Millist turvakontrolli nõuavad hankedokumendid: CHECK, ITHC ja PTaaS

CHECK, ITHC, PTaaS, CREST ja Cyber Essentials ei ole ühe töö viis taset, vaid viis eri objekti. Kuidas aru saada, millist neist hankedokumendid tegelikult nõuavad ja kas see teie kohta üldse käib.

Te avate hankedokumendid, leiate tehnilise kirjelduse turvapeatüki ja loete sealt viis nime: CHECK, ITHC, PTaaS, CREST ja Cyber Essentials Plus. Nende kõrval seisavad sõnad „turvaaudit“ ja „läbistustest“, ja kõik koos on kirjutatud nii, nagu oleksid need ühe ja sama töö astmed — odavaimast kalleimani.

Need ei ole astmed, vaid viis eri objekti, mis vastavad viiele eri küsimusele: kes tohib testida, mida tehakse konkreetse võrguga, kuidas testi eest arveldatakse, kas tarnija ise on oma taristu korda teinud, ja kas süsteem vastab normile. Pakkumus, mis kaks neist segamini ajab, kas lubab seda, mida ei tohi lubada, või maksab selle eest, mida ei nõutud.

See artikkel CHECK-i ei müü, ja see on aus kohe öelda: me ei ole CHECK-skeemi liikmed ja see tekst seda ei väida. Artikkel selgitab, mida hankedokumendid tegelikult nõuavad, et te saaksite aru, kas see teie kohta üldse käib — ja ainult sel juhul, kui nõue osutub tavaliseks veebilehe turvakontrolliks, osutab see meie turvaauditile.

Hind erineb siin mitte protsentides, vaid kordades, sest pakkumus, mis vastab Cyber Essentialsi nõudele, ja pakkumus, mis vastab täielikule läbistustestile mitme rolliga süsteemile, on kaks eri eelarvet, ja hankija, kes paneb need ühte tabelisse, võrdleb võrreldamatut. Samuti kaotab pakkuja, kes loeb nõuet ühe astme võrra kõrgemaks, kui see on kirjutatud, hanke täiesti korrektse, ainult tarbetult kalli pakkumusega.

Viis nime, mis ei ole ühe töö viis taset

• CHECK — Ühendkuningriigi riikliku küberjulgeolekukeskuse (NCSC) ettevõtete skeem. See määrab, kes tohib testida avaliku sektori ja kriitilise taristu süsteeme ja millises vormis aruanne koostatakse.
• ITHC — konkreetne kontrollitöö konkreetse mahuga, mida nõuab ühendus Ühendkuningriigi riigihalduse võrku. See on ülesanne, mitte skeem.
• CREST — rahvusvaheline erialaühing oma eksamitega. See ei ole CHECK-i sünonüüm, ja just see segi ajamine tuleb pakkumustes ette kõige sagedamini.
• PTaaS — penetration testing as a service, see tähendab tarne- ja arveldusmudel: platvorm, tellimus, sagedasemad leiud. See ei ütle midagi selle kohta, kes testib ja millise normi järgi.
• Cyber Essentials ja Cyber Essentials Plus — sertifitseerimine tarnija enda viie põhikontrolli kohta, mitte selle süsteemi kohta, mida tarnitakse.

Kõik viis on Ühendkuningriigi või rahvusvahelised instrumendid, ja ühtegi neist Eesti õigusaktides ei ole, ja see on esimene, mida tasub meeles pidada, kui loete eestikeelseid hankedokumente, kuhu keegi neist on sisse kirjutatud.

CHECK on ettevõtete skeem, mitte testimeetod

CHECK on NCSC hallatav skeem, kuhu võetakse ettevõte, mitte meetod, mida võiks rakendada ükskõik milline täitja. NCSC ostjate juhised näevad ette, et töö teeb skeemi liige, et meeskonda juhib CHECK Team Leader ja selles töötab CHECK Team Member, et neil inimestel on Ühendkuningriigi personali julgeolekukontroll, ja et aruanne koostatakse skeemi vormis, pealegi jõuab allpool kindlat salastatuse taset selle koopia NCSC-le. See tähendab, et CHECK ei ole midagi, mida saaks „täita“ piisavalt hea kvaliteediga testiga, sest ettevõte kas on skeemis või ei ole, ja ükski metoodika kirjeldus pakkumuses seda fakti ei asenda. Samuti ei ole CHECK seadus: NCSC kirjutab seda skeemi juhistena, ja riigihalduse võrgu puhul on see üks tunnustatud teedest, mitte paragrahvi nõue.

