Ar įsilaužimų testavimas privalomas? Ką iš tikrųjų reikalauja teisės aktai

Ne. Pareigos užsakyti įsilaužimų testą Lietuvos teisėje nėra: jos nenustato nei Kibernetinio saugumo įstatymas (toliau – KSĮ), nei Kibernetinio saugumo reikalavimų aprašas, patvirtintas Vyriausybės nutarimu Nr. 945 (toliau – Aprašas). Klausimas vis dėlto kartojasi, ir ne be reikalo. Rinkoje plačiai sklando teiginys, kad „NIS2 reikalauja pentesto kasmet“, o atsiranda jis visada tuo pačiu būdu: trys atskiros teisės akto pareigos suspaudžiamos į vieną sakinį, ir iš to sakinio išeina ketvirtas, niekur neparašytas dalykas. Toliau tos trys pareigos išskleidžiamos po vieną – su punktais, dažnumu ir vykdytoju, – o paskui atsakoma į klausimą, kuris iš tikrųjų svarbus: kada įsilaužimų testas yra tinkamas įrankis, nors jo užsakyti niekas ir neįpareigoja.

Trumpas atsakymas: privalomo įsilaužimų testo nėra

KSĮ ir Aprašas surašo, ką kibernetinio saugumo subjektas privalo daryti. Įsilaužimų testo tame sąraše nėra – nei kaip savarankiškos pareigos, nei kaip vienintelio būdo kuriam nors reikalavimui įvykdyti. Nėra nustatyto nei tokio testo dažnumo, nei apimties, nei reikalavimų jo vykdytojui.

Antra atsakymo pusė tokia pat trumpa: įsilaužimų testuotojų licencijavimo ar registro Lietuvoje nėra. KSĮ tekste šaknies „licenc“ nėra nė karto. Todėl pasiūlymas, kuriame minima „licencijuota testavimo įmonė“ arba „valstybės registruotas testuotojas“, remiasi tuo, ko Lietuvos teisėje paprasčiausiai nėra. Kvalifikacijos sąlygos nustatytos kitam vaidmeniui – auditoriui, ir apie tai atskirai toliau.

Verta iškart pasakyti ir tai, ko iš šio atsakymo neišplaukia. Neišplaukia, kad testuoti nereikia. Neišplaukia ir tai, kad techninių pareigų nėra: viena reguliariai pasikartojanti techninio tikrinimo pareiga Apraše yra, tik ji vadinasi kitaip ir daroma kitaip.

Trys pareigos, kurios suplakamos į vieną

Apraše nustatytos trys pasikartojančios pareigos. Jos turi skirtingą dažnumą, skirtingą vykdytoją ir skirtingą rezultato adresatą, todėl viena kitos nepakeičia. Būtent šis skirtumas komerciniuose tekstuose dingsta dažniausiai.

Pirma: pažeidžiamumų skenavimas ne rečiau kaip kas 6 mėnesius

Aprašo 45.8 papunktis reikalauja ne rečiau kaip kas 6 mėnesius atlikti visos informacinės sistemos pažeidžiamumų skenavimą. Iš trijų pareigų ši – vienintelė reguliariai pasikartojanti techninio tikrinimo pareiga, ir būtent ji dažniausiai perpasakojama kaip „privalomas pentestas du kartus per metus“.

Pažeidžiamumų skenavimas – tai automatizuotas patikrinimas: įrankis palygina sistemoje aptiktus komponentus ir jų versijas su žinomų spragų sąrašais ir grąžina radinius su įverčiais. Testas taip neveikia. Skirtumas praktinis, o ne terminologinis: skenavimas atsako, kurių žinomų spragų sistemoje yra, o ne tai, ar jos išnaudojamos konkrečioje aplinkoje. Kur eina riba tarp šių dviejų darbų, aptarėme atskirai – straipsnyje apie tai, kuo skiriasi spragų skenavimas ir įsilaužimų testavimas.

