minučių trukusi liūtis padarė tai, ko nesugebėjo nė viena kibernetinė ataka — paguldė reikšmingą dalį valstybės registrų ir e. sveikatą. Vanduo pateko į RC pastatą V. Kudirkos g. ir užliejo žemesniame aukšte įrengtą serverinę.

VDAI skyrė 15 000 € baudą pagal BDAR, o LVAT 2024 m. galutinai patvirtino: duomenų apsaugos pažeidimui nereikia įsilaužėlio — pakanka trūkusio vamzdžio ir nepasiruošusios organizacijos.

Incidento santrauka

• Data: 2020-07-20 vakaras.
• Priežastis: liūties vanduo (ne kibernetinė ataka).
• Pažeisti straipsniai: BDAR 32 str. 1 d. b ir c p.
• Galutinis sprendimas: LVAT 2024-10-23, byla eA-1740-525/2024 — bauda pagrįsta.
• Nepaisant fizinės prigimties — pirmoji plačiai nuskambėjusi Lietuvos BDAR byla be pažeidėjo iš išorės.

Kontekstas: RC prastova — valstybės prastova

• ESPBI IS („e. sveikata“), NT registras ir kadastras, Juridinių asmenų, Gyventojų.
• Turto arešto, Hipotekos, Testamentų, Vedybų sutarčių, Įgaliojimų, Sutarčių registrai.
• Neveiksnių ir ribotai veiksnių asmenų registras.
• Antstolių, Licencijų, Piniginių lėšų apribojimų, Teisinės pagalbos, Metrikacijos IS.
• Elektroninio parašo ir laiko žymų paslauga.

Eiga

2020-07-20 vakaras

~15 min. intensyvi liūtis. Vanduo — į RC pastatą (1979 m. statyba) ir žemesniame aukšte esančią serverinę. Dalis serverių išsijungė.

07-21–22

Dauguma registrų atkurti (iki 8 val., pagal teismų dokumentus). E. sveikata liko neprieinama. Ministro prognozė „per parą“, RC vadovas — atkūrimas užtruks. Gydytojai receptus ir ligos istorijas rašė ranka; vėliau viską teko suvedinėti iš naujo.

Liepos pabaiga

E. sveikata visiškai atkurta po >7 dienų. Duomenys, teigta, išliko saugūs — prarasta prieiga prie jų.

Priežasties paieškos

Kelios versijos: trūkęs pastato vamzdis, plyšiai, greta vykusios „Matau Vilnių“ (YIT Lietuva) statybos, nuotekų perkrova. Statytojas kaltinimus atmetė, „Vilniaus vandenys“ ryšį neigė. Vieša galutinė išvada plačiai neskelbta.

Kodėl duomenų centro neužlieja „netyčia“

• Vieta ir patalpos: serverinės — ne rūsyje, ne po vandentiekiu ar plokščiais stogais. RC serverinė buvo žemesniame aukšte, kurį vanduo pasiekė pirmiausia.
• Maitinimas: dubliuoti įvadai, UPS, dyzeliniai generatoriai.
• Aušinimas ir aplinkos stebėsena: dubliuoti kondicionieriai, temperatūros, drėgmės ir — svarbiausia — vandens nuotėkio davikliai po pakeltomis grindimis.
• Dubliavimas ir geografinis atskyrimas: bent 2 fiziškai atskirti duomenų centrai. Būtent to trūko labiausiai.
• Tier lygiai: I — bazinis; II — dalinis dubliavimas; III — priežiūra be išjungimo (~1,6 val./m); IV — atsparus rimtam gedimui (~26 min./m). Po incidento strategijoje RC numatytos Tier III saugyklos dviejose valstybei priklausančiose vietose (Gedimino pr. 11 ir Sausio 13-osios g.).

Ką reiškia savaitė be e. sveikatos

• Sveikatos sektorius: neveikė e. receptai, centralizuotos ligos istorijos, siuntimai, skiepų įrašai. Pirminė grandis — popieriuje.
• Teisinė ir ekonominė apyvarta: paralyžiuoti notarai — sustojo būsto sandoriai, paveldėjimo bylos, įgaliojimai; sutriko bankai, antstoliai, NT vertintojai.
• Tiesioginė žala: „Blue Bridge“ vertinimu — iki 2,8 mln. € įrangos žalos. Su draudiku byloje.
• Netiesioginė: naujos patalpos (Studentų g.), ekspertizės, rizikos vertinimai, reputacinis smūgis.

