klients uzdod jautājumu par penetrācijas testa rezultātiem, bet mēs nekad neesam veikuši penetrācijas testu

Penetrācijas testa veikšanas neesamība nav automātisks nē

Penetrācijas tests — penetrācijas tests, kurā kāds aktīvi mēģina iebruņoties jūsu sistēmās, lai atrastu vājās vietas — ir viena iespēja efektivitātes pārbaude, bet ne vienīgais. NIS2 21. panta 2. punkts prasa "politiku un procedūras, lai novērtētu pasākumu efektivitāti", bez penestrācijas testa uzlikšanas. Arī ISO/IEC 27001 A pielikums minēs tehniskā ievainojamības pārvaldīšanu un pārbaudi, bet neuzspiež specifiskas testa metodes. Tādēļ jūs bieži varat godīgi aizpildīt "nē, vēl ne" bez bloķējošas atbildes — tas ir viens no desmit pasākumiem, nevis vienīgais.

Kas skaitās kā alternatīvs pierādījums: automatizētas ievainojamības skenēšana, labošanas process vai riska analīze, kas parāda, ka penestrācijas tests vēl netika uzskatīts par nepieciešamu, ņemot vērā jūsu sistēmu apjomu. Pārbaudiet pie procesu, lai identificētu un novērstu ievainojamības vai jums jau ir kaut kas šajā virzienā - bieži vien jau ir, pat bez tā, ka to sauc par "pentest". Ja jūsu dossejā nav šāda pierādījuma, sistēma neieteiks "jā": jūs saņemsiet jautājumu ar tukšu atbildi, un paši nolemjat, vai ievadāt "nē" vai vispirms palaidīsiet skenēšanu. Daži klienti pieņem apņemšanos ("plānots Q-tik") kā starpposma atbildi; to uzzināsiet tikai pēc iesniegšanas viņu portālā.

Uz ko tas balstās: 21. panta 2. punkts un Pielikums A

Periodiskas pārbaudes pienākums izriet no Direktīvas (ES) 2022/2555 21. panta 2. punkta, kurā "kiberdrošības riska vadības pasākumu efektivitātes novērtēšanas politika un procedūras" tiek minētas kā viens no desmit pasākumiem, līdzās — nevis vietā — ievainojamību vadībai. ISO/IEC 27001 Pielikums A to detalizē vadības pasākumos, kas attiecas uz tehniskajām ievainojamībām un novērtēšanu, neminot penetrācijas testu kā obligātu instrumentu. Tas, vai jūsu organisācija ietilpst tieši NIS2 pienākumos, ir atkarīgs no nozares un lieluma — to nosaka atsevišķi no šī jautājuma, piemēram, caur jautājums par to, vai uzņēmums pats pakļauts NIS2.