Kokios saugumo patikros reikalauja pirkimo sąlygos: CHECK, ITHC ir PTaaS

CHECK, ITHC, PTaaS, CREST ir Cyber Essentials nėra vieno darbo penki lygiai, o penki skirtingi objektai. Kaip suprasti, kurio iš jų iš tikrųjų reikalauja pirkimo sąlygos ir ar tai apskritai taikoma Jums.

Jūs atidarote pirkimo sąlygas, randate techninės specifikacijos skyrių apie saugumą ir jame perskaitote penkis pavadinimus: CHECK, ITHC, PTaaS, CREST ir Cyber Essentials Plus. Šalia jų stovi žodžiai „saugumo auditas“ ir „įsilaužimo testas“, ir viskas kartu parašyta taip, tarsi tai būtų to paties darbo pakopos — nuo pigiausios iki brangiausios.

Tai nėra pakopos, o penki skirtingi objektai, kurie atsako į penkis skirtingus klausimus: kas gali testuoti, ką su konkrečiu tinklu daro, kaip už testą atsiskaitoma, ar pats tiekėjas sutvarkė savo infrastruktūrą, ir ar sistema atitinka normą. Pasiūlymas, kuris sumaišo du iš jų, arba žada tai, ko negalima žadėti, arba moka už tai, ko nebuvo reikalauta.

Šis straipsnis CHECK neparduoda, ir tai sąžininga pasakyti iš karto: mes nesame CHECK schemos nariai, ir šis tekstas to neteigia. Straipsnis paaiškina, ko pirkimo sąlygos iš tikrųjų reikalauja, kad Jūs galėtumėte suprasti, ar tai apskritai taikoma Jums — ir tik tuo atveju, kai reikalavimas pasirodo esąs įprasta svetainės saugumo patikra, jis nurodo į mūsų saugumo auditą.

Kaina čia skiriasi ne procentais, o kelis kartus, nes pasiūlymas, kuris atsako į Cyber Essentials reikalavimą, ir pasiūlymas, kuris atsako į visą įsilaužimo testą sistemai su keliomis naudotojų teisėmis, yra du skirtingi biudžetai, ir užsakovas, kuris juos sudeda į vieną lentelę, lygina nesulyginamus. Taip pat dalyvis, kuris reikalavimą perskaito viena pakopa aukščiau, nei jis parašytas, pralaimi pirkimą visiškai teisingu, tik nereikalingai brangiu pasiūlymu.

Penki pavadinimai, kurie nėra vieno darbo penki lygiai

• CHECK — Jungtinės Karalystės Nacionalinio kibernetinio saugumo centro (NCSC) įmonių schema. Ji nustato, kas gali testuoti valstybės sektoriaus ir ypatingos svarbos infrastruktūros sistemas ir kokia forma rengiama ataskaita.
• ITHC — konkretus patikros darbas su konkrečia apimtimi, kurio reikalauja jungtis prie Jungtinės Karalystės valstybės valdymo tinklo. Tai užduotis, ne schema.
• CREST — tarptautinė profesinė asociacija su savais egzaminais. Ji nėra CHECK sinonimas, ir būtent ši painiava pasiūlymuose kyla dažniausiai.
• PTaaS — penetration testing as a service, tai yra, teikimo ir atsiskaitymo modelis: platforma, prenumerata, dažnesni radiniai. Tai nieko nepasako apie tai, kas testuoja ir pagal kokią normą.
• Cyber Essentials ir Cyber Essentials Plus — sertifikavimas dėl paties tiekėjo penkių pagrindinių kontrolių, o ne dėl tos sistemos, kurią jis tiekia.

Visi penki yra Jungtinės Karalystės arba tarptautiniai instrumentai, ir nė vieno iš jų Lietuvos teisės aktuose nėra, ir tai pirmas dalykas, kurį verta turėti omenyje skaitant lietuviškas pirkimo sąlygas, kuriose kuris nors iš jų įrašytas.

