Zákazník se ptá, zda jsme nedávno nechali provést penetrační test

Pentest je důkazem testování, nikoli samostatným kritériem

Penetrační test je jedním ze způsobů, jak prokázat, že je bezpečnost pravidelně ověřována, nikoli samostatným požadavkem. Článek 21 odstavec 2 směrnice NIS2 uvádí v bodě f "politiky a postupy pro hodnocení účinnosti opatření", a pentest je jedním z jeho naplnění vedle například skenování chyb zabezpečení nebo interního auditu. Pokud se otázka přímo ptá na pentest, můžete odpovědět "ano" jakmile máte testovací zprávu, bez ohledu na to, jak vypadá zbytek vašeho procesu ověřování.

Pokud jste neprováděli pentest, ale máte jiné formy ověřování — externí audit bezpečnosti, certifikaci ISO 27001 s příslušnými interními audity nebo automatizované skenování — pak je "ne" na doslovu položenou otázku správná odpověď, případně s vysvětlením alternativního ověřování v poli pro volný text, pokud je k dispozici. Nevyplňujte "ano", protože "něco s testováním děláte"; otázka je dost konkrétní na to, aby byla považována za samostatný fakt. Toto téma se také týká otázky, zda je účinnost opatření pravidelně ověřována, a často také procesem pro odhalování a odstraňování slabých míst, protože pentesty a skenování chyb zabezpečení se v praxi často prolínají, ačkoli se jedná o dvě různá opatření.

Kde se to nachází: článek 21 odstavec 2 písmeno f, Příloha A

Článek 21 odstavec 2 písmeno f Směrnice (EU) 2022/2555 vyžaduje "politiky a postupy pro posuzování účinnosti opatření pro řízení rizik v oblasti kybernetické bezpečnosti", aniž by konkrétně předepisoval pentest. ISO/IEC 27001 Příloha A to dále rozpracovává v opatřeních týkajících se technických chyb zabezpečení a posuzování bezpečnosti informací, kde pentest jako praktické naplnění pas, ale není jmenován jako povinný nástroj. Zákon o kybernetické bezpečnosti jej převezme, až vstoupí v platnost, bez toho, aby se očekávalo, že by konkrétní typ testování vázal.