моят застраховател иска да вижда доклад от тест на проникване, какво трябва да предоставя

Какво означава за застраховател "доклад от тест на проникване"

Обикновено застрахователят не иска пълния технически доклад, а резюме: какъв е был обхватът на теста, кога е проведен, от кого, и какви са били откритията на високо и средно ниво. Кратко резюме с дата, тестващо бюро и статус на последващите действия обикновено е достатъчно в практиката. Пълния доклад с детайли на експлойти изпращаш само ако специално се иска, и тогава е разумно да провериш какво защитаваш чрез бутона за поверителност — застрахователят е заинтересован от заключението, не от самите технически уязвимости.

Ако не си провел пенетрационен тест, тогава "не, още не е планиран" е по-честен отговор, отколкото да оставиш полето празно или да изпратиш стар доклад от друга система. Много застрахователи питат за това като част от по-широка картина на процес за откриване и отстраняване на уязвимостите— пенетрационният тест е един доказателствен елемент, не целия отговор. Ако тестът липсва, често пак можеш да покажеш дали се провеждат сканирания, политика за закърпване или друг процес на открито — това също има тежест, дори без доклад от тест.

Откъде идва това: член 21, параграф 2 и Приложение А

Самият пенетрационен тест не фигурира като отделна задължителна мярка в член 21, параграф 2 на Директива NIS2; той посочва десет категории мерки, включително справяне с уязвимости и оценка на ефективността на мерките. Пенетрационният тест е един начин да докажеш тази ефективност, наред например с вътрешен одит — вж. също или че ефективността на мерките за защита се проверява периодично». В ISO/IEC 27001 Приложение A пенетрационното тестване също не фигурира като отделна мярка за контрол; то попада под мерките за управление на технически уязвимости. Застрахователите често питат за него независимо от тази нормативна база, като собствен индикатор на риск, отделно от законовите или нормативни изисквания — това е застраховална практика, а не законово задължение от NIS2 или Закона за кибербезопасност.