CHECK yra įmonių schema, ne testo metodas

CHECK yra NCSC valdoma schema, į kurią priimama įmonė, o ne metodas, kurį galėtų taikyti bet kuris vykdytojas. NCSC pirkėjų gairės numato, kad darbą atlieka schemos narys, kad komandai vadovauja CHECK Team Leader ir joje dirba CHECK Team Member, kad šie žmonės turi Jungtinės Karalystės personalo saugumo patikrą, ir kad ataskaita rengiama schemos forma, be to, žemiau nustatyto slaptumo lygio jos kopija patenka į NCSC. Tai reiškia, kad CHECK nėra kažkas, ką būtų galima „įvykdyti“ pakankamai geros kokybės testu, nes įmonė arba yra schemoje, arba nėra, ir joks metodikos aprašymas pasiūlyme šio fakto nepakeičia. Taip pat CHECK nėra įstatymas: NCSC tai rašo kaip schemos gaires, ir valstybės valdymo tinklo atveju tai vienas iš pripažintų kelių, o ne straipsnio reikalavimas.

Dar svarbiau už patį schemos turinį yra tai, kam CHECK apskritai skirta, ir NCSC tai rašo be išsisukinėjimo: schema sukurta centrinei valstybės valdžiai, viešojo sektoriaus įstaigoms ir ypatingos svarbos infrastruktūrai. Centrinės valdžios sistemoms, kuriose tvarkomi duomenys su tam tikru slaptumo žymėjimu ir aukštesniu, NCSC rekomenduoja vertinimą patikėti schemos nariui, kitoms viešojo sektoriaus įstaigoms tai tvirtai rekomenduoja, o organizacijai, kuri nėra nei viešasis sektorius, nei ypatingos svarbos infrastruktūra, pats NCSC nurodo į įprastas užsakymo gaires, o ne į CHECK. Privačiai įmonei, kuri rengia pasiūlymą komerciniam užsakovui, tai reiškia, kad CHECK nėra tikslas, kurio siekti. Tai kitos valstybės viešojo sektoriaus vidaus tvarka, ir jos paminėjimas komerciniame pasiūlyme greičiau liudija, kad pavadinimas nurašytas, nei kad darbas bus kokybiškesnis.

ITHC yra užduotis konkrečiam tinklui

ITHC — IT Health Check — yra tai, ko Jungtinės Karalystės įstaigai reikia, kad prisijungtų arba liktų prijungta prie valstybės valdymo tinklo. Kabineto kanceliarijos (Cabinet Office) 2022 m. pagalbinės gairės, į kurias jungties procesas vis dar remiasi, aprašo minimalią apimtį: patikra ir iš išorės, ir iš vidaus, vidinėje dalyje su skenavimu ir rankine analize visoje aplinkoje, bet didelėse aplinkose leidžiama imties patikra, ir tokiu atveju imtis nėra mažesnė už dešimtąją dalį. Pats jungties atitikties procesas savo ruožtu reikalauja, kad pateikta ataskaita nebūtų senesnė nei metai ir nebūtų jau naudota ankstesniame jungties atitikties prašyme. Lietuvių kalboje tam nėra savo termino, ir jo išgalvoti neverta, nes „IT sveikatos patikra“ yra tiesioginis angliškos metaforos perkėlimas, kuris nieko nepaaiškina; tiksliau palikti ITHC ir vieną kartą paaiškinti, kad kalbama apie konkretaus tinklo jungties saugumo patikrą.

