Kādu drošības pārbaudi prasa iepirkuma nolikums: CHECK, ITHC un PTaaS

CHECK, ITHC, PTaaS, CREST un Cyber Essentials nav viena darba pieci līmeņi, bet pieci dažādi objekti. Kā saprast, kuru no tiem nolikums patiesībā prasa un vai tas vispār attiecas uz Jums.

Jūs atverat iepirkuma nolikumu, atrodat tehniskās specifikācijas sadaļu par drošību un tajā izlasāt piecus nosaukumus: CHECK, ITHC, PTaaS, CREST un Cyber Essentials Plus. Blakus tiem stāv vārdi „drošības audits“ un „ielaušanās tests“, un viss kopā ir uzrakstīts tā, it kā tie būtu viena un tā paša darba pakāpes — no lētākās uz dārgāko.

Tie nav pakāpes, bet pieci dažādi objekti, kuri atbild uz pieciem dažādiem jautājumiem: kas drīkst testēt, ko ar konkrētu tīklu izdara, kā par testu norēķinās, vai pats piegādātājs ir sakārtojis savu infrastruktūru, un vai sistēma atbilst normai. Piedāvājums, kurš sajauc divus no tiem, vai nu sola to, ko nedrīkst solīt, vai arī maksā par to, kas nebija prasīts.

Šis raksts CHECK nepārdod, un to ir godīgi pateikt uzreiz: mēs neesam CHECK shēmas dalībnieki, un šis teksts to neapgalvo. Raksts izskaidro, ko nolikums patiesībā prasa, lai Jūs varētu saprast, vai tas vispār attiecas uz Jums — un tikai tajā gadījumā, kad prasība izrādās parasta vietnes drošības pārbaude, tas norāda uz mūsu drošības auditu.

Cena šeit atšķiras nevis par procentiem, bet vairākas reizes, jo piedāvājums, kurš atbild uz Cyber Essentials prasību, un piedāvājums, kurš atbild uz pilnu ielaušanās testu daudzlomu sistēmai, ir divi dažādi budžeti, un pasūtītājs, kurš tos saliek vienā tabulā, salīdzina nesalīdzināmo. Tāpat pretendents, kurš prasību izlasa par vienu pakāpi augstāk, nekā tā rakstīta, zaudē iepirkumu ar pilnīgi pareizu, tikai nevajadzīgi dārgu piedāvājumu.

Pieci nosaukumi, kuri nav viena darba pieci līmeņi

• CHECK — Lielbritānijas Nacionālā kiberdrošības centra (NCSC) uzņēmumu shēma. Tā nosaka, kurš drīkst testēt valsts sektora un kritiskās infrastruktūras sistēmas un kādā formā atskaite tiek sagatavota.
• ITHC — konkrēts pārbaudes darbs ar konkrētu apjomu, kuru prasa pieslēgums Lielbritānijas valsts pārvaldes tīklam. Tas ir uzdevums, ne shēma.
• CREST — starptautiska nozares biedrība ar saviem eksāmeniem. Tā nav CHECK sinonīms, un tieši šī sajaukšana piedāvājumos notiek visbiežāk.
• PTaaS — penetration testing as a service, tas ir, piegādes un norēķinu modelis: platforma, abonements, biežāki atradumi. Tas nepasaka neko par to, kurš testē un pēc kādas normas.
• Cyber Essentials un Cyber Essentials Plus — sertifikācija par piegādātāja paša piecām pamatkontrolēm, nevis par to sistēmu, kuru piegādā.

Visi pieci ir Lielbritānijas vai starptautiski instrumenti, un neviens no tiem Latvijas normatīvajos aktos nepastāv, un tas ir pirmais, kas jāpatur prātā, lasot latvisku nolikumu, kurā kāds no tiem ir ierakstīts.

CHECK ir uzņēmumu shēma, ne testa metode

CHECK ir NCSC pārvaldīta shēma, kurā uzņemts uzņēmums, nevis metode, kuru varētu piemērot jebkurš izpildītājs. NCSC pircēju norādījumi paredz, ka darbu veic shēmas dalībnieks, ka komandu vada CHECK Team Leader un tajā strādā CHECK Team Member, ka šiem cilvēkiem ir Lielbritānijas personāla drošības pielaide, un ka atskaite tiek sagatavota shēmas formātā, turklāt zem noteikta slepenības līmeņa tās kopija nonāk pie NCSC. Tas nozīmē, ka CHECK nav kaut kas, ko varētu „izpildīt“ ar pietiekami labas kvalitātes testu, jo uzņēmums vai nu ir shēmā, vai nav, un neviens metodikas apraksts piedāvājumā šo faktu neaizstāj. Tāpat CHECK nav likums: NCSC to raksta kā shēmas norādījumus, un valsts pārvaldes tīkla gadījumā tas ir viens no atzītajiem ceļiem, nevis panta prasība.

