Kibernetinio saugumo auditas: kaip jam pasiruošti

Kibernetinio saugumo auditas nematuoja, ar į sistemas įmanoma įsilaužti. Jis matuoja, ar organizacija gali įrodyti, kad reikalaujamos priemonės įdiegtos ir kad jų veikimas reguliariai tikrinamas. Lentyna su saugumo politikomis įrodymu netampa. Įrodymas – tai įsilaužimų testavimo ataskaita, iš kurios matyti, kas buvo testuojama, kada, ką testuotojas rado ir kas su radiniais padaryta toliau. Šiame straipsnyje surinkta, ko dėl audito reikalauja Lietuvos teisės aktai, kas jį gali atlikti ir kokius įrodymus verta parengti iš anksto. Vieną dalyką verta pasakyti iškart: Haxoris – Slovakijos įmonė, ir Kibernetinio saugumo įstatymo 14 str. 8 d. numatyto audito neatliekame. Dirbame techninėje pusėje – testuojame sistemas ir parengiame ataskaitą, kurią auditorius gali patikrinti.

Kas yra kibernetinio saugumo auditas ir ką jis tikrina

Lietuvoje kibernetinio saugumo reikalavimus nustato Kibernetinio saugumo įstatymas (toliau – KSĮ). NIS2 direktyva perkelta ne atskiru teisės aktu, o šį įstatymą išdėstant nauja redakcija – įstatymu Nr. XIV-2902, kuris įsigaliojo 2024 m. spalio 18 d. Konkretūs organizaciniai ir techniniai reikalavimai surašyti Kibernetinio saugumo reikalavimų apraše, patvirtintame Vyriausybės nutarimu Nr. 945.

Auditas šiuos du dokumentus sugretina su tikrove. Lyginama, ko reikalaujama teisės aktuose, su tuo, kas subjektui iš tikrųjų įdiegta, ir aprašomi skirtumai. Tikslas – ne nepriekaištingas pažymys. Tikslas toks, kad silpnąsias vietas pirmas rastų žmogus, kuriam už tai mokama, o ne tas, kuris ateina nekviestas.

Pats auditas apima tris sluoksnius. Peržiūrima dokumentacija: saugumo politikos, prieigos prie duomenų tvarka, incidentų valdymo ir atsarginių kopijų planai. Vertinamos organizacinės ir personalo priemonės: ar atsakomybės paskirstytos, ar darbuotojai mokomi, ar vadovybė iš tikrųjų prižiūri saugumą. Tikrinamos techninės priemonės: sistemų stiprinimas, tinklo segmentavimas, tapatybės ir prieigos valdymas, įvykių žurnalai bei stebėsena ir pažeidžiamumų valdymas. Rezultatas – ataskaita, kurioje surašyta, kurie reikalavimai vykdomi, kurie ne ir ką reikia pataisyti.

Ką subjektas daro ir tada, kai audito nėra

Apraše nustatytos trys atskiros, reguliariai pasikartojančios pareigos. Viešuose pasiūlymuose jos dažnai suplakamos į vieną, todėl verta jas išskirti.

Pirma – pažeidžiamumų skenavimas. Aprašo 45.8 papunktis reikalauja ne rečiau kaip kas 6 mėnesius atlikti visos informacinės sistemos pažeidžiamumų skenavimą. Tai automatizuotas patikrinimas, o ne įsilaužimų testas.

Antra – atitikties vertinimas. Pagal Aprašo 48.1 papunktį jis atliekamas kartą per metus, ir jį subjektas atlieka pats sau. Tai vidinis vertinimas, o ne nepriklausomo auditoriaus išvada.

Trečia – auditas. Aprašo 48.3 papunktis ir KSĮ 14 str. 8 d. nustato, kad kibernetinio saugumo auditas atliekamas ne rečiau kaip kas 3 metus.

Nė viena iš šių trijų pareigų nėra įsilaužimų testas. Ar ir kada testas prasmingas, aprašėme atskirai – straipsnyje apie tai, ar įsilaužimų testavimas privalomas.