Pati apimtis aprašyta gerokai detaliau, nei iš jos paprastai patenka į pasiūlymą, nes išorinėje dalyje tikrinamos iš interneto pasiekiamos paslaugos (paštas, žiniatinklis, ugniasienės), nuotolinė prieiga ir trečiųjų šalių jungtys. Vidinėje dalyje šalia skenavimo reikalaujama rankinės analizės, taip pat darbo stočių ir serverių konfigūracijos, pataisų būsenos, belaidžių tinklų ir jungties šliuzo. Didelėse aplinkose leidžiama imties patikra, ir būtent ten atsiranda ta dešimtoji dalis, kuri pasiūlymuose linkusi dingti. Rezultatui taip pat keliami reikalavimai: radinių skaičius, rūšis ir sunkumas suprantamoje santraukoje, kiek įmanoma su CVSS baziniu įverčiu. Šie skaičiai yra Kabineto kanceliarijos ITHC reikalavimas konkrečiam tinklui — tai nėra nei CHECK norma, nei Lietuvos norma, ir jų neverta perkelti į lietuvišką pirkimą kaip bendrą kokybės matą.

Trys pavadinimai, kuriuos su CHECK painioja dažniausiai

Kiti trys pavadinimai pirkimo sąlygose atsiranda šalia CHECK taip, tarsi jie būtų jos atmainos, ir kiekvienas iš jų iš tikrųjų atsako į kitą klausimą: vienas apie tai, kas žmogų egzaminavo, antras apie tai, kaip darbas teikiamas ir apmokamas, trečias apie tai, ar pats tiekėjas sutvarkė savo infrastruktūrą. Būtent šie trys sukuria didžiąją dalį neteisingai parengtų pasiūlymų.

CREST nėra CHECK

Tai labiausiai paplitusi klaida ir kartu naudingiausias skirtumas, kurį šis straipsnis gali pasakyti, nes jis keičia pasiūlymo turinį: CREST yra asociacija su nario statusu ir egzaminais, o CHECK — NCSC schema su sava naryste ir savomis pareigomis schemoje. Pati CREST tai aprašo kaip atskirą kelią — jos sertifikatas gali būti vienas iš būdų, kaip žmogus įrodo kompetenciją, bet iš to automatiškai neišplaukia, kad įmonė yra CHECK narė. Praktinė pasekmė lyginant pasiūlymus paprasta: jei pirkimo sąlygos reikalauja CHECK, tada CREST sertifikatas reikalavimo neįvykdo, ir atvirkščiai — jei pirkimo sąlygos reikalauja CREST, tada CHECK narystė yra daugiau, nei buvo reikalauta, ir už tai, greičiausiai, sumokėta per daug.

PTaaS yra atsiskaitymo modelis, ne schema

PTaaS aprašo tai, kaip paslauga teikiama ir apmokama: platforma su informacijos skydeliu, prenumerata, radiniai, kurie atsiranda nuolat, ir pakartotinė patikra po pataisymų. Srities aprašymai tai formuluoja būtent kaip teikimo modelį, ir ten nėra nei kvalifikacijos reikalavimo, nei institucijos, kuri tai patvirtintų. Todėl į klausimą „ar PTaaS įvykdo CHECK ar ITHC reikalavimą“ atsakymas nėra „taip“ arba „ne“ — tai klausimas apie du skirtingus objektus. Atsiskaitymo modelis paprasčiausiai negali įvykdyti reikalavimo dėl to, kas gali testuoti ir pagal kokią metodiką, todėl, jei pirkimo sąlygose stovi abu, juos reikia skaityti atskirai: vienas pasako kompetencijos reikalavimą, kitas — kaip darbas organizuojamas laike.

Cyber Essentials tikrina tiekėją, ne tiekiamą

Cyber Essentials yra sertifikavimas dėl penkių pagrindinių kontrolių paties tiekėjo infrastruktūroje, o Plus versija joms prideda patikrą standartiniais įrankiais. Sertifikatas atnaujinamas kartą per metus, ir viešųjų pirkimų politikos nurodymas PPN 014 jį susieja su tiekimo grandinės saugumu. Iš to išplaukia riba, kurią pasiūlymuose dažnai peržengia: Cyber Essentials Plus nėra tas įsilaužimo testas, kurio pirkimo sąlygos reikalavo dėl kuriamos sistemos. Tai paliudijimas apie paties tiekėjo kompiuterius ir paskyras, todėl įmonė gali būti Cyber Essentials Plus sertifikuota ir tiekti sistemą, kuri niekada nebuvo testuota.