Šeši mėnesiai – minimumas, o ne rekomenduojamas ritmas. Sistemai, kurios komponentai atnaujinami kas savaitę, pusmetinis skenavimas parodo praeitį, todėl praktikoje jis derinamas prie diegimo ciklo, o pusmetinis įrašas kalendoriuje lieka tik kaip apatinė riba.

Antra: atitikties vertinimas kartą per metus

Aprašo 48.1 papunktis reikalauja kartą per metus atlikti atitikties vertinimą. Atitikties vertinimas – tai vidinis pasitikrinimas, kurį subjektas atlieka pats sau: sugretinama, ko reikalaujama teisės aktuose, su tuo, kas iš tikrųjų įdiegta, ir užrašoma, kur skiriasi.

Dvi klaidos čia kartojasi. Pirmoji – vertinimas laikomas nepriklausoma išvada ir dėl jo kreipiamasi į išorės tiekėją, nors norma to nereikalauja. Antroji, brangesnė – vertinimas padaromas, bet trūkumų šalinimas nesuplanuojamas, todėl kitąmet tas pats sąrašas perrašomas su nauja data. Vertinimo vertę sukuria ne pati lentelė, o iš jos išplaukiantis darbų planas su atsakingais asmenimis ir terminais.

Trečia: auditas ne rečiau kaip kas 3 metus

Aprašo 48.3 papunktis ir KSĮ 14 str. 8 d. nustato tą pačią pareigą: kibernetinio saugumo auditas atliekamas ne rečiau kaip kas 3 metus. Auditas – tai nepriklausomas vertinimas, ir įstatymas riboja ne pavadinimą, o pajėgumą: jį atlieka nepriklausomi, tarptautiniu mastu sertifikuoti auditoriai, papildomai baigę Nacionalinio kibernetinio saugumo centro nustatytus mokymus ir išlaikę jo kvalifikacinį egzaminą.

Tai vienintelė iš trijų pareigų, kuriai nustatyti reikalavimai vykdytojui. Iš to plaukia praktinė pasekmė perkant paslaugą: pirmiausia klausiama ne pavadinimo, o to, ar tiekėjas turi būtent šią kvalifikaciją ir ar jo išvada tinka teisės akto reikalavimui įvykdyti. Kokie reikalavimai keliami auditoriui ir kaip juos pasitikrinti, surašyta straipsnyje apie tai, kas gali atlikti kibernetinio saugumo auditą; ko auditorius prašo ir ką verta sutvarkyti iš anksto – straipsnyje apie tai, kaip pasiruošti kibernetinio saugumo auditui.

Keturi darbai vienoje lentelėje

Trys pareigos privalomos, ketvirtas darbas – savanoriškas. Paskutinis lentelės stulpelis atsako į antraštės klausimą tiesiogiai.

Prie lentelės dera pastaba dėl apimties. Ne visos pareigos taikomos visiems vienodai: Aprašo 51 punkte numatytą klausimyną Kibernetinio saugumo informacinėje sistemoje pildo tik esminiai subjektai. Todėl pirmiausia nustatomas priskyrimas, o tik paskui sudaromas reikalavimų sąrašas – priešinga eilės tvarka gaunamas spėjimas, kuris vėliau perrašomas nuo pirmos eilutės.

Kodėl vienos visai rinkai galiojančios datos nėra

Antras dažnas teiginys skamba taip: „reikalavimai turi būti įgyvendinti iki tokios ir tokios dienos“. Tokios dienos nėra. Terminai skaičiuojami ne nuo bendros kalendorinės datos, o nuo kiekvieno subjekto registracijos Kibernetinio saugumo informacinėje sistemoje.

