Kas gali atlikti kibernetinio saugumo auditą?

Kibernetinio saugumo auditas – tai ne bet kuris patikrinimas, kurio pasiūlyme užrašytas toks pavadinimas. Kibernetinio saugumo įstatymas nustato, kokios kvalifikacijos reikia jį atliekančiam žmogui, ir tas reikalavimas gerokai siauresnis, nei atrodo iš paslaugų puslapių. Kartu įstatymas nedaro vieno dalyko: nerezervuoja pačių žodžių. Todėl rinkoje šalia teisės aktui tinkančio audito laisvai gyvuoja ir komerciniai patikrinimai tokiu pat pavadinimu. Šiame straipsnyje surašyta, kokios kvalifikacijos reikalaujama, kas audito atlikti negali, kuo jis skiriasi nuo kasmetinio atitikties vertinimo ir ko verta paklausti prieš pasirašant sutartį. Pasirengimą auditui aprašėme atskirai – straipsnyje apie tai, kaip pasiruošti kibernetinio saugumo auditui.

Ką dėl auditoriaus nustato Kibernetinio saugumo įstatymas

Kibernetinio saugumo reikalavimus Lietuvoje nustato Kibernetinio saugumo įstatymas (toliau – KSĮ). NIS2 direktyva perkelta ne atskiru teisės aktu, o šį įstatymą išdėstant nauja redakcija – įstatymu Nr. XIV-2902, kuris įsigaliojo 2024 m. spalio 18 d. Konkretūs organizaciniai ir techniniai reikalavimai surašyti Kibernetinio saugumo reikalavimų apraše, patvirtintame Vyriausybės nutarimu Nr. 945.

Auditoriui skirta viena nuostata – KSĮ 14 str. 8 d. Ji vienu metu nustato du dalykus. Pirma, kibernetinio saugumo auditas atliekamas ne rečiau kaip kas 3 metus; ta pati pareiga pakartota Aprašo 48.3 papunktyje. Antra, jį atlieka nepriklausomi, tarptautiniu mastu sertifikuoti auditoriai, kurie papildomai yra baigę Nacionalinio kibernetinio saugumo centro nustatytus mokymus ir išlaikę jo kvalifikacinį egzaminą. Audito tvarką ir metodiką pagal šią nuostatą nustato pats centras.

Verta atkreipti dėmesį į tai, ko nuostata nedaro. Ji riboja pajėgumą, o ne terminiją. Vadinti savo paslaugą kibernetinio saugumo auditu niekam nedraudžiama, ir Lietuvos rinkoje tokiu pavadinimu siūlomi labai skirtingi darbai – nuo konfigūracijų peržiūros iki ISO 27001 pasirengimo vertinimo. Daugelis jų naudingi, tačiau 14 str. 8 d. reikalavimo jie neįvykdo. Todėl renkantis pirmiausia klausiama ne pavadinimo, o kvalifikacijos ir to, ar tiekėjo išvada tinka būtent šiai teisinei pareigai įvykdyti.

Trys sąlygos, kurias turi atitikti auditorius

Reikalavimą patogu skaidyti į tris dalis. Pirmosios dvi – formalios ir patikrinamos dokumentu, trečioji vertinama pagal santykį su tikrinama organizacija.

1. Tarptautiniu mastu pripažintos organizacijos išduotas sertifikatas. Tai kvalifikacija, kurios turinys ir egzaminas nepriklauso nuo vieno tiekėjo mokymų programos ir kuri pripažįstama už Lietuvos ribų. Konkrečių pavadinimų įstatymas nevardija, todėl praktikoje remiamasi rinkoje nusistovėjusiu ratu – jį surašėme kitame skyriuje.


2. Nacionalinio kibernetinio saugumo centro nustatyti mokymai ir jo kvalifikacinis egzaminas. Būtent ši sąlyga atskiria Lietuvos kibernetinio saugumo auditorių nuo bet kurio tarptautinį sertifikatą turinčio specialisto. Tarptautinė kvalifikacija rodo audito amatą apskritai; centro mokymai ir egzaminas – kad auditorius dirba pagal Lietuvoje nustatytą metodiką ir vertina būtent KSĮ bei Aprašo reikalavimus. Vienos dalies be kitos nepakanka.


