asiakas kysyy, olemme tarkastuttaneet järjestelmämme penetraatiotestillä, mitä minun pitää vastata

Penetraatiotestiraportti on todiste, ei erillinen vaatimus

Penetraatiotesti — penetraatiotesti, jossa joku yrityksellisesti yrittää murtautua järjestelmiihin — ei ole missään erillisen pakollisen asiakirjan muodossa artiklan 21 kohdan 2 NIS2-direktiivissä. Asiakkaasi pyyntö liittyy kyberturvallisuustoimenpiteiden tehokkuuden testaamiseen ja arviointiin, ja penetraatiotestiraportti on siitä konkreettisesti todisteen muoto. Jos sinulla on sellainen, vastaus on yleensä kyllä. Jos et ole koskaan tehnyt penetraatiotestia, vastaus on ei — ja se sinänsä ei ole ongelma, kunhan voit osoittaa muualla, että testaat ja arvioit säännöllisesti turvatoimenpiteiden tehokkuutta, esimerkiksi sisäisten auditoinnin tai haavoittuvuusskannauksen avulla.

Kiinnitä huomiota siihen, mitä tarkalleen kyseessä on: penetraatiotestiraportti itse vai vain vahvistus siitä, että testaus on tehty. Jotkut portaalit pyytävät raporttia liitteenä — tämä on eri pyyntö kuin kyllä/ei-kysymys, ja raportit sisältävät usein arkaluontoisia teknisiä tietoja. Tätä varten on olemassa luottamuksellisuuspainike: voit itse päättää, jaaatko ja kenen kanssa jaat täydellisen asiakirjan riippumatta siitä, onko vastaus kyllä vai ei. Jos olet tehnyt penetraatiotestin, mutta puuttuu yhteys löydettyjen haavoittuvuuksien korjaamiseen, tarkista myös, sisältyykö prosessisi haavoittuvuuksien tunnistamiselle ja korjaamiselle jo siihen — monet asiakkaat kysyvät sitä nimittäin samasta osiosta.

Mistä tämä johtuu ISO 27001:n ja NIS2:n mukaan

ISO/IEC 27001:n liite A ei sisällä erillistä "penetraatiotesti"-valvontapistettä, mutta tekniikkaan liittyvät haavoittuvuuksien hallinnan ja riippumattoman tietoturvan arvioinnin valvontatoimet osoitetaan käytännössä usein penetraatiotestitulosten avulla. NIS2:n artiklan 21 kohdan 2 kymmenen toimenpidettä sisältävät sekä politiikan testauksen ja arvioinnin että haavoittuvuuksien hallinnon ja niiden julkistamisen erillisinä osina — penetraatiotestiraportti toimii yleensä todisteena ensimmäisestä ja sen seuranta toisesta.