Kokią įmonę rinktis įsilaužimų testavimui? – pagal situaciją, o ne kainą

2026-10-18 · Pirkėjo gidas

„Kokios įmonės Lietuvoje atlieka įsilaužimų testavimą?“, „Kokią įmonę rinktis?“ Šiuos klausimus Google mato kasdien. Sąžiningas atsakymas: geriausios pentest įmonės nėra. Yra tinkamiausia jūsų situacijai, sistemai ir tikslui.

Kiek kainuoja testavimas ir kokie techniniai pasiūlymo kriterijai (metodika, ataskaitos pavyzdys, retest, NDA), aptarėme straipsnyje „Kiek kainuoja pentest Lietuvoje 2026“. Čia kalbame apie tai, kas lieka už kainos: kaip parinkti tiekėją pagal situaciją, kaip įvertinti, kas konkrečiai testuos, ir kodėl verta keisti testuotojus.

Trumpas atsakymas

Pradėkite nuo situacijos: pirmas testas, nauja aplikacija, NIS2 ar PCI DSS reikalauja skirtingų paslaugų ir skirtingų kompetencijų.
Rinkitės testuotoją, ne logotipą: paklauskite, kas konkrečiai testuos ir ar jo sertifikatai praktiniai bei atitinka jūsų sritį.
Keiskite tiekėjus: kitas testuotojas kitais įrankiais ir kitu požiūriu randa kitų spragų. Europos centrinio banko TIBER-EU gairės rekomenduoja keisti tiekėją kiekvienam testui.

1. Kodėl „geriausių pentest įmonių“ sąrašas neveikia?

Didžiosios Britanijos nacionalinis kibernetinio saugumo centras (NCSC) tai sako tiesiai: „testo kokybė glaudžiai susijusi su jį atliekančių testuotojų gebėjimais“ [1]. Ne su įmonės dydžiu, ne su klientų logotipais ir ne su kaina. Didelėje įmonėje jūsų sistemą gali testuoti jaunesnysis specialistas arba subrangovas, o maža komanda gali turėti būtent tos srities patirties, kurios jums reikia.

Antra priežastis: „pentest“ yra ne vienas produktas. Web aplikacijos testas, vidinio tinklo („Active Directory“) testas, debesijos konfigūracijos peržiūra ar red team pratybos reikalauja skirtingų žinių. Tiekėjas, stiprus vienoje srityje, kitoje gali būti vidutiniškas.

2. Kokia jūsų situacija ir ko jai reikia?

Prieš ieškodami tiekėjo, atsakykite sau, kodėl testuojate. Nuo to priklauso, kokios paslaugos ir kokios kompetencijos ieškoti.

Situacija	Ko iš tikrųjų reikia	Į ką žiūrėti renkantis
Pirmas testas, būklė nežinoma	Pirmiausia pažeidžiamumų vertinimas (DAST), tada pentest svarbiausiai sistemai	Ar tiekėjas pasiūlo pradėti nuo pigesnio žingsnio, o ne iškart parduoda didžiausią paketą
Nauja web aplikacija ar didelis pakeitimas prieš paleidimą	Web aplikacijos ir API pentest pagal OWASP WSTG / ASVS [15][16]	Web srities praktiniai sertifikatai (BSCP, OSWE), testavimas su keliomis naudotojų rolėmis
NIS2 subjektas	Kibernetinio saugumo auditas kas 3 metus ir spragų skenavimas kas 6 mėn. [2][3]; pentest rekomenduojamas [5]	Auditui – NKSC sąraše esantis auditoriaus sertifikatas [4]; pentest'ui – praktinė testuotojo kompetencija. Dažnai tai skirtingi tiekėjai
Priimate mokėjimo korteles (PCI DSS)	Vidinis ir išorinis pentest kas 12 mėn. ir po reikšmingų pakeitimų, segmentacijos testas (11.4 reikalavimas) [6]	Testuotojo organizacinis nepriklausomumas; segmentacijos testavimo patirtis
Finansų sektorius (DORA)	Kasmetiniai nepriklausomi testai kritinėms sistemoms, didesniems subjektams – TLPT kas 3 metus [7]	TLPT testuotojams: vadovas su 5 m. patirtimi, bent 2 testuotojai su 2 m. patirtimi, 5 rekomendacijos, draudimas [8]
Klientas ar partneris prašo pentest ataskaitos	Nepriklausomo tiekėjo ataskaita su vadovybės santrauka, dažnai anglų kalba	Ar ataskaitos formatas tinka trečiajai šaliai; ar tiekėjas atliks retest ir išduos patvirtinimą
Įvyko incidentas	Pirmiausia incidento tyrimas (DFIR), ne pentest	Incidentų tyrimo patirtis; pentest – tik po to, kai aišku, kas nutiko

