klient küsib, kas oleme viimati läbi viinud penetratsioonitesti

Penetratsioonitesti on tõend testimisest, mitte eraldi kriteerium

Penetratsioonitesti on üks viise näidata, et turvalisust testitakse perioodiliselt, mitte eraldi nõue omaette. Direktiivi (EU) 2022/2555 artikli 21 lõike 2 punktis f mainitakse "poliitika ja toimingud küberkaitseriskide juhtimisvõtete tõhususe hindamiseks", ja penetratsioonitesti on üks viise selle rakendamiseks kõrval näiteks haavatavuste skaneerimisega või sisemise auditiga. Kui küsimus otseselt penetratsioonitesti küsib, võid vastata "jah", kui teil on testraporti, olenemata sellest, kuidas teie ülejäänud testitamisprotsess välja näeb.

Kui te pole penetratsioonitesti teostanud, kuid teil on muud testitamise vormid — väline turvalisuse audit, ISO 27001 sertifitseerimine koos sellega seotud sisemiste audititega või automatiseeritud skaneerimine — siis on "ei" otsesele küsimusele õige vastus, võimalusel vabas tekstiväljal nähtavuse kriteeriumid kui see väli on olemas. Ärge märkige "jah", kuna te "midagi testitamisega teete"; küsimus on piisavalt konkreetne, et seda eraldi faktina käsitleda. See teema puudutab ka küsimust, kas võtete tõhusust testitakse perioodiliseltja sageli ka protsess haavatavuste tuvastamiseks ja parandamisekskuna penetratsiooniteste ja haavatavuste skannimist küsitakse praktikas sageli omavahel segi, kuigi need on kaks erinevat võtet.

Koht, kus see asub: artikkel 21 lõige 2 alapunkt f, Lisa A

Direktiivi (EU) 2022/2555 artikli 21 lõike 2 alakohta f kohustab "poliitikat ja toiminguid küberkaitseriskide juhtimisvõtete tõhususe hindamiseks", ilma et penetratsioonitesti spetsiaalselt ette nähtaks. ISO/IEC 27001 Lisa A arendab seda edasi tehniliste haavatavuste ja infoturbe hindamise juhtimisvõtetega, kus penetratsioonitesti sobib praktilise rakendusena, kuid seda ei nimetata kohustuslikuks instrumentiks. Küberjulgeolekuseadus võtab selle nõude üle, kui see jõustub, ilma et seal eeldatavasti konkreetset testide tüüpi seotakse.