popis pitanja pita jesmo li proveli penetracijsku probu

Penetracijski test je dokaz, ne samostalan zahtjev

Penetracijski test — penetracijski test pri kojem netko aktivno pokušava provaliti u sustav — nije navedený kao zaseban obavezan element u nijednoj od deset mjera iz članka 21 stavak 2. Pitanje obično dolazi iz mjere o upravljanju rizicima i ranjevostima: kupac želi znati testirate li ili vašu sigurnost u praksi ustoji, ne samo na papiru. Isto se primjenjuje na ISO/IEC 27001: Prilog A ne navodi obavezan penetracijski test, već tehnički management ranjevosti, a penetracijski test je njegov najkonkretniji oblik koji revizori prepoznaju.

Ako nikada niste proveli penetracijski test, tada je "ne" ispravan odgovor — sugeriranje "da" bez izvještaja se ne može opravdati. Mnoga poduzeća popunjavaju ovo s onim što su učinila: skeniranjem ranjevosti, vanjskom revizijom ili kontinuiranim proces za otkrivanje i otklanjanje ranjivosti= Taj nije isti kao penetracijski test, ali pokazuje da nešto postoji. Hoćete li objasniti tu razliku kupcu prepušteno je vama; samno polje odgovora ostaje činjenično. Ako ste proveli penetracijski test, tada je izvještaj — ili sažetak istoga — dokument koji ide uz "da", eventualno s gumbom povjerljivosti ako ne želite dijeliti detalje.

Odakle je ovo došlo: članak 21 i Prilog A

Članak 21 stavak 2 Direktive (EU) 2022/2555 navodi upravljanje ranjevostima i ocjenu učinkovitosti mjera kao obavezne dijelove, bez propisivanja penetracijskog testa kao metode. Zakon o kibernetskoj sigurnosti preuzima tu obvezu čim stupи u snagu. ISO/IEC 27001 Prilog A razvija ovo dalje prema mjerama kontrole za tehnički management ranjevosti, gdje penetracijski test pada kao uobičajena praksa. Tko može dokazati da djelotvornost mjera zaštite povremeno provjeravana često će već imati dio odgovora, čak i bez da se riječ penetracijski test pojavljuje u vlastitoj datoteci.