Az ügyfelem azt kérdezi, hogy végeztetünk-e nemrég penetrációs tesztet

A penetrációs teszt a tesztelés bizonyítéka, nem önálló kritérium

A penetrációs teszt az egyik módja annak, hogy igazoljuk: a biztonság rendszeres időközönként tesztelt, nem önálló követelmény. A NIS2 2. cikk 2. bekezdésének f) pontja az "intézkedések hatékonyságának értékelésére vonatkozó irányelveket és eljárásokat" nevezi meg, és a penetrációs teszt ennek egyik megvalósítási módja, amely mellett például a sebezhetőség-vizsgálat vagy a belső audit is lehetséges. Ha a kérdés szó szerint penetrációs tesztet kér, akkor már "igen" válasszal válaszolhatsz, amint van egy tesztjelentésed, függetlenül attól, hogy a többi tesztfolyamatod hogyan néz ki.

Ha nem végeztettél penetrációs tesztet, de más tesztelési formákat alkalmaztál — külső biztonsági auditot, ISO 27001-tanúsítványt a kapcsolódó belső auditokkal, vagy automatizált vizsgálatot — akkor a szó szerinti kérdésre adott "nem" a helyes válasz, szükség esetén tájékoztatással az alternatív tesztelésről a szabad szövegmezőben, ha az rendelkezésre áll. Ne válaszolj "igen"-nel, mert "valamit teszel a tesztelés terén"; a kérdés elég konkrét ahhoz, hogy önálló tényként kezelendő. Ez a téma továbbá kapcsolódik az intézkedések hatékonyságát rendszeres időközönként tesztelik-e, és gyakran azt is érinti a sebezhetőségek felderítésére és elhárítására irányuló folyamattal, mert a penetrációs tesztek és a sebezhetőség-vizsgálatok a gyakorlatban gyakran keverednek, noha két különböző intézkedésről van szó.

Ahol ez szerepel: a Szabályzat 21. cikk 2. bekezdésének f) pontja, A melléklet

Az (EU) 2022/2555 Irányelv 21. cikk 2. bekezdésének f) pontja előírja a "kiberbiztonsági kockázatkezelési intézkedések hatékonyságának értékelésére vonatkozó irányelveket és eljárásokat", anélkül, hogy kifejezetten penetrációs tesztet írna elő. Az ISO/IEC 27001 A melléklete ezt továbbfejleszti a technikai sebezhetőségekre és az információbiztonság értékelésére vonatkozó felügyeleti intézkedésekben, ahol a penetrációs teszt gyakorlati megvalósításként illeszkedik, de nem kötelező eszközként szerepel. A Kiberbiztonsági Törvény ezt a követelményt átveszi, amint hatályba lép, anélkül, hogy várhatóan konkrét teszttípushoz kötnék.