Kas gali atlikti kibernetinio saugumo auditą

KSĮ 14 str. 8 d. riboja ne pavadinimą, o pajėgumą. Auditą atlieka nepriklausomi, tarptautiniu mastu sertifikuoti auditoriai, kurie papildomai yra baigę Nacionalinio kibernetinio saugumo centro nustatytus mokymus ir išlaikę jo kvalifikacinį egzaminą. Pačių žodžių niekas nerezervuoja – „kibernetinio saugumo auditu“ Lietuvos rinkoje vadinami ir komerciniai patikrinimai, neturintys nieko bendra su 14 str. 8 d. Todėl renkantis paslaugą pirmiausia verta paklausti ne pavadinimo, o to, ar tiekėjas turi būtent šią kvalifikaciją ir ar jo išvada tinka teisės akto reikalavimui įvykdyti.

Testuotojams jokios atskiros tvarkos nenustatyta: įsilaužimų testuotojų licencijavimo ar registro Lietuvoje nėra. Todėl pasiūlymas, kuriame minima „licencijuota testavimo įmonė“ arba „registruotas testuotojas“, remiasi tuo, ko Lietuvos teisėje nėra. Kokie reikalavimai iš tikrųjų taikomi auditoriui, plačiau surašyta straipsnyje apie tai, kas gali atlikti kibernetinio saugumo auditą.

Praktikoje iš to išplaukia darbo pasidalijimas, ir tai svarbiausia praktinė šio straipsnio išvada. Viena pusė parengia ir patikrina techninį įrodymą, kita jį nepriklausomai įvertina. Haxoris dirba pirmojoje pusėje.

Keturi darbai, kurie pasiūlymuose dažnai suplakami

Trys pareigos privalomos, ketvirtas darbas – savanoriškas. Kiekvienas turi savo dažnumą, savo vykdytoją ir savo teisinį pagrindą. Lentelėje surinkta, kuo jie skiriasi.

Lentelę verta papildyti dviem pastabomis. Pirma, ne visos pareigos taikomos visiems vienodai: Aprašo 51 punkte numatytą klausimyną Kibernetinio saugumo informacinėje sistemoje pildo tik esminiai subjektai, todėl pirmiausia reikia išsiaiškinti savo priskyrimą, o tik paskui apimtį. Antra, skenavimas ir testas nėra tas pats darbas, nors pasiūlymuose neretai atsiduria vienoje eilutėje. Skenavimas ieško žinomų spragų automatiškai; testas ieško to, ko įrankis neatpažįsta. Pavadinimų painiava kainuoja laiko, nes subjektas užsako vieną, o auditorius prašo kito.

Terminai taip pat skaičiuojami ne nuo visai rinkai bendros datos, o nuo kiekvieno subjekto registracijos Kibernetinio saugumo informacinėje sistemoje: organizaciniams reikalavimams skiriama 12 mėnesių, o Apraše išvardytiems techniniams reikalavimams – 24 mėnesiai. Kiekvieno subjekto laikrodis eina savarankiškai, todėl viena visiems skelbiama data daugumai skaitytojų būtų klaidinga. Pasitikrinti savo registracijos datą verta anksčiau nei planuoti auditą.

Kokių techninių įrodymų prašo auditorius

Techninę medžiagą auditorius vertina pagal du kriterijus: ar ją galima atsekti ir ar ją galima patikrinti. Teiginys „mes tai padarėme“ neatitinka nė vieno. Praktikoje kartojasi trys reikalavimai.

1. Nepriklausomas ir aktualus patikrinimas. Vidinės komandos patikrinimai kasdieniame darbe vertingi, tačiau formaliu įrodymu jie silpni, nes komanda vertina savo pačios darbą. Lengviau priimama išorės specialisto ataskaita. Svarbi ir data: senesnė nei vienerių metų ataskaita aprašo sistemą, kuri per tą laiką dažnai jau būna pasikeitusi.


2. Patikrinti radiniai, o ne įrankio išklotinė. Automatizuoto patikrinimo eksportas su šimtais įrašų ir be konteksto kelia daugiau klausimų nei pasitikėjimo. Kokybiškoje ataskaitoje prie kiekvieno radinio pridedamas įrodymas, išnaudojimo prielaida ir pasekmė. Klaidingi signalai atsijojami dar testavimo metu, todėl auditorius gauna sąrašą be balasto.


3. Šalinimas ir šalinimo įrodymas. Trūkumų sąrašas savaime nėra rezultatas. Kiekvienam radiniui reikia šalinimo žingsnio, atsakingo asmens ir termino, o uždarytiems – rašytinės išvados, kad po pakartotinio patikrinimo trūkumo išnaudoti nebepavyksta. Būtent šis dokumentas rizikos suvokimą paverčia veiksmu.