Vēl svarīgāk par pašu shēmas saturu ir tas, kam CHECK vispār ir domāts, un NCSC to raksta bez izvairīšanās: shēma ir veidota centrālajai valsts pārvaldei, publiskā sektora iestādēm un kritiskajai infrastruktūrai. Centrālās pārvaldes sistēmām, kurās apstrādā datus ar noteiktu marķējumu un augstāk, NCSC iesaka vērtēšanu uzticēt shēmas dalībniekam, pārējām publiskā sektora iestādēm to stingri rekomendē, bet organizācijai, kura nav ne publiskais sektors, ne kritiskā infrastruktūra, NCSC pati norāda uz parastajiem pasūtīšanas norādījumiem, ne uz CHECK. Privātam uzņēmumam, kurš gatavo piedāvājumu komerciālam pasūtītājam, tas nozīmē, ka CHECK nav mērķis, uz kuru tiekties. Tā ir citas valsts publiskā sektora iekšējā kārtība, un tās pieminēšana komerciālā piedāvājumā drīzāk liecina, ka nosaukums ir pārrakstīts, nekā ka darbs būs kvalitatīvāks.

ITHC ir uzdevums konkrētam tīklam

ITHC — IT Health Check — ir tas, ko Lielbritānijas iestādei vajag, lai pieslēgtos vai paliktu pieslēgtai valsts pārvaldes tīklam. Kabineta biroja 2022. gada atbalsta norādījumi, uz kuriem pieslēguma process joprojām atsaucas, apraksta minimālo apjomu: pārbaude gan no ārpuses, gan no iekšpuses, iekšējā daļā ar skenēšanu un manuālu analīzi visā vidē, bet lielās vidēs ir pieļaujama izlases pārbaude, un tādā gadījumā izlase nav mazāka par desmito daļu. Pats pieslēguma atbilstības process savukārt prasa, lai iesniegtā atskaite nebūtu vecāka par gadu un nebūtu jau izmantota iepriekšējā pieslēguma atbilstības iesniegumā. Latviešu valodā šim nav sava termina, un izgudrot to nav vērts, jo „IT veselības pārbaude“ ir tiešs angļu metaforas pārcēlums, kurš neko nepaskaidro; precīzāk ir paturēt ITHC un vienreiz paskaidrot, ka runa ir par konkrēta tīkla pieslēguma drošības pārbaudi.

Pats apjoms ir aprakstīts krietni detalizētāk, nekā no tā parasti nonāk piedāvājumā, jo ārējā daļā tiek pārbaudīti no interneta sasniedzamie pakalpojumi (pasts, tīmeklis, ugunsmūri), attālinātā piekļuve un trešo pušu pieslēgumi. Iekšējā daļā līdzās skenēšanai ir prasīta manuāla analīze, kā arī darbstaciju un serveru konfigurācija, ielāpu stāvoklis, bezvadu tīkli un pieslēguma vārteja. Lielās vidēs ir atļauta izlases pārbaude, un tieši tur parādās tā desmitā daļa, kura piedāvājumos mēdz pazust. Rezultātam arī ir prasības: atradumu skaits, veids un smagums saprotamā kopsavilkumā, pēc iespējas ar CVSS bāzes vērtējumu. Šie skaitļi ir Kabineta biroja ITHC prasība konkrētam tīklam — tā nav ne CHECK norma, ne Latvijas norma, un tos nav pareizi pārnest uz latvisku iepirkumu kā vispārēju kvalitātes mērauklu.

Trīs nosaukumi, kurus ar CHECK jauc visbiežāk

Pārējie trīs nosaukumi nolikumos parādās blakus CHECK tā, it kā tie būtu tā paveidi, un katrs no tiem faktiski atbild uz citu jautājumu: viens par to, kas cilvēku eksaminēja, otrs par to, kā darbs tiek piegādāts un apmaksāts, trešais par to, vai pats piegādātājs ir sakārtojis savu infrastruktūru. Tieši šie trīs rada lielāko daļu no nepareizi sagatavotajiem piedāvājumiem.

