kupac pita jesmo li nedavno proveli test penetracije

Pentest je dokaz za testiranje, nije zaseban kriterij

Penetracijski test je jedan od načina da se pokaže kako se sigurnost periodički provjeravaju, a ne zaseban zahtjev sam po sebi. Članak 21 stavak 2 NIS2 nabraja pod točkom f "politike i postupci za procjenu učinkovitosti mjera", a pentest je jedan od mogućih primjera uz, primjerice, skeniranje ranjivosti ili internu reviziju. Ako se u pitanju doslovno traži pentest, možete odgovoriti s "da" čim imate izvještaj o testu, bez obzira kako izgleda ostatak vašeg procesa provjeravanja.

Ako niste proveli pentest ali imate druge oblike testiranja — vanjsku sigurnosnu reviziju, ISO 27001 certifikaciju s pripadajućim internim revizijama ili automatizirani pregled — tada je "ne" na doslovno postavljeno pitanje ispravan odgovor, eventualno s pojašnjenjem o alternativnom testiranju u polju za slobodan tekst ako postoji. Ne upisujte "da" zato što "nešto radite oko testiranja"; pitanje je dovoljno specifično da se tretira kao posebna činjenica. Ova tema se također čini pitanjem provjeravaju li se učinkovitost mjera periodički, i često i procesom za prepoznavanje i ispravljanje ranjivosti, jer se pentesti i skeniranja ranjivosti u praksi često međusobno miješaju iako su dvije različite mjere.

Gdje se to nalazi: članak 21 stavak 2 točka f, Prilog A

Članak 21 stavak 2 točka f Direktive (EU) 2022/2555 zahtijeva "politike i postupci za procjenu učinkovitosti mjera upravljanja kibernetičkim sigurnosnim rizicima", bez da specifično propisuje pentest. ISO/IEC 27001 Prilog A dalje razrađuje to u mjerama nadzora vezanim uz tehničke ranjivosti i procjenu sigurnosti informacija, gdje pentest može poslužiti kao praktična primjena ali se ne nabraja kao obavezni instrument. Zakon o kibernetskoj sigurnosti će preuzeti ovaj zahtjev kada stupi na snagu, za što se očekuje da neće vezati konkretan tip testiranja.