klientas paklausimas, ar mes neseniai leidome atlikti penetracinį testą

Penetracinis testas yra įrodymas atliekant testą, o ne atskiras kriterijus

Penetracinis saugumo testas yra vienas iš būdų parodyti, kad saugumas yra periodiškai tikrinamas, o ne atskiras reikalavimas savaime. NIS2 direktyvos 21 straipsnio 2 dalies f punkte nurodoma "politika ir procedūros priemonių veiksmingumo vertinimui", o penetracinis testas yra vienas iš šio reikalavimo įgyvendinimo būdų, be kita ko, kartu su kitu žalingų programų skleidimu ar vidinių auditų atlikimu. Jei klausime tiesiogiai prašoma penetracinio testo, galite atsakyti "taip" tuomet, kai turėsite testo ataskaitą, nepaisant to, kaip atrodo likusi jūsų tikrinimo procedūra.

Jei nepavedei pentracinį testą atlikti, bet atlikaite kitas tikrinimo formas — išorinį saugumo auditą, ISO 27001 sertifikavimą su juo susijusiais vidiniais auditais arba automatizuotą skenavimą — tada "ne" atsakyti į tiesiogiai iškeltą klausimą yra teisingas atsakymas, galimas ir trumpas paaiškinimas apie alternatyvų tikrinimą laisvos tekstinės formos lauke, jei toks laukas yra. Nenurodykit "taip" tik dėl to, kad "atliekate ką nors dėl tikrinimo"; klausimas yra pakankamai konkretus, kad būtų traktuojamas kaip atskiras faktas. Šis dalykas taip pat paliečia klausimą, ar priemonių veiksmingumas yra periodiškai tikrinamas, ir dažnai taip pat pažeidžiamumų nustatymo ir šalinimo procesą, nes pentestas ir jautrumų skenavimas praktiškai dažnai paprašomi vienas po kito, nors tai yra dvi skirtingos priemonės.

Šis reikalavimas nurodomas: 21 straipsnio 2 dalis f punktas, A priedas

Direktyvos (ES) 2022/2555 21 straipsnio 2 dalies f punkte reikalaujama "nustatyti politiką ir procedūras, skirtas kibernetinio saugumo rizikos valdymo priemonių veiksmingumui įvertinti", nepaskirtai reikalaudama atlikti pentestą. ISO/IEC 27001 A priedas tai detalizuoja toliau, nagrinėdamas kontrolines priemones, susijusias su techniniais jautrumais ir informacijos saugumo vertinimu, kur pentestas gali būti praktinis įgyvendinimas, tačiau nėra nurodomas kaip privalomas įrankis. Kibernetinio saugumo įstatymas perimti šį reikalavimą jį įsigaliojus, ir iš esmės neturėtų susieti to su konkrečiu bandymo tipu.