CREST nav CHECK

Šī ir visizplatītākā kļūda un vienlaikus visnoderīgākā atšķirība, ko šis raksts var pateikt, jo tā maina piedāvājuma saturu: CREST ir biedrība ar biedra statusu un eksāmeniem, savukārt CHECK ir NCSC shēma ar savu dalību un savām lomām. CREST pati to apraksta kā atsevišķu ceļu — tās sertifikāts var būt viens no veidiem, kā cilvēks pierāda kompetenci, bet no tā automātiski neizriet, ka uzņēmums ir CHECK dalībnieks. Praktiskā seka piedāvājumu salīdzināšanā ir vienkārša: ja nolikums prasa CHECK, tad CREST sertifikāts prasību neizpilda, un otrādi — ja nolikums prasa CREST, tad CHECK dalība ir vairāk, nekā tika prasīts, un par to, visticamāk, ir samaksāts pārāk daudz.

PTaaS ir norēķinu modelis, ne shēma

PTaaS apraksta to, kā pakalpojums tiek piegādāts un apmaksāts: platforma ar informācijas paneli, abonements, atradumi, kuri parādās nepārtraukti, un atkārtota pārbaude pēc labojumiem. Nozares apraksti to formulē tieši kā piegādes modeli, un tur nav ne kvalifikācijas prasības, ne iestādes, kura to apstiprinātu. Tāpēc uz jautājumu „vai PTaaS izpilda CHECK vai ITHC prasību“ atbilde nav „jā“ vai „nē“ — tas ir jautājums par diviem dažādiem objektiem. Norēķinu modelis vienkārši nevar izpildīt prasību par to, kurš drīkst testēt un pēc kādas metodikas, tāpēc, ja nolikumā stāv abi, tie jālasa atsevišķi: viens pasaka kompetences prasību, otrs — kā darbs tiek organizēts laikā.

Cyber Essentials pārbauda piegādātāju, ne piegādājamo

Cyber Essentials ir sertifikācija par piecām pamatkontrolēm piegādātāja paša infrastruktūrā, un Plus versija tām pievieno pārbaudi ar standarta rīkiem. Sertifikāts tiek atjaunots reizi gadā, un iepirkumu politikas norādījums PPN 014 to piesaista piegādes ķēdes drošībai. No tā izriet robeža, kuru piedāvājumos pārkāpj bieži: Cyber Essentials Plus nav tas ielaušanās tests, ko nolikums prasīja par izstrādājamo sistēmu. Tas ir apliecinājums par piegādātāja paša datoriem un kontiem, tāpēc uzņēmums var būt Cyber Essentials Plus sertificēts un piegādāt sistēmu, kura nekad nav testēta.

Trīs apgalvojumi, kuriem nevajag ticēt

Ap šiem nosaukumiem ir izveidojies apgalvojumu slānis, kurš tiek pārrakstīts no viena pakalpojumu apraksta citā, un visi trīs izplatītākie ir vai nu nepatiesi, vai novecojuši, tāpēc tos ir vērts izlasīt blakus tam, ko attiecīgais avots patiesībā saka.

„CHECK prasa Lielbritānijas likums.“ Neviens likums CHECK nenosauc, un NCSC savos norādījumos lieto vārdus „vajadzētu“ un „stingri rekomendējam“, un arī valsts digitālo pakalpojumu rokasgrāmata pieļauj līdzvērtīgu līmeni. Vienīgā vieta, kur prasība ir stingra, ir konkrēta tīkla pieslēguma nosacījumi, un arī tur shēma ir viens no vairākiem atzītiem ceļiem.

„Lai kļūtu par CHECK dalībnieku, uzņēmumam vispirms jābūt CREST akreditētam.“ Tas bija patiess par vecāku uzņemšanas ceļu un joprojām tiek atkārtots pakalpojumu sniedzēju rakstos, bet jaunākajā shēmas standartā uzņēmuma līmenī prasīts kas cits. Daļēji patiess tas paliek attiecībā uz cilvēkiem, jo CREST eksāmens var būt viens no kompetences apliecinājumiem zem attiecīgā profesionālā nosaukuma. Tieši šī atšķirība starp uzņēmuma un cilvēka līmeni ir tā, kuru sludinājumi noklusē.

