клиентът пита дали сме провели тест за пробив какво трябва да кажа

Пенетрационният тест попада под тестването, а не под отделна категория

Пенетрационният тест (тест на проникване) е един начин да се докаже, че защитата работи — не е отделно изискване. Въпросът се отнася до по-широката тема за периодично тестване на ефективността на мерките. Ако през последната година сте поръчали пенетрационен тест от външна страна, отговаряте да и предоставяте докладът или резюмето за управление като доказателство. Някои клиенти искат да видят само датата и обхвата на теста, а не самите открити уязвимости — за това можете да използвате бутона за поверителност в портала, ако такава опция е налична.

Ако не сте провели пенетрационен тест, то "не" е правилният отговор — не "да" с позоваване на нещо друго. Сканиране на уязвимости, вътрешен преглед на кода или сертификация ISO 27001 не са замяна на пенетрационния тест, дори да се отнасят до същия предмет. Ако структурирано откривате и отстранявате уязвимости чрез друг път, можеш ли да го обясниш в полето за свободен текст, но това е допълнение, а не замяна на "да" на самия въпрос за pentest. Ако се колебаеш дали твоят доклад от тестване е достатъчно нов, за да бъде валиден, най-безопасният избор е да го споменеш в обяснението вместо да го пропуснеш.

Откъде идва това: член 21, параграф 2 и Приложение А

Член 21, параграф 2 на Директива NIS2 (Директива (EU) 2022/2555) посочва явно сред десетте мерки тестването и оценката на ефективността на мерките за кибербезопасност; pentest е най-конкретната форма на прилагане на това. ISO/IEC 27001 Annex A го свързва с контролната мярка за управление на технически уязвимости и независима оценка на информационната безопасност. Законът за кибербезопасност, холандското транспониране на NIS2, който влиза в сила на 15 август 2026 г., установява това задължение за организациите, които попадат под закона — клиентът, който представляваш, вероятно е такава задължена страна, и затова тества дали организацията самата попада под NIS2 или национално транспониране за да разбереш защо този въпрос изобщо е в списъка.