Veel tähtsam kui skeemi sisu ise on see, kellele CHECK üldse mõeldud on, ja NCSC kirjutab selle kõrvalehiilimiseta: skeem on loodud keskvalitsusele, avaliku sektori asutustele ja kriitilisele taristule. Keskvalitsuse süsteemidele, milles töödeldakse andmeid kindla märgistusega ja kõrgemal, soovitab NCSC usaldada hindamine skeemi liikmele, ülejäänud avaliku sektori asutustele soovitab seda kindlalt, aga organisatsioonile, kes ei ole ei avalik sektor ega kriitiline taristu, osutab NCSC ise tavalistele tellimisjuhistele, mitte CHECK-ile. Eraettevõttele, kes valmistab pakkumust ärilisele tellijale, tähendab see, et CHECK ei ole siht, mille poole püüelda. See on teise riigi avaliku sektori sisekord, ja selle mainimine ärilises pakkumuses viitab pigem sellele, et nimi on maha kirjutatud, kui sellele, et töö tuleb kvaliteetsem.

ITHC on ülesanne konkreetsele võrgule

ITHC — IT Health Check — on see, mida Ühendkuningriigi asutusel vaja on, et ühenduda riigihalduse võrku või seal püsida. Kabinetibüroo (Cabinet Office) 2022. aasta tugijuhised, millele ühenduse protsess endiselt tugineb, kirjeldavad miinimummahtu: kontroll nii väljast kui seest, sisemises osas skaneerimise ja käsitsi analüüsiga kogu keskkonnas, aga suurtes keskkondades on lubatud valim, ja sel juhul ei ole valim väiksem kui kümnendik. Ühenduse vastavuse protsess omakorda nõuab, et esitatud aruanne ei oleks vanem kui aasta ega oleks juba kasutatud eelmises ühenduse vastavuse taotluses. Eestikeelset oma terminit sellel ei ole, ja seda ei tasu välja mõelda, sest „IT tervisekontroll“ on ingliskeelse metafoori otsetõlge, mis ei selgita midagi; täpsem on jätta ITHC ja korra öelda, et jutt on konkreetse võrguühenduse turvakontrollist.

Maht ise on kirjeldatud tunduvalt detailsemalt, kui sellest tavaliselt pakkumusse jõuab, sest välises osas kontrollitakse internetist kättesaadavaid teenuseid (post, veeb, tulemüürid), kaugpääsu ja kolmandate osapoolte ühendusi. Sisemises osas on skaneerimise kõrval nõutud käsitsi analüüs, samuti tööjaamade ja serverite konfiguratsioon, paikade olek, juhtmevabad võrgud ja ühenduse lüüs. Suurtes keskkondades on lubatud valim, ja just seal ilmub see kümnendik, mis pakkumustes kipub kaduma. Tulemusele on samuti nõuded: leidude arv, liik ja raskus arusaadavas kokkuvõttes, võimaluse korral CVSS-i baasskooriga. Need arvud on Kabinetibüroo ITHC nõue konkreetsele võrgule — see ei ole ei CHECK-i norm ega Eesti norm, ja neid ei ole õige kanda eestikeelsesse hanget üldise kvaliteedimõõdikuna.

Kolm nime, mida CHECK-iga aetakse kõige sagedamini segi

Ülejäänud kolm nime ilmuvad hankedokumentides CHECK-i kõrvale nii, nagu oleksid need selle teisendid, ja igaüks neist vastab tegelikult teisele küsimusele: üks selle kohta, kes inimese eksamineeris, teine selle kohta, kuidas töö tarnitakse ja tasutakse, kolmas selle kohta, kas tarnija ise on oma taristu korda teinud. Just need kolm tekitavad suurema osa valesti koostatud pakkumustest.

