Kiberdrošības audits: kurš to veic un kā tam sagatavoties

Kiberdrošības audits nemēra, vai kāds spēj ielauzties sistēmās. Tas mēra, vai organizācija spēj pierādīt, ka prasītie pasākumi ir ieviesti un ka kāds regulāri pārliecinās par to darbību. Plaukts ar drošības politikām par pierādījumu nekļūst. Pierādījums ir ielaušanās testa ziņojums, kurā redzams, kas tika testēts, kad, ko testētājs atrada un kas ar konstatējumiem izdarīts tālāk. Šajā rakstā apkopots, ko par auditu nosaka Latvijas normatīvie akti, kurš to drīkst veikt un kādus pierādījumus sagatavot iepriekš. Vienu lietu ir vērts pateikt uzreiz: Haxoris ir Slovākijas uzņēmums, un Nacionālās kiberdrošības likuma (turpmāk – NKDL) 44. pantā noteikto atbilstības auditu neveicam. Strādājam tehniskajā pusē – testējam sistēmas un sagatavojam ziņojumu, kuru auditors var pārbaudīt.

Kas ir atbilstības audits un ko tas pārbauda

Latvijā kiberdrošības prasības nosaka NKDL, kas ir spēkā kopš 2024. gada 1. septembra un ar kuru Latvijas tiesībās pārņemta NIS2 direktīva. Konkrētās organizatoriskās un tehniskās prasības ir Ministru kabineta 2025. gada 25. jūnija noteikumos Nr. 397 „Minimālās kiberdrošības prasības“, kas stājās spēkā 2025. gada 2. jūlijā. Audits šos divus dokumentus saliek blakus realitātei: auditors salīdzina normatīvajos aktos noteiktās prasības ar to, kas subjektam patiešām ir ieviests, un apraksta atšķirības. Mērķis nav nevainojama atzīme. Mērķis ir tas, ka vājās vietas pirmais atrod cilvēks, kurš par to saņem samaksu.

NKDL 44. panta pirmā daļa nosaka, kad tas notiek. Nacionālais kiberdrošības centrs un Satversmes aizsardzības birojs atbilstoši likumā noteiktajam uzraudzības dalījumam ir tiesīgi veikt subjekta atbilstības auditu vai uzdot subjektam veikt ārēju auditu par atbilstību likumā un Ministru kabineta noteikumos noteiktajām kiberdrošības prasībām, „ja ir aizdomas par kiberdrošības pārkāpumiem vai tie ir konstatēti“. Šis nosacījums ir svarīgs, jo tas nozīmē, ka atbilstības audits nav kalendārā ierakstāms periodisks pasākums. Tas ir uzraudzības instruments, un līdz brīdim, kad tas tiek uzdots, iemesls parasti jau ir zināms.

Praktiskās sekas ir panta ceturtajā un piektajā daļā. Ārējā audita izmaksas sedz un auditā konstatētos pārkāpumus novērš pats subjekts. Pēc audita beigām subjekts nekavējoties iesniedz audita ziņojuma kopiju Nacionālajam kiberdrošības centram, bet informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašnieks vai tiesiskais valdītājs – Satversmes aizsardzības birojam, un pēc pieprasījuma uzrāda arī pierādījumus, kas bija par pamatu audita secinājumiem. Tieši pēdējais teikums ir iemesls, kāpēc tehniskajam materiālam ir vērts būt sakārtotam jau pirms audita.

Ko subjekts dara arī tad, ja audita nav

Divi pienākumi ir pastāvīgi un no audita nav atkarīgi. Pirmais ir pašvērtējums. NKDL 43. pants prasa iesniegt uzraugošajai iestādei atbilstības pašvērtējuma ziņojumu, un MK noteikumu Nr. 397 141. punkts nosaka ritmu: reizi gadā subjektam, kuram ir vismaz viena A klases informācijas sistēma vai kurš ir IKT kritiskās infrastruktūras īpašnieks vai tiesiskais valdītājs, un reizi trijos gados pārējiem. Veidlapu iesniedz līdz attiecīgā kalendāra gada 1. oktobrim (142. punkts).

