Kas ir drošības audits: process soli pa solim

Kas ir drošības audits

Audits ir sistemātisks novērtējums: auditors savāc pierādījumus par to, kā sistēmas, konfigurācijas, procesi un cilvēki reāli darbojas, un salīdzina tos ar kritēriju kopumu. Kritēriji var būt normatīvie akti, starptautisks standarts vai organizācijas pašas politikas.

NIST tehniskajā ceļvedī SP 800-115 drošības novērtēšana ir sadalīta trīs metodēs: izpētē (dokumentu, žurnālfailu, noteikumu kopu un konfigurāciju pārskatīšana), testēšanā (sistēmas darbināšana noteiktos apstākļos, lai salīdzinātu reālo un sagaidāmo uzvedību) un intervijās. Audits parasti izmanto visas trīs.

Praktiskā atšķirība ir tā, ka pārskatīšanas metodes ir pasīvas un rada sistēmām minimālu risku, kamēr testēšana strādā ar reālām sistēmām. Tāpēc audits parasti var notikt darba laikā, bet ielaušanās tests prasa iepriekš saskaņotus laika logus.

Auditam ir mērāms iemesls. ENISA 2025. gada draudu ainavas pārskatā, kas balstīta uz 4875 incidentiem laikā no 2024. gada 1. jūlija līdz 2025. gada 30. jūnijam, ievainojamību izmantošana ir otrs izplatītākais sākotnējās piekļuves veids (21,3 %) uzreiz aiz pikšķerēšanas (aptuveni 60 %). Turklāt gandrīz 70 % ievainojamību izmantošanas gadījumu beidzas ar reālu ielaušanos. Tieši šo daļu – zināmas, novēršamas nepilnības konfigurācijās un neatjauninātā programmatūrā – audits atrod lētāk nekā uzbrucējs.

Audits, skenēšana un sertifikācija nav viens un tas pats

Šie trīs vārdi bieži tiek lietoti kā sinonīmi, un tas rada nepareizus gaidījumus par to, ko organizācija saņems.

• Ievainojamību skenēšana ir automatizēts solis, kas atrod zināmas ievainojamības. NIST SP 800-115 tieši norāda, ka skeneriem ir augsts kļūdaini pozitīvu rezultātu īpatsvars un ka rezultātu interpretācija prasa ievērojamu cilvēka darbu. Skenera izdruka nav audits.
• Drošības audits skenēšanas rezultātus novērtē kontekstā, pievieno konfigurāciju, piekļuvju, procesu un dokumentācijas pārbaudi un sarindo riskus pēc reālās ietekmes tieši šajā vidē.
• Sertifikācija ir formāls trešās puses apliecinājums par atbilstību konkrētam standartam. Tā balstās uz auditu, bet tās mērķis ir sertifikāts, nevis prioritizēts uzlabojumu saraksts.

Audita posmi soli pa solim

NIST SP 800-115 novērtēšanas projektu sadala trīs fāzēs – plānošanā, izpildē un pēcizpildē. Praksē tas izvēršas sešos posmos, un katrā no tiem ir sava tipiskā kļūme. Ko sagatavot pirms katra posma, apkopo ceļvedis kā sagatavoties drošības auditam.

1. Tvēruma noteikšana. Vienojas, kuras sistēmas, tīkli un procesi tiek pārbaudīti, pēc kādiem kritērijiem un ar kādiem ierobežojumiem. Rezultāts ir rakstisks tvēruma apraksts. Tipiskā kļūme: tvērums aprakstīts vispārīgi (“visa infrastruktūra”), un vēlāk rodas strīds, vai kāda sistēma bija iekšā.
2. Informācijas vākšana. Tiek apkopoti aktīvu saraksti, tīkla shēmas, konfigurācijas, piekļuvju saraksti un esošās politikas. Tipiskā kļūme: aktīvu saraksta nav, un pirmās dienas paiet, noskaidrojot, kas vispār pieder organizācijai.
3. Pārbaude un testēšana. Ievainojamību skenēšana, konfigurāciju un noteikumu kopu pārskatīšana, piekļuvju analīze, žurnālfailu pārbaude un intervijas ar atbildīgajiem. Tipiskā kļūme: auditoram nedod pietiekamas piekļuves, un pārbaude paliek virspusēja.
4. Analīze un prioritizēšana. Katru secinājumu novērtē pēc ietekmes un iespējamības konkrētajā vidē. Tipiskā kļūme: atradumi tiek sarindoti pēc skenera piešķirtā smaguma, neņemot vērā, vai sistēma vispār ir sasniedzama no ārpuses.
5. Ziņojums un pārrunas. Rezultāti tiek dokumentēti un pārrunāti gan ar tehnisko komandu, gan ar vadību. Tipiskā kļūme: ziņojumu nosūta pa e-pastu bez pārrunām, un neviens nesaprot, ar ko sākt.
6. Atkārtota pārbaude. Pēc labojumiem kritiskās vietas pārbauda vēlreiz. Tipiskā kļūme: atkārtota pārbaude nav ierakstīta līgumā un tāpēc nenotiek.