CREST ei ole CHECK

See on levinuim viga ja ühtlasi kasulikem vahe, mida see artikkel saab öelda, sest see muudab pakkumuse sisu: CREST on ühing liikmestaatuse ja eksamitega, CHECK aga NCSC skeem oma kuulumise ja oma rollidega. CREST ise kirjeldab seda eraldi teena — selle sertifikaat võib olla üks viis, kuidas inimene pädevust tõendab, aga sellest ei järeldu automaatselt, et ettevõte on CHECK-i liige. Praktiline tagajärg pakkumuste võrdlemisel on lihtne: kui hankedokumendid nõuavad CHECK-i, siis CREST-i sertifikaat nõuet ei täida, ja vastupidi — kui hankedokumendid nõuavad CREST-i, siis CHECK-i kuulumine on rohkem, kui nõuti, ja selle eest on tõenäoliselt makstud liiga palju.

PTaaS on arveldusmudel, mitte skeem

PTaaS kirjeldab seda, kuidas teenus tarnitakse ja tasutakse: platvorm juhtpaneeliga, tellimus, leiud, mis ilmuvad jooksvalt, ja korduskontroll pärast parandusi. Valdkonna kirjeldused sõnastavad selle just tarne mudelina, ja seal ei ole ei kvalifikatsiooninõuet ega asutust, kes seda kinnitaks. Seepärast ei ole küsimusele „kas PTaaS täidab CHECK-i või ITHC nõude“ vastus „jah“ või „ei“ — see on küsimus kahe eri objekti kohta. Arveldusmudel lihtsalt ei saa täita nõuet selle kohta, kes tohib testida ja millise metoodika järgi, seepärast, kui hankedokumentides seisavad mõlemad, tuleb neid lugeda eraldi: üks ütleb pädevusnõude, teine — kuidas töö ajas korraldatakse.

Cyber Essentials kontrollib tarnijat, mitte tarnet

Cyber Essentials on sertifitseerimine viie põhikontrolli kohta tarnija enda taristus, ja Plus-versioon lisab neile kontrolli standardsete tööriistadega. Sertifikaat uuendatakse kord aastas, ja hangetepoliitika juhis PPN 014 seob selle tarneahela turvalisusega. Sellest järeldub piir, millest pakkumustes sageli üle astutakse: Cyber Essentials Plus ei ole see läbistustest, mida hankedokumendid nõudsid arendatava süsteemi kohta. See on kinnitus tarnija enda arvutite ja kontode kohta, seepärast võib ettevõte olla Cyber Essentials Plus sertifitseeritud ja tarnida süsteemi, mida ei ole kunagi testitud.

Kolm väidet, mida ei tasu uskuda

Nende nimede ümber on tekkinud väidete kiht, mida kirjutatakse ühest teenusekirjeldusest teise, ja kõik kolm levinumat on kas väärad või vananenud, seepärast tasub need lugeda kõrvuti sellega, mida vastav allikas tegelikult ütleb.

„CHECK-i nõuab Ühendkuningriigi seadus.“ Ükski seadus CHECK-i nimepidi ei nimeta, ja NCSC kasutab oma juhistes sõnu „tuleks“ ja „soovitame kindlalt“, ja ka riigi digiteenuste käsiraamat lubab samaväärset taset. Ainus koht, kus nõue on range, on konkreetse võrguühenduse tingimused, ja ka seal on skeem üks mitmest tunnustatud teest.

„CHECK-i liikmeks saamiseks peab ettevõte olema kõigepealt CREST-akrediteeritud.“ See oli tõsi vanema vastuvõtutee kohta ja kordub endiselt teenusepakkujate artiklites, aga uuemas skeemistandardis nõutakse ettevõtte tasemel midagi muud. Osaliselt jääb see tõeseks inimeste kohta, sest CREST-i eksam võib olla üks pädevuse kinnitusi vastava kutsenimetuse all. Just selle vahe ettevõtte ja inimese taseme vahel jätavad kuulutused ütlemata.

