Minkä tietoturvatarkastuksen tarjouspyyntö edellyttää: CHECK, ITHC ja PTaaS

CHECK, ITHC, PTaaS, CREST ja Cyber Essentials eivät ole saman työn viisi tasoa vaan viisi eri kohdetta. Miten luet, mitä tarjouspyyntö tosiasiassa edellyttää ja koskeeko se sinua.

Avaat tarjouspyynnön, löydät teknisen eritelmän tietoturvaa koskevan osion ja luet sieltä viisi nimeä: CHECK, ITHC, PTaaS, CREST ja Cyber Essentials Plus. Niiden vieressä seisovat sanat ”tietoturva-auditointi” ja ”penetraatiotesti”, ja kokonaisuus on kirjoitettu niin, kuin nämä olisivat saman työn tasoja — halvimmasta kalleimpaan.

Ne eivät ole tasoja vaan viisi eri kohdetta, jotka vastaavat viiteen eri kysymykseen: kuka saa testata, mitä tietylle verkolle tehdään, miten testi laskutetaan, onko toimittaja itse järjestänyt oman infrastruktuurinsa, ja täyttääkö järjestelmä normin. Tarjous, joka sekoittaa kaksi näistä, joko lupaa sen, mitä ei saa luvata, tai maksaa siitä, mitä ei pyydetty.

Tämä artikkeli ei myy CHECK-jäsenyyttä, ja se on rehellistä sanoa heti: emme ole CHECK-jäseniä, eikä tämä teksti sitä väitä. Artikkeli selittää, mitä tarjouspyyntö tosiasiassa edellyttää, jotta voit nähdä, koskeeko vaatimus sinua lainkaan — ja vain siinä tapauksessa, että vaatimus osoittautuu tavalliseksi verkkosivuston tietoturvatarkastukseksi, se viittaa tietoturva-auditointiimme.

Hinta ei eroa tässä prosenteilla vaan kertoimilla, koska tarjous, joka vastaa Cyber Essentials -vaatimukseen, ja tarjous, joka vastaa täyteen penetraatiotestiin moniroolijärjestelmässä, ovat kaksi eri budjettia, ja tilaaja, joka laittaa ne samaan taulukkoon, vertaa vertaamatonta. Samoin tarjoaja, joka lukee vaatimuksen yhden tason ylemmäs kuin se on kirjoitettu, häviää hankinnan täysin oikealla, vain tarpeettoman kalliilla tarjouksella.

Viisi nimeä, jotka eivät ole saman työn viisi tasoa

• CHECK — Ison-Britannian kansallisen kyberturvallisuuskeskuksen (NCSC) yrityksille tarkoitettu ohjelma. Se määrää, kuka saa testata julkisen sektorin ja kriittisen infrastruktuurin järjestelmiä ja missä muodossa raportti laaditaan.
• ITHC — määrätty tarkastustyö määrätyssä laajuudessa, jonka edellyttää liittyminen Ison-Britannian valtionhallinnon verkkoon. Se on tehtävä, ei ohjelma.
• CREST — kansainvälinen alan järjestö omine tutkintoineen. Se ei ole CHECK:n synonyymi, ja juuri tämä sekoitus on tarjouksissa yleisin.
• PTaaS — penetration testing as a service, eli toimitus- ja laskutusmalli: alusta, tilaus, tiheämmät löydökset. Se ei kerro mitään siitä, kuka testaa ja minkä normin mukaan.
• Cyber Essentials ja Cyber Essentials Plus — sertifiointi toimittajan omista viidestä perustason kontrollista, ei siitä järjestelmästä, joka toimitetaan.

Kaikki viisi ovat brittiläisiä tai kansainvälisiä välineitä, eikä yksikään niistä ole Suomen säädöksissä, ja se on ensimmäinen asia, joka kannattaa pitää mielessä, kun luet suomalaista tarjouspyyntöä, johon jokin niistä on kirjoitettu.