Trumpai: auditorius ieško patikimo įrodymo, kad organizacija reguliariai matuoja savo atsparumą ir šalina tai, kas randama. Tvarkingai parašyta įsilaužimų testavimo ataskaita didžiąją dalį šių lūkesčių padengia vienu dokumentu.

Kaip pasiruošti: žingsniai, kurių eiliškumas svarbus

Eiliškumas nėra formalumas – vieno žingsnio rezultatas – kito žingsnio pradiniai duomenys. Praktikoje veikia tokia seka.

• Pirmiausia priskyrimas. Išsiaiškinama, ar įstatymas organizacijai taikomas, kuriai subjektų kategorijai ji priskirta ir kada įregistruota Kibernetinio saugumo informacinėje sistemoje. Nuo to priklauso ir pareigų sąrašas, ir jų terminai. Be šio žingsnio testavimo apimtis – tik spėjimas.


• Sistemų inventorius ir dokumentacija. Kuri sistema kur veikia, kas ją prižiūri, kokius duomenis ji tvarko. Tai pigiausiai sutvarkoma dalis ir kartu ta, kurios trūkumas audito metu sukelia ilgiausius pokalbius.


• Testas prieš auditą, o ne jo metu. Paliekama laiko šalinimui ir pakartotiniam patikrinimui. Ataskaita, kurioje kritiniai radiniai jau uždaryti, pradeda visai kitokį pokalbį nei ataskaita, kurioje jie atviri.


• Šalinimas su atsakingu asmeniu ir terminu. Prioritetai nustatomi pagal poveikį konkrečioje aplinkoje, o ne pagal bendrą įvertį. Pildomas šalinimo žurnalas – tas pats dokumentas, kurio vėliau paprašys auditorius.


• Įrodymai vienoje vietoje. Ataskaita, šalinimo žurnalas, pakartotinio patikrinimo išvada ir reguliaraus [spragų skenavimo](/lt/paslaugos/pazeidziamumu-vertinimas) rezultatai. Jei visa tai pateikiama po pirmo klausimo, auditas sutrumpėja dienomis.


• Auditoriaus pasirinkimas laiku. Įsitikinama, kad pasirinktas auditorius turi KSĮ 14 str. 8 d. reikalaujamą kvalifikaciją ir kad jo pasiūlyme aiškiai pasakyta, kurį iš keturių aukščiau surašytų darbų jis atlieka. Laisvų vietų kalendoriuje prieš metų pabaigą būna mažiau, nei tikimasi.

Įsilaužimų testavimas ar spragų skenavimas

Komerciniuose pasiūlymuose šie du darbai neretai rašomi vienas šalia kito, tačiau audito reikmėms jie nėra lygiaverčiai. Spragų skenavimo ir įsilaužimų testavimo skirtumus aprašėme atskirai; čia svarbu tik tai, ką su jais nuveikia auditorius.

• Gylis. Įrankis ieško žinomų požymių: neįdiegto pataisymo, atviro prievado, silpno slaptažodžio. Ko jis neatpažįsta, to ir neras. Testuotojas priešingai – sujungia atskirai nereikšmingus trūkumus į vieną grandinę ir ieško verslo logikos spragų: autentifikavimo apėjimo arba identifikatoriaus, vedančio prie kito naudotojo duomenų.


• Rankinis patikrinimas. Automatizuotoje išklotinėje daug įrašų, kurių praktiškai išnaudoti neįmanoma. Testuotojas juos atsijoja, todėl į ataskaitą patenka tik patikrinti radiniai. Organizacija peržiūri dešimt ar penkiolika radinių, o ne kelis šimtus eilučių.


• Kontekstas. Įrankis priskiria bendrą pavojingumo lygį. Ataskaita pasako, kad SQL injekcija būtent šioje aplikacijoje atveria visą klientų duomenų bazę, ir todėl čia ji kritinė, net jei kitur būtų įvertinta vidutiniškai.


• Šalinimas ir pakartotinis patikrinimas. Įrankio išvestis paprastai pataria atnaujinti. Testas pasako, ką ir iki kurios versijos, o po pataisymo patikrina dar kartą. Būtent šio žingsnio auditorius ieško dažniausiai.