„Ilma CHECK-ita ei tohi Ühendkuningriigi riigisüsteeme testida.“ Õigusliku piiri tõmbab mitte skeem, vaid luba: loata juurdepääs arvutisüsteemile on kuritegu sõltumata sellest, kas testija on skeemis. CHECK on hankija poliitika selle kohta, kellele töö usaldada, mitte loa asendaja, ja neid kahte küsimust tasub hoida lahus. Praktiline tähendus on see, et kirjalik luba on vaja alati, ka siis, kui ükski skeem ja ükski õigusakt seda otse ei nõua.

Mida tegelikult nõuavad Eesti hankedokumendid

Eestis tasub kõigepealt selgeks teha, kust niisugune nõue üldse tuleb, sest vastus ei ole seal, kust seda tavaliselt otsitakse: riigihangete seadus määrab menetluse, läbipaistvuse, võrdse kohtlemise ja selle, mis kuulub tehnilisse kirjeldusse, aga see ei nimeta ei läbistustesti, ei CHECK-i, ei ITHC-d ega PTaaS-i. Ka riigihangete seaduse § 77, mis loetleb alusdokumentide sisu, ei näe ette konkreetset turvakontrolli liiki. See tähendab, et turvanõue on hankedokumentides sellepärast, et hankija on selle ise kirjutanud — tavaliselt sellepärast, et tal endal on kohustus, mis tuleb mujalt. Seepärast ei ole õige küsimus „mida nõuab riigihangete seadus“, vaid „milline kohustus on hankijal endal ja kas see lepinguga minule üle tuleb“.

Eestis tekitab selle kohustuse küberturvalisuse seadus koos Vabariigi Valitsuse määrusega nr 121. Just määrus nr 121 on see Eesti õigusakt, mis nimetab kontrollimise ja auditeerimise: § 4 nõuab Eesti infoturbestandardi (E-ITS) täitmise auditit iga kolme aasta järel neilt, kellele E-ITS-i järgimine kohaldub, organisatsioon võib lasta auditit teha ka omal algatusel, ja küberturvalisuse seadus lubab Riigi Infosüsteemi Ametil nõuda sihipärast turvaauditit või turvalisuse kontrolli. See audit on vastavusaudit, mitte läbistustest. Täpsemalt töö enda ja selle piiride kohta on kirjutatud eraldi artiklis selle kohta, mis on läbistustest.

Eestis kvalifitseeritakse audiitor, mitte ettevõte

See on vahe, mis seletab suurema osa CHECK-i ümber tekkivast arusaamatusest, ja see on kirjutatud normi sisse: E-ITS-i auditeerimiseeskiri määrab, kes tohib vastavusauditit teha, ja sõnastab selle isiku kaudu. Esimene tee on juhtaudiitor, kellel on kehtiv CISA või ISO 27001 juhtivaudiitori sertifikaat (IRCA või PECB), kes on viimase kolme kalendriaasta jooksul osalenud vähemalt kolmes infoturbe halduse süsteemi auditis ja kellel on vähemalt nelja-aastane IT-auditi, IT-juhtimise või infoturbe kogemus. Teine tee on teiste audiitorite ja tehniliste ekspertide kaasamine kokkuleppel tellijaga, kelle tööd juhib ikkagi juhtaudiitor. Mõlemal juhul kehtib sõltumatus: auditirühma liige ei tohi olla osalenud auditeeritava infoturbe halduse süsteemi kavandamises ega rakendamises, sealhulgas nõustamises, viimase kolme aasta jooksul.

Teist teed norm siiski jaotab selle järgi, kes on hankija. Olulisele üksusele, kes ei ole ülioluline üksus ega elutähtsa teenuse osutaja, piisavad need audiitori nõuded. Kui süsteem kuulub üliolulisele üksusele või elutähtsa teenuse osutajale, on järelevalve laiem, sest Riigi Infosüsteemi Amet võib teha sihipäraseid turvaauditeid ka omal algatusel, ja kui tegu on riigisaladuse või salastatud välisteabega, E-ITS ei kehti ning hankija võib nõuda riigisaladuse töötlemise luba, ilma milleta tööd teha ei tohi. Järelevalveasutuse nõutud kontrolle reguleerib eraldi kord. Seal ei ole ettevõtete skeemi, liikmeregistrit ega akrediteeritud firmade nimekirja, millega saaks liituda. Eestis ei ole oma CHECK-i, millega liituda, ja sertifikaatide loetelu on teed, mitte suletud klubi. Ettevõttele, kes koostab pakkumust eestikeelsetele hankedokumentidele, tähendab see, et tõendada tuleb konkreetsete inimeste kvalifikatsioon ja sõltumatus, mitte firma staatus skeemis.

