Drošības audits vai ielaušanās tests: kuru izvēlēties

Īsā atšķirība

Audits pārbauda drošību plašumā: politikas, konfigurācijas, piekļuves, procesus un atbilstību kritērijiem. Ielaušanās tests pārbauda dziļumā: tas praktiski cenšas apiet drošības mehānismus un pierādīt, cik tālu uzbrucējs tiktu.

NIST tehniskajā ceļvedī SP 800-115 šī atšķirība ir metodoloģiska. Audita pamatā ir pārskatīšanas metodes, kas sistēmas aplūko pasīvi un tāpēc rada tām minimālu risku. Ielaušanās tests pieder pie ievainojamību apstiprināšanas metodēm – tas atdarina reālus uzbrukumus pret reālām sistēmām un reāliem datiem.

Tā paša ceļveža brīdinājumu ir vērts atkārtot: ielaušanās testa laikā sistēmas var tikt bojātas vai padarītas nedarbojošas, un pieredzējis testētājs šo risku var samazināt, bet ne pilnībā novērst. Tāpēc testu plāno, saskaņo un paziņo iepriekš, kamēr auditu parasti var veikt darba laikā.

Abi darbi mērķē uz vienu un to pašu riska klasi. ENISA 2025. gada draudu ainavas pārskatā ievainojamību izmantošana ir otrs izplatītākais sākotnējās piekļuves veids (21,3 %), un gandrīz 70 % šādu gadījumu beidzas ar reālu ielaušanos. Audits parāda, kur ievainojamības rodas sistemātiski; tests pierāda, kuras no tām šodien ir izmantojamas.

Kad Latvijā ielaušanās tests ir obligāts

Ministru kabineta noteikumi Nr. 397 “Minimālās kiberdrošības prasības” nosaka konkrētus gadījumus, kad Nacionālās kiberdrošības likuma subjektam ielaušanās tests ir jāveic. Tas nav ieteikums, un tas pārsteidz organizācijas, kuras testu uzskatīja par brīvprātīgu ieguldījumu.

Ielaušanās testus veic šādos gadījumos: [..] A klases informācijas sistēmai: pirms informācijas sistēmas nodošanas ekspluatācijā; vismaz reizi trijos gados informācijas sistēmas ekspluatācijas laikā; [..] jebkurai informācijas sistēmai – pēc subjekta iniciatīvas; [..] jebkurai informācijas sistēmai – pēc Nacionālā kiberdrošības centra vai Satversmes aizsardzības biroja pieprasījuma.– MK noteikumu Nr. 397 131. punkts

Praktiskās sekas ir divas. Pirmkārt, A klases sistēmai testu nevar atlikt, līdz atradīsies budžets: triju gadu cikls skaitās no iepriekšējā testa. Otrkārt, pienākums iestājas jau pirms nodošanas ekspluatācijā, tātad tests jāieplāno projekta grafikā un budžetā, nevis jāpiegādā pēc palaišanas.

Uzraudzības iestādes pieprasījums ir trešais scenārijs, un tas var pienākt jebkurai sistēmai neatkarīgi no klases. Tāpēc organizācijai ir vērts zināt savu sistēmu klasifikāciju vēl pirms tāda pieprasījuma.

Kurš drīkst veikt ielaušanās testu

Šeit noteikumi ir precīzāki, nekā parasti gaida. Iekšējo testu drīkst veikt organizācijas personāls, bet tikai tāds, kurš pēdējo triju gadu laikā nav bijis iesaistīts testējamās informācijas sistēmas izstrādē vai uzturēšanā (132.1. apakšpunkts).

Ārējam testētājam 132.2.1. apakšpunkts prasa starptautiski atzītu sertifikātu, kas apliecina kvalifikāciju ielaušanās testu jomā – kā piemēri noteikumos minēti CEH un OSCP –, vai vismaz divu gadu darba pieredzi ielaušanās testu veikšanā, kas iegūta pēdējo piecu gadu laikā. Tā pati triju gadu neiesaistes prasība attiecas arī uz viņu (132.2.2. apakšpunkts).