Dažna klaida su NIS2. Kibernetinio saugumo įstatymas reikalauja audito, kurį atlieka nepriklausomas sertifikuotas auditorius [2]. NKSC patvirtintame sertifikatų sąraše yra CISA, CISM, CISSP, ISO 27001 auditoriaus ir panašūs valdymo sertifikatai, bet nėra nė vieno praktinio įsilaužimo testavimo sertifikato [4]. Tai reiškia, kad NIS2 auditas ir įsilaužimų testavimas yra skirtingi darbai: auditas vertina procesus ir atitiktį, pentest parodo, ar sistemą realiai galima pažeisti.

Tas pats matyti viešuosiuose pirkimuose. Pentest pirkimuose dažnai reikalaujama PMP, CISSP ar CISA sertifikatų, o praktinių testavimo sertifikatų – rečiau. Jei rengiate pirkimą, į kvalifikacijos reikalavimus įtraukite ir praktinę testuotojo kompetenciją (pvz., OSCP, BSCP ar lygiavertę).

3. Kokie tiekėjai yra Lietuvoje ir kada kuris tinka?

Lietuvoje įsilaužimų testavimą siūlo apie dvidešimt įmonių. Pagal veiklos modelį jas galima suskirstyti į keturias grupes:

Audito ir konsultacinės įmonės. Stiprios atitikties, rizikos vertinimo ir audito srityse (NIS2 auditas, ISO 27001). Techninis testavimas kartais atliekamas su subrangovais.
IT integratoriai ir sistemų tiekėjai. Patogu, jei jau bendradarbiaujate. Tačiau jei tas pats tiekėjas kūrė ar prižiūri testuojamą sistemą, kyla interesų konfliktas: TIBER-EU gairės tokio tiekėjo testuoti neleidžia, jei paslaugos sukuria interesų konfliktą [9].
Specializuotos kibernetinio saugumo įmonės. Didesnės komandos, kelios kryptys (SOC, incidentų tyrimas, red team). Tinka dideliems ir kompleksiniams projektams.
Mažos specializuotos komandos. Žmogus, su kuriuo kalbatės, dažniausiai ir testuoja. Gilios žinios vienoje ar dviejose srityse, lankstumas, bet ribotas pajėgumas labai didelėms apimtims.

Nė viena grupė savaime nėra geresnė. Svarbu, kad tiekėjo stiprybė sutaptų su jūsų situacija iš 2 skyriaus.

4. Kas konkrečiai testuos jūsų sistemą?

Tai svarbiausias klausimas, kurį verta užduoti prieš pasirašant. Paprašykite testuotojų vardų, gyvenimo aprašymų ir sertifikatų, paklauskite, ar dalis darbų bus perduota subrangovams. DORA techniniai standartai finansų sektoriui to reikalauja tiesiogiai: tiekėjas pateikia testuotojų gyvenimo aprašymus, sertifikatų kopijas ir rekomendacijas iš ankstesnių projektų [8].

