Ētiskais hakeris: kam uzticēt pārbaudi un ko prasīt pirms līguma

„Nolīgšu hakeri“ izklausās pēc joka tikai tik ilgi, kamēr nav jāiepērk pa īstam: jāizvēlas izpildītājs, jāparaksta līgums un jāielaiž sveši cilvēki turpat, kur glabājas klientu dati. Tad kļūst redzams, ka ētiskais hakeris nav reglamentēta profesija: šim tirgum nav ne sliekšņa, ne saraksta. Uzrakstīt savā tīmekļa vietnē „veicam pentestus“ var jebkurš, un atšķirība parādās tikai ziņojumā, tas ir, pēc rēķina.

Tālāk šis pirkums izjaukts pa daļām: kam jūs īsti uzticat pārbaudi, pēc kā redzams, ka izpildītājs prot solīto, kas jāieraksta līgumā un kāds izskatās ziņojums, par kuru ir vērts maksāt. Pašu pakalpojumu aprakstījām atsevišķi: kas ir ielaušanās testēšana.

Ko ētiskais hakeris dara ikdienā

Ikdienas darbam ir maz kopīga ar hakera tēlu kapucē, kāds redzams fotobanku attēlos. Lielākā daļa ir lasīšana, mēģināšana un dokumentēšana.

• Publiski pieejamo resursu apzināšana. Kas vispār ir redzams no interneta, kādi apakšdomēni ir dzīvi, kāda tehnoloģija zem tiem darbojas. Regulāri no tā iznirst kāda testa vide, par kuru uzņēmumā vairs neviens neatcerējās.
• Autentifikācija un piekļuves tiesības. Vai var uzdoties par citu lietotāju? Vai parasts konts redz datus, kas tam nepienākas? Šeit rodas smagākie konstatējumi, un neviens skeneris tos neatrod.
• Biznesa loģika. Divreiz izmantots atlaižu kupons, izlaists solis pasūtījumā, pārskaitījums ar negatīvu summu. No koda viedokļa nekas nesalūst, bet nauda aiztek.
• Ievainojamību savienošana ķēdē. Divi sīkumi, no kuriem katrs atsevišķi neko nedod, kopā atver administratora piekļuvi. Tieši šo ķēdi ziņojums parāda.
• Pierādījumi. Konstatējums bez atkārtojama pierādījuma ir viedoklis. Pierādījums ir tas, kas testu atšķir no skenera saraksta.

Amata nosaukums mēdz atšķirties, darbs ir tas pats. Tīmekļa vietnēs un darba sludinājumos vienlīdz bieži parādās „ētiskais hakeris“, „pentesteris“ un „drošības testētājs“. Pasūtīt tomēr ir vērts ielaušanās testēšanu: tikai šim nosaukumam ir tvērums, grafiks un rezultāts beigās. Piedāvājumu, kura virsrakstā stāv „ētiskā hakera pakalpojumi“, nav ar ko salīdzināt, jo par darba apjomu tas nepasaka neko.

To pašu šauro vārdu lieto arī Latvijas regulējums. Ministru kabineta 2025. gada 25. jūnija noteikumu Nr. 397 „Minimālās kiberdrošības prasības“ 8.2. apakšnodaļa saucas „Ielaušanās testi un drošības skenēšana“. Ja iepirkuma nolikumā rakstīts „ielaušanās tests“, runa ir par šo pašu darbu.

Kas atšķir ētisko hakeri no uzbrucēja

Ne tehnika – tā ir tā pati. Atšķirība ir trijos dokumentos.