„Bez CHECK Lielbritānijas valsts sistēmas testēt nedrīkst.“ Juridisko robežu velk nevis shēma, bet atļauja: nesankcionēta piekļuve datorsistēmai ir noziedzīgs nodarījums neatkarīgi no tā, vai testētājs ir shēmā. CHECK ir pasūtītāja politika par to, kam uzticēt darbu, nevis atļaujas aizstājējs, un šos divus jautājumus ir vērts turēt atsevišķi. Praktiskā nozīme ir tā, ka rakstiska atļauja ir vajadzīga vienmēr, arī tad, kad neviena shēma un neviens normatīvs to tieši neprasa.

Ko īsti prasa Latvijas iepirkuma nolikums

Latvijā vispirms ir vērts noskaidrot, kur šāda prasība vispār rodas, jo atbilde nav tur, kur to parasti meklē: Publisko iepirkumu likums nosaka procedūru, atklātumu, vienlīdzīgu attieksmi un to, kas ietilpst tehniskajā specifikācijā, bet tas nenosauc ne ielaušanās testu, ne CHECK, ne ITHC, ne PTaaS. Arī Ministru kabineta noteikumi Nr. 107, kuri uzskaita nolikuma saturu, neparedz konkrētu drošības pārbaudes veidu. Tas nozīmē, ka drošības prasība nolikumā ir tur tāpēc, ka pasūtītājs to pats ir uzrakstījis — parasti tāpēc, ka viņam pašam ir pienākums, kurš izriet no citurienes. Tāpēc pareizais jautājums nav „ko prasa iepirkuma likums“, bet „kāds pienākums ir pašam pasūtītājam un vai tas ar šo līgumu tiek nodots man“.

Latvijā šo pienākumu rada Nacionālās kiberdrošības likums kopā ar Ministru kabineta noteikumiem Nr. 397. Tieši noteikumi Nr. 397 ir vienīgais Latvijas normatīvais akts, kurš ielaušanās testu nosauc vārdā: 131.1. punkts prasa to A klases sistēmai pirms nodošanas ekspluatācijā un pēc tam ne retāk kā reizi trijos gados, 131.2. punkts pieļauj testu pēc paša subjekta iniciatīvas, bet 131.3. punkts — pēc uzraugošās iestādes pieprasījuma. Detalizētāk par pašu darbu un tā robežām ir rakstīts atsevišķi rakstā par to, kas ir ielaušanās tests.

Latvijā kvalificē cilvēkus, ne uzņēmumus

Šī ir tā atšķirība, kura izskaidro lielāko daļu nesaprašanās ap CHECK, un tā ir ierakstīta pašā normā: noteikumu Nr. 397 132. punkts nosaka, kurš drīkst veikt 131.1. un 131.2. apakšpunktā minētos testus, un to formulē caur personu. Pirmais ceļš ir paša subjekta nodarbinātais personāls, kurš pēdējos trīs gadus nav bijis iesaistīts testējamās sistēmas izstrādē vai uzturēšanā. Otrais ceļš ir ārējs speciālists, kuram ir starptautiski atzīts ielaušanās testu sertifikāts (piemēros nosaukti CEH un OSCP) vai vismaz divu gadu pieredze šādos testos pēdējo piecu gadu laikā, un kurš tāpat pēdējos trīs gadus nav bijis iesaistīts šīs sistēmas izstrādē vai uzturēšanā.

Otro ceļu norma tomēr sadala pēc tā, kas ir pasūtītājs. Svarīgo vai būtisko pakalpojumu sniedzējam, kurš nav informācijas un komunikācijas tehnoloģiju kritiskās infrastruktūras īpašnieks vai tiesiskais valdītājs, pietiek ar šīm prasībām. Ja sistēma pieder kritiskās infrastruktūras īpašniekam vai tiesiskajam valdītājam, tad par ārējo testētāju papildus ir jāsaņem Satversmes aizsardzības biroja atzinums, un tikai tad viņš drīkst testu veikt. Atsevišķi noteikumi regulē arī tos testus, kurus prasa uzraugošā iestāde. Tur nav ne uzņēmumu shēmas, ne dalības reģistra, ne akreditētu firmu saraksta, kuram varētu pievienoties. Latvijā nav sava CHECK, kuram varētu pievienoties, un sertifikātu uzskaitījums ir piemēri, ne slēgts saraksts. Uzņēmumam, kurš gatavo piedāvājumu latviskam nolikumam, tas nozīmē, ka pierādāma ir konkrēto cilvēku kvalifikācija un neatkarība, nevis firmas statuss.