Trys teiginiai, kuriais nereikia tikėti

Aplink šiuos pavadinimus susiformavo teiginių sluoksnis, kuris perrašomas iš vieno paslaugų aprašymo į kitą, ir visi trys paplitę yra arba neteisingi, arba pasenę, todėl juos verta perskaityti šalia to, ką atitinkamas šaltinis iš tikrųjų sako.

„CHECK reikalauja Jungtinės Karalystės įstatymas.“ Joks įstatymas CHECK neįvardija, ir NCSC savo gairėse vartoja žodžius „reikėtų“ ir „tvirtai rekomenduojame“, o valstybės skaitmeninių paslaugų vadovas taip pat leidžia lygiavertį lygį. Vienintelė vieta, kur reikalavimas griežtas, yra konkretaus tinklo jungties sąlygos, ir ten schema vis tiek yra vienas iš kelių pripažintų kelių.

„Kad taptų CHECK nare, įmonei pirmiausia reikia būti CREST akredituotai.“ Tai buvo teisinga dėl senesnio priėmimo kelio ir vis dar kartojama paslaugų teikėjų straipsniuose, bet naujausiame schemos standarte įmonės lygmeniu reikalaujama ko kito. Iš dalies tai lieka teisinga žmonių atžvilgiu, nes CREST egzaminas gali būti vienas iš kompetencijos paliudijimų pagal atitinkamą profesinį pavadinimą. Būtent šį skirtumą tarp įmonės ir žmogaus lygmens skelbimai nutyli.

„Be CHECK Jungtinės Karalystės valstybės sistemų testuoti negalima.“ Teisinę ribą brėžia ne schema, o leidimas: neteisėta prieiga prie kompiuterinės sistemos yra nusikalstama veika nepriklausomai nuo to, ar testuotojas yra schemoje. CHECK yra užsakovo politika dėl to, kam patikėti darbą, o ne leidimo pakaitalas, ir šiuos du klausimus verta laikyti atskirai. Praktinė reikšmė ta, kad rašytinis leidimas reikalingas visada, ir tada, kai jokia schema ir joks teisės aktas to tiesiogiai nereikalauja.

Ko iš tikrųjų reikalauja Lietuvos pirkimo sąlygos

Lietuvoje pirmiausia verta išsiaiškinti, iš kur toks reikalavimas apskritai kyla, nes atsakymas nėra ten, kur jo paprastai ieškoma: Viešųjų pirkimų įstatymas nustato procedūrą, skaidrumą, lygiateisiškumą ir tai, kas įeina į techninę specifikaciją, bet jis neįvardija nei įsilaužimo testavimo, nei CHECK, nei ITHC, nei PTaaS. Taip pat to paties įstatymo 35 straipsnis, kuris išvardija pirkimo dokumentų turinį, nenumato konkretaus saugumo patikros būdo. Tai reiškia, kad saugumo reikalavimas pirkimo sąlygose ten yra todėl, kad užsakovas jį pats parašė — paprastai todėl, kad jam pačiam tenka pareiga, kuri kyla kitur. Todėl teisingas klausimas nėra „ko reikalauja viešųjų pirkimų įstatymas“, o „kokia pareiga tenka pačiam užsakovui ir ar ji šia sutartimi perduodama man“.

Lietuvoje šią pareigą sukuria Kibernetinio saugumo įstatymas kartu su Kibernetinio saugumo reikalavimų aprašu. Būtent Reikalavimų aprašas yra tas Lietuvos teisės aktas, kuris įvardija tikrinimą ir vertinimą: 48.1 punktas reikalauja atitikties vertinimo ne rečiau kaip kartą per metus, 48.3 punktas — kibernetinio saugumo audito ne rečiau kaip kartą per trejus metus, bet tik tada, jei Jūs esate įstatymo subjektas, o priežiūros institucija atskiru atveju gali patikrinti subjektą ir pareikalauti dokumentų. Detaliau apie patį įsilaužimo testavimą ir jo ribas parašyta atskirame straipsnyje apie tai, kas yra įsilaužimo testavimas.

