Mis vahe on küberauditil ja pentestil?
Küberaudit hindab kokkulepitud süsteemide turvaseisu laiemalt, näiteks ligipääse, konfiguratsioone ja uuendusi, ning annab prioriteetse parandusplaani. Pentest on aktiivne katse leida kokkulepitud sihtmärgis kasutatavaid nõrkusi; selle ulatus ja lubatud tegevused lepitakse enne kirjalikult kokku. Automaatne skanner otsib peamiselt teadaolevaid mustreid ega asenda kummagi puhul inimese hinnangut. Tehisabiline teeb kokkulepitud kontrolle ainult omaniku kirjalikul loal; konkreetne pentesti ulatus kinnitatakse enne töö algust.
Kuidas küberaudit käib?
Audit algab kokkulepitud ulatusest. Automaatsed kontrollid katavad suure pinna; inimene kontrollib leiud, eemaldab valehäired ja seab parandused järjekorda. Aktiivseid ründeteste teeme ainult kirjaliku loa alusel.
Pinna kaardistus
Paneme kirja domeenid, liidesed, ligipääsud ja täpse testimisloa.
Kontrollitud testid
Kontrollime konfiguratsioone, autentimist, sisendeid ja võimalikke andmelekke teid kokkulepitud mahus.
Käsitsi ülevaatus
Kordame olulised leiud üle. Valehäired raportisse ei lähe.
Parandusplaan
Jaotame tööd kolme järjekorda: kohe, nädalaga ja plaani korras.
Mida küberaudit kontrollib?
| Valdkond | Mida kontrollime? | Mida saad? |
|---|---|---|
| Uuendused | Versioonid, teadaolevad haavatavused ja unustatud komponendid | Uuendamisplaan prioriteetide järjekorras |
| Ligipääsud | Kontod, õigused, paroolid, 2FA ja vanad kasutajad | Koristamisplaan: kes jääb, kes kaob |
| API-loogika | Autentimine, õiguste kontroll ja päringulimiidid | Leitud loogikavead ja nende parandused |
| HTTP-turve | Turvapäised, HTTPS ning vormide ja liideste sisendikontroll | Puuduste loetelu koos näidislahendusega |
| Süstiründed | Prompt injection’i pinnad sinu AI-rakendustes | Ründetestide tulemus ja piirangute plaan |
| Andmeleke | Andmete väljaviimise võimalused ja logide kord | Lekketesti tulemus ja kõrvaldamise plaan |
- Leid
- Leht lubab end võõra veebilehe sisse laadida.
- Tõend
- Puudub Content-Security-Policy, mis piiraks raamimist.
- Parandus
- Lisa
frame-ancestorsreegel serveri seadistusse. - Kontroll
- Pärast parandust proovime sama laadimist uuesti.
Automaatika leiab. Inimene otsustab, mis on oluline.
Kiire kontroll võib anda valehäireid või jätta ärilise tähenduse märkamata. Seepärast kinnitab inimene iga olulise leiu, hindab tegelikku mõju ja kirjutab paranduse arusaadavas keeles. Sama põhimõte – AI kiirendab, inimene kinnitab – kehtib kõigis meie küber-AI kasutusjuhtudes.
Piir on selge. Auditeerime ainult sinu enda süsteeme kirjaliku loa alusel. Võõraid süsteeme me ei testi. Meie tööpõhimõtted on kirjas lehel Meist.
Miks audit on 2026. aastal eriti oluline?