Ko par to ielikt piedāvājumā

No tā, ka Latvijā kvalificē cilvēku, nevis uzņēmumu, izriet arī tas, kas piedāvājumā ir jāpierāda, un uzņēmuma vispārīgs apraksts šeit nepalīdz; palīdz konkrēta cilvēka sertifikāts vai pieredzes apraksts un apliecinājums par neatkarību no šīs sistēmas izstrādes un uzturēšanas pēdējos gados. Ja komandā ir vairāki testētāji, ir vērts nosaukt, kurš no viņiem atbilst kuram nosacījumam, jo pasūtītājam ir jāspēj to pārbaudīt, nelasot starp rindām.

Tāpat ir vērts nepārprast piemēru sarakstu par slēgtu prasību, jo noteikumos nosauktie sertifikāti ir tieši piemēri, un tas nozīmē, ka cits starptautiski atzīts ielaušanās testēšanas sertifikāts prasību izpilda tikpat labi, un divu gadu pieredze pēdējo piecu gadu laikā ir patstāvīgs, līdzvērtīgs ceļš. Piedāvājums, kurš to izskaidro vienā rindkopā, pasūtītājam atvieglo vērtēšanu vairāk nekā sertifikātu kopiju kaudze bez paskaidrojuma.

Atbilstības audits nav ielaušanās tests arī Latvijā

Noteikumos Nr. 397 blakus ielaušanās testam stāv atbilstības audits, un tie ir divi dažādi darbi ar divām dažādām mērauklām. Ielaušanās tests meklē, cik tālu uzbrucējs tiek; atbilstības audits pārbauda, vai sistēma un procesi atbilst normai, un tā rezultāts ir spriedums par atbilstību, ne tehnisko vājību saraksts.

To visskaidrāk parāda tieši kvalifikācijas prasības, kuras abos gadījumos ir uzrakstītas atšķirīgi: ielaušanās testa veicējam par piemēriem ir nosaukti tādi sertifikāti kā CEH un OSCP, tas ir, uzbrukuma tehnikas sertifikāti; atbilstības auditam nosaukti pavisam citi — pārvaldības un audita sertifikāti. Ja nolikumā ir prasīts viens sertifikātu komplekts, bet aprakstīts otra darba saturs, tā ir pretruna, kuru ir vērts pamanīt pirms piedāvājuma, jo tā parasti nozīmē, ka pasūtītājs pats vēl nav izšķīries, ko pērk.

Citās valstīs ir savi instrumenti

Latvijai sava CHECK nav, taču vairākām Eiropas valstīm ir savi risinājumi tam pašam jautājumam, un, ja Jūs lasāt nolikumu citā valodā, atrast tur CHECK būtu tikpat aizdomīgi kā latviskā. Francijā Nacionālā informācijas sistēmu drošības aģentūra kvalificē drošības audita pakalpojumu sniedzējus, un šī kvalifikācija aptver piecas audita darbības, kuru vidū ielaušanās testi ir viena atsevišķa darbība līdzās arhitektūras, konfigurācijas, pirmkoda un organizatoriskajam auditam. Franču nolikums tāpēc mēdz nosaukt konkrētu darbību, ne visu kvalifikāciju kopumā, un pretendentam ir jāizlasa, kura no piecām tur ir prasīta.

Spānijā valsts drošības shēma prasa drošības auditu vismaz reizi divos gados sistēmām ar augstāku kategoriju, un metodiskie norādījumi tajā atsevišķi šķir tehnisko auditu, kurā komanda tiešām darbojas ar sistēmu, no atbilstības audita, kurš balstās intervijās un pierādījumos. Atbilstības audits drīkst prasīt uzrādīt agrāku ielaušanās testa atskaiti, bet pats par tādu nekļūst. Abos gadījumos secinājums ir tas pats, kas Latvijā: nosaukums pieder konkrētai valstij, un pārnests uz citu tirgu tas vairs neko nenozīmē.