Lietuvoje kvalifikuojami auditoriai, ne įmonės

Tai tas skirtumas, kuris paaiškina didžiąją dalį nesusikalbėjimo apie CHECK, ir jis įrašytas pačioje normoje: Kibernetinio saugumo įstatymo 14 straipsnio 8 dalis nustato, kas gali atlikti kibernetinio saugumo auditą, ir tai formuluoja per asmenį. Pirmasis kelias — nepriklausomi visuotinai pripažintų tarptautinių organizacijų sertifikuoti informacinių sistemų saugumo atitikties auditoriai, audito įmonės ar kitos institucijos. Antrasis kelias — Nacionalinio kibernetinio saugumo centro vadovo nustatyta tvarka mokymus išklausę ir kvalifikacinį egzaminą išlaikę asmenys, atitinkantys centro metodikoje nustatytus nepriklausomumo, nešališkumo ir nepriekaištingos reputacijos reikalavimus, ir kurie taip pat negali vertinti sistemų subjekto, kuriame dirba.

Auditoriaus kvalifikacijos keliai pagal 14 straipsnio 8 dalį tie patys visiems kibernetinio saugumo subjektams. Svarbų subjektą, kuris nėra esminis, Nacionalinis kibernetinio saugumo centras tikrina gavęs duomenų apie galimą pažeidimą; jei sistema priklauso esminiam subjektui, priežiūra platesnė — centras gali tikrinti ir savo iniciatyva — ir vis tiek lieka nepriklausomumo ir nešališkumo reikalavimai, nustatyti NKSC metodikoje, be kurių auditorius darbo atlikti negali. Atskira tvarka reguliuoja ir tuos patikrinimus, kurių reikalauja priežiūros institucija. Ten nėra nei įmonių schemos, nei narystės registro, nei akredituotų firmų sąrašo, prie kurio būtų galima prisijungti. Lietuvoje nėra savo CHECK, prie kurio būtų galima prisijungti, ir sertifikatų įvardijimas yra kompetencijos keliai, ne uždaras klubas. Įmonei, kuri rengia pasiūlymą lietuviškoms pirkimo sąlygoms, tai reiškia, kad įrodoma yra konkrečių žmonių kvalifikacija ir nepriklausomumas, o ne firmos statusas schemoje.

Ką dėl to įrašyti į pasiūlymą

Iš to, kad Lietuvoje kvalifikuojamas auditorius, o ne įmonė kaip schemos narė, išplaukia ir tai, ką pasiūlyme reikia įrodyti, ir įmonės bendras aprašymas čia nepadeda; padeda konkretaus žmogaus sertifikatas arba NKSC mokymų ir egzamino aprašymas ir paliudijimas apie nepriklausomumą, nešališkumą ir tai, kad auditorius nedirba pas subjektą, kurio sistemas vertina. Jei komandoje keli auditoriai, verta įvardyti, kuris iš jų atitinka kurią sąlygą, nes užsakovas turi galėti tai patikrinti neskaitant tarp eilučių.

Taip pat verta nesusipainioti dėl pavyzdžių sąrašo kaip dėl uždaro reikalavimo, nes teisės aktuose įvardyti keliai yra būtent keliai, ir tai reiškia, kad kitas tarptautiniu mastu pripažintas informacinių sistemų saugumo atitikties sertifikatas reikalavimą įvykdo taip pat gerai, o NKSC mokymai ir egzaminas yra savarankiškas, lygiavertis kelias. Pasiūlymas, kuris tai paaiškina vienoje pastraipoje, užsakovui palengvina vertinimą labiau nei sertifikatų kopijų krūva be paaiškinimo.

