klijent želi znati koliko često testiramo naše sustave

Nema propisane fiksne frekvencije

Nema broja u zakonskom tekstu. Članak 21. stavak 2. NIS2 navodi pod točkom f "politike i postupke za vrednovanje učinkovitosti mjera za upravljanje kibernetičkim rizicima" — penetracijski test je najkonkretnije ispunjavanje toga, ali koliko često to mora biti učinjeno, direktiva ostavlja otvorenim. Zakon o kibernetskoj sigurnosti koji će uskoro prenijeti ovaj članak u hrvatsko pravo vjerojatno neće dodati fiksni interval. Popis pitanja tvoga klijenta sam popunjava taj jaz: mnogi formati konkretno pitaju za "najmanje godišnje" ili "kod značajnih promjena", ali to je norma toga klijenta, nije norma zakona.

Ono što u praksi možeš ispuniti je tvoj vlastiti ritam, nije obavezan ritam. Testiiraš li godišnje, nakon svakog većeg izdanja ili samo ad hoc nakon incidenta? Taj odgovor stoji, s datumom i opsegom posljednjeg testa, obično kao zaseban dokument u datoteci lancca — traži penetracijski test ili njegov popis upravljanja. Nemaš li još fiksne frekvencije, tada je "ad hoc, zadnje izvršeno [datum]" ponosniji odgovor nego izmisliti frekvenciju koju ne poštuješ. Ovo pitanje se često nalazi u istom bloku kao procesom za prepoznavanje i ispravljanje ranjivosti — penetracijski test je jedan način pronalaženja vulnerabilnosti, skeniranje i politika zakrpa su ostali.

ISO 27001 kao indirektan oslonac

Tko je certificiran prema ISO 27001, obično je preko mjera Dodatka A uspostavio internu politiku za periodičko testiranje, uključujući frekvenciju koju je organizacija sama odabrala pri procjeni rizika. To čini pitanje o ISO 27001 certifikatu relevantnim kao dokaz u pozadini: ne zato što certifikat propisuje frekvenciju penetracijskih testova, već zato što pokazuje da postoji uspostavljena politika testiranja iz koje se ta frekvencija može zaključiti.