Ja nolikumā tomēr ir ierakstīts „CHECK“

Ja latviskā nolikumā parādās CHECK, ITHC vai Cyber Essentials, tam ir divi ticami izskaidrojumi, un tos ir vērts atšķirt pirms piedāvājuma rakstīšanas. Pirmais ir tas, ka pasūtītājs patiešām ir Lielbritānijas pircējs vai strādā ar Lielbritānijas sistēmu, un tādā gadījumā prasība ir īsta, attiecas uz shēmas dalībnieku un lielākajai daļai Latvijas izpildītāju vienkārši nav izpildāma. Otrais — un praksē biežākais — ir tas, ka specifikācija ir pārņemta no angliska parauga, un tās autors nav pamanījis, ka pārkopējis citas valsts instrumentu.

Atšķirt tos var pēc dokumenta pārējā satura: ja blakus stāv atsauces uz Ministru kabineta noteikumiem Nr. 397 vai uz Nacionālās kiberdrošības likumu, tad runa ir par Latvijas pienākumu un CHECK tur ir nokļuvis kļūdas dēļ. Šo ir vērts uzdot kā jautājumu pasūtītājam iepirkuma jautājumu kārtībā, nevis uzminēt piedāvājumā, jo atbilde maina gan cenu, gan to, vai Jūs vispār varat pretendēt.

Ko nozīmē vārds „līdzvērtīgs“

Daudzos nolikumos blakus shēmas nosaukumam stāv atruna „vai līdzvērtīgs“, un tā ir vissvarīgākā rindkopa visā drošības sadaļā, jo tieši tā izšķir, vai Jūs varat pretendēt. Problēma ir tā, ka pats vārds „līdzvērtīgs“ nolikumos reti kad ir definēts, un tāpēc tas nozīmē dažādas lietas atkarībā no tā, kurš to lasa.

Praktiski tas nozīmē, ka pierādīšanas pienākums pāriet uz pretendentu: Jums ir jāparāda, kurā ziņā piedāvātais ir līdzvērtīgs. Tāpēc atbilde nav sertifikāta nosaukums, bet salīdzinājums pa pazīmēm — kas testē un ar kādu kvalifikāciju, vai atrastās ievainojamības tiek izmantotas, kāds ir apjoms, kāda ir atskaites forma un vai pēc labojumiem notiek atkārtota pārbaude. Ja šīs pazīmes sakrīt, līdzvērtība ir aprakstāma; ja atšķiras kaut viena būtiska, godīgāk ir to pateikt, nekā cerēt, ka neviens nesalīdzinās. Atrunas „vai līdzvērtīgs“ trūkums savukārt ir tikpat skaidrs signāls pretējā virzienā, jo nolikums, kurš prasa vienu konkrētu ārvalstu shēmu bez alternatīvas, sašaurina pretendentu loku līdz dažiem uzņēmumiem, un tas ir jautājums, kuru ir vērts uzdot pasūtītājam, pirms tiek pieņemts, ka piedalīties nav iespējams.

Cik ilgi atskaite ir spēkā

Termiņi nolikumos parādās trijos veidos, kuri nāk no pilnīgi dažādām vietām un tāpēc nav savstarpēji aizstājami: Lielbritānijas tīkla pieslēguma gadījumā atskaite nedrīkst būt vecāka par gadu un to nevar izmantot atkārtoti nākamajā pieslēguma atbilstības iesniegumā. Latvijā noteikumi Nr. 397 A klases sistēmai termiņu sasaista ar sistēmas dzīves ciklu, prasot pārbaudi reizi pirms tās nodošanas un pēc tam trīsgadu ritmā, savukārt komerciālā līgumā termiņš ir vienkārši tāds, kādu puses ir uzrakstījušas, un tas nozīmē, ka par to var vienoties.

Visos trijos gadījumos ar kalendāro termiņu vien nepietiek, jo ielaušanās testa atskaite apraksta konkrētu sistēmu konkrētā datumā, tāpēc pēc būtiskas izmaiņas, tādas kā jauna integrācija, jauna lomu shēma vai maksājumu plūsmas pārbūve, atskaite noveco ātrāk, nekā to dara laiks. Tieši tāpēc gan normatīvie termiņi, gan nozares standarti līdzās intervālam parasti nosauc arī izmaiņu.

Praktiski tas nozīmē divas lietas, kuras piedāvājumā ir vērts uzrakstīt atsevišķi. Pirmkārt, ir vērts skaidri pateikt, uz kuru sistēmas versiju vai laidienu atskaite attiecas, jo tieši tas vēlāk izšķir strīdu par to, vai atradums ir jauns. Otrkārt, ir vērts atsevišķi vienoties par atkārtotu pārbaudi pēc labojumiem, jo atradums, kurš ir izlabots, un atradums, par kuru kāds domā, ka tas ir izlabots, atšķiras.

