klient pyta o wyniki testów penetracyjnych, ale nigdy nie przeprowadzaliśmy testu penetracyjnego

Brak przeprowadzonego pentesta to nie automatyczne „nie

Pentest — test penetracyjny, w którym ktoś aktywnie próbuje włamać się do twoich systemów, aby znaleźć słabe punkty — to jedna z możliwości test skuteczności, ale nie jedynym. Artykuł 21 ust. 2 NIS2 wymaga "polityki i procedur oceny skuteczności środków", bez nakazywania testu penetracyjnego. Również Załącznik A normy ISO/IEC 27001 wymienia zarządzanie podatnościami technicznymi i testowanie, ale nie narzuca żadnej konkretnej metody testowania. Możesz zatem często uczciwie wypełnić "nie, jeszcze nie" bez że będzie to odpowiedź blokująca — jest to jedno z dziesięciu środków, nie jedynym.

Co liczy się jako alternatywne dowody: zautomatyzowane skanowanie podatności, proces łatania, lub analiza ryzyka wykazująca, że test penetracyjny nie był jeszcze uważany za konieczny ze względu na skalę twoich systemów. Sprawdź u procesem identyfikacji i usuwania podatności czy już coś w tym kierunku robisz — często tak, nawet jeśli nie nosi to nazwy "pentest". Jeśli twój dossier nie zawiera tego dowodu, system nie proponuje "tak": otrzymujesz wtedy pytanie z pustą odpowiedzią, a sam decydujesz, czy wpiszesz "nie" czy najpierw uruchomisz skan. Niektórzy klienci akceptują zobowiązanie ("planowane w Q-tyle") jako odpowiedź pośrednią; dowiesz się tego dopiero po przesłaniu do ich portalu.

Podstawa prawna tego: artykuł 21 ust. 2 i Załącznik A

Obowiązek okresowego testowania wynika z artykułu 21 ust. 2 Dyrektywy (UE) 2022/2555, która wymienia "politykę i procedury oceny skuteczności środków zarządzania ryzykiem cyberbezpieczeństwa" jako jeden z dziesięciu środków, obok — a nie zamiast — zarządzania lukami w zabezpieczeniach. ISO/IEC 27001 Załącznik A rozwija to w środkach kontrolnych dotyczących technicznych luk w zabezpieczeniach i oceny, bez wskazania pentesta jako obowiązkowego narzędzia. To, czy twoja organizacja podlega bezpośrednim obowiązkom NIS2, zależy od sektora i wielkości — określasz to niezależnie od tego pytania, na przykład poprzez kwestii, czy przedsiębiorstwo samo podlega NIS2.