клиентът иска да знае колко често тестваме нашите системи

Няма предписана固定 честота

Няма число в текста на закона. Член 21, параграф 2 на NIS2 посочва под буква ф "политики и процедури за оценка на ефективността на управляващите мерки в областта на управлението на киберсигурностните рискове" — тестване за проникване е най-конкретното му приложение, но колко често трябва да се извършва, директивата оставя открито. Законът за киберсигурност, който скоро трансформира този член в българското право, вероятно също няма да добави фиксиран интервал към него. Въпросникът на вашия клиент самостоятелно запълва този пропуск: много формати конкретно питат за "минимално годишно" или "при значителни промени", но това е норма на этого клиента, а не на закона.

Това, което можете да попълните на практика, е вашия собствен график, а не задължителен график. Тестувате ли годишно, след всяко голямо издание, или само ad hoc след инцидент? Този отговор стои, със дата и обхват на последния тест, обикновено като отделен документ в дозиера на веригата — потърсете доклада за тестване за проникване или резюето на управлението към него. Ако все още нямате фиксирана честота, тогава "ad hoc, последният път изпълнен на [дата]" е по-честен отговор, отколкото да си измисляте честота, която не спазвате. Този въпрос често е в един и същи блок като процеса за идентифициране и отстраняване на уязвимостите — тестването за проникване е един начин да се намерят уязвимости, сканирането и политиката за корекции са другите.

ISO 27001 като косвена опора

Ако някой е сертифициран по ISO 27001, чрез мерките на Приложение A обикновено вече е установил вътрешна политика за периодично тестване, включително честотата, която самата организация е избрала при оценката на риска. Това прави искането за ISO 27001 сертификата релевантно като подкрепящо доказателство: не защото сертификатът предписва честота на пенетрационното тестване, а защото показва, че съществува установена политика за тестване, от която може да се заключи тази честота.