client vrea să știe cât de des testăm sistemele noastre

Niciun interval fix prescris

Nu există niciun număr în textul legislativ. Articolul 21 alineatul 2 NIS2 menționează sub litera f "politica și procedurile pentru a evalua eficacitatea măsurilor de management al riscurilor de securitate cibernetică" — un pentest este cea mai concretă implementare a acesteia, dar cât de des trebuie efectuat, directiva lasă deschis. De asemenea, Legea de securitate cibernetică, care va transpune în curând acest articol în dreptul român, nu se așteaptă să adauge un interval fix la aceasta. Lista de verificare a clientului tău umple această lacună el însuși: multe formate întreabă în mod concret despre "minim anual" sau "în caz de modificări semnificative", dar aceasta este norma clientului tău, nu a legii.

Ceea ce poți aplica în practică este ritmul propriu, nu un ritm obligatoriu. Testezi anual, după fiecare lansare majoră, sau doar ad hoc după un incident? Acel răspuns se găsește, cu data și sfera ultimului test, de obicei ca document separat în dosarul de lanț — cauta raportul pentestului sau rezumatul managerial al acestuia. Dacă nu ai încă un interval fix, atunci "ad hoc, efectuat ultima dată pe [dată]" este un răspuns mai sincer decât inventarea unei frecvențe pe care nu o respecți. Această întrebare apare adesea în același bloc ca procesul de detectare și remediere a vulnerabilităților — un pentest este un singur mod de a găsi vulnerabilități, scanarea și politica de patch sunt celelalte.

ISO 27001 ca punct de sprijin indirect

Cine este certificat ISO 27001 are de obicei deja o politică internă pentru testare periodică stabilită prin măsurile Anexei A, inclusiv frecvența pe care organizația a ales-o la evaluarea riscurilor. Aceasta face întrebarea privind certificatul ISO 27001 relevant ca dovadă de sprijin: nu pentru că certificatul prescrie o frecvență de pentest, ci pentru că demonstrează că există o politică de testare stabilită din care poate fi dedusă acea frecvență.