dotazník se ptá, zda jsme provedli test penetrace

Penetrační test je důkaz, nikoli samostatný požadavek

Penetrační test — penetrační testování, při kterém se někdo pokouší aktivně proniknout do systému — není v žádném z deseti opatření článku 21 odst. 2 uveden jako samostatný povinný prvek. Otázka obvykle pochází z opatření týkajícího se řízení rizik a zranitelností: zákazník chce vědět, zda testujete, zda vaše zabezpečení v praxi funguje, ne jen na papíře. Totéž platí pro ISO/IEC 27001: Příloha A neuvádí povinný penetrační test, ale technické řízení zranitelností, přičemž penetrační test je jeho nejkonkrétnější podobou, kterou auditátoři poznávají.

Pokud jsi nikdy nenechal provést penetrační test, potom je "ne" správná odpověď — předstírat "ano" bez zprávy se nedá zdůvodnit. Mnoho podniků to vyplňuje tím, co mají: skenováním zranitelností, externí auditem nebo průběžným proces pro zjišťování a nápravu zranitelností. To není totéž jako penetrační test, ale ukazuje to, že se děje něco. Zda tento rozdíl vysvětlíš zákazníkovi, je na tobě; samotné pole s odpovědí zůstává věcné. Pokud jsi penetrační test opravdu provedl, pak je zpráva — nebo její shrnutí — důkaz, který odpovídá "ano", případně s tlačítkem důvěrnosti, pokud si nepřeješ sdílet podrobnosti.

Odkud to pochází: článek 21 a příloha A

Článek 21 odstavec 2 směrnice (EU) 2022/2555 uvádí správu zranitelností a hodnocení účinnosti opatření jako povinné součásti, aniž by předepisoval penetrační test jako metodu. Zákon o kybernetické bezpečnosti tuto povinnost převezme, jakmile vstoupí v platnost. ISO/IEC 27001 příloha A to dále rozpracovává pod kontrolními opatřeními pro technickou správu zranitelností, pod kterou spadá penetrační test jako běžná praxe. Kdo může prokázat, že účinnost bezpečnostních opatření pravidelně kontrolována se stává, má často již část odpovědi dostupnou, a to i bez toho, aby se slovo penetrační test vyskytovalo ve vlastním dossier.