Iš to plaukia išvada, prieštaraujanti daugumai rinkoje sklandančių santraukų: kiekvieno subjekto laikrodis eina savarankiškai. Dvi tos pačios veiklos įmonės, registruotos skirtingais mėnesiais, turi skirtingus terminus, todėl vienas visiems skelbiamas terminas daugumai skaitytojų bus klaidingas. Pirmas darbas rengiant grafiką – pasitikrinti savo registracijos datą, o ne perrašyti straipsnyje matytą skaičių.

Ta pati pastaba galioja ir pačiam NIS2 pavadinimui. Lietuvoje direktyva perkelta ne atskiru teisės aktu, o KSĮ išdėstant nauja redakcija – įstatymu Nr. XIV-2902, įsigaliojusiu 2024 m. spalio 18 d. Todėl klausimas, ko iš tikrųjų reikalaujama, sprendžiamas skaitant KSĮ ir Aprašą, o ne direktyvos apžvalgas. Ar sertifikuota valdymo sistema šias pareigas padengia, aptarėme atskirai – straipsnyje apie tai, ar ISO 27001 pakanka NIS2 reikalavimams.

Iš kur atsiranda klaidingas atsakymas

Klaidingi teiginiai rinkoje nėra atsitiktiniai – jie gaunami iš teisingų dėmenų, sudėtų netinkama tvarka. Trys dažniausi atrodo taip.

• „Skenavimas kas 6 mėnesius reiškia pentestą du kartus per metus.“ Dažnumas paimtas teisingai, o darbo pobūdis pakeistas. Aprašo 45.8 papunktis kalba apie automatizuotą skenavimą; testas juo nepakeičiamas ir jo nepakeičia.
• „Auditas kas 3 metus reiškia pentestą kas 3 metus.“ Auditas tikrina atitiktį reikalavimams ir remiasi dokumentais bei įrodymais; testas tikrina, ar sistemoje yra praktiškai išnaudojamų spragų. Skiriasi ir vykdytojas: auditoriui nustatyti kvalifikacijos reikalavimai, testuotojui – ne.
• „Direktyva reikalauja testavimo, todėl reikalauja ir Lietuva.“ Įpareigoja ne direktyvos santrauka, o perkeltas nacionalinis tekstas. Ką privalu daryti Lietuvoje, matyti KSĮ ir Aprašo punktuose, ir įsilaužimų testo tarp jų nėra.

Klaida kainuoja abiem kryptimis. Vieni perka testą, o priežiūros institucijai reikia skenavimo įrašų ir atitikties vertinimo. Kiti perka tik skenavimą ir lieka su sąrašu, iš kurio nematyti, ar kuri nors iš rastų spragų iš tikrųjų atveria kelią į vidų.

Vienintelė vieta, kurioje KSĮ kalba apie testavimą

Yra viena norma, kurią verta žinoti kiekvienam, dirbančiam su svetimomis sistemomis. KSĮ 25 straipsnis nustato sąlygas, kurių visų kartu laikantis pažeidžiamumo paieška savo iniciatyva nelaikoma neteisėta veika. Sąlygos griežtos ir siauros: apie rastą pažeidžiamumą per 24 valandas pranešama Nacionaliniam kibernetinio saugumo centrui, veiksmai nutraukiami iš karto, kai pažeidžiamumas patvirtinamas, slaptažodžiai nespėliojami, darbuotojais nemanipuliuojama, o informacija neskelbiama 90 dienų – šį terminą centras gali trumpinti, tačiau ne mažiau kaip iki 3 dienų. Ši tvarka taikoma tik kibernetinio saugumo subjektų valdomoms sistemoms.

Šioje normoje slypi ir aiškus atsakymas, kodėl ji nepakeičia užsakyto testavimo. Draudimas manipuliuoti darbuotojais reiškia, kad socialinės inžinerijos testavimas šiuo keliu neįmanomas; ribotas taikymas reiškia, kad daugumos privačių sistemų ji apskritai neapima; o nutraukimo pareiga reiškia, kad grandinės iki galo niekas neišbando. Užsakomas testavimas veikia priešingai: apimtis, laikas, leidžiami veiksmai ir kontaktiniai asmenys sutariami iš anksto, o darbas atliekamas pagal rašytinį užsakovo leidimą ir sutartą apimtį.

