il cliente vuole sapere con che frequenza facciamo testare i nostri sistemi

Nessuna frequenza fissa prescritta

Non c'è alcun numero nel testo normativo. L'articolo 21 comma 2 NIS2 menziona al punto f "politiche e procedure per valutare l'efficacia delle misure di gestione della gestione dei rischi di cibersicurezza" — un penetration test è l'applicazione più concreta di ciò, ma la frequenza con cui deve accadere è lasciata aperta dalla direttiva. Anche la Legge sulla cibersicurezza, che trasformerà questo articolo nel diritto olandese, non dovrebbe aggiungere un intervallo fisso. Il questionario del tuo cliente riempie quel vuoto da solo: molti formati chiedono esplicitamente "almeno annualmente" o "in caso di modifiche significative", ma questo è lo standard di quel cliente, non della legge.

Ciò che puoi applicare nella pratica è quindi il tuo ritmo personale, non un ritmo obbligatorio. Eseguisci i test annualmente, dopo ogni release importante, o solo ad hoc dopo un incident? Questa risposta si trova di solito, con data e ambito dell'ultimo test, come documento separato nel fascicolo di catena — cercate il rapporto di penetration test o il relativo riassunto esecutivo. Se non hai ancora una frequenza fissa, allora "ad hoc, ultimo eseguito il [data]" è una risposta più corretta che inventarsi una frequenza che non rispetti. Questa domanda si trova spesso nello stesso blocco di il processo di identificazione e correzione delle vulnerabilità — un penetration test è un modo per trovare vulnerabilità, la scansione e la politica di patching sono gli altri.

ISO 27001 come supporto indiretto

Chi è certificato ISO 27001 ha generalmente stabilito una politica interna tramite le misure dell'Allegato A per test periodici, compresa la frequenza che l'organizzazione stessa ha scelto nella valutazione del rischio. Questo rende la domanda sul certificato ISO 27001 pertinente come prova di supporto: non perché il certificato prescriva una frequenza di penetration test, ma perché dimostra che esiste una politica di test stabilita dalla quale derivare quella frequenza.