Atitikties auditas nėra įsilaužimo testas ir Lietuvoje

Reikalavimų apraše stovi atitikties vertinimas ir kibernetinio saugumo auditas, ir jie nėra įsilaužimo testas: tai kitas darbas su kitu matu. Įsilaužimo testas ieško, kaip toli užpuolikas nueina; atitikties auditas tikrina, ar sistema ir procesai atitinka normą, ir jo rezultatas yra sprendimas dėl atitikties, ne techninių silpnybių sąrašas.

Tai aiškiausiai parodo būtent kvalifikacijos reikalavimai, kurie abiem atvejais parašyti skirtingai: ten, kur pirkimo sąlygos prašo įsilaužimo testo, kaip pavyzdžiai paprastai stovi atakos technikos sertifikatai, tokie kaip CEH ir OSCP; atitikties auditui Lietuvos teisė įvardija visai kitus — valdymo ir audito sertifikatus pagal 14 straipsnio 8 dalį. Jei pirkimo sąlygose reikalaujama vieno sertifikatų komplekto, bet aprašytas kito darbo turinys, tai prieštaravimas, kurį verta pastebėti prieš pasiūlymą, nes tai paprastai reiškia, kad užsakovas pats dar neišsirinko, ką perka.

Kitose valstybėse yra savi instrumentai

Lietuva savo CHECK neturi, tačiau kelios Europos valstybės turi savus sprendimus tam pačiam klausimui, ir jei Jūs skaitote pirkimo sąlygas kita kalba, rasti ten CHECK būtų tiek pat įtartina kaip lietuviškose. Prancūzijoje Nacionalinė informacinių sistemų saugumo agentūra kvalifikuoja saugumo audito paslaugų teikėjus, ir ši kvalifikacija apima penkias audito veiklas, tarp kurių įsilaužimo testai yra viena atskira veikla šalia architektūros, konfigūracijos, pirminio kodo ir organizacinio audito. Prancūziškos pirkimo sąlygos todėl linkusios įvardyti konkrečią veiklą, ne visą kvalifikaciją kaip visumą, ir dalyviui reikia perskaityti, kuri iš penkių ten reikalaujama.

Ispanijoje nacionalinė saugumo schema reikalauja saugumo audito ne rečiau kaip kartą per dvejus metus sistemoms su aukštesne kategorija, ir metodinės gairės joje atskirai skiria techninį auditą, kuriame komanda iš tikrųjų dirba su sistema, nuo atitikties audito, kuris remiasi pokalbiais ir įrodymais. Atitikties auditas gali pareikalauti pateikti ankstesnę įsilaužimo testo ataskaitą, bet pats tokia netampa. Abiem atvejais išvada ta pati, kaip Lietuvoje: pavadinimas priklauso konkrečiai valstybei, ir perkeltas į kitą rinką jis nieko nebereiškia.

Jei pirkimo sąlygose vis dėlto įrašyta „CHECK“

Jei lietuviškose pirkimo sąlygose atsiranda CHECK, ITHC ar Cyber Essentials, tam yra du tikėtini paaiškinimai, ir juos verta atskirti prieš rašant pasiūlymą. Pirmasis — kad užsakovas iš tikrųjų yra Jungtinės Karalystės pirkėjas arba dirba su Jungtinės Karalystės sistema, ir tokiu atveju reikalavimas tikras, taikomas schemos nariui ir didžiajai daliai Lietuvos vykdytojų paprasčiausiai neįvykdomas. Antrasis — ir praktikoje dažnesnis — kad specifikacija perimta iš angliško pavyzdžio, ir jos autorius nepastebėjo, kad nukopijavo kitos valstybės instrumentą.

Atskirti juos galima pagal kitą dokumento turinį: jei šalia stovi nuorodos į Kibernetinio saugumo reikalavimų aprašą arba į Kibernetinio saugumo įstatymą, tada kalbama apie Lietuvos pareigą ir CHECK ten pateko per klaidą. Tai verta užduoti kaip klausimą užsakovui pirkimo klausimų tvarka, o ne atspėti pasiūlyme, nes atsakymas keičia ir kainą, ir tai, ar Jūs apskritai galite dalyvauti.

