klient pyta, czy niedawno przeprowadziliśmy test penetracyjny

Pentest jest dowodem na testowanie, a nie odrębnym kryterium

Test penetracyjny jest jednym ze sposobów wykazania, że bezpieczeństwo jest okresowo testowane, a nie samodzielnym wymogiem. Artykuł 21 ust. 2 pkt f dyrektywy NIS2 wymienia "polityki i procedury oceny skuteczności środków", a test penetracyjny jest jednym z jego wdrożeń obok na przykład skanowania podatności lub audytu wewnętrznego. Jeśli pytanie dosłownie dotyczy testu penetracyjnego, możesz odpowiedzieć "tak" natychmiast po uzyskaniu raportu z testu, niezależnie od tego, jak wygląda reszta procesu testowania.

Jeśli nie przeprowadziłeś testu penetracyjnego, ale zastosowałeś inne formy testowania — zewnętrzny audyt bezpieczeństwa, certyfikację ISO 27001 z towarzyszącymi audytami wewnętrznymi lub automatyczne skanowanie — wówczas "nie" na pytanie dosłowne jest prawidłową odpowiedzią, ewentualnie z wyjaśnieniem alternatywnego testowania w polu wolnego tekstu, jeśli takie pole istnieje. Nie wpisuj "tak" dlatego, że "robisz coś w zakresie testowania"; pytanie jest wystarczająco konkretne, aby traktować je jako odrębny fakt. Ten temat wiąże się również z pytaniem, czy skuteczność środków jest okresowo testowana, a często również z procesem identyfikacji i usuwania podatnościtym, że testy penetracyjne i skanowanie podatności są w praktyce często mylone, mimo że są to dwa różne środki.

Gdzie to jest podane: artykuł 21 ust. 2 pkt f, Załącznik A

Artykuł 21 ust. 2 pkt f Dyrektywy (UE) 2022/2555 wymaga "polityk i procedur oceny skuteczności środków zarządzania ryzykiem cyberbezpieczeństwa", bez nakazania konkretnie testu penetracyjnego. ISO/IEC 27001 Załącznik A rozszerza to na środki kontrolne dotyczące technicznych podatności i oceny bezpieczeństwa informacji, gdzie test penetracyjny pasuje jako praktyczne wdrożenie, ale nie jest wymieniony jako obowiązkowe narzędzie. Ustawa o cyberbezpieczeństwie przejmie ten wymóg po wejściu w życie, bez oczekiwania na powiązanie go z konkretnym typem testu.