στη λίστα ερωτήσεων ρωτάται αν έχουμε πραγματοποιήσει δοκιμή διείσδυσης

Η δοκιμή διείσδυσης είναι απόδειξη κατά τη δοκιμή, όχι ξεχωριστή απαίτηση

Μια δοκιμή διείσδυσης δεν εμφανίζεται ως αυτόνομη υποχρέωση στο άρθρο 21 παράγραφος 2 NIS2. Το ερώτημα σχετίζεται με το μέτρο (f): την πολιτική και τις διαδικασίες για την αξιολόγηση της αποτελεσματικότητας των μέτρων ασφάλειας. Μια δοκιμή διείσδυσης είναι ένας τρόπος για να το δοκιμάσουμε, αν και για παράδειγμα μια σάρωση ευπαθειών ή ένας εσωτερικός έλεγχος. Εάν ο πελάτης ζητήσει ειδικά μια δοκιμή διείσδυσης, συνήθως θέλει να ξέρει εάν έχει ποτέ ελεγχθεί ανεξάρτητα ότι τα τεχνικά μέτρα λειτουργούν πραγματικά, όχι μόνο στο χαρτί.

Εάν έχετε διενεργήσει δοκιμή διείσδυσης, τότε η έκθεση (ή ένα περίληψη με ημερομηνία, πεδίο εφαρμογής και αντιμετώπιση των ευρημάτων) είναι το στοιχείο απόδειξης. Εάν δεν το έχετε, τότε το "όχι" είναι η ειλικρινής απάντηση — αυτό δεν είναι αυτόματη απόρριψη, ιδίως για μικρότερους προμηθευτές χωρίς υποχρεωτικό εφαρμόσιμο καθεστώς οντότητας σύμφωνα με την οδηγία. Σημαντικότερο από τη λέξη "δοκιμή διείσδυσης" είναι αν μπορείτε να δείξετε ότι την αποτελεσματικότητα των κυβερνοασφαλειακών μέτρων αξιολογείτε περιοδικά με άλλον τρόπο, και αν αυτό σχετίζεται με μια τρέχουσα διαδικασία ανίχνευσης και διόρθωσης ευπαθειών. Επομένως, μην συμπληρώσετε "ναι" απουσίας έκθεσης, ούτε και αν έχετε ποτέ εκτελέσει σάρωση — μια σάρωση και μια δοκιμή διείσδυσης είναι στις περισσότερες λίστες ερωτήσεων ρητώς διαφορετικά πράγματα.

Πού προέρχεται αυτό: άρθρο 21 παράγραφος 2 και ISO 27001

Το άρθρο 21 παράγραφος 2 της Οδηγίας (ΕΕ) 2022/2555 αναφέρει στο σημείο (f) τις "πολιτικές και διαδικασίες για την αξιολόγηση της αποτελεσματικότητας των μέτρων διαχείρισης κινδύνων κυβερνοασφάλειας" ως ένα από τα δέκα υποχρεωτικά μέτρα· μια δοκιμή διείσδυσης εμπίπτει σε αυτό ως μέθοδος δοκιμής αλλά δεν αναφέρεται με το όνομά της. Το ISO/IEC 27001 Annex A το αναπτύσσει περαιτέρω στα μέτρα ελέγχου γύρω από τεχνικές ευπάθειες και ανεξάρτητη αξιολόγηση της ασφάλειας πληροφοριών, στο οποίο οι δοκιμές διείσδυσης ως πρακτική είναι κοινές αλλά δεν ορίζονται ούτε ως υποχρεωτικές. Ο Νόμος Κυβερνοασφάλειας, η ολλανδική υλοποίηση του NIS2, τίθεται σε ισχύ στις 15 Αυγούστου 2026 και θα περιέχει τα ίδια δέκα μέτρα· μέχρι τότε η οδηγία είναι το πλαίσιο που πρέπει να ακολουθηθεί.