Ką reiškia žodis „lygiavertis“

Daugelyje pirkimo sąlygų šalia schemos pavadinimo stovi išlyga „arba lygiavertis“, ir tai svarbiausia pastraipa visame saugumo skyriuje, nes būtent ji nulemia, ar Jūs galite dalyvauti. Problema ta, kad pats žodis „lygiavertis“ pirkimo sąlygose retai kada apibrėžtas, ir todėl jis reiškia skirtingus dalykus priklausomai nuo to, kas jį skaito.

Praktiškai tai reiškia, kad įrodymo pareiga pereina dalyviui: Jūs turite parodyti, kuriuo atžvilgiu siūloma yra lygiavertė. Todėl atsakymas nėra sertifikato pavadinimas, o palyginimas pagal požymius — kas testuoja ir su kokia kvalifikacija, ar rasti pažeidžiamumai išnaudojami, kokia apimtis, kokia ataskaitos forma ir ar po pataisymų vyksta pakartotinė patikra. Jei šie požymiai sutampa, lygiavertiškumą galima aprašyti; jei skiriasi bent vienas esminis, sąžiningiau tai pasakyti, nei tikėtis, kad niekas nesulygins. Išlygos „arba lygiavertis“ nebuvimas savo ruožtu yra toks pat aiškus signalas priešinga kryptimi, nes pirkimo sąlygos, kurios reikalauja vienos konkrečios užsienio schemos be alternatyvos, susiaurina dalyvių ratą iki kelių įmonių, ir tai klausimas, kurį verta užduoti užsakovui, prieš priimant, kad dalyvauti neįmanoma.

Kiek laiko ataskaita galioja

Terminai pirkimo sąlygose atsiranda trimis pavidalais, kurie ateina iš visai skirtingų vietų ir todėl nėra tarpusavyje pakeičiami: Jungtinės Karalystės tinklo jungties atveju ataskaita negali būti senesnė nei metai ir jos negalima pakartotinai naudoti kitame jungties atitikties prašyme. Lietuvoje Reikalavimų aprašas kibernetinio saugumo subjektui terminą susieja su sistemos gyvavimo ciklu, reikalaudamas atitikties vertinimo kasmet ir kibernetinio saugumo audito trejų metų ritmu, o komercinėje sutartyje terminas yra paprasčiausiai toks, kokį šalys parašė, ir tai reiškia, kad dėl jo galima susitarti.

Visais trimis atvejais vien kalendorinio termino nepakanka, nes įsilaužimo testo ataskaita aprašo konkrečią sistemą konkrečią datą, todėl po esminio pakeitimo, tokio kaip nauja integracija, nauja naudotojų teisių schema ar mokėjimų srauto pertvarka, ataskaita pasensta greičiau, nei tai padaro laikas. Būtent todėl tiek teisės aktų terminai, tiek srities standartai šalia intervalo paprastai įvardija ir pakeitimą.

Praktiškai tai reiškia du dalykus, kuriuos pasiūlyme verta parašyti atskirai. Pirma, verta aiškiai pasakyti, kuriai sistemos versijai ar laidai ataskaita taikoma, nes būtent tai vėliau nulemia ginčą dėl to, ar radinys naujas. Antra, verta atskirai susitarti dėl pakartotinės patikros po pataisymų, nes radinys, kuris ištaisytas, ir radinys, apie kurį kas nors mano, kad jis ištaisytas, skiriasi.

