klijent pita o rezultatima pentesta ali nikad nismo izvršili pentest

Nije provedena penetracijska provjera nije automatski ne

Penetracijska provjera — penetracijsku test, pri kojem osoba aktivno pokušava neovlašteno pristupiti vašim sustavima kako bi pronašla slaba mjesta — je jedan mogući test učinkovitosti, ali ne jedini. Članak 21. stavak 2. Direktive NIS2 traži "politiku i postupke za ocjenu učinkovitosti mjera", bez propisivanja penetracijske provjere. Također Prilog A norme ISO/IEC 27001 spominje upravljanje tehničkim ranjivostima i testiranje, ali ne forsira specifičnu metodu testiranja. Često možete iskreno popuniti "ne, još ne" bez da je to blokirajući odgovor — to je jedna od deset mjera, ne jedina.

Što broji kao alternativni dokaz: automatizirane skenove ranjivosti, proces zakrpljivanja ili analizu rizika koja pokazuje da penetracijska provjera nije bila potrebna s obzirom na obujam vaših sustava. Provjerite kod procesom za prepoznavanje i ispravljanje ranjivosti postoji li već nešto za to — često i postoji, čak i ako se ne zove "penetracijska provjera". Ako vaš dosje nema taj dokaz, sustav ne predlaže "da": tada dobijete pitanje s praznim odgovorom, i sami odlučujete popunit li "ne" ili prvo pokrenuti sken. Neki kupci prihvaćaju obavezu ("planira se u Q-toliko") kao privremeni odgovor; to znate tek nakon dostave njihovom portalu.

Na čemu se temelji: članak 21. stavak 2. i Prilog A

Obveza periodičkog testiranja proizlazi iz članka 21. stavka 2. Direktive (EU) 2022/2555, koja "politiku i postupke za ocjenu učinkovitosti mjera upravljanja rizicima od kibernetske sigurnosti" navodi kao jednu od deset mjera, usporedno — ne umjesto — upravljanja ranjivostima. ISO/IEC 27001 Prilog A to razrađuje u kontrolama vezanim uz tehničke ranjivosti i procjenu, bez da penetracijsku provjeru imenuje kao obavezni instrument. Jesu li vaša organizacija direktno obvezna prema NIS2 zavisit će od sektora i veličine — to određujete odvojeno od ovog pitanja, primjerice preko je li tvrtka sama podvrgnuta NIS2.