- 4,99 miljonit USA dollarit oli IBM-i 2026. aasta uuringus andmelekke keskmine kogukulu uuritud organisatsioonide seas kogu maailmas, 12% rohkem kui aasta varem. See ei ole Eesti ettevõtte riskihinnang. Allikas: IBM, Cost of a Data Breach 2026
- 62% rikkumistest hõlmas inimtegurit Verizoni 2026. aasta DBIR-i analüüsis. Tegemist on raporti üleilmse valimiga, mitte Eesti ettevõtete osakaaluga. Allikas: Verizon, 2026 DBIR Executive Summary, lk 11
- 31% rikkumistest hõlmas haavatavuse ärakasutamist Verizoni raportis käsitletud algsete sisenemisvektorite seas (vead ja väärkasutus on sellest arvestusest väljas). Üleilmset uuringutulemust ei saa käsitleda Eesti ettevõtete määrana. Allikas: Verizon, 2026 DBIR Executive Summary, lk 9
Need on rahvusvaheliste uuringute koondnäitajad, mitte kohaliku riski prognoos. Audit aitab hinnata sinu enda süsteemide kokkulepitud ulatust.
Millal on audit mõistlik?
Auditist on kasu, kui
- veebileht võtab vastu tellimusi või isikuandmeid;
- kasutad API-t, kliendiportaali või AI-rakendust;
- haldaja või arenduspartner on vahetunud;
- viimasest turvakontrollist on üle aasta.
Audit pole esimene samm, kui
- tegu on vormideta staatilise visiitkaardiga;
- sama ulatus auditeeriti äsja;
- ootad, et üks audit asendaks pidevat hooldust.
Mis tasemel on sinu küberküpsus?
Küpsushinnang näitab, kas parandada tuleb üksik seadistus või tööviis tervikuna.
Algeline
Paroolid korduvad, varundust pole testitud ja uuendused on juhuslikud. Esmased parandused saab tavaliselt teha päevadega.
Arenev
Alused on olemas, kuid lünklikud: kaheastmeline kinnitamine on osaline ja logisid ei vaadata regulaarselt.
Hallatud
Protsessid toimivad. Vaja on sõltumatut kontrolli ja tõendit enne kindlustust, hanget või suuremat muudatust.
Optimeeritud
Turve on mõõdetav ja pidev. Audit kinnitab seisu ning näitab, mida järgmisena automatiseerida.
Millest hind sõltub?
- Ulatus. Mitu süsteemi on töös ja kas kontrollime veebi, AI-d või mõlemat.
- Ligipääs. Kas kontroll toimub testkeskkonnas või ainult välispinnalt.
- Järelkontroll. Millised parandused vaatame pärast töö lõppu uuesti üle.
Tasuta kaardistuse järel saad kirjaliku ulatuse ja hinna. Kui audit ei tasu ära, ütleme seda enne pakkumist.
Töö tingimused
- Kirjalik luba. Testime ainult kokkulepitud süsteeme, mahus ja ajal.
- Tõendid. Iga leid tuleb koos kontrollitava tõendi ja parandusettepanekuga.
- Järelkontroll. Paranduste ülevaatus kuulub pakkumises märgitud mahtu.
- Konfidentsiaalsus. Sinu andmeid ei kasutata mudelite treenimiseks ega anta kolmandatele. Kuidas meie AI-mudelid andmeid käsitlevad, loe küber-AI mudelite lehelt.
Audit, pentest või automaatne skannimine?
Küberaudit annab laiema ülevaate süsteemide seadetest ja töökorraldusest. Pentest on aktiivne, sihitud katse kokkulepitud süsteemist turvanõrkusi leida, mitte automaatne skannimine ega üldine audit. Enne pentesti määrame kirjalikult sihtmärgid, ajavahemiku, lubatud testid ja katkestamise tingimused; testime ainult süsteeme, milleks omanik on loa andnud. Automaatne skanner aitab teadaolevaid vigu leida, kuid ei tõenda äriloogika turvalisust.
Aktiivse testimise ulatuse, ettevalmistuse ja raporti kohta loe pentestimise teenuselehelt. Arendajale on eraldi API turvatestimise juhend ja veebirakenduse pentesti juhend.
| Meetod | Sobib siis, kui | Piirang |
|---|---|---|
| Küberaudit | Vajad tervikpilti ja paranduste järjekorda | Ei asenda pidevat seiret |
| Käsitsi pentest | Vajad ühe kokkulepitud süsteemi aktiivset süvakatset | Katab tavaliselt kitsama pinna; vaja on selget kirjalikku luba |
| Automaatne skanner | Vajad teadaolevate probleemide sagedast esmaseiret | Ei mõista äriloogikat ega ligipääsude tähendust |
Kuidas küberauditit tellida?