Mida selle kohta pakkumusse panna

Sellest, et Eestis kvalifitseeritakse inimene, mitte ettevõte, järeldub ka see, mida pakkumuses tuleb tõendada, ja ettevõtte üldine kirjeldus siin ei aita; aitab konkreetse inimese sertifikaat või kogemuse kirjeldus ja kinnitus, et ta ei ole osalenud auditeeritava infoturbe halduse süsteemi kavandamises ega rakendamises, sealhulgas nõustamises, viimase kolme aasta jooksul. Kui auditirühmas on mitu liiget, tasub nimetada, kes neist millisele tingimusele vastab, sest hankija peab saama seda kontrollida, ilma ridade vahelt lugemata.

Juhtaudiitori sertifikaadid ei ole näited, vaid suletud loetelu: E-ITS-i auditeerimiseeskiri lubab CISA-t või ISO 27001 juhtivaudiitori sertifikaati (IRCA või PECB), mitte suvalist infoturbeauditi tunnistust. Teiste audiitorite ja tehniliste ekspertide kaasamine seda loetelu ei ava — nende tööd juhib ikkagi juhtaudiitor. Pakkumus, mis selle ühes lõigus ära seletab, kergendab hankijal hindamist rohkem kui sertifikaadikoopiate hunnik ilma seletuseta.

Vastavusaudit ei ole läbistustest ka Eestis

Määruses nr 121 seisab E-ITS-i vastavusaudit läbistustesti kõrval tegelikkuses kahe eri tööna kahe eri mõõdupuuga, isegi kui hangetes need nimed kokku kuhjatakse. Läbistustest otsib, kui kaugele ründaja pääseb; vastavusaudit kontrollib, kas süsteem ja protsessid vastavad normile, ja selle tulemus on otsus vastavuse kohta, mitte tehniliste nõrkuste loend.

Seda näitavad kõige selgemini just kvalifikatsiooninõuded, mis on kahel juhul kirjutatud erinevalt: läbistustesti puhul seisavad hangetes näidetena tavaliselt ründetehnika sertifikaadid, nagu CEH ja OSCP; vastavusauditile nimetab E-ITS hoopis teised — halduse ja auditi sertifikaadid, CISA ja ISO 27001 juhtivaudiitor. Kui hankedokumentides on nõutud üht sertifikaadikomplekti, aga kirjeldatud teise töö sisu, on see vastuolu, mida tasub märgata enne pakkumust, sest see tähendab tavaliselt, et hankija ise ei ole veel otsustanud, mida ta ostab.

Teistes riikides on omad instrumendid

Eestil oma CHECK-i ei ole, aga mitmel Euroopa riigil on oma lahendused samale küsimusele, ja kui te loete hankedokumente teises keeles, oleks CHECK-i leidmine sealt sama kahtlane kui eestikeelsetes. Prantsusmaal kvalifitseerib riiklik infosüsteemide turbeagentuur turvaauditi teenuse osutajaid, ja see kvalifikatsioon hõlmab viit auditi tegevust, millest läbistustestid on üks eraldi tegevus arhitektuuri, konfiguratsiooni, lähtekoodi ja korraldusliku auditi kõrval. Prantsuskeelne hange kipub seepärast nimetama konkreetset tegevust, mitte kogu kvalifikatsiooni koos, ja pakkujal tuleb välja lugeda, milline viiest on nõutud.

Hispaanias nõuab riiklik turbeskeem turvaauditit vähemalt kord kahe aasta jooksul kõrgema kategooria süsteemidele, ja metoodilised juhised eristavad selles eraldi tehnilist auditit, milles meeskond tõesti süsteemiga töötab, vastavusauditist, mis tugineb intervjuudele ja tõenditele. Vastavusaudit tohib nõuda esitamist varasemast läbistustesti aruandest, aga ise selleks ei muutu. Mõlemal juhul on järeldus sama mis Eestis: nimi kuulub konkreetsele riigile, ja teise turule üle kantuna ei tähenda see enam midagi.

