mans apdrošinātājs vēlas redzēt penetrācijas testa ziņojumu, ko man jāiesniedz

Ko apdrošinātājs ar "pentesta atskaiti" nozīmē

Parasti apdrošinātājs nepieprasa pilnu tehnisko atskaiti, bet tikai kopsavilkumu: kāds bija testēšanas apjoms, kad, kurš to veica, un kādi bija atklājumi augstajā un vidējā līmenī. Izpilddirektora kopsavilkums ar datumu, testa biroju un uzraudzības statuss praksē bieži vien ir pietiekams. Pilno atskaiti ar detalizētu informāciju par ievainojumiem tu nosūti tikai tad, ja par to ir izteikta skaidra lūgums, un tad ir pamatoti pārbaudīt, kādu informāciju tu maskē, izmantojot konfidencialitātes pogu — apdrošinātājam ir interese par secinājumiem, nevis par pašiem tehniskajiem ievainojumiem.

Ja tu nesi veicis pentesta, tad "nē, vēl nav plānots" ir godīgāka atbilde nekā lauka atstāšana tukšu vai vecas atskaites sūtīšana no kādas citas sistēmas. Daudzi apdrošinātāji to jautā kā daļu no plašāka pārskatta par process vulnerabilitāšu atklāšanai un novēršanaipentests ir viens pierādījums, nevis viss atbilstības rādītājs. Ja pentests trūkst, bieži vien vēl var parādīt, vai tiek veikti skenēšana, kroplējuma datorēšanas politika vai cits atklāšanas process — tas arī tiek ņemts vērā, pat bez testu atskaites.

No kurienes tas nāk: 21. pants, 2. punkts un Pielikums A

Pats penetrācijas tests nav atsevišķa saistības pozīcija Direktīvas NIS2 21. panta 2. punktā; tas nosaka desmit pasākumu kategorijas, tostarp nedrošības aspektu apstrādi un pasākumu efektivitātes novērtēšanu. Penetrācijas tests ir viens no veidiem, kā pierādīt šo efektivitāti, piemēram, līdzās iekšējam auditam — skatīt arī vai drošības pasākumu efektivitāte tiek periodiski pārbaudītaPenetrācijas testēšana parādās arī ISO/IEC 27001 B pielikumā ne kā atsevišķs kontroles punkts; tas ietilpst tehnisko nedrošības aspektu vadības pasākumos. Apdrošinātāji bieži to prasa neatkarīgi no šīs tiesību aktu bāzes kā savu riska indikatoru, papildus likumiskajām vai normatīvajām prasībām — tas ir apdrošināšanas prakse, nevis NIS2 vai Kiberndrošības likumā noteikta tiesiska saistība.