Kaip perskaityti reikalavimą prieš rengiant pasiūlymą

Praktikoje pakanka keturių klausimų, užduotų nustatyta seka, nes kiekvienas kitas prasmingas tik tada, kai į ankstesnį jau atsakyta. Pirmasis yra tas, kuri sistema tikrinama — tiekiama ar paties tiekėjo, ir šis vienas klausimas atskiria Cyber Essentials nuo viso kito, todėl nuo jo verta pradėti. Antrasis yra tas, ar reikalavimas įvardija vykdytojo statusą, ar konkretaus žmogaus kvalifikaciją: statusas beveik visada nurodo į užsienio schemą, o kvalifikacija — į Kibernetinio saugumo įstatymo 14 straipsnio 8 dalį, ir tai riba tarp reikalavimo, kurį Lietuvos įmonė gali įvykdyti, ir tokio, kurio negali. Trečiasis yra tas, ar rasti pažeidžiamumai turi būti išnaudojami, nes jei taip, kalbama apie įsilaužimo testą, o jei pakanka radinių sąrašo, tai skenavimas, kuris kainuoja visai kitus pinigus. Ketvirtasis yra tas, į kurią normą užsakovas remiasi, ir jei į nė vieną, tada reikalavimas yra jo paties pasirinkimas, o tai reiškia, kad dėl apimties galima kalbėtis.

Kaip tai atrodo praktikoje, geriausiai matyti vienoje visai tipinėje formuluotėje, kokia linkusi stovėti pirkimo sąlygose: „Dalyvis turi užtikrinti sistemos saugumo auditą pagal CHECK arba lygiavertę metodiką.“ Pirmasis klausimas atsako iš karto — tikrinama tiekiama sistema, taigi Cyber Essentials atkrenta. Antrasis parodo, kad įvardytas vykdytojo statusas, ir tai užsienio schema. Trečiasis lieka neatsakytas, nes žodis „auditas“ nepasako, ar pažeidžiamumai bus išnaudojami. Ketvirtasis lemiamas: jei toliau dokumente nėra nuorodos nė į vieną normą, tada reikalavimas yra užsakovo pasirinkimas, išlyga „arba lygiavertę“ yra atviros durys, ir klausimas, kurį reikia užduoti, tėra vienas — ar rasti pažeidžiamumai turi būti išnaudojami. Jei atsakymų į šiuos klausimus pirkimo sąlygose nėra, juos verta prašyti raštu, ir tai nėra formalumas: pirkimo sąlygos, kurios įvardija schemą, bet nepasako apimties, duoda visiškai nesulyginamus pasiūlymus, ir tai užsakovo, ne dalyvio, praradimas.

Kai tai pasirodo esanti įprasta svetainės saugumo patikra

Dalyje atvejų, ypač mažesniuose pirkimuose, už visų šių pavadinimų stovi gerokai paprastesnis poreikis: užsakovas nori žinoti, ar jo svetainė ar programa saugi prieš paleidžiant. Ten nėra nei esminio subjekto sistemos, nei valstybės valdymo tinklo, nei tiekimo grandinės reikalavimo — tėra noras nepaleisti eksploatuoti ko nors, kas nulaužiama pirmą mėnesį.

Šią ribą verta atpažinti sąžiningai ir iš vykdytojo pusės, ne tik iš užsakovo. Jei pirkimo sąlygos iš tikrųjų reikalauja užsienio schemos narystės, tada teisingas atsakymas yra nedalyvauti arba dalyvauti partnerystėje su tuo, kam narystė yra — o ne aprašyti savo metodiką taip, kad atrodytų panašiai. Vertinimo komisija tai pastebi, ir reputacijos kaina didesnė už vieną pralaimėtą pirkimą.

Būtent šiuo atveju vieta mūsų saugumo auditui, kuriame yra vietos ir rankinei patikrai su rašytiniu leidimu. Tai nėra CHECK, nėra ITHC ir nėra išduodama kaip toks; tai tas darbas, kuris atsako į klausimą, koks iš tikrųjų buvo užduotas. Jei Jums pirkimo sąlygos ant stalo ir neaišku, į kurią iš šių kategorijų jos patenka, atsiųskite specifikacijos saugumo skyrių, ir mes pasakysime, kuris instrumentas ten įvardytas — net ir tada, jei atsakymas yra, kad tai ne darbas mums.