küsimustik küsib, kas oleme penetratsioonitesti läbi viinud

Penetratsioonikatse on tõend, mitte eraldi nõue

Penetratsioonikatse — penetratsioontest, kus keegi aktiivselt üritab süsteemi murda — ei ole ühegi kümne artikli 21 lõike 2 meetme eraldi kohustuslik element. Küsimus pärineb tavaliselt riski- ja haavatavuse juhtimise meetmest: klient tahab teada, kas sa testid oma turvalisust praktikas, mitte ainult paberil. Sama kehtib ISO/IEC 27001 kohta: Lisa A ei maingi kohustuslikku penetratsioonitesti, kuid nimetab tehnilist haavatavuse juhtimist, ja penetratsioonikatse on auditorite poolt tuntuim selle täitmine.

Kui sa pole kunagi penetratsioonitesti läbi viinud, siis "ei" on õige vastus — "jah" pakumine ilma aruandeta ei ole põhjendatav. Paljud ettevõtted täidavad selle selle asemel, mida nad tegelikult on teinud: haavatavuste skannimise, välise auditi või jooksvad haavatavuste avastamise ja parandamise protsessi. See ei ole sama, mis penetratsioonikatse, kuid see näitab, et midagi on olemas. Kas sa seda erinevust kliendi ees selgitad, on sinu otsus; vastuse väli ise jääb faktiliseks. Kui sa oled penetratsioonitesti läbi viinud, siis aruanne — või selle kokkuvõte — on tõend, mis sobib "jah" vastusega, vajadusel salajasuse nupuga, kui sa detaile jagada ei taha.

Siit pärineb see: artikkel 21 ja Lisa A

Direktiivi (EL) 2022/2555 artikli 21 lõige 2 nimetab haavatavuse juhtimist ja meetmete tõhususe hindamist kohustuslikuks osaks, määramata penetratsioonitesti meetodina. Küberturvalisuse seadus võtab selle kohustuse üle, kui see jõustub. ISO/IEC 27001 Lisa A arendab seda edasi tehnilist haavatavuse juhtimist käsitlevate kontrollimeetmete all, kuhu penetratsioonikatse kuulub tavapärase praktikana. Kes saab näidata, et turbemeetmete tõhusust kontrollitakse perioodiliselt saab sageli juba osa vastusest kätte, isegi kui oma failidest ei leia sõna penetratsioonikatse.