vakuuttajani haluaa nähdä penetraatiotestiraportin, mitä minun on toimitettava

Mitä vakuutusyhtiö "penetraatiotestiraportilla" tarkoittaa

Yleensä vakuutusyhtiö ei pyydä täydellistä teknistä raporttia, vaan yhteenvetoa: mikä oli testattava alue, milloin, kuka testasi ja mitä löydöksiä oli korkean ja keskitason tasolla. Johtopäätelmien yhteenveto, jossa mainitaan päivämäärä, testilaboratorio ja korjaavien toimenpiteiden status, on käytännössä usein riittävä. Täydellisen raportin, jossa on hyväksikäyttötiedot, lähetät vain, jos sitä nimenomaisesti pyydetään, ja tällöin on järkevää tarkastaa, mitä suojaat salassapitopainikkeella — vakuutusyhtiöllä on intressi johtopäätöksiin, ei teknisiin haavoittuvuuksiin itseensä.

Jos et ole suorittanut penetraatiotestausta, "ei, ei ole vielä suunniteltu" on rehellisempi vastaus kuin kentän jättäminen tyhjäksi tai vanhan raportin lähettäminen toisesta järjestelmästä. Monet vakuutusyhtiöt kysyvät tätä osana laajempaa kuvaa prosessi haavoittuvuuksien tunnistamiselle ja korjaamiselle: penetraatiotesti on siinä yksi todiste, ei koko vastaus. Jos penetraatiotesti puuttuu, voidaan usein silti osoittaa, että skannauksia, päivityskäytäntöjä tai muita havaitsemisprosesseja on käytössä — sekin vaikuttaa, vaikka testiraporttia ei olisikaan.

Missä tämä tulee: artikla 21 luku 2 ja Liite A

Penetraatiotesti sinänsä ei ole erillinen velvoite NIS2-direktiivin 21 artiklan 2 kohdassa; siinä mainitaan kymmenen toimenpideryhmää, mukaan lukien haavoittuvuuksien käsittely ja turvatoimien tehokkuuden arviointi. Penetraatiotesti on yksi tapa osoittaa tämä tehokkuus, esimerkiksi sisäisen tarkastuksen rinnalla — katso myös tai turvatoimien tehokkuutta arvioidaan säännöllisestiISO/IEC 27001 Annex A:ssa penetraatiotestausta ei myöskään ole erillisenä valvontapisteenä; se kuuluu tekniikan haavoittuvuuksien hallintaa koskeviin turvatoimiin. Vakuutusyhtiöt pyytävät sitä näistä säännöksistä riippumatta usein omana riskinilmaisijana laillisten tai normatiivisten vaatimusten ohella — tämä on vakuutuskäytäntö, ei NIS2:sta tai kybertietoturvalaista johtuva laillinen velvoite.