client cere rezultatele unui pentest dar noi nu am făcut niciodată un pentest

Nici un pentest efectuat nu înseamnă automat nu

Un pentest — un test de penetrare, prin care cineva încearcă activ să se infiltreze în sistemele tale pentru a găsi punctele slabe — este una dintre posibilități testare a eficacității, dar nu singura. Articolul 21 alineatul 2 din NIS2 cere "politici și proceduri pentru evaluarea eficacității măsurilor", fără a prescrie un pentest. De asemenea, Anexa A din ISO/IEC 27001 menționează gestionarea vulnerabilităților tehnice și testarea, dar nu impune nicio metodă specifică de testare. Prin urmare, poți adesea completa în mod onest "nu, încă nu" fără ca aceasta să fie un răspuns blocant — este una din zece măsuri, nu singura.

Ce contează ca dovadă alternativă: scanări automate de vulnerabilități, un proces de patch-uri sau o analiză de risc din care să rezulte că un pentest nu a fost încă considerat necesar având în vedere dimensiunea sistemelor tale. Verifică la procesul de detectare și remediere a vulnerabilităților dacă ai deja ceva care să meargă — adesea da, chiar și fără ca aceasta să se numească "pentest". Dacă dosarul tău nu are acel document doveditiv, sistemul nu sugerează un "da": vei primi apoi o întrebare cu un răspuns gol, și tu decizi singur dacă completezi "nu" sau lași mai întâi să se execute o scanare. Unii clienți acceptă un angajament ("este programat pentru Q-oricât") ca răspuns intermediar; afli asta doar după depunere la portalul lor.

Unde se bazează aceasta: articolul 21 alineatul 2 și Anexa A

Obligația de testare periodică rezultă din articolul 21 alineatul 2 al Directivei (UE) 2022/2555, care enumeră "politici și proceduri pentru evaluarea eficacității măsurilor de gestionare a riscurilor de securitate cibernetică" ca una din zece măsuri, alături de — și nu în locul — gestionării vulnerabilităților. ISO/IEC 27001 Anexa A elaborează asupra acesteia în măsuri de control privind vulnerabilitățile tehnice și evaluarea, fără a numi pentest-ul ca instrument obligatoriu. Dacă organizația ta cade sub obligațiile directe NIS2 depinde de sector și dimensiune — tu determini asta independent de această întrebare, de exemplu prin intermediul ,.