CHECK on yritysten ohjelma, ei testimenetelmä

CHECK on NCSC:n hallinnoima ohjelma, johon otetaan yritys, ei menetelmä, jota kuka tahansa toteuttaja voisi soveltaa, ja NCSC:n ostajan ohjeet edellyttävät, että työn tekee ohjelman jäsen, että tiimiä johtaa CHECK Team Leader ja siinä työskentelee CHECK Team Member, että näillä ihmisillä on Ison-Britannian henkilöstöturvallisuusselvitys, ja että raportti laaditaan ohjelman muodossa, lisäksi tietyn turvallisuusluokan alapuolella sen kopio menee NCSC:lle. Se merkitsee, että CHECK ei ole jotakin, jonka voisi ”suorittaa” riittävän laadukkaalla testillä, koska yritys joko on ohjelmassa tai ei ole, eikä mikään menetelmäkuvaus tarjouksessa korvaa tätä tosiasiaa, eikä CHECK ole laki: NCSC kirjoittaa sen ohjelman ohjeiksi, ja valtionhallinnon verkon tapauksessa se on yksi hyväksytyistä reiteistä, ei pykälän vaatimus.

Vielä tärkeämpää kuin itse ohjelman sisältö on se, kenelle CHECK ylipäätään on tarkoitettu, ja NCSC kirjoittaa sen kiertelemättä: ohjelma on rakennettu keskusvaltionhallinnolle, julkisen sektorin viranomaisille ja kriittiselle infrastruktuurille. Keskushallinnon järjestelmissä, joissa käsitellään tietyn merkinnän tasoisia tai korkeampia tietoja, NCSC suosittaa arvioinnin uskomista ohjelman jäsenelle, muille julkisen sektorin viranomaisille se suosittaa sitä painokkaasti, mutta organisaatiolle, joka ei ole julkinen sektori eikä kriittistä infrastruktuuria, NCSC itse viittaa tavanomaisiin hankintaohjeisiin, ei CHECK:iin. Yksityiselle yritykselle, joka laatii tarjousta kaupalliselle tilaajalle, se merkitsee, että CHECK ei ole päämäärä, johon pyrkiä, vaan toisen valtion julkisen sektorin sisäinen järjestys, jonka mainitseminen kaupallisessa tarjouksessa kertoo ennemmin, että nimi on kopioitu, kuin että työ olisi laadukkaampaa.

ITHC on tehtävä tietylle verkolle

ITHC — IT Health Check — on se, mitä brittiläinen viranomainen tarvitsee liittyäkseen valtionhallinnon verkkoon tai pysyäkseen siinä. Cabinet Officen vuonna 2022 julkaisema tukiaineisto, johon liittymisprosessi yhä viittaa, kuvaa vähimmäislaajuuden: tarkastus sekä ulkoa että sisältä, sisäisessä osassa skannaus ja manuaalinen analyysi koko ympäristössä, mutta suurissa ympäristöissä otantatarkastus on sallittu, eikä otanta saa tällöin olla kymmenesosaa pienempi. Itse liittymisen vaatimustenmukaisuusprosessi edellyttää lisäksi, ettei toimitettu raportti ole vuotta vanhempi eikä sitä ole jo käytetty edellisessä liittymisen vaatimustenmukaisuushakemuksessa. Suomessakaan tälle ei ole omaa termiä, eikä sellaista kannata keksiä kääntämällä englannin terveyttä tarkoittavaa metaforaa, joka ei selitä mitään; täsmällisempää on pitää ITHC ja selittää kerran, että kyse on tietyn verkon liittymän tietoturvatarkastuksesta.

Itse laajuus on kuvattu huomattavasti tarkemmin kuin tarjoukseen yleensä päätyy, koska ulkoisessa osassa tarkastetaan internetistä saavutettavat palvelut (sähköposti, verkko, palomuurit), etäkäyttö ja kolmansien osapuolten yhteydet, ja sisäisessä osassa skannauksen rinnalla edellytetään manuaalista analyysiä sekä työasemien ja palvelinten kokoonpanoa, korjausten tilaa, langattomia verkkoja ja yhdyskäytävää. Suurissa ympäristöissä otantatarkastus on sallittu, ja juuri siinä esiintyy se kymmenesosa, joka tarjouksista tapaa kadota, ja tuloksellekin on vaatimuksia: löydösten määrä, tyyppi ja vakavuus ymmärrettävässä yhteenvedossa, mahdollisuuksien mukaan CVSS-perusarvolla. Nämä luvut ovat Cabinet Officen ITHC-vaatimus tietylle verkolle — se ei ole CHECK-normi eikä Suomen normi, eikä niitä ole oikein siirtää suomalaiseen hankintaan yleiseksi laadun mittapuuksi.

