klient pyta, czy przeprowadziliśmy test penetracyjny, co powinienem odpowiedzieć

Raport z testu penetracyjnego to dowód, nie osobne wymaganie

Test penetracyjny — penetration test, podczas którego ktoś aktywnie próbuje włamać się do twoich systemów — nie wymieniony jest nigdzie jako osobny dokument obowiązkowy w artykule 21 ust. 2 dyrektywy NIS2. Pytanie twojego klienta mieści się w ramach środka dotyczącego testowania i oceny skuteczności cyberbezpieczeństwa, a raport z testu penetracyjnego jest najkonkretniejszym dowodem, jaki do tego istnieje. Jeśli go posiadasz, odpowiedź zwykle brzmi tak. Jeśli nigdy nie przeprowadziłeś testu penetracyjnego, odpowiedź brzmi nie — i to samo w sobie nie stanowi problemu, pod warunkiem że możesz wykazać gdzie indziej, że okresowo poddajesz skuteczność środków bezpieczeństwa badaniuna przykład poprzez audyty wewnętrzne lub skanowanie podatności.

Zwróć uwagę przy wypełnianiu na to, co dokładnie się prosi: sam raport z testu penetracyjnego, czy tylko potwierdzenie, że testowanie się odbywa. Niektóre portale żądają raportu jako załącznika — to inne życzenie niż pytanie tak/nie, a raporty zawierają często wrażliwe szczegóły techniczne. Do tego służy przycisk poufności: sam decydujesz, czy i z kim udostępniasz pełny dokument, niezależnie od tego, czy odpowiedź brzmi tak czy nie. Jeśli miałeś test penetracyjny, ale brakuje powiązania z podejmowaniem działań wobec znalezionych podatności, sprawdź również, czy proces wykrywania i usuwania podatności tam już się znajduje — wielu klientów pyta to mianowicie w tej samej sekcji.

Gdzie wynika to z ISO 27001 i NIS2

Załącznik A do ISO/IEC 27001 nie zawiera osobnego punktu kontrolnego "test penetracyjny", ale praktycznie środki kontrolne dotyczące zarządzania podatnościami technicznymi i niezależnej oceny bezpieczeństwa informacji są często wspierane wynikami testów penetracyjnych. Dyrektywa NIS2, artykuł 21 ust. 2, wymienia wśród dziesięciu środków zarówno testowanie i ocenę polityk, jak i zarządzanie podatnościami i ich ujawnianie jako oddzielne elementy — raport z testu penetracyjnego zwykle służy jako dowód przy pierwszym, a jego następstwa przy drugim.