klient küsib, kas oleme penetreerimistestid läbi viinud, mida peaksin vastama

Pentesti aruanne on tõend, mitte eraldiseisev nõue

Pentest — penetratsioonitestid, mille käigus püütakse aktiivelt su süsteemidesse tungileda — ei ole NIS2 artikli 21 lõige 2 kohaselt eraldiseisev kohustuslik dokument. Sinu kliendi küsimus kuulub küberturvalisuse meetmete tõhususe katsetamise ja hindamise meetme alla, ning pentesti aruanne on selleks kõige konkreetsem tõendusmaterjal, mis olemas on. Kui sul see on, on vastus tavaliselt jah. Kui sa pole kunagi penetratsioontesti tehtanud, on vastus ei — ja see pole iseenesest probleem, kuni sa suudad muualt näidata, et sa turvalisuse meetmete tõhusust regulaarselt kontrollidnäiteks sisemiste auditite või haavatavuse skaneerimisega.

Täitmisel jälgi, mida täpselt küsitakse: pentesti aruanne ise või ainult kinnitus, et teste on tehtud. Mõned portaalid paluvad aruannet manusena — see on eri küsimus kui jah/ei-küsimus, ja aruanded sisaldavad sageli tundlikke tehnikadetaile. Selleks on konfidentsiaalsusnupp olemas: sa otsustad ise, kas ja kellega jagate täielikku dokumenti, sõltumata sellest, kas vastus on jah või ei. Kui sul pentest oli, kuid puudub seotus leitud haavatavuste parandamisega, kontrolli ka, kas protsess haavatavuste tuvastamiseks ja parandamiseks kuulub sinna juba — paljud kliendid küsivad seda nimelt samas osas.

Kuidas see ISO 27001 ja NIS2 järgi tuleneb

ISO/IEC 27001 lisa A ei loo eraldi kontrollipunkti "pentest", kuid informatsiooniturbe kontrolli meetodeid ning tehnilist haavatavuste juhtimist ja informatsiooniturbe sõltumatuid hinnanguid toetatakse praktikas sageli pentesti tulemustega. NIS2 artikli 21 lõigetes 2 on kümne meetme seas nii poliitika katsetamine ja hindamine kui ka haavatavuste juhtimine ja nende avalikustamine eraldi osadena — pentesti aruanne on tavaliselt esimese tõendus ning selle järeltegemine teise osa.