3. Nepriklausomumas nuo tikrinamo subjekto. Auditorius negali vertinti darbo, kurį pats atliko, ir negali priklausyti nuo vertinamos organizacijos taip, kad tai darytų poveikį išvados turiniui. Šalia nepriklausomumo praktikoje žiūrima ir į nešališkumą – ar nėra interesų konflikto konkrečioje sutartyje – bei į dalykinę reputaciją. Tai vienintelė iš trijų sąlygų, kurios negalima patikrinti vien pažymėjimu: ji priklauso nuo santykio su konkrečiu užsakovu.

Kokie sertifikatai laikomi tarptautiškai pripažintais

Įstatyme sertifikatų sąrašo nėra. Nurodyta tik tai, kad auditorius turi būti sertifikuotas tarptautiniu mastu, o kurios kvalifikacijos tą sąlygą atitinka, sprendžiama praktikoje. Lietuvos rinkoje kaip tarptautiniu mastu pripažintos kvalifikacijos paprastai minimos šios.

• ISACA CISA (Certified Information Systems Auditor) – informacinių sistemų audito kvalifikacija. Tai artimiausias atitikmuo tam, ko iš auditoriaus reikalauja KSĮ: audito planavimas, įrodymų rinkimas ir išvados formulavimas.


• ISACA CISM (Certified Information Security Manager) – informacijos saugumo valdymo kvalifikacija, orientuota į valdyseną, riziką ir incidentų valdymą, o ne į patį audito procesą.


• ISACA CRISC (Certified in Risk and Information Systems Control) – rizikos ir kontrolės priemonių kvalifikacija; naudinga ten, kur vertinamas ne priemonės buvimas, o jos veiksmingumas.


• ISC2 CISSP (Certified Information Systems Security Professional) – plati saugumo srities kvalifikacija, rinkoje pripažįstama bene plačiausiai, tačiau apimanti daugiau nei auditą.


• ISO/IEC 27001 vadovaujantysis auditorius – valdymo sistemų audito kvalifikacija. Ji naudinga todėl, kad Aprašo reikalavimai didele dalimi sutampa su standarto priemonėmis; kur baigiasi ta sutaptis, aptarėme straipsnyje apie tai, [ar ISO 27001 pakanka NIS2 reikalavimams](/lt/straipsniai/ar-iso-27001-pakanka-nis2-reikalavimams).

Šis sąrašas iliustruoja rinkos praktiką, o ne teisės akto reikalavimą, ir jį verta skaityti atsargiai. Sertifikatas pats savaime teisės atlikti 14 str. 8 d. numatytą auditą nesuteikia. Auditoriaus pažymėjimas su gerai žinoma santrumpa dar nieko nepasako apie tai, ar žmogus baigė Nacionalinio kibernetinio saugumo centro nustatytus mokymus ir išlaikė jo kvalifikacinį egzaminą. Praktikoje būtent antrosios dalies dažniausiai ir trūksta – pasiūlyme matomas CISA arba CISSP, o apie centro egzaminą neužsimenama nė žodžiu.

Kas kibernetinio saugumo audito atlikti negali

Nepriklausomumo reikalavimas atrodo abstraktus, tačiau praktikoje jis atmeta tris labai konkrečius, rinkoje dažnai siūlomus variantus.

• Organizacijos darbuotojas. Vidaus auditorius arba saugumo vadovas vertintų savo paties valdomą sritį ir teiktų išvadą tam, kas jam moka atlyginimą. Vidiniai patikrinimai išlieka naudingi kasdieniame darbe ir tinka Aprašo 48.1 papunktyje numatytam kasmetiniam atitikties vertinimui – jis kaip tik ir yra vidinis. Tačiau 48.3 papunktyje numatyto audito jie nepakeičia.


• Informacinių technologijų paslaugų tiekėjas. Įmonė, prižiūrinti serverius, tinklą ar debesiją, vertintų savo pačios teikiamos paslaugos kokybę. Net kai vertinimas sąžiningas, jo išvada nepriklausoma nėra, nes neigiamas rezultatas kertasi su vertintojo komerciniu interesu.