• Rakstiska atļauja. Tiesīgās personas piekrišana, saņemta pirms darba sākuma. Tā nāk no tā, kas sistēmu patiešām uztur: svešā mākonī izvietotai lietotnei vai SaaS pakalpojumam tas ne vienmēr ir pasūtītāja uzņēmums, un pakalpojuma sniedzēja noteikumi testu mēdz ierobežot vai pakļaut iepriekšējai pieteikšanai.
• Tvērums. Precīzs uzskaitījums, kas pārbaudē ietilpst un kas ne. Ārpus tvēruma esošu sistēmu testētājs atstāj mierā arī tad, ja redz tur kļūdu.
• Testēšanas noteikumi. Laiks, atļautie paņēmieni, eskalācijas kontakti un tās darbības, kurām vajadzīga atsevišķa piekrišana. Parasti tur ietilpst uzbrukumi pieejamībai, masveida vēstuļu sūtīšana un iejaukšanās produkcijas datos.

Bez šiem trim dokumentiem tā pati darbība vairs nav pakalpojums. Krimināllikuma 241. pants runā par patvaļīgu piekļūšanu automatizētas datu apstrādes sistēmas resursiem, un viens no noteicošajiem vārdiem tajā ir „bez attiecīgas atļaujas“. Testu likumīgu padara tieši pasūtītāja rakstiska atļauja, nevis kāda reģistrācija. Tas, kā konkrētā situācija kvalificējama, ir atkarīgs no apstākļiem, proti, no tā, par kuras personas sistēmu un datiem ir runa, un tas ir jautājums advokātam, nevis testētājam. Izpildītājam šajā vietā ir viens uzdevums: bez rakstiskas atļaujas nesākt.

Kādus pasūtījumus nepieņemam

Meklējums „nolīgt hakeri“ apvieno divus pilnīgi atšķirīgus nodomus, tāpēc nepārprotami: testējam tikai tās sistēmas, par kurām ir saņemta tiesīgās personas rakstiska atļauja.

Nepieņemam – neatkarīgi no pamatojuma un no samaksas:

• piekļuves iegūšanu svešam kontam, pastkastei, sarakstei vai ierīcei, arī tad, ja runa ir par tuvinieku, biznesa partneri vai darbinieku;
• piekļuves atgūšanu kontam, kura piederību nevar pierādīt;
• konkurenta, piegādātāja vai klienta sistēmu pārbaudi bez viņu pašu pasūtījuma;
• cilvēku novērošanu.

Tā nav formalitāte un nav sarunu priekšmets. Izpildītājs, kurš par šo robežu kaulējas, kaulēsies arī par pasūtītāja datiem.

Sertifikāti: ko katrs no tiem apliecina

Sertifikāts ir vienīgā plaši pieejamā mēraukla, tikai tas mēra ļoti dažādas lietas. Šķirtne iet starp praktisku eksāmenu, ko kārto uz strādājošas sistēmas, un testa veida eksāmenu par drošības pārvaldību.

Divas lietas var pārbaudīt ceturtdaļstundā. Pirmkārt, sertifikāts pieder cilvēkam, nevis uzņēmumam – tāpēc prasiet to speciālistu vārdus, kuri strādās, nevis kopsavilkuma sarakstu no tīmekļa vietnes. Otrkārt, OffSec un ISC2 uztur publiski pārbaudāmus reģistrus, tātad prasiet identifikatoru vai saiti, nevis ekrānuzņēmumu.

To pašu prasiet arī no mums. Mūsu komanda un tās sertifikāti ir publiski, ar vārdiem un lomām, un anonimizētu ziņojuma paraugu izsniedzam pirms līguma, nevis pēc tā.

Ko par testētāju prasa Latvijas regulējums

Vienu lietu ir vērts izšķirt, jo tirgū tā regulāri saplūst. MK noteikumu Nr. 397 8.2. apakšnodaļa nosaka, kad Nacionālās kiberdrošības likuma (turpmāk – NKDL) subjektam ielaušanās testi jāveic un kas tos drīkst darīt. A klases informācijas sistēmai tests notiek pirms nodošanas ekspluatācijā un pēc tam vismaz reizi trijos gados (131.1. apakšpunkts); jebkurai informācijas sistēmai – pēc subjekta iniciatīvas (131.2. apakšpunkts), kā arī pēc Nacionālā kiberdrošības centra vai Satversmes aizsardzības biroja pieprasījuma (131.3. apakšpunkts).