Kada įsilaužimų testas – tinkamas įrankis

Dabar tikrasis klausimas. Įsilaužimų testavimas – tai kontroliuotas bandymas įsilaužti į sutartą sistemą tais pačiais metodais, kuriuos naudotų užpuolikas. Jis atsako į tai, ko neklausia nė viena iš trijų privalomų pareigų: ar įdiegtos priemonės iš tikrųjų sustabdo užpuoliką. Toliau – situacijos, kuriose šis atsakymas atperka kainą.

• Nauja arba iš esmės pakeista į internetą atverta sistema. Skeneris pažįsta žinomas komponentų klaidas, tačiau autorizacijos logikos klaidos naujoje aplikacijoje jis neatpažins – ji unikali, ir jokiame spragų sąraše jos nėra. Testuoti verta prieš paleidimą, kol pataisymas dar nieko nekainuoja.
• Skenavimo radiniai, kurių išnaudojamumą reikia patvirtinti. Pagal Aprašo 45.8 papunktį atliekamo skenavimo ataskaita dažnai grąžina kelias dešimtis įrašų. Testas parodo, kurie iš jų realiai pasiekiami iš išorės ir kuriuos galima sujungti į grandinę, todėl šalinimo eiliškumas nustatomas pagal poveikį, o ne pagal įverčio spalvą.
• Sutartinis kliento reikalavimas. Tiekėjas, kuriam KSĮ netaikomas, testą dažnai užsako todėl, kad jo prašo klientas, kuriam įstatymas taikomas. Tai dažniausias kelias, kuriuo testavimas patenka į nereguliuojamą įmonę.
• ISO/IEC 27001. Priemonė A.8.29 numato saugumo testavimą kuriant ir priimant sistemas, o A.8.8 – techninių spragų valdymą. Vienas testavimo projektas duoda įrodymus abiem pusėms, jei ataskaitoje įvardijama, kurį reikalavimą kiekvienas radinys pagrindžia.
• Viešieji pirkimai, draudikai ir klientų saugumo klausimynai. Visais trimis atvejais prašoma to paties – dokumento su data, apimtimi ir radinių šalinimo istorija, o ne patikinimo, kad saugumas svarbus.
• Įrodymas atitikties vertinimui ir auditui. Nė vienas teisės akto punktas testo nereikalauja, tačiau kasmetiniam vertinimui ir trejų metų auditui reikia parodyti, kad techninės priemonės veikia. Testo ataskaita su pakartotinio patikrinimo išvada šiam vaidmeniui tinka geriausiai iš visų turimų dokumentų.
• Laikotarpis po incidento. Ištaisius pažeidimo priežastį, lieka klausimas, ar tas pats kelias neveda dar kur nors. Į jį atsako testavimas, o ne pakartotinis skenavimas.

Nuo apimties priklauso ir kaina, ir trukmė, todėl derėtis verta ne dėl valandos įkainio, o dėl to, kas į ją patenka. Kaip ji sudaroma ir kas kainą lemia labiausiai, surašyta straipsnyje apie tai, kiek kainuoja įsilaužimų testavimas.

Kada testo užsakyti dar per anksti

Yra ir priešinga situacija, apie kurią tiekėjai kalba nenoriai. Testas parodo esamą būklę, todėl jį užsakyti prasminga tada, kai su rezultatu bus kam dirbti.

• Jei sistemos neatnaujinamos ir atnaujinimų proceso nėra, testas grąžins tai, ką parodytų pirmas skenavimas – tik brangiau.
• Jei radinių šalinimui neskirta nei laiko, nei atsakingo asmens, ataskaita liks nepajudinta iki kito ciklo.
• Jei nežinoma, kurios sistemos apskritai eksploatuojamos ir kurios atvertos į internetą, pirmiausia sudaromas turto sąrašas: be jo apimtis parenkama spėjant.