Otrais ir ikgadējā tehniskā pārbaude. NKDL 25. panta piektās daļas 2. punkts uzliek kiberdrošības pārvaldniekam pienākumu ne retāk kā reizi gadā veikt informācijas un komunikācijas tehnoloģiju drošības pārbaudi un atbilstoši tās rezultātiem organizēt konstatēto trūkumu novēršanu. Šī prasība praksē rada lielāko daļu tehniskā darba, un CERT.LV to formulē tieši: „Subjektam ir jāveic IKT infrastruktūras drošības pārbaudes (Ielaušanās testi) atbilstoši Ministru kabineta noteikumiem.“ Uz kuriem subjektiem šis pienākums attiecas un cik bieži, sīkāk aprakstīts rakstā par to, vai ielaušanās testēšana ir obligāta.

Kurš drīkst veikt atbilstības auditu

NKDL 44. panta otrā daļa prasību formulē īsi: ārējo auditu veic neatkarīgs kiberdrošības auditors, kuram ar subjektu nav interešu konflikta un kurš atbilst kiberdrošības auditoram izvirzāmajām prasībām, bet pašas prasības nosaka Ministru kabinets.

2026. gadā šī aina mainījās, un mainījās divreiz. Ar 2026. gada 4. jūnija grozījumiem, kas stājās spēkā 18.06.2026., no panta pazuda atsauce uz publisko sarakstu. Aizsardzības ministrija to aprakstīja bez izvairīšanās: likvidēts līdzšinējais publiskais kiberdrošības auditoru saraksts, un turpmāk subjekti var brīvi izvēlēties jebkuru kiberdrošības auditoru, kurš atbilst Ministru kabineta noteiktajām prasībām. Ja piedāvājumā joprojām ir teikums par reģistrāciju auditoru sarakstā, tas ir rakstīts pēc novecojušas redakcijas.

Otrā izmaiņa vēl nav notikusi. Jaunie Ministru kabineta noteikumi par kiberdrošības auditoram izvirzāmajām prasībām nav izdoti. NKDL pārejas noteikumu 14. punkts nosaka, ka līdz to spēkā stāšanās dienai, bet ne ilgāk kā līdz 2026. gada 1. decembrim, auditoram piemēro tās prasības, kas šim nolūkam bija noteiktas MK noteikumos Nr. 397. Kritēriji tātad ir zināmi, bet tiem ir termiņš. Pirms līguma slēgšanas ir vērts pārbaudīt aktuālo redakciju likumi.lv un Nacionālā kiberdrošības centra tīmekļvietnē.

Prasības, kuras piemēro šobrīd (MK noteikumu Nr. 397 122. punkts):

• Reģistrācija un īpašnieki (122.1.): auditors ir juridiska vai fiziska persona, kas atbilst noteikumu 94. punktam – reģistrācija NATO, Eiropas Savienības vai EBTA dalībvalstī vai NATO Indijas un Klusā okeāna reģiona sadarbības valstī (IP4 valstī) un attiecīgas prasības valdei, padomei un patiesā labuma guvējiem.


• Zināšanas (122.2.): auditoram vai tā nodarbinātajam personālam ir nepieciešamās zināšanas kiberdrošības audita jomā, ko apliecina starptautiski atzīti sertifikāti; noteikumos kā piemēri minēti CISA, ISO/IEC 27001 Lead Auditor un CISSP.


• Tehniskās iespējas (122.3.): auditors spēj noteikt subjekta tīklu, informācijas sistēmu, IKT resursu un procedūru drošības atbilstību normatīvo aktu prasībām.

Neatkarības nosacījumi ir atsevišķi, un praksē tie izšķir vairāk nekā sertifikātu saraksts. Noteikumu 129. punkts prasa, lai auditoram būtu zināšanas, prasmes un pieredze neatkarīga, objektīva un vispusīga vērtējuma sniegšanai (129.1.), lai audita gaitā iegūto informāciju apstrādātu vienīgi NATO, Eiropas Savienības un EBTA dalībvalstu teritorijā (129.2.) un lai auditors pēdējo triju gadu laikā nebūtu piedalījies auditējamās informācijas sistēmas vai tās daļas izstrādē, uzturēšanā vai testēšanā (129.3.).

