időszakonként tesztelik-e a biztonsági intézkedések hatékonyságát?

A tesztelés maga a intézkedés része, nem külön válaszmező

Igen, a legtöbb esetben igen — de nem önálló kérdésként, mivel az NIS2 21. cikkének 2. bekezdése a politika és eljárások jellemzőjeként fogalmazza meg, nem külön tesztkövetelményként. Az (a) pont, a kockázatelemzés politikája és az információs rendszerek biztonsága, valamint a (b) pont, az incidenslekezelés esetén az időszakos értékelés része annak, amit az "megfelelő" politika normálisan magában foglal. Aki meg tudja mutatni, hogy az intézkedéseket rendszeres időközönként felülvizsgálják — egy incidens után, egy penetráció tesztután, egy auditálási megállapítás után — teljesíti, amit az ügyfél ezzel a kérdéssel valójában látni akar: egy működő szervezetrendszert, nem egy pillanatfelvételt egyetlen irányítási dokumentumból.

Ha a vállalkozás ISO 27001 tanúsított akkor ez általában a legegyszerűbb bizonyíték: a norma maga követeli az internas auditokat és a vezetői felülvizsgálatot, és ezek a dokumentumok közvetlenül azt mutatják, hogy tesztelés történik. Tanúsítás nélkül ugyanez igazolható lehet egy behatolási teszt jelentésével, egy belső értékelés feljegyzésével vagy olyan jegyzőkönyvvel, amelyben a biztonsági intézkedéseket megvitatták és módosították. Ha minden ilyen bizonyíték hiányzik, akkor az "nem" vagy "fejlesztés alatt" őszintébb válasz, mint egy igen bizonyíték nélkül — különösen azért, mert ezt a kérdést gyakran a kockázatelemzésre vonatkozó politikakérdéssel együtt teszik fel, és a két válasz közötti ellentmondás szembetűnő az ügyfél számára, aki mindkettőt olvassa.

Ahol ez az irányelvben szerepel: 21. cikk 2. bekezdés

Az NIS2 21. cikkének 2. bekezdése tíz kategóriájú intézkedést sorol fel, amelyeknek "megfelelőnek és arányosnak" kell lenniük, és az irányelv indokolása az arányosságot a kockázatértékelés folyamatos folyamatához köti — nem az egyszeri bevezetéshez. Az "időszakos tesztelés a hatékonyságra" mint külön önálló kötelezettség nem jelenik meg kifejezetten; az az (a) pont kockázatelemzés politikája és a (b) pont incidenslekezelés kombinációjából következik, ahol az incidensekből tanult leckék és az időszakos kockázatértékelés logikusan az intézkedések felülvizsgálatához vezetnek. A pontos szövegért az eredeti irányelv a referenciaforráss, amelyre vissza kell térni.