ο πελάτης ρωτά εάν έχουμε προβεί σε δοκιμή διείσδυσης, τι πρέπει να απαντήσω

Η έκθεση penetration testing είναι απόδειξη, όχι αυτόνομη απαίτηση

Ένα penetration test — μια δοκιμή διείσδυσης, κατά την οποία κάποιος προσπαθεί ενεργά να εισβάλει στα συστήματά σας — δεν αναφέρεται πουθενά ως ξεχωριστό υποχρεωτικό έγγραφο στο άρθρο 21 παράγραφος 2 της NIS2. Το ερώτημα του πελάτη σας εμπίπτει στο μέτρο σχετικά με τη δοκιμή και την αξιολόγηση της αποτελεσματικότητας των κυβερνοασφαλειακών μέτρων, και μια έκθεση penetration testing είναι το πιο συγκεκριμένο αποδεικτικό στοιχείο που υπάρχει για το σκοπό αυτό. Αν έχετε μια, η απάντηση είναι συνήθως ναι. Αν δεν έχετε ποτέ διενεργήσει penetration test, η απάντηση είναι όχι — και αυτό δεν είναι πρόβλημα από μόνο του, αρκεί να μπορείτε να αποδείξετε αλλού ότι την αποτελεσματικότητα των κυβερνοασφαλειακών μέτρων αξιολογείτε περιοδικά, για παράδειγμα μέσω εσωτερικών ελέγχων ή σαρώσεων ευπαθειών.

Κατά την συμπλήρωση, προσέξτε τι ακριβώς ζητείται: μια έκθεση penetration testing αυτή καθαυτή, ή μόνο την επιβεβαίωση ότι πραγματοποιήθηκε δοκιμή. Ορισμένες πύλες ζητούν την έκθεση ως συνημμένο — αυτό είναι διαφορετικό αίτημα από ένα ερώτημα ναι/όχι, και οι εκθέσεις συχνά περιέχουν ευαίσθητες τεχνικές λεπτομέρειες. Γι' αυτό υπάρχει το κουμπί εμπιστευτικότητας: εσείς αποφασίζετε αν και με ποιους θα κοινοποιήσετε το πλήρες έγγραφο, ανεξάρτητα από το αν η απάντηση είναι ναι ή όχι. Αν έχετε πραγματοποιήσει penetration test αλλά λείπει η σύνδεση με την παρακολούθηση των εντοπισθέντων ευπαθειών, ελέγξτε επίσης αν η διαδικασία σας για τον εντοπισμό και τη διόρθωση ευπαθειών περιλαμβάνεται ήδη — πολλοί πελάτες θέτουν αυτό το ερώτημα στην ίδια ενότητα.

Όπου προκύπτει από τα ISO 27001 και NIS2

Το Annex A του ISO/IEC 27001 δεν έχει ξεχωριστό σημείο ελέγχου «penetration test», αλλά τα μέτρα ελέγχου σχετικά με τη διαχείριση τεχνικών ευπαθειών και την ανεξάρτητη αξιολόγηση της ασφάλειας πληροφοριών υποστηρίζονται συχνά στην πράξη με αποτελέσματα penetration testing. Το NIS2, άρθρο 21 παράγραφος 2, αναφέρει ανάμεσα στα δέκα μέτρα τόσο τη δοκιμή και αξιολόγηση των πολιτικών όσο και τη διαχείριση ευπαθειών και τη δημοσίευσή τους ως ξεχωριστά στοιχεία — μια έκθεση penetration testing χρησιμεύει συνήθως ως απόδειξη για το πρώτο, και η παρακολούθησή της για το δεύτερο.