Pēdējais nosacījums izšķir lomas, un tas ir svarīgākais praktiskais secinājums visā rakstā. Uzņēmums, kas testēja konkrēto sistēmu, tieši tāpēc nevar būt tās pašas sistēmas auditors. Tā nav neērtība, bet gan darba dalīšana: viena puse sagatavo un pārbauda tehnisko pierādījumu, otra to neatkarīgi novērtē. Haxoris strādā pirmajā pusē.

IKT kritiskajā infrastruktūrā piemēro stingrāku kārtību: 44. panta trešā daļa prasa ar Satversmes aizsardzības biroju saskaņotu auditoru, un papildu prasības tur ir noteiktas arī tehniskajai testēšanai (MK noteikumu Nr. 397 132.3. apakšpunkts). Viss tālākais rakstā attiecas uz būtisko un svarīgo pakalpojumu sniedzējiem, kuri nav IKT kritiskās infrastruktūras īpašnieki vai tiesiskie valdītāji.

Četras procedūras, kuras piedāvājumos mēdz sajaukt

Latvijas regulējumā šīs ir četras atsevišķas procedūras: katrai ir savs ierosinātājs, sava prasība izpildītājam un savs normatīvais pamats. Tabulā apkopots, kā tās atšķiras.

Divas piezīmes pie tabulas. Pirmkārt, 132. punkta uzskaitījums par to, kurš drīkst veikt ielaušanās testu, attiecas uz testiem, ko veic pirms sistēmas nodošanas ekspluatācijā, periodiski vai pēc subjekta iniciatīvas; uz testu, ko veic pēc uzraugošās iestādes pieprasījuma, šis uzskaitījums neattiecas. Otrkārt, „drošības skenēšana“ noteikumu izpratnē nav tas pats, ko tirgus pārdod ar līdzīgu nosaukumu. Noteikumos tā ir uzraudzības instruments; komerciālais pakalpojums, ar kuru regulāri meklē zināmās nepilnības, ir ievainojamību skenēšana, un tā ir daļa no ievainojamību novērtēšanas. Nosaukumu sajaukšana maksā laiku, jo subjekts pasūta vienu, bet uzraugs prasa citu.

Kādus tehniskos pierādījumus prasa auditors

Auditors tehnisko materiālu vērtē pēc diviem kritērijiem: vai tas ir izsekojams un vai to var pārbaudīt. Apgalvojums „mēs to izdarījām“ nav ne viens, ne otrs. Praksē atkārtojas trīs prasības.

1. Neatkarīga un aktuāla pārbaude. Pašu uzturēšanas komandas regulārās pārbaudes ikdienā ir vērtīgas, bet kā formāls pierādījums tās ir vājas, jo komanda vērtē savu darbu. Vieglāk pieņemams ir ārēja speciālista ziņojums. Nozīme ir arī datumam: ziņojums, kas vecāks par gadu, apraksta sistēmu, kuras tādā veidā bieži vairs nav.


2. Pārbaudīti konstatējumi, nevis rīka izdruka. Automatizētas pārbaudes eksports ar simtiem ierakstu un bez konteksta rada vairāk jautājumu nekā uzticēšanās. Kvalitatīvajā ziņojumā katram konstatējumam ir pievienots pierādījums, tā izmantošanas priekšnosacījums un sekas. Kļūdainos trauksmes signālus testētājs jau ir atsijājis, tāpēc auditors saņem sarakstu bez balasta.


3. Novēršana un pierādījums par novēršanu. Trūkumu saraksts pats par sevi nav rezultāts. Katram konstatējumam vajag novēršanas soli, atbildīgo un termiņu, bet slēgtajiem – rakstisku apliecinājumu, ka pēc atkārtotas pārbaudes trūkums vairs nav izmantojams. Tieši šis dokuments pārvērš riska apzināšanos rīcībā.