Tokiais atvejais pirmas žingsnis – pažeidžiamumų vertinimas ir tvarkingas atnaujinimų procesas, o testavimas planuojamas kitam ketvirčiui. Taip sutaupoma ne todėl, kad daroma mažiau, o todėl, kad nemokama už tų pačių dalykų atradimą du kartus.

Kaip suplanuoti metus, jei KSĮ organizacijai taikomas

Šeši žingsniai paverčia visa tai, kas išdėstyta pirmiau, kalendoriumi. Eilės tvarka nėra laisvai keičiama: kiekvienas kitas žingsnis remiasi ankstesnio rezultatu.

1. Nustatomas priskyrimas. Ar KSĮ organizacijai apskritai taikomas ir kuriai kibernetinio saugumo subjektų kategorijai ji priskirta. Nuo šio atsakymo priklauso visas tolesnis sąrašas.
2. Pasitikrinama registracijos data. Nuo registracijos Kibernetinio saugumo informacinėje sistemoje skaičiuojami 12 ir 24 mėnesių terminai, todėl grafikas prasideda būtent čia.
3. Sudaromas eksploatuojamų sistemų sąrašas. Be jo neaišku, ką apima „visos informacinės sistemos“ skenavimas ir kur baigiasi būsimo testo apimtis.
4. Į kalendorių įrašomas pusmetinis skenavimo ciklas. Aprašo 45.8 papunkčio dažnumas planuojamas iš anksto, o ne prisimenamas prieš vertinimą.
5. Numatomas kasmetinis atitikties vertinimas kartu su trūkumų šalinimo planu. Vertinimas be plano normos neįvykdo, o kitąmet tas pats sąrašas grįžta su nauja data.
6. Rezervuojamas trejų metų audito langas. Kvalifikacijos reikalavimus atitinkančių auditorių ratas siauras, todėl laikas derinamas anksčiau, nei artėja terminas.

Įsilaužimų testas šiame sąraše neturi savo eilutės – jis įterpiamas ten, kur duoda daugiausia naudos: prieš paleidžiant naują sistemą ir prieš auditą, kai reikia parodyti, kad techninės priemonės veikia.

Jei organizacija nėra kibernetinio saugumo subjektas

Čia atsakymas dar trumpesnis, ir išlygomis jo skiesti neverta. Teisės akte nustatytos pareigos testuoti nėra – nei netiesioginės, nei tokios, kuri „netrukus įsigalios“. Jei KSĮ organizacijai netaikomas, jos nesaisto nei Aprašo 45.8 papunktis, nei 48.1, nei 48.3.

Testuoti vis dėlto verta, tik dėl kitų priežasčių, ir jos pakankamai konkrečios, kad tilptų į biudžetą. Reikalavimas dažniausiai ateina sutartimi iš kliento, kuriam įstatymas taikomas, arba iš viešojo pirkimo sąlygų. Jį kelia ir sertifikavimo schemos, ir draudikai. O paprasčiausia priežastis nesusijusi su dokumentais: užpuolikas netikrina, ar įmonė yra kuriame nors sąraše. Vieša web aplikacija su autorizacijos klaida vienodai išnaudojama abiem atvejais, ir skiriasi tik tai, kad nereguliuojamos įmonės niekas neįpareigos jos patikrinti.

Ko verta reikalauti iš ataskaitos

Teisės aktas testo ataskaitos turinio nenustato, todėl reikalavimų lygį nustato pirkėjas. Toliau surašyta tai, be ko ataskaita netinka nei techniniam darbui, nei atitikties dokumentacijai.