Kui hankedokumentidesse on siiski kirjutatud „CHECK“

Kui eestikeelsetes hankedokumentides ilmub CHECK, ITHC või Cyber Essentials, on sellel kaks usutavat seletust, ja neid tasub eristada enne pakkumuse kirjutamist. Esimene on see, et hankija on tõesti Ühendkuningriigi ostja või töötab Ühendkuningriigi süsteemiga, ja sel juhul on nõue päris, kehtib skeemi liikme kohta ja suuremale osale Eesti täitjatest lihtsalt ei ole täidetav. Teine — ja praktikas sagedasem — on see, et tehniline kirjeldus on üle võetud ingliskeelsest näidisest, ja selle autor ei ole märganud, et kopeeris teise riigi instrumendi.

Eristada saab neid dokumendi ülejäänud sisu järgi: kui kõrval seisavad viited Vabariigi Valitsuse määrusele nr 121 või küberturvalisuse seadusele, on jutt Eesti kohustusest ja CHECK on sinna sattunud eksikombel. Seda tasub küsida hankijalt hankes selgituste küsimise korras, mitte ära arvata pakkumuses, sest vastus muudab nii hinda kui seda, kas te üldse saate osaleda.

Mida tähendab sõna „samaväärne“

Paljudes hankedokumentides seisab skeemi nime kõrval klausel „või samaväärne“, ja see on kogu turvapeatüki tähtsaim lõik, sest just see otsustab, kas te saate osaleda. Probleem on selles, et sõna „samaväärne“ ise on hankedokumentides harva defineeritud, ja seepärast tähendab see eri asju olenevalt sellest, kes seda loeb.

Praktikas tähendab see, et tõendamise kohustus läheb pakkujale: te peate näitama, milles pakutu on samaväärne. Seepärast ei ole vastus sertifikaadi nimi, vaid võrdlus tunnuste kaupa — kes testib ja millise kvalifikatsiooniga, kas leitud turvanõrkused kasutatakse ära, milline on maht, milline on aruande vorm ja kas pärast parandusi toimub korduskontroll. Kui need tunnused klapivad, on samaväärsus kirjeldatav; kui erineb kas või üks oluline, on ausam see öelda, kui loota, et keegi ei võrdle. Klausli „või samaväärne“ puudumine on omakorda sama selge signaal vastassuunas, sest hankedokumendid, mis nõuavad üht konkreetset välismaist skeemi ilma alternatiivita, ahendavad pakkujate ringi mõne ettevõteni, ja see on küsimus, mida tasub hankijalt küsida, enne kui võetakse, et osaleda ei saa.

Kui kaua aruanne kehtib

Tähtajad ilmuvad hankedokumentidesse kolmel kujul, mis tulevad täiesti eri kohtadest ja ei asenda seega üksteist: Ühendkuningriigi võrguühenduse puhul ei tohi aruanne olla vanem kui aasta ja seda ei saa uuesti kasutada järgmises ühenduse vastavuse taotluses. Eestis seob määrus nr 121 E-ITS-i kohuslasele tähtaja süsteemi elutsükliga, nõudes auditit kolmeaastase rütmiga, ärilises lepingus on tähtaeg aga lihtsalt selline, nagu pooled on kirjutanud, ja see tähendab, et selles saab kokku leppida.

Kõigil kolmel juhul ei piisa ainuüksi kalendritähtajast, sest läbistustesti aruanne kirjeldab konkreetset süsteemi konkreetsel kuupäeval, seepärast vananeb aruanne pärast olulist muudatust, nagu uus liidestus, uus rolliskeem või maksevoo ümberehitus, kiiremini, kui seda teeb aeg. Just seepärast nimetavad nii õigustähtajad kui valdkonna standardid intervalli kõrval tavaliselt ka muudatust.