Īsumā: auditors meklē ticamu pierādījumu, ka organizācija regulāri mēra savu noturību un novērš atrasto. Kārtīgi uzrakstīts ielaušanās testa ziņojums lielāko daļu šo gaidu nosedz ar vienu dokumentu.

Kā sagatavoties: soļi, kuriem ir secība

Secība nav formalitāte, jo viena soļa iznākums ir nākamā soļa ievaddati. Šāda gaita praksē strādā.

• Vispirms klasifikācija. Noskaidrojiet, vai likums attiecas uz jūsu organizāciju, kā tā ir klasificēta un vai kāda no informācijas sistēmām ir A klases sistēma. No tā ir atkarīgs gan pašvērtējuma ritms, gan tas, vai ielaušanās testi ir obligāti. Bez šī soļa testēšanas tvērums ir minējums.


• Sistēmu uzskaite un dokumentācija. Kura sistēma kur darbojas, kurš to uztur, kādus datus tā apstrādā. Šī ir vislētāk sakārtojamā daļa un vienlaikus tā, kuras trūkums audita laikā rada visgarākās sarunas.


• Tests pirms audita, nevis tā laikā. Atstājiet laiku novēršanai un atkārtotai pārbaudei. Ziņojums, kurā kritiskie konstatējumi jau ir slēgti, sāk pavisam citu sarunu nekā ziņojums, kurā tie ir atvērti.


• Novēršana ar atbildīgo un termiņu. Nosakiet prioritātes pēc ietekmes savā vidē, nevis pēc vispārīga vērtējuma. Uzturiet novēršanas žurnālu – tas ir tas pats dokuments, ko vēlāk prasīs auditors.


• Pierādījumi vienuviet. Ziņojums, novēršanas žurnāls, atkārtotās pārbaudes apliecinājums un regulārās ievainojamību skenēšanas rezultāti. Ja to visu var uzrādīt pēc pirmā jautājuma, audits saīsinās par dienām.


• Auditora izvēle laikus un ar interešu konflikta pārbaudi. Pārliecinieties, ka izraudzītais auditors pēdējo triju gadu laikā nav piedalījies auditējamās sistēmas izstrādē, uzturēšanā vai testēšanā, un ka viņa piedāvājums atsaucas uz spēkā esošo redakciju, nevis uz likvidēto sarakstu.

Ielaušanās tests vai ievainojamību skenēšana

Komercpiedāvājumos šos divus darbus mēdz likt vienā rindā, taču audita vajadzībām tie nav līdzvērtīgi. Ievainojamību skenēšanas un ielaušanās testa atšķirību aprakstījām atsevišķi; šeit svarīgs ir tikai tas, ko ar tiem iesāk auditors.

• Dziļums. Rīks meklē zināmas pazīmes: trūkstošu ielāpu, atvērtu portu, vāju paroli. Ko tas nepazīst, to tas neatradīs. Testētājs turpretī sasaista atsevišķi nenozīmīgas nepilnības vienā ķēdē un meklē biznesa loģikas plaisas – autentifikācijas apiešanu vai identifikatoru, kas ved uz cita lietotāja datiem.


• Manuāla pārbaude. Automatizētā izdrukā ir daudz ierakstu, kurus praksē izmantot nevar. Testētājs tos atsijā, tāpēc ziņojumā nonāk tikai pārbaudīti konstatējumi. Organizācija skata desmit līdz piecpadsmit konstatējumus, nevis vairākus simtus rindu.


• Konteksts. Rīks piešķir vispārīgu smaguma pakāpi. Ziņojums pasaka, ka SQL injekcija tieši šajā lietotnē atver visu klientu datubāzi, un tāpēc šeit tā ir kritiska, pat ja citur tās vērtējums būtu vidējs.


• Novēršana un atkārtota pārbaude. Rīka izvads parasti iesaka atjaunināt. Tests pasaka, ko un uz kuru versiju, un pēc labojuma pārbauda vēlreiz. Tieši šo soli auditors meklē visbiežāk.