• Apimtis ir laikas. Kuri sistema, kuri sąsaja ir kuris prieigos teisių lygis tikrintas, pagal kokį modelį ir nuo kurios iki kurios datos.
• Radiniai su įrodymu. Prie kiekvieno įrašo – pakartojimo žingsniai ir įrodymas, kad klaida išnaudojama praktiškai, o ne tik įrankio pažymėta.
• Rizikos vertinimas konkrečioje aplinkoje. Šalia CVSS įverčio aprašoma, ką klaida reiškia būtent šioje organizacijoje: kokių duomenų nutekėjimą, kokį prastovos laiką, kokį finansinį nuostolį.
• Šalinimo žingsniai prioriteto tvarka. Ne „atnaujinkite sistemą“, o kuris komponentas, iki kurios versijos, kuri konfigūracija ir nuo ko pradėti.
• Rašytinė pakartotinio patikrinimo išvada. Po pataisymų radiniai patikrinami dar kartą ir užfiksuojama, kuris uždarytas. Būtent šis dokumentas paverčia spragų sąrašą atliktu darbu.
• Nuoroda į reikalavimą. Prie radinio prirašoma, kurį Aprašo punktą arba standarto priemonę jis pagrindžia, todėl atitikties vertinimo eilutės ateina jau paruoštos.

Metodika įvardijama pačioje ataskaitoje: web aplikacijos tikrinamos pagal OWASP ASVS ir OWASP WSTG, kad apimtį būtų galima palyginti su viešu kriterijų sąrašu, o ne su tiekėjo pažadu.

Haxoris – Slovakijoje registruota įmonė, Lietuvoje neturinti nei biuro, nei atstovybės. KSĮ 14 str. 8 d. numatyto kibernetinio saugumo audito neatliekame ir sertifikatų neišduodame – tai daro kvalifikacijos reikalavimus atitinkantys auditoriai ir akredituotos sertifikavimo įstaigos. Dirbame techninėje pusėje: atliekame įsilaužimų testavimą, pažeidžiamumų vertinimą ir pasirengimo vertinimą, įskaitant įsilaužimų testus NIS2 pasirengimui.

Apibendrinimas: ne, bet ne todėl, kad nesvarbu

Įsilaužimų testavimas Lietuvoje neprivalomas: tokios pareigos nenustato nei KSĮ, nei Aprašas, o testuotojų licencijavimo ar registro nėra apskritai. Privalomos yra trys kitos pareigos – pažeidžiamumų skenavimas ne rečiau kaip kas 6 mėnesius pagal Aprašo 45.8 papunktį, kasmetinis atitikties vertinimas pagal 48.1 papunktį ir auditas ne rečiau kaip kas 3 metus pagal KSĮ 14 str. 8 d. bei Aprašo 48.3 papunktį. Terminai kiekvienam subjektui skaičiuojami nuo jo paties registracijos Kibernetinio saugumo informacinėje sistemoje, todėl bendros visai rinkai datos nėra.

Iš to neišplaukia, kad testas nereikalingas. Iš to išplaukia, kad jis užsakomas dėl atsakymo, o ne dėl punkto: ar apsauga sustabdo užpuoliką ir kiek toli jis nueitų, jei nesustabdytų. Kas yra pats testavimo procesas ir kaip jis atrodo iš vidaus, aprašyta straipsnyje apie tai, kas yra įsilaužimų testavimas.

Praktinis patarimas trumpesnis už normas. Pirmiausia pasitikrinamas priskyrimas ir registracijos data, paskui į kalendorių įrašomos trys privalomos pareigos, ir tik tada lyginami testavimo pasiūlymai. Jei praverstų antras žvilgsnis, kviečiame užsisakyti nemokamą konsultaciją ir atsinešti eksploatuojamų sistemų sąrašą: per pusvalandį paprastai paaiškėja, kuris iš keturių darbų organizacijai artimiausias.

Ar įsilaužimų testavimas privalomas – dažniausiai užduodami klausimai

Susijusios Haxoris paslaugos: įsilaužimų testavimas pasirengiant NIS2 reikalavimams · web aplikacijų ir IT infrastruktūros įsilaužimų testavimas