klients vaicā, vai mēs nesen esam veikuši penetrācijas testu

Penetrācijas tests ir pierādījums testēšanai, nevis atsevišķs kritērijs

Penetrācijas tests ir viens no veidiem, kā pierādīt, ka drošība tiek testēta periodiski, nevis atsevišķa prasība pati par sevi. Direktīvā (ES) 2022/2555 21. panta 2. punkta f apakšpunktā minēts "politika un procedūras, lai novērtētu pasākumu efektivitāti", un penetrācijas tests ir viens no veidiem, kā to īstenot, līdzās piemēram, nedrošības skenēšanai vai iekšējai revīzijai. Ja jautājums tieši prasa penetrācijas testu, varat atbildēt ar "jā", tiklīdz jums ir testa pārskata, neatkarīgi no tā, kā izskatās pārējais jūsu testēšanas process.

Ja neesat veicis penetrācijas testu, bet jums ir citas testēšanas formas — ārējā drošības revīzija, ISO 27001 sertifikācija ar atbilstošajām iekšējām revīzijām vai automatizēta skenēšana — tad "nē" uz tiešo jautājumu ir pareizā atbilde, iespējams ar skaidrojumu par alternatīvo testēšanu brīvā teksta laukā, ja tāds lauks ir. Neaizpildiet "jā", jo jūs "kaut ko darāt par testēšanu"; jautājums ir pietiekami konkrēts, lai to uzskatītu par atsevišķu faktu. Šis temats attiecas arī uz jautājumu, vai pasākumu efektivitāte tiek periodiski testēta, un bieži arī uz procesu, lai identificētu un novērstu ievainojamības, jo penetrācijas testi un nedrošības skenēšana praksē bieži tiek sajaukti, lai gan tie ir divi dažādi pasākumi.

Kur tas atrodas: Direktīvas (ES) 2022/2555 21. panta 2. punkta f apakšpunkts, Annex A

Direktīvas (ES) 2022/2555 21. panta 2. punkta f apakšpunkts prasa "politiku un procedūras, lai novērtētu kiberbezpeķības risko pārvaldības pasākumu efektivitāti", neminot penetrācijas testu konkrēti. ISO/IEC 27001 Annex A to turpina ar kontroles pasākumiem attiecībā uz tehniskajām nedrošībām un informācijas drošības novērtēšanu, kur penetrācijas tests iederas kā praktiska īstenošana, bet nav minēts kā obligāts instruments. Kiberbezpeķības likums pārņems šo prasību, kad tas stāsies spēkā, un, iespējams, to nekopulēs ar konkrētu testēšanas tipu.