questionário pergunta se realizámos um teste de penetração

O teste de penetração é uma prova, não um requisito isolado

Um teste de penetração — um teste de penetração, em que alguém tenta ativamente contornar a segurança de um sistema — não consta como elemento separadamente obrigatório em nenhuma das dez medidas do artigo 21.º n.º 2. A pergunta geralmente vem da medida sobre gestão de riscos e vulnerabilidades: o cliente quer saber se você testa se a sua segurança se mantém na prática, não apenas no papel. O mesmo se aplica a ISO/IEC 27001: o Anexo A não menciona um teste de penetração obrigatório, mas sim a gestão técnica de vulnerabilidades, e um teste de penetração é a implementação mais concreta desta que os auditores reconhecem.

Nunca realizou um teste de penetração, então "não" é a resposta correta — sugerir um "sim" sem relatório não pode ser justificado. Muitas empresas preenchem isto com o que realmente têm: uma análise de vulnerabilidades, uma auditoria externa, ou um em andamento processo de deteção e correção de vulnerabilidades. Isso não é a mesma coisa que um teste de penetração, mas mostra que há algo em vigor. Se você esclarece essa diferença com o cliente fica a seu critério; o campo de resposta em si permanece factual. Se você realizou um teste de penetração, o relatório — ou um resumo do mesmo — é o documento comprobatório que se adequa a uma resposta "sim", eventualmente com o botão de confidencialidade se não quiser compartilhar os detalhes.

De onde isto vem: artigo 21 e Anexo A

O artigo 21.º, n.º 2 da Diretiva (UE) 2022/2555 menciona a gestão de vulnerabilidades e a avaliação da eficácia das medidas como componentes obrigatórios, sem prescrever um teste de penetração como método. A Lei de Cibersegurança incorpora esta obrigação assim que entrar em vigor. A Norma ISO/IEC 27001 Anexo A desenvolve isto ainda mais sob as medidas de controlo para a gestão técnica de vulnerabilidades, sob a qual um teste de penetração se enquadra como uma prática comum. Quem conseguir demonstrar que eficácia das medidas de segurança é testada periodicamente é aprovado, tem frequentemente já uma parte da resposta, mesmo que a palavra teste de penetração não conste do próprio dossier.