Testētājam pašam nav jābūt nevienā sarakstā. 132.2.1. apakšpunkts prasa vienu no divām lietām: starptautiski atzītu sertifikātu, kas apliecina kvalifikāciju ielaušanās testu jomā (kā piemēri nosaukti CEH un OSCP), vai vismaz divu gadu darba pieredzi ielaušanās testu veikšanā, kas iegūta pēdējo piecu gadu laikā. Blakus stāv neatkarības prasība: pēdējo triju gadu laikā testētājs nav bijis iesaistīts testējamās sistēmas izstrādē vai uzturēšanā (132.2.2. apakšpunkts). Informācijas un komunikācijas tehnoloģiju kritiskajā infrastruktūrā kārtība ir stingrāka: par testētāju vajadzīgs Satversmes aizsardzības biroja atzinums (132.3. apakšpunkts). Uz šo segmentu raksts neattiecas.

Šī mēraukla noder arī tad, ja pasūtītājs nav NKDL subjekts. Tā ir vienīgā publiski pieejamā kvalifikācijas atsauce Latvijā, un to var iekopēt tehniskajā specifikācijā, nepiesaistoties nevienam zīmolam.

Un vēl viena lieta, ko 2026. gadā mēdz pārprast. Publiskais kiberdrošības auditoru saraksts, uz kuru daļa piedāvājumu joprojām atsaucas, attiecās uz citu procedūru – NKDL 44. pantā noteikto atbilstības auditu, ko subjektam veic neatkarīgs kiberdrošības auditors. Ar grozījumiem, kas stājās spēkā 18.06.2026., šis saraksts ir likvidēts, un subjekts auditoru turpmāk izvēlas brīvi, ja vien tas atbilst Ministru kabineta noteiktajām prasībām. Ielaušanās testiem šāda saraksta nekad nav bijis. Iznākums ir vienkāršs: izpildītāja pārbaude ir jūsu pašu darbs, un neviens reģistrs to vairs neatvieglos.

Tāpēc arī par sevi runājam skaidri. HAXORIS ir Slovākijā, proti, Eiropas Savienības un NATO dalībvalstī, reģistrēts uzņēmums, un Latvijā ielaušanās testu veikšanai nekāda reģistrācija nav paredzēta. NKDL 44. pantā noteikto atbilstības auditu neveicam. To veic neatkarīgs kiberdrošības auditors, kuram MK noteikumu Nr. 397 129.3. apakšpunkts liedz auditēt sistēmu, kuras izstrādē, uzturēšanā vai testēšanā viņš pēdējos trijos gados ir piedalījies. Tehniskā testēšana un audits normatīvajā aktā ir divas dažādas lomas, un tās pilda dažādi izpildītāji.

Kas jāieraksta līgumā

Ielaušanās testa līgums nav viens teikums par „drošības pārbaužu veikšanu“. Tālāk minimums, kura trūkumu pasūtītājs parasti pamana tikai tad, kad jau ir noticis kaut kas slikts.