VDAI ir teismai: prieinamumas kaip BDAR pareiga

VDAI (2021 m.): 15 000 €

• 32 str. 1 d. b p. — neužtikrintas nuolatinis vientisumas, prieinamumas, atsparumas.
• 32 str. 1 d. c p. — per teisės aktais nustatytas 8 valandas neatkurta galimybė naudotis duomenimis; realybėje — >7 d.
• Sunkinančios: pobūdis, sunkumas, trukmė, apimtis.
• Švelninančios: tyčios nebuvimas, atkūrimo pastangos, glaudus bendradarbiavimas, priklausomybė nuo SAM ir valstybės IT konsolidavimo.
• ADTAĮ lubos viešojo sektoriaus subjektams — iki 0,5 % biudžeto, bet ne daugiau 30 000 €.

Teismai (2021–2024)

• 2021-12-10 VAAT — skundas atmestas, bauda pagrįsta.
• Vėliau, tarpiniame etape, pirmosios instancijos teismas VDAI sprendimą buvo panaikinęs.
• 2024-10-23 LVAT (eA-1740-525/2024) — pirmosios instancijos sprendimas panaikintas, RC skundas atmestas. Konstatuota, kad įmonė neužtikrino konfidencialumo, vientisumo, prieinamumo, atsparumo, per 8 val. neatkūrė galimybės naudotis, o pažeidimas įvyko dėl „netinkamų ir nepakankamų techninės ir organizacinės saugos priemonių“.

BDAR 32 str. saugo ne tik nuo įsilaužimo. Liūtis, gaisras, elektros gedimas ar trūkęs vamzdis teisiškai — toks pat saugumo pažeidimo šaltinis kaip ir programišius.

Pamokos

1. Fizinė infrastruktūra — duomenų apsaugos dalis

BDAR 32 str. reikalauja atsparumo ir prieinamumo. Serverinės vieta, vandens davikliai, drenažas, aušinimas turi būti rizikos vertinime greta šifravimo.

2. Prieinamumo praradimas — irgi saugumo pažeidimas

Net kai duomenys saugūs, negalėjimas jais naudotis realiai žaloja: pacientas negauna recepto, šeima negali užbaigti paveldėjimo.

3. Kritinėms sistemoms — geografiškai atskirtas rezervinis DC

Joks pastatas nėra apsaugotas nuo vandens, gaisro ar elektros avarijos. Rezervinis DC su automatiniu persijungimu incidentą būtų pavertęs minutėmis, ne savaite.

4. RTO — ne deklaracija, o išbandytas gebėjimas

Teisės aktai — 8 val., realybė — >7 paros (20× daugiau). Ministro „per parą“ — organizacija tiesiog nežinojo savo tikrojo RTO.

5. Tvarkytojas atsako tiesiogiai

VDAI: 32 str. pareiga tenka ir tvarkytojui. Priklausomybė nuo valdytojo — švelninanti, ne atleidžianti aplinkybė.

6. Sena infrastruktūra + aplinkos pokyčiai = auganti rizika

1979 m. pastatas, greta prasidėjusios statybos, dažnėjančios ekstremalios liūtys. Rizikos vertinimas — nevienkartinis dokumentas.

7. Draudimas nepakeičia atsparumo

RC turtas apdraustas >60 mln. €, tačiau dėl 2,8 mln. € žalos teko bylinėtis. Draudimas dengia dalį finansinių pasekmių — bet ne paslaugos tęstinumo.

Galutinis vertinimas

Retas ir todėl ypač vertingas precedentas: pirmoji plačiai nuskambėjusi Lietuvos BDAR byla, kurioje nebuvo pažeidėjo iš išorės. Tik lietus, senas pastatas ir infrastruktūra be rezervo — ir 22 paveikti registrai, savaitę neveikusi e. sveikata, paralyžiuoti notarai, LVAT patvirtinta bauda už BDAR pažeidimą.

Programišiaus gali ir nesulaukti. Liūties — sulauksi tikrai.