IKT kritiskās infrastruktūras īpašniekam vai tiesiskajam valdītājam papildus vajadzīgs Satversmes aizsardzības biroja atzinums par testētāju (132.3. apakšpunkts). Pēc testa birojs jāinformē par rezultātiem nekavējoties, bet ne vēlāk kā 10 darbdienu laikā (134. punkts).

Praktiskā secība ir vienkārša: sertifikāta vai pieredzes apliecinājumu pieprasi rakstiski jau iepirkuma posmā un pielīgsti, ka testētāju sastāva izmaiņas jāsaskaņo. Pretējā gadījumā prasību izpilde būs jāpierāda pēc fakta, kad tests jau ir noticis.

Trešā iespēja: drošības skenēšana

Starp auditu un ielaušanās testu ir trešais, lētākais un biežāk atkārtojamais variants. MK noteikumu Nr. 397 135. punkts drošības skenēšanu paredz pēc Nacionālā kiberdrošības centra vai Satversmes aizsardzības biroja pieprasījuma, kā arī pēc paša subjekta pieprasījuma.

Skenēšana atrod zināmas ievainojamības automātiski, tāpēc to var atkārtot bieži un lēti. Tās robeža arī ir zināma: NIST SP 800-115 norāda, ka ievainojamību skeneriem ir augsts kļūdaini pozitīvu rezultātu īpatsvars un ka rezultātu interpretācija prasa ievērojamu cilvēka darbu. Skenēšana nepierāda izmantojamību un neatrod loģikas kļūdas.

Tas pats ceļvedis iesaka regulāru tīkla un ievainojamību skenēšanu apvienot ar periodisku ielaušanās testēšanu. Regulārā skenēšana notur pamatlīmeni starp testiem; tests pārbauda, vai šis pamatlīmenis tiešām iztur.

Kad izvēlēties drošības auditu

• Vajadzīgs plašs stāvokļa novērtējums, un vēl nav skaidrs, kur meklēt.
• Jāapliecina atbilstība Nacionālās kiberdrošības likumam, MK noteikumiem Nr. 397 vai nozares prasībām.
• Jāsakārto prioritātes un jāpamato budžets, pirms ieguldīt konkrētos uzlabojumos.
• Jāpārbauda procesi un dokumentācija – incidentu reaģēšana, instruktāžas, rezerves kopiju kārtība –, ko tehnisks tests neaptver.
• Jānovērtē piegādātājs vai jauniegādāta sabiedrība.

Kad izvēlēties ielaušanās testu

• Konkrēta lietotne, sistēma vai perimetrs jāpārbauda pirms palaišanas.
• Sistēma ir A klases – tad tests ir pienākums, ne izvēle.
• Vadībai jāpierāda reāla ietekme, nevis teorētisks risks.
• Pamata kontroles jau ir ieviestas un jāpārbauda to izturība pret reālu uzbrukumu.
• Jāpārbauda, vai aizsardzības komanda uzbrukumu vispār pamana un vai reaģē pareizi.

Kā tos salikt gada plānā

Auditam un testam nav jākonkurē par vienu budžeta rindu. Nobriedušā programmā tie darbojas dažādos ritmos: audits nosaka virzienu, skenēšana notur pamatlīmeni, tests pārbauda kritiskāko.

1. Ja vēl nav skaidrs, kas organizācijai pieder un kam ir piekļuve, sāc ar auditu. Testam nav jēgas, ja tvērums nav zināms.
2. Ja sistēma ir A klases, ieplāno testu pēc 131. punkta cikla un atzīmē datumu kalendārā, nevis gaidi atgādinājumu.
3. Ja pamata kontroles ir ieviestas un jāpārbauda to izturība, vajag ielaušanās testu, nevis vēl vienu auditu.
4. Ja jāatbild uzraudzības iestādei vai partnerim par atbilstību, vajag auditu – tests neaptver procesus un dokumentāciju.
5. Starp abiem uztur regulāru drošības skenēšanu un labo atradumus tajā pašā ciklā, nevis pirms nākamā audita.

Neatkarīgi no izvēles sagatavošanās ir gandrīz identiska: aktīvu saraksts, tvērums rakstiski, piekļuves un skaidras kontaktpersonas. To apkopo ceļvedis kā sagatavoties drošības auditam.