asiakas kysyy, olemme te äskettäin antaneet penetraatiotestin suorittaa

Penetraatiotesti on todiste testauksesta, ei erillinen kriteeri

Penetraatiotesti on yksi tapa osoittaa, että turvallisuutta testataan säännöllisesti, ei erillinen vaatimus sinänsä. Direktiivin (EU) 2022/2555 21 artiklan 2 kohdan f alakohta mainitsee "politiikat ja menettelytavat kyberturvallisuusriskinhallinnan toimenpiteiden tehokkuuden arvioimiseksi", ja penetraatiotesti on yksi tapa täyttää se rinnalla esimerkiksi haavoittuvuuksien skannauksella tai sisäisellä auditoinnilla. Jos kysymys nimenomaisesti pyytää penetraatiotestausta, voit vastata "kyllä" heti kun sinulla on testraportti, riippumatta siitä, miltä muut testaus- ja arviointiprosessit näyttävät.

Jos et ole toteuttanut penetraatiotestausta mutta sinulla on muita testaus- ja arviointimuotoja — ulkoinen tietoturva-auditointi, ISO 27001 -sertifikaatti ja siihen liittyvät sisäiset auditoinnit tai automatisoitu skannaus — "ei" on oikea vastaus nimenomaiseen kysymykseen, ja voit halutessasi antaa tarkennusta vaihtoehtoisista testauksista vapaassa tekstikentässä, jos sellainen on saatavilla. Älä valitse "kyllä", koska "teet jotakin testausta"; kysymys on riittävän täsmällinen, jotta sitä tulee käsitellä erillisenä faktana. Tämä aihe liittyy myös siihen, että toimenpiteiden tehokkuutta testataan säännöllisesti, ja usein myös haavoittuvuuksien havaitsemista ja korjaamista koskevan prosessin kanssasiihen, koska penetraatiotestit ja haavoittuvuuksien skannaukset käytännössä sekoitetaan usein toisiinsa, vaikka ne ovat kaksi eri toimenpidettä.

Mistä tämä löytyy: artiklan 21 kohdan 2 alakohdan f, Annex A

Direktiivin (EU) 2022/2555 21 artiklan 2 kohdan f alakohta velvoittaa "poliitikkoihin ja menettelytapoihin kyberturvallisuusriskinhallinnan toimenpiteiden tehokkuuden arvioimiseksi" ilman, että penetraatiotestia määrätään nimenomaisesti. ISO/IEC 27001:n Annex A kehittää tätä edelleen teknisten haavoittuvuuksien ja tietoturvan arvioinnin hallintoimenpiteissä, joissa penetraatiotesti sopii käytännön täyttämisenä mutta ei ole mainittu pakollisena välineenä. Kyberturvallisuuslaki ottaa tämän vaatimuksen käyttöön sen tullessa voimaan ilman, että se todennäköisesti sidotaan konkreettiseen testin tyyppiin.