• Tas, kuris pats įdiegė vertinamas priemones. Konsultantas, parengęs saugumo politikas, sukonfigūravęs tapatybės valdymą ar įdiegęs žurnalų stebėseną, negali paskui nepriklausomai vertinti to paties darbo. Tai dažniausiai praleidžiamas atvejis: organizacija natūraliai kreipiasi į tą, kuris jos aplinką jau pažįsta, ir taip praranda įrodymo vertę.

Iš to neišplaukia, kad su šiais tiekėjais dirbti negalima. Išplaukia darbo pasidalijimas: viena pusė priemones diegia ir techniškai jas patikrina, kita nepriklausomai įvertina rezultatą. Haxoris dirba pirmojoje pusėje, ir tą pasakome atvirai.

Kasmetinis atitikties vertinimas nėra auditas

Antra dažna klaida rinkoje – šias dvi pareigas laikyti viena. Jos skiriasi ir dažnumu, ir vykdytoju, ir kvalifikacijos reikalavimais, ir tuo, ką duoda rezultatas.

Viena pareiga kitos nepanaikina. Kasmetinis vertinimas atliekamas ir tais metais, kuriais vyksta auditas, o auditas neatstoja kasmetinio vertinimo tarpiniais metais. Greta šių dviejų veikia dar viena, visiškai atskira pareiga: Aprašo 45.8 papunktis reikalauja ne rečiau kaip kas 6 mėnesius atlikti visos informacinės sistemos pažeidžiamumų skenavimą. Tai automatizuotas patikrinimas, kuriam kvalifikacijos reikalavimai taip pat nenustatyti.

Nė viena iš šių trijų pareigų nėra įsilaužimų testas. Kuo jos skiriasi viena nuo kitos ir kur čia įsiterpia testavimas, aptarėme straipsnyje apie tai, ar įsilaužimų testavimas privalomas, o techninį skenavimo ir testavimo skirtumą – straipsnyje spragų skenavimas ar įsilaužimų testavimas.

Kaip dažnai ir nuo kada skaičiuojamas laikas

Auditas atliekamas ne rečiau kaip kas 3 metus. Tai minimumas, o ne rekomendacija: dažniau galima, rečiau ne.

Sudėtingesnis klausimas – nuo kada skaičiuojami patys reikalavimų įgyvendinimo terminai. Bendros visai rinkai datos nėra. Laikas skaičiuojamas nuo kiekvieno subjekto registracijos Kibernetinio saugumo informacinėje sistemoje: organizaciniams reikalavimams skiriama 12 mėnesių, o Apraše išvardytiems techniniams reikalavimams – 24 mėnesiai. Kiekvieno subjekto laikrodis eina savarankiškai, todėl straipsnis ar pasiūlymas, skelbiantis vieną datą visiems, daugumai skaitytojų bus klaidingas.

Praktinė išvada paprasta: pirmas žingsnis – pasitikrinti savo registracijos datą ir priskyrimą subjektų kategorijai, ir tik tada planuoti auditą. Priskyrimas lemia ir pareigų sąrašą: pavyzdžiui, Aprašo 51 punkte numatytą klausimyną Kibernetinio saugumo informacinėje sistemoje pildo tik esminiai subjektai.

Ką paklausti prieš pasirašant sutartį

Kvalifikacija tikrinama iki sutarties, o ne po jos. Praktikoje pakanka penkių klausimų, ir visi jie turi turėti dokumentinį atsakymą.

1. Kurį iš darbų tiekėjas siūlo? KSĮ 14 str. 8 d. numatytą auditą, kasmetinį atitikties vertinimą, pažeidžiamumų skenavimą ar komercinę saugumo peržiūrą. Šis klausimas atsijoja daugiausia pasiūlymų.


2. Kokį tarptautinį sertifikatą turi konkretus auditorius? Ne įmonė apskritai, o žmogus, kuris pasirašys išvadą. Prašoma pažymėjimo numerio ir galiojimo datos.