• Standarti un pārklājums. Testēšanu veic pēc atzītas metodoloģijas – tīmekļa lietotnēm pēc OWASP ASVS un WSTG –, tāpēc pārbaudīto kategoriju loks ir plašāks nekā desmit populārāko ievainojamību saraksts.

No tā neizriet, ka automatizētā skenēšana ir lieka. No tā izriet, ka tai ir cits uzdevums: skenēšana nosedz laiku starp testiem un dod regulāru pierādījumu, bet tests pievieno dziļumu.

Ko satur ielaušanās testa ziņojums

Ziņojums vienlaikus tiek rakstīts diviem lasītājiem: organizācijas inženieriem un auditoram. Tam ir četras daļas, un katra abām pusēm dod ko citu.

• Kopsavilkums vadībai un tehniskā daļa. Kopsavilkumā ir smagākie riski un to ietekme uz darbību valodā, kādu lieto vadība. Tehniskā daļa iet līdz detaļām. Auditors dažās minūtēs atrod, kas tika testēts, kas tika atrasts un kas notika pēc tam; komanda to pašu lasa kā uzdevumu sarakstu.


• Konstatējumi ar riska novērtējumu. Katram konstatējumam ir smaguma pakāpe, lai būtu redzams, kas ir kritisks un kas kosmētisks. Labs ziņojums neapstājas pie vispārīga CVSS vērtējuma, bet pasaka, ko attiecīgā nepilnība nozīmē šajā vidē.


• Ieteikumi un novēršanas secība. Konkrēti soļi: kuru bibliotēku atjaunināt un uz kuru versiju, kuru galveni iestatīt, kur ieviest divfaktoru autentifikāciju. Šī daļa saīsina ceļu no atzinuma, ka problēma pastāv, līdz apliecinājumam, ka tā ir novērsta.


• Metodoloģija un tvērums. Ziņojumā ir nosaukta [testēšanas metodoloģija](/lv/testesanas-metodologijas) un precīzi aprakstīts, kas ietilpa tvērumā. Tieši tas padara darbu pārbaudāmu: neatkarīgs auditors dažus soļus var atkārtot pats un iegūt to pašu rezultātu.

Ciklu noslēdz atkārtota pārbaude. Bez tās ziņojums pierāda tikai to, ka organizācija savas nepilnības zināja, nevis to, ka tās ir novērstas.

Kopsavilkums: pierādījums gatavs pirms jautājuma

Atbilstības audits Latvijā nav pārsteigums, ko organizācija nevar ietekmēt. Tā ierosināšanu nosaka uzraugs, bet gatavību tam nosaka pati organizācija: klasifikācija ir skaidra, dokumentācija sakārtota, tehniskā pārbaude veikta laikus, konstatējumi novērsti un novēršana apliecināta. Beigās nozīme ir nevis tam, ka audits noslēdzas, bet tam, ka uzbrukums, no kura organizācija baidās, vienkārši neizdodas.

Haxoris šajā procesā strādā tehniskajā pusē. Veicam ielaušanās testēšanu un ievainojamību novērtēšanu; ziņojumu sagatavojam tādā formā, kādā to prasa auditors: nosaukta metodoloģija, pārbaudīti konstatējumi, riska novērtējums konkrētajā vidē, novēršanas secība un rakstisks apliecinājums par atkārtotu pārbaudi. Gatavību NKDL un NIS2 prasībām novērtējam atsevišķi – to aprakstījām lapā par ielaušanās testēšanu NIS2 un NKDL gatavībai, bet konfigurāciju un procesu pārbaudi – IT drošības audita lapā; abi ir komerciāli pakalpojumi, nevis NKDL 44. pantā noteiktais atbilstības audits. Jautājumu par to, vai ar ISO 27001 pietiek NKDL prasībām, apskatījām atsevišķi. Lai plaisas neatrastu auditors vai kāds neaicināts, piesakieties bezmaksas konsultācijai.

Kiberdrošības audits – biežāk uzdotie jautājumi

Saistītie Haxoris pakalpojumi: IT drošības audits un konfigurāciju pārbaude · ielaušanās testēšana NIS2 un NKDL gatavībai