klient chce wiedzieć, jak często testujemy nasze systemy

Brak określonej częstotliwości

Nie ma liczby w tekście ustawy. Artykuł 21 ust. 2 dyrektywy NIS2 wymienia w punkcie f "politykę i procedury oceny skuteczności środków kontroli zarządzania ryzykiem cyberbezpieczeństwa" — test penetracyjny jest najbardziej konkretnym wypełnieniem tego, ale jak często musi się odbywać, pozostaje dla dyrektywy otwarte. Ustawa o cyberbezpieczeństwie, która ma transponować ten artykuł do polskiego prawa, przewidywalnie nie doda do tego ustalonego przedziału czasowego. Kwestionariusz twojego klienta wypełnia tę lukę samodzielnie: wiele formatów konkretnie pyta o "co najmniej raz rocznie" lub "po znaczących zmianach", ale to standard tego klienta, nie ustawy.

Tym, co możesz w praktyce wpisać, jest twój własny harmonogram, a nie harmonogram obowiązkowy. Testujesz rocznie, po każdym dużym wydaniu, czy tylko ad hoc po incydencie? Ta odpowiedź znajduje się zwykle jako oddzielny dokument w katalogu łańcucha — szukaj raportu z testu penetracyjnego lub jego streszczenia kierowniczego. Jeśli jeszcze nie masz ustalonej częstotliwości, "ad hoc, ostatnio przeprowadzono [data]" jest szczerszą odpowiedzią niż wymyślanie częstotliwości, której nie stosujesz. To pytanie często pojawia się w tym samym bloku co procesem identyfikacji i usuwania podatności — test penetracyjny to jeden ze sposobów na znalezienie podatności, skanowanie i polityka łatania to pozostałe.

ISO 27001 jako pośrednia opora

Kto ma certyfikat ISO 27001, zwykle już ustanowił poprzez środki Załącznika A wewnętrzną politykę okresowego testowania, w tym częstotliwość wybraną przez samą organizację przy ocenie ryzyka. To czyni pytanie o certyfikat ISO 27001 istotnym jako dowód uzasadniający: nie dlatego, że certyfikat nakazuje częstotliwość testów penetracyjnych, ale dlatego, że dowodzi on istnienia ustanowionej polityki testowania, z której można wyprowadzić tę częstotliwość.