asiakas kysyy penetraatiotestituloksista, mutta emme ole koskaan tehneet penetraatiotestiä

Pentestia ei ole tehty, ei ole automaattinen ei

Pentest — penetraatiotesti, jossa joku yrittää aktiivisesti murtautua järjestelmääsi heikkouksien löytämiseksi — on yksi mahdollinen tehokkuuden arviointi, mutta ei ainoa. NIS2:n 21 artiklan 2 kohta vaatii "politiikkaa ja menettelyjä, joilla arvioidaan toimenpiteiden tehokkuutta", ilman, että se määrää pentestiä. Myös ISO/IEC 27001:n Liite A mainitsee tekniset haavoittuvuuksien hallinnan ja testauksen, mutta ei pakota mitään erityistä testausmenetelmää. Voit siis usein rehellisesti täyttää "ei, ei vielä" vastaamatta blokkavalla vastauksella — se on yksi kymmenestä toimenpiteestä, ei ainoa.

Mikä lasketaan vaihtoehtoisen todisteen: automatisoitu haavoittuvuuksien skannaus, patchausprosessi tai riskianalyysi, josta käy ilmi, että pentestia ei katsottu vielä tarpeelliseksi järjestelmöidesi laajuuden perusteella. Tarkista haavoittuvuuksien havaitsemista ja korjaamista koskevan prosessin kanssa onko sinulla jo jotain käynnissä — yleensä on, vaikka sitä ei kutsuttaisikaan "pentestiksi". Jos dossierassasi ei ole tätä todisteita, järjestelmä ei ehdota "kyllä": saat silloin kysymyksen, jossa ei ole vastausta, ja päätät itse, täytätkö "ei" vai laitetko ensin skannauksen käyntiin. Jotkut asiakkaat hyväksyvät sitoumuksen ("suunnitteilla Q-niin") välivastauksena; sen saat selville vasta lähettämisen jälkeen heidän portaalinsa kautta.

Missä tämä perustuu: 21 artiklan 2 kohta ja Liite A

Määräaikaisisen arvioinnin velvoite johtuu Direktiivin (EU) 2022/2555 21 artiklan 2 kohdasta, jossa vaaditaan "politiikkaa ja menettelyjä kyberturvallisuuden riskien hallinnan toimenpiteiden tehokkuuden arvioimiseksi" yhtenä kymmenestä toimenpiteestä — haavoittuvuuksien hallinnan rinnalla, ei sen sijaan. ISO/IEC 27001:n Liite A kehittää tätä eteenpäin teknisiä haavoittuvuuksia ja arviointia koskevissa hallintavälineissä ilman, että se nimeää pentestiä pakolliseksi välineeksi. Se, kuuluuko organisaatiosi suoraan NIS2:n velvoitteiden piiriin, riippuu alasta ja koosta — päätät sen erikseen tästä kysymyksestä riippumatta, esimerkiksi kysymys siitä, ovatko yrityksen itsensä NIS2:n soveltamisalalla.