klients vēlas zināt, cik bieži mēs testējam mūsu sistēmas

Nav noteiktā frekvence neprescribed

Likuma tekstā nav norādīts skaitlis. NIS2 Direktīvas 21. panta 2. punkts f apakšpunktā minēts "politika un procedūras kiberspiegu riska pārvaldības uzraudzības pasākumu efektivitātes novērtēšanai" — penetrācijas tests ir to konkrētākais ieviesums, bet cik bieži tam jānotiek, direktīva norāda atvērti. Kiberspiegu drošības likums, kas šo pantu drīzumā transponēs Latvijas likumdošanā, pēc paredzamiem apstākļiem tur fiksētu intervālu nepievienos. Tavas klienta jautājumu vēstulē tas atstarpe tiek aizpildīta patstāvīgi: daudzi formāti konkrēti prasa "vismaz gadā vienu reizi" vai "pieņemot nozīmīgas izmaiņas", bet tas ir tava klienta norma, nevis likuma norma.

Tas, ko praksē vari aizpildīt, ir savs ritms, nevis obligāts ritms. Testē jaarlijks, po każdej dużej aktualizacji, czy tylko ad hoc po incydencie? Tas atbild, ar dati un pēdējā testa darbības jomu, parasti atrodas kā atsevišķs dokuments ķēdes mapē — meklē penetrācijas testa atskaiti vai tā vadības kopsavilkumu. Ja tev vēl nav noteiktas frekvences, tad "ad hoc, pēdējoreiz veikts [datums]" ir godīgāks atbilde nekā izdomāt frekvenci, kuru neievēro. Šis jautājums bieži atrodas tajā pašā blokā kā procesu, lai identificētu un novērstu ievainojamības — penetrācijas tests ir viens veids, kā atrast ievainojamības, skenēšana un labojumu politika ir pārējie.

ISO 27001 kā netiešs balsts

Kurš ir sertificēts pēc ISO 27001, ir caur Annex A pasākumiem parasti jau noteikuši iekšējo periodisku pārbaudes politiku, tostarp frekvenci, ko pati organizācija izvēlējusies riska novērtēšanas laikā. Tas padara jautājumu par ISO 27001 sertifikātu attiecīgu kā pamatdokumentāciju: nevis tāpēc, ka sertifikāts uzliek pentest-frekvenci, bet tāpēc, ka tas parāda, ka pastāv noteikta pārbaudes politika, no kuras šo frekvenci var secināt.