a kérdőív azt szeretné tudni, végeztek-e penetrációs tesztet

A penetrációs teszt bizonyíték, nem önálló követelmény

A penetrációs teszt — egy penetrációs vizsgálat, amelynek során valaki aktívan megpróbál behatolni egy rendszerbe — nem szerepel a 21. cikk 2. bekezdésének tíz intézkedménye között külön kötelező elemként. A kérdés általában a kockázatkezelésre és a sebezhetőségekre vonatkozó intézkedésből adódik: az ügyfél azt szeretné tudni, hogy teszteled-e vagy működik-e a biztonságod a gyakorlatban, nem csak papíron. Ugyanez vonatkozik az ISO/IEC 27001 szabványra is: a Melléklet A nem említi a kötelező penetrációs tesztet, de a technikai sebezhetőség-kezelést igen, és a penetrációs teszt ennek a legtöbb konkrét megvalósulása, amelyet az auditorok felismernek.

Ha soha nem végzettél penetrációs tesztet, akkor az "nem" a helyes válasz — nem lehet indokolni egy "igen" válasznak a jelentés nélküli előterjesztését. Sok vállalat ezt azzal tölti ki, amit valóban tettek: egy sebezhetőség-vizsgálat, egy külső audit vagy egy folyamatban lévő sebezhetőségek felderítésének és orvoslásának folyamatát. Ez nem ugyanaz, mint egy penetrációs teszt, de azt mutatja, hogy van valami. Hogy ezt a különbséget megmagyarázod-e az ügyfélnek, az rajtad múlik; a válasz mező maga tény marad. Ha végzettél penetrációs tesztet, akkor a jelentés — vagy annak egy összefoglalása — az a bizonyíték, amely egy "igen" válaszhoz tartozik, szükség esetén a titoktartás-gombbal, ha nem szeretnéd megosztani a részleteket.

Honnan származik ez: a 21. cikk és a Melléklet A

Az (EU) 2022/2555 irányelv 21. cikk 2. bekezdése a sebezhetőség-kezelést és az intézkedések hatékonyságának felmérését kötelező elemeknek nevezi meg, anélkül, hogy a penetrációs tesztet módszerként előírná. A Cyberbeveiligási törvény ezt a kötelezettséget átveszi, amint az hatályba lép. Az ISO/IEC 27001 Melléklet A ezt tovább fejleszti a technikai sebezhetőség-kezelésre vonatkozó irányítási intézkedések alatt, ahol a penetrációs teszt bevett gyakorlatnak számít. Az a személy, aki azt tudja bizonyítani, hogy a biztonsági intézkedések hatékonyságának időszakos ellenőrzése gyakran már részben jelen van, még akkor is, ha a penetrációs teszt szó nem szerepel a saját dossziéban.