Kolme nimeä, jotka sekoitetaan CHECK:iin useimmin

Muut kolme nimeä esiintyvät tarjouspyynnöissä CHECK:n vieressä niin, kuin ne olisivat sen muunnelmia, ja kukin niistä vastaa tosiasiassa eri kysymykseen: yksi siihen, kuka on tutkinut ihmisen, toinen siihen, miten työ toimitetaan ja maksetaan, kolmas siihen, onko toimittaja itse järjestänyt oman infrastruktuurinsa — ja juuri nämä kolme synnyttävät suurimman osan väärin laadituista tarjouksista.

CREST ei ole CHECK

Tämä on yleisin virhe ja samalla hyödyllisin ero, jonka tämä artikkeli voi sanoa, koska se muuttaa tarjouksen sisällön: CREST on järjestö, jolla on jäsenyys ja tutkinnot, kun taas CHECK on NCSC:n ohjelma omine jäsenyyksineen ja rooleineen. CREST itse kuvaa sen erilliseksi reitiksi — sen todistus voi olla yksi tapa, jolla ihminen osoittaa pätevyytensä, mutta siitä ei automaattisesti seuraa, että yritys on CHECK-jäsen. Käytännön seuraus tarjousten vertailussa on yksinkertainen: jos tarjouspyyntö edellyttää CHECK:iä, CREST-todistus ei täytä vaatimusta, ja päinvastoin — jos tarjouspyyntö edellyttää CREST:iä, CHECK-jäsenyys on enemmän kuin pyydettiin, ja siitä on todennäköisesti maksettu liikaa.

PTaaS on laskutusmalli, ei ohjelma

PTaaS kuvaa sitä, miten palvelu toimitetaan ja maksetaan: alusta, jossa on hallintapaneeli, tilaus, löydökset, jotka ilmestyvät jatkuvasti, ja uusintatarkastus korjausten jälkeen, ja alan kuvaukset muotoilevat sen nimenomaan toimitusmalliksi, jossa ei ole pätevyysvaatimusta eikä viranomaista, joka sen vahvistaisi. Siksi kysymykseen ”täyttääkö PTaaS CHECK- tai ITHC-vaatimuksen” vastaus ei ole ”kyllä” tai ”ei” — se on kysymys kahdesta eri kohteesta, eikä laskutusmalli yksinkertaisesti voi täyttää vaatimusta siitä, kuka saa testata ja millä menetelmällä, joten jos tarjouspyynnössä seisovat molemmat, ne on luettava erikseen: yksi sanoo pätevyysvaatimuksen, toinen sen, miten työ järjestetään ajassa.

Cyber Essentials tarkastaa toimittajan, ei toimitettavaa

Cyber Essentials on sertifiointi viidestä perustason kontrollista toimittajan omassa infrastruktuurissa, ja Plus-versio lisää niihin tarkastuksen vakiotyökaluilla; todistus uudistetaan kerran vuodessa, ja hankintapolitiikan ohje PPN 014 kytkee sen toimitusketjun tietoturvaan. Siitä seuraa raja, jonka tarjoukset ylittävät usein: Cyber Essentials Plus ei ole se penetraatiotesti, jota tarjouspyyntö pyysi kehitettävästä järjestelmästä, vaan osoitus toimittajan omista tietokoneista ja tileistä, joten yritys voi olla Cyber Essentials Plus -sertifioitu ja toimittaa järjestelmän, jota ei ole koskaan testattu.

Kolme väitettä, joihin ei pidä uskoa

Näiden nimien ympärille on kertynyt väitekerros, joka kopioituu yhdestä palvelukuvauksesta toiseen, ja kaikki kolme yleisintä ovat joko epätosia tai vanhentuneita, joten ne kannattaa lukea sen rinnalla, mitä kyseinen lähde tosiasiassa sanoo.

”Ison-Britannian laki edellyttää CHECK:iä.” Yksikään laki ei nimeä CHECK:iä, ja NCSC käyttää ohjeissaan sanoja ”pitäisi” ja ”suositamme painokkaasti”, ja myös valtion digitaalisten palvelujen käsikirja hyväksyy vastaavan tason. Ainoa paikka, jossa vaatimus on tiukka, on tietyn verkon liittymisen ehdot, ja sielläkin ohjelma on yksi useista hyväksytyistä reiteistä.