Ko audits pārbauda un pret ko to mēra

Ja organizācija ietilpst Nacionālās kiberdrošības likuma tvērumā, kontroļu saraksts nav brīvi izvēlēts – to nosaka Ministru kabineta 2025. gada 25. jūnija noteikumi Nr. 397 “Minimālās kiberdrošības prasības”. Tabulā ir galvenās jomas un konkrētās normas, pret kurām tās mēra.

Ārpus likuma tvēruma esošai organizācijai šīs pašas normas der kā gatavs kontroļu saraksts. Tās ir konkrētas, pārbaudāmas un rakstītas Latvijas kontekstā, tāpēc tās ir labāks sākumpunkts nekā vispārīgs labās prakses uzskaitījums.

Kad audits ir brīvprātīgs un kad to uzdod

Lielākā daļa auditu ir brīvprātīgi – organizācija tos pasūta pati, lai saprastu savu stāvokli, sagatavotos iepirkumam vai pārbaudītu piegādātāju. Šādam auditam nav noteikta ne forma, ne auditora statuss.

Atsevišķs gadījums ir ārējais atbilstības audits, ko Nacionālās kiberdrošības likuma 44. panta pirmajā daļā noteiktajos apstākļos var uzdot Nacionālais kiberdrošības centrs vai Satversmes aizsardzības birojs. Tad likums nosaka arī prasības auditoram un līguma saturam – tas ir atsevišķa ceļveža temats par kiberdrošības auditora prasībām.

Trešais gadījums ir ielaušanās tests, kas A klases informācijas sistēmām ir tieši noteikts pienākums. Kad izvēlēties auditu, kad testu un kad pietiek ar drošības skenēšanu, salīdzināts ceļvedī audits vai ielaušanās tests.

Kā izskatās labs ziņojums

Ziņojums ir vienīgais, kas no audita paliek pāri, tāpēc tā struktūra nosaka, vai darbs pārvērtīsies uzlabojumos.

• Vadības kopsavilkums pāris lappusēs, bez žargona, ar skaidru atbildi uz jautājumu, cik slikti ir un ko darīt vispirms.
• Tvērums un metodika – kas tika pārbaudīts, kas netika un kāpēc. Bez tā šo ziņojumu nevar salīdzināt ar nākamā gada ziņojumu.
• Atradumi ar pierādījumiem – katram secinājumam pievienots, kā tas konstatēts. NIST SP 800-115 pēcizpildes fāzi definē kā ievainojamību analīzi cēloņu noteikšanai, ieteikumu izstrādi un gala ziņojuma sagatavošanu.
• Riska novērtējums kontekstā, nevis tikai skenera piešķirtais smagums.
• Konkrēti ieteikumi ar atbildīgo un termiņu. “Ieslēgt daudzfaktoru autentifikāciju administratoru kontiem” ir izpildāms; “uzlabot piekļuves pārvaldību” nav.
• Atradumu saraksts mašīnlasāmā formā (tabula vai CSV), lai to varētu ielikt uzdevumu sistēmā, nevis pārrakstīt ar roku.

Biežākās kļūdas, kas audita vērtību samazina

• Audits tiek pasūtīts, lai nokārtotu pārbaudi, nevis lai uzzinātu problēmas. Tvērums tiek sašaurināts tā, ka riskantākās sistēmas paliek ārpus tā.
• Auditors ir tā pati komanda, kas sistēmu uzbūvēja. Neatkarība nav formalitāte: MK noteikumu Nr. 397 132. punkts pat ielaušanās testiem prasa, lai testētājs pēdējo triju gadu laikā nebūtu bijis iesaistīts testējamās sistēmas izstrādē vai uzturēšanā.
• Atradumi netiek sasaistīti ar atbildīgajiem un termiņiem, un nākamajā gadā ziņojums izskatās gandrīz tāpat.
• Atkārtota pārbaude netiek ieplānota, tāpēc nav pierādījumu, ka risks tiešām ir novērsts.

Ko darīt tālāk

1. Nosaki, pret kādiem kritērijiem gribi mērīties: MK noteikumi Nr. 397, standarts, iekšējās politikas vai to kombinācija.
2. Sagatavo aktīvu sarakstu. Ja tā nav, tā izveide ir pirmais audita rezultāts, nevis priekšnosacījums.
3. Nosaki tvērumu rakstiski un vienojies, kā audita laikā tiks eskalēts kritisks atradums.
4. Pārliecinies, ka auditors pēdējo triju gadu laikā nav bijis iesaistīts pārbaudāmās sistēmas izstrādē vai uzturēšanā.
5. Ieplāno atkārtotu pārbaudi jau līgumā, nevis pēc ziņojuma saņemšanas.