ο πελάτης θέλει να γνωρίζει πόσο συχνά κάνουμε δοκιμή των συστημάτων μας

Χωρίς καθορισμένη σταθερή συχνότητα

Δεν υπάρχει αριθμός στο κείμενο του νόμου. Το άρθρο 21 παράγραφος 2 της NIS2 αναφέρει στο σημείο στ) "πολιτικές και διαδικασίες για την αξιολόγηση της αποτελεσματικότητας των μέτρων διαχείρισης κινδύνων κυβερνοασφάλειας" — μια δοκιμή διείσδυσης είναι η πιο συγκεκριμένη εφαρμογή αυτού, αλλά πόσο συχνά θα πρέπει να γίνει, αυτό αφήνεται ανοικτό από την οδηγία. Επίσης ο Κώδικας Κυβερνοασφάλειας, ο οποίος θα μεταφέρει αργότερα αυτό το άρθρο στο ολλανδικό δίκαιο, αναμένεται να μην προσθέσει σε αυτό ένα σταθερό χρονικό διάστημα. Η λίστα ερωτήσεων του πελάτη σας συμπληρώνει αυτό το κενό: πολλές μορφές ρωτούν συγκεκριμένα για "τουλάχιστον ετησίως" ή "σε σημαντικές αλλαγές", αλλά αυτό είναι το πρότυπο αυτού του πελάτη, όχι του νόμου.

Αυτό που μπορείς να συμπληρώσεις στην πράξη είναι λοιπόν το δικό σου ρυθμό, όχι ένας υποχρεωτικός ρυθμός. Ελέγχεις ετησίως, μετά από κάθε μεγάλη κυκλοφορία, ή μόνο ad hoc μετά από ένα περιστατικό; Αυτή η απάντηση, με ημερομηνία και πεδίο της τελευταίας δοκιμής, βρίσκεται συνήθως ως ξεχωριστό έγγραφο στο αρχείο αλυσίδας — ψάξε για την αναφορά δοκιμής διείσδυσης ή την περίληψη διαχείρισής της. Αν δεν έχεις ακόμα καθορισμένη συχνότητα, τότε "ad hoc, τελευταία εκτέλεση στις [ημερομηνία]" είναι μια ειλικρινέστερη απάντηση από το να επινοήσεις μια συχνότητα που δεν τηρείς. Αυτή η ερώτηση εμφανίζεται συχνά στο ίδιο μπλοκ με τη διαδικασία εντοπισμού και αποκατάστασης των ευπαθειών — μια δοκιμή διείσδυσης είναι ένας τρόπος για να βρεις ευπάθειες, η σάρωση και η πολιτική διόρθωσης είναι οι άλλοι.

ISO 27001 ως έμμεση απόδειξη

Όποιος είναι πιστοποιημένος κατά ISO 27001, έχει συνήθως μέσω των μέτρων του Παραρτήματος Α ήδη θεσπίσει μια εσωτερική πολιτική για περιοδικές δοκιμές, συμπεριλαμβανομένης της συχνότητας που η οργάνωση επέλεξε κατά την αξιολόγηση κινδύνου. Αυτό καθιστά την ερώτηση για το πιστοποιητικό ISO 27001 σχετική ως υποκείμενο στοιχείο απόδειξης: όχι επειδή το πιστοποιητικό προδιαγράφει μια συχνότητα δοκιμής διείσδυσης, αλλά επειδή δείχνει ότι υπάρχει μια καθορισμένη πολιτική δοκιμών από την οποία μπορεί να συναχθεί αυτή η συχνότητα.