Praktikas tähendab see kahte asja, mis tasub pakkumuses eraldi kirja panna. Esiteks tasub selgelt öelda, millisele süsteemi versioonile või väljalaskele aruanne käib, sest just see otsustab hiljem vaidluse selle üle, kas leid on uus. Teiseks tasub eraldi kokku leppida korduskontroll pärast parandusi, sest leid, mis on parandatud, ja leid, millest keegi arvab, et see on parandatud, erinevad.

Kuidas nõue enne pakkumuse koostamist välja lugeda

Praktikas piisab neljast küsimusest, esitatuna kindlas järjekorras, sest iga järgmine on mõttekas ainult siis, kui eelmine on vastatud. Esimene on see, millist süsteemi kontrollitakse — tarnitavat või tarnija enda oma, ja see üks küsimus eraldab Cyber Essentialsi kõigest muust, seepärast tasub sellest alustada. Teine on see, kas nõue nimetab täitja staatust või konkreetse inimese kvalifikatsiooni: staatus osutab peaaegu alati välismaisele skeemile, kvalifikatsioon aga E-ITS-i juhtaudiitori nõuetele, ja see on piir nõude vahel, mida Eesti ettevõte saab täita, ja sellise vahel, mida ei saa. Kolmas on see, kas leitud turvanõrkused tuleb ära kasutada, sest kui tuleb, on jutt läbistustestist, aga kui piisab leidude loendist, on see skaneerimine, mis maksab hoopis teist raha. Neljas on see, millisele normile hankija viitab, ja kui mitte ühelegi, on nõue tema enda valik, mis tähendab, et mahu üle saab rääkida.

Kuidas see praktikas välja näeb, on kõige selgemini näha ühes päris tüüpilises sõnastuses, mis hankedokumentidesse kipub jääma: „Pakkuja peab tagama süsteemi turvaauditi vastavalt CHECK-ile või samaväärsele metoodikale.“ Esimene küsimus vastab kohe — kontrollitav on tarnitav süsteem, seega Cyber Essentials langeb ära. Teine näitab, et nimetatud on täitja staatus, ja see on välismaine skeem. Kolmas jääb vastamata, sest sõna „audit“ ei ütle, kas turvanõrkused kasutatakse ära. Neljas on otsustav: kui edasi dokumendis ei ole viidet ühelegi normile, on nõue hankija valik, klausel „või samaväärsele“ on avatud uks, ja küsimus, mis tuleb esitada, on ainult üks — kas leitud turvanõrkused tuleb ära kasutada. Kui vastuseid neile küsimustele hankedokumentides ei ole, tasub neid küsida kirjalikult, ja see ei ole formaalsus: hankedokumendid, mis nimetavad skeemi, aga ei ütle mahtu, annavad täiesti võrreldamatud pakkumused, ja see on hankija, mitte pakkuja, kahju.

Kui see osutub tavaliseks veebilehe turvakontrolliks

Osa juhtudel, eriti väiksemates hangetes, seisab kõigi nende nimede taga palju lihtsam vajadus: hankija tahab teada, kas tema veebileht või rakendus on enne kasutuselevõttu turvaline. Seal ei ole ei üliolulise üksuse süsteemi, ei riigihalduse võrku ega tarneahela nõuet — on ainult soov mitte lasta kasutusse midagi, mis murtakse sisse esimesel kuul.

Seda piiri tasub ära tunda ausalt ka täitja poolel, mitte ainult hankija omal. Kui hankedokumendid tõesti nõuavad välismaise skeemi kuulumist, on õige vastus mitte osaleda või osaleda partnerluses sellega, kellel kuulumine on — mitte kirjeldada oma metoodikat nii, et see sarnane näiks. Hindamiskomisjon paneb seda tähele, ja maine hind on suurem kui üks kaotatud hange.

Just sel juhul on kohane meie turvaaudit, milles on ruumi ka käsitsi kontrollile kirjaliku loaga. See ei ole CHECK, ei ole ITHC ja seda sellena ei esitata; see on see töö, mis vastab küsimusele, mis tegelikult esitati. Kui hankedokumendid on teil laual ja ei ole selge, millisesse neist kategooriatest need langevad, saatke tehnilise kirjelduse turvapeatükk, ja me ütleme, milline instrument seal on nimetatud — ka siis, kui vastus on, et see ei ole töö meile.