Sertifikatai skiriasi ne tik sritimi, bet ir tuo, kaip jie gaunami. TIBER-EU gairėse pažymima, kad vienus sertifikatus galima gauti atsakant į klausimus su atsakymų variantais, o kitiems reikia atlikti praktines užduotis laboratorijoje, todėl vien sertifikatais pasikliauti nereikėtų [9].

Sertifikatas	Sritis	Egzaminas
BSCP (PortSwigger) [13]	Web aplikacijos	Praktinis, 4 val.: dvi aplikacijos, reikia perimti naudotojo ir administratoriaus prieigą
OSWE (OffSec) [12]	Web aplikacijos, kodo analizė	Praktinis, 48 val.: spragų paieška išeities kode, savo išnaudojimo kodas, ataskaita
OSCP (OffSec) [11]	Infrastruktūra, „Active Directory“	Praktinis, 24 val.: trys serveriai ir „Active Directory“ scenarijus
PenTest+ (CompTIA) [14]	Bendros pentest žinios	Iki 90 klausimų, dalis praktinių užduočių, 165 min.
CISSP, CISA, CISM	Saugumo valdymas, auditas	Teorinis. Rodo valdymo kompetenciją, ne įsilaužimo įgūdžius

Šalia sertifikatų verta paklausti apie realią patirtį: kokias panašias sistemas testavo, ar turi paskelbtų tyrimų ar rastų CVE, ar dalyvauja atsakingo atskleidimo (angl. bug bounty, VDP) programose.

Nežinote, nuo ko pradėti?

Per nemokamą 15 min. konsultaciją aptarsime jūsų situaciją ir pasakysime, kokio testo reikia. Jei tai ne mūsų sritis, pasakysime ir tai.

Registruotis konsultacijai

5. Kodėl verta keisti testuotojus?

Kiekvienas testuotojas turi savo įrankius, įpročius ir mėgstamas atakų kryptis. Tas pats žmogus, kasmet testuodamas tą pačią sistemą, natūraliai eina tais pačiais keliais. Kitas testuotojas pažiūrės kitu kampu ir ras tai, ko pirmasis nematė.

Tai ne tik mūsų nuomonė. Europos centrinio banko TIBER-EU tiekėjų pirkimo gairėse rašoma: „Labai rekomenduojama keisti paslaugų teikėjus kiekvienam testui. Naujas išorinis tiekėjas gali atnešti naujų įžvalgų, kitokias tyrimo rutinas, metodus ir testavimo požiūrį“ [9]. DORA reglamentas finansų subjektams, kurie TLPT atlieka su vidiniais testuotojais, nustato, kad kas trečiam testui privaloma pasitelkti išorinius testuotojus [7].

Rotacija turi ir kainą. CREST gairėse tai aprašyta kaip kompromisas [10]: nuolatinis tiekėjas gerai pažįsta jūsų organizaciją ir pateikia praktiškesnes rekomendacijas, bet per didelis susipažinimas gali kelti interesų konfliktą. Keli tiekėjai testuoja išsamiau, bet tai sudėtingiau valdyti.

Praktiškai rekomenduojame tokį modelį:

Pagrindinis tiekėjas atlieka reguliarius testus ir pakartotinius patikrinimus (retest visada atlieka tas, kuris spragas rado).
Kas 2–3 metus arba naujai svarbiai sistemai – kitas tiekėjas. Tai veikia kaip nepriklausoma antroji nuomonė.
Jei keisti tiekėjo negalite, paprašykite, kad tiekėjas keistų testuotojus.
Naujam tiekėjui perduokite architektūrą, naudotojų roles ir ankstesnių radinių taisymo būseną, kad jis nešvaistytų laiko tam, kas jau žinoma.

Ir dar vienas signalas: PCI DSS gairėse pažymima, kad testas, kuris nieko nerado, dažniausiai rodo testuotojo trūkumus [6]. Jei keli testai iš eilės „švarūs“, tai priežastis pakeisti testuotoją, o ne atsipalaiduoti.

