cliente pergunta sobre resultados de pentest mas nunca fizemos um pentest

Nenhum pentest realizado não é uma resposta automática negativa

Um pentest — um teste de penetração, em que alguém tenta ativamente invadir seus sistemas para encontrar pontos fracos — é um possível teste de eficácia, mas não o único. O artigo 21.º, n.º 2 da NIS2 pede "políticas e procedimentos para avaliar a eficácia das medidas", sem prescrever um pentest. O Anexo A da ISO/IEC 27001 também menciona gestão de vulnerabilidades técnicas e testes, mas não impõe nenhum método de teste específico. Portanto, muitas vezes pode preencher honestamente "não, ainda não" sem que esta seja uma resposta bloqueadora — é uma das dez medidas, não a única.

O que conta como prova alternativa: análises automatizadas de vulnerabilidades, um processo de patches ou uma análise de riscos que demonstre que um pentest ainda não foi considerado necessário tendo em conta o tamanho dos seus sistemas. Verifique em o processo de deteção e correção de vulnerabilidades se já tem algo em curso — muitas vezes sim, mesmo que não se chame "pentest". Se o seu dossier não tiver esse documento de prova, o sistema não apresenta um "sim": receberá então uma pergunta com uma resposta em branco, e é você quem decide se preenche "não" ou se primeiro executa uma análise. Alguns clientes aceitam um compromisso ("planeado para Q-tal") como resposta provisória; só o saberá após submeter no portal deles.

Onde isto se baseia: artigo 21.º, n.º 2 e Anexo A

A obrigação de testes periódicos decorre do artigo 21.º, n.º 2 da Diretiva (UE) 2022/2555, que menciona "políticas e procedimentos para a avaliação da eficácia das medidas de gestão de riscos de cibersegurança" como uma das dez medidas, ao lado de — e não em vez de — gestão de vulnerabilidades. A ISO/IEC 27001 Anexo A desenvolve isto em medidas de controlo relacionadas com vulnerabilidades técnicas e avaliação, sem nomear um pentest como instrumento obrigatório. Se a sua organização se enquadra diretamente nas obrigações NIS2 depende do setor e do tamanho — você determina isso separadamente desta pergunta, por exemplo através de a questão de se a empresa se enquadra ou não na NIS2.