Kā izlasīt prasību pirms piedāvājuma sagatavošanas

Praksē pietiek ar četriem jautājumiem, uzdotiem noteiktā secībā, jo katrs nākamais ir jēdzīgs tikai tad, kad iepriekšējais ir atbildēts. Pirmais ir tas, kura sistēma tiek pārbaudīta — piegādājamā vai piegādātāja paša, un šis viens jautājums atdala Cyber Essentials no visa pārējā, tāpēc ar to ir vērts sākt. Otrais ir tas, vai prasība nosauc izpildītāja statusu vai konkrēta cilvēka kvalifikāciju: statuss gandrīz vienmēr norāda uz ārvalstu shēmu, bet kvalifikācija — uz noteikumu Nr. 397 132. punktu, un tā ir robeža starp prasību, kuru Latvijas uzņēmums var izpildīt, un tādu, kuru nevar. Trešais ir tas, vai atrastās ievainojamības ir jāizmanto, jo, ja ir, runa ir par ielaušanās testu, bet, ja pietiek ar atradumu sarakstu, tā ir skenēšana, kura maksā pavisam citu naudu. Ceturtais ir tas, uz kuru normu pasūtītājs atsaucas, un, ja ne uz vienu, tad prasība ir viņa paša izvēle, kas nozīmē, ka par apjomu ir iespējams sarunāties.

Kā tas izskatās praksē, vislabāk redzams vienā pavisam tipiskā formulējumā, kāds mēdz stāvēt nolikumā: „Pretendentam jānodrošina sistēmas drošības audits atbilstoši CHECK vai līdzvērtīgai metodikai.“ Pirmais jautājums atbild uzreiz — pārbaudāmā ir piegādājamā sistēma, tātad Cyber Essentials atkrīt. Otrais parāda, ka nosaukts ir izpildītāja statuss, un tas ir ārvalstu shēma. Trešais paliek neatbildēts, jo vārds „audits“ nepasaka, vai ievainojamības tiks izmantotas. Ceturtais ir izšķirošais: ja tālāk dokumentā nav atsauces ne uz vienu normu, tad prasība ir pasūtītāja izvēle, atruna „vai līdzvērtīgai“ ir atvērtas durvis, un jautājums, kurš jāuzdod, ir tikai viens — vai atrastās ievainojamības ir jāizmanto. Ja atbildes uz šiem jautājumiem nolikumā nav, tās ir vērts prasīt rakstiski, un tas nav formalitāte: nolikums, kurš nosauc shēmu, bet nepasaka apjomu, dod pilnīgi nesalīdzināmus piedāvājumus, un tas ir pasūtītāja, ne pretendenta, zaudējums.

Kad tā izrādās parasta vietnes drošības pārbaude

Daļā gadījumu, it īpaši mazākos iepirkumos, aiz visiem šiem nosaukumiem stāv daudz vienkāršāka vajadzība: pasūtītājs grib zināt, vai viņa vietne vai lietotne ir droša pirms nodošanas. Tur nav ne A klases sistēmas, ne valsts pārvaldes tīkla, ne piegādes ķēdes prasības — ir tikai vēlme neizlaist ekspluatācijā kaut ko, kas tiek uzlauzts pirmajā mēnesī.

Šo robežu ir vērts atpazīt godīgi arī no izpildītāja puses, ne tikai no pasūtītāja. Ja nolikums patiešām prasa ārvalstu shēmas dalību, tad pareizā atbilde ir nepiedalīties vai piedalīties partnerībā ar to, kam dalība ir — nevis aprakstīt savu metodiku tā, lai izskatītos līdzīgi. Vērtēšanas komisija to pamana, un reputācijas cena ir lielāka par vienu zaudētu iepirkumu.

Tieši šajā gadījumā ir vietā mūsu drošības audits, kurā ir vieta arī manuālai pārbaudei ar rakstisku atļauju. Tas nav CHECK, nav ITHC un netiek par tādu izdots; tas ir tas darbs, kurš atbild uz jautājumu, kāds patiesībā tika uzdots. Ja Jums nolikums ir uz galda un nav skaidrs, kurā no šīm kategorijām tas iekrīt, atsūtiet specifikācijas drošības sadaļu, un mēs pateiksim, kurš instruments tur ir nosaukts — arī tad, ja atbilde ir, ka tas nav darbs mums.