Kibernetinio saugumo auditas dažnai prasideda ne nuo technologijų patikros, o nuo paprasto klausimo: ar organizacija žino, ką turi, kas už tai atsako ir ką darytų įvykus incidentui?

Nacionalinio kibernetinio saugumo centro (NKSC) duomenimis, 2025 m. socialinės inžinerijos incidentai sudarė 54 proc. visų Lietuvoje registruotų kibernetinių incidentų, o 64 proc. sistemų buvo identifikuotos kaip pažeidžiamos. Todėl pasiruošimas auditui turėtų būti nuoseklus darbas, kurio neverta atidėti paskutinei savaitei.

Nuo ko pradėti ruošiantis kibernetinio saugumo auditui?

„Viena dažniausių klaidų – auditą pradėti nuo klausimo, kokius saugumo sprendimus dar turime įsigyti. Pirmiausia reikia atsakyti, ką jau turime ir kiek gerai suprantame savo rizikas. Jei nėra aiškaus IT turto, sistemų, duomenų ir atsakomybių vaizdo, vertinimas neišvengiamai užtrunka ilgiau“, – sako Gabrielius Vinciūnas, „Baltic Amadeus“ informacijos saugumo vadovas.

1. Susidarykite IT turto ir sistemų žemėlapį

Inventorizuokite sistemas, serverius, darbo vietas, debesijos paslaugas, duomenų bazes ir svarbiausias programas. Įtraukite ir kritinius tiekėjus, nes, pasak NKSC, grėsmės vis dažniau plinta per tiekimo grandines. Pradėti galima nuo paprastos lentelės: sistema, atsakingas asmuo, nuo jos priklausantis verslo procesas ir kritiškumas.

2. Patikrinkite, ar dokumentacija atitinka realybę

Svarbiausia, kad dokumentai būtų aktualūs. Jei politikoje parašyta, kad prieigos teisės peržiūrimos kas pusmetį, bet praktikoje to niekas nedaro, auditorius tai fiksuos kaip neatitikimą. Pasirinkite 2–3 svarbiausius procesus ir įsitikinkite, kad turite įrodymų (žurnalų, peržiūrų įrašų, patvirtinimų), jog jie veikia taip, kaip aprašyta.

3. Aiškiai paskirkite atsakomybes

Turi būti aišku, kas priima sprendimus, valdo rizikas, atsako už sistemas ir koordinuoja veiksmus incidento metu. Kibernetinio saugumo įstatymas įpareigoja subjektų vadovus paskirti kibernetinio saugumo vadovą ir saugos įgaliotinį (tam tikrais atvejais šias funkcijas galima pavesti išoriniam teikėjui), o NKSC tvarka jiems numato privalomus mokymus ir egzaminą.

4. Neslėpkite jau žinomų problemų

Užuot „valę“ informaciją, sudarykite vieną sąrašą: ankstesni incidentai, nustatyti pažeidžiamumai, neįgyvendintos rekomendacijos, nebaigti projektai ir rizikos, kurių kol kas negalite pašalinti. Prie kiekvieno punkto nurodykite atsakingą asmenį ir terminą. Auditoriui tai rodo, kad organizacija savo rizikas žino ir jas valdo.

5. Peržiūrėkite tiekėjų sutartis

Prieš auditą verta patikrinti, ar kritinių tiekėjų sutartyse aiškiai apibrėžta:

• atsakomybė už informacijos saugumą;
• pranešimo apie incidentus tvarka;
• bendradarbiavimas tiriant incidentus;
• prieigos prie organizacijos duomenų sąlygos;
• paslaugų tęstinumo ir atkūrimo reikalavimai.

Tai ypač aktualu įmonėms, kurios pačios yra tiekėjai didesnėms organizacijoms ir turi įrodyti savo kibernetinio saugumo brandą klientams.

6. Įvertinkite, kas nutiktų sutrikus kritinei sistemai

Atsakykite į tris klausimus:

• kurie procesai yra kritiniai;
• kiek laiko galite veikti be konkrečios sistemos;
• kaip ją atkurtumėte.

Neišbandytas planas mažai ką įrodo, todėl bent kartą per metus atlikite bandomąjį kritinės sistemos atkūrimą iš atsarginių kopijų, užfiksuokite jo trukmę ir palyginkite su planuota.

7. Nepamirškite darbuotojų

Valstybinės duomenų apsaugos inspekcijos (VDAI) duomenimis, net 58 proc. 2025 m. užregistruotų asmens duomenų saugumo pažeidimų lėmė žmogiškoji klaida, todėl mokymai yra esminė kontrolės priemonė. Auditui naudinga parodyti ne tik mokymų faktą, bet ir, pavyzdžiui, imituotų sukčiavimo laiškų testų rezultatus.

8. Iš anksto apibrėžkite audito apimtį

Prieš pradedant susitarkite, kokios sistemos ir procesai bus vertinami, kokie reikalavimai taikomi, kurie darbuotojai dalyvaus pokalbiuose ir koks bus galutinis rezultatas. Taip išvengsite situacijos, kai organizacija ir auditorius skirtingai supranta darbo apimtį.

Dažniausia klaida – kibernetinio saugumo auditui pradedama ruoštis per vėlai

2024 m. NKSC užregistravo 3 874 incidentus, 63 proc. daugiau nei 2023 m. Nors 2025 m. situacija stabilizavosi, pažeidžiamų sistemų ir žmogaus veiksnio problemos išlieka. Auditas vertingas tada, kai po jo organizacija aiškiai žino svarbiausias rizikas, atsakingus asmenis ir pirmuosius veiksmus.

Jei trūksta vidinių kompetencijų, pasiruošimą gali padėti struktūruoti išorinis partneris. „Baltic Amadeus“ sėkmingai įgyvendina kibernetinio saugumo projektus, įskaitant kibernetinio saugumo auditus, rizikų ir brandos vertinimą bei pasirengimo atitikties reikalavimams darbus, o komandoje dirba CISA ir CISSP sertifikuoti specialistai.

Geriausiai pasiruošusi organizacija yra ne ta, kuri prieš auditą sukuria daugiausia dokumentų, o ta, kuri kasdien žino, kaip jos saugumas veikia praktiškai.