• Metodikos ir aprėptis. Testuojama pagal pripažintas [testavimo metodikas](/lt/testavimo-metodikos) (web aplikacijoms – pagal OWASP ASVS ir WSTG), todėl patikrinamų kategorijų ratas platesnis nei dešimties populiariausių pažeidžiamumų sąrašas.

Iš to neišplaukia, kad automatizuotas skenavimas nereikalingas. Iš to išplaukia, kad jo užduotis kita: skenavimas padengia laiką tarp testų ir duoda reguliarų įrodymą, o testas prideda gylio. Aprašo 45.8 papunktis reikalauja būtent skenavimo, todėl vienas kitą jie ne pakeičia, o papildo.

Ką turi apimti įsilaužimų testavimo ataskaita

Ataskaita rašoma dviem skaitytojams iš karto: organizacijos inžinieriams ir auditoriui. Ją sudaro keturios dalys, ir kiekviena abiem pusėms duoda ką kita.

• Santrauka vadovybei ir techninė dalis. Santraukoje surašomos sunkiausios rizikos ir jų poveikis veiklai ta kalba, kuria kalba vadovybė. Techninė dalis eina iki detalių. Auditorius per kelias minutes randa, kas buvo testuojama, kas rasta ir kas po to padaryta; komanda tą patį skaito kaip užduočių sąrašą.


• Radiniai su rizikos vertinimu. Kiekvienam radiniui priskiriamas pavojingumo lygis, kad matytųsi, kas kritiška, o kas kosmetiška. Gera ataskaita nesustoja ties bendru CVSS įverčiu, o pasako, ką konkretus trūkumas reiškia šioje aplinkoje: kokių duomenų nutekėjimą, kokį prastovos laiką ar kokį finansinį nuostolį.


• Rekomendacijos ir šalinimo eiliškumas. Konkretūs žingsniai: kurią biblioteką atnaujinti ir iki kurios versijos, kurią antraštę nustatyti, kur įdiegti dviejų veiksnių autentifikavimą. Ši dalis sutrumpina kelią nuo išvados, kad problema yra, iki patvirtinimo, kad jos nebėra.


• Metodika ir apimtis. Ataskaitoje įvardijama taikyta metodika ir tiksliai aprašoma, kas pateko į apimtį, o kas liko už jos. Būtent tai daro darbą patikrinamą: nepriklausomas auditorius kelis žingsnius gali pakartoti pats ir gauti tą patį rezultatą.

Ciklą užbaigia pakartotinis patikrinimas. Be jo ataskaita įrodo tik tiek, kad organizacija savo trūkumus žinojo, bet ne tai, kad jie pašalinti.

Apibendrinimas: įrodymas parengtas anksčiau, nei jo paprašo

Kibernetinio saugumo auditas nėra netikėtumas, kuriam neįmanoma pasiruošti. Jo terminą lemia teisės aktas ir subjekto registracijos data, o pasirengimą – pati organizacija: priskyrimas aiškus, dokumentacija sutvarkyta, techninis patikrinimas atliktas laiku, radiniai pašalinti, o šalinimas patvirtintas. Galiausiai svarbu ne tai, kad auditas baigiasi, o tai, kad ataka, kurios organizacija bijo, tiesiog nepavyksta.

Haxoris šiame procese dirba techninėje pusėje. Atliekame įsilaužimų testavimą ir pažeidžiamumų vertinimą, o ataskaitą parengiame tokios formos, kokios prašo auditorius: įvardyta metodika, patikrinti radiniai, rizikos vertinimas konkrečioje aplinkoje, šalinimo eiliškumas ir rašytinė pakartotinio patikrinimo išvada. Pasirengimą KSĮ ir NIS2 reikalavimams aprašėme atskirai – puslapyje apie NIS2 įsilaužimų testus, o konfigūracijos ir procesų peržiūrą – IT saugumo audito puslapyje; abu – komercinės paslaugos, o ne KSĮ 14 str. 8 d. numatytas auditas. Klausimą, ar ISO 27001 pakanka NIS2 reikalavimams, aptarėme atskirai. Kad spragų pirmas nerastų auditorius ar kas nors nekviestas, užsisakykite nemokamą konsultaciją.

Kibernetinio saugumo auditas – dažniausiai užduodami klausimai

Susijusios Haxoris paslaugos: IT saugumo auditas ir konfigūracijų patikra · įsilaužimų testavimas pasirengiant NIS2 reikalavimams