jautājumkopa jautā, vai mēs esam veikuši penetrācijas testu

Penetrācijas tests ir pierādījums pārbaudei, nevis atsevišķa prasība

Penetrācijas tests nav norādīts kā patstāvīga obligācija NIS2 21. panta 2. punktā. Jautājums pieder pie pasākuma (f): politika un procedūras, lai novērtētu drošības pasākumu efektivitāti. Penetrācijas tests ir viens veids, kā to pārbaudīt, līdzās piemēram ievainojamības skenēšanai vai iekšējai auditei. Ja klients īpaši pieprasa penetrācijas testu, viņš parasti vēlas zināt, vai kaut reiz ir veikta neatkarīga kontrole, lai pārliecinātos, ka tehniskie pasākumi tiešām darbojas, ne tikai teorētiski.

Ja esat veikusi penetrācijas testu, tad testa pārskats (vai kopsavilkums ar datumu, darbības jomu un konstatēto trūkumu novēršanu) ir pierādījuma dokuments. Ja to nav, tad "nē" ir godīgā atbilde — tas nav automātiska noraidīšana, jo īpaši pie mazākām piegādātājām bez obligātas statusu par ietilpstošu vienību saskaņā ar direktīvu. Svarīgāk nekā vārds "penetrācijas tests" ir jautājums, vai varat parādīt, ka esat periodiski pārbaudāt drošības pasākumu efektivitāti citā veidā, un vai tas ir saistīts ar notiekošu ievainojamības noteikšanas un novēršanas procesu. Tāpēc neaizpildiet "jā", ja nav pārskata, pat ja esat reizi palaizis skenēšanu — skenēšana un penetrācijas tests lielākajā daļā jautājumu sarakstu ir skaidri dažādi jautājumi.

Izcelsme: NIS2 21. panta 2. punkts un ISO 27001

Direktīvas (ES) 2022/2555 21. panta 2. punktā minētas "politika un procedūras, lai novērtētu kibersecuritya riska pārvaldības pasākumu efektivitāti" kā viena no desmit obligātajiem pasākumiem punktā (f); penetrācijas tests šeit ietilpst kā pārbaudes metode, bet netiek nosaukts. ISO/IEC 27001 I pielikums to tālāk izstrādā kontroles pasākumos par tehniskiem ievainojamības punktiem un neatkarīgu informācijas drošības novērtēšanu, kurā penetrācijas testi ir izplatīta prakse, bet ne obligāti. Kibersecuritya likums, Nīderlandes NIS2 pārraide, stājas spēkā 2026. gada 15. augustā un satur tos pašus desmit pasākumus; līdz tam direktīva pati ir vadlīnijas, kas jāievēro.