minu kindlustusfirma tahab näha penetratsioonitesti aruannet, mida ma peaksin esitama

Mida kindlustusfirma "penetratsioonitestimise aruande" all mõistab

Tavaliselt ei küsi kindlustusfirma kogu tehnilist aruannet, vaid kokkuvõtet: milline ulatus testiti, millal, kes tegi testi ja millised olid leidud kõrge ja keskmise taseme puhul. Juhatuse kokkuvõte kuupäevaga, testlaboratooriumiga ja jälgimisstaatusega on praktikas sageli piisav. Täisaruande koos exploiteerimise üksikasjadega saadad ainult siis, kui selleks konkreetselt palutakse, ja siis on mõttekas vaadata, mida sa konfidentsiaalsuse nupu kaudu varjad — kindlustusfirmal on huvi järelduste vastu, mitte tehniliste haavatavuste vastu.

Kui sa pole penetratsioonitestimist läbi viinud, on "ei, veel planeerimata" ausam vastus kui välja jätmine või teise süsteemi vana aruande saatmine. Paljud kindlustusfirmad küsivad seda osana laiemast pildi saamisest protsess haavatavuste avastamiseks ja parandamiseksEt penetratsioonitestimise aruanne on üks tõendusvahend, mitte terve vastus. Kui testiaruanne puudub, on sageli võimalik näidata, kas käib skannimist, käibib pitsitusmenetlus või muu avastamise protsess — see kaalub kaasa, isegi ilma testitlusaruandeta.

Kust see pärineb: artikkel 21 lõige 2 ja Lisa A

Penetratsioonitestimist ei nõuta eraldi kohustusena NIS2-direktiivi 21. artikli 2. lõikes; see nimetab kümmet abinõu kategooriat, sealhulgas haavatavuste käsitlemine ja turbeabinõude tõhususe hindamine. Penetratsioonitestimise aruanne on üks viis selle tõhususe näitamiseks, näiteks koos siseauditiga — vt ka või kas turbeabinõude tõhusust kontrollitakse perioodiliselt. ISO/IEC 27001 Annex A-s ei sisaldu penetratsioonitestimist eraldi kontrolliühikuna; see kuulub tehiliste haavatavuste abinõudesse. Kindlustusfirmad küsivad seda sageli neist õigusnormidest sõltumatult, oma riskiindikaatorina kõrvuti õiguslike või normatiivsete nõuetega — see on kindlustustahe, mitte NIS2 või küberturvalisuse seadusest tulenev seaduslik nõue.