Списъкът пита дали сме провели тест за пробиване

Пенетрационният тест е доказателство, не отделно изискване

Пенетрационният тест — пенетрационна проверка, при която някой активно се опитва да се проникне в система — не е посочен като отделен задължителен елемент в нито една от десетте мерки на член 21, параграф 2. Въпросът най-често идва от мярката за управление на риска и уязвимостите: клиентът иска да знае дали тестваш или твоята защита издържа в практиката, а не само на хартия. Същото важи и за ISO/IEC 27001: Приложение A не предвижда задължителен пенетрационен тест, но предвижда техническо управление на уязвимостите, и пенетрационният тест е най-конкретното прилагане на това, което одиторите разпознават.

Ако никога не си провеждал тест за пенетрация, тогава "не" е правилният отговор — предложение на "да" без доклад не може да бъде обосновано. Много компании попълват това с това, което имат: сканиране на уязвимости, външен одит или текущ. ,Това не е същото като тест за пенетрация, но показва, че има нещо. Дали ще обясниш това разлика на клиента, зависи от теб; самото поле за отговор остава фактическо. Ако си провеждал тест за пенетрация, тогава докладът — или резюме на него — е доказателството, което съответства на "да", евентуално с бутона за поверителност, ако не искаш да споделиш детайлите.

Откъде идва това: член 21 и Приложение A

Член 21, параграф 2 на Директива (EU) 2022/2555 посочва управлението на уязвимостите и оценката на ефективността на мерките като задължителни компоненти, без да предписва пентеста като метод. Законът за кибербезопасност поема това задължение, когато влезе в сила. ISO/IEC 27001 Приложение A разработва това допълнително при контролните мерки за техническо управление на уязвимостите, където пентестът попада като обща практика. Който може да докаже, че ефективността на мерките за защита периодично преглеждана е получен, вече часто има част от отговора подготвен, дори и ако думата пентест не се появява в собственото досие.