Ο πελάτης ζητά εάν έχουμε εκτελέσει πρόσφατα δοκιμή διείσδυσης

Η pentest είναι απόδειξη δοκιμής, όχι ξεχωριστό κριτήριο

Ένα penetration test είναι ένας από τους τρόπους να αποδειχθεί ότι η ασφάλεια δοκιμάζεται περιοδικά, όχι μια ξεχωριστή απαίτηση καθ' αυτή. Το άρθρο 21 παράγραφος 2 της NIS2 αναφέρει υπό το σημείο στ «πολιτικές και διαδικασίες για την αξιολόγηση της αποτελεσματικότητας των μέτρων», και ένα pentest είναι μία υλοποίησή της παράλληλα με, για παράδειγμα, μια σάρωση ευπάθειας ή έναν εσωτερικό έλεγχο. Αν η ερώτηση ζητά κυριολεκτικά ένα pentest, μπορείς να απαντήσεις «ναι» μόλις έχεις μια έκθεση δοκιμής, ανεξάρτητα από το πώς φαίνεται το υπόλοιπο δικό σου δοκιμαστικό διαδικασία.

Αν δεν έχεις διεξάγει pentest αλλά έχεις άλλες μορφές δοκιμής — έναν εξωτερικό έλεγχο ασφάλειας, πιστοποίηση ISO 27001 με τους σχετικούς εσωτερικούς ελέγχους, ή μια αυτοματοποιημένη σάρωση — τότε το «όχι» στην κυριολεκτική ερώτηση είναι η σωστή απάντηση, ενδεχομένως με μια εξήγηση για την εναλλακτική δοκιμή στο πεδίο ελεύθερου κειμένου αν υπάρχει. Μην συμπληρώσεις «ναι» επειδή «κάνεις κάτι για τη δοκιμή»· η ερώτηση είναι αρκετά συγκεκριμένη για να αντιμετωπιστεί ως ξεχωριστό γεγονός. Το θέμα αυτό αγγίζει επίσης τη δοκιμή αν η αποτελεσματικότητα των μέτρων δοκιμάζεται περιοδικά, και συχνά επίσης τη διαδικασία εντοπισμού και αποκατάστασης των ευπαθειών, επειδή τα pentests και οι σαρώσεις ευπάθειας στην πράξη συχνά ζητούνται εναλλακτικά ενώ είναι δύο διαφορετικά μέτρα.

Που βρίσκεται: άρθρο 21 παράγραφος 2 υπό το στοιχείο στ, Παράρτημα A

Το άρθρο 21 παράγραφος 2 στοιχείο στ της Οδηγίας (ΕΕ) 2022/2555 υποχρεώνει σε «πολιτικές και διαδικασίες για την αξιολόγηση της αποτελεσματικότητας των μέτρων διαχείρισης κινδύνου κυβερνοασφάλειας», χωρίς να προβλέπει ρητά ένα pentest. Το ISO/IEC 27001 Παράρτημα A το αναπτύσσει περαιτέρω στα μέτρα ελέγχου γύρω από τεχνικές ευπάθειες και αξιολόγηση ασφάλειας πληροφοριών, όπου ένα pentest ως πρακτική υλοποίηση ταιριάζει αλλά δεν αναφέρεται ως υποχρεωτικό εργαλείο. Ο Νόμος Κυβερνοασφάλειας αναλαμβάνει αυτή την απαίτηση όταν τεθεί σε ισχύ, χωρίς προσδοκώμενα να συνδέσει εκεί ένα συγκεκριμένο τύπο δοκιμής.