• Tvērums. Adrešu, domēnu, lietotņu, lomu un testa kontu saraksts. Izņēmumus uzskaita atsevišķi, kopā ar trešo personu sistēmām, par kurām atļaujas nav.
• Testēšanas laiks. Darba dienas un stundas, tostarp tas, vai slodzi radošas pārbaudes notiek ārpus darba laika. Bez tā no pirmā trauksmes signāla izaug lieka krīzes sanāksme.
• Kontaktpersonas un eskalācija. Kurš abās pusēs paceļ telefonu naktī, ja tests apgāž pakalpojumu vai ja testētājs uziet svešas ielaušanās pēdas. Otrais gadās biežāk, nekā izriet no piedāvājumiem.
• Testēšanas datu apstrāde. Kur glabājas pierādījumi un pārbaudē iegūtie dati, kam ir piekļuve, cik ilgi tos uzglabā un kad dzēš. Ja tvērumā var nokļūt personas dati, noskaidro arī pārziņa un apstrādātāja lomas un tām atbilstošo līgumu.
• Konfidencialitātes līgums (NDA). Parakstīts pirms sarunas par tvērumu, nevis pēc pamatlīguma: jau pati saskaņošana atklāj arhitektūru.
• Profesionālās civiltiesiskās atbildības apdrošināšana. Vai tāda ir, uz kādu summu un vai tā sedz produkcijas vidē nodarītu kaitējumu.
• Publicitāte un atsauces. Vai izpildītājs drīkst nosaukt uzņēmumu kā klientu, rakstīt par to klienta stāstu un pieteikt atrasto kļūdu programmatūras ražotājam. Ja drīkst, tad kādā termiņā un ar kā saskaņojumu.
• Atkārtota pārbaude. Līgumā, ar termiņu un cenu, vai iekļauta testa cenā. Atkārtota pārbaude nav jauns tests: pēc labojumiem tā apskata atzīmētās vietas, nevis visu lietotni no sākuma.
• Apakšuzņēmēji. Kas darbu izpilda fiziski. Gadās, ka piedāvājumā minētie vārdi un projektā strādājošie cilvēki ir divas dažādas kopas.

Kāds izskatās ziņojums, par kuru ir vērts maksāt

Ziņojums ir vienīgais paliekošais testa rezultāts. Pēc gada sarunas neviens neatcerēsies, bet auditors prasīs dokumentu. Noderīgā ziņojumā ir:

• vadības kopsavilkums biznesa valodā;
• konstatējumu skaits un sadalījums pēc riska līmeņa;
• pie katra konstatējuma – identifikators un nosaukums, riska novērtējums pēc CVSS skalas, tehnisks apraksts ar atkārtošanai pietiekamu pierādījumu un beigās konkrēts novēršanas ieteikums.

Divas lietas ir vērts izdarīt vēl pirms lēmuma. Prasiet anonimizētu ziņojuma paraugu – pirms paraksta, nevis pēc tā; ziņojums ir pats produkts, un tam, kurš to nerāda, ir savs iemesls. Un izlasiet ieteikumus: ar teikumu „iesakām ieviest labāko praksi“ neviens neko nevar iesākt, savukārt „iesakām X galvenei Y konfigurācijā uzstādīt vērtību Z“ komandai ir pēcpusdienas darbs.

Ziņojuma forma pārstāj būt gaumes jautājums brīdī, kad tā kļūst par pierādījumu. NKDL 25. panta piektās daļas 2. punkts uzliek kiberdrošības pārvaldniekam pienākumu ne retāk kā reizi gadā veikt informācijas un komunikācijas tehnoloģiju drošības pārbaudi un atbilstoši tās rezultātiem organizēt konstatēto trūkumu novēršanu. Tāpēc ziņojums rakstāms tā, lai to gadu vēlāk saprastu arī cits lasītājs. To, ko pieprasa auditors un ko ir vērts sagatavot iepriekš, aprakstījām rakstā par kiberdrošības auditu. Pašu auditu veic neatkarīgs auditors; mūsu daļa ir tehniskie pierādījumi – atkārtojami konstatējumi, riska novērtējums, novēršanas secība un rakstisks apliecinājums par atkārtoto pārbaudi.

