az ügyfél penteszt eredményekre kérdez, de még sohasem végeztünk pentesztet

A pentest nem végzése nem automatikus nem válasz

A penetrációs teszt — egy penetrációs teszt, amelynek során valaki aktívan megpróbál behatni a rendszereibe a gyenge pontok megtalálásához — az egyik lehetséges hatékonyság tesztje, de nem az egyetlen. Az NIS2 21. cikk (2) bekezdése "a korrekciós intézkedések hatékonyságának értékelésére vonatkozó politikát és eljárásokat" kér, anélkül, hogy penetrációs tesztet előírna. Az ISO/IEC 27001 A melléklete is említi a technikai sebezhetőségek kezelését és tesztelést, de nem írja elő az adott tesztmódszert. Így gyakran őszintén kitöltheted a "nem, még nem" választ anélkül, hogy ez blokkoló válasz lenne — ez az egyik tíz intézkedésből, nem az egyetlen.

Az alternatív bizonyítékként számít: automatizált sebezhetőség-keresés, egy javítási folyamat, vagy egy kockázatelemzés, amely azt mutatja, hogy penetrációs teszt még nem volt szükséges a rendszered mérete miatt. Ellenőrizd a a sebezhetőségek felderítésére és elhárítására irányuló folyamattal vagy már van valami erre — gyakran igen, még akkor is, ha nem "pentest" a neve. Ha az adataid nem tartalmazzák ezt a bizonyítékot, a rendszer nem ajánl fel "igen"-t: egy üres válasszal kapod meg a kérdést, és te döntöd el, hogy "nem"-et írsz be, vagy előbb futtatnak egy vizsgálatot. Egyes ügyfelek köztes válaszként el tudnak fogadni egy ígéretet is ("Q-valamennyi során tervezett"); ezt csak az ő portáljukon történő bejelentés után tudod meg.

Ennek alapja: a 21. cikk 2. bekezdés és az A melléklet

A rendszeres értékelés feladata az (EU) 2022/2555 irányelv 21. cikkének 2. bekezdéséből következik, amely a tíz intézkedés egyikeként az "a kibervédelmi kockázatkezelési intézkedések hatékonyságának felmérésére vonatkozó irányelveket és eljárásokat" említi, az — nem helyett — az sebezhetőségi kezelés mellett. Az ISO/IEC 27001 A melléklet ezt kidolgozza a technikai sebezhetőségek körüli irányítási intézkedésekre és értékelésre, anélkül, hogy a penetráció tesztet kötelező eszközként nevezné meg. Az, hogy a szervezeted közvetlenül a NIS2-kötelezettségek alá esik-e, a szektor és a méret függvénye — ezt e kérdéstől függetlenül határozod meg, például: annak a kérdésnek, hogy a vállalkozás maga a NIS2 alá tartozik-e.