клиентът пита дали наскоро сме провели тест за пробив

Пенетрационният тест е доказателство за тестване, не отделен критерий

Пенетрационният тест е един от начините да се докаже, че безопасността се тества периодично, не отделно изискване само по себе си. Член 21 параграф 2 на NIS2 посочва под точка f "политики и процедури за оценка на ефективността на мерките", а пенетрационният тест е едно попълване на това наред например със сканиране на уязвимости или вътрешен одит. Ако въпросът изрично иска пенетрационен тест, можеш да отговориш с "да" веднага щом имаш тестов доклад, независимо как изглежда останалата част на процеса ти по тестване.

Ако не си провел пенетрационен тест, но имаш други форми на тестване — външен одит на сигурността, сертификация по ISO 27001 с придружаващите вътрешни одити или автоматизирано сканиране — то "не" при буквалния въпрос е правилният отговор, евентуално с обяснение на алтернативното тестване в полето за свободен текст, ако такова поле има. Не попълвай "да", защото "правиш нещо в областта на тестването"; въпросът е достатъчно конкретен, за да се третира като отделен факт. Тази тема се отнася и до въпроса дали ефективността на мерките се тества периодично, и често също до процеса за идентифициране и отстраняване на уязвимостите, защото пенетрационните тестове и сканирането на уязвимости на практика често се питат едно за друго, докато са две различни мерки.

Където стои това: член 21 параграф 2 буква f, Приложение A

Член 21 параграф 2 буква f на Директива (EU) 2022/2555 задължава "политики и процедури за оценка на ефективността на мерките за управление на киберсигурностния риск", без да предписва конкретно пенетрационен тест. ISO/IEC 27001 Приложение A развива това допълнително в контролните мерки около технически уязвимости и оценка на информационната сигурност, където пенетрационният тест се вписва като практическо попълване, но не се назовава като задължителен инструмент. Законът за киберсигурност ще поеме това изискване, щом влезе в сила, без да свързва очаквано конкретен вид тест с него.