ügyfelem azt kérdezi, hogy végeztetünk-e penetrációs tesztet, mit válaszoljak

A pentesztvizsgálat-jelentés bizonyíték, nem pedig önálló követelmény

A penetrációs teszt — egy olyan teszt, amelynek során valaki aktívan megpróbál behatolni a rendszereibe — a NIS2 21. cikkének 2. bekezdésében nem szerepel külön kötelező dokumentumként. Az ügyfél kérdése a kibertámadások elleni intézkedések hatékonyságának tesztelésére és értékelésére vonatkozó intézkedésre vonatkozik, és a pentesztvizsgálat-jelentés ennek a legkonkrétabb bizonyítéka. Ha van egyed, akkor a válasz általában igen. Ha még soha nem végeztettél pentesztvizsgálatot, akkor a válasz nem — és ez önmagában nem probléma, amíg máshol meg tudod mutatni, hogy rendszeres időközönként teszteled a biztonsági intézkedések hatékonyságát, például belső auditok vagy sebezhetőségi vizsgálatok révén.

A kitöltéskor ügyelj arra, hogy pontosan mit kérnek: magát a pentesztvizsgálat-jelentést, vagy csak a megerősítést, hogy történt-e teszt. Egyes portálok a jelentés mellékleteként kérik — ez más kérés, mint egy igen/nem-válaszú kérdés, és a jelentések gyakran tartalmaznak bizalmas technikai részleteket. Erre van a bizalmasság gomb: te döntöd el, hogy az teljes dokumentumot megosztod-e és kivel, függetlenül attól, hogy a válasz igen vagy nem. Ha volt pentesztvizsgálatod, de hiányzik a feltárt sebezhetőségek kezelésének összekapcsolása, ellenőrizd azt is, hogy az Ön sebezhetőségek felderítésére és kijavítására vonatkozó folyamata ehhez már hozzátartozik — sok ügyfél ugyanis ezt ugyanabban a részben kérdezi meg.

Ahol ez az ISO 27001 és az NIS2 szabályozásból következik

Az ISO/IEC 27001 A melléklete nem tartalmaz külön "pentest" ellenőrzési pontot, de a gyakorlatban a technikai sebezhetőségkezelésre és az információbiztonság független értékelésére vonatkozó kontrollintézkedéseket gyakran penteszt eredményekkel támasztják alá. A NIS2 21. cikk 2. bekezdése a tíz intézkedés között a politika tesztelését és értékelését, valamint a sebezhetőségek kezelését és nyilvánosságra hozatalát külön összetevőkként említi — egy penteszt jelentés általában az elsőnek szolgál bizonyítékul, és annak nyomon követése a másodiknak.