Brīdinājuma zīmes

• Skenēšana, pārdota kā ielaušanās tests. Šādu piedāvājumu pazīst pēc tā, ka pie katra konstatējuma stāv no datubāzes pārkopēts apraksts, bet nevienam no tiem nav pierādījuma par izmantojamību. Ievainojamību novērtējums ir patstāvīgs, lētāks un pilnīgi jēgpilns pakalpojums – tikai tas nav tests un tik daudz arī nemaksā. Abus salīdzinājām atsevišķi: ievainojamību skenēšana vai ielaušanās tests.
• Cena pirms tvēruma saskaņošanas. Kas nosauc summu, pirms ir noskaidrots lietotņu, lomu un integrāciju skaits, vai nu min uz labu laimi, vai gatavojas pārdot skenēšanu. Cenu ietekmējošos faktorus apkopojām rakstā cik maksā ielaušanās tests.
• Piedāvājums bez atkārtotas pārbaudes. Bez labojumu pārbaudes no testa paliek uzdevumu saraksts, kuru neviens nekad nepieņem.
• „Sertificētu ekspertu komanda“ bez vārdiem. Izpildītājs, kurš savu komandu nenosauc vārdos un nedod nevienu pārbaudāmu identifikatoru, piedāvā reklāmu, nevis atsauci.
• Kļūdu meklē un labo viens un tas pats izpildītājs. Kas kļūdu atrod un pēc tam par samaksu pats aizver, zaudē tieši to neatkarību, kuras dēļ auditors ziņojumu vispār pieņem. To pašu neatkarības principu audita pusē nostiprina MK noteikumu Nr. 397 129.3. apakšpunkts: auditoram ir liegts auditēt sistēmu, kuras izstrādē, uzturēšanā vai testēšanā viņš pēdējos trijos gados ir piedalījies.
• Atsauce uz likvidētu sarakstu vai neesošu pienākumu. Piedāvājums, kas 2026. gadā sola „reģistrēta kiberdrošības auditora“ statusu, atsaucas uz sarakstu, kura vairs nav. Tāpat nav taisnība, ka NIS2 vai NKDL prasa ielaušanās testu katru gadu: A klases informācijas sistēmai MK noteikumu Nr. 397 131.1.2. apakšpunkts nosaka vismaz reizi trijos gados, bet ikgadējais pienākums NKDL 25. pantā ir plašāka informācijas un komunikācijas tehnoloģiju drošības pārbaude. Šo jautājumu izšķīrām atsevišķi: vai ielaušanās testēšana ir obligāta.

Pieci jautājumi pirms paraksta

1. Kas testēs jūsu sistēmas, vārdā, un ar kādu sertifikātu? Nozīme ir praktiskam eksāmenam, kas nokārtots uz strādājošas sistēmas. CISSP un CISA komandā ir vērtīgi, bet testēšanas prasmi neapliecina.
2. Vai pirms lēmuma saņemšu anonimizētu ziņojuma paraugu? Pirms paraksta, nevis pēc tā.
3. Pēc kādas metodoloģijas notiek darbs? OWASP WSTG, ASVS un pārējās metodoloģijas noder ar to, ka pārklājums kļūst pārbaudāms, bet dažādu gadu ziņojumi – salīdzināmi.
4. Kas notiks ar testēšanas datiem? Glabāšanas vieta un termiņš, dzēšanas brīdis, piekļuves loks – un vai izpildītājam ir profesionālās civiltiesiskās atbildības apdrošināšana.
5. Vai atkārtota pārbaude ir cenā, un, ja nav, cik tā maksā un cik ilgi to var pieprasīt? Atbilde „to vēlāk pārrunāsim“ nozīmē, ka to nepārrunās.

Sestais jautājums ir vismazāk tehniskais un pasaka visvairāk: vai izpildītājs pasaka arī to, kad tests nav vajadzīgs? Kas uz katru pieprasījumu sūta vienu un to pašu piedāvājumu, tvērumu nav sapratis. Reizēm jēgpilnāks pirmais solis ir sociālā inženierija, ja risks sēž pie cilvēkiem, vai Red Team uzbrukuma simulācija, ja jautājums nav par to, vai var iekļūt, bet gan par to, vai kāds to pamana.

Ētiskais hakeris – biežāk uzdotie jautājumi

Saistītie Haxoris pakalpojumi: tīmekļa lietotņu un IT infrastruktūras ielaušanās testēšana