az ügyfél azt kérdezi, végeztetünk-e már penetrációs tesztet, mit mondjak

A penetrációs teszt az értékelésbe tartozik, nem egy külön rubrikába

A penetrációs teszt (penetrációs teszt) az intézkedések hatékonyságának igazolásának egyik módja — nem önálló követelmény. A kérdés az intézkedések hatékonyságának periodikus értékeléséről szóló tágabb ponthoz tartozik az intézkedések hatékonyságának időszakos értékelése. Ha az elmúlt évben külső fél által végzett penetrációs tesztet hajtattál végre, akkor igennel válaszolsz, és bizonyítékként benyújtod a jelentést vagy a vezetői összefoglalót. Egyes ügyfelek csak a teszt dátumát és hatókörét szeretnék látni, nem magukat a feltárt sebezhetőségeket — ehhez az portálon használhatod a bizalmasság gombot, ha ez az opció rendelkezésre áll.

Ha nem végeztettél penetrációs tesztet, akkor a "nem" a helyes válasz — nem "igen" valami másra való hivatkozással. A sebezhetőségi vizsgálat, a belső kódátvizsgálat vagy az ISO 27001-tanúsítás nem helyettesítik a penetrációs tesztet, még akkor sem, ha ugyanaz a téma érintett. Ha viszont rendszeresen sebezhetőségeket azonosítasz és szüntetetsz meg más úton keresztül ezt a szabad szövegmezőben megtudod indokolni, de ez kiegészítés, nem a pentest-kérdésre adott helyettesítő "igen". Ha bizonytalannak érzed, hogy a tesztjelentésed már túl régi-e ahhoz, hogy érvényes legyen, akkor a legbiztonságosabb választás az, hogy ezt az indoklásban említed meg, ahelyett, hogy elhagyod.

Ezek forrása: a 21. cikk (2) bekezdése és az A melléklet

Az NIS2-irányelv (2022/2555 EU irányelv) 21. cikk (2) bekezdése a tíz intézkede között kifejezetten felsorolja a kiberbiztonsági intézkedések hatékonyságának tesztelését és értékelését; a pentest ennek legkonkrétabb megvalósítási formája. Az ISO/IEC 27001 Annex A ezt a technikai sebezhetőség-kezelésre vonatkozó ellenőrzési intézkedéshez és az információbiztonság független értékeléséhez kapcsolja. A Cyberbeveiligingswet, az NIS2 holland átültetése, amely 2026. augusztus 15-én lép hatályba, ezt az előírást rögzíti a törvény hatálya alá tartozó entitások számára — így ügyfeled képviselője valószínűleg ilyen kötelezett fél, és ezért vizsgáld meg, hogy a vállalkozás maga az NIS2 vagy annak nemzeti átültetése alá tartozik annak megértéséhez, hogy ez a kérdés miért szerepel egyáltalán a listán.