Kaardistus
Saadad domeenide arvu, süsteemide tüübi ja info testkeskkonna kohta. Meie ütleme, kas audit on mõistlik.
Pilootaudit
Alustame ühest piiratud ulatusest ja töötame ainult kirjaliku loa piires.
Raport ja järelkontroll
Saad tõendid ja parandusplaani. Kokkulepitud parandused kontrollime uuesti.
Küsimused küberauditi kohta
Mis on küberaudit?
Küberaudit on süsteemne kontroll: uuendused, ligipääsud, varundus, turvapäised, sisendikontroll ning AI-rakenduste puhul süstikindlus ja andmeleke. Tulemuseks on parandusplaan tähtsuse järjekorras.
Mis vahe on küberauditil ja pentestil?
Pentest proovib ühte sihtmärki aktiivselt murda. Küberaudit vaatab laiemalt konfiguratsioone, õigusi, varundust ja töökorraldust. Audit võib sisaldada kontrollitud ründeteste, kuid ainult sinu loal.
Kui tihti peaks küberauditit tegema?
Vähemalt kord aastas ning pärast suuremaid muudatusi: uue e-poe või kliendiportaali avamist, haldaja vahetust või AI-rakenduse kasutuselevõttu.
Kuidas agendipõhine audit käib?
Automaatsed kontrollid otsivad nõrku kohti kokkulepitud ulatuses. Inimene kordab olulised leiud üle, eemaldab valehäired ja paneb parandused järjekorda.
Mille poolest erineb see tavalisest auditist?
Automatiseeritud töö katab korraga rohkem pinda. Inimene saab kulutada aja leidude kontrollimisele ja paranduste hindamisele, mitte korduvatele käsitsi tehtavatele tegevustele.
Kas AI teeb otsuseid üksi?
Ei. Tööriistad koguvad tõendeid ja pakuvad hinnanguid, kuid iga oluline leid vaadatakse enne raportit käsitsi üle.
Kas audit lõhub midagi ära?
Testime ettevaatlikult kokkulepitud mahus ega muuda andmeid. Muutvaid tegevusi teeme ainult eraldi kirjalikul kokkuleppel.
Millest auditi hind sõltub?
Süsteemide arvust, kontrolli sügavusest, ligipääsudest ja järelkontrolli vajadusest. Tasuta kaardistuse järel saad selge pakkumise.
Mida te ei auditeeri?
Võõraid süsteeme ilma omaniku kirjaliku loata. Loata testimine on välistatud.
Millal valida agendipõhine audit tavalise asemel?
Kui vajad lühikese ajaga laia katvust. Keeruka erisüsteemi süvaanalüüsiks võib sobida paremini käsitsi pentest; ütleme kaardistuses ausalt, kumb on mõistlikum.
Kas tasuta skannerist ei piisa?
Skanner leiab teadaolevaid haavatavusi, kuid ei hinda äriloogikat, ligipääsude tegelikku tähendust ega paranduste järjekorda. See sobib seireks, mitte tervikpildi saamiseks.
Kas NIS2 mind puudutab?
NIS2 direktiivi üle võttev Eesti küberturvalisuse seadus jõustus 1. jaanuaril 2026 ja kohaldub reeglina elutähtsate ning oluliste teenuste osutajatele. Tavaline mikro- ja väikeettevõte sinna ei kuulu. Kontrolli täpset kohaldumist RIA ja nis2.ee juhistest. 2025. aastal vabastati alla 50 töötajaga mikro- ja väikeettevõtted täismahus E-ITS-i või ISO 27001 järgimisest; neile kehtivad esmased turvameetmed (RIA, 25. septembril 2025). Avatud NIS2-toetuse tingimused leiad EIS-i lehelt.
Loe pikemalt: NIS2 ja Eesti ettevõte – juhend.