klient küsib, kas olete teinud penetratsioonitesti, mida ma ütlen

Penetratsioonitest kuulub testimise alla, mitte eraldi lahtrisse

Penetratsioonitest (penetratsioonitesting) on üks viis näidata, et turvameetmed toimivad — mitte eraldi nõue. Küsimus kuulub laiema teema alla turvameetmete tõhususe perioodilise testimise. Kui oled eelmise aasta jooksul lasknud välisasutusel penetratsioontesti läbi viia, siis vaststad jah ja esitad tõendina testi aruande või juhtimiskokkuvõtte. Mõned kliendid soovivad näha ainult testi kuupäeva ja ulatust, mitte leitud haavatavusi — selleks võid portaalis kasutada konfidentsiaalsuse nuppu, kui see valik on saadaval.

Kui sa penetratsioontesti läbi viinud ei ole, siis on "ei" õige vastus — mitte "jah" viitega millele teisele. Haavatavuste skaneerimine, sisemine koodireview või ISO 27001-sertifitseerimine ei ole penetratsioontesti asendus, kuigi nad puudutavad sama teemat. Kui sa küll süsteemselt tuvastad ja parandad haavatavusi muul viisil, võid seda vabas tekstiväljal selgitada, kuid see on täiendus, mitte asendav "jah" penetratsioontesti küsimusele endale. Kui kahtled, kas su testraporti on liiga vana ja kas ta veel kehtib, siis on kõige ohutuam lahendus see tõlgenduses mainida, selle asemel et seda välja jätta.

Kust see pärineb: artikkel 21 lõige 2 ja Lisa A

NIS2-direktiivi artikli 21 lõike 2 (Direktiiv (EU) 2022/2555) nimetab kümne meetme hulgas selgesõnaliselt küberturvameetmete tõhususe testimist ja hindamist; penetratsioonitest on selle konkreetne rakendus. ISO/IEC 27001 Annex A seob seda tehnilistele haavatavuste haldamise kontrollmeetmetele ja infoturbehindamise sõltumatu hindamisega. Cyberbeveiligingswet, NIS2 Hollandi ülevõtmine, mis jõustub 15. augustil 2026, kehtestab selle nõude seaduse alla kuuluvate üksustele — kontrolli, kas su klient esindab seega kohustuslikku osapoolt, ja testaa seega, kas ettevõte ise kuulub NIS2 või rahvuslike rakenduste alla et mõista, miks see küsimus üldse nimekirjas on.