6. Kokie ženklai turėtų sukelti abejonių?

Tiekėjas pateikia kainą ir terminą neužduodamas nė vieno klausimo apie sistemą (kiek rolių, API, integracijų, aplinkų).
Negali įvardyti, kas testuos, arba testuotojų sertifikatai nesusiję su jūsų sritimi.
„Pentest“ trunka vieną dieną, o ataskaitos pavyzdys atrodo kaip skenerio išvestis.
Neprašo raštiško leidimo testuoti ir nesuderina testavimo laiko bei kontaktų incidento atveju.
Garantuoja, kad „ras visas spragas“. NCSC primena, kad testas parodo tik tai, kas buvo pažeidžiama testo dieną [1].
Tiekėjas pats kūrė ar prižiūri testuojamą sistemą.

7. Kada verta rinktis mus, o kada ne?

Esame maža specializuota komanda, todėl sąžiningai pasakome, kur esame stiprūs.

Mūsų sritis – web aplikacijos, API ir jų apsauga WAF. Testuotojai turi OSCP, BSCP ir PenTest+ sertifikatus, o WAF srityje – daugiau nei dešimtmečio darbo su „F5“ ir „Cloudflare“ patirtį. Su mumis kalbatės tiesiogiai su testuotoju. Tai suteikia papildomą naudą: radę spragą, galime ne tik ją aprašyti, bet ir padėti ją laikinai pridengti WAF taisykle, kol programuotojai ją ištaiso, bei patikrinti, ar WAF negalima apeiti.

Tinkame ir kaip antroji nuomonė. Jei kasmet testuoja tas pats tiekėjas, galime atlikti nepriklausomą jūsų svarbiausios web aplikacijos testą kitu požiūriu.

Kitur rekomenduosime ieškoti, jei reikia NIS2 atitikties audito (jį atlieka sertifikuoti auditoriai), didelio masto red team pratybų pagal DORA TLPT, pramoninių valdymo sistemų (OT) testavimo ar incidento tyrimo.

Mūsų paslaugos ir kainos – puslapyje įsilaužimų testavimas, WAF kryptis – WAF diegimas ir priežiūra.

Dažni klausimai

Kokią įmonę rinktis įsilaužimų testavimui Lietuvoje?

Tokią, kurios testuotojai turi praktinės patirties būtent jūsų sistemos srityje (web aplikacijos, infrastruktūra, debesija), nepriklausomą nuo jūsų sistemos kūrėjo ar prižiūrėtojo ir galinčią įvardyti, kas konkrečiai testuos. Testo kokybė labiau priklauso nuo testuotojų gebėjimų nei nuo įmonės dydžio [1].

Ar NIS2 reikalauja įsilaužimų testavimo Lietuvoje?

Tiesiogiai – ne. Kibernetinio saugumo įstatymas reikalauja kibernetinio saugumo audito ne rečiau kaip kartą per 3 metus [2], o Vyriausybės nutarimas Nr. 818 – spragų skenavimo ne rečiau kaip kas 6 mėnesius [3]. Įsilaužimo testavimą periodiškai atlikti rekomenduoja NKSC [5].

Ar reikia keisti pentest tiekėją?

Nebūtinai kasmet, bet verta periodiškai. TIBER-EU gairės rekomenduoja keisti tiekėją kiekvienam testui [9]. Praktiškas modelis: pagrindinis tiekėjas ir kas 2–3 metus arba naujai svarbiai sistemai – kitas. Pakartotinį patikrinimą (retest) atlieka tas pats tiekėjas.

Kokie pentest sertifikatai svarbiausi?

Tie, kurių egzaminas praktinis ir atitinka testuojamą sritį: web aplikacijoms – BSCP ar OSWE, infrastruktūrai ir „Active Directory“ – OSCP. CISSP, CISA ar CISM rodo valdymo ir audito kompetenciją, bet ne praktinius įsilaužimo įgūdžius.