mój ubezpieczyciel chce zobaczyć raport z testu penetracyjnego, co muszę dostarczyć

Co ubezpieczyciel rozumie przez "raport z testu penetracyjnego"

Zwykle ubezpieczyciel nie prosi o pełny raport techniczny, ale o streszczenie: jaki był zakres testów, kiedy były przeprowadzane, przez kogo, i jakie były ustalenia na wysokim i średnim poziomie. Streszczenie dla kierownictwa z datą, firmą przeprowadzającą test oraz statusem wdrażania zaleceń jest w praktyce często wystarczające. Pełny raport ze szczegółami dotyczącymi exploitów wysyłasz tylko wtedy, gdy jest to wyraźnie wymagane, i wtedy warto sprawdzić, co osłonisz przyciskiem poufności — ubezpieczyciel ma interes w wniosku, nie w samych lukach technicznych.

Jeśli nie przeprowadziłeś testu penetracyjnego, odpowiedź "nie, jeszcze nie zaplanowano" jest bardziej uczciwa niż pozostawienie pola pustego lub wysłanie starego raportu z innego systemu. Wielu ubezpieczycieli zadają to pytanie jako część szerszego obrazu proces wykrywania i usuwania luk w bezpieczeństwie: test penetracyjny jest tam jednym dowodem, a nie całą odpowiedzią. Jeśli brakuje testu penetracyjnego, często można wykazać, czy przeprowadzane są skanowania, czy istnieje polityka łatania lub inny proces wykrywania — to również ma znaczenie, nawet bez raportu z testu.

Skąd to pochodzi: artykuł 21 ust. 2 i Załącznik A

Test penetracyjny jako taki nie jest wymieniony jako odrębny obowiązek w artykule 21 ust. 2 dyrektywy NIS2; artykuł ten wymienia dziesięć kategorii środków, w tym obsługę luk w zabezpieczeniach i ocenę skuteczności środków. Test penetracyjny jest jednym ze sposobów wykazania tej skuteczności, obok na przykład audytu wewnętrznego — zob. także czy skuteczność środków bezpieczeństwa jest okresowo testowana. W ISO/IEC 27001 Załącznik A testy penetracyjne nie pojawiają się jako oddzielny punkt kontrolny; należą do środków kontrolnych dotyczących luk technicznych. Ubezpieczyciele pytają o to niezależnie od tego ustawodawstwa, często jako własny wskaźnik ryzyka poza wymogami ustawowymi lub normatywnymi — jest to praktyka ubezpieczeniowa, a nie obowiązek wynikający z NIS2 lub Ustawy o cyberbezpieczeństwie.