3. Ar tas pats žmogus baigė Nacionalinio kibernetinio saugumo centro nustatytus mokymus ir išlaikė kvalifikacinį egzaminą? Tai dažniausiai trūkstama dalis. Neaiškus atsakymas čia reiškia, kad išvada teisinei pareigai netiks.


4. Ar nėra interesų konflikto? Tikrinama, ar tiekėjas arba su juo susijusi įmonė nediegė vertinamų priemonių, neprižiūri infrastruktūros ir neteikia tos pačios organizacijos informacinių technologijų paslaugų.


5. Kokios formos bus rezultatas? Ar tai išvada dėl KSĮ ir Aprašo reikalavimų vykdymo su nurodytais neatitikimais, ar rekomendacinė ataskaita. Skirtumas paaiškėja per vėlai, jei jo neišsiaiškinama iš anksto.

Kur čia įsilaužimų testavimas – ir kur Haxoris

Testuotojams Lietuvoje jokios atskiros tvarkos nenustatyta. Įsilaužimų testuotojų licencijavimo ar registro nėra, o pats įsilaužimų testavimas nėra privalomas nei pagal KSĮ, nei pagal Aprašą. Todėl pasiūlymas, kuriame minima „licencijuota testavimo įmonė“ arba „registruotas testuotojas“, remiasi tuo, ko Lietuvos teisėje nėra. Testas užsakomas savo iniciatyva – kaip rizikos patikrinimas ir kaip medžiaga auditui.

Būtent čia dirba Haxoris, ir čia verta pasakyti tiesiai. Haxoris – Slovakijos įmonė ir KSĮ 14 str. 8 d. reikalaujamos auditoriaus kvalifikacijos neturi. Šio audito neatliekame, išvados dėl įstatymo reikalavimų vykdymo neteikiame ir sertifikatų neišduodame. Kai kuriuose Lietuvos rinkos pasiūlymuose ši riba sąmoningai neryški; mums ją brėžti paprasčiau, nes techninė pusė ir taip yra visas mūsų darbas.

Atliekame įsilaužimų testavimą ir pažeidžiamumų vertinimą pagal rašytinį užsakovo leidimą ir sutartą apimtį, o ataskaitą parengiame tokios formos, kokios paprastai prašo auditorius: įvardyta metodika, tiksli apimtis ir datos, patikrinti radiniai su įrodymu, rizikos vertinimas konkrečioje aplinkoje, šalinimo eiliškumas su atsakingu asmeniu ir terminu bei rašytinė pakartotinio patikrinimo išvada. Pasirengimą KSĮ ir NIS2 reikalavimams vertiname NIS2 įsilaužimų testų puslapyje, o konfigūracijų ir procesų peržiūrą – IT saugumo audito puslapyje. Abi šios paslaugos – komercinės, ir 14 str. 8 d. numatyto audito jos nepakeičia.

Apibendrinimas: pirmiausia kvalifikacija, tik paskui pavadinimas

Atsakymas į straipsnio klausimą trumpas: nepriklausomas auditorius, turintis tarptautiniu mastu pripažintą sertifikatą ir papildomai baigęs Nacionalinio kibernetinio saugumo centro nustatytus mokymus bei išlaikęs jo kvalifikacinį egzaminą. Savas darbuotojas, informacinių technologijų tiekėjas ir priemones įdiegęs konsultantas iškrenta dėl nepriklausomumo, o vien tarptautinis sertifikatas be centro egzamino šiam auditui nepakanka.

Praktiškai iš to išplaukia du žingsniai. Pirma, pasitikrinamas savo priskyrimas ir registracijos data, nes nuo jų priklauso terminai. Antra, kvalifikacija patikrinama dokumentu iki sutarties, o ne po audito. Techninę pusę verta sutvarkyti anksčiau, nei ateina auditorius: užsisakykite nemokamą konsultaciją, ir spragų pirmas neras nei jis, nei kas nors nekviestas.

Kas gali atlikti kibernetinio saugumo auditą – dažniausiai užduodami klausimai

Susijusios Haxoris paslaugos: IT saugumo auditas ir konfigūracijų patikra · įsilaužimų testavimas pasirengiant NIS2 reikalavimams