lista pytań pyta, czy przeprowadziliśmy test penetracyjny

Test penetracyjny jest dowodem, a nie wymogiem samodzielnym

Test penetracyjny — test penetracji, podczas którego ktoś aktywnie próbuje włamać się do systemu — nie znajduje się w żadnym z dziesięciu środków z artykułu 21 ust. 2 jako oddzielnie obowiązkowy element. Pytanie zwykle pochodzi ze środka dotyczącego zarządzania ryzykiem i podatnościami: klient chce wiedzieć, czy testujesz czy twoje bezpieczeństwo wytrzymuje w praktyce, a nie tylko na papierze. Podobnie jest w przypadku ISO/IEC 27001: Załącznik A nie wymienia obowiązkowego testu penetracyjnego, ale wymienia techniczne zarządzanie podatnościami, a test penetracyjny jest najbardziej konkretną realizacją, którą audytorzy rozpoznają.

Jeśli nigdy nie prowadziłeś pentesta, to "nie" jest prawidłową odpowiedzią — zasugerowanie "tak" bez raportu nie da się uzasadnić. Wiele firm wypełnia to tym, co faktycznie posiadają: skanem podatności, audytem zewnętrznym lub trwającym proces wykrywania i usuwania luk. To nie to samo co pentest, ale pokazuje, że coś tam jest. Czy wyjaśnisz tę różnicę klientowi, zależy od ciebie; samo pole odpowiedzi pozostaje faktyczne. Jeśli przeprowadziłeś pentest, raport — lub jego streszczenie — to dokument potwierdzający, który pasuje do odpowiedzi "tak", ewentualnie z przyciskiem poufności, jeśli nie chcesz udostępniać szczegółów.

Pochodzenie tego: artykuł 21 i Załącznik A

Artykuł 21 ust. 2 Dyrektywy (UE) 2022/2555 wymienia zarządzanie podatnościami i ocenę efektywności środków jako obowiązkowe elementy, nie przepisując pentestu jako metody. Ustawa o bezpieczeństwie cybernetycznym przejmuje ten obowiązek po wejściu w życie. ISO/IEC 27001 Załącznik A rozwija to dalej w ramach środków kontrolnych dotyczących technicznego zarządzania podatnościami, pod które podpada pentest jako praktyka wspólna. Kto może udowodnić, że skuteczność środków bezpieczeństwa jest okresowo badana jest, często ma już część odpowiedzi, nawet jeśli słowo pentest nie pojawia się we własnym dossier.