Клиент иска да знае дали сме провели тест за пробиване, какво трябва да отговоря

Докладът от тест за проникване е доказателство, не отделно изискване

Тест за проникване — проверка на пробивност, при която някой активно се опитва да се проникне в твоите системи — не е поименно посочен като отделен задължителен документ в член 21, параграф 2 на NIS2. Въпросът на твоя клиент попада под мярката относно тестване и оценка на ефективността на мерките за киберсигурност, и докладът от тест за проникване е най-конкретното доказателство, което съществува за това. Ако го имаш, отговорът обикновено е да. Ако никога не си провеждал тест за проникване, отговорът е не — и това само по себе си не е проблем, докато можеш да покажеш другаде, че периодично проверяваш ефективността на мерките за сигурност, например с вътрешни одити или сканирания за уязвимости.

При попълването обърни внимание на точно какво се пита: докладът от тест за проникване сам по себе си, или само потвърждението, че е проведено тестване. Някои портали искат доклада като приложение — това е различна молба от въпрос да/не, и докладите често съдържат чувствителни технически детайли. За това съществува бутонът за поверителност: сам решаваш дали и с кого споделяш пълния документ, независимо от отговора да или не. Ако си провеждал тест за проникване, но липсва връзката с действия по устранение на откритите уязвимости, проверяй също дали твоят процес за откриване и отстраняване на уязвимости вече е там — много клиенти го питат именно в този раздел.

Откъде идва това от ISO 27001 и NIS2

Приложение A на ISO/IEC 27001 няма отделна контролна точка "тест за проникване", но мерките за управление на технически уязвимости и независима оценка на информационната сигурност се подкрепят в практиката често с резултати от тестове за проникване. NIS2, член 21, параграф 2, посочва сред десетте мерки както тестване и оценка на политиките, така и управление на уязвимостите и разкриване на информация за тях като отделни компоненти — докладът от тест за проникване обикновено служи като доказателство за първия, а действията по него за втория.