Izpratnes jautājums, nevis tehniska kļūme

Autorizācija internetā ir problēma ne tikai Latvijā

Tautas skaitīšanas elektroniskā versija ir klasisks piemērs tam, kas notiek, ja netiek nošķirta kvalificēta autorizācija no vienkāršiem autorizācijas līdzekļiem. Uzskatu, ka šajā IT risinājumā ir ne tik daudz tehniska rakstura problēmu, kā vienkārši izpratne par autorizāciju virtuālā vidē un autorizācijas rīkiem kā tādiem.

Elektronisko dokumentu likums (EDL) šobrīd nošķir un iedala elektroniskos parakstus: 

• drošs elektroniskais paraksts, kuru uztur uzticams sertifikācijas pakalpojumu sniedzējs. Latvijā šobrīd tādu uztur tikai LVRTC. 
• vienkāršs elektroniskais paraksts, ko var radīt jebkurš indivīds jeb tirgus dalībnieks. Šajā gadījumā jebkurš, kam ir dators, var ģenerēt savu sertifikātu un dot citiem to lietot. Kā piemēru šādai sistēmai varam minēt VID.

 

Līdzīgi būtu jābūt arī ar autorizāciju: 

 

• kvalificēta autorizācija, ko nodrošina uzticami sertifikācijas pakalpojuma sniedzēji; 
• vienkārša autorizācija, kas var būt pat vienkārša parole. Pie šādas vienkāršas autorizācijas varam arī pieskaitīt autorizāciju ar pases numuru vai personas kodu.

 

Šobrīd mūsu valstī autorizācijas netiek nodalītas un ļoti bieži tiek jauktas kopā. Šī nebūt nav problēma tikai Latvijā. Eiropas komisijā (EK) noris sarunas, lai definētu kvalitatīvus autorizācijas rīkus, kas ļautu piekļūt informācijai jau ES līmenī. Kā daži no rīkiem tiek minēti banku autorizācijas līdzekļi to ļoti nopietnās uzraudzības dēļ. Latvijas gadījumā šo uzraudzību veic Finanšu un Kapitāla tirgus komisija (FKTK). Tiek apspriestas arī ID kartes, kurās arī ir iestrādāts kvalificēts autorizācijas mehānisms.

Manuprāt, būtiski ir saprast un novērtēt riskus attiecībā pret iegūstamo rezultātu. Sistēmu var uztaisīt ļoti drošu, bet no tādas nebūs jēgas, ja cilvēki pēc tam to nelietos. Līdz ar to uzskatu, ka CSP lēmums izmantot arī vienkāršu autorizācijas līdzeklī bija pareizs, jo pirmajās dienās ar tā palīdzību piereģistrējās ļoti liels cilvēku skaits – ap 90 000. Manuprāt risks, ka kāds cits ietu mainīt sniegtās atbildes bija neliels, jo būtībā jebkurā statistikas jautājumā tāpat ir paredzama kļūda.

Gan informācija par pasu numuriem, gan personu kodiem jau tāpat ir publiski pieejama Internetā, kaut vai publicējot informāciju no Uzņēmumu Reģistra (UR) Latvijas Vēstnesī u.c. Tāpēc satraukties par šīs informācijas izmantošanu ļaunprātīgos nolūkos nav lietderīgi, ja tam pretī nostatām faktu, ka saskaitīšanās ar šādu nesertificētu autentifikācijas metodi ir ērta, cilvēkiem viegli saprotama un – galvenais – guvusi lielu atbalstu. Te tiešām varētu runāt par to, ka SP vajadzēja skaidrot faktu, ka svarīgi ir cilvēkus saskaitīt, nevis uzsvērt to, ka kāds varētu sākt izmantot šo informāciju. Manuprāt, ja kāds zin manu personas kodu vai pases numuru, tas nedod nekādas īpašas priekšrocības šādā statistikas uzdevuma risināšanā.

Protams, situācija būtu citādāka, ja tiktu izskatīts jautājums par elektroniski nodrošinātām vēlēšanām. Šajā gadījumā, apsverot visus riskus, es teiktu, ka tās būtu nepieciešams nodrošināt izmantojot TIKAI autorizētus autentifikācijas līdzekļus.

Vēl var, protams, diskutēt par skaitīšanas anketā uzdoto jautājumu lietderību, jo pēc savas būtības dažādās valsts IT sistēmās tāpat ir pieejamas visas atbildes uz tautas skaitīšanā uzdotajiem jautājumiem. Piemēram, jautājumu par vannu un dušu ar diezgan lielu varbūtību var noskaidrot pēc adreses. Tāpēc ir jautājums, vai bija vērts iztērēt 6M LVL, lai noorganizētu skaitīšanu, ja uztaisot robota sistēmu, kas apstaigā Valsts IT sistēmas (tas varētu izmaksāt ap 0,5M LVL) ar diezgan tuvu precizitāti varētu iegūt to pašu statistikas informāciju.