”Jotta yrityksestä tulisi CHECK-jäsen, sen on ensin oltava CREST-akkreditoitu.” Tämä piti paikkansa vanhemmasta liittymisreitistä ja toistuu yhä palveluntarjoajien kirjoituksissa, mutta ohjelman uudemmassa standardissa yritystasolla edellytetään muuta. Osittain tosi se jää ihmisten kohdalla, koska CREST-tutkinto voi olla yksi pätevyyden osoituksista kyseisen ammattinimikkeen alla, ja juuri tämän eron yritys- ja ihmistason välillä mainokset sivuuttavat.

”Ilman CHECK:iä Ison-Britannian valtion järjestelmiä ei saa testata.” Oikeudellisen rajan vetää lupa, ei ohjelma: luvaton tunkeutuminen tietojärjestelmään on rikos riippumatta siitä, onko testaaja ohjelmassa. CHECK on tilaajan politiikka siitä, kenelle työ uskotaan, ei luvan korvike, ja nämä kaksi kysymystä kannattaa pitää erillään. Käytännön merkitys on se, että kirjallinen lupa tarvitaan aina, myös silloin, kun mikään ohjelma ja mikään säädös ei sitä suoraan edellytä.

Mitä suomalainen tarjouspyyntö tosiasiassa edellyttää

Suomessa kannattaa ensin selvittää, mistä tällainen vaatimus ylipäätään syntyy, koska vastaus ei ole siellä, mistä sitä tavallisesti haetaan: hankintalaki säätää menettelyn, avoimuuden, tasapuolisen kohtelun ja sen, mitä tekniseen eritelmään kuuluu, mutta se ei nimeä penetraatiotestiä, CHECK:iä, ITHC:tä eikä PTaaS:ia. Myöskään tiedonhallintalaki, joka velvoittaa viranomaisen varmistamaan hankinnoissaan, että hankittavaan tietojärjestelmään on toteutettu asianmukaiset tietoturvallisuustoimenpiteet, ei määrää tiettyä tietoturvatarkastuksen lajia. Se merkitsee, että tietoturvavaatimus on tarjouspyynnössä siksi, että hankintayksikkö on kirjoittanut sen itse — yleensä siksi, että sillä itsellään on velvollisuus, joka tulee muualta. Siksi oikea kysymys ei ole ”mitä hankintalaki edellyttää”, vaan ”mikä velvollisuus hankintayksiköllä itsellään on ja siirtyykö se tällä sopimuksella minulle”.

Suomessa tämän velvollisuuden luovat kyberturvallisuuslaki yhdessä Traficomin NIS-valvoville viranomaisille antaman suosituksen kanssa: itse laki, joka tuli voimaan 8. huhtikuuta 2025, asettaa toimijoille riskienhallinnan toimintamallin eikä nimeä penetraatiotestiä yhdessäkään pykälässä. Testaamisen nimeää suositus, jolla valvovat viranomaiset arvioivat lain 9 §:n hallintatoimenpiteitä — säännöllinen turvallisuustestaus, esimerkiksi haavoittuvuusskannaus, käyttöönoton yhteydessä, merkittävien muutosten jälkeen ja poikkeamien jälkeen, ja penetraatiotestaus esimerkkinä hankinnan ja kehittämisen turvallisuustestauksessa, mutta vain niille viestintäverkoille ja tietojärjestelmille, joista toimijan palvelu riippuu — eikä suositus sido, koska sitovat velvoitteet ovat laissa. Sama laki antaa valvovalle viranomaiselle tiedonsaanti- ja tarkastusoikeuden, ja merkittävän poikkeaman tai vakavan laiminlyönnin jälkeen viranomainen voi velvoittaa teettämään turvallisuusauditoinnin; itse työstä ja sen rajoista on kirjoitettu erikseen artikkelissa siitä, mikä penetraatiotesti on.

Suomessa virallisen arvioinnin tekee hyväksytty laitos, ei CHECK-jäsen

Tämä on se ero, joka selittää suurimman osan CHECK:iä ympäröivästä väärinymmärryksestä, ja se on kirjoitettu itse säädökseen: viranomaisten tietojärjestelmien tietoturvallisuuden arvioinnista annetun lain (1406/2011) 3 § määrää, kuka saa tehdä valtionhallinnon viranomaisen järjestelmän virallisen tietoturvallisuuden arvioinnin, ja sen se muotoilee hyväksytyn laitoksen kautta. Ensimmäinen reitti on Traficom itse ja toinen Traficomin hyväksymä tietoturvallisuuden arviointilaitos, jonka riippumattomuuden ja henkilöstön pätevyyden FINAS on todennut; hyväksyntä on laitokselle, ei yksittäiselle CEH- tai OSCP-todistukselle, eikä laissa ole suljettua luetteloa näistä tutkinnoista. Viranomaiset saavat kuitenkin osana tavanomaista kehittämistä tehdä sisäisiä arviointeja ja tietojärjestelmiensä teknistä testausta, joten tarjouspyynnön ”tietoturvatarkastus” ei automaattisesti ole tämä virallinen arviointi.

Toisen reitin säädös jakaa silti sen mukaan, mitä arvioidaan, ja tavanomaiseen tekniseen testaukseen, joka ei ole viranomaishyväksyntää, nämä laitoksen vaatimukset eivät ulotu, joten siinä riittää osoittaa nimettyjen ihmisten pätevyys ja riippumattomuus. Jos kyse on valtionhallinnon tietojärjestelmästä, jonka virallinen tietoturvallisuuden arviointi on säädetty, ulkoisen arvioijan on oltava Traficom tai sen hyväksymä arviointilaitos, ja vasta Traficomin tai hyväksytyn arviointilaitoksen arviointi kelpaa siihen tehtävään; luokitellussa tiedossa laitoksen pätevyysalueen on lisäksi katettava kyseinen turvallisuusluokka, ja henkilöstön ja yrityksen turvallisuusselvitys on erillinen raita turvallisuusselvityslain mukaan. Siellä ei ole CHECK-jäsenyyttä eikä brittiläistä rekisteriä, johon voisi liittyä: Suomessa ei ole CHECK-ohjelmaa, johon voisi liittyä, ja tarjouspyynnössä nimetyt todistukset ovat hankintayksikön esimerkkejä, ei suljettu luettelo. Yritykselle, joka laatii tarjousta suomalaiseen tarjouspyyntöön, se merkitsee, että todistettava on joko hyväksytyn laitoksen asema — jos virallinen arviointi on kyseessä — tai nimettyjen ihmisten pätevyys ja riippumattomuus, ei CHECK-jäsenyys.

Mitä siitä laittaa tarjoukseen

Siitä, että suomalainen virallinen arviointi kelpuuttaa laitoksen ja tavallinen penetraatiotesti kelpuuttaa ihmisen, seuraa myös se, mitä tarjouksessa on osoitettava, eikä yrityksen yleinen kuvaus tässä auta; auttaa joko arviointilaitoksen hyväksyntä kyseiselle pätevyysalueelle tai nimetyn ihmisen todistus tai kokemuskuva ja vakuutus riippumattomuudesta tämän järjestelmän kehityksestä ja ylläpidosta viime vuosilta. Jos tiimissä on useita testaajia, kannattaa nimetä, kuka heistä täyttää minkäkin ehdon, koska hankintayksikön on voitava tarkistaa se lukematta rivien välistä.

Samoin kannattaa olla lukematta esimerkkiluetteloa suljetuksi vaatimukseksi, koska tarjouspyynnössä nimetyt todistukset ovat juuri esimerkkejä, ja se merkitsee, että muu kansainvälisesti tunnustettu penetraatiotestauksen todistus täyttää vaatimuksen yhtä hyvin, ja kahden vuoden kokemus viimeisten viiden vuoden ajalta on tarjouspyynnöissä usein itsenäinen, rinnasteinen reitti — ei siksi, että Suomen laki sen nimeäisi, vaan siksi, että hankintayksikkö on kirjoittanut sen itse, ja tarjous, joka selittää tämän yhdessä kappaleessa, helpottaa hankintayksikön arviointia enemmän kuin pino todistusjäljennöksiä ilman selitystä.

Vaatimustenmukaisuuden arviointi ei ole penetraatiotesti myöskään Suomessa

Säädösten vieressä penetraatiotestin rinnalla seisoo vaatimustenmukaisuuden arviointi, ja ne ovat kaksi eri työtä kahdella eri mittapuulla: penetraatiotesti etsii, kuinka pitkälle hyökkääjä pääsee, kun taas vaatimustenmukaisuuden arviointi tarkistaa, täyttävätkö järjestelmä ja prosessit normin, ja sen tulos on tuomio vaatimustenmukaisuudesta, ei luettelo teknisistä heikkouksista. Traficomin hyväksymän arviointilaitoksen tarkastus kysyy, onko toiminnassa toteutettu tietoturvallisuutta koskevat vaatimukset, ja se voi sisältää toimitilojen tarkastuksen — se ei muutu penetraatiotestiksi sillä, että molemmissa esiintyy sana ”tietoturva”.

Tämän näyttävät terävimmin juuri pätevyysvaatimukset, jotka on molemmissa tapauksissa kirjoitettu eri tavalla: penetraatiotestin tekijältä tarjouspyynnöt nimeävät esimerkeiksi sellaisia todistuksia kuin CEH ja OSCP, eli hyökkäystekniikan todistuksia; vaatimustenmukaisuuden arviointiin nimeävät aivan toisia — hallinnan ja arvioinnin todistuksia, ja virallisessa arviossa laitoksen Traficom-hyväksynnän. Jos tarjouspyynnössä on vaadittu yhtä todistusjoukkoa, mutta kuvattu toisen työn sisältö, se on ristiriita, joka kannattaa huomata ennen tarjousta, koska se yleensä merkitsee, ettei hankintayksikkö itse ole vielä päättänyt, mitä se ostaa.

Muissa maissa on omat välineensä

Suomella ei ole omaa CHECK-ohjelmaa, mutta useilla Euroopan mailla on omat ratkaisunsa samaan kysymykseen, ja jos luet tarjouspyyntöä toisella kielellä, CHECK:n löytäminen sieltä olisi yhtä epäilyttävää kuin suomalaisesta. Ranskassa kansallinen tietojärjestelmien turvallisuusvirasto (ANSSI) kelpuuttaa tietoturva-arvioinnin palveluntarjoajia, ja tämä kelpuutus kattaa viisi arviointitoimea, joiden joukossa penetraatiotestit ovat yksi erillinen toimi arkkitehtuuri-, konfiguraatio-, lähdekoodi- ja organisatorisen arvioinnin rinnalla. Ranskalainen tarjouspyyntö nimeää siksi usein tietyn toimen, ei koko kelpuutusta, ja tarjoajan on luettava, mikä viidestä siellä on vaadittu.

Espanjassa kansallinen turvallisuusjärjestelmä edellyttää tietoturva-arviointia vähintään joka toinen vuosi korkeamman luokan järjestelmille, ja sen menetelmäohjeet erottavat erikseen teknisen arvioinnin, jossa tiimi todella työskentelee järjestelmän kanssa, vaatimustenmukaisuuden arvioinnista, joka nojaa haastatteluihin ja näyttöön. Vaatimustenmukaisuuden arviointi saa vaatia esitettäväksi aiemman penetraatiotestin raportin, mutta ei itse muutu sellaiseksi, ja molemmissa tapauksissa johtopäätös on sama kuin Suomessa: nimi kuuluu tietylle maalle, ja siirrettynä toiseen markkinaan se ei enää merkitse mitään.

Jos tarjouspyyntöön on silti kirjoitettu ”CHECK”

Jos suomalaiseen tarjouspyyntöön ilmestyy CHECK, ITHC tai Cyber Essentials, sille on kaksi uskottavaa selitystä, ja ne kannattaa erottaa ennen tarjouksen kirjoittamista. Ensimmäinen on se, että hankintayksikkö todella on brittiläinen ostaja tai työskentelee brittiläisen järjestelmän kanssa, ja tällöin vaatimus on aito, koskee ohjelman jäsentä eikä suurimmalle osalle suomalaisista toteuttajista yksinkertaisesti ole täytettävissä. Toinen — ja käytännössä yleisempi — on se, että eritelmä on otettu englanninkielisestä mallista, eikä sen kirjoittaja ole huomannut kopioineensa toisen valtion välinettä.

Ne voi erottaa asiakirjan muusta sisällöstä: jos vieressä seisovat viittaukset kyberturvallisuuslakiin tai tiedonhallintalakiin, kyse on suomalaisesta velvollisuudesta ja CHECK on päätynyt sinne virheestä. Tämä kannattaa esittää kysymyksenä hankintayksikölle hankintamenettelyn kysymyksinä, ei arvata tarjouksessa, koska vastaus muuttaa sekä hinnan että sen, voitko ylipäätään tarjota.

Mitä sana ”vastaava” tarkoittaa

Monissa tarjouspyynnöissä ohjelman nimen vieressä seisoo varauma ”tai vastaava”, ja se on tietoturvaosion tärkein kappale, koska juuri se ratkaisee, voitko tarjota. Ongelma on se, että itse sanaa ”vastaava” harvoin määritellään tarjouspyynnöissä, ja siksi se merkitsee eri asioita sen mukaan, kuka sen lukee.

Käytännössä se merkitsee, että näyttötaakka siirtyy tarjoajalle: sinun on näytettävä, miltä osin tarjottu on vastaava. Siksi vastaus ei ole todistuksen nimi vaan vertailu piirteittäin — kuka testaa ja millä pätevyydellä, hyödynnetäänkö löydetyt haavoittuvuudet, mikä on laajuus, mikä on raportin muoto ja tehdäänkö korjausten jälkeen uusintatarkastus. Jos nämä piirteet täsmäävät, vastaavuus on kuvattavissa; jos eroaa yksikin olennainen, rehellisempää on sanoa se kuin toivoa, ettei kukaan vertaa. Varauman ”tai vastaava” puute on yhtä selvä merkki vastakkaiseen suuntaan, koska tarjouspyyntö, joka edellyttää yhtä tiettyä ulkomaista ohjelmaa ilman vaihtoehtoa, kaventaa tarjoajien joukon muutamaan yritykseen, ja se on kysymys, joka kannattaa esittää hankintayksikölle, ennen kuin oletetaan, ettei osallistuminen ole mahdollista.

Kuinka kauan raportti on voimassa

Määräajat esiintyvät tarjouspyynnöissä kolmella tavalla, jotka tulevat täysin eri paikoista eivätkä siksi korvaa toisiaan: Ison-Britannian verkkoliittymässä raportti ei saa olla vuotta vanhempi eikä sitä voi käyttää uudelleen seuraavassa liittymisen vaatimustenmukaisuushakemuksessa. Suomessa kyberturvallisuuslaki ei sido penetraatiotestiä nimettyyn kalenteriin; Traficomin suositus kytkee testauksen käyttöönottoon, merkittäviin muutoksiin ja poikkeamiin, ja kaupallisessa sopimuksessa määräaika on yksinkertaisesti se, minkä osapuolet ovat kirjoittaneet, mikä merkitsee, että siitä voi sopia.

Kaikissa kolmessa tapauksessa pelkkä kalenterimääräaika ei riitä, koska penetraatiotestin raportti kuvaa tiettyä järjestelmää tiettynä päivänä, joten olennaisen muutoksen jälkeen, kuten uuden integraation, uuden roolimallin tai maksuvirran uudelleenrakennuksen jälkeen, raportti vanhenee nopeammin kuin aika sen tekee, ja juuri siksi sekä säädetyt määräajat että alan standardit nimeävät välin rinnalla yleensä myös muutoksen.

Käytännössä se merkitsee kahta asiaa, jotka tarjouksessa kannattaa kirjoittaa erikseen: ensiksi se, mihin järjestelmän versioon tai julkaisuun raportti liittyy, koska juuri se ratkaisee myöhemmin riidan siitä, onko löydös uusi, ja toiseksi se, että uusintatarkastuksesta korjausten jälkeen sovitaan erikseen, koska löydös, joka on korjattu, ja löydös, jonka joku luulee korjatuksi, eroavat.

Miten vaatimus luetaan ennen tarjouksen laatimista

Käytännössä riittää neljä kysymystä, esitettyinä määrätyssä järjestyksessä, koska kukin seuraava on mielekäs vasta sitten, kun edellinen on vastattu. Ensimmäinen on se, mikä järjestelmä tarkastetaan — toimitettava vai toimittajan oma, ja tämä yksi kysymys erottaa Cyber Essentialsin kaikesta muusta, joten siitä kannattaa aloittaa. Toinen on se, nimeääkö vaatimus toteuttajan aseman vai nimetyn ihmisen pätevyyden: asema viittaa lähes aina ulkomaiseen ohjelmaan — tai Suomessa Traficomin hyväksymään arviointilaitokseen — ja nimetyn ihmisen pätevyys on se reitti, jonka suomalainen yritys voi täyttää ilman CHECK-jäsenyyttä ja ilman arviointilaitoksen hyväksyntää. Kolmas on se, onko löydetyt haavoittuvuudet hyödynnettävä, koska jos on, kyse on penetraatiotestistä, mutta jos riittää löydösten luettelo, kyse on skannauksesta, joka maksaa aivan toisen rahan. Neljäs on se, mihin normiin hankintayksikkö viittaa, ja jos ei yhteenkään, vaatimus on sen oma valinta, mikä merkitsee, että laajuudesta voi neuvotella.

Miltä se näyttää käytännössä, näkyy parhaiten yhdessä aivan tyypillisessä muotoilussa, joka tapaa seistä tarjouspyynnössä: ”Tarjoajan on järjestettävä järjestelmän tietoturva-auditointi CHECK:n tai vastaavan menetelmän mukaisesti.” Ensimmäinen kysymys vastaa heti — tarkastettava on toimitettava järjestelmä, joten Cyber Essentials putoaa — toinen näyttää, että nimetty on toteuttajan asema ja että se on ulkomainen ohjelma, ja kolmas jää vastaamatta, koska sana ”auditointi” ei kerro, hyödynnetäänkö haavoittuvuudet. Neljäs on ratkaiseva: jos asiakirjassa ei ole viittausta yhteenkään normiin, vaatimus on hankintayksikön valinta, varauma ”tai vastaavan” on auki oleva ovi, ja kysymys, joka on esitettävä, on vain yksi — onko löydetyt haavoittuvuudet hyödynnettävä. Jos vastauksia näihin kysymyksiin ei tarjouspyynnössä ole, niitä kannattaa pyytää kirjallisesti, eikä se ole pelkkä muodollisuus: tarjouspyyntö, joka nimeää ohjelman mutta ei sano laajuutta, tuottaa täysin vertailukelvottomia tarjouksia, ja se on hankintayksikön, ei tarjoajan, tappio.

Kun se osoittautuu tavalliseksi verkkosivuston tietoturvatarkastukseksi

Osassa tapauksia, varsinkin pienemmissä hankinnoissa, näiden kaikkien nimien takana seisoo paljon yksinkertaisempi tarve: tilaaja haluaa tietää, onko sen verkkosivusto tai sovellus turvallinen ennen käyttöönottoa. Siellä ei ole kyberturvallisuuslain toimijan järjestelmää, ei valtionhallinnon verkkoa, ei toimitusketjuvaatimusta — on vain halu olla laskematta tuotantoon jotakin, joka murretaan ensimmäisen kuukauden aikana.

Tämä raja kannattaa tunnistaa rehellisesti myös toteuttajan puolelta, ei vain tilaajan: jos tarjouspyyntö todella edellyttää ulkomaisen ohjelman jäsenyyttä, oikea vastaus on jättää osallistumatta tai osallistua kumppanuudessa sen kanssa, jolla jäsenyys on — ei kuvata omaa menetelmäänsä niin, että se näyttäisi samalta, koska arviointiryhmä huomaa sen, ja maineen hinta on suurempi kuin yksi hävitty hankinta.

Juuri tässä tapauksessa on paikallaan tietoturva-auditointimme, jossa on tilaa myös manuaaliselle tarkastukselle kirjallisella luvalla, eikä se ole CHECK, ei ITHC, eikä sitä anneta sellaisena: se on se työ, joka vastaa kysymykseen, joka tosiasiassa esitettiin. Jos tarjouspyyntö on pöydälläsi eikä ole selvää, kumpaan näistä luokista se osuu, lähetä eritelmän tietoturvaosio, niin kerromme, mikä väline siellä on nimetty